Αθήνα, 13-02-2023 Αριθ. Πρωτ. 374 Α Π Ο Φ Α Σ Η 2 /2023 (Μονοπρόσωπο Όργανο) Ο Πρόεδρος της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα ως μονοπρόσωπο όργανο κατά το άρθρο 17 παρ. 1 του ν. 4624/2019 (ΦΕΚ Α΄ 137), στο πλαίσιο των αρμοδιοτήτων που προβλέπονται στα άρθρα 4 παρ. 3 και 10 παρ. 4 του Κανονισμού Λειτουργίας της Αρχής (ΦΕΚ Β΄879/25.02.2022) συνεδρίασε μέσω τηλεδιάσκεψης τη Δευτέρα 19 Δεκεμβρίου 2022 προκειμένου να εξετάσει την υπόθεση, που αναφέρεται κατωτέρω στο ιστορικό της παρούσας απόφασης. Παρούσες χωρίς δικαίωμα ψήφου ήταν η Αναστασία Τριτάκη, νομική ελέγκτρια – δικηγόρος και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα κάτωθι: Με την υπ’ αριθ. πρωτ. Αρχής Γ/ΕΙΣ/5379/23-08-2021 καταγγελία, ο Α (εφεξής: καταγγέλλων) κατήγγειλε ενώπιον της Αρχής ότι κατά την άφιξή του στο ξενοδοχείο Renaissance Hanioti Resort της εταιρίας Γ. Βοεβόδας & Σία Α.Ε. (εφεξής: καταγγελλόμενη), η υπάλληλος υποδοχής τού ζήτησε να επιδείξει το πιστοποιητικό εμβολιασμού του κατά της Covid-19 και στη συνέχεια προέβη στη δημιουργία φωτοτυπικού αντιγράφου του. Σύμφωνα με τους ισχυρισμούς του, ο καταγγέλλων επεσήμανε στην υπάλληλο ότι η δημιουργία φωτοτυπικού αντιγράφου του πιστοποιητικού εμβολιασμού του κατά της Covid-19 δεν ήταν νόμιμη, πλην όμως, όπως 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr αναφέρει, η υπάλληλος αποκρίθηκε πως δεν το γνώριζε και διατήρησε το αντίγραφο. Ο καταγγέλλων αναφέρει πως δεν προέβη σε περαιτέρω ενέργειες, καθώς η άφιξή του στις εγκαταστάσεις της καταγγελλόμενης εταιρίας έγινε σε προχωρημένη νυχτερινή ώρα και δεν υπήρχε εναλλακτική διαμονής του σε περίπτωση που η υπάλληλος αρνείτο να του επιτρέψει την πρόσβαση στο δωμάτιο διαμονής του, αν εκείνος επέμενε να μη διατηρηθεί το αντίγραφο. Ο καταγγέλλων έθεσε ενώπιον της Αρχής το ερώτημα αν η καταγγελλόμενη εταιρία είχε το δικαίωμα να διατηρήσει το αντίγραφο του πιστοποιητικού εμβολιασμού του κατά της Covid-19, καθώς και ερώτημα αναφορικά με το χρονικό διάστημα που θα διατηρούταν το αντίγραφο τα πρόσωπα που θα είχαν πρόσβαση σε αυτό και τον τρόπο με τον οποίο θα λάμβανε χώρα καταστροφή του αντιγράφου. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, κάλεσε κατ’ αρχάς με το υπ’ αριθ. πρωτ. Γ/ΕΞΕ/2021/07-09-2021 (υπό 2) σχετ.) έγγραφό της την καταγγελλόμενη εταιρία, να εκθέσει τις απόψεις της επ’ αυτής. Λόγω έλλειψης ανταπόκρισης στο ως άνω αίτημα, η Αρχή κάλεσε εκ νέου με τα υπ’ αριθ. Πρωτ. Αρχής Γ/ΕΞΕ/1150/18-05-2022 και υπ’ αριθ. Πρωτ. Αρχής Γ/ΕΞΕ/2375/27-09-2022 υπομνηστικά έγγραφα (υπό 3) σχετ.) την καταγγελλόμενη εταιρία να παράσχει τις απόψεις της επί των καταγγελλομένων, υπενθυμίζοντας την υποχρέωση συνεργασίας του υπευθύνου επεξεργασίας με την Αρχή συμφώνως προς το άρθρο 31 ΓΚΠΔ, ενώ της αποστολής του τελευταίου εγγράφου προηγήθηκε και τηλεφωνική επικοινωνία της Αρχής με, την καταγγελλόμενη εταιρία κατά την οποία η εταιρία υπέδειξε τη χρήση έτερης διεύθυνσης ηλεκτρονικού ταχυδρομείου για την αποστολή. Με την υπ’ αριθ. πρωτ. Αρχής Γ/ΕΙΣ/10733/05-10-2022) απάντησή της (υπό 4) σχετ.), η καταγγελλόμενη εταιρία υποστήριξε ενώπιον της Αρχής, μεταξύ άλλων : α) ότι σύμφωνα με ειδικά πρωτόκολλα υγειονομικού περιεχομένου βάσει των οποίων λειτουργούν οι τουριστικές επιχειρήσεις στο πλαίσιο της λήψης μέτρων έναντι του Covid19, τηρεί αρχείο για λόγους δημόσιας υγείας, με εξαίρεση των ιατρικών δεδομένων, γεγονός για το οποίο, κατά τους ισχυρισμούς του, ενημερώθηκε ο καταγγέλλων, κατά την άφιξή του, β) ότι το αντίγραφο του πιστοποιητικού εμβολιασμού του καταγγέλλοντος 2 κατά της Covid-19, δημιουργήθηκε κατ’ εξαίρεση και με αποκλειστικό σκοπό την ενημέρωση του επικεφαλής της υποδοχής του ξενοδοχείου, ο οποίος απουσίαζε κατά τη στιγμή της άφιξης του καταγγέλλοντος στο ξενοδοχείο, γ) ότι το ως άνω αντίγραφο τηρήθηκε στο αρχείο της μόνο για το απολύτως αναγκαίο χρονικό διάστημα, και κατόπιν της προσέλευσης του επικεφαλής της υποδοχής καταστράφηκε, ενώ τα δεδομένα του καταγγέλλοντος δεν γνωστοποιήθηκαν σε οιονδήποτε τρίτο, δ) ότι αποτελεί έκπληξη για την καταγγελλόμενη εταιρία ο ισχυρισμός του καταγγέλλοντος ότι ζήτησε την καταστροφή του αντιγράφου και το καταγγελλόμενο αρνήθηκε σχετικώς, ε) ότι ο καταγγέλλων δεν επανήλθε κατά τη διαμονή του ή κατά την αναχώρησή του αναφορικά με το συγκεκριμένο θέμα, ενώ η καταγγελλόμενη εταιρία λόγω φόρτου εργασίας, παρέλειψε να παράσχει στον καταγγέλλοντα ενημέρωση ότι προέβη σε καταστροφή του αντιγράφου εντός 12 ωρών, και ζητά «συγγνώμη» σχετικά με την παράλειψη αυτή, στ) ότι, τέλος, αναφορικά με την έλλειψη ανταπόκρισης στα αιτήματα της Αρχής για παροχή διευκρινίσεων, για λόγους που δεν γνωρίζει, η καταγγελλόμενη εταιρία δεν είχε παραλάβει ηλεκτρονικά ή ταχυδρομικά τα υπ’ αριθ. πρωτ. Αρχής Γ/ΕΞΕ/2021/07-09-2021 και Γ/ΕΞΕ/1150/18-05-2022 έγγραφα της Αρχής. Κατόπιν της εξέτασης των στοιχείων του φακέλου, η Αρχή απέστειλε την υπ’ αριθ. πρωτ. Αρχής Γ/ΕΞΕ/ 3049/28-11-2022 κλήση προς ακρόαση στην καταγγελλόμενη εταιρία Γ. Βοεβόδας & Σία Α.Ε. προκειμένου να παραστεί, μέσω τηλεδιάσκεψης, σε ακρόαση ενώπιον του Προέδρου της Αρχής, τη Δευτέρα 5 Δεκεμβρίου 2022 με θέμα τη συζήτηση της ως άνω καταγγελίας. Κατά την ως άνω συνεδρίαση παρέστη για λογαριασμό της καταγγελλομένης η Β, Διευθύνουσα Σύμβουλος της καταγγελλομένης και ζήτησε αναβολή της συνεδρίασης σε νέα ημερομηνία προκειμένου να είναι δυνατή η παράσταση του νομίμου εκπροσώπου της εταιρίας και της πληρεξουσίας δικηγόρου της. Ο Πρόεδρος της Αρχής έκανε δεκτό το αίτημα αναβολής και προσδιόρισε τη συζήτηση σε νέα ημερομηνία τη Δευτέρα 19 Δεκεμβρίου 2022 και ώρα 10.00 π.μ. Κατά τη συνεδρίαση ενώπιον του Προέδρου της Αρχής τη Δευτέρα 19 Δεκεμβρίου 2022 η καταγγελλόμενη εταιρία παρέστη δια της πληρεξουσίας δικηγόρου Ιουλιάννας Παπαθεοχάρη, … . της Η καταγγελλόμενη, αφού ανέπτυξε προφορικά τις 3 απόψεις της, έλαβε προθεσμία προσκομίσεως έγγραφου υπομνήματος προς περαιτέρω υποστήριξη των ισχυρισμών της και υπέβαλε εμπροθέσμως, μέσω της πληρεξουσίας δικηγόρου της, την 23/12/2022 το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/12802/23-12-2022 υπόμνημα. Κατά την ως άνω ακρόαση, αλλά και με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/12802/23-12-2022 κατόπιν της ακροάσεως υπόμνημά της, η καταγγελλόμενη, αφού επανέλαβε τους ισχυρισμούς που έθεσε και προηγουμένως ενώπιον της Αρχής, υποστήριξε επιπλέον ότι κατά την ημερομηνία του εν λόγω συμβάντος (16-8-2021) επικρατούσαν μέτρα και περιορισμοί για την αντιμετώπιση της πανδημίας COVID-19, καθώς και πολύ αυστηροί όροι και προϋποθέσεις για την είσοδο ταξιδιωτών ανεξαρτήτως υπηκοότητας στην Ελλάδα, και συγκεκριμένα, ο Ν.4806/2021 (ΦΕΚ Α΄95/10-6-2021) με τον οποίο κυρώθηκε η ΠΝΠ της 30-5-2021, όπου προβλεπόταν η έκδοση πιστοποιητικού εμβολιασμού, η υπ’ αριθ. Δ1α/49351/2021 (ΦΕΚ Β’ 3590/2021) Υπουργική Απόφαση, σύμφωνα με την οποία οριζόταν ότι για την είσοδο στην Ελλάδα απαιτείται η επίδειξη πιστοποιητικού εμβολιασμού ή νόσησης, καθώς και η υπ’ αριθ. Δ1α/49762/2021 (ΦΕΚ Β΄3660/7-8-21) Υπουργική Απόφαση σχετικά με την υποχρέωση επίδειξης πιστοποιητικού εμβολιασμού/νόσησης για την είσοδο σε κλειστούς χώρους, χώρους εστίασης κλπ. Η καταγγελλόμενη ανέφερε επιπλέον ότι λόγω της αυστηρότητας των υγειονομικών πρωτοκόλλων που είχαν επιβληθεί νομοθετικά για την αντιμετώπιση της πανδημίας COVID-19 και ειδικότερα για τη λειτουργία των ξενοδοχειακών μονάδων, είχε υιοθετήσει την πρακτική αποστολής σχετικού μηνύματος ηλεκτρονικής αλληλογραφίας 7 ημέρες πριν την άφιξη του πελάτη στο ξενοδοχείο , με το οποίο επιβεβαιωνόταν η κράτησή του και ενημερωνόταν για την υποχρέωση επίδειξης του σχετικού πιστοποιητικού εμβολιασμού (με ολοκληρωμένη τη 2η δόση 14 ημέρες πριν την άφιξη) ή τη διενέργεια PCR test ή Rapid Test.) Το αυτό έλαβε χώρα, κατά τους ισχυρισμούς της καταγγελλομένης και προς τον καταγγέλλοντα, ενημερώνοντάς τον σχετικά για την εν λόγω υποχρέωση. Κατά την άφιξή του, ο καταγγέλλων επέδειξε το πιστοποιητικό του, του οποίου ελήφθη φωτοαντίγραφο που διατηρήθηκε για ελάχιστες ώρες, προκειμένου να επιδειχθεί στον επικεφαλής της υποδοχής, ενώ αμέσως μετά καταστράφηκε, χωρίς ουδέποτε να κοινοποιηθεί σε οποιονδήποτε τρίτο. Η καταγγελλόμενη προσέθεσε, τέλος, ότι δεν είχε 4 την ευκαιρία να ενημερώσει σχετικά τον καταγγέλλοντα για την καταστροφή του εγγράφου, διότι ο ίδιος δεν έκανε κανένα σχετικό παράπονο στον υπάλληλο υποδοχής, ούτε διαμαρτυρήθηκε σε οποιονδήποτε άλλο υπεύθυνο του ξενοδοχείου καθ’ όλη τη διάρκεια της παραμονής του, ενώ σε διαφορετική περίπτωση θα μπορούσαν να είχαν δοθεί άμεσα οι εξηγήσεις εκ μέρους του καταγγελλόμενου και να διαπίστωνε και ο ίδιος ο καταγγέλλων ότι καταστράφηκε το σχετικό φωτοαντίγραφο. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και όσων προέκυψαν από την ενώπιόν της ακροαματική διαδικασία και το υπόμνημα της καταγγελλομένης εταιρίας, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
- Επειδή από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων 2016/679 (ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου 4624/2019 και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ.1 στοιχ. στ) του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ) του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του Α κατά της Γ. Βοεβόδας & Σία Α.Ε., καθόσον η ως άνω καταγγελία αφορά σε καταχώριση/αποθήκευση δεδομένων σε σύστημα αρχειοθέτησης κατά την έννοια του άρθρου 4 στοιχ. 2) και 6) ΓΚΠΔ, επομένως για επεξεργασία υπαγόμενη στο ρυθμιστικό πεδίο των άρθρων 2 παρ. 1 του ΓΚΠΔ και 2 του ν.4624/
- Επειδή σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 4 στοιχ. 7) ΓΚΠΔ, ως υπεύθυνος επεξεργασίας νοείται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα∙ όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους». Σύμφωνα με τις Κατευθυντήριες γραμμές 07/2020 του ΕΣΠΔ αναφορικά με τις έννοιες 5 του υπευθύνου της επεξεργασίας και του εκτελούντος την επεξεργασία 1, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα που εκτελείται από υπαλλήλους στο πεδίο των δραστηριοτήτων ενός οργανισμού μπορεί να θεωρηθεί ότι εκτελείται υπό τον έλεγχο του εν λόγω οργανισμού. Οι υπάλληλοι που έχουν πρόσβαση σε δεδομένα προσωπικού χαρακτήρα στο πλαίσιο ενός οργανισμού δεν θεωρούνται εν γένει «υπεύθυνοι επεξεργασίας» ή «εκτελούντες την επεξεργασία», αλλά « πρόσωπα που ενεργούν υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία» κατά την έννοια του άρθρου 29 του ΓΚΠΔ 2, επομένως εν προκειμένω η καταγγελλόμενη εταιρία Γ. Βοεβόδας & Σία Α.Ε. αποτελεί την υπεύθυνη επεξεργασίας.
- Επειδή σύμφωνα με τις διατάξεις του άρθρου 5 παρ. 1 του ΓΚΠΔ αναφορικά με τις αρχές που θα πρέπει να διέπουν την επεξεργασία των δεδομένων, τα δεδομένα προσωπικού χαρακτήρα θα πρέπει μεταξύ άλλων α) να υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), β) να συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και να μην υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς («περιορισμός του σκοπού»), γ) να είναι κατάλληλα, συναφή και να περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»). Προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, ήτοι επεξεργασίας σύμφωνα προς τις απαιτήσεις του ΓΚΠΔ, θα πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ
- Η ύπαρξη ενός νόμιμου θεμελίου (άρθ. 6 ΓΚΠΔ) δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των αρχών (άρθ. 5 παρ. 1 ΓΚΠΔ) αναφορικά με τον θεμιτό χαρακτήρα, την αναγκαιότητα και την αναλογικότητα και την αρχή της ελαχιστοποίησης. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπομένων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία παρίσταται ως EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, Version 2.0, Adopted on 07 July 2021, https://edpb.europa.eu/system/files/2021-07/eppb_guidelines_202007_controllerprocessor_final_en.pdf 2 Ως άνω, παρ. 19 και υποσημ.
- 3 ΔΕΕ, C- 496/17, Deutsche Post AG κατά Hauptzollamt Köln1, 16 Ιανουαρίου 2019, σκ.
- 1 6 μη νόμιμη (αντικείμενη στις διατάξεις του ΓΚΠΔ) και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρου 6 ΓΚΠΔ
- Έτσι, η κατά παράβαση των αρχών του άρθρου 5 ΓΚΠΔ μη νόμιμη συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης (πρβλ. ΑΠΔΠΧ 38/2004, ΑΠΔΠΧ 43/2019). Επιπλέον δε, το ΔΕΕ με την από 01-10-2015 απόφασή του στο πλαίσιο της υπόθεσης C-201/14 (Smaranda Bara) έκρινε ως προϋπόθεση της θεμιτής και νόμιμης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα την ενημέρωση του υποκειμένου των δεδομένων προ της επεξεργασίας αυτών
- Η δε αναγνώριση και επιλογή της κατάλληλης νομικής βάσης εκ των προβλεπομένων στο άρθρο 6 παρ. 1 ΓΚΠ∆ είναι στενά συνδεδεμένη µε την αρχή της θεμιτής ή δίκαιης επεξεργασίας καθώς και µε την αρχή του περιορισμού του σκοπού, ο δε υπεύθυνος επεξεργασίας οφείλει όχι µόνο να επιλέξει την κατάλληλη νομική βάση προ της έναρξης της επεξεργασίας, αλλά και να ενημερώσει κατ’ άρθρο 13 παρ. 1 εδ. γ’ ΓΚΠ∆ για την χρήση της το υποκείμενο των δεδομένων, καθώς η επιλογή της κάθε νομικής βάσης ασκεί έννομη επιρροή στην εφαρμογή των δικαιωμάτων των υποκειμένων
- Επειδή, περαιτέρω, συμφώνως προς το άρθρο 13 του ΓΚΠΔ: «
- Όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων Πρβλ. ΣτΕ 517/2018 παρ. 12: «[...] προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, απαιτείται σε κάθε περίπτωση να συντρέχουν σωρευτικά οι προϋποθέσεις του άρθρου 4 παρ. 1 του ν. 2472/1997, που μεταξύ άλλων, ορίζει ότι τα δεδομένα πρέπει να συλλέγονται και να υφίστανται επεξεργασία κατά τρόπο θεμιτό και νόμιμο, για σαφείς και νόμιμους σκοπούς...Εφόσον συντρέχουν οι προϋποθέσεις του άρθρου 4 παρ. 1 του ν. 2472/1997 (νόμιμη συλλογή και επεξεργασία δεδομένων για σαφείς και νόμιμους σκοπούς), εξετάζεται περαιτέρω αν συντρέχουν και οι προϋποθέσεις της διατάξεως του άρθρου 5 παρ. 2 του ν. 2472/1997 [νομικές βάσεις]». Επίσης, πρβλ. ΣτΕ σε Ολομέλεια 2285/2001 παρ. 10: «[...] Μόνο δε εάν συντρέχουν οι παραπάνω βασικές προϋποθέσεις, έχουν εφαρμογή οι διατάξεις των άρθρων 5 και 7 του Ν. 2472/1997, οι οποίες επιβάλλουν ως περαιτέρω πρόσθετη, κατ’ αρχήν, προϋπόθεση νόμιμης επεξεργασίας δεδομένων προσωπικού χαρακτήρα συγκεκριμένου προσώπου, τη συγκατάθεση αυτού». 5 ΔΕΕ, C-201/14, Smaranda Bara κ.λπ. κατά Casa Naţională de Asigurări de Sănătate κ.λπ., 1 Οκτωβρίου 2015, ιδίως σκ.
- 6 Βλ. Κατευθυντήριες Γραµµές 2/2019 του Ευρωπαϊκού Συµβουλίου Προστασίας ∆εδοµένων “on the processing of personal data under Article 6
(1)(b) GDPR in the context of the provision of online services to data subjects” σελ. 4-67 παρ. 1, 12, 17-20 καθώς και Αποφάσεις ΑΠΔ 26/2019, σκ. 6, ΑΠΔ 12/2022, σκ.
- 4 7 προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες: α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας, β) τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων, κατά περίπτωση, γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, δ) εάν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο στ), τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ή από τρίτο, ε) τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, εάν υπάρχουν, στ) κατά περίπτωση, την πρόθεση του υπευθύνου επεξεργασίας να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε τρίτη χώρα ή διεθνή οργανισμό και την ύπαρξη ή την απουσία απόφασης επάρκειας της Επιτροπής ή, όταν πρόκειται για τις διαβιβάσεις που αναφέρονται στο άρθρο 46 ή 47 ή στο άρθρο 49 παράγραφος 1 δεύτερο εδάφιο, αναφορά στις ενδεδειγμένες ή κατάλληλες εγγυήσεις και τα μέσα για να αποκτηθεί αντίγραφό τους ή στο πού διατέθηκαν.
- Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων τις εξής επιπλέον πληροφορίες που είναι αναγκαίες για την εξασφάλιση θεμιτής και διαφανούς επεξεργασίας: α) το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, β) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για πρόσβαση και διόρθωση ή διαγραφή των δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας που αφορούν το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην επεξεργασία, καθώς και δικαιώματος στη φορητότητα των δεδομένων, γ) όταν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο α) ή στο άρθρο 9 παράγραφος 2 στοιχείο α), την ύπαρξη του δικαιώματος να ανακαλέσει τη συγκατάθεσή του οποτεδήποτε, χωρίς να θιγεί η νομιμότητα της επεξεργασίας που βασίστηκε στη συγκατάθεση πριν από την ανάκλησή της, δ) το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, ε) κατά πόσο η παροχή δεδομένων προσωπικού 8 χαρακτήρα αποτελεί νομική ή συμβατική υποχρέωση ή απαίτηση για τη σύναψη σύμβασης, καθώς και κατά πόσο το υποκείμενο των δεδομένων υποχρεούται να παρέχει τα δεδομένα προσωπικού χαρακτήρα και ποιες ενδεχόμενες συνέπειες θα είχε η μη παροχή των δεδομένων αυτών, στ) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που αναφέρεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων.
- Όταν ο υπεύθυνος επεξεργασίας προτίθεται να επεξεργαστεί περαιτέρω τα δεδομένα προσωπικού χαρακτήρα για άλλο σκοπό από εκείνο για τον οποίο τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων, πριν από την εν λόγω περαιτέρω επεξεργασία, πληροφορίες για τον σκοπό αυτόν και άλλες τυχόν αναγκαίες πληροφορίες, όπως αναφέρεται στην παράγραφο
- Οι παράγραφοι 1, 2 και 3 δεν εφαρμόζονται, όταν και εφόσον το υποκείμενο των δεδομένων έχει ήδη τις πληροφορίες. », σύμφωνα δε με την αιτιολογική σκέψη 39 του ΓΚΠΔ: «Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα θα πρέπει να είναι σύννομη και δίκαιη. Θα πρέπει να είναι σαφές για τα φυσικά πρόσωπα ότι δεδομένα προσωπικού χαρακτήρα που τα αφορούν συλλέγονται, χρησιμοποιούνται, λαμβάνονται υπόψη ή υποβάλλονται κατ' άλλο τρόπο σε επεξεργασία, καθώς και σε ποιο βαθμό τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται ή θα υποβληθούν σε επεξεργασία.(…) », ενώ σύμφωνα με την αιτιολογική σκέψη 60 του ΓΚΠΔ : «Οι αρχές της δίκαιης και διαφανούς επεξεργασίας απαιτούν να ενημερώνεται το υποκείμενο των δεδομένων για την ύπαρξη της πράξης επεξεργασίας και τους σκοπούς της. Ο υπεύθυνος επεξεργασίας θα πρέπει να παρέχει στο υποκείμενο των δεδομένων κάθε περαιτέρω πληροφορία που είναι αναγκαία για τη διασφάλιση δίκαιης και διαφανούς επεξεργασίας, λαμβάνοντας υπόψη τις ειδικές συνθήκες και το πλαίσιο εντός του οποίου πραγματοποιείται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα. Περαιτέρω, το υποκείμενο των δεδομένων θα πρέπει να ενημερώνεται αν καταρτίζεται το προφίλ του και ποιες συνέπειες έχει αυτό. Εάν τα δεδομένα προσωπικού χαρακτήρα παρέχονται 9 από το υποκείμενο των δεδομένων, το υποκείμενο των δεδομένων θα πρέπει να ενημερώνεται επίσης για το κατά πόσον υποχρεούται να παράσχει τα δεδομένα προσωπικού χαρακτήρα και για τις συνέπειες, όταν δεν παρέχει τα εν λόγω δεδομένα. (…)»
- Επειδή, έναντι του υποκειμένου ο υπεύθυνος επεξεργασίας υπέχει υποχρέωση αυτόκλητης ενημέρωσης 7, με την έννοια ότι η υποχρέωση αυτή δεν εξαρτάται από αίτημα του υποκειμένου των δεδομένων, αλλά αντιθέτως ο υπεύθυνος επεξεργασίας πρέπει να συμμορφώνεται προς αυτήν προδραστικά, ανεξάρτητα από το αν το υποκείμενο των δεδομένων θα εκφράσει ενδιαφέρον για την ενημέρωση
- Επειδή, στην προκειμένη περίπτωση κατά το χρόνο των γεγονότων (νυχτερινή ώρα της 16ης Αυγούστου 2021), ίσχυε η υπ’ αρ. Δ1α/Γ.Π.οικ. 50907/2021 Κ.Υ.Α. «Έκτακτα μέτρα προστασίας της δημόσιας υγείας από τον κίνδυνο περαιτέρω διασποράς του κορωνοϊού COVID-19 στο σύνολο της Επικράτειας, για το διάστημα από τη Δευτέρα, 16 Αυγούστου 2021 και ώρα 6:00 έως και τη Δευτέρα, 23 Αυγούστου 2021 και ώρα 6:00.» (ΦΕΚ Β’ 3793). Επιπλέον, κατά το χρόνο των γεγονότων, η λειτουργία των ξενοδοχείων στο πλαίσιο της λήψης μέτρων έναντι του κορωνοϊού Covid-19, ρυθμιζόταν ειδικότερα από την υπ’ αρ. 6632/2021 Κ.Υ.Α. «Αντικατάσταση της υπ’ αρ. 1881/29.05.2020 κοινής υπουργικής απόφασης «Ειδικά πρωτόκολλα υγειονομικού περιεχομένου βάσει των οποίων λειτουργούν οι τουριστικές επιχειρήσεις στο πλαίσιο της λήψης μέτρων έναντι του κορωνοϊού COVID-19» (Β’ 2084), όπως τροποποιήθηκε με τις υπ’ αρ. 8958/15.06.2020 (Β’ 2370), 9418/ 23.06.2020 (Β’ 2498) και 16192/2020 (Β’ 4687) όμοιες αποφάσεις.» (ΦΕΚ Β’ 1632), όπως είχε τροποποιηθεί με την υπ’ αρ. 10197/2021 Κ.Υ.Α. «Τροποποίηση της υπ’ αρ. 6632/16.04.2021 κοινής υπουργικής απόφασης με τίτλο «Αντικατάσταση της υπ’ αρ. 1881/29.05.2020 κοινής υπουργικής απόφασης με τίτλο «Ειδικά πρωτόκολλα υγειονομικού περιεχομένου βάσει των οποίων λειτουργούν οι τουριστικές επιχειρήσεις στο πλαίσιο της λήψης μέτρων έναντι του κορωνοϊού COVID-19» (Β’ 1632) και τη Βλ. σε Κων/νο Ν. Χριστοδούλου, Δίκαιο Προσωπικών Δεδομένων, 2η έκδοση, Νομική Βιβλιοθήκη, παρ. 366, σελ.
- 8 Εγχειρίδιο σχετικά με την ευρωπαϊκή νομοθεσία για την προστασία των προσωπικών δεδομένων, Οργανισμός Θεμελιωδών Δικαιωμάτων της ΕΕ και Συμβούλιο της Ευρώπης, εκδ. 2018, 2019, σελ.
- 7 10 διόρθωση σφάλματος που δημοσιεύθηκε στο τ.Β’ 1996/2021» (ΦΕΚ Β’ 2504). Σύμφωνα με το άρθρο 2 παρ. 1-2 της εν λόγω 6632/2021 Κ.Υ.Α.: «Για τα ξενοδοχεία της υποπερ. αα’ της περ. α’ της παρ. 2 του άρθρου 1 του ν. 4276/2014 εφαρμόζεται το Παράρτημα Ι, το οποίο αποτελεί αναπόσπαστο μέρος της παρούσας.
- Για τις λοιπές κατηγορίες καταλυμάτων (πλην των οργανωμένων τουριστικών κατασκηνώσεων) εφαρμόζεται το Παράρτημα I, το οποίο αποτελεί αναπόσπαστο μέρος της παρούσας, ανάλογα με τις παρεχόμενες υπηρεσίες του καταλύματος.». Σύμφωνα με το «Ειδικό πρωτόκολλο υγειονομικού περιεχομένου λειτουργία των τουριστικών καταλυμάτων πλην των οργανωμένων τουριστικών κατασκηνώσεων» το οποίο περιέχεται στο Παράρτημα Ι της ίδιας Κ.Υ.Α. (ΦΕΚ Β’ 1632), τηρείται αρχείο καταλύματος και βιβλίο συμβάντων covid19: «Για τους σκοπούς δράσεων προστασίας της δημόσιας υγείας, η διεύθυνση/διοίκηση της εγκατάστασης τηρεί αρχείο των μελών προσωπικού και όλων των ατόμων που διέμειναν στο κατάλυμα - όνομα, εθνικότητα, ημερομηνία άφιξης και αναχώρησης, στοιχεία επικοινωνίας (διεύθυνση, τηλέφωνο, e-mail) - ώστε να καθίσταται δυνατή η επικοινωνία με τις στενές επαφές τυχόν κρούσματος COVID-19, που ενδέχεται να ταυτοποιηθεί εκ των υστέρων (…) Να δίδεται προσοχή στο Γενικό Κανονισμό περί Προστασίας Προσωπικών Δεδομένων (GDPR) και να έχουν ενημερωθεί όλοι οι επισκέπτες ότι τηρείται αρχείο για λόγους προστασίας δημόσιας υγείας. (…)» (Α/Α Ε του Παραρτήματος), ενώ παράλληλα ορίζεται Πρωτόκολλο για την Υπηρεσία Υποδοχής (Α/Α Ζ του Παραρτήματος).
- Επειδή, από τη γενική επισκόπηση των διατάξεων που περιέχονται στις ως άνω Κ.Υ.Α., και ιδίως των μέτρων που περιέχονται στο «Ειδικό πρωτόκολλο υγειονομικού περιεχομένου λειτουργία των τουριστικών καταλυμάτων πλην των οργανωμένων τουριστικών κατασκηνώσεων» το οποίο περιέχεται στο Παράρτημα Ι της υπ’ αρ. 6632/2021 Κ.Υ.Α. (ΦΕΚ Β’ 1632), δεν πηγάζει υποχρέωση των τουριστικών καταλυμάτων για τήρηση αρχείου δεδομένων εμβολιασμού/ νόσησης/ διενέργειας διαγνωστικού ελέγχου κατά της covid-19 των πελατών των ξενοδοχείων, για την είσοδο και τη διαμονή τους στους χώρους του ξενοδοχείου. 11
- Επειδή ωστόσο εν προκειμένω, όπως συνομολογείται από τα μέρη, έλαβε χώρα καταχώριση/αποθήκευση δεδομένων εμβολιασμού του καταγγέλλοντος σε σύστημα αρχειοθέτησης, έστω για περιορισμένο χρονικό διάστημα, η νομιμότητα της οποίας εξετάζεται υπό το πρίσμα των αρχών που κατοχυρώνονται από τα άρθρα 5 και 6 ΓΚΠΔ.
- Επειδή, όπως προκύπτει από την καταγγελία και συνομολογείται από την καταγγελλόμενη, δεν έλαβε χώρα ενημέρωση του καταγγέλλοντος συμφώνως προς τους όρους του άρθρου 13 ΓΚΠΔ, αναφορικά με την καταχώριση/αποθήκευση των δεδομένων εμβολιασμού του και την επακόλουθη καταστροφή του αντιγράφου του πιστοποιητικού εμβολιασμού του.
- Επειδή, όπως προαναφέρθηκε (σκ. 5-6) η παροχή ενημέρωσης προς τον καταγγέλλοντα αναφορικά με την εν λόγω επεξεργασία αποτελεί δικαίωμα του υποκειμένου των δεδομένων και ταυτοχρόνως υποχρέωση του υπευθύνου επεξεργασίας, ενώ παράλληλα αποτελεί συστατικό στοιχείο για την τήρηση των αρχών της νομιμότητας, της αντικειμενικότητας και της διαφάνειας της επεξεργασίας.
- Επειδή, η Αρχή, από το σύνολο των στοιχείων του φακέλου και των όσων προέκυψαν από την ακροαματική διαδικασία και το κατατεθέν υπόμνημα, διαπιστώνει ότι η καταχώριση/αποθήκευση των δεδομένων εμβολιασμού του καταγγέλλοντος αποτελεί μη νόμιμη επεξεργασία, η οποία έλαβε χώρα κατά παράβαση των αρχών της νομιμότητας, της αντικειμενικότητας και της διαφάνειας της επεξεργασίας, όπως αυτές κατοχυρώνονται από το άρθρο 5 παρ. 1 στοιχ. α) ΓΚΠΔ, σε συνδυασμό με το άρθρο 13 ΓΚΠΔ.
- Επειδή, εφόσον διαπιστώνεται έλλειψη συμμόρφωσης προς τις προβλεπόμενες από το άρθρο 5 παρ. 1 στοιχ. α) ΓΚΠΔ αρχές και δεδομένου ότι, σύμφωνα με όσα εκτίθενται στη σκέψη 3, απαιτείται σωρευτικώς η πλήρωση των προϋποθέσεων εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ 9, προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, παρέλκει η εξέταση της πλήρωσης των 9 Βλ. ως άνω, υπό
- 12 λοιπών αρχών νόμιμης επεξεργασίας των δεδομένων βάσει του άρθρου 5, καθώς και η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρου 6 ΓΚΠΔ
- Επειδή, κατά το μέρος που η ως άνω καταγγελία αφορά στη διαλαμβανόμενη με αυτήν παραβίαση δικαιωμάτων πρόσβασης και διαγραφής των δεδομένων του καταγγέλλοντος, διαπιστώνεται ότι δεν έχουν προσκομιστεί από τον καταγγέλλοντα στοιχεία που να τεκμηριώνουν την υποβολή σχετικού αιτήματος προς την υπεύθυνη επεξεργασίας, ώστε να προκύπτει ο χρόνος και το αντικείμενο του σχετικού αιτήματος, επομένως η καταγγελία κρίνεται αόριστη και δεν εξετάζεται κατά το μέρος αυτό.
- Επειδή η Αρχή κρίνει ότι, σε σχέση με την διαπιστωθείσα παραβίαση των διατάξεων των άρθρων 5 παρ. 1 στοιχ. α) και 13 ΓΚΠΔ συντρέχει περίπτωση να ασκήσει τις εκ του άρθρου 58 παρ. 2 ΓΚΠΔ διορθωτικές εξουσίες της σε συνδυασμό με τις απορρέουσες από το άρθρο 4 παρ. 3 στοιχ. δ) του Κανονισμού Λειτουργίας της Αρχής (ΦΕΚ Β΄879/25.02.2022) αρμοδιότητες του Προέδρου, και ειδικότερα να απευθύνει επίπληξη κατ’ άρθρο 58 παρ. 2 στοιχ. β) του ΓΚΠΔ στην καταγγελλόμενη εταιρία για την ως άνω παραβίαση ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή α) διαπιστώνει ότι η καταχώριση/αποθήκευση δεδομένων εμβολιασμού του καταγγέλλοντος σε σύστημα αρχειοθέτησης, συνιστά παραβίαση των αρχών της νομιμότητας, της αντικειμενικότητας και της διαφάνειας της επεξεργασίας, όπως κατοχυρώνονται από το άρθρο 5 παρ. 1 στοιχ. α) ΓΚΠΔ, σε συνδυασμό με το άρθρο 13 ΓΚΠΔ και β) απευθύνει επίπληξη, κατ’ άρθρον 58 παρ. 2 β) ΓΚΠΔ, στην καταγγελλόμενη εταιρία για ως άνω παραβίαση, για τους λόγους που εκτενώς αναλύονται στο σκεπτικό της παρούσης. 10 Βλ. ως άνω, υπό
- 13 Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 14