Επιβολή προστίμου για παραβίαση της αρχής της διαφάνειας

(90)ημερών από την λήξη της σχέσης έμμισθης εντολής (…) και δεν τα διατηρούσε στο αρχείο της. Σε συνέχεια των ανωτέρω και λαμβάνοντας υπόψη τα νέα στοιχεία που προσκομίσθηκαν, η Αρχή, με τις με αριθ. πρωτ. Γ/ΕΞΕ/3257/17-09-2025 και Γ/ΕΞΕ/3269/18-09-2025 κλήσεις της, κάλεσε την αιτούσα και την εταιρεία Vodafone, αντίστοιχα σε ακρόαση ενώπιον της Ολομέλειας της Αρχής στις 30/09/2025, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση. Στην κλήση προς την Vodafone επισυνάφθηκε η ως άνω αίτηση θεραπείας με τα συνημμένα σε αυτή ανωτέρω νέα στοιχεία, προκειμένου να λάβει γνώση τους εν όψει της ακρόασης. Κατόπιν οίκοθεν αναβολής και νέας κλήσης των μερών, η ακρόαση έλαβε χώρα στις 14/10/2025, οπότε και χορηγήθηκε από την Αρχή προθεσμία μέχρι την 30/10/2025 για την κατάθεση υπομνημάτων. Με το με αριθ. πρωτ. Γ/ΕΙΣ/11013/30-10-2025 υπόμνημά της, που υποβλήθηκε στο πλαίσιο της ανωτέρω διαδικασίας, η Vodafone αρχικά επανέλαβε τους ισχυρισμούς που είχε προβάλει στο πλαίσιο εξέτασης της καταγγελίας, τονίζοντας ότι η καταγγέλλουσα ουδέποτε προέβη σε εξειδίκευση του αιτήματος πρόσβασής της όσον αφορά τα αιτούμενα μηνύματα ηλεκτρονικού ταχυδρομείου, ενώ όσον αφορά τα προσκομιζόμενα νέα στοιχεία ανέφερε τα εξής: Ότι όπως είχε τονίσει στο από 30/07/2021 υπόμνημά της, η ενέργεια διαγραφής του λογαριασμού ηλεκτρονικού ταχυδρομείου εργαζομένου, που αποχωρεί από την εταιρεία, δεν μπορεί να επεκταθεί σε τυχόν απεσταλμένα μηνύματα που είναι διάσπαρτα εντός και εκτός οργανισμού. Εν προκειμένω δε, η καταγγέλλουσα αποχώρησε στις … ενώ άσκησε δικαίωμα πρόσβασης στα δεδομένα των αλληλογραφιών της στις 04/12/2020, δηλαδή σχεδόν πέντε έτη αργότερα, υποβάλλοντας και καταγγελία κατά της εταιρείας, γεγονός που, κατά τη Vodafone, καθιστά την άσκηση των δικαιωμάτων της καταχρηστική. Η Vodafone επανέλαβε ότι ικανοποίησε το αίτημα πρόσβασης της καταγγέλλουσας, αποστέλλοντάς της όλα τα έγγραφα που διατηρούσε στα αρχεία της και περιείχαν προσωπικά δεδομένα της καταγγέλλουσας, ενώ σχετικά με τα προσκομισθέντα στο Μονομελές Πρωτοδικείο Αθηνών ηλεκτρονικά μηνύματα, υποστήριξε ότι δεν προέρχονταν από τον λογαριασμό ηλεκτρονικού ταχυδρομείου της καταγγέλλουσας αλλά από τον επαγγελματικό λογαριασμό του κ. B, ο οποίος κατά το χρονικό διάστημα απασχόλησης της καταγγέλλουσας στη Vodafone ήταν 3 προϊστάμενός της, ως επικεφαλής …, και στα εν λόγω μηνύματα περιλαμβανόταν είτε ως αποστολέας είτε ως παραλήπτης, λόγω της μεταξύ τους στενής συνεργασίας και επικοινωνίας. Περαιτέρω δε, σύμφωνα με τη Vodafone, κατά την αποχώρησή του από την εταιρεία το 2017 ο κ. B, ασκώντας δικαίωμα πρόσβασης στα προσωπικά του δεδομένα, έλαβε από την εταιρεία και διατήρησε σε προσωπικό του αρχείο, αρχεία και αλληλογραφία του ιδίου με εργαζομένους της Vodafone, τα οποία αρχειοθετούσε κατά την απασχόλησή του ως επικεφαλής …, μεταξύ των οποίων συμπεριλαμβανόταν και η υπό κρίση αλληλογραφία με την καταγγέλλουσα. Στο πλαίσιο αυτό, αφού ενημερώθηκε για την αγωγή της τελευταίας κατά της Vodafone και αφού κλήθηκε για την παροχή ένορκης βεβαίωσης, ο κ. B, με σκοπό να επιβεβαιώσει όσα ενόρκως κατέθεσε και για την προάσπιση των εννόμων συμφερόντων του, προσκόμισε την εν λόγω αλληλογραφία στην εταιρεία, την οποία η Vodafone με τη σειρά της προσκόμισε ενώπιον του δικαστηρίου. Σύμφωνα με τη Vodafone, ο κ. B επέλεξε ο ίδιος προσωπικά τα έγγραφα που επιθυμούσε να λάβει από το προσωπικό του αρχείο, που διατηρούσε ως επικεφαλής …, τα οποία κατά την κρίση του ήταν αναγκαία για την προστασία των εννόμων συμφερόντων του, σε περίπτωση οιασδήποτε μελλοντικής αμφισβήτησης σχετικά με υποθέσεις που χειρίστηκε ή/και οποιασδήποτε προσωπικής εμπλοκής του σε τυχόν μελλοντικές διενέξεις, καθώς επιθυμούσε να διαφυλάξει αποδείξεις που μπορεί να τον αφορούσαν σχετικά με τη διαχείριση υποθέσεων της εταιρείας από τον ίδιο, διαφυλάσσοντας με τον τρόπο αυτό τα έννομα συμφέροντά του. Το σύνολο της εν λόγω αλληλογραφίας, σύμφωνα με τη Vodafone, δεν βρέθηκε κατά την έρευνά της για την ικανοποίηση του δικαιώματος πρόσβασης της καταγγέλλουσας, καθώς, όπως υποστηρίζει, κατά τον χρόνο του αιτήματος (4-12-2020) ο λογαριασμός της είχε διαγραφεί προ ετών, ενώ δεν εξειδίκευσε και ποιες αλληλογραφίες ζητούσε ώστε να μπορεί η Vodafone να αναζητήσει αλληλογραφίες, στις οποίες εμπλέκονται και άλλα μέλη του […] τμήματος ή της εταιρείας γενικότερα. Αντίθετα, κατά τη συγκέντρωση όλων των σχετικών εγγράφων από πλευράς Vodafone, προς αντίκρουση της αγωγής της καταγγέλλουσας και κατόπιν επικοινωνίας με τον κ. B για τη λήψη ένορκης βεβαίωσης για τη χρήση της στο δικαστήριο, ο τελευταίος ενημέρωσε την εταιρεία ότι διατηρούσε κάποιες αλληλογραφίες από το διάστημα που εργαζόταν παράλληλα με την καταγγέλλουσα στην εταιρεία, με αποτέλεσμα να τις προσκομίσει τελικά η Vodafone ενώπιον του 4 Δικαστηρίου. Θα ήταν δε παράλογο, όπως αναφέρει, να απέκρυπτε δολίως τα εν λόγω έγγραφα, καθώς, όπως αποδείχθηκε, ήταν δυσμενή για την καταγγέλλουσα και αν η Vodafone γνώριζε την ύπαρξή τους κατά την άσκηση του δικαιώματος πρόσβασης θα της τα χορηγούσε. Όσον αφορά δε την έλλειψη ενημέρωσης της καταγγέλλουσας ως υποκειμένου, η Vodafone υποστηρίζει ότι οι αλληλογραφίες αυτές δόθηκαν στις 12-12-2022 στο πλαίσιο της ένορκης κατάθεσης του κ. B, και η καταγγέλλουσα έλαβε γνώση αυτών σε πολύ σύντομο χρονικό διάστημα, αφού παρέλαβε αντίγραφο των προτάσεων της Vodafone και των προσκομιζόμενων σχετικών στις 13-12-2022, και για τον λόγο αυτό δεν την ενημέρωσε. Συμπερασματικά, σύμφωνα με τη Vodafone, η λήψη αντιγράφων αλληλογραφίας από τον κ. B αφορούσε αποκλειστικά αλληλογραφία της οποίας ο ίδιος ήταν αποδέκτης ή αποστολέας. Τονίζεται δε ότι η εν λόγω διαβίβαση προς ικανοποίηση δικαιώματος πρόσβασης έλαβε χώρα το έτος 2017, πριν τεθεί σε ισχύ ο ΓΚΠΔ, ενώ έκτοτε τα μέτρα ασφαλείας και οι πολιτικές της εταιρείας έχουν επικαιροποιηθεί και αυστηροποιηθεί, με αποτέλεσμα η άσκηση του δικαιώματος πρόσβασης να προϋποθέτει την τήρηση αυστηρών και καταγεγραμμένων διαδικασιών, η δε λήψη αντιγράφων αλληλογραφίας ή άλλων αρχείων να είναι τεχνικά ανέφικτη για τους εργαζομένους εάν δεν καταγραφεί αίτημα του υποκειμένου και δεν υπάρξει αντίστοιχη έγγραφη έγκριση του αιτήματος ώστε να δημιουργηθεί αντίγραφο των αιτούμενων αρχείων. Η καταγγέλλουσα, με το με αριθ. πρωτ. Γ/ΕΙΣ/10982/30-10-2025 υπόμνημά της, υποστήριξε ότι από τους ισχυρισμούς της Vodafone αποδεικνύεται ότι η Vodafone ως υπεύθυνος επεξεργασίας διατηρούσε και πιθανώς εξακολουθεί ακόμη και σήμερα να διατηρεί στο σύστημα αρχειοθέτησής της και άλλα προσωπικά της δεδομένα, πλην όσων ελαχίστων και άνευ σημασίας της παρέδωσε με ελλιπή τρόπο (όπως αντίγραφο ανεπίκαιρου Βιογραφικού, μη ισχύον αντίγραφο Δ.Α.Τ, αντίγραφο καταργηθέντος προ ετών τραπεζικού λογαριασμού κ.ο.κ.), ενώ τα πιο κρίσιμα δεδομένα προσωπικού χαρακτήρα, που αφορούν την επαγγελματική ηλεκτρονική της αλληλογραφία και την αξιολόγησή της, τα απέκρυψε εν γνώσει της από την Αρχή κατά τη διερεύνηση της καταγγελίας της, με αποτέλεσμα η αγωγή της να απορριφθεί με την απόφαση … του ΜΠΑ, διότι, κατά την άποψή της, στερήθηκε σημαντικά 5 αποδεικτικά μέσα. Περαιτέρω, υποστήριξε ότι είναι αναληθής ο ισχυρισμός περί κατάργησης του επαγγελματικού της λογαριασμού καθώς και των περιεχόμενων στους φακέλους του ηλεκτρονικών μηνυμάτων 90 ημέρες μετά την απομάκρυνσή της, ήτοι τον … . Όσον αφορά τον ισχυρισμό, που προβλήθηκε από τη Vodafone πρώτη φορά κατά την ακρόαση της 14/10/2025, ότι δηλαδή ο αποχωρήσας τον Ιούνιο του 2017 πρώην εργαζόμενος της και προϊστάμενος … κος B διατήρησε για «προσωπική του χρήση» και επιλεκτικά τη -διαγραφείσα- ηλεκτρονική αλληλογραφία που ωφελούσε, όπως υποστηρίζει, τους ισχυρισμούς της Vodafone στη μεταξύ τους διαφορά, και ότι ο κ. B χρησιμοποιούσε στην «οικιακή του δραστηριότητα» εταιρική ηλεκτρονική αλληλογραφία με εμπιστευτικές πληροφορίες και πλήθος προσωπικών δεδομένων της ίδιας αλλά και τρίτων προσώπων για ακαθόριστο σκοπό, η καταγγέλλουσα επεσήμανε ότι: α) ο κ. B κατά την αποχώρησή του το έτος 2017 δεν εδύνατο να γνωρίζει την μεταγενέστερη (ασκηθείσα το 2020) αγωγή της, ενώ ο ίδιος δεν αποτελούσε διάδικο μέρος στην εργατική διαφορά της με τη Vodafone, επομένως κανείς προφανής λόγος δεν δικαιολογεί την ενέργεια του αυτή, β) το αρχείο διατηρήθηκε από τον κ. B πλέον της 5ετίας από την αποχώρησή του από τη Vodafone, δοθέντος ότι προσκομίστηκε ως «Σχετικό» ενώπιον του ΜΠΑ στις 13/12/2022 γ) […] ο κ. B γνωρίζει ότι δεσμεύεται από την τήρηση επαγγελματικού απορρήτου και επομένως δεν επιτρέπεται να χρησιμοποιεί για αδήλωτους σκοπούς και επί σειρά ετών υπηρεσιακά έγγραφα στην οικία του με τρόπο που θέτει σε διακινδύνευση την εμπιστευτικότητά τους, δ) η Vodafone δεν προσδιόρισε εάν ο κ. B διατηρεί και άλλες εκτυπώσεις ηλεκτρονικής αλληλογραφίας της ίδιας ή άλλα προσωπικά της δεδομένα, πλην όσων προσκόμισε δικαστικά ή τουλάχιστον εάν γνωρίζει σε ποια έκταση αυτό συμβαίνει κατά παράβαση των αρχών του άρ. 5 του ΓΚΠΔ και των υποχρεώσεών της ως υπευθύνου επεξεργασίας, και ε) ο ισχυρισμός αυτός αποτελεί ενδεχομένως ομολογία περιστατικού παραβίασης της ασφάλειας των προσωπικών δεδομένων κατά τα άρθρα 24, 25, 32, 33, 34 ΓΚΠΔ και του απορρήτου των επικοινωνιών και πρέπει να αξιολογηθεί από την Αρχή. Εξάλλου, όπως αναφέρει, η Vodafone προέβη σε σειρά μεταγενέστερων επεξεργασιών προσωπικών της δεδομένων, όπως αναζήτηση, πρόσβαση, εξαγωγή, αρχειοθέτηση, εκτύπωση, αναπαραγωγή, προσκόμιση σε δίκη, από το ως άνω αρχείο του κ. B για διαφορετικούς σκοπούς επεξεργασίας, για τις οποίες ουδόλως είχε ενημερωθεί η 6 ίδια, ως υποκείμενο των δεδομένων, εντός ευλόγου διαστήματος σύμφωνα με το άρθρο 14 ΓΚΠΔ, παρά μόνο αιφνιδιαστικά ενώπιον του ΜΠΑ κατά την εκδίκαση της εργατικής διαφοράς. Επιπλέον, υποστηρίζει ότι η Vodafone δεν κατάφερε να εξειδικεύσει τον ρόλο του κ. B αναφορικά με την εν λόγω επεξεργασία, εάν δηλαδή ήταν ο ίδιος υπεύθυνος ή εκτελών ή από κοινού υπεύθυνος επεξεργασίας, ποια ήταν η νομική βάση της επεξεργασίας, εάν για το συγκεκριμένο αρχείο ο κ. B έλαβε και τι είδους άδεια από τη Vodafone, πότε ακριβώς την έλαβε και για ποιο λόγο η Vodafone παρέλειψε να ενημερώσει την καταγγέλλουσα ως υποκείμενο, δεν εξήγησε γιατί δεν αναζήτησε τυχόν προσωπικά της δεδομένα στο εκτυπωμένο προσωπικό αρχείο του κ.B, προς ικανοποίηση του ασκηθέντος δικαιώματος πρόσβασης της καταγγέλλουσας ούτε γιατί η Vodafone αποσιώπησε αυτή την πληροφορία από την Αρχή στο πλαίσιο έκδοσης της απόφασης 19/2022, επικαλούμενη την Πολιτική Διατήρησης Δεδομένων της. Μάλιστα κατά την ακρόαση της 14ης/10/2025 η Vodafone ανέφερε ότι η πρακτική της εκτύπωσης αρχείων που περιέχουν προσωπικά δεδομένα είναι «συνήθης» κατά την αποχώρηση εργαζομένων, ισχυρισμός που αφ’ ενός αντιφάσκει με το κοινώς γνωστό, ότι οι εργαζόμενοι υπογράφουν αυστηρές Δηλώσεις Εμπιστευτικότητας, υποχρεούμενοι μετά την αποχώρησή τους από την εταιρία να επιστρέψουν αμελλητί οποιοδήποτε έγγραφο ή αρχείο κατέχουν σε οποιοδήποτε μορφή (έγγραφη και ηλεκτρονική) και αφ’ ετέρου αποτελεί ομολογία πιθανολογούμενου περιστατικού παραβίασης της ασφάλειας των προσωπικών δεδομένων και παραβίαση της επικαλούμενης από τη Vodafone Πολιτικής Διατήρησης Δεδομένων. Τέλος, η καταγγέλλουσα υποστήριξε ότι αποδεικνύονται προσχηματικοί οι ισχυρισμοί της Vodafone περί ανάγκης εξειδίκευσης του αιτήματος πρόσβασής της λόγω της δυσανάλογης προσπάθειας που απαιτούσε για την ανίχνευσή τους ο τεράστιος όγκος των μηνυμάτων και περί διαγραφής του προγενέστερου εταιρικού λογαριασμού με διεύθυνση ..., ενώ προκύπτει ότι διατηρεί και έτερους τέτοιους λογαριασμούς τρίτων-πρώην εργαζομένων τόσο της HOL όσο και της Vodafone, χωρίς να λαμβάνει τα αναγκαία μέτρα για την προστασία των προσωπικών δεδομένων. Όσον αφορά την αξιολόγησή της, προσκόμισε την υπ’ αριθ. … Ένορκη Βεβαίωση του κ. B, ενώπιον της Συμβολαιογράφου Αθηνών Γ, η οποία περιλαμβανόταν στις Προτάσεις της Vodafone, από την οποία σύμφωνα με την καταγγέλλουσα αποδεικνύεται ότι συμμετείχε στην αξιολόγηση, παρά τις αντίθετες 7 καταθέσεις της Vodafone στην Αρχή και ότι τα στοιχεία που προσκομίζει είναι νέα και έλαβε γνώση αυτών μετά την έκδοση της απόφασης 19/

1. Σε συνέχεια των ανωτέρω και σύμφωνα με το Πρακτικό συνεδρίασης της Ολομέλειας της 11ης/11/2025, η Αρχή με τις με αριθ. πρωτ. Γ/ΕΞΕ/4191/03-12-2025, Γ/ΕΞΕ/4192/03-12-2025 και Γ/ΕΞΕ/4190/03-12-2025 κλήσεις της κάλεσε την εταιρεία Vodafone, τον Β και την καταγγέλλουσα, Α, αντίστοιχα, σε ακρόαση ενώπιον της Ολομέλειας, προκειμένου να αποσαφηνιστούν τα ακριβή πραγματικά περιστατικά και οι ρόλοι των μερών, καθώς και να ελεγχθούν α) η ως άνω νέα καταγγελία της Α για παραβίαση του δικαιώματος πρόσβασής της με βάση τα νέα στοιχεία και β) περαιτέρω, αυτεπαγγέλτως, από την Αρχή, οι πιθανές παραβάσεις των αρχών της νομιμότητας και της διαφάνειας της επεξεργασίας, σύμφωνα με τον ΓΚΠΔ, αναφορικά με το εν λόγω αρχείο που, σύμφωνα με τους ισχυρισμούς της Vodafone, διατήρησε ο κ. Β από το έτος
2. Με τις ως άνω κλήσεις η Αρχή κοινοποίησε ταυτόχρονα στους κληθέντες όσα έγγραφα είχαν προστεθεί στον φάκελο της υπόθεσης και δεν ήταν ήδη σε γνώση τους. Κατά τη συνεδρίαση παρέστησαν η καταγγέλλουσα και ο Β αυτοπροσώπως και εκ μέρους της Vodafone οι πληρεξούσιοι δικηγόροι Νικόλαος Νικολινάκος (ΑΜ ΔΣ …), Φωτεινή Αγγελή (ΑΜ ΔΣ …), Δημήτρης Πατσιαβάς (ΑΜ ΔΣ …) και Αικατερίνη Ιωάννα Λιοδάκη (Α.Μ. ΔΣ …). Κατά τη συνεδρίαση χορηγήθηκε από την Αρχή προθεσμία μέχρι την 9η/1/2026 για την κατάθεση υπομνημάτων και ακολούθως υπέβαλαν εμπρόθεσμα, η καταγγέλλουσα το Γ/ΕΙΣ/174/08-01-2026 υπόμνημα, ο Β το Γ/ΕΙΣ/226/09-01-2026 υπόμνημα και η Vodafone το Γ/ΕΙΣ/311/12-01-2026 υπόμνημα. Τόσο προφορικά κατά την ακρόαση όσο και με το υπόμνημά της, η καταγγέλλουσα επανέλαβε τα αναφερόμενα στην καταγγελία της, τονίζοντας ιδίως ότι, κατά τον χρόνο της απόλυσής της (…), αποκλείστηκε από την καταγγελλόμενη η πρόσβασή της στον προσωπικό της υπολογιστή, με αποτέλεσμα να στερείται τη δυνατότητα να παραλάβει αρχεία με εταιρικά έγγραφα και την ηλεκτρονική της αλληλογραφία για «οικιακή χρήση» ή για «συναισθηματικούς λόγους», σε αντίθεση με την πρακτική που ακολουθήθηκε το έτος 2017 με τον κ. Β. Η καταγγέλλουσα προσκομίζει και επικαλείται την από 1/9/2007 Σύμβαση Πάγιας Αντιμισθίας της με την προκάτοχο της καταγγελλόμενης, Hellas Online, σύμφωνα με τον όρο 6 της οποίας «Η [εργαζόμενη], 8 όταν λήξει η παρούσα σύμβαση, υποχρεούται να παραδώσει αμελλητί στην Εταιρεία όλα τα αντικείμενα και έγγραφα (σε έγγραφη ή ηλεκτρονική μορφή) τα οποία βρίσκονται στην κατοχή της ως εκ της θέσεώς της (π.χ. φορητό υπολογιστή, κινητό τηλέφωνο)», ισχυριζόμενη ότι τήρησε στο έπακρο την εν λόγω συμβατική υποχρέωση. Ακολούθως αναφέρει ότι άσκησε στις 4/12/2020 το δικαίωμα πρόσβασής της στα προσωπικά της δεδομένα, εντός του νόμιμου χρόνου παραγραφής των σχετικών αξιώσεών της, ήτοι εντός 5ετίας από την απόλυσή της και αφού προηγουμένως άσκησε αγωγή με αντικείμενο την επίλυση εργατικής διαφοράς, γεγονός που, όπως υποστηρίζει δικαιολογούσε τη διατήρηση των δεδομένων της. Παρ’ όλα αυτά η Vodafone αρνήθηκε την ικανοποίηση του δικαιώματος όσον αφορά τον εταιρικό της λογαριασμό και το περιεχόμενο της ηλεκτρονικής της αλληλογραφίας με την αιτιολογία ότι τα είχε διαγράψει ήδη από τον Μάρτιο του 2016, χωρίς, όπως αναφέρει η καταγγέλλουσα, να ενημερωθεί προηγουμένως για τη διαγραφή σύμφωνα με το άρθρο 11 του Ν. 2472/1997, ενώ η Vodafone δεν την ενημέρωσε ούτε για το γεγονός ότι εν γνώσει της τα εν λόγω δεδομένα τηρούνταν από τον κ. Β ήδη από το έτος 2017, με αποτέλεσμα να στερηθεί κρίσιμα αποδεικτικά μέσα στο πλαίσιο της αγωγής της. Επισημαίνει ότι ο κ. Β δεν υπέβαλε έγκληση εναντίον της το έτος 2020 για τους αγωγικούς ισχυρισμούς της, τους οποίους ο ίδιος χαρακτηρίζει ως δυσφημιστικούς και συκοφαντικούς. Περαιτέρω, η καταγγέλλουσα τονίζει ότι είναι απορίας άξιον πώς ένας τηλεπικοινωνιακός οργανισμός του μεγέθους της Vodafone επιτρέπει σε κάθε αποχωρήσαντα εργαζόμενο να λαμβάνει εταιρικά αρχεία, που περιλαμβάνουν απόρρητες αλληλογραφίες και πλήθος προσωπικών δεδομένων εργαζομένων με την επίκληση συναισθηματικών λόγων, κατόπιν προφορικής άσκησης δικαιώματος πρόσβασης, ενώ υποστηρίζει ότι το επικληθέν έννομο συμφέρον του κ. Β έρχεται σε αντίφαση με τον περιλαμβανόμενο στην ένορκη κατάθεσή του ισχυρισμό ότι κατά τον χρόνο αποχώρησής του είχε την εύλογη πεποίθηση ότι η καταγγέλλουσα δεν θα στρεφόταν δικαστικά εναντίον της εταιρείας. Ακόμα υποστηρίζει ότι παρότι ο κ. Β κατέστη υπεύθυνος επεξεργασίας, τουλάχιστον κατά το διάστημα από τον Ιούνιο 2017 έως Δεκέμβριο 2022, παρέλειψε να την ενημερώσει δεόντως σύμφωνα με το άρθρο 11 του Ν. 2472/1997, ενώ στη συνέχεια ο σκοπός επεξεργασίας των δεδομένων μεταβλήθηκε, όταν ο κ. Β προχώρησε σε επιλογή των επίμαχων 9 μηνυμάτων ηλεκτρονικής αλληλογραφίας και διαβίβασή τους στη Vodafone με σκοπό την προσκόμισή τους στο δικαστήριο το έτος 2022, διά της οποίας η καταγγέλλουσα αιφνιδιάστηκε, όπως υποστηρίζει. Εξάλλου, όπως αναφέρει, όλες οι σχετικές επεξεργασίες δεν εμπίπτουν στην εξαίρεση της αποκλειστικά προσωπικής ή οικιακής δραστηριότητας του άρθρου 2 παρ. 2γ’ ΓΚΠΔ, καθώς η ίδια δεν ανήκει στον οικογενειακό, ιδιωτικό ή ευρύτερο κοινωνικό κύκλο του κ. Β και η σχετική αλληλογραφία τους δεν είχε προσωπικό χαρακτήρα αλλά ήταν αυστηρά επαγγελματική, αφορώσα εταιρικά ζητήματα, ενώ η περαιτέρω διαβίβασή της στη Vodafone βρίσκεται εκτός της όποιας υποτιθέμενης οικιακής του δραστηριότητας. Συμπερασματικά, η καταγγέλλουσα υποστηρίζει ότι η αναζήτηση της αλληλογραφίας, στην οποία άσκησε δικαίωμα πρόσβασης, ήταν ευχερής για την καταγγελλόμενη Vodafone, καθώς δεν ήταν «διάσπαρτη» όπως υποστηρίζει, αλλά συγκεντρωμένη σε ένα και μόνο γνωστό πρόσωπο, ότι σε κάθε περίπτωση τα δεδομένα όφειλαν να διατηρηθούν έως τον χρόνο λήξης των σχετικών αξιώσεων και ότι εν γνώσει της η Vodafone παρέλειψε να ικανοποιήσει το δικαίωμα πρόσβασής της στα εν λόγω δεδομένα, παρ’ όλο που διέθετε και ενδεχομένως διαθέτει ακόμα τέτοια δεδομένα, προξενώντας της ζημία και παραβιάζοντας βασικές αρχές του ΓΚΠΔ. Από την πλευρά του, ο κ. Β, τόσο κατά την ακρόαση όσο και με το υπόμνημά του, υποστήριξε ότι κατά την αποχώρησή του από τη Vodafone τον Ιούνιο του 2017, μετά από σχεδόν δώδεκα έτη κατά τα οποία εργάστηκε ως …, τα δύο δε τελευταία ως προϊστάμενος …, και συγκεκριμένα τις 2-3 τελευταίες ημέρες ενόσω ακόμη εργαζόταν στην εταιρεία, ασκώντας προφορικά το δικαίωμα πρόσβασης, ζήτησε και έλαβε αντίγραφα της ηλεκτρονικής του αλληλογραφίας, σε αντίθεση με την καταγγέλλουσα που άσκησε το σχετικό δικαίωμα μετά την πάροδο πέντε ετών από την αποχώρησή της. Μέρος του εν λόγω αρχείου με την προσωπική του ηλεκτρονική αλληλογραφία αποτέλεσαν και οι συγκεκριμένες έξι ηλεκτρονικές αλληλογραφίες του με την καταγγέλλουσα, τις οποίες ο ίδιος ανέσυρε από το προσωπικό του αρχείο και τις προσκόμισε στη Vodafone ώστε να συνυποβληθούν με τις προτάσεις της τελευταίας ενώπιον του δικαστηρίου, με σκοπό ο ίδιος να επιβεβαιώσει και μέσω αυτών τα όσα ενόρκως κατέθεσε ως μάρτυρας στην δίκη (μέσω της ένορκης κατάθεσής του ενώπιον συμβολαιογράφου), και με δεδομένο ότι ο ίδιος είχε άμεσο 10 έννομο συμφέρον να αποδειχθεί πέραν πάσης αμφιβολίας το ψεύδος των αγωγικών ισχυρισμών της καταγγέλλουσας, οι οποίοι ήταν, όπως αναφέρει, εξόχως συκοφαντικοί και προσβλητικοί για το πρόσωπό του. Ο κ. Β διευκρινίζει ότι δεν διατήρησε επιλεκτικά και μόνο τις συγκεκριμένες έξι αλληλογραφίες και δη σε εκτυπωμένη μορφή, αλλά ότι έλαβε και τήρησε το σύνολο του αρχείου με την αλληλογραφία του σε ηλεκτρονική μορφή και στη συνέχεια, αφού επέλεξε τα συγκεκριμένα έξι e-mails τα απέστειλε ηλεκτρονικά στους δικηγόρους της Vodafone, οι οποίοι τα εκτύπωσαν προκειμένου να τα συνυποβάλουν ως σχετικά με τις προτάσεις της Vodafone στο πλαίσιο της αστικής διαφοράς της με την καταγγέλλουσα. Παράλληλα υποστηρίζει ότι η Vodafone δεν του αποδίδει ρόλο υπευθύνου επεξεργασίας, αλλά ότι η λήψη του αρχείου της προσωπικής του ηλεκτρονικής αλληλογραφίας έγινε στο πλαίσιο δικαιώματος πρόσβασης, για καθαρά συναισθηματικούς λόγους και συγκεκριμένα για να διασφαλίσει ότι η δουλειά, που είχε κάνει επί 12 έτη, θα διατηρείτο αποτυπωμένη στο προσωπικό του αρχείο και ότι δεν θα διαγραφόταν με το πάτημα ενός κουμπιού, σκοπός τον οποίο, όπως αναφέρει, επεδίωκε και η καταγγέλλουσα ασκώντας από την ίδια θέση το αντίστοιχο δικαίωμα, για τους ίδιους σκοπούς. Με το υπόμνημά του ο κ. Β εξηγεί αναλυτικά τους λόγους για τους οποίους ανέσυρε και προσκόμισε καθεμία από τις έξι αλληλογραφίες, ήτοι προς απόκρουση συγκεκριμένων αγωγικών ισχυρισμών της καταγγέλλουσας, οι οποίοι, όπως υποστηρίζει, ήταν δυσφημιστικοί και συκοφαντικοί για το πρόσωπό του (λ.χ. ότι είχε κάνει ο ίδιος κάποιο λάθος ή ότι επεδείκνυε διακριτική μεταχείριση και εμπάθεια εις βάρος της καταγγέλλουσας) και προς επιβεβαίωση όσων κατέθεσε ενόρκως, δεδομένου ότι οι συγκεκριμένες ηλεκτρονικές αλληλογραφίες αποτελούσαν τα μοναδικά «έγγραφα» αποδεικτικά στοιχεία που διέθετε προς αυτό τον σκοπό, επομένως συνέτρεχε άμεσο και υπέρτερο έννομο συμφέρον εκ μέρους του για τη χρησιμοποίησή τους. Ο κ. Β επικαλείται τη διάταξη του άρθρου 2 παρ. 2 στοιχ. γ’ του ΓΚΠΔ («οικιακή εξαίρεση»), σύμφωνα με την οποία «ο παρών κανονισμός δεν εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα: …. γ) από φυσικό πρόσωπο στο πλαίσιο αποκλειστικά προσωπικής ή οικιακής δραστηριότητας», η οποία με την αιτιολογική σκέψη 18 του ΓΚΠΔ εξειδικεύεται ως εξής: «και άρα χωρίς σύνδεση με κάποια επαγγελματική ή εμπορική δραστηριότητα. Οι προσωπικές ή οικιακές δραστηριότητες θα μπορούσαν να 11 περιλαμβάνουν την αλληλογραφία», υποστηρίζοντας ότι η εκ μέρους του απόκτηση και κατοχή των εν θέματι μηνυμάτων ηλεκτρονικής αλληλογραφίας, ως μέρος του προσωπικού του αρχείου ηλεκτρονικής αλληλογραφίας που έλαβε από τη Vodafone κατά την αποχώρησή του, εξαιρείται του πεδίου εφαρμογής του ΓΚΠΔ, καθώς διαφορετική ερμηνεία θα είχε ως αποτέλεσμα την ακύρωση ή άλλως καταστρατήγηση του δικαιώματος πρόσβασης στην ηλεκτρονική αλληλογραφία εργαζομένου κατά την λήξη της εργασιακής του σχέσης. Όσον αφορά δε την περαιτέρω ανάσυρση από το προσωπικό του αρχείο των συγκεκριμένων έξι μηνυμάτων και τη διαβίβασή τους για δικαστική χρήση εκ μέρους της Vodafone, o κ. Β υποστηρίζει ότι θα πρέπει να γίνει δεκτό ότι επίσης εμπίπτει στην ανωτέρω εξαίρεση από το πεδίο εφαρμογής του ΓΚΠΔ, δεδομένου ότι πρόκειται σε κάθε περίπτωση για μηνύματα δικής του ηλεκτρονικής αλληλογραφίας που όλως εξαιρετικώς, δηλαδή άπαξ, και με σκοπό την προάσπιση υπέρτερων εννόμων συμφερόντων του, ανασύρθηκαν από το προσωπικό του αρχείο προκειμένου να χρησιμοποιηθούν ενώπιον δικαστηρίου, καθώς διαφορετική προσέγγιση θα οδηγούσε σε καταστρατήγηση της οικιακής εξαίρεσης και του δικαιώματος πρόσβασης, διότι θα αλλοίωνε σε μεγάλο βαθμό το ουσιαστικό περιεχόμενο του δικαιώματος δημιουργίας και τήρησης προσωπικού αρχείου αλληλογραφίας, αφού ουδεμία πρακτική σημασία θα είχε να τηρεί κάποιος αρχείο προσωπικής αλληλογραφίας εφ’ όσον η τυχόν – κατ’ εξαίρεση και περιστασιακή – χρήση της, για προάσπιση εννόμων συμφερόντων του κατόχου, θα ενέπιπτε στο πεδίο εφαρμογής του ΓΚΠΔ και θα τον καθιστούσε ύποπτο παραβίασης των κανόνων αυτού. Σε περίπτωση δε που κριθεί από την Αρχή ότι εν προκειμένω η δικαστική χρήση εκφεύγει της οικιακής εξαίρεσης, ο κ. Β επικαλείται τη νομική βάση του άρθρου 6 παρ. 1 εδ. στ’ ΓΚΠΔ, βάσει της προηγηθείσας ανάλυσης περί του υπέρτερου έννομου συμφέροντός του προς απόκρουση των συκοφαντικών για τον ίδιο αγωγικών ισχυρισμών της καταγγέλλουσας, υποστηρίζοντας ότι η χρήση αυτή ήταν απολύτως απαραίτητη για τον σκοπό αυτό και δεν υπήρξε κίνδυνος βλάβης των συμφερόντων ή των θεμελιωδών δικαιωμάτων της καταγγέλλουσας ή των υποκειμένων των όποιων δεδομένων περιλαμβάνονται στις εν λόγω αλληλογραφίες και το μόνο συμφέρον της καταγγέλλουσας που εθίγη ήταν η απόδειξη του ψεύδους των ισχυρισμών της, επομένως η στάθμιση αποβαίνει συντριπτικά υπέρ του εννόμου συμφέροντός του να 12 προστατεύσει την τιμή και την υπόληψή του. Τέλος, ο κ. Β υποστηρίζει ότι σε κάθε περίπτωση θα πρέπει να εξετασθεί αν η Αρχή είναι αρμόδια να αποφανθεί επί του θέματος της συγκεκριμένης χρήσης των μηνυμάτων, δεδομένου ότι αυτά έχουν ήδη προσκομισθεί σε δικαστική αρχή και ευρίσκονται σε φάκελο δικογραφίας εκκρεμούς δίκης, συνεπώς ο δικαστικός λειτουργός είναι αρμόδιος να κρίνει, στο πλαίσιο της αξιολόγησης των αποδεικτικών μέσων, αν η συλλογή των δεδομένων είναι σύμφωνη με τις διατάξεις του νόμου και ζητά να κριθεί ότι ουδείς κανόνας του ΓΚΠΔ παραβιάστηκε εκ μέρους του. Η καταγγελλόμενη Vodafone, τόσο κατά την ακρόαση όσο και με το υπόμνημά της ανέφερε κατ’ αρχάς ότι οι ισχυρισμοί ότι τα επίμαχα μηνύματα προήλθαν από τον λογαριασμό ηλεκτρονικού ταχυδρομείου της καταγγέλλουσας και ότι ο εν λόγω λογαριασμός είναι ενεργός είναι αβάσιμοι, επαναλαμβάνοντας ότι ο λογαριασμός διαγράφηκε εντός 90 ημερών από την αποχώρησή της σύμφωνα με την πολιτική της εταιρείας που ήταν γνωστή στην καταγγέλλουσα. Όσον αφορά τον λόγο για τον οποίο το δικαίωμα πρόσβασης του κ. Β στα ηλεκτρονικά μηνύματα όπου εμφανίζεται ως αποστολέας ή ως παραλήπτης ικανοποιήθηκε, η Vodafone τονίζει ότι η ειδοποιός διαφορά σε σχέση με την περίπτωση της καταγγέλλουσας έγκειται στον χρόνο άσκησης του δικαιώματος, καθώς η καταγγέλλουσα το άσκησε πέντε έτη μετά την αποχώρησή της και ενώ τα εν λόγω δεδομένα είχαν ήδη διαγραφεί, ενώ το δικαίωμά της ικανοποιήθηκε πλήρως στον μέγιστο δυνατό βαθμό. Η Vodafone τονίζει ότι ο κ. Β έλαβε τα μηνύματα το 2017 σε ηλεκτρονική μορφή, ότι στη συνέχεια, όταν ζητήθηκε από τον κ. Β να παράσχει ένορκη κατάθεση, κατόπιν ενημέρωσης της εταιρείας για την ύπαρξη των μηνυμάτων αυτά παρασχέθηκαν στην εταιρεία ηλεκτρονικά αποκλειστικά για σκοπούς δικαστικής άμυνας και κατόπιν σχετικής ενημέρωσης και έγκρισης του κ. Β κατατέθηκαν ως σχετικά έγγραφα με τις από 13/12/2022 προτάσεις της εταιρείας ενώπιον του Μονομελούς Πρωτοδικείου Αθηνών στο πλαίσιο της εργατικής διαφοράς της με την καταγγέλλουσα. Ως νομική βάση για την εν λόγω επεξεργασία η Vodafone επικαλείται ότι η επεξεργασία ήταν απαραίτητη για την υπεράσπιση των εννόμων συμφερόντων της εταιρείας, σύμφωνα με το άρθρο 6 παρ. 1 στ’ ΓΚΠΔ, καθώς και για τη θεμελίωση και υποστήριξη των νομικών της αξιώσεων εναντίον της καταγγέλλουσας, σύμφωνα με το άρθρο 25 παρ. 13 1γ’ του Ν. 4624/2019, ενώ παράλληλα επικαλείται τις αποφάσεις 1/2020 και 147/2001 της Αρχής, σύμφωνα με τις οποίες όταν προσωπικά δεδομένα έχουν προσκομισθεί σε δικαστική αρχή και ευρίσκονται σε φάκελο δικογραφίας, η Αρχή δεν έχει αρμοδιότητα και αποκλειστικά αρμόδιος να αποφανθεί επί της νομιμότητας της συλλογής και χρήσης των δεδομένων είναι ο αρμόδιος δικαστικός λειτουργός. Η Vodafone επαναλαμβάνει ότι η ανεύρεση των επίμαχων αλληλογραφιών, κατά τον χρόνο άσκησης του δικαιώματος πρόσβασης της καταγγέλλουσας, απαιτούσε δυσανάλογη προσπάθεια ιδίως διότι η καταγγέλλουσα δεν εξειδίκευσε περαιτέρω το αίτημά της, ότι η πολιτική της εταιρείας, όσον αφορά τη λήψη δεδομένων από τους αποχωρούντες εργαζομένους, έχει τροποποιηθεί από το έτος 2017 και ότι πλέον μετά τη θέση σε ισχύ του ΓΚΠΔ έχουν αυστηροποιηθεί τα μέτρα ασφάλειας και οι πολιτικές ασφαλείας της εταιρείας, κατά τρόπο ώστε να είναι τεχνικά ανέφικτη η λήψη αντιγράφων για τους εργαζομένους εάν δεν καταγραφεί αίτημα του εκάστοτε υποκειμένου και δεν υπάρξει αντίστοιχη έγγραφη έγκριση του αιτήματος ώστε να δημιουργηθεί αντίγραφο των αιτούμενων αρχείων. Αναφορικά με τον ρόλο του κ. Β υπό το πρίσμα της νομοθεσίας για την προστασία προσωπικών δεδομένων, η Vodafone υποστηρίζει ότι η ως άνω επεξεργασία δεδομένων που συλλέχθηκαν, κατόπιν άσκησης εκ μέρους του δικαιώματος πρόσβασης για συναισθηματικούς λόγους, εμπίπτει στην οικιακή εξαίρεση (του άρθρου 2 παρ. 2 στοιχ. γ’ ΓΚΠΔ), δεδομένου ότι έλαβε χώρα στο πλαίσιο αμιγώς προσωπικής χρήσης, χωρίς εξωστρεφή χαρακτήρα και χωρίς οποιαδήποτε επίπτωση στη δημόσια ή επαγγελματική σφαίρα, κατά συνέπεια δεν δύναται να αποδοθεί στον κ. Β ρόλος υπευθύνου επεξεργασίας, αφού η επίμαχη επεξεργασία δεν εμπίπτει στο πεδίο εφαρμογής του ΓΚΠΔ. Τέλος επισημαίνει ότι σε κάθε περίπτωση η Vodafone ουδέποτε καθόρισε, επηρέασε ή παρενέβη στον τρόπο διατήρησης ή χρήσης των δεδομένων αυτών από τον κ. Β μετά τη νόμιμη χορήγησή τους ούτε άσκησε οποιονδήποτε έλεγχο επί αυτών. Συμπερασματικά, η καταγγελλόμενη εταιρεία υποστηρίζει ότι ικανοποίησε πλήρως το δικαίωμα πρόσβασης της καταγγέλλουσας ενημερώνοντάς την ότι δεν διατηρεί περαιτέρω προσωπικά δεδομένα της εκτός όσων της χορήγησε, ότι η καταγγέλλουσα ουδέποτε εξειδίκευσε το αίτημά της ενώ γνώριζε ότι η πολιτική της εταιρείας προέβλεπε τη διαγραφή των εταιρικών λογαριασμών εντός 90 ημερών, ότι η χρήση των επίμαχων αλληλογραφιών ενώπιον του 14 δικαστηρίου ήταν εύλογα προβλέψιμη για την καταγγέλλουσα, δεδομένου ότι οι συγκεκριμένες επικοινωνίες πραγματοποιήθηκαν στο πλαίσιο της εργασιακής της σχέσης, μέσω εταιρικών μέσων και αφορούσαν υπηρεσιακά ζητήματα, ενώ η προσκόμισή τους έγινε αποκλειστικά για σκοπούς δικαστικής άμυνας κατόπιν αγωγής της, στο πλαίσιο δίκης όπου αποστολέας ή/και παραλήπτης της αλληλογραφίας ήταν μάρτυρας της εναγόμενης εταιρείας και κατέθεσε ένορκη βεβαίωση, χορηγώντας τα εν λόγω μηνύματα προς υποστήριξη και επίρρωση του περιεχομένου της κατάθεσής του. Η δε Vodafone αξιοποίησε συγκεκριμένα αποδεικτικά μέσα που τέθηκαν υπόψη της, στο πλαίσιο εκκρεμούς δικαστικής διαφοράς, περιοριζόμενη αυστηρά στον σκοπό της δικαστικής άμυνας, τονίζοντας ότι δεν τηρεί, ούτε τήρησε ποτέ «παράλληλο» ή «ανεπίσημο» αρχείο ηλεκτρονικών αλληλογραφιών πρώην εργαζομένων ούτε υφίσταται οποιοδήποτε σύστημα διατήρησης δεδομένων εκτός των εγκεκριμένων πολιτικών διαχείρισης και διατήρησης αρχείων της εταιρείας. Τέλος η Vodafone υποστηρίζει ότι ουδεμία προσβολή των δικαιωμάτων της καταγγέλλουσας έλαβε χώρα δεδομένου ότι η χρήση απολύτως περιορισμένων επικοινωνιών αφορούσε αποκλειστικά υπηρεσιακές επικοινωνίες και χρησιμοποιήθηκε περιορισμένα στο πλαίσιο άσκησης δικαιώματος δικαστικής προστασίας και ζητά την απόρριψη της καταγγελίας. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
3. Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ) και του άρθρου 9 του Ν. 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, των παραπάνω νόμων και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Εξάλλου, όπως κρίθηκε με την απόφαση 5/2024 της Αρχής (Σκέψη 9), η Αρχή είναι κατ’ αρχήν αρμόδια να κρίνει επί της νομιμότητας της συλλογής σε σύστημα 15 αρχειοθέτησης δεδομένων προσωπικού χαρακτήρα τρίτων από τον υπεύθυνο επεξεργασίας, με σκοπό τη μελλοντική επίκληση και προσκόμιση αυτών ενώπιον δικαστικής/ εισαγγελικής αρχής, προβαίνοντας σε έλεγχο, μεταξύ άλλων, του τρόπου συλλογής των επίμαχων δεδομένων προσωπικού χαρακτήρα, καθώς και της κατ’ αρχήν συνάφειας τους, με την έννοια ότι δεν είναι προδήλως απρόσφορα για την απόδειξη ισχυρισμών στο πλαίσιο της επίδικης διαφοράς, συμφώνως προς το άρθρο 5 παρ. 1 εδ. β’) και γ) ΓΚΠΔ. Το αυτό ισχύει και αναφορικά με την αρμοδιότητα της Αρχής να κρίνει επί της επεξεργασίας (κοινοποίησης/χορήγησης) δεδομένων προσωπικού χαρακτήρα στην οποία προβαίνει υπεύθυνος επεξεργασίας προς τρίτο, με σκοπό την επίκληση και προσκόμιση αυτών από τον τελευταίο ενώπιον δικαστικής/ εισαγγελικής αρχής. Με την προσκόμιση και χρήση των επίμαχων δεδομένων ενώπιον δικαστικής/ εισαγγελικής αρχής, αποκλειστικά αρμόδια για την κρίση επί της επεξεργασίας τους, καθίσταται η αρμόδια δικαστική/ εισαγγελική αρχή συμφώνως προς το άρθρο 55 παρ. 3 ΓΚΠΔ και συνακόλουθα παύει η σχετική αρμοδιότητα της Αρχής. Βάσει των ανωτέρω διαπιστώσεων και από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. α’, στ΄ και η’ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ και η’ του Ν. 4624/2019, προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της ανωτέρω καταγγελίας της Α, να ελέγξει αυτεπαγγέλτως τη νομιμότητα του αρχείου που, σύμφωνα με τα ανωτέρω, έλαβε από τη Vodafone το έτος 2017 ο κ. Β, διατήρησε σε προσωπικό του αρχείο και διαβίβασε εκ νέου μέρος του στη Vodafone το έτος 2022 και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/
5. Ως «υπεύθυνος επεξεργασίας» (άρθρο 4 αρ. 7 ΓΚΠΔ) ορίζεται το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ως «εκτελών την επεξεργασία» (άρθρο 4 αρ. 8 ΓΚΠΔ) το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό 16 του υπευθύνου της επεξεργασίας, ενώ ως «τρίτος» (άρθρο 4 αρ. 10) ΓΚΠΔ) νοείται οποιοδήποτε φυσικό ή νομικό πρόσωπο, δημόσια αρχή, υπηρεσία ή φορέας, με εξαίρεση το υποκείμενο των δεδομένων, τον υπεύθυνο επεξεργασίας, τον εκτελούντα την επεξεργασία και τα πρόσωπα τα οποία, υπό την άμεση εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα. Περαιτέρω, σύμφωνα με το άρθρο 29 ΓΚΠΔ «Ο εκτελών την επεξεργασία και κάθε πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, το οποίο έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα, επεξεργάζεται τα εν λόγω δεδομένα μόνον κατ' εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους». Κατά συνέπεια, σε περίπτωση επεξεργασίας προσωπικών δεδομένων από φυσικό πρόσωπο για λογαριασμό του υπευθύνου επεξεργασίας, δηλαδή κατά την άσκηση των καθηκόντων του στο πλαίσιο των δραστηριοτήτων και των επιδιωκόμενων σκοπών του υπεύθυνου επεξεργασίας, οι ενέργειες του φυσικού προσώπου αποδίδονται στο νομικό πρόσωπο. Όπως επισημαίνεται στις Κατευθυντήριες Γραμμές 07/2020 του ΕΣΠΔ σχετικά με τις έννοιες του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία στον ΓΚΠΔ - Έκδοση 2.0 (7 Ιουλίου 2021)1 «στην πράξη αυτός που ενεργεί ως υπεύθυνος επεξεργασίας με την έννοια του ΓΚΠΔ είναι ο οργανισμός ως αυτοτελής νομική οντότητα και όχι κάποιο φυσικό πρόσωπο εντός του οργανισμού του υπευθύνου επεξεργασίας (όπως π.χ. ο Γενικός Διευθυντής, ένας υπάλληλος ή ένα μέλος της Διοίκησης)» (§ 17). «Καταρχήν, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα που εκτελείται από υπαλλήλους στο πεδίο των δραστηριοτήτων ενός οργανισμού μπορεί να θεωρηθεί ότι εκτελείται υπό τον έλεγχο του εν λόγω οργανισμού (αφού οι υπάλληλοι που έχουν πρόσβαση σε δεδομένα προσωπικού χαρακτήρα στο πλαίσιο ενός οργανισμού δεν θεωρούνται εν γένει «υπεύθυνοι επεξεργασίας» ή «εκτελούντες την επεξεργασία», αλλά «πρόσωπα που ενεργούν υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία» κατά την έννοια του άρθρου 29 του ΓΚΠΔ). Σε εξαιρετικές περιστάσεις, ωστόσο, ενδέχεται κάποιος υπάλληλος να αποφασίσει τη χρήση δεδομένων Διαθέσιμες στην ιστοσελίδα του ΕΣΠΔ https://www.edpb.europa.eu/our-work-tools/ourdocuments/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en 1 17 προσωπικού χαρακτήρα για ίδιους σκοπούς και, ως εκ τούτου, να υπερβεί παρανόμως τις εκχωρηθείσες στο πρόσωπό του αρμοδιότητες. (π.χ. για να ιδρύσει δική του εταιρεία ή για παρόμοιο σκοπό). Κατά συνέπεια, ως υπεύθυνος επεξεργασίας ο οργανισμός έχει καθήκον να εξασφαλίσει ότι εφαρμόζονται κατάλληλα τεχνικά και οργανωτικά μέτρα, συμπεριλαμβανομένης της κατάρτισης και της ενημέρωσης των υπαλλήλων, τα οποία θα διασφαλίζουν τη συμμόρφωση προς τον ΓΚΠΔ.» (§19). Άλλωστε, «εάν ο υπεύθυνος επεξεργασίας εκτελεί πράξεις επεξεργασίας χρησιμοποιώντας δικούς του πόρους, για παράδειγμα μέσω του προσωπικού του, δεν καθίσταται εκτελών την επεξεργασία. Οι υπάλληλοι και τα άλλα πρόσωπα που ενεργούν υπό την άμεση εποπτεία του υπευθύνου επεξεργασίας, όπως το προσωρινά απασχολούμενο προσωπικό, δεν πρέπει να θεωρούνται εκτελούντες την επεξεργασία, καθώς επεξεργάζονται προσωπικά δεδομένα ως τμήματα της οντότητας του υπεύθυνου επεξεργασίας. Σύμφωνα με το άρθρο 29, δεσμεύονται επίσης από τις οδηγίες του υπεύθυνου επεξεργασίας» (§ 76)
6. Στο ίδιο κείμενο Κατευθυντηρίων Οδηγιών του ΕΣΠΔ διευκρινίζονται επίσης τα εξής: «Όποιος αποφασίζει να υποβάλει σε επεξεργασία δεδομένα πρέπει να εξετάζει εάν η εν λόγω επεξεργασία περιλαμβάνει δεδομένα προσωπικού χαρακτήρα και, εάν αυτό συμβαίνει, ποιες υποχρεώσεις υπέχει σύμφωνα με τον ΓΚΠΔ. Ένας παράγοντας θεωρείται «υπεύθυνος επεξεργασίας» ακόμη και αν δεν στοχεύει εκουσίως στα δεδομένα προσωπικού χαρακτήρα αυτά καθεαυτά ή έχει εσφαλμένα εκτιμήσει ότι δεν επεξεργάζεται δεδομένα προσωπικού χαρακτήρα» (§44). Όπως, άλλωστε, έχει κριθεί από το ΔΕΕ, κάθε φυσικό ή νομικό πρόσωπο το οποίο επηρεάζει για τους δικούς του σκοπούς την επεξεργασία δεδομένων προσωπικού χαρακτήρα και μετέχει κατ’ αυτόν τον τρόπο στον καθορισμό των στόχων και του τρόπου της επεξεργασίας μπορεί να θεωρηθεί ως υπεύθυνος επεξεργασίας
7. Η ύπαρξη νομικής προσωπικότητας δεν αποτελεί προϋπόθεση για να χαρακτηριστεί ένας φορέας Βλ. και το συναφές Παράδειγμα από το “Εγχειρίδιο σχετικά με την ευρωπαϊκή νομοθεσία για την προστασία των προσωπικών δεδομένων” (FRA, 2018): «Όταν το τμήμα μάρκετινγκ της εταιρείας Sunshine προτίθεται να επεξεργαστεί δεδομένα για έρευνα αγοράς, υπεύθυνος της συγκεκριμένης επεξεργασίας θα είναι η εταιρεία Sunshine και όχι οι υπάλληλοι του τμήματος μάρκετινγκ. Το τμήμα μάρκετινγκ δεν μπορεί να είναι ο υπεύθυνος επεξεργασίας, καθώς δεν έχει αυτοτελή ταυτότητα.» (σελ. 131). 3 Βλ. απόφαση ΔΕΕ C‑25/17 (σκέψη 68). 2 18 υπεύθυνος επεξεργασίας. 4 Ο νομοθέτης της Ένωσης δεν προέβη, για τη στοιχειοθέτηση της ευθύνης βάσει του ΓΚΠΔ, σε διάκριση μεταξύ φυσικών και νομικών προσώπων, καθόσον η ευθύνη αυτή εξαρτάται μόνον από την προϋπόθεση τα εν λόγω πρόσωπα, μόνα ή από κοινού με άλλα, να καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Επομένως, κάθε πρόσωπο που πληροί την προϋπόθεση αυτή, –ανεξαρτήτως του αν πρόκειται για φυσικό ή νομικό πρόσωπο, για δημόσια αρχή, υπηρεσία ή άλλον φορέα, με ή χωρίς νομική προσωπικότητα– ευθύνεται, μεταξύ άλλων, για κάθε παράβαση για την οποία γίνεται λόγος στο άρθρο 83 παρ. 4 και 6, η οποία διαπράττεται από το ίδιο ή για λογαριασμό του
9. Είναι δυνατός ο προσδιορισμός ενός προσώπου ως Υπευθύνου Επεξεργασίας ακόμη και όταν το πρόσωπο αυτό δεν κατέχει το αρχείο προκειμένου να έχει τη δυνατότητα πραγματικής πρόσβασης στα περιεχόμενα προσωπικά δεδομένα, αρκεί το πρώτο να επηρεάζει για τους δικούς του σκοπούς την επεξεργασία προσωπικών δεδομένων και να μετέχει κατ’ αυτόν τον τρόπο στον καθορισμό των στόχων και του τρόπου επεξεργασίας Βλ. ΔΕΕ υπόθεση C-210/16 απόφαση της 05-6-2018 σκ. 38 και ΔΕΕ υπόθεση C-25/17 απόφαση της 10-7-2018 σκ. 69 και
10. Εξάλλου, το άρθρο 32 παρ. 4 ΓΚΠΔ, σχετικά με την ασφάλεια της επεξεργασίας, προβλέπει ότι ο υπεύθυνος επεξεργασίας λαμβάνει μέτρα ώστε να διασφαλίζεται ότι κάθε φυσικό πρόσωπο που ενεργεί υπό την εποπτεία του και έχει πρόσβαση σε τέτοια δεδομένα τα επεξεργάζεται μόνον κατ’ εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή κράτους μέλους. Δεδομένου ότι οι υπάλληλοι του υπευθύνου επεξεργασίας νομικού προσώπου ενεργούν υπό την εποπτεία του, εναπόκειται στον εν λόγω υπεύθυνο να διασφαλίζει ότι οι οδηγίες του εφαρμόζονται σωστά από αυτούς και ως εκ τούτου, το νομικό πρόσωπο δεν μπορεί να απαλλαγεί από την ευθύνη του, προβάλλοντας απλώς αμέλεια ή παράλειψη υπαλλήλου του. 6 Η Αρχή έχει δεχθεί ότι ένα φυσικό πρόσωπο – υπάλληλος του υπευθύνου επεξεργασίας – μπορεί να θεωρηθεί υπεύθυνος επεξεργασίας, αν Βλ. απόφαση ΔΕΕ C-231/22 (σκέψη 36). Βλ. απόφαση ΔΕΕ C‑807/21 (σκέψεις 38-51). 6 Βλ. απόφαση ΔΕΕ C-741/21 (σκέψεις 44 – 54). 4 5 19 χρησιμοποιεί δεδομένα για δικούς του στόχους εκτός του πεδίου και του δυνητικού ελέγχου των δραστηριοτήτων του νομικού προσώπου. 7
11. Ο ΓΚΠΔ και ο ν. 4624/2019 δεν εφαρμόζονται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από φυσικό πρόσωπο στο πλαίσιο αποκλειστικά προσωπικής ή οικιακής δραστηριότητας (άρθρο 2 παρ. 2 εδ. γ’ ΓΚΠΔ, άρθρο 2 εδ. β’ ν.4624/2019) και η Αρχή δεν έχει αρμοδιότητα να ελέγξει πράξεις επεξεργασίας εφόσον λαμβάνουν χώρα στο πλαίσιο αποκλειστικά προσωπικής ή οικιακής δραστηριότητας. Αντίστοιχα, κατά τον χρόνο ισχύος του Ν. 2472/1997, το άρθρο 3 παρ. 2 αυτού όριζε ότι «Οι διατάξεις του παρόντος νόμου δεν εφαρμόζονται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα, η οποία πραγματοποιείται από φυσικό πρόσωπο για την άσκηση δραστηριοτήτων αποκλειστικά προσωπικών ή οικιακών». Όπως έχει κριθεί στο παρελθόν από την Αρχή (βλ. απόφαση 22/2021), η εν λόγω εξαίρεση αποσκοπεί στην αποφυγή επιβολής αδικαιολόγητων (υπερβολικών) υποχρεώσεων κατά την επεξεργασία προσωπικών δεδομένων που λαμβάνει χώρα από φυσικά πρόσωπα εντός της ιδιωτικής τους σφαίρας για δραστηριότητες που σχετίζονται με την άσκηση του ατομικού δικαιώματος στην ιδιωτική τους ζωή και δεν εμφανίζουν επαγγελματική ή εμπορική διάσταση, όπως η καταγραφή και αποθήκευση οικογενειακών ή προσωπικών εικόνων σε ηλεκτρονικό υπολογιστή, η δημιουργία μιας λίστας των στοιχείων επικοινωνίας και αλληλογραφίας φίλων και μελών της οικογένειας, η εγκατάσταση και λειτουργία καμερών εντός των ορίων της κατοικίας κ.λπ. Ο διαμοιρασμός των προσωπικών δεδομένων εντός της προσωπικής σφαίρας περιλαμβάνει ιδίως εκείνον μεταξύ μιας οικογένειας, έναν περιορισμένο κύκλο φίλων ή έναν περιορισμένο σε μέγεθος κύκλο, ο οποίος βασίζεται σε προσωπικές σχέσεις ή σε συγκεκριμένη σχέση εμπιστοσύνης, ώστε να μην εφαρμόζεται η νομοθεσία για την προστασία των προσωπικών δεδομένων. Ωστόσο, θα πρέπει να γίνει δεκτό ότι ο προσωπικός ή οικιακός σκοπός της επεξεργασίας παύει να υπάρχει, όταν τα προσωπικά δεδομένα δεν χρησιμοποιούνται σε στενό προσωπικό πλαίσιο, αλλά σε μία δημόσια διαδικασία, όπως η δίκη μεταξύ των μελών 7 Βλ. απόφαση ΑΠΔΠΧ 54/2021 (σκέψεις 4-6), δημοσιευμένη στην ιστοσελίδα της Αρχής. 20 της οικογένειας, οπότε τα δεδομένα θα εμπίπτουν στο πλαίσιο των προστατευτικών διατάξεων του Κανονισμού (βλ. ΑΠΔΠΧ 81/2011, 7/2012, 11/2012)
13. Σύμφωνα με τις βασικές αρχές επεξεργασίας του άρθρου 5 παρ. 1 α) και στ) ΓΚΠΔ «
14. Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), […] στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)». Όταν τα δεδομένα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας οφείλει να παρέχει τις αναφερόμενες στο άρθρο 14 ΓΚΠΔ πληροφορίες στο υποκείμενο, εντός των προθεσμιών που προβλέπονται στην παρ. 3 του άρθρου 14 ΓΚΠΔ, η οποία ορίζει ότι «Ο υπεύθυνος επεξεργασίας παρέχει τις πληροφορίες που αναφέρονται στις παραγράφους 1 και 2: α) εντός εύλογης προθεσμίας από τη συλλογή των δεδομένων προσωπικού χαρακτήρα, αλλά το αργότερο εντός ενός μηνός, λαμβάνοντας υπόψη τις ειδικές συνθήκες υπό τις οποίες τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία, β) εάν τα δεδομένα προσωπικού χαρακτήρα πρόκειται να χρησιμοποιηθούν για επικοινωνία με το υποκείμενο των δεδομένων, το αργότερο κατά την πρώτη επικοινωνία με το εν λόγω υποκείμενο των δεδομένων, ή γ) εάν προβλέπεται γνωστοποίηση σε άλλον αποδέκτη, το αργότερο όταν τα δεδομένα προσωπικού χαρακτήρα γνωστοποιούνται για πρώτη φορά». Άλλωστε, προ της θέσης σε εφαρμογή του ΓΚΠΔ (την 25/05/2018), ίσχυε ο Ν. 2472/1997, σύμφωνα με το άρθρο 11 παρ. 1 του οποίου, «Ο υπεύθυνος επεξεργασίας οφείλει, κατά το στάδιο της συλλογής δεδομένων προσωπικού χαρακτήρα, να ενημερώνει με τρόπο πρόσφορο και σαφή το υποκείμενο για τα εξής τουλάχιστον στοιχεία: α. την ταυτότητά του και την ταυτότητα του τυχόν εκπροσώπου του, β. το σκοπό της επεξεργασίας, γ. τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων, δ. την Παναγοπούλου - Κουτνατζή Φερενίκη, Η Προσωπική και Οικιακή Χρήση των Προσωπικών Δεδομένων, Κεφάλαιο 5ο , σε Κοτσαλή Γ. Λεωνίδα, Προσωπικά Δεδομένα Ανάλυση-Σχόλια-Εφαρμογή, Εκδόσεις Νομική Βιβλιοθήκη, 2016, σελ.
15. 8 21 ύπαρξη του δικαιώματος πρόσβασης». Περαιτέρω, σύμφωνα με την παρ. 3 του άρθρου 11 του Ν. 2472/1997, «Εάν τα δεδομένα ανακοινώνονται σε τρίτους, το υποκείμενο ενημερώνεται για την ανακοίνωση πριν από αυτούς».
16. Σύμφωνα με τις διατάξεις του άρθρου 15 παρ. 1 και 3 ΓΚΠΔ: «
17. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα […]». Προ της θέσης σε εφαρμογή του ΓΚΠΔ (την 25/05/2018), το δικαίωμα πρόσβασης σε προσωπικά δεδομένα προβλεπόταν από το άρθρο 12 του Ν. 2472/1997, σύμφωνα με τις παρ. 1 και 2 του οποίου, «
18. Καθένας έχει δικαίωμα να γνωρίζει εάν δεδομένα προσωπικού χαρακτήρα που τον αφορούν αποτελούν ή αποτέλεσαν αντικείμενο επεξεργασίας. Προς τούτο, ο υπεύθυνος επεξεργασίας, έχει υποχρέωση να του απαντήσει εγγράφως.
19. Το υποκείμενο των δεδομένων έχει δικαίωμα να ζητεί και να λαμβάνει από τον υπεύθυνο επεξεργασίας, χωρίς καθυστέρηση και κατά τρόπο εύληπτο και σαφή, τις ακόλουθες πληροφορίες: α) Όλα τα δεδομένα προσωπικού χαρακτήρα που το αφορούν, καθώς και την προέλευσή τους. […]». Περαιτέρω, με την απόφαση του ΔΕΕ στην Υπόθεση C-434/16 (Nowak) κρίθηκε ότι η ίδια πληροφορία μπορεί να αφορά πολλά φυσικά πρόσωπα και να αποτελεί επομένως για αυτά δεδομένο προσωπικού χαρακτήρα, κατά την έννοια του ΓΚΠΔ, υπό την προϋπόθεση ότι η ταυτότητα των εν λόγω ατόμων είναι γνωστή ή μπορεί να εξακριβωθεί (σκέψη 45).
20. Στην προκειμένη περίπτωση, από την εξέταση του φακέλου της υπόθεσης προέκυψαν τα εξής πραγματικά περιστατικά: Η καταγγέλλουσα υπήρξε [εργαζόμενη] της Hellas Online, την οποία διαδέχθηκε λόγω συγχώνευσης η καταγγελλόμενη Vodafone το έτος 2015 και παρέμεινε στη θέση αυτή ως [εργαζόμενη] της Vodafone μέχρι τον …, οπότε και η σύμβασή της καταγγέλθηκε από τη Vodafone. Το έτος 2017, ο τότε επικεφαλής … της Vodafone, κ. Β , κατά τη λήξη της εργασιακής του σχέσης με την εταιρεία, ασκώντας προφορικά το δικαίωμα πρόσβασης στα προσωπικά του δεδομένα, ζήτησε και έλαβε αρχεία και μηνύματα ηλεκτρονικής αλληλογραφίας που είχε ανταλλάξει μέσω του εταιρικού του λογαριασμού καθ’ όλη τη διάρκεια της εργασιακής του σχέσης και στα οποία εμφανίζεται είτε ως αποστολέας είτε ως 22 παραλήπτης. Για την εν λόγω διαβίβαση η καταγγέλλουσα, ως υποκείμενο των δεδομένων που περιλαμβάνονταν στις εν λόγω αλληλογραφίες, δεν ενημερώθηκε. Ακολούθως, τον Δεκέμβριο του 2020, αφού κατέθεσε αγωγή κατά της Vodafone ενώπιον του Μονομελούς Πρωτοδικείου Αθηνών με αντικείμενο μεταξύ τους εργατική διαφορά, η καταγγέλλουσα άσκησε κατ’ άρθρο 15 ΓΚΠΔ προς την εταιρεία, το δικαίωμα πρόσβασης στα προσωπικά της δεδομένα, μεταξύ των οποίων και στο σύνολο των μηνυμάτων ηλεκτρονικού ταχυδρομείου που είχε ανταλλάξει από τον εταιρικό της λογαριασμό και στα οποία περιλαμβανόταν είτε ως αποστολέας είτε ως παραλήπτης. Η Vodafone απάντησε στην καταγγέλλουσα ότι ο λογαριασμός της είχε καταργηθεί, σύμφωνα με την Πολιτική της εταιρείας, εντός 90 ημερών από την αποχώρηση της καταγγέλλουσας από την εταιρεία (…) και το σύνολο του περιεχομένου του είχε διαγραφεί, ενώ μηνύματα που περιλάμβαναν την καταγγέλλουσα «βρίσκονταν διάσπαρτα εντός και εκτός οργανισμού» και αρνήθηκε να ικανοποιήσει το αίτημα, εάν η καταγγέλλουσα δεν το εξειδίκευε περαιτέρω ώστε να είναι δυνατός ο εντοπισμός των ζητούμενων μηνυμάτων. Ο κ. Β διατήρησε το περιεχόμενο του εταιρικού του λογαριασμού στη Vodafone σε προσωπικό του αρχείο μέχρι το έτος 2022, οπότε και διαβίβασε μέρος του εν λόγω αρχείου και συγκεκριμένα έξι μηνύματα ηλεκτρονικού ταχυδρομείου στη Vodafone, προκειμένου η τελευταία να τα χρησιμοποιήσει δικαστικά, προσκομίζοντάς τα ως σχετικά με τις προτάσεις της ως εναγόμενη προς αντίκρουση των αγωγικών ισχυρισμών της καταγγέλλουσας. Η καταγγέλλουσα έλαβε γνώση της εν λόγω διαβίβασης μετά την προσκόμιση των μηνυμάτων στο δικαστήριο, στο πλαίσιο της αντιδικίας.
21. Σύμφωνα με όσα εκτίθενται στη σκέψη 6 ανωτέρω, στον βαθμό που τα περιεχόμενα του ηλεκτρονικού ταχυδρομείου του κ. Β αποτελούν πληροφορίες που τον αφορούν και άρα προσωπικά του δεδομένα με την έννοια του Ν. 2472/1997, νομίμως η Vodafone του χορήγησε τα δεδομένα αυτά το έτος 2017, στο πλαίσιο ικανοποίησης ασκηθέντος δικαιώματος πρόσβασης εκ μέρους του, ως υποκειμένου των δεδομένων με βάση το άρθρο 12 του Ν. 2472/
22. Ωστόσο, δεδομένου ότι το δικαίωμα ασκήθηκε εν όψει της λήξης της εργασιακής σχέσης του κ. Β κατά τρόπο ώστε ο τελευταίος να καθίσταται στο εξής τρίτος έναντι της εταιρείας, και λαμβανομένου υπόψη ότι τα εν λόγω μηνύματα αποτελούν ταυτόχρονα και 23 προσωπικά δεδομένα της καταγγέλλουσας, αφού σε αυτά περιλαμβάνεται είτε ως αποστολέας είτε ως παραλήπτης, τα οποία με τον τρόπο αυτό επρόκειτο να διαβιβαστούν σε τρίτο, η Vodafone, ως υπεύθυνος επεξεργασίας, όφειλε να ενημερώσει την καταγγέλλουσα, ως υποκείμενο, σύμφωνα με το άρθρο 11 παρ. 3 του τότε ισχύοντος Ν. 2472/1997, πριν τη διαβίβαση. Κατόπιν των ανωτέρω, βάσει των στοιχείων του φακέλου διαπιστώνεται εν προκειμένω παράβαση της κατ’ άρθρο 11 παρ. 3 Ν. 2472/1997 υποχρέωσης προηγούμενης ενημέρωσης της καταγγέλλουσας από τη διαβίβαση δεδομένων της στον κ. Β, το έτος 2017 εκ μέρους της Vodafone, ως υπευθύνου επεξεργασίας.
23. Σκοπός της αρχικής συλλογής και της διατήρησης του ανωτέρω αρχείου από τον κ. Β, σύμφωνα με τις αρχικές απόψεις της Vodafone (βλ. Γ/ΕΙΣ/11013/30-10-2025 υπόμνημα) ήταν η εξυπηρέτηση των εννόμων συμφερόντων του ιδίου και η προστασία του σε περίπτωση μελλοντικής αντιδικίας του για ζητήματα που είχε χειριστεί ως επικεφαλής ... της εταιρείας. Στη συνέχεια, τόσο η Vodafone (με το Γ/ΕΙΣ/311/12-01-2026 υπόμνημα) όσο και ο κ. Β (με το Γ/ΕΙΣ/226/09-01-2026 υπόμνημα) υποστήριξαν ότι το αρχείο ζητήθηκε και ελήφθη από τον τελευταίο το έτος 2017 για συναισθηματικούς λόγους, καθώς αποτελούσε το αποτέλεσμα της πολυετούς εργασίας του στην εταιρεία, το οποίο δεν επιθυμούσε να διαγραφεί με το πάτημα ενός κουμπιού, καθώς και ότι το αρχείο αυτό διατηρήθηκε από αυτόν στο πλαίσιο αποκλειστικά προσωπικής και οικιακής του δραστηριότητας. Ωστόσο, δεδομένου ότι πρόκειται για επαγγελματική αλληλογραφία, δεν πληρούται το κριτήριο της «αποκλειστικά» οικιακής ή προσωπικής δραστηριότητας, όπως αποδεικνύεται εξάλλου εκ των πραγμάτων, ήτοι από τη χρήση ενώπιον δικαστηρίου όταν προέκυψε ανάγκη προς τούτο. Ειδικότερα, σύμφωνα με τον κ. Β, η διαβίβαση των έξι μηνυμάτων στη Vodafone το έτος 2022 στηρίζεται στη νομική βάση του υπέρτερου εννόμου συμφέροντος του ιδίου να προστατεύσει την τιμή και την υπόληψή του έναντι προσβλητικών για το πρόσωπό του ισχυρισμών που περιλαμβάνονταν στην αγωγή της καταγγέλλουσας και να επιβεβαιώσει όσα κατέθεσε ενόρκως ως μάρτυρας της Vodafone, ισχυρισμός που επιβεβαιώνει την αρχική τοποθέτηση της Vodafone, ότι δηλαδή σκοπός της συλλογής και διατήρησης των δεδομένων από τον κ.Β ήταν εξ αρχής η εξυπηρέτηση των εννόμων συμφερόντων 24 του και η προστασία του σε περίπτωση μελλοντικής αντιδικίας του για ζητήματα που είχε χειριστεί ως επικεφαλής … της εταιρείας. Συνεπώς η εν λόγω επεξεργασία δεν έλαβε χώρα στο πλαίσιο αποκλειστικά οικιακής ή προσωπικής δραστηριότητας και δεν εμπίπτει στην εξαίρεση από το πεδίο εφαρμογής του Κανονισμού που προβλέπεται στο άρθρο 2 παρ. 2 α) ΓΚΠΔ. Ως εκ τούτου, ο κ. Β κατέστη υπεύθυνος επεξεργασίας αναφορικά με τη συλλογή το έτος 2017 και τη διατήρηση έκτοτε υπό την ευθύνη του, προσωπικών δεδομένων της καταγγέλλουσας. Η επεξεργασία στηρίζεται στη νομική βάση του έννομου συμφέροντος του υπευθύνου επεξεργασίας να υποστηρίξει τη θέση του έναντι τυχόν νομικών διαδικασιών εις βάρος του, το οποίο υπερτερεί των δικαιωμάτων και ελευθεριών της καταγγέλλουσας, ως υποκειμένου των δεδομένων, λαμβανομένου υπόψη ότι πρόκειται για επαγγελματικές επικοινωνίες, οι οποίες ευλόγως αναμένεται να χρησιμοποιούνται κατ’ αρχήν προς απόδειξη των σχετικών ενεργειών. Συνεπώς, η συλλογή των δεδομένων κατά το έτος 2017 και η τήρησή τους έως την 25/05/2028 στηρίζεται στη νομική βάση του άρθρου 5 παρ. 2 στοιχ. ε) του Ν. 2472/1997, ενώ η διατήρησή τους από την 25/05/2018 και έκτοτε στηρίζεται στη νομική βάση του άρθρου 6 παρ. 1 στοιχ. στ) του ΓΚΠΔ. Ωστόσο, δεδομένου ότι η καταγγέλλουσα δεν ενημερώθηκε κατά τη συλλογή των δεδομένων της από τον κ. Β, ως υπεύθυνο επεξεργασίας, το έτος 2017, διαπιστώνεται παράβαση εκ μέρους του της διάταξης του άρθρου 11 παρ. 1 Ν. 2472/
24. Επιπλέον, ο κ. Β ως υπεύθυνος επεξεργασίας δεν ενημέρωσε την καταγγέλλουσα, ως υποκείμενο των δεδομένων, πριν από τη διαβίβαση των έξι μηνυμάτων που την αφορούσαν στη Vodafone, το έτος 2022, παραβιάζοντας τη σχετική υποχρέωσή του σύμφωνα με το άρθρο 14 παρ. 3 γ) ΓΚΠΔ, όπως προεκτέθηκε. Ο ισχυρισμός της Vodafone, ότι η διαβίβαση έλαβε χώρα μία ημέρα πριν την κατάθεση των προτάσεών της, στις 12-12-2022 και η καταγγέλλουσα έλαβε γνώση αυτών σε πολύ σύντομο χρονικό διάστημα, αφού παρέλαβε αντίγραφο των προτάσεων της Vodafone και των προσκομιζόμενων σχετικών κατά τη δικάσιμο της 13-12-2022, και για τον λόγο αυτό δεν την ενημέρωσε, δεν μπορεί να γίνει δεκτός, αφού κατά την κοινή πείρα και λογική, για την προετοιμασία των προτάσεων και των σχετικών που προσκομίζει και επικαλείται ένας διάδικος απαιτείται εύλογος χρόνος προ της δικασίμου, ο οποίος θα ήταν επαρκής για την έγκαιρη ενημέρωση της καταγγέλλουσας, ως υποκειμένου των δεδομένων, ώστε να μην αιφνιδιαστεί από τη 25 χρήση δεδομένων της από την αντίδικό της, τα οποία σύμφωνα με σχετική διαβεβαίωση της Vodafone είχαν διαγραφεί από το έτος
25. Σημειώνεται ότι ούτε ο κ. Β ούτε η Vodafone επικαλέστηκαν τη συνδρομή οποιασδήποτε εξαίρεσης από την υποχρέωση τήρησης της αρχής της διαφάνειας εν προκειμένω. Εξάλλου, σε αντίθεση με όσα υποστηρίζει η Vodafone, η καταγγέλλουσα, ως υποκείμενο των δεδομένων, αγνοούσε το γεγονός ότι τα επίμαχα μηνύματα ήταν διαθέσιμα και για τον λόγο αυτό δεν μπορούσε ευλόγως να αναμένει τη χρήση τους στο πλαίσιο της μεταξύ τους αντιδικίας, αλλά αντιθέτως, αιφνιδιάστηκε από την επίκληση και προσκόμισή τους από τη Vodafone. Η αρνητική απάντηση της Vodafone, ως υπευθύνου επεξεργασίας, στο αίτημα πρόσβασης της καταγγέλλουσας και η ρητή διαβεβαίωση προς την καταγγέλλουσα ότι το περιεχόμενο του επαγγελματικού της λογαριασμού είχε διαγραφεί εντός 90 ημερών από την αποχώρησή της από την εταιρεία (…) δημιούργησαν την εύλογη πεποίθηση στην καταγγέλλουσα ότι δεν διατηρούνταν αλληλογραφίες που σχετίζονται άμεσα με το επίδικο αντικείμενο, ήτοι τις συνθήκες εργασίας της, στερώντας της έτσι τη δυνατότητα να αξιοποιήσει τα σχετικά μηνύματα ως αποδεικτικά μέσα, κατά παράβαση της αρχής της ισότητας των όπλων των διαδίκων.
26. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά τα άρθρα 58 παρ. 2 του ΓΚΠΔ και 21 παρ. 1 β) Ν. 2472/1997 διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις. i. Αναφορικά με τη διαπιστωθείσα παράβαση του άρθρου 11 παρ. 3 Ν. 2472/1997, από τη Vodafone το έτος 2017, κατά τα εκτιθέμενα στη Σκέψη 8 της παρούσας απόφασης, η Αρχή κρίνει ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί κατ’ εφαρμογή της διάταξης του άρθρου 21 παρ. 1 β) και παρ. 2 Ν. 2472/1997, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο, όπως αναφέρεται στο διατακτικό της παρούσας απόφασης. Για την επιμέτρηση του προστίμου ελήφθησαν υπόψη τα εξής κριτήρια: ότι ο υπεύθυνος επεξεργασίας είναι ένας από τους μεγαλύτερους παρόχους τηλεπικοινωνιών στην Ελλάδα, με ετήσιο κύκλο εργασιών, σύμφωνα με τον τελευταίο δημοσιευμένο στο ΓΕΜΗ ισολογισμό της, σε 1.019,1 εκ. ευρώ· ότι η παράβαση αφορά ένα υποκείμενο των δεδομένων· ότι η παράβαση κρίνεται ως μέτριας βαρύτητας, καθώς αφορά τη 26 διαβίβαση μηνυμάτων επαγγελματικής αλληλογραφίας, τα οποία ήταν ήδη διαθέσιμα στον αποδέκτη, ως μέρος της επικοινωνίας, είχε όμως ως αποτέλεσμα την αδυναμία του υποκειμένου να θεμελιώσει και να υποστηρίξει αποτελεσματικά τις αξιώσεις του ενώπιον δικαστηρίου, αφού εάν η καταγγέλλουσα τελούσε σε γνώση της διαβίβασης της αλληλογραφίας της προς τον κ. Β, θα είχε τη δυνατότητα να απευθυνθεί σε αυτόν μετά τη μη ικανοποίηση του δικαιώματος πρόσβασης που άσκησε προς τη Vodafone το 2020· καθώς και το οριζόμενο από τη διάταξη του άρθρου 21 παρ. 1 β) του Ν. 2472/1997 μέγιστο όριο χρηματικού προστίμου. Λαμβάνεται επίσης υπόψη ως επιβαρυντικός παράγοντας, το γεγονός ότι η Vodafone δεν ενημέρωσε την καταγγέλλουσα ότι είχε λάβει χώρα η υπό κρίση διαβίβαση ούτε κατόπιν άσκησης δικαιώματος πρόσβασης εκ μέρους της στις συγκεκριμένες αλληλογραφίες, οι οποίες, σύμφωνα με την εταιρεία, δεν ήταν πλέον διαθέσιμες στη Vodafone, λόγω διαγραφής του επαγγελματικού λογαριασμού της καταγγέλλουσας τον Μάρτιο του 2016 και παρότι γνώριζε και δήλωσε στην καταγγέλλουσα ότι τέτοιες αλληλογραφίες υπάρχουν «διάσπαρτες εντός και εκτός οργανισμού». ii. Αναφορικά με τη διαπιστωθείσα παράβαση των διατάξεων του άρθρου 11 παρ. 1 Ν. 2472/1997, κατά τη συλλογή των δεδομένων το έτος 2017, και του άρθρου 14 παρ. 3 γ) ΓΚΠΔ, πριν τη διαβίβαση των δεδομένων στη Vodafone το έτος 2022, από τον Β, ως υπεύθυνο επεξεργασίας, κατά τα εκτιθέμενα στη Σκέψη 9 της παρούσας απόφασης, η Αρχή κρίνει ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί κατ’ εφαρμογή της διάταξης των άρθρων 21 παρ. 1 β) και παρ. 2 Ν. 2472/1997 και 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο, όπως αναφέρεται στο διατακτικό της παρούσας απόφασης. Για την επιμέτρηση του προστίμου ελήφθησαν υπόψη τα προβλεπόμενα από το άρθρο 21 παρ. 2 Ν. 2472/1997 και από το άρθρο 83 παρ. 2 ΓΚΠΔ κριτήρια και ειδικότερα τα εξής: Ότι πρόκειται για παράβαση βασικής αρχής επεξεργασίας, που εμπίπτει στην παράγραφο 5 του άρθρου 83 ΓΚΠΔ, στην οποία περιλαμβάνονται οι βαρύτερες με βάση το καθοριζόμενο ανώτατο όριο χρηματικού προστίμου παραβάσεις· ότι η παράβαση επηρέασε ένα υποκείμενο των δεδομένων· οι ειδικότερες συνθήκες της υπό κρίση υπόθεσης και συγκεκριμένα ότι η καταγγέλλουσα, αγνοώντας την επεξεργασία, αφ’ ενός μεν στερήθηκε τη δυνατότητα 27 αξιοποίησης των μηνυμάτων ως αποδεικτικών μέσων στο πλαίσιο της εργατικής διαφοράς της με τη Vodafone, αφ’ ετέρου δε αιφνιδιάστηκε από τη χρήση τους από την αντίδικό της· το γεγονός ότι η επεξεργασία δεν αφορά ειδικές κατηγορίες δεδομένων· η χρονική διάρκεια της επεξεργασίας· το γεγονός ότι δεν προέκυψε ότι η παράβαση αποδίδεται σε δόλο του υπευθύνου επεξεργασίας· το γεγονός ότι ο υπεύθυνος επεξεργασίας είναι φυσικό πρόσωπο και ως […] ήταν σε θέση να γνωρίζει τις υποχρεώσεις των υπευθύνων επεξεργασίας, ιδίως πριν τη διαβίβαση των δεδομένων στη Vodafone το 2022, τέσσερα έτη μετά τη θέση σε εφαρμογή του ΓΚΠΔ. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ
27. Επιβάλλει στην Vodafone – ΠΑΝΑΦΟΝ Α.Ε.Ε.Τ., ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 21 παρ. 1 β) του Ν. 2472/1997, διοικητικό πρόστιμο ύψους είκοσι χιλιάδων (20.000 €) ευρώ, για τη διαπιστωθείσα παράβαση των διατάξεων του άρθρου 11 παρ. 3 Ν. 2472/1997, σύμφωνα με όσα αναφέρονται ανωτέρω στο σημείο i. της σκέψης
29. Επιβάλλει στον Β, ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, διοικητικό πρόστιμο ύψους δύο χιλιάδων (2.000 €) ευρώ, για τις διαπιστωθείσες παραβάσεις των διατάξεων του άρθρου 11 παρ. 1 Ν. 2472/1997 και του άρθρου 14 παρ. 3 γ) ΓΚΠΔ, σύμφωνα με όσα αναφέρονται στο σημείο ii. της σκέψης 10 ανωτέρω. Ο εκτελών χρέη Προέδρου Αναπληρωτής Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 28