Καταγγελία κατά Δήμου για παραβίαση προσωπικών δεδομένων στη ΔΙΑΥΓΕΙΑ και μη ικανοποίηση δικαιώματος διαγραφής

Αθήνα, 07-11-2023 Αριθ. Πρωτ. 2810 Α Π Ο Φ Α Σ Η 33/2023 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της μέσω τηλεδιάσκεψης, την Τρίτη 11 Απριλίου 2023, προκειμένου να εξετάσει την υπόθεση, που αναφέρεται κατωτέρω στο ιστορικό της παρούσας απόφασης. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Σπυρίδων Βλαχόπουλος ως εισηγητής, Χαράλαμπος Ανθόπουλος, Κωνσταντίνος Λαμπρινουδάκης, Χρήστος Καλλονιάτης, και Γρηγόριος Τσόλιας. Παρούσες χωρίς δικαίωμα ψήφου ήταν η Αναστασία Τριτάκη, νομική ελέγκτρια – δικηγόρος, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα κάτωθι: Με τη με αρ. πρωτ. Αρχής Γ/ΕΙΣ/6880/25-10-2021 καταγγελία, η καταγγέλλουσα Α, με την ιδιότητα της Προϊστάμενης της Τεχνικής Υπηρεσίας του Δήμου Χ, διαμαρτυρήθηκε ενώπιον της Αρχής κατά του Δήμου Χ για την αναγραφή προσωπικών δεδομένων της στην υπ’ αριθ. … Απόφαση του Δήμαρχου Χ (υπ’ αριθ. πρωτ. …), καθώς και για την ανάρτηση της ως άνω Απόφασης αυτούσιας στο διαδικτυακό τόπο Διαύγεια (ΑΔΑ: …). Συγκεκριμένα, σύμφωνα με την καταγγέλλουσα, η ως άνω απόφαση περιέχει αναφορά του ονοματεπωνύμου, της ιδιότητάς της, του τόπου παροχής της εργασίας της), καθώς και της υποβολής έγκλησης εναντίον της από πολίτη και της συνακόλουθης διενέργειας προκαταρκτικής εξέτασης. Σύμφωνα με τους ισχυρισμούς της, η καταγγέλλουσα, με την υπ’ αριθ. … αίτησή της προς το Δήμο Χ, ζήτησε την άμεση ανάκληση της ως άνω Απόφασης από το Κηφισίας 1-3, 11523, Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr | www.dpa.gr διαδικτυακό τόπο Διαύγεια, πλην όμως, με την από … απάντηση/γνωμοδότηση του ΥΠΔ του Δήμου (με αρ. πρωτ. …), το αίτημά της απορρίφθηκε. Με την ίδια ως άνω αίτηση, η καταγγέλλουσα διαμαρτυρήθηκε περαιτέρω για την αναφορά προσωπικών δεδομένων της στην υπ΄ αριθ. πρωτ. … Πρόσκληση Σύγκλησης Τακτικής Οικονομικής Επιτροπής του Δήμου Χ, η οποία δημοσιεύτηκε στον ιστότοπο του Δήμου, ενώ διανεμήθηκε και αναρτήθηκε ψηφιακά από τον τοπικό τύπο, καθώς και για την αναφορά προσωπικών δεδομένων της στην υπ΄ αριθ. … Απόφαση της Οικονομικής Επιτροπής του Δήμου Χ (υπ’ αριθ. πρωτ. …), η οποία αναρτήθηκε στο διαδικτυακό τόπο Διαύγεια (ΑΔΑ: …). Η Αρχή, στο πλαίσιο εξέτασης της ως άνω καταγγελίας, απέστειλε προς το Δήμο Χ το με αριθ. πρωτ. Αρχής Γ/ΕΞ/2829/19-11-2021 αίτημα προς παροχή απόψεων. Σχετικώς, έλαβε εις απάντηση το με αρ. πρωτ. Αρχής Γ/ΕΙΣ/8392/24-12-2021 υπόμνημα του υπευθύνου προστασίας δεδομένων του Δήμου Χ, με το οποίο επισημαίνεται, μεταξύ άλλων, ότι, η αναφορά του ονόματος της καταγγέλλουσας στην υπ’ αριθ. … Απόφαση του Δήμαρχου Χ (υπ’ αριθ. πρωτ. …) στο διαδικτυακό τόπο Διαύγεια (ΑΔΑ: …) έγινε συμφώνως προς το άρθρο 24 παρ. 1 περ. δ’ του N. 4624/2019, καθώς κρίθηκε ότι η εν λόγω επεξεργασία ήταν επιτρεπτή υπό την αναγκαιότητα εκπλήρωσης καθηκόντων του Δημάρχου Χ και εφόσον ήταν αναγκαία για την αποτροπή σοβαρής βλάβης στα δικαιώματα άλλου προσώπου. Περαιτέρω, σύμφωνα με το ως άνω υπόμνημα, η ανάρτηση της ως άνω Απόφασης έλαβε χώρα κατόπιν της από … γνωμοδότησης του υπεύθυνου προστασίας δεδομένων του Δήμου Χ, σύμφωνα με την οποία ο Δήμαρχος Χ, αποτελώντας όργανο Οργανισμού Τοπικής Αυτοδιοίκησης, υπάγεται στο άρθρο 76 του Ν. 4727/2020 και έχει την υποχρέωση να αναρτά στο διαδικτυακό τόπο του προγράμματος Διαύγεια κάθε πράξη, απόφαση και έγγραφο που άπτεται στην εκτέλεση των καθηκόντων του∙ κατά συνέπεια, σύμφωνα με την ως άνω γνωμοδότηση, η επεξεργασία των δεδομένων επιτρέπεται λόγω συμμόρφωσης με έννομη υποχρέωση, συμφώνως με το άρθρο 6 ΓΚΠΔ. Στην ίδια συλλογιστική έλαβε χώρα, σύμφωνα με τα διαλαμβανόμενα στο ως άνω υπόμνημα, και η αναγραφή στην υπ΄ αριθ. πρωτ. … Πρόσκληση Σύγκλησης Τακτικής Οικονομικής Επιτροπής του Δήμου Χ, καθώς και η δημοσίευση της υπ΄ αριθ. πρωτ. … Απόφασης της Οικονομικής Επιτροπής του Δήμου Χ (υπ’ αριθ. πρωτ. …), στο διαδικτυακό τόπο Διαύγεια. 2 Περαιτέρω, με το ως άνω υπόμνημα, υποστηρίζεται ότι με την υπ’ αριθ. … αίτησή της προς το Δήμο Χ, η καταγγέλλουσα αιτήθηκε την απόσυρση του εγγράφου της απόφασης του Δημάρχου Χ και εξέφρασε τη δυσαρέσκειά της για την ανάρτηση της απόφασης στο διαδικτυακό τόπο Διαύγεια, ωστόσο, σύμφωνα με τα διαλαμβανόμενα στο ως άνω υπόμνημα, η καταγγέλλουσα δεν προέβη σε ρητή άσκηση του δικαιώματος διαγραφής των προσωπικών της δεδομένων, συμφώνως με το άρθρο 17 του ΓΚΠΔ και το άρθρο 34 του ν.4727/

1. Ακολούθως, ο υπεύθυνος προστασίας δεδομένων του καθ’ ου εξέδωσε την υπ’ αριθ. … γνωμοδότηση, στην οποία αναφέρεται ότι η υπ’ αριθ. … Απόφαση του Δήμαρχου Χ (υπ’ αριθ. πρωτ. …), αποτελεί διοικητική πράξη αναρτητέα στο διαδικτυακό τόπο Διαύγεια με βάση το άρθρο 76 παρ. 3 περ. η) του ν.4727/2020, ενώ το άρθρο 79 του ν.4727/2020, περί προστασίας δεδομένων προσωπικού χαρακτήρα κατά την ανάρτηση των διοικητικών πράξεων δίδει, σύμφωνα με την ως άνω γνωμοδότηση, ένα ευρύ και κρινόμενο κατά περίπτωση πλαίσιο εφαρμογής και παροχής επιφυλάξεων, το οποίο επιτρέπει την ανάρτηση κάθε πράξεως, με τις ανωτέρω επιφυλάξεις. Κατά συνέπεια, με την ως άνω γνωμοδότηση, ο υπεύθυνος προστασίας δεδομένων του καθ’ ου πρότεινε να απορριφθεί το αίτημα της καταγγέλλουσας ως νόμω και ουσία αβάσιμο. Τέλος, με το ως άνω υπόμνημα, γνωστοποιήθηκε στην Αρχή ότι κατόπιν της ενημέρωσης για την υποβολή της ως άνω καταγγελίας μέσω του Γ/ΕΞ/2829/19-11-2021 εγγράφου της Αρχής, ο καθ’ ου προέβη σε ανάκληση της υπ’ αριθ. … Απόφασης (υπ’ αριθ. πρωτ. …) και αφαίρεσή της από το διαδικτυακό τόπο Διαύγεια, προκειμένου να ικανοποιηθεί το αίτημα δικαιώματος διαγραφής προσωπικών δεδομένων της καταγγέλλουσας, ερμηνεύοντας, κατά τους ισχυρισμούς του, την ως άνω καταγγελία ως «έμμεσο αίτημα προς ικανοποίηση αυτού του δικαιώματος» και εν συνεχεία προέβη σε έκδοση νέας με αρ. … Απόφασης του Δημάρχου (υπ’ αριθ. πρωτ. …) και ανάρτησής της στο διαδικτυακό τόπο Διαύγεια (ΑΔΑ:…). Παράλληλα, η καταγγέλλουσα απέστειλε τα με αριθ. πρωτ. Αρχής Γ/ΕΙΣ/195/121-2022 και Γ/ΕΙΣ/250/13-1-2022 συμπληρωματικά της ως άνω καταγγελίας στοιχεία προς την Αρχή, με τα οποία αφενός γνωστοποίησε προς την Αρχή την ανάρτηση της ως άνω νέας Απόφασης με αρ. … (ΑΔΑ:…), επισημαίνοντας ότι η αναφορά στο πρόσωπό της ως «Προϊσταμένη της Διεύθυνσης Τεχνικών Υπηρεσιών του Δήμου», εξακολουθεί να 3 καθιστά δυνατή την ταυτοποίησή της, αφετέρου ζήτησε αντίγραφο των απόψεων του καθ’ ου. Κατόπιν της παραλαβής αυτού, η καταγγέλλουσα απέστειλε προς την Αρχή το με αρ. πρωτ. Αρχής Γ/ΕΙΣ/1546/1-2-2022 συμπληρωματικό της ως άνω καταγγελίας υπόμνημά της, με το οποίο αντικρούει τον ισχυρισμό του καθ’ ου ότι η αναφορά των προσωπικών δεδομένων της στην υπ’ αριθ. … Απόφαση του Δήμαρχου Χ έγινε συμφώνως προς το άρθρο 24 παρ. 1 περ. δ’ του N. 4624/2019, καθώς, σύμφωνα με τα διαλαμβανόμενα στο ως άνω υπόμνημα, η εν λόγω κρίση δεν μνημονεύεται ούτε στην επίμαχη απόφαση, ούτε στην από … γνωμοδότηση του ΥΠΔ του Δήμου, ενώ σχετικά με την πλήρη αναφορά των στοιχείων της στις υπ΄ αριθ. πρωτ. … Πρόσκληση Σύγκλησης Τακτικής Οικονομικής Επιτροπής του Δήμου Χ και υπ΄ αριθ. πρωτ. … Απόφασης της Οικονομικής Επιτροπής του Δήμου Χ, η καταγγέλλουσα επισημαίνει ότι δεν εξηγείται με ποιον τρόπο η δημοσίευση ήταν απαραίτητη για να προστατευθούν τα δικαιώματα τρίτων, όπως ισχυρίστηκε ο καθ’ ου. Προς στήριξη των ισχυρισμών της, η καταγγέλλουσα προσκόμισε με το ως άνω συμπληρωματικό υπόμνημα την υπ’ αριθ. … Απόφαση της Οικονομικής Επιτροπής του Δήμου Χ, αναρτηθείσα στο διαδικτυακό τόπο Διαύγεια, αφορώσα έτερο υπάλληλο του Δήμου, στην οποία έχει λάβει χώρα πλήρης ανωνυμοποίηση των στοιχείων του υπαλλήλου. Περαιτέρω, η καταγγέλλουσα επανέλαβε ότι με την υπ’ αριθ. … αίτησή της προς το Δήμο Χ, προέβη σε άσκηση του δικαιώματος διαγραφής, εφόσον ζήτησε την άμεση ανάκληση της επίμαχης απόφασης από τον ιστότοπο «Διαύγεια», ενώ επισήμανε ότι σε διαφορετική περίπτωση δεν εξηγείται από τον καθ’ ου για ποιο λόγο ζητήθηκε η έκδοση της από … γνωμοδότησης του ΥΠΔ του Δήμου. Τέλος, η καταγγέλλουσα επανέλαβε τους ισχυρισμούς που έθεσε υπ’ όψιν της Αρχής με το Γ/ΕΙΣ/195/12-1-2022 Αρχής έγγραφό της αναφορικά με την εξακολούθηση της παραβίασης των προσωπικών δεδομένων της από τη νέα, με αρ. … Απόφαση του Δημάρχου (ΑΔΑ:…) που την αφορά, και ζήτησε από την Αρχή να εξετάσει στο πλαίσιο της με αρ. πρωτ. Αρχής Γ/ΕΙΣ/6880/25-10-2021 καταγγελίας και την ως άνω απόφαση και να διατάξει την απόσυρσή της από το διαδικτυακό τόπο Διαύγεια. Κατόπιν της εξέτασης των στοιχείων του φακέλου, η Αρχή απέστειλε τις με αριθ. πρωτ. Γ/ΕΞΕ/1236/01-06-2022 και Γ/ΕΞΕ/1238/01-06-2022 κλήσεις προς την καταγγέλλουσα και τον καθ’ ου αντιστοίχως, προκειμένου να συζητηθεί ενώπιον της Ολομέλειας της Αρχής την …, η ως άνω καταγγελία. Στην εν λόγω συνεδρίαση, η οποία 4 πραγματοποιήθηκε μέσω τηλεδιάσκεψης, ήταν παρόντες η καταγγέλλουσα Α, μετά της πληρεξουσίας δικηγόρου της Παναγιώτας Παπαναστασίου (ΑΜΔΣΑ …), καθώς και ο Β, δικηγόρος (ΑΜΔΣΧ …), υπεύθυνος προστασίας δεδομένων του καθ’ ου, προκειμένου να παράσχει διευκρινίσεις σε θέματα που τέθηκαν από τον Πρόεδρο και τα Μέλη της Αρχής, δεδομένου ότι ο υπεύθυνος προστασίας δεδομένων, όπως έχει επανειλημμένα επισημάνει η Αρχή, δεν έχει τη δυνατότητα να εκπροσωπήσει τον υπεύθυνο επεξεργασίας σύμφωνα με τα ισχύοντα για τον θεσμό του υπευθύνου προστασίας δεδομένων, καθώς οι υπεύθυνοι προστασίας δεδομένων, κατά την επιτέλεση των καθηκόντων τους, απολαύουν αυτοτέλειας και ανεξαρτησίας, η οποία δεν είναι συμβατή με την υποστήριξη της νομιμότητας πράξεων επεξεργασίας προσωπικών δεδομένων από μέρους του υπευθύνου επεξεργασίας και ενδέχεται να δημιουργεί σύγκρουση καθηκόντων με την ιδιότητα του εκπροσώπου του υπευθύνου επεξεργασίας
2. Κατά τη συνεδρίαση αυτή χορηγήθηκε στα μέρη προθεσμία προσκομίσεως έγγραφων υπομνημάτων προς περαιτέρω υποστήριξη των ισχυρισμών τους έως την …. Κατόπιν αυτών, η καταγγέλλουσα υπέβαλε εμπροθέσμως το με αρ. πρωτ. Αρχής Γ/ΕΙΣ/8184/22-06-2022 υπόμνημα, με το οποίο, επανέλαβε τους ισχυρισμούς που έθεσε και προηγουμένως ενώπιον της Αρχής και αντέκρουσε ισχυρισμούς που προβλήθηκαν από τον υπεύθυνο προστασίας δεδομένων κατά την ως άνω συνεδρίαση, ενώ ο καθ’ ου δεν προσκόμισε υπόμνημα. Η Αρχή, έπειτα από εξέταση των στοιχείων του φακέλου και όσων προέκυψαν από την ενώπιόν της ακροαματική διαδικασία και τα υπομνήματα των μερών, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ Βλ. Κατευθυντήριες Γραμμές σχετικά με τους υπεύθυνους προστασίας Δεδομένων, ΟΕ Α29, όπως αναθεωρήθηκε τελευταία και εγκρίθηκε στις 5 Απριλίου 2017, WP243, σελ. 22-
3. Επιπλέον, βλ. και δελτίο Τύπου Αρχής (αριθμ. Πρωτ. Γ/ΕΞ/568/23-01-2020) αναφορικά με απαγόρευση εκπροσώπησης υπευθύνων επεξεργασίας από τους υπευθύνους προστασίας δεδομένων ενώπιον της Αρχής, διαθέσιμο στον ιστότοπο της Αρχής www.dpa.gr (https://www.dpa.gr/el/enimerwtiko/deltia/deltio-typoy-shetikame-tin-ekprosopisi-ton-ypeythynon-epexergasias-enopion-tis καθώς και ΑΠΔΠΧ 26/2019 και ΑΠΔΠΧ 32/2022, διαθέσιμες στην ιστοσελίδα της. 1 5
4. Επειδή από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (εφεξής ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου 4624/2019 και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
5. Επειδή σύμφωνα με το άρθρο 4 στοιχ. 1) ΓΚΠΔ ως προσωπικά δεδομένα νοούνται «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου», ενώ σύμφωνα με την αιτιολογική σκέψη 26 του ΓΚΠ∆ : «Οι αρχές της προστασίας δεδομένων θα πρέπει να εφαρμόζονται σε κάθε πληροφορία η οποία αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Για να κριθεί κατά πόσον ένα φυσικό πρόσωπο είναι ταυτοποιήσιμο, θα πρέπει να λαμβάνονται υπόψη όλα τα μέσα τα οποία είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν, όπως για παράδειγμα ο διαχωρισμός του, είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο για την άμεση ή έμμεση εξακρίβωση της ταυτότητας του φυσικού προσώπου […] Οι αρχές της προστασίας δεδομένων δεν θα πρέπει συνεπώς να εφαρμόζονται σε ανώνυμες πληροφορίες, δηλαδή πληροφορίες που δεν σχετίζονται προς ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο ή σε δεδομένα προσωπικού χαρακτήρα που έχουν καταστεί ανώνυμα κατά τρόπο ώστε η ταυτότητα του υποκειμένου των δεδομένων να µην μπορεί ή να µην μπορεί πλέον να εξακριβωθεί.». Σύμφωνα με τη Γνώμη 04/2007 της Ομάδας Εργασίας του Άρθρου 29 2, το φυσικό πρόσωπο είναι άτομο «του οποίου η ταυτότητα μπορεί να εξακριβωθεί», ακόμα κι αν η ταυτότητά του δεν είναι ακόμη γνωστή, βάσει αναγνωριστικών στοιχείων. Ειδικότερα η αναγνώριση της ταυτότητας ενός προσώπου «επιτυγχάνεται κανονικά µε βάση συγκεκριμένες Βλ Γνώμη 04/2007 της Ομάδας Εργασίας του Άρθρου 29 για τον ορισμό των προσωπικών δεδομένων, 20 Ιουνίου 2007, WP 136, σελ. 12 επ. 2 6 πληροφορίες που καλούνται «στοιχεία αναγνώρισης» και που είναι σε μια ιδιαιτέρως προνομιακή και στενή σχέση µε το συγκεκριμένο άτομο. Παραδείγματα τέτοιων πληροφοριών είναι διάφορα εξωτερικά γνωρίσματα της εμφάνισης του εν λόγω προσώπου, όπως το ύψος, το χρώμα των μαλλιών, η ένδυση, κλπ. ή κάποια ιδιότητα του προσώπου που δεν μπορεί να γίνει αμέσως αντιληπτή, όπως επάγγελμα, αξίωμα, όνομα κλπ». Επιπλέον, σύμφωνα με την ως άνω Γνώμη, ο προσδιορισμός της ταυτότητας ενός προσώπου είναι δυνατόν να γίνει «άμεσα από το όνομα ή έμμεσα από έναν αριθμό τηλεφώνου, αριθμό κυκλοφορίας αυτοκινήτου, αριθμό κοινωνικής ασφάλισης, αριθμό διαβατηρίου ή από ένα συνδυασμό σημαντικών κριτηρίων που επιτρέπουν την αναγνώρισή του περιορίζοντας το εύρος της ομάδας στην οποία ανήκει (ηλικία, επάγγελμα, τόπος διαμονής, κλπ.)", ενώ «η ”εξακρίβωση ταυτότητας” δεν σημαίνει μόνο την πιθανότητα ανάκτησης του ονόματος ή/και της διεύθυνσης ενός προσώπου, αλλά περιλαμβάνει, επίσης, τη δυνητική ταυτοποίηση μέσω του εντοπισμού, της συνδετικότητας και της εξαγωγής συμπερασμάτων». 3
6. Επειδή με το Κεφάλαιο ΙΑ’ του Ν. 4727/2020 (ΦΕΚ Α’ 184) ρυθμίστηκε, μεταξύ άλλων, η υποχρέωση ανάρτησης διοικητικών πράξεων που εκδίδουν τα αναφερόμενα στο άρθρο 76 του ως άνω νόμου πρόσωπα και όργανα στο Διαδίκτυο η ανάρτηση δε αυτή στο διαδίκτυο διοικητικών πράξεων, όταν αυτές περιέχουν προσωπικά δεδομένα, συνιστά εν όλω ή εν µέρει αυτοματοποιημένη επεξεργασία 4, επομένως επεξεργασία υπαγόμενη στο ρυθμιστικό πεδίο των άρθρων 2 παρ. 1 του ΓΚΠΔ και 2 του ν.4624/
7. Επισημαίνεται ιδίως αναφορικά με την υπ’ αριθ. … Απόφαση του Δημάρχου Χ, ότι όπως προαναφέρθηκε στη σκέψη 2 και όπως έχει ήδη κριθεί από τη νομολογία του ΔΕΕ και της Αρχής5, μόνη η αναφορά κάποιας ιδιότητας του προσώπου, όπως εν προκειμένω, η ιδιότητα της καταγγέλλουσας ως Προϊσταμένης της Τεχνικής Υπηρεσίας του Δήμου Χ, σε συνδυασμό με τις υπόλοιπες πληροφορίες που αναγράφονται στην επίμαχη αναρτηθείσα πράξη, αποτελούν αναγνωριστικά χαρακτηριστικά που συντελούν στον προσδιορισμό της ταυτότητάς της από τρίτους, προερχόμενους κατ’ αρχήν από το επαγγελματικό και κοινωνικό της περιβάλλον, αλλά και από απεριόριστο επιπλέον Ό. π. ΑΠΔΠΧ 112/2017, διαθέσιμη στην ιστοσελίδα της. 5 ΔΕΕ, C-345/2017, S.B., 14 Φεβρουαρίου 2019, σκ. 30, ΑΠΔΠΧ 21/2021, διαθέσιμη στην ιστοσελίδα της. 3 4 7 αριθμό ατόμων – χρηστών, εξαιτίας της ελεύθερης πρόσβασης των πολιτών στο πρόγραμμα Διαύγεια.
8. Επειδή η Αρχή, ήδη με τη Γνωμοδότηση 1/2010, με την οποία είχε κληθεί να παράσχει γνώμη επί προσχεδίου νόμου αναφορικά με την υποχρεωτική ανάρτηση στο διαδίκτυο των νομοθετικών και διαφόρων κατηγοριών διοικητικών πράξεων (κανονιστικών και ατομικών), είχε επισημάνει, μεταξύ άλλων, ότι μια γενική επιφύλαξη υπέρ της νομοθεσίας περί δεδομένων προσωπικού χαρακτήρα δεν θα ήταν επιτυχής, καθώς δίνει την εντύπωση στα όργανα που θα κληθούν να εφαρμόσουν το νόμο ότι παραμένει ανοιχτό το ζήτημα της συμφωνίας των διατάξεων του νόμου με τις διατάξεις της νομοθεσίας περί δεδομένων προσωπικού χαρακτήρα, πράγμα που θα δημιουργήσει σύγχυση, ανασφάλεια δικαίου και αδικαιολόγητη επιβάρυνση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα με ερωτήματα και προσφυγές. Εντούτοις η γενική επιφύλαξη υπέρ της νομοθεσίας περί δεδομένων προσωπικού χαρακτήρα εισήχθη με το άρθρο 5 του Ν. 3861/2010 (ΦΕΚ Α’ 112), με τη μόνη διευκρίνιση ότι δεν αναρτώνται πράξεις, στις οποίες περιλαμβάνονται ευαίσθητα δεδομένα προσωπικού χαρακτήρα, ενώ ομοίου περιεχομένου ρύθμιση καθιερώθηκε με το άρθρο 79 του Ν. 4727/2020 (ΦΕΚ Α’ 184), ο οποίος αντικατέστησε το Ν. 3861/2020, με τη διευκρίνιση ότι δεν αναρτώνται πράξεις, στις οποίες περιλαμβάνονται οι ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα και δεδομένα προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες και αδικήματα. Η Αρχή και με μεταγενέστερα έγγραφα 6 και με μεταγενέστερες αποφάσεις της 7 είχε επαναλάβει ότι η γενική επιφύλαξη υπέρ της νομοθεσίας περί δεδομένων προσωπικού χαρακτήρα δημιουργεί προβλήματα, καθώς λόγω της διατύπωσης δημιουργείται η εντύπωση ότι τα διοικητικά όργανα τα οποία καλούνται να εφαρμόσουν τη σχετική διάταξη θα πρέπει να κρίνουν ad hoc εάν η ανάρτηση μίας συγκεκριμένης πράξης είναι σύμφωνη με τις διατάξεις περί προστασίας των προσωπικών δεδομένων, ενώ η Αρχή έχει δεχτεί πλήθος ερωτημάτων από φορείς της Διοίκησης για την ερμηνεία και εφαρμογή της εν λόγω διάταξης σε συγκεκριμένες υποθέσεις (ιδίως πριν την εισαγωγή του ΓΚΠΔ), αλλά και καταγγελιών πολιτών, δεδομένα των οποίων Βλ. ενδεικτικά με αρ. πρωτ. Αρχής Γ/ΕΞ/5209/30-07-2012, σκ.3, με αρ. πρωτ. Αρχής Γ/ΕΞ/6371/09-102013, σκ. Α). 7 ΑΠΔΠΧ 45/2016, σκ. 9, διαθέσιμη στην ιστοσελίδα της. 6 8 αναρτήθηκαν στο διαδίκτυο
9. Η Αρχή έχει επανειλημμένα επισημάνει ότι εξάλλου, ο καθορισμός κριτηρίων για την επιλογή των αναρτητέων στο διαδίκτυο δεδομένων, που θα κατατείνει στον περιορισμό των αναρτητέων πράξεων σε όσες ουσιαστικά εξυπηρετούν τη διαφάνεια χωρίς να καταργείται το δικαίωμα στην προστασία των προσωπικών δεδομένων, έχει τεθεί και από τη νομολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης
11. Επειδή, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 4 στοιχ. 7 ΓΚΠΔ, ως υπεύθυνος επεξεργασίας νοείται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα∙ όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους». Σύμφωνα με τις Κατευθυντήριες γραμμές 07/2020 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων αναφορικά με τις έννοιες του υπευθύνου της επεξεργασίας και του εκτελούντος την επεξεργασία 10, βασικό για τον προσδιορισμό του υπευθύνου επεξεργασίας είναι το λειτουργικό κριτήριο. Δηλαδή υπεύθυνος επεξεργασίας είναι αυτός που καθορίζει τον σκοπό ή/και τα ουσιώδη, τουλάχιστον, στοιχεία του τρόπου της επεξεργασίας. Περαιτέρω, σύμφωνα με τις ως άνω Κατευθυντήριες γραμμές, στις περιπτώσεις όπου ο νόμος θεσπίζει ένα καθήκον ή επιβάλλει μια υποχρέωση σε κάποιον να συλλέγει και να επεξεργάζεται ορισμένα δεδομένα, ο σκοπός της επεξεργασίας καθορίζεται συνήθως από το νόμο και ο υπεύθυνος επεξεργασίας θα είναι εκείνος ο οποίος ορίζεται από το νόμο για την πραγμάτωση αυτού του σκοπού, αυτού του δημοσίου καθήκοντος. 11 Στη δημόσια διοίκηση η έννοια του υπευθύνου επεξεργασίας προϋποθέτει σε ένα βαθμό αυτοτελή οργανωτική δομή, ενώ το λειτουργικό κριτήριο συνάπτεται κατ’ αρχήν με τις αρμοδιότητες που απονέμει ο νόμος σε συγκεκριμένη αρχή, Ενδεικτικά ΑΠΔΠΧ 45/2016, ΑΠΔΠΧ 112/2017, ΑΠΔΠΧ 21/2021, διαθέσιμες στην ιστοσελίδα της. ∆ΕΕ, συνεκδικαζόµενες υποθέσεις C-92/09 και C-93/09, Volker und Markus Schecke GbR, Hartmut Eifert κατά Land Hessen), απόφαση της 9ης Νοεμβρίου
12. 10 Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, Κατευθυντήριες γραμμές 07/2020 σχετικά με τις έννοιες του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία στον ΓΚΠΔ, Έκδοση 2.0, 7 Ιουλίου
13. 11 Ό.π. παρ. 23-
14. 8 9 9 υπηρεσία ή νομικό πρόσωπο δημοσίου δικαίου, οι οποίες θα πρέπει και στην πράξη να ασκούνται από τους φορείς τους
15. Σύμφωνα με τα προαναφερόμενα, ο Δήμος Χ αποτελεί τον υπεύθυνο επεξεργασίας για τις ως άνω μορφές επεξεργασίας.
16. Επειδή με το άρθρο 5 παρ. 1 του ΓΚΠΔ τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία. Ειδικότερα, σύμφωνα την παρ. 1 του ως άνω άρθρου προβλέπεται, μεταξύ άλλων, ότι τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια», στοιχ. α’), συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς (…) («περιορισμός του σκοπού», στοιχ. β’), είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων», στοιχ. γ’), και είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται· πρέπει να λαμβάνονται όλα τα εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση δεδομένων προσωπικού χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς της επεξεργασίας («ακρίβεια»).
17. Επειδή με τη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ προβλέπεται ειδικότερα η αρχή της λογοδοσίας, σύμφωνα με την οποία ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην ως άνω αναφερόμενη παράγραφο 1 του άρθρου
18. Η εν λόγω αρχή αποτελεί κεντρικό μέγεθος του νέου μοντέλου συμμόρφωσης που εισήγαγε ο ΓΚΠΔ, στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον, ο υπεύθυνος επεξεργασίας, σύμφωνα με την εν λόγω αρχή, επιβαρύνεται με το περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ, τόσο προς το υποκείμενο των δεδομένων, όσο και, ιδίως, ενώπιον των εποπτικών αρχών προστασίας δεδομένων
19. Βλ. και ΑΠΔΠΧ 98/2013, διαθέσιμη στην ιστοσελίδα της. Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, Κατευθυντήριες γραμμές 4/2019 σύμφωνα με το άρθρο 25, Προστασία των δεδομένων ήδη από τον σχεδιασμό και εξ ορισμού, Έκδοση 2.0, 20 Οκτωβρίου 2020, παρ.
20. 12 13 10
21. Επειδή σύμφωνα με το άρθρο 6 παρ. 1 του ΓΚΠΔ: «
22. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: (…) γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας, (…)»
23. Επειδή προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, ήτοι επεξεργασίας σύμφωνα προς τις απαιτήσεις του ΓΚΠΔ, θα πρέπει να πληρούνται σωρευτικώς οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ
24. Η ύπαρξη ενός νόμιμου θεμελίου (άρθρο 6 ΓΚΠΔ) δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των αρχών (άρθ. 5 παρ. 1 ΓΚΠΔ) αναφορικά με τον θεμιτό χαρακτήρα, την αναγκαιότητα και την αναλογικότητα και την αρχή της ελαχιστοποίησης. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπομένων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία παρίσταται ως μη νόμιμη (αντικείμενη στις διατάξεις του ΓΚΠΔ) και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρου 6 ΓΚΠΔ
25. Έτσι, η κατά παράβαση των αρχών του άρθρου 5 ΓΚΠΔ μη νόμιμη συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης
27. Επειδή το άρθρο 24 παρ. 1 δ) του Ν. 4624/2019 ορίζει ότι: «
28. Η επεξεργασία δεδομένων προσωπικού χαρακτήρα από δημόσιους φορείς για σκοπό διαφορετικό από αυτόν για τον οποίο έχουν συλλεχθεί, επιτρέπεται όταν η επεξεργασία αυτή είναι αναγκαία για την εκπλήρωση των καθηκόντων που τους έχουν ανατεθεί και εφόσον είναι: (…) δ) αναγκαία για την αποτροπή σοβαρής βλάβης στα δικαιώματα άλλου προσώπου· (…)» ΔΕΕ, C- 496/17, Deutsche Post AG κατά Hauptzollamt Köln1, 16 Ιανουαρίου 2019, σκ.
29. Πρβλ. ΣτΕ 517/2018 παρ. 12: «[...] προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, απαιτείται σε κάθε περίπτωση να συντρέχουν σωρευτικά οι προϋποθέσεις του άρθρου 4 παρ. 1 του ν. 2472/1997, που μεταξύ άλλων, ορίζει ότι τα δεδομένα πρέπει να συλλέγονται και να υφίστανται επεξεργασία κατά τρόπο θεμιτό και νόμιμο, για σαφείς και νόμιμους σκοπούς...Εφόσον συντρέχουν οι προϋποθέσεις του άρθρου 4 παρ. 1 του ν. 2472/1997 (νόμιμη συλλογή και επεξεργασία δεδομένων για σαφείς και νόμιμους σκοπούς), εξετάζεται περαιτέρω αν συντρέχουν και οι προϋποθέσεις της διατάξεως του άρθρου 5 παρ. 2 του ν. 2472/1997 [νομικές βάσεις]». Επίσης, πρβλ. ΣτΕ σε Ολομέλεια 2285/2001 παρ. 10: «[...] Μόνο δε εάν συντρέχουν οι παραπάνω βασικές προϋποθέσεις, έχουν εφαρμογή οι διατάξεις των άρθρων 5 και 7 του Ν. 2472/1997, οι οποίες επιβάλλουν ως περαιτέρω πρόσθετη, κατ’ αρχήν, προϋπόθεση νόμιμης επεξεργασίας δεδομένων προσωπικού χαρακτήρα συγκεκριμένου προσώπου, τη συγκατάθεση αυτού». 16 ΑΠΔΠΧ 38/2004, ΑΠΔΠΧ 43/2019, ΑΠΔΠΧ 44/2019, διαθέσιμες στην ιστοσελίδα της. 14 15 11
30. Επειδή με τη Γνωμοδότηση 1/2020 17, η Αρχή επεσήμανε αναφορικά με τις διατάξεις του Ν. 4624/2019 τα εξής: «Σύμφωνα µε την αιτιολογική έκθεση του νόμου, µε τα άρθρα 24, 25 και 26 παρέχεται ή δημιουργείται μια «εθνική νομική βάση» για την επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπό διαφορετικό από εκείνον για τον οποίο είχαν αρχικά συλλεγεί τα δεδομένα. (..) ο ΓΚΠ∆ δεν παρέχει εξουσιοδότηση στον εθνικό νομοθέτη να θεσπίσει νέες «εθνικές νομικές βάσεις», όπως αναφέρεται στην αιτιολογική έκθεση, αλλά μόνον να εξειδικεύσει τις νομικές βάσεις του άρθρου 6 παρ. 1 εδ. γ’ και ε’ ΓΚΠ∆, υπό τους όρους και τις εγγυήσεις που προβλέπονται από τις διατάξεις των παρ. 2 και 4 του άρθρου 6 ΓΚΠ∆. Επιπλέον δε, από τη διάταξη του άρθρου 6 παρ. 4 ΓΚΠ∆ για την περαιτέρω επεξεργασία για άλλους σκοπούς, διαφορετικούς µεν, συμβατούς δε µε τους σκοπούς της αρχικής συλλογής, προκύπτει ότι ο εθνικός νομοθέτης δεν υποχρεούται να λάβει μέτρα εφαρμογής για την περαιτέρω επεξεργασία δεδομένου ότι ο ίδιος ο ΓΚΠ∆ θεσπίζει τα υπό α) έως ε) της εν λόγω παραγράφου 4 κριτήρια. Ακόμη όμως και εάν θεωρηθεί ότι ο εθνικός νομοθέτης είχε εξουσιοδότηση από τον ΓΚΠ∆ να θεσπίσει «εθνικές νομικές βάσεις» για την περαιτέρω επεξεργασία των δεδομένων κατ’ αρ. 6 παρ. 4 ΓΚΠ∆, αυτές θα πρέπει να συνιστούν μόνον εξειδίκευση των νομικών βάσεων του άρθρου 6 παρ. 1 εδ. γ’ και ε’ ΓΚΠ∆, θα πρέπει να σέβονται τις αρχές νομιμότητας του άρθρου 5 παρ. 1 ΓΚΠ∆ και ιδίως την αρχή του περιορισμού του σκοπού κατ’ αρ. 5 παρ. 1 εδ. β’ ΓΚΠ∆, θα πρέπει να αποτελούν αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση των σκοπών που αναφέρονται στο άρθρο 23 µε πρόβλεψη των σχετικών ουσιαστικών και δικονομικών εγγυήσεων, θα πρέπει τα νομοθετικά μέτρα ή νομικές βάσεις να είναι διατυπωμένα µε σαφήνεια και ακρίβεια και η εφαρμογή τους να είναι προβλέψιμη για πρόσωπα που υπόκεινται σε αυτά σύμφωνα µε τη νομολογία του ∆ΕΕ και του Ε∆∆Α (αιτ. σκ. 41) (…) Οι διατάξεις των άρθρων 24, 25 και 26 του νόμου δεν πληρούν καμία από τις ανωτέρω ουσιαστικές και διαδικαστικές προϋποθέσεις και εγγυήσεις (...) ».
31. Επειδή, σύμφωνα με το άρθρο 79 παρ. 1 του Ν. 4727/2020 «Ψηφιακή Διακυβέρνηση (Ενσωμάτωση στην Ελληνική Νομοθεσία της Οδηγίας (ΕΕ) 2016/2102 και της Οδηγίας (ΕΕ) 2019/1024) Ηλεκτρονικές Επικοινωνίες (Ενσωμάτωση στο Ελληνικό Δίκαιο της 17 ΑΠΔΠΧ Γνωμ. 1/2020, διαθέσιμη στην ιστοσελίδα της. 12 Οδηγίας (ΕΕ) 2018/1972) και άλλες διατάξεις» (ΦΕΚ Α’ 184) που αφορά στο πρόγραμμα Διαύγεια : «
32. Η ανάρτηση των πράξεων που αναφέρονται στο άρθρο 76 στο Διαδίκτυο και η οργάνωση της αναζήτησης πληροφοριών πραγματοποιείται με την επιφύλαξη των εθνικών και ενωσιακών κανόνων για την προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Δεν αναρτώνται πράξεις, στις οποίες περιλαμβάνονται οι ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα και δεδομένα προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες και αδικήματα, όπως αυτά ορίζονται στην κείμενη νομοθεσία.»
33. Επειδή, σύμφωνα με τα διαλαμβανόμενα στο ιστορικό της παρούσας, με την υπ’ αριθ. … Απόφαση και κατόπιν της ανάκλησής της, με την υπ’ αριθ. … Απόφαση του Δημάρχου Χ, οι οποίες αναρτήθηκαν στο πρόγραμμα Διαύγεια, αποφασίστηκε, συμφώνως προς τις ρυθμίσεις για τις εγγυήσεις αμεροληψίας των διοικητικών οργάνων που θεσπίζονται με το άρθρο 7 παρ. 1 και 2 του Κώδικα Διοικητικής Διαδικασίας (Ν. 2690/1999, ΦΕΚ Α’ 45), η εξαίρεση της καταγγέλλουσας από κάθε μελλοντική ενέργεια που κατατείνει σε ατομική ή συλλογική διοικητική πράξη που αφορά την επιχείρηση πολίτη, ο οποίος έχει υποβάλει έγκληση εναντίον της καταγγέλλουσας. Σύμφωνα με τους ισχυρισμούς του καθ’ ου, οι ως άνω αποτελούν πράξεις εμπίπτουσες στο πεδίο του άρθρου 76 παρ. 3 περ. η) του Ν.4727/2020 (ΦΕΚ Α’184) περί Ψηφιακής Διακυβέρνησης, σύμφωνα με το οποίο «Στο διαδίκτυο αναρτώνται: (…) η) πράξεις διορισμού, αποδοχής παραίτησης, αντικατάστασης ή παύσης Υπηρεσιακών, Γενικών και Ειδικών Γραμματέων Υπουργείων, Συντονιστών Αποκεντρωμένων Διοικήσεων και Εκτελεστικών Γραμματέων Περιφερειών, μελών συλλογικών οργάνων διοίκησης φορέων του Δημοσίου, των Ν.Π.Δ.Δ., των φορέων του ευρύτερου δημόσιου τομέα και φορέων των οργανισμών τοπικής αυτοδιοίκησης πρώτου και δευτέρου βαθμού,» και, επομένως, κατά τους ισχυρισμούς αυτούς του καθ’ ου, υφίσταται νόμιμη βάση για την επεξεργασίας των προσωπικών δεδομένων της καταγγέλλουσας με βάση το άρθρο 6 παρ. 1 εδ. γ’ ΓΚΠ∆. Περαιτέρω, ο καθ’ ου επικαλείται τις διατάξεις του άρθρου 79 παρ. 1 του Ν. 4727/2020 (ΦΕΚ Α’184), με τις οποίες ορίζεται ότι η κατά το άρθρο 76 του ίδιου νόμου ανάρτηση πραγματοποιείται με την επιφύλαξη των κανόνων προστασίας του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα και οι οποίες κατατείνουν, κατά την άποψή του, σε ένα ευρύ και 13 κρινόμενο κατά περίπτωση πλαίσιο εφαρμογής και παροχής επιφυλάξεων, το οποίο επιτρέπει την ανάρτηση κάθε πράξεως, με τις ανωτέρω επιφυλάξεις.
34. Επειδή ο καθ’ ου δεν προσδιόρισε σε ποια από τις αναφερόμενες στο άρθρο 76 παρ. 3 περ. η) του Ν.4727/2020 (ΦΕΚ Α’ 184) κατηγορίες πράξεων εντάσσεται η απόφαση εξαίρεσης της καταγγέλλουσας (διορισμού, αποδοχής παραίτησης, αντικατάστασης ή παύσης), ενώ με βάση το σημείο 7 της υπ’ αριθ. … Απόφασης και κατόπιν της ανάκλησής της, με βάση το σημείο 7 της υπ’ αριθ. … Απόφασης του Δημάρχου Χ, δεν έχει συσταθεί συλλογικό όργανο με αντικείμενο τη διενέργεια αυτοψίας στη συγκεκριμένη επιχείρηση και, συνεπώς, οι αποφάσεις αυτές του Δημάρχου δεν μπορεί να αφορούν την ιδιότητα της καταγγέλλουσας ως μέλους σχετικού συλλογικού οργάνου. Κατά συνέπεια, η υπό κρίση απόφαση εξαίρεσης της καταγγέλλουσας κατ’ άρθρο 7 του παρ. 1 και 2 του Κώδικα Διοικητικής Διαδικασίας (Ν. 2690/1999, ΦΕΚ Α’ 45), δεν αποτελεί πράξη εμπίπτουσα στην επικαλούμενη από τον καθ’ ου διάταξη του άρθρου 76 παρ. 3 περ. η) του Ν.4727/2020 (ΦΕΚ Α’184) και δεν υφίσταται εκ της διάταξης αυτής υποχρέωση ανάρτησής της στο πρόγραμμα Διαύγεια.
35. Επειδή, ο καθ’ ου δεν επικαλείται, ως νόμιμη βάση για την ανάρτηση των επίμαχων αποφάσεων του Δημάρχου Χ στο πρόγραμμα Διαύγεια, άλλη διάταξη πέραν του προαναφερόμενου άρθρου 76 παρ. 3 περ. η) του Ν.4727/2020 (ΦΕΚ Α’184), ούτε άλλωστε προβλέπεται σε άλλη διάταξη του εν λόγω άρθρου η ανάρτηση πράξεων, με τις οποίες επιβάλλεται εξαίρεση υπαλλήλου κατά το άρθρο 7 του Κώδικα Διοικητικής Διαδικασίας (Ν. 2690/1999, ΦΕΚ Α’ 45). Ειδικότερα στην περίπτωση κ) του άρθρου 76 παρ. 3 του Ν. 4727/2020 (ΦΕΚ Α’184) ορίζεται ότι : «Στο διαδίκτυο αναρτώνται: (κ) ατομικές διοικητικές πράξεις, η δημοσίευση των οποίων προβλέπεται από ειδική διάταξη νόμου.», σύμφωνα δε με το άρθρο 6 παρ. 3 της με αριθ. 14492 ΕΞ 2021 Υπουργικής Απόφασης (ΦΕΚ Β’ 2157) για τη ρύθμιση λεπτομερειακών και τεχνικών θεμάτων για την εφαρμογή του Κεφαλαίου ΙΑ’ Ψηφιακή Διαφάνεια-Πρόγραμμα Διαύγεια του ν. 4727/2020: «(…) Στην κατηγορία «λοιπές ατομικές διοικητικές πράξεις» εντάσσονται μόνον οι ατομικές διοικητικές πράξεις, οι οποίες δημοσιεύονται σύμφωνα με ειδική διάταξη νόμου είτε στην Εφημερίδα της Κυβερνήσεως, είτε στον ημερήσιο τύπο, είτε στην ιστοσελίδα ή στο κατάστημα του φορέα.(…)», ενώ σύμφωνα με τη Γνωμ. ΝΣΚ 65/2011 «εφόσον στην κείμενη ειδική νομοθεσία δεν προβλέπεται, για τους λόγους που 14 ο νομοθέτης επέλεξε να µη προβλέπεται, ως υποχρεωτική η δημοσίευση, δεν είναι υποχρεωτική ούτε η καθ’ υποκατάσταση αυτής ανάρτηση στο διαδίκτυο, της σχετικής δημοσιότητας εξασφαλιζοµένης, εν πάση περιπτώσει, µε την τήρηση της διαδικασίας που διαγράφεται από τις εφαρμοστέες διατάξεις, στα όρια και την έκταση που κατά περίπτωση διαγράφεται»
36. Δεδομένου ότι δεν προβλέπεται από διάταξη νόμου η υποχρεωτική δημοσίευση της απόφασης εξαίρεσης της καταγγέλλουσας, συμφώνως προς το άρθρο 7 του Κώδικα Διοικητικής Διαδικασίας (Ν. 2690/1999, ΦΕΚ Α’ 45), ούτε άλλωστε επικαλείται ο καθ’ ου σχετική διάταξη, το άρθρο 76 παρ. 3 περ. κ) του Ν. 4727/2020 (ΦΕΚ Α’184) δεν προσδίδει νόμιμη βάση για την επίμαχη ανάρτηση στο πρόγραμμα Διαύγεια
38. Επομένως η ως άνω ανάρτηση της υπ’ αριθ. … Απόφασης και κατόπιν της ανάκλησής της, της υπ’ αριθ. … Απόφασης του Δημάρχου Χ, δεν βρίσκει νόμιμο έρεισμα στο άρθρο 6 παρ. 1 στοιχ. γ) του ΓΚΠΔ, καθόσον δεν υφίσταται απαίτηση για τη συμμόρφωση του υπευθύνου επεξεργασίας με έννομη υποχρέωση.
39. Επειδή εξάλλου, ο καθ’ ου, επικαλέστηκε περαιτέρω τη διάταξη του άρθρου 24 παρ. 1 περ. δ’ του N. 4624/2019 (ΦΕΚ Α΄ 137), ισχυριζόμενος ότι η εν λόγω επεξεργασία ήταν επιτρεπτή υπό την αναγκαιότητα εκπλήρωσης καθηκόντων του Δημάρχου Χ, εφόσον ήταν αναγκαία για την αποτροπή σοβαρής βλάβης στα δικαιώματα άλλου προσώπου. Όπως προαναφέρθηκε στη σκέψη 11, με τη Γνωμοδότηση 1/2020 η Αρχή έχει κρίνει ότι ο ΓΚΠ∆ δεν παρέχει εξουσιοδότηση στον εθνικό νομοθέτη να θεσπίσει νέες «εθνικές νομικές βάσεις», αλλά μόνον να εξειδικεύσει τις νομικές βάσεις του άρθρου 6 παρ. 1 στοιχ. γ’ και ε’ ΓΚΠ∆, υπό τους όρους και τις εγγυήσεις που προβλέπονται από τις διατάξεις των παρ. 2 και 4 του άρθρου 6 ΓΚΠ∆. Επομένως οι εν λόγω διατάξεις του άρθρου 24 παρ. 1 περ. δ’ του N. 4624/2019 (ΦΕΚ Α΄ 137), λαμβάνονται υπόψη από την Αρχή μόνο στο βαθμό που αποτελούν εξειδίκευση των τιθέμενων από τον ενωσιακό νομοθέτη νομικών βάσεων για την επεξεργασία δεδομένων προσωπικού χαρακτήρα
40. Γνωμ. ΝΣΚ 65/2011, σκ. ΙΙΙ, διαθέσιμη στην ιστοσελίδα του ΝΣΚ. Βλ. και ΑΠΔΠΧ 112/2017, διαθέσιμη στην ιστοσελίδα της. 20 ΑΠΔΠΧ Γνωμ. 1/2020, διαθέσιμη στην ιστοσελίδα της: «Οίκοθεν νοείται ότι δεν θα τύχουν εφαρμογής από την Αρχή κατά την άσκηση των αρμοδιοτήτων της διατάξεις του ν. 4624/2019, οι οποίες θα κριθούν ότι έρχονται σε αντίθεση µε τον ΓΚΠ∆ ή δεν βρίσκουν έρεισμά σε «ρήτρες ανοίγματος – εξειδίκευσης» σελ.
41. 18 19 15 Στην υπό κρίση περίπτωση, δεδομένου ότι όπως προαναφέρθηκε στη σκέψη 16, δεν μπορεί να τύχει εφαρμογής το άρθρο 6 παρ. 1 στοιχ. γ) του ΓΚΠΔ, ως νομική βάση για την υπό κρίση επεξεργασία, δεν δύναται να τύχουν εφαρμογής οι επικαλούμενες από τον καθ’ ου διατάξεις του άρθρου 24 παρ. 1 περ. δ’ του N. 4624/2019 (ΦΕΚ Α΄ 137).
42. Επειδή, με βάση τα προαναφερόμενα στις αμέσως προηγούμενες σκέψεις, η ανάρτηση της υπ’ αριθ. … Απόφασης και κατόπιν της ανάκλησής της, της υπ’ αριθ. … Απόφασης του Δημάρχου Χ, έλαβε χώρα κατά παράβαση του άρθρου 6 παρ. 1 στοιχ. γ) ΓΚΠΔ, και της αρχής της νομιμότητας που κατοχυρώνεται από το άρθρο 5 παρ. 1 στοιχ. α) ΓΚΠΔ. Δεδομένου ότι διαπιστώνεται έλλειψη συμμόρφωσης προς την προβλεπόμενη από το άρθρο 5 παρ. 1 στοιχ. α) ΓΚΠΔ αρχή της νομιμότητας και δεδομένου ότι, σύμφωνα με όσα εκτίθενται στη σκέψη 9, απαιτείται σωρευτικώς η πλήρωση των προϋποθέσεων εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ, προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, παρέλκει αναφορικά με τις υπό κρίση αναρτήσεις στο πρόγραμμα Διαύγεια η εξέταση της πλήρωσης των λοιπών αρχών νόμιμης επεξεργασίας των δεδομένων βάσει του άρθρου 5
44. Επειδή, αναφορικά με την ανάρτηση στο πρόγραμμα Διαύγεια της υπ΄ αριθ. πρωτ. … Απόφασης της Οικονομικής Επιτροπής του Δήμου Χ, με την οποία αποφασίζεται ο ορισμός συνηγόρου προς υπεράσπιση της καταγγέλλουσας, αναφορικά με την έγκληση που έχει υποβληθεί σε βάρος της από πολίτη και η οποία περιέχει δεδομένα προσωπικού χαρακτήρα της καταγγέλλουσας, ο καθ’ ου επικαλέστηκε επίσης τη διάταξη του άρθρου 24 παρ. 1 περ. δ’ του N. 4624/2019 (ΦΕΚ Α΄ 137), ισχυριζόμενος ότι η εν λόγω επεξεργασία ήταν επιτρεπτή υπό την αναγκαιότητα εκπλήρωσης καθηκόντων του Δημάρχου Χ. Σύμφωνα με τις διατάξεις του άρθρου 76 παρ. 3 περ. κ) του Ν. 4727/2020 (ΦΕΚ Α’184) και του άρθρου 6 παρ. 3 της με αριθ. 14492 ΕΞ 2021 Υπουργικής Απόφασης (ΦΕΚ Β’ 2157) για τη ρύθμιση λεπτομερειακών και τεχνικών θεμάτων για την εφαρμογή του Κεφαλαίου ΙΑ’ Ψηφιακή Διαφάνεια-Πρόγραμμα Διαύγεια του ν. 4727/2020 που αναφέρονται στη σκέψη 15, στις δημοσιευτέες ατομικές διοικητικές πράξεις περιλαμβάνονται, εκτός από αυτές που δημοσιεύονται στην Εφημερίδα της Κυβέρνησης και αυτές οι οποίες λαμβάνουν άλλον τρόπο δημοσιότητας - βάσει ειδικότερων 21 Βλ. ως άνω, υποσημ.
45. 16 διατάξεων- και εν συνεχεία δημοσιεύονται στο διαδίκτυο
46. Επομένως, δεδομένου ότι για τις αποφάσεις της Οικονομικής Επιτροπής του Δήμου προβλέπεται υποχρέωση δημοσίευσης σύμφωνα με τις διατάξεις για τη δημοσίευση των αποφάσεων του δημοτικού συμβουλίου και ανάρτησης στην ιστοσελίδα του Δήμου, κατά το άρθρο 75 παρ. 12 του Ν. 3852/2010 (ΦΕΚ Α’ 87), όπως αντικαταστάθηκε από το άρθρο 77 του Ν. 4555/2018 (ΦΕΚ Α’ 133), η Αρχή κρίνει ότι η ανάρτηση της υπ΄ αριθ. πρωτ. … Απόφασης της Οικονομικής Επιτροπής του Δήμου Χ στο πρόγραμμα Διαύγεια έλαβε χώρα καταρχήν με βάση το άρθρο 6 παρ. 1 στοιχ. γ) του ΓΚΠΔ, καθόσον η ανάρτηση της κρίνεται απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας, απορρέουσα από το άρθρο 76 παρ. 3 περ. κ) του Ν. 4727/2020 (ΦΕΚ Α’184)
48. Επειδή σύμφωνα με το άρθρο 75 παρ. 6 του Ν. 3852/2010 (ΦΕΚ Α’ 87), όπως αντικαταστάθηκε από το άρθρο 77 του Ν. 4555/2018 (ΦΕΚ Α’ 133), η πρόσκληση της Οικονομικής Επιτροπής δημοσιεύεται στην ιστοσελίδα του Δήμου. Επομένως, η ανάρτηση της ανωτέρω υπ΄ αριθ. πρωτ. … Πρόσκλησης Σύγκλησης Τακτικής Οικονομικής Επιτροπής του Δήμου Χ στον ιστότοπο του Δήμου, κρίνεται απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας και κατά συνέπεια υφίσταται καταρχήν νομική βάση για την εν λόγω επεξεργασία σύμφωνα με το άρθρο 6 παρ. 1 στοιχ. γ) του ΓΚΠΔ.
49. Επειδή, σύμφωνα με τα προαναφερόμενα στη σκέψη 9, θα πρέπει να εξεταστεί αν σε κάθε περίπτωση πληρούνται οι αρχές του άρθρου 5 ΓΚΠΔ για την ανάρτηση της υπ΄ αριθ. πρωτ. … Απόφασης της Οικονομικής Επιτροπής του Δήμου Χ στο πρόγραμμα Διαύγεια και την ανάρτηση της υπ΄ αριθ. πρωτ. … Πρόσκλησης Σύγκλησης Τακτικής Οικονομικής Επιτροπής του Δήμου Χ στον ιστότοπο του Δήμου, ιδίως η αρχή της αναλογικότητας, όπως ειδικότερα εξειδικεύεται μέσω της αρχής της ελαχιστοποίησης των δεδομένων κατ’ άρθρο 5 παρ. 1 στοιχ. γ) ΓΚΠΔ. Στόχος των νομοθετικών ρυθμίσεων για την ανάρτηση διοικητικών αποφάσεων και πράξεων στο Διαδίκτυο είναι, σύμφωνα με την αιτιολογική έκθεση του προϊσχύσαντος Ν. 3861/2010 (ΦΕΚ Α’112), η επίτευξη της μέγιστης δημοσιότητας της κυβερνητικής πολιτικής και της διοικητικής δράσης, καθώς η ευρεία Δ. Πυργάκης, Νομολογιακές εξελίξεις ως προς την προθεσμία της αιτήσεως ακυρώσεως, σε: ΕφημΔΔ 4/2019, σ.449- 461, όπως αναφέρεται στη Γνωμ. 141/2021 ΝΣΚ, σκ.
50. 23 Βλ. και Γνωμ. 141/2021 ΝΣΚ, σκ. 27, διαθέσιμη στην ιστοσελίδα του ΝΣΚ. 22 17 δημοσιότητα και η πρόσβαση στην πληροφορία που εξασφαλίζουν τα μέσα διαδικτυακής επικοινωνίας διασφαλίζουν τη διαφάνεια της κρατικής δράσης και κατ’ αποτέλεσμα την υπευθυνότητα, την ευθύνη και τη λογοδοσία από την πλευρά των φορέων άσκησης της δημοσίας εξουσίας
51. Η εξασφάλιση της ορθής και πρόσφορης χρήσης των δημοσίων πόρων εκ μέρους της δημοσίας διοίκησης συνιστά νόμιμο σκοπό τόσο κατά την έννοια του άρθρου 5 παρ. 1 στοιχ. β) και γ) ΓΚΠΔ, όσο και υπό την έννοια του άρθρου 8 παρ. 2 της ΕΣΔΑ που αφορά «την ευημερία της χώρας» 25, ωστόσο θα πρέπει να εξακριβωθεί αν ο εν λόγω περιορισμός του δικαιώματος στην προστασία των δεδομένων προσωπικού χαρακτήρα της καταγγέλλουσας είναι αναγκαίος, πρόσφορος και εν στενή έννοια αναλογικός προς επίτευξη του νομίμως επιδιωκόμενου σκοπού, σε μια δημοκρατική κοινωνία συμφώνως προς την πάγια νομολογία του ΕΔΔΑ
52. Περαιτέρω, όπως έχει κρίνει το ΔΕΕ, ως προς την αναγκαιότητα του μέτρου της δημοσιοποίησης δεδομένων προσωπικού χαρακτήρα στο διαδίκτυο, ο σκοπός της επίμαχης δημοσιοποιήσεως δεν μπορεί να επιδιώκεται χωρίς να λαμβάνεται υπόψη ότι πρέπει να πραγματοποιείται συμβιβασμός μεταξύ του σκοπού και των θεμελιωδών δικαιωμάτων στην ιδιωτική ζωή και την προστασία των δεδομένων προσωπικού χαρακτήρα
54. Επειδή στην υπό κρίση περίπτωση, σκοπός της ανάρτησης των πράξεων της Οικονομικής Επιτροπής του Δήμου στο διαδίκτυο είναι η ενίσχυση της διαφάνειας αναφορικά με την οικονομική διαχείριση του Δήμου και η δυνατότητα ελέγχου αυτής από τον πολίτη, η δε αναφορά των στοιχείων του υπαλλήλου στον οποίο αφορά ο ορισμός συνηγόρου δεν αποτελεί αναγκαία συνθήκη για την πραγμάτωση του ως άνω νόμιμου σκοπού. Εξάλλου, η Αρχή έχει και στο παρελθόν επισημάνει ότι, από το συνδυασμό των διατάξεων με τις Βλ και Γνωμ. 1/2010 της Αρχής, διαθέσιμη στην ιστοσελίδα της, καθώς και τα εκτιθέμενα στο από 7.12.2009 σημείωμα του Υπουργού στο διαδικτυακό τόπο www.opengov.gr/ypes, όπου αναφέρεται ότι στόχος των διατάξεων είναι η υλοποίηση του στόχου της κυβέρνησης για διαφάνεια, ανοιχτή διακυβέρνηση, πρόληψη και αποφυγή φαινομένων κακοδιαχείρισης του δημοσίου πλούτου και αποτροπή της διαφθοράς σε κάθε επίπεδο και σε όλους τους τομείς. (όπως αναφέρεται στη Γνωμ. 1/2010 της Αρχής). 25 ΔΕΕ, Rechnungshof κατά Oesterreichischer Rundfunk συνεκδικαζόμενες υποθέσεις C-465/00, C138/01, C-139/01, 20 Μαΐου 2003, σκ.
55. 26 Ενδεικτικά, ΕΔΔΑ, απόφαση Gillow κατά Ηνωμένου Βασιλείου της 24ης Νοεμβρίου 1986, § 55, S and Marper κατά Ηνωμένου Βασιλείου της 4ης Δεκεμβρίου 2008, §
56. 27 ∆ΕΕ, συνεκδικαζόµενες υποθέσεις C-92/09 και C-93/09, Volker und Markus Schecke GbR, Hartmut Eifert κατά Land Hessen, 9 Νοεμβρίου 2010, σκ. 76 και ΔΕΕ C‑73/07, Satakunnan Markkinapörssi και Satamedia, 16 Δεκεμβρίου 2008, σκ.
57. 24 18 οποίες εισάγεται επιφύλαξη υπέρ της νομοθεσίας περί δεδομένων προσωπικού χαρακτήρα για την ανάρτηση πράξεων στο διαδίκτυο και των διατάξεων περί θεμελιωδών προϋποθέσεων νομιμότητας επεξεργασίας δεδομένων προσωπικού χαρακτήρα, προκύπτει ότι στις αναρτητέες πράξεις θα πρέπει να περιλαμβάνονται τα απολύτως απαραίτητα προσωπικά δεδομένα, και όχι περισσότερα, από αυτά που απαιτούνται εν όψει της εξυπηρέτησης του σκοπού της διαφάνειας
58. Άλλωστε, όπως ισχυρίστηκε η καταγγέλλουσα, ο Δήμος έχει προχωρήσει σε ανάρτηση αντιστοίχου περιεχομένου Απόφασης της Οικονομικής Επιτροπής στο πρόγραμμα Διαύγεια, αφορώσα σε έτερο υπάλληλο, με ανωνυμοποίηση στοιχείων του (ονοματεπωνύμου, βαθμού, θέσεως) και αναφορά μόνο στην υπηρεσία του Δήμου στην οποία υπηρετεί. Κατά τούτο, κρίνεται ότι εν προκειμένω, ο καθ’ ου, με την ανάρτηση της υπ΄ αριθ. πρωτ. … Απόφασης της Οικονομικής Επιτροπής του Δήμου Χ στο πρόγραμμα Διαύγεια και της υπ΄ αριθ. πρωτ. … Πρόσκλησης Σύγκλησης Τακτικής Οικονομικής Επιτροπής του Δήμου Χ στον ιστότοπο του Δήμου με πλήρη αναφορά στα στοιχεία της καταγγέλλουσας, παραβίασε την αρχή της ελαχιστοποίησης των δεδομένων κατ’ άρθρο 5 παρ. 1 στοιχ. γ) ΓΚΠΔ, δεδομένου μάλιστα ότι για την επίτευξη της διαφάνειας υφίσταται το κατά πολύ ηπιότερο (σε σχέση με την ονομαστική ανάρτηση στο διαδίκτυο) μέσο της πρόσβασης στα δημόσια έγγραφα, υπό την προϋπόθεση ότι τηρούνται οι προϋποθέσεις του άρθρου 5 του Κώδικα Διοικητικής Διαδικασίας (ν. 2690/1999).
59. Επειδή τέλος, το άρθρο 17 παρ. 1 ΓΚΠΔ ορίζει ότι: «
60. Το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, εάν ισχύει ένας από τους ακόλουθους λόγους: α) τα δεδομένα προσωπικού χαρακτήρα δεν είναι πλέον απαραίτητα σε σχέση με τους σκοπούς για τους οποίους συλλέχθηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία, β) το υποκείμενο των δεδομένων ανακαλεί τη συγκατάθεση επί της οποίας βασίζεται η επεξεργασία σύμφωνα με το άρθρο 6 παράγραφος 1 στοιχείο α) ή το άρθρο 9 παράγραφος 2 στοιχείο α) και δεν υπάρχει άλλη νομική βάση για την επεξεργασία, γ) το 28 ΑΠΔΠΧ 45/2016, διαθέσιμη στην ιστοσελίδα της, σκ.
61. 19 υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία σύμφωνα με το άρθρο 21 παράγραφος 1 και δεν υπάρχουν επιτακτικοί και νόμιμοι λόγοι για την επεξεργασία ή το υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία σύμφωνα με το άρθρο 21 παράγραφος 2, δ) τα δεδομένα προσωπικού χαρακτήρα υποβλήθηκαν σε επεξεργασία παράνομα, ε) τα δεδομένα προσωπικού χαρακτήρα πρέπει να διαγραφούν, ώστε να τηρηθεί νομική υποχρέωση βάσει του ενωσιακού δικαίου ή του δικαίου κράτους μέλους, στην οποία υπόκειται ο υπεύθυνος επεξεργασίας, στ) τα δεδομένα προσωπικού χαρακτήρα έχουν συλλεχθεί σε σχέση με την προσφορά υπηρεσιών της κοινωνίας των πληροφοριών που αναφέρονται στο άρθρο 8 παράγραφος 1.».
62. Επειδή από το συνδυασμό των άρθρων 5 παρ. 2 και 17 παρ. 1, προκύπτει ότι ο υπεύθυνος επεξεργασίας φέρει το βάρος της απόδειξης της νομιμότητας της επεξεργασίας των δεδομένων, καθώς είναι υπεύθυνος για τη νομιμότητα της επεξεργασίας
63. Όπως έχει κρίνει η Αρχή 30, το υποκείμενο δεν είναι υποχρεωμένο να ασκήσει το δικαίωμά του με συγκεκριμένο τρόπο, καθώς τέτοια απαίτηση δεν τίθεται από το ΓΚΠΔ, στον οποίο αντιθέτως αναφέρεται ότι ο υπεύθυνος επεξεργασίας οφείλει να διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων, ενώ η άσκηση του δικαιώματος πρόσβασης δεν απαιτείται να λαμβάνει χώρα με συγκεκριμένο τύπο ή πανηγυρικά π.χ. με την επίκληση των διατάξεων του ΓΚΠΔ ή με ρητή αναφορά σε άσκηση του
64. Το δικαίωμα διαγραφής του υποκειμένου ικανοποιείται κατά περίπτωση με διάφορους τρόπους πχ. με την καταστροφή του αρχείου, με την οριστική εξάλειψη των δεδομένων του ή με την οριστική ανωνυμοποίηση των δεδομένων του υποκειμένου
66. Επειδή, όπως προκύπτει από το ανωτέρω ιστορικό, σύμφωνα με τους ισχυρισμούς της καταγγέλλουσας, με την υπ’ αριθ. … αίτησή της προς το Δήμο Χ, ζήτησε την άμεση ανάκληση της Απόφασης … του Δημάρχου Χ από το πρόγραμμα Διαύγεια, πλην όμως, με την από … απάντηση/γνωμοδότηση του υπευθύνου προστασίας δεδομένων του Δήμου, Εγχειρίδιο σχετικά με την ευρωπαϊκή νομοθεσία για την προστασία των προσωπικών δεδομένων, Έκδοση 2018, © Οργανισμός Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης και Συμβούλιο της Ευρώπης, 2019, σελ.
67. 30 ΑΠΔΠΧ 13/2021, διαθέσιμη στην ιστοσελίδα της. 31 ΑΠΔΠΧ 26/2021, ΑΠΔΠΧ 36/2021, διαθέσιμες στην ιστοσελίδα της. 32 Δίκαιο Προσωπικών Δεδομένων, Κων/νος Ν. Χριστοδούλου, Εκδ. Νομική Βιβλιοθήκη, 2η εκδ., 2020, σελ. 132, με παραπομπή σε ΑΠΔΠΧ 129/2001 και ΑΠΔΠΧ 13/
68. 29 20 το αίτημά της απορρίφθηκε. Σχετικώς υποστηρίχθηκε τόσο με το υπ’ αρ. πρωτ. Αρχής Γ/ΕΙΣ/8392/24-12-2021 υπόμνημα του υπευθύνου προστασίας δεδομένων του καθ’ ου , όσο και από τον ίδιο τον υπεύθυνο προστασίας δεδομένων του καθ’ ου κατά την από … ακρόαση, ότι, με την από υπ’ αριθ. … αίτησή της η καταγγέλλουσα αιτήθηκε την απόσυρση του εγγράφου της απόφασης του Δημάρχου Χ και εξέφρασε τη δυσαρέσκειά της για την ανάρτηση της απόφασης στο πρόγραμμα Διαύγεια, ωστόσο, δεν προέβη σε ρητή άσκηση του δικαιώματος διαγραφής των προσωπικών της δεδομένων, συμφώνως με το άρθρο 17 του ΓΚΠΔ και το άρθρο 34 του ν.4727/
70. Επειδή ωστόσο, προκύπτει από το ρητό αίτημα που εμπεριέχεται στην από υπ’ αρ. … αίτησή της προς το Δήμο Χ, ότι η καταγγέλλουσα ζήτησε την άμεση ανάκληση της επίμαχης απόφασης από το πρόγραμμα Διαύγεια. Περαιτέρω επισημαίνεται, ότι παρόλο που σύμφωνα με τους ισχυρισμούς του, ο καθ’ ου δεν εξέλαβε την υπ’ αρ. … αίτηση της καταγγέλλουσας ως ρητή άσκηση του δικαιώματος διαγραφής, από το σύνολο των στοιχείων του φακέλου, προκύπτει ότι για την απάντηση στην ως άνω αίτηση, απευθύνθηκε στον υπεύθυνο προστασίας δεδομένων του Δήμου ο οποίος ήταν και ο τελικός συντάκτης της σχετικής γνωμοδότησης/ απάντησης στην ως άνω αίτηση.
71. Επειδή, όπως ήδη κρίθηκε ανωτέρω, η επεξεργασία των δεδομένων προσωπικού χαρακτήρα της καταγγέλλουσας μέσω της ανάρτησης της Απόφασης … του Δημάρχου Χ στο πρόγραμμα Διαύγεια, έλαβε χώρα κατά παράβαση των άρθρων 5 παρ. 1 στοιχ. α) και 6 παρ. 1 στοιχ. γ) ΓΚΠΔ, κατά συνέπεια ο καθ’ ου όφειλε να ικανοποιήσει το δικαίωμα διαγραφής της καταγγέλλουσας, συμφώνως με τη διάταξη του άρθρου 17 παρ. 1 στοιχ δ) ΓΚΠΔ. Ωστόσο, από το ιστορικό της παρούσης, προκύπτει ότι με την από … απάντηση/γνωμοδότηση, ο υπεύθυνος προστασίας δεδομένων του καθ’ ου, εισηγήθηκε την απόρριψη του αιτήματος ανάκλησης της ως άνω αναφερόμενης Απόφασης από το πρόγραμμα Διαύγεια. Ακολούθως, ο καθ΄ ου δεν προχώρησε, ως όφειλε, στην ικανοποίηση του δικαιώματος διαγραφής των δεδομένων προσωπικού χαρακτήρα της καταγγέλλουσας μέσω της ανάκλησης της ως άνω αναφερόμενης πράξης από το πρόγραμμα Διαύγεια, σύμφωνα με το άρθρο 17 παρ. 1 στοιχ. δ) ΓΚΠΔ, αντιθέτως διατήρησε την εν λόγω ανάρτηση ως είχε 33, έως την ανάκλησή της την 22-12-2021, 33 Βλ και ΑΠΔΠΧ 21/2021, διαθέσιμη στην ιστοσελίδα της. 21 κατόπιν της λήψης του με αριθ. πρωτ. Αρχής Γ/ΕΞ/2829/19-11-2021 εγγράφου της Αρχής με το οποίο ζητήθηκε η αποστολή των απόψεών του επί της καταγγελίας.
72. Επειδή, κατόπιν των ανωτέρω, από τα στοιχεία του φακέλου, και των όσων προέκυψαν από την ακροαματική διαδικασία και τα υποβληθέντα υπομνήματα, η Αρχή διαπιστώνει παραβίαση των άρθρων 5 παρ. 1 στοιχ. α) και γ), 6 παρ. 1 στοιχ. γ) και 17 ΓΚΠΔ και κρίνει ότι συντρέχει περίπτωση άσκησης των διορθωτικών εξουσιών της σύμφωνα με το άρθρο 58 παρ. 2 του ΓΚΠΔ, καθώς και το άρθρο 39 του Ν. 4624/2019, λαμβάνοντας υπόψη τις Κατευθυντήριες Γραμμές 04/2022 για τον υπολογισμό των διοικητικών προστίμων υπό τον ΓΚΠΔ του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων 34 και τις Κατευθυντήριες Γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679 της Ομάδας Εργασίας του Άρθρου 29
73. Κατά την αξιολόγηση των δεδομένων από την Αρχή, προκειμένου να επιλεγεί το πρόσφορο και διορθωτικό μέτρο, λαμβάνονται υπόψη, με βάση τους όρους του άρθρου 83 παρ. 2 ΓΚΠΔ, τα εξής στοιχεία: • «η φύση, η βαρύτητα και η διάρκεια της παράβασης, λαμβάνοντας υπόψη τη φύση, την έκταση ή το σκοπό της σχετικής επεξεργασίας, καθώς και τον αριθμό των υποκειμένων των δεδομένων που έθιξε η παράβαση και το βαθμό ζημίας που υπέστησαν» (άρθρο 83 παρ. 2 στοιχ. α) ΓΚΠΔ). Επομένως λαμβάνεται υπόψη ότι η υπ’ αριθ. … Απόφαση παρέμεινε αναρτημένη έως την … στο πρόγραμμα Διαύγεια, ενώ κατόπιν της ανάκλησής της, η υπ’ αριθ. … Απόφαση του Δημάρχου Χ παραμένει επί του παρόντος αναρτημένη στο πρόγραμμα Διαύγεια 36, και το αυτό ισχύει για την υπ΄ αριθ. … Απόφαση της Οικονομικής Επιτροπής του Δήμου Χ 37 ∙ αντιθέτως δεν εντοπίστηκε η υπ΄ αριθ. πρωτ. … Πρόσκληση Σύγκλησης Τακτικής Οικονομικής Επιτροπής του Δήμου Χ στον ιστότοπο του Δήμου
74. Η Αρχή λαμβάνει υπόψη περαιτέρω, σύμφωνα με τα διαλαμβανόμενα στην Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, Κατευθυντήριες Γραμμές 04/2022 για τον υπολογισμό των διοικητικών προστίμων υπό τον ΓΚΠΔ, Εκδ. 2.1, 24 Μαΐου
75. 35 Ομάδα Εργασίας του Άρθρου 29, Κατευθυντήριες Γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679 WP 253, 3 Οκτωβρίου
76. 36 Ημ. Πρόσβασης …. 37 Ημ. Πρόσβασης …. 38 Ημ. Πρόσβασης .... 34 22 αιτιολογική σκέψη 75 του ΓΚΠΔ, 39 και το γεγονός ότι, κατά τα διδάγματα της κοινής πείρας, σε μια μικρή τοπική κοινωνία, ζημία που συνίσταται στη βλάβη φήμης ή διακρίσεις κατά προσώπου, δύναται να έχει σημαντικής έκτασης συνέπειες για το υποκείμενο των δεδομένων, ιδίως σε περίπτωση που, όπως συμβαίνει εν προκειμένω η θέση και η ιδιότητα της καταγγέλλουσας είναι ευρέως γνωστή σε τοπικό επίπεδο, • «οποιεσδήποτε ενέργειες στις οποίες προέβη ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία για να μετριάσει τη ζημία που υπέστησαν τα υποκείμενα των δεδομένων» (άρθρο 83 παρ. 2 στοιχ. γ) ΓΚΠΔ). Επομένως λαμβάνεται υπόψη ότι ο καθ΄ ου δεν προέβη σε ενέργειες για τον περιορισμό των συνεπειών της παράβασης για την καταγγέλλουσα, πριν τη λήψη του με αριθ. Πρωτ. Αρχής Γ/ΕΞ/2829/19-11-2021 εγγράφου της Αρχής προς παροχή απόψεων 40, • «τυχόν σχετικές προηγούμενες παραβάσεις του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία» (άρθρο 83 παρ. 2 στοιχ. ε) ΓΚΠΔ). Επομένως λαμβάνεται υπόψη ότι η Αρχή δεν έχει διαπιστώσει στο παρελθόν παράβαση εκ μέρους του καθ’ ου. • «ο βαθμός συνεργασίας με την αρχή ελέγχου για την επανόρθωση της παράβασης και τον περιορισμό των πιθανών δυσμενών επιπτώσεών της» (άρθρο 83 παρ. 2 στοιχ. στ) ΓΚΠΔ). Επομένως λαμβάνεται υπόψη ότι ο καθ’ ου, προέβη κατόπιν της λήψης του με αριθ. πρωτ. Γ/ΕΞ/2829/19-11-2021 εγγράφου της Αρχής, σε ανάκληση της υπ’ αριθ. … Απόφασης και σε αντικατάστασή της από την υπ’ αριθ. … Απόφαση, η οποία ωστόσο δεν είχε ως αποτέλεσμα να μην επέλθουν δυσμενείς συνέπειες για τα δικαιώματα της καταγγέλλουσας 41, αντιθέτως, όπως καταδείχθηκε ανωτέρω η ως άνω ενέργεια αποτέλεσε νέα παραβίαση των διατάξεων 6 παρ.1 στοιχ. γ) και 5 παρ. 1 α) ΓΚΠΔ. • «οι κατηγορίες δεδομένων προσωπικού χαρακτήρα που επηρεάζει η παράβαση» (άρθρο 83 παρ. 2 στοιχ. ζ) ΓΚΠΔ). Επομένως λαμβάνεται υπόψη ότι η επεξεργασία αφορά «Οι κίνδυνοι για τα δικαιώματα και τις ελευθερίες φυσικών προσώπων, ποικίλης πιθανότητας και σοβαρότητας, είναι δυνατόν να προκύπτουν από την επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία θα μπορούσε να οδηγήσει σε σωματική, υλική ή μη υλική βλάβη, ιδίως όταν η επεξεργασία μπορεί να οδηγήσει σε διακρίσεις, κατάχρηση ή υποκλοπή ταυτότητας, οικονομική απώλεια, βλάβη φήμης, απώλεια της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα που προστατεύονται από επαγγελματικό απόρρητο, παράνομη άρση της ψευδωνυμοποίησης, ή οποιοδήποτε άλλο σημαντικό οικονομικό ή κοινωνικό μειονέκτημα· (…) .» 40 Ομάδα Εργασίας του Άρθρου 29, Κατευθυντήριες Γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679 WP 253, 3 Οκτωβρίου 2017, σελ.
77. 41 Ό.π. , σελ.
78. 39 23 δεδομένα η διάδοση των οποίων προκαλεί άμεση ζημία/δυσχέρεια στο φυσικό πρόσωπο
79. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή Α) διαπιστώνει ότι η ανάρτηση της υπ’ αριθ. … Απόφασης του Δημάρχου Χ στο πρόγραμμα Διαύγεια συνιστά παραβίαση των άρθρων 5 παρ. 1 στοιχ. α) και 6 παρ. 1 στοιχ. γ) ΓΚΠΔ και επιβάλλει κατ’ άρθρο 58 παρ. 2 στοιχ. θ) ΓΚΠΔ στον καταγγελλόμενο Δήμο Χ χρηματικό πρόστιμο ύψους δύο χιλιάδων (2.000) ευρώ, για τους λόγους που εκτενώς αναλύονται στο σκεπτικό της παρούσης, Β) διαπιστώνει ότι η ανάρτηση της υπ’ αριθ. … Απόφασης του Δημάρχου Χ στο πρόγραμμα Διαύγεια συνιστά παραβίαση των άρθρων 5 παρ. 1 στοιχ. α) και 6 παρ. 1 στοιχ. γ) ΓΚΠΔ και απευθύνει επίπληξη κατ’ άρθρο 58 παρ. 2 στοιχ. β) ΓΚΠΔ στον καταγγελλόμενο Δήμο Χ, για τους λόγους που εκτενώς αναλύονται στο σκεπτικό της παρούσης, και Γ) δίνει εντολή, κατ’ άρθρο 58 παρ. 2 στοιχ. δ) ΓΚΠΔ, στο Δήμο Χ, ως υπεύθυνο επεξεργασίας, όπως προβεί άμεσα στη διαγραφή της Απόφασης … του Δημάρχου Χ από το πρόγραμμα Διαύγεια, για τους λόγους που εκτενώς αναλύονται στο σκεπτικό της παρούσης, και όπως ενημερώσει την Αρχή εντός προθεσμίας 20 (είκοσι) ημερών από τη λήψη της παρούσης, για την εφαρμογή της, Δ) διαπιστώνει ότι η ανάρτηση της υπ΄ αριθ. πρωτ. … Απόφασης της Οικονομικής Επιτροπής του Δήμου Χ, στο πρόγραμμα Διαύγεια και της υπ΄ αριθ. πρωτ. … Πρόσκλησης Σύγκλησης Τακτικής Οικονομικής Επιτροπής του Δήμου Χ στον ιστότοπο του Δήμου, συνιστούν παραβίαση του άρθρου 5 παρ. 1 στοιχ. γ) ΓΚΠΔ και επιβάλλει κατ’ άρθρο 58 παρ. 2 στοιχ. θ) ΓΚΠΔ στον καταγγελλόμενο Δήμο Χ χρηματικό πρόστιμο ύψους χιλίων (1.000) ευρώ, για τους λόγους που εκτενώς αναλύονται στο σκεπτικό της παρούσης, Ε) δίνει εντολή, κατ’ άρθρο 58 παρ. 2 στοιχ. δ) ΓΚΠΔ στο Δήμο Χ, ως υπεύθυνο επεξεργασίας, όπως προβεί άμεσα στη διαγραφή της υπ΄ αριθ. πρωτ. … Απόφασης της 42 Ό.π. , σελ.
80. 24 Οικονομικής Επιτροπής του Δήμου Χ από το πρόγραμμα Διαύγεια και της υπ΄ αριθ. πρωτ. … Πρόσκλησης Σύγκλησης Τακτικής Οικονομικής Επιτροπής του Δήμου Χ από τον ιστότοπο του Δήμου, και την εκ νέου ανάρτησή τους, συμφώνως προς τα οριζόμενα στο σκεπτικό της παρούσης, για τους λόγους που εκτενώς αναλύονται στο σκεπτικό της παρούσης, και όπως ενημερώσει την Αρχή εντός προθεσμίας 20 (είκοσι) ημερών από τη λήψη της παρούσης, για την εφαρμογή της, ΣΤ) διαπιστώνει παραβίαση του άρθρου 17 παρ. 1 του ΓΚΠΔ από τον καταγγελλόμενο Δήμο Χ, στον οποίο και επιβάλλει κατ’ άρθρο 58 παρ. 2 στοιχ. θ) ΓΚΠΔ στον καταγγελλόμενο Δήμο Χ χρηματικό πρόστιμο ύψους δύο χιλιάδων (2.000) ευρώ, για τους λόγους που εκτενώς αναλύονται στο σκεπτικό της παρούσης, Ζ) απευθύνει, σύμφωνα με το άρθρο 57 παρ. 1 στοιχ. γ) του ΓΚΠΔ και το άρθρο 13 παρ. 1 στοιχ. δ) του Ν. 4624/2019 σύσταση στο νομοθέτη να προβεί σε νομοθετική ρύθμιση του καθορισμού κριτηρίων για την επιλογή των αναρτητέων στο διαδίκτυο των δεδομένων προσωπικού χαρακτήρα φυσικών προσώπων, που θα κατατείνει στον περιορισμό των αναρτητέων πράξεων σε όσες ουσιαστικά εξυπηρετούν τη διαφάνεια χωρίς να καταργείται το δικαίωμα στην προστασία των προσωπικών δεδομένων. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 25