Αθήνα, 02-11-2022 Αριθ. Πρωτ.: 2778 ΑΠΟΦΑΣΗ 58/2022 (Tμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε σε σύνθεση Τμήματος μετά από πρόσκληση του Προέδρου της σε συνεδρίαση μέσω τηλεδιάσκεψης την 28η.07.2022, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν, ο Αναπληρωτής Πρόεδρος, Γεώργιος Μπατζαλέξης, κωλυόμενου του Προέδρου της Αρχής, Κωνσταντίνου Μενουδάκου, το τακτικό μέλος της Αρχής, Γρηγόρης Τσόλιας, ως εισηγητής και το αναπληρωματικό μέλος Δημοσθένης Βουγιούκας, σε αντικατάσταση του τακτικού μέλους Kωνσταντίνου Λαμπρινουδάκη, ο οποίος αν και εκλήθη νομίμως εγγράφως, δεν παρέστη λόγω κωλύματος. Παρούσες, χωρίς δικαίωμα ψήφου ήταν η Αναστασία Κανικλίδου, ειδική επιστήμονας – δικηγόρος, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Με την υπ’ αριθμ. Γ/ΕΙΣ/2015/22-03-2021 καταγγελία του, ο Α (εφεξής «ο καταγγέλλων»), καταγγέλλει την Ανεξάρτητη Αρχή Δημοσίων Εσόδων (Α.Α.Δ.Ε) (εφεξής η «καταγγελλόμενη») για παραβίαση των διατάξεων της νομοθεσίας για τα προσωπικά δεδομένα (παραβίαση ασφάλειας), καθώς και για πλημμελή ικανοποίηση του δικαιώματος ενημέρωσης. Eιδικότερα, σύμφωνα με την καταγγελία, ο καταγγέλλων έλαβε κατά τα δύο προηγούμενα έτη το εκκαθαριστικό σημείωμα της φορολογικής του δήλωσης μέσα σε φάκελο που δεν πληρούσε τις προδιαγραφές και τις απαιτήσεις ασφαλείας της Ε.Ε.Τ.Τ και της Α.Δ.Α.Ε., και ειδικότερα σε φάκελο με παράθυρο/θυρίδα, με τέτοιο τρόπο ώστε να έχουν διαρρεύσει σε απροσδιόριστο αριθμό ατόμων πληροφορίες ευαίσθητης φύσης, όπως το συνολικό δηλωθέν εισόδημά του. Όπως ισχυρίζεται ο καταγγέλλων, το εν λόγω σφάλμα αφορά είτε την επιλογή των προδιαμορφωμένων φακέλων είτε προέκυψε κατά την εμφακέλλωση του περιεχομένου από την Α.Α.Δ.Ε ή, τέλος, από τον πάροχο ταχυδρομικών υπηρεσιών, δηλ. τα ΕΛΤΑ. Εν συνεχεία, στις … απέστειλε αίτημα στην Α.Α.Δ.Ε, με το οποίο αιτήθηκε εξηγήσεις από την τελευταία ως Υπεύθυνο Επεξεργασίας για την εν λόγω παραβίαση της ασφάλειας των προσωπικών του δεδομένων. Επιπλέον, ο καταγγέλλων επικαλούμενος το άρθρο 13 του ΓΚΠΔ αιτείτο πλήρη ενημέρωση από την Α.Α.Δ.Ε.:
- i)για την επεξεργασία των προσωπικών του δεδομένων (με ειδικότερη αναφορά στην ταυτότητα όλων των υπευθύνων, εκτελούντων και υπο-εκτελούντων την επεξεργασία των προσωπικών του δεδομένων και των στοιχείων επικοινωνίας τους, καθώς και τυχόν τρίτων μερών στα οποία είχαν δημοσιοποιηθεί τα δεδομένα του, συμπεριλαμβανομένου του ονόματος και των στοιχείων επικοινωνίας των παραληπτών), καθώς και
- ii)για τον ρόλο της ΕΛΤΑ Α.Ε. στην εν λόγω επεξεργασία των προσωπικών του δεδομένων και την τυχόν ύπαρξη σύμβασης μεταξύ της ΕΛΤΑ Α.Ε. και της Α.Α.Δ.Ε. δυνάμει του άρθρου 28 του ΓΚΠΔ. Τέλος, εν όψει της επικείμενης λήψης νέου εκκαθαριστικού o καταγγέλλων εναντιώθηκε στην επεξεργασία των προσωπικών του δεδομένων κατά αυτόν τον τρόπο, ώστε να μην επαναληφθεί το περιστατικό. Επί του ως άνω αιτήματός του, στις … όπως ο καταγγέλλων ισχυρίζεται, έλαβε απάντηση από την καταγγελλόμενη, χωρίς ωστόσο κατά τους ισχυρισμούς του, η τελευταία να απαντάει ικανοποιητικώς στα ερωτήματά του και ιδίως στο ερώτημά του αναφορικά με τον ρόλο της Α.Α.Δ.Ε και της ΕΛΤΑ Α.Ε. στην εν λόγω επεξεργασία. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, με το υπ’αριθμ. πρωτ. Γ/ΕΞΕ/995/05-04-2021 έγγραφό της, ενημέρωσε την καταγγελλόμενη και το Αυτοτελές Τμήμα Υποστήριξης Υπευθύνου Προστασίας Δεδομένων της καταγγελλόμενης σχετικά με την καταγγελία και τους κάλεσε να εκθέσουν τις απόψεις τους επί αυτής. Σε απάντηση του ανωτέρω εγγράφου της Αρχής, υποβλήθηκε η υπ’ αρ. … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/2686/20-4-2021) απάντηση του Αυτοτελούς Τμήματος Υποστήριξης Υπευθύνου Προστασίας Δεδομένων της Α.Α.Δ.Ε. Στην ως άνω απάντηση διαλαμβάνεται ότι, σε συνέχεια της από … καταγγελίας που 2 υπέβαλε ο φορολογούμενος (νυν καταγγέλλων) μέσω της ηλεκτρονικής πλατφόρμας του Κέντρου Εξυπηρέτησης Φορολογουμένων, το Αυτοτελές Τμήμα Υποστήριξης Υπευθύνου Προστασίας Δεδομένων της καταγγελλόμενης απέστειλε προς τη Γενική Διευθύντρια Φορολογικής Διοίκησης έγγραφο στο οποίο πρότεινε για λόγους προστασίας δεδομένων να επιλέγεται η ηλεκτρονική κοινοποίηση των εγγράφων στους πολίτες καθώς και ότι «οι εν λόγω φάκελοι πρέπει να καταστραφούν». Ακολούθως, η καταγγελλόμενη γνωστοποίησε την παραβίαση δεδομένων στην Αρχή (με την υπ’αριθμ. πρωτοκόλλου Γ/ΕΙΣ/874/04-02-2021 γνωστοποίηση) αλλά δεν προέβη σε ανακοίνωσή στο υποκείμενο των δεδομένων, δεδομένου ότι τελούσε ήδη σε γνώση αυτού. Εν συνεχεία, όπως αναφέρεται στην ως άνω απάντηση, στις …, το Αυτοτελές Τμήμα Υποστήριξης Υπευθύνου Προστασίας Δεδομένων της ΑΑΔΕ απάντησε στον φορολογούμενο - καταγγέλλοντα, ικανοποιώντας, κατά τους ισχυρισμούς του, το δικαίωμα ενημέρωσής του. Αναφορικά με τον ισχυρισμό του καταγγέλλοντος ότι δεν ικανοποιήθηκε το ασκηθέν από αυτόν δικαίωμα ενημέρωσης κατ’ άρθρο 13 του ΓΚΠΔ ιδίως αναφορικά με τον ρόλο της Α.Α.Δ.Ε και της ΕΛΤΑ Α.Ε. στην εν λόγω επεξεργασία, όπως το Αυτοτελές Τμήμα Υποστήριξης Υπευθύνου Προστασίας Δεδομένων της Α.Α.Δ.Ε ισχυρίζεται, απάντησε στο αίτημα του καταγγέλλοντος ενημερώνοντάς τον για όσες πληροφορίες υποχρεούνταν δυνάμει του ΓΚΠΔ, οι δε αιτούμενες περαιτέρω πληροφορίες (υπογραφή συμφωνίας άρθρου 28 του ΓΚΠΔ μεταξύ Α.Α.Δ.Ε και ΕΛΤΑ) δεν αποτελούν αντικείμενο του δικαιώματος ενημέρωσης κατά τα άρθρα 13 και 14 ΓΚΠΔ. Κατόπιν δε και των ανωτέρω, υποβλήθηκε και συμπληρωματική γνωστοποίηση παραβίασης δεδομένων κατ’ άρθρο 33 ΓΚΠΔ (με αριθμό πρωτοκόλλου της Αρχής Γ/ΕΙΣ/2163/30-03-2021). Όσον αφορά τον ισχυρισμό του καταγγέλλοντος ότι διέρρευσαν προσωπικά του δεδομένα (και συγκεκριμένα το ετήσιο ακαθάριστο εισόδημα) σε υπάλληλους της Α.Α.Δ.Ε, ενδιάμεσους και σε απροσδιόριστο αριθμό προσώπων, συμπεριλαμβανομένων των γειτόνων του, το Αυτοτελές Τμήμα Υποστήριξης Υπευθύνου Προστασίας Δεδομένων της Α.Α.Δ.Ε ισχυρίζεται με την ανωτέρω απάντησή του ότι δεν υπήρξε τεκμηριωμένη παραβίαση των δεδομένων προσωπικού χαρακτήρα του, δεδομένου ότι οι δηλώσεις φόρου εισοδήματος του καταγγέλλοντος 3 φορολογικών ετών 2017 και 2018 εκκαθαρίσθηκαν αμφότερες στις …, οι φάκελοι που τις περιείχαν εστάλησαν ταυτόχρονα και παρελήφθησαν από τον αποδέκτη τους, καταγγέλλοντα, απαραβίαστοι/σφραγισμένοι. Περαιτέρω, σύμφωνα πάντα με την ανωτέρω απάντηση του Αυτοτελούς Τμήματος Υποστήριξης Υπευθύνου Προστασίας Δεδομένων της Α.Α.Δ.Ε. ο καταγγέλλων δεν επικαλείται κάποιο συγκεκριμένο περιστατικό από το οποίο να προκύπτει ότι συγκεκριμένο τρίτο πρόσωπο έλαβε γνώση των προσωπικών του δεδομένων, ενώ οι υπάλληλοι της Α.Α.Δ.Ε επεξεργάσθηκαν τα δεδομένα προσωπικού χαρακτήρα του καταγγέλλοντος στο πλαίσιο άσκησης των καθηκόντων τους δεσμευόμενοι από το καθήκον εχεμύθειας και το φορολογικό απόρρητο. Οι δε υπάλληλοι της ΕΛΤΑ Α.Ε. επεξεργάσθηκαν τα δεδομένα προσωπικού χαρακτήρα στο πλαίσιο άσκησης των καθηκόντων τους, δεσμευόμενοι από το καθήκον τήρησης εμπιστευτικότητας. Εν συνεχεία, η Αρχή με τα υπ’αριθμ. Γ/ΕΞΕ/678/14-03-2022 και Γ/ΕΞΕ/679/14-032022 έγγραφά της κάλεσε τον καταγγέλλοντα και την ΑΑΔΕ με την επισήμανση να παραστεί και το Αυτοτελές Τμήμα Υποστήριξης Υπευθύνου Προστασίας Δεδομένων, αντίστοιχα, όπως παρουσιαστούν σε συνεδρίαση της Αρχής την Τετάρτη 23.03.2022. Στη συνεδρίαση αυτή, η εξέταση της υπόθεσης αναβλήθηκε για την 04.05.2022 κατόπιν αιτήματος της καταγγελλομένης. Στη νέα συνεδρίαση παρέστησαν οι Αυγουστίνος Κογιεβίνας (ΑΜ/…) και Απόστολος Βόρρας (ΑΜ/…), πληρεξούσιοι δικηγόροι του καταγγέλλοντος, ενώ εκ μέρους της καταγγελλομένης παρέστη η Β, υπάλληλος Αυτοτελούς Τμήματος Υποστήριξης της Γενικής Διεύθυνσης Φορολογικής Διοίκησης, ενώ παρέστη και η Γ, Υπεύθυνη Προστασίας Δεδομένων της ΑΑΔΕ. Κατά τη συνεδρίαση αυτή, οι παριστάμενοι αφού ανέπτυξαν τις απόψεις τους, έλαβαν προθεσμία για την υποβολή έγγραφων υπομνημάτων έως την 27η.05.2022. Κατόπιν τούτου, τα μέρη υπέβαλαν εμπρόθεσμα τα σχετικά υπομνήματά τους, ήτοι ο καταγγέλλων το από … με το υπ’αριθμ. πρωτοκόλλου Γ/ΕΙΣ/ 7534/30.05.2022 έγγραφό του, και το Γραφείο του Διοικητή της ΑΑΔΕ το υπ’αριθμ. πρωτ.: … (και με αριθμό πρωτοκόλλου ΑΠΔ Γ/ΕΙΣ/7521/27.05.2022 έγγραφο). Ο καταγγέλλων τόσο κατά την ακρόαση όσο και με το υπόμνημά του, υποστήριξε τα αναφερόμενα στην καταγγελία του, επαναλαμβάνοντας ότι: 4 (α) Οι εν λόγω φάκελοι εστάλησαν σε παλαιότερο τόπο διανομής του, … και παρέμειναν εκτεθειμένοι σε κοινή θέα, για μεγάλο χρονικό διάστημα, … . (β) Η ΑΑΔΕ δεν απάντησε επί του αιτήματός του για τον προσδιορισμό των ρόλων μεταξύ ΕΛΤΑ και ΑΑΔΕ και ως εκ τούτου παραβίασε την υποχρέωση του άρθρου 13 ΓΚΠΔ. (γ) Tα προσωπικά δεδομένα που διέρρευσαν σε απροσδιόριστο αριθμό ατόμων ήταν ευαίσθητης φύσης, λαμβάνοντας συνδυαστικά υπόψη το είδος της πληροφορίας, …και τον πιθανό αντίκτυπο. (δ) Δεν πρόκειται για μεμονωμένο περιστατικό, αλλά κατ’ επανάληψη αμελή συμπεριφορά της ΑΑΔΕ. Η καταγγελλόμενη, τόσο κατά την ακρόαση όσο και με το υπόμνημα επανέλαβε τις θέσεις που είχε υποστηρίξει το Αυτοτελές Τμήμα Υποστήριξης Υπευθύνου Προστασίας Δεδομένων της καταγγελλόμενης με το υπ’ αριθμ. πρωτοκόλλου της Αρχής Γ/ΕΙΣ/2686/20-4-2021 έγγραφο και συγκεκριμένα προέβαλε τους εξής ισχυρισμούς: (α) Οι δηλώσεις φόρου εισοδήματος φυσικών προσώπων υποβάλλονται κατά κανόνα από τους φορολογούμενους ηλεκτρονικά, μέσω του λογαριασμού τους στο Taxisnet και την ψηφιακή πύλη myAADE, εκκαθαρίζονται ηλεκτρονικά και κοινοποιούνται ηλεκτρονικά στους φορολογούμενους, ενώ μόνο σε εξαιρετικές περιπτώσεις που η εκκαθάριση της δήλωσης φόρου εισοδήματος φυσικού προσώπου δεν είναι δυνατόν να πραγματοποιηθεί ηλεκτρονικά, όπως στην υπό κρίση περίπτωση πραγματοποιείται χειρόγραφη εκκαθάριση και κοινοποίηση της πράξης διοικητικού προσδιορισμού φόρου από την αρμόδια ΔΟΥ. (β) Κατά το επίμαχο διάστημα, δεν πραγματοποιήθηκε από την ΔΟΥ … μαζική αποστολή εκκαθαριστικών σημειωμάτων, η δε εσφαλμένη τοποθέτηση των εκκαθαριστικών σημειωμάτων αποτελεί μεμονωμένο περιστατικό, οφειλόμενο σε ανθρώπινο λάθος. (γ) Ο χειρισμός της καταγγελίας ήταν απόλυτα αρμόζων, μετά δε από το περιστατικό εστάλη από τη Γενική Διεύθυνση Φορολογικής Διοίκησης προς όλες τις Δ.Ο.Υ της επικράτειας η οδηγία να χρησιμοποιούνται φάκελοι χωρίς θυρίδα/ παράθυρο στην αλληλογραφία με τους πολίτες, εν συνεχεία δε δόθηκε εντολή προς 5 όλες Υπηρεσίες της Δ.Ο.Υ. να διακόψουν την προμήθεια φακέλων αλληλογραφίας που φέρουν παράθυρο/θυρίδα. (δ) Από το έτος 2021 προβλέπεται πλέον ως αποκλειστικός τρόπος κοινοποίησης των πράξεων διοικητικού προσδιορισμού φόρου εισοδήματος (εκκαθαριστικά σημειώματα) η ηλεκτρονική αποστολή στους φορολογούμενους. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ 1. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού 2016/679) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του Α κατά της ΑΑΔΕ καθώς, εν προκειμένω, έλαβε χώρα αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, υπαγόμενη στο προστατευτικό πεδίο της νομοθεσίας για την προστασία δεδομένων προσωπικού χαρακτήρα (άρθρα 2 παρ. 1 ΓΚΠΔ και 2 ν. 4624/2019). 2. Επειδή, το άρθρο 5 παρ. 1 στοιχ. στ’ ΓΚΠΔ προβλέπει ότι τα δεδομένα προσωπικού χαρακτήρα: «υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»). Περαιτέρω, σύμφωνα με τη διάταξη του άρθρου 24 παρ. 1 ΓΚΠΔ: «1. Λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους 6 κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με τον παρόντα κανονισμό. Τα εν λόγω μέτρα επανεξετάζονται και επικαιροποιούνται όταν κρίνεται απαραίτητο», ενώ σύμφωνα με το άρθρο 32 ΓΚΠΔ αναφορικά με την ασφάλεια της επεξεργασίας: «1. Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, περιλαμβανομένων, μεταξύ άλλων, κατά περίπτωση: (…) β) της δυνατότητας διασφάλισης του απορρήτου, της ακεραιότητας, της διαθεσιμότητας και της αξιοπιστίας των συστημάτων και των υπηρεσιών επεξεργασίας σε συνεχή βάση (…). 2. Κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία. (…) 4. Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία λαμβάνουν μέτρα ώστε να διασφαλίζεται ότι κάθε φυσικό πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία το οποίο έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα τα επεξεργάζεται μόνο κατ' εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους». Από τα ανωτέρω συνάγεται ότι μία από τις απαιτήσεις του ΓΚΠΔ είναι ότι, με τη χρησιμοποίηση κατάλληλων τεχνικών και οργανωτικών μέτρων, τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από παράνομη επεξεργασία. 7 3. Επειδή, ακολούθως, σύμφωνα με τα οριζόμενα στην διάταξη του άρθρου 4 στοιχ. 12 ΓΚΠΔ νοείται ως παραβίαση δεδομένων προσωπικού χαρακτήρα «η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία». Επεξηγείται ο ορισμός αυτός ως προς την «μη εξουσιοδοτημένη ή παράνομη επεξεργασία» στις Κατευθυντήριες γραμμές της ομάδας του άρθρου 29 σχετικά με τη γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα δυνάμει του κανονισμού 2016/679 « (…) Τέλος, η μη εξουσιοδοτημένη ή παράνομη επεξεργασία μπορεί να περιλαμβάνει την αποκάλυψη δεδομένων προσωπικού χαρακτήρα σε (ή την πρόσβαση από) αποδέκτες που δεν είναι εξουσιοδοτημένοι να λαμβάνουν τα δεδομένα (ή να έχουν πρόσβαση σʼ αυτά) ή οποιαδήποτε άλλη μορφή επεξεργασίας που παραβιάζει τον ΓΚΠΔ» 1. Ως εκ τούτου, ένας από τους τύπους παραβίασης προσωπικών δεδομένων είναι αυτός που κατηγοριοποιείται με βάση την αρχή ασφαλείας της «εμπιστευτικότητας», όταν διαπιστώνεται πρόσβαση άνευ δικαιώματος σε προσωπικά δεδομένα (“confidentiality breach”). Μια παραβίαση μπορεί δυνητικά να έχει διάφορες σημαντικές δυσμενείς συνέπειες στα πρόσωπα, οι οποίες μπορούν να οδηγήσουν σε σωματική, υλική ή ηθική βλάβη. Στον ΓΚΠΔ επεξηγείται ότι αυτή η βλάβη μπορεί να περιλαμβάνει απώλεια του ελέγχου επί των δεδομένων προσωπικού χαρακτήρα τους, περιορισμό των δικαιωμάτων τους, διακρίσεις, κατάχρηση ή υποκλοπή ταυτότητας, οικονομική απώλεια, παράνομη άρση της ψευδωνυμοποίησης, βλάβη της φήμης και απώλεια της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα που προστατεύονται από επαγγελματικό απόρρητο κλπ. (βλ. και αιτ. σκέψεις 85 και 75). 4. Kατ’ ακολουθία των ανωτέρω, στην εξεταζόμενη καταγγελία, λαμβάνοντας υπόψη τα διαλαμβανόμενα στις αμέσως προηγούμενες σκέψεις της παρούσας, το σύνολο των στοιχείων του φακέλου της υπόθεσης, την ακροαματική διαδικασία και τα υποβληθέντα υπομνήματα η Αρχή κρίνει ότι η καταγγελλόμενη επεξεργασία της Βλέπε σελίδα 7, Κατευθυντήριες γραμμές της ομάδας του άρθρου 29 σχετικά με τη γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα δυνάμει του κανονισμού 2016/679 WP250rev.01 από 03.10.2017, όπως τελικώς αναθεωρήθηκαν και εκδόθηκαν στις 6 Φεβρουαρίου 2018, διαθέσιμες στον δικτυακό τόπο http://ec.europa.eu/justice/dataprotection/index_el.htm. 1 8 αποστολής των εκκαθαριστικών σημειωμάτων σε φάκελο με παράθυρο/θυρίδα απ’ όπου ήταν ορατά προσωπικά δεδομένα του καταγγέλλοντος, παραπάνω από τα αναγκαία για την αποστολή των φακέλων και την ταυτοποίηση του παραλήπτη, συνιστά, βάσει των αρχών ασφάλειας πληροφοριών σύμφωνα με τη Γνωμοδότηση 3/2014 του άρθρου 29 σχετικά με τη γνωστοποίηση παραβίασης προσωπικών δεδομένων 2 και τις Κατευθυντήριες γραμμές του άρθρου 29 σχετικά με τη γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα δυνάμει του κανονισμού 2016/679 3, παραβίαση εμπιστευτικότητας (απορρήτου) 4, ήτοι ενδεχόμενη μη εξουσιοδοτημένη αποκάλυψη και λήψη γνώσης από μη εξουσιοδοτημένα πρόσωπα κατά παράβαση της διάταξης του άρθρου 5 παρ. 1, περ. στ΄ ΓΚΠΔ περί υποχρεώσεως τηρήσεως της αρχής της ακεραιότητας και εμπιστευτικότητας των δεδομένων αλλά και τις επιταγές του άρθρου 32 ΓΚΠΔ, αφού η ΑΑΔΕ όφειλε, σε εκπλήρωση της υποχρέωσης λήψης κατάλληλων τεχνικών και οργανωτικών μέτρων, στο πλαίσιο μιας ενδεδειγμένης πολιτικής ασφαλείας από την ΑΑΔΕ ως υπεύθυνου επεξεργασίας, να διασφαλίζει την τήρηση του απορρήτου/εμπιστευτικότητας τόσο κατά την εκτύπωση και την εμφακέλλωση των εκκαθαριστικών σημειωμάτων, όσο και κατά την αποστολή τους στους φορολογούμενους. Επιπλέον, η αναφορά του Αυτοτελούς Τμήματος Υποστήριξης Υπευθύνου Προστασίας Δεδομένων της Α.Α.Δ.Ε στην υποχρέωση των χρηστών των ταχυδρομικών υπηρεσιών για τη διαφύλαξη του απορρήτου των επιστολών, σύμφωνα με το άρθρο 32 του Κτιριοδομικού Κανονισμού (Υ.Α. 3046/304/1989 του Υπουργείου Περιβάλλοντος, Χωροταξίας και Δημοσίων Έργων) να λαμβάνουν μέτρα αυτοπροστασίας εγκαθιστώντας γραμματοκιβώτιο με κλειδαριά, μέσα στο οποίο ο διανομέας οφείλει να τοποθετεί την απλή αλληλογραφία, καθώς στις διατάξεις περί φορολογικού απορρήτου (αρ. 26 του Ν. 4174/2013) ή του καθήκοντος εχεμύθειας Γνωμοδότηση 03/2014 σχετικά με τη γνωστοποίηση παραβίασης προσωπικών δεδομένων http://ec.europa.eu/justice/article-29/documentation/opinionrecommendation/files/2014/wp213_el.pdf, σελ. 5 3 WP250rev.01 από 03.10.2017, όπως τελικώς αναθεωρήθηκαν και εκδόθηκαν στις 6 Φεβρουαρίου 2018, διαθέσιμες στον δικτυακό τόπο http://ec.europa.eu/justice/data-protection/index_el.htm 4 Βλέπε συναφώς την απόφαση 47/2009 της Αρχής, με την οποία απηύθυνε προειδοποίηση στο ΙΚΑ, διότι στους φακέλους αποστολής των ενημερωτικών σημειωμάτων των συντάξεων υπήρχε ένα διαφανές παράθυρο από όπου γίνονταν ορατά προσωπικά δεδομένα στο ενημερωτικό σημείωμα, καθώς και την απόφαση 14/2022 της Αρχής. 2 9 των υπαλλήλων της ΑΑΔΕ στο πλαίσιο άσκησης των καθηκόντων τους (αρ. 26 Ν. 3528/2007), ουδεμία επιρροή ασκεί στις αυτοτελείς υποχρεώσεις του υπευθύνου επεξεργασίας σχετικά με την ασφάλεια της επεξεργασίας, όπως προσδιορίζονται ρητά στα άρθρα 5
(1)(στ), 24 και 32 ΓΚΠΔ. Συγκεκριμένα, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό μέγεθος του οποίου συνιστά η αρχή της λογοδοσίας, στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, να εφαρμόζει και εν γένει να λαμβάνει τα αναγκαία μέτρα και τις πολιτικές προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει από μόνος του και ανά πάσα στιγμή τη συμμόρφωση με τις αρχές του άρθρου 5 παρ. 1 του ΓΚΠΔ. Έτσι, συνιστά υποχρέωση του υπευθύνου επεξεργασίας αφενός να λαμβάνει από μόνος του τα αναγκαία μέτρα προκειμένου να συμμορφώνεται προς τις απαιτήσεις του ΓΚΠΔ και αφετέρου, να αποδεικνύει ανά πάσα στιγμή την ανωτέρω συμμόρφωση του. Εξάλλου, υπό τον ΓΚΠΔ η ασφάλεια ανάγεται σε μια από τις βασικές αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα, ενώ η γενικότερη ευθύνη του για τον προσδιορισμό των κατάλληλων τεχνικών και οργανωτικών μέτρων προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει τη νομιμότητα μιας επεξεργασίας πηγάζει και από το άρθρο 24 ΓΚΠΔ. Συνεπώς, οι εν λόγω υποχρεώσεις όπως περιγράφονται ανωτέρω αποτελούν αυτοτελείς υποχρεώσεις του υπευθύνου επεξεργασίας που δεν παύουν να ισχύουν εξαιτίας της τυχόν πρόβλεψης άλλων υποχρεώσεων διαφορετικών τομέων του δικαίου όπως ο επικαλούμενος Κτιριοδομικός Κανονισμός ή οι διατάξεις περί του φορολογικού απορρήτου ή του καθήκοντος εχεμύθειας των υπαλλήλων της Α.Α.Δ.Ε στο πλαίσιο άσκησης των καθηκόντων τους. 5. Η Αρχή, σε σχέση με την διαπιστωθείσα παραβίαση της αρχής του άρθρου 5 παρ. 1 στοιχ. στ’ του ΓΚΠΔ σε συνδυασμό με το άρθρο 32 ΓΚΠΔ για την καταγγελλόμενη επεξεργασία κρίνει ότι συντρέχει περίπτωση να ασκήσει τις εκ του άρθρου 58 παρ. 2 στοιχείο θ’ και 83 του ΓΚΠΔ διορθωτικές εξουσίες (επιβολή προστίμου), όσον αφορά τις ανωτέρω παραβάσεις, και ότι πρέπει με βάση τις περιστάσεις που διαπιστώθηκαν, και να επιβληθεί αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ σύμφωνα και 10 με τις Κατευθυντήριες Γραμμές για την «εφαρμογή και τον καθορισμό των διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679 της ομάδας εργασίας του άρθρου 29». Κατά την αξιολόγηση των δεδομένων, προκειμένου να επιλεγεί το πρόσφορο διορθωτικό μέτρο, η Αρχή λαμβάνει υπόψη, το γεγονός ότι η καταγγελλόμενη παραβίασε την προβλεπόμενη από το άρθρο 5 παρ. 1 στοιχείο στ’ του ΓΚΠΔ αρχή της εμπιστευτικότητας, ήτοι παραβίασε θεμελιώδη αρχή του ΓΚΠΔ για την προστασία των δεδομένων προσωπικού χαρακτήρα (άρθρο 83 παρ. 5 στοιχείο α΄ του ΓΚΠΔ), και επιπλέον τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ που έχουν εφαρμογή στην παρούσα υπόθεση, και ειδικότερα:
- i)
- ii)iii)
- iv)
- v)Το γεγονός ότι η συγκεκριμένη παραβίαση ασφάλειας δεν έλαβε ευρύτερο χαρακτήρα (άρθρο 83 παρ. 2 στοιχ. α’ ΓΚΠΔ). Το γεγονός ότι η Α.Α.Δ.Ε αποδέχεται ότι η συγκεκριμένη παραβίαση οφειλόταν σε ανθρώπινο λάθος (άρθρο 83 παρ. 2 στοιχ. β’ ΓΚΠΔ). Το γεγονός ότι η Α.Α.Δ.Ε δεν μπορούσε να προβεί σε ενέργειες για να μετριάσει τη ζημία που υπέστη το υποκείμενο των δεδομένων (άρθρο 83 παρ. 2 στοιχ. γ’ του ΓΚΠΔ). Το γεγονός ότι η Α.Α.Δ.Ε οφείλει να λαμβάνει τεχνικά και οργανωτικά μέτρα δυνάμει των άρθρων 25 και 32 ΓΚΠΔ για την διασφάλιση της εμπιστευτικότητας σε όλα τα στάδια της επεξεργασίας (άρθρο 83 παρ. 2 στοιχ. δ’ του ΓΚΠΔ). Το γεγονός ότι από τη διαπιστωθείσα ως άνω παράβαση δεν επηρεάστηκε ειδική κατηγορία δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος (άρθρο 83 παρ. 2 στοιχ. ζ του ΓΚΠΔ). 6. Επειδή, το άρθρο 33 παρ. 1 ΓΚΠΔ προβλέπει: «Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας γνωστοποιεί αμελλητί και, αν είναι δυνατό, εντός 72 ωρών από τη στιγμή που αποκτά γνώση του γεγονότος την παραβίαση των δεδομένων προσωπικού χαρακτήρα στην εποπτική αρχή που είναι αρμόδια σύμφωνα με το άρθρο 55, εκτός εάν η παραβίαση δεδομένων προσωπικού χαρακτήρα δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Όταν η γνωστοποίηση στην εποπτική αρχή δεν πραγματοποιείται εντός 72 ωρών, συνοδεύεται από αιτιολόγηση για την 11 καθυστέρηση». Σύμφωνα δε με τις Κατευθυντήριες Γραμμές 1/2021 σχετικά με παραδείγματα γνωστοποίησης παραβιάσεων δεδομένων προσωπικού χαρακτήρα 5 «ο ρόλος του ανθρωπίνου σφάλματος στις παραβιάσεις δεδομένων προσωπικού χαρακτήρα πρέπει να τονιστεί, καθώς η παρουσία του δεν είναι ασυνήθιστη». 7. Επειδή εν προκειμένω, από το σύνολο των στοιχείων του φακέλου της υπόθεσης προκύπτει ότι η καταγγελλόμενη προέβη σε γνωστοποίηση παραβίασης δεδομένων (υποβάλλοντας την με αριθμό πρωτοκόλλου της Αρχής Γ/ΕΙΣ/874/04-022021 φόρμα γνωστοποίησης παραβίασης δεδομένων προσωπικού χαρακτήρα και εν συνέχεια τη συμπληρωματική αυτής με αριθμό πρωτοκόλλου της Αρχής Γ/ΕΙΣ/2163/30-03-2021). Όπως δε αναφέρει η ΑΑΔΕ στην φόρμα υποβολής γνωστοποίησης περιστατικού παραβίασης προσωπικών δεδομένων αλλά και στο υπ’αριθμ. πρωτοκόλλου: … (και με αριθμό πρωτοκόλλου ΑΠΔ Γ/ΕΙΣ/7521/27.05.2022) υπόμνημά, το εν λόγω περιστατικό οφείλεται σε ανθρώπινο λάθος. 8. Επειδή το άρθρο 34 ΓΚΠΔ προβλέπει: «1. Όταν η παραβίαση δεδομένων προσωπικού χαρακτήρα ενδέχεται να θέσει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας ανακοινώνει αμελλητί την παραβίαση των δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων. 2. Στην ανακοίνωση στο υποκείμενο των δεδομένων η οποία αναφέρεται στην παράγραφο 1 του παρόντος άρθρου περιγράφεται με σαφήνεια η φύση της παραβίασης των δεδομένων προσωπικού χαρακτήρα και περιέχονται τουλάχιστον οι πληροφορίες και τα μέτρα που αναφέρονται στο άρθρο 33 παράγραφος 3 στοιχεία β), γ) και δ). 3. Η ανακοίνωση στο υποκείμενο των δεδομένων η οποία αναφέρεται στην παράγραφο 1 δεν απαιτείται, εάν πληρείται οποιαδήποτε από τις ακόλουθες προϋποθέσεις: α) ο υπεύθυνος επεξεργασίας εφάρμοσε κατάλληλα τεχνικά και οργανωτικά μέτρα προστασίας, και τα μέτρα αυτά εφαρμόστηκαν στα επηρεαζόμενα από την παραβίαση δεδομένα προσωπικού χαρακτήρα, κυρίως μέτρα που καθιστούν μη κατανοητά τα δεδομένα προσωπικού χαρακτήρα σε όσους δεν διαθέτουν άδεια πρόσβασης σε αυτά, όπως η κρυπτογράφηση, β) ο υπεύθυνος επεξεργασίας έλαβε στη συνέχεια μέτρα που Βλ. Κατευθυντήριες Γραμμές 1/2021 σχετικά με παραδείγματα γνωστοποίησης παραβιάσεων δεδομένων προσωπικού χαρακτήρα, όπως εκδόθηκαν στις 14 Δεκεμβρίου 2021, σελίδα 19. 5 12 διασφαλίζουν ότι δεν είναι πλέον πιθανό να προκύψει ο αναφερόμενος στην παράγραφο 1 υψηλός κίνδυνος για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων, γ) προϋποθέτει δυσανάλογες προσπάθειες. Στην περίπτωση αυτή, γίνεται αντ' αυτής δημόσια ανακοίνωση ή υπάρχει παρόμοιο μέτρο με το οποίο τα υποκείμενα των δεδομένων ενημερώνονται με εξίσου αποτελεσματικό τρόπο (…)». Επιπλέον η ΟΕ 29 στις Κατευθυντήριες Γραμμές σχετικά με τη γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα δυνάμει του κανονισμού 2016/679, λαμβάνοντας υπόψη και την αιτιολογική σκέψη 86 του ΓΚΠΔ υπογραμμίζει, μεταξύ άλλων, (σελ. 23-24) ότι: «Οι υπεύθυνοι επεξεργασίας θα πρέπει να θυμούνται ότι η γνωστοποίηση στην εποπτική αρχή είναι υποχρεωτική, εκτός εάν είναι απίθανο να δημιουργηθεί κίνδυνος για τα δικαιώματα και τις ελευθερίες των προσώπων ως αποτέλεσμα της παραβίασης. Επιπλέον, όταν ενδέχεται να τεθούν σε υψηλό κίνδυνο τα δικαιώματα και οι ελευθερίες των προσώπων ως αποτέλεσμα μιας παραβίασης, τα πρόσωπα πρέπει επίσης να ενημερώνονται. Το κατώφλι για την ανακοίνωση μιας παραβίασης στα πρόσωπα είναι, συνεπώς, υψηλότερο απ’ ό,τι για τη γνωστοποίηση στις εποπτικές αρχές και, συνακόλουθα, δεν θα απαιτείται για όλες τις παραβιάσεις η ανακοίνωση στα πρόσωπα, γεγονός που τα προστατεύει από περιττή κόπωση λόγω φόρτου γνωστοποιήσεων. Ο ΓΚΠΔ αναφέρει ότι η ανακοίνωση μιας παραβίασης στα πρόσωπα θα πρέπει να γίνεται «αμελλητί», δηλαδή το συντομότερο δυνατόν. Ο κύριος στόχος της ανακοίνωσης στα πρόσωπα είναι η παροχή συγκεκριμένων πληροφοριών σχετικά με τις ενέργειες στις οποίες θα πρέπει να προβούν τα ίδια για να προστατευτούν. Όπως αναφέρεται παραπάνω, ανάλογα με τη φύση της παραβίασης και τον κίνδυνο που τίθεται, η έγκαιρη ανακοίνωση θα βοηθήσει τα πρόσωπα να προβούν σε ενέργειες ώστε να προστατευτούν από τυχόν αρνητικές συνέπειες της παραβίασης». 9. Στην υπό κρίση περίπτωση, όπως προκύπτει από την ως άνω απάντηση του Αυτοτελούς Τμήματος Υποστήριξης Υπευθύνου Προστασίας Δεδομένων, δεν ανακοινώθηκε το περιστατικό στο υποκείμενο των δεδομένων, διότι «το ίδιο το υποκείμενο των δεδομένων ενημέρωσε την Α.Α.Δ.Ε για το εν δυνάμει περιστατικό παραβίασης των προσωπικών του δεδομένων, και συνεπώς τελούσε ήδη εν γνώσει αυτού». Η Αρχή κρίνει ότι, αν και υπήρξε κίνδυνος για τα δικαιώματα και τις ελευθερίες του καταγγέλλοντος, δεν υπήρχε υποχρέωση ανακοίνωσης της 13 παραβίασης στον καταγγέλλοντα, λαμβάνοντας υπόψη τον στόχο της ανακοίνωσης των δεδομένων, όπως αυτός αναλύεται στις Κατευθυντήριες Γραμμές σχετικά με τη γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα δυνάμει του κανονισμού 2016/679, αλλά και την αιτιολογική σκέψη 86 του ΓΚΠΔ, μεταξύ άλλων, (σελ 23-24), ο οποίος συνίσταται στην παροχή στα υποκείμενα συγκεκριμένων πληροφοριών σχετικά με τις ενέργειες στις οποίες πρέπει να προβούν τα ίδια ώστε να προστατευτούν, καθώς οι περαιτέρω ενέργειες που θα μπορούσε να προβεί το υποκείμενο των δεδομένων (το οποίο, σημειωτέον, τελούσε ήδη σε γνώση του περιστατικού και είχε ήδη εναντιωθεί στην επεξεργασία των προσωπικών του δεδομένων κατά τον προαναφερθέντα τρόπο) για να προστατευτεί από τυχόν αρνητικές συνέπειες της παραβίασης, ήταν περιορισμένες. 10. Επειδή, τέλος, το άρθρο 13 ΓΚΠΔ προβλέπει όσον αφορά το δικαίωμα ενημέρωσης του υποκειμένου των δεδομένων ότι: «1. Όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες: α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας, β) τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων, κατά περίπτωση, γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, δ) εάν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο στ), τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ή από τρίτο, ε) τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, εάν υπάρχουν, στ) κατά περίπτωση, την πρόθεση του υπευθύνου επεξεργασίας να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε τρίτη χώρα ή διεθνή οργανισμό και την ύπαρξη ή την απουσία απόφασης επάρκειας της Επιτροπής ή, όταν πρόκειται για τις διαβιβάσεις που αναφέρονται στο άρθρο 46 ή 47 ή στο άρθρο 49 παράγραφος 1 δεύτερο εδάφιο, αναφορά στις ενδεδειγμένες ή κατάλληλες εγγυήσεις και τα μέσα για να αποκτηθεί αντίγραφό τους ή στο πού διατέθηκαν. 2. Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο 14 υποκείμενο των δεδομένων τις εξής επιπλέον πληροφορίες που είναι αναγκαίες για την εξασφάλιση θεμιτής και διαφανούς επεξεργασίας: α) το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, β) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για πρόσβαση και διόρθωση ή διαγραφή των δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας που αφορούν το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην επεξεργασία, καθώς και δικαιώματος στη φορητότητα των δεδομένων, γ) όταν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο α) ή στο άρθρο 9 παράγραφος 2 στοιχείο α), την ύπαρξη του δικαιώματος να ανακαλέσει τη συγκατάθεσή του οποτεδήποτε, χωρίς να θιγεί η νομιμότητα της επεξεργασίας που βασίστηκε στη συγκατάθεση πριν από την ανάκλησή της, δ) το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, ε) κατά πόσο η παροχή δεδομένων προσωπικού χαρακτήρα αποτελεί νομική ή συμβατική υποχρέωση ή απαίτηση για τη σύναψη σύμβασης, καθώς και κατά πόσο το υποκείμενο των δεδομένων υποχρεούται να παρέχει τα δεδομένα προσωπικού χαρακτήρα και ποιες ενδεχόμενες συνέπειες θα είχε η μη παροχή των δεδομένων αυτών, στ) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που αναφέρεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων.». 11. Κατ’ ακολουθία των ανωτέρω, λαμβάνοντας υπόψη τα διαλαμβανόμενα στις αμέσως προηγούμενες σκέψεις της παρούσας και τα στοιχεία του φακέλου της υπόθεσης, τις Κατευθυντήριες Γραμμές 1/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων αναφορικά με τα δικαιώματα των υποκειμένων των δεδομένων – δικαίωμα πρόσβασης6 αλλά και τις Κατευθυντήριες Γραμμές της ομάδας του άρθρου 29 σχετικά με τη διαφάνεια βάσει του κανονισμού 2016/679 7, η Βλ. Guidelines 1/2022 on data subject rights - Right of access του ΕΣΠΔ από 18.01.2022 υπό δημόσια διαβούλευση, σκ. 20 και σκ. 110 διαθέσιμο στην ιστοσελίδα https://edpb.europa.eu/our-worktools/documents/public-consultations/2022/guidelines-012022-data-subject-rights-right_en 7 Κατευθυντήριες Γραμμές της ομάδας του άρθρου 29 σχετικά με τη διαφάνεια βάσει του κανονισμού 2016/679, WP 260 rev. 01, σκέψη 29. 6 15 Αρχή κρίνει, εν προκειμένω, ότι η ΑΑΔΕ ως υπεύθυνος επεξεργασίας, μέσω της απάντησης που παρέσχε με το υπ’ αριθμ. πρωτ. … έγγραφο του Αυτοτελούς Τμήματος Υποστήριξης Προστασίας Δεδομένων στον καταγγέλλοντα, ικανοποίησε το δικαίωμα ενημέρωσης που άσκησε ο καταγγέλλων με το από … αίτημά του, ως προς τις πληροφορίες που ζήτησε και μάλιστα εμπρόθεσμα, ήτοι προ της παρέλευσης της προθεσμίας του ενός μηνός, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 12 παρ. 3 του ΓΚΠΔ, δεδομένου ότι απάντησε σε όσα στοιχεία απαιτούνταν σε εκπλήρωση της απαίτησης διαφανούς ενημέρωσης προς τον καταγγέλλοντα, κάνοντας μάλιστα αναφορά στην ύπαρξη Συμφωνίας – Πλαισίου (υπ’αριθμ. 5/13-032018) για την παροχή των ταχυδρομικών υπηρεσιών στο Ελληνικό Δημόσιο (υπουργεία και αποκεντρωμένες διοικήσεις) με αναθέτουσα Αρχή τη Γενική Δ/νση Δημοσίων Συμβάσεων της Γενικής Γραμματείας Εμπορίου και Προστασίας Καταναλωτή του Υπουργείου Οικονομίας και Ανάπτυξης και ανάδοχο τα Ελληνικά Ταχυδρομεία Α.Ε. Η Αρχή, περαιτέρω, κρίνει ότι οι πρόσθετες πληροφορίες που αιτήθηκε ο καταγγέλλων (αναφορικά με τον ρόλο των ΕΛΤΑ στην εν λόγω επεξεργασία των προσωπικών του δεδομένων) δεν περιλαμβάνονται στις πληροφορίες που οφείλει, κατ’ άρθρο 13 ΓΚΠΔ, ο υπεύθυνος επεξεργασίας να παράσχει στο υποκείμενο των δεδομένων, λαμβανομένου προσέτι υπόψη ότι η ευθύνη για την καταγγελλόμενη παραβίαση της εμπιστευτικότητας των οικονομικών/φορολογικών του δεδομένων με την αποστολή του επίμαχου εκκαθαριστικού σημειώματος βαρύνει την Α.Α.Δ.Ε. ως υπεύθυνο επεξεργασίας κατά τα ανωτέρω διαλαμβανόμενα. Βάσει των ανωτέρω, η Αρχή κρίνει ομόφωνα ότι πρέπει να επιβληθεί στην καταγγελλόμενη ως υπεύθυνο επεξεργασίας, η αναφερόμενη στο διατακτικό διοικητική κύρωση, η οποία κρίνεται ανάλογη με τη βαρύτητα των παραβάσεων. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ Επιβάλλει στην Α.Α.Δ.Ε. το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στη συγκεκριμένη περίπτωση, σύμφωνα με τις 16 ειδικότερες περιστάσεις αυτής, ύψους οκτώ χιλιάδων (8.000) ευρώ για τις ως άνω διαπιστωθείσες παραβάσεις των άρθρων 5 παρ. 1 στοιχ. στ΄ και 32 ΓΚΠΔ, σύμφωνα με τα άρθρα 58 παρ. 2 στοιχ. θ’ και 83 παρ. 5 στοιχ. α΄ΓΚΠΔ. Ο Αναπληρωτής Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 17