Επιβολή χρηματικού προστίμου και επίπληξης στο ΥΠΕΞ

Αθήνα, 10-06-2025 Αριθ. Πρωτ.: 2051 ΑΠΟΦΑΣΗ 20/2025 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε σε συνεδρίαση μέσω τηλεδιάσκεψης την 16/4/2024 (σε συνέχεια των από 14.3.2023, 01.11.2022 και 31.3.2021 συνεδριάσεων), μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος, και τα τακτικά μέλη Σπύρος Βλαχόπουλος, ως εισηγητής, Κωνσταντίνος Λαμπρινουδάκης και Χαράλαμπος Ανθόπουλος. Επίσης παρέστη η Μαρία Αλικάκου, βοηθός εισηγήτρια και κατόπιν εντολής του προέδρου παρέστησαν η Γ. Παλαιολόγου, συντονίστρια της τηλεδιάσκεψης και η Ε. Παπαγεωργοπούλου, Γραμματέας, υπάλληλοι του Τμήματος Διοικητικού – Οικονομικού Τμήματος . Η Αρχή έλαβε υπόψη της τα παρακάτω: Με τη με αριθ. πρωτ. Γ/ΕΙΣ/3556/17.5.2019 προσφυγή του, ο Α (εφεξής καταγγέλλων), καταγγέλλει το Υπουργείο Εξωτερικών (ΥΠΕΞ) (εφεξής καταγγελλόμενο) για παράνομη επεξεργασία προσωπικών του δεδομένων και μη ικανοποίηση των δικαιωμάτων πρόσβασης και διαγραφής. Ειδικότερα, με την υπό εξέταση προσφυγή ο καταγγέλλων αναφέρει ότι απέστειλε στις … προς τον Υπουργό Εξωτερικών αίτημα παροχής πληροφοριών αναφορικά με εγκύκλιο που εξέδωσε ο τελευταίος. Με το εν λόγω αίτημα ο καταγγέλλων δήλωνε τη διαφωνία του με την εν λόγω εγκύκλιο. Σε απάντηση αυτού του αιτήματος ο καταγγέλλων έλαβε στις … το από … έγγραφο περιορισμένης χρήσης του Γραφείου Χ, κοινοποιούμενο στο Γραφείο του … Γενικού Διευθυντή και στη Φ Διεύθυνση. Με το εν λόγω έγγραφο ο καταγγέλλων ενημερωνόταν ότι τόσο το από … αίτημά του, όσο και η από … απάντηση του Γραφείου Χ θα καταχωρούνταν κατόπιν εντολής του Υπουργού στον ατομικό του φάκελο. Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr Την επόμενη μέρα, στις …, ο καταγγέλλων με έγγραφό του προς την Φ Διεύθυνση και με κοινοποίηση προς το Γραφείο Χ και προς την Μονάδα Προστασίας Προσωπικών Δεδομένων εξέφρασε την εναντίωσή του «στην κατά παράβαση του άρθρου 73 του Οργανισμού του Υπουργείου Εξωτερικών καταχώριση στον ατομικό φάκελο υπαλλήλου εγγράφων άλλων πέραν των όσων ορίζει περιοριστικά ο νόμος» συμπληρώνοντας ότι δεν γνώριζε εάν τα εν λόγω έγγραφα είχαν προστεθεί με υπουργική απόφαση στον ατομικό του φάκελο σύμφωνα με την ως άνω αναφερόμενη διάταξη. Παράλληλα, με το ίδιο ως άνω έγγραφο ο προσφεύγων ζήτησε να ενημερωθεί από τη Φ Διεύθυνση, σε περίπτωση που δεν είχε λάβει χώρα ακόμα η ως άνω καταχώριση, «εάν έχει ή προτίθεται να καταχωρίσει» στον ατομικό του φάκελο τα ως άνω έγγραφα καθώς και να αφαιρεθούν από τον φάκελό του τυχόν καταχωρημένα έγγραφα κατά παράβαση του ως άνω άρθρου και σε κάθε περίπτωση να του χορηγηθεί αντίγραφο της απόφασης του Υπουργού περί καταχώρισης. Στο εν λόγω αίτημα ο καταγγέλλων δεν έλαβε απάντηση. Η Αρχή, στο πλαίσιο διερεύνησης της υπό εξέταση καταγγελίας, απέστειλε το υπ’ αρ. πρωτ. Γ/ΕΞ/3556-1/19.6.2019 έγγραφο για παροχή διευκρινίσεων στο καταγγελλόμενο Υπουργείο και δη στη Φ Διεύθυνση Προσωπικού και στο Γραφείο Χ του ΥΠΕΞ και έλαβε ως απάντηση το με αριθμ. πρωτ. Α.Π. … (αριθμ. πρωτ. της Αρχής Γ/ΕΙΣ/4763/05.7/2019) έγγραφο της Φ Διεύθυνσης. Σύμφωνα με το εν λόγω απαντητικό έγγραφο, το καταγγελλόμενο επιβεβαίωσε ότι τα επίμαχα έγγραφα είχαν καταχωρισθεί στον ατομικό φάκελο του καταγγέλλοντος επικαλούμενο τη διάταξη του άρθρου 6 παρ. 1 ε΄ ΓΚΠΔ ως νομική βάση για την εν λόγω καταχώριση. Ειδικότερα, για το από … αίτημα του καταγγέλλοντος προς τον Υπουργό επισημαίνεται στο ως άνω απαντητικό έγγραφο του ΥΠΕΞ ότι αυτό κρίθηκε ως σχετικό με την υπηρεσιακή ιδιότητα του καταγγέλλοντος καθώς το υπέγραφε ο ίδιος ο καταγγέλλων ως «…» και για τον λόγο αυτόν καταχωρήθηκε στον ατομικό του φάκελο, χωρίς, ωστόσο, να αναφέρεται σχετική απόφαση Υπουργού, όπως προβλέπει το ανωτέρω άρθρο 73 παρ. 3 του Οργανισμού Υπουργείου Εξωτερικών - Ν. 3566/2007 (εφεξής ΟργΥΠΕΞ). Στη συνέχεια, ο καταγγέλλων υπέβαλε την υπ’ αριθ. πρωτ. Γ/ΕΙΣ/168/11.1.2021 αίτησή του προς την Αρχή, με την οποία ζήτησε την έκδοση προσωρινής διαταγής για την άμεση αναστολή επεξεργασίας των προσωπικών του δεδομένων, ήτοι την αφαίρεση από τον ως 2 άνω ατομικό του φάκελο των επίμαχων εγγράφων. Βασικός προβαλλόμενος λόγος της ως άνω αίτησης ήταν ότι ένα εκ των επίμαχων καταχωρισμένων εγγράφων περιείχε αρνητική επαγγελματική αξιολόγηση για τον προσφεύγοντα, γεγονός που, κατά τους ισχυρισμούς του αιτούντος, δημιουργούσε άμεσο κίνδυνο για την υπηρεσιακή του εξέλιξη. Ακολούθως, εκδόθηκε η με αριθμ. 2/2021 (αριθμ. πρωτ. Γ/ΕΞ/581/08-02-2021) Προσωρινή Διαταγή, με την οποία απορρίφθηκε το ως άνω αίτημα. Ειδικότερα, η Αρχή έκρινε ότι δεν προέκυπτε ισχυρή πιθανολόγηση ότι η σκοπούμενη επεξεργασία, ήτοι η καταχώριση των επίμαχων εγγράφων στον ατομικό του φάκελο, ήταν δυνατόν να προκαλέσει κίνδυνο στις θεμελιώδεις ελευθερίες και δικαιώματα του προσφεύγοντος και δη στην υπηρεσιακή του εξέλιξη, για την αποτροπή του οποίου θα καθίστατο αναγκαία η άμεση αφαίρεσή τους. Εξάλλου, η καταγγελλόμενη παραβίαση των προσωπικών δεδομένων του αιτούντος διά της καταχώρισης των εν λόγω εγγράφων στον ατομικό φάκελό του και η τυχόν παράλειψη ικανοποίησης σχετικών δικαιωμάτων του αποτελούσαν διαφορετικά ζητήματα, τα οποία θα κρίνονταν, ούτως ή άλλως, στο πλαίσιο της υπό εξέταση προσφυγής. Κατόπιν τούτων, η Αρχή κάλεσε στις 10/2/2021 αμφότερα τα μέρη σε ακρόαση, μέσω τηλεδιάσκεψης, όπου ανέπτυξαν τις απόψεις τους προφορικά και στη συνέχεια εγγράφως μέσω των υπομνημάτων που υπέβαλαν εμπρόθεσμα κατόπιν της προθεσμίας που έλαβαν από τον Πρόεδρο της Αρχής. Κατά την εν λόγω διαδικτυακή συνεδρίαση παρέστησαν ο μεν καταγγέλλων Α αυτοπροσώπως και εκ μέρους του καταγγελλόμενου Υπουργείου η Β, πληρεξούσιος υπουργός Β΄, Προσωπάρχης, Διευθύντρια Φ Διεύθυνσης , η Γ, …, υπάλληλος Φ Διεύθυνσης, καθώς και ο Δ, υπεύθυνος προστασίας δεδομένων (Μονάδα Προστασίας Δεδομένων). Ο καταγγέλλων με το από 22/2/2021 υπόμνημά του προς την Αρχή επαναλαμβάνει τα αναφερόμενα στην καταγγελία του, επιβεβαιώνοντας, ωστόσο, ότι μετά την ως άνω ακρόαση και, όπως διαπιστώθηκε κατόπιν δικού του ελέγχου στις …, τα επίμαχα έγγραφα αφαιρέθηκαν από τον ατομικό του φάκελο. Το δε καταγγελλόμενο με το από 19/2/2021 (Α.Π. …) υπόμνημά του ενημερώνει την Αρχή ότι τα επίμαχα έγγραφα αφαιρέθηκαν από τον ατομικό φάκελο του καταγγέλλοντος και ο 3 τελευταίος ενημερώθηκε σχετικώς. Επιπροσθέτως, ενημερώνει την Αρχή ότι ο καταγγέλλων, κατόπιν του από … αιτήματός του, έλαβε και επιπλέον αντίγραφα αφορώντα σχετική αλληλογραφία μεταξύ της Φ και της Μονάδας Προστασίας Δεδομένων. Η Αρχή, από την ακροαματική διαδικασία, από τα στοιχεία του φακέλου της υπόθεσης, καθώς και από τα υπομνήματα που υποβλήθηκαν στην Αρχή, αφού άκουσε τον εισηγητή και τη βοηθό εισηγήτρια, η οποία αποχώρησε μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης, κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ

1. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (εφεξής ΓΚΠΔ) και του άρθρου 9 του νόµου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρµοδιότητα να εποπτεύει την εφαρµογή των διατάξεων του ΓΚΠ∆, του νόµου αυτού και άλλων ρυθµίσεων που αφορούν στην προστασία του ατόµου από την επεξεργασία προσωπικών δεδοµένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ.1 στ΄ του ΓΚΠ∆ και 13 παρ. 1 ζ΄ του νόµου 4624/2019 προκύπτει ότι η Αρχή έχει αρµοδιότητα να επιληφθεί της υπό κρίση καταγγελίας για παράνομη επεξεργασία και µη ικανοποίηση των δικαιωμάτων πρόσβασης και διαγραφής και να ασκήσει, αντίστοιχα, τις εξουσίες της που προβλέπονται στις διατάξεις των άρθρων 58 του ΓΚΠ∆ και 15 του νόµου 4624/
3. Επειδή, σύμφωνα με το άρθρο 4 στοιχ. 2 του ΓΚΠΔ ως επεξεργασία νοείται «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή», ενώ με το στοιχείο 7 του αυτού ως άνω άρθρου ορίζεται ως υπεύθυνος 4 επεξεργασίας «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους».
4. Επειδή, το άρθρο 5 ΓΚΠΔ καθορίζει τις αρχές που πρέπει να διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων, :«α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»)[..]». Περαιτέρω, με τη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ προβλέπεται ειδικότερα η αρχή της λογοδοσίας, σύμφωνα με την οποία ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην ως άνω αναφερόμενη παράγραφο 1 του άρθρου
5. Η εν λόγω αρχή αποτελεί κεντρικό στοιχείο του νέου μοντέλου συμμόρφωσης που εισήγαγε ο ΓΚΠΔ, στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον, ο υπεύθυνος επεξεργασίας, σύμφωνα με την εν λόγω αρχή, επιβαρύνεται με το περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ, τόσο προς το υποκείμενο των δεδομένων, όσο και, ιδίως, ενώπιον των εποπτικών αρχών προστασίας δεδομένων.
6. Επειδή, σύμφωνα με το άρθρο 6 παρ. 1 ΓΚΠΔ η επεξεργασία «απλών» προσωπικών δεδομένων είναι σύννομη «μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: [ α) – στ)]». Μεταξύ δε των περιπτώσεων, κατά τις οποίες επιτρέπεται η επεξεργασία, είναι και όταν «ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας».
7. Επειδή, ειδικότερα, σύμφωνα με το άρθρο 73 του Ν. 3566/2007 (ΟργΥΠΕΞ) με τίτλο «Προσωπικό μητρώο, ατομικός φάκελος, μητρώο εκπαίδευσης, φύλλα αξιολόγησης 5 και εκθέσεις αξιολόγησης της δραστηριότητας των υπαλλήλων» πού ίσχυε κατά την υποβολή της εξεταζόμενης καταγγελίας και έχει εφαρμογή στην παρούσα υπόθεση, «
8. Στη Διεύθυνση Προσωπικού του Υπουργείου Εξωτερικών τηρείται το μητρώο κάθε υπαλλήλου του Υπουργείου Εξωτερικών, το οποίο αποτελείται από: α. το προσωπικό μητρώο, β. τον ατομικό φάκελο και γ. το μητρώο εκπαίδευσης του υπαλλήλου.
9. Το προσωπικό μητρώο του υπαλλήλου τηρείται μετά το διορισμό του και περιλαμβάνει όλα τα στοιχεία που προσδιορίζουν την ατομική, οικογενειακή, περιουσιακή και υπηρεσιακή του κατάσταση, σύμφωνα με τις κείμενες διατάξεις.
10. Ο ατομικός φάκελος περιλαμβάνει, με την ευθύνη του Διευθυντή της Διεύθυνσης Προσωπικού και του νόμιμου αναπληρωτή του, από τα στοιχεία του προσωπικού μητρώου τα ακόλουθα: α. φύλλα αξιολόγησης, εκθέσεις δραστηριότητας και προσφυγές κατ` αυτών, β. αντίγραφα των πράξεων μεταβολής της υπηρεσιακής κατάστασης, γ. αντίγραφα των πράξεων επιβολής των πειθαρχικών ποινών, με την ένδειξη ότι έχουν ή δεν έχουν παραγραφεί, καθώς και των κλήσεων σε απολογία, εφόσον έχει επιβληθεί πειθαρχική ποινή. Όλα τα στοιχεία αριθμούνται και καταχωρούνται στον πίνακα περιεχομένων των οικείων φακέλων. Με απόφαση του Υπουργού Εξωτερικών, οι ατομικοί φάκελοι μπορεί να περιλαμβάνουν, εκτός των στοιχείων που αναφέρονται παραπάνω υπό α`, β` και γ`, και άλλα στοιχεία τα οποία αφορούν μόνο στην υπηρεσιακή δραστηριότητα των υπαλλήλων. Κάθε υπάλληλος έχει δικαίωμα γνώσης των στοιχείων του ατομικού του φακέλου, τα οποία είναι απόρρητα έναντι τρίτων. […]».
11. Επειδή, αναφορικά με την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων, μεταξύ των οποίων και των δικαιωμάτων πρόσβασης και διαγραφής, το άρθρο 12 παρ. 3 και 4 του ΓΚΠΔ προβλέπει ότι: «
12. Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης […].
13. Εάν ο υπεύθυνος επεξεργασίας 6 δεν ενεργήσει επί του αιτήματος του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων, χωρίς καθυστέρηση και το αργότερο εντός μηνός από την παραλαβή του αιτήματος, για τους λόγους για τους οποίους δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής.».
14. Επειδή σύμφωνα με το άρθρο 15 παρ. 1 ΓΚΠΔ «Το υποκείμενο των δεδομένων έχει δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα εν λόγω δεδομένα προσωπικού χαρακτήρα […]». Σύμφωνα με τη διάταξη αυτή, άσκηση δικαιώματος πρόσβασης συνιστά και το αίτημα του ενδιαφερόμενου προς τον υπεύθυνο επεξεργασίας να ενημερωθεί κατά πόσον τα προσωπικά του δεδομένα έχουν τεθεί ή τίθενται σε επεξεργασία.
15. Επειδή σύμφωνα με το άρθρο 17 παρ. 1 ΓΚΠΔ «
16. Το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, εάν ισχύει ένας από τους ακόλουθους λόγους: α) […] δ) τα δεδομένα προσωπικού χαρακτήρα υποβλήθηκαν σε επεξεργασία παράνομα ε) […]».
17. Επειδή στην υπό εξέταση υπόθεση, από τα στοιχεία του φακέλου προέκυψαν τα εξής: Το καταγγελλόμενο, όπως το ίδιο συνομολόγησε, καταχώρισε στον ατομικό φάκελο του καταγγέλλοντος τα αναφερόμενα στην καταγγελία έγγραφα, περιέχοντα προσωπικά του δεδομένα, χωρίς, ωστόσο, τα έγγραφα αυτά να περιλαμβάνονται στις κατηγορίες εγγράφων που μνημονεύονται στο προαναφερόμενο άρθρο 73 ΟργΥΠΕΞ ή σε υπουργική απόφαση που εκδόθηκε με βάση τη σχετική εξουσιοδότηση που παρέχεται με την παράγραφο 3 του άρθρου αυτού. Διαπιστώνεται, επομένως, ότι το καταγγελλόμενο προέβη σε καταχώρηση των επίμαχων εγγράφων κατά παράβαση της ως άνω διάταξης του άρθρου 73 ΟργΥΠΕΞ και στο βαθμό που τα καταχωρισθέντα έγγραφα περιείχαν προσωπικά δεδομένα του καταγγέλλοντος, το καταγγελλόμενο προχώρησε σε μη νόμιμη καταχώριση αυτών κατά παράβαση των διατάξεων των άρθρων 5 παρ. 1 α΄ και 6 παρ. 1 ε΄ ΓΚΠΔ. 7 Επισημαίνεται δε ότι οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ θα πρέπει να πληρούνται σωρευτικά, όπως έχει παγίως κριθεί
18. Σε περίπτωση κατά την οποία παραβιάζεται έστω μία εκ των προβλεπομένων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, όπως στην υπό κρίση περίπτωση, η εν λόγω επεξεργασία παρίσταται ως μη νόμιμη και αντικείμενη στις διατάξεις του ΓΚΠΔ.
19. Επειδή, περαιτέρω, αναφορικά με τα κατά τα ανωτέρω διαλαμβανόμενα αιτήματα του καταγγέλλοντος περί παροχής πληροφοριών ως προς την τύχη των επίμαχων εγγράφων και την ενδεχόμενη καταχώρισή τους στον ατομικό του φάκελου καθώς και της αφαίρεσής τους από τον εν λόγω φάκελο στην περίπτωση που πράγματι είχαν καταχωρισθεί, ο καταγγέλλων ουσιαστικά άσκησε τα δικαιώματα πρόσβασης και διαγραφής, αντίστοιχα. Όπως ειδικότερα ορίζεται στο άρθρο 15 παρ. 1 ΓΚΠΔ το υποκείμενο των δεδομένων, εν προκειμένω ο καταγγέλλων, δύναται να ζητά και να λαμβάνει αρχικά επιβεβαίωση για το κατά πόσο προσωπικά του δεδομένα τίθενται ή έχουν τεθεί σε επεξεργασία. Αυτή η επιβεβαίωση είναι η πρώτη, βασική συνιστώσα του δικαιώματος πρόσβασης καθώς μόνο σε ενδεχόμενη θετική απάντηση το υποκείμενο των δεδομένων θα έχει τη δυνατότητα να προχωρήσει και στην αίτηση για λήψη αντιγράφων των δεδομένων του κατά την παράγραφο 3 του ίδιου ως άνω άρθρου. Το υποκείμενο των δεδομένων θα πρέπει να έχει δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα, τα οποία συλλέχθηκαν και το αφορούν και να μπορεί να ασκεί το εν λόγω δικαίωμα ευχερώς, προκειμένου να έχει επίγνωση και να επαληθεύει τη νομιμότητα της επεξεργασίας
20. Επισημαίνεται δε ότι η εν λόγω επιβεβαίωση εκ μέρους του υπευθύνου επεξεργασίας δίδει τη δυνατότητα στο υποκείμενο των δεδομένων να ασκήσει και τα υπόλοιπα δικαιώματά του υπό τους όρους και τις προϋποθέσεις που ορίζονται στα άρθρα 15-22 ΓΚΠΔ και, γενικότερα, εξασφαλίζει το δικαίωμα του υποκειμένου στην πληροφοριακή του αυτοδιάθεση 1 Βλ. ενδεικτικά Απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ) της 16-01-2019 στην υπόθεση C496/2017 Deutsche Post AG κατά Hauptzollamt Koln, Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να είναι σύμφωνη, αφενός προς τις αρχές που πρέπει να τηρούνται ως προς την ποιότητα των δεδομένων, τις οποίες θέτει το άρθρο 6 της οδηγίας 95/46 ή το άρθρο 5 του κανονισμού 2016/679 και, αφετέρου, προς τις βασικές αρχές της νόμιμης επεξεργασίας δεδομένων που απαριθμεί το άρθρο 7 της οδηγίας αυτής ή το άρθρο 6 του κανονισμού αυτού (πρβλ. αποφάσεις της 20ής Μαΐου 2003, Österreichischer Rundfunk κ.λπ., C-465/00, C-138/01 και C-139/01, EU:C:2003:294, σκέψη 65, καθώς και της 13ης Μαΐου 2014, Google Spain και Google, C-131/12, EU:C:2014:317, σκέψη 71) » 2 Βλ. αιτιολογική σκέψη 63 του ΓΚΠΔ. 8 που είναι συνταγματικά κατοχυρωμένο
21. Για τον λόγο αυτό, εξάλλου, ο καταγγέλλων προχώρησε με επιφύλαξη στην άσκηση του δικαιώματος διαγραφής, ήτοι αφαίρεσης των επίμαχων εγγράφων σε περίπτωση που είχαν καταχωρισθεί στον φάκελό του. Ειδικότερα, σύμφωνα με την ανωτέρω αναφερόμενη διάταξη του άρθρου 17 παρ. 1 δ’ ΓΚΠΔ, το καταγγελλόμενο όφειλε ως υπεύθυνος επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση να προχωρήσει στην αφαίρεση των επίμαχων εγγράφων, εάν διαπίστωνε ότι η καταχώρισή τους ήταν παράνομη. Στην υπό κρίση υπόθεση, διαπιστώνεται ότι το καταγγελλόμενο απάντησε ικανοποιώντας τα ως άνω αιτήματα του καταγγέλλοντος μετά από την υποβολή της υπό κρίση προσφυγής και, μάλιστα, μετά την ακρόαση ενώπιον της Αρχής. Συνεπώς, το καταγγελλόμενο απάντησε στα ως άνω αιτήματα, ήτοι ενημέρωσε τον καταγγέλλοντα για την επίμαχη καταχώριση στον ατομικό του φάκελο και προχώρησε και σε άμεση αφαίρεση αυτών, εκπρόθεσμα και κατά παράβαση των ως άνω αναφερόμενων προθεσμιών του άρθρου 12 ΓΚΠΔ.
22. Kατ’ ακολουθία των ανωτέρω, στην εξεταζόμενη καταγγελία, λαμβάνοντας υπόψη τα διαλαμβανόμενα στις αμέσως προηγούμενες σκέψεις της παρούσας, το σύνολο των στοιχείων του φακέλου της υπόθεσης, την ακροαματική διαδικασία και τα υποβληθέντα υπομνήματα, η Αρχή διαπιστώνει εκ μέρους του καταγγελλομένου υπουργείου παράβαση των άρθρων 5 παρ. 1 α΄, 6 παρ. 1 ε΄, 12 παρ. 3 και παρ. 4, 15 παρ. 1 και 17 παρ. 1 δ΄ ΓΚΠΔ, λόγω της μη σύννομης καταχώρισης των επίμαχων εγγράφων στον ατομικό φάκελο του προσφεύγοντος καθώς και της εκπρόθεσμης ανταπόκρισης στα αιτήματα πρόσβασης και διαγραφής του καταγγέλλοντος και κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις.
23. Κατά την αξιολόγηση των δεδομένων, προκειμένου να επιλεγεί το πρόσφορο διορθωτικό μέτρο, η Αρχή λαμβάνει υπόψη, το γεγονός ότι το καταγγελλόμενο παραβίασε την προβλεπόμενη από το άρθρο 5 παρ. 1 στοιχείο α’ του ΓΚΠΔ αρχή της νομιμότητας, ήτοι παραβίασε θεμελιώδη αρχή του ΓΚΠΔ για την προστασία των δεδομένων προσωπικού χαρακτήρα, καθώς 3 και τα κριτήρια επιμέτρησης του Άρθρο 9Α Συντάγματος «Καθένας έχει δικαίωμα προστασίας από τη συλλογή, επεξεργασία και χρήση, ιδίως με ηλεκτρονικά μέσα, των προσωπικών του δεδομένων, όπως νόμος ορίζει. […]» 9 προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ που έχουν εφαρμογή στην παρούσα υπόθεση, και ιδίως: i) ii) iii) iv) Το γεγονός ότι αμέσως μετά την ακρόαση ενώπιον της Αρχής το καταγγελλόμενο αφαίρεσε τα επίμαχα έγγραφα από τον ατομικό φάκελο του προσφεύγοντος (άρθρο 83 παρ. 2 στοιχ. γ’ ΓΚΠΔ). Το γεγονός ότι ο καταγγέλλων δεν απέδειξε να έχει υποστεί σχετική ζημία (άρθρο 83 παρ. 2 στοιχ. γ’ του ΓΚΠΔ). Το γεγονός ότι από τη διαπιστωθείσα ως άνω παράβαση δεν επηρεάστηκε ειδική κατηγορία δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος (άρθρο 83 παρ. 2 στοιχ. ζ΄ του ΓΚΠΔ). Το γεγονός ότι δεν έχει διαπιστωθεί στο παρελθόν αντίστοιχη παράβαση εκ μέρους του καταγγελλόμενου.
24. Βάσει των ανωτέρω, η Αρχή αποφασίζει ότι για την παράνομη καταχώριση στον ατομικό φάκελο του καταγγέλλοντος πρέπει να επιβληθεί στο καταγγελλόμενο ως υπεύθυνο επεξεργασίας η αναφερόμενη στο διατακτικό διοικητική κύρωση προστίμου, σύμφωνα με το άρθρο 58 παρ. 2 θ’ ΓΚΠΔ, η οποία κρίνεται ανάλογη με τη βαρύτητα της παράβασης, ενώ για την μη εμπρόθεσμη ικανοποίηση των κατά το ιστορικό αναφερόμενων δικαιωμάτων πρέπει να απευθύνει στον υπεύθυνο επεξεργασίας επίπληξη κατά το άρθρο 58 παρ. 2 β΄ του ΓΚΠΔ, η οποία κρίνεται ανάλογη με τη βαρύτητα των ως άνω αναφερόμενων και διαπιστωθεισών παραβάσεων και παράλληλα συνιστά μέτρο αποτελεσματικό και αποτρεπτικό προς αποφυγή περαιτέρω παραβιάσεων της σχετικής νομοθεσίας εκ μέρους του καταγγελλομένου. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή Α. Επιβάλλει στο Υπουργείο Εξωτερικών, ως υπεύθυνο επεξεργασίας, το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση, σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους δύο χιλιάδων (2.000) ευρώ για την ως άνω διαπιστωθείσα παραβίαση των άρθρων 5 παρ. 1 α΄ και 6 παρ. 1 ε’ ΓΚΠΔ, με βάση το άρθρο 58 παρ. 2 θ’ ΓΚΠΔ. 10 Β. Απευθύνει στο Υπουργείο Εξωτερικών, ως υπεύθυνο επεξεργασίας, επίπληξη για την διαπιστωθείσα παράβαση των άρθρων 12 παρ. 3 και 4 σε συνδυασμό με το άρθρο 15 παρ.1 ΓΚΠΔ, με βάση το άρθρο 58 παρ. 2 β’ ΓΚΠΔ. Γ. Απευθύνει στο Υπουργείο Εξωτερικών, ως υπεύθυνο επεξεργασίας, επίπληξη για την διαπιστωθείσα παράβαση των άρθρων 12 παρ. 3 και 4 σε συνδυασμό με το άρθρο 17 παρ.1 στ΄ ΓΚΠΔ, με βάση το άρθρο 58 παρ. 2 β’ ΓΚΠΔ. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 11 12