← Ελλάδα

Εξέταση καταγγελίας κατά της ΑΑΔΕ για παραβίαση απορρήτου

Αθήνα, 06-04-2023 Αριθ. Πρωτ. 851 Α Π Ο Φ Α Σ Η 16/2023 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της μέσω τηλεδιάσκεψης την Τετάρτη 15 Μαρτίου 2023 και ώρα 10.00 π.μ., προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Αναπληρωτής Πρόεδρος της Αρχής, Γεώργιος Μπατζαλέξης, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου και τα αναπληρωματικά µέλη της Αρχής, Μαρία Ψάλλα και Δημοσθένης Βουγιούκας, σε αντικατάσταση των τακτικών µελών Γρηγόριου Τσόλια και Κωνσταντίνου Λαμπρινουδάκη, οι οποίοι αν και εκλήθησαν νομίμως δεν παρέστησαν λόγω κωλύματος, καθώς και το αναπληρωματικό μέλος της Αρχής, Νικόλαος Λίβος, ως εισηγητής χωρίς δικαίωμα ψήφου. Παρούσες χωρίς δικαίωμα ψήφου ήταν η νομική ελέγκτρια – δικηγόρος Αναστασία Τριτάκη, ως βοηθός εισηγητή, και η υπάλληλος του τμήματος διοικητικών υποθέσεων Ειρήνη Παπαγεωργοπούλου, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα κατωτέρω: Με την υπ’ αριθ. πρωτ. Αρχής Γ/ΕΙΣ/5888/18-09-2021 καταγγελία προς την Αρχή κατά της Ανεξάρτητης Αρχής Δημοσίων Εσόδων (Α.Α.Δ.Ε.) - Δ.Ο.Υ. Χ, ο Α κατήγγειλε ενώπιον της Αρχής ότι έλαβε ειδοποίηση πληρωμής φόρου από τη Δ.Ο.Υ. Χ με απλή επιστολή στη διεύθυνση κατοικίας του. Σύμφωνα με τους ισχυρισμούς του καταγγέλλοντος, η αποστολή της ειδοποίηση πληρωμής φόρου με επιστολή έγινε άνευ νομίμου λόγου, καθώς ο καταγγέλλων είχε προβεί σε αυθημερόν εξόφληση της 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr καταλογιζόμενης σε αυτόν οφειλής κατά την ημέρα της έκδοσης εκκαθαριστικού σημειώματος, ενώ περαιτέρω, σύμφωνα με τον καταγγέλλοντα, η αποστολή της ειδοποίησης με απλή επιστολή έλαβε χώρα χωρίς καμία πρότερη ενημέρωσή του. Ο καταγγέλλων διαμαρτύρεται καθώς στη συνέχεια ο φάκελος αλληλογραφίας παραβιάστηκε στην πολυκατοικία του, καθιστώντας γνωστά στοιχεία του εισοδήματός του σε τρίτους. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, με το υπ’ αριθ. πρωτ. Γ/ΕΞΕ/2140/27-09-2021 έγγραφό της, κάλεσε την Α.Α.Δ.Ε., καθώς και τη Δ.Ο.Υ. Χ, να εκθέσουν τις απόψεις τους επί αυτής. Με το υπ’ αριθ. πρωτ. … (υπ’ αριθ. πρωτ. Αρχής Γ/ΕΙΣ/8236/23-06-2022, υπό 4) σχετ.) έγγραφο, κοινοποιηθέν προς το Αυτοτελές Τμήμα Υποστήριξης Υπευθύνου Προστασίας Δεδομένων, η Γενική Διεύθυνση Φορολογικής Διοίκησης της Α.Α.Δ.Ε. ενημέρωσε την Αρχή πως η κοινοποίηση των πράξεων που εκδίδει η Φορολογική Διοίκηση προς φυσικά πρόσωπα λαμβάνει χώρα συμφώνως προς τα οριζόμενα του άρθρου 5 παρ. 2 του Ν. 4174/2013 (Κώδικα Φορολογικής Διαδικασίας), α) ηλεκτρονικά σύμφωνα με τις διατάξεις του ν. 3979/2011 ή στο λογαριασμό του εν λόγω προσώπου ή του νομίμου αντιπροσώπου του ή του φορολογικού εκπροσώπου του στο πληροφοριακό σύστημα της Φορολογικής Διοίκησης, την οποία ακολουθεί ηλεκτρονική ειδοποίηση στη δηλωθείσα διεύθυνση ηλεκτρονικού ταχυδρομείου του, β) με συστημένη επιστολή στην τελευταία δηλωθείσα ταχυδρομική διεύθυνση κατοικίας ή επαγγελματικής εγκατάστασης του εν λόγω προσώπου, ή γ) με επίδοση στο εν λόγω πρόσωπο, κατά τις διατάξεις του Κώδικα Διοικητικής Δικονομίας, μόνο εφόσον δεν είναι δυνατή η επίδοση με άλλον τρόπο. Ειδικότερα όμως, στην παρ. 4 του ίδιου άρθρου ορίζεται ότι τα έγγραφα που έχουν πληροφοριακό χαρακτήρα ή για τις πράξεις διοικητικού προσδιορισμού φόρου (του άρθρου 32 του ν 4174/2013), μπορούν να κοινοποιούνται με απλή επιστολή, κατόπιν απόφασης Γενικού Γραμματέα. Περαιτέρω, η Γενική Διεύθυνση Φορολογικής Διοίκησης της Α.Α.Δ.Ε. επεσήμανε πως οι σχετικές με την έκδοση και κοινοποίηση των πράξεων διοικητικού ή διορθωτικού προσδιορισμού φόρου εισοδήματος (άρθρα 32 και 34 του ν. 4174/2013) κανονιστικές 2 διατάξεις, περιλαμβάνονται στις αποφάσεις του Διοικητή της Α.Α.Δ.Ε. που εκδίδονται ετησίως και ορίζουν τον τύπο και περιεχόμενο της δήλωσης φορολογίας εισοδήματος φυσικών προσώπων εκάστου φορολογικού έτους. Εν προκειμένω, η … απόφαση του Διοικητή Α.Α.Δ.Ε. σχετικά με τον τύπο και το περιεχόμενο της δήλωσης φορολογίας εισοδήματος φυσικών προσώπων φορολογικού έτους 2020, προβλέπει ότι στις περιπτώσεις που οι πράξεις προσδιορισμού φόρου εκδίδονται από την αρμόδια Δ.Ο.Υ., αυτές κοινοποιούνται στους υποβάλλοντες την αντίστοιχη δήλωση σύμφωνα με τις διατάξεις της περ. α' της παρ. 2 του άρθρου 5 του Κώδικα Φορολογικής Διαδικασίας (με ηλεκτρονική κοινοποίηση). Επιπλέον με το ως άνω έγγραφο τέθηκε υπόψη της Αρχής ότι η Γενική Διεύθυνση Φορολογικής Διοίκησης της Α.Α.Δ.Ε. απέστειλε την 21/2/2021 προς όλες τις Δ.Ο.Υ. της επικράτειας οδηγίες σχετικές με την κοινοποίηση των εγγράφων στους φορολογουμένους, ώστε αυτές να γίνονται μέσω ηλεκτρονικής κοινοποίησης (ανάρτηση στην προσωποποιημένη πληροφόρηση με ταυτόχρονη αποστολή ηλεκτρονικού μηνύματος), συστημένης επιστολής, ή με επίδοση (όχι με απλή επιστολή). Περαιτέρω, με το υπ’ αριθ. πρωτ. … (υπ’ αριθ. πρωτ. Αρχής Γ/ΕΙΣ/8428/01-072022) έγγραφο, η Δ.Ο.Υ. Χ έθεσε υπόψη της Αρχής τα εξής: ότι κατόπιν της … δήλωσης φορολογίας εισοδήματος φορολογικού έτους, η Δ.Ο.Υ. Χ κάλεσε τον καταγγέλλοντα να προσκομίσει τα απαραίτητα δικαιολογητικά προκειμένου να ολοκληρωθεί η εκκαθάριση της δήλωσης. Ο καταγγέλλων προσκόμισε τα δικαιολογητικά την 22/06/2021, και κατόπιν του σχετικού ελέγχου, εκδόθηκε η πράξη διοικητικού προσδιορισμού φόρου με αριθμό ειδοποίησης …, η οποία και εστάλη στον καταγγέλλοντα με απλή επιστολή αμέσως μετά την έκδοσή της. Προς το σκοπό της συμπλήρωσης του σχετικού φακέλου, η Αρχή απέστειλε προς τη Γενική Διεύθυνση Φορολογικής Διοίκησης της Α.Α.Δ.Ε. το υπ’ αριθ. πρωτ. Αρχής Γ/ΕΞΕ/2265/13-09-2022 έγγραφο με το οποίο ζήτησε την προσκόμιση των οδηγιών, τις οποίες σύμφωνα με τα διαλαμβανόμενα στο υπ’ αριθ. πρωτ. … (υπ’ αριθ. πρωτ. Αρχής Γ/ΕΙΣ/8236/23-06-2022), απέστειλε η Γενική Διεύθυνση Φορολογικής Διοίκησης προς όλες τις Δ.Ο.Υ. της επικράτειας την 21/2/2021 αναφορικά με τον τρόπο κοινοποίησης των εγγράφων στους φορολογουμένους. Με το υπ’ αριθ. πρωτ. … (υπ’ αριθ. πρωτ. Αρχής 3 Γ/ΕΙΣ/10558/29-09-2022) έγγραφό της προς της Αρχή, η Γενική Διεύθυνση Φορολογικής Διοίκησης κοινοποίησε προς την Αρχή το από 24/2/2021 μήνυμα ηλεκτρονικής αλληλογραφίας προς τις Φορολογικές Περιφέρειες της Α.Α.Δ.Ε., με το οποίο μεταξύ άλλων, αναφέρθηκε στο υπ’ αριθ. πρωτ. ΑΤΥΥΠΔ 0000119 ΕΞ 2020/21.01.2020 έγγραφο του Αυτοτελούς Τμήματος Υποστήριξης Υπευθύνου Προστασίας Δεδομένων με το οποίο επισημάνθηκε στις υπηρεσίες της Α.Α.Δ.Ε. ο κίνδυνος από τη χρήση φακέλων με μεγάλη θυρίδα/παράθυρο, και παράλληλα ζήτησε από τις Φορολογικές Περιφέρειες να παράσχουν οδηγίες προς τις Δ.Ο.Υ. της αρμοδιότητάς τους αναφορικά με την κοινοποίηση εγγράφων στους φορολογούμενους, υπογραμμίζοντας ως προτιμότερη λύση την ηλεκτρονική κοινοποίηση των εγγράφων, ενώ σε περίπτωση αποστολής εγγράφων με επιστολή, να χρησιμοποιούνται φάκελοι χωρίς θυρίδα/παράθυρο. Περαιτέρω, με το ως άνω έγγραφο, η Γενική Διεύθυνση Φορολογικής Διοίκησης κοινοποίησε προς την Αρχή το προγενέστερο, από 16/12/2020 μήνυμα ηλεκτρονικής αλληλογραφίας προς τις Φορολογικές Περιφέρειες της Α.Α.Δ.Ε., με το οποίο ενημέρωνε για τη Δ.ΟΡΓ. Α. 1133075/ 13.11.2020 (ΦΕΚ Β’ 5173/ 23-11-2020) απόφαση του Διοικητή της ΑΑΔΕ, σύμφωνα με την οποία ο Προϊστάμενος Δ.Ο.Υ εξουσιοδοτείται να υπογράφει ηλεκτρονικά τα πιστοποιητικά τις βεβαιώσεις και τα λοιπά πιστοποιητικά και λοιπά έγγραφα που εκδίδει η Φορολογική Διοίκηση προκειμένου αυτά να αναρτηθούν στην προσωπική ηλεκτρονική θυρίδα του φορολογουμένου MyTAXISNet μέσω της εφαρμογής της ηλεκτρονικής κοινοποίησης, ζητώντας επίσης την παροχή σχετικών οδηγιών από τις Φορολογικές Περιφέρειες προς τις Δ.Ο.Υ. της αρμοδιότητάς τους. Κατόπιν της εξέτασης των στοιχείων του φακέλου, η Αρχή απέστειλε την υπ’ αριθ. πρωτ. Αρχής Γ/ΕΞ/ 3112/05-12-2022 κλήση προς ακρόαση προς την καταγγελλόμενη Α.Α.Δ.Ε., το Αυτοτελές Τμήμα Υποστήριξης Υπευθύνου Προστασίας Δεδομένων Α.Α.Δ.Ε. και τη Δ.Ο.Υ. Χ, καθώς και την υπ’ αριθ. πρωτ. Αρχής Γ/ΕΞ/ 3110/05-12-2022 στον καταγγέλλοντα, προκειμένου να παραστούν, μέσω τηλεδιάσκεψης, σε ακρόαση ενώπιον του Τμήματος της Αρχής την Τετάρτη 14 Δεκεμβρίου 2022 και ώρα 10.00 π.μ. Στην εν λόγω συνεδρίαση, η οποία πραγματοποιήθηκε μέσω τηλεδιάσκεψης, παρέστη ο καταγγέλλων Α, ενώ εκ μέρους δε της καταγγελλομένης παρέστησαν οι: α) Β, υπάλληλος 4 του Αυτοτελούς Τμήματος Υποστήριξης της Γενικής Διεύθυνσης Φορολογικής Διοίκησης, β) Γ, Αναπληρώτρια Προϊσταμένη Δ.Ο.Υ Χ, γ) Δ, Υπάλληλος Τμήματος Συμμόρφωσης και σχέσεων με τους φορολογούμενους της Δ.Ο.Υ Χ και δ) Ε, Υπεύθυνη Προστασίας Δεδομένων Α.Α.Δ.Ε.. Αμφότερα τα μέρη, αφού ανέπτυξαν προφορικά τις απόψεις τους, έλαβαν κατά τη συνεδρίαση αυτή προθεσμία προσκομίσεως έγγραφων υπομνημάτων προς περαιτέρω υποστήριξη των ισχυρισμών τους. Κατόπιν αυτών, το Γραφείο του Διοικητή της Α.Α.Δ.Ε. υπέβαλε εμπροθέσμως την 09/01/2023 το υπ’ αριθ. πρωτ. … (υπ’ αριθ. πρωτ. Αρχής Γ/ΕΙΣ/99/09-01-2023) υπόμνημα, ενώ ο καταγγέλλων δεν προσκόμισε υπόμνημα. Κατά την ανωτέρω ακρόαση της 14-12-2022, αλλά και με το υπ’ αριθ. πρωτ. … (υπ’ αριθ. πρωτ. Αρχής Γ/ΕΙΣ/99/09-01-2023) κατόπιν της ακροάσεως υπόμνημα, η καταγγελλόμενη, υποστήριξε επιπλέον ότι α) η διασφάλιση του απορρήτου των επικοινωνιών πρέπει να αποτελεί μέλημα και ευθύνη όχι μόνο των παρόχων ταχυδρομικών υπηρεσιών αλλά και των χρηστών οι οποίοι, μεταξύ άλλων, οφείλουν να έχουν εγκαταστήσει γραμματοκιβώτιο, σύμφωνα με όσα ορίζει ο Κτιριοδομικός Κανονισμός (βλ. άρθρο 32 Υ.Α. 3046/304/1989 -ΦΕΚ 59/Δ` 3.2.1989), μέσα στο οποίο ο διανομέας οφείλει να τοποθετεί την απλή αλληλογραφία∙ εν προκειμένω, ο καταγγέλλων δεν είχε λάβει τα απαραίτητα μέτρα αυτοπροστασίας (τοποθέτηση γραμματοκιβωτίου) για τη διασφάλιση αφενός του απορρήτου της ταχυδρομικής του επικοινωνίας αφετέρου δε της προστασίας των προσωπικών δεδομένων του, β) η απλή ταχυδρομική επιστολή αποτέλεσε και συνεχίζει σε μεγάλο βαθμό να αποτελεί έναν ευρέως διαδεδομένο και καθολικά αποδεκτό τρόπο επικοινωνίας (και κατ’ επέκταση διακίνησης δεδομένων προσωπικού χαρακτήρα) τόσο του Δημοσίου με τους πολίτες όσο και μεταξύ ιδιωτών, η χρήση δε του απλού ταχυδρομείου ως τρόπου κοινοποίησης εγγράφων από τη δημόσια διοίκηση προς τον πολίτη δεν αποτελεί μία πρακτική από μόνη της ικανή να θέσει σε κίνδυνο την ασφάλεια των δεδομένων των πολιτών, γ) ότι στην υπό εξέταση υπόθεση είναι προφανές ότι, αν ο καταγγέλλων είχε λάβει, ως όφειλε, τα απαραίτητα μέσα αυτοπροστασίας ή αν δεν μεσολαβούσε η παράνομη πράξη του τρίτου προσώπου, ήτοι η παραβίαση της αλληλογραφίας του καταγγέλλοντος, όπως 5 ακριβώς την περιγράφει ο ίδιος, δεν θα είχε συντρέξει κίνδυνος για την ασφάλεια των προσωπικών δεδομένων του φορολογούμενου, καθώς το εκκαθαριστικό του σημείωμα βρισκόταν μέσα σε κλειστό φάκελο, είχε σταλεί στη δηλωθείσα από τον ίδιο τον καταγγέλλοντα ταχυδρομική διεύθυνση, ενώ επί του φακέλου αναγράφονταν μόνο το ονοματεπώνυμο και η διεύθυνση του φορολογούμενου, ήτοι αποκλειστικά και μόνο τα απολύτως απαραίτητα στοιχεία για την ασφαλή παράδοση της επιστολής στον παραλήπτη της, δ) πλέον από το έτος 2021 (για δηλώσεις εισοδήματος φυσικών προσώπων από το φορολογικό έτος 2020) προβλέπεται ως αποκλειστικός τρόπος κοινοποίησης των πράξεων διοικητικού προσδιορισμού φόρου εισοδήματος (εκκαθαριστικά σημειώματα) η ηλεκτρονική αποστολή στους φορολογούμενους∙ συγκεκριμένα, η Α.1118/2021 (ΦΕΚ Β’ 2226/27-5-2021) και η Α.1034/2022 (ΦΕΚ Β’ 1098/11-3-2022) αποφάσεις του Διοικητή Α.Α.Δ.Ε. σχετικά με τον τύπο και το περιεχόμενο της δήλωσης φορολογίας εισοδήματος φυσικών προσώπων φορολογικών ετών 2020 και 2021 αντίστοιχα, προβλέπουν ότι στις περιπτώσεις που οι πράξεις προσδιορισμού φόρου εκδίδονται από την αρμόδια Δ.Ο.Υ. (και όχι αυτόματα από το σύστημα), αυτές κοινοποιούνται στους υποβάλλοντες την αντίστοιχη δήλωση, σύμφωνα με τις διατάξεις της περ. α' της παρ. 2 του άρθρου 5 του Κώδικα Φορολογικής Διαδικασίας (ηλεκτρονική κοινοποίηση), αξίζει δε να σημειωθεί ότι η Φορολογική Διοίκηση προέβη στην αλλαγή αυτή στον τρόπο αποστολής των πράξεων διοικητικού προσδιορισμού φόρου που εκδίδονται από τις Δ.Ο.Υ. (εκκαθαριστικών σημειωμάτων) κατόπιν γνώμης του Αυτοτελούς Τμήματος Υποστήριξης Υπευθύνου Προστασίας Δεδομένων με γνώμονα και την προστασία των δεδομένων προσωπικού χαρακτήρα των φορολογουμένων, ε) δεν υπήρξε πρόθεση διαβίβασης προσωπικών δεδομένων του καταγγέλλοντος σε τρίτον. Επιπλέον επισημάνθηκε η λήψη τεχνικών και οργανωτικών μέτρων συμμόρφωσης με τις διατάξεις για την προστασία δεδομένων προσωπικού χαρακτήρα, η σύσταση του Αυτοτελούς Τμήματος Υποστήριξης Υπευθύνου Προστασίας Δεδομένων, η εκπόνηση του εγχειρίδιου «Εγχειρίδιο ερωτήσεων και απαντήσεων με σκοπό την εξοικείωση των υπαλλήλων της Α.Α.Δ.Ε. με τον Γενικό Κανονισμό για την Προστασία 6 Δεδομένων» εκ μέρους του Αυτοτελούς Τμήματος Υποστήριξης Υπευθύνου Προστασίας Δεδομένων το οποίο αναρτήθηκε και κοινοποιήθηκε σε όλους τους υπαλλήλους της Α.Α.Δ.Ε., καθώς και η εκπαίδευση σε θέματα ασφάλειας και προστασίας των δεδομένων προσωπικού χαρακτήρα η οποία εντάχθηκε στην υποχρεωτική βασική εκπαίδευση των νεοεισερχομένων υπαλλήλων της Α.Α.Δ.Ε.. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και όσων προέκυψαν από την ενώπιόν της ακροαματική διαδικασία και τα υπομνήματα των μερών, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, οι οποίοι παρέστησαν χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

  1. Επειδή από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού 2016/679) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου 4624/2019 και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ.1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του Α κατά της Ανεξάρτητης Αρχής Δημοσίων Εσόδων- Δ.Ο.Υ. Χ, καθόσον η υπό 1) σχετ. καταγγελία αφορά σε μη αυτοματοποιημένη επεξεργασία (αποθήκευση και διάθεση μέσω απλής επιστολής) δεδομένων προσωπικού χαρακτήρα, περιλαμβανομένων σε σύστημα αρχειοθέτησης κατά την έννοια του άρθρου 4 στοιχ. 2) και 6) ΓΚΠΔ, επομένως πρόκειται για επεξεργασία υπαγόμενη στο ρυθμιστικό πεδίο των άρθρων 2 παρ. 1 του ΓΚΠΔ και 2 του ν.4624/
  3. Επειδή, αναφορικά με τον προσδιορισμό του υπευθύνου επεξεργασίας, επισημαίνεται ότι σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 4 στοιχ. 7 ΓΚΠΔ, ως υπεύθυνος επεξεργασίας νοείται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα∙ όταν οι σκοποί και ο τρόπος της 7 επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους». Σύμφωνα με τις Κατευθυντήριες γραμμές 07/2020 του ΕΣΠΔ αναφορικά με τις έννοιες του υπευθύνου της επεξεργασίας και του εκτελούντος την επεξεργασία 1, βασικό για τον προσδιορισμό του υπευθύνου επεξεργασίας είναι το λειτουργικό κριτήριο. Στις περιπτώσεις όπου ο νόμος καθορίζει μια υποχρέωση ή επιβάλλει σε κάποιον φορέα το καθήκον να συλλέγει και να επεξεργάζεται συγκεκριμένα δεδομένα, ο σκοπός της επεξεργασίας συχνά καθορίζεται από τη νομοθεσία και ο υπεύθυνος επεξεργασίας ορίζεται κατά κανόνα από τον νόμο για την επίτευξη αυτού του σκοπού, αυτού του δημόσιου καθήκοντος. Στην περίπτωση αυτή, η νομοθεσία προσδιορίζει εμμέσως τον υπεύθυνο επεξεργασίας. Γενικότερα, η νομοθεσία μπορεί επίσης να επιβάλει σε δημόσιες ή ιδιωτικές οντότητες την υποχρέωση να διατηρούν ή να παρέχουν συγκεκριμένα δεδομένα. Οι εν λόγω οντότητες θεωρούνται κατά κανόνα υπεύθυνοι επεξεργασίας αναφορικά με την επεξεργασία που κρίνεται απαραίτητη για την εκπλήρωση της συγκεκριμένης υποχρέωσης
  4. Στη δημόσια διοίκηση η έννοια του υπευθύνου επεξεργασίας προϋποθέτει σε ένα βαθμό αυτοτελή οργανωτική δομή, ενώ το λειτουργικό κριτήριο συνάπτεται κατ’ αρχήν με τις αρμοδιότητες που απονέμει ο νόμος σε συγκεκριμένη αρχή, υπηρεσία ή νομικό πρόσωπο δημοσίου δικαίου, οι οποίες θα πρέπει και στην πράξη να ασκούνται από τους φορείς τους
  5. Αναφορικά με την ιεραρχική διάρθρωση των υπηρεσιών του δημοσίου τομέα, επισημαίνεται ότι από τη διάταξη του άρθρου 4 στοιχ. 7) εδ. β’ ΓΚΠΔ, δεν αποκλείεται ο χαρακτηρισμός μιας επί μέρους αρχής, υπηρεσίας ή οργανισμού ως υπευθύνου επεξεργασίας, εφόσον ορίζεται ότι όταν οι σκοποί και ο τρόπος της επεξεργασίας καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, Version 2.0, Adopted on 07 July 2021, https://edpb.europa.eu/system/files/2021-07/eppb_guidelines_202007_controllerprocessor_final_en.pdf 2 Ως άνω, παρ.
  6. 3 Βλ. και Απόφαση 98/2013 της Αρχής, διαθέσιμη σε: https://www.dpa.gr/sites/default/files/201910/apofash_98_2013_anonym.pdf 1 8 υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους. Ωστόσο, αν δεν περιέχεται τέτοια ειδική ρύθμιση, τότε γίνεται δεκτό ότι μόνη η παραχώρηση στο υφιστάμενο όργανο της εξουσίας προς υπογραφή, δε θα αρκούσε να το καταστήσει διακριτό υπεύθυνο επεξεργασίας, αν δε συνοδεύεται από αντίστοιχη κατανομή αρμοδιοτήτων, στοιχειοθετούσα ανεξαρτησία του εξουσιοδοτημένου οργάνου να καθορίσει το σκοπό και τα μέσα της επεξεργασίας, όπως απαιτείται από το άρθρο 4 στοιχ. 7) εδ. α’ ΓΚΠΔ. 4
  7. Επειδή, εν προκειμένω, σύμφωνα με τα οριζόμενα στο άρθρο 1 της υπ’ αρ. αριθ. Δ.ΟΡΓ.Α 1125859 ΕΞ2020 (ΦΕΚ Β΄ 4738/26.10.2020) «Οργανισμός της Ανεξάρτητης Αρχής Δημοσίων Εσόδων (Α.Α.Δ.Ε.)» (εφεξής Α.Α.Δ.Ε.) «
  8. Η Ανεξάρτητη Αρχή Δημοσίων Εσόδων (Α.Α.Δ.Ε.), στο εξής Αρχή ή Α.Α.Δ.Ε., η οποία συστήθηκε με τις διατάξεις της παρ. 1 του άρθρου 1 του Κεφαλαίου Α` του Μέρους πρώτου του ν. 4389/2016 «Επείγουσες διατάξεις για την εφαρμογή της συμφωνίας δημοσιονομικών στόχων και διαρθρωτικών μεταρρυθμίσεων και άλλες διατάξεις» (Α` 94), με έδρα την Αθήνα, είναι Ανεξάρτητη Διοικητική Αρχή χωρίς νομική προσωπικότητα.
  9. Αποστολή της Α.Α.Δ.Ε. είναι ο προσδιορισμός, η βεβαίωση και η είσπραξη των φορολογικών, τελωνειακών και λοιπών δημοσίων εσόδων, που άπτονται του πεδίου των αρμοδιοτήτων της.
  10. Η Α.Α.Δ.Ε. απολαύει λειτουργικής ανεξαρτησίας, διοικητικής και οικονομικής αυτοτέλειας και δεν υπόκειται σε έλεγχο ή εποπτεία από κυβερνητικά όργανα, κρατικούς φορείς ή άλλες διοικητικές αρχές παρά μόνο σε κοινοβουλευτικό έλεγχο, σύμφωνα με τα οριζόμενα στον Κανονισμό της Βουλής και με τη διαδικασία που ορίζεται στις διατάξεις του άρθρου 4 του ν. 4389/2016.(…)». Περαιτέρω, από το άρθρο 48 του Οργανισμού της ΑΑΔΕ, που αφορά στις Δημόσιες Οικονομικές Υπηρεσίες (Δ.Ο.Υ.) ως Περιφερειακές Υπηρεσίες, προκύπτει ότι η Δ.Ο.Υ. Χ αποτελεί περιφερειακή υπηρεσία της ΑΑΔΕ που υπάγεται στη Γενική Διεύθυνση Φορολογικής Διοίκησης και δεν διαθέτει αυτοτελή νομική προσωπικότητα. 5 Βλ. σε Κων/νο Ν. Χριστοδούλου, Δίκαιο Προσωπικών Δεδομένων, 2η έκδοση, Νομική Βιβλιοθήκη, παρ. 209-211, σελ.
  11. 5 Βλ. και Απόφαση 54/2021 της Αρχής, διαθέσιμη σε: https://www.dpa.gr/sites/default/files/202201/54_2021%20anonym.pdf 4 9 Περαιτέρω, σύμφωνα με τα οριζόμενα στο άρθρο 1 παρ. 1 της Απόφασης Αριθμ. Α. 1118 του Διοικητή της Α.Α.Δ.Ε. «Τύπος και περιεχόμενο της δήλωσης φορολογίας εισοδήματος φυσικών προσώπων φορολογικού έτους 2020, των λοιπών εντύπων και των δικαιολογητικών εγγράφων που συνυποβάλλονται με αυτή» (ΦΕΚ Β’ 2226/27-05-2021): «
  12. Οι ετήσιες δηλώσεις φορολογίας εισοδήματος φορολογικού έτους 2020, των υπόχρεων της παραγράφου 1 του άρθρου 67 του ν. 4172/2013, υποβάλλονται υποχρεωτικά, με τη χρήση ηλεκτρονικής μεθόδου επικοινωνίας μέσω διαδικτύου, έως την ημερομηνία που ορίζουν οι οικείες διατάξεις (…)», ενώ σύμφωνα με την παρ. 13 του ίδιου ως άνω άρθρου «Στις πιο πάνω περιπτώσεις των παραγράφων 3, 7, 8, 10, 11 και 12 που οι δηλώσεις εκκαθαρίζονται και οι Πράξεις Προσδιορισμού Φόρου εκδίδονται από την αρμόδια Δ.Ο.Υ., αυτές κοινοποιούνται στους υποβάλλοντες την αντίστοιχη δήλωση από τη Δ.Ο.Υ. εκκαθάρισης της δήλωσης, σύμφωνα με τις διατάξεις της περίπτωσης α’ της παραγράφου 2 του άρθρου 5 του ΚΦΔ (ν.4174/2013).» (με ηλεκτρονική κοινοποίηση). Τέλος, λαμβάνεται υπόψη ότι η κοινοποίηση των πράξεων από τις αρμόδιες Δ.Ο.Υ. λαμβάνει χώρα κατόπιν οδηγιών οι οποίες διαχέονται σύμφωνα με τους κανόνες της κάθετης ιεραρχίας της φορολογικής διοίκησης. Από τα ανωτέρω συνάγεται ότι η Δ.Ο.Υ. Χ, από την οποία εστάλη η πράξη προσδιορισμού φόρου με απλή επιστολή προς τον καταγγέλλοντα, υπάγεται οργανικά, βάσει νομοθετικού πλαισίου στην Α.Α.Δ.Ε., ενώ και λειτουργικά, αναφορικά με την υπό κρίση αρμοδιότητα έκδοσης πράξης προσδιορισμού φόρου και κοινοποίησης αυτής στους φορολογούμενους, οι αρμόδιες κατά τόπον Δ.Ο.Υ. ενεργούν, κατ’ εφαρμογή Απόφασης και Οδηγιών του Διοικητή της της Α.Α.Δ.Ε.. 6 Αντίθετα στην Απόφαση 98/2013 της Αρχής (βλ. ως άνω υπό 8), κρίθηκε ότι η Γενική Γραμματεία Πληροφοριακών Συστημάτων αποτελεί αυτοτελή υπηρεσία με δημοσιονομική αυτοτέλεια, ιδιαίτερη λογιστική απεικόνιση του προϋπολογισμού της στον κρατικό, ιδιαίτερη οργανωτική ενότητα με δική της γραφειοκρατική οργάνωση, που αλληλογραφεί απευθείας με τις δημόσιες υπηρεσίες και τους διοικουμένους και εκδίδει εκκαθαριστικά σημειώματα προσδιορισμού φορολογικών και δημοσιονομικών υποχρεώσεων απευθυνόμενα στους υπόχρεους. Από τη δε επισκόπηση των εκ του νόμου αρμοδιοτήτων της Γ.Γ.Π.Σ., συνάγεται ότι ως δημόσια υπηρεσία καθορίζει πρωτοτύπως ουσιώδη στοιχεία του τρόπου της επεξεργασίας που συνάπτονται με την ασφάλεια της επεξεργασίας, δηλαδή θέτει τους στόχους της ασφάλειας των δεδομένων, σχεδιάζει, υλοποιεί και ελέγχει τα τεχνικά και οργανωτικά μέτρα ασφάλειας, προσδιορίζει τους απαιτούμενους οικονομικούς, ανθρώπινους κλπ. πόρους, χωρίς επιπλέον να προβλέπεται ως προς τούτα ο έλεγχος της από άλλη υπηρεσία. 6 10
  13. Επειδή, σύμφωνα με τις διατάξεις του άρθρου 5 παρ. 1 του ΓΚΠΔ αναφορικά με τις αρχές που θα πρέπει να διέπουν την επεξεργασία των δεδομένων, τα δεδομένα προσωπικού χαρακτήρα « (…) στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»).», Περαιτέρω, σύμφωνα με τα οριζόμενα στην διάταξη του άρθρου 4 στοιχ. 12 ΓΚΠΔ, ως παραβίαση δεδομένων προσωπικού χαρακτήρα νοείται ως «η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία». Μια παραβίαση μπορεί δυνητικά να έχει διάφορες σημαντικές δυσμενείς συνέπειες στα πρόσωπα, οι οποίες μπορούν να οδηγήσουν σε σωματική, υλική ή ηθική βλάβη. Στον ΓΚΠΔ επεξηγείται ότι αυτή η βλάβη μπορεί να περιλαμβάνει απώλεια του ελέγχου επί των δεδομένων προσωπικού χαρακτήρα τους, περιορισμό των δικαιωμάτων τους, διακρίσεις, κατάχρηση ή υποκλοπή ταυτότητας, οικονομική απώλεια, παράνομη άρση της ψευδωνυμοποίησης, βλάβη της φήμης και απώλεια της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα που προστατεύονται από επαγγελματικό απόρρητο κλπ. (βλ. και αιτ. σκέψεις 85 και 75 ΓΚΠΔ). Περαιτέρω, στη Γνωμοδότηση 3/2014 της Ομάδας Εργασίας του Άρθρου 29 σχετικά με τη γνωστοποίηση παραβίασης προσωπικών δεδομένων, κάθε παραβίαση προσωπικών δεδομένων εξετάζεται με βάση τρία κλασικά κριτήρια ασφαλείας: η «παραβίαση διαθεσιμότητας» θα αντιστοιχεί σε τυχαία ή παράνομη καταστροφή ή απώλεια προσωπικών δεδομένων, η «παραβίαση ακεραιότητας» στην αλλοίωση των προσωπικών δεδομένων, και η «παραβίαση απορρήτου» σε μη εξουσιοδοτημένη αποκάλυψη προσωπικών δεδομένων ή πρόσβαση σε αυτά
  14. Τέλος, στις Κατευθυντήριες γραμμές της Ομάδας Εργασίας του Άρθρου 29 σχετικά με τη γνωστοποίηση παραβιάσεων δεδομένων προσωπικού Ομάδα Εργασίας του Άρθρου 29, Γνωμοδότηση 03/2014 σχετικά με τη γνωστοποίηση παραβίασης προσωπικών δεδομένων, διαθέσιμη σε: http://ec.europa.eu/justice/article29/documentation/opinionrecommendation/files/2014/wp213_el.pdf, σελ.
  15. 7 11 χαρακτήρα δυνάμει του Κανονισμού 2016/679 8 διευκρινίζεται ότι « (…) η μη εξουσιοδοτημένη ή παράνομη επεξεργασία μπορεί να περιλαμβάνει την αποκάλυψη δεδομένων προσωπικού χαρακτήρα σε (ή την πρόσβαση από) αποδέκτες που δεν είναι εξουσιοδοτημένοι να λαμβάνουν τα δεδομένα (ή να έχουν πρόσβαση σʼ αυτά) ή οποιαδήποτε άλλη μορφή επεξεργασίας που παραβιάζει τον ΓΚΠΔ»
  16. Ως εκ τούτου, ένας από τους τύπους παραβίασης προσωπικών δεδομένων είναι αυτός που κατηγοριοποιείται με βάση την αρχή ασφαλείας της «εμπιστευτικότητας», όταν διαπιστώνεται πρόσβαση άνευ δικαιώματος σε προσωπικά δεδομένα (“confidentiality breach”).
  17. Επειδή, στην εξεταζόμενη καταγγελία, λαμβάνοντας υπόψη το σύνολο των στοιχείων του φακέλου της υπόθεσης, την ακροαματική διαδικασία και τα υποβληθέντα υπομνήματα, η Αρχή κρίνει ότι η καταγγελλόμενη επεξεργασία της αποστολής της πράξης προσδιορισμού φόρου μέσω απλής επιστολής συνιστά, σύμφωνα με τα διαλαμβανόμενα στις ως άνω σκέψεις, παραβίαση εμπιστευτικότητας (απορρήτου), καθώς, μολονότι η καταγγελλόμενη είχε εκ του νόμου την δυνατότητα να λάβει τα κατάλληλα τεχνικά και οργανωτικά μέτρα, ώστε κατά την επικοινωνία της με τους πολίτες να μην τίθενται σε κίνδυνο τα δεδομένα τους, αυτή δεν συμμορφώθηκε με την ισχύουσα πολιτική ασφαλείας, με αποτέλεσμα να αποκτήσουν πρόσβαση και να λάβουν γνώση των δεδομένων του καταγγέλλοντος μη εξουσιοδοτημένα προς τούτο πρόσωπα, κατά παράβαση της διάταξης του άρθρου 5 παρ. 1 στοιχ. στ) ΓΚΠΔ περί υποχρεώσεως τηρήσεως της αρχής της ακεραιότητας και εμπιστευτικότητας των δεδομένων
  18. Εξάλλου, και από την τροποποίηση των οδηγιών της Α.Α.Δ.Ε. αναφορικά με τον τρόπο αποστολής των πράξεων διοικητικού προσδιορισμού φόρου που εκδίδονται από τις Δ.Ο.Υ., τροποποίηση η οποία επισημαίνεται από την καταγγελλομένη και αποφασίσθηκε, σύμφωνα με τους ισχυρισμούς της, κατόπιν γνώμης του Αυτοτελούς Ομάδα Εργασίας του Άρθρου 29, Κατευθυντήριες γραμμές σχετικά με τη γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα δυνάμει του κανονισμού 2016/679, WP250rev.01, εκδ. 3 Οκτωβρίου 207, όπως αναθ. 6 Φεβρουαρίου 2018, διαθέσιμες σε: https://www.dpa.gr/sites/default/files/2020-05/wp250rev01_el.pdf 9 Ως άνω, σελ.
  19. 10 Βλ. συναφώς τις Αποφάσεις 47/2009, 14/2022 και 58/2022 της Αρχής, διαθέσιμες στην ιστοσελίδα της. 8 12 Τμήματος Υποστήριξης Υπευθύνου Προστασίας Δεδομένων με γνώμονα, μεταξύ άλλων, την προστασία των δεδομένων προσωπικού χαρακτήρα των φορολογουμένων, συνομολογείται ο κίνδυνος στον οποίο εκτίθενται δεδομένα προσωπικού χαρακτήρα των φορολογουμένων μέσω της κοινοποίησης των ως άνω πράξεων με εναλλακτικούς τρόπους.
  20. Επειδή, προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, ήτοι επεξεργασίας σύμφωνα προς τις απαιτήσεις του ΓΚΠΔ, θα πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ
  21. Η ύπαρξη ενός νόμιμου θεμελίου συμφώνως προς το άρθρο 6 ΓΚΠΔ, δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των αρχών που κατοχυρώνονται με το άρθρο 5 παρ. 1 ΓΚΠΔ. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπομένων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία παρίσταται ως μη νόμιμη και αντικείμενη στις διατάξεις του ΓΚΠΔ, και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρου 6 ΓΚΠΔ
  22. Έτσι, η κατά παράβαση των αρχών του άρθρου 5 ΓΚΠΔ μη νόμιμη συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης (πρβλ. ΑΠΔΠΧ 38/2004, ΑΠΔΠΧ 43/2019). Επικουρικώς ωστόσο αναφέρεται ότι σύμφωνα με τις διατάξεις του άρθρου 6 παρ. 1 ΓΚΠΔ αναφορικά με τη νομιμότητα της επεξεργασίας: «
  23. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: (…) γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας, (…) ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση ΔΕΕ, C- 496/17, Deutsche Post AG κατά Hauptzollamt Köln1, 16 Ιανουαρίου 2019, σκ.
  24. Πρβλ. ΣτΕ 517/2018 παρ. 12: «[...] προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, απαιτείται σε κάθε περίπτωση να συντρέχουν σωρευτικά οι προϋποθέσεις του άρθρου 4 παρ. 1 του ν. 2472/1997, που μεταξύ άλλων, ορίζει ότι τα δεδομένα πρέπει να συλλέγονται και να υφίστανται επεξεργασία κατά τρόπο θεμιτό και νόμιμο, για σαφείς και νόμιμους σκοπούς...Εφόσον συντρέχουν οι προϋποθέσεις του άρθρου 4 παρ. 1 του ν. 2472/1997 (νόμιμη συλλογή και επεξεργασία δεδομένων για σαφείς και νόμιμους σκοπούς), εξετάζεται περαιτέρω αν συντρέχουν και οι προϋποθέσεις της διατάξεως του άρθρου 5 παρ. 2 του ν. 2472/1997 [νομικές βάσεις]». Επίσης, πρβλ. ΣτΕ σε Ολομέλεια 2285/2001 παρ. 10: «[...] Μόνο δε εάν συντρέχουν οι παραπάνω βασικές προϋποθέσεις, έχουν εφαρμογή οι διατάξεις των άρθρων 5 και 7 του Ν. 2472/1997, οι οποίες επιβάλλουν ως περαιτέρω πρόσθετη, κατ’ αρχήν, προϋπόθεση νόμιμης επεξεργασίας δεδομένων προσωπικού χαρακτήρα συγκεκριμένου προσώπου, τη συγκατάθεση αυτού». 11 12 13 καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας,(…)» . Όπως συνομολογείται και από την καταγγελλόμενη με το υπ’ αριθ. πρωτ. … (υπ’ αριθ. πρωτ. Αρχής Γ/ΕΙΣ/8236/23-06-2022) έγγραφο της Γενικής Διεύθυνσης Φορολογικής Διοίκησης αναφορικά με την κοινοποίηση πράξεων της φορολογικής διοίκησης προς τους φορολογούμενους, το άρθρο 5 του Ν. 4174/2013 (ΦΕΚ Α’ 170, Κώδικας Φορολογικής Διαδικασίας), όπως ίσχυε κατά το χρόνο των γεγονότων και εξακολουθεί να ισχύει ορίζει ότι: «
  25. Η κοινοποίηση πράξεων που εκδίδει, σύμφωνα με τον Κώδικα, η Φορολογική Διοίκηση προς φορολογούμενο ή άλλο πρόσωπο, γίνεται εγγράφως ή ηλεκτρονικώς.
  26. Εάν η πράξη αφορά φυσικό πρόσωπο, η κοινοποίηση συντελείται εφόσον: α) κοινοποιηθεί ηλεκτρονικά, σύμφωνα με τις οικείες διατάξεις του ν. 3979/2011 ή στο λογαριασμό του εν λόγω προσώπου ή του νομίμου αντιπροσώπου του ή του φορολογικού εκπροσώπου του στο πληροφοριακό σύστημα της Φορολογικής Διοίκησης, την οποία ακολουθεί ηλεκτρονική ειδοποίηση στη δηλωθείσα διεύθυνση ηλεκτρονικού ταχυδρομείου του, β) αποσταλεί με συστημένη επιστολή στην τελευταία δηλωθείσα ταχυδρομική διεύθυνση κατοικίας ή επαγγελματικής εγκατάστασης του εν λόγω προσώπου, ή γ) επιδοθεί στο εν λόγω πρόσωπο, κατά τις διατάξεις του Κώδικα Διοικητικής Δικονομίας, μόνο εφόσον δεν είναι δυνατή η επίδοση με άλλον τρόπο. Η κοινοποίηση σύμφωνα με τον Κώδικα Διοικητικής Δικονομίας, κατά το προηγούμενο εδάφιο, θεωρείται νόμιμη, εφόσον γίνει στην τελευταία δηλωθείσα στη Φορολογική Διοίκηση διεύθυνση κατοικίας ή επαγγελματικής εγκατάστασης του εν λόγω προσώπου. (…)
  27. Με απόφαση του Γενικού Γραμματέα έγγραφα που έχουν πληροφοριακό χαρακτήρα ή πράξεις προσδιορισμού φόρου του άρθρου 32 του παρόντος Κώδικα μπορούν να κοινοποιούνται με απλή επιστολή.», ενώ κατά το Άρθρο 32 του ΚΦΔ όπως ίσχυε κατά το χρόνο των γεγονότων και ισχύει «
  28. Στις περιπτώσεις που, κατά την κείμενη φορολογική νομοθεσία, η φορολογική δήλωση δεν συνιστά άμεσο προσδιορισμό φόρου, η Φορολογική Διοίκηση εκδίδει πράξη διοικητικού προσδιορισμού φόρου.» Περαιτέρω, σύμφωνα με τα οριζόμενα στο άρθρο 1 παρ. 1 της Απόφασης Αριθμ. Α. 1118 του Διοικητή της Α.Α.Δ.Ε. «Τύπος και περιεχόμενο της δήλωσης φορολογίας εισοδήματος 14 φυσικών προσώπων φορολογικού έτους 2020, των λοιπών εντύπων και των δικαιολογητικών εγγράφων που συνυποβάλλονται με αυτή» (ΦΕΚ Β’ 2226/27-05-2021): «
  29. Οι ετήσιες δηλώσεις φορολογίας εισοδήματος φορολογικού έτους 2020, των υπόχρεων της παραγράφου 1 του άρθρου 67 του ν. 4172/2013, υποβάλλονται υποχρεωτικά, με τη χρήση ηλεκτρονικής μεθόδου επικοινωνίας μέσω διαδικτύου, έως την ημερομηνία που ορίζουν οι οικείες διατάξεις (…)», ενώ σύμφωνα με την παρ. 13 του ίδιου ως άνω άρθρου «Στις πιο πάνω περιπτώσεις των παραγράφων 3, 7, 8, 10, 11 και 12 που οι δηλώσεις εκκαθαρίζονται και οι Πράξεις Προσδιορισμού Φόρου εκδίδονται από την αρμόδια Δ.Ο.Υ., αυτές κοινοποιούνται στους υποβάλλοντες την αντίστοιχη δήλωση από τη Δ.Ο.Υ. εκκαθάρισης της δήλωσης, σύμφωνα με τις διατάξεις της περίπτωσης α’ της παραγράφου 2 του άρθρου 5 του ΚΦΔ (ν.4174/2013).» (με ηλεκτρονική κοινοποίηση).
  30. Επειδή, εν προκειμένω, η πράξη προσδιορισμού φόρου του καταγγέλλοντος αφορούσε το φορολογικό έτος 2020, συνάγεται πως η καταγγελλόμενη, δεν όφειλε να κοινοποιήσει την πράξη προσδιορισμού φόρου στον καταγγέλλοντα μέσω απλής επιστολής κατ’ άρθρον 6 παρ. 1 στοιχ. γ), αλλά αντιθέτως, βάσει της διάταξης του άρθρου 1 παρ. 13 της Απόφασης Αριθμ. Α. 1118 του Διοικητή της Α.Α.Δ.Ε., υποχρεούτο στην αποκλειστική ηλεκτρονική κοινοποίησή της. Η ύπαρξη ρητής αντίθετης διάταξης εκδοθείσας από ανώτερο ιεραρχικά όργανο οδηγεί και στον κατά λογική αναγκαιότητα αποκλεισμό της συνδρομής της προϋπόθεσης του άρθρου 6 παρ. 1 στοιχ. ε) περί εκπλήρωσης καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας. Κατά συνέπεια, με την αποστολή της πράξης προσδιορισμού φόρου στον καταγγέλλοντα μέσω απλής επιστολής, παρά την ύπαρξη αντίθετης νομοθετικής διάταξης, η καταγγελλόμενη προέβη σε επεξεργασία των δεδομένων του χωρίς τη συνδρομή νομικής βάσης του άρθρου 6 ΓΚΠΔ.
  31. Επειδή, με τη θέση σε ισχύ του ΓΚΠΔ, υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό μέγεθος του οποίου συνιστά η αρχή της λογοδοσίας. (άρθρο 5 παρ. 2 ΓΚΠΔ: «Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»).»), στο πλαίσιο της οποίας ο 15 υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, να εφαρμόζει και εν γένει να λαμβάνει τα αναγκαία μέτρα και τις πολιτικές προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει από μόνος του και ανά πάσα στιγμή τη συμμόρφωση με τις αρχές του άρθρου 5 παρ. 1 του ΓΚΠΔ. Έτσι, συνιστά υποχρέωση του υπευθύνου επεξεργασίας αφενός να λαμβάνει από μόνος του τα αναγκαία μέτρα προκειμένου να συμμορφώνεται προς τις απαιτήσεις του ΓΚΠΔ και αφετέρου, να αποδεικνύει ανά πάσα στιγμή την ανωτέρω συμμόρφωση του. Εξάλλου, υπό τον ΓΚΠΔ η ασφάλεια ανάγεται σε μια από τις βασικές αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα, ενώ η γενικότερη ευθύνη του για τον προσδιορισμό των κατάλληλων τεχνικών και οργανωτικών μέτρων προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει τη νομιμότητα μιας επεξεργασίας πηγάζει και από το άρθρο 24 ΓΚΠΔ.
  32. Επειδή, σύμφωνα με το άρθρο 24 παρ. 1 ΓΚΠΔ, ο υπεύθυνος επεξεργασίας, «λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με το ΓΚΠΔ», ενώ «τα εν λόγω μέτρα επανεξετάζονται και επικαιροποιούνται όταν κρίνεται απαραίτητο». Επιπλέον, το άρθρο 32 ΓΚΠΔ αναφορικά με την ασφάλεια της επεξεργασίας προβλέπει: «
  33. Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, περιλαμβανομένων, μεταξύ άλλων, κατά περίπτωση: (…) β) της δυνατότητας διασφάλισης του απορρήτου, της ακεραιότητας, της διαθεσιμότητας και της αξιοπιστίας 16 των συστημάτων και των υπηρεσιών επεξεργασίας σε συνεχή βάση (…).
  34. Κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία. (…)
  35. Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία λαμβάνουν μέτρα ώστε να διασφαλίζεται ότι κάθε φυσικό πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία το οποίο έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα τα επεξεργάζεται μόνο κατ' εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους».
  36. Επειδή, σύμφωνα με την (προ της εφαρμογής του ΓΚΠΔ) Γνώμη 3/2010 της Ομάδας Εργασίας του άρθρου 29 σχετικά με την αρχή της λογοδοσίας 13, κατάλληλα μέτρα λογοδοσίας για την τήρηση των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ μπορούν να περιλαμβάνουν τον ακόλουθο μη εξαντλητικό κατάλογο μέτρων: θέσπιση εσωτερικών διαδικασιών πριν τη δημιουργία νέων εργασιών επεξεργασίας, θέσπιση γραπτών και δεσμευτικών πολιτικών προστασίας δεδομένων διαθέσιμες στα πρόσωπα στα οποία αναφέρονται τα δεδομένα, χαρτογράφηση των διαδικασιών, διατήρηση καταλόγου όλων των εργασιών επεξεργασίας δεδομένων, διορισμός υπευθύνου για την προστασία των δεδομένων και άλλων προσώπων με ευθύνη για την προστασία των δεδομένων, παροχή κατάλληλης εκπαίδευσης και κατάρτισης στους υπαλλήλους στην προστασία των δεδομένων, θέσπιση διαδικασιών για τη διαχείριση των αιτημάτων πρόσβασης, διόρθωσης και διαγραφής, η οποία πρέπει να είναι διαφανής για τα άτομα στα οποία αναφέρονται τα δεδομένα, εγκαθίδρυση εσωτερικού μηχανισμού χειρισμού καταγγελιών, θέσπιση εσωτερικών διαδικασιών για την αποτελεσματική διαχείριση και αναφορά παραβιάσεων ασφαλείας, διενέργεια αξιολόγησης του αντικτύπου στην Ομάδα Εργασίας του Άρθρου 29, Γνώμη 3/2010 σχετικά με την αρχή της λογοδοσίας (WP 173), εκδ. 137-2010 σελ. 13-14, διαθέσιμη σε: https://ec.europa.eu/justice/article-29/documentation/opinionrecommendation/files/2010/wp173_el.pdf 13 17 ιδιωτική ζωή σε ειδικές περιπτώσεις, εφαρμογή και επίβλεψη διαδικασιών επαλήθευσης, ώστε να διασφαλίζεται ότι όλα τα μέτρα όχι μόνον προβλέπονται ως διαδικασίες, αλλά εφαρμόζονται και λειτουργούν στην πράξη (εσωτερικοί ή εξωτερικοί έλεγχοι κ.λπ.). Περαιτέρω, η Αρχή, στο πλαίσιο εφαρμογής του ΓΚΠΔ, έχει ήδη αναφερθεί στις υποχρεώσεις του υπευθύνου επεξεργασίας σχετικά με την ασφάλεια και την γενικότερη ευθύνη του για τον προσδιορισμό των κατάλληλων τεχνικών και οργανωτικών μέτρων, προτείνοντας «ενδεδειγμένα» μέτρα τα οποία μπορεί να τεκμηριώνονται σε επιμέρους διαδικασίες ή σε γενικότερες πολιτικές ασφαλείας 14, διευκρινίζοντας ότι «σε κάθε περίπτωση, πριν τον καθορισμό των μέτρων ασφάλειας που θα υιοθετηθούν, προέχει η σωστή αξιολόγηση των κινδύνων και των πιθανών συνεπειών τους 15 για τα υποκείμενα των δεδομένων...τα υλοποιημένα μέτρα πρέπει να υποβάλλονται σε περιοδική, τουλάχιστον, αναθεώρηση, αλλά και να είναι αποδεδειγμένα επικυρωμένα από την διοίκηση του υπευθύνου ή του εκτελούντος την επεξεργασία
  37. Η λήψη των απαιτούμενων μέτρων ασφαλείας πρέπει να λαμβάνει υπόψη μια σειρά παραμέτρων, ενώ όπως επιτάσσει η αρχή της λογοδοσίας και προσδιορίζεται από τις διατάξεις του άρθρου 24 παρ. 2 ΓΚΠΔ, πρέπει να εφαρμόζονται κατάλληλες πολιτικές, ανάλογα με τις δραστηριότητες επεξεργασίας
  39. Επειδή, από τα ανωτέρω συνάγεται ότι απαιτείται η χρήση κατάλληλων τεχνικών και οργανωτικών μέτρων προκειμένου τα δεδομένα προσωπικού χαρακτήρα να υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από παράνομη επεξεργασία και βασικό χαρακτηριστικό οποιασδήποτε πολιτικής ασφάλειας δεδομένων είναι να παρέχει τη δυνατότητα, όταν είναι εφικτό, αποτροπής μιας παραβίασης και, αν παρ’ ελπίδα αυτή συμβεί, έγκαιρης αντίδρασης. Εν προκειμένω επισημαίνεται ότι η έκδοση και κοινοποίηση προς τις αρμόδιες Δ.Ο.Υ. της σχετικής Απόφασης Α.1118/2021 www.dpa.gr/ ενότητα «Ασφάλεια» Βλ. και Γ. Ρουσσόπουλου, ειδικού επιστήμονα ΑΠΔΠΧ, «Ασφάλεια επεξεργασίας και γνωστοποίηση περιστατικών παραβίασης» σε Έκθεση ΕΚΔΔΑ «ΓΚΠΔ: το νέο τοπίο και οι υποχρεώσεις της δημόσιας διοίκησης», Αθήνα, Ιανουάριος 2018, σελ. 20 επ. διαθέσιμο σε www.ekdd.gr/images/seminaria/GDPR.pdf 16 www.dpa.gr/ ενότητα «Ασφάλεια» 17 Βλ. και Αποφάσεις 67/2018, 11/2022 της Αρχής, διαθέσιμες στην ιστοσελίδα της. 14 15 18 του Διοικητή Α.Α.Δ.Ε. σχετικά με τον τύπο και το περιεχόμενο της δήλωσης φορολογίας εισοδήματος φυσικών προσώπων φορολογικού έτους 2020, καθώς και σχετικών Οδηγιών, συνιστούν κατ’ αρχήν τεχνικά και οργανωτικά μέτρα σύμφωνα με τα ως άνω διαλαμβανόμενα.
  40. Επειδή, ωστόσο, η καταγγελλόμενη ως υπεύθυνη επεξεργασίας, όφειλε, σε εκπλήρωση της υποχρέωσης λήψης κατάλληλων τεχνικών και οργανωτικών μέτρων, στο πλαίσιο μιας ενδεδειγμένης πολιτικής ασφαλείας, να διασφαλίζει την τήρηση του απορρήτου/ εμπιστευτικότητας και κατά την αποστολή τους στους φορολογούμενους, καθώς η πλημμελής εφαρμογή της ως άνω Απόφασης και των σχετικών Οδηγιών, είχε ως αποτέλεσμα, όπως προελέχθη, την παραβίαση των αρχών του άρθρου 5 παρ. 1 στοιχ. στ) ΓΚΠΔ, καθώς και των αρχών του άρθρου 6 ΓΚΠΔ. Εξάλλου, η αναφορά της καταγγελλομένης στην υποχρέωση των χρηστών των ταχυδρομικών υπηρεσιών για τη διαφύλαξη του απορρήτου των επιστολών, σύμφωνα με το άρθρο 32 του Κτιριοδομικού Κανονισμού (Υ.Α. 3046/304/1989 του Υπουργείου Περιβάλλοντος, Χωροταξίας και Δημοσίων Έργων) να λαμβάνουν μέτρα αυτοπροστασίας εγκαθιστώντας γραμματοκιβώτιο με κλειδαριά, μέσα στο οποίο ο διανομέας οφείλει να τοποθετεί την απλή αλληλογραφία, ουδεμία επιρροή ασκεί στις αυτοτελείς υποχρεώσεις του υπευθύνου επεξεργασίας σχετικά με την ασφάλεια της επεξεργασίας, όπως προσδιορίζονται ρητά στα άρθρα 5 παρ. 1 στοιχ. στ), 24 και 32 ΓΚΠΔ, καθώς οι εν λόγω υποχρεώσεις όπως περιγράφονται ανωτέρω, αποτελούν αυτοτελείς υποχρεώσεις του υπευθύνου επεξεργασίας και δεν παύουν να ισχύουν εξαιτίας της τυχόν πρόβλεψης άλλων υποχρεώσεων διαφορετικών τομέων του δικαίου όπως ο επικαλούμενος Κτιριοδομικός Κανονισμός
  41. Κατά συνέπεια, η αποστολή της πράξης προσδιορισμού φόρου στον καταγγέλλοντα μέσω απλής επιστολής, παρά την ύπαρξη αντίθετης νομοθετικής διάταξης, αποτελεί παραβίαση των εκ του άρθρου 32 ΓΚΠΔ υποχρεώσεων της υπεύθυνης επεξεργασίας προς εφαρμογή των κατάλληλων τεχνικών και οργανωτικών μέτρων, ενώ η υπεύθυνη επεξεργασίας δεν απέδειξε τη συμμόρφωσή της συμφώνως προς την αρχή της λογοδοσίας του άρθρου 5 παρ. 2 ΓΚΠΔ. 18 Βλ. και Απόφαση 58/2022 της Αρχής, διαθέσιμη στην ιστοσελίδα της. 19
  42. Επειδή, κατόπιν των ανωτέρω, από τα στοιχεία του φακέλου, και των όσων προέκυψαν από την ακροαματική διαδικασία και τα υποβληθέντα υπομνήματα, η Αρχή διαπιστώνει παραβίαση των άρθρων 5 παρ. 1 στοιχ. στ), 6 παρ. 1 στοιχ. γ), ε) και 32 ΓΚΠΔ και κρίνει ότι συντρέχει περίπτωση άσκησης των διορθωτικών εξουσιών της σύμφωνα με το άρθρο 58 παρ. 2 του ΓΚΠΔ, καθώς και το άρθρο 39 του Ν. 4624/2019, λαμβάνοντας υπόψη τις Κατευθυντήριες Γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679 της Ομάδας Εργασίας του Άρθρου 29
  43. Κατά την αξιολόγηση των δεδομένων, προκειμένου να επιλεγεί το πρόσφορο και διορθωτικό μέτρο, η Αρχή λαμβάνει υπόψη, με βάση τους όρους του άρθρου 83 παρ. 2 ΓΚΠΔ, τα εξής στοιχεία: • «η φύση, η βαρύτητα και η διάρκεια της παράβασης, λαμβάνοντας υπόψη τη φύση, την έκταση ή το σκοπό της σχετικής επεξεργασίας, καθώς και τον αριθμό των υποκειμένων των δεδομένων που έθιξε η παράβαση και το βαθμό ζημίας που υπέστησαν», επομένως λαμβάνεται υπόψη ότι η συγκεκριμένη παραβίαση ασφάλειας δεν έλαβε ευρύτερο χαρακτήρα, ενώ από τις δηλώσεις του καταγγέλλοντος δεν προκύπτει άμεσα υλική ζημία του που να μπορεί να αποδοθεί με βεβαιότητα στην εν λόγω παραβίαση, (άρθρο 83 παρ. 2 στοιχ. α) ΓΚΠΔ), • «ο δόλος ή η αμέλεια που προκάλεσε την παράβαση,» καθώς σύμφωνα με τις ως άνω Κατευθυντήριες Γραμμές της Ομάδας Εργασίας του Άρθρου 29 για την εφαρμογή και τον καθορισμό διοικητικών προστίμων 20, η μη ανάγνωση υφιστάμενων πολιτικών και η μη συμμόρφωση με αυτές, μπορεί να αποτελεί ένδειξη αμέλειας (άρθρο 83 παρ. 2 στοιχ. β) ΓΚΠΔ), • «οποιεσδήποτε ενέργειες στις οποίες προέβη ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία για να μετριάσει τη ζημία που υπέστησαν τα υποκείμενα των δεδομένων», επομένως λαμβάνεται υπόψη ότι η καταγγελλόμενη δεν μπορούσε να Διαθέσιμες στο : https://www.dpa.gr/sites/default/files/2019-12/wp253_el.pdf Λαμβάνοντας επιπλέον υπόψη τις Κατευθυντήριες Γραμμές 04/2022 για τον υπολογισμό των διοικητικών προστίμων υπό τον ΓΚΠΔ του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων από 12.05.2022 υπό δημόσια διαβούλευση, διαθέσιμες στον σύνδεσμο https://edpb.europa.eu/system/files/202205/edpb_guidelines_042022_calculationofadministrativefines_en.pdf 20 Διαθέσιμες στο : https://www.dpa.gr/sites/default/files/2019-12/wp253_el.pdf. 19 20 προβεί σε ενέργειες για να μετριάσει τη ζημία που υπέστη το υποκείμενο των δεδομένων (άρθρο 83 παρ. 2 στοιχ. γ) ΓΚΠΔ), • «ο βαθμός ευθύνης του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, λαμβάνοντας υπόψη τα τεχνικά και οργανωτικά μέτρα που εφαρμόζουν δυνάμει των άρθρων 25 και 32,», επομένως λαμβάνεται υπόψη ότι η καταγγελλόμενη έχει λάβει ορισμένα τεχνικά και οργανωτικά μέτρα δυνάμει των άρθρων 25 και 32 ΓΚΠΔ για τη διασφάλιση της εμπιστευτικότητας, ωστόσο οφείλει να λαμβάνει τεχνικά και οργανωτικά μέτρα για όλα τα στάδια της επεξεργασίας (άρθρο 83 παρ. 2 στοιχ. δ) ΓΚΠΔ), • «τυχόν σχετικές προηγούμενες παραβάσεις του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία», επομένως λαμβάνονται υπόψη τα συμπεράσματα των Αποφάσεων 54/2021 και 58/2022 της Αρχής 21, καθώς σύμφωνα με τις Κατευθυντήριες Γραμμές της Ομάδας Εργασίας του Άρθρου 29 για την εφαρμογή και τον καθορισμό διοικητικών προστίμων 22, οποιουδήποτε είδους παράβαση του κανονισμού, αν και διαφορετική από την παράβαση που εξετάζεται στη συγκεκριμένη περίπτωση από την εποπτική αρχή, μπορεί να είναι «σχετική» για την αξιολόγηση, δεδομένου ότι μπορεί να είναι ενδεικτική γενικότερης ανεπάρκειας γνώσης ή περιφρόνησης των κανόνων περί προστασίας των δεδομένων, (άρθρο 83 παρ. 2 στοιχ. ε) ΓΚΠΔ). • «οι κατηγορίες δεδομένων προσωπικού χαρακτήρα που επηρεάζει η παράβαση», επομένως λαμβάνεται υπόψη ότι η διαπιστωθείσα ως άνω παράβαση δεν αφορά σε ειδική κατηγορία δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος (άρθρο 83 παρ. 2 στοιχ. ζ) ΓΚΠΔ) • «κάθε άλλο επιβαρυντικό ή ελαφρυντικό στοιχείο που προκύπτει από τις περιστάσεις της συγκεκριμένης περίπτωσης, όπως τα οικονομικά οφέλη που αποκομίστηκαν ή ζημιών Διαθέσιμες στην ιστοσελίδα της Αρχής. Βλ. Κατευθυντήριες Γραμμές 04/2022 για τον υπολογισμό των διοικητικών προστίμων υπό τον ΓΚΠΔ του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων από 12.05.2022 υπό δημόσια διαβούλευση, διαθέσιμες σε: https://edpb.europa.eu/system/files/202205/edpb_guidelines_042022_calculationofadministrativefines_en.pdf, σελ. 15: «Οι εποπτικές αρχές θα πρέπει να λαμβάνουν υπόψη ότι, εν προκειμένω, το πεδίο της αξιολόγησης μπορεί να είναι αρκετά ευρύ, καθώς οποιουδήποτε είδους παράβαση του κανονισμού, αν και διαφορετική από την παράβαση που εξετάζεται στη συγκεκριμένη περίπτωση από την εποπτική αρχή, μπορεί να είναι «σχετική» για την αξιολόγηση, δεδομένου ότι μπορεί να είναι ενδεικτική γενικότερης ανεπάρκειας γνώσης ή περιφρόνησης των κανόνων περί προστασίας των δεδομένων.», σελ
  44. 21 22 21 που αποφεύχθηκαν, άμεσα ή έμμεσα, από την παράβαση.» επομένως λαμβάνεται υπόψη ότι η καταγγελλόμενη δεν προσκόμισε όφελος από την υπόθεση (άρθρο 83 παρ. 2 στοιχ. ια) ΓΚΠΔ). ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή διαπιστώνει ότι η καταγγελθείσα επεξεργασία της αποστολής της πράξης προσδιορισμού φόρου μέσω απλής επιστολής συνιστά παραβίαση των άρθρων 5 παρ. 1 στοιχ. στ), 6 παρ. 1 στοιχ. γ), ε) και 32 ΓΚΠΔ και απευθύνει επίπληξη κατ’ άρθρο 58 παρ. 2 στοιχ. β) ΓΚΠΔ στην καταγγελλόμενη, για τους λόγους που εκτενώς αναλύονται στο σκεπτικό της παρούσης. Ο Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 22

🔗 Στην επίσημη πηγή

Επεξήγηση AI βάσει του επίσημου κειμένου του νόμου. Ενδεικτική, δεν υποκαθιστά νομική συμβουλή.