Αθήνα, 30-03-2022 Αριθ. Πρωτ.: 808 ΑΠΟΦΑΣΗ 19/2022 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του Προέδρου της σε έκτακτη συνεδρίαση μέσω τηλεδιάσκεψης την 2610-2021 και ώρα 10:00, σε συνέχεια της από 06-10-2021 συνεδρίασης, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Κωνσταντίνος Μενουδάκος, Πρόεδρος της Αρχής, τα τακτικά μέλη Σπυρίδων Βλαχόπουλος, ως εισηγητής, Κωνσταντίνος Λαμπρινουδάκης και Χαράλαμπος Ανθόπουλος. Στη συνεδρίαση, χωρίς δικαίωμα ψήφου, παρέστησαν, με εντολή του Προέδρου, οι ελεγκτές Αναστασία Κανικλίδου και ο Παναγιώτης Τσόπελας, ειδικοί επιστήμονες-ελεγκτές, ως βοηθοί εισηγητή, οι οποίοι αποχώρησαν μετά τη συζήτηση και πριν από τη διάσκεψη και τη λήψη της αποφάσεως, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Τμήματος Διοικητικών Υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη τα παρακάτω: Με την με αριθμ. πρωτ. Γ/ΕΙΣ/182/12-01-2021 καταγγελία της, η Α καταγγέλλει ενώπιον της Αρχής ότι η Vodafone - ΠΑΝΑΦΟΝ Α.Ε.Ε.Τ ικανοποίησε πλημμελώς το δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα που την αφορούν. Ειδικότερα, στην καταγγελία αναφέρονται τα εξής: Η καταγγέλλουσα, πρώην εργαζόμενη … στη … Διεύθυνση της καταγγελλόμενης εταιρείας, στις … απέστειλε με e-mail αίτηση στην εταιρεία, ζητώντας πλήρη ενημέρωση αναφορικά με τα δεδομένα προσωπικού χαρακτήρα που την αφορούσαν, αντίγραφα των προσωπικών δεδομένων που τηρεί η καταγγελλόμενη στα αρχεία της (όπως ενδεικτικά πιστοποιητικά, αξιολογήσεις, e-mails, αλληλογραφία) καθώς και όλες τις πληροφορίες που αιτείτο βάσει του Γενικού Κανονισμού Προστασίας Δεδομένων, υποβάλλοντας ταυτόχρονα αίτημα περί 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr περιορισμού της επεξεργασίας των προσωπικών της δεδομένων, προκειμένου να τα χρησιμοποιήσει εν όψει εκκρεμούς δίκης με την καταγγελλόμενη. Στην εν λόγω αίτηση, η καταγγελλόμενη απάντησε στις …, ζητώντας από την καταγγέλλουσα να αποστείλει εκ νέου αίτημα, χρησιμοποιώντας τη φόρμα που η εταιρεία διέθετε, δυσχεραίνοντας –κατά τους ισχυρισμούς της καταγγέλλουσας– με αυτόν τον τρόπο την άσκηση του δικαιώματος πρόσβασης, κάτι το οποίο δεν έπραξε η καταγγέλλουσα. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, με το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/505/28-01-2021 έγγραφό της, ενημέρωσε την καταγγελλόμενη σχετικά με την καταγγελία και την κάλεσε να εκθέσει τις απόψεις της επί αυτής. Η καταγγελλόμενη απάντησε στις … με το υπ’ αριθμ. πρωτοκόλλου της Αρχής Γ/ΕΙΣ/1099/15-02-2021 έγγραφό της, με το οποίο προσκόμισε και σχετικά έγγραφα. Στο εν λόγω απαντητικό, η καταγγελλόμενη αναφέρει ότι αποτελεί οιονεί καθολική διάδοχο, κατόπιν απορροφήσεως, της ανώνυμης εταιρείας με την επωνυμία «…», σύμφωνα με την υπ’ αριθμ. πρωτοκόλλου … απόφαση του Αντιπεριφερειάρχη Χ, η δε καταγγέλλουσα υπήρξε … της εταιρείας …, με την οποία λύθηκε η συνεργασία τους την …, οπότε και καταγγέλθηκε η σύμβαση … από την ως άνω εταιρεία (ήτοι πριν την απορρόφηση της … από την καταγγελλόμενη) αποζημιώθηκε δε πλήρως την … από την …, χωρίς ουδέποτε να πραγματοποιηθεί μεταβίβαση της εργασιακής σχέσης από την … στην καταγγελλόμενη. Ανεξαρτήτως των ανωτέρω, σύμφωνα με την καταγγελλόμενη, σε συνέχεια του αιτήματος πρόσβασης της καταγγέλλουσας, στις … ζήτησε από την καταγγέλλουσα να συμπληρώσει τη σχετική έντυπη φόρμα άσκησης του δικαιώματος πρόσβασης καθώς και να αποστείλει τα σχετικά έγγραφα της ταυτότητάς της για τον έλεγχο της ταυτοπροσωπίας. Εν συνεχεία, στις … με σχετική επιστολή που απέστειλε στην καταγγέλλουσα την ενημέρωνε ότι, α) επεξεργάζεται εν γένει τα δεδομένα των υπαλλήλων σύμφωνα με τη Δήλωση Προστασίας Προσωπικών Δεδομένων Υπαλλήλων, β) αναφορικά με το ασκηθέν δικαίωμα πρόσβασης, επειδή η αναζήτηση και η ανάληψη του σχετικού φυσικού αρχείου καθίστατο δυσχερής λόγω των έκτακτων μέτρων αντιμετώπισης του κορωνοϊού και της τηλεργασίας, η καταγγελλόμενη είχε δρομολογήσει τις απαιτούμενες ενέργειες επί του αιτήματος μέχρι το τέλος …, ενώ επαναλάμβανε ότι για να της χορηγήσει αντίγραφα των δεδομένων που αιτείτο θα χρειάζονταν σε κάθε περίπτωση έγγραφο 2 αποδεικτικό της ταυτότητάς της. Κατέληγε δε αναφέροντας ότι ανταποκρίθηκε εμπροθέσμως και προσηκόντως στο αίτημα της καταγγέλλουσας, δεδομένου ότι στις … ζητήθηκε από την καταγγέλλουσα να συμπληρώσει τη σχετική αίτηση πρώην υπαλλήλου για πρόσβαση σε προσωπικές πληροφορίες και να επισυνάψει αποδεικτικά έγγραφα ταυτότητας για τον έλεγχο της ταυτοπροσωπίας, εντούτοις η καταγγέλλουσα αρνήθηκε, αποστέλλοντας την απάντησή της από, άγνωστη στην καταγγελλόμενη, διεύθυνση ηλεκτρονικού ταχυδρομείου. Εν συνέχεια, κατά τους ισχυρισμούς της καταγγελλόμενης, την … με επιστολή της ενημέρωνε την καταγγέλλουσα να παραλάβει τα αντίγραφα με τα προσωπικά της δεδομένα, προσκομίζοντας το αποδεικτικό ταυτότητάς της, ενώ στη συνοδευτική επιστολή κατά την παράδοση αυτών στις … η καταγγελλόμενη ανέφερε ότι τα σχετιζόμενα έγγραφα με τη σύμβαση … και τη λύση αυτής που παραδόθηκαν στην καταγγέλλουσα τηρούνται για είκοσι χρόνια από την καταγγελία προς τον σκοπό απόδειξης της συμμόρφωσης με έννομες υποχρεώσεις της καταγγέλλουσας, πηγάζουσες από την κείμενη ασφαλιστική νομοθεσία. Όσον αφορά τα υπόλοιπα έγγραφα που παρέδωσαν στην καταγγέλλουσα, αυτά διατηρούνται για διάστημα 5 ετών από την καταγγελία για σκοπούς θεμελίωσης, άσκησης, υποστήριξης των νομικών αξιώσεων, κατόπιν δε της άσκησης αγωγής από την καταγγέλλουσα, τα δεδομένα τηρούνται για όσο υφίσταται εκκρεμοδικία, ικανοποιώντας έτσι το σχετικό αίτημα της καταγγέλλουσας περί περιορισμού της επεξεργασίας. Επιπλέον, η καταγγελλόμενη με την σχετική ως άνω επιστολή της προς την καταγγέλλουσα αναφερόμενη στα παραδοτέα έγγραφα ή τα μηνύματα ηλεκτρονικού ταχυδρομείου, ζητούσε περαιτέρω εξειδίκευση του αιτήματος από αυτήν προκειμένου να εξετάσει την πιθανότητα ικανοποίησής του, επειδή ο όγκος τους ήταν τεράστιος αναφέροντας ταυτόχρονα ότι «o ηλεκτρονικός λογαριασμός που διατηρούσε ως απασχολούμενη στην … έχει αυτονοήτως καταργηθεί 90 ημέρες μετά την καταγγελία της σύμβασης εργασίας». Ωστόσο, σύμφωνα με την καταγγέλλουσα, η καταγγελλόμενη δεν ικανοποίησε κατ’ ελάχιστον το αίτημά της, αφού της προώθησε μόνο ελάχιστα εκ των προσωπικών της δεδομένων, παραλείποντας κρίσιμα δεδομένα, όπως οι εκθέσεις αξιολόγησης, αντίγραφα των ηλεκτρονικών επικοινωνιών, και αντίγραφα δεδομένων που ήταν αποθηκευμένα στον εταιρικό ηλεκτρονικό υπολογιστή. 3 Στη συνέχεια η Αρχή, με το Γ/ΕΞΕ/952/29-03-2021 έγγραφό της προς την καταγγελλόμενη, ζήτησε περαιτέρω διευκρινίσεις αναφορικά με τα διαλαμβανόμενα στο από … έγγραφο της προς την καταγγέλλουσα και ιδίως: α) Αναφορικά με τον ισχυρισμό της καταγγελλόμενης, που περιλαμβάνεται στην από … επιστολή της προς την καταγγέλλουσα, σύμφωνα με τον οποίο «ως προς τα δεδομένα σας προσωπικού χαρακτήρα, που τυχόν περιέχονται σε παραδοτέα έγγραφα, τα οποία έχετε συντάξει/ επεξεργαστεί/ διορθώσει ή σε μηνύματα ηλεκτρονικού ταχυδρομείου που έχετε ανταλλάξει με εργαζόμενους της εταιρείας μας, καθώς όπως καταλαβαίνετε ο όγκος τους είναι τεράστιος ..[…].. παρακαλούμε όπως εξειδικεύσετε το ως άνω αίτημά σας ως προς τα συγκεκριμένα έγγραφα/ μηνύματα/ παραδοτέα, με κριτήρια που διευκολύνουν την ανίχνευσή τους», αλλά και του ισχυρισμού ότι «ο λογαριασμός ηλεκτρονικού ταχυδρομείου που διατηρούσατε ως απασχολούμενη στην εταιρεία …, έχει αυτονοήτως καταργηθεί 90 ημέρες μετά την καταγγελία της σύμβασης εργασίας σας, καθώς και τα περιεχόμενα στους αντίστοιχους φακέλους του λογαριασμού σας μηνύματα ηλεκτρονικού ταχυδρομείου» να διευκρινίσει την έννοια των εν λόγω ισχυρισμών, και ιδίως να διευκρινίσει αν δεν διατηρούνται πλέον τα ως άνω δεδομένα που περιέχονται σε παραδοτέα έγγραφα ή υπάρχει δυσκολία στην ανίχνευσή τους. β) Αν είχε ενημερώσει την καταγγέλλουσα περί κατάργησης του λογαριασμού ηλεκτρονικού ταχυδρομείου που διατηρούσε όταν απασχολούνταν στην εταιρεία …, 90 ημέρες μετά την καταγγελία της σύμβασης εργασίας, και σε καταφατική περίπτωση, με ποιον τρόπο, και τέλος την καλούσε να αποστείλει στην Αρχή την έγγραφη «Δήλωση Προστασίας Προσωπικών Δεδομένων Υπαλλήλων», καθώς και να διευκρινίσει αν ενημερώνει και με ποιον τρόπο για την ύπαρξη και το περιεχόμενό της τους εργαζόμενους στην εταιρεία (γενικά όλους τους εργαζόμενους αλλά και στη συγκεκριμένη περίπτωση την καταγγέλλουσα). Στις ανωτέρω ερωτήσεις, η καταγγελλόμενη απάντησε με το υπ’ αριθμ. πρωτοκόλλου Γ/ΕΙΣ/2351/06-04-2021 έγγραφό της, αναφέροντας τα ακόλουθα: α) Σύμφωνα με το Records Management & Data Retention Policy που έχει ισχύ στην καταγγελλόμενη και στις θυγατρικές της, ορίζεται ως υποχρεωτική διαγραφή του εταιρικού λογαριασμού ηλεκτρονικού ταχυδρομείου εντός 90 ημερών από την 4 καταγγελία της σύμβασης εργασίας, όσο δηλαδή κρίνεται απαραίτητο για σκοπούς επιχειρησιακής συνέχειας (business continuity). Σημειωτέον δε, ότι κατά την απορρόφηση της … από την καταγγελλόμενη, λόγω περιορισμένης χωρητικότητας των διακομιστών (servers), κρίθηκε απαραίτητη η διαγραφή όλων των εταιρικών λογαριασμών ηλεκτρονικού ταχυδρομείου της … . Ωστόσο, η εν λόγω ενέργεια διαγραφής αφορούσε στον λογαριασμό του εργαζόμενου και δεν μπορούσε να επεκταθεί σε τυχόν απεσταλμένα μηνύματα ηλεκτρονικού ταχυδρομείου τα οποία είναι διάσπαρτα εντός και εκτός οργανισμού. Στο πλαίσιο αυτό και δεδομένου ότι ο όγκος αυτών των μηνυμάτων είναι τεράστιος και απαιτεί δυσανάλογη προσπάθεια, κάλεσε την καταγγέλλουσα να εξειδικεύσει το αίτημά της, β) Η καταγγελλόμενη, πλέον των «ως άνω περιοριστικά αναφερόμενων δεδομένων» δεν επεξεργάζεται άλλα προσωπικά δεδομένα, όπως π.χ. αξιολογήσεις, πέραν αυτών που παρέδωσε στην καταγγέλλουσα, καθώς αυτό έρχεται σε σύγκρουση με την αρχή «του περιορισμού της περιόδου αποθήκευσης» που επιβάλλει το άρθρο 5 του ΓΚΠΔ, γ) αναφορικά με την προηγούμενη ή μη ενημέρωση των εργαζομένων σχετικά με την απενεργοποίηση του λογαριασμού τους σε 90 ημέρες μετά την καταγγελία της σύμβασης εργασίας, η εν λόγω ενημέρωση βάρυνε τον εργοδότη, ήτοι εν προκειμένω την εταιρεία …, μετά δε τη εξαγορά της εν λόγω εταιρείας, η τελευταία υιοθέτησε τις ομιλικές πολιτικές της καταγγελλόμενης, η δε ενημέρωση των εργαζομένων πραγματοποιούνταν κατά τη λήξη της εργασιακής σχέσης και τη διαδικασία παράδοσης του ηλεκτρονικού υπολογιστή στο τμήμα πληροφορικής, όταν καλούνταν να απομακρύνουν τυχόν προσωπικά αρχεία καθώς ενημερώνονταν ότι σε 90 ημέρες το περιεχόμενο του λογαριασμού θα διαγραφόταν οριστικά. Καταλήγοντας δε, σημειώνει ότι οι υποχρεώσεις της από την αρχή της λογοδοσίας δεν καταλαμβάνουν τις πράξεις και τις εν γένει πρακτικές που ακολούθησε η … κατά το έτος 2015. Τέλος, αναφορικά με τη δήλωση προστασίας δεδομένων των εργαζομένων (την οποία και απέστειλε η καταγγελλόμενη στην Αρχή) ανέφερε ότι για αυτήν ενημερώνονται οι εργαζόμενοι κατά τον χρόνο πρόσληψής τους (και τη διαδικασία εκπαίδευσής τους), και είναι διαθέσιμη άμεσα προς κάθε ενδιαφερόμενο υπάλληλο στο επίσημο εσωτερικό κανάλι ενημέρωσης Πολιτικών και Διαδικασιών της εταιρείας με ονομασία “Corporate Documentation Library”. 5 Μετά τη χορήγηση στην καταγγέλλουσα, κατόπιν σχετικής αίτησής της, των απαντητικών επιστολών της καταγγελλομένης, η καταγγέλλουσα με το υπ’ αριθμ. πρωτοκόλλου Γ/ΕΙΣ/3001/07-05-2021 υπόμνημά της προς την Αρχή, αναφέρει ότι η καταγγελλόμενη δεν ανταποκρίθηκε στις υποχρεώσεις που έχει, δυνάμει των διατάξεων για το δικαίωμα πρόσβασης και φορητότητας των δεδομένων, αναφέροντας παράλληλα ότι η ίδια υπήρξε … τόσο της … όσο και της καταγγελλόμενης (αφού όπως αναφέρει και στο Γ/ΕΙΣ/2386/27-04-2021 συμπληρωματικό έγγραφό της από τον … του … έως τον … του … μετακινήθηκε λειτουργικά στα γραφεία της καταγγελλομένης, στελεχώνοντας τη … Διεύθυνση, χρησιμοποιώντας την υλικοτεχνική της υποδομή, και συμμετέχοντας στην αξιολόγηση στελεχών της καταγγελλόμενης για το έτος …), ενώ σε κάθε περίπτωση δεν αμφισβητείται ότι πρόκειται για δεδομένα προσωπικού χαρακτήρα που βρίσκονται στο σύστημα αρχειοθέτησης της καταγγελλόμενης, ανεξάρτητα από τον χαρακτηρισμό της σχέσης εντολής. Επιπλέον, προσθέτει ότι η ικανοποίηση του δικαιώματος πρόσβασης ήταν πλημμελής, καθόσον δεν της χορηγήθηκαν αντίγραφα των εκθέσεων αξιολόγησης ούτε αντίγραφα των ηλεκτρονικών επικοινωνιών της από το λογαριασμό ηλεκτρονικού ταχυδρομείου, ούτε δεδομένα αποθηκευμένα στον ηλεκτρονικό της υπολογιστή. Αναφορικά με τον ισχυρισμό της καταγγελλόμενης για τη διαγραφή του εταιρικού λογαριασμού εντός 90 ημερών από την καταγγελία της σύμβασης εργασίας, σύμφωνα με τo “Record Management & Data Retention Policy”, η καταγγέλλουσα αναφέρει ότι ουδέποτε της κοινοποιήθηκε τέτοιο έγγραφο πριν ή κατά τη λήξη της σχέσης …, γεγονός που συνιστά παραβίαση του δικαιώματός της για ενημέρωση επί των δεδομένων που την αφορούν, ενώ το γεγονός διαγραφής του λογαριασμού δεν συνεπάγεται και διαγραφή του περιεχομένου του ηλεκτρονικού ταχυδρομείου, διότι η δυνατότητα μιας εταιρείας να καταργεί μια διεύθυνση ηλεκτρονικού ταχυδρομείου (e-mail) είναι διαφορετική και διακριτή από το περιεχόμενο των μηνυμάτων που έχουν ανταλλαγεί, το δε περιεχόμενο των μηνυμάτων το διατηρεί στο πλαίσιο του χρόνου παραγραφής τυχόν αξιώσεων, αφού από αυτό μπορεί να προκύψουν ένδικες αξιώσεις με πρώην παρέχοντα υπηρεσίες …. Ζητά δε από την Αρχή, αν η καταγγέλλουσα εμείνει στην άρνησή της να αποδείξει τον ισχυρισμό της, να διεξάγει επιτόπιο έλεγχο στο σύστημα αρχειοθέτησης, προκειμένου να διαπιστωθεί αν τηρούνται αντίγραφα περιεχομένου ηλεκτρονικού 6 ταχυδρομείου και άλλων ηλεκτρονικών δεδομένων από υπολογιστές πρώην … της καταγγελλόμενης. Εξάλλου, τα μηνύματα ηλεκτρονικού ταχυδρομείου έχουν και παραλήπτη (άλλους εργαζομένους εντός της εταιρείας) απ’ όπου θα μπορούσαν να αναζητηθούν τα μηνύματα ηλεκτρονικού ταχυδρομείου της καταγγέλλουσας. Τέλος, αναφορικά με τις αξιολογήσεις, όπως αναφέρει η καταγγέλλουσα, η καταγγελλόμενη έχει συνομολογήσει ότι εντάσσονται στα δεδομένα για τα οποία εφαρμόζεται η εικοσαετής παραγραφή και επομένως εξακολουθεί να τα τηρεί, ενώ σύμφωνα με το διεθνές πρότυπο BS 25999 για το «Σύστημα Διαχείρισης της Επιχειρησιακής Συνέχειας» κατά το πρότυπο ISO 22301 που εφαρμόζει η καταγγελλόμενη, τηρούνται αντίγραφα για λόγους ασφαλείας, ενώ διεξάγεται αξιολόγηση του ανθρωπίνου δυναμικού, ανεξάρτητα από την σχέση εργασίας, και ως εκ τούτου, η καταγγελλόμενη διατηρεί τα δεδομένα προσωπικού χαρακτήρα που ζητεί η καταγγέλλουσα. Τέλος, η Αρχή με το υπ’ αριθμ. πρωτοκόλλου Γ/ΕΞΕ/1522/17-06-2021 έγγραφό της προς την καταγγελλόμενη, της ζητούσε να προσκομίσει τις πολιτικές σε σχέση με τη διατήρηση των αρχείων που αφορούν τους λογαριασμούς ηλεκτρονικού ταχυδρομείου, συμπεριλαμβανομένων των πολιτικών για τα αντίγραφα ασφάλειας και τα αρχεία καταγραφής ενεργειών, και των πολιτικών της αντιμετώπισης συμβάντων αναγκαστικής διαγραφής δεδομένων χρηστών σε καταστάσεις κινδύνου εξάντλησης των ορίων χωρητικότητας σε μέσα αποθήκευσης ή σε περιπτώσεις που κρίνεται αναγκαίο για την εξυπηρέτηση της υλοποίησης μεταβολών στο σύστημα καθώς και να περιγράψει με ποιο τρόπο έχουν υλοποιηθεί στην πράξη οι εν λόγω πολιτικές. Επίσης, της ζητούσε να προσκομίσει κάθε εγγραφή από τηρούμενα αρχεία καταγραφής ενεργειών σε σχέση με τις διαδικασίες διαγραφής του λογαριασμού της καταγγέλλουσας και των δεδομένων αυτού. Σε απάντηση του ως άνω εγγράφου της Αρχής, η καταγγελλόμενη απάντησε με το υπ’ αριθμ. πρωτοκόλλου Γ/ΕΙΣ/4407/02-07-2021 έγγραφό της, με το οποίο απέστειλε την πολιτική ως προς τη διατήρηση αρχείων, την πολιτική συμμόρφωσης σε σχέση με τα αντίγραφα ασφαλείας, την πολιτική σε σχέση με τα αρχεία καταγραφής ενεργειών, την πολιτική σε σχέση με την αντιμετώπιση συμβάντων και την πολιτική σε σχέση με τις μεταβολές συστημάτων. 7 Ενόψει των ανωτέρω, η Αρχή με τις υπ’ αριθμ. πρωτ. Γ/ΕΞ/1659/08-07-2021 και Γ/ΕΞ/1660/08-07-2021 κλήσεις κάλεσε αμφότερα τα μέρη ενώπιον της Ολομέλειας της Αρχής στις 19-07-2021 προκειμένου να συζητηθεί η ως άνω καταγγελία. Κατά την ακρόαση της 19-07-2021 παραστάθηκε ο πληρεξούσιος δικηγόρος της καταγγέλλουσας Βασίλειος Σωτηρόπουλος, μετά της καταγγέλλουσας Α, εκ μέρους δε της καταγγελλόμενης παρέστησαν οι πληρεξούσιοι δικηγόροι Νικόλαος Νικολινάκος και Εμμανουήλ Χαλκιαδάκης, ενώ στη συζήτηση ήταν παρών και ο Υπεύθυνος Προστασίας Δεδομένων της καταγγελλόμενης, Β, σε περίπτωση που παρίστατο ανάγκη περαιτέρω διευκρινίσεων, χωρίς ωστόσο να τοποθετηθεί επί των ζητημάτων που τέθηκαν στην ακρόαση. Αμφότερα τα μέρη, αφού ανέπτυξαν προφορικά τις απόψεις τους, έλαβαν κατά τη συνεδρίαση αυτή προθεσμία προσκομίσεως υπομνημάτων προς περαιτέρω υποστήριξη των ισχυρισμών τους και υπέβαλαν εμπροθέσμως η μεν καταγγέλλουσα το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/5045/30-07-2021 υπόμνημά της, η δε καταγγελλόμενη το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/5074/02-08-2021 υπόμνημά της, με τα οποία προέβαλαν συνοπτικώς, μεταξύ άλλων, τα ακόλουθα: Ειδικότερα, η καταγγέλλουσα κατά την ανωτέρω ακρόαση της, αλλά και με το υπ’ αριθμ. Γ/ΕΙΣ/5045/30-07-2021 μετ’ ακρόαση υπόμνημά της υποστήριξε τα εξής: α) η παρουσία του υπευθύνου προστασίας δεδομένων της καθ’ ης προς υπεράσπιση του υπευθύνου επεξεργασίας ενώπιον της Αρχής κατά την ακροαματική διαδικασία προσκρούει στις υποχρεώσεις ανεξαρτησίας που διέπουν τον ρόλο του σύμφωνα με το άρθρο 38 παρ. 3 του ΓΚΠΔ, β) η απαίτηση για αποστολή του δελτίου αστυνομικής ταυτότητας για την ικανοποίηση του δικαιώματος πρόσβασης είναι υπερβολική και αντίθετη στην αρχή της αναλογικότητας σε περιπτώσεις όπως η συγκεκριμένη, που το δικαίωμα ασκείται από πρώην εργαζόμενο του υπευθύνου επεξεργασίας· η δε προσκόμιση αντιγράφου δελτίου αστυνομικής ταυτότητας ζητήθηκε από την καταγγελλόμενη στις …, οπότε και η καταγγέλλουσα το απέστειλε ηλεκτρονικά, γ) η επικοινωνία μιας … για … ζητήματα όπως … που επιμελήθηκε η καταγγέλλουσα αποτελούν στοιχεία χρήσιμα στην ίδια την εταιρεία που δεν έχουν διαγραφεί, διατηρούνται από κάθε εταιρεία για σκοπούς σύναψης και παρακολούθησης της ορθής εκτέλεσης τους, δ) το σύνολο των εν λόγω πληροφοριών και εγγράφων που 8 διακινήθηκαν μέσω ηλεκτρονικών επιστολών της καταγγέλλουσας ως … δεν είναι μόνο πληροφορίες σχετικές με την εργασία της … αλλά και πληροφορίες που αναφέρονται σε αυτήν ως υποκείμενο των δεδομένων, αφού στο σύνολο των πληροφοριών αυτών περιλαμβάνονται και στοιχεία που αναφέρονται ονομαστικά στην καταγγέλλουσα, όπως το τηλέφωνο και το ηλεκτρονικό της ταχυδρομείο, με αποτέλεσμα όλη η ηλεκτρονική αλληλογραφία που πραγματοποιείται στο πλαίσιο της εκτέλεσης των καθηκόντων ενός …, εφόσον αποδίδεται ονομαστικά σε αυτόν αποτελεί και πληροφορία που αναφέρεται σε αυτόν ως υποκείμενο δεδομένων και ως εκ τούτου περιλαμβάνει δεδομένα προσωπικού χαρακτήρα που το αφορούν και έχει επ’ αυτών και το δικαίωμα πρόσβασης. Επικαλείται δε ως σχετική και την υπ’ αριθμ. 186/2020 απόφαση του Αρείου Πάγου (Α1 Πολιτικό Τμήμα), …, στην οποία ο Άρειος Πάγος έκρινε ότι «.., το έγγραφο αυτό απεστάλη από την αναιρεσείουσα (ενάγουσα) υπό τη μορφή συνημμένου μέσω μηνύματος ηλεκτρονικού ταχυδρομείου (e-mail) προς το νόμιμο εκπρόσωπο της εταιρείας "... ΕΠΕ" …. και ως εκ τούτου παρέμεινε στα ψηφιακά δεδομένα της εν λόγω εταιρείας, με αποτέλεσμα να είναι ευχερής η πρόσβαση στα δεδομένα αυτά των μηνυμάτων ηλεκτρονικού ταχυδρομείου με συγκεκριμένα κριτήρια, όπως είναι η ημερομηνία αποστολής, ο αποστολέας, το θέμα κλπ. Επίσης, κρίσιμο ζήτημα στην παρούσα περίπτωση δεν είναι το εάν ο αναιρεσίβλητος έλαβε νομίμως ή όχι γνώση των περιλαμβανομένων στο έγγραφο αυτό προσωπικών δεδομένων της αναιρεσείουσας, αλλά το ότι, αν και το εν λόγω έγγραφο περιήλθε σ` αυτόν, στη συνέχεια προέβη σε περαιτέρω επεξεργασία αυτού με την προσκόμισή του ως αποδεικτικού εγγράφου στο προαναφερόμενο Δικαστήριο και ως εκ τούτου με τη χρήση των καταγεγραμμένων σ` αυτό πληροφοριών, που αφορούσαν, εκτός των άλλων, το ποσό της αμοιβής της αναιρεσείουσας, τον αριθμό του τραπεζικού της λογαριασμού και όλα τα στοιχεία θέσης της (ακριβής διεύθυνση/τηλέφωνο/ηλεκτρονικό ταχυδρομείο)». Επιπλέον, η καταγγέλλουσα επαναλαμβάνει στο υπόμνημά της ότι μετείχε στη διαδικασία αξιολόγησης για το έτος … που πραγματοποιήθηκε τον … του ιδίου έτους (με αξιολογητή τον Προϊστάμενο της … Διεύθυνσης και με συμμετοχή τριών συναδέλφων της), ως εσωτερική … από το έτος … συμμετείχε στις αξιολογήσεις του προσωπικού της …, ενώ μετά το … οι αξιολογήσεις γίνονται ηλεκτρονικά σε 9 ηλεκτρονικές φόρμες μέσω πληροφοριακού συστήματος. Ακολούθως, η καταγγέλλουσα αναφέρει ότι υπάρχουν τουλάχιστον δέκα βεβαιώσεις συμμετοχής σε εσωτερικό εκπαιδευτικό πρόγραμμα της Vodafone, τις οποίες επιθυμεί να λάβει. Επισημαίνει δε στο υπόμνημά της ότι ο πάροχος για την εγκατάσταση και την διαχείριση του λειτουργικού συστήματος για την αξιολόγηση των εργαζομένων είναι η εταιρεία UNISYSTEMS, και μπορεί ως εκτελούσα την επεξεργασία να προωθήσει τα ζητηθέντα δεδομένα στην καταγγέλλουσα για λογαριασμό του υπευθύνου επεξεργασίας, ενώ το φυσικό αρχείο τόσο της … όσο και της Vodafone είναι ψηφιοποιημένο δυνάμει συμβάσεων και ως εκ τούτου μπορεί να εντοπιστεί ηλεκτρονικά σε σύντομο χρονικό διάστημα. Επιπλέον, η καταγγέλλουσα επικαλείται στο υπόμνημά της την αναρτημένη στην ψηφιακή βάση δεδομένων του Πανεπιστημίου Αθηνών “Pergamos” διπλωματική εργασία με τίτλο «Σύγχρονες Πρακτικές Ανθρωπίνου Δυναμικού σε Επιχειρήσεις Τηλεπικοινωνιών», του έτους 2018, που πραγματοποιήθηκε με τη συνεργασία στελεχών της Δ/νσης Ανθρωπίνου Δυναμικού της Vodafone, και στην οποία καταγράφεται η σχετική διαδικασία αξιολόγησης προσωπικού της Vodafone. Από την ως άνω διαδικασία, κατά τους ισχυρισμούς της καταγγέλλουσας, προκύπτει ότι η αξιολόγηση του προσωπικού διενεργείται και σε άλλες περιόδους όπως έγινε και τον … του … (και όχι μόνο άπαξ του έτους). Αναφορικά δε με τα δεδομένα προσωπικού χαρακτήρα που βρίσκονταν στον φορητό ηλεκτρονικό της υπολογιστή [όπως ώρες απασχόλησης, συμμετοχή σε έργα (projects) και άλλες πληροφορίες για την παροχή εργασίας της, τα οποία καταγράφονταν μέσω της χρήσης του προγράμματος «…» που χρησιμοποιούνταν για την οργάνωση της εργασίας της ως …] και τα οποία διατηρούνται ως σήμερα, η καταγγέλλουσα επαναλαμβάνει ότι αναιτιολόγητα δεν της έχουν χορηγηθεί έως σήμερα. Τέλος, η καταγγέλλουσα επισημαίνει στο υπόμνημά της ότι ο υπεύθυνος επεξεργασίας (ο ιατρός εργασίας) διατηρεί και πληροφορίες της που αφορούν δεδομένα σχετικά με την υγεία της (όπως βεβαιώσεις καταλληλότητας προς εργασία, απεικονιστικές εξετάσεις, στοιχεία σχετικά με χειρουργικές επεμβάσεις, συμμετοχή της στο ομαδικό ασφαλιστήριο των εργαζομένων της) και τα οποία δεν της έχουν παραδοθεί. 10 Η δε καταγγελλόμενη διά του πληρεξουσίου δικηγόρου της, κατά την ανωτέρω ακρόαση της 19-07-2021, αλλά και με το –εμπροθέσμως κατατεθέν– υπ’ αριθμ. Γ/ΕΙΣ/5074/02-08-2021 μετ’ ακρόαση υπόμνημά της υποστήριξε ότι: (
- i)H Vodafone προέβη εμπροθέσμως στην ικανοποίηση του αιτήματος πρόσβασης της καταγγέλλουσας, επισημαίνοντας ότι αφού έλαβε το αίτημα της καταγγέλλουσας στις …, επικοινώνησε μαζί της στις …, ζητώντας τη συμπλήρωση σχετικής φόρμας και την προσκόμιση αντιγράφου της αστυνομικής ταυτότητας, έντυπο το οποίο η καταγγέλλουσα κακόπιστα αρνήθηκε να συμπληρώσει και να υποβάλει τα σχετικά έγγραφα με την ταυτοποίησή της. Ωστόσο, η καταγγελλόμενη δεν επέμεινε στη συμπλήρωση της φόρμας αλλά μόνο στην ανάγκη προσκόμισης αντιγράφου αστυνομικής ταυτότητας. Όπως δε η καταγγελλόμενη επαναλαμβάνει στο υπόμνημά της, στις … ζήτησε εκ νέου από την καταγγέλλουσα την υποβολή εγγράφου αποδεικτικού της ταυτότητάς της, ενώ την ενημέρωσε για την ανάγκη παράτασης της προθεσμίας ανταπόκρισης μέχρι το …, λόγω των ειδικών συνθηκών εν μέσω πανδημίας του κορωνοϊού, αλλά και την πάροδο διαστήματος από τη λήξη της συνεργασίας με την Vodafone. Επιπλέον, η καταγγελλόμενη αναφέρει ότι, αφού ήλεγξε ενδελεχώς τις αποθήκες που περιελάμβαναν το σύνολο του υλικού της εταιρείας «…» δεδομένου ότι το αίτημα της καταγγέλλουσας όπως υπεβλήθη στις … ήταν ελλιπές, στις … απέστειλε νέα επιστολή με την οποία την ενημέρωσε ότι ο φάκελός της ήταν έτοιμος και θα μπορούσε να τον παραλάβει με την επίδειξη εγγράφου αποδεικτικού της ταυτότητάς της, κάτι το οποίο έπραξε τελικώς η καταγγέλλουσα μέσω ηλεκτρονικού ταχυδρομείου στις … . Συνεπώς, κατά τους ισχυρισμούς της καταγγελλόμενης, το αίτημα της καταγγέλλουσας κατέστη πλήρες και υπεβλήθη προσηκόντως μόλις στις … όταν απέστειλε η καταγγέλλουσα αντίγραφο της ταυτότητάς της, αμέσως δε η Vodafone (και συγκεκριμένα την επόμενη ημέρα, ήτοι στις …) προέβη στην ικανοποίηση αυτού. (
- ii)Αναφορικά με τους ισχυρισμούς της καταγγέλλουσας περί μη πλήρους ικανοποίησης του αιτήματός της, η καταγγελλόμενη επεσήμανε ότι χορήγησε στην καταγγέλλουσα το σύνολο του ατομικού φακέλου εργασίας (ήτοι απογραφικό δελτίο εργαζομένου, τίτλο σπουδών, βιογραφικό σημείωμα, βεβαίωση προϋπηρεσίας, ΑΔΤ, αριθμός τραπεζικού λογαριασμού μισθοδοσίας, βεβαίωση εγγραφής στο Ταμείο …, 11 Βεβαίωση Ασφάλισης στο Ταμείο …, βεβαίωση …, το σύνολο των ανευρεθέντων συμφωνητικών καθώς και την υπ’ αριθμ. … έκθεση επίδοσης δικαστικού επιμελητή περί εξώδικης καταγγελίας της σύμβασης … και την από … απόδειξη παράδοσης παραλαβής τραπεζικής επιταγής), ενώ κατέστη ανέφικτος ο εντοπισμός εγγράφων αξιολογήσεων της καταγγέλλουσας κατά το διάστημα που εργαζόταν στην Vodafone, ενώ αξιολογήσεις δεν εντοπίστηκαν ούτε στα αρχεία της … διότι δεν υπήρξαν, επαναλαμβάνοντας ότι ουδεμία έγγραφη αξιολόγηση είχε πραγματοποιηθεί από την Vodafone σε εργαζόμενους της … κατά τη λειτουργική ενοποίηση των δυο εταιρειών. Αναφερόμενη δε στην διαδικασία αξιολόγησης, η καταγγελλόμενη εξηγεί με το υπόμνημά της ότι η αξιολόγηση διενεργούνταν μετά το πέρας του οικονομικού έτους (το οποίο άρχεται 01 Απριλίου εκάστου έτους μέχρι το πέρας του Μαρτίου του επόμενου έτους), ενώ στο μέσον εκάστου έτους, δηλαδή το φθινόπωρο, διενεργείτο μια ενδιάμεση αξιολόγηση κάθε εργαζόμενου, μέσω προφορικής συζήτησης με τον εκάστοτε προϊστάμενο. (iii) Σχετικά με τον λογαριασμό ηλεκτρονικού ταχυδρομείου που διατηρούσε η καταγγέλλουσα, η καταγγελλόμενη επισημαίνει εκ νέου με το υπόμνημά της ότι αυτός καταργήθηκε 90 ημέρες μετά την καταγγελία της σύμβασης εργασίας, όπως ομοίως συνέβη και με τα περιεχόμενα στους αντίστοιχους φακέλους του λογαριασμού μηνύματα ηλεκτρονικού ταχυδρομείου. Περαιτέρω, σε σχέση με τα δεδομένα που τηρούνται σε ηλεκτρονική μορφή, το έγγραφο «Records Management & Data Retention Policy» ορίζει ως υποχρεωτική διαγραφή του εταιρικού λογαριασμού ηλεκτρονικού ταχυδρομείου εντός 90 ημερών από την καταγγελία της σύμβασης εργασίας. Η καταγγελλόμενη επικαλείται την υπ’ αριθμ. ΝΑΙΗ/2020/34/3 σχετική απόφαση της ουγγρικής εποπτικής αρχής, σε υπόθεση κατά την οποία πρώην εργαζόμενος αιτήθηκε στο πλαίσιο άσκησης δικαιώματος πρόσβασης κατά τον ΓΚΠΔ, αντίγραφο του συνόλου της εταιρικής ηλεκτρονικής αλληλογραφίας του έτους 2018, το οποίο περιελάμβανε μεταξύ άλλων και προσωπική αλληλογραφία. Με την απόφαση αυτή η ουγγρική εποπτική αρχή έκρινε, μεταξύ άλλων, πως το δικαίωμα πρόσβασης πρώην εργαζομένου θα μπορούσε να γίνει δεκτό μόνο εν μέρει, δεδομένου του όγκου των μηνυμάτων ηλεκτρονικού ταχυδρομείου που ζητήθηκαν, καθώς και του γεγονότος ότι ο πρώην εργαζόμενος δεν προσδιόρισε ποια μηνύματα 12 ηλεκτρονικού ταχυδρομείου αφορούσε το αίτημα του, ενώ θα έπρεπε να έχει εξειδικεύσει το αίτημά του, ώστε να είναι δυνατή η ικανοποίησή του από τον υπεύθυνο επεξεργασίας. Ομοίως, η καταγγελλόμενη επικαλείται τις από Δεκεμβρίου 2020 κατευθυντήριες οδηγίες που έχει εκδώσει η δανέζικη αρχή προστασίας δεδομένων σχετικά με την επεξεργασία προσωπικών δεδομένων στο πλαίσιο εργασιακής σχέσης. Σύμφωνα με τις κατευθυντήριες αυτές οδηγίες, ο εργοδότης δύναται να αρνηθεί την ικανοποίηση του δικαιώματος πρόσβασης πρώην εργαζόμενου σε δραστηριότητα, αλληλογραφία σχετιζόμενη συμπεριλαμβανομένων των με την επαγγελματική μηνυμάτων του ηλεκτρονικού ταχυδρομείου, αν κρίνει το σχετικό αίτημα ως υπερβολικό. Επιπλέον, η καταγγελλόμενη επικαλείται απόφαση του Ομοσπονδιακού Δικαστηρίου εργατικών διαφορών της Γερμανίας 1, το οποίο έκρινε, ότι το υποκείμενο των δεδομένων θα πρέπει να προσδιορίζει τα μηνύματα ηλεκτρονικού ταχυδρομείου για τα οποία επιθυμεί να λάβει αντίγραφο, διαφορετικά η σχετική αξίωση δεν θεωρείται επαρκώς προσδιορισμένη και ως εκ τούτου δεν καθίσταται δυνατή η ικανοποίηση του αιτήματος. Τέλος, η καταγγελλόμενη καταλήγει ότι η άσκηση του δικαιώματος πρόσβασης του υποκειμένου κατά τρόπο γενικό, που έχει ως περιεχόμενο την πρόσβαση στο σύνολο της εταιρικής ηλεκτρονικής αλληλογραφίας, δεν μπορεί να θεωρηθεί ότι γεννά μια άνευ ετέρου υποχρέωση του υπευθύνου επεξεργασίας, όπως χορηγήσει το σύνολο της εταιρικής του αλληλογραφίας (εισερχομένων και εξερχομένων email, καθώς και του συνόλου των email λοιπών εργαζομένων στα οποία τυχόν περιέχονται πληροφορίες σχετικά με το υποκείμενο). (
- iv)Eπίσης, αναφέρει ότι όπως έχει κριθεί τόσο από τη νομολογία αλλά έχει υποστηριχθεί και από τη θεωρία, το δικαίωμα στην προστασία των προσωπικών δεδομένων δεν είναι απόλυτο. Ως εκ τούτου, οφείλει το υποκείμενο των δεδομένων να υποδείξει τα συγκεκριμένα εταιρικά μηνύματα ηλεκτρονικού ταχυδρομείου καθώς και αρχεία που είναι αποθηκευμένα σε ηλεκτρικές συσκευές, και περιέχουν δεδομένα, ώστε να διευκολύνει τον υπεύθυνο στην ικανοποίηση του δικαιώματος. (
- v)Ακολούθως, η καταγγελλόμενη επισημαίνει ότι μετά από σχετικό έλεγχο που Βλέπε Απόφαση BAG 27.04.2021- 2 AZR 34/20 του Ομοσπονδιακού Δικαστηρίου εργατικών διαφορών της Γερμανίας. 1 13 διενεργήθηκε, δεν ανευρέθηκαν ιατρικά δεδομένα της καταγγέλλουσας στα αρχεία της …, ούτε πληροφορίες σχετικά με τη αυτοματοποιημένη λήψη αποφάσεων ή κατάρτιση προφίλ. (
- vi)Τέλος, η καταγγελλόμενη καταλήγει αναφέροντας ότι βάσει της αρχής της ελαχιστοποίησης των δεδομένων, τα δεδομένα για τα οποία δεν συντρέχει νόμιμος λόγος διατήρησης, πρέπει να διαγράφονται. Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τους βοηθούς εισηγητή, οι οποίοι (βοηθοί) αποχώρησαν μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ 1. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού 2016/679) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας της Α κατά της Vodafone - ΠΑΝΑΦΟΝ Α.Ε.Ε.Τ και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/2019. 2. Επειδή, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς 14 αυτούς (…) («περιορισμός του σκοπού»), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων») (…)». 3. Επειδή, σύμφωνα με τα οριζόμενα, στη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του άρθρου 5. Όπως έχει κρίνει η Αρχή 2, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό μέγεθος του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ. 4. Περαιτέρω, ενόψει και του άρθρου 8 παρ. 1 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, του άρθρου 9Α του Συντάγματος και της αιτιολογικής σκέψης 4 του ΓΚΠΔ, το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο, αλλά εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας. Ο ΓΚΠΔ σέβεται όλα τα θεμελιώδη δικαιώματα και τηρεί τις ελευθερίες και αρχές που αναγνωρίζονται στον Χάρτη, όπως κατοχυρώνονται στις Συνθήκες, ιδίως τον σεβασμό της ιδιωτικής και οικογενειακής ζωής, της κατοικίας και των επικοινωνιών, την προστασία των δεδομένων προσωπικού χαρακτήρα, την ελευθερία σκέψης, συνείδησης και θρησκείας, την ελευθερία έκφρασης και πληροφόρησης, την επιχειρηματική ελευθερία, το δικαίωμα πραγματικής προσφυγής και αμερόληπτου δικαστηρίου και την πολιτιστική, θρησκευτική και γλωσσική πολυμορφία. 5. Επειδή, σύμφωνα με τη διάταξη του άρθρου 12 παρ. 3 ΓΚΠΔ: «Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια 2 Βλ. απόφαση Αρχής 26/2019, σκέψη 8, διαθέσιμη στην ιστοσελίδα της. 15 που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα, η ενημέρωση παρέχεται, εάν είναι δυνατόν, με ηλεκτρονικά μέσα, εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό». 6. Επειδή σύμφωνα με τη διάταξη του άρθρου 12 παρ. 6 του ΓΚΠΔ προβλέπεται ότι «Με την επιφύλαξη του άρθρου 11, όταν ο υπεύθυνος επεξεργασίας έχει εύλογες αμφιβολίες σχετικά με την ταυτότητα του φυσικού προσώπου που υποβάλλει το αίτημα που αναφέρεται στα άρθρα 15-21, ο υπεύθυνος επεξεργασίας μπορεί να ζητήσει την παροχή πρόσθετων πληροφοριών αναγκαίων για την επιβεβαίωση της ταυτότητας του υποκειμένου των δεδομένων». 7. Επειδή σύμφωνα με το άρθρο 15 παρ. 1, 3 και 4 του ΓΚΠΔ «1. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες: […] 2. […] 3. Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. […] 4. Το δικαίωμα να λαμβάνεται αντίγραφο που αναφέρεται στην παράγραφο 3 δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων». 8. Επειδή, σύμφωνα με την αιτιολογική σκέψη υπ’ αριθμ. 63 του προοιμίου του ΓΚΠΔ «ένα υποκείμενο των δεδομένων θα πρέπει να έχει δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα τα οποία συλλέχθηκαν και το αφορούν και να μπορεί να ασκεί το εν λόγω δικαίωμα ευχερώς και σε εύλογα τακτά διαστήματα, προκειμένου να έχει επίγνωση και να επαληθεύει τη νομιμότητα της επεξεργασίας». 16 9. Επειδή, σύμφωνα με την αιτιολογική σκέψη υπ’ αριθμ. 64 του προοιμίου του ΓΚΠΔ «Ο υπεύθυνος επεξεργασίας θα πρέπει να χρησιμοποιεί κάθε εύλογο μέτρο για να επαληθεύει την ταυτότητα του υποκειμένου των δεδομένων το οποίο ζητεί πρόσβαση, ιδίως στο πλαίσιο των επιγραμμικών υπηρεσιών και επιγραμμικών αναγνωριστικών στοιχείων ταυτότητας». 10. Ενόψει των ανωτέρω, οι τυποποιημένες φόρμες που χρησιμοποιούνται προκειμένου να ασκηθεί το δικαίωμα πρόσβασης, αν και διευκολύνουν την αναγνώριση ενός δικαιώματος πρόσβασης, η άσκησή του είναι εξίσου ισχυρή αν το υποκείμενο την υποβάλει μέσω επιστολής, μηνύματος ηλεκτρονικού ταχυδρομείου ή προφορικά. Ως εκ τούτου, δεν είναι υποχρεωτικό να χρησιμοποιείται η τυποποιημένη φόρμα και απλώς ενθαρρύνονται τα υποκείμενα να τη χρησιμοποιούν 3. 11. Επειδή, στην εξεταζόμενη περίπτωση, από τα στοιχεία του φακέλου της υπόθεσης, την ακροαματική διαδικασία και τα υπομνήματα των μερών προέκυψαν τα εξής: Η καταγγέλλουσα στις … απέστειλε με μήνυμα ηλεκτρονικού ταχυδρομείου (e-mail) αίτηση στην καταγγελλόμενη, ζητώντας πλήρη ενημέρωση αναφορικά με τα δεδομένα προσωπικού χαρακτήρα που την αφορούσαν, αντίγραφα των προσωπικών δεδομένων που τηρεί η καταγγελλόμενη στα αρχεία της (όπως ενδεικτικά πιστοποιητικά, αξιολογήσεις, e-mails, αλληλογραφία) καθώς και όλες τις πληροφορίες που αιτείτο βάσει του Γενικού Κανονισμού Προστασίας Δεδομένων προκειμένου να τα χρησιμοποιήσει εν όψει εκκρεμούς δίκης με την καταγγελλόμενη, υποβάλλοντας ταυτόχρονα αίτημα περί περιορισμού της επεξεργασίας των προσωπικών της δεδομένων. Στην εν λόγω αίτηση, η καταγγελλόμενη απάντησε στις …, ζητώντας από την καταγγέλλουσα να αποστείλει εκ νέου αίτημα, συμπληρώνοντας συγκεκριμένη τυποποιημένη φόρμα «για πρόσβαση στα δεδομένα από εξωτερικούς συνεργάτες/πρώην υπαλλήλους της Vodafone για να μπορέσει να προχωρήσει με το αίτημά της» (η οποία περιελάμβανε πεδία σχετικά με την υποβολή των απαραίτητων εγγράφων ταυτοποίησης) που η εταιρεία διέθετε προς το σκοπό αυτό, κάτι το οποίο Βλ. το σύνδεσμο της αρμόδιας εποπτικής αρχής του Ηνωμένου Βασιλείου – Information Commissioner’s Office (ICO) https://ico.org.uk/for-organisations/guide-to-data-protection/guide-tothe-general-data-protection-regulation-gdpr/right-of-access/how-do-we-recognise-a-subject-accessrequest-sar/ 3 17 δεν έπραξε η καταγγέλλουσα. Ακολούθως, στις … η καταγγελλόμενη ενημέρωνε την καταγγέλλουσα για την ανάγκη παράτασης της προθεσμίας ανταπόκρισης στο αίτημά της μέχρι το … αναφέροντας τους λόγους για την παράταση αυτή, ήτοι τα έκτακτα μέτρα αντιμετώπισης του κορωνοϊού και την τηλεργασία που εφάρμοζε η καταγγελλόμενη, καθώς και το γεγονός ότι έχει παρέλθει μεγάλο χρονικό διάστημα από την λήξη της συνεργασίας της με την καταγγέλλουσα, και παραλλήλως την καλούσε να επισυνάψει αποδεικτικό της ταυτότητάς της. Εν τέλει, στις … η καταγγελλόμενη απέστειλε επιστολή με ημερομηνία …, με την οποία ενημέρωνε την καταγγέλλουσα ότι είχε ετοιμάσει αντίγραφο με τα προσωπικά της δεδομένα, και την καλούσε να τα παραλάβει προσκομίζοντας έγγραφο αποδεικτικό της ταυτότητάς της, αντίγραφο του οποίου τελικά στις … η καταγγέλλουσα απέστειλε με μήνυμα ηλεκτρονικού ταχυδρομείου στην καταγγελλόμενη. Ως προς τον ισχυρισμό της καταγγελλόμενης ότι το αίτημα της καταγγέλλουσας κατέστη πλήρες μόλις έλαβε αντίγραφο της ταυτότητάς της, αυτός τυγχάνει απορριπτέος, διότι στην προκείμενη περίπτωση κρίνεται ότι δεν ήταν απαραίτητη η προσκόμιση αντιγράφου εγγράφου ταυτοποίησης της καταγγέλλουσας λαμβανομένου υπόψη του γεγονότος ότι η τελευταία ήταν πρόσωπο γνωστό στην καταγγελλόμενη και εργάσθηκε στη … της ως … σε συνδυασμό με το γεγονός ότι η εξακρίβωση της ταυτότητάς της θα μπορούσε να επιτευχθεί μέσω τηλεφωνικής επικοινωνίας (δεδομένου ότι ο αριθμός κινητού τηλεφώνου της καταγγέλλουσας αναγράφονταν στην αίτηση με την οποία ασκήθηκε το δικαίωμα πρόσβασης και συνεπώς ήταν γνωστός στην καταγγελλόμενη). Εξάλλου, αφενός από καμία διάταξη του ΓΚΠΔ και της εθνικής νομοθεσίας δεν προβλέπεται η πρόσκαιρη αναστολή των σχετικών προθεσμιών και υποχρεώσεων ικανοποίησης των δικαιωμάτων (λόγω π.χ. έκτακτων συνθηκών που δημιουργούνται από την πανδημία του κορωνοϊού), αφετέρου, συνιστά υποχρέωση του υπευθύνου επεξεργασίας να τεκμηριώνει εσωτερικά τους λόγους καθυστέρησης ή μη ικανοποίησης των ασκηθέντων δικαιωμάτων 4, ενώ στην υπό κρίση περίπτωση πρέπει να συνυπολογισθεί επίσης ότι το αντικείμενο της δραστηριότητας του υπευθύνου 4 Βλ. Απόφαση της Αρχής 32/2021, διαθέσιμη στην ιστοσελίδα της. 18 επεξεργασίας δεν μπορεί να θεωρηθεί ότι εντάσσεται σε αυτές που τυχόν επιβαρύνονται από την έκτακτη συνθήκη (όπως π.χ. νοσοκομεία στην περίπτωση της πανδημίας). Ως εκ τούτου, στην προκείμενη περίπτωση, από τα στοιχεία του φακέλου της υπόθεσης αλλά και βάση των όσων προέκυψαν από ακροαματική διαδικασία προκύπτει ότι η καταγγελλόμενη, κατά παράβαση του άρθρου 12 παρ. 3 του ΓΚΠΔ, δεν ενημέρωσε το υποκείμενο των δεδομένων εντός μηνός από την παραλαβή του σχετικού αιτήματος για την παράταση της προβλεπόμενης στο άρθρο αυτό προθεσμίας καθώς και για τους λόγους καθυστέρησης. 12. Περαιτέρω, από τα προσκομιζόμενα έγγραφα και την ακροαματική διαδικασία προκύπτει ότι το αίτημα της καταγγέλλουσας σχετικά με τη χορήγηση ενημέρωσης και αντιγράφων δεδομένων προσωπικού χαρακτήρα, αφορούσε – μεταξύ άλλων – επί λέξει: «Οποιαδήποτε δεδομένα προσωπικού χαρακτήρα με αφορούν ως πρώην …, απασχολούμενη στη … Διεύθυνση, σε οποιοδήποτε φυσικό ή ψηφιακό αρχείο, ανά κατηγορία δεδομένων, είτε αυτά περιλαμβάνονται στον ατομικό φάκελο εργαζομένου (όπως ενδεικτικά πιστοποιητικά, Αξιολογήσεις, Συμφωνητικά, email, αλληλογραφία κ.ο.κ) περιλαμβανομένων και όσων τηρούνται από τον ιατρό εργασίας (πάσης φύσης δεδομένων υγείας), σε οποιοδήποτε φυσικό ή ψηφιακό μέσο, όπως έγγραφα, απόψεις, πιστοποιητικά, συμπεράσματα, προφίλ κ.α.». Ως προς το σκέλος του αιτήματος της καταγγέλλουσας που αφορούσε τη χορήγηση σε αυτήν αντίγραφου των ηλεκτρονικών επικοινωνιών από την επαγγελματική ηλεκτρονική διεύθυνση της καταγγέλλουσας, στην προκειμένη περίπτωση προκύπτει ότι η καταγγέλλουσα δεν τεκμηρίωσε την αναγκαιότητα πρόσβασης σε συγκεκριμένα μηνύματα του επαγγελματικού ηλεκτρονικού ταχυδρομείου, ούτε προσδιόρισε σε ποια συγκεκριμένα στοιχεία του επαγγελματικού ηλεκτρονικού ταχυδρομείου επιθυμούσε πρόσβαση και για ποιο ακριβώς λόγο αυτά σχετίζονται με την δίκη που, σύμφωνα με την υπό κρίση καταγγελία, έχει ανοιγεί και εκκρεμεί ενώπιον του Μονομελούς Πρωτοδικείου X, δεδομένου μάλιστα ότι στην υπό κρίση περίπτωση τα εν λόγω μηνύματα ηλεκτρονικού ταχυδρομείου δεν αφορούν μόνο την καταγγέλλουσα αλλά και την καταγγελλόμενη εταιρεία, η οποία ήταν και διαχειριστής του λογαριασμού του 19 ηλεκτρονικού ταχυδρομείου και σύμφωνα με το άρθρο 15 παρ. 4 του ΓΚΠΔ «Το δικαίωμα να λαμβάνεται αντίγραφο που αναφέρεται στην παράγραφο 3 δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες των άλλων». Μια τέτοια εξειδίκευση θα ήταν αναγκαία προκειμένου ο υπεύθυνος επεξεργασίας να είναι σε θέση να εξετάσει, στο πλαίσιο της αρχής της λογοδοσίας, αν τίθεται ζήτημα δυσμενούς επίδρασης στα δικαιώματα και στις ελευθερίες των άλλων, και συνεπώς αν συντρέχει νόμιμος λόγος μη χορήγησής τους. Δικαιώματα τρίτων που θα μπορούσαν, ενδεχομένως, να επηρεάζονται είναι προσωπικά δεδομένα των άλλων μερών της επικοινωνίας (αποστολέα – παραλήπτη), τυχόν πληροφορίες προστατευόμενες από τυχόν επαγγελματικό – εμπορικό απόρρητο κ.ο.κ. Σημειωτέον δε ότι, όπως προκύπτει από τα στοιχεία του φακέλου, η καταγγελλόμενη κάλεσε την καταγγέλλουσα να εξειδικεύσει το αίτημα πρόσβασης κατά το σκέλος που αφορά τυχόν σε προσωπικά δεδομένα που περιέχονται σε απεσταλμένα μηνύματα ηλεκτρονικού ταχυδρομείου προς νυν εργαζόμενους, προκειμένου εν συνεχεία να εξετάσουν τη δυνατότητα ικανοποίησής τους υπό το πρίσμα σύγκρουσης ή μη με διατάξεις διασφάλισης επιχειρησιακού απορρήτου καθώς και με δικαιώματα και ελευθερίες τρίτων, εξειδίκευση στην οποία ωστόσο δεν προέβη η καταγγέλλουσα. 13. Συνεπεία των ανωτέρω αναφερόμενων, παρέλκει η εξέταση του παρεπόμενου ζητήματος περί διαγραφής του εταιρικού λογαριασμού ηλεκτρονικού ταχυδρομείου εντός 90 ημερών μετά την καταγγελία της σύμβασης εργασίας. Εξάλλου, ο περαιτέρω ισχυρισμός της καταγγέλλουσας περί μη σχετικής ενημέρωσής της από την καταγγελλόμενη περί της ως άνω διαγραφής του λογαριασμού του ηλεκτρονικού ταχυδρομείου, είναι εξεταστέος με βάση τον ν. 2472/1997 αφού η καταγγελία της σύμβασης εργασίας ανάγεται σε χρόνο προγενέστερο της θέσης σε ισχύ του ΓΚΠΔ, ήτοι το έτος 2015. Σύμφωνα δε με τις διατάξεις του νόμου αυτού, το χρονικό διάστημα επεξεργασίας των δεδομένων και διατήρησης αρχείου αποτελούσε πληροφορία, την οποία ο υπεύθυνος επεξεργασίας είχε υποχρέωση, να γνωστοποιήσει στην Αρχή, κατ’ άρθρο 6 παρ. 1 ε’, κατά τη σύσταση και λειτουργία του αρχείου ή την έναρξη της επεξεργασίας, αλλά δεν περιλαμβανόταν στα στοιχεία, για τα οποία, σύμφωνα με το άρθρο 11 του ίδιου νόμου 5, όφειλε να ενημερώνει κατά Σύμφωνα με το άρθρο 11 του Ν. 2472/1997 «ο υπεύθυνος επεξεργασίας οφείλει, κατά το στάδιο της συλλογής δεδομένων προσωπικού χαρακτήρα, να ενημερώνει με τρόπο πρόσφορο και σαφή το 5 20 το στάδιο της συλλογής των δεδομένων προσωπικού χαρακτήρα. Εξάλλου, η σχετική διαγραφή του λογαριασμού ηλεκτρονικού ταχυδρομείου όταν ένας εργαζόμενος αποχωρεί από τον οργανισμό αναμένεται και αποτελεί κοινή γνώση του επιμελούς πολίτη 6. 14. Αναφορικά με τα υπόλοιπα στοιχεία που ζητούσε η καταγγέλλουσα με το αίτημα πρόσβασης (όπως ενδεικτικά πιστοποιητικά, Αξιολογήσεις, έγγραφα τηρούμενα από τον ιατρό εργασίας – πάσης φύσεως δεδομένων υγείας) και δεν της χορηγήθηκαν από την καταγγελλόμενη, ούτε από τα στοιχεία του φακέλου αλλά ούτε από την ακροαματική διαδικασία προέκυψε ότι η καταγγελλόμενη διατηρεί αρχεία που περιέχουν δεδομένα προσωπικού χαρακτήρα της καταγγέλλουσας που δεν έχει χορηγήσει στην καταγγέλλουσα. 15. H Αρχή, λαμβάνοντας υπόψη τη βαρύτητα της παράβασης που διαπιστώθηκε, δηλαδή της καθυστερημένης μετά την παρέλευση του ενός μηνός από την παραλαβή αιτήματος, ενημέρωσης του υποκειμένου των δεδομένων από τον Υπεύθυνο Επεξεργασίας για την παράταση ανταπόκρισης στο δικαίωμα πρόσβασης και τους λόγους αυτής, σύμφωνα με το άρθρο 12 παρ. 3 του ΓΚΠΔ, κρίνει ομόφωνα ότι πρέπει να ασκήσει την προβλεπόμενη στο άρθρο 58 παρ. 2 εδ. β΄ ΓΚΠΔ εξουσία της και να απευθύνει επίπληξη, όπως αναφέρεται στο διατακτικό της παρούσας, η οποία κρίνεται ανάλογη με τη βαρύτητα της διαπιστωθείσας παράβασης. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, λαμβάνοντας υπόψη τα παραπάνω: Απευθύνει με βάση το άρθρο 58 παρ. 2 β’ του Κανονισμού (ΕΕ) 2016/679 επίπληξη στην «Vodafone - ΠΑΝΑΦΟΝ ΑNΩΝΥΜΗ ΕΛΛΗΝΙΚΗ ΕΤΑΙΡΕΙΑ ΤΗΛΕΠΙΚΟΙΝΩΝΙΩΝ» υποκείμενο για τα εξής τουλάχιστον στοιχεία: α. την ταυτότητά του και την ταυτότητα του τυχόν εκπροσώπου του β. το σκοπό της επεξεργασίας. γ. τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων. δ. την ύπαρξη του δικαιώματος πρόσβασης». 6 Συναφώς προς το ζήτημα της διαχείρισης των μηνυμάτων ηλεκτρονικού ταχυδρομείου για τον χρόνο μετά τη λύση της εργασιακής σχέσης, έκρινε και η Εποπτική Αρχή του Βελγίου με την υπ’ αριθμ. 64/2020 απόφαση της (https://www.autoriteprotectiondonnees.be/publications/decision-quant-aufond-n-64-2020.pdf). 21 (VODAFONE-ΠΑΝΑΦΟΝ Α.Ε.Ε.Τ.) για την παραβίαση της διάταξης του άρθρου 12 παρ. 3 του Κανονισμού (ΕΕ) 2016/679. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 22