Αθήνα, 08-01-2025 Αριθ. Πρωτ.: 80 ΑΠΟΦΑΣΗ 2/2025 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του Προέδρου της, σε συνεδρίαση μέσω τηλεδιάσκεψης στις 30-04-2024, κατόπιν αναβολής στις 26-04-2024, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Στη συνεδρίαση παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος, τα τακτικά μέλη Χαράλαμπος Ανθόπουλος, Σπυρίδων Βλαχόπουλος, Αικατερίνη Ηλιάδου, Χρήστος Καλλονιάτης, Κωνσταντίνος Λαμπρινουδάκης και Γρηγόριος Τσόλιας, ως εισηγητής. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν η Χάρις Συμεωνίδου, ειδική επιστήμονας – ελέγκτρια, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη τα παρακάτω: Με τη με αριθ. πρωτ. Γ/ΕΙΣ/9855/03-09-2022 καταγγελία της κατά του Αθηναϊκού - Μακεδονικού Πρακτορείου Ειδήσεων (ΑΠΕ – ΜΠΕ Α.Ε., στο εξής αναφερόμενο ως «ΑΠΕ-ΜΠΕ») και του Ελληνικού Κέντρου Κινηματογράφου («ΕΚΚ») η Α καταγγέλλει παράνομη επεξεργασία των προσωπικών της δεδομένων. Ειδικότερα, σύμφωνα με την καταγγελία, στις … η καταγγέλλουσα πληροφορήθηκε μέσω ηλεκτρονικού μηνύματος από την ΑΑΔΕ ότι την … έγινε αναζήτηση των στοιχείων της (του ΑΦΜ της) μέσω της διαδικτυακής υπηρεσίας της ΑΑΔΕ «Αναζήτηση Βασικών Στοιχείων Μητρώου Επιχειρήσεων», από το ΑΠΕ-ΜΠΕ, με το οποίο, όπως αναφέρει, δεν την συνδέει ουδεμία επαγγελματική και οικονομική 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr σχέση. Κατόπιν αυτού, η καταγγέλλουσα αναφέρει ότι απευθύνθηκε προς το ΑΠΕΜΠΕ ζητώντας πληροφορίες σχετικά με την ανωτέρω επεξεργασία των δεδομένων της, από την οποία φαίνεται ότι ο εν λόγω φορέας έγινε αποδέκτης βασικών στοιχείων του Φορολογικού Μητρώου της, χωρίς, όπως υποστηρίζει, να της δοθούν επαρκείς εξηγήσεις. Ειδικότερα, όπως αναλυτικά εκτίθεται στην εν λόγω καταγγελία, η Νομική Υπηρεσία του ΑΠΕ-ΜΠΕ τής ανέφερε ότι η αναζήτηση των στοιχείων της έγινε «εκ παραδρομής», πράγμα όμως που κατά την καταγγέλλουσα δεν είναι δυνατόν να έχει συμβεί, αφού η διαδικασία αναζήτησης περιλαμβάνει ως δικλείδα ασφαλείας ένα επιπλέον στάδιο μετά την πληκτρολόγηση του ΑΦΜ, κατά το οποίο εμφανίζεται το ονοματεπώνυμο και το πατρώνυμο που αντιστοιχούν σε αυτόν και ο χρήστης καλείται να επιβεβαιώσει την αναζήτηση, ώστε να προχωρήσει στη λήψη των πληροφοριών φορολογικού μητρώου. Επιπλέον, η καταγγέλλουσα ανέφερε ότι μετά από σχετική διαμαρτυρία της πληροφορήθηκε ότι υπεύθυνος για την αναζήτηση ήταν ο … του ΑΠΕ-ΜΠΕ, Β, στα καθήκοντα του οποίου εντάσσεται η είσοδος στο taxisnet και ο έλεγχος των ΑΦΜ που σχετίζονται με συμβάσεις του ΑΠΕΜΠΕ. Το ίδιο φυσικό πρόσωπο απασχολείται παράλληλα στο Ελληνικό Κέντρο Κινηματογράφου (ΕΚΚ) και, σύμφωνα με την απάντηση του ΑΠΕ-ΜΠΕ, έχει σχετικές ευθύνες διερεύνησης ΑΦΜ και στο ΕΚΚ. Ωστόσο, η καταγγέλλουσα υποστηρίζει ότι κατά το χρόνο της αναζήτησης μόνο η ίδια κατείχε τους κωδικούς taxisnet του ΕΚΚ, ως Διευθύντρια …, ενώ δεν είχε γνωστοποιήσει σε κανένα εργαζόμενο του ΕΚΚ τον ΑΦΜ της. Στο πλαίσιο διερεύνησης της ως άνω καταγγελίας, η Αρχή με το Γ/ΕΞΕ/2900/16-11-2022 έγγραφο κοινοποίησε τα σχετικά έγγραφα στην καταγγελλόμενη εταιρεία ΑΠΕ-ΜΠΕ Α.Ε. και την κάλεσε να εκθέσει τις απόψεις της επί των καταγγελλομένων, διευκρινίζοντας ιδίως α) εάν η καταγγελλόμενη πράξη επεξεργασίας των δεδομένων της καταγγέλλουσας έγινε από το ΑΠΕ-ΜΠΕ, ως υπεύθυνο επεξεργασίας (δηλαδή από πρόσωπα που ενεργούν υπό την εποπτεία του) ή όχι (δηλαδή εάν έγινε από τρίτο πρόσωπο με τη χρήση των κωδικών taxisnet του φορέα, και εάν αυτό το πρόσωπο ενήργησε αντίθετα στις οδηγίες που του είχαν δοθεί), β) σε περίπτωση καταφατικής απάντησης στο υπό α) ερώτημα, ποιος ήταν ο σκοπός και η νομική βάση της επεξεργασίας και για ποιο λόγο δεν ενημερώθηκε σχετικά η καταγγέλλουσα, γ) σε περίπτωση αρνητικής απάντησης στο υπό α) 2 ερώτημα, ή εάν η αναζήτηση πραγματοποιήθηκε εκ παραδρομής, να εξηγηθεί εάν το ΑΠΕ-ΜΠΕ χειρίστηκε το συμβάν ως περιστατικό παραβίασης προσωπικών δεδομένων σύμφωνα με τον ΓΚΠΔ, και σε ποιες ενέργειες προέβη αφότου έλαβε γνώση του περιστατικού. Με την υπ’ αρ. πρωτ. Γ/ΕΙΣ/12165/29-11-2022 απάντησή της, η καταγγελλόμενη ΑΠΕ-ΜΠΕ Α.Ε. ανέφερε ότι αποτελεί Ανώνυμη Εταιρεία του ευρύτερου δημοσίου τομέα, κατά την έννοια των διατάξεων του Ν. 3429/2005, ότι καθήκοντα Υπεύθυνου … ασκεί ο προστηθείς συνεργάτης Β, ο οποίος τυγχάνει συγχρόνως προστηθείς ως ειδικός συνεργάτης … του ΝΠΙΔ με την επωνυμία «Ελληνικό Κέντρο Κινηματογράφου» (ΕΚΚ) και ότι όπως προέκυψε από τη διερεύνηση του περιστατικού, κατόπιν της διαμαρτυρίας της καταγγέλλουσας, λόγω της σύμπτωσης των δύο ιδιοτήτων του Β, ο τελευταίος εισήλθε στο περιβάλλον της εφαρμογής της ΑΑΔΕ για την αναζήτηση στοιχείων επιχειρήσεων, κάνοντας χρήση των κωδικών της ΑΠΕ-ΜΠΕ Α.Ε. εκ παραδρομής και πάντως χωρίς την άδεια της Διοίκησης, προκειμένου να ελέγξει τα επαγγελματικά δικαιώματα της καταγγέλλουσας ως είχε εντολή από τη Διοίκηση του ΕΚΚ. Με την ίδια απάντηση η ΑΠΕ-ΜΠΕ Α.Ε. ανέφερε ότι δεν έχει την ιδιότητα του υπεύθυνου επεξεργασίας αναφορικά με την αναζήτηση των στοιχείων της καταγγέλλουσας, καθώς η εν λόγω επεξεργασία δεν έγινε εν γνώσει της, αλλά αυτοβούλως από τον εν λόγω συνεργάτη, ενώ τα δεδομένα της καταγγέλλουσας παρέμειναν στην πλατφόρμα της ΑΑΔΕ και δεν καταχωρήθηκαν από πλευράς της ΑΠΕ-ΜΠΕ Α.Ε. ούτε γνωστοποιήθηκαν ή κατέστησαν προσβάσιμα από άλλο υπάλληλό της, πέραν του Β που ενήργησε εν προκειμένω ως υπάλληλος του ΕΚΚ και για το λόγο αυτό δεν αξιολόγησε το περιστατικό ως περιστατικό παραβίασης δεδομένων σύμφωνα με τον ΓΚΠΔ ούτε ως παραβίαση των μέτρων ασφαλείας της σύμφωνα με το άρθρο 32 ΓΚΠΔ. Με το ίδιο έγγραφο η καταγγελλόμενη προσκομίζει και επικαλείται το από … ηλεκτρονικό μήνυμα προς την ΑΠΕ-ΜΠΕ Α.Ε., της Γ, Γενικής Διευθύντριας του ΕΚΚ με την οποία η τελευταία βεβαιώνει τα εξής: «…στο πλαίσιο σύμβασης που έχει ο οργανισμός με τον Β, ειδικό … σύμβουλο της Διοίκησης του ΕΚΚ, του ζητήθηκε η συνδρομή στον έλεγχο των φακέλων για τις θέσεις των διευθυντών / διευθυντριών του οργανισμού, οι οποίοι/ες αφορούν ενεργές θέσεις εξαρτημένης εργασίας ορισμένου χρόνου και καταλαμβάνονται με διαγωνιστικές διαδικασίες. Ο έλεγχος αφορούσε την επάρκεια 3 των φακέλων σε σχέση με τα ζητούμενα στοιχεία του διαγωνισμού, τη διαγωνιστική διαδικασία που ακολουθήθηκε σύμφωνα με την κείμενη νομοθεσία των προσλήψεων σε φορείς του Δημοσίου καθώς και την επάρκεια των επαγγελματικών δικαιωμάτων, εφόσον αυτά προέκυπταν από τον εξεταζόμενο φάκελο». Λαμβάνοντας υπόψη τα ανωτέρω, την από … απάντηση του ΕΚΚ προς την καταγγέλλουσα (βλ. Σχετικό 15 της καταγγελίας), σύμφωνα με την οποία «στο πλαίσιο του διενεργηθέντος από την Γενική Διευθύντρια του Ε.Κ.Κ. ελέγχου φακέλων όλων των Διευθυντών ως προς την ακρίβεια και την πληρότητά τους […] ζητήθηκε από τον ειδικό σύμβουλο Β η συνδρομή του στον ανωτέρω έλεγχο. Στο πλαίσιο αυτό έγινε από τον Β νόμιμη κατ’ άρθρο 6 παρ. 1 περ. β’, γ’, δ’, ε’ και στ’ ΓΚΠΔ χρήση της εφαρμογής της ΑΑΔΕ «Βασικά Στοιχεία Μητρώου Επιχειρήσεων», η οποία αποτελεί δημοσίως προσβάσιμη και διαθέσιμη στο συναλλακτικό κοινό εφαρμογή της ΑΑΔΕ, η οποία παρέχει πληροφόρηση σχετικά με δημοσίως διαθέσιμα δεδομένα […]» καθώς και το γεγονός ότι η χρήση της εν λόγω εφαρμογής της ΑΑΔΕ προϋποθέτει τη σύνδεση του χρήστη μέσω κωδικών TAXISNET, (https://www.aade.gr/epiheiriseis/forologikesypiresies/mitroo/anazitisi-basikon-stoiheion-mitrooy-epiheiriseon), η Αρχή, με το Γ/ΕΞΕ/3230/12-12-2022 έγγραφό της προς το Ελληνικό Κέντρο Κινηματογράφου, διαβίβασε σε αυτό αντίγραφο της καταγγελίας και των κατά τα ανωτέρω απόψεων του ΑΠΕ-ΜΠΕ και του ζήτησε να εκθέσει τις απόψεις του για τα καταγγελλόμενα, διευκρινίζοντας ιδίως α) ποια εντολή ελέγχου δόθηκε ακριβώς από το ΕΚΚ προς τον Β εν προκειμένω, δεδομένου ότι ο εν λόγω σύμβουλος δεν είχε στην κατοχή του τους κωδικούς TAXISNET του ΕΚΚ., β) εάν η χρήση των κωδικών TAXISNET της ΑΠΕ-ΜΠΕ Α.Ε. εκ μέρους του Β έγινε εν γνώσει ή κατόπιν σχετικής εντολής του ΕΚΚ, γ) ποιος ήταν ο σκοπός και ποια η νομική βάση επεξεργασίας των δεδομένων των ελεγχόμενων από το ΕΚΚ στο πλαίσιο του ανωτέρω ελέγχου και δ) εάν και πώς ενημερώθηκαν οι ελεγχόμενοι ως υποκείμενα των δεδομένων για την εν λόγω επεξεργασία, σύμφωνα με τα άρθρα 13 και 14 ΓΚΠΔ. Με το Γ/ΕΙΣ/12849/27-12-2022 απαντητικό του έγγραφο, το ΕΚΚ απάντησε κατ’ αρχάς ότι πράγματι στο πλαίσιο σύμβασής του με τον Β, ειδικό … σύμβουλο της διοίκησης του ΕΚΚ, του ζητήθηκε η συνδρομή του στον έλεγχο της επάρκειας των φακέλων για τις θέσεις των διευθυντών/-τριών του φορέα, οι οποίες αφορούν ενεργές θέσεις εργασίας ορισμένου χρόνου και καταλαμβάνονται με διαγωνιστικές 4 διαδικασίες, σύμφωνα με την κείμενη νομοθεσία και ότι στην περίπτωση της καταγγέλλουσας, η οποία ως Διευθύντρια … ανέφερε στο βιογραφικό της σημείωμα και ότι ήταν κάτοχος επαγγελματικών δικαιωμάτων λογιστή Α’ τάξης, εν προκειμένω ο έλεγχος καταλάμβανε και την επάρκεια των επαγγελματικών δικαιωμάτων της. Το ΕΚΚ σημείωσε ότι η χρήση των κωδικών του ΑΠΕ-ΜΠΕ από τον ως άνω συνεργάτη δεν έγινε εν γνώσει ή με την εντολή του ΕΚΚ ενώ ως νομική βάση για την ως άνω επεξεργασία επικαλέστηκε: • το άρθρο 24 παρ. 1 περ. α’ Ν. 4624/2019 («Η επεξεργασία δεδομένων προσωπικού χαρακτήρα από δημόσιους φορείς για σκοπό διαφορετικό από αυτόν για τον οποίο έχουν συλλεχθεί, επιτρέπεται όταν η επεξεργασία αυτή είναι αναγκαία για την εκπλήρωση των καθηκόντων που τους έχουν ανατεθεί και εφόσον είναι: α) απαραίτητο να ελεγχθούν οι πληροφορίες που παρέχονται από το υποκείμενο των δεδομένων, διότι υπάρχουν βάσιμες ενδείξεις ότι οι πληροφορίες αυτές είναι εσφαλμένες·), • Το άρθρο 6 παρ. 1 περ. β’ ΓΚΠΔ (επεξεργασία απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο είναι συμβαλλόμενο μέρος), • Το άρθρο 6 παρ. 1 περ. γ’ ΓΚΠΔ (συμμόρφωση του ΕΚΚ με έννομη υποχρέωση και ειδικότερα με την υποχρέωση ελέγχου νομιμότητας πτυχίων, πιστοποιητικών και λοιπών στοιχείων των υπαλλήλων του ΕΚΚ), και • Το άρθρο 6 παρ. 1 περ. στ’ ΓΚΠΔ (επεξεργασία απαραίτητη για τους σκοπούς των εννόμων συμφερόντων που επιδιώκει το ΕΚΚ. ως υπεύθυνος επεξεργασίας και δη για τη διασφάλιση του ότι οι απασχολούμενοι σε αυτό Διευθυντές έχουν τα προσόντα και την επαγγελματική υπόσταση που απαιτείται εκ του νόμου για τη θέση τους). Σύμφωνα με την ίδια απάντηση, το ΕΚΚ ενημέρωσε τον Οκτώβριο του … για τον ανωτέρω έλεγχο την καταγγέλλουσα και της ζήτησε προφορικά και κατ’ ιδίαν να προσκομίσει τα ελλείποντα στοιχεία, ωστόσο η ελεγχόμενη δεν ανταποκρίθηκε πλήρως, καθώς δεν προσκόμισε κανένα αποδεικτικό προϋπηρεσίας, δημιουργώντας υπόνοια σχετικά με την ορθότητα και πληρότητα των αναφερομένων στο βιογραφικό της σημείωμα. Εξαιτίας αυτού, ζητήθηκε από τον συνεργάτη Β ο έλεγχος των 5 επαγγελματικών πληροφοριών της καταγγέλλουσας μέσω της εφαρμογής αναζήτησης ΑΦΜ της ΑΑΔΕ. Επιπλέον δε, το ΕΚΚ σημειώνει ότι δεν υπήρχε υποχρέωση ενημέρωσης του υποκειμένου, λόγω συνδρομής της περίπτωσης του άρθρου 31 παρ. 1 περ. δ Ν. 4624/2019, σύμφωνα με την οποία «Η υποχρέωση ενημέρωσης του υποκειμένου των δεδομένων σύμφωνα με το άρθρο 13 παράγραφος 3 του ΓΚΠΔ δεν υφίσταται εκτός από την αναφερόμενη στο άρθρο 13 παράγραφος 4 του ΓΚΠΔ εξαίρεση, όταν η παροχή των πληροφοριών σχετικά με την περαιτέρω επεξεργασία: δ) θα παρεμπόδιζε τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων και το συμφέρον του υπεύθυνου επεξεργασίας να μην παράσχει πληροφορίες υπερτερεί του συμφέροντος του υποκειμένου των δεδομένων». Ακολούθως, κατόπιν του Γ/ΕΙΣ/12857/28-12-2022 σχετικού αιτήματος της καταγγέλλουσας για λήψη αντιγράφου της ως άνω απάντησης, η Αρχή με το Γ/ΕΞΕ/3428/29-12-2022 διαβιβαστικό, κοινοποίησε στην καταγγέλλουσα το ανωτέρω απαντητικό έγγραφο του ΕΚΚ και η καταγγέλλουσα επανήλθε με τα Γ/ΕΙΣ/425 και 426/20-1-2023 συμπληρωματικά της έγγραφα με τα οποίο υποστηρίζει ότι οι ισχυρισμοί του ΕΚΚ είναι αντιφατικοί και παραπλανητικοί, ενώ καταδεικνύουν ότι εν προκειμένω έχει γίνει παράνομη επεξεργασία των δεδομένων της από το ΕΚΚ ως υπεύθυνο επεξεργασίας, μέσω του Β, ως εκτελούντος την επεξεργασία. Ειδικότερα, η καταγγέλλουσα αναφέρει ότι ο μόνος θεμιτός σκοπός χρήσης της πλατφόρμας της ΑΑΔΕ για την αναζήτηση ΑΦΜ είναι, σύμφωνα με τους όρους χρήσης της, η επαλήθευση των στοιχείων μητρώου και ο περιορισμός των συναλλαγών με πλαστά στοιχεία και παραστατικά, και όχι ο σκοπός που προβάλλει το ΕΚΚ (έλεγχος επαγγελματικών δικαιωμάτων), αφού η πλατφόρμα δεν παρέχει τέτοιες πληροφορίες. Η καταγγέλλουσα αναφέρει ότι ουδέποτε της ζητήθηκε να προσκομίσει αποδεικτικά προϋπηρεσίας στο ΕΚΚ, ενώ προσκομίζει και επικαλείται α) το από … ηλεκτρονικό της μήνυμα προς τη διεύθυνση info@gfc.gr, με το οποίο εκδήλωσε ενδιαφέρον για τη θέση του Διευθυντή … του Ε.Κ.Κ., στο οποίο επισυνάπτεται η υπ’ αρ. … άδεια ασκήσεως επαγγέλματος Λογιστή Φοροτεχνικού Α’ Τάξης την οποία έχει εκδώσει το Οικονομικό Επιμελητήριο της Ελλάδας, τονίζοντας ότι η εν λόγω άδεια αποτελούσε μέρος του υπηρεσιακού της φακέλου που βρισκόταν στη διάθεση της Διοίκησης και β) την από … βεβαίωση του ΕΦΚΑ για την προϋπηρεσία της, την οποία όπως αναφέρει είχε κοινοποιήσει στο Ε.Κ.Κ. από τον 6 Ιούλιο του 2021 με δική της πρωτοβουλία. Αναφέρει επίσης ότι εάν το Ε.Κ.Κ. ήθελε πράγματι να διαπιστώσει αν η ίδια διατηρούσε τα σχετικά επαγγελματικά δικαιώματα, όφειλε και μπορούσε να απευθυνθεί στο οικονομικό επιμελητήριο. Σύμφωνα με την καταγγέλλουσα επομένως, ελλείψει αναγκαιότητας και προσφορότητας της σχετικής αναζήτησης στην πλατφόρμα της ΑΑΔΕ, δεν υπήρχε νόμιμος σκοπός επεξεργασίας των δεδομένων της εκ μέρους του Ε.Κ.Κ. και στην πραγματικότητα η αναζήτηση αυτή αποσκοπούσε στην εύρεση σπουδαίου λόγου καταγγελίας της σύμβασης εργασίας της, γεγονός που συνέβη μετά την κοινοποίηση εξωδίκου εκ μέρους της, με το οποίο ζητούσε ενημέρωση σχετικά με την επεξεργασία των δεδομένων της. Περαιτέρω, η καταγγέλλουσα τονίζει ότι παρανόμως δεν ενημερώθηκε για την εν λόγω αναζήτηση, με αποτέλεσμα να υποχρεωθεί να αιτηθεί σχετική εισαγγελική παραγγελία, η δε επίκληση τόσο του άρθρου 24 όσο και του άρθρου 31 του Ν. 4624/2019 εκ μέρους του Ε.Κ.Κ. γίνεται αβάσιμα, χωρίς να προσδιορίζεται ούτε για ποιες πληροφορίες είχε το ΕΚΚ «βάσιμες ενδείξεις» ότι ήταν εσφαλμένες, ούτε ποιες ήταν οι αξιώσεις και τα συμφέροντά του, τα οποία ήθελε να διαφυλάξει. Τέλος, η καταγγέλλουσα υποστηρίζει ότι, πέρα από την αρχή της διαφάνειας, από την εν λόγω παράνομη επεξεργασία παραβιάστηκε η ασφάλεια και η εμπιστευτικότητα των δεδομένων της, καθώς η αναζήτηση έγινε με χρήση των κωδικών ενός τρίτου φορέα (του ΑΠΕ-ΜΠΕ) και ότι η ίδια υπέστη ηθική βλάβη, αφού υποχρεώθηκε να αναζητά πληροφορίες για την επεξεργασία από δύο εμπλεκόμενους φορείς, ο ένας εκ των οποίων μάλιστα κατήγγειλε τη σύμβαση εργασίας της λίγες ημέρες μετά την αίτησή της προς αυτό. Στη συνέχεια, η Αρχή με το Γ/ΕΞΕ/243/30-01-2023 έγγραφό της κοινοποίησε στο ΕΚΚ το ως άνω συμπληρωματικό έγγραφο της καταγγέλλουσας και του ζήτησε να διευκρινίσει α) ποιες είναι οι ακριβείς οδηγίες και εντολές που έχουν δοθεί από το ΕΚΚ ως υπεύθυνο επεξεργασίας προς τον εκτελούντα την επεξεργασία Β, αναφορικά με τον έλεγχο των στοιχείων των διευθυντών/διευθυντριών του, καθώς και να προσκομίσει τη μεταξύ τους σύμβαση ή άλλη νομική πράξη που προβλέπεται από το άρθρο 28 παρ. 3 ΓΚΠΔ, β) δεδομένου ότι με την απάντησή του επικαλείται περισσότερες της μίας νομικές βάσεις επεξεργασίας, ενέργεια μη επιτρεπτή βάσει του ΓΚΠΔ, το ΕΚΚ κλήθηκε εκ νέου να διευκρινίσει, σύμφωνα με την αρχή της λογοδοσίας (άρθρο 5 παρ. 2 ΓΚΠΔ) σε ποια συγκεκριμένα νομική βάση στηρίχθηκε η 7 αναζήτηση δεδομένων της καταγγέλλουσας εν προκειμένω, τεκμηριώνοντας κατάλληλα την απάντησή του και γ) τέλος, το ΕΚΚ κλήθηκε να διευκρινίσει με ποιο τρόπο η ενημέρωση του υποκειμένου εν προκειμένω κατά το άρθρο 13 ΓΚΠΔ θα παρεμπόδιζε τη θεμελίωση, άσκηση ή υποστήριξη των νομικών αξιώσεων του ΕΚΚ ως υπεύθυνου επεξεργασίας, τεκμηριώνοντας τον ισχυρισμό ότι το έννομο συμφέρον του ΕΚΚ να μην παράσχει πληροφορίες για την εν λόγω επεξεργασία υπερτερεί του συμφέροντος του υποκειμένου των δεδομένων να ενημερωθεί, παρουσιάζοντας τη σχετική στάθμιση βάσει της οποίας κατέληξε στο ως άνω συμπέρασμα. Με το Γ/ΕΙΣ/1275/20-02-2023 απαντητικό του έγγραφο, το ΕΚΚ απάντησε ότι ο εν λόγω συνεργάτης, μέσω της εταιρείας της οποίας είναι νόμιμος εκπρόσωπος, είχε αναλάβει να συνδράμει στο έργο της οικονομικής διαχείρισης του ΕΚΚ, μεταξύ άλλων δε και στην τακτική ενημέρωση, συμπλήρωση και επικαιροποίηση των φακέλων των Διευθυντών του, και στο πλαίσιο αυτό ζητήθηκε η συνδρομή του στην εξέταση των εν λόγω φακέλων όσον αφορά τα ασυμβίβαστα της θέσης τους. Προς απόδειξη προσκομίζει την υπ’ αρ. πρωτ. … σχετική απόφαση του ΔΣ του ΕΚΚ, με την οποία αποφασίστηκε να ζητηθούν περαιτέρω πληροφορίες σχετικά με την απόδειξη της προϋπηρεσίας της καταγγέλλουσας, καθώς και την από … (υπ’ αρ. πρωτ. 10763/1012-2021) σύμβαση του ΕΚΚ με τον Β, με την οποία ο τελευταίος ανέλαβε την παροχή συμβουλών διαχείρισης. Η εν λόγω σύμβαση περιλαμβάνει τα άρθρα 10 και 11, σύμφωνα με τα οποία τα μέρη αναλαμβάνουν να τηρούν τις υποχρεώσεις που απορρέουν από τον ΓΚΠΔ και το Ν. 4624/2019, καθώς και την εμπιστευτικότητα όλων των στοιχείων, εγγράφων και πληροφοριών των οποίων λαμβάνουν γνώση στο πλαίσιο της σύμβασης. Επιπλέον προσκομίζεται η από … εκχώρηση της σύμβασης στην εταιρεία «Β Ε.Ε.» και η έγγραφη συναίνεση του ΕΚΚ, ως αναθέτουσας αρχής, στην εκχώρηση. Αναφορικά με το δεύτερο ερώτημα, το ΕΚΚ απάντησε ότι νομική βάση της επεξεργασίας προσωπικών δεδομένων όλων των διευθυντών του ΕΚΚ ήταν «αυτή της εργασιακής σχέσης των Διευθυντών του ΕΚΚ, και αφορούσε στον αναγκαίο τακτικό έλεγχο του φακέλου τους σε σχέση με τα ασυμβίβαστα και την επικαιροποίηση αυτών (ποινικά μητρώα κ.λπ.) σύμφωνα με το Ν. 3905/2010, σχετικά με τις ιδιότητες και τα ασυμβίβαστα των Διευθυντών του ΕΚΚ». Τέλος, αναφορικά με το τρίτο ερώτημα, σχετικά με την παρεχόμενη κατά το άρθρο 13 ΓΚΠΔ ενημέρωση, το ΕΚΚ απάντησε ότι οι Διευθυντές του γνωρίζουν ότι η επικαιροποίηση των φακέλων 8 τους και ο έλεγχος των ασυμβιβάστων καθ’ όλη τη θητεία τους είναι υποχρεωτική για το ΕΚΚ, ότι εν προκειμένω ενημερώθηκαν όλοι οι Διευθυντές, μεταξύ των οποίων και η καταγγέλλουσα, για τη σχετική απόφαση του ΔΣ, ότι όλοι επικαιροποίησαν τα πιστοποιητικά που απαιτούντο, εκτός από την καταγγέλλουσα, η οποία προσκόμισε το ποινικό της μητρώο και αρνήθηκε να απαντήσει στις διευκρινίσεις που ζητήθηκαν για την παράλληλη απασχόληση, αρνούμενη να προσκομίσει το σχετικό πιστοποιητικό ΕΦΚΑ, και έτσι το ΕΚΚ ανέθεσε τη διαδικασία έρευνας ως όφειλε, στον Β. Σύμφωνα με την ίδια απάντηση «η καταγγέλλουσα ήταν ενήμερη, όπως προκύπτει από το από … υπηρεσιακό της σημείωμα προς τη Γενική Διευθύντρια του ΕΚΚ και την από … ηλεκτρονική αλληλογραφία της Γενικής Διευθύντριας του ΕΚΚ με την καταγγέλλουσα», προσκομίζονται δε το από … e-mail της Γενικής Διευθύντριας του ΕΚΚ, Γ, μέσω της οποίας ζητήθηκε να διευκρινίσει από πού προκύπτει η ασφάλιση της καταγγέλλουσας στον κωδικό 3129 του ΕΦΚΑ, που υποδηλώνει ασφάλιση σε άλλο εργοδότη από το ΕΚΚ, προκειμένου να διευκρινιστεί εάν από την … που ανέλαβε τα καθήκοντά της έχει απασχοληθεί σε άλλον εργοδότη πλην του ΕΚΚ, καθώς και η από … βεβαίωση (η οποία φέρεται να δόθηκε από την καταγγέλλουσα ως «υπηρεσιακό σημείωμα» προς το ΕΚΚ) της επιχείρησης οικονομικών συμβούλων «ΣΩΤΗΡΙΟΣ ΣΚΑΠΕΡΔΑΣ ΚΑΙ ΣΙΑ Ε.Ε.», που αφορά την απασχόληση της καταγγέλλουσας ως λογίστριας με σχέση εργασίας ορισμένου χρόνου τα διαστήματα από … έως … και από … έως … . Σε συνέχεια των ανωτέρω, η Αρχή με τις Γ/ΕΞΕ/210/12-01-2024, Γ/ΕΞΕ/209/1201-2024, Γ/ΕΞΕ/211-12-01-2024 και Γ/ΕΞΕ/211-12-01-2024 κλήσεις αντίστοιχα κάλεσε την καταγγέλλουσα και το καταγγελλόμενο ΑΠΕ-ΜΠΕ, καθώς επίσης και τους ελεγχόμενους Ε.Κ.Κ., Β και την εταιρεία «Β Ε.Ε.» σε ακρόαση ενώπιον της Ολομέλειας της Αρχής στις 6/2/2024, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση. Κατά τη συνεδρίαση παρέστησαν η καταγγέλλουσα με τον πληρεξούσιο δικηγόρο της, Γεώργιο Μπίκο (ΑΜ ΔΣΑ: …), εκ μέρους του Ελληνικού Κέντρου Κινηματογράφου ο Δ, Πρόεδρος του ΕΚΚ, η Γ, Γενική Διευθύντρια του ΕΚΚ και η Αλεξάνδρα Αργυροπούλου, δικηγόρος (ΑΜ ΔΣΑ: …), εκ μέρους της εταιρείας «Β Ε.Ε.» ο Β και ο δικηγόρος του Δημήτριος Αναστασόπουλος (ΑΜ ΔΣΑ: …), ο Β με τον πληρεξούσιο δικηγόρο του Δημήτριο Αναστασόπουλο (ΑΜ ΔΣΑ: …) και εκ μέρους του 9 ΑΠΕ-ΜΠΕ ο Ιωάννης Γιαννακάκης, Δικηγόρος (Α.Μ. ΔΣΑ …), ενώ παρέστη και ο ΥΠΔ του ΑΠΕ-ΜΠΕ Ε. Κατά τη συνεδρίαση τα μέρη ανέπτυξαν τους ισχυρισμούς τους και στη συνέχεια έλαβαν προθεσμία και υπέβαλαν εμπρόθεσμα, η μεν καταγγέλλουσα το υπ’ αρ. πρωτ. Γ/ΕΙΣ/1341/20-02-2024 υπόμνημα με τα Γ/ΕΙΣ/1380/21-02-2024 και Γ/ΕΙΣ/1382/21-02-2024 συμπληρωματικά έγγραφα, ο δε Β το υπ’ αρ. πρωτ. Γ/ΕΙΣ/1348/20-02-2024 υπόμνημα, ενώ το ΑΠΕ-ΜΠΕ και το ΕΚΚ δεν υπέβαλαν υπόμνημα. Η καταγγέλλουσα, τόσο κατά τη συνεδρίαση όσο και με το υπόμνημά της, τόνισε ότι ο σκοπός της επεξεργασίας δεν ήταν νόμιμος, ότι η επεξεργασία δεν ήταν αναγκαία διότι η άδεια ασκήσεως επαγγέλματός της υπήρχε στον υπηρεσιακό της φάκελο, ενώ τα έγγραφα σχετικά με την παράλληλη απασχόληση της ζητήθηκαν τον …, ήτοι μετά την επεξεργασία, ότι τα μέσα επεξεργασίας (αναζήτηση του ΑΦΜ της μέσω της πλατφόρμας της ΑΑΔΕ) ήταν απρόσφορα για τον σκοπό που επικαλέστηκε το ΕΚΚ, ότι δεν ενημερώθηκε ότι επρόκειτο να γίνει αυτή η επεξεργασία και ότι μέχρι σήμερα δεν έχει διευκρινιστεί τι ακριβώς αναζητούσε το ΕΚΚ μέσω του Β, ο οποίος έκανε χρήση των κωδικών του ΑΠΕ-ΜΠΕ, εκ προθέσεως και όχι εκ παραδρομής, όπως υποστηρίζει. Επεσήμανε και πάλι ότι η πλατφόρμα της ΑΑΔΕ δεν παρέχει πληροφορίες σχετικά με τα επαγγελματικά δικαιώματα και υποστήριξε ότι ο Β δεν είχε τους κωδικούς του ΕΚΚ. Σύμφωνα με την καταγγέλλουσα, η ενημέρωση που έλαβε από το ΕΚΚ μετά την άσκηση δικαιώματος πρόσβασης ήταν αντιφατική και δεν της δόθηκαν εξ αρχής σαφείς και διαφανείς απαντήσεις, παρά μόνο μετά την αίτηση και έκδοση εισαγγελικής παραγγελίας. Όσον αφορά τους ισχυρισμούς που επικαλέστηκε το ΕΚΚ προς την Αρχή, η καταγγέλλουσα ανέφερε ότι δεν τεκμηρίωσε τη στάθμιση μεταξύ των αντικρουόμενων συμφερόντων εν προκειμένω και υποστήριξε ότι παρανόμως ο Β επεξεργάστηκε τα προσωπικά της δεδομένα ως εργαζόμενης στο ΕΚΚ, διότι μεταξύ του ΕΚΚ και του ιδίου δεν υφίσταται κατάλληλη σύμβαση εκτελούντος την επεξεργασία, παρά μόνο μια γενική σύμβαση έργου. Το ΑΠΕ-ΜΠΕ διά του εκπροσώπου του στη συνεδρίαση υποστήριξε ότι δεν έχει συμβεί κανένα περιστατικό παραβίασης εν προκειμένω, καθώς δεν έχει διαρρεύσει οποιαδήποτε πληροφορία που αφορά την καταγγέλλουσα στο ΑΠΕ-ΜΠΕ, ότι έχει λάβει όλα τα αναγκαία τεχνικά και οργανωτικά μέτρα για την ασφάλεια των 10 προσωπικών δεδομένων που επεξεργάζεται και ότι δεν φέρει οποιαδήποτε ευθύνη για την εκ παραδρομής χρήση των κωδικών του από τον Β που τυγχάνει εκτελών την επεξεργασία και για τους δύο φορείς. Το ΕΚΚ ανέφερε ότι διατηρεί από το … συνεργασία με τον Β ως εξωτερικό σύμβουλο, ότι φέρει εκ του νόμου (Ν. 3905/2010) την υποχρέωση να ελέγχει τους φακέλους όλων των διευθυντών του προκειμένου να βεβαιώνεται ότι πληρούνται οι προϋποθέσεις διορισμού τους και ότι, αφού ζητήθηκαν στοιχεία από την καταγγέλλουσα και δημιουργήθηκαν αμφιβολίες ως προς την τυχόν παράλληλη απασχόλησή της σε άλλους φορείς που συνιστά ασυμβίβαστο, γεγονός που η ίδια γνώριζε από τον …, ανατέθηκε ο σχετικός έλεγχος στον Β, ο οποίος από λάθος χρησιμοποίησε τους κωδικούς του ΑΠΕ-ΜΠΕ τους οποίους κατείχε λόγω της συνεργασίας του και με τον εν λόγω φορέα. Επεσήμανε δε ότι εν τέλει διεγνώσθη ότι η καταγγέλλουσα δεν πληρούσε τις προϋποθέσεις διορισμού της και έτσι το ΕΚΚ προχώρησε στη λύση της σύμβασής της. Ο Β, κατά την ακρόαση και με το υπόμνημά του υποστήριξε τα εξής: - Ότι τυγχάνει εκτελών την επεξεργασία και για τους δύο ανωτέρω φορείς όσον αφορά την οικονομική τους διαχείριση, η οποία περιλαμβάνει μεταξύ άλλων τη μισθοδοσία, την υλοποίηση συμβάσεων κλπ. Στο πλαίσιο αυτό λαμβάνει γνώση των ΑΦΜ των υπαλλήλων των φορέων, όπως ήταν η καταγγέλλουσα. - Ότι εν προκειμένω πραγματικά εκ παραδρομής, χωρίς σχετική πρόθεση και για μία και μοναδική φορά έκανε χρήση των κωδικών του ΑΠΕ-ΜΠΕ προκειμένου να χρησιμοποιήσει την πλατφόρμα της ΑΑΔΕ για την αναζήτηση βασικών στοιχείων μητρώου της καταγγέλλουσας, στο πλαίσιο εντολής που του είχε δοθεί για τον έλεγχο της επάρκειας των φακέλων. Συγκεκριμένα, ο Β υποστηρίζει ότι του ανατέθηκε να ελέγξει την επάρκεια των επαγγελματικών στοιχείων και της επαγγελματικής υπόστασης της καταγγέλλουσας για την εύρεση ενδεχόμενης ύπαρξης παράλληλης απασχόλησης σύμφωνα με το Ν. 3905/2010 σχετικά με τις ιδιότητες και τα ασυμβίβαστα της εργασιακής σχέσης των Διευθυντών του Ε.Κ.Κ., κατόπιν και της από 17-5-2022 σχετικής απόφασης του Διοικητικού Συμβουλίου του ΕΚΚ. 11 Ο ανωτέρω εκτελών την επεξεργασία συμπερασματικά τονίζει ότι διέθετε σχετική σύμβαση με τον υπεύθυνο επεξεργασίας (ΕΚΚ), ότι είχε νόμιμο σκοπό και νόμιμη βάση επεξεργασίας των δεδομένων της καταγγέλλουσας, ότι δεν αποκόμισε καμία πληροφορία που δεν υπήρχε ήδη στον υπηρεσιακό φάκελο της καταγγέλλουσας, συνεπώς η καταγγέλλουσα δεν υπέστη καμία ζημία, ότι δεν άντλησε οποιοδήποτε στοιχείο από την πλατφόρμα της ΑΑΔΕ και κανείς άλλος δεν είχε πρόσβαση στα δεδομένα της καταγγέλλουσας, ότι η εν λόγω επεξεργασία συνεπώς δεν συνεπάγεται κανένα κίνδυνο για το υποκείμενο και ζητά να μην επιβληθούν κυρώσεις σε βάρος του, δεδομένου ότι ουδεμία παράβαση της σχετικής νομοθεσίας έχει τελέσει. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ 1. Aπό τις διατάξεις των άρθρων 51 και 55 και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Σύμφωνα με τις ανωτέρω διαπιστώσεις και από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019, προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας της Α για παράνομη επεξεργασία των προσωπικών της δεδομένων και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/2019. 2. Με το άρθρο 5 παρ. 1 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (εφεξής ΓΚΠΔ) τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία. Σύμφωνα με το άρθρο 5 παρ. 1 α) και στ) ΓΚΠΔ «1. Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), […] στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την 12 ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)», ενώ όπως επισημαίνεται στο Προοίμιο του Κανονισμού, «Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να υφίστανται επεξεργασία κατά τρόπο που να διασφαλίζει την ενδεδειγμένη προστασία και εμπιστευτικότητα των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων και για να αποτρέπεται κάθε ανεξουσιοδότητη πρόσβαση σε αυτά τα δεδομένα προσωπικού χαρακτήρα και στον εξοπλισμό που χρησιμοποιείται για την επεξεργασία τους ή η χρήση αυτών των δεδομένων προσωπικού χαρακτήρα και του εν λόγω εξοπλισμού» (Αιτ. Σκ. 39 in fine). Περαιτέρω, σύμφωνα με την αρχή της λογοδοσίας που ορίζεται ρητώς στην δεύτερη παράγραφο του ιδίου άρθρου και συνιστά ακρογωνιαίο λίθο του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Η αρχή αυτή συνεπάγεται την υποχρέωση του υπευθύνου επεξεργασίας να δύναται να αποδείξει συμμόρφωση με τις αρχές του άρθ. 5 παρ. 1. 3. Σύμφωνα με το άρθρο 6 παρ. 1 του ΓΚΠΔ «1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ' αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης, γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας, δ) η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου, ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός 13 εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί». 4. Όσον αφορά την τήρηση της αρχής της διαφάνειας, τα άρθρα 13 και 14 ΓΚΠΔ ορίζουν συγκεκριμένα τις πληροφορίες που πρέπει να παρέχονται στο υποκείμενο των δεδομένων από τον υπεύθυνο επεξεργασίας, τόσο στην περίπτωση που τα δεδομένα συλλέγονται από το υποκείμενο (άρθρο 13) όσο και στην περίπτωση που τα δεδομένα δεν έχουν συλλεγεί από το υποκείμενο (άρθρο 14). Σύμφωνα με το άρθρο 14 παρ. 1 και 2 ΓΚΠΔ, «1. Όταν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων τις ακόλουθες πληροφορίες: α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας, β) τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων, κατά περίπτωση, γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, δ) τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, ε) τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, ενδεχομένως, στ) κατά περίπτωση, ότι ο υπεύθυνος επεξεργασίας προτίθεται να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε αποδέκτη σε τρίτη χώρα ή διεθνή οργανισμό και την ύπαρξη ή την απουσία απόφασης επάρκειας της Επιτροπής ή, όταν πρόκειται για τις διαβιβάσεις που αναφέρονται στο άρθρο 46 ή 47 ή στο άρθρο 49 παράγραφος 1 δεύτερο εδάφιο, αναφορά στις ενδεδειγμένες ή κατάλληλες εγγυήσεις και τα μέσα για να αποκτηθεί αντίγραφό τους ή στο πού διατέθηκαν. 2. Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων τις εξής πληροφορίες που είναι αναγκαίες για τη διασφάλιση θεμιτής και διαφανούς επεξεργασίας όσον αφορά το υποκείμενο των δεδομένων: α) το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω χρονικό διάστημα, β) εάν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 14 στοιχείο στ), τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ή από τρίτο, γ) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για πρόσβαση και διόρθωση ή διαγραφή των δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας που αφορά το υποκείμενο των δεδομένων και δικαιώματος αντίταξης στην επεξεργασία, καθώς και δικαιώματος στη φορητότητα των δεδομένων, δ) όταν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο α) ή στο άρθρο 9 παράγραφος 2 στοιχείο α), την ύπαρξη του δικαιώματος να ανακαλέσει τη συγκατάθεσή του οποτεδήποτε, χωρίς να θιγεί η νομιμότητα της επεξεργασίας που βασίστηκε στη συγκατάθεση πριν από την ανάκλησή της, ε) το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, στ) την πηγή από την οποία προέρχονται τα δεδομένα προσωπικού χαρακτήρα και, ανάλογα με την περίπτωση, εάν τα δεδομένα προήλθαν από πηγές στις οποίες έχει πρόσβαση το κοινό, ζ) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που προβλέπεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων». Σύμφωνα με την παρ. 3 του ιδίου άρθρου «Ο υπεύθυνος επεξεργασίας παρέχει τις πληροφορίες που αναφέρονται στις παραγράφους 1 και 2: α) εντός εύλογης προθεσμίας από τη συλλογή των δεδομένων προσωπικού χαρακτήρα, αλλά το αργότερο εντός ενός μηνός, λαμβάνοντας υπόψη τις ειδικές συνθήκες υπό τις οποίες τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία, […]», ενώ κατά την παρ. 4 του άρθρου αυτού «Όταν ο υπεύθυνος επεξεργασίας προτίθεται να επεξεργαστεί περαιτέρω τα δεδομένα προσωπικού χαρακτήρα για σκοπό άλλο από εκείνον για τον οποίο τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν, ο υπεύθυνος επεξεργασίας θα πρέπει να παρέχει στο υποκείμενο των δεδομένων, πριν από την εν λόγω περαιτέρω επεξεργασία, πληροφορίες για τον σκοπό αυτόν και άλλες τυχόν αναγκαίες πληροφορίες, όπως αναφέρεται στην παράγραφο 2». Τέλος, στην παράγραφο 5 του άρθρου 14 ΓΚΠΔ προβλέπονται εξαιρέσεις από την υποχρέωση ενημέρωσης του υποκειμένου, μεταξύ των οποίων και στις περιπτώσεις κατά τις οποίες «…β) η παροχή τέτοιων πληροφοριών αποδεικνύεται αδύνατη ή θα συνεπαγόταν δυσανάλογη προσπάθεια […] ή εφόσον η υποχρέωση που αναφέρεται 15 στην παράγραφο 1 του παρόντος άρθρου είναι πιθανόν να καταστήσει αδύνατη ή να βλάψει σε μεγάλο βαθμό την επίτευξη των σκοπών της εν λόγω επεξεργασίας. Στις περιπτώσεις αυτές, ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για την προστασία των δικαιωμάτων και ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων […]». 5. Προς διασφάλιση της αρχής της διαφάνειας της επεξεργασίας, το άρθρο 12 παρ. 1 ΓΚΠΔ ορίζει ότι: «Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 και του άρθρου 34 σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, ιδίως όταν πρόκειται για πληροφορία απευθυνόμενη ειδικά σε παιδιά. Οι πληροφορίες παρέχονται γραπτώς ή με άλλα μέσα, μεταξύ άλλων, εφόσον ενδείκνυται, ηλεκτρονικώς. Όταν ζητείται από το υποκείμενο των δεδομένων, οι πληροφορίες μπορούν να δίνονται προφορικά, υπό την προϋπόθεση ότι η ταυτότητα του υποκειμένου των δεδομένων είναι αποδεδειγμένη με άλλα μέσα». Περαιτέρω, σύμφωνα με τις Κατευθυντήριες Γραμμές για τη διαφάνεια (WP260 rev.01), κατά την ενημέρωση των υποκειμένων σύμφωνα με τα άρθρα 13-14 ΓΚΠΔ, οι παρεχόμενες πληροφορίες θα πρέπει να είναι συγκεκριμένες και οριστικές. Όπως επισημαίνεται στην §56 των εν λόγω Κατευθυντηρίων Γραμμών: «Σύμφωνα με την αρχή της λογοδοσίας, οι υπεύθυνοι επεξεργασίας δεδομένων πρέπει να αποδεικνύουν (και να καταγράφουν) τις πληροφορίες που έχει ήδη το υποκείμενο των δεδομένων, πώς και πότε τις έλαβε, καθώς και ότι δεν έχουν προκύψει αλλαγές έκτοτε σε αυτές τις πληροφορίες, οι οποίες θα τις καθιστούσαν παρωχημένες». 6. Περαιτέρω, σύμφωνα με το άρθρο 24 παρ. 1 του Ν. 4624/2019 «Η επεξεργασία δεδομένων προσωπικού χαρακτήρα από δημόσιους φορείς για σκοπό διαφορετικό από αυτόν για τον οποίο έχουν συλλεχθεί, επιτρέπεται όταν η επεξεργασία αυτή είναι αναγκαία για την εκπλήρωση των καθηκόντων που τους έχουν ανατεθεί και εφόσον είναι: α) απαραίτητο να ελεγχθούν οι πληροφορίες που παρέχονται από το υποκείμενο των δεδομένων, διότι υπάρχουν βάσιμες ενδείξεις ότι οι πληροφορίες αυτές είναι εσφαλμένες· […]». Επιπλέον, το άρθρο 31 του Ν. 4624/2019 ορίζει τα 16 εξής: «1. Η υποχρέωση ενημέρωσης του υποκειμένου των δεδομένων σύμφωνα με το άρθρο 13 παράγραφος 3 του ΓΚΠΔ δεν υφίσταται εκτός από την αναφερόμενη στο άρθρο 13 παράγραφος 4 του ΓΚΠΔ εξαίρεση, όταν η παροχή των πληροφοριών σχετικά με την περαιτέρω επεξεργασία: α) αφορά μια περαιτέρω επεξεργασία αποθηκευμένων σε γραπτή μορφή δεδομένων, στην οποία ο υπεύθυνος επεξεργασίας απευθύνεται άμεσα στο υποκείμενο των δεδομένων, ο σκοπός είναι συμβατός με τον αρχικό σκοπό συλλογής σύμφωνα με το ΓΚΠΔ, η επικοινωνία με το υποκείμενο των δεδομένων δεν γίνεται σε ψηφιακή μορφή και το ενδιαφέρον του υποκειμένου των δεδομένων για την παροχή πληροφοριών κατά τις περιστάσεις της συγκεκριμένης περίπτωσης, ιδίως όσον αφορά το πλαίσιο εντός του οποίου συλλέχθηκαν τα δεδομένα θεωρείται ότι δεν είναι υψηλό· β) στην περίπτωση του δημόσιου φορέα, θα έθετε σε κίνδυνο την ορθή εκτέλεση των καθηκόντων του υπεύθυνου επεξεργασίας με την έννοια του άρθρου 23 παράγραφος 1 στοιχεία α) έως ε) του ΓΚΠΔ, και το συμφέρον του υπεύθυνου επεξεργασίας να μην παράσχει τις πληροφορίες, υπερτερεί του συμφέροντος του υποκειμένου των δεδομένων· γ) θα έθετε σε κίνδυνο την εθνική ή τη δημόσια ασφάλεια και το συμφέρον του υπεύθυνου επεξεργασίας να μην παράσχει τις πληροφορίες υπερτερεί του συμφέροντος του υποκειμένου των δεδομένων· δ) θα παρεμπόδιζε τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων και το συμφέρον του υπεύθυνου επεξεργασίας να μην παράσχει πληροφορίες υπερτερεί του συμφέροντος του υποκειμένου των δεδομένων· ε) θα έθετε σε κίνδυνο την εμπιστευτική διαβίβαση δεδομένων σε δημόσιους φορείς. 2. Εφόσον δεν παρέχονται πληροφορίες στο υποκείμενο των δεδομένων σύμφωνα με την παράγραφο 1, ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων, συμπεριλαμβανομένης της παροχής στο κοινό των πληροφοριών που αναφέρονται στο άρθρο 13 παράγραφοι 1 και 2 του ΓΚΠΔ σε ακριβή, διαφανή, κατανοητή και ευχερώς προσβάσιμη μορφή, σε σαφή και απλή γλώσσα. Ο υπεύθυνος επεξεργασίας δηλώνει γραπτώς τους λόγους για τους οποίους απέφυγε να παράσχει πληροφορίες. Τα ανωτέρω εδάφια δεν εφαρμόζονται στις περιπτώσεις δ΄ και ε΄ της προηγούμενης παραγράφου. 3. Εφόσον δεν παρέχεται γνωστοποίηση στις περιπτώσεις της παραγράφου 1 λόγω ύπαρξης προσωρινού εμποδίου, ο υπεύθυνος επεξεργασίας, λαμβανομένων υπόψη των ειδικών συνθηκών της επεξεργασίας, 17 πρέπει να συμμορφώνεται στην υποχρέωση πληροφόρησης εντός εύλογης προθεσμίας μετά την απομάκρυνση του εμποδίου, αλλά όχι αργότερα από το χρονικό διάστημα των δύο
Επεξήγηση AI βάσει του επίσημου κειμένου του νόμου. Ενδεικτική, δεν υποκαθιστά νομική συμβουλή.