Αθήνα, 29-08-2022 Αριθ. Πρωτ.: 2138 ΑΠΟΦΑΣΗ 44/2022 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε στην έδρα της την 20.01.2021 μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Χαράλαμπος Ανθόπουλος, Σπυρίδων Βλαχόπουλος και Κωνσταντίνος Λαμπρινουδάκης, οι δύο τελευταίοι και ως εισηγητές της υπόθεσης. Παρόντες χωρίς δικαίωμα ψήφου ήταν οι Καλλιόπη Καρβέλη και Γεώργιος Ρουσόπουλος, ειδικοί επιστήμονες, ως βοηθοί εισηγητή, οι οποίοι αποχώρησαν μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης και η Γεωργία Παλαιολόγου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα ακόλουθα: Με την υπ’ αριθ. πρωτ. Γ/ΕΙΣ/7273/22.10.20 καταγγελία τους στην Αρχή κατά του Υπουργείου Παιδείας και Θρησκευμάτων, οι εκπαιδευτικοί Α, Β, Γ, Δ, Ε και ΣΤ α) αμφισβητούν τη νομιμότητα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που διενεργείται στο πλαίσιο της ηλεκτρονικής ψηφοφορίας για την ανάδειξη των αιρετών εκπροσώπων των εκπαιδευτικών στα Υπηρεσιακά Συμβούλια Πρωτοβάθμιας και Δευτεροβάθμιας Εκπαίδευσης και ζητούν από την Αρχή να διερευνήσει κατά πόσο η επεξεργασία αυτή πληροί τους κανόνες και προϋποθέσεις της νομοθεσίας προστασίας δεδομένων προσωπικού χαρακτήρα και κατά πόσο είναι σύννομη ή όχι, σε κανονιστικό, οργανωτικό και τεχνικό επίπεδο και β) ζητούν την μέχρι της εκδόσεως αποφάσεως επί των ανωτέρω, ενόψει των κινδυνωδών 1 χαρακτηριστικών της επεξεργασίας και της εν εξελίξει παραβίασης δεδομένων στο Πανελλήνιο Σχολικό Δίκτυο, έκδοση προσωρινής διαταγής με αίτημα την απαγόρευση της σχετικής επεξεργασίας, δηλαδή της διενέργειας ηλεκτρονικής ψηφοφορίας. Ειδικότερα οι καταγγέλλοντες αναφέρουν ότι η διαδικασία της ηλεκτρονικής ψηφοφορίας: α) είναι παράνομη, διότι δεν πληροί τις απαιτήσεις της νομοθεσίας προστασίας δεδομένων προσωπικού χαρακτήρα, δεδομένου ότι ο σκοπός μπορεί να επιτευχθεί χωρίς επεξεργασία δεδομένων, β) είναι επικίνδυνη, διότι δεν εξασφαλίζει το ζητούμενο επίπεδο προστασίας ενόψει και του ότι διενεργείται μετά την ανακοίνωση παραβίασης δεδομένων του Πανελλήνιου Σχολικού Δικτύου και προκαλεί υψηλούς κινδύνους για το δικαίωμα προστασίας δεδομένων, όπως και για άλλα θεμελιώδη δικαιώματα και ελευθερίες τόσο των ψηφοφόρων όσο και των εκλογέων, γ) αλλοιώνει και υπονομεύει μια συλλογική και θεμελιώδη δημοκρατική διαδικασία που συνιστά έκφραση της λαϊκής κυριαρχίας και της δημοκρατικής αρχής, δ) επηρεάζει σχεδόν το σύνολο των εκπαιδευτικών της δημόσιας πρωτοβάθμιας και δευτεροβάθμιας εκπαίδευσης της ελληνικής επικράτειας, οι οποίοι βρίσκονται σε εγγενή θέση αδυναμίας σε σχέση με τον υπεύθυνο επεξεργασίας, ε) θα περιλάβει δεδομένα ειδικών κατηγοριών (πολιτικές πεποιθήσεις) και μάλιστα υπαλλήλων, στ) θα διενεργηθεί κατά παράβαση της Αιτιολογικής Σκέψης 39 του Κανονισμού 2016/679 (Γενικού Κανονισμού Προστασίας Δεδομένων, εφεξής ΓΚΠΔ) και ζ) θα διενεργηθεί με τη χρήση νέων τεχνολογιών σε OnLine περιβάλλον που δεν έχει δοκιμαστεί στο παρελθόν για ανάλογης κλίμακας και επικινδυνότητας εκλογές. Επίσης αναφέρουν ότι i) δεν υφίσταται Κώδικας Δεοντολογίας που να καλύπτει την εν λόγω επεξεργασία δεδομένων, ii) δεν έχει εκπονηθεί μελέτη εκτίμησης αντικτύπου σχετικά με την προστασία των προσωπικών δεδομένων (εφεξής ΕΑΠΔ) πριν την διενέργεια της επεξεργασίας, iii) δεν έχει εφαρμοσθεί η Σύσταση CM/Rec
(2017)5 του Συμβουλίου της Ευρώπης σχετικά με τα πρότυπα (standards) της ηλεκτρονικής ψηφοφορίας,
- iv)μέρος της ασφάλειας της ηλεκτρονικής ψηφοφορίας μετατίθεται στον τελικό χρήστη και αφορά το επίπεδο πληροφοριακής ασφάλειας του τερματικού του, χωρίς αυτό να το γνωρίζει ο ίδιος ή να μπορεί σε κάθε περίπτωση να το προσεγγίσει,
- v)το σύστημα Helios, στο οποίο βασίστηκε το Π.Σ. ΖΕΥΣ, είναι μη αποδεκτού επιπέδου και προκαλεί ευθέως ακυρότητα των εκλογών λόγω πιθανής 2 παραβίασης της μυστικότητας και
- vi)δεν έχει εντοπισθεί, αξιολογηθεί και ληφθεί υπόψη ο κίνδυνος και οι επιπτώσεις συνήθων κυβερνοεπιθέσεων στον εξυπηρετητή, στους χρήστες και στην υποδομή επικοινωνιών μεταξύ χρηστών και εξυπηρετητή. Η Αρχή, σύμφωνα με το άρθρο 15 παρ. 8 του ν. 4624/2019 σε συνδυασμό με το άρθρο 58 παρ. 2 στ’ του ΓΚΠΔ, με την υπ’ αριθ. 1/20 Απόφαση του Προέδρου της, απέρριψε το αίτημα έκδοσης προσωρινής διαταγής, καθώς έκρινε ότι δεν συντρέχει περίπτωση απειλής κινδύνου για τα προσωπικά δεδομένα των υποκειμένων των δεδομένων, η οποία θα αποτελούσε λόγο έκδοσης προσωρινής διαταγής. Στο πλαίσιο διερεύνησης της καταγγελίας η Αρχή απέστειλε το από 29.10.20 και με αριθ. πρωτ. Γ/ΕΞ/7273-1 έγγραφο προς παροχή διευκρινίσεων στο Υπουργείο Παιδείας και Θρησκευμάτων (εφεξής ΥΠΑΙΘ), το οποίο στο με αριθ. πρωτ. Γ/ΕΙΣ/7589/05.11.20 απαντητικό έγγραφό του ανέφερε τα εξής: α) το ΥΠΑΙΘ κατά τον σχεδιασμό της δραστηριότητας επεξεργασίας μερίμνησε για την επιλογή του πληροφοριακού συστήματος ΖΕΥΣ, το οποίο διαθέτει ενσωματωμένες εγγυήσεις και έχει δοκιμαστεί επί σειρά ετών, έτσι ώστε να δύναται να διασφαλιστεί ότι πληρούνται όλες οι απαιτήσεις της νομοθεσίας περί προστασίας προσωπικών δεδομένων και προστατεύονται τα δικαιώματα των υποκειμένων των δεδομένων, καθώς και ότι, από τον σχεδιασμό και εξ ορισμού, το σύστημα ΖΕΥΣ επεξεργάζεται τα απολύτως απαραίτητα προσωπικά δεδομένα που είναι απαραίτητα για την ηλεκτρονική ψηφοφορία, β) η απαίτηση της υπ’ αρ. 39 αιτιολογικής σκέψης του ΓΚΠΔ πραγματώνεται με το σύστημα της ηλεκτρονικής ψηφοφορίας, καθώς αφενός διασφαλίζονται και μάλιστα αποτελεσματικότερα οι αρχές που διέπουν την ψηφοφορία αφετέρου υποβάλλονται σε επεξεργασία τα απολύτως απαραίτητα προσωπικά δεδομένα, γ) η σκοπούμενη επεξεργασία έχει προβλεφθεί σε νομοθετική διάταξη (αρ. 22 Ν. 4728/2020), από την οποία προκύπτουν τα βασικά χαρακτηριστικά της επεξεργασίας, δηλαδή ο Υπεύθυνος Επεξεργασίας, ο σκοπός αυτής, τα υποκείμενα των δεδομένων και οι κυριότερες κατηγορίες προσωπικών δεδομένων που υποβάλλονται σε επεξεργασία, ήτοι αυτά που είναι απαραίτητα σε μία οποιαδήποτε εκλογική διαδικασία για τη συγκρότηση των Εφορευτικών Επιτροπών, την ταυτοποίηση των εκλογέων και την καταχώριση των υποψηφίων και των εξ αυτών επιτυχόντων. Τα λοιπά ζητήματα της επεξεργασίας που καταλείπονται προς ρύθμιση με υπουργική απόφαση έχουν χαρακτήρα τεχνικών και λεπτομερειακών 3 ζητημάτων εφαρμογής του πληροφοριακού συστήματος της ηλεκτρονικής ψηφοφορίας, η ρύθμιση του οποίου απαιτεί εξειδικευμένες επιστημονικές γνώσεις και, επομένως, η παροχή εξουσιοδοτήσεως για την ρύθμιση, με υπουργική απόφαση, των ζητημάτων εφαρμογής της καθιερούμενης στον νόμο ηλεκτρονικής ψηφοφορίας δεν αντίκειται στο άρθρο 43 παρ. 2, εδάφιο β τ́ ου Συντάγματος, δ) λαμβάνοντας υπ’ όψη την υπ’ αριθ. 65/2018 απόφαση της Αρχής και τις Κατευθυντήριες Γραμμές για την εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων της Ομάδας Εργασίας του άρ. 29, το ΥΠΑΙΘ ως Υπεύθυνος Επεξεργασίας έκρινε ότι η επεξεργασία που διενεργείται μέσω του συστήματος ΖΕΥΣ δεν δύναται να επιφέρει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, κατά συνέπεια δεν πληρούνται οι προϋποθέσεις κατ’ άρ. 35 ΓΚΠΔ για τη διενέργεια ΕΑΠΔ, ε) διασφαλίζεται απολύτως η τήρηση της αρχής της ελαχιστοποίησης των δεδομένων, κατ’ άρ. 5 παρ. 1 περ. γ’ ΓΚΠΔ, ως στοιχείο της αρχής της αναλογικότητας, στ) η «ΨΗΦΙΑΚΗ ΚΑΛΠΗ ΖΕΥΣ» λαμβάνει υπόψη και λειτουργεί εντός του πλαισίου το οποίο έχει θέσει το Συμβούλιο της Ευρώπης με τη Σύσταση CM/Rec
(2017)511, όπως η τελευταία υιοθετήθηκε από την Επιτροπή Υπουργών των Κρατών Μελών, ζ) η εκτελούσα την επεξεργασία ΕΔΥΤΕ ΑΕ διαθέτει Πιστοποιητικό ΕΛΟΤ ISO /IEC 27001:2013, Πολιτική Ασφαλείας Πληροφοριών, η οποία έχει εγκριθεί με την από 03/03/2020 Απόφαση της 516ης Συνεδρίασης του ΔΣ της, Πολιτική Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, η οποία έχει εγκριθεί με την από 12/04/2019 Απόφαση της 482ης Συνεδρίας του ΔΣ της, ακολουθεί δε τον Κώδικα Δεοντολογίας που έχει θεσπίσει το GÉANT, το οποίο είναι το πανευρωπαϊκό δίκτυο έρευνας και εκπαίδευσης που διασυνδέει τα εθνικά δίκτυα έρευνας και εκπαίδευσης της Ευρώπης (NREN), και η) κατά την εκλογική διαδικασία μέσω της «ΨΗΦΙΑΚΗΣ ΚΑΛΠΗΣ ΖΕΥΣ» πληρούνται τα εχέγγυα ασφάλειας και αμεροληψίας. Η Αρχή, μετά από την εξέταση των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τους βοηθούς εισηγητή, οι οποίοι αποχώρησαν μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης, μετά από διεξοδική συζήτηση 4 ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
- Επειδή στη διάταξη του άρθρ. 22 Ν. 4728/2020 (ΦΕΚ Α’ 186/2020) ορίστηκε: «Τρόποι εκλογής των αιρετών μελών των υπηρεσιακών συμβουλίων εκπαιδευτικού προσωπικού και ειδικού εκπαιδευτικού προσωπικού ειδικής αγωγής
- Το άρθρο 19 του π.δ. 1/2003 (Α’ 1) αντικαθίσταται ως εξής: «Οι αιρετοί εκπρόσωποι των εκπαιδευτικών πρωτοβάθμιας και δευτεροβάθμιας εκπαίδευσης, που μετέχουν στα: α) Περιφερειακά Υπηρεσιακά Συμβούλια Πρωτοβάθμιας Εκπαίδευσης (Π.Υ.Σ.Π.Ε.), β) Περιφερειακά Υπηρεσιακά Συμβούλια Δευτεροβάθμιας Εκπαίδευσης (Π.Υ.Σ.Δ.Ε.), γ) Ανώτερα Περιφερειακά Υπηρεσιακά Συμβούλια Πρωτοβάθμιας Εκπαίδευσης (Α.Π.Υ.Σ.Π.Ε.), δ) Ανώτερα Περιφερειακά Υπηρεσιακά Συμβούλια Δευτεροβάθμιας Εκπαίδευσης (Α.Π.Υ.Σ.Δ.Ε.), ε) Κεντρικό Υπηρεσιακό Συμβούλιο Πρωτοβάθμιας Εκπαίδευσης (Κ.Υ.Σ.Π.Ε.) και στ) Κεντρικό Υπηρεσιακό Συμβούλιο Δευτεροβάθμιας Εκπαίδευσης (Κ.Υ.Σ.Δ.Ε.), εκλέγονται με άμεση, καθολική και μυστική ψηφοφορία που διεξάγεται το πρώτο Σάββατο του μηνός Νοεμβρίου κάθε δεύτερου έτους. Η εκλογή διεξάγεται στην έδρα κάθε Διεύθυνσης Εκπαίδευσης.».
- Το άρθρο 34 του π.δ. 1/2003 αντικαθίσταται ως εξής: «Οι αιρετοί εκπρόσωποι του Ειδικού Εκπαιδευτικού και του Ειδικού Βοηθητικού Προσωπικού ειδικής αγωγής στα Περιφερειακά Υπηρεσιακά Συμβούλια Ειδικού Εκπαιδευτικού Προσωπικού (Π.Υ.Σ.Ε.Ε.Π.) και στο Κεντρικό Υπηρεσιακό Συμβούλιο Ειδικού Εκπαιδευτικού Προσωπικού (Κ.Υ.Σ.Ε.Ε.Π.) εκλέγονται με άμεση, καθολική και μυστική ψηφοφορία που διεξάγεται το πρώτο Σάββατο του μηνός Νοεμβρίου κάθε δεύτερου έτους. Η εκλογή διεξάγεται στην έδρα κάθε Περιφερειακής Διεύθυνσης Εκπαίδευσης. Μέλη του Ειδικού Εκπαιδευτικού και του Ειδικού Βοηθητικού Προσωπικού, που υπηρετούν σε Κέντρα Εκπαιδευτικής και Συμβουλευτικής Υποστήριξης (Κ.Ε.Σ.Υ.) και σε Σχολικές Μονάδες Ειδικής Αγωγής και Εκπαίδευσης (Σ.Μ.Ε.Α.Ε.) που λειτουργούν εκτός έδρας της Περιφερειακής Διεύθυνσης Εκπαίδευσης, μπορούν να ψηφίζουν με αλληλογραφία.».
- Οι εκλογικές διαδικασίες που διενεργούνται κατ` εφαρμογή των παρ. 1 και 2 δύναται να διεξαχθούν μέσω ηλεκτρονικής ψηφοφορίας κατόπιν απόφασης του Υπουργού Παιδείας και Θρησκευμάτων, με την οποία καθορίζονται και οι αναγκαίες λεπτομέρειες ως προς τον τρόπο διεξαγωγής της ηλεκτρονικής 5 ψηφοφορίας, κατά παρέκκλιση του π.δ. 1/2003 και άλλων συναφών διατάξεων που ρυθμίζουν αποκλειστικά και μόνο τη διεξαγωγή της εκλογικής διαδικασίας με αυτοπρόσωπη εμφάνιση των εκλογέων ενώπιον εφορευτικών επιτροπών ή με αλληλογραφία.
- Με απόφαση του Υπουργού Παιδείας και Θρησκευμάτων καθορίζονται και ανακαθορίζονται οι ημερομηνίες διεξαγωγής των διάφορων σταδίων της εκλογικής διαδικασίας ανάδειξης των αιρετών μελών των εν λόγω υπηρεσιακών συμβουλίων. Με κοινή απόφαση των Υπουργών Παιδείας και Θρησκευμάτων και Υγείας, εφόσον δεν είναι δυνατή η ηλεκτρονική ψηφοφορία της παρ. 3, αναστέλλονται διάφορα στάδια προκηρυχθείσας εκλογικής διαδικασίας για λόγους προστασίας της δημόσιας υγείας ή της υγείας των συμμετεχόντων στις διαδικασίες αυτές. Στην περίπτωση αυτή, με την ίδια απόφαση, παρατείνεται η θητεία των αιρετών μελών των εν λόγω υπηρεσιακών συμβουλίων για το χρονικό διάστημα που είναι απολύτως αναγκαίο για να περαιωθούν οι εκλογικές διαδικασίες και πάντως όχι πέραν των οκτώ
(8)μηνών.
- Οι διατάξεις του παρόντος εφαρμόζονται για τις εκλογικές διαδικασίες που διεξάγονται μετά από την έναρξη ισχύος του παρόντος, ανεξαρτήτως της έκδοσης υπουργικής απόφασης, με την οποία έχει καθορισθεί διάφορος χρόνος και τρόπος διεξαγωγής τους.» Ακολούθως, με την υπ’ αρ. Φ.350/51/139940/E3 Απόφαση των Υπουργών Παιδείας και Θρησκευμάτων και Επικρατείας (ΦΕΚ Β ́4537/2020) ρυθμίστηκε ο τρόπος διεξαγωγής της εκλογικής διαδικασίας και καθορίστηκαν οι αναγκαίες λεπτομέρειες ως προς τον τρόπο διεξαγωγής της ηλεκτρονικής ψηφοφορίας και συνακόλουθα οι ρόλοι των συμμετεχόντων φορέων και ο σκοπός των διενεργούμενων επεξεργασιών προσωπικών δεδομένων. Στην εν λόγω απόφαση προβλέφθηκαν όλα τα συναφή τεχνικά και λεπτομερειακά ζητήματα για την εφαρμογή της διαδικασίας ηλεκτρονικής ψηφοφορίας. Η υπό κρίση εκλογική διαδικασία με ηλεκτρονική ψήφο υλοποιείται μέσω του ειδικού πληροφοριακού συστήματος «ΨΗΦΙΑΚΗ ΚΑΛΠΗ ΖΕΥΣ» του Εθνικού Δικτύου Υποδομών Τεχνολογίας και Έρευνας (ΕΔΥΤΕ Α.Ε.), η πρόσβαση στο οποίο πραγματοποιείται μέσω της επίσημης ιστοσελίδας αυτού. Κατ’ εφαρμογή του άρθ. 2 παρ. 4 περ. β’ της ως άνω υπ’ αρ.Φ.350/51/139940/E3 Υπουργικής Απόφασης το ΥΠΑΙΘ με τις Εφορευτικές Επιτροπές συνήψαν το υπ’ αρ. πρωτ. 11635/16-10-2020 ΜΝΗΜΟΝΙΟ ΣΥΝΕΡΓΑΣΙΑΣ ΓΙΑ ΤΗΝ ΤΗΡΗΣΗ 6 ΕΜΠΙΣΤΕΥΤΙΚΟΤΗΤΑΣ ΚΑΙ ΤΗΝ ΠΡΟΣΤΑΣΙΑ ΤΩΝ ΠΡΟΣΩΠΙΚΩΝ ΔΕΔΟΜΕΝΩΝ με την ΕΔΥΤΕ υπό την ιδιότητα της εκτελούσας την επεξεργασία. Στο εν λόγω Μνημόνιο περιελήφθησαν όροι για την προστασία των προσωπικών δεδομένων, oι λεπτομερείς πληροφορίες και η καταγραφή των δεδομένων προς επεξεργασία περιλαμβάνονται στη διάταξη του άρθ. 22 του Ν. 4728/2020 και στη βάσει αυτής εκδοθείσα, ανωτέρω μνημονευόμενη, υπ’ αριθ. Φ.350/51/139940/E3 Υπουργική Απόφαση που έχει δημοσιευθεί στην Εφημερίδα της Κυβερνήσεως.
- Επειδή, από τις διατάξεις των άρθρων 51 και 55 του ΓΚΠΔ και του άρθρου 9 του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ.1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της συγκεκριμένης καταγγελίας και να ασκήσει, αντίστοιχα, τις εξουσίες της κατά τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/
- Επειδή, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς, γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»), (…)». Ειδικότερα, για να είναι επιτρεπτή η επεξεργασία προσωπικών δεδομένων πρέπει να έχει νόμιμο έρεισμα, δηλαδή να προβλέπεται με διάταξη τυπικού νόμου ή με κανονιστική πράξη εκδιδόμενη βάσει ειδικής νομοθετικής εξουσιοδότησης και εντός των ορίων της (ενδεικτικά Γνωμοδότηση Αρχής 3/2017).
- Επειδή, σύμφωνα με τα οριζόμενα, στη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται 7 στην παράγραφο 1 του άρθρου
- Όπως έχει κρίνει η Αρχή 1, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό στοιχείο του οποίου συνιστά η αρχή της λογοδοσίας, στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει εκείνος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ.
- Επειδή, περαιτέρω, σύμφωνα με τις διατάξεις του άρθρου 6 παρ. 1 στοιχ. γ’ του ΓΚΠΔ, η επεξεργασία προσωπικών δεδομένων είναι σύννομη, όταν είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας.
- Επειδή, σύμφωνα και με το άρθρο 8 παρ. 1 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, το άρθρο 9Α του Συντάγματος και την αιτιολογική σκέψη 4 του ΓΚΠΔ, το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο, αλλά πρέπει να εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας. Ο ΓΚΠΔ σέβεται όλα τα θεμελιώδη δικαιώματα και τηρεί τις ελευθερίες και αρχές που αναγνωρίζονται στον Χάρτη, ιδίως τον σεβασμό της ιδιωτικής και οικογενειακής ζωής, της κατοικίας και των επικοινωνιών, την προστασία των δεδομένων προσωπικού χαρακτήρα, την ελευθερία σκέψης, συνείδησης και θρησκείας, την ελευθερία έκφρασης και πληροφόρησης, την επιχειρηματική ελευθερία, το δικαίωμα πραγματικής προσφυγής και αμερόληπτου δικαστηρίου και την πολιτιστική, θρησκευτική και γλωσσική πολυμορφία.
- Επειδή το άρθρο 35 ΓΚΠΔ ορίζει, «Όταν ένα είδος επεξεργασίας, ιδίως με χρήση νέων τεχνολογιών και συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας διενεργεί, πριν από την επεξεργασία, εκτίμηση των επιπτώσεων των σχεδιαζόμενων 1 Βλ. απόφαση Αρχής 26/2019, σκέψη 8, διαθέσιμη στην ιστοσελίδα της. 8 πράξεων επεξεργασίας στην προστασία δεδομένων προσωπικού χαρακτήρα».
- Επειδή στην υπό κρίση περίπτωση, η επεξεργασία των προσωπικών δεδομένων λαμβάνει χώρα προς τον σκοπό της ανάδειξης με άμεση, καθολική και μυστική ψηφοφορία των αιρετών εκπροσώπων των εκπαιδευτικών πρωτοβάθμιας και δευτεροβάθμιας εκπαίδευσης, που μετέχουν στα: α) Περιφερειακά Υπηρεσιακά Συμβούλια Πρωτοβάθμιας Εκπαίδευσης (Π.Υ.Σ.Π.Ε.), β) Περιφερειακά Υπηρεσιακά Συμβούλια Δευτεροβάθμιας Εκπαίδευσης (Π.Υ.Σ.Δ.Ε.), γ) Ανώτερα Περιφερειακά Υπηρεσιακά Συμβούλια Πρωτοβάθμιας Εκπαίδευσης (Α.Π.Υ.Σ.Π.Ε.), δ) Ανώτερα Περιφερειακά Υπηρεσιακά Συμβούλια Δευτεροβάθμιας Εκπαίδευσης (Α.Π.Υ.Σ.Δ.Ε.), ε) Κεντρικό Υπηρεσιακό Συμβούλιο Πρωτοβάθμιας Εκπαίδευσης (Κ.Υ.Σ.Π.Ε.) και στ) Κεντρικό Υπηρεσιακό Συμβούλιο Δευτεροβάθμιας Εκπαίδευσης (Κ.Υ.Σ.Δ.Ε καθώς και του Ειδικού Εκπαιδευτικού και του Ειδικού Βοηθητικού Προσωπικού ειδικής αγωγής στα Περιφερειακά Υπηρεσιακά Συμβούλια Ειδικού Εκπαιδευτικού Προσωπικού (Π.Υ.Σ.Ε.Ε.Π.) και στο Κεντρικό Υπηρεσιακό Συμβούλιο Ειδικού Εκπαιδευτικού Προσωπικού (Κ.Υ.Σ.Ε.Ε.Π.). Ο εν λόγω σκοπός πραγματοποιείται με: α) την ηλεκτρονική κατάρτιση πινάκων εκλογέων, β) την ανακήρυξη των υποψηφιοτήτων, γ) την απόδοση στα μέλη της Εφορευτικής Επιτροπής κωδικών πρόσβασης στο σύστημα, δ) την καταχώριση στο σύστημα «ΖΕΥΣ» των απαραίτητων στοιχείων για τη διεξαγωγή της ψηφοφορίας, στα οποία περιλαμβάνονται οι πίνακες εκλογέων, τα ηλεκτρονικά ψηφοδέλτια και τα στοιχεία των μελών των Εφορευτικών Επιτροπών, ε) την αποστολή στους εκλογείς μηνύματος ηλεκτρονικού ταχυδρομείου αφενός για την ενημέρωσή τους σχετικά με τη διαδικασία αφετέρου για τη γνωστοποίηση σε αυτούς της ακριβούς διαδικτυακής διεύθυνσης στην οποία θα ασκήσουν το εκλογικό τους δικαίωμα, στ) την αποστολή στους ψηφοφόρους ψηφιακής απόδειξης καταχώρισης ψήφου και ζ) την έκδοση των αποτελεσμάτων της ψηφοφορίας.
- Επειδή, η ανωτέρω επεξεργασία στο πλαίσιο της εκλογικής διαδικασίας με ηλεκτρονική ψήφο για την ανάδειξη αιρετών εκπροσώπων των εκπαιδευτικών στα Υπηρεσιακά Συμβούλια Πρωτοβάθμιας και Δευτεροβάθμιας Εκπαίδευσης και των μελών Ειδικού Εκπαιδευτικού Προσωπικού (ΕΕΠ) και Ειδικού Βοηθητικού Προσωπικού(ΕΒΠ) στα Υπηρεσιακά Συμβούλια του Ειδικού Εκπαιδευτικού Προσωπικού έχει προβλεφθεί με νομοθετική διάταξη (άρθ. 22 Ν. 4728/2020 και την προαναφερόμενη υπ’ αρ. Φ.350/51/139940/E3 Υπουργική Απόφαση). Από τις εν 9 λόγω διατάξεις προκύπτουν τα βασικά χαρακτηριστικά της επεξεργασίας, δηλαδή ο υπεύθυνος επεξεργασίας, ο σκοπός αυτής, τα υποκείμενα των δεδομένων και οι κυριότερες κατηγορίες προσωπικών δεδομένων που υποβάλλονται σε επεξεργασία, ήτοι τα στοιχεία που είναι απαραίτητα σε μία οποιαδήποτε εκλογική διαδικασία για τη συγκρότηση των Εφορευτικών Επιτροπών, την ταυτοποίηση των εκλογέων και την καταχώριση των υποψηφίων και των εξ αυτών επιτυχόντων. Ο προσδιορισμός των υποκειμένων προκύπτει από την ίδια τη φύση της εκλογικής διαδικασίας σε συνδυασμό και με τις διατάξεις του π.δ. 1/2003, το οποίο μνημονεύεται και στο προοίμιο της ανωτέρω υπουργικής απόφασης, και ιδίως των άρθ. 19 επ. του προεδρικού αυτού διατάγματος. Ειδικότερα, από τις ανωτέρω διατάξεις του άρθρου 22 του Ν. 4728/2020 προκύπτει σαφώς ότι η διαδικασία της εκλογής με ηλεκτρονική ψήφο των αιρετών εκπροσώπων των εκπαιδευτικών στα ανωτέρω μνημονευόμενα Υπηρεσιακά Συμβούλια διενεργείται για λογαριασμό του ΥΠΑΙΘ, το οποίο και ορίζει πλήρως τα μέσα επεξεργασίας και το οποίο, συνεπώς είναι ο μόνος Υπεύθυνος Επεξεργασίας. Εξάλλου, επιτρεπτώς, κατά το άρθρο 43 παρ. 2, εδάφιο β’ του Συντάγματος, ρυθμίζονται με υπουργική απόφαση τα λοιπά ζητήματα της επεξεργασίας, τα οποία έχουν, κυρίως χαρακτήρα τεχνικών και λεπτομερειακών ζητημάτων εφαρμογής του πληροφοριακού συστήματος της ηλεκτρονικής ψηφοφορίας, η ρύθμιση του οποίου απαιτεί εξειδικευμένες επιστημονικές γνώσεις (πρβλ. ΣτΕ 3539/2003, 3472/2001). Εσφαλμένως, όμως με την ανωτέρω υπ’ αρ. Φ.350/51/139940/E3 Υπουργική Απόφαση (άρθρο 2 παρ. 4 περ. α΄) ορίζεται ότι τo ΥΠΑΙΘ επιτελεί ρόλο Υπευθύνου Επεξεργασίας από κοινού με την καθεμία από τις εφορευτικές επιτροπές που προβλέπονται στην απόφαση αυτή για τη διεξαγωγή της εκλογικής διαδικασίας, δεδομένου ότι οι εφορευτικές επιτροπές αποτελούν όργανα του ΥΠΑΙΘ, που διενεργούν για λογαριασμό του την επεξεργασία. Κατά συνέπεια, δεν μπορεί να θεωρηθούν Υπεύθυνοι Επεξεργασίας είτε αυτοτελώς είτε από κοινού, σύμφωνα με τις διατάξεις των άρθρων 4 περίπτωση 7 και 26 του ΓΚΠΔ. Ο εσφαλμένος αυτός χαρακτηρισμός των εφορευτικών επιτροπών ως από κοινού Υπευθύνων Επεξεργασίας δεν επηρεάζει, πάντως, τη νομιμότητα της επεξεργασίας που διενεργείται με βάση τις ανωτέρω διατάξεις, πλην όμως θα πρέπει να τροποποιηθεί η υπουργική απόφαση, ώστε να απαλειφθεί ο εσφαλμένος αυτός χαρακτηρισμός. 10 Επομένως, ενόψει των ανωτέρω, σύμφωνα με τις προαναφερόμενες διατάξεις των άρθρων 5 και 6 του ΓΚΠΔ η συγκεκριμένη επεξεργασία είναι νόμιμη.
- Επειδη καταρχήν, η επεξεργασία για τις ανάγκες της ψηφοφορίας φαίνεται ότι δεν δύναται να επιφέρει υψηλό κίνδυνο κατ’ άρθ. 35 ΓΚΠΔ στα υποκείμενα των δεδομένων, με βάση τα κριτήρια της παραγράφου 3 του άρθρου αυτού, εφόσον κατά τη διαδικασία της ηλεκτρονικής ψηφοφορίας διενεργείται μέσω του συστήματος ΖΕΥΣ η στοιχειωδέστερη επεξεργασία ελάχιστων και απολύτως απαραίτητων προσωπικών δεδομένων και δεν πιθανολογείται κίνδυνος για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Επισημαίνεται όμως ότι η συνδρομή υποχρέωσης για διενέργεια ΕΑΠΔ θα πρέπει να αξιολογείται με βάση τα κριτήρια που έχει καθορίσει η Αρχή και έχουν εγκριθεί από το ΕΣΠΔ. Όπως ορίζεται στην απόφαση αυτή, η διενέργεια ΕΑΠΔ κρίνεται υποχρεωτική όταν πληρούται τουλάχιστον ένα από τα κριτήρια της 1ης ή της 2ης κατηγορίας. Στα κριτήρια της 1ης κατογορίας περιλαμβάνεται το κριτήριο «1.7 Μεγάλης κλίμακας συστηματική επεξεργασία δεδομένων προσωπικού χαρακτήρα με σκοπό την εισαγωγή, οργάνωση, παροχή και έλεγχο της χρήσης υπηρεσιών ηλεκτρονικής διακυβέρνησης, όπως ορίζονται στο άρθρο 3 του ν. 3979/2011 όπως ισχύει.» Με δεδομένο ότι η εισαγωγή της μεθόδου αφορά το σύνολο των εκπαιδευτικών που υπηρετούν σε δημόσια σχολεία, η εν λόγω δραστηριότητα αποτελεί επεξεργασία μεγάλης κλίμακας. Περαιτέρω, η δραστηριότητα είναι συστηματική και αφορά την εισαγωγή και οργάνωση υπηρεσίας ηλεκτρονικής διακυβέρνησης, εν προκειμένω ηλεκτρονικής ψηφοφορίας. Συνεπώς, προκύπτει ότι το Υπουργείο ως υπεύθυνος επεξεργασίας, όφειλε να διενεργήσει ΕΑΠΔ, προ της εισαγωγής της εν λόγω μεθόδου και τούτο ανεξάρτητα αν αυτό προβλέπεται σε εθνικό νόμο, διότι εφαρμόζεται ευθέως ο ΓΚΠΔ. Όπως προκύπτει, όμως, από τον φάκελο της υπόθεσης, τα μέτρα τα οποία πρέπει να προσδιοριστούν μέσω της ΕΑΠΔ δεν φαίνεται να ανάγονται στον πυρήνα και στις βασικές αρχές της νόμιμης επεξεργασίας δεδομένων προσωπικού χαρακτήρα (άρθρο 5 ΓΚΠΔ), ούτε θέτουν υπό αμφισβήτηση την αναλογικότητα και αναγκαιότητα της εξ αποστάσεως ψηφοφορίας ή τη διασφάλιση του απορρήτου της ψήφου, ενώ, εξάλλου, η επίμαχη επεξεργασία δεν συνιστά καινοτόμο εφαρμογή, αλλά ακολουθεί ευρέως αποδεκτά διεθνή πρότυπα και η χρήση της έχει δοκιμαστεί επαρκώς. Κατά συνέπεια, επιβάλλεται να καταρτιστεί ΕΑΠΔ χωρίς καθυστέρηση και πάντως σε χρόνο 11 προ της επόμενης ηλεκτρονικής ψηφοφορίας για Υπηρεσιακά Συμβούλια.
- Επειδή σε σχέση με τους ισχυρισμούς των καταγγελλόντων, η Αρχή κρίνει ως εξής: α) Ο σκοπός της επεξεργασίας δεν είναι δυνατό να επιτευχθεί χωρίς επεξεργασία δεδομένων. Άλλωστε και η διαδικασία φυσικής ψηφοφορίας ενέχει επεξεργασία δεδομένων προσωπικού χαρακτήρα των ιδίων φυσικών προσώπων και μάλιστα δημιουργεί τα ίδια ζητήματα ως προς την ανάγκη διασφάλισης της προστασίας των προσωπικών δεδομένων με αυτά που αναφέρονται στην καταγγελία (π.χ. ταυτοποίηση) β) Η αναφερόμενη «ανακοίνωση παραβίασης δεδομένων του Πανελλήνιου Σχολικού Δικτύου» αποτελεί προληπτική ενέργεια ενημέρωσης των χρηστών του ΠΣΔ και είναι απόλυτα θεμιτή, από την παραβίαση δε αυτή που ανακοινώθηκε από το Πανελλήνιο Σχολικό Δίκτυο δεν συνάγεται ότι κατά την ηλεκτρονική ψηφοφορία δημιουργούνται υψηλοί κίνδυνοι για το δικαίωμα προστασίας των προσωπικών δεδομένων γ) Ο ισχυρισμός ότι η ηλεκτρονική ψηφοφορία αλλοιώνει και υπονομεύει μια συλλογική και θεμελιώδη δημοκρατική διαδικασία που συνιστά έκφραση της λαϊκής κυριαρχίας και της δημοκρατικής αρχής είναι αβάσιμος, καθώς εφαρμόζεται μέθοδος που εξασφαλίζει τη μυστικότητα της ψήφου δ) Τα δεδομένα που τυγχάνουν επεξεργασίας στο πλαίσιο της ψηφοφορίας για την εκλογή αιρετών εκπροσώπων στα Υπηρεσιακά Συμβούλια εκπαιδευτικών, δεν είναι ευαίσθητα δεδομένα, αφού η διαδικασία ανάδειξης αιρετών εκπροσώπων στα υπηρεσιακά συμβούλια δεν αποτελεί διαδικασία εκλογής συνδικαλιστικού οργάνου, δεδομένου ότι, σύμφωνα με το Κεφάλαιο Β’ του Π.Δ/τος1/2003, οι αρμοδιότητες των συμβουλίων αυτών αφορούν θέματα υπηρεσιακής κατάστασης του προσωπικού ε) Δεν τεκμηριώνεται παραβίαση της αρχής της αναγκαιότητας, αφού μάλιστα κατά τον χρόνο λήψης του μέτρου είχαν τεθεί σε εφαρμογή μέτρα περιορισμού της μετακίνησης, ενώ είχε ανασταλεί η δια ζώσης λειτουργία των σχολικών μονάδων στ) Η συγκεκριμένη τεχνολογική λύση έχει χρησιμοποιηθεί στο παρελθόν σε πολλές εκλογικές διαδικασίες, κάποιες εκ των οποίων υψηλής σπουδαιότητας (π.χ. εκλογές πρυτανικών αρχών ΑΕΙ) ενώ δεν τεκμηριώνονται όσα αναφέρονται στην 12 καταγγελία περί ανεπάρκειας της τεχνολογικής λύσης καθώς, όπως προκύπτει από τα έγγραφα του φακέλου της υπόθεσης, η λύση ακολουθεί τις συστάσεις του Συμβουλίου της Ευρώπης ως προς το απόρρητο της ψηφοφορίας ζ) Τα ζητήματα που αφορούν τον «κώδικα δεοντολογίας» 2 του ΕΔΥΤΕ και το προγενέστερο σύστημα Helios προβάλλονται ως υποθέσεις, χωρίς ουσιώδη διασύνδεση με τη συγκεκριμένη επεξεργασία, την οποία αφορά η καταγγελία.
- Σύμφωνα με όσα αναφέρονται στις προηγούμενες σκέψεις η καταγγελία πρέπει να απορριφθεί ως αβάσιμη. Ωστόσο, η Αρχή αποφάσισε την κατ’ άρ. 58 παρ. 2 ΓΚΠ∆ άσκηση των διορθωτικών της εξουσιών στη συγκεκριμένη περίπτωση με την επιβολή διορθωτικών μέτρων. Ειδικότερα, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. δ’ ΓΚΠ∆ η Αρχή αποφάσισε να δώσει εντολή στο Υπουργείο Παιδείας και Θρησκευμάτων α) να τροποποιήσει την ΥΑ Φ.350/51/139940/E3 (άρθρο 2 παρ. 4 περ. α΄), ώστε οι εφορευτικές επιτροπές να μην ορίζονται ως από κοινού υπεύθυνοι επεξεργασίας με το ΥΠΑΙΘ, σύμφωνα με τα αναφερόμενα στη σκέψη 9 της παρούσας, και β) να διενεργήσει ΕΑΠΔ χωρίς καθυστέρηση και πάντως σε χρόνο προ της επόμενης ηλεκτρονικής ψηφοφορίας για Υπηρεσιακά Συμβούλια, σύμφωνα με τα αναφερόμενα στη σκέψη 10 της παρούσας. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή Α) Απορρίπτει ως κατ’ ουσία αβάσιμη την καταγγελία των εκπαιδευτικών Α, Β, Γ, Δ, Ε και ΣΤ κατά του Υπουργείου Παιδείας και Θρησκευμάτων, για τους λόγους που αναφέρονται αναλυτικά στο σκεπτικό της παρούσας. Β) ∆ίνει εντολή στο Υπουργείο Παιδείας και Θρησκευμάτων i. να διενεργήσει ΕΑΠΔ χωρίς καθυστέρηση και πάντως σε χρόνο προ της επόμενης 2 Δεν θα πρέπει να συγχέεται με τους κώδικες δεοντολογίας του άρθρου 40 ΓΚΠΔ. 13 ηλεκτρονικής ψηφοφορίας για Υπηρεσιακά Συμβούλια, σύμφωνα με τα διαλαμβανόμενα στη σκέψη 10, ενημερώνοντας σχετικώς την Αρχή. ii. να αποκαταστήσει την ορθή εφαρμογή των διατάξεων των άρθρων 4 περίπτωση 7 και 26 του ΓΚΠ∆ σύμφωνα με τα διαλαμβανόμενα στη σκέψη 9, ενημερώνοντας σχετικώς την Αρχή. Ο Πρόεδρος Κωνσταντίος Μενουδάκος Η Γραμματέας Γεωργία Παλαιολόγου 14