Επιβολή διοικητικών κυρώσεων σε πολιτικό κόμμα και δύο στελέχη του για μη νόμιμη χρήση αρχείων εκλογικών καταλόγων και έλλειψη μέτρων προστασίας δεδομ

Αθήνα, 22-10-2024 Αριθ. Πρωτ.: 2887 ΑΠΟΦΑΣΗ 38/2024 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε σε συνεδρίαση την 08/10/2024, μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος, και τα τακτικά μέλη της Αρχής, Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, ως εισηγητές, Αικατερίνη Ηλιάδου, Χρήστος Καλλονιάτης, Γρηγόριος Τσόλιας, και το αναπληρωματικό μέλος, Νικόλαος Λίβος, σε αναπλήρωση του τακτικού μέλους, Χαράλαμπου Ανθόπουλου, ο οποίος, αν και κλήθηκε νομίμως, δεν παρέστη. Παρoύσες, χωρίς δικαίωμα ψήφου ήταν οι Γ. Παναγοπούλου και Χ. Συμεωνίδου, ελέγκτριες της Αρχής, ως βοηθοί εισηγήτριες και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Σύμφωνα με την απόφαση 16/2024 της Αρχής, η συλλογή των προσωπικών δεδομένων αποδήμων, συμπεριλαμβανομένων στοιχείων ηλεκτρονικής επικοινωνίας, εκ μέρους της Άννας Μισέλ Ασημακοπούλου, από τον τ. Γραμματέα Αποδήμων της Νέας Δημοκρατίας, σε χρόνο εκτός προεκλογικής περιόδου, με ηλεκτρονικό τρόπο (εφαρμογή WhatsApp), αποτελεί αθέμιτη, μη αντικειμενική και μη σύννομη επεξεργασία: Δεδομένου ότι η εν λόγω επεξεργασία (συλλογή) έγινε κατά παράβαση μιας σειράς διατάξεων της εκλογικής νομοθεσίας, δεν θα μπορούσε να είναι ευλόγως αναμενόμενο για τα υποκείμενα (εκλογείς εξωτερικού) ότι τα προσωπικά τους δεδομένα, που τηρεί το Υπουργείο Εσωτερικών για τον σκοπό της άσκησης του εκλογικού τους δικαιώματος, συμπεριλαμβανομένων των στοιχείων ηλεκτρονικής επικοινωνίας τους, θα βρίσκονταν στην κατοχή μιας Ευρωβουλευτή και θα χρησιμοποιούνταν για το σκοπό της πολιτικής επικοινωνίας μέσω e-mail. Για τον ίδιο λόγο, και οι περαιτέρω επιμέρους πράξεις επεξεργασίας προς τον ίδιο σκοπό, δηλαδή η δημιουργία νέου αρχείου προς μεταφόρτωση στην υπηρεσία MailChimp, που περιλάμβανε 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr το όνομα, τη χώρα και το e-mail των εκλογέων και η χρήση της ηλεκτρονικής διεύθυνσης (email) των αποδήμων για την αποστολή πολιτικής επικοινωνίας είναι επίσης αθέμιτη και παράνομη. Εξάλλου, η ως άνω επεξεργασία δεδομένων εκλογέων εξωτερικού δεν μπορεί να στηριχθεί στη νομική βάση του υπέρτερου έννομου συμφέροντος (άρθρο 6 παρ. 1 στ’ ΓΚΠΔ), αφού, λαμβάνοντας υπόψη τις παραπάνω περιστάσεις, το δικαίωμα των απόδημων εκλογέων στην προστασία των προσωπικών τους δεδομένων υπερέχει καταφανώς του εννόμου συμφέροντος της Ευρωβουλευτή να επικοινωνήσει μαζί τους ατομικά προς διάδοση των πολιτικών της δράσεων και ιδεών. Επιπλέον, δεν παρασχέθηκε κατάλληλη και σύμφωνη με τον ΓΚΠΔ (άρθρο 14) ενημέρωση των υποκειμένων, ιδίως για την πηγή προέλευσης των δεδομένων τους, με αποτέλεσμα να παραβιάζεται και η αρχή της διαφάνειας της επεξεργασίας. Ως εκ τούτου, η επεξεργασία δεδομένων αποδήμων στην οποία προέβη η Άννα Μισέλ Ασημακοπούλου κατά το χρονικό διάστημα από 20/1/2024 έως και 1/3/2024 παραβίασε τις θεμελιώδεις αρχές της νομιμότητας, αντικειμενικότητας και διαφάνειας της επεξεργασίας, κατά το άρθρο 5 παρ. 1 α’ ΓΚΠΔ. Με την ίδια απόφασή της, η Αρχή έκρινε ότι το αρχείο με προσωπικά δεδομένα του συνόλου των εγγεγραμμένων εκλογέων εξωτερικού για τις εκλογές του Ιουνίου 2023, για το οποίο το Υπουργείο Εσωτερικών είναι υπεύθυνος επεξεργασίας, και για το οποίο η ισχύουσα νομοθεσία δεν προβλέπει καμία απολύτως περίπτωση διαβίβασής του εκτός Υπουργείου, διακινήθηκε εκτός του Υπουργείου. Αν και δεν έγινε δυνατό να διαπιστωθεί με ποιο τρόπο έγινε η εν λόγω διαβίβαση, το γεγονός αυτό αποτελεί αδιαμφισβήτητα περιστατικό παραβίασης της εμπιστευτικότητας προσωπικών δεδομένων και άρα παραβίαση δεδομένων προσωπικού χαρακτήρα, σύμφωνα με τον ορισμό του άρθρου 4 περ. 12 του ΓΚΠΔ, καθώς είναι βέβαιο ότι τα υφιστάμενα μέτρα παραβιάστηκαν και υπήρξε άνευ άδειας κοινολόγηση δεδομένων προσωπικού χαρακτήρα, τα οποία μάλιστα στη συνέχεια υποβλήθηκαν σε περαιτέρω επεξεργασία. Eπίσης, οι πολιτικές και διαδικασίες που ακολουθεί το Υπουργείο για τη μαζική εξαγωγή και εσωτερική διακίνηση δεδομένων εκλογέων του εξωτερικού δεν περιείχαν ειδικές προβλέψεις (ειδικά μέτρα ασφάλειας κατά τη διακίνηση των αρχείων) και περιορισμούς (αναφορικά με τους αποδέκτες των αρχείων), αλλά ούτε προβλέψεις για την καταγραφή και τεκμηρίωση των ενεργειών καθώς και την έγκριση του σκοπού εξαγωγής. Περαιτέρω, οι σχεδιασμένες διαδικασίες δεν περιλαμβάνουν κανένα μέτρο για τον περιορισμό κινδύνου που προκαλείται από τον ανθρώπινο παράγοντα (ο οποίος σύμφωνα και με το Υπουργείο απεδείχθη καταλυτικός και καθοριστικός). Να σημειωθεί ότι ο κίνδυνος από τον ανθρώπινο παράγοντα αναφέρεται από τα στοιχεία των αρχών ως ένας βασικός παράγοντας από τον οποίο προκαλούνται περιστατικά παραβίασης προσωπικών δεδομένων, 2 ενώ είχε επισημανθεί ειδικά από την Αρχή ήδη από το

1. Επίσης προέκυψε ότι τα εφαρμοζόμενα μέτρα δεν επανεξετάστηκαν για τις ειδικές ανάγκες επεξεργασίας των καταλόγων εκλογέων εξωτερικού. Επιπρόσθετα, εντοπίστηκαν ελλείψεις στις διαδικασίες και πολιτικές για την προστασία των δεδομένων (όπως αναφέρονται στο πλαίσιο της λογοδοσίας στο άρθρο 24 του ΓΚΠΔ), δηλαδή ο υπεύθυνος επεξεργασίας δεν εφάρμοσε αποτελεσματικά κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας τα κατάλληλα τεχνικά μέτρα καταγραφής ενεργειών των χρηστών αλλά ούτε οργανωτικά μέτρα, για την εφαρμογή αρχών προστασίας των δεδομένων, όπως προβλέπεται στο άρθρο 25, παρ. 1 για την προστασία δεδομένων ήδη από το σχεδιασμό. Επιπρόσθετα, προέκυψε ότι στην υποβληθείσα Γνωστοποίηση Περιστατικού Παραβίασης Προσωπικών Δεδομένων δεν περιλήφθηκαν πληροφορίες που ανακοινώθηκαν δημόσια και είχαν αναφερθεί σε συνέντευξη της Υπουργού προ της υποβολής της γνωστοποίησης. Με τον χειρισμό αυτό του περιστατικού το Υπουργείο δεν εκπλήρωσε τις υποχρεώσεις του άρθρου 33 παρ. 3, 4 και 5 του ΓΚΠΔ σχετικά με τη γνωστοποίηση παραβίασης δεδομένων προσωπικού χαρακτήρα στην εποπτική αρχή. Τέλος, παρατηρήθηκαν ελλείψεις και ανακρίβειες στο περιεχόμενο των τηρούμενων αρχείων δραστηριοτήτων που αφορούν το Ολοκληρωμένο Σύστημα Υποστήριξης Εκλογικών Διαδικασιών (ΟΣΥΕΔ), όπως απαιτούνται από το άρθρο 30 του ΓΚΠΔ. Ως εκ τούτου, προέκυψε ότι το Υπουργείο Εσωτερικών παραβίασε i. τα άρθρα 5 παρ. 1 εδ. στ και το άρθρο 32 του ΓΚΠΔ, ii. το άρθρο 25.1 του ΓΚΠΔ, iii. το άρθρο 33 παρ. 3, 4 και 5 του ΓΚΠΔ, και iv. το άρθρο 30 του ΓΚΠΔ. Ως προς την Νέα Δημοκρατία και τον Νίκο Θεοδωρόπουλο, η Αρχή ανέβαλε την έκδοση απόφασης, δεδομένου ότι ο τελευταίος μετά την ακρόαση και την υποβολή υπομνημάτων, προσκόμισε ένορκη βεβαίωση ως νεότερο στοιχείο, το οποίο μπορούσε να ληφθεί υπόψη από την Αρχή στο πλαίσιο του αυτεπάγγελτου ελέγχου και από το περιεχόμενο του οποίου προέκυψε η ανάγκη περαιτέρω διερεύνησης των εκεί προβαλλόμενων ισχυρισμών. Στη συνέχεια, στο πλαίσιο εξέτασης της υπόθεσης σε σχέση με την ενδεχόμενη ευθύνη του πολιτικού κόμματος «Νέα Δημοκρατία» (ΝΔ), του πρώην Γραμματέα Αποδήμων του ίδιου κόμματος, Νίκου Θεοδωρόπουλου και τυχόν άλλων προσώπων, με την Απόφαση 22/2024 της Ολομέλειας της Αρχής αποφασίστηκε να τεθούν υπόψη των υπολοίπων μερών τα νεότερα στοιχεία που είχε προσκομίσει ο Νίκος Θεοδωρόπουλος, να κληθούν εκ νέου σε ακρόαση η Νέα Δημοκρατία, ο Νίκος Θεοδωρόπουλος, ο Μιχάλης Σταυριανουδάκης και ο Μένιος Κορομηλάς και να κληθούν αυτοπροσώπως προς παροχή διευκρινίσεων η Α και ο Β, ενώ παράλληλα διατάχθηκε να αποστείλουν τόσο η Νέα Δημοκρατία όσο και ο Νίκος Θεοδωρόπουλος, προ της ακρόασης, αντίγραφο του πρωτότυπου εγγράφου Σύμβασης 3 Εμπιστευτικότητας και τήρησης Απορρήτου (Non-Disclosure Agreement) που έχουν υπογράψει. Κατόπιν των ανωτέρω, με τις με αριθ. πρωτ. Γ/ΕΞΕ/2261, 2262, 2263, 2264, 2265, 2266/28-08-2024 κλήσεις, η Αρχή κάλεσε τη Νέα Δημοκρατία και τους Β, Μένιο Κορομηλά, Νίκο Θεοδωρόπουλο, Μιχάλη Σταυριανουδάκη και Α, σε ακρόαση ενώπιον της Ολομέλειας στην έδρα της Αρχής στις 17/9/2024 και ώρα 10:00 π.μ. Με τα ίδια έγγραφα, η Αρχή διαβίβασε στη Νέα Δημοκρατία και στους Μένιο Κορομηλά και Μιχάλη Σταυριανουδάκη τα συμπληρωματικά έγγραφα υπ’ αρ. πρωτ. Γ/ΕΙΣ/6299/31-07-2024, Γ/ΕΙΣ/6366/02-08-2024, Γ/ΕΙΣ/6364/02-08-2024, Γ/ΕΙΣ/6365/02-08-2024, Γ/ΕΙΣ/6363/02-08-2024 και Γ/ΕΙΣ/6362/0208-2024 που είχε προσκομίσει ο Νίκος Θεοδωρόπουλος, όπως περιγράφονται στην απόφαση 22/2024 της Αρχής. Κατά την ακρόαση της 17/9/2024 παρέστησαν οι παρακάτω αναφερόμενοι: 1) Εκ μέρους της Νέας Δημοκρατίας, οι Δικηγόροι Παναγιώτα Μοσχανδρέου (Α.Μ. ΔΣΑ …) και Βασίλειος Γακόπουλος (Α.Μ. ΔΣΘ …) και ο Ιωάννης Παπαϊωάννου, Αναπληρωτής Διευθυντής Πληροφορικής. 2) Ο Νίκος Θεοδωρόπουλος, με τους πληρεξούσιους δικηγόρους του, Λεωνίδα Κοτσαλή (Α.Μ. ΔΣΑ …), Αλέξη Στεφανάκη (Α.Μ. ΔΣΑ …), Βασίλειο Ψύχα (Α.Μ. ΔΣΑ …), Ρούσσα Τσουκαλά (Α.Μ. ΔΣΑ …) και Κωνσταντίνο Κοτσαλή (Α.Μ. ΔΣΑ …). 3) Εκ μέρους του Μένιου Κορομηλά οι πληρεξούσιες δικηγόροι του Ιωάννα Σακέτου (Α.Μ. ΔΣΑ …) και Ιωάννα Λαγουμίδου (Α.Μ. ΔΣΑ …). 4) Εκ μέρους του Μιχάλη Σταυριανουδάκη, η πληρεξούσια δικηγόρος του, Πολυξένη Μποβολή (Α.Μ. ΔΣΑ …). 5) Εκ μέρους του Β οι πληρεξούσιοι δικηγόροι Παναγιώτα Μοσχανδρέου (Α.Μ. ΔΣΑ …) και Βασίλειος Γακόπουλος (Α.Μ. ΔΣΘ …), 6) Η Α, της οποίας την Υπεύθυνη Δήλωση επικαλέσθηκε ο Νίκος Θεοδωρόπουλος (Γ/ΕΙΣ/6299/31-07-2024 έγγραφό του - βλ. απόφαση 22/2024). Κατά τη συνεδρίαση τα μέρη ανέπτυξαν τους ισχυρισμούς τους, έλαβαν δε προθεσμία για υπόμνημα μέχρι την Πέμπτη 26/9/2024, υπέβαλαν δε ο Μένιος Κορομηλάς το Γ/ΕΙΣ/7433/26-09-2024 υπόμνημα, η Νέα Δημοκρατία το Γ/ΕΙΣ/7435/26-09-2024 υπόμνημα με τα συνημμένα σε αυτό σχετικά, ο Β το Γ/ΕΙΣ/7436/26-09-2024 υπόμνημα και ο Νίκος Θεοδωρόπουλος το Γ/ΕΙΣ/7447/27-09-2024 υπόμνημα με τα συνημμένα σε αυτό έγγραφα. Ειδικότερα, από τους ανωτέρω υποστηρίχθηκαν τα εξής: 4 Η Α κατά τη συζήτηση ερωτήθηκε σχετικά με το περιεχόμενο της από 31/7/2024 υπεύθυνης δήλωσής της, την οποία προσκόμισε στην Αρχή ο Νίκος Θεοδωρόπουλος με το Γ/ΕΙΣ/6299/31-07-2024 έγγραφό του (βλ. απόφαση 22/2024). Η Α ενέμεινε στην υπεύθυνη δήλωσή της, όταν δε ρωτήθηκε ποιο ή ποια πρόσωπα από το κόμμα της Νέας Δημοκρατίας έδωσαν εντολή στον Νίκο Θεοδωρόπουλο για τη διαβίβαση των εκλογικών καταλόγων στην Άννα Μισέλ Ασημακοπούλου, επιφυλάχθηκε να τα αναφέρει εγγράφως εντός της προθεσμίας, που θα της χορηγούσε η Αρχή. Ωστόσο, σχετικό έγγραφο δεν υποβλήθηκε στην Αρχή. Ο Β υποστήριξε ότι οι προσκομισθείσες από τον Νίκο Θεοδωρόπουλο ως Γ/ΕΙΣ/6363/02-08-2024 απεικονίσεις οθόνης είναι μέρος των αποτελεσμάτων εκλογών στις χώρες που αναφέρονται, αφορούν δηλαδή επικοινωνία σχετικά με εκλογικά αποτελέσματα εξωτερικού, τα οποία λαμβάνονται από τους εκλογικούς αντιπροσώπους του κόμματος, ενώ η εν λόγω επικοινωνία εμπίπτει στο πλαίσιο αρμοδιοτήτων τόσο του ιδίου ως … όσο και του Νίκου Θεοδωρόπουλου ως (τότε) Γραμματέα Διασποράς, και δεν συνδέεται, όπως αναφέρει, με την υπό κρίση υπόθεση. Τόνισε περαιτέρω ότι ο ίδιος δεν είχε γνώση ότι ο Νίκος Θεοδωρόπουλος κατείχε εκλογικούς καταλόγους και αναφέρει ότι η κατοχή εκλογικών καταλόγων δεν συνδέεται αιτιωδώς με την αποτύπωση εκλογικών αποτελεσμάτων ούτε αποδίδει στην αποτύπωση αυτή κάποια προστιθέμενη αξία, όπως υποστήριξε ο Νίκος Θεοδωρόπουλος, αφού οι στατιστικές αναλύσεις που πραγματοποιήθηκαν και οι πίνακες που καταρτίστηκαν δεν απαιτούσαν την κατοχή εκλογικών καταλόγων και δεν περιείχαν πληροφορίες σχετικά με την ηλικία και το φύλο των εκλογέων. Για τον λόγο αυτό, ο Β υποστήριξε ότι η παραλαβή των πινάκων αυτών εκ μέρους του δεν συνιστά αποδοχή ότι ο αποστολέας τους κατείχε εκλογικούς καταλόγους και αναφέρει ότι από την προσκόμισή τους δεν προκύπτει οποιαδήποτε εντολή του προς τον Νίκο Θεοδωρόπουλο ούτε προκύπτει ότι ο τελευταίος ενήργησε για σκοπούς του κόμματος. Όσον αφορά την αποστολή του αρχείου μέσω WhatsApp στην Άννα Μισέλ Ασημακοπούλου, τόνισε ότι ο ίδιος αγνοούσε την ύπαρξη του αρχείου, ότι η διαβίβαση του δεν έγινε κατόπιν εντολής του και ότι το αρχείο προωθήθηκε εν αγνοία της Νέας Δημοκρατίας και του ιδίου, …, και επανέλαβε ότι δεν στοιχειοθετείται ευθύνη δική του ή της Νέας Δημοκρατίας για τη διαρροή του επίμαχου αρχείου και για την αζήτητη επικοινωνία της Άννας Μισέλ Ασημακοπούλου με τους εκλογείς εξωτερικού μέσω e-mail. Ο Μένιος Κορομηλάς επανέλαβε τα αναφερόμενα στο από 25/7/2024 υπόμνημά του (βλ. απόφαση 22/2024), υποστηρίζοντας ότι από τα νέα στοιχεία που προσκόμισε ο Νίκος Θεοδωρόπουλος δεν εισφέρθηκε κανένα νέο δεδομένο σχετικά με την εμπλοκή του και ότι 5 επομένως δεν προκύπτει τυχόν επεξεργασία αρχείου από τον ίδιο, ενώ, όσον αφορά την προώθηση του επίμαχου αρχείου τύπου excel στον Νίκο Θεοδωρόπουλο, επαναλαμβάνει ότι δεν έκανε επεξεργασία, δεν είχε καθορίσει ούτε τον σκοπό ούτε τα τεχνικά και οργανωτικά μέτρα για τη διενέργεια της επεξεργασίας αυτής, συνεπώς δεν μπορεί να θεωρηθεί υπεύθυνος επεξεργασίας, σύμφωνα με τον ΓΚΠΔ. Η Νέα Δημοκρατία παρέπεμψε στις προηγούμενες γραπτές και προφορικές αναφορές της, καθώς και σε όλα τα προσκομισθέντα στοιχεία, που αφορούν, αφ’ ενός την εν γένει νομοθεσία, τη δομή, οργάνωση, λειτουργία και τις διαδικασίες του κόμματος, συμπεριλαμβανομένων των αρμοδιοτήτων των οργάνων του και της δημοσιευμένης πολιτικής προστασίας προσωπικών δεδομένων του κόμματος, και αφ’ ετέρου όλα τα τεχνικά και οργανωτικά μέτρα που λαμβάνει ως υπεύθυνος επεξεργασίας, την τεκμηρίωσή τους, την πολιτική της για την Κυβερνοασφάλεια και τα μέτρα εσωτερικής συμμόρφωσης, από την εφαρμογή των οποίων, όπως ανέφερε, δεν έχει διαπιστωθεί ούτε καταγγελθεί καμία παραβίαση. Αναφορικά με την πληροφόρηση των στελεχών του κόμματος για την προστασία προσωπικών δεδομένων, η Νέα Δημοκρατία επικαλέσθηκε τα σεμινάρια επιμόρφωσης που διεξήχθησαν από τον Υπεύθυνο Προστασίας Δεδομένων της (ΥΠΔ) και τις συναφείς προσκλήσεις προς όλους τις συνεργάτες (στις 5/4/2021), προς τη Γραμματεία Διασποράς (στις 28/2/2022) και προς τους Γραμματείς για ενημέρωση από τον ΥΠΔ στις 15/6/2022, επισήμανε δε ότι ο Νίκος Θεοδωρόπουλος έχει ακολουθήσει την προβλεπόμενη διαδικασία προκειμένου να ζητήσει στοιχεία μελών 15 φορές από τη Δ/νση Πληροφορικής του κόμματος και συμμετείχε σε συνεργασία με τον ΥΠΔ του κόμματος στην επικαιροποίηση του Κανονισμού Οργανώσεων Εξωτερικού αναφορικά με τα προσωπικά δεδομένα. Όσον αφορά την υπό εξέταση επεξεργασία προσωπικών δεδομένων, η Νέα Δημοκρατία υποστήριξε ότι καθένα φυσικό πρόσωπο, ανεξαρτήτως του αν έχει και κομματικές αρμοδιότητες και ιδιότητες είναι αυτόνομη προσωπικότητα, συνεπώς πράξεις ή παραλείψεις του καταρχήν και εφόσον δεν αποδεικνύεται το αντίθετο, λαμβάνουν χώρα χωρίς τη γνώση ή την εντολή του κόμματος και ότι τόσο η Άννα Μισέλ Ασημακοπούλου, ως πολιτευόμενη με το κόμμα, όσο και ο Νίκος Θεοδωρόπουλος, ως στέλεχος του κόμματος και ως έχων άριστη σχέση μαζί της θα μπορούσαν δυνητικά να ενεργήσουν για δικούς τους σκοπούς. Η Νέα Δημοκρατία ανέφερε επίσης ότι δεν υπάρχει υπογεγραμμένη σύμβαση εμπιστευτικότητας με τον Νίκο Θεοδωρόπουλο, γεγονός άσχετο με την υπό κρίση υπόθεση διότι, όπως υποστήριξε, δεν υπάρχει αιτιώδης συνάφεια μεταξύ έλλειψης σύμβασης και παράνομης επεξεργασίας, όπως η προώθηση του επίμαχου αρχείου, αφού τυχόν σύμβαση εμπιστευτικότητας θα αφορούσε το αρχείο μελών του κόμματος, δεν θα κάλυπτε σε καμία περίπτωση παρανόμως αποκτηθέν 6 αρχείο, ενώ ο Γραμματέας έχει ούτως ή άλλως υποχρέωση τήρησης των όρων του ΓΚΠΔ, ανεξάρτητα από την ύπαρξη σύμβασης. Περαιτέρω, η Νέα Δημοκρατία υποστήριξε ότι δεν έδωσε ποτέ εντολή στον Νίκο Θεοδωρόπουλο μέσω στελέχους ή οργάνου της, για εξυπηρέτηση της Άννας Μισέλ Ασημακοπούλου και δη μέσω WhatsApp για τον σκοπό της προβολής της επιστολικής ψήφου. Σχολιάζοντας τα επιπλέον προσκομισθέντα στοιχεία από τον Νίκο Θεοδωρόπουλο, η Νέα Δημοκρατία ανέφερε ότι πρόκειται αφ’ ενός μεν για προσωπικές τοποθετήσεις και εκτιμήσεις του ιδίου και της Α, αφ’ ετέρου για στοιχεία άσχετα με την υπόθεση. Συγκεκριμένα, αναφορικά με τις υπ’ αρ. πρωτ. Γ/ΕΙΣ/6363/02-08-2024 απεικονίσεις οθόνης (επικοινωνίες και αποστολές αρχείων μέσω WhatsApp μεταξύ Νίκου Θεοδωρόπουλου και Β) η Νέα Δημοκρατία ανέφερε ότι αποτελούν απλές απεικονίσεις εκλογικών αποτελεσμάτων εξωτερικού, η αποτύπωση και καταγραφή των οποίων εμπίπτει στις αρμοδιότητες του Γραμματέα Διασποράς, ότι δεν σχετίζονται με την τήρηση εκλογικών καταλόγων καθώς περιέχουν μόνο αποτελέσματα ανά χώρα και πόλη και όχι στατιστικά σχετικά με την ηλικία και το φύλο, ούτε η ύπαρξη των διευθύνσεων e-mail τους προσέδιδε κάποια προστιθέμενη αξία. Προσκομίζει δε προς απόδειξη το περιεχόμενο του αρχείου excel “Diaspora – Election Results 21_5_23.xls” που απεικονίζεται, όπως αναφέρει, στις προσκομισθείσες συνομιλίες μέσω WhatsApp μεταξύ Νίκου Θεοδωρόπουλου και Β, σε χρόνο προ της λήψης του επίμαχου αρχείου του Υπουργείου Εσωτερικών. Ως εκ τούτου, υποστήριξε ότι τα νέα προσκομισθέντα στοιχεία δεν συνδέονται με την έννοια της εντολής από πλευράς του κόμματος ως υπευθύνου επεξεργασίας και δεν έχουν σχέση με την υπόθεση, επομένως δεν μπορεί να αποδοθεί σε αυτήν η σχετική ευθύνη για το ζήτημα της διαρροής του επίμαχου αρχείου ούτε για την αζήτητη επικοινωνία μέσω e-mail. Ο Νίκος Θεοδωρόπουλος, τόσο προφορικά κατά την ακρόαση όσο και με το υπόμνημά του επανέλαβε ότι όλες οι ενέργειές του στο πλαίσιο της υπόθεσης ήταν ενδοκομματικές, μόνο με στελέχη του κόμματος, προς εξυπηρέτηση στόχων του κόμματος και στηρίζονταν σε δομημένες και ιεραρχικές σχέσεις. Τονίζει ότι αυτό που ζήτησε και έλαβε ήταν οι εκλογικοί κατάλογοι και όχι κάποια λίστα αποδήμων ή λίστα με e-mail, και ότι η Άννα Μισέλ Ασημακοπούλου είχε αποφασιστεί από το κόμμα να συνδράμει με την κομματική της ιδιότητα και ως κομματικό όργανο στην προώθηση της επιστολικής ψήφου. Όσον αφορά τον ισχυρισμό της Νέας Δημοκρατίας σε σχέση με τα αρχεία που έλαβε ο …, ο Νίκος Θεοδωρόπουλος προσκόμισε επιπλέον αποδεικτικά στοιχεία σχετικά με τις λεπτομερείς στατιστικές αναλύσεις στις οποίες, όπως αναφέρει, προβαίνει το κόμμα μετά από κάθε εκλογική αναμέτρηση, με βάση την πόλη, το φύλο και την ηλικία των εκλογέων. Σχετικά προσκόμισε απεικόνιση οθόνης (WhatsApp Image) στην οποία φαίνεται πίνακας από αρχείο 7 excel με τίτλο “Diaspora – Election Results June 2023 – Detailed”, ο οποίος περιλαμβάνει τις στήλες “City”, “ND” (σημ.: ποσοστό), “Women %”, “Median Age”. Περαιτέρω, προς απόδειξη του ότι, αντίθετα με τον ισχυρισμό της ΝΔ, είναι ευρέως διαδεδομένη πρακτική η διακίνηση αρχείων με προσωπικά δεδομένα μέσω προσωπικών διευθύνσεων e-mail και μέσω WhatsApp των στελεχών του κόμματος, επικαλείται το σχετ. 2 του από 26/7/2024 υπομνήματος της Νέας Δημοκρατίας όπου ζητείται η αποστολή προσωπικών δεδομένων σε προσωπική διεύθυνση (...@gmail.com) και προσκομίζει σχετικές συνομιλίες του με τον πληρεξούσιο δικηγόρο του κόμματος μέσω WhatsApp που περιλαμβάνουν την αποστολή (στις 20/11/2021) αρχείου excel με τίτλο “ΠΕ Απόδημοι.xlsx” με προσωπικά δεδομένα και στοιχεία επικοινωνίας μελών οργανώσεων απόδημου ελληνισμού. Επιπλέον ανέφερε ότι τα αρχεία που διέθεταν οι εργαζόμενοι της Γραμματείας Αποδήμων (diaspora@nd.gr), και τα οποία είχαν λάβει κατόπιν αιτήματος της Γραμματείας προς εξυπηρέτηση της ορθής λειτουργίας της, δεν ταυτίζονται με τα αρχεία που τηρούσε ο ίδιος, ούτε με τη διεύθυνση που του είχε παραχωρήσει το κόμμα (theodoropoulos@nd.gr). Όπως δε υποστήριξε, οι κεντρικές υπηρεσίες του κόμματος γνώριζαν ότι διέθετε πρόσβαση σε συγκεκριμένα αρχεία με στοιχεία επικοινωνίας μελών και στελεχών, τα οποία κατά την ανάληψη των καθηκόντων του … του ζητήθηκε να του τα αποστείλει μέσω WhatsApp και μέσω Airdrop, μετά την έναρξη της έρευνας της Αρχής, και στη συνέχεια να τα καταστρέψει. Προς απόδειξη, προσκόμισε συνομιλίες του με τον Γ (…) μέσω WhatsApp στις 21 και 22/4/2024 στις οποίες ο τελευταίος φαίνεται να τον ευχαριστεί για την αποστολή αρχείων excel, να του ζητά να του στείλει και άλλα και να του ζητά διευκρινίσεις για το άνοιγμα των αρχείων που έχει στείλει μέσω airdrop. Επομένως, ο Νίκος Θεοδωρόπουλος υποστήριξε ότι οι κεντρικές υπηρεσίες και εν γένει το κόμμα αφενός συστηματικά χρησιμοποιούσαν για μεταφορά αρχείων με προσωπικά δεδομένα μεταξύ των στελεχών την εφαρμογή WhatsApp και αφετέρου γνώριζαν ότι οι Γραμματείς διαθέτουν οι ίδιοι πρόσβαση για λογαριασμό του κόμματος σε συγκεκριμένα αρχεία. Επισήμανε δε ότι και ο Διευθυντής Πληροφορικής της Νέας Δημοκρατίας για την επικαιροποίηση, από την Γραμματεία Αποδήμων, των στοιχείων επικοινωνίας στελεχών, κοινοποίησε το προσκομιζόμενο από 19/11/2023 μήνυμα ηλεκτρονικού ταχυδρομείου μόνο στο προσωπικό email του (…@gmail.com) και όχι στο theodoropoulos@nd.gr. Όσον αφορά τα σεμινάρια επιμόρφωσης που διεξήχθησαν από τον Υπεύθυνο Προστασίας Δεδομένων (ΥΠΔ) της Νέας Δημοκρατίας, ο Νίκος Θεοδωρόπουλος αρνήθηκε ότι τα έχει παρακολουθήσει. Αναφορικά με τη λήψη των εκλογικών καταλόγων από τον Μένιο Κορομηλά, τονίζει ότι και στο παρελθόν του είχε αποστείλει τον κατάλογο της Λιθουανίας, χωρίς ο ίδιος να γνωρίζει από πού διέθετε αυτούς τους καταλόγους για λογαριασμό του 8 κόμματος. Επιπλέον, υποστηρίζει ότι καμία Γραμματεία δεν έχει ακολουθήσει ποτέ την «προβλεπόμενη διαδικασία» για τη χορήγηση εκλογικών καταλόγων. Τέλος, ζήτησε την απαλλαγή του με το σκεπτικό ότι δεν αποτελεί αυτοτελώς υπεύθυνο επεξεργασίας αλλά κομματικό όργανο βάσει Καταστατικού, το οποίο ήταν εξουσιοδοτημένο να επεξεργάζεται τα δεδομένα που περιέχονται στους εκλογικούς καταλόγους, τους οποίους εξάλλου de facto διαχειριζόταν το κομματικό στέλεχος που του τους έστειλε (ο Μένιος Κορομηλάς), ελλείψει μάλιστα σαφώς κατανεμημένων αρμοδιοτήτων εκ του καταστατικού ή άλλου εγγράφου. Σημειώνεται ότι από κανένα μέρος δεν προσκομίστηκε η αναφερόμενη στο διατακτικό της απόφασης 22/2024 σύμβαση εμπιστευτικότητας. Η Νέα Δημοκρατία υποστήριξε ότι τέτοια σύμβαση δεν υπάρχει, ενώ ο Νίκος Θεοδωρόπουλος υποστήριξε ότι υπέγραψε τέτοια σύμβαση το 2018 στα γραφεία του κόμματος, χωρίς όμως να κρατήσει αντίγραφο. Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου και αφού άκουσε τους εισηγητές και τις βοηθούς εισηγήτριες, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
2. Από τις διατάξεις των άρθρων 51 και 55 ΓΚΠΔ και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (εφεξής ΓΚΠΔ), του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. α’, στ΄ και η’ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ και η’ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί των καταγγελιών που έχουν υποβληθεί στην Αρχή για παράνομη επεξεργασία προσωπικών δεδομένων, να ελέγξει αυτεπαγγέλτως τη διακίνηση του αρχείου που διέρρευσε παράνομα από το Υπουργείο Εσωτερικών σύμφωνα με την απόφαση 16/2024 της Αρχής, και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/
3. 9
4. Ως «επεξεργασία» προσωπικών δεδομένων σύμφωνα με το άρθρο 4 αρ. 2) ΓΚΠΔ νοείται κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή.
5. Ως «υπεύθυνος επεξεργασίας» (άρθρο 4 αρ. 7 ΓΚΠΔ) ορίζεται το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ως «εκτελών την επεξεργασία» (άρθρο 4 αρ. 8 ΓΚΠΔ) το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου της επεξεργασίας, ενώ ως «τρίτος» (άρθρο 4 αρ. 10) ΓΚΠΔ) νοείται οποιοδήποτε φυσικό ή νομικό πρόσωπο, δημόσια αρχή, υπηρεσία ή φορέας, με εξαίρεση το υποκείμενο των δεδομένων, τον υπεύθυνο επεξεργασίας, τον εκτελούντα την επεξεργασία και τα πρόσωπα τα οποία, υπό την άμεση εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα. Περαιτέρω, σύμφωνα με το άρθρο 29 ΓΚΠΔ «Ο εκτελών την επεξεργασία και κάθε πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, το οποίο έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα, επεξεργάζεται τα εν λόγω δεδομένα μόνον κατ' εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους». Κατά συνέπεια, σε περίπτωση επεξεργασίας προσωπικών δεδομένων από φυσικό πρόσωπο για λογαριασμό του υπευθύνου επεξεργασίας, δηλαδή κατά την άσκηση των καθηκόντων του στο πλαίσιο των δραστηριοτήτων και των επιδιωκόμενων σκοπών του υπεύθυνου επεξεργασίας, οι ενέργειες του φυσικού προσώπου αποδίδονται στο νομικό πρόσωπο. Όπως επισημαίνεται στις Κατευθυντήριες Γραμμές 07/2020 του ΕΣΠΔ σχετικά με τις έννοιες του υπευθύνου επεξεργασίας και του εκτελούντος 10 την επεξεργασία στον ΓΚΠΔ - Έκδοση 2.0 (7 Ιουλίου 2021)1 «στην πράξη αυτός που ενεργεί ως υπεύθυνος επεξεργασίας με την έννοια του ΓΚΠΔ είναι ο οργανισμός ως αυτοτελής νομική οντότητα και όχι κάποιο φυσικό πρόσωπο εντός του οργανισμού του υπευθύνου επεξεργασίας (όπως π.χ. ο Γενικός Διευθυντής, ένας υπάλληλος ή ένα μέλος της Διοίκησης)» (§ 17). «Καταρχήν, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα που εκτελείται από υπαλλήλους στο πεδίο των δραστηριοτήτων ενός οργανισμού μπορεί να θεωρηθεί ότι εκτελείται υπό τον έλεγχο του εν λόγω οργανισμού (αφού οι υπάλληλοι που έχουν πρόσβαση σε δεδομένα προσωπικού χαρακτήρα στο πλαίσιο ενός οργανισμού δεν θεωρούνται εν γένει «υπεύθυνοι επεξεργασίας» ή «εκτελούντες την επεξεργασία», αλλά «πρόσωπα που ενεργούν υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία» κατά την έννοια του άρθρου 29 του ΓΚΠΔ). Σε εξαιρετικές περιστάσεις, ωστόσο, ενδέχεται κάποιος υπάλληλος να αποφασίσει τη χρήση δεδομένων προσωπικού χαρακτήρα για ίδιους σκοπούς και, ως εκ τούτου, να υπερβεί παρανόμως τις εκχωρηθείσες στο πρόσωπό του αρμοδιότητες. (π.χ. για να ιδρύσει δική του εταιρεία ή για παρόμοιο σκοπό). Κατά συνέπεια, ως υπεύθυνος επεξεργασίας ο οργανισμός έχει καθήκον να εξασφαλίσει ότι εφαρμόζονται κατάλληλα τεχνικά και οργανωτικά μέτρα, συμπεριλαμβανομένης της κατάρτισης και της ενημέρωσης των υπαλλήλων, τα οποία θα διασφαλίζουν τη συμμόρφωση προς τον ΓΚΠΔ.» (§19). Άλλωστε, «εάν ο υπεύθυνος επεξεργασίας εκτελεί πράξεις επεξεργασίας χρησιμοποιώντας δικούς του πόρους, για παράδειγμα μέσω του προσωπικού του, δεν καθίσταται εκτελών την επεξεργασία. Οι υπάλληλοι και τα άλλα πρόσωπα που ενεργούν υπό την άμεση εποπτεία του υπευθύνου επεξεργασίας, όπως το προσωρινά απασχολούμενο προσωπικό, δεν πρέπει να θεωρούνται εκτελούντες την επεξεργασία, καθώς επεξεργάζονται προσωπικά δεδομένα ως τμήματα της οντότητας του υπεύθυνου επεξεργασίας. Σύμφωνα με το άρθρο 29, δεσμεύονται επίσης από τις οδηγίες του υπεύθυνου επεξεργασίας» (§ 76)
6. Στο ίδιο κείμενο Κατευθυντηρίων Οδηγιών του ΕΣΠΔ διευκρινίζονται επίσης τα εξής: «Στην πράξη, η επεξεργασία δεδομένων προσωπικού χαρακτήρα στην οποία συμμετέχουν περισσότεροι παράγοντες μπορεί να κατατμηθεί σε περισσότερες μικρότερες δραστηριότητες επεξεργασίας για τις οποίες θα μπορούσε να θεωρηθεί ότι κάθε παράγοντας καθορίζει τον σκοπό και τον τρόπο επεξεργασίας αυτοτελώς. Εξάλλου, μια αλληλουχία ή μια 1 Διαθέσιμες στην ιστοσελίδα του ΕΣΠΔ https://www.edpb.europa.eu/our-work-tools/ourdocuments/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en 2 Βλ. και το συναφές Παράδειγμα από το “Εγχειρίδιο σχετικά με την ευρωπαϊκή νομοθεσία για την προστασία των προσωπικών δεδομένων” (FRA, 2018): «Όταν το τμήμα μάρκετινγκ της εταιρείας Sunshine προτίθεται να επεξεργαστεί δεδομένα για έρευνα αγοράς, υπεύθυνος της συγκεκριμένης επεξεργασίας θα είναι η εταιρεία Sunshine και όχι οι υπάλληλοι του τμήματος μάρκετινγκ. Το τμήμα μάρκετινγκ δεν μπορεί να είναι ο υπεύθυνος επεξεργασίας, καθώς δεν έχει αυτοτελή ταυτότητα.» (σελ. 131). 11 σειρά πράξεων επεξεργασίας στην οποία συμμετέχουν περισσότεροι παράγοντες μπορεί επίσης να πραγματοποιηθεί για τον ίδιο σκοπό/τους ίδιους σκοπούς, οπότε είναι πιθανό η επεξεργασία να περιλαμβάνει έναν ή περισσότερους από κοινού υπευθύνους επεξεργασίας. Με άλλα λόγια, στο «μικροεπίπεδο» είναι πιθανό οι διάφορες επιμέρους πράξεις επεξεργασίας να εμφανιστούν ως αποσυνδεδεμένες η μια από την άλλη, δίδοντας την εντύπωση ότι κάθε επιμέρους πράξη ενδέχεται να εξυπηρετεί διαφορετικό σκοπό. Ωστόσο, επιβάλλεται να ελεγχθεί ενδελεχώς εάν στο «μακροεπίπεδο» οι εν λόγω πράξεις επεξεργασίας δεν θα πρέπει να θεωρηθούν ως «σειρά πράξεων» για την επιδίωξη κοινού σκοπού με τη χρήση από κοινού καθορισμένων μέσων. (§43). Όποιος αποφασίζει να υποβάλει σε επεξεργασία δεδομένα πρέπει να εξετάζει εάν η εν λόγω επεξεργασία περιλαμβάνει δεδομένα προσωπικού χαρακτήρα και, εάν αυτό συμβαίνει, ποιες υποχρεώσεις υπέχει σύμφωνα με τον ΓΚΠΔ. Ένας παράγοντας θεωρείται «υπεύθυνος επεξεργασίας» ακόμη και αν δεν στοχεύει εκουσίως στα δεδομένα προσωπικού χαρακτήρα αυτά καθεαυτά ή έχει εσφαλμένα εκτιμήσει ότι δεν επεξεργάζεται δεδομένα προσωπικού χαρακτήρα» (§44). Όπως, άλλωστε, έχει κριθεί από το ΔΕΕ, κάθε φυσικό ή νομικό πρόσωπο το οποίο επηρεάζει για τους δικούς του σκοπούς την επεξεργασία δεδομένων προσωπικού χαρακτήρα και μετέχει κατ’ αυτόν τον τρόπο στον καθορισμό των στόχων και του τρόπου της επεξεργασίας μπορεί να θεωρηθεί ως υπεύθυνος επεξεργασίας
7. Η ύπαρξη νομικής προσωπικότητας δεν αποτελεί προϋπόθεση για να χαρακτηριστεί ένας φορέας υπεύθυνος επεξεργασίας.4 Ο νομοθέτης της Ένωσης δεν προέβη, για τη στοιχειοθέτηση της ευθύνης βάσει του ΓΚΠΔ, σε διάκριση μεταξύ φυσικών και νομικών προσώπων, καθόσον η ευθύνη αυτή εξαρτάται μόνον από την προϋπόθεση τα εν λόγω πρόσωπα, μόνα ή από κοινού με άλλα, να καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Επομένως, κάθε πρόσωπο που πληροί την προϋπόθεση αυτή, –ανεξαρτήτως του αν πρόκειται για φυσικό ή νομικό πρόσωπο, για δημόσια αρχή, υπηρεσία ή άλλον φορέα, με ή χωρίς νομική προσωπικότητα– ευθύνεται, μεταξύ άλλων, για κάθε παράβαση για την οποία γίνεται λόγος στο άρθρο 83 παρ. 4 και 6, η οποία διαπράττεται από το ίδιο ή για λογαριασμό του
8. Εξάλλου, για την απαλλαγή του υπεύθυνου επεξεργασίας νομικού προσώπου από την ευθύνη αποζημίωσης κατ’ άρθρο 82 ΓΚΠΔ, δεν αρκεί ο ισχυρισμός ότι η επίμαχη ζημία προκλήθηκε από σφάλμα προσώπου που ενεργεί υπό την εποπτεία του, κατά την έννοια του άρθρου 29 του ΓΚΠΔ. Ειδικότερα, το άρθρο 32 παρ. 4 ΓΚΠΔ, σχετικά με την ασφάλεια της επεξεργασίας, προβλέπει ότι ο υπεύθυνος επεξεργασίας λαμβάνει μέτρα ώστε να 3 Βλ. απόφαση ΔΕΕ C‑25/17 (σκέψη 68). Βλ. απόφαση ΔΕΕ C-231/22 (σκέψη 36). 5 Βλ. απόφαση ΔΕΕ C‑807/21 (σκέψεις 38-51). 4 12 διασφαλίζεται ότι κάθε φυσικό πρόσωπο που ενεργεί υπό την εποπτεία του και έχει πρόσβαση σε τέτοια δεδομένα τα επεξεργάζεται μόνον κατ’ εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή κράτους μέλους. Δεδομένου ότι οι υπάλληλοι του υπευθύνου επεξεργασίας νομικού προσώπου ενεργούν υπό την εποπτεία του, εναπόκειται στον εν λόγω υπεύθυνο να διασφαλίζει ότι οι οδηγίες του εφαρμόζονται σωστά από αυτούς και ως εκ τούτου, το νομικό πρόσωπο δεν μπορεί να απαλλαγεί από την ευθύνη του, προβάλλοντας απλώς αμέλεια ή παράλειψη υπαλλήλου του.6 Η Αρχή έχει δεχθεί ότι ένα φυσικό πρόσωπο – υπάλληλος του υπευθύνου επεξεργασίας – μπορεί να θεωρηθεί υπεύθυνος επεξεργασίας, αν χρησιμοποιεί δεδομένα για δικούς του στόχους εκτός του πεδίου και του δυνητικού ελέγχου των δραστηριοτήτων του νομικού προσώπου.7
9. Τα πολιτικά κόμματα αποτελούν ενώσεις προσώπων, οι οποίες, σύμφωνα με την παρ. 6 του άρθρου 29 ν. 3023/2002 αποκτούν με την ίδρυσή τους νομική προσωπικότητα για την εκπλήρωση της συνταγματικής αποστολής τους.
10. Με το άρθρο 5 παρ. 1 του ΓΚΠΔ τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία. Σύμφωνα με την παρ. 1 α), β) και στ) του άρθρου αυτού, «
11. Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· η περαιτέρω επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς δεν θεωρείται ασύμβατη με τους αρχικούς σκοπούς σύμφωνα με το άρθρο 89 παράγραφος 1 («περιορισμός του σκοπού»), […] στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)». Σύμφωνα με την Αιτιολογική Σκέψη 39 του ΓΚΠΔ «Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα θα πρέπει να είναι σύννομη και δίκαιη. Θα πρέπει να 6 7 Βλ. απόφαση ΔΕΕ C-741/21 (σκέψεις 44 – 54). Βλ. απόφαση ΑΠΔΠΧ 54/2021 (σκέψεις 4-6), δημοσιευμένη στην ιστοσελίδα της Αρχής. 13 είναι σαφές για τα φυσικά πρόσωπα ότι δεδομένα προσωπικού χαρακτήρα που τα αφορούν συλλέγονται, χρησιμοποιούνται, λαμβάνονται υπόψη ή υποβάλλονται κατ’ άλλο τρόπο σε επεξεργασία, καθώς και σε ποιο βαθμό τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται ή θα υποβληθούν σε επεξεργασία. […] Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να υφίστανται επεξεργασία κατά τρόπο που να διασφαλίζει την ενδεδειγμένη προστασία και εμπιστευτικότητα των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων και για να αποτρέπεται κάθε ανεξουσιοδότητη πρόσβαση σε αυτά τα δεδομένα προσωπικού χαρακτήρα (…)». Περαιτέρω, σύμφωνα με την αρχή της λογοδοσίας που ορίζεται ρητώς στην δεύτερη παράγραφο του ιδίου άρθρου και συνιστά ακρογωνιαίο λίθο του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Η αρχή αυτή συνεπάγεται την υποχρέωση του υπευθύνου επεξεργασίας να δύναται να αποδείξει συμμόρφωση με τις αρχές του άρθ. 5 παρ.
13. Μια επεξεργασία είναι σύννομη (αρχή της νομιμότητας) μόνον εάν και εφόσον στηρίζεται σε μία από τις αναφερόμενες στο άρθρο 6 παρ. 1 ΓΚΠΔ νομικές βάσεις. Αναφορικά, ιδίως, με τη νομική βάση του υπέρτερου έννομου συμφέροντος (άρθρο 6 παρ.
14. στ) ΓΚΠΔ), στην Αιτιολογική Σκέψη 47 του Κανονισμού επισημαίνονται τα εξής: «Τα έννομα συμφέροντα του υπευθύνου επεξεργασίας, περιλαμβανομένων εκείνων ενός υπευθύνου επεξεργασίας στον οποίο μπορούν να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα ή τρίτων, μπορεί να παρέχουν τη νομική βάση για την επεξεργασία, υπό τον όρο ότι δεν υπερισχύουν των συμφερόντων ή των θεμελιωδών δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων, λαμβάνοντας υπόψη τις θεμιτές προσδοκίες των υποκειμένων των δεδομένων βάσει της σχέσης τους με τον υπεύθυνο επεξεργασίας. Τέτοιο έννομο συμφέρον θα μπορούσε λόγου χάρη να υπάρχει όταν υφίσταται σχετική και κατάλληλη σχέση μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας, όπως αν το υποκείμενο των δεδομένων είναι πελάτης του υπευθύνου επεξεργασίας ή βρίσκεται στην υπηρεσία του. Εν πάση περιπτώσει η ύπαρξη έννομου συμφέροντος θα χρειαζόταν προσεκτική αξιολόγηση, μεταξύ άλλων ως προς το κατά πόσον το υποκείμενο των δεδομένων, κατά τη χρονική στιγμή και στο πλαίσιο της συλλογής των δεδομένων προσωπικού χαρακτήρα, μπορεί εύλογα να αναμένει ότι για τον σκοπό αυτό μπορεί να πραγματοποιηθεί επεξεργασία. Ειδικότερα, τα συμφέροντα και τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων θα μπορούσαν να υπερισχύουν των συμφερόντων του υπευθύνου επεξεργασίας, όταν τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία σε περιπτώσεις κατά τις οποίες το υποκείμενο των δεδομένων δεν αναμένει ευλόγως περαιτέρω επεξεργασία των δεδομένων 14 του». Εξάλλου, με την παρ. 4 του άρθρου 6 ΓΚΠΔ, ορίζεται ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπούς άλλους από εκείνους για τους οποίους τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν αρχικά επιτρέπεται μόνο εφόσον η επεξεργασία είναι συμβατή με τους σκοπούς της αρχικής συλλογής, λαμβάνοντας υπόψη τα κριτήρια που αναφέρονται στη διάταξη αυτή και ιδίως, το πλαίσιο στο οποίο έχουν συλλεγεί τα δεδομένα και τις εύλογες προσδοκίες του υποκειμένου των δεδομένων βάσει της σχέσης του με τον υπεύθυνο επεξεργασίας ως προς την περαιτέρω χρήση τους. Παράλληλα, από την Αιτιολογική Σκέψη 50 του ΓΚΠΔ καθίσταται σαφές ότι η πλήρωση όλων των απαιτήσεων νομιμότητας της αρχικής επεξεργασίας είναι αναγκαία προϋπόθεση που πρέπει να ελέγχεται από τον υπεύθυνο επεξεργασίας πριν εξεταστεί η συμβατότητα του περαιτέρω σκοπού επεξεργασίας με τον αρχικό
16. Σύμφωνα με τις διατάξεις των παρ. 1 και 2 του άρθρου 32 ΓΚΠΔ για την ασφάλεια της επεξεργασίας, «
17. Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, […]
18. Κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία». Επίσης, σύμφωνα με το άρθρο 25, παρ. 1 «Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων από την επεξεργασία, ο υπεύθυνος επεξεργασίας εφαρμόζει αποτελεσματικά, τόσο κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας όσο και κατά τη στιγμή της επεξεργασίας, κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως η ψευδωνυμοποίηση, σχεδιασμένα για την εφαρμογή αρχών προστασίας των 8 «Για να εξακριβωθεί αν ο σκοπός της περαιτέρω επεξεργασίας είναι συμβατός με τον σκοπό της αρχικής συλλογής των δεδομένων προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας, εφόσον πληροί όλες τις απαιτήσεις για τη νομιμότητα της αρχικής επεξεργασίας, θα πρέπει να λάβει υπόψη, μεταξύ άλλων … » (Αιτ. Σκ. 50 ΓΚΠΔ) 15 δεδομένων, όπως η ελαχιστοποίηση των δεδομένων, και την ενσωμάτωση των απαραίτητων εγγυήσεων στην επεξεργασία κατά τρόπο ώστε να πληρούνται οι απαιτήσεις του παρόντος κανονισμού και να προστατεύονται τα δικαιώματα των υποκειμένων των δεδομένων.» Περαιτέρω η διάταξη του άρθρου 24 παρ. 1 ΓΚΠΔ ορίζει τα εξής: «
19. Λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με τον παρόντα κανονισμό. Τα εν λόγω μέτρα επανεξετάζονται και επικαιροποιούνται όταν κρίνεται απαραίτητο».
20. Περαιτέρω, το άρθρο 23 του ΠΔ 26/2012 «(ΦΕΚ Α' 57/15.03.2012), όπως αντικαταστάθηκε με το άρθρο 53 του Ν. 4648/2019 ΦΕΚ A' 205/16.12.2019), προβλέπει τα εξής: «
21. Μία