Επιβολή κυρώσεων σε ΚΕΕΛΠΝΟ (νυν ΕΟΔΥ) και Σωματείο Εργαζομένων ΚΕΕΛΠΝΟ (νυν ΕΟΔΥ) για παραβιάσεις ΓΚΠΔ

Αθήνα, 12-10-2021 Αριθμ. Πρωτ. 2291 Α Π Ο Φ Α Σ Η 33/2021 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε, μετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση σε σύνθεση Τμήματος στην έδρα της την 15/4/2020 και ώρα 10.00, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Στη συνεδρίαση παρέστησαν οι, Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής, Κωνσταντίνου Μενουδάκου, και τα αναπληρωματικά μέλη Γρηγόρης Τσόλιας, ως εισηγητής, Ευάγγελος Παπακωνσταντίνου, και Εμμανουήλ Δημογεροντάκης. Δεν παρέστησαν λόγω κωλύματος, παρόλο που εκλήθησαν νομίμως εγγράφως τα τακτικά μέλη Κωνσταντίνος Λαμπρινουδάκης, Χαράλαμπος Ανθόπουλος και Ελένη Μαρτσούκου. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου χωρίς δικαίωμα ψήφου, η Μαρία Αλικάκου, νομικός, ειδική επιστήμονας, ως βοηθός εισηγήτρια και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Διοικητικού Τμήματος της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη τα κατωτέρω: Με την με αριθμ. πρωτ. Γ/ΕΙΣ/7439/17.9.2018 προσφυγή του, όπως αυτή συμπληρώθηκε με την με αριθμ. πρωτ. Γ/ΕΙΣ/5089/17.7.2019, ο Α κατήγγειλε το Κέντρο Ελέγχου και Πρόληψης Νοσημάτων – ΚΕ.ΕΛ.Π.ΝΟ. (νυν Εθνικός Οργανισμός Δημόσιας Υγείας ΕΟΔΥ) και το Σωματείο Εργαζομένων Κέντρου Ελέγχου Ειδικών Λοιμώξεων (εφεξής Σ.Ε.Κ.Ε.Ε.Λ.) για παράνομη επεξεργασία και μη ικανοποίηση δικαιωμάτων πρόσβασης και διαγραφής. Ειδικότερα, ο προσφεύγων κατήγγειλε με την με αριθμ. πρωτ. Γ/ΕΙΣ/7439/17.9.2018 προσφυγή του ότι το ΚΕ.ΕΛ.Π.ΝΟ. ανήρτησε στον διαδικτυακό ιστότοπο (www.sekeel.gr) του Σ.Ε.Κ.Ε.Ε.Λ. α) την με αριθμ. πρωτ. … πρόσκληση του Προέδρου 2 του διοικητικού συμβουλίου του ΚΕ.ΕΛ.Π.ΝΟ. με θέμα ημερήσιας διάταξης τη λήψη πειθαρχικών μέτρων σε βάρος του καταγγέλλοντος και β) το με αριθμ. πρωτ. … εισερχόμενο έγγραφο της Διεύθυνσης Διοικητικής Υποστήριξης του Υπουργείου Εσωτερικών και Διοικητικής Ανασυγκρότησης, με το οποίο γνωστοποιήθηκε στο ΚΕ.ΕΛ.Π.ΝΟ. έγγραφο της Εισαγγελίας Πρωτοδικών [περιοχής] Χ, δυνάμει του οποίου ασκήθηκε στον καταγγέλλοντα ποινική δίωξη για αδίκημα που φέρεται ότι είχε τελεστεί από τον καταγγέλλοντα. Περαιτέρω, με την ως άνω προσφυγή του ο προσφεύγων κατήγγειλε ότι το ΚΕ.ΕΛ.Π.ΝΟ. δεν ικανοποίησε το δικαίωμα πρόσβασης που άσκησε ενώπιόν του και τούτο διότι, δεν απάντησε στο από … αίτημά του, με το οποίο ζητούσε από το ΚΕ.ΕΛ.Π.ΝΟ., ως υπεύθυνο επεξεργασίας, να λάβει πληροφορίες αναφορικά με την ανάρτηση των ως άνω εγγράφων στον ιστότοπο του Σ.Ε.Κ.Ε.Ε.Λ. και δη, να ενημερωθεί για το εάν τα εν λόγω έγγραφα έχουν ζητηθεί και αποκτηθεί νόμιμα από το Σ.Ε.Κ.Ε.Ε.Λ. καθώς και να του χορηγηθεί η σχετική αλληλογραφία, από την οποία να προκύπτει η ως άνω χορήγηση. Στο πλαίσιο διερεύνησης της υπό κρίση καταγγελίας η Αρχή με το με αριθμ. πρωτ. Γ/ΕΞ/7439-1/22.10.2018 έγγραφό της ζήτησε τις απόψεις του ελεγχόμενου ΚΕ.ΕΛ.Π.ΝΟ. επί των καταγγελλομένων. Το ΚΕ.ΕΛ.Π.ΝΟ. δεν απάντησε στο ως άνω έγγραφο και για το λόγο αυτό, η Αρχή προχώρησε στην αποστολή νέου εγγράφου παροχής απόψεων (αριθμ. πρωτ. Γ/ΕΞ/1258/14.2.2019), στο οποίο πάλι δεν έλαβε κάποια απάντηση. Κατόπιν τούτων, η Αρχή κάλεσε τους εμπλεκόμενους φορείς στη συνεδρίαση του Τμήματος στις 11.7.

1. Στην εν λόγω συνεδρίαση παρέστησαν ο προσφεύγων μετά της πληρεξουσίας δικηγόρου του, Σοφίας Πετρίτση με ΑΜΔΣ …, ενώ ο καταγγελλόμενος δεν παρέστη και δεν ενημέρωσε σχετικά την Αρχή. Κατά τη συζήτηση της εν λόγω συνεδρίασης προέκυψε η ανάγκη περαιτέρω διερεύνησης τυχόν ευθύνης και του Σωματείου Εργαζομένων ΚΕ.ΕΛ.Π.ΝΟ. (εφεξής Σ.Ε.Κ.Ε.Ε.Λ.), στον διαδικτυακό ιστότοπο του οποίου, όπως αναφέρθηκε ανωτέρω, είχαν αναρτηθεί τα επίμαχα έγγραφα. Ακολούθως, η Αρχή ανέβαλε την εξέταση της υπόθεσης προκειμένου ο προσφεύγων να απευθυνθεί στο Σ.Ε.Κ.Ε.Ε.Λ. με σχετικό αίτημά του, σύμφωνα με τις προβλεπόμενες στα άρθρα 12, 15 και 17 ΓΚΠΔ διαδικασίες, για να ενημερωθεί αναφορικά με την επίμαχη ανάρτηση και να αιτηθεί την αφαίρεσή της από την ιστοσελίδα του Σ.Ε.Κ.Ε.Ε.Λ. ακολουθώντας τις, αντίστοιχα. Στη συνέχεια, ο προσφεύγων απηύθυνε το από … έγγραφο αίτημά του προς το Σ.Ε.Κ.Ε.Ε.Λ., με το οποίο ζήτησε να λάβει πληροφορίες αναφορικά με τον τρόπο 2 3 απόκτησης από το Σ.Ε.Κ.Ε.Ε.Λ. των επίμαχων εγγράφων, τον λόγο ανάρτησής τους στην ιστοσελίδα του σωματείου και επιπλέον, να αφαιρεθούν τα επίμαχα έγγραφα από την ιστοσελίδα. Στην ως άνω αίτησή του ο προσφεύγων δεν έλαβε απάντηση από το Σ.Ε.Κ.Ε.Ε.Λ. Κατόπιν τούτου, ο προσφεύγων υπέβαλε ενώπιον της Αρχής την με αριθμ. πρωτ. Γ/ΕΙΣ/5089/19.7.2019 συμπληρωματική καταγγελία κατά του Σ.Ε.Κ.Ε.Ε.Λ. για παράνομη επεξεργασία καθώς και για μη ικανοποίηση δικαιώματος διαγραφής. Ακολούθως, η Αρχή απέστειλε προς το Σ.Ε.Κ.Ε.Ε.Λ. το με αριθμ. πρωτ. Γ/ΕΞ/5091/25.10.2019 έγγραφο προς παροχή απόψεων επί των καταγγελλομένων. Το Σ.Ε.Κ.Ε.Ε.Λ. δεν απάντησε στο ως άνω έγγραφο της Αρχής. Το Σ.Ε.Κ.Ε.Ε.Λ., εν τω μεταξύ, δεν προέβη και σε κάποια άλλη ενέργεια αναφορικά με τα καταγγελλόμενα. Για τους ως άνω λόγους, η Αρχή κάλεσε τους εμπλεκόμενους στη συνεδρίαση του Τμήματος την Τετάρτη 18.12.
2. Κατά την ακρόαση παρέστησαν ο προσφεύγων Α και ο Γεώργιος Δελλής, πρόεδρος του καταγγελλόμενου Σ.Ε.Κ.Ε.Ε.Λ., οι οποίοι, αφού ανέπτυξαν προφορικά τις απόψεις τους, στη συνέχεια έλαβαν προθεσμία και υπέβαλαν εμπρόθεσμα τα με αριθμ. πρωτ. Γ/ΕΙΣ/264/14.1.2020 και Γ/ΕΙΣ/291/15.1.2020 αντίστοιχα υπομνήματά τους στην Αρχή. Ο καταγγέλλων κατά την ως άνω ακρόαση, αλλά και με το σχετικό υπόμνημά του επισήμανε ότι την … απευθύνθηκε στο Σ.Ε.Κ.Ε.Ε.Λ. ζητώντας πληροφορίες αναφορικά με τους λόγους κτήσης και ανάρτησης στον ιστότοπό του των επίμαχων εγγράφων καθώς και, την απανάρτησή τους. Επιπλέον, ο καταγγέλλων ανέπτυξε τους λόγους που κατά τον ίδιο το Σ.Ε.Κ.Ε.Ε.Λ. προχώρησε στην υπό κρίση ανάρτηση ισχυριζόμενος, μεταξύ άλλων, ότι η επίμαχη δημοσιοποίηση έλαβε χώρα για πολιτικές σκοπιμότητες προκαλώντας την «κατασυκοφάντησή» του λίγο πριν την «προαποφασισμένη απόλυσή» του, τονίζοντας ότι βασικός σκοπός των ως άνω ενεργειών του Σ.Ε.Κ.Ε.Ε.Λ. ήταν η επιδίωξη της απόλυσής του. Το καταγγελλόμενο Σ.Ε.Κ.Ε.Ε.Λ. κατά την ως άνω ακρόαση, αλλά και με το υπόμνημά του, υποστήριξε ότι τα επίμαχα έγγραφα χορηγήθηκαν σε εκείνο από τον ίδιο τον καταγγέλλοντα υποστηρίζοντας, επιπλέον, ότι ο καταγγέλλων παρείχε στο Σ.Ε.Κ.Ε.Ε.Λ. τη συγκατάθεσή του για χρήση και δημοσίευση («δημόσια χρήση») του επίμαχου εγγράφου στο πλαίσιο υποστήριξης των δικαιωμάτων του καταγγέλλοντος έναντι του ΚΕ.ΕΛ.Π.ΝΟ. Μάλιστα, το Σ.Ε.Κ.Ε.Ε.Λ. ισχυρίστηκε ότι τόσο η χορήγηση των εγγράφων, όσο και η ως άνω επικαλούμενη συγκατάθεση καταγράφεται στα πρακτικά της από … συνεδρίασης του Διοικητικού Συμβουλίου του Σ.Ε.Κ.Ε.Ε.Λ., χωρίς, ωστόσο, να προσκομίζονται τέτοια πρακτικά ή κάποιο σχετικό αποδεικτικό έγγραφο ενώπιον της 3 4 Αρχής. Σε αντίθεση δε με τους ισχυρισμούς του καταγγέλλοντος το Σ.Ε.Κ.Ε.Ε.Λ. επεσήμανε ότι μοναδικός σκοπός των ως άνω αναφερόμενων ενεργειών του ήταν η αποτροπή του ενδεχομένου απόλυσης του καταγγέλλοντος, κάτι που το Σ.Ε.Κ.Ε.Ε.Λ. αναφέρει ότι κατάφερε με τις ενέργειές του να πετύχει τουλάχιστον μέχρι τον …, οπότε και έλαβε χώρα τελικώς η απόλυση του καταγγέλλοντος. Τέλος, το Σ.Ε.Κ.Ε.Ε.Λ. διαβεβαίωσε ότι αφαίρεσε την επίμαχη ανάρτηση μετά από τη συνεδρίαση της Αρχής στις 18.12.
3. Η Αρχή, από την ακροαματική διαδικασία, από τα στοιχεία του φακέλου της υπόθεσης, καθώς και από τα υπομνήματα που υποβλήθηκαν στην Αρχή και αφού άκουσε τον εισηγητή και τη βοηθό εισηγήτρια, η οποία αποχώρησε μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
4. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισµού Προστασίας ∆εδοµένων (Κανονισµού 2016/679- ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρµοδιότητα να εποπτεύει την εφαρµογή των διατάξεων του ΓΚΠ∆, του νόµου αυτού και άλλων ρυθµίσεων που αφορούν στην προστασία του ατόµου από την επεξεργασία προσωπικών δεδοµένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ.1 στοιχ. στ΄ του ΓΚΠ∆ και 13 παρ. 1 στοιχ. ζ΄ του Ν.4624/2019 προκύπτει ότι η Αρχή έχει αρµοδιότητα να επιληφθεί της με αριθμ. πρωτ. Γ/ΕΙΣ/7439/17.9.2018 καταγγελίας του Β κατά του ΚΕ.ΕΛ.Π.ΝΟ. (νυν ΕΟΔΥ), όπως αυτή συμπληρώθηκε με την με αριθμ. πρωτ. Γ/ΕΙΣ/5089/17.7.2019 καταγγελία του ιδίου καταγγέλλοντος κατά του Σ.Ε.Κ.Ε.Ε.Λ. για παράνομη επεξεργασία και µη ικανοποίηση των δικαιωμάτων πρόσβασης και διαγραφής αναφορικά με δεδοµένα προσωπικού χαρακτήρα που τον αφορούν και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέµονται από τις διατάξεις των άρθρων 58 του ΓΚΠ∆ και 15 του Ν. 4624/
6. Επειδή σύμφωνα με το άρθρο 5 παρ. 1 ΓΚΠΔ «
7. Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, 4 5 αντικειμενικότητα και διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς, γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»), […]»,
8. Επειδή, σύμφωνα με το άρθρο 5 παρ. 2 ΓΚΠΔ: «Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Σύμφωνα, ειδικότερα, με την αρχή λογοδοσίας, η οποία συνιστά ακρογωνιαίο λίθο του Γενικού Κανονισμού για την προστασία δεδομένων προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων προσωπικού χαρακτήρα να είναι σύμφωνη με τις οικείες νομοθετικές προβλέψεις. Επιπλέον, ο υπεύθυνος επεξεργασίας επιφορτίζεται και με το ειδικότερο καθήκον να αποδεικνύει ο ίδιος τη συμμόρφωσή του με τις ως άνω περιγραφόμενες αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ, τόσο προς το υποκείμενο των δεδομένων για λόγους διαφάνειας της επεξεργασίας, όσο και, ιδίως, ενώπιον της εποπτικής Αρχής.
9. Επειδή, αναφορικά με την επεξεργασία δεδομένων που αφορούν σε ποινικά αδικήματα, συμπεριλαμβανομένων των ποινικών διώξεων, επισημαίνεται ότι ο ΓΚΠΔ δεν τις εντάσσει στις ειδικές κατηγορίες δεδομένων, όπως αυτά προσδιορίζονται στο άρθρο 9 παρ. 1 ΓΚΠΔ. Για την κατηγορία των εν λόγω δεδομένων ο ΓΚΠΔ επιφυλάσσει πλέον ειδικότερη ρύθμιση για την επεξεργασία τους. Ειδικότερα, αναφορικά με την επεξεργασία προσωπικών δεδομένων που αφορούν σε ποινικά αδικήματα ο ΓΚΠΔ προβλέπει στο άρθρο 10 «Η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες και αδικήματα ή σχετικά μέτρα ασφάλειας που βασίζονται στο άρθρο 6 παράγραφος 1 διενεργείται μόνο υπό τον έλεγχο επίσημης αρχής ή εάν η επεξεργασία επιτρέπεται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους το οποίο προβλέπει επαρκείς εγγυήσεις για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων. Πλήρες ποινικό μητρώο τηρείται μόνο υπό τον έλεγχο επίσημης αρχής». Περαιτέρω η Αρχή με τη Γνωμοδότησή της 1/2020 επισήμανε σχετικά τα εξής: «Ενώ από την διάταξη του άρθρου 10 5 6 ΓΚΠ∆ προκύπτει ότι παρέχεται εξουσιοδότηση («ρήτρα ανοίγματοςεξειδίκευσης») στον εθνικό νομοθέτη να λάβει τα αναγκαία μέτρα µε την πρόβλεψη επαρκών εγγυήσεων για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες και αδικήματα, εν τούτοις, µε το νόμο δεν λαμβάνονται σχετικά μέτρα, ούτε από την αιτιολογική έκθεση προκύπτει ο λόγος της παράλειψης αυτής. Σε κάθε περίπτωση, ακόμη και εάν η πρόθεση του εθνικού νομοθέτη υπήρξε να ληφθούν μέτρα εφαρμογής του άρθρου 10 ΓΚΠ∆ σε ειδική τομεακή νομοθεσία, σε αντίθεση µε την επιλογή του σε σχέση µε το άρθρο 9 ΓΚΠ∆, τέτοια μέτρα δεν έχουν ληφθεί μέχρι σήμερα µε αποτέλεσμα να καθίσταται εν πολλοίς αδύνατη η εφαρμογή της διάταξης του άρθρου 10 ΓΚΠ∆»
10. Από τα ανωτέρω προκύπτει ότι με τις διατάξεις του άρθρου 10 ΓΚΠΔ δεν εισάγονται ειδικές νομικές βάσεις επεξεργασίας, διακριτές και αυτοτελείς εκείνων του άρθρου 6 ΓΚΠΔ και επομένως δεν τίθεται ζήτημα υπερίσχυσης ή αντικατάστασης των εν λόγω νομικών βάσεων. Επιπλέον, με τις διατάξεις του άρθρου 10 ΓΚΠΔ εισάγονται περαιτέρω όροι και διαδικαστικές εγγυήσεις για τη σύννομη επεξεργασία των προσωπικών δεδομένων που αφορούν τις ποινικές καταδίκες και τα αδικήματα, περιλαμβανομένων των ποινικών διώξεων. Τέτοια νομική βάση, στην οποία δύναται να στηρίζεται η επεξεργασία των προβλεπομένων από τις διατάξεις του άρθρου 10 ΓΚΠΔ προσωπικών δεδομένων, συνιστά η συγκατάθεση του υποκειμένου, σύμφωνα με το άρθρο 6 παρ. 1 α΄ ΓΚΠΔ κατά το οποίο «
11. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, β) […]».
12. Επειδή για την εγκυρότητα της συγκατάθεσης θα πρέπει να πληρούνται οι όροι και οι προϋποθέσεις που προβλέπονται στα άρθρα 4 στοιχ. 11 και 7 ΓΚΠΔ, όπως αυτά διευκρινίζονται από τις αιτιολογικές σκέψεις 32, 40 και 42 του ΓΚΠΔ και τις πρόσφατες Κατευθυντήριες Γραμμές για τη Συγκατάθεση του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (ΕΣΠΔ)
13. Ειδικότερα, Βλ. Γνωμοδότηση Αρχής 1/2020, διαθέσιμη στον ιστότοπο της Αρχής www.dpa.gr. (https://www.dpa.gr/el/enimerwtiko/prakseisArxis/epi-ton-diataxeon-toy-n-46242019) 2 Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, Κατευθυντήριες Γραμμές 5/2020 για τη Συγκατάθεση βάσει ΓΚΠΔ 2016/679, 4 Μαΐου 2020, wp259rev.01, (το κείμενο είναι διαθέσιμο στoν ακόλουθο σύνδεσμο https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf). 1 6 7 σύμφωνα με τη διάταξη του άρθρου 4 στοιχ. 11΄ ΓΚΠΔ, η συγκατάθεση προκειμένου να είναι έγκυρη θα πρέπει να είναι ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει, ενώ την εγκυρότητά της καθώς και τη λήψη αυτής θα πρέπει να αποδεικνύει ο υπεύθυνος επεξεργασίας στο πλαίσιο της ως άνω αναφερόμενης αρχής λογοδοσίας, σύμφωνα με το άρθρο 7 παρ. 1 ΓΚΠΔ, το οποίο ορίζει ότι «
14. Όταν η επεξεργασία βασίζεται σε συγκατάθεση, ο υπεύθυνος επεξεργασίας είναι σε θέση να αποδείξει ότι το υποκείμενο των δεδομένων συγκατατέθηκε για την επεξεργασία των δεδομένων του προσωπικού χαρακτήρα. 2.[…]».
15. Επειδή, σύμφωνα με το άρθρο 12 παρ. 3 και 4 ΓΚΠΔ «Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. […]
16. Εάν ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος του υποκειμένου των δεδομένων, ενημερώνει εντός μηνός από την παραλαβή του αιτήματος το υποκείμενο των δεδομένων για τους λόγους, για τους οποίους δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής.».
17. Επειδή, σύμφωνα με το άρθρο 15 παρ. 1 του ΓΚΠΔ «
18. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα στις ακόλουθες, μεταξύ άλλων, πληροφορίες: α) τους σκοπούς της επεξεργασίας, β) τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, γ) τους αποδέκτες ή τις κατηγορίες αποδεκτών στους οποίους κοινολογήθηκαν […] τα δεδομένα προσωπικού χαρακτήρα, γ) […].».
19. Επειδή, σύμφωνα με το άρθρο 17 παρ. 1 στοιχ. δ΄ ΓΚΠΔ «
20. Το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη 7 8 διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, εάν ισχύει ένας από τους ακόλουθους λόγους: α) […] δ) τα δεδομένα προσωπικού χαρακτήρα υποβλήθηκαν σε επεξεργασία παράνομα […]».
21. Επειδή, σύμφωνα με το άρθρο 31 ΓΚΠΔ «ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία και, κατά περίπτωση, οι εκπρόσωποί τους συνεργάζονται, κατόπιν αιτήματος, με την εποπτική αρχή για την άσκηση των καθηκόντων της». Ειδικότερα, σε συνδυασμό με την ως άνω αναφερόμενη αρχή της λογοδοσίας, η εν λόγω διάταξη συνεπάγεται ότι ο υπεύθυνος επεξεργασίας οφείλει να συνεργάζεται με την εποπτική αρχή και να παρέχει κάθε δυνατή και χρήσιμη πληροφορία προς διευκόλυνση του έργου της κατά τον έλεγχο του επιπέδου συμμόρφωσής του με τον ΓΚΠΔ. Για το λόγο αυτό, ο υπεύθυνος επεξεργασίας θα πρέπει να είναι σε θέση ανά πάσα στιγμή και όποτε του ζητηθεί, χωρίς αδικαιολόγητη καθυστέρηση, να μπορεί να αποδείξει στην εποπτική αρχή κατά πόσον και µε ποιον τρόπο εφάρµοσε τις προβλεπόμενες στον ΓΚΠΔ υποχρεώσεις του, και να διαθέτει, προς τον σκοπό αυτό, στην αρχή πολύ συναφείς πληροφορίες σχετικά µε τη συµµόρφωση. Η εποπτική αρχή θα µπορεί, ακολούθως, να χρησιµοποιεί τις εν λόγω πληροφορίες στο πλαίσιο των δράσεών της για την εφαρµογή της κείμενης νοµοθεσίας. Περαιτέρω, όπως ανέφερε και η Ομάδα Εργασίας του άρθρου 29 στη σχετική Γνώμη, εάν οι ως άνω πληροφορίες δεν παρέχονται, όταν ζητούνται, η αρχή προστασίας δεδοµένων θα διαθέτει αµέσως έναν λόγο λήψης µέτρων κατά του υπευθύνου επεξεργασίας, σε περίπτωση που εκείνος δεν συνεργάζεται, ανεξάρτητα από την εικαζόµενη παραβίαση άλλων υποκείµενων αρχών προστασίας των δεδοµένων, σύμφωνα με την ως άνω αναφερόμενη διάταξη
23. Επειδή, σύμφωνα με τις διατάξεις του άρθρου 58 παρ. 2 του ΓΚΠΔ σε συνδυασμό με τις διατάξεις του άρθρου 15 παρ. 4 επ. του Ν.4624/2019 η εποπτική αρχή διαθέτει τις προβλεπόμενες στις εν λόγω διατάξεις διορθωτικές εξουσίες έναντι του υπευθύνου επεξεργασίας, όταν ο τελευταίος έχει παραβεί 3 Βλ. ΟΕ Α29, Γνώµη 3/2010 σχετικά µε την αρχή της λογοδοσίας, 13.7.2019, 00062/10/EL WP 173 . 8 9 διατάξεις του ΓΚΠΔ και του Ν. 4624/
25. Επειδή, η υπό κρίση επεξεργασία αφορά στην ανάρτηση στον διαδικτυακό ιστότοπο του Σ.Ε.Κ.Ε.Ε.Λ. εγγράφων που περιέχουν προσωπικά δεδομένα, τα οποία αναφέρονται σε εκκρεμή ποινική υπόθεση του καταγγέλλοντος και συγκεκριμένα σε ασκηθείσα ποινική δίωξη σε βάρος του. Κατ’ αυτή την έννοια, η εν λόγω επεξεργασία επιτρεπτά λαμβάνει χώρα, μόνο εφόσον πληρούνται σωρευτικά οι προϋποθέσεις των άρθρων 5, 6 και 10 ΓΚΠΔ, κατά τα ανωτέρω αναφερόμενα, μεταξύ άλλων, κι όταν αυτή βασίζεται στη συγκατάθεση του υποκειμένου των δεδομένων, ενώ τη λήψη καθώς και την εγκυρότητα της συγκατάθεσης οφείλει να αποδείξει ο υπεύθυνος επεξεργασίας στο πλαίσιο της αρχής της λογοδοσίας. Ειδικότερα, όπως προβλέπεται, τόσο στην αιτιολογική σκέψη 42 του προοιμίου ΓΚΠΔ, αλλά και στο ως άνω αναφερόμενο άρθρο 7 παρ. 1 ΓΚΠΔ, όταν η επεξεργασία βασίζεται στη συγκατάθεση του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας θα πρέπει να είναι σε θέση να αποδείξει ότι το υποκείμενο των δεδομένων συγκατατέθηκε σε αυτήν.
26. Επειδή στην υπό εξέταση υπόθεση, από την ακροαματική διαδικασία, και τα στοιχεία του φακέλου, όπως αυτός συμπληρώθηκε με τα υπομνήματα των εμπλεκόμενων μερών, διαπιστώθηκε ότι η επίμαχη ανάρτηση, η οποία συνιστά αυτοματοποιημένη επεξεργασία, έγινε από το Σ.Ε.Κ.Ε.Ε.Λ., ως υπεύθυνο επεξεργασίας. Ειδικότερα, το Σ.Ε.Κ.Ε.Ε.Λ. επιβεβαίωσε ότι προχώρησε στην εν λόγω ανάρτηση, την νομιμότητα της οποίας θεμελίωσε εσφαλμένα στη συγκατάθεση του καταγγέλλοντος. Συγκεκριμένα, το Σ.Ε.Κ.Ε.Ε.Λ. ισχυρίστηκε ότι προχώρησε στην ανάρτηση των επίμαχων εγγράφων έχοντας λάβει για την εν λόγω επεξεργασία τη συγκατάθεση του καταγγέλλοντος. Ειδικότερα, το Σ.Ε.Κ.Ε.Ε.Λ. υποστήριξε στο ως άνω υπόμνημά του ότι ο καταγγέλλων του είχε χορηγήσει τα επίμαχα έγγραφα κατά τη συνεδρίαση του Διοικητικού Συμβουλίου του Σ.Ε.Κ.Ε.Ε.Λ. στις … δίνοντας ταυτοχρόνως τη συγκατάθεσή του για «δημόσια χρήση αυτών» προς υποστήριξη των εργασιακών συμφερόντων του καταγγέλλοντος και δη προς αποτροπή της επικείμενης απόλυσής του από το ΚΕ.ΕΛ.Π.ΝΟ., γεγονός που κατά τους ισχυρισμούς του Σ.Ε.Κ.Ε.Ε.Λ. καταγράφηκε στα πρακτικά της ως άνω συνεδρίασης. Το Σ.Ε.Κ.Ε.Ε.Λ., ωστόσο, δεν τεκμηρίωσε εγγράφως ενώπιον της Αρχής τον ως άνω ισχυρισμό του και κατά συνέπεια δεν απέδειξε, 9 10 ως όφειλε σύμφωνα με τα ως άνω αναφερόμενα ότι η υπό κρίση επεξεργασία ήταν σύννομη βασιζόμενη στη συγκατάθεση του καταγγέλλοντος. Ως εκ τούτου, ελλείπουσας και μη αποδεικνυόμενης της ύπαρξης νόμιμης συγκατάθεσης του υποκειμένου των δεδομένων παρέπεται ότι η εν λόγω επεξεργασία έλαβε χώρα χωρίς νόμιμο έρεισμα. Κατά συνέπεια, η υπό εξέταση επεξεργασία των προσωπικών δεδομένων του άρθρου 10 ΓΚΠΔ διενεργήθηκε εσφαλμένα και χωρίς να συντρέχουν οι προϋποθέσεις του άρθρου 6 παρ. 1 εδ. α’ ΓΚΠΔ και επομένως χωρίς την ύπαρξη νόμιμης βάσης, ώστε η Αρχή να διαπιστώνει ότι παραβιάστηκαν οι διατάξεις των άρθρων 5 παρ. 1 εδ. α’ (αρχή της νομιμότητας), παρ. 2 (αρχής της λογοδοσίας), 6 (έλλειψη νομικής βάσης – νομιμότητας της επεξεργασίας) σε συνδυασμό με το άρθρο 10 ΓΚΠΔ
28. Επειδή, ο καταγγέλλων περαιτέρω νομίμως άσκησε το δικαίωμα πρόσβασης ενώπιον του Σ.Ε.Κ.Ε.Ε.Λ., ως υπευθύνου επεξεργασίας, ήτοι με την από … αίτησή του ζήτησε, μεταξύ άλλων, να ενημερωθεί αναφορικά με τον τρόπο κτήσης και συλλογής των επίμαχων εγγράφων και τον λόγο ανάρτησής τους. Το Σ.Ε.Κ.Ε.Ε.Λ., ωστόσο, ουδέποτε απάντησε στο ως άνω αίτημα, ως όφειλε σύμφωνα με τα άρθρα 12 παρ. 3 και 4 και 15 παρ. 1 ΓΚΠΔ, με αποτέλεσμα να παραβιάζει τις εν λόγω διατάξεις.
29. Επειδή, ο καταγγέλλων άσκησε επιπλέον το δικαίωμα διαγραφής ενώπιον του Σ.Ε.Κ.Ε.Ε.Λ., ως υπευθύνου επεξεργασίας, ήτοι με την ως άνω αναφερόμενη αίτησή του ζήτησε από το εν λόγω σωματείο να προβεί στην αφαίρεση των επίμαχων εγγράφων από την ιστοσελίδα του Σ.Ε.Κ.Ε.Ε.Λ. για τον λόγο ότι η ανάρτησή τους και, κατ’ επέκταση, η δημοσίευσή τους για μεγάλο χρονικό διάστημα στην εν λόγω ιστοσελίδα αντιβαίνει στον ισχύοντα ΓΚΠΔ και τον θίγουν ως άτομο. Το Σ.Ε.Κ.Ε.Ε.Λ. ουδέποτε απάντησε στο εν λόγω αίτημα, ούτε προέβη στην άμεση και χωρίς αδικαιολόγητη καθυστέρηση απανάρτησή τους, ως όφειλε σύμφωνα με τα άρθρα 12 παρ. 3 και 4 και 17 παρ. 1 δ΄ ΓΚΠΔ, καθώς, όπως διαπιστώθηκε κατά τη διαδικασία ενώπιον της Αρχής και περιγράφεται και ανωτέρω, το Σ.Ε.Κ.Ε.Ε.Λ. παρανόμως προχώρησε στην εν λόγω ανάρτηση και τη διατήρηση αυτής μετά κι από το αίτημα διαγραφής του καταγγέλλοντος. Συνεπώς, το Σ.Ε.Κ.Ε.Ε.Λ. όφειλε άμεσα να ικανοποιήσει το Για την αρχή της νομιμότητάς στην επεξεργασία των προσωπικών δεδομένων βλ. ήδη ΑΠΔ 26/2019 σκ. 5 και
30. 4 10 11 αίτημα διαγραφής του καταγγέλλοντος και μη πράττοντας τούτο να έχει παραβιάσει τις ως άνω αναφερόμενες διατάξεις των άρθρων 12 παρ. 3 και 4 και 17 παρ. 1 δ΄ ΓΚΠΔ. Ωστόσο, επισημαίνεται ότι το Σ.Ε.Κ.Ε.Ε.Λ. συμμορφώθηκε με την ανωτέρω αναφερόμενη υποχρέωση ανάκλησης της δημοσίευσης των επίμαχων εγγράφων μετά την παρέμβαση της Αρχής και δη μετά από τη συνεδρίαση της Αρχής στις 18.12.2019, όπως προκύπτει από το με αριθμ. πρωτ. Γ/ΕΙΣ/291/15.1.2020 υπόμνημά του.
31. Επειδή ο προσφεύγων απηύθυνε το από … αίτημά του προς το ΚΕ.ΕΛ.Π.ΝΟ., ως υπεύθυνο επεξεργασίας, με το οποίο ζητούσε να ενημερωθεί αναφορικά με τον τρόπο απόκτησης, των επίμαχων εγγράφων από το Σ.Ε.Κ.Ε.Ε.Λ. και δη εάν νομίμως είχαν χορηγηθεί στο εν λόγω σωματείο και σε περίπτωση καταφατικής απάντησης, να λάβει αντίγραφα της σχετικής αλληλογραφίας. Το ΚΕ.ΕΛ.Π.ΝΟ. ουδέποτε απάντησε στο ως άνω αίτημα κατά παράβαση των άρθρων 12 παρ. 3 και 4 και 15 παρ. 1 ΓΚΠΔ.
32. Επειδή το ΚΕ.ΕΛ.Π.ΝΟ., στο πλαίσιο εξέτασης της υπό κρίση καταγγελίας, έλαβε από την Αρχή τα με αριθμ. Γ/ΕΞ/7439-1/22.10.2018 και Γ/ΕΞ/1258/14.2.2019 έγγραφα παροχής απόψεων, στα οποία, ουδέποτε απάντησε. Επιπλέον, το ΚΕ.ΕΛ.Π.ΝΟ. έλαβε από την Αρχή την με αριθμ. πρωτ. 4713/3.7.2019 κλήση σε ακρόαση κατά την ως άνω αναφερόμενη συνεδρίασή της στις 11.7.2019, στην οποία, ωστόσο, δεν παρουσιάστηκε, ούτε ενημέρωσε την Αρχή σχετικά με την μη παρουσία του και τους λόγους αυτής. Ειδικότερα, σύμφωνα με την προβλεπόμενη στο άρθρο 31 ΓΚΠΔ υποχρέωση, όπως αυτή περιγράφεται ανωτέρω στη σκέψη 9 της παρούσας, το ΚΕ.ΕΛ.Π.ΝΟ., ως υπεύθυνος επεξεργασίας, όφειλε να συνεργαστεί με την εποπτική αρχή κατά την εξέταση της υπό κρίση προσφυγής και να παράσχει διευκρινιστικές πληροφορίες προκειμένου να διευκολύνει την Αρχή κατά την εξέταση της υπό κρίση υπόθεσης. Αντιθέτως, το ΚΕ.ΕΛ.Π.ΝΟ. έδειξε αδικαιολόγητη αδιαφορία στις αλλεπάλληλες κλήσεις της Αρχής για παροχή διευκρινίσεων. Η ως άνω αναφερόμενη στάση του ΚΕ.ΕΛ.Π.ΝΟ., κατά τον έλεγχο της εποπτικής Αρχής, συνιστά παραβίαση των υποχρεώσεών της ως υπευθύνου επεξεργασίας και καταδεικνύει όχι μόνο την έλλειψη πρόθεσης εκ μέρους του υπευθύνου επεξεργασίας να συνεργασθεί με την Αρχή, αλλά και 11 12 την παντελή έλλειψη συμμόρφωσης με τις επιταγές του ΓΚΠΔ, προκαλώντας ουσιαστικά εμπόδια στην εξέταση της υπό κρίση υπόθεσης.
33. Επειδή η παραβίαση των ως άνω αναλυτικά περιγραφομένων διατάξεων επισύρουν την επιβολή διοικητικών κυρώσεων του άρθρου 83 ΓΚΠΔ. Ειδικότερα, οι παραβιάσεις των άρθρων 5 παρ. 1 εδ. α’, παρ. 2, 6 παρ. 1 α΄ σε συνδυασμό με το άρθρο 10 ΓΚΠΔ και του άρθρου 31 ΓΚΠΔ επισύρουν την επιβολή των διοικητικών κυρώσεων του άρθρου 83 παρ. 5 στοιχ. α΄ και παρ 4, αντίστοιχα, ενώ η παραβίαση των προβλεπόμενων στα άρθρα 12-22 του ΓΚΠΔ δικαιωμάτων των υποκειμένων των δεδομένων, επισύρει την επιβολή των σχετικών κυρώσεων κατ’ άρθρο 83 παρ. 5 στοιχ. β’ του ΓΚΠΔ.
34. Σύμφωνα δε με τον ΓΚΠΔ (αιτ. σκ. 148) προκειμένου να ενισχυθεί η επιβολή των κανόνων του παρόντος Κανονισμού, κυρώσεις, συμπεριλαμβανομένων των διοικητικών προστίμων, θα πρέπει να επιβάλλονται για κάθε παράβαση του παρόντος Κανονισμού, επιπρόσθετα ή αντί των κατάλληλων μέτρων που επιβάλλονται από την εποπτική αρχή σύμφωνα με τον παρόντα Κανονισμό.
35. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις.
36. Η Αρχή κρίνει περαιτέρω ότι η επιβολή διορθωτικού μέτρου δεν αρκεί για την αποκατάσταση της συμμόρφωσης με τις διατάξεις του ΓΚΠΔ που έχουν παραβιαστεί και ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ επιπλέον και αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς .
37. Περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, την παράγραφο 5 στοιχ. α’ και β’ του ίδιου άρθρου που έχουν εφαρμογή στην παρούσα υπόθεση και τις Κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679 που εκδόθηκαν στις 03-10-2017 από την Ομάδα Εργασίας του άρθρου 29 (WP 253), καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως: i. Το γεγονός ότι η τήρηση των αρχών που προβλέπονται από τη διάταξη του άρθρου 5 παρ. 1 εδ. α’ του ΓΚΠ∆ είναι κεφαλαιώδους σηµασίας, 12 13 πρωτίστως δε, η αρχή της νοµιµότητας, ώστε εάν εκλείπει αυτή να καθίσταται εξ’ αρχής παράνοµη η επεξεργασία, ακόµη και εάν έχουν τηρηθεί οι λοιπές αρχές επεξεργασίας πολλώ δε μάλλον εν προκειμένω που δεν θεμελιώθηκε καμία νομική βάση για την επίμαχη επεξεργασία κατά τα προδιαλαμβανόμενα. ii. Το γεγονός ότι το ΚΕ.ΕΛ.Π.Ν.Ο., ήτοι ένα ΝΠΔΔ, παραβίασε τα άρθρα 15 παρ. 1 και 31 ΓΚΠΔ καταστρατηγώντας βασικές υποχρεώσεις του ως υπευθύνου επεξεργασίας έναντι των υποκειμένων των δεδομένων και της εποπτικής αρχής, αντιστοίχως. iii. Το γεγονός ότι το Σ.Ε.ΚΕ.Ε.Λ., ως υπεύθυνος επεξεργασίας, παραβίασε την προβλεπόμενη στο άρθρο 5 παρ. 1 εδ. α’ ΓΚΠ∆ αρχή της νοµιµότητας, ήτοι παραβίασε θεµελιώδη αρχή του ΓΚΠ∆, όπως αναφέρεται ανωτέρω, για την προστασία των δεδοµένων προσωπικού χαρακτήρα. iv. Το γεγονός ότι η κατά παράβαση του ΓΚΠΔ επεξεργασία προσωπικών δεδομένων από το Σ.Ε.ΚΕ.Ε.Λ., ως υπεύθυνο επεξεργασίας, διά της άνευ νόμιμης βάσης εν προκειμένω έθιξε ένα