Εξέταση καταγγελίας υπαλλήλου της ΕΥΠ με αντικείμενο τη διαρροή προσωπικών δεδομένων

Αθήνα, 31-10-2024 Αριθ. Πρωτ.: 2989 ΑΠΟΦΑΣΗ 40/2024 (Ολομέλεια) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του Προέδρου της, σε έκτακτη συνεδρίαση στην έδρα της την 06-06-2023, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν μέσω τηλεδιασκέψεως ο Πρόεδρος της Αρχής Κωνσταντίνος Μενουδάκος, τα τακτικά μέλη Σπυρίδων Βλαχόπουλος, ως εισηγητής, Γρηγόριος Τσόλιας, Κωνσταντίνος Λαμπρινουδάκης, Χρήστος Καλλονιάτης και Αικατερίνη Ηλιάδου, και το αναπληρωματικό μέλος Νικόλαος Λίβος (σε αντικατάσταση του τακτικού μέλους Χαράλαμπου Ανθόπουλου, ο οποίος, παρότι εκλήθη νομίμως, δεν παρέστη λόγω κωλύματος). Στη συνεδρίαση, χωρίς δικαίωμα ψήφου, παρέστησαν, με εντολή του Προέδρου, η Ελένη Καπράλου ειδική επιστήμονας νομικός, ως βοηθός εισηγητή, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Τμήματος Διοικητικών Υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη τα παρακάτω: Με την υπ’ αριθ. πρωτ. Γ/ΕΙΣ/9156/27-07-2022 καταγγελία του στην Αρχή και τα επισυναπτόμενα σε αυτήν έγγραφα, ο Α (εφεξής «καταγγέλλων»), ο οποίος υπηρετούσε στην Εθνική Υπηρεσία Πληροφοριών (εφεξής «ΕΥΠ» ή «καταγγελλόμενη»), καταγγέλλει την τελευταία για την διαρροή των προσωπικών του δεδομένων. Σύμφωνα με τα καταγγελλόμενα, προ της δημοσιεύσεως του Ν. 4873/2021 (ΦΕΚ Α΄/248/16-12-2021), αλλά και πριν την έκδοση της υπ’ αρ. … απόφασης του Υπουργού Προστασίας του Πολίτη, σχετικά με την μετάταξη του καταγγέλλοντα, με βάση το άρθρο 74 του Νόμου αυτού, από την οργανική μόνιμη 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr θέση του κλάδου … που αυτός κατείχε στην ΕΥΠ, σε προσωποπαγή θέση κλάδου … στην Ελληνική Αστυνομία (…), η ΕΥΠ κοινολόγησε με διαβίβαση -διά της Διευθύνσεως Διοικητικής Υποστήριξης και Ανθρωπίνων Πόρων- προς την Ελληνική Αστυνομία (εφεξής ΕΛΑΣ) το υπ’ αρ. πρωτ. … έγγραφο, στο οποίο επισυνάπτονταν καταστάσεις με τα στοιχεία του μετατασσόμενου από την ΕΥΠ προσωπικού, στο οποίο ανήκε και ο καταγγέλλων. Ειδικότερα, και σε ό,τι αφορά τον καταγγέλλοντα, στις καταστάσεις αυτές αναγραφόταν το ονοματεπώνυμό του, ο κλάδος/κατηγορία, καθώς και το γνωστικό αντικείμενο των σπουδών του, στοιχεία, τα οποία, όπως ισχυρίζεται, διέρρευσαν παράνομα στην ΕΛΑΣ. Περαιτέρω, ο καταγγέλλων ισχυρίζεται ότι λόγω της μη δημοσίευσης του Ν. 4873/2021 στην Εφημερίδα της Κυβερνήσεως (στο εξής «ΕτΚ»), στην οποία δημοσιεύθηκε στις 16-12-2021, ο Νόμος αυτός δεν είχε τεθεί σε ισχύ κατά την στιγμή της διαβίβασης των προσωπικών του δεδομένων προς την ΕΛΑΣ, το γεγονός δε ότι αυτά διαβιβάσθηκαν μία ημέρα πριν την δημοσίευση στην ΕτΚ, ήτοι στις 15-12-2021, καθιστά την διαβίβαση αυτή παράνομη. Επιπλέον, ισχυρίζεται ότι τα προσωπικά του δεδομένα έτυχαν παρανόμως επεξεργασίας από υπαλλήλους της ΕΛΑΣ, οι οποίοι δεν ήταν εξουσιοδοτημένοι για αυτή την επεξεργασία κατά το χρονικό διάστημα από 15-12-2021 έως και 07-01-2022, οπότε και εκδόθηκε η απόφαση του Αρχηγού της ΕΛΑΣ (…) περί τοποθέτησης του καταγγέλλοντα στην … . Προς επίρρωση των ανωτέρω ισχυρισμών του προβάλλει ως επιχείρημα το υφιστάμενο, κατά τη στιγμή της διαβίβασης, δικαίωμα αναπομπής της Προέδρου της Δημοκρατίας (άρθρο 42 Συντάγματος), ισχυριζόμενος ότι θα μπορούσε να μην δημοσιευθεί τελικά ο Νόμος αυτός στην Εφημερίδα της Κυβερνήσεως στην περίπτωση που η Πρόεδρος της Δημοκρατίας ανέπεμπε το εν λόγω νομοσχέδιο στη Βουλή. Τέλος, προβάλλει τον ισχυρισμό ότι η επίμαχη επεξεργασία ήταν παράνομη, και λόγω του ότι δεν προηγήθηκε γνωμοδότηση της Αρχής για την εν λόγω διαβίβαση. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/2064/12-08-2022 έγγραφό της κάλεσε την καταγγελλόμενη να εκθέσει τις απόψεις της επί των καταγγελλομένων, παρέχοντας κάθε σχετικό στοιχείο τεκμηρίωσης. Η καταγγελλόμενη στην απάντησή της με αρ. πρωτ. Γ/ΕΙΣ/9698/25-082022, ισχυρίσθηκε ότι μετά την ψήφιση του Ν. 4873/2021 και την υπογραφή από την Πρόεδρο της Δημοκρατίας της παραγγελίας προς δημοσίευσή του στην Εφημερίδα της Κυβερνήσεως, διαβίβασε στις 15-12-2021 στον Υπουργό Προστασίας του Πολίτη, 2 στον Υφυπουργό Προστασίας του Πολίτη και στον Αρχηγό της ΕΛΑΣ το υπ’ αριθμ. πρωτ. … έγγραφο, με συνημμένες καταστάσεις του υπηρετούντος προσωπικού της ΕΥΠ, στις οποίες αναγράφονταν το ονοματεπώνυμο των υπαλλήλων, η κατηγορία, ο κλάδος, ο βαθμός αυτών, καθώς επίσης και οι τίτλοι σπουδών που κατείχαν, στοιχεία απαραίτητα για την έκδοση των αποφάσεων μετάταξης και τοποθέτησής τους σύμφωνα με την πρόβλεψη της διάταξης του άρθρου 74 του Ν. 4873/2021 (ΦΕΚ Α΄/248/16-12-2021). Περαιτέρω, η ΕΥΠ ισχυρίσθηκε ότι η επίμαχη διαβίβαση έλαβε χώρα στις 15-12-2021 προς το Υπουργείο Προστασίας του Πολίτη, που είναι δημόσιος φορέας, υπό τους όρους του άρθρου 26 του Ν. 4624/2019, ήτοι στο πλαίσιο εκτέλεσης των καθηκόντων της ΕΥΠ, αλλά και των οριζόμενων προϋποθέσεων του άρθρου 24 του ως άνω Νόμου, ενόψει της επικείμενης μετάταξης του καταγγέλλοντα και της ανάγκης ελέγχου των στοιχείων του από την ΕΛΑΣ, προτού ολοκληρωθεί η διοικητική πράξη της μετάταξής του. Επιπροσθέτως, ανέφερε ότι τα δεδομένα που διαβιβάσθηκαν ήταν ακριβή και διαβιβάσθηκαν με ασφάλεια στα αρμόδια διοικητικά όργανα για την έκδοση των προαναφερόμενων διοικητικών πράξεων, καθώς και ότι η διαβίβαση αυτή έγινε μόλις μια ημέρα πριν την έναρξη ισχύος του Ν. 4873/2021 και θα πρέπει να εξετασθεί στο πλαίσιο της συνεργασίας και προεργασίας των δημοσίων υπηρεσιών, η οποία αποτελεί πάγια πρακτική μεταξύ των υπηρεσιών, όταν πρόκειται να εφαρμοσθούν ανάλογες διατάξεις Νόμου, δεδομένου ότι η εν λόγω διαβίβαση θα πραγματοποιείτο ούτως ή άλλως την 16-12-2021, ημερομηνία έναρξης ισχύος του ως άνω Νόμου. Τέλος, η ΕΥΠ ισχυρίζεται ότι δεν προβλέπεται εν προκειμένω υποχρέωσή της για λήψη γνωμοδότησης από την Αρχή. Προς αντίκρουση όσων απάντησε με το ανωτέρω έγγραφό της η ΕΥΠ, ο καταγγέλλων με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/345/18-01-2023 συμπληρωματικό υπόμνημά του επανέλαβε τους αναφερόμενους στην καταγγελία του ισχυρισμούς, προσθέτοντας ότι η ΕΥΠ αποφάσισε αυθαίρετα για το είδος των προσωπικών δεδομένων που κοινοποίησε, δεδομένου ότι δεν υπήρχε σχετικό επίσημο έγγραφο αίτημα από το Υπουργείο Προστασίας του Πολίτη, καθώς και ότι ο ισχυρισμός της ΕΥΠ ότι η διαβίβαση και επεξεργασία των προσωπικών του δεδομένων έλαβε χώρα μεταξύ δημοσίων υπηρεσιών για τους σκοπούς του Ν. 4873/2021 είναι αβάσιμος, δεδομένου ότι οι δημόσιες υπηρεσίες δεν εξαιρούνται της εφαρμογής του Ν. 3 4624/2019 και ότι κατά το επίδικο χρονικό διάστημα ο Ν. 4873/2021 δεν είχε τεθεί σε ισχύ. Στη συνέχεια, η Αρχή κάλεσε με τις με αριθ. πρωτ. Γ/ΕΞ/184/17-01-2023 και Γ/ΕΞ/185/17-01-2023 κλήσεις της αμφότερα τα μέρη σε ακρόαση, μέσω τηλεδιάσκεψης στις 24-01-2023, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση. Κατά τη συνεδρίαση της 24-01-2023 της Ολομέλειας της Αρχής παρέστησαν μέσω τηλεδιάσκεψης ο καταγγέλλων αυτοπροσώπως με την μάρτυρα Β, στην οποία όμως, δεν υποβλήθηκαν ερωτήσεις στο πλαίσιο της εν λόγω ακρόασης, και για λογαριασμό της καταγγελλόμενης οι Γ, Νομικός Σύμβουλους της ΕΥΠ, Δ, Προϊσταμένη της Διεύθυνσης Διοικητικής Υποστήριξης και Ανθρωπίνων Πόρων και η Ε, Υπεύθυνη Προστασίας Δεδομένων της ΕΥΠ. Κατά την ακρόαση τα μέρη ανέπτυξαν τις απόψεις τους και συγκεκριμένα ο καταγγέλλων, αναφερόμενος στην καταγγελία του, επεσήμανε ότι το έγγραφο με τα προσωπικά του δεδομένα διαβιβάσθηκε στην ΕΛΑΣ πριν τεθεί σε ισχύ ο Νόμος που προέβλεπε την μετάταξή του, οι δε εκπρόσωποι της ΕΥΠ ανέφεραν ότι αυτό συνέβη διότι είχαν ενημέρωση από το Εθνικό Τυπογραφείο ότι θα γινόταν εκείνη την ημέρα (15-12-2021) η δημοσίευση στο ΦΕΚ, αλλά τελικά δεν έγινε λόγω τεχνικής αστοχίας του Τυπογραφείου, καθώς και ότι η επίσπευση της διαβίβασης από πλευράς της ΕΥΠ έγινε για υπηρεσιακούς λόγους. Στη συνέχεια, τα μέρη έλαβαν προθεσμία και κατέθεσαν εμπρόθεσμα, ο μεν καταγγέλλων το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/995/09-02-2023 υπόμνημα, η δε καταγγελλόμενη το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/884/03-02-2023 υπόμνημα. Ο καταγγέλλων και με το ως άνω έγγραφο υπόμνημά του επανέλαβε τους ισχυρισμούς που ανέπτυξε προηγουμένως ενώπιον της Αρχής, προσθέτοντας και ότι: α) Η ΕΥΠ δεν γνώριζε και δεν θα μπορούσε να γνωρίζει εάν η Πρόεδρος της Δημοκρατίας θα υπέγραφε τον Νόμο ή εάν θα τον ανέπεμπε στη Βουλή για τους λόγους που προβλέπονται στο Σύνταγμα, ή αν ακόμη και η κυβέρνηση θα απέσυρε τον Νόμο πριν δημοσιευθεί, καθώς και ότι σε κάθε περίπτωση δεν υπήρχε σε ισχύ οποιαδήποτε πρόβλεψη για την κοινοποίηση των προσωπικών του δεδομένων στις 15/12/2021, β) Πέραν του ότι ο Ν. 4873/2021 δεν βρισκόταν σε ισχύ στις 15-12-2021, επιπροσθέτως, σε κανένα σημείο του δεν προβλέπεται η διαδικασία διαβίβασης και επεξεργασίας των προσωπικών δεδομένων των μετατασσόμενων υπαλλήλων, ούτε αναφέρονται οι αποδέκτες στους οποίους αυτά θα κοινοποιούνταν, γ) 4 Διαβιβάσθηκαν περισσότερα στοιχεία από όσα ήταν αναγκαία, και συγκεκριμένα για τον σκοπό της μετάταξης δεν χρειαζόταν να διαβιβασθούν ο κλάδος, η κατηγορία, ο βαθμός και το σύνολο των τίτλων σπουδών του, δεδομένου ότι σύμφωνα με το π.δ. 50/2001 η κατάταξη του προσωπικού σε κατηγορία και κλάδο της ΕΛΑΣ διεξάγεται ανάλογα με τα τυπικά προσόντα των υπαλλήλων, ήτοι ανάλογα με το εάν κατέχουν πτυχίο πανεπιστημιακής εκπαίδευσης ή όχι, δ) Σύμφωνα με το άρθρο 12 Ν. 3649/2008 (ΦΕΚ 39/Α΄/3.3.2008) ο Εσωτερικός Κανονισμός της ΕΥΠ και ο συνημμένος σε αυτόν Πίνακας Σύνθεσης και Κατανομής Προσωπικού στους κλάδους της είναι απόρρητοι και σύμφωνα με το άρθρο 14 του ιδίου Νόμου προβλέπονται ποινικές κυρώσεις για όποιον δημοσιοποιεί στοιχεία που αφορούν την υπηρεσιακή κατάσταση του προσωπικού, ε) Δεδομένου ότι ο Ν. 4873/2021 δεν αναφέρει ρητά την ακριβή διαδικασία της διαβίβασης των απόρρητων προσωπικών δεδομένων των υπαλλήλων της ΕΥΠ σε τρίτα μέρη, θα έπρεπε στην αιτιολογική του έκθεση να υπάρχει γνωμοδότηση της ΑΠΔΠΧ σχετικά με την κοινοποίηση απόρρητων προσωπικών δεδομένων των υπαλλήλων της ΕΥΠ, την αναγκαιότητα γνωστοποίησης στο Υπουργείο Προστασίας του Πολίτη και την ΕΛΑΣ του ακριβούς αντικειμένου απασχόλησης του προσωπικού της ΕΥΠ, αλλά και των προσωπικών δεδομένων του προσωπικού αυτού που ήταν απαραίτητο να κοινοποιηθούν στην ΕΛΑΣ, και μάλιστα χωρίς η ΕΛΑΣ να έχει υποβάλει σχετικό αίτημα, στ) Είναι αβάσιμος ο ισχυρισμός της ΕΥΠ ότι η εν λόγω διαβίβαση έγινε μεταξύ δημοσίων υπηρεσιών για τους σκοπούς του Ν. 4873/2021, καθώς, όπως ισχυρίζεται, και οι δημόσιες υπηρεσίες οφείλουν να εφαρμόζουν τη νομοθεσία περί προσωπικών δεδομένων, και να μην εφαρμόζουν «προληπτικά» Νόμους που «επρόκειτο να τεθούν σε ισχύ» πριν τεθούν σε ισχύ, ζ) Ο ισχυρισμός της ΕΥΠ ότι η εν λόγω διαβίβαση έγινε στο πλαίσιο προεργασίας και συνεργασίας των δημοσίων υπηρεσιών δεν ευσταθεί για τον λόγο ότι δεν εστάλη καν σχετικό αίτημα προς την ΕΥΠ από το Υπουργείο Προστασίας του Πολίτη, και η) Η εν λόγω παράνομη κοινοποίηση των προσωπικών του δεδομένων έγινε με δόλο στις 1512-

1. Η δε, καταγγελλόμενη ΕΥΠ στο ως άνω έγγραφο υπόμνημά της αναφέρει ότι α) Ο ισχυρισμός του καταγγέλλοντα ότι η Πρόεδρος της Δημοκρατίας θα μπορούσε να αναπέμψει το ψηφισθέν νομοσχέδιο στη Βουλή προβάλλεται αλυσιτελώς, καθώς πρόκειται για μια συνθήκη πολιτεύματος κατά την οποία ο Πρόεδρος της 5 Δημοκρατίας δεν ασκεί ποτέ αναπομπή, πρόκειται δηλαδή για μια καθαρά συμβολικού χαρακτήρα αρμοδιότητα, και σε κάθε περίπτωση, τελικά ο Νόμος πράγματι εκδόθηκε και τέθηκε σε ισχύ, β) Εν προκειμένω έλαβε χώρα διαβίβαση προσωπικών δεδομένων δυνάμει του άρθρου 26 παρ. 1 Ν. 4624/2019, από έναν δημόσιο φορέα σε έτερο δημόσιο φορέα και στο πλαίσιο της εκτέλεσης καθηκόντων του φορέα που διαβιβάζει-τηρουμένης της προϋπόθεσης του άρθρου 24 παρ. 1 εδ. β Ν. 4624/2019 περί της αναγκαιότητας της επεξεργασίας ενόψει της επικείμενης μετάταξης του καταγγέλλοντος και της ανάγκης ελέγχου των στοιχείων του από την ΕΛΑΣ, προτού ολοκληρωθεί από αυτή η διοικητική διαδικασία της μετάταξης του καταγγέλλοντος. Ήτοι, δεν υπήρξε, κατά τους ισχυρισμούς της ΕΥΠ διαρροή προσωπικών δεδομένων, καθώς δεν παραβιάσθηκε οποιαδήποτε διάταξη του ΓΚΠΔ, δεδομένου ότι η διαβίβαση ήταν σύννομη και θεμιτή, τα δε δεδομένα ήταν τα απολύτως απαραίτητα προς το σκοπό της διαβίβασης και ήταν ακριβή, γ) Δεν υπάρχει η οποιαδήποτε πρόβλεψη στην νομοθεσία προσωπικών δεδομένων που να επιβάλλει στην ΕΥΠ υποχρέωση να ζητήσει γνωμοδότηση από την αρμόδια εποπτική αρχή, πριν προβεί στη διαβίβαση των ως άνω προσωπικών δεδομένων, δ) Ακόμα και εάν ήθελε υποτεθεί ότι υπήρξε παραβίαση της νομοθεσίας περί προσωπικών δεδομένων, αυτή διήρκησε μόλις λίγες ώρες, καθώς παρότι το Εθνικό Τυπογραφείο είχε διαβεβαιώσει την ΕΥΠ για την αυθημερόν δημοσίευση, ωστόσο αυτό δεν κατέστη εφικτό λόγω τεχνικής αστοχίας του Τυπογραφείου, και δεν οφείλεται σε δόλο της ΕΥΠ, ε) Λόγω της μεγάλης δημοσιότητας που είχε λάβει το εν λόγω ζήτημα της μετάταξης, ο καταγγέλλων γνώριζε την επικείμενη μετάταξή του και είχε την συνακόλουθη γνώση από το αρμόδιο διοικητικό όργανο των στοιχείων του για την έκδοση της σχετικής απόφασης μετάταξης, στ) Ο καταγγέλλων με την γνωστοποίηση στην Αρχή των στοιχείων της προϊσταμένης της Διεύθυνσης Διοικητικής Υποστήριξης και Ανθρωπίνων Πόρων της ΕΥΠ, παραβιάζει ο ίδιος το καθήκον εχεμύθειας από το οποίο δεσμεύεται και μετά την αποχώρησή του (άρθρο 14 Ν. 3649/2007). Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου και των διαμειφθέντων στην από 24-01-2023 συνεδρίαση, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου μετά από διεξοδική συζήτηση 6 ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
2. Επειδή, σύμφωνα με τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (EE) 2016/679 (εφεξής, ΓΚΠΔ) και του άρθρου 9 του Ν. 4624/2019 (ΦΕΚ Α ́ 137), η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του Νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του Ν. 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της εν λόγω καταγγελίας κατά της ΕΥΠ, καθόσον αυτή αφορά σε κοινολόγηση με διαβίβαση δεδομένων τα οποία περιλαμβάνονται σε σύστημα αρχειοθέτησης κατά την έννοια του άρθρου 4 στοιχ. 2 και 6 του ΓΚΠΔ, επομένως για επεξεργασία υπαγόμενη στο ρυθμιστικό πεδίο των άρθρων 2 παρ. 1 του ΓΚΠΔ και 2 του Ν. 4624/
4. Επειδή, ειδικότερα, σύμφωνα με το άρθρο 4 στοιχ. 1 του ΓΚΠΔ «δεδομένα προσωπικού χαρακτήρα είναι κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου».
5. Επειδή, περαιτέρω σύμφωνα με το άρθρο 4 στοιχ. 2 ΓΚΠΔ επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή».
6. Επειδή, στο άρθρο 4 στοιχ. 7 ΓΚΠΔ ως υπεύθυνος επεξεργασίας ορίζεται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή 7 από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους».
7. Επειδή, στο άρθρο 5 παρ. 1 του ΓΚΠΔ τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία, και ειδικότερα: «
8. Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια») (…)».
9. Επειδή, περαιτέρω, σύμφωνα με την αρχή της λογοδοσίας που εισάγεται με τη δεύτερη παράγραφο του ίδιου ως άνω άρθρου, ορίζεται ρητώς ότι ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Η αρχή αυτή, η οποία συνιστά ακρογωνιαίο λίθο του ΓΚΠΔ, συνεπάγεται την υποχρέωση του υπευθύνου επεξεργασίας να δύναται να αποδείξει συμμόρφωση και για τον σκοπό αυτό να ελέγξει και να τεκμηριώσει νομικά μια επεξεργασία που διενεργεί σύμφωνα με τις νομικές βάσεις που του παρέχει ο ΓΚΠΔ και το εθνικό δίκαιο προστασίας δεδομένων.
10. Επειδή, ειδικότερα, προκειμένου μια πράξη επεξεργασίας να θεωρηθεί σύννομη (και σύμφωνη με το άρθρο 5 παρ. 1 ΓΚΠΔ) απαιτείται να συντρέχει ένας από τους νόμιμους λόγους επεξεργασίας που προβλέπονται στο άρθρο 6 παρ. 1 (στοιχ. α-στ) ΓΚΠΔ, ήτοι «
11. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ' αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης, γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας, δ) η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου, ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, στ) η επεξεργασία είναι 8 απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί. Το στοιχείο στ) του πρώτου εδαφίου δεν εφαρμόζεται στην επεξεργασία που διενεργείται από δημόσιες αρχές κατά την άσκηση των καθηκόντων τους».
12. Επειδή προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, ήτοι επεξεργασίας σύμφωνα προς τις απαιτήσεις του ΓΚΠΔ, θα πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ, όπως προκύπτει και από την απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ) της 16-01-2019 στην υπόθεση C496/2017 Deutsche Post AG κατά HauptzollamtKoln.1 Η ύπαρξη ενός νόμιμου θεμελίου (άρθρο 6 ΓΚΠΔ) δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των αρχών (άρθρο 5 παρ. 1 ΓΚΠΔ) αναφορικά με τον θεμιτό χαρακτήρα, την αναγκαιότητα και την αναλογικότητα καθώς και την αρχή της ελαχιστοποίησης. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπομένων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία παρίσταται ως μη νόμιμη (αντικείμενη στις διατάξεις του ΓΚΠΔ) και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρου 6 ΓΚΠΔ. Έτσι, η κατά παράβαση των αρχών του άρθρου 5 ΓΚΠΔ μη νόμιμη συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης.2 Επιπλέον δε, το ΔΕΕ με την από 01-10-2015 απόφασή του στο πλαίσιο της υπόθεσης C-201/14 (Smaranda Bara) έκρινε ως προϋπόθεση της θεμιτής και νόμιμης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα την ενημέρωση του υποκειμένου των δεδομένων προ της 1 «
13. Ωστόσο, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να είναι σύμφωνη, αφενός προς τις αρχές που πρέπει να τηρούνται ως προς την ποιότητα των δεδομένων, τις οποίες θέτει το άρθρο 6 της οδηγίας 95/46 ή το άρθρο 5 του κανονισμού 2016/679 και, αφετέρου, προς τις βασικές αρχές της νόμιμης επεξεργασίας δεδομένων που απαριθμεί το άρθρο 7 της οδηγίας αυτής ή το άρθρο 6 του κανονισμού αυτού (πρβλ. αποφάσεις της 20ής Μαΐου 2003, ÖsterreichischerRundfunk κ.λπ., C465/00, C-138/01 και C-139/01, EU:C:2003:294, σκέψη 65, καθώς και της 13ης Μαΐου 2014, GoogleSpain και Google, C-131/12, EU:C:2014:317, σκέψη 71) ». 2 Βλ. Απόφαση 26/2019 ΑΠΔ , σκ.
14. Πρβλ. Απόφαση 38/2004 ΑΠΔ, και 12/2022 ΑΠΔ. 9 επεξεργασίας αυτών.3 Ειδικότερα, ο υπεύθυνος επεξεργασίας, στο πλαίσιο της από μέρους του τήρησης της αρχής της θεμιτής ή δίκαιης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, οφείλει να ενημερώνει το υποκείμενο των δεδομένων ότι πρόκειται να επεξεργαστεί τα δεδομένα του με νόμιμο και διαφανή τρόπο 4 και να βρίσκεται σε θέση ανά πάσα στιγμή να αποδείξει τη συμμόρφωσή του με τις αρχές αυτές (αρχή της λογοδοσίας κατ' άρθρο 5 παρ. 2 σε συνδυασμό με τα άρθρα 24 παρ. 1 και 32 ΓΚΠΔ)
16. Επειδή περαιτέρω, η αναγνώριση και επιλογή της κατάλληλης νοµικής βάσης εκ των προβλεποµένων στο άρθρο 6 παρ. 1 ΓΚΠ∆ είναι στενά συνδεδεµένη µε την αρχή της θεµιτής ή δίκαιης επεξεργασίας καθώς και µε την αρχή του περιορισµού του σκοπού, ο δε υπεύθυνος επεξεργασίας οφείλει όχι µόνο να επιλέξει την κατάλληλη νοµική βάση προ της έναρξης της επεξεργασίας, αλλά και να ενηµερώσει κατ’ άρθρο 13 παρ. 1 εδ. γ’ ΓΚΠ∆ για την χρήση της το υποκείµενο των δεδοµένων, καθώς η επιλογή της κάθε νοµικής βάσης ασκεί έννοµη επιρροή στην εφαρµογή των δικαιωµάτων των υποκειµένων.6 Ειδικότερα, η επιλογή της νοµικής βάσης επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα πρέπει να λαµβάνει χώρα προ της έναρξης της επεξεργασίας, ο δε υπεύθυνος επεξεργασίας υποχρεούται µε βάση την αρχή της λογοδοσίας (βλ. άρθρο 5 παρ. 2 σε συνδυασμό µε τα άρθρα 24 και 32 ΓΚΠ∆) να επιλέξει την κατάλληλη νοµική βάση εκ των προβλεποµένων από το άρθρο 6 παρ. 1 ΓΚΠ∆, καθώς και να είναι σε θέση να αποδείξει την τήρηση των αρχών του άρθρου 5 παρ. 1 ΓΚΠ∆, περιλαµβανοµένης αυτονοήτως και της τεκµηρίωσης επί τη βάσει της οποίας κατέληξε στην οικεία νοµική βάση. Εξάλλου, µε τον ΓΚΠ∆ υιοθετήθηκε ένα νέο µοντέλο συµµόρφωσης, κεντρικό άξονα του οποίου συνιστά η προαναφερόμενη αρχή της λογοδοσίας, στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρµόζει και εν γένει λαµβάνει τα αναγκαία µέτρα και 3 ΔΕΕ, C-201/14, Smaranda Bara κ.λπ. κατά Casa Naţională de Asigurări de Sănătate κ.λπ., 1 Οκτωβρίου 2015, ιδίως σκ. 34 4 Βλ. σχετικά ΔΕΕ C496/17 ό.π. παρ. 59 και ΔΕΕ C-201/14 της 01-10-2015 παρ. 31-35 και ιδίως 34 καθώς και σχετική αναφορά στην Απόφαση 26/2019 ΑΠΔ, σκ.
17. 5 Βλ. συναφώς Αποφάσεις ΑΠΔ 26/2019, σκ. 6 και ΑΠΔ 43/2019, σκ.
18. 6 Βλ. Κατευθυντήριες Γραµµές 2/2019 του Ευρωπαϊκού Συµβουλίου Προστασίας ∆εδοµένων “on the processing of personaldataunderArticle 6