Επιβολή προστίμου για παραβίαση δικαιώματος πρόσβασης

Αθήνα, 06-07-2022 Αριθ. Πρωτ.: 1479 ΑΠΟΦΑΣΗ 27/2022 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος μέσω τηλεδιασκέψεως την 11-05-2022 μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής, Κωνσταντίνου Μενουδάκου, το αναπληρωματικό μέλος, Μαρία Ψάλλα ως εισηγήτρια, σε αναπλήρωση του τακτικού μέλους Γρηγορίου Τσόλια, ο οποίος, αν και είχε προσκληθεί νομίμως εγγράφως, απουσίασε λόγω κωλύματος, και τα αναπληρωματικά μέλη Νικόλαος Λίβος και Δημοσθένης Βουγιούκας σε αναπλήρωση των τακτικών μελών Χαράλαμπου Ανθόπουλου και Κωνσταντίνου Λαμπρινουδάκη αντίστοιχα, οι οποίοι, αν και είχαν προσκληθεί νομίμως εγγράφως, απουσίασαν λόγω κωλύματος. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, η Ελένη Καπράλου, νομική ελέγκτρια – δικηγόρος, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Με την υπ’ αριθ. πρωτ. Γ/ΕΙΣ/5417/26-08-2021 καταγγελία του στην Αρχή ο Α (εφεξής «καταγγέλλων») καταγγέλλει το νομικό πρόσωπο δημοσίου δικαίου με την επωνυμία «Κέντρο Κοινωνικής Προστασίας-Αλληλεγγύης, Παιδείας και Περιβάλλοντος Δήμου Αλεξανδρούπολης» με διακριτικό τίτλο «Πολυκοινωνικό» (εφεξής «καταγγελλόμενο») για την απώλεια εγγράφων, και συγκεκριμένα δυο ιατρικών γνωματεύσεων που τον αφορούσαν και είχαν υποβληθεί ως συνημμένα (με τη συγκατάθεση του ιδίου) σε αίτηση που είχε καταθέσει στο καταγγελλόμενο η 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr σύζυγός του, Β, η οποία εργάζεται ως κοινωνική λειτουργός στο Πρόγραμμα «…» του Δήμου Χ. Ειδικότερα, η σύζυγος του καταγγέλλοντα υπέβαλε στο καταγγελλόμενο, αίτηση με θέμα «εκτέλεση υπηρεσίας back office», η οποία έλαβε αριθμ. πρωτ. …, λόγω του ότι ο σύζυγός της και καταγγέλλων ανήκει στις ευπαθείς ομάδες, σύμφωνα και με τα μέτρα περιορισμού διάδοσης του νέου κορωνοϊού (ΥΠΕΣ ΔΙΔΑΔ/Φ.69/126/16316/20.09.2020, παρ. Α1 1). Ειδικότερα, στην αίτησή της αυτή, η σύζυγος του καταγγέλλοντα είχε συμπεριλάβει ως συνημμένα έγγραφα την ιατρική γνωμάτευση του Γενικού Νοσοκομείου … με αριθμ. πρωτ. … και την από … ιατρική γνωμάτευση της Υπηρεσιακής Ιατρού της Ελληνικής Αστυνομίας, στις οποίες γινόταν αναφορά στο ιατρικό ιστορικό του καταγγέλλοντα και στη νόσο από την οποία πάσχει. Εν συνεχεία, τον μήνα … ανακοινώθηκε προφορικά από το καταγγελλόμενο στη σύζυγο του καταγγέλλοντα ότι οι δυο ως άνω ιατρικές γνωματεύσεις είχαν απωλεσθεί. Ακολούθως, στις …, η Πρόεδρος του καταγγελλομένου με το υπ’ αριθμ. πρωτ. … έγγραφό της ζήτησε από τη σύζυγο του καταγγέλλοντα να προσκομισθούν «τα απαραίτητα δικαιολογητικά, τα οποία δικαιολογούν την εργασία back office». Κατόπιν αυτών, ο καταγγέλλων κατέθεσε την υπ’ αριθμ. … αίτηση χορήγησης αντιγράφων, και δη αντιγράφων των δυο ως άνω ιατρικών γνωματεύσεων που τον αφορούσαν, στην οποία το καταγγελλόμενο απάντησε ότι «Στις … παραδόθηκε η αίτηση με τα συνημμένα έγγραφα στην Αν. Προϊσταμένη Διεύθυνσης … Γ, η οποία και τα παρέλαβε ενυπόγραφα. Αντίγραφο της αίτησης διατηρήθηκε στον φάκελο εισερχομένων της διοικητικής υπηρεσίας, χωρίς τις συνημμένες ιατρικές γνωματεύσεις, για την προστασία των προσωπικών δεδομένων, οι οποίες εφόσον δεν αφορούσαν την υπάλληλο της υπηρεσίας δεν μπήκαν στον προσωπικό της φάκελο». Ωστόσο, όπως ισχυρίζεται ο καταγγέλλων, στην απάντηση αυτή δεν καθίσταται Βλ.https://diavgeia.gov.gr/doc/%CE%A9%CE%A9%CE%94%CE%A946%CE%9C%CE%A4%CE%9B62%CE%9E%CE%A7?inline=true ) και ειδικότερα: «Α.1 Επανακαθορισμός ομάδων αυξημένου κινδύνου (…) Υπενθυμίζεται, τέλος, ότι βάσει των αποφάσεων της ως άνω αρμόδιας Επιτροπής, επί των οποίων έχουν εκδοθεί και οι σχετικές εγκύκλιες οδηγίες της Υπηρεσίας μας, σε περίπτωση που υπάλληλοι του Δημοσίου διαμένουν με άτομα που ανήκουν στις ομάδες αυξημένου κινδύνου για σοβαρή λοίμωξη COVID 19, λαμβάνουν όλα εκείνα τα απαραίτητα μέτρα προκειμένου να διαφυλάξουν την υγεία των οικείων τους, όπως και ο γενικός πληθυσμός, χωρίς ωστόσο να δικαιούνται ειδικής άδειας απουσίας, ελλείψει προς το παρόν σχετικής προς τούτο ανάγκης και πρόβλεψης. Ωστόσο και στο πλαίσιο της αποτελεσματικής διαχείρισης του ανθρώπινου δυναμικού που υπηρετεί σε κάθε φορέα, θα ήταν δυνατό να εκτιμηθεί η ιδιαίτερη αυτή περίσταση από το αρμόδιο όργανο διοίκησης και να εξετασθεί η δυνατότητα απασχόλησης των υπαλλήλων αυτών σε καθήκοντα, για τα οποία δεν απαιτείται καθημερινή επαφή με κοινό (back office)». 1 2 ακριβής η διαδρομή των προσωπικών του δεδομένων και δεν μπορεί να εξακριβωθεί ποιος είναι ο κάτοχός τους αυτή τη στιγμή, εξαιτίας της πλημμελούς διαδικασίας που ακολούθησε το καταγγελλόμενο κατά την διαχείριση της υποβληθείσας αιτήσεως. Ισχυρίζεται μάλιστα, ότι οι δυο ως άνω ιατρικές γνωματεύσεις φαίνεται να έχουν απωλεσθεί. Σημειώνεται ότι για το ανωτέρω συμβάν, διατάχθηκε Ένορκη Διοικητική Εξέταση (ΕΔΕ) με το υπ’ αριθμ. … έγγραφο του Δήμου Χ, μετά από διαμαρτυρία του καταγγέλλοντα προς την Αποκεντρωμένη Διοίκηση. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/2139/27-09-2021 έγγραφό της ζήτησε από το καταγγελλόμενο διευκρινίσεις επί των καταγγελλομένων, και συγκεκριμένα να της γνωρίσει ιδίως: α) τη διαδικασία που ακολουθεί το καταγγελλόμενο σχετικά με την αρχειοθέτηση και τοποθέτηση σε φακέλους κάθε είδους εισερχομένων εγγράφων γενικά, είτε σε φυσική (έγχαρτη), είτε σε ηλεκτρονική μορφή, καθώς και ειδικότερα ποια διαδικασία ακολούθησε εν προκειμένω για την επεξεργασία των δυο ως άνω ιατρικών γνωματεύσεων που αφορούν τον καταγγέλλοντα, β) εάν και με ποιον τρόπο ανταποκρίθηκε το καταγγελλόμενο στο ως άνω αίτημα του καταγγέλλοντα για τη χορήγηση αντιγράφων των δυο ως άνω επίμαχων ιατρικών γνωματεύσεων (επισυνάπτοντας το σχετικό αίτημα και την απάντησή του), αναφέροντας συνάμα, σε περίπτωση μη ανταπόκρισής του, τους λόγους της καθυστέρησης και γ) εάν έχει ολοκληρωθεί η Ένορκη Διοικητική Εξέταση (ΕΔΕ), και σε περίπτωση καταφατικής απάντησης, να προσκομίσει αντίγραφο της σχετικής έκθεσης. Σε απάντηση των ανωτέρω, το καταγγελλόμενο απέστειλε στην Αρχή το υπ’ αρ. πρωτ. Γ/ΕΙΣ/6533/11-10-2021 έγγραφό του, με το οποίο συγκεκριμένα υποστήριξε: Ότι την αλληλογραφία παραλαμβάνει η Δ/ντρια …, η οποία χρεώνει αρμοδίως το έγγραφο και το δίνει στη γραμματεία για να πρωτοκολληθεί και να γίνει η διακίνηση και η αρχειοθέτηση. Ότι η υπάλληλος της γραμματείας βγάζει τα αντίστοιχα με τη χρέωση φωτοαντίγραφα, τα παραδίδει και ο υπάλληλος που παραλαμβάνει υπογράφει με την ημερομηνία που τα παρέλαβε στο πρωτότυπο έγγραφο, το οποίο μπαίνει στο φάκελο Εισερχομένων. Ότι όταν υπάρχει ο χαρακτηρισμός “ΕΜΠΙΣΤΕΥΤΙΚΟ” από τη Δ/ντρια τότε αρχειοθετείται στο φάκελο ΕΜΠΙΣΤΕΥΤΙΚΟ ΔΙΟΙΚΗΤΙΚΩΝ ΕΓΓΡΑΦΩΝ ή ΕΜΠΙΣΤΕΥΤΙΚΩΝ ΚΟΙΝΩΝΙΚΗΣ ΥΠΗΡΕΣΙΑΣ, ανάλογα με το περιεχόμενο του εγγράφου. Ότι εν προκειμένω, η υπάλληλος της γραμματείας που 3 διακίνησε την αίτηση με τα συνημμένα, δεν παρέδωσε το έγγραφο-αίτηση για χαρακτηρισμό στην Αν. Πρ/νη … (η Δ/ντρια … απουσίαζε με αναρρωτική άδεια), αλλά παρέδωσε ενυπογράφως την αίτηση με τις συνημμένες ιατρικές γνωματεύσεις στη Δ/ντρια της … Γ, όπου ανήκει οργανικά η αιτούσα. Ότι εν συνεχεία, ενημερώθηκε προφορικά η σύζυγος του καταγγέλλοντα για την έγκριση της αίτησής της για υπηρεσία απασχόλησης σε καθήκοντα, για τα οποία δεν απαιτείται καθημερινή επαφή με κοινό (back office) από τη διευθύντριά της Γ. Ότι τον … του … όταν η Πρόεδρος του καταγγελλομένου θέλησε να επανεξετάσει το δικαίωμα της συζύγου του καταγγέλλοντα για υπηρεσία απασχόλησης σε καθήκοντα, για τα οποία δεν απαιτείται καθημερινή επαφή με κοινό (back office), διαπιστώθηκε η απώλεια των ιατρικών γνωματεύσεων, καθώς και ότι οι εμπλεκόμενες υπάλληλοι κλήθηκαν σε απολογία στο πλαίσιο της Προκαταρκτικής Εξέτασης από την ίδια την Πρόεδρο του καταγγελλομένου και δυο εξ αυτών κατέθεσαν υπομνήματα. Τέλος, υποστήριξε ότι με το υπ’ αριθμ. πρωτ. … έγγραφό της, η Πρόεδρος του καταγγελλομένου επέβαλε την ποινή της έγγραφης επίπληξης στη … υπάλληλο Δ και στην Αν. Δ/ντρια … Γ για το πειθαρχικό παράπτωμα της απλής αμέλειας, αναγνωρίζοντας και στις δυο το ελαφρυντικό του πολύ μικρού χρονικού διαστήματος που υπηρετούσαν στις αντίστοιχες θέσεις. Σημειώνεται δε, ότι η πειθαρχική ποινή που επιβλήθηκε στην υπάλληλο Δ αφορούσε την παράλειψή της να κρατήσει αντίγραφα των συνημμένων στην αίτηση εγγράφων, ενώ η πειθαρχική ποινή που επιβλήθηκε στην υπάλληλο Γ αφορούσε την χορήγηση προφορικής εντολής για εργασία απασχόλησης σε καθήκοντα, για τα οποία δεν απαιτείται καθημερινή επαφή με κοινό (back office), χωρίς να ληφθεί κάποια σχετική απόφαση της Δ/σης Δ/κού. Η Αρχή κάλεσε με τις με αριθ. πρωτ Γ/ΕΞ/425/15-02-2022 και Γ/ΕΞ/426/15-022022 κλήσεις της αμφότερα τα μέρη σε ακρόαση, μέσω τηλεδιάσκεψης, ώστε να ακουστούν στην από 23-02-2022 συνεδρίαση του αρμόδιου Τμήματος, δίδοντας προθεσμία προσκομίσεως τυχόν υπομνημάτων προς περαιτέρω υποστήριξη των ισχυρισμών τους μέχρι τις 11-03-2022, η οποία παρατάθηκε κατόπιν αιτήματος του καταγγελλομένου έως τις 22-03-

1. Στην ως άνω συνεδρίαση παραστάθηκαν ο μεν καταγγέλλων αυτοπροσώπως, και εκ μέρους του καταγγελλομένου ο πληρεξούσιος δικηγόρος κος Χρήστος Φωτιάδης, …, και, για την περίπτωση που παρίστατο ανάγκη 4 περαιτέρω διευκρινίσεων, η κα Αλεξάνδρα Ποϊραζίδου, Πρόεδρος Δ.Σ και η Ε, Αναπληρώτρια Προϊσταμένη … . Ακολούθως, αμφότερα τα εμπλεκόμενα μέρη υπέβαλαν εμπροθέσμως τα υπομνήματά τους. Ειδικότερα: Ο καταγγέλλων στο υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/3786/09-03-2022 έγγραφο υπόμνημά του αναφέρει ότι σύμφωνα με τα άρθρα 4 και 8 του ΠΔ 480/1985, τα έγγραφα που αναφέρονται ως συνημμένα σε κάθε κύριο έγγραφο ακολουθούν το χρόνο διατήρησης του κύριου εγγράφου και ότι στο σώμα του κύριου εγγράφου αναγράφεται ο χρόνος καταστροφής, ο οποίος τοποθετείται μετά την πάροδο τριετίας. Επίσης, ότι οι παράνομες πράξεις του καταγγελλομένου δεν συνιστούν μεμονωμένο ή τυχαίο γεγονός, διότι -όπως ισχυρίζεται- περιγράφονται ως πάγια τακτική της Διοίκησης του Πολυκοινωνικού. Επικαλείται περαιτέρω ότι το καταγγελλόμενο προβάλλει οψίμως τον ισχυρισμό περί καταστροφής των δυο ιατρικών γνωματεύσεων και επισημαίνει ότι το καταγγελλόμενο παρέλειψε να συντάξει το απαιτούμενο πρωτόκολλο καταστροφής και δεν τήρησε την αυστηρή διαδικασία για τα έγγραφα που διέπονται από ειδικό απόρρητο. Προσθέτει δε, ότι δεν είναι δικαιολογημένη τυχόν πρόωρη καταστροφή τους, δεδομένου ότι οι δυο αυτές ιατρικές γνωματεύσεις αποτελούσαν τη νομιμοποιητική βάση για την απασχόληση της συζύγου του σε καθήκοντα, για τα οποία δεν απαιτείται καθημερινή επαφή με κοινό («back office») και θα χρησίμευαν σε ενδεχόμενο έλεγχο, δεδομένου ότι κατά το κρίσιμο χρονικό διάστημα όλοι οι υπάλληλοι, και αυτοί που είχαν τοποθετηθεί σε απασχόληση σε καθήκοντα, για τα οποία δεν απαιτείται καθημερινή επαφή με κοινό (back office), καταγράφονταν στην ηλεκτρονική εφαρμογή «παρουσιολόγιο», σύμφωνα με εγκύκλιο του ΥΠΕΣ. Τέλος, αναφέρει ότι η Πρόεδρος του καταγγελλομένου εξέδωσε το με αρ. πρωτ. … έγγραφό της προσχηματικά -καθώς δεν υπήρχε λόγος επανεξέτασης της αίτησης της συζύγου του, δεδομένου ότι οι ιατρικές γνωματεύσεις αφορούσαν μη μεταβλητές καταστάσεις της υγείας τουακόμα όμως, και εάν ήθελε υποτεθεί ότι πράγματι ανάγεται στα καθήκοντα της προϊσταμένης να αναζητά οποτεδήποτε από την υπάλληλο τα δικαιολογητικά που πιστοποιούν ένα γεγονός, μόνο τυχαία δεν μπορεί να θεωρηθεί η έκδοση του ανωτέρω εγγράφου, αφού αυτό εκδόθηκε μόλις τέσσερις ημέρες μετά την προφορική ενημέρωση της συζύγου του ότι οι γνωματεύσεις αυτές είχαν απωλεσθεί. 5 Αποτέλεσμα όλων των ανωτέρω, κατά τους ισχυρισμούς του, είναι τα ευαίσθητα προσωπικά δεδομένα του να έχουν εκφύγει από τον έλεγχο των υπεύθυνων επεξεργασίας. Τέλος, ο καταγγέλλων υπέβαλε τόσο εγγράφως, όσο και προφορικά προς την Αρχή αίτημα χορήγησης αντιγράφων όλων των εγγράφων της υπόθεσης, μεταξύ των οποίων και των εγγράφων που σχετίζονται με την διενέργεια της Ένορκης Διοικητικής Εξέτασης (ΕΔΕ). Το δε, καταγγελλόμενο νομικό πρόσωπο στο με αριθμ. πρωτ. Γ/ΕΙΣ/4740/18-032022 έγγραφο υπόμνημά του αναφέρει ότι «η πάγια τακτική του είναι η καταστροφή των εγγράφων και των δεδομένων που περιέχονται σε αυτά, όσων δεν είναι χρήσιμα και απαραίτητα για την λειτουργία των υπηρεσιών του, σύμφωνα με τον νόμο». Επίσης, ότι τόσο οι αιτήσεις όσο και οι εγκρίσεις δεν καταχωρούνταν στον υπηρεσιακό φάκελο του κάθε εργαζομένου, λόγω της ιδιαιτερότητας της κατάστασης που επικρατούσε εκείνη την περίοδο λόγω covid (μειωμένο προσωπικό) και ότι μετά την έγκριση της αιτήσεως της συζύγου του καταγγέλλοντα, δεν κρίθηκε απαραίτητο από την υπηρεσία να κρατηθούν οι ιατρικές γνωματεύσεις που δεν αφορούσαν την ίδια την εργαζόμενη, αλλά συγγενικό της πρόσωπο. Ισχυρίζεται, δε, το καταγγελλόμενο ότι δεν δόθηκαν αντίγραφα των επίμαχων ιατρικών εγγράφων στον καταγγέλλοντα για τον λόγο ότι αυτά είχαν καταστραφεί. Το καταγγελλόμενο μάλιστα, επισημαίνει ότι ουδέποτε διαπιστώθηκε, ούτε υπήρξε προηγούμενη περίπτωση παραβίασης με οποιονδήποτε τρόπο της νομοθεσίας περί προστασίας των προσωπικών δεδομένων, ότι, ακόμα και εάν ήθελε θεωρηθεί ότι υπάρχει παραβίαση νόμου από την «απώλεια-καταστροφή» των προσωπικών δεδομένων του καταγγέλλοντα, η ενημέρωσή του υπήρξε άμεση, καθώς και ότι με την επιβολή των σχετικών πειθαρχικών ποινών στις εμπλεκόμενες υπαλλήλους το καταγγελλόμενο θεωρεί ότι δεν θα επαναληφθεί κάτι αντίστοιχο στο μέλλον. Τέλος, σχετικά με το αίτημα του καταγγέλλοντα προς την Αρχή για χορήγηση αντιγράφων των εγγράφων του φακέλου της υπόθεσης, μεταξύ των οποίων και της διοικητικής διαδικασίας (ΕΔΕ) που κινήθηκε, το καταγγελλόμενο επικαλείται αναρμοδιότητα της Αρχής να αποφασίσει για το εν λόγω αίτημα, με το επιχείρημα ότι δεν μπορεί να θεωρηθεί αυτό ως αίτημα άσκησης του δικαιώματος πρόσβασης του υποκειμένου των δεδομένων λόγω του ότι τα έγγραφα αυτά δεν συνιστούν προσωπικά δεδομένα, στα οποία μπορεί να έχει πρόσβαση ο κάθε ενδιαφερόμενος. 6 Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου και αφού άκουσε την εισηγήτρια και την βοηθό εισηγήτριας, η οποία βοηθός εισηγήτριας αποχώρησε μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
2. Σύμφωνα με τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (ΕΕ) 2016/679 (ΓΚΠΔ) και του άρθρου 9 του ν. 4624/2019 (ΦΕΚ Α΄ 137), η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
3. Περαιτέρω, σύμφωνα με το άρθρο 4 στοιχ. 2 ΓΚΠΔ ως επεξεργασία δεδομένων προσωπικού χαρακτήρα μεταξύ άλλων νοείται και «η διάδοση ή κάθε άλλης μορφής διάθεση των δεδομένων προσωπικού χαρακτήρα», στο δε στοιχ. 7 του ιδίου άρθρου του ΓΚΠΔ, ως υπεύθυνος επεξεργασίας ορίζεται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους». Επίσης, στο στοιχ. 12 του ιδίου ως άνω άρθρου παραβίαση δεδομένων προσωπικού χαρακτήρα είναι η «παραβίαση ασφαλείας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία».
4. Επιπλέον, στο άρ. 5 παρ. 1 περ. στ΄ του ΓΚΠΔ ορίζεται ότι: «Τα δεδομένα προσωπικού χαρακτήρα: (…) στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)». 7
5. Κατά δε το άρθρο 5 παρ. 2 «Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Σύμφωνα με την αρχή της λογοδοσίας 2, την οποία εισάγει ο ΓΚΠΔ στο εν λόγω άρθρο, ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του άρθρου 5 του ΓΚΠΔ. Όπως προκύπτει από τη διάταξη αυτή, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό μέγεθος του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει από μόνος του και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ. H υποχρέωση λογοδοσίας είναι, κατά συνέπεια, ένας μηχανισμός εγγύησης της τήρησης των αρχών που διέπουν την επεξεργασία προσωπικών δεδομένων. Ακόμα, ο υπεύθυνος επεξεργασίας υποχρεούται, με βάση την αρχή της λογοδοσίας, να επιλέξει την κατάλληλη νομική βάση και να τεκμηριώσει νομικά μια επεξεργασία που διενεργεί σύμφωνα με τις νομικές βάσεις που του παρέχει ο ΓΚΠΔ και το εθνικό δίκαιο προστασίας δεδομένων. Έτσι, συνιστά υποχρέωση του υπευθύνου επεξεργασίας, αφενός να λαμβάνει από μόνος του τα αναγκαία μέτρα προκειμένου να συμμορφώνεται προς τις απαιτήσεις του ΓΚΠΔ, αφετέρου να αποδεικνύει ανά πάσα στιγμή την ανωτέρω συμμόρφωσή του, χωρίς μάλιστα να απαιτείται η Αρχή, στο πλαίσιο άσκησης των ερευνητικών-ελεγκτικών εξουσιών της, να υποβάλλει επιμέρους εξειδικευμένα ερωτήματα και αιτήματα προς διαπίστωση της συμμόρφωσης. Η εισαγωγή της αρχής της λογοδοσίας μετατοπίζει το «βάρος της απόδειξης», όσον αφορά τη νομιμότητα της επεξεργασίας και τη συμμόρφωση με τον ΓΚΠΔ, από τις αρχές προστασίας δεδομένων στους ίδιους τους υπευθύνους επεξεργασίας ή τους εκτελούντες. Επισημαίνεται δε, ότι η λήψη κατάλληλων τεχνικών και οργανωτικών μέτρων για την εφαρμογή της λογοδοσίας συνεκτιμάται Για περισσότερες πληροφορίες σχετικά https://www.dpa.gr/el/foreis/arxi_logodosias. 2 με την αρχή της λογοδοσίας: 8 κατά τη λήψη απόφασης σχετικά με την επιβολή διοικητικού προστίμου, καθώς και σχετικά με το ύψος αυτού.
6. Στο άρθρο 9 ΓΚΠΔ (Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα) αναφέρεται ότι: «
7. Απαγορεύεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα (…) που αφορούν την υγεία (…).
8. Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις: α) το υποκείμενο των δεδομένων έχει παράσχει ρητή συγκατάθεση για την επεξεργασία αυτών των δεδομένων προσωπικού χαρακτήρα για έναν ή περισσότερους συγκεκριμένους σκοπούς, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους προβλέπει ότι η απαγόρευση που αναφέρεται στην παράγραφο 1 δεν μπορεί να αρθεί από το υποκείμενο των δεδομένων».
9. Περαιτέρω, στο άρθρο 32 ΓΚΠΔ (ασφάλεια επεξεργασίας) ορίζεται ότι «
10. Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, περιλαμβανομένων, μεταξύ άλλων, κατά περίπτωση: (…) α) της ψευδωνυμοποίησης και της κρυπτογράφησης δεδομένων προσωπικού χαρακτήρα, β) της δυνατότητας διασφάλισης του απορρήτου, της ακεραιότητας, της διαθεσιμότητας και της αξιοπιστίας των συστημάτων και των υπηρεσιών επεξεργασίας σε συνεχή βάση, γ) της δυνατότητας αποκατάστασης της διαθεσιμότητας και της πρόσβασης σε δεδομένα προσωπικού χαρακτήρα σε εύθετο χρόνο σε περίπτωση φυσικού ή τεχνικού συμβάντος, δ) διαδικασίας για την τακτική δοκιμή, εκτίμηση και αξιολόγηση της αποτελεσματικότητας των τεχνικών και των οργανωτικών μέτρων για τη διασφάλιση της ασφάλειας της επεξεργασίας.
11. Κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία. (…).». 9
12. Κατά δε, το άρθρο 15 παρ. 1 ΓΚΠΔ «το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία (…), ενώ στην παρ. 2 του ιδίου άρθρου αναφέρεται ότι «ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία».
13. Επιπλέον, σύμφωνα με το άρθρο 37 παρ. 1 του ΓΚΠΔ, «ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία ορίζουν υπεύθυνο προστασίας δεδομένων σε κάθε περίπτωση στην οποία: α) η επεξεργασία διενεργείται από δημόσια αρχή ή φορέα (…)». Περαιτέρω, στην παρ. 7 του ιδίου ως άνω άρθρου, αναφέρεται ότι ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία δημοσιεύουν τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων και τα ανακοινώνουν στην εποπτική αρχή.
14. Τέλος, σύμφωνα με το άρθρο 6 παρ. 5 του Κανονισμού Λειτουργίας της Αρχής: «Προσκομιζόμενα στην Αρχή στοιχεία από οποιοδήποτε μέρος σε υποθέσεις καταγγελιών μπορούν να κοινοποιηθούν στα λοιπά εμπλεκόμενα μέρη, με εξαίρεση απόρρητα στοιχεία ή αν συντρέχει περίπτωση διαφύλαξης υπέρτερων εννόμων συμφερόντων τρίτων προσώπων ή αν η χορήγηση στοιχείων μπορεί να δυσχεράνει ουσιωδώς την έρευνα διοικητικών, δικαστικών, αστυνομικών ή στρατιωτικών αρχών.»
15. Στη συγκεκριμένη περίπτωση, προκύπτει ότι οι δυο επίμαχες ιατρικές γνωματεύσεις περιείχαν δεδομένα προσωπικού χαρακτήρα και μάλιστα, μεταξύ άλλων, και δεδομένα προσωπικού χαρακτήρα ειδικών κατηγοριών (άρθρο 9 ΓΚΠΔ). Τα δεδομένα αυτά αφορούσαν ειδικότερα την υγεία του καταγγέλλοντα και σχετίζονταν με τη σωματική του υγεία, αποκάλυπταν δε πληροφορίες σχετικά με την κατάσταση της υγείας του, με αναφορά στο ιατρικό ιστορικό του και τη νόσο από την οποία πάσχει, πληροφορίες που αφορούν ταυτοποιήσιμο φυσικό πρόσωπο (τον καταγγέλλοντα), η ταυτότητα του οποίου μπορεί να εξακριβωθεί άμεσα (άρθρο 4, περ. 1 ΓΚΠΔ). Παράλληλα το καταγγελλόμενο νομικό πρόσωπο δημοσίου δικαίου έχει την ιδιότητα του υπευθύνου επεξεργασίας, κατά το άρθρο 4 παρ. 7 ΓΚΠ∆, δεδομένου ότι μόνο καθορίζει τους σκοπούς και τον τρόπο επεξεργασίας δεδομένων προσωπικού χαρακτήρα, που είναι εν προκειμένω η εξέταση -διά της υποβληθείσας αιτήσεως της συζύγου του καταγγέλλοντα και καταχώρησης αυτής σε αρχείο, στην 10 οποία συμπεριλαμβάνονται και τα συνημμένα σε αυτήν έγγραφα- της δυνατότητας απασχόλησής της σε καθήκοντα, για τα οποία δεν απαιτείται καθημερινή επαφή με το κοινό (“back office”). Αυτό άλλωστε, προκύπτει και από όσα αναφέρονται στα προσκομισθέντα από το καταγγελλόμενο έγγραφα, αλλά και βάσει της σχετικής πληροφόρησης που παρείχε το τελευταίο στην Αρχή. Με την ιδιότητα αυτή επομένως, του υπευθύνου επεξεργασίας, το καταγγελλόμενο, οφείλει να προβαίνει σε επεξεργασία σύμφωνη με το γενικότερο πνεύμα του ΓΚΠΔ, καθώς επίσης και να τηρεί τις αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα (άρθρο 5 ΓΚΠΔ), αλλά και τις λοιπές υποχρεώσεις που αυτός επιβάλλει στους υπευθύνους επεξεργασίας.
16. Αναφορικά με το υπό εξέταση περιστατικό παραβίασης δεδομένων, προκύπτει ότι έλαβε χώρα απώλεια των δυο ιατρικών γνωματεύσεων. Αυτό συνομολογεί το ίδιο το καταγγελλόμενο i) στην με αρ. πρωτ. Γ/ΕΙΣ/6533/11-10-2021 έγγραφη απάντησή του προς την Αρχή 3, όπου αναφέρεται επί λέξει ότι: «Τον … του … όταν η Πρόεδρος του Ν.Π θέλησε να επανεξετάσει το δικαίωμα της Β για back office υπηρεσία, διαπιστώθηκε η απώλεια των ιατρικών γνωματεύσεων», αλλά και ii) στο με αρ. πρωτ. … έγγραφο του καταγγελλομένου προς την Αποκεντρωμένη Διοίκηση …, όπου αναφέρεται επί λέξει ότι: «Η διαπίστωση της απώλειας των συνημμένων ιατρικών γνωματεύσεων προέκυψε όταν η Πρόεδρος του Ν.Π το … του … ζήτησε από την Β εκ νέου τα έγγραφα που αιτιολογούν την back office υπηρεσία». Η απώλεια των επίμαχων εγγράφων ήταν άλλωστε η αιτία που η Πρόεδρος του καταγγελλομένου κα Ποϊραζίδου ζήτησε με το υπ’ αρ. … έγγραφό της από την σύζυγο του καταγγέλλοντα να προσκομίσει τα έγγραφα αυτά, καθώς έπρεπε να τοποθετηθούν εκ νέου εντός του υπηρεσιακού φακέλου της ως απαραίτητα έγγραφα που θεμελίωναν και δικαιολογούσαν την τοποθέτησή της στην συγκεκριμένη θέση απασχόλησης και υποχρεωτικώς έπρεπε να συνοδεύουν την υποβληθείσα αίτησή της.
17. Περαιτέρω δε, προέκυψε ότι ο ισχυρισμός του καταγγελλομένου περί καταστροφής των επίμαχων ιατρικών γνωματεύσεων, προβλήθηκε το πρώτον προφορικά κατά την συνεδρίαση, καθώς και με το έγγραφο υπόμνημά του, και δεν 3 Βλ. το με αρ. πρωτ. … έγγραφο του καταγγελλομένου. 11 είχε τεθεί σε κανένα προγενέστερο έγγραφο, και δη σε κανένα από τα δυο ως άνω έγγραφα της προδικασίας
18. Μάλιστα, η θέση του καταγγελλομένου, όπως αυτή διατυπώθηκε τόσο κατά την προδικασία, όσο και με το έγγραφο υπόμνημα που προσκόμισε ενώπιον της Αρχής μετά την περαίωση της ακροαματικής διαδικασίας, ενέχει πλείστες όσες αντιφάσεις, τις οποίες η Αρχή επισημαίνει, ως ακολούθως: α. Στην με αρ. πρωτ. … έγγραφη απάντησή του προς την Αρχή, το καταγγελλόμενο ισχυρίζεται ότι διαπιστώθηκε η απώλεια των εγγράφων όταν η Πρόεδρός του θέλησε να «επανεξετάσει» το δικαίωμα της συζύγου του καταγγέλλοντα, ισχυρισμός που όμως, έρχεται σε αντίφαση με τον μεταγενεστέρως προβαλλόμενο στο υπόμνημα ισχυρισμό, όπου το καταγγελλόμενο ισχυρίζεται ότι «Λόγω της ιδιαιτερότητας της κατάστασης που επικρατούσε εκείνη την περίοδο λόγω covid (μειωμένο προσωπικό), και επειδή οι άδειες για εργασία back office δεν ήταν άδειες αποχής από την εργασία, αλλά εργασία σε γραφεία χωρίς πρόσβαση και επικοινωνία με το κοινό, χωρίς αυτό να αποτελεί υπηρεσιακή μεταβολή διότι δεν άλλαξε το αντικείμενο εργασίας τους, τόσο οι αιτήσεις όσο και οι εγκρίσεις δεν καταχωρούνταν στον υπηρεσιακό φάκελο του κάθε εργαζομένου. Με αυτό το δεδομένο, μετά την έγκριση της εργασίας με την μορφή back office δεν κρίθηκε απαραίτητο από την υπηρεσία να κρατηθούν οι ιατρικές γνωματεύσεις που δεν αφορούσαν την ίδια την εργαζόμενη αλλά συγγενικό πρόσωπό της. Για τον λόγο αυτό, όπως και κάθε άλλο έγγραφο το οποίο δεν απαιτείται να διατηρείται στην υπηρεσία καταστράφηκαν». Πλην όμως, ο τελευταίος αυτός ισχυρισμός, σύμφωνα με τον οποίο κατά το κρίσιμο χρονικό διάστημα οι αιτήσεις των εργαζομένων εξετάζονταν άπαξ, καθώς δεν καταχωρούνταν καν στον υπηρεσιακό φάκελο του εκάστοτε εργαζομένου, έρχεται σε αντίφαση με τον αρχικώς προβληθέντα ισχυρισμό περί δυνατότητας επανεξέτασης των αιτήσεων. β. Ακόμη όμως, και εάν ο ανωτέρω ισχυρισμός του καταγγελλομένου περί καταστροφής των επίμαχων γνωματεύσεων μπορούσε να θεωρηθεί αληθής, κάτι που εν προκειμένω ουδόλως αποδεικνύεται, δεδομένου ότι δεν προσκομίζεται από την πλευρά του καταγγελλομένου πρωτόκολλο καταστροφής ή άλλο παρεμφερές Ο ισχυρισμός αυτός δεν αναφέρεται στην με αρ. πρωτ. … απάντηση του καταγγελλομένου στο έγγραφο διευκρινίσεων που του απέστειλε η Αρχή , καθώς και δεν αναφέρεται στο με αρ. πρωτ. … έγγραφο του καταγγελλομένου προς την Αποκεντρωμένη Διοίκηση … . 4 12 αποδεικτικό έγγραφο 5, και δεδομένου ότι η Πρόεδρος του καταγγελλομένου είχε, όπως προεκτέθηκε, την δυνατότητα οποιαδήποτε στιγμή να επανεξετάσει το δικαίωμα της συζύγου του καταγγέλλοντα για την απασχόληση σε καθήκοντα, για τα οποία δεν απαιτείται καθημερινή επαφή με κοινό (back office), προκύπτει και πάλι ότι οι επίμαχες ιατρικές γνωματεύσεις, θα ήταν χρήσιμες στην περίπτωση επανεξέτασης και για τον λόγο αυτόν έπρεπε να διατηρηθούν στον υπηρεσιακό φάκελο της υπαλλήλου, μαζί με την αίτησή της, ως έγγραφα που αποδείκνυαν και θεμελίωναν το ανωτέρω δικαίωμά της, ζήτημα που σχετίζεται με την λειτουργία των υπηρεσιών του καταγγελλομένου, και όχι να καταστραφούν, καθότι εξάλλου, πάγια τακτική του καταγγελλομένου –σύμφωνα με τα όσα το ίδιο ισχυρίζεται– είναι να καταστρέφονται μόνον όσα έγγραφα δεν είναι χρήσιμα και απαραίτητα για την λειτουργία των υπηρεσιών του. γ. Τέλος, διαπιστώνεται λογική ανακολουθία μεταξύ των όσων ισχυρίζεται το καταγγελλόμενο σχετικά αφενός, με την διαχείριση της αίτησης της συζύγου του καταγγέλλοντα, η οποία, κατά τους ισχυρισμούς του, δεν καταχωρήθηκε στον υπηρεσιακό της φάκελο, ενώ οι συνημμένες σε αυτήν ιατρικές γνωματεύσεις καταστράφηκαν, καθώς δεν απαιτείτο να διατηρούνται στην υπηρεσία 6 και της πειθαρχικής, αφετέρου, ποινής που επιβλήθηκε στην υπάλληλο Δ, με την αιτιολογία ότι αυτή παρέλειψε να κρατήσει αντίγραφα των συνημμένων στην αίτηση ιατρικών γνωματεύσεων. Γίνεται εν προκειμένω, δεκτό ότι η επιβολή της πειθαρχικής ποινής με την συγκεκριμένη αιτιολογία καταδεικνύει προφανώς ότι οι ήδη απωλεσθείσες ιατρικές γνωματεύσεις έπρεπε να διατηρηθούν στην υπηρεσία, ο περί του αντιθέτου μάλιστα, ισχυρισμός του καταγγελλομένου για την καταστροφή των εν λόγω γνωματεύσεων στερείται λογικού ερείσματος, προβάλλεται εκ των υστέρων, όλως προσχηματικά, και ως εκ τούτου τυγχάνει απορριπτέος.
19. Κατόπιν όλων των ανωτέρω προκύπτουν τα ακόλουθα συμπεράσματα: Σύμφωνα και με την Οδηγία της Αρχής με αρ. 1/2005 για την ασφαλή καταστροφή των προσωπικών δεδομένων μετά το πέρας της περιόδου που απαιτείται για την πραγματοποίηση του σκοπού της επεξεργασίας. 6 Βλ. τον ισχυρισμό του καταγγελλομένου στο με αριθμ. πρωτ. … έγγραφο που εστάλη ως απάντηση στο έγγραφο παροχής εξηγήσεων της Αρχής: «Με αυτό το δεδομένο, μετά την έγκριση της εργασίας με την μορφή back office δεν κρίθηκε απαραίτητο από την υπηρεσία να κρατηθούν οι ιατρικές γνωματεύσεις που δεν αφορούσαν την ίδια την εργαζόμενη αλλά συγγενικό πρόσωπό της. Για τον λόγο αυτό, όπως και κάθε άλλο έγγραφο το οποίο δεν απαιτείται να διατηρείται στην υπηρεσία καταστράφηκαν». 5 13 Α) Η διαδικασία διαχείρισης, από την πλευρά του καταγγελλομένου, αιτήσεων που περιέχουν και προσωπικά δεδομένα ειδικών κατηγοριών δεν ανταποκρίνεται στο επίπεδο προστασίας του ΓΚΠΔ και στο γενικότερο πνεύμα του, ειδικά στην αρχή της λογοδοσίας. Επίσης, δεν ελήφθησαν υπόψιν κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφαλείας οι κίνδυνοι που απορρέουν από τη συγκεκριμένη επεξεργασία από τυχαία ή παράνομη απώλεια, Β) Έτι περαιτέρω, δεν είχαν ληφθεί κατάλληλα τεχνικά και οργανωτικά μέτρα (άρθρο 32 ΓΚΠΔ) κατά την επεξεργασία των δεδομένων του καταγγέλλοντα, προκειμένου να επιτυγχάνεται η ασφάλεια των δεδομένων από απαγορευμένη διάδοση ή πρόσβαση, Γ) Ο δε ισχυρισμός του καταγγελλομένου ότι τα έγγραφα καταστράφηκαν, απορρίπτεται ως οψίμως προβληθείς, όλως προσχηματικός και αβάσιμος, δεδομένου μάλιστα ότι η τυχαία ή παράνομη «καταστροφή» και η «απώλεια» των δεδομένων διακρίνονται εννοιολογικά μεταξύ τους ως συνέπειες της παραβίασης ασφαλείας των δεδομένων (άρθρο 4 περ. 12 ΓΚΠΔ), και στην περίπτωση που συντρέχει η πρώτη, αποκλείεται η δεύτερη, ενώ ο όρος «καταστροφή» μπορεί να αφορά και την τύχη των δεδομένων μετά την λήξη του χρόνου τήρησης. Μάλιστα, το καταγγελλόμενο κάνει στο υπόμνημά του χρήση του όρου «απώλεια-καταστροφή», η οποία είναι ενδεικτική της παραδοχής εκ μέρους του ότι δεν έχει μέχρι και σήμερα σαφή εικόνα σχετικά με το τι απέγιναν τελικά οι επίμαχες ιατρικές γνωματεύσεις, Δ) Ο καταγγέλλων με την αίτησή του με αρ. πρωτ. … προς το καταγγελλόμενο για χορήγηση αντιγράφων των ιατρικών εγγράφων άσκησε το δικαίωμα πρόσβασης, το οποίο ωστόσο δεν ικανοποιήθηκε, λόγω της ήδη προηγηθείσας απώλειας των δεδομένων (ά. 15 ΓΚΠΔ), Ε) Κατόπιν σχετικής αναζήτησης στο μητρώο Υπευθύνων Προστασίας Δεδομένων που τηρεί η Αρχή, δεν βρέθηκε κατά την επίμαχη χρονική περίοδο ανακοίνωση στοιχείων επικοινωνίας του Υπεύθυνου Προστασίας Δεδομένων από το ως άνω καταγγελλόμενο, ως όφειλε σύμφωνα με το άρθρο 37 παρ. 1 και 7 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμός (ΕΕ) 2016/679 ΓΚΠΔ), ΣΤ) Τέλος, σχετικά με το αίτημα του καταγγέλλοντα να του κοινοποιηθούν τα έγγραφα που έχουν κατατεθεί από το καταγγελλόμενο στην Αρχή, όπως αυτό περιγράφεται στο υπόμνημά του, αλλά και στην με αρ. πρωτ. Γ/ΕΙΣ/2507/18-02-2022 14 αίτησή του προς την Αρχή, η Αρχή δέχεται εν μέρει το εν λόγω αίτημα και αποφαίνεται να χορηγηθούν στον καταγγέλλοντα η απάντηση του καταγγελλομένου στο έγγραφο διευκρινίσεων της Αρχής με αρ. πρωτ. ..., καθώς και το με αρ. πρωτ. Γ/ΕΙΣ/4740/18-03-2022 υπόμνημα του καταγγελλομένου, και να μην χορηγηθούν τα υπόλοιπα έγγραφα που αφορούν την διαδικασία της ΕΔΕ, κάποια εκ των οποίων έχουν χαρακτηρισθεί ως εμπιστευτικά από τα διοικητικά όργανα που τα εξέδωσαν, λόγω του ότι εμπεριέχουν στοιχεία και προσωπικά δεδομένα τρίτων προσώπων, τα οποία θεωρούνται απόρρητα (βλ. και άρθρο 6 παρ. 5 του Κανονισμού Λειτουργίας της Αρχής). Τέλος, απορριπτομένου και του σχετικού ισχυρισμού του καταγγελλομένου περί καταστροφής των επίμαχων γνωματεύσεων, σύμφωνα με τα ανωτέρω, παρέλκει η εξέταση των ισχυρισμών του καταγγέλλοντα αναφορικά με τον χρόνο τήρησης και καταστροφής των ιατρικών γνωματεύσεων.
20. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις.
21. Η Αρχή κρίνει περαιτέρω ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ΄ του ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς.
22. Περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, τις παραγράφους 4 και 5 του ίδιου άρθρου που έχουν εφαρμογή στην παρούσα υπόθεση, το άρθρο 39 παρ. 1 και 2 του ν. 4624/2019 που αφορά την επιβολή διοικητικών κυρώσεων στους φορείς του δημόσιου τομέα, και τις Κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679 που εκδόθηκαν στις 03-10-2017 από την Ομάδα Εργασίας του άρθρου 29 (WP 253)8, καθώς και τα πραγματικά περιστατικά και όλες τις επιμέρους περιστάσεις της εξεταζόμενης υπόθεσης και ιδίως: i) το γεγονός ότι από το περιστατικό παραβίασης δεν προέκυψε και διαρροή δεδομένων υγείας του θιγόμενου προσώπου σε τρίτο πρόσωπο, 15 ii) το γεγονός ότι η εν λόγω παράβαση συνιστά μεμονωμένο περιστατικό και έθιξε ένα μόνον υποκείμενο, δηλαδή τον καταγγέλλοντα, iii) το γεγονός ότι η εν λόγω παράβαση δεν οφείλεται σε δόλο του καταγγελλομένου iv) το γεγονός ότι ο υπεύθυνος επεξεργασίας δεν καθυστέρησε να ανταποκριθεί στα έγγραφα της Αρχής, v) το γεγονός ότι ο υπεύθυνος επεξεργασίας δεν έχει μέχρι και σήμερα σαφή εικόνα ως προς την πηγή του περιστατικού παραβίασης. Αναφέρει αρχικά ότι επρόκειτο για απώλεια εγγράφων, στη συνέχεια κάνει λόγο για καταστροφή, ενώ παράλληλα χρησιμοποιεί στο υπόμνημά του τον αμφίβολο όρο «απώλειακαταστροφή», και δεν δύναται μέχρι και σήμερα να παράσχει με βεβαιότητα σαφείς εξηγήσεις σχετικά με το τι απέγιναν τελικώς τα απωλεσθέντα έγγραφα, vi) το γεγονός ότι δεν έχει γίνει μέχρι και σήμερα ορισμός του ΥΠΔ από τον υπεύθυνο επεξεργασίας, με αποτέλεσμα, εκτός των άλλων, ο υπεύθυνος επεξεργασίας να έχει σημαντικό οικονομικό όφελος από την παραβίαση της σχετικής υποχρέωσής του, αν ληφθεί υπόψη το ύψος δαπάνης, την οποία θα επέσυρε ο έγκαιρος κατά το νόμο ορισμός ΥΠΔ, vii) το γεγονός ότι ο υπεύθυνος επεξεργασίας δεν πραγματοποίησε αμέσως ενέργειες για την αντιμετώπιση του περιστατικού, αλλά επιχείρησε να συγκαλύψει το περιστατικό της απώλειας, ζητώντας να προσκομισθούν εκ νέου τα απωλεσθέντα έγγραφα, και πολύ αργότερα, μετά από ενέργειες του ίδιου του καταγγέλλοντα προς την Αποκεντρωμένη Διοίκηση …, κίνησε την διαδικασία Ένορκης Διοικητικής Εξέτασης (ΕΔΕ) για την διερεύνηση του περιστατικού και την απόδοση ευθυνών στα εμπλεκόμενα πρόσωπα, viii) το γεγονός ότι δεν έχει διαπιστωθεί προηγούμενη αντίστοιχη παράβαση από τον υπεύθυνο επεξεργασίας, ix) το γεγονός ότι από τα στοιχεία που τέθηκαν υπόψιν της Αρχής και με βάση τα οποία διαπίστωσε τις ανωτέρω παραβιάσεις του ΓΚΠΔ, δεν προκύπτει ότι ο υπεύθυνος επεξεργασίας προκάλεσε, εκ του περιστατικού παραβίασης δεδομένων που έλαβε χώρα, υλική ζημία στο θιγόμενο πρόσωπο, x) Το γεγονός ότι η παράβαση των διατάξεων σχετικά με τα δικαιώματα των υποκειμένων υπάγεται, σύμφωνα με τις διατάξεις του άρθρου 83 παρ. 5 εδ. β’ ΓΚΠΔ, 16 στην ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης διοικητικών προστίμων.
23. Βάσει των ανωτέρω, η Αρχή αποφασίζει ομόφωνα ότι πρέπει να επιβληθούν στον καταγγελλόμενο υπεύθυνο επεξεργασίας οι αναφερόμενες στο διατακτικό διοικητικές κυρώσεις, οι οποίες κρίνονται ανάλογες με τη βαρύτητα των παραβάσεων. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, -Επιβάλλει στο νομικό πρόσωπο δημοσίου δικαίου με την επωνυμία «Κέντρο Κοινωνικής Προστασίας-Αλληλεγγύης, Αλεξανδρούπολης» με διακριτικό Παιδείας τίτλο και Περιβάλλοντος «Πολυκοινωνικό», ως Δήμου υπεύθυνο επεξεργασίας, το αποτελεσματικό, αναλογικό και αποτρεπτικό πρόστιμο που αρμόζει στη συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, συνολικού ύψους εννέα χιλιάδων ευρώ (9.000€), για τις ως άνω διαπιστωθείσες παραβάσεις και ειδικότερα πρόστιμο ύψους τριών χιλιάδων (3.000€) ευρώ για την παράβαση του άρθρου 15 του Κανονισμού (ΕΕ) 2016/679, πρόστιμο ύψους τριών χιλιάδων (3.000€) ευρώ για την παράβαση του άρθρου 32 του Κανονισμού (ΕΕ) 2016/679, και πρόστιμο ύψους τριών χιλιάδων (3.000€) ευρώ για την παράβαση του άρθρου 37 του Κανονισμού (ΕΕ) 2016/679, σύμφωνα και με το άρθρο 58 παρ. 2 θ΄ του ΓΚΠΔ σε συνδυασμό με το άρθρο 83 παρ. 4 και 5 του ΓΚΠΔ και τα άρθρα 39 παρ. 1 του ν. 4624/
24. -Απορρίπτει εν μέρει το αίτημα του καταγγέλλοντα περί χορήγησης εγγράφων και κάνει δεκτή την χορήγηση των αναφερόμενων στο διατακτικό εγγράφων. Ο Αναπληρωτής Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 17