Εξέταση ζητήματος σχετικά με το περιεχόμενο και την εμβέλεια του δικαιώματος που αναγνωρίζεται στο υποκείμενο των δεδομένων να αποκτά πρόσβαση στα προ

Αθήνα, 31-12-2024 Αριθ. Πρωτ.: 3758 ΑΠΟΦΑΣΗ 57/2024 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της στην έδρα της την Τρίτη 18.07.2023 και ώρα 10 π.μ., εξ αναβολής από τις συνεδριάσεις των 13ης.06.2023, 29ης.06.2023 και 07ης.07.2023, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, Χαράλαμπος Ανθόπουλος, Χρήστος Καλλονιάτης, Αικατερίνη Ηλιάδου και Γρηγόριος Τσόλιας, ως εισηγητής. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν οι Χαρίκλεια Λάτσιου, Στεφανία Πλώτα και Χάρις Συμεωνίδου, νομικοί ελεγκτές - δικηγόροι, ως βοηθοί εισηγητή, καθώς και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Υποβλήθηκε στην Αρχή η από 14.11.2019 (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/7859/14.11.2019) αίτηση, με την οποία ο Α κατήγγειλε ότι η Διεύθυνση Ανθρωπίνων Πόρων της εταιρείας Διαχειριστής Ελληνικού Δικτύου Διανομής Ηλεκτρικής Ενέργειας Α.Ε. (εφεξής εταιρεία ΔΕΔΔΗΕ Α.Ε.) δεν ικανοποίησε το δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα που τον αφορούν. Συγκεκριμένα, ο Α με την από … και με αρ. πρωτ. ΔΕΔΔΗΕ … αίτησή του ζήτησε να λάβει: «(…) πλήρες επικαιροποιημένο πιστοποιητικό υπηρεσιακών μεταβολών, όπως αυτό ορίζεται στο δισέλιδο αντίγραφο ηλεκτρονικού ταχυδρομείου (email) και εντός του χρονικού περιθωρίου που ορίζεται στο email αυτό, για να το χρησιμοποιήσω για την συγκεκριμένη απόσπασή μου στον ΕΚΟΜΕ Α.Ε. σε θέση όπως αυτή ορίζεται στην 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr υπ’ αριθμ. 19/25-1-2019 ανακοίνωση – πρόσκλησης για τη στελέχωση του Εθνικού Κέντρου Οπτικοακουστικών Μέσων και Επικοινωνίας (ΕΚΟΜΕ Α.Ε.)». Σε απάντηση της ανωτέρω σχετικής αίτησης η Διεύθυνση Ανθρωπίνων Πόρων της εταιρείας ΔΕΔΔΗΕ Α.Ε. με το υπ’ αρ. πρωτ. … έγγραφο ενημέρωσε, μεταξύ άλλων, ότι: «(…) η προαναφερόμενη πρόσκληση εκδήλωσης ενδιαφέροντος απευθύνεται ρητά σε υπαλλήλους που υπηρετούν σε φορείς της Γενικής Κυβέρνησης και του Ευρύτερου Δημόσιου Τομέα, καθώς και των ΟΤΑ α΄ και β΄ βαθμού. Ωστόσο, η ΔΕΗ Α.Ε., από 20.08.1991, σύμφωνα με το Π.Δ. 360/1991 έπαυσε να υπάγεται στις διατάξεις που ισχύουν για τον δημόσιο τομέα, όπως αυτός επαναοριοθετήθηκε από την παρ. 1 του άρθρου 51 του Ν. 1892/1990 και με το Π.Δ. 333/2000 έχει μετατραπεί σε Ανώνυμη Εταιρεία. Η ΔΕΔΔΗΕ Α.Ε., αποτελεί Εταιρεία 100% θυγατρική της ΔΕΗ Α.Ε., που προήλθε από την απόσχιση του Κλάδου Διανομής της τελευταίας (ΔΕΗ Α.Ε.), σύμφωνα με το άρθρο 123 του Ν. 4001/2011, η οποία λειτουργεί από την 1η Μαΐου του έτους 2012 ως Νομικό Πρόσωπο Ιδιωτικού Δικαίου (Ανώνυμη Εταιρεία) και το προσωπικό της συνδέεται με την Εταιρεία με σχέση εργασίας ιδιωτικού δικαίου. Η ΔΕΗ Α.Ε. και κατ’ επέκταση η ΔΕΔΔΗΕ Α.Ε., εμπίπτουν στις διατάξεις του Κεφαλαίου Β΄ του Ν. 3429/2005, είναι Ν.Π.Ι.Δ., και εποπτεύονται από το Υπουργείο Περιβάλλοντος και Ενέργειας. Ως εκ τούτου το προσωπικό της ΔΕΔΔΗΕ Α.Ε. δεν ταυτίζεται με το αναφερόμενο στη β΄ σχετική πρόσκληση προσωπικό. Παρακαλούμε για την ενημέρωση του υπόψη μισθωτού». Μετά τη συζήτηση της ανωτέρω αίτησης στη συνεδρίαση του Τμήματος την 26η.02.2020 εκδόθηκε η απόφαση 23/2020 της Αρχής, με την οποία αφενός διαπιστώθηκε η ικανοποίηση του αιτήματος του Α και η χορήγηση του αιτούμενου πιστοποιητικού υπηρεσιακών μεταβολών από την εταιρεία ΔΕΔΔΗΕ Α.Ε. (βλ. σελ. 3) και για το λόγο αυτό κρίθηκε ότι στερείται αντικειμένου η ανωτέρω καταγγελία και αφετέρου κρίθηκε ότι: « (…) Η ικανοποίηση του σχετικού αιτήματος προϋποθέτει την επιπλέον επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τηρούνται στο σύστημα αρχειοθέτησης που τηρείται για τον εργαζόμενο προκειμένου να παραχθεί το εν λόγω πιστοποιητικό. Κάθε φορά που ο εργαζόμενος αιτείται την έκδοση ενός πιστοποιητικού με βάση τα δεδομένα προσωπικού χαρακτήρα που τηρεί ο εργοδότης για τους σκοπούς που καθορίζονται στο νόμο, κατ’ ουσίαν αιτείται την από μέρους 2 του εργοδότη επιπλέον επεξεργασία των δεδομένων του προκειμένου να δημιουργηθεί ένα νέο έγγραφο (πιστοποιητικό) το οποίο δεν υφίσταται και άρα δεν περιλαμβάνεται κατά τον χρόνο της αίτησης του. Επομένως, η απόρριψη του αιτήματος έκδοσης του πιστοποιητικού, ήτοι εγγράφου που δεν έχει ακόμη δημιουργηθεί, δεν μπορεί να συνιστά απόρριψη αιτήματος πρόσβασης σε δεδομένα προσωπικού χαρακτήρα καθώς με τις σχετικές διατάξεις προστατεύεται το δικαίωμα του υποκειμένου να γνωρίζει το σύνολο των δεδομένων του που τηρούνται στο σύστημα αρχειοθέτησης κατά τον χρόνο της αίτησης προκειμένου να ελέγξει τη νομιμότητα της συλλογής και της διατήρησης των δεδομένων κατά τα προεκτεθέντα (…) ( βλ. σκ. 7). Με την ίδια απόφαση η Αρχή παρέπεμψε σε σύνθεση Ολομέλειας, δυνάμει της διάταξης του άρθρου 5α του Κανονισμού Λειτουργίας της Αρχής, όπως ίσχυε (ΦΕΚ Β 336/2000, Β 859/2008 και Β 989/2011), λόγω της σπουδαιότητας και της γενικότερης σημασίας του, το ζήτημα: « (…) αν η χορήγηση δεδομένων προσωπικού χαρακτήρα από αρχείο που τηρεί ο υπεύθυνος επεξεργασίας μέσω πιστοποιητικών, βεβαιώσεων κοκ, δηλ. μετά από σχετική πρόσθετη επεξεργασία από το σχετικό αρχείο που τηρεί – και σε αντίθεση με τη χορήγηση αντιγράφου του συνόλου του σχετικού αρχείου – εμπίπτει πράγματι στην έννοια του δικαιώματος πρόσβασης, όπως διαμορφώνεται υπό το ΓΚΠΔ και το νόμο 4624/2019». Η Αρχή, μετά από εξέταση των ζητημάτων σχετικά με το περιεχόμενο και την εμβέλεια του δικαιώματος που αναγνωρίζεται στο υποκείμενο των δεδομένων να αποκτά πρόσβαση στα δεδομένα προσωπικού χαρακτήρα τα οποία το αφορούν και υποβάλλονται σε επεξεργασία και να λαμβάνει αντίγραφο των εν λόγω δεδομένων, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τις βοηθούς εισηγητή, οι οποίες παρέστησαν χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

1. Το άρθρο 15 ΓΚΠΔ με τίτλο “Δικαίωμα πρόσβασης του υποκειμένου” προβλέπει: «
2. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα 3 προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες: […]
3. Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. Για επιπλέον αντίγραφα που ενδέχεται να ζητηθούν από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας μπορεί να επιβάλει την καταβολή εύλογου τέλους για διοικητικά έξοδα. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως.
4. Το δικαίωμα να λαμβάνεται αντίγραφο που αναφέρεται στην παράγραφο 3 δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων.» Εξάλλου, στην αιτιολογική σκέψη 60 ΓΚΠΔ επεξηγείται ότι η αρχή της δίκαιης και διαφανούς επεξεργασίας, κατ΄ άρθρο 5 παρ. 1 στοιχ. α΄ ΓΚΠΔ, απαιτεί να ενημερώνεται το υποκείμενο των δεδομένων για την ύπαρξη της πράξης επεξεργασίας και τους σκοπούς της. Επιπλέον, υπογραμμίζεται ότι ο υπεύθυνος επεξεργασίας θα πρέπει να παρέχει στο υποκείμενο κάθε περαιτέρω πληροφορία που είναι αναγκαία για τη διασφάλιση δίκαιης και διαφανούς επεξεργασίας, λαμβάνοντας υπόψη τις ειδικές συνθήκες και το πλαίσιο εντός του οποίου πραγματοποιείται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα. Περαιτέρω, η αιτιολογική σκέψη 63 ΓΚΠΔ διευκρινίζει ότι: «Ένα υποκείμενο των δεδομένων θα πρέπει να έχει δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα τα οποία συλλέχθηκαν και το αφορούν και να μπορεί να ασκεί το εν λόγω δικαίωμα ευχερώς και σε εύλογα τακτά διαστήματα, προκειμένου να έχει επίγνωση και να επαληθεύει τη νομιμότητα της επεξεργασίας. (…) Επομένως, κάθε υποκείμενο των δεδομένων θα πρέπει να έχει το δικαίωμα να γνωρίζει και να του ανακοινώνεται ιδίως για ποιους σκοπούς γίνεται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα, εφόσον είναι δυνατόν για πόσο διάστημα γίνεται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα, ποιοι αποδέκτες λαμβάνουν τα δεδομένα προσωπικού χαρακτήρα, ποια λογική ακολουθείται στην τυχόν αυτόματη επεξεργασία δεδομένων προσωπικού χαρακτήρα και ποιες θα μπορούσαν να είναι οι συνέπειες της εν λόγω επεξεργασίας, τουλάχιστον όταν αυτή βασίζεται σε κατάρτιση 4 προφίλ. Ο υπεύθυνος επεξεργασίας θα πρέπει να δύναται να παρέχει πρόσβαση εξ αποστάσεως σε ασφαλές σύστημα μέσω του οποίου το υποκείμενο των δεδομένων αποκτά άμεση πρόσβαση στα δεδομένα που το αφορούν. Το δικαίωμα αυτό δεν θα πρέπει να επηρεάζει αρνητικά τα δικαιώματα ή τις ελευθερίες άλλων, όπως το επαγγελματικό απόρρητο ή το δικαίωμα διανοητικής ιδιοκτησίας και, ειδικότερα, το δικαίωμα δημιουργού που προστατεύει το λογισμικό (…)». Κατ΄ ακολουθία των ανωτέρω, το δικαίωμα πρόσβασης του άρθρου 15 ΓΚΠΔ παρέχει τη δυνατότητα στο υποκείμενο των δεδομένων να βεβαιώνεται ότι υφιστάμενα δεδομένα προσωπικού χαρακτήρα που το αφορούν είναι ακριβή και ότι η επεξεργασία τους γίνεται με νόμιμο τρόπο
5. Ειδικότερα, το δικαίωμα πρόσβασης είναι αναγκαίο προκειμένου το υποκείμενο των δεδομένων να μπορεί να ασκήσει ενδεχομένως τα δικαιώματα διόρθωσης, διαγραφής των δεδομένων και αυτό του περιορισμού της επεξεργασίας, των άρθρων 16, 17 και 18 του ΓΚΠΔ, αντίστοιχα, το δικαίωμα να αντιταχθεί στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν, το οποίο προβλέπεται στο άρθρο 21 του ΓΚΠΔ, καθώς και το δικαίωμα να ασκήσει αγωγή σε περίπτωση ζημίας, το οποίο προβλέπεται στα άρθρα 79 και 82 του ΓΚΠΔ
7. Το Δικαστήριο της Ευρωπαϊκής Ένωσης (ΔΕΕ) με την απόφαση C-487/21, προβαίνοντας σε γραμματική, συστηματική και τελολογική ερμηνεία της διάταξης της παρ. 3 του άρθρου 15 ΓΚΠΔ περί της χορήγησης αντιγράφου των δεδομένων προσωπικού χαρακτήρα, έκρινε, πρώτον, ότι η ευρεία ερμηνεία της έννοιας των δεδομένων προσωπικού χαρακτήρα, η οποία προκύπτει από τον ορισμό του άρθρου 4 στοιχ. α΄ ΓΚΠΔ, γίνεται αποδεκτή από τη νομολογία και συνδέεται με τον σκοπό που επιδιώκει ο ΓΚΠΔ περί διασφάλισης υψηλού επιπέδου προστασίας των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, συνεπάγεται ότι η επίμαχη έννοια, και, επομένως, το δικαίωμα πρόσβασης στα εν λόγω δεδομένα και λήψης αντιγράφου τους, δεν περιορίζεται αποκλειστικά και μόνο στα δεδομένα που ενδεχομένως αποκτά, διατηρεί και επεξεργάζεται ο υπεύθυνος βλ. σχετική απόφαση ΔΕΕ C-154/21 Österreichische Post από 12.01.2023 σκ. 37, με την σ΄ αυτήν αναφερόμενη προηγούμενη νομολογία του Δικαστηρίου. 2 (βλ. απόφαση ΔΕΕ C-154/21 Österreichische Post από 12.01.2023 σκ. 38, με την σ΄ αυτήν αναφερόμενη προηγούμενη νομολογία του Δικαστηρίου. 1 5 επεξεργασίας, αλλά περιλαμβάνει επίσης όλες τις πληροφορίες που προκύπτουν από την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που αφορούν ταυτοποιημένο ή ταυτοποιήσιμο πρόσωπο, όπως επί παραδείγματι η εκτίμηση της φερεγγυότητας ενός ατόμου ή της προθυμίας του να πληρώσει (σκ. 26). Δεύτερον, το ΔΕΕ έκρινε ότι με το άρθρο 15 παρ. 3 ΓΚΠΔ διευκρινίσθηκαν οι πρακτικές λεπτομέρειες για την εκπλήρωση της υποχρέωσης που υπέχει ο υπεύθυνος επεξεργασίας, αποσαφηνίζοντας, μεταξύ άλλων, στην πρώτη περίοδο, τη μορφή με την οποία ο υπεύθυνος επεξεργασίας πρέπει να παρέχει τα «δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία», δηλαδή με τη μορφή «αντιγράφου» (σκ. 31). Συνεπώς, καταλήγει το ΔΕΕ: «
8. Ως εκ τούτου, το άρθρο 15 του ΓΚΠΔ δεν μπορεί να ερμηνευθεί υπό την έννοια ότι θεσπίζει, στην παράγραφο 3, πρώτη περίοδος, δικαίωμα διαφορετικό από εκείνο που προβλέπεται στην παράγραφο
9. Εξάλλου, όπως επισήμανε η Ευρωπαϊκή Επιτροπή με τις γραπτές παρατηρήσεις της, ο όρος «αντίγραφο» δεν αναφέρεται στο έγγραφο αυτό καθεαυτό, αλλά στα δεδομένα προσωπικού χαρακτήρα που περιέχονται σε αυτό, τα οποία πρέπει να είναι πλήρη. Ως εκ τούτου, το αντίγραφο πρέπει να περιέχει όλα τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία». Ως εκ τούτου, το δικαίωμα πρόσβασης αφορά στα δεδομένα προσωπικού χαρακτήρα τα οποία υφίστανται και διατηρούνται κατά τον χρόνο υποβολής του αιτήματος πρόσβασης από το υποκείμενο προκειμένου το τελευταίο να ελέγξει την νομιμότητα της επεξεργασίας την δεδομένη χρονική στιγμή και να ασκήσει τυχόν δικαιώματά του χωρίς να απαιτείται η επίκληση συγκεκριμένου λόγου που να δικαιολογεί το αίτημα πρόσβασης. Στην ανωτέρω απόφαση του ΔΕΕ C-487/21 κρίθηκε, τρίτον, ότι κατ’ απαίτηση της αρχής της δίκαιης και διαφανούς επεξεργασίας, σύμφωνα με τα οριζόμενα στις αιτιολογικές σκέψεις 10 και 60 ΓΚΠΔ και τις διατάξεις των άρθρων 5 παρ. 1 στοιχ. α’ και 12 παρ. 1 ΓΚΠΔ, ο υπεύθυνος επεξεργασίας οφείλει να λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που μνημονεύεται, μεταξύ άλλων, στο άρθρο 15 του ΓΚΠΔ, σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, και ότι οι πληροφορίες παρέχονται γραπτώς ή με άλλα μέσα, μεταξύ 6 άλλων, εφόσον ενδείκνυται, ηλεκτρονικώς, εκτός εάν το υποκείμενο των δεδομένων ζητήσει να παρασχεθούν προφορικά (σκ. 38). Ως εκ τούτου, το αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία, το οποίο ο υπεύθυνος επεξεργασίας οφείλει να παράσχει δυνάμει του άρθρου 15 παρ. 3 του ΓΚΠΔ, πρέπει να έχει όλα τα χαρακτηριστικά που επιτρέπουν στο υποκείμενο των δεδομένων να ασκήσει αποτελεσματικά τα δικαιώματά του βάσει του κανονισμού αυτού και πρέπει, κατά συνέπεια, να αναπαράγει πλήρως και πιστά τα δεδομένα αυτά (σκ. 39). Καταλήγει, εν προκειμένω, το ΔΕΕ: «[…]
10. Πράγματι, προκειμένου να διασφαλιστεί ότι οι κατ’ αυτόν τον τρόπο παρεχόμενες πληροφορίες είναι ευχερώς κατανοητές, όπως απαιτεί το άρθρο 12, παράγραφος 1, σε συνδυασμό με την αιτιολογική σκέψη 58 του κανονισμού του ΓΚΠΔ, η αναπαραγωγή αποσπασμάτων εγγράφων ή ακόμη και ολόκληρων εγγράφων ή αποσπασμάτων από βάσεις δεδομένων που περιέχουν, μεταξύ άλλων, τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία μπορεί να αποδειχθεί απαραίτητη, όπως επισήμανε ο γενικός εισαγγελέας στα σημεία 57 και 58 των προτάσεών του, στην περίπτωση που, προκειμένου να εξασφαλιστεί ο εύληπτος χαρακτήρας των δεδομένων, απαιτείται η ένταξή τους σε συγκεκριμένο πλαίσιο.
11. Ειδικότερα, όταν δεδομένα προσωπικού χαρακτήρα παράγονται από άλλα δεδομένα ή όταν τα δεδομένα αυτά προέρχονται από ελεύθερα πεδία, δηλαδή από την έλλειψη ενδείξεων που αποκαλύπτουν πληροφορίες σχετικά με το υποκείμενο των δεδομένων, το πλαίσιο εντός του οποίου τα δεδομένα υποβάλλονται σε επεξεργασία αποτελεί απαραίτητο στοιχείο προκειμένου το υποκείμενο των δεδομένων να έχει διαφανή πρόσβαση και εύληπτη παρουσίαση των δεδομένων.» Τέταρτον, με την προρρηθείσα απόφαση το ΔΕΕ κατ’ εφαρμογή της διάταξης του άρθρου 15 παρ. 4 ΓΚΠΔ έκρινε ότι: «
12. […] σε περίπτωση σύγκρουσης μεταξύ, αφενός, της άσκησης του δικαιώματος πλήρους πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και, αφετέρου, των δικαιωμάτων ή των ελευθεριών τρίτων, θα πρέπει να γίνει στάθμιση των επίμαχων δικαιωμάτων. Οσάκις είναι δυνατόν, θα πρέπει να επιλέγονται τρόποι κοινοποίησης των δεδομένων προσωπικού χαρακτήρα οι οποίοι δεν προσβάλλουν τα δικαιώματα ή τις ελευθερίες τρίτων, λαμβανομένου, εντούτοις, υπόψη ότι, όπως προκύπτει από την αιτιολογική σκέψη 63 του ΓΚΠΔ, 7 τέτοιοι παράγοντες δεν πρέπει «να έχουν ως αποτέλεσμα την άρνηση παροχής κάθε πληροφορίας στο υποκείμενο των δεδομένων».
13. Ακολούθως, το ΕΣΠΔ στις Κατευθυντήριες Γραμμές 1/2022 για το δικαίωμα πρόσβασης 3 εξηγεί συναφώς, ότι το δικαίωμα πρόσβασης αποτελείται από τρία συστατικά στοιχεία, ήτοι: α) την επιβεβαίωση για το κατά πόσον ή όχι δεδομένα προσωπικού χαρακτήρα υφίστανται επεξεργασία, β) την πρόσβαση σε αυτά και γ) την παροχή πληροφοριών σχετικά με την επεξεργασία (σκ. 3). Διευκρινίζεται, περαιτέρω, ότι κρίσιμος χρόνος για την αξιολόγηση της συνδρομής του πρώτου προαναφερόμενου στοιχείου (δηλ. της επεξεργασίας προσωπικών δεδομένων) από τον υπεύθυνο επεξεργασίας είναι ο χρόνος άσκησης του δικαιώματος και η ικανοποίησή του προϋποθέτει την ύπαρξη των προσωπικών δεδομένων (διαθεσιμότητα) κατά τον χρόνο αυτό (σκ. 37). Περαιτέρω, επεξηγείται ότι η χορήγηση αντιγράφου των δεδομένων κατά το άρθρο 15 παρ. 3 ΓΚΠΔ δεν συνιστά διακριτό δικαίωμα από αυτό της παραγράφου 1 του ίδιου άρθρου, αλλά συνιστά τρόπο εκπλήρωσης της πρόσβασης στα δεδομένα για την εκπλήρωση του ανωτέρω υπό β) στοιχείου (σκ. 22-25). Ακολούθως, επισημαίνεται ότι ο υπεύθυνος επεξεργασίας φέρει την ευθύνη να αποφασίσει κατά περίπτωση και σε εκπλήρωση της αρχής της διαφάνειας, τον τρόπο χορήγησης των πληροφοριών κατ’ άρθρο 15 παρ. 3, ώστε αυτές να είναι προσβάσιμες και εύληπτες για το υποκείμενο των δεδομένων (σκ. 150). Επεξηγείται συναφώς, ότι εναπόκειται στην κρίση του υπευθύνου επεξεργασίας να αποφασίσει, αξιολογώντας τις ειδικότερες περιστάσεις του αιτήματος πρόσβασης σε σχέση με τα τηρούμενα δεδομένα, τον τρόπο εκπλήρωσης της υποχρέωσης παροχής πρόσβασης στα δεδομένα και χορήγησης αντιγράφου αυτών, αν δηλ. η απαίτηση της παροχής πρόσβασης στο υποκείμενο των δεδομένων σε εύληπτη μορφή (άρ. 12 παρ. 1 και αιτιολ. σκ. 58 ΓΚΠΔ) μπορεί να επιτευχθεί με την παροχή αυτούσιων δεδομένων, όπως τηρούνται στα συστήματα αρχειοθέτησης και τις βάσεις δεδομένων (αναπαραγωγή αποσπασμάτων εγγράφων ή ακόμα και ολόκληρων εγγράφων) ή αν προσήκει η σύνταξη/παραγωγή εγγράφων από διαφορετικές βάσεις δεδομένων του υπευθύνου (σκ. 152). Τέλος, Το τελικό κείμενο των ΚΓ 1/2022 του ΕΣΠΔ, όπως εγκρίθηκε και δημοσιεύθηκε την 28η.03.2023, είναι https://edpb.europa.eu/system/files/2023διαθέσιμο στον σύνδεσμο 04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf 3 8 υπογραμμίζεται ότι το δικαίωμα πρόσβασης του άρθρου 15 ΓΚΠΔ διακρίνεται από το δικαίωμα στην πρόσβαση σε διοικητικά έγγραφα βάσει εθνικής διάταξης νόμου, σύμφωνα με την οποία ο διοικούμενος έχει δικαίωμα να λάβει αντίγραφο του διοικητικού εγγράφου, χωρίς αυτό να σημαίνει ότι το δικαίωμα πρόσβασης βάσει του άρθρου 15 ΓΚΠΔ αποκλείει την πιθανότητα χορήγησης αντιγράφου του εγγράφου στο οποίο εμφανίζονται τα δεδομένα (σκ. 154).
14. Σύμφωνα με όσα αναφέρονται στις προηγούμενες σκέψεις, η χορήγηση αντιγράφων των ίδιων των προσωπικών δεδομένων, κατ’ άρθρο 15 παρ. 3 ΓΚΠΔ, τα οποία διατηρούνται και υποβάλλονται σε επεξεργασία κατά το χρόνο υποβολής του σχετικού αιτήματος, αποτελεί τρόπο ικανοποίησης του δικαιώματος πρόσβασης του υποκειμένου στα προσωπικά δεδομένα του που ασκείται με βάση την παράγραφο 2 του άρθρου αυτού
15. Ειδικότερα, το δικαίωμα πρόσβασης του υποκειμένου κατ’ άρθρο 15 παρ. 1 ΓΚΠΔ σε δεδομένα προσωπικού χαρακτήρα που τηρούνται ιδίως στα συστήματα αρχειοθέτησης του υπευθύνου επεξεργασίας, πρέπει να εφαρμόζεται στο πλαίσιο των σκοπών του ΓΚΠΔ, στους οποίους περιλαμβάνεται η ενίσχυση και ο λεπτομερής καθορισμός της άσκησης των δικαιωμάτων των υποκειμένων (ΔΕΕ C-487/21 σκ. 3335, ιδίως σκ. 36 5 και 39). Το υποκείμενο δικαιούται να γνωρίζει το σύνολο των δεδομένων του που τυχόν τηρούνται στο σύστημα αρχειοθέτησης κατά τον χρόνο της αίτησης πρόσβασης και να λαμβάνει αντίγραφα των σχετικών εγγράφων προκειμένου να ελέγξει τη νομιμότητα της συλλογής και της διατήρησης τους. Σε περίπτωση, όμως, κατά την οποία το υποκείμενο των δεδομένων αιτείται από τον υπεύθυνο επεξεργασίας την παραγωγή ενός εγγράφου στο οποίο θα περιληφθούν τα προσωπικά δεδομένα του, όπως π.χ. η έκδοση ενός πιστοποιητικού ή μιας βεβαίωσης εργασίας, τότε απαιτείται μια νέα και αυτοτελής επεξεργασία των ήδη υφισταμένων προσωπικών δεδομένων, η οποία δεν συνίσταται απλώς σε αναπαραγωγή εγγράφων ή αποσπασμάτων εγγράφων προκειμένου τα προσωπικά δεδομένα του αιτούντος που τηρούνται σε σύστημα αρχειοθέτησης να ενταχθούν σε συγκεκριμένο πλαίσιο ώστε να χορηγηθούν σε εύληπτη μορφή. Ως εκ τούτου, το αίτημα Σύμφωνα με την διατύπωση της διάταξης στην αγγλική γλώσσα “undergoing processing”. «[…] η αρχή της δίκαιης και διαφανούς επεξεργασίας απαιτεί να ενημερώνεται το υποκείμενο των δεδομένων για την ύπαρξη της πράξης επεξεργασίας και τους σκοπούς της…». 4 5 9 έκδοσης ενός νέου εγγράφου, με συγκεκριμένη μορφή και περιεχόμενο, όπως π.χ. εκείνης της βεβαίωσης ή του πιστοποιητικού, δεν εμπίπτει στο πεδίο εφαρμογής του άρθρου 15 παρ. 1 και 3 του ΓΚΠΔ.
16. Λαμβάνοντας υπόψη τα διαλαμβανόμενα στις αμέσως προηγούμενες σκέψεις της παρούσας, η Αρχή διαπιστώνει, σε σχέση με το ζήτημα το οποίο παραπέμπεται με την υπ’ αρ. 23/2020 απόφασή της, ότι εκ του άρθρου 15 ΓΚΠΔ και των αιτιολογικών σκέψεων 60 και 63 ΓΚΠΔ, και με την επιφύλαξη τυχόν ειδικότερης κανονιστικής ρύθμισης, δεν γεννάται άνευ τινός ετέρου υποχρέωση του υπεύθυνου επεξεργασίας να προβεί σε νεότερη και πρόσθετη επεξεργασία των δεδομένων από το σύστημα αρχειοθέτησης που τηρεί, μέσω π.χ. της παραγωγής/σύνταξης το πρώτον σχετικών εγγράφων (πιστοποιητικών, βεβαιώσεων κοκ) που να περιέχουν τα αιτούμενα δεδομένα προσωπικού χαρακτήρα, προκειμένου να ικανοποιήσει το δικαίωμα πρόσβασης του υποκειμένου σε αυτά. Εναπόκειται όμως στην διακριτική ευχέρεια του ιδίου του υπευθύνου επεξεργασίας να ικανοποιήσει το δικαίωμα πρόσβασης με την έκδοση συγκεκριμένου π.χ. πιστοποιητικού ή βεβαίωσης κατόπιν συναφούς αίτησης του υποκειμένου των δεδομένων. Ως εκ τούτου, όσον αφορά το αντικείμενο της εξετασθείσας καταγγελίας με την απόφαση 23/2020 της Αρχής, η ΔΕΔΔΗΕ Α.Ε. δεν είχε, ως υπεύθυνος επεξεργασίας, εκ των παρ. 1 και 3 του άρθρου 15 ΓΚΠΔ, την υποχρέωση να παράξει/συντάξει το πρώτον το αιτούμενο επικαιροποιημένο πιστοποιητικό υπηρεσιακών μεταβολών του καταγγέλλοντος. Για την εκπλήρωση της υποχρέωσης ικανοποίησης του κατά το άρθρο 15 ΓΚΠΔ δικαιώματος πρόσβασης σε δεδομένα προσωπικού χαρακτήρα, μέσω της χορήγησης αντιγράφου σε δεδομένα προσωπικού χαρακτήρα, και ανεξαρτήτως πάντως τυχόν υποχρέωσης συμμόρφωσης με την υπ’ αρ. ΔΙΑΔΠ/Α/17854 (ΦΕΚ Β 1171/11.7.2007) ΚΥΑ περί υποχρεωτικής αυτεπάγγελτης αναζήτησης πιστοποιητικών που απαιτούνται για την έκδοση διοικητικών πράξεων, αρκούσε η παροχή των δεδομένων στο υποκείμενο, κατά τον χρόνο άσκησης του δικαιώματος πρόσβασης, από τα ήδη τυχόν υφιστάμενα συστήματα αρχειοθέτησης του υπευθύνου επεξεργασίας (π.χ. στιγμιότυπα οθόνης “screenshots”). Η απαίτηση του υποκειμένου των δεδομένων για την σύνταξη ενός πιστοποιητικού, ως και κάθε νεότερου εγγράφου, στο οποίο θα 10 αποτυπώνονται με τρόπο ακριβή και διαφανή, όλα τα δεδομένα προσωπικού του χαρακτήρα δεν γεννά υποχρέωση εκ του άρθρου 15 ΓΚΠΔ για την χορήγησή του. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή κρίνει ότι η αίτηση του υποκειμένου των δεδομένων προκειμένου να εκδοθεί από τον υπεύθυνο επεξεργασίας πιστοποιητικό, βεβαίωση κ.λπ. με συγκεκριμένη μορφή και περιεχόμενο δεν εμπίπτει στην έννοια του δικαιώματος πρόσβασης κατ’ άρθρο 15 ΓΚΠΔ, σύμφωνα με όσα αναφέρονται στο σκεπτικό. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 11