Επιβολή προστίμου για παραβίαση των αρχών της νομιμότητας, διαφάνειας και ασφάλειας και μη ικανοποίηση δικαιώματος πρόσβασης εργαζομένου

Αθήνα, 29-04-2022 Αριθ. Πρωτ.: 977 ΑΠΟΦΑΣΗ 24/2022 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος μέσω τηλεδιάσκεψης την Τετάρτη 21-04-2021 και ώρα 10:30 π.μ. μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν, ο Αναπληρωτής Πρόεδρος, Γεώργιος Μπατζαλέξης, κωλυόμενου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, το τακτικό μέλος της Αρχής Κωνσταντίνος Λαμπρινουδάκης και το αναπληρωματικό μέλος της Αρχής Γρηγόριος Τσόλιας, ως εισηγητής, σε αντικατάσταση του τακτικού μέλους Χαράλαμπου Ανθόπουλου, ο οποίος, αν και εκλήθη νομίμως εγγράφως, δεν παρέστη λόγω κωλύματος. Παρούσες χωρίς δικαίωμα ψήφου ήταν η Στεφανία Πλώτα, ειδική επιστήμονας-δικηγόρος, ως βοηθός εισηγητή, η οποία αποχώρησε μετά από τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα κατωτέρω: Με τις υπ’ αρ. πρωτ. Γ/ΕΙΣ/6429/22-09-2020 και Γ/ΕΙΣ/7111/16-10-2020 καταγγελίες της στην Αρχή, η Α (εφεξής «καταγγέλλουσα»), υπάλληλος της Γραμματείας του γραφείου … που υπάγεται στη Διοίκηση Πυροσβεστικών Υπηρεσιών Νομού Χ (εφεξής «ΔΙ.Π.Υ.Ν.») καταγγέλλει τη ΔΙ.Π.Υ.Ν. Χ, η οποία κατά τη χρονική στιγμή που υποβλήθηκε η καταγγελία εκπροσωπείτο από τον Διοικητή, Β (εφεξής «τέως Διοικητής»), αφενός με την πρώτη καταγγελία για παραβίαση διατάξεων αρμοδιότητας της Αρχής, αναφορικά με έλεγχο του υπολογιστή της κατά την εργασία της στην ανωτέρω υπηρεσία και αφετέρου με τη δεύτερη καταγγελία για μη ικανοποίηση δικαιώματος πρόσβασης. 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr Ειδικότερα, η καταγγέλλουσα αναφέρει στην πρώτη υπό κρίση καταγγελία ότι στις … της είχε δοθεί προφορική εντολή να εργαστεί σε διαφορετικό υπηρεσιακό υπολογιστή από αυτόν που χρησιμοποιούσε καθημερινά για κάλυψη υπηρεσιακών αναγκών σε διαφορετικό χώρο από αυτόν που εργαζόταν καθημερινά. Την ημέρα εκείνη πραγματοποιήθηκε έλεγχος, όπως αναφέρεται στην καταγγελία, από τον τέως Διοικητή, στον υπηρεσιακό υπολογιστή που η καταγγέλλουσα χειρίζεται, κατά τον οποίο η ίδια δεν ήταν παρούσα και δεν είχε λάβει καμία προφορική ή γραπτή ενημέρωση για τη διενέργειά του και για το εάν αφορούσε το σύνολο των υπολογιστών της υπηρεσίας. Στη συνέχεια, στις … η καταγγέλλουσα παρέλαβε την υπ’ αρ. … κλήση του Διοικητή ΔΙ.Π.Υ.Ν. Χ σε απολογία, όπου αναφέρεται ότι σε έλεγχο του ιστορικού επίσκεψης ιστοσελίδων του υπηρεσιακού υπολογιστή που χειρίζεται, βρέθηκε να έχει επισκεφθεί πολλάκις κατά το ωράριο εργασίας της ιστοσελίδες κοινωνικής δικτύωσης και ψυχαγωγικές, στοιχειοθετώντας πειθαρχικά παραπτώματα, με την οποία η καταγγέλλουσα έλαβε γνώση του ελέγχου που είχε πραγματοποιηθεί στον υπηρεσιακό υπολογιστή που χειρίζεται. Στις …, η καταγγέλλουσα υπέβαλε το υπ. αριθ. … Απολογητικό Υπόμνημα στον Διοικητή, σε συνέχεια του οποίου έλαβε το από … Απόσπασμα Ημερήσιας Διαταγής με θέμα την επιβολή πειθαρχικής ποινής. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας απέστειλε στη ΔΙ.Π.Υ.Ν., το υπ’ αρ. πρωτ. Γ/ΕΞ/6429-1/07-10-2020 έγγραφο προς παροχή απόψεων, όπου στην υπ’ αρ. πρωτ. Γ/ΕΙΣ/6905/09-10-2020 απάντησή της στην Αρχή ανεφέρθη, μεταξύ άλλων, ότι επειδή στις … υπήρξε ανάγκη διεκπεραίωσης υπόθεσης πυρασφάλειας, ο Διοικητής πήγε στο γραφείο της καταγγέλλουσας για χρήση της εφαρμογής πρωτοκόλλου προς αναζήτηση εκκρεμούσας υπόθεσης στον υπολογιστή του Τμήματος Πυρασφάλειας και διεπίστωσε ότι ο υπολογιστής ήταν ανοικτός σε κατάσταση αναμονής και εξοικονόμησης ενέργειας και αμέσως με την πρώτη κίνηση του κέρσορα φάνηκαν στην οθόνη προσωπικές σελίδες κοινωνικής δικτύωσης και σελίδες ψυχαγωγίας, σε μεγάλο αριθμό παράλληλα ανοιγμένων καρτελών και προέβη σε αναζήτηση ιστορικού, ώστε να εξακριβώσει από πότε είναι ανοιγμένες οι σελίδες. Ανεφέρθη, επίσης, ότι ο εν λόγω υπολογιστής δεν είναι προσωπικός αλλά προορίζεται για εξυπηρέτηση υπηρεσιακών αναγκών, με προγράμματα και εφαρμογές που είναι απαραίτητες για τις υποθέσεις του Γραφείου. Τέλος, ο Διοικητής αιτήθηκε να τον ενημερώσει η Αρχή για το εάν αποτελεί παραβίαση προσωπικών δεδομένων η πρόσβαση σε υπηρεσιακό υπολογιστή από Προϊστάμενο ή Διοικητή Υπηρεσίας και εάν απαιτείται η άδεια υπαλλήλου για να χρησιμοποιήσει ο Διοικητής μιας υπηρεσίας οποιονδήποτε από τους υπολογιστές που ανήκουν σε αυτή. 2 Στη συνέχεια, η Αρχή με το υπ’ αρ. πρωτ. Γ/ΕΞ/6429-2/18-12-2020 έγγραφο, διαβίβασε στη ΔΙ.Π.Υ.Ν. προς ενημέρωσή της το υπ’ αρ. πρωτ. Γ/ΕΙΣ/7099/15-10-2020 Υπόμνημα της καταγγέλλουσας, το οποίο υπέβαλε η καταγγέλλουσα στην Αρχή αυτοβούλως, και την κάλεσε να απαντήσει σε σειρά ερωτημάτων και ιδίως στα ακόλουθα : α) πότε και ποια μέτρα έχει λάβει η υπηρεσία για τη συμμόρφωσή της με τη νομοθεσία προστασίας προσωπικών δεδομένων και να προσκομιστεί το σύνολο των εν λόγω εγγράφων, όπως πολιτικές και διαδικασίες, β) να προσκομιστεί η Πολιτική Προστασίας των Δεδομένων Προσωπικού Χαρακτήρα που εφαρμόζεται στην υπηρεσία, κυρίως σε σχέση με τη χρήση των ηλεκτρονικών μέσων από εργαζόμενους, αναφέροντας την ημερομηνία κατά την οποία οι εργαζόμενοι έλαβαν γνώση του περιεχομένου της, καθώς και κάθε άλλο σχετικό έγγραφο, γ) να τεκμηριωθούν οι ισχυρισμοί του Διοικητή για τις ενέργειες, στις οποίες προέβη στις …, προσκομίζοντας τα αποδεικτικά στοιχεία που διαθέτει, ειδικότερα να διευκρινιστεί και να τεκμηριωθεί εάν η αναζήτηση πραγματοποιήθηκε μόνο στο ιστορικό του προγράμματος περιήγησης των ιστοσελίδων/μέσων κοινωνικής δικτύωσης ή και σε οιαδήποτε άλλα αρχεία, όπως σε τοπικά αποθηκευμένα αρχεία ή/και στον εσωτερικό δίσκο του υπολογιστή της καταγγέλλουσας, προσκομίζοντας σχετικά αποδεικτικά έγγραφα/στοιχεία καταγραφής των εν λόγω ενεργειών που είναι δυνατό να εξαχθούν για τον συγκεκριμένο υπολογιστή (π.χ. logs), δ) εάν έχει οριστεί Υπεύθυνος Προστασίας Δεδομένων (ΥΠΔ) για την υπηρεσία. Στα ανωτέρω ερωτήματα η ΔΙ.Π.Υ.Ν. απάντησε με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/41/04-01-2021 έγγραφο, χωρίς να προσκομίσει κανένα από τα ανωτέρω αιτηθέντα έγγραφα, αναφέροντας ότι το προσωπικό που αποτελείται από δύο υπαλλήλους διαθέτει έναν κοινόχρηστο υπολογιστή, στον οποίο γίνονται όλες οι εργασίες και στον οποίο υπάρχει άμεση προσβασιμότητα από τους υπαλλήλους χωρίς κωδικούς, επειδή δεν υπάρχουν αρχεία δεδομένων προσωπικού χαρακτήρα, οι υπάλληλοι είναι ενήμεροι για τις διατάξεις που αφορούν τα δεδομένα προσωπικού χαρακτήρα, χωρίς όμως να προσκομιστεί καμία απόδειξη, και τέλος, ότι δεν υπήρξε το παραμικρό πρόβλημα στο θέμα αυτό και ότι δεν υπάρχει Υπεύθυνος Προστασίας Δεδομένων. Επίσης, ανεφέρθη ότι στις … αφού ο Διοικητής μαζί με τον Προϊστάμενο Πυρασφάλειας διεπίστωσαν ότι η χρήση του επίμαχου υπολογιστή γίνεται ως επί το πλείστον για προσωπικά θέματα, τον έκλεισαν, χωρίς να γίνει άλλη ενέργεια πέραν της αναζήτησης του ιστορικού του ίντερνετ και χωρίς να γίνει καταγραφή και εξαγωγή στοιχείων. Αναφορικά με τη δεύτερη υπό κρίση καταγγελία, η καταγγέλλουσα αναφέρει ότι αιτήθηκε στις … αντίγραφα αποσπασμάτων Ημερησίας Διαταγής με ημερομηνίες … και … που αφορούν επιβολή πειθαρχικών ποινών και έχουν την υπογραφή της με την ημερομηνία 3 παραλαβής τους από την ίδια. Στις απόψεις που προσκόμισε η ΔΙ.Π.Υ.Ν. ανεφέρθη ότι «η ίδια (η καταγγέλλουσα) αναφέρει στην εναντίον μου καταγγελία ότι τα αιτούμενα έγγραφα της έχουν επιδοθεί και φέρουν την υπογραφή της με ημερομηνία παραλαβής τους από εκείνη την … . Συνεπώς, δεν υπήρχε λόγος εκ νέου χορήγησης Αντιγράφων Αποσπασμάτων Ημερησίας Διαταγής». Η καταγγέλλουσα στο Υπόμνημα που προσκόμισε αυτοβούλως στην Αρχή επί των απόψεων της Διοίκησης, ανέφερε ότι «τα αντίγραφα που μου έχουν επιδοθεί δεν έχουν την υπογραφή μου και την ημερομηνία παραλαβής» και ότι δεν είχε λάβει κάποια έγγραφη απάντηση θετική ή αρνητική στην αίτησή της για τη χορήγηση αυτών. Ενόψει των ανωτέρω, η Αρχή με τις υπ’ αρ. πρωτ. Γ/ΕΞ/664/17-02-2021, Γ/ΕΞ/665/17-022021, Γ/ΕΞ/666/17-02-2021 και Γ/ΕΞ/667/17-02-2021 κλήσεις κάλεσε προς ακρόαση i. την καταγγέλλουσα, Α, ii. τη Διοίκηση Πυροσβεστικών Υπηρεσιών Χ (ΔΙ.Π.Υ.Ν.), iii. την Περιφερειακή Πυροσβεστική Διοίκηση Ψ (ΠΕ.ΠΥ.Δ.), ως άμεσα ιεραρχικά προϊστάμενη Αρχή της ΔΙ.Π.Υ.Ν., και iv. το Αρχηγείο του Πυροσβεστικού Σώματος (εφεξής «Αρχηγείο» ή «ΑΠΣ»), ως ανώτατη επιτελική Υπηρεσία του Πυροσβεστικού Σώματος, να παραστούν στη συνεδρίαση του Τμήματος της Αρχής στις 24-02-2021, προκειμένου να συζητηθούν οι υπό εξέταση καταγγελίες και να εκθέσουν τις απόψεις τους. Κατά την εν λόγω συνεδρίαση, παρέστησαν η καταγγέλλουσα και εκ των καταγγελλομένων η νέα Διοικητής της ΔΙ.Π.Υ.Ν. Χ, Γ, και ο νέος Διοικητής της ΠΕ.ΠΥ.Δ., Δ. Παρών στη συνεδρίαση ήταν και ο Ε, Υπεύθυνος Προστασίας Δεδομένων (ΥΠΔ) του Αρχηγείου Πυροσβεστικού Σώματος, ο οποίος παραστάθηκε χωρίς να χρειαστεί να προβεί σε διευκρινίσεις κατόπιν ερωτημάτων της Αρχής. Κατά την έναρξη της διαδικασίας οι κληθέντες προς ακρόαση ερωτήθηκαν από την Αρχή σχετικά με το ποια ή ποιες υπηρεσίες έχουν την ιδιότητα του υπευθύνου επεξεργασίας και άπασες επιφυλάχθηκαν να απαντήσουν με υπόμνημα. Οι παριστάμενοι, αφού εξέφρασαν προφορικά τις απόψεις τους υπέβαλαν στην Αρχή εντός της ταχθείσας προθεσμίας, αφενός η καταγγέλλουσα το υπ’ αρ. πρωτ. Γ/ΕΙΣ/1463/02-03-2021 υπόμνημα και αφετέρου η καταγγελλόμενη ΔΙ.Π.Υ.Ν. το υπ’ αρ. πρωτ. Γ/ΕΙΣ/1573/05-03-2021 υπόμνημα. Η καταγγέλλουσα κατά την ανωτέρω ακρόαση αλλά και με το υπόμνημά της επεσήμανε, μεταξύ άλλων, αναφορικά με την πρώτη καταγγελία ότι δεν είχε ενημερωθεί από την υπηρεσία ούτε είχε υπογράψει κάποιο έγγραφο πολιτικής προστασίας των προσωπικών δεδομένων των εργαζομένων που τυχόν εφαρμόζεται ή Κανονισμού Χρήσης Ηλεκτρονικών Μέσων, ότι η επεξεργασία των προσωπικών δεδομένων λαμβάνει χώρα χωρίς την τήρηση της νομοθεσίας για τα προσωπικά δεδομένα και χωρίς να έχουν ληφθεί μέτρα 4 συμμόρφωσης, καθώς και ότι δεν γνωρίζει τι είδαν στον υπολογιστή της κατά τη διενέργεια του ελέγχου. Ο Διοικητής της ΠΕ.ΠΥ.Δ. κατά την ανωτέρω ακρόαση υποστήριξε ότι στο πλαίσιο της εργασίας τους δεν υπάρχει η έννοια του «υπολογιστή μου», καθώς αυτός ανήκει στην Υπηρεσία και σε αυτόν έχουν πρόσβαση ο Διοικητής και οι υπάλληλοι και επομένως, δεν τίθεται ζήτημα επεξεργασίας προσωπικών δεδομένων και δεν μπορεί να ζητηθεί άδεια για να γίνει έλεγχος του υπολογιστή, καθώς επίσης ότι δεν υπάρχει λόγος να αναφερόμαστε σε προσωπικά δεδομένα αφού το ζήτημα αφορά ιστοσελίδες και μέσα κοινωνικής δικτύωσης που επισκέφθηκε η καταγγέλλουσα. Επίσης, ανέφερε ότι σε επίπεδο Υπηρεσιών δεν έχουν πραγματοποιηθεί ενέργειες συμμόρφωσης με τον ΓΚΠΔ, ωστόσο στο πρωτόκολλο έχουν ορίσει υπεύθυνο υπάλληλο και πρόσβαση έχουν μόνο όσοι έχουν σχέση με το αντικείμενο. Η Διοικητής της ΔΙ.Π.Υ.Ν. κατά την ανωτέρω ακρόαση ενημέρωσε την Αρχή ότι ο Β, με τον οποίο είχε διαμειφθεί η αλληλογραφία με την Αρχή ήταν τέως Διοικητής της Υπηρεσίας, καθώς έχει αποστρατευτεί και στο Υπόμνημα που υπέβαλε η ΔΙ.Π.Υ.Ν. ανεφέρθη ότι στο πλαίσιο εφαρμογής του ΓΚΠΔ και του ν. 4624/2019, η Υπηρεσία συγκεντρώνει προσωπικά δεδομένα των υπαλλήλων, ώστε να συγκροτήσει τον αντίστοιχο ατομικό φάκελο του κάθε ξεχωριστού υπαλλήλου και είναι υπό διαδικασία μετατροπής σε ηλεκτρονικά ατομικά βιβλιάρια, ενώ «σε κάθε περίπτωση που προκύπτει ζήτημα πρόσβασης σε έγγραφα που περιέχουν δεδομένα προσωπικού χαρακτήρα (απλών ή/και ευαίσθητων) η Υπηρεσία απευθύνεται ιεραρχικά στην Δ/νση Νομικής Υποστήριξης του Αρχηγείου Πυροσβεστικού Σώματος (Α.Π.Σ.), ώστε να εξασφαλίζεται η ad hoc συμμόρφωση με τις ανωτέρω ειδικές διατάξεις, καθώς και με τα οριζόμενα στο άρ. 5 του ν.2690/99.» Επίσης, ανέφερε ότι η Υπηρεσία είναι σε διαδικασία εκπόνησης Πολιτικής Προστασίας, η οποία εξαρτάται και από τη διαδικασία έκδοσης των κανονιστικών πράξεων σχετικά με τα ηλεκτρονικά ατομικά βιβλιάρια και «δεν διαθέτει ηλεκτρονικούς υπολογιστές με μοναδικούς χρήστες, αλλά μόνο κοινόχρηστους, των οποίων η χρήση αποσκοπεί αποκλειστικά στη διεξαγωγή και διεκπεραίωση των υπηρεσιακών καθηκόντων. Κάθε χρήση που εκφεύγει των καθηκόντων αυτών δεν επιτρέπεται. Ο έλεγχος της εκτέλεσης των καθηκόντων των υπαλλήλων επαφίεται στο Διοικητή της Υπηρεσίας (άρ. 19 του π.δ. 210/92).

1. Σχετικά με τις καταγγελίες της Α σας ενημερώνουμε ότι βρίσκεται σε εξέλιξη Ένορκη Διοικητική Εξέταση.
2. Η Υπηρεσία μας δεν έχει ορίσει ξεχωριστό Υπεύθυνο Προστασίας Δεδομένων, ελλείψει υπαλλήλου με την ιδιότητα του νομικού, αλλά απευθύνεται για γνωμοδότηση κατά περίπτωση στον Υπεύθυνο Προστασίας Δεδομένων του ΑΠΣ, Ε.» 5 Επισημαίνεται ότι δεν παρεσχέθησαν απαντήσεις με το Υπόμνημα που προσκόμισε η ΔΙ.Π.Υ.Ν. στις ακόλουθες ερωτήσεις που τέθηκαν κατά την ακροαματική διαδικασία: α. εάν υπάρχουν αρχεία με προσωπικά δεδομένα στον υπολογιστή που πραγματοποιήθηκε ο έλεγχος, β. πώς γίνεται να παραμένουν ανοιχτές οι ιστοσελίδες για ημέρες χωρίς κωδικό προστασίας του υπολογιστή, και γ. ποια είναι τα μέτρα ασφαλείας των προσωπικών δεδομένων που λαμβάνει η Υπηρεσία. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, την ακροαματική διαδικασία και αφού άκουσε τον εισηγητή και τη βοηθό εισηγητή, η οποία αποχώρησε μετά από τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης, μετά από διεξοδική συζήτηση ΣΚΕΦΘΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
3. Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (ΕΕ) 2016/679 (εφεξής «ΓΚΠΔ») και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
4. Προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, ήτοι επεξεργασίας σύμφωνα προς τις απαιτήσεις του ΓΚΠΔ, θα πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ
5. Η ύπαρξη ενός νόμιμου θεμελίου (άρθ. 6 ΓΚΠΔ) δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των αρχών (αρ. 5 παρ. 1 ΓΚΠΔ) αναφορικά με τον θεμιτό χαρακτήρα, την αναγκαιότητα και τη διαφάνεια
6. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπομένων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία παρίσταται ως μη νόμιμη (αντικείμενη στις διατάξεις του ΓΚΠΔ) και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των λοιπών διατάξεων και των νομικών βάσεων του άρθρου 6 ΓΚΠΔ. Έτσι, η κατά Βλ. Απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ) της 16-01-2019 στην υπόθεση C496/2017 Deutsche Post AG κατά Hauptzollamt Köln «
7. Ωστόσο, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να είναι σύμφωνη, αφενός προς τις αρχές που πρέπει να τηρούνται ως προς την ποιότητα των δεδομένων, τις οποίες θέτει το άρθρο 6 της οδηγίας 95/46 ή το άρθρο 5 του κανονισμού 2016/679 και, αφετέρου, προς τις βασικές αρχές της νόμιμης επεξεργασίας δεδομένων που απαριθμεί το άρθρο 7 της οδηγίας αυτής ή το άρθρο 6 του κανονισμού αυτού (πρβλ. αποφάσεις ΔΕΕ C-465/00, C-138/01, C-139/01, C-131/12)». 2 Σχετικά βλ. Λ. Μήτρου, ο γενικός κανονισμός προστασίας προσωπικών δεδομένων [νέο δίκαιο-νέες υποχρεώσεις-νέα δικαιώματα], εκδ. Σάκκουλα, 2017 σελ. 58 και 69-
8. 1 6 παράβαση των αρχών του άρθρου 5 ΓΚΠΔ μη νόμιμη επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη τυχόν νόμιμου σκοπού και νομικής βάσης. Επιπλέον δε, το ΔΕΕ 3 έκρινε ως προϋπόθεση της θεμιτής και νόμιμης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα την ενημέρωση του υποκειμένου των δεδομένων προ της επεξεργασίας αυτών.
9. Περαιτέρω, ο υπεύθυνος επεξεργασίας, στο πλαίσιο της από μέρους του τήρησης της αρχής της θεμιτής ή δίκαιης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, οφείλει να ενημερώνει το υποκείμενο των δεδομένων ότι πρόκειται να επεξεργαστεί τα δεδομένα του με νόμιμο και διαφανή τρόπο 4 και να βρίσκεται σε θέση ανά πάσα στιγμή να αποδείξει τη συμμόρφωσή του με τις αρχές αυτές
10. Η επεξεργασία δεδομένων προσωπικού χαρακτήρα με διαφανή τρόπο συνιστά έκφανση της αρχής της θεμιτής επεξεργασίας και συνδέεται με την αρχή της λογοδοσίας 6, παρέχοντας το δικαίωμα στα υποκείμενα να ασκούν έλεγχο επί των δεδομένων τους καθιστώντας υπόλογους τους υπεύθυνους επεξεργασίας
11. Η συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θα πρέπει να λαμβάνει χώρα μυστικά ή με απόκρυψή της από το υποκείμενο των δεδομένων, καθώς και με απόκρυψη όλων των αναγκαίων πληροφοριών, εκτός εάν προβλέπεται από τη νομοθεσία, τηρουμένων των προϋποθέσεων του άρθρου 8 ΕΣΔΑ, όπως ερμηνεύεται με τις αποφάσεις του ΕΔΔΑ και πάντοτε υπό το πρίσμα της αρχής της αναλογικότητας
13. Σύμφωνα με το άρθρο 4 παρ. 7 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας καθορίζει τους σκοπούς και τον τρόπο της επεξεργασίας των δεδομένων. Το υποκειμενικό πεδίο εφαρμογής, σε σχέση με τον δημόσιο τομέα, της έννοιας του υπευθύνου επεξεργασίας, η οποία αποτελεί αυτόνομη έννοια του ενωσιακού δικαίου, και, ειδικότερα, σε σχέση με το περιεχόμενο των όρων δημόσια αρχή και δημόσια υπηρεσία, συναρτάται με τη διοικητική οργάνωση των εθνικών εννόμων τάξεων. Βασικό για τον προσδιορισμό του υπευθύνου επεξεργασίας είναι το λειτουργικό κριτήριο. Δηλαδή υπεύθυνος επεξεργασίας είναι αυτός που καθορίζει τον σκοπό ή/και τα ουσιώδη, τουλάχιστον, στοιχεία του τρόπου της επεξεργασίας. Ο Βλ. την από 01-10-2015 Απόφασή του στο πλαίσιο της υπόθεσης C-201/14 (Smaranda Bara). Βλ. ΔΕΕ C-496/17 και ΔΕΕ C-201/14 της 01-10-2015 παρ. 31-35 και ιδίως
14. 5 Αρχή της λογοδοσίας κατ’ άρ. 5 παρ. 2 σε συνδυασμό με άρθρα 24 παρ. 1 και 32 ΓΚΠΔ. 6 Βλ. Αποφάσεις ΑΠΔ 26/2019, σελ. 15-17, 43/2019, σελ.
15. 7 Βλ. Κατευθυντήριες Γραμμές ΟΕ 29, Guidelines on transparency under Regulation 2016/679, WP260 rev.01, σελ. 4 και
16. 8 Βλ. Απόφαση ΑΠΔ 43/2019, σκ.
17. 3 4 7 καθορισμός των στόχων και του τρόπου ισοδυναμεί με τον καθορισμό, αντίστοιχα, του «γιατί» και του «πώς» ορισμένων δραστηριοτήτων επεξεργασίας
19. Στη δημόσια διοίκηση το εν λόγω κριτήριο συνάπτεται κατ’ αρχήν µε τις αρμοδιότητες που απονέμει ο νόμος σε συγκεκριμένη αρχή, υπηρεσία ή νομικό πρόσωπο δημοσίου δικαίου, οι οποίες, επιπλέον, θα πρέπει στην πράξη να ασκούνται από τον φορέα αυτό. Δομικό στοιχείο της έννοιας του υπευθύνου επεξεργασίας είναι η επιρροή που ασκεί δυνάμει άσκησης εξουσίας λήψης αποφάσεων, αρμοδιότητα που μπορεί να ορίζεται από τον νόμο ή μπορεί να προέρχεται από την ανάλυση των πραγματικών στοιχείων ή των περιστάσεων που αφορούν την υπόθεση, ενώ επισημαίνεται ότι είναι µια λειτουργική έννοια, η οποία προορίζεται να κατανείμει αρμοδιότητες εκεί όπου βρίσκεται η πραγματολογική επιρροή. Σύμφωνα δε, με τις Κατευθυντήριες Γραμμές 07/2020 του ΕΣΠΔ «στις περισσότερες περιπτώσεις, “ο φορέας που καθορίζει" μπορεί εύκολα και ξεκάθαρα να προσδιοριστεί με αναφορά σε ορισμένες νομικές ή/και πραγματικές περιστάσεις από τις οποίες μπορεί να συναχθεί η “επιρροή”, εκτός εάν άλλα στοιχεία υποδηλώνουν το αντίθετο».
20. Σύμφωνα με την υπ’ αρ. 115/2011 Οδηγία της Αρχής για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα στις εργασιακές σχέσεις, όπως προκύπτει από την αρχή του σκοπού, η συλλογή και επεξεργασία δεδομένων προσωπικού χαρακτήρα των εργαζομένων επιτρέπεται αποκλειστικά για σκοπούς που συνδέονται άμεσα με τη σχέση απασχόλησης και εφ’ όσον είναι αναγκαία για την εκπλήρωση των εκατέρωθεν υποχρεώσεων που θεμελιώνονται σε αυτήν τη σχέση, είτε αυτές πηγάζουν από τον νόμο, είτε από τη σύμβαση
22. Το γεγονός ότι η επεξεργασία πληροφοριών άπτεται κατά περιεχόμενο επαγγελματικής δραστηριότητας, δεν ασκεί συναφώς επιρροή και δεν αναιρεί τον χαρακτηρισμό τους ως δεδομένων προσωπικού χαρακτήρα 11, ούτε συνεπάγεται εξαίρεση από τη συναφή προστασία 12, ακόμη και όταν ο υπεύθυνος επεξεργασίας Βλ. για την έννοια του υπευθύνου και εκτελούντος την επεξεργασία τη Γνώμη 1/2010 της Ο.Ε. του Άρθρου 29, καθώς και τις σκέψεις 22 – 24 των κατευθυντηρίων γραμμών 07/2020 του ΕΣΠΔ για τις έννοιες του υπεύθυνου επεξεργασίας και του εκτελούντος την επεξεργασία στον ΓΚΠΔ. 10 Οδηγία Αρχής 115/2011, σελ. 10, διαθέσιμη στην ιστοσελίδα της. 11 Βλ. ΔΕΕ C-345/2017 απόφαση Sergejs Buivids της 14-02-2019 παρ. 46, ΔΕΕ C-398/2015 απόφαση Salvatore Manni της 09-3-2017 παρ. 34, ΔΕΕ C-615/13 Client Earth απόφαση της 16-7-2015, παρ. 30, 32, ΔΕΕ C-92/09 & C-93/09 απόφαση Volker und Markus Schecke GbR & Hartmut Eifert κατά Land Hessen της 09-11-2010 παρ.
23. 12 Βλ. Οργανισμό Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκή Ένωσης (FRA), Εγχειρίδιο σχετικά με την ευρωπαϊκή νομοθεσία για την προστασία των προσωπικών δεδομένων, έκδοση 2014 σελ. 50 και έκδοση 2018 (αγγλόφωνη) σελ. 86-
24. 9 8 ενεργεί στο πλαίσιο της ασκήσεως των δημόσιων καθηκόντων του 13, ενώ η προστασία της «ιδιωτικής ζωής» δεν εξαιρεί την επαγγελματική ζωή και δεν περιορίζεται στη ζωή εντός του τόπου κατοικίας.
25. Ως εκ τούτου, το να μη γίνει δεκτό ότι η επεξεργασία πληροφοριών που άπτονται της επαγγελματικής ζωής ή λαμβάνει χώρα μέσω πληροφοριακών συστημάτων (π.χ. ηλεκτρονικών υπολογιστών) που ανήκουν στον εργοδότη συνιστούν δεδομένα προσωπικού χαρακτήρα θα είχε ως συνέπεια να μην τηρούνται οι αρχές και οι εγγυήσεις προστασίας και κυρίως ο έλεγχος που ασκείται από την αρχή ελέγχου
27. Οι εργαζόμενοι έχουν μια εύλογη προσδοκία προστασίας της ιδιωτικής ζωής τους στον τόπο εργασίας, η οποία δεν αίρεται από το γεγονός ότι χρησιμοποιούν εξοπλισμό, συσκευές επικοινωνιών ή οποιεσδήποτε άλλες επαγγελματικές εγκαταστάσεις και υποδομές (π.χ. δίκτυο ηλεκτρονικών επικοινωνιών, Wi-Fi, εταιρικές ηλεκτρονικές διευθύνσεις αλληλογραφίας κ.λπ.) του εργοδότη
28. Το γεγονός ότι ο εργοδότης-δημόσιος φορέας μπορεί να είναι ο ιδιοκτήτης των ηλεκτρονικών μέσων επικοινωνίας (π.χ. ηλεκτρονικών υπολογιστών) δεν οδηγεί σε απεμπόληση του δικαιώματος των εργαζομένων στην προστασία των δεδομένων προσωπικού χαρακτήρα, του δικαιώματος στην προστασία του απορρήτου των επικοινωνιών και των σχετικών δεδομένων θέσης
29. Η πρόσβαση από τον εργοδότη σε αποθηκευμένα προσωπικά δεδομένα στον υπολογιστή του εργαζομένου συνιστά επεξεργασία δεδομένων προσωπικού χαρακτήρα
30. Τα ανωτέρω ισχύουν σε περίπτωση πρόσβασης σε δεδομένα προσωπικού χαρακτήρα που περιέχονται σε κάθε αποθηκευτικό μέσο ή σύστημα ηλεκτρονικών επικοινωνιών 18, όπως και σε ιστορικό επίσκεψης ιστοσελίδων
32. Ο εργοδότης σε κάθε περίπτωση, σύμφωνα με τις αρχές τις διαφάνειας και της νομιμότητας, θα πρέπει να γνωστοποιεί και να εφαρμόζει πολιτικές αποδεκτής χρήσης των ηλεκτρονικών μέσων που χρησιμοποιούν οι εργαζόμενοι, οι οποίες θα περιγράφουν την επιτρεπόμενη χρήση των δικτύων και του εξοπλισμού του φορέα Γενικό Δικαστήριο ΕΕ Τ-496/13 απόφαση McCullough της 11-6-2015 για τη συμπερίληψη των ονομάτων των υποκειμένων των δεδομένων στα πρακτικά συνεδρίασης ανεξαρτήτως του γεγονότος ότι ασκούν δημόσια εξουσία παρ. 66 ή ότι έχουν ήδη δημοσιοποιηθεί, βλ. ΔΕΕ C-127/13 απόφαση Guido Strack της 02-10-2014 ιδίως παρ.
33. 14 Βλ. ΔΕΕ C-434/16 απόφαση Peter Nowak v Ireland Data Protection Commissioner της 20-12-2017, παρ.
34. 15 βλ. Αποφάσεις ΑΠΔ 43/2019, 34/2018, 61/
35. 16 Βλ. ΟΕ29 Γνώμη 2/17, σελ.
36. 17 Βλ. Αποφάσεις ΑΠΔ 34/2018 και 61/
37. 18 Βλ. Αποφάσεις ΑΠΔ 43/2019, αιτ. σκ. 9 και 44/2019, αιτ. σκ.
38. 19 Βλ. ΕΔΔΑ Barbulescu κ. Ρουμανίας της 05-09-2017, σκ.
39. 13 9 και την πραγματοποιούμενη επεξεργασία λεπτομερώς 20, όπως και τη δυνατότητα πρόσβασης του εργοδότη στα ηλεκτρονικά μέσα που χρησιμοποιούν οι εργαζόμενοι
40. Ο εργοδότης επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα των εργαζομένων κατ’ αρχήν βάσει της συμβατικής τους σχέσης και ασκώντας το διευθυντικό του δικαίωμα για την εύρυθμη λειτουργία του οργανισμού δικαιούται να ασκεί έλεγχο επί των ηλεκτρονικών μέσων επικοινωνίας που παρέχει στους εργαζόμενους για την εργασία τους, εφόσον η συναφής επεξεργασία, τηρουμένης της αρχής της αναλογικότητας, είναι αναγκαία για την ικανοποίηση του έννομου συμφέροντος που επιδιώκει και υπό τον όρο ότι τούτο υπερέχει προφανώς των δικαιωμάτων και συμφερόντων του εργαζομένου, χωρίς να θίγονται οι θεμελιώδεις ελευθερίες αυτού κατ’ άρ. 6 παρ. 1 εδ. στ’ ΓΚΠΔ και αφού έχει ενημερωθεί ο τελευταίος έστω και για τη δυνατότητα συναφούς ελέγχου
41. Στην περίπτωση αυτή, θα πρέπει να επιτευχθεί η δίκαιη και αναγκαία ισορροπία μεταξύ των σκοπών επίτευξης των εννόμων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας από τη μία 23 και του σεβασμού των εύλογων και νόμιμων προσδοκιών των εργαζομένων για την προστασία των δεδομένων προσωπικού χαρακτήρα στον εργασιακό χώρο, από την άλλη.
42. Αναφορικά με το δικαίωμα πρόσβασης, λαμβάνοντας υπόψη τα άρθρα 12 και 15 του ΓΚΠΔ σε συνδυασμό με την αιτιολογική σκέψη 63 του ΓΚΠΔ, το άρθρο 33 του νόμου 4624/2019 που εισάγει, δυνάμει του άρθρου 23 του ΓΚΠΔ, περιορισμούς στο δικαίωμα πρόσβασης και όπως παγίως δέχεται η Αρχή, το υποκείμενο των δεδομένων έχει δικαίωμα να γνωρίζει εάν δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία, καθώς και να λαμβάνει γνώση αυτών, χωρίς να απαιτείται προς τούτο η επίκληση εννόμου συμφέροντος 24 και κάθε υποκείμενο των δεδομένων θα πρέπει να έχει δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα, τα οποία συλλέχθηκαν και το αφορούν και να μπορεί να ασκεί το εν λόγω δικαίωμα ευχερώς και σε εύλογα τακτά διαστήματα, προκειμένου να έχει επίγνωση και να επαληθεύει τη νομιμότητα της επεξεργασίας. Ο υπεύθυνος επεξεργασίας δε, σε κάθε περίπτωση έχει υποχρέωση να απαντήσει, έστω και αρνητικά σε σχετικό ΟΕ άρθρου 29, Γνώμη 2/2017 σχετικά με την επεξεργασία των δεδομένων στην εργασία, παρ. 3.1.2, 4, 5.
43. 21 Βλ. για ελάχιστο περιεχόμενο πολιτικής ορθής χρήσης ΟΕ29 Έγγραφο εργασίας για την επιτήρηση ηλεκτρονικών επικοινωνιών στον τόπο εργασίας WP55 της 29.5.2002 και Απόφαση Αρχής 34/
44. 22 Βλ. αναλυτικά Απόφαση Αρχής 34/2018 και 43/
45. 23 Βλ. ΟΕ29, Γνώμη 2/2017 σχετικά με την επεξεργασία των δεδομένων στην εργασία, σελ.
46. 24 Βλ. ιδίως, Αποφάσεις της Αρχής 32/2019, 144/2017 195/2014 193/2014 και 75/2011 20 10 αίτημα του υποκειμένου 25, ενώ η μη απάντηση αποτελεί αυτοτελή παραβίαση του ΓΚΠΔ.
47. Τέλος, αναφορικά με τον Υπεύθυνο Προστασίας Δεδομένων (εφεξής ΥΠΔ), σύμφωνα με τα άρθρα 37 του ΓΚΠΔ και 6 του ν. 4624/2019, αναγνωρίζεται ως καίρια συνιστώσα του νέου συστήματος διακυβέρνησης δεδομένων και θεσπίζονται οι προϋποθέσεις για τον ορισμό, τη θέση και τα καθήκοντά του.
48. Κατά τις προαναφερόμενες διατάξεις του ΓΚΠΔ και του ν. 4624/2019 προβλέπεται η δυνατότητα ορισμού ενός ΥΠΔ για περισσότερες δημόσιες αρχές ή φορείς, στην περίπτωση όμως αυτή, ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία, πρέπει 26 να διασφαλίζει ότι ο ένας μόνο υπεύθυνος προστασίας δεδομένων, συνεπικουρούμενος από ομάδα εφόσον απαιτείται, δύναται να επιτελεί αποτελεσματικά όλα τα καθήκοντά του για όλες τις δημόσιες αρχές και δημόσιους φορείς, στους οποίους έχει οριστεί
50. Στην πρώτη υπό εξέταση καταγγελία, από τα στοιχεία του φακέλου και από την ακροαματική διαδικασία, προέκυψαν τα ακόλουθα: Οι κληθείσες σε ακρόαση δημόσιες υπηρεσίες - αρχές (δημόσιοι φορείς κατ’ άρ. 4 εδ. α’ συνδ. 2 εδ. α’ ν. 4624/2019) στο πλαίσιο της ιεραρχικής τους διάρθρωσης, αγνοούσαν και δεν είχαν προσδιορίσει εσωτερικά, στο πλαίσιο της απαιτούμενης πραγματολογικής ανάλυσης κατά τα προεκτεθέντα, ποια ή ποιες είχαν την ιδιότητα του υπεύθυνου επεξεργασίας, ακόμη και κατά τον χρόνο ακρόασης ενώπιον της Αρχής. Επομένως, η κάθε είδους επεξεργασία προσωπικών δεδομένων λάμβανε χώρα χωρίς να καθορίζεται ο σκοπός και ο τρόπος επεξεργασίας των προσωπικών δεδομένων από συγκεκριμένη δημόσια αρχή ή υπηρεσία κατ’ άρ. 4 παρ. 7 ΓΚΠΔ. Συνέπεια της ανυπαρξίας εσωτερικού προσδιορισμού μεταξύ των περισσοτέρων δημοσίων υπηρεσιών-αρχών σχετικά με την ιδιότητα του υπευθύνου επεξεργασίας, υπήρξε αφενός η παντελής απουσία λήψης μέτρων συμμόρφωσης προς τις απαιτήσεις του ΓΚΠΔ και του ν. 4624/2019 μέσω της εφαρμογής των κατάλληλων τεχνικών και οργανωτικών μέτρων κατ’ άρ. 5 παρ. 1 συνδ. 24 παρ. 1,2 και 32 παρ. 1, 2 ΓΚΠΔ (αιτ. σκ. 78 ΓΚΠΔ), αφετέρου, η αδυναμία του κάθε υποκειμένου των δεδομένων (όπως εν προκειμένω η καταγγέλλουσα) να ενημερώνεται για τον φορέα Βλ. Απόφαση ΣτΕ 2627/2019, Απόφαση Αρχής 43/2019, αιτ. σκ.
51. Βλ. Κατευθυντήριες Γραμμές «σχετικά με τους υπευθύνους προστασίας δεδομένων» που εξέδωσε η Ομάδα Εργασίας του άρθρου 29 27 WP 243 rev. 01 από 13.12.2016, όπως αναθεωρήθηκε τελευταία και εγκρίθηκε στις 05.04.2017, σελ.14, διαθέσιμο στην ιστοσελίδα https://edpb.europa.eu 25 26 11 που έχει τον ρόλο του υπευθύνου επεξεργασίας για την άσκηση των δικαιωμάτων του και κατ’ επέκταση για τη δυνατότητα διασφάλισης δίκαιης και διαφανούς επεξεργασίας (αιτ. σκ. 60 ΓΚΠΔ), καθώς και για την επαλήθευση της νομιμότητας της επεξεργασίας (αιτ. σκ. 63 ΓΚΠΔ). Η παντελής έλλειψη συμμόρφωσης προς τις απαιτήσεις του ΓΚΠΔ και του ν. 4624/2019, περιλαμβανομένης της απουσίας εφαρμογής πολιτικών προστασίας προσωπικών δεδομένων, πέραν του ότι διαπιστώθηκε από την Αρχή στο πλαίσιο της παρούσας διαδικασίας, όπως θα καταδειχθεί αναλυτικά κατωτέρω, επιβεβαιώθηκε επιπλέον από: - την υπ’ αρ. πρωτ. Γ/ΕΙΣ/6905/09-10-2020 απάντηση της ΔΙ.Π.Υ.Ν. διά του τέως Διοικητή της προς την Αρχή, με την οποία υπέβαλε αίτημα ενημέρωσης σχετικά με το εάν αποτελεί παραβίαση προσωπικών δεδομένων η πρόσβαση σε υπηρεσιακό υπολογιστή από Προϊστάμενο ή Διοικητή Υπηρεσίας και εάν απαιτείται η άδεια υπαλλήλου για να χρησιμοποιήσει ο Διοικητής μιας υπηρεσίας οποιονδήποτε από τους υπολογιστές που ανήκουν σε αυτή, γεγονός το οποίο αποδεικνύει την πλήρη απουσία γνώσης και εφαρμογής των διατάξεων του ΓΚΠΔ και του ν. 4624/2019, - τη μη αποστολή καμίας πολιτικής προστασίας δεδομένων και κανενός εγγράφου ή κάθε άλλου είδους απόδειξης συμμόρφωσης προς τις απαιτήσεις του ΓΚΠΔ και του ν. 4624/2019 σε απάντηση του υπ’ αρ. πρωτ. Γ/ΕΞ/6429-2/18-12-2020 εγγράφου – αιτήματος προσκόμισης της Αρχής, - τη μη προσκόμιση καμίας απόδειξης ότι οι υπάλληλοι είναι ενήμεροι για τις διατάξεις που αφορούν τα προσωπικά δεδομένα εάν και η ΔΙ.Π.Υ.Ν. με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/41/04-01-2021 έγγραφό της επικαλέσθηκε τη σχετική ενημέρωση των υπαλλήλων, - την παραδοχή με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/41/04-01-2021 έγγραφο της ΔΙ.Π.Υ.Ν. ότι δεν υπάρχει Υπεύθυνος Προστασίας Δεδομένων, - την προφορική τοποθέτηση και παραδοχή του Διοικητή της ΠΕ.ΠΥ.Δ κατά την ακρόαση ενώπιον της Αρχής ότι σε επίπεδο υπηρεσιών δεν έχουν πραγματοποιηθεί ενέργειες συμμόρφωσης με τον ΓΚΠΔ, - το μετ’ ακρόαση υπόμνημα της ΔΙ.Π.ΥΝ. κατά το οποίο «[…] η Υπηρεσία μας είναι σε διαδικασία εκπόνησης Πολιτικής Προστασίας για την πληρέστερη ενημέρωση των υπαλλήλων» και άρα η επεξεργασία προσωπικών δεδομένων λαμβάνει χώρα χωρίς τη λήψη τεχνικών και οργανωτικών μέτρων συμμόρφωσης, 12 - την παραδοχή της ΔΙ.Π.Υ.Ν. με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/41/04-01-2021 έγγραφό της, σύμφωνα με το οποίο «το εν λόγω προσωπικό διαθέτει έναν κοινόχρηστο υπολογιστή […] χωρίς κωδικούς…», - το μετ’ ακρόαση υπόμνημα της ΔΙ.Π.ΥΝ. κατά το οποίο «[…]
52. Η Υπηρεσία μας δεν έχει ορίσει ξεχωριστό Υπεύθυνο Προστασίας Δεδομένων, ελλείψει υπαλλήλου με την ιδιότητα του νομικού, αλλά απευθύνεται για γνωμοδότηση κατά περίπτωση στον Υπεύθυνο Προστασίας Δεδομένων του ΑΠΣ…», χωρίς όμως να προσκομίσει οιαδήποτε απόδειξη ότι έχει οποτεδήποτε απευθυνθεί για γνωμοδότηση στον ΥΠΔ του ΑΠΣ, ούτε όμως προέβαλε προηγουμένως τον ισχυρισμό αυτό κατά την ακρόαση ενώπιον της Αρχής παρουσία του ΥΠΔ του ΑΠΣ, οπότε και θα είχαν ζητηθεί από την Αρχή σχετικές διευκρινίσεις από τον ΥΠΔ του ΑΠΣ, - την πλήρη απουσία απαντήσεων στο μετ’ ακρόαση υπόμνημα ως προς τα ερωτήματα που έθεσε η Αρχή κατά την ακρόαση και ειδικότερα «α. εάν υπάρχουν αρχεία με προσωπικά δεδομένα στον υπολογιστή που πραγματοποιήθηκε ο έλεγχος, β. πώς γίνεται να παραμένουν ανοιχτές οι ιστοσελίδες για ημέρες χωρίς κωδικό προστασίας του υπολογιστή, και γ. ποια είναι τα μέτρα ασφαλείας των προσωπικών δεδομένων που λαμβάνει η Υπηρεσία».
53. Το Αρχηγείο του Πυροσβεστικό Σώματος είναι η ανώτατη επιτελική υπηρεσία του Πυροσβεστικού Σώματος, η αρμοδιότητα του οποίου ως κεντρική υπηρεσία εκτείνεται σε ολόκληρη την Επικράτεια και στο οποίο υπάγονται με σειρά ιεραρχίας οι αποκεντρωμένες υπηρεσίες με τοπική αρμοδιότητα, ήτοι η Περιφερειακή Πυροσβεστική Διοίκηση Ψ (ΠΕ.ΠΥ.Δ.) και η καταγγελλόμενη Διοίκηση Πυροσβεστικών Υπηρεσιών Νομού Χ (ΔΙ.Π.Υ.Ν.)
54. Επίσης, «η λειτουργία των γραφείων και η διεξαγωγή γενικά της υπηρεσίας σ’ αυτά γίνεται με ευθύνη του Διοικητή, σύμφωνα με τη νομοθεσία που ισχύει και τις σχετικές διαταγές του Αρχηγείου Πυροσβεστικού Σώματος»
55. Το Αρχηγείο ως δημόσιος φορέας, ο οποίος στο πλαίσιο των αρμοδιοτήτων και των καθηκόντων του ενεργεί ως υπεύθυνος επεξεργασίας, καθώς καθορίζει τον σκοπό ή/και τα ουσιώδη, τουλάχιστον, στοιχεία του τρόπου της επεξεργασίας των δεδομένων που θα πρέπει να εφαρμόζει το ίδιο, όπως και οι υπηρεσίες και οι μονάδες που υπάγονται σε αυτό, επεξεργάζεται δεδομένα προσωπικού χαρακτήρα των υπαλλήλων που εργάζονται σε αυτόν, των Νόμος 3511/2006 Αναδιοργάνωση του Πυροσβεστικού Σώματος, αναβάθμιση της αποστολής του και άλλες διατάξεις (ΦΕΚ 258/Α/27-11-2006), ως ισχύει τροποποιηθείς 29 άρ. 19 Π.Δ. 210/1992 Κωδικοποίηση διατάξεων Προεδρικών Διαταγμάτων του Κανονισμού Εσωτερικής Υπηρεσίας του Πυροσβεστικού Σώματος. (ΦΕΚ 99/16-06-1992). 28 13 πολιτών/φυσικών προσώπων, καθώς και των προμηθευτών που τυχόν συνεργάζονται με αυτόν, οφείλει να συμμορφώνεται με το πλαίσιο προστασίας των δεδομένων προσωπικού χαρακτήρα, εφόσον υφίστανται οι προβλεπόμενες από το άρθρο 6 ΓΚΠΔ νομικές βάσεις, και εφαρμοζομένων των αρχών επεξεργασίας του άρθρου 5 του ΓΚΠΔ, λαμβανομένου υπόψη ότι έχει πλέον παρέλθει ικανό χρονικό διάστημα από την έναρξη ισχύος του ΓΚΠΔ και του ν. 4624/
57. Το Αρχηγείο ως υπεύθυνος επεξεργασίας, στο πλαίσιο της αρχής της λογοδοσίας υποχρεούται να σχεδιάζει, εφαρμόζει και να λαμβάνει τα αναγκαία τεχνικά και οργανωτικά μέτρα, περιλαμβανομένου του σχεδιασμού και εφαρμογής των απαραίτητων πολιτικών και διαδικασιών κατ’ άρ. 24 παρ. 1, 2 συνδ. 32 παρ. 1, 2 ΓΚΠΔ 30 προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις και να μπορεί να αποδείξει τη συμμόρφωση προς αυτές.
58. Περαιτέρω, επειδή στη δημόσια διοίκηση η ιεραρχία αποτελεί τρόπο εσωτερικής οργάνωσής της που έχει ως στόχο την εξασφάλιση της αδιάλειπτης συνέχειας του έργου της 31 και τη συνοχή των κανόνων που εφαρμόζονται μεταξύ των μονάδων και υπηρεσιών που υπάγονται κάτω από το ανώτερο όργανο του φορέα και επειδή το λειτουργικό κριτήριο συνάπτεται κατ’ αρχήν µε τις αρμοδιότητες που απονέμει ο νόμος σε συγκεκριμένη αρχή, υπηρεσία ή νοµικό πρόσωπο δημοσίου δικαίου, οι οποίες, επιπλέον, θα πρέπει στην πράξη να ασκούνται από τον φορέα αυτό, η Αρχή διαπιστώνει ότι θα έπρεπε το Αρχηγείο του Πυροσβεστικού Σώματος, ως επιτελική αρχή του Σώματος και ενεργώντας ως υπεύθυνος επεξεργασίας να έχει προβεί σε όλες τις απαραίτητες ενέργειες συμμόρφωσης με το νομοθετικό πλαίσιο προστασίας των δεδομένων προσωπικού χαρακτήρα, με την εκπόνηση πολιτικών και διαδικασιών προστασίας των δεδομένων προσωπικού χαρακτήρα, περιλαμβανομένου Κανονισμού Ορθής Χρήσης Ηλεκτρονικών Μέσων, τις οποίες θα έπρεπε να έχουν εφαρμόσει οι υπηρεσίες και οι μονάδες που υπάγονται διοικητικά σε αυτό και στην προκειμένη περίπτωση και η ΔΙ.Π.Υ.Ν. Για τον λόγο αυτό, αν και το Αρχηγείο έχει ήδη ορίσει Υπεύθυνο Προστασίας Δεδομένων, στον οποίο η ΔΙ.Π.Υ.Ν. θα μπορούσε να απευθύνεται για παροχή συμβουλών και για γνωμοδότηση κατά περίπτωση, όπως αναφέρεται στο Υπόμνημα που υπέβαλε η ΔΙ.Π.Υ.Ν. μετά από την ακροαματική διαδικασία, εν τούτοις από κανένα αποδεικτικό στοιχείο δεν προέκυψε Βλ. και αιτ. σκ. 78, 82, 83, 87 ΓΚΠΔ και Απόφαση ΑΠΔ 44/2019 σκ. 16 για τα κατάλληλα μέτρα λογοδοσίας. 31 Χ. Ακριβοπούλου, Χ. Ανθόπουλος, Εισαγωγή στο Διοικητικό Δίκαιο, εκδόσεις Ελληνικά Ακαδημαϊκά Ηλεκτρονικά Συγγράμματα, 2015, Κεφ. 3, σελ.
59. 30 14 ότι η ΔΙ.Π.Υ.Ν. είχε ζητήσει τη συνδρομή του ΥΠΔ. Στον αντίποδα, επισημαίνεται ότι, παρότι το Υπόμνημα κατόπιν της ακροαματικής διαδικασίας υπεβλήθη στην Αρχή από τη ΔΙ.Π.Υ.Ν. θεωρώντας ότι η ίδια έχει τον ρόλο του υπευθύνου επεξεργασίας, εν τούτοις η Αρχή διαπιστώνει ότι το Αρχηγείο βάσει των διοικητικών και λειτουργικών κριτηρίων καθίσταται υπεύθυνος επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που τυγχάνουν επεξεργασίας από τις υφιστάμενες σε αυτό υπηρεσίες και μονάδες του Πυροσβεστικού Σώματος και όχι η ΔΙ.Π.Υ.Ν.
60. Αναφορικά δε, με τη συγκεκριμένη καταγγελία, διαπιστώθηκε ότι η καταγγέλλουσα, υπήρξε η «βασική χειριστής», όπως ανέφερε ο τέως Διοικητής της ΔΙ.Π.Υ.Ν., ενός συγκεκριμένου υπολογιστή, καθώς απασχολείτο το μεγαλύτερο χρονικό διάστημα της εργασίας της σε αυτόν. Ακόμη και σε περίπτωση χρήσης από την ίδια του υπολογιστή για προσωπικούς (μη υπηρεσιακούς) λόγους όπως π.χ. αποστολή από το ηλεκτρονικό ταχυδρομείο προσωπικής της αλληλογραφίας ή πλοήγηση σε ιστοτόπους για προσωπική της ενημέρωση, πρόκειται για επεξεργασία προσωπικών δεδομένων. Επιπλέον, το γεγονός ότι η καταγγελία αφορά δεδομένα προσωπικού χαρακτήρα που παράγονται από τη χρήση ηλεκτρονικών μέσων επικοινωνιών και άρα άπτεται του δικαιώματος στο απόρρητο των προσωπικών δεδομένων στον τομέα των ηλεκτρονικών επικοινωνιών και επομένως αφορά τον πυρήνα του συναφούς ατομικού δικαιώματος, καθιστά αδιαμφισβήτητη τη διαπίστωση ότι πραγματοποιείται επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και ότι υφίσταται υποχρέωση του δημόσιου φορέα για την προστασία αυτών. Από τα υπομνήματα που υποβλήθηκαν στην Αρχή και από την ακροαματική διαδικασία, προκύπτει ότι η ΔΙ.Π.Υ.Ν., ως υπαγόμενη στο Αρχηγείο, δεν εφάρμοζε κανενός είδους τεχνικά και οργανωτικά μέτρα συμμόρφωσης προς τις απαιτήσεις του ΓΚΠΔ και του ν. 4624/2019, δεν εφάρμοζε πολιτικές προστασίας προσωπικών δεδομένων, ούτε εφάρμοζε εσωτερικό Κανονισμό για την ορθή χρήση και τη λειτουργία του εξοπλισμού και του δικτύου πληροφορικής και επικοινωνιών από τους εργαζόμενους, από το περιεχόμενο του οποίου θα προέκυπτε αφενός εάν απαγορευόταν η χρήση των ηλεκτρονικών υπολογιστών για προσωπικούς σκοπούς, αφετέρου, θα προβλεπόταν ρητά η δυνατότητα και το ενδεχόμενο ελέγχου αυτών, οι προϋποθέσεις, όροι, διαδικασία, έκταση και εγγυήσεις διενέργειας του ελέγχου. Το σημαντικό και κρίσιμο στην υπό εξέταση καταγγελία είναι ότι ο υπεύθυνος επεξεργασίας δεν είχε σχεδιάσει και άρα ούτε θέσει σε εφαρμογή καμία πολιτική ή/και διαδικασία αναφορικά με την επεξεργασία δεδομένων προσωπικού 15 χαρακτήρα των εργαζομένων, ούτε Κανονισμό Ορθής Χρήσης των Ηλεκτρονικών Μέσων32, ώστε να έχει ρυθμισθεί και να έχουν ενημερωθεί οι εργαζόμενοι για το πλαίσιο μέσα στο οποίο θα πραγματοποιείται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα τόσο από τη διοίκηση/εργοδότη, όσο και από τον εργαζόμενο
62. Εν όψει της διαπίστωσης της Αρχής ότι υπεύθυνος επεξεργασίας τυγχάνει το Αρχηγείο, ακόμη και εάν θεωρηθεί ότι νομίμως η ΔΙ.Π.Υ.Ν. ανέπτυξε σχετικούς ισχυρισμούς στην ακρόαση αλλά και στα προσκομισθέντα υπομνήματα, έστω και για λογαριασμό του Αρχηγείου, εκείνοι τυγχάνουν απορριπτέοι. Ειδικότερα, ως προς τους ισχυρισμούς ότι «[…] ο εν λόγω υπολογιστής δεν είναι προσωπικός αλλά για εξυπηρέτηση υπηρεσιακών αναγκών, με προγράμματα και εφαρμογές που είναι απαραίτητες για τις υποθέσεις του Γραφείου, […] υπάρχει προσβασιμότητα και των άλλων υπαλλήλων, και για τον λόγο αυτό δεν τίθεται ζήτημα επεξεργασίας προσωπικών δεδομένων και δεν μπορεί να ζητηθεί άδεια για να γίνει έλεγχος του υπολογιστή», και «η Υπηρεσία μας δεν διαθέτει ηλεκτρονικούς υπολογιστές με μοναδικούς χρήστες, αλλά μόνο κοινόχρηστους, των οποίων η χρήση αποσκοπεί αποκλειστικά στη διεξαγωγή και διεκπεραίωση των υπηρεσιακών καθηκόντων. Κάθε χρήση που εκφεύγει των καθηκόντων αυτών δεν επιτρέπεται. Ο έλεγχος της εκτέλεσης των καθηκόντων των υπαλλήλων επαφίεται στο Διοικητή της Υπηρεσίας (άρ. 19 του π.δ. 210/92)» και «[…] δεν υπάρχει λόγος να αναφερόμαστε σε προσωπικά δεδομένα αφού το ζήτημα αφορά ιστοσελίδες και μέσα κοινωνικής δικτύωσης που επισκέφθηκε η καταγγέλλουσα», καθώς, σύμφωνα με τη νομολογία της Αρχής 34 και όσα έχουν αναφερθεί ανωτέρω στις σκέψεις 7-9, συνιστά επεξεργασία προσωπικών δεδομένων και εφαρμόζεται ο ΓΚΠΔ και ο ν. 4624/2019 σε περίπτωση κατά την οποία υπάλληλος επεξεργάζεται δεδομένα χρησιμοποιώντας ηλεκτρονικό εξοπλισμό, δίκτυο επικοινωνιών και οιεσδήποτε άλλες επαγγελματικές εγκαταστάσεις και υποδομές που ανήκουν στον εργοδότη και δεν αίρεται η νόμιμη προσδοκία προστασίας της ιδιωτικής ζωής του εργαζομένου, επειδή βρίσκεται στον τόπο εργασίας και προβαίνει σε επεξεργασία προσωπικών δεδομένων για μη υπηρεσιακούς (επαγγελματικούς) λόγους. Εάν ο εργοδότης–υπεύθυνος επεξεργασίας επιθυμεί να απαγορεύσει τη χρήση των κάθε είδους ηλεκτρονικών μέσων επικοινωνίας για προσωπικούς λόγους (π.χ. ηλεκτρονικό υπολογιστή, δίκτυο Βλ. Απόφαση Αρχής 34/2018 σελ. 12 επ. Βλ. Απόφαση Αρχής 34/2018, σελ. 15 επ. 34 Βλ. Αποφάσεις Αρχής 34/2018, 43/2019, 26/
63. 32 33 16 επικοινωνίας, ηλεκτρονική αλληλογραφία, πρόσβαση στο διαδίκτυο κ.λπ.), οφείλει να έχει προηγουμένως ενημερώσει τον υπάλληλο–υποκείμενο των δεδομένων για τη σχετική πολιτική του. Επιπλέον, επισημαίνεται ότι πέραν της ανωτέρω αναφερθείσας διάταξης του υπ’ αρ. 210/92 Π.Δ., στην οποία προβλέπεται ότι «η λειτουργία των γραφείων και η διεξαγωγή γενικά της υπηρεσίας σ΄ αυτά γίνεται με ευθύνη του Διοικητή, σύμφωνα με τη νομοθεσία και τις σχετικές διαταγές του Αρχηγείου του Πυροσβεστικού Σώματος», και των διατάξεων του ν. 3528/2007 35 που επικαλέστηκε η ΔΙ.Π.Υ.Ν. στην κλήση σε απολογία της υπαλλήλου, όπου ακόμα και σε αυτές δεν προβλέπεται ποια είναι η ορθή ή η παράνομη χρήση των ηλεκτρονικών μέσων για την οποία εγκαλείται η εδώ καταγγέλλουσα ως υπάλληλος, οι εργαζόμενοι της ΔΙ.Π.Υ.Ν. δεν έχουν ενημερωθεί με κάποιο εσωτερικό έγγραφο για την ορθή χρήση των ηλεκτρονικών μέσων της υπηρεσίας και της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα γενικότερα. Στην προκειμένη περίπτωση, το Αρχηγείο ως υπεύθυνος επεξεργασίας δεν προέβη στην κατάρτιση και θέση σε εφαρμογή σχετικών πολιτικών, ούτε ενημέρωσε τους υπαλλήλους ότι τυχόν απαγορεύεται η χρήση των ηλεκτρονικών μέσων επικοινωνίας που διατίθενται για την παροχή της οφειλόμενης εργασίας.
64. Περαιτέρω, θα πρέπει να επισημανθεί ότι το Αρχηγείο ως υπεύθυνος επεξεργασίας βαρύνεται µε την υποχρέωση λήψης των κατάλληλων οργανωτικών και τεχνικών μέτρων προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας των δεδομένων έναντι των κινδύνων, σύμφωνα με την αρχή της ασφάλειας του άρθρου 5 παρ. 1 εδ. στ’, 24 παρ. 1, 2 και το άρθρο 32 παρ. 1, 2 ΓΚΠΔ. Ως παραβίαση δε, δεδομένων προσωπικού χαρακτήρα νοείται η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάσθηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία. Εφόσον στον ηλεκτρονικό υπολογιστή που χρησιμοποιεί ένας εργαζόμενος, τυγχάνουν επεξεργασίας δεδομένα προσωπικού χαρακτήρα είτε του ιδίου του υπαλλήλου, είτε λοιπών φυσικών προσώπων στο πλαίσιο των αρμοδιοτήτων έκαστης υπηρεσίας, ο υπεύθυνος επεξεργασίας οφείλει να έχει λάβει τα κατάλληλα τεχνικά και οργανωτικά μέτρα ασφαλείας, όπως κατ’ ελάχιστον την πρόβλεψη και εφαρμογή κωδικών άρ. 107 § 1, Κεφάλαιο Α’, Τμήματος Α’, του Μέρους Ε’ «ΠΕΙΘΑΡΧΙΚΟ ΔΙΚΑΙΟ» του Νόμου 3528/2007, πειθαρχικά παραπτώματα είναι: κ) η άρνηση ή παρέλκυση εκτέλεσης υπηρεσίας, κγ) η φθορά λόγω ασυνήθιστης χρήσης, η εγκατάλειψη ή η παράνομη χρήση πράγματος, το οποίο ανήκει στην υπηρεσία, και κη) η αμέλεια ή ατελής εκπλήρωση του υπηρεσιακού καθήκοντος. 35 17 πρόσβασης/ασφαλείας στους ηλεκτρονικούς υπολογιστές που αντιστοιχούν σε κάθε χειριστή, οι οποίοι θα είναι απόρρητοι και όχι κοινόχρηστοι, ενώ τα σχετικά μέτρα ασφαλείας θα πρέπει να περιλαμβάνονται αντίστοιχα σε Πολιτική Ασφαλείας. Εν προκειμένω, από τα στοιχεία του φακέλου προκύπτει ότι ο συγκεκριμένος υπολογιστής δεν διαθέτει κωδικό πρόσβασης/ασφαλείας και μπορεί να έχει πρόσβαση στα αρχεία της υπηρεσίας οιοσδήποτε το επιδιώξει. Περαιτέρω, από τα ίδια τα έγγραφα του φακέλου προκύπτει ότι δεν έχουν ομοίως ληφθεί τα κατάλληλα τεχνικά και οργανωτικά μέτρα ασφαλείας για την αυθεντικοποίηση και ταυτοποίηση της επιτρεπόμενης πρόσβασης του κάθε εξουσιοδοτημένου χρήστη του ηλεκτρονικού υπολογιστή, ενώ πρόσβαση θα μπορούσε να έχει στα περιλαμβανόμενα προσωπικά δεδομένα ο οποιοσδήποτε τρίτος. Τυγχάνει δε απορριπτέος ο ισχυρισμός της ΔΙ.Π.Υ.Ν. που ανεφέρθη στο υπ’ αρ. πρωτ. Γ/ΕΙΣ/41/04-01-2021 έγγραφό της, σύμφωνα με τον οποίο «το εν λόγω προσωπικό διαθέτει έναν κοινόχρηστο υπολογιστή […] χωρίς κωδικούς, επειδή δεν υπάρχουν αρχεία δεδομένων προσωπικού χαρακτήρα», κατ’ αρχήν επειδή ερείδεται επί εσφαλμένης προϋπόθεσης. Από τα στοιχεία του φακέλου και την ακροαματική διαδικασία προέκυψε ότι λαμβάνει χώρα επεξεργασία προσωπικών δεδομένων με τη χρήση του εν λόγω ηλεκτρονικού υπολογιστή και εφαρμογής τυγχάνει ο ΓΚΠΔ και ο ν. 4624/2019 ανεξαρτήτως του γεγονότος ότι ο ηλεκτρονικός υπολογιστής ανήκει στον υπεύθυνο επεξεργασίας και ότι διενεργείται επεξεργασία προσωπικών δεδομένων για την επίτευξη των σκοπών του δημόσιου φορέα, όπως προαναφέρθηκε. Επιπλέον, επειδή ο υπεύθυνος επεξεργασίας, αν και βαρύνεται με την υποχρέωση λογοδοσίας κατ’ άρ. 5 παρ. 2 ΓΚΠΔ να αποδείξει τη συμμόρφωσή του στις αρχές επεξεργασίας του άρθρου 5 παρ. 1 ΓΚΠΔ, ουδεμία απάντηση παρείχε, ούτε κανένα στοιχείο στα επιμέρους ερωτήματα που υποβλήθηκαν κατά την ακροαματική διαδικασία σχετικά με το i. εάν υπάρχουν αρχεία με προσωπικά δεδομένα στον επίμαχο υπολογιστή, ii. πώς γίνεται να παραμένουν ανοιχτές οι ιστοσελίδες για ημέρες χωρίς κωδικό προστασίας του υπολογιστή, και iii. ποια είναι τα μέτρα ασφαλείας των προσωπικών δεδομένων που λαμβάνει η Υπηρεσία.
65. Από τα στοιχεία του φακέλου, την ακροαματική διαδικασία και τα υπομνήματα των μερών προέκυψε ότι ο τέως Διοικητής της ΔΙ.Π.Υ.Ν. προέβη σε έλεγχο του ιστορικού επίσκεψης ιστοσελίδων του υπηρεσιακού υπολογιστή που χειριζόταν η καταγγέλλουσα στο Τμήμα …και από τον οποίο (έλεγχο) διαπιστώθηκε η επίσκεψη σε ιστοσελίδες κοινωνικής δικτύωσης και ψυχαγωγίας στις … και σε εργάσιμες ώρες. 18 Η ανωτέρω διαπίστωση περιλαμβάνεται αφενός ως απόδοση πειθαρχικού παραπτώματος στην υπ’ αρ. … κλήση του Διοικητή ΔΙ.Π.Υ.Ν. Χ σε απολογία της εδώ καταγγέλλουσας. Αφετέρου, στην υπ’ αρ. πρωτ. Γ/ΕΙΣ/6905/09-10-2020 απάντηση της ΔΙ.Π.Υ.Ν. προς την Αρχή διαλαμβάνεται ότι ο τέως Διοικητής προέβη σε αναζήτηση ιστορικού, ώστε να εξακριβώσει από πότε είναι ανοιγμένες οι σελίδες. Ως εκ τούτου, ο οψίμως υποβληθείς ισχυρισμός κατά τον οποίο ο τέως Διοικητής της ΔΙ.Π.Υ.Ν. δεν προέβη σε έλεγχο και αναζήτηση του ιστορικού επίσκεψης στις ιστοσελίδες αλλά ανοίγοντας τον ηλεκτρονικό υπολογιστή βρήκε, χωρίς να προβεί σε έλεγχο, μεγάλο αριθμό παράλληλα ανοιγμένων καρτελών, τυγχάνει απορριπτέος. Επομένως, προέκυψε ότι ο τέως Διοικητής της ΔΙ.Π.Υ.Ν. ενεργώντας στο πλαίσιο της διοικητικής διάρθρωσης ως μέρος του υπευθύνου επεξεργασίας, προέβη σε έλεγχο των προσβάσεων του τελευταίου χειριστή του κοινόχρηστου και χωρίς κωδικούς ασφαλείας ηλεκτρονικού υπολογιστή στο ιστορικό επίσκεψης των ιστοσελίδων και άρα στον έλεγχο των προσωπικών δεδομένων κατά τη χρήση ηλεκτρονικών μέσων επικοινωνίας χωρίς να έχει προηγουμένως ενημερωθεί κανένας εκ των χρηστών του κοινόχρηστου υπολογιστή τόσο για τον έλεγχο, όσο και για το εάν επιτρέπεται ή απαγορεύεται η χρήση υπηρεσιακού ηλεκτρονικού υπολογιστή, μέσων και δικτύου επικοινωνιών, χωρίς να έχουν καταρτιστεί και εφαρμοστεί σχετικές πολιτικές προστασίας προσωπικών δεδομένων, πολιτική ασφαλείας και Κανονισμός για την ορθή χρήση και τη λειτουργία του εξοπλισμού και του δικτύου πληροφορικής και επικοινωνιών από τους εργαζόμενους. Δεν προέκυψε ότι η καταγγέλλουσα υπήρξε η υπάλληλος που χρησιμοποίησε τελευταία κατά σειρά τον συγκεκριμένο κοινόχρηστο ηλεκτρονικό υπολογιστή, δοθέντος ότι η πρόσβαση σε αυτόν επιτρεπόταν σε κάθε εργαζόμενο της υπηρεσίας και μάλιστα χωρίς να έχει προηγουμένως αποδοθεί διαφορετικός κωδικός πρόσβασης ανά πρόσωπο. Επομένως, από τα ανωτέρω στοιχεία αφενός προέκυψε ότι έλαβε χώρα έλεγχος ιστορικού επίσκεψης ιστοσελίδων κοινωνικής δικτύωσης από χρήστη – υπάλληλο της υπηρεσίας, αφετέρου ότι δεν προέκυψε ότι ο έλεγχος αφορούσε την επεξεργασία προσωπικών δεδομένων της καταγγέλλουσας. Ενόψει των ανωτέρω, αναφορικά με την πρώτη καταγγελία, από το σύνολο του φακέλου και την ακροαματική διαδικασία, προκύπτει ότι το Αρχηγείο του Πυροσβεστικού Σώματος είναι υπεύθυνος επεξεργασίας των δεδομένων που τυγχάνουν επεξεργασίας μέσω του κοινόχρηστου ηλεκτρονικού υπολογιστή που χειρίζονται οι εργαζόμενοι στις διευθύνσεις/μονάδες που υπάγονται σε αυτό για την 19 επίτευξη των σκοπών επεξεργασίας που συνδέεται με την αποστολή του Πυροσβεστικού Σώματος. Η επεξεργασία αυτή είναι αυτοματοποιημένη και περιλαμβάνει προσωπικά δεδομένα τόσο των εργαζομένων, όσο και πολιτών και πραγματοποιείται αφενός για τους πρώτους στο πλαίσιο της εργασιακής σχέσης και αφετέρου για τους πολίτες για την εκπλήρωση καθήκοντος του υπευθύνου επεξεργασίας προς το δημόσιο συμφέρον. Προκύπτει, όμως, ότι η εν λόγω επεξεργασία δεν είναι σύμφωνη με τη νομοθεσία προστασίας των δεδομένων προσωπικού χαρακτήρα και δη με τον ΓΚΠΔ και τον ν. 4624/2019, καθώς δεν έχουν ληφθεί τα κατάλληλα τεχνικά και οργανωτικά μέτρα για την εφαρμογή του εν λόγω πλαισίου, κατ’ άρ. 5, 24 παρ. 1, 2 του ΓΚΠΔ, και για τη διασφάλιση του καταλλήλου επίπεδου ασφάλειας έναντι των κινδύνων, κατ’ άρ. 32 παρ. 1, 2 του ΓΚΠΔ. Η παντελής έλλειψη πολιτικών και διαδικασιών, περιλαμβανομένων πολιτικών ασφαλείας και Κανονισμού για την ορθή χρήση και τη λειτουργία του εξοπλισμού και του δικτύου πληροφορικής και επικοινωνιών από τους εργαζόμενους καθιστά κάθε επεξεργασία προσωπικών δεδομένων που λαμβάνει χώρα μέσω του ηλεκτρονικού υπολογιστή ως αντίθετη προς τα άρθρα 5, 24 παρ. 1, 2, 32 παρ. 1, 2 ΓΚΠΔ, παραβιάζοντας τις αρχές της νομιμότητας και της διαφάνειας κατ’ άρ. 5 παρ. 1 εδ. α’ ΓΚΠΔ, καθώς και της ασφάλειας σύμφωνα με το εδάφιο στ’ της ίδιας διάταξης λόγω έλλειψης πολιτικών ασφαλείας συνδυαστικά προς την αρχή της λογοδοσίας κατ’ άρ. 5 παρ. 2 ΓΚΠΔ.
66. Αναφορικά με το γεγονός ότι έχει οριστεί από το Αρχηγείο του Πυροσβεστικού Σώματος, το οποίο ενεργεί ως υπεύθυνος επεξεργασίας κατά τα προεκτεθέντα ένας