Καταγγελία υπαλλήλου για τη διαβίβαση ιατρικής γνωμάτευσης σε Σύλλογο Εργαζομένων σε Δ.Ο.Υ.

Αθήνα, 29-12-2021 Αριθ. Πρωτ.: 3027 ΑΠΟΦΑΣΗ 54/2021 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της σε συνεδρίαση μέσω τηλεδιασκέψεως την Τρίτη 23.11.2021 και ώρα 12:00, εξ αναβολής από την συνεδρίαση της 16ης.11.2021, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Σπυρίδων Βλαχόπουλος, ως εισηγητής, Κωνσταντίνος Λαμπρινουδάκης και Χαράλαμπος Ανθόπουλος. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν η Χαρίκλεια Λάτσιου, νομικός ελεγκτής - δικηγόρος, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Με την από … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/1921/18.03.2021) καταγγελία ο Α ενημερώνει την Αρχή ότι υπέβαλε στην Δ.Ο.Υ. Χ, όπου εργάζεται, την από … και με αρ. πρωτ. … αίτηση, προκειμένου να λάβει άδεια ειδικής απουσίας, την οποία συνόδευσε, μεταξύ άλλων, με την από … ιατρική γνωμάτευση του ιατρού Β, με την οποία βεβαιώνεται ότι πάσχει επιπρόσθετα από … . Στο πλαίσιο των δικαιολογητικών που κατέθεσε στην Υπηρεσία του για τον ανωτέρω σκοπό, ο Α καταγγέλλει ότι: « (…) στις … έλαβα γνώση ότι γνωστοποιήθηκε στις … στο Σύλλογο Εργαζομένων στις Δ.Ο.Υ. Φ με εντολή του Προϊσταμένου της Δ.Ο.Υ. Χ, η με ημερομηνία … ιατρική γνωμάτευση του Ιατρού Β, δυνάμει της οποίας βεβαιώνεται ότι πάσχω από …, χωρίς καμία προηγούμενη ενημέρωσή μου και λήψη της απαραίτητης συγκατάθεσής μου και με σκοπό την δήθεν αποτροπή μου από ενδεχόμενη μελλοντική αιμοδοσία». Επιπλέον, 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr ο Α ζητεί από την Αρχή, διά της πληρεξουσίας δικηγόρου του Νόπης Τιντζογλίδου, να δώσει εντολή στον Προϊστάμενο της Δ.Ο.Υ. Χ «να σταματήσει την παράνομη διαβίβαση των δεδομένων του εντολέα μου σε τρίτους, σύμφωνα με την οικεία νομοθεσία». Από τα συνοδευτικά στοιχεία που υπέβαλε στην Αρχή ο καταγγέλλων Α προκύπτει ότι στις … υπέβαλε αίτημα στο Αυτοτελές Τμήμα Υποστήριξης Υπευθύνου Προστασίας Δεδομένων της Α.Α.Δ.Ε. ζητώντας να ενημερωθεί σχετικά με: α) ποια έγγραφα, που εμπεριέχουν προσωπικά δεδομένα του ειδικής κατηγορίας, έχουν κοινοποιηθεί από την υπηρεσία του σε τρίτους, β) τους αποδέκτες, στους οποίους κοινοποιήθηκαν, γ) τον χρόνο και τον τρόπο κοινοποίησής τους και δ) τον νόμιμο λόγο κοινοποίησής τους. Σε απάντηση του ανωτέρω αιτήματος ο Α έλαβε την υπ’ αρ. πρωτ. … απάντηση της Δ.Ο.Υ. Χ, κατόπιν προηγούμενης αλληλογραφίας με το Αυτοτελές Τμήμα Υποστήριξης ΥΠΔ της Α.Α.Δ.Ε., στην οποία διαλαμβάνονται τα ακόλουθα: «(…) Επειδή τυγχάνετε υπάλληλος, υπηρετών στην Δ.Ο.Υ. Χ, προς την οποία έχετε αιτηθεί και λάβει κατά καιρούς αιμοδοτική άδεια (τελευταία βεβαίωση … με Α.Π. … του Συλλόγου Εργαζομένων στις Δ.Ο.Υ. Φ). Επειδή, στις ιατρικές γνωματεύσεις, τις οποίες ο ίδιος προσκομίσατε στην Υπηρεσία μας για την εκάστοτε χορήγηση άδειας ειδικού σκοπού στο πλαίσιο μέτρων για την αντιμετώπιση της διασποράς της πανδημίας του COVID- 19 γνωματεύεται ότι είστε άτομο ανήκον σε ομάδα υψηλού κινδύνου, χρήζον, σύμφωνα με τις γνωματεύσεις, υποχρεωτικής παραμονής κατ’ οίκον, άδεια, η οποία σας χορηγήθηκε. Επειδή δε, εντός του χρονικού πλαισίου της πανδημίας covid-19 και αφού είχατε ήδη προσκομίσει τις από … (ημερομηνία προσκόμισης) και … ιατρικές γνωματεύσεις του ιατρού Γ στην Υπηρεσία μας, ότι πάσχετε από σοβαρό πρόβλημα υγείας και ενώ τελούσατε σε άδεια ευπαθούς ομάδας λόγω του σοβαρού προβλήματος υγείας, αιτηθήκατε διά της Υπηρεσίας μας προς τη Διεύθυνση Διαχείρισης Ανθρώπινου Δυναμικού (Τμήμα Β΄) της Γενικής Διεύθυνσης Ανθρώπινου Δυναμικού και Οργάνωσης της Α.Α.Δ..Ε. στις … διά της με αριθμό πρωτ. … αιτήσεώς σας την απόσπασή σας στην Δ.Ο.Υ. Ψ για τους μήνες … έτους …, αίτηση στην οποία η εισήγηση του Προϊσταμένου της Υπηρεσίας μας είχε επί λέξει ως εξής: «ο υπάλληλος βρίσκεται σε άδεια ευπαθούς ομάδας (…) και δεν παράγει έργο στην υπηρεσία μας, συνεπώς εφόσον δεν απειλείται η υγεία του 2 δεν έχουμε αντίρρηση στην αίτησή του». Ακολούθως, και ενώ συνεχίζατε να βρίσκεστε σε άδεια ειδικού σκοπού, προσκομίσατε στην Υπηρεσία μας την από … βεβαίωση …ΔΥΠΕ … ΠΕΔΥ Μονάδας Υγείας Υ και την από … βεβαίωση του ιατρού Β. Επειδή, δοθείσης της προφανούς αντιφατικότητας που προέκυπτε από τις προαναφερόμενες αιτήσεις σας (από τη μία σοβαρό πρόβλημα υγείας και εντεύθεν χορήγησης άδειας ειδικού σκοπού ως άτομο ανήκον σε ευπαθή ομάδα, από την άλλη ταυτόχρονα αίτηση τρίμηνης απόσπασης σε τουριστική νησιωτική περιοχή υψηλής επισκεψιμότητας τόσο από το εξωτερικό όσο και το εσωτερικό, αλλά και αίτησής σας χορήγησης άδειας λόγω αιμοδοσίας συνεπεία βεβαιώσεων του Συλλόγου Εργαζομένων Δ.Ο.Υ. Φ), και κυρίως λόγω του γεγονότος ότι η Υπηρεσία μας είχε εντεύθεν λάβει γνώση, ότι πάσχετε από σοβαρές ασθένειες, όπως ο ίδιος μας είχατε ενημερώσει και ταυτόχρονα είστε αιμοδότης στην Τράπεζα αίματος του Συλλόγου Εργαζομένων στις Δ.Ο.Υ. Φ και δη ενεργός, όπως προκύπτει από τις προαναφερόμενες αιτήσεις σας χορήγησης αδειών αιμοδοσίας. Για τους λόγους αυτούς κρίναμε επιβεβλημένο, πρωτίστως για λόγους προστασίας της δημόσιας υγείας, ήτοι αορίστου αριθμού ασθενών που τυχόν θα χρειαστούν και θα λάβουν το μεταγγιζόμενο αίμα, αλλά και εσάς του ιδίου που παρέχετε το αίμα χωρίς τυχόν να έχετε ενημερώσει προηγουμένως το κέντρο αιμοδοσίας για την κατάσταση της υγείας, όπως ενημερώσουμε τον φορέα της αιμοδοσίας για την ύπαρξη των ως άνω ιατρικών συμβάντων, ώστε να διερευνηθεί ιατρικά η καταλληλότητα του εκάστοτε μεταγγιζόμενου αίματος και να επιτραπεί ή αποκλειστεί, αναλόγως των αποτελεσμάτων, η αιμοδοσία για εσάς ως αιμοδότη. Την από … βεβαίωση του ιατρού Β, απαραίτητη προς εκτίμηση κατά την κρίση μας για τους ανωτέρω λόγους, αποστείλαμε μέσω … με το υπ’ αριθμόν πρωτ. … έγγραφο της Υπηρεσίας μας προς τον ως άνω φορέα της αιμοδοσίας με θέμα «ΑΙΜΟΔΟΣΙΑ», ως αρμόδιο για την διενέργεια της διαδικασίας της αιμοδοσίας, της τήρησης του μητρώου των αιμοδοτών και της ασφάλειας του εκάστοτε μεταγγιζόμενου αίματος προς τους προαναφερόμενους σκοπούς έχοντας λάβει μάλιστα υπ’ όψιν και σεβόμενοι απολύτως τόσο την σχετική νομοθεσία (…) οι οποίοι προβλέπουν τις περιπτώσεις παρέκκλισης από το άρ.9 παρ. 1 τους ως άνω Ευρωπαϊκού ΓΚΠΔ για την επεξεργασία των ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα, όσο και τα έννομα 3 συμφέροντα εσάς του ιδίου ως υποκειμένου των ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα (…)». Η Αρχή, κατά την εξέταση της υπόθεσης, κάλεσε με το υπ’ αρ. πρωτ. Γ/ΕΞΕ/962/31.03.2021 έγγραφο της Αρχής την Δ.Ο.Υ. Χ να παράσχει εξηγήσεις επί των καταγγελλομένων. Σε απάντηση του ανωτέρω εγγράφου της Αρχής υποβλήθηκε στην Αρχή η υπ’ αρ. πρωτ. … από … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/2602/15.04.2021) απάντηση του Αυτοτελούς Τμήματος Υποστήριξης Υπευθύνου Προστασίας Δεδομένων της ΑΑΔΕ, στην οποία περιλαμβάνεται, μεταξύ άλλων, η υπ’ αρ. πρωτ. … απάντηση της Δ.Ο.Υ. Χ προς το Αυτοτελές Τμήμα Υποστήριξης ΥΠΔ της ΑΑΔΕ. Στην υπ’ αρ. πρωτ. … απάντηση της Δ.Ο.Υ. Χ που φέρει τίτλο «Εισήγηση απάντησης στο έγγραφο της Αρχής» ο Προϊστάμενος της Δ.Ο.Υ. Χ ενημερώνει ότι διαβίβασε στον Σύλλογο Εργαζομένων Φ το υπ΄ αρ. πρωτ. … έγγραφο, με το εξής περιεχόμενο: «Σας ενημερώνουμε, σύμφωνα με τα επισυναπτόμενα έγγραφα, ότι ο υπάλληλος Α, έχει προσκομίσει στην υπηρεσία μας βεβαίωση ότι πάσχει από … . Παρακαλούμε για τις δικές σας ενέργειες», διαβιβάζοντας, επιπλέον, στον εν λόγω Σύλλογο την επίμαχη από … ιατρική γνωμάτευση που προσκόμισε ο καταγγέλλων Α στην υπηρεσία. Επιπλέον, αντικρούοντας τον ισχυρισμό του καταγγέλλοντος ότι δεν είχε πρόθεση να δώσει ξανά αίμα μετά τη διάγνωση της πάθησής του, υποστηρίζει ότι: « (…) ωστόσο η στάση του σε σχέση με την πάθησή του και τις συνέπειές της δεν προκύπτει αρκούντως υπεύθυνη και αυτό αποδεικνύεται από τα αναφερόμενα γεγονότα, καθώς εντός του χρονικού πλαισίου της πανδημίας covid-19 και αφού ο αιτών υπάλληλος είχε ήδη προσκομίσει την από … και … ιατρική γνωμάτευση του ιατρού (…) αιτήθηκε (…) την απόσπασή του στην Δ.Ο.Υ. Ψ για τους μήνες … έτους …, αίτηση η οποία δεν έγινε δεκτή. Συνεπώς, η μη συμπερίληψή του στους αιμοδότες το ενδιάμεσο διάστημα μπορεί να είναι αποτέλεσμα είτε του επίμαχου εγγράφου της Δ.Ο.Υ. Χ, είτε του γεγονότος ότι ο καταγγέλλων βρίσκεται σε άδεια ειδικού σκοπού ούτως ή άλλως όλο το ενδιάμεσο διάστημα (…). Ενώ για να ελεγχθεί ο ισχυρισμός αυτός, πρέπει να είναι γνωστό πότε προέκυψε η διάγνωση αυτή. Πρέπει ωστόσο να σημειωθεί ότι ήδη από … είχε προσκομίσει βεβαίωση με … και η τελευταία αιμοδοσία του ήταν μόλις ένα μήνα και πέντε ημέρες πριν ήτοι την … (…)». Εν συνεχεία, ο Προϊστάμενος της Δ.Ο.Υ. Χ επικαλείται, μεταξύ άλλων, τις διατάξεις του άρθρου 24 4 παρ. 1 στοιχ. α΄ και β΄ του ν.4624/2019, ενημερώνει ότι η αιμοδοσία διενεργείται σε εργάσιμες ώρες με την οργάνωση και επίβλεψη του Συλλόγου Εργαζομένων στις Δ.Ο.Υ. Φ και καταλήγει: «(…) με γνώμονα τη συγκεκριμένη συμπεριφορά του υπαλλήλου, την ευθύνη μου ως προϊσταμένου της Υπηρεσίας της οποίας ο καταγγέλλων είναι υπάλληλος και την ευθύνη μου απέναντι στο κοινωνικό σύνολο από πράξεις ή παραλείψεις μου με την ιδιότητα αυτή έκρινα σκόπιμο να ενημερώσω τον άνω φορέα της αιμοδοσίας (…) ως αρμόδιο για την διενέργεια της διαδικασίας της αιμοδοσίας, της τήρησης του μητρώου των αιμοδοτών και για τις ενέργειές του για την ασφάλεια του εκάστοτε μεταγγιζόμενου αίματος (…)». Τέλος, υποστηρίζει ότι δεν προκύπτει διαπόμπευση του καταγγέλλοντος από τη διαβίβαση της επίμαχης ιατρικής γνωμάτευσης, ούτε ότι είχε εχθρική, αλλά ούτε και φιλική ή άλλη κοινωνική σχέση μαζί του. Το Αυτοτελές Τμήμα Υποστήριξης ΥΠΔ της ΑΑΔΕ, με το υπ’ αρ. πρωτ. … από … έγγραφό του, υποστηρίζει μεταξύ άλλων: «Η υπηρεσία μας όταν ενημερώθηκε (…) σχετικά με την υπόθεση του καταγγέλλοντος, αντιμετώπισε τα αναφερόμενα στο έγγραφο της Δ.Ο.Υ. Χ πραγματικά περιστατικά σαν περιστατικό παραβίασης δεδομένων προσωπικού χαρακτήρα και με το από … μήνυμα ηλεκτρονικού ταχυδρομείου ζήτησε να ενημερωθεί από τον Σύλλογο Εργαζομένων στις Δ.Ο.Υ. Φ σχετικά με το αν προσωπικά δεδομένα του υπαλλήλου διαβιβάσθηκαν περαιτέρω, όμως μέχρι σήμερα δεν έχει περιέλθει στην υπηρεσία μας απάντηση του Συλλόγου (…). Παράλληλα με τις ως άνω ενέργειες, η υπηρεσία μας (…) εισηγήθηκε αιτιολογημένα προς τον Διοικητή της ΑΑΔΕ:

1. Τη μη γνωστοποίηση του περιστατικού στην Αρχή Προστασίας κατ’ άρθρο 33 ΓΚΠΔ, καθώς δεν προέκυψαν ενδείξεις πιθανής βλάβης ή ζημίας στο υποκείμενο των δεδομένων από το περιστατικό, παρά την εμπλοκή προσωπικών δεδομένων ειδικής κατηγορίας σε αυτό. Και αυτό γιατί γνώση των προσωπικών δεδομένων του υπαλλήλου έλαβε σαφώς προσδιορισμένος και περιορισμένος κύκλος προσώπων (υπάλληλοι Συλλόγου Εργαζομένων στις Δ.Ο.Υ. Φ), οι οποίοι στην πλειοψηφία τους είναι δημόσιοι υπάλληλοι δεσμευόμενοι από υποχρέωση εχεμύθειας (άρθρο 26 Δημοσιοϋπαλληλικού Κώδικα), τα δεδομένα υγείας που γνωστοποιήθηκαν (πληροφορίας ότι ο υπάλληλος πάσχει από …) δεν ήταν ικανά να οδηγήσουν σε διακρίσεις σε βάρος του υποκειμένου των δεδομένων αλλά 5 και διότι τυχόν περαιτέρω διαβίβαση των δεδομένων στο συνεργαζόμενο με το σύλλογο κέντρο αιμοδοσίας δεν συνεπάγεται δυσμενείς συνέπειες για το υποκείμενο των δεδομένων, αφενός διότι το κέντρο αιμοδοσίας πιθανότατα διαθέτει ήδη τα εν λόγω δεδομένα από τον ίδιο τον υπάλληλο (υποκείμενο των δεδομένων), ο οποίος υποχρεούται να τα γνωστοποιήσει σε αυτό στο πλαίσιο λήψης ιατρικού ιστορικού αιμοδότη (βλ. άρθρο 5 σε συνδυασμό με το ΠΑΡΑΡΤΗΜΑ ΙΙ, ΜΕΡΟΣ Β παράγραφος 2 του ΠΔ 138/2005) αφετέρου διότι οι υπάλληλοι του κέντρου αιμοδοσίας δεσμεύονται από το ιατρικό απόρρητο.
2. Μη ανακοίνωση του περιστατικού στο υποκείμενο των δεδομένων κατ’ άρθρο 34 ΓΚΠΔ, διότι ο καταγγέλλων ενημερώθηκε σχετικά με την επεξεργασία δεδομένων υγείας από τη Δ.Ο.Υ. Χ, με το υπ’ αρ. πρωτ. … έγγραφό της. Η ως άνω εισήγηση της υπηρεσίας μας εγκρίθηκε από τον Διοικητή της ΑΑΔΕ και η υπόθεση τέθηκε στο αρχείο υποθέσεων περιστατικών και εν δυνάμει περιστατικών παραβίασης δεδομένων προσωπικού χαρακτήρα (άρθρο 33 παρ. 5 ΓΚΠΔ)». Ακολούθως, η Αρχή κάλεσε με το υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΞΕ/1384/07.06.2021 έγγραφο την Δ.Ο.Υ. Χ όπως παράσχει πρόσθετες διευκρινίσεις. Λόγω της μη ανταπόκρισης της Δ.Ο.Υ. Χ στο ανωτέρω έγγραφο η Αρχή επανήλθε με το νεότερο υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΞΕ/1804/09.07.2021 έγγραφο. Κατόπιν τούτων, η Δ.Ο.Υ. Χ με το υπ’ αρ. πρωτ. … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/5105/02.08.2021) έγγραφο απάντησε ότι «(…) σύμφωνα με την ΔΙΔΑΔ/Φ.69/126/16316/20.9.2020 εγκύκλιο του Υπουργείου Εσωτερικών (…) έγινε επανακαθορισμός των ομάδων αυξημένων κινδύνου και ορίστηκαν οι προϋποθέσεις χορήγησης ειδικής άδειας απουσία σε ομάδες αυξημένου κινδύνου. Σύμφωνα με τις ανωτέρω, προκειμένου οι υπάλληλοι να υπαχθούν σε ομάδες αυξημένου κινδύνου ώστε να δικαιούνται ειδική άδεια αυξημένου κινδύνου, θα έπρεπε εφεξής να υπάγονται σε δύο τουλάχιστον από τις αναγραφόμενες στη ΔΙΔΑΔ περιπτώσεις προσκομίζοντας αντίστοιχα ιατρικές γνωματεύσεις από τον θεράποντα ιατρό σχετικής ειδικότητας ή από ιατρό σχετικής ειδικότητας υγειονομικής δομής (δημόσιας ή ιδιωτικής). Τέλος, διευκρινίζεται ότι η αναφερόμενη ιατρική γνωμάτευση του ιατρού Β διαβιβάσθηκε μέσω … προς τον Σύλλογο Εργαζομένων στις Δ.Ο.Υ. Φ με το υπ’ αριθμ. … έγγραφό μας, με θέμα «ΑΙΜΟΔΟΣΙΑ», ως αρμόδιο όργανο για τη διενέργεια της αιμοδοσίας, το δε προσκομισθέν (αρχικά με mail και εν συνεχεία ως πρωτότυπο) έγγραφο βρίσκεται και φυλάσσεται στα αρχεία της Υπηρεσίας μας». 6 Επιπλέον, η Αρχή με το υπ’ αρ. πρωτ. Γ/ΕΞΕ/1386/07.06.2021 έγγραφο κάλεσε τον Σύλλογο Εργαζομένων στις Δ.Ο.Υ. Φ όπως παράσχει συγκεκριμένες διευκρινίσεις. Λόγω της μη ανταπόκρισης του ανωτέρω Συλλόγου Εργαζομένων στο έγγραφο της Αρχής, η Αρχή επανήλθε με το νεότερο υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΞΕ/1803/09.07.2021 έγγραφο. Σε απάντηση των ανωτέρω, ο Σύλλογος Εργαζομένων με το υπ’ αρ. πρωτ. … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/5018/30.07.2021) υπόμνημα, ενημερώνει, μεταξύ άλλων, την Αρχή ότι: « (…) Δ) Στα παραπάνω πλαίσια, και ειδικά για τον υπάλληλο Α, ο Σύλλογός μας ουδέποτε αιτήθηκε είτε από τον ίδιο, είτε από τη Δ.Ο.Υ. Χ την αποστολή οποιονδήποτε ιατρικών πιστοποιητικών και βεβαιώσεων εν είδει δικαιολογητικών για την συμμετοχή του ως άνω υπαλλήλου σε αιμοδοσία. Και τούτο, διότι δεν είμαστε αρμόδιος φορέας για να εξετάσουμε και να εγκρίνουμε τη συμμετοχή υπαλλήλων στο πρόγραμμα αιμοδοσίας, ενέργειες και έλεγχος που ανήκουν αποκλειστικά και μόνο στο αρμόδιο υγειονομικό προσωπικό του [νοσοκομείου]. Ε) Η επίμαχη ιατρική βεβαίωση που αφορά τον Α, μας εστάλη μέσω …, χωρίς προηγούμενο αίτημα εκ μέρους μας, και χωρίς προηγούμενη ενημέρωση από την αρμόδια υπηρεσία της Δ.Ο.Υ. Χ. Από μεριάς μας, ειδοποιήσαμε άμεσα τον δικαιούχο και το υποκείμενο των δεδομένων, τον Α και δεν προβήκαμε σε καμία επεξεργασία του επίμαχου δεδομένου υγείας. Ζ) Είναι αναγκαίο να επισημανθεί ότι το επίμαχο δεδομένο υγείας, μας απεστάλη εν αγνοία μας, χωρίς την όποια ανάμειξή μας, ή την επέμβασή μας σε κάποιου είδους αυτοματοποιημένο ή μη αρχείο δεδομένων προσωπικού χαρακτήρα. Και τούτο, αποδεικνύεται από τον τρόπο αποστολής του σε εμάς, ήτοι μέσω …». Επιπλέον, ενημερώνει την Αρχή ότι «η επίμαχη ιατρική βεβαίωση, δεν έτυχε οιασδήποτε επεξεργασίας από το Σύλλογό μας ή την Τράπεζα Αίματος … . Ειδικά, δεν διαβιβάστηκε σε τρίτα πρόσωπα και δεν κοινολογήθηκε σε τρίτους φορείς». Τέλος, ο Σύλλογος Εργαζομένων υπογραμμίζει με το ανωτέρω έγγραφο, ότι δεν τηρεί ούτε επεξεργάζεται οιαδήποτε δεδομένα προσωπικού χαρακτήρα των μελών που συμμετέχουν στην αιμοδοσία, η δε τελευταία διενεργείται αποκλειστικά στο … Νοσοκομείο …, υπό την εποπτεία και ευθύνη του ιατρονοσηλευτικού προσωπικού, και σύμφωνα με την διαδικασία που έχει καθιερώσει το Εθνικό Κέντρο Αιμοδοσίας. Ως εκ τούτου, σύμφωνα με την ανωτέρω απάντηση, ο Σύλλογος Εργαζομένων δεν είναι υπεύθυνος επεξεργασίας για 7 τις αιμοδοσίες των μελών του, και ο ίδιος αναλαμβάνει αποκλειστικά οργανωτικό και συντονιστικό ρόλο. Ακολούθως, η Γ/ΕΞΕ/2263/08.10.2021, Αρχή με τα υπ’ αρ. πρωτ. Γ/ΕΞ/2262/08.10.2021, Γ/ΕΞΕ/2261/08.10.2021 και Γ/ΕΞΕ/2259/08.10.2021 έγγραφα κάλεσε την Δ.Ο.Υ. Χ, την ΑΑΔΕ με την επισήμανση να παραστεί και το Αυτοτελές Τμήμα Προστασίας Υπευθύνου Προστασίας Δεδομένων, τον Σύλλογο Εργαζομένων στις Δ.Ο.Υ. Φ και τον Α, αντίστοιχα, όπως παρουσιαστούν σε συνεδρίαση της Ολομελείας της Αρχής την Τρίτη 19.10.2021 προκειμένου να συζητηθεί η προαναφερόμενη καταγγελία. Στη συνεδρίαση αυτή η Αρχή ανέβαλε οίκοθεν την εξέταση της υπόθεσης. Ακολούθως, η Αρχή με τα υπ’ αρ. πρωτ. Γ/ΕΞ/2373/19.10.2021, Γ/ΕΞΕ/2372/19.10.2021, Γ/ΕΞΕ/2371/19.10.2021 και Γ/ΕΞΕ/2374/19.10.2021 έγγραφα κάλεσε την Δ.Ο.Υ. Χ, την ΑΑΔΕ με την επισήμανση να παραστεί και το Αυτοτελές Τμήμα Προστασίας Υπευθύνου Προστασίας Δεδομένων, τον Σύλλογο Εργαζομένων στις Δ.Ο.Υ. Φ και τον Α, αντίστοιχα, όπως παρουσιαστούν σε συνεδρίαση της Ολομελείας της Αρχής σε νέα ημερομηνία συζήτησης της υπόθεσης, την Τρίτη 26.10.
3. Στη συνεδρίαση αυτή παρέστησαν ο Δ, Προϊστάμενος της Δ.Ο.Υ. Χ, οι Ε και ΣΤ, Γενικός Διευθυντής […] της ΑΑΔΕ, αντίστοιχα, η Ζ, Αναπληρώτρια Προϊσταμένη […] της ΑΑΔΕ, ο Η, Πρόεδρος του Συλλόγου Εργαζομένων στις Δ.Ο.Υ. Φ, καθώς και οι Ιωάννης Καρούζος (ΑΜ ΔΣΑ …) και Μαριάννα Κατσιαδά (ΑΜ ΔΣΑ …), πληρεξούσιοι δικηγόροι του ανωτέρω Συλλόγου και ο Α μετά της πληρεξουσίας δικηγόρου Νόπης Τιντζογλίδου (ΑΜ ΔΣΑ …). Κατά τη συνεδρίαση αυτή, οι παριστάμενοι, αφού ανέπτυξαν τις απόψεις τους, έλαβαν προθεσμία έως την 01η.11.2021 για την υποβολή εγγράφων υπομνημάτων. Κατόπιν τούτου, ο Προϊστάμενος της Δ.Ο.Υ. Χ με το υπ’ αρ. … (και με αρ. πρωτ. Γ/ΕΙΣ/7055/01.11.2021) έγγραφο και το Αυτοτελές Τμήμα Υποστήριξης ΥΠΔ της ΑΑΔΕ με το υπ’ αρ. … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/7045/01.11.2021) έγγραφο, υπέβαλαν εμπρόθεσμα τα σχετικά υπομνήματά τους. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου και αποχώρησε μετά από τη συζήτηση της υποθέσεως και πριν από τη διάσκεψη και τη λήψη αποφάσεως, κατόπιν διεξοδικής συζητήσεως, 8 ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
4. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού 2016/679) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ.1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του Α κατά του Δ, Προϊσταμένου της Δ.Ο.Υ Χ, καθόσον η διαβίβαση της επίμαχης από … ιατρικής γνωμάτευσης του ιατρού Β από την Δ.Ο.Υ. Χ στον Σύλλογο Εργαζομένων Φ μέσω … συνιστά αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, υπαγόμενη στο ρυθμιστικό πεδίο των άρθρων 2 παρ. 1 του ΓΚΠΔ και 2 του ν.4624/
5. Εξάλλου, η επίμαχη γνωμάτευση που κατατέθηκε στην υπηρεσία του από τον καταγγέλλοντα Α περιήλθε σε σύστημα αρχειοθέτησης του προσωπικού μητρώου, με κριτήρια ταξινόμησης τον αρ. πρωτ. …, το όνομα του καταγγέλλοντος υπαλλήλου και το θέμα της αιτήσεώς του (ειδική άδεια απουσίας).
6. Επειδή, ο υπ’ αρ. αριθμ. Δ.ΟΡΓ.Α 1125859 ΕΞ2020 (ΦΕΚ Β΄ 4738/26.10.2020) Οργανισμός της Ανεξάρτητης Αρχής Δημοσίων Εσόδων (εφεξής ΑΑΔΕ) προβλέπει στο άρθρο 1: «
7. Η Ανεξάρτητη Αρχή Δημοσίων Εσόδων (Α.Α.Δ.Ε.), στο εξής Αρχή ή Α.Α.Δ.Ε., η οποία συστήθηκε με τις διατάξεις της παρ. 1 του άρθρου 1 του Κεφαλαίου Α` του Μέρους πρώτου του ν. 4389/2016 «Επείγουσες διατάξεις για την εφαρμογή της συμφωνίας δημοσιονομικών στόχων και διαρθρωτικών μεταρρυθμίσεων και άλλες διατάξεις» (Α` 94), με έδρα την Αθήνα, είναι Ανεξάρτητη Διοικητική Αρχή χωρίς νομική προσωπικότητα.
8. Αποστολή της Α.Α.Δ.Ε. είναι ο προσδιορισμός, η βεβαίωση και η είσπραξη των φορολογικών, τελωνειακών και λοιπών δημοσίων εσόδων, που άπτονται του πεδίου των αρμοδιοτήτων της.
9. Η Α.Α.Δ.Ε. απολαύει λειτουργικής ανεξαρτησίας, διοικητικής και οικονομικής αυτοτέλειας και δεν υπόκειται σε έλεγχο ή εποπτεία από κυβερνητικά όργανα, κρατικούς φορείς ή άλλες διοικητικές αρχές, 9 παρά μόνο σε κοινοβουλευτικό έλεγχο, σύμφωνα με τα οριζόμενα στον Κανονισμό της Βουλής και με τη διαδικασία που ορίζεται στις διατάξεις του άρθρου 4 του ν. 4389/2016.(…)». Περαιτέρω, από το άρθρο 48 του Οργανισμού της ΑΑΔΕ προκύπτει ότι η Δ.Ο.Υ. Χ αποτελεί περιφερειακή υπηρεσία της ΑΑΔΕ που υπάγεται οργανικά στην Γενική Διεύθυνση Φορολογικής Διοίκησης και δεν διαθέτει αυτοτελή νομική προσωπικότητα. Εκ των ανωτέρω συνάγεται ότι η Αρχή στο πλαίσιο των αρμοδιοτήτων που της παρέχει ο ΓΚΠΔ και ο ν.4624/2019 έχει την αρμοδιότητα να επιληφθεί της καταγγελίας του Α κατά της Δ.Ο.Υ. Χ, η οποία οργανικά ή/και λειτουργικά υπάγεται στην Α.Α.Δ.Ε..
10. Επειδή, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του άρθρου
11. Όπως έχει κρίνει η Αρχή 1, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό σημείο του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ.
12. Επειδή, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 4 στοιχ. 7 ΓΚΠΔ ως υπεύθυνος επεξεργασίας νοείται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα (…)».Σύμφωνα δε με την Γνώμη 1/2010 σχετικά με τις έννοιες του «υπευθύνου της επεξεργασίας» και του «εκτελούντος την επεξεργασία» της Ομάδας εργασίας του άρθρου 29 για τον καθορισμό του υπευθύνου επεξεργασίας, σύμφωνα με τον προαναφερόμενο ορισμό, λαμβάνονται υπόψη τρία κύρια στοιχεία: α) η προσωπική πτυχή («το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας»), β) το ενδεχόμενο πολλαπλού ελέγχου («που, μόνα ή από κοινού με άλλα») 1 Βλ. απόφαση Αρχής 26/2019, σκέψη 8, διαθέσιμη στην ιστοσελίδα της. 10 και γ) τα βασικά χαρακτηριστικά για τη διάκριση του υπευθύνου της επεξεργασίας από άλλους παράγοντες («καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα»)
13. Επισημαίνεται ότι η έννοια του υπευθύνου επεξεργασίας διαδραματίζει καθοριστικό ρόλο για την εφαρμογή των κανόνων προστασίας δεδομένων προσωπικού χαρακτήρα, την απόδειξη συμμόρφωσης με αυτούς (αρχή της λογοδοσίας, άρθρο 5 παρ. 2 ΓΚΠΔ) και την απόδοση ευθυνών σε περίπτωση παραβίασής τους
14. Περαιτέρω, επεξηγείται στην προαναφερθείσα Γνώμη 1/2010 αναφορικά με το πρώτο στοιχείο – κατά τα διαλαμβανόμενα στην αμέσως προηγούμενη παράγραφο: «Στη στρατηγική οπτική της κατανομής αρμοδιοτήτων, και προκειμένου να παρασχεθεί στα πρόσωπα στα οποία αναφέρονται τα δεδομένα μια πιο σταθερή και αξιόπιστη οντότητα αναφοράς για την άσκηση των δικαιωμάτων τους που απορρέουν από την οδηγία, είναι προτιμότερο να θεωρείται υπεύθυνος της επεξεργασίας η εταιρεία ή ο φορέας παρά ένα συγκεκριμένο πρόσωπο εντός της εταιρείας ή του φορέα. Η εταιρεία ή ο φορέας θα θεωρηθούν τελικά υπεύθυνοι για την επεξεργασία των δεδομένων και για τις υποχρεώσεις που απορρέουν από τη νομοθεσία για την προστασία των δεδομένων, εκτός εάν υπάρχουν σαφή στοιχεία που υποδεικνύουν ότι υπεύθυνο είναι ένα φυσικό πρόσωπο. Γενικά, πρέπει να τεκμαίρεται ότι η εταιρεία ή ο δημόσιος φορέας είναι υπεύθυνοι για τις δραστηριότητες επεξεργασίας οι οποίες λαμβάνουν χώρα στο πλαίσιο των δραστηριοτήτων και των κινδύνων τους. Ενίοτε, εταιρείες και δημόσιοι φορείς διορίζουν ένα συγκεκριμένο πρόσωπο υπεύθυνο για την εκτέλεση των εργασιών επεξεργασίας. Ωστόσο, ακόμη και στην περίπτωση στην οποία ένα συγκεκριμένο φυσικό πρόσωπο διορίζεται για να διασφαλίζει τη συμμόρφωση προς τις αρχές της προστασίας των δεδομένων ή για να επεξεργάζεται δεδομένα προσωπικού χαρακτήρα, το εν λόγω φυσικό πρόσωπο δεν θα είναι ο υπεύθυνος της επεξεργασίας, αλλά θα ενεργεί για λογαριασμό της νομικής οντότητας (εταιρείας ή δημόσιου φορέα), η οποία θα παραμείνει υπεύθυνη σε περίπτωση παράβασης των αρχών υπό την ιδιότητά της ως υπευθύνου της WP 169 από 16.02.2010, διαθέσιμη στην ιστοσελίδα http://ec.europa.eu/justice_home/fsj/privacy/index_en.htm 3 Βλ. σχετικά Γνώμη 3/2010 σχετικά με την αρχή της λογοδοσίας της Ομάδας εργασίας του άρθρου 29, wp 173 από 13.07.
15. 2 11 επεξεργασίας (…) Ωστόσο, στη στρατηγική οπτική της κατανομής αρμοδιοτήτων, είναι προτιμότερο να θεωρείται υπεύθυνος της επεξεργασίας η εταιρεία ή ο φορέας παρά ένα συγκεκριμένο πρόσωπο εντός της εταιρείας ή του φορέα. Η εταιρεία ή ο φορέας θα θεωρηθούν τελικά υπεύθυνοι για την επεξεργασία των δεδομένων και τις υποχρεώσεις που απορρέουν από τη νομοθεσία για την προστασία των δεδομένων, εκτός εάν υπάρχουν σαφή στοιχεία που υποδεικνύουν ότι υπεύθυνο είναι ένα φυσικό πρόσωπο, για παράδειγμα όταν ένα φυσικό πρόσωπο το οποίο εργάζεται σε μια εταιρεία ή έναν δημόσιο φορέα χρησιμοποιεί δεδομένα για δικούς του στόχους, εκτός των δραστηριοτήτων της εταιρείας.»
16. Επιπλέον, διευκρινίζεται στην προαναφερθείσα Γνώμη 1/2010 της ομάδας εργασίας του άρθρου 29 : «(…) Δεν έχει σημασία εάν η απόφαση επεξεργασίας δεδομένων είναι «νόμιμη», υπό την έννοια ότι η οντότητα που έλαβε τη σχετική απόφαση νομιμοποιούνταν να πράξει κάτι τέτοιο ή ότι ο υπεύθυνος της επεξεργασίας διορίσθηκε τυπικά, σύμφωνα με συγκεκριμένη διαδικασία. Το ζήτημα της νομιμότητας της επεξεργασίας δεδομένων προσωπικού χαρακτήρα θα έχει σημασία σε διαφορετικό στάδιο και θα αξιολογηθεί υπό το πρίσμα άλλων άρθρων (ειδικότερα, των άρθρων 6-8) της οδηγίας. Με άλλα λόγια, είναι σημαντικό να διασφαλίζεται ότι, ακόμη και στις περιπτώσεις εκείνες στις οποίες η επεξεργασία των δεδομένων είναι παράνομη, μπορεί εύκολα να εντοπισθεί ένας υπεύθυνος της επεξεργασίας και να του αποδοθεί ευθύνη για την επεξεργασία (…). Ειδική ανάλυση απαιτείται στις περιπτώσεις στις οποίες ένα φυσικό πρόσωπο το οποίο ενεργεί στο πλαίσιο ενός νομικού προσώπου χρησιμοποιεί δεδομένα για δικούς του στόχους εκτός του πεδίου και του δυνητικού ελέγχου των δραστηριοτήτων του νομικού προσώπου. Στην περίπτωση αυτή, το εμπλεκόμενο φυσικό πρόσωπο θα είναι ο υπεύθυνος της επεξεργασίας που αποφασίσθηκε και θα φέρει την ευθύνη για τη συγκεκριμένη χρήση των δεδομένων προσωπικού χαρακτήρα. Ο αρχικός υπεύθυνος της επεξεργασίας μπορεί να διατηρεί, παρ’ όλα αυτά, κάποια ευθύνη στην περίπτωση που η νέα επεξεργασία έλαβε χώρα λόγω έλλειψης κατάλληλων μέτρων ασφάλειας (…) Εάν ένα φυσικό πρόσωπο το οποίο εργάζεται σε μια εταιρεία ή έναν δημόσιο φορέα χρησιμοποιεί δεδομένα για δικούς του στόχους, εκτός των δραστηριοτήτων Βλ. WP 169 από 16.02.2010, σελ 21επ, σελ.42 επ. 4 12 της εταιρείας, το εν λόγω πρόσωπο θεωρείται de facto υπεύθυνος της επεξεργασίας και φέρει ευθύνη υπό την ιδιότητα αυτή»
17. Τέλος, η Ομάδα Εργασίας του άρθρου 29 στην Γνώμη 1/2010 έχει δεχθεί ότι «η πρόσβαση στα δεδομένα δεν συνεπάγεται από μόνη της έλεγχο, ενώ αφετέρου, ότι η πρόσβαση στα δεδομένα δεν είναι ουσιώδης προϋπόθεση για τον χαρακτηρισμό του υπευθύνου επεξεργασίας»
18. Ακολούθως, το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ) ερμηνεύοντας πια τον ΓΚΠΔ δέχθηκε με τις Κατευθυντήριες Γραμμές 07/2020 ότι δεν συνιστά προϋπόθεση απόδοσης της ιδιότητας του υπευθύνου επεξεργασίας η δυνατότητα πρόσβασής του στο σύστημα αρχειοθέτησης, ούτε βεβαίως η «κατοχή» του συστήματος αρχειοθέτησης ή η εποπτεία σε αυτό, αρκεί να καθορίζει ο ίδιος τον σκοπό επεξεργασίας ακόμη και σε «ξένα» αρχεία
20. Επειδή, τo άρθρο 4 του Π. Δ/τος 178/2004 (ΦΕΚ Α΄154) με τίτλο «Τήρηση και ενημέρωση των στοιχείων του προσωπικού μητρώου» προβλέπει, μεταξύ άλλων: «(…)
21. Ο προϊστάμενος της οικείας υπηρεσίας προσωπικού είναι υπεύθυνος για την τήρηση, ασφαλή φύλαξη και ενημέρωση όλων των στοιχείων που συγκροτούν το προσωπικό μητρώο, όπως επίσης και για τη διαβίβαση των στοιχείων αυτών, όταν αυτό επιβάλλεται από ειδικές διατάξεις νόμων, αφού προηγουμένως ενημερώσει σχετικά τον υπάλληλο, λαμβάνοντας όλα τα απαραίτητα μέτρα για τη διασφάλιση του απορρήτου του περιεχομένου αυτού. Ανάλογα με τις ανάγκες της υπηρεσίας, ο προϊστάμενος της υπηρεσίας προσωπικού μπορεί να ορίζει για την εκτέλεση των ανωτέρω καθηκόντων υπαλλήλους που υπηρετούν στην οργανική μονάδα, στην οποία αυτός προΐσταται ή στις υποκείμενες σε αυτήν μονάδες. (…) .
22. Πέραν των οριζομένων στις προηγούμενες παραγράφους 2 και 3 και με την επιφύλαξη των διατάξεων της παραγράφου 5 του άρθρου 23 του Κώδικα Κατάστασης Δημοσίων WP 169 από 16.02.2010, σελ 13 επ. 21-
23. Σελ. 26, Γνώμης 1/2010, WP
24. 7 (…) It is not necessary that the controller actually has access to the data that is being processed to be qualified as a controller» (σελ. 3), «
25. It is not necessary that the controller actually has access to the data that is being processed. Someone who outsources a processing activity and in doing so, has a determinative influence on the purpose and (essential) means of the processing (e.g. by adjusting parameters of a service in such a way that it influences whose personal data shall be processed), is to be regarded as controller even though he or she will never have actual access to the data» (σελ. 16). 5 6 13 Πολιτικών Διοικητικών Υπαλλήλων και Υπαλλήλων Ν.Π.Δ.Δ. που κυρώθηκε με το Ν. 2683/1999, αποκλείεται η γνώση και πρόσβαση οιουδήποτε τρίτου στο περιεχόμενο των στοιχείων του προσωπικού μητρώου. (…)
26. Τα στοιχεία του προσωπικού μητρώου καταχωρούνται και υπόκεινται σε επεξεργασία με ηλεκτρονικό τρόπο. Κατά τη καταχώρηση και επεξεργασία λαμβάνονται όλα τα αναγκαία μέτρα ώστε να αποκλείεται: (α) η πρόσβαση οιουδήποτε τρίτου σε αυτά, σύμφωνα και με τα οριζόμενα στην προηγούμενη παράγραφο 4 του παρόντος άρθρου και (β) η αλλοίωση, καταστροφή, απώλεια των στοιχείων που τηρούνται ηλεκτρονικά.
27. Η τήρηση και επεξεργασία των στοιχείων του προσωπικού μητρώου του υπαλλήλου, καθώς και οι υποχρεώσεις των υπεύθυνων για την τήρηση αυτού, διέπονται συμπληρωματικά από τις εκάστοτε ισχύουσες διατάξεις για την επεξεργασία δεδομένων προσωπικού χαρακτήρα».
28. Λαμβάνοντας υπόψη τα διαλαμβανόμενα στις αμέσως προηγούμενες σκέψεις της παρούσας, το σύνολο των στοιχείων του φακέλου της υπόθεσης, την ακροαματική διαδικασία και τα υποβληθέντα υπομνήματα, η Αρχή κρίνει εν προκειμένω ότι υπεύθυνος επεξεργασίας, κατ’ άρθρο 4 στοιχ. 7 ΓΚΠΔ, της καταγγελλόμενης επεξεργασίας της διαβίβασης της επίμαχης από … ιατρικής γνωμάτευσης είναι η ΑΑΔΕ, καθώς ο σκοπός και ο τρόπος της συλλογής, της διαβίβασης και εν γένει της επεξεργασίας του προσωπικού μητρώου των υπαλλήλων με την παράλληλη διασφάλιση κατάλληλου επιπέδου ασφαλείας έναντι κινδύνων καθορίζεται από την τελευταία. Εν προκειμένω, τυγχάνει απορριπτέος ο ισχυρισμός της ΑΑΔΕ, του Αυτοτελούς Τμήματος Υποστήριξης ΥΠΔ της ΑΑΔΕ και της Δ.Ο.Υ. Χ ότι λόγω του ότι υπεύθυνος για την τήρηση του προσωπικού μητρώου του καταγγέλλοντος υπαλλήλου ήταν ο Προϊστάμενος της Δ.Ο.Υ. Χ καθίσταται εκ του λόγου τούτου υπεύθυνος επεξεργασίας, κατ’ άρθρο 4 στοιχ. 7 ΓΚΠΔ, της καταγγελλόμενης επεξεργασίας. Και τούτο, διότι βάσει των διαλαμβανομένων στις αμέσως προηγηθείσες σκέψεις, αφενός το στοιχείο της πρόσβασης/φυσικής εξουσίας του Προϊσταμένου της Δ.Ο.Υ. Χ στις πληροφορίες που καταχωρίσθηκαν στο προσωπικό μητρώο του καταγγέλλοντος υπαλλήλου δεν συνιστά ουσιαστική προϋπόθεση για την απόδοση σ’ αυτόν του ρόλου του υπευθύνου επεξεργασίας. Αφετέρου δε, διότι, ακριβούς υποτιθεμένου του ισχυρισμού ότι ο Προϊστάμενος της 14 Δ.Ο.Υ. Χ, αναφορικά με την καταγγελλόμενη επεξεργασία της διαβίβασης της επίμαχης ιατρικής γνωμάτευσης, ενήργησε αυτοβούλως, η λήψη κατάλληλων οργανωτικών και τεχνικών μέτρων ασφάλειας του προσωπικού μητρώου των υπαλλήλων καθορίζεται από την ΑΑΔΕ. Τούτο συνομολογείται εμμέσως από το Αυτοτελές Τμήμα Υποστήριξης ΥΠΔ της ΑΑΔΕ, καθώς με το υπ’ αρ πρωτ. … έγγραφο, (το οποίο διαβιβάζεται στην Αρχή με το υπ’ αρ. πρωτ. … έγγραφό του) – και σε χρόνο μεταγενέστερο της καταγγελλόμενης διαβίβασης της επίμαχης ιατρικής βεβαίωσης και πάντως προ της απαντήσεως της Δ.Ο.Υ. Χ σε ικανοποίηση του από … αιτήματος του καταγγέλλοντος – παρέσχε εσωτερικά στις υπηρεσίες του Οργανισμού της ΑΑΔΕ «οδηγίες σχετικά με την επεξεργασία δεδομένων υγείας των υπαλλήλων της ΑΑΔΕ στο πλαίσιο χορήγησης αδειών για λόγους υγείας». Περαιτέρω, δεν προέκυψε ότι ο Προϊστάμενος της Δ.Ο.Υ Χ κατά τη διαβίβαση της επίμαχης ιατρικής γνωμάτευσης, ακόμα και αν γίνει δεκτό ότι ενήργησε αυτοβούλως, και πέραν των κατάλληλων οργανωτικών και τεχνικών μέτρων ασφάλειας που έλαβε ή όφειλε να είχε λάβει η ΑΑΔΕ, ως υπεύθυνος επεξεργασίας, για την επεξεργασία δεδομένων του καταγγέλλοντος υπαλλήλου από το αρχείο του προσωπικού του μητρώου, ενήργησε για δικούς του στόχους, εκτός του πεδίου δυνητικού ελέγχου των δραστηριοτήτων της ΑΑΔΕ. Εξάλλου, από τα τηρούμενα στην Αρχή αρχεία αναφορικά με την αυτοτελή υποχρέωση του υπευθύνου επεξεργασίας δυνάμει της παρ. 7 του άρθρου 37 ΓΚΠΔ να ανακοινώσει στην Αρχή τα στοιχεία επικοινωνίας του υπεύθυνου επεξεργασίας που οφείλει να ορίσει, προκύπτει ότι έχει ανακοινωθεί στην Αρχή υπεύθυνος προστασίας δεδομένων για την ΑΑΔΕ, ως υπεύθυνο επεξεργασίας και όχι για την Δ.Ο.Υ. Χ αυτοτελώς, ως υπεύθυνο επεξεργασίας.
29. Επειδή, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς (…), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους 15 οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων») (…), στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)».
30. Επειδή, όπως έχει κρίνει η Αρχή 8, λαμβάνοντας υπόψη τις αποφάσεις του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ) 9 και του Συμβουλίου της Επικρατείας 10, προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, ήτοι επεξεργασίας σύμφωνα προς τις απαιτήσεις του ΓΚΠΔ, θα πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ. Η ύπαρξη ενός νόμιμου θεμελίου (άρθρα 6 και 9 ΓΚΠΔ) δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των αρχών (άρθρου 5 παρ. 1 ΓΚΠΔ) αναφορικά με τον θεμιτό χαρακτήρα, την αναγκαιότητα και την αναλογικότητα και την αρχή της ελαχιστοποίησης
31. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπομένων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία παρίσταται ως μη νόμιμη (αντικείμενη στις διατάξεις του ΓΚΠΔ) και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρων 6 και 9 ΓΚΠΔ, για την επεξεργασία, αντιστοίχως, απλών και ειδικής κατηγορίας δεδομένων προσωπικού χαρακτήρα. Κατ’ ακολουθία, η κατά παράβαση των αρχών του άρθρου 5 ΓΚΠΔ μη νόμιμη συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης
33. Επειδή, σύμφωνα με τα οριζόμενα στις διατάξεις του ν. 3402/2005, αρμόδια αρχή για τον συντονισμό, τον έλεγχο, την εισήγηση για αδειοδότηση και εποπτεία των επιμέρους υπηρεσιών της αιμοδοσίας είναι το Εθνικό Κέντρο Αιμοδοσίας, ενώ η Βλ. ιδίως απόφαση 44/2019 της Αρχής, σκ. 17, διαθέσιμη στην ιστοσελίδα της. Βλ. απόφαση ΔΕΕ της 16-01-2019 στην υπόθεση C-496/2017 Deutsche Post AG κατά Hauptzollamt Köln, σκ.
34. 10 Βλ. απόφαση ΣτΕ517/2018, σκ.
35. 11 βλ. Λ. Μήτρου, ο γενικός κανονισμός προστασίας προσωπικών δεδομένων (νέο δίκαιο-νέες υποχρεώσεις-νέα δικαιώματα), εκδ. Σάκκουλα, 2017 σελ. 58 και 69-70 12 Βλ. ιδίως απόφαση 38/2004 της Αρχής, διαθέσιμη στην ιστοσελίδα της. 8 9 16 αποκλειστική αρμοδιότητα και ευθύνη για την συλλογή, διάθεση και την διαχείριση του αίματος, με βάση τις διεθνώς παραδεδεγμένες αρχές, ανήκει στο Υπουργείο Υγείας και ασκείται μέσω του Ε.ΚΕ.Α. και των Μονάδων Αιμοδοσίας (άρθρα 1 και 4). Περαιτέρω, προβλέπεται στο άρθρο 10 του ανωτέρω νόμου: « (…) Β. Οι Νοσοκομειακές Υπηρεσίες Αιμοδοσίας (Ν.Υ.Α.) είναι νοσοκομειακές μονάδες που συνεργάζονται με το Κέντρο Αίματος, με το οποίο είναι διασυνδεδεμένες, εποπτεύονται και ελέγχονται από το Ε.ΚΕ.Α., σε ό,τι αφορά τη διαδικασία αιμοδοσίας και εν γένει διαχείρισης του αίματος και έχουν τις ακόλουθες αρμοδιότητες (…)
36. Πραγματοποιούν αιμοληψίες σύμφωνα με τους διεθνείς κανόνες και τις οδηγίες του Ε.ΚΕ.Α. τόσο στο χώρο του νοσοκομείου όσο και στην περιφέρεια, με κινητές μονάδες αιμοληψιών.
37. Παρέχουν τις προβλεπόμενες πληροφορίες στους υποψήφιους δότες αίματος και αξιολογούν την επιλεξιμότητά τους. (…)
38. Διατηρούν αρχεία διακίνησης και πραγματοποιούν διερεύνηση ασυμβατότητας. (…)
39. Εφαρμόζουν σύστημα αναγνώρισης κάθε αιμοδοσίας και κάθε μονάδας αίματος και συστατικών, το οποίο επιτρέπει τον εντοπισμό του δότη, καθώς και της μετάγγισης και του σχετικού αποδέκτη.(…)
40. Διαθέτουν διαδικασία που επιτρέπει την αποτελεσματική και επαληθεύσιμη απόσυρση από τη διανομή του αίματος ή των συστατικών του που συνδέονται με σοβαρά και ανεπιθύμητα συμβάντα και αντιδράσεις».
41. Κατ’ ακολουθία των ανωτέρω, στην εξεταζόμενη καταγγελία, ο έλεγχος της καταλληλότητας του αίματος του αιμοδότη καταγγέλλοντος κρίνεται από το ιατρονοσηλευτικό προσωπικό του […] Νοσοκομείου …, το οποίο διαχειρίζεται την Τράπεζα Αίματος … του Συλλόγου Εργαζομένων στις Δ.Ο.Υ. Φ, στο πλαίσιο και υπό τους όρους του Ε.ΚΕ.Α., σύμφωνα και με την υπ’ αρ. πρωτ. … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/5018.30.07.2021) απάντηση του Συλλόγου Εργαζομένων στις ΔΟ.Υ. Φ στην Αρχή. Σημειώνεται, εξάλλου, ότι η Αρχή, υπό το προϊσχύσαν θεσμικό πλαίσιο προστασίας δεδομένων (ν.2472/1997 και Οδηγία 95/46), εξετάζοντας σχετική γνωστοποίηση τήρησης αρχείου του Εθνικού Μητρώου Εθελοντών Αιμοδοτών, έκρινε με την με α/α 1598/2015 άδεια ότι υπεύθυνοι επεξεργασίας του Εθνικού Μητρώου Εθελοντών Αιμοδοτών είναι από κοινού το Υπουργείο Υγείας και το Ε.ΚΕ.Α., και εκτελούντες την επεξεργασία η εταιρεία Εθνικό Δίκτυο Έρευνας και Τεχνολογίας (ΕΔΕΤ Α.Ε.) και τα Νοσοκομεία της χώρας, οι αρμόδιες υπηρεσίες των οποίων 17 συνδέονται στο κεντρικό πληροφοριακό σύστημα του Εθνικού Μητρώου Εθελοντών Αιμοδοτών.
42. Λαμβάνοντας υπόψη τα ανωτέρω, από το σύνολο των στοιχείων του φακέλου της υπόθεσης προκύπτει ότι η καταγγελλόμενη επεξεργασία της διαβίβασης της επίμαχης από … ιατρικής γνωμάτευσης του ιατρού Β, την οποία ο καταγγέλλων προσκόμισε στην υπηρεσία του για τον σκοπό της χορήγησης της αιτούμενης ειδικής άδειας απουσίας, στον Σύλλογο Εργαζομένων Φ έγινε κατά παράβαση της διάταξης του άρθρου 5 παρ. 1 στοιχ. α΄ του ΓΚΠΔ. Συγκεκριμένα, ο ισχυρισμός της Δ.Ο.Υ. Χ στην υπ’ αρ. … απάντηση προς το Αυτοτελές Τμήμα Υποστήριξης ΥΠΔ – ισχυρισμός, ο οποίος επαναλαμβάνεται στην υπ’ αρ. … απάντηση της Δ.Ο.Υ. Χ προς τον καταγγέλλοντα, σε ικανοποίηση του από … αιτήματος που απηύθυνε στο Αυτοτελές Τμήμα Υποστήριξης ΥΠΔ της ΑΑΔΕ – ότι, δηλ. η διαβίβαση της επίμαχης ιατρικής γνωμάτευσης ήταν επιβεβλημένη «για λόγους προστασίας της δημόσιας υγείας, ήτοι αορίστου αριθμού ασθενών που τυχόν θα χρειαστούν και θα λάβουν το μεταγγιζόμενο αίμα, αλλά και του ιδίου του υπαλλήλου που παρέχει το αίμα χωρίς τυχόν να έχει ενημερώσει προηγουμένως το κέντρο αιμοδοσίας για την κατάσταση της υγείας, όπως ενημερώσουμε τον φορέα της αιμοδοσίας για την ύπαρξη των ως άνω ιατρικών συμβάντων, ώστε να διερευνηθεί ιατρικά η καταλληλότητα του εκάστοτε μεταγγιζόμενου αίματος και να επιτραπεί ή αποκλειστεί, αναλόγως των αποτελεσμάτων, η αιμοδοσία για τον συγκεκριμένο αιμοδότη (…) » τυγχάνει απορριπτέος ως αβάσιμος. Και τούτο, διότι νόμιμος αποδέκτης της επίμαχης ιατρικής γνωμάτευσης δεν δύναται να είναι ο Σύλλογος Εργαζομένων στις Δ.ΟΥ. Φ, καθώς σύμφωνα με τις προαναφερθείσες διατάξεις του ν. 3402/2005 αρμόδια αρχή για τον έλεγχο της αιμοδοσίας είναι το Ε.ΚΕ.Α., ενώ ο έλεγχος της καταλληλότητας του αίματος του καταγγέλλοντος αιμοδότη πραγματοποιείται από το ιατρονοσηλευτικό προσωπικό του […] Νοσοκομείου …, το οποίο διαχειρίζεται την Τράπεζα Αίματος … του ως άνω Συλλόγου Εργαζομένων. Περαιτέρω, η Αρχή κρίνει ότι η καταγγελλόμενη επεξεργασία της διαβίβασης της επίμαχης ιατρικής γνωμάτευσης έγινε κατά παράβαση της αρχής της ελαχιστοποίησης των δεδομένων (άρθρο 5 παρ. 1 στοιχ. γ’ ΓΚΠΔ), καθώς ακόμα και αν ευσταθούσε ο ισχυρισμός ότι η διαβίβαση έγινε για λόγους προστασίας της 18 δημόσιας υγείας, αρκούσε η διαβίβασή της και όχι και η αναγραφή της πάθησης (…) του καταγγέλλοντος στο υπ’ αρ. πρωτ. … διαβιβαστικό έγγραφο της Δ.Ο.Υ. Χ προς τον Σύλλογο Εργαζομένων στις Δ.Ο.Υ. Φ. Εξάλλου, η Αρχή κρίνει ότι εφόσον η διαβίβαση της επίμαχης ιατρικής γνωμάτευσης πραγματοποιήθηκε κατά παράβαση των αρχών του άρθρου 5 παρ. 1 στοιχ. α΄ και γ΄ ΓΚΠΔ, παρέλκει η εξέταση τυχόν νόμιμων θεμελίων κατ΄ άρθρα 9 ΓΚΠΔ, 22 και 24 ν. 4624/2019, καθώς αφενός η ύπαρξη τυχόν νόμιμων θεμελίων δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την τήρηση και εφαρμογή των γενικών αρχών επεξεργασίας του άρθρου 5 παρ. 1 ΓΚΠΔ κατά τα ανωτέρω διαλαμβανόμενα, αφετέρου η χορήγηση αδειών αιμοδοσίας, ως και αναρρωτικών αδειών, και η διαδικασία ελέγχου της πλήρωσης των προϋποθέσεων για την χορήγησή τους ρυθμίζεται ειδικώς από τις διατάξεις του ν. 3528/2007 (ιδίως, άρθρα 50 και 54 επ.).
43. Η Αρχή, σε σχέση με την διαπιστωθείσα παραβίαση των αρχών του άρθρου 5 παρ. 1 στοιχ. α΄ και γ΄ ΓΚΠΔ για την καταγγελλόμενη επεξεργασία της διαβίβασης της επίμαχης ιατρικής γνωμάτευσης του καταγγέλλοντος στον Σύλλογο Εργαζομένων στις Δ.Ο.Υ. Φ, κρίνει ότι συντρέχει περίπτωση να ασκήσει τις εκ του άρθρου 58 παρ. 2 ΓΚΠΔ διορθωτικές εξουσίες της. Ειδικότερα, η Αρχή αφού έλαβε υπόψη τον ισχυρισμό που προέβαλε στην ακροαματική διαδικασία ο Σύλλογος Εργαζομένων στις Δ.Ο.Υ. Φ, ότι η διαβιβασθείσα από την Δ.Ο.Υ. Χ ιατρική γνωμάτευση που αφορούσε τον Α, παραδόθηκε από τον Σύλλογο στον καταγγέλλοντα, και συνεπώς, δεν τηρείται στα αρχεία του, κρίνει ότι πρέπει να απευθύνει εντολή, κατ’ άρθρο 58 παρ. 2 στοιχ. δ΄ ΓΚΠΔ, στην ΑΑΔΕ ως υπεύθυνο επεξεργασίας, να διαγράψει από τα αρχεία της το υπ’ αρ. … έγγραφο, με το οποίο παρανόμως διαβιβάσθηκε η εν λόγω ιατρική γνωμάτευση και στο οποίο αναγράφεται η πάθηση του καταγγέλλοντος υπαλλήλου. Περαιτέρω, η Αρχή κρίνει ότι η επιβολή του ανωτέρω διορθωτικού μέτρου δεν αρκεί για την αποκατάσταση της συμμόρφωσης με τις ανωτέρω γενικές αρχές του ΓΚΠΔ που έχουν παραβιαστεί και ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ ΓΚΠΔ, και αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 ΓΚΠΔ σύμφωνα και με τις Κατευθυντήριες Γραμμές «για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του 19 κανονισμού 2016/679» της ομάδας εργασίας του άρθρου
44. Κατά την αξιολόγηση των δεδομένων, προκειμένου να επιλεγεί το πρόσφορο διορθωτικό μέτρο προς αποκατάσταση της συμμόρφωσης, καθώς και για την τιμωρία της παράνομης συμπεριφοράς, η Αρχή συνεκτιμά, ότι η συγκεκριμένη παραβίαση αφορούσε σε επεξεργασία ειδικής κατηγορίας δεδομένων προσωπικού χαρακτήρα (δεδομένα υγείας, άρθρο 83 παρ. 2 στοιχ. ζ΄) και ότι συνιστά μεμονωμένη περίπτωση (άρθρο 83 παρ. 2 στοιχ. α΄).
45. Επειδή, το άρθρο 5 παρ. 1 στοιχ. στ΄ ΓΚΠΔ προβλέπει ότι τα δεδομένα προσωπικού χαρακτήρα: «υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων, την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»). Περαιτέρω, το άρθρο 32 ΓΚΠΔ αναφορικά με την ασφάλεια της επεξεργασίας προβλέπει: «
46. Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, περιλαμβανομένων, μεταξύ άλλων, κατά περίπτωση: (…) β) της δυνατότητας διασφάλισης του απορρήτου, της ακεραιότητας, της διαθεσιμότητας και της αξιοπιστίας των συστημάτων και των υπηρεσιών επεξεργασίας σε συνεχή βάση (…).
47. Κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία. (…)
48. Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία λαμβάνουν μέτρα ώστε να διασφαλίζεται ότι κάθε φυσικό πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία το οποίο έχει 20 πρόσβαση σε δεδομένα προσωπικού χαρακτήρα τα επεξεργάζεται μόνο κατ' εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους». Από τα ανωτέρω συνάγεται ότι με τον ΓΚΠΔ επιβάλλεται να εξασφαλίζεται, με τη χρησιμοποίηση κατάλληλων τεχνικών και οργανωτικών μέτρων, ότι τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων και την προστασία τους από παράνομη επεξεργασία. Κατά συνέπεια, βασικό χαρακτηριστικό οποιασδήποτε πολιτικής ασφάλειας δεδομένων είναι να παρέχει την δυνατότητα, όταν είναι εφικτό, αποτροπής μιας παραβίασης και, αν παρ’ ελπίδα αυτή συμβεί, έγκαιρης αντίδρασης.
49. Επειδή, εν προκειμένω, η τήρηση των κατάλληλων τεχνικών και οργανωτικών μέτρων, στο πλαίσιο μιας ενδεδειγμένης πολιτικής ασφαλείας αναφορικά με την τήρηση του προσωπικού μητρώου των υπαλλήλων εκ μέρους της ΑΑΔΕ, ως υπεύθυνου επεξεργασίας, θα προέβλεπε: α) την απαγόρευση διαβίβασης δεδομένων υγείας του καταγγέλλοντος υπαλλήλου σε μη νόμιμο αποδέκτη, ήτοι στον Σύλλογο Εργαζομένων στις Δ.Ο.Υ. Φ, λαμβάνοντας υπόψη, σε κάθε περίπτωση, την προαναφερθείσα διάταξη του άρθρου 4 παρ. 2 του Π.Δ/τος 178/2004, με την οποία επιβάλλεται και προηγούμενη ενημέρωση του ενδιαφερόμενου υπαλλήλου, β) την διασφάλιση του απορρήτου του περιεχομένου του προσωπικού μητρώου και γ) την τυχόν νόμιμη διαβίβαση δεδομένων υγείας με διαβαθμισμένο έγγραφο και σε κρυπτογραφημένο αρχείο, με τη λήψη δε των μέτρων αυτών θα μπορούσε ενδεχομένως να αποτραπεί η καταγγελλόμενη παραβίαση. Κατ’ ακολουθία των ανωτέρω, σε επίπεδο πολιτικής ασφάλειας και στο μέτρο που η καταγγελλόμενη επεξεργασία τελέστηκε, δηλ. διαβιβάσθηκε η επίμαχη γνωμάτευση, όφειλε η ΑΑΔΕ, ως υπεύθυνος επεξεργασίας, με έγκαιρη αντίδραση για τον περιορισμό της παραβίασης να διαγράψει από τα αρχεία της το υπ’ αρ. πρωτ. … διαβιβαστικό έγγραφο της Δ.Ο.Υ Χ που δεν ήταν διαβαθμισμένο και αναγραφόταν στο σώμα αυτού η πάθηση του καταγγέλλοντος υπαλλήλου.
50. Επειδή, ακολούθως, σύμφωνα με τα οριζόμενα στην διάταξη του άρθρου 4 στοιχ. 12 ΓΚΠΔ νοείται ως παραβίαση δεδομένων προσωπικού χαρακτήρα «η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, 21 μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία». Επεξηγείται δε ο ορισμός αυτός ως προς την «μη εξουσιοδοτημένη ή παράνομη επεξεργασία» στις Κατευθυντήριες γραμμές του άρθρου 29 σχετικά με τη γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα δυνάμει του κανονισμού 2016/679 ως εξής: «(…) Τέλος, η μη εξουσιοδοτημένη ή παράνομη επεξεργασία μπορεί να περιλαμβάνει την αποκάλυψη δεδομένων προσωπικού χαρακτήρα σε (ή την πρόσβαση από) αποδέκτες που δεν είναι εξουσιοδοτημένοι να λαμβάνουν τα δεδομένα (ή να έχουν πρόσβαση σ’ αυτά) ή οποιαδήποτε άλλη μορφή επεξεργασίας που παραβιάζει τον ΓΚΠΔ» (σελ. 7)
52. Επειδή, στην εξεταζόμενη καταγγελία, η διαβίβαση της επίμαχης ιατρικής γνωμάτευσης συνιστά παράνομη κοινολόγηση δεδομένων προσωπικού χαρακτήρα ή, άλλως, βάσει των αρχών ασφάλειας πληροφοριών σύμφωνα με την Γνωμοδότηση 3/20214 της ΟΕ του άρθρου 29 σχετικά με τη γνωστοποίηση παραβίασης προσωπικών δεδομένων 14 και τις Κατευθυντήριες γραμμές της ΟΕ του άρθρου 29 σχετικά με τη γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα δυνάμει του κανονισμού 2016/679, παραβίαση του απορρήτου.
53. Επειδή, το άρθρο 33 παρ. 1 ΓΚΠΔ προβλέπει: «Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας γνωστοποιεί αμελλητί και, αν είναι δυνατό, εντός 72 ωρών από τη στιγμή που αποκτά γνώση του γεγονότος την παραβίαση των δεδομένων προσωπικού χαρακτήρα στην εποπτική αρχή που είναι αρμόδια σύμφωνα με το άρθρο 55, εκτός εάν η παραβίαση δεδομένων προσωπικού χαρακτήρα δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Όταν η γνωστοποίηση στην εποπτική αρχή δεν πραγματοποιείται εντός 72 ωρών, συνοδεύεται από αιτιολόγηση για την καθυστέρηση». WP250rev.01 από 03.10.2017, όπως Όπως τελικώς αναθεωρήθηκαν και εκδόθηκαν στις 6 Φεβρουαρίου 2018, διαθέσιμες στον δικτυακό τόπο http://ec.europa.eu/justice/dataprotection/index_el.htm, σελ
54. 14 Γνωμοδότηση 03/2014 σχετικά με τη γνωστοποίηση παραβίασης προσωπικών δεδομένων http://ec.europa.eu/justice/article-29/documentation/opinionrecommendation/files/2014/wp213_el.pdf,. 13 22 Η σημασία της ικανότητας εντοπισμού μιας παραβίασης με στόχο την αξιολόγηση του κινδύνου για τα πρόσωπα και, στη συνέχεια, η γνωστοποίησή της, εάν απαιτείται, τονίζεται στην αιτιολογική σκέψη 87 ΓΚΠΔ: «Θα πρέπει να εξακριβώνεται κατά πόσον έχουν τεθεί σε εφαρμογή όλα τα κατάλληλα μέτρα τεχνολογικής προστασίας και οργανωτικά μέτρα για τον άμεσο εντοπισμό κάθε παραβίασης δεδομένων προσωπικού χαρακτήρα και την άμεση ενημέρωση της εποπτικής αρχής και του υποκειμένου των δεδομένων. Θα πρέπει να διαπιστώνεται ότι η κοινοποίηση πραγματοποιήθηκε χωρίς αδικαιολόγητη καθυστέρηση, λαμβανομένων υπόψη ιδίως της φύσης και της σοβαρότητας της παραβίασης δεδομένων προσωπικού χαρακτήρα, καθώς και των συνεπειών και των δυσμενών αποτελεσμάτων της για το υποκείμενο των δεδομένων. Η γνωστοποίηση αυτή μπορεί να οδηγεί σε παρέμβαση της εποπτικής αρχής, σύμφωνα με τα καθήκοντα και τις εξουσίες της που ορίζονται στον παρόντα κανονισμό»
56. Επειδή, στην αιτιολογική σκέψη 75 ΓΚΠΔ διευκρινίζεται ότι ο κίνδυνος για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων μπορεί να συνίσταται σε: «σωματική, υλική ή μη υλική βλάβη, ιδίως όταν η επεξεργασία μπορεί να οδηγήσει σε διακρίσεις, κατάχρηση ή υποκλοπή ταυτότητας, οικονομική απώλεια, βλάβη φήμης, απώλεια της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα που προστατεύονται από επαγγελματικό απόρρητο, παράνομη άρση της ψευδωνυμοποίησης, ή οποιοδήποτε άλλο σημαντικό οικονομικό ή κοινωνικό μειονέκτημα· όταν τα υποκείμενα των δεδομένων θα μπορούσαν να στερηθούν των δικαιωμάτων και ελευθεριών τους ή να εμποδίζονται από την άσκηση ελέγχου επί των δεδομένων τους προσωπικού χαρακτήρα· όταν υπόκεινται σε επεξεργασία δεδομένα προσωπικού χαρακτήρα τα οποία αποκαλύπτουν φυλετική ή εθνοτική καταγωγή, πολιτικά φρονήματα, θρησκεία ή φιλοσοφικές πεποιθήσεις ή συμμετοχή σε συνδικάτα και γίνεται επεξεργασία γενετικών δεδομένων, δεδομένων που Αξίζει να σημειωθεί ότι στις πρόσφατες από 14.01.2021 (υπό δημόσια διαβούλευση) Κατευθυντήριες Γραμμές 1/2021 σχετικά με παραδείγματα αναφορικά με την γνωστοποίηση περιστατικών παραβίασης του ΕΣΠΔ υπογραμμίζεται ο παράγοντας του ανθρώπινου λάθους στα περιστατικά παραβίασης και της ανάγκης να διασφαλίζονται κατάλληλα μέτρα προστασίας για την αποτροπή ανθρώπινων λαθών. Βλ. Guidelines 01/2021 on Examples regarding Data Breach Notification, https://edpb.europa.eu/sites/default/files/consultation/edpb_guidelines_202101_databreachnotifica tionexamples_v1_en.pdf ,σελ.
57. 15 23 αφορούν την υγεία ή δεδομένων που αφορούν τη σεξουαλική ζωή ή ποινικές καταδίκες και αδικήματα ή σχετικά μέτρα ασφάλειας· όταν αξιολογούνται προσωπικές πτυχές, ιδίως όταν επιχειρείται ανάλυση ή πρόβλεψη πτυχών που αφορούν τις επιδόσεις στην εργασία, την οικονομική κατάσταση, την υγεία, προσωπικές προτιμήσεις ή συμφέροντα, την αξιοπιστία ή τη συμπεριφορά, τη θέση ή μετακινήσεις, προκειμένου να δημιουργηθούν ή να χρησιμοποιηθούν προσωπικά προφίλ· όταν υποβάλλονται σε επεξεργασία δεδομένα προσωπικού χαρακτήρα ευάλωτων φυσικών προσώπων, ιδίως παιδιών· ή όταν η επεξεργασία περιλαμβάνει μεγάλη ποσότητα δεδομένων προσωπικού χαρακτήρα και επηρεάζει μεγάλο αριθμό υποκειμένων των δεδομένων». Αντίστοιχα, στην αιτιολογική σκέψη 85 ΓΚΠΔ επεξηγείται η σωματική, υλική ή μη βλάβη φυσικών προσώπων συνεπεία της παραβίασης ως εξής: «απώλεια του ελέγχου επί των δεδομένων τους προσωπικού χαρακτήρα ή ο περιορισμός των δικαιωμάτων τους, διακρίσεις, κατάχρηση ή υποκλοπή ταυτότητας, οικονομική απώλεια, παράνομη άρση της ψευδωνυμοποίησης, βλάβη της φήμης, απώλεια της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα που προστατεύονται από επαγγελματικό απόρρητο ή άλλο σημαντικό οικονομικό ή κοινωνικό μειονέκτημα για το ενδιαφερόμενο φυσικό πρόσωπο». Τέλος, διευκρινίζεται ότι η ΟΕ 29 στις προαναφερόμενες ΚΓ σχετικά με τη γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα δυνάμει του κανονισμού 2016/679 συστήνει κατά την αξιολόγηση του κινδύνου για τα πρόσωπα ως αποτέλεσμα μιας παραβίασης, ο υπεύθυνος επεξεργασίας να εξετάζει τις ειδικές περιστάσεις της παραβίασης, λαμβάνοντας υπόψη τα ακόλουθα κριτήρια: 1) είδος της παραβίασης, 2) φύση, ευαισθησία και όγκος των δεδομένων, 3) ευκολία ταυτοποίησης των προσώπων, 4) σοβαρότητα των συνεπειών για τα πρόσωπα, 5) ειδικά χαρακτηριστικά του προσώπου, 6) ειδικά χαρακτηριστικά του υπευθύνου επεξεργασίας και 7) αριθμός των επηρεαζόμενων προσώπων 16, ενώ παραπέμπει και στις σχετικές Συστάσεις του ENISΑ μια μεθοδολογία αξιολόγησης της σοβαρότητας των παραβιάσεων δεδομένων προσωπικού χαρακτήρα
58. 16 17 Σελ. 27 επ. WP250rev.01 από 03.10.
59. Διαθέσιμο στην ιστοσελίδα https://www.enisa.europa.eu/publications/dbn-severity 24
60. Επειδή, εν προκειμένω, η παράνομη διαβίβαση της επίμαχης ιατρικής γνωμάτευσης του καταγγέλλοντος Α στον Σύλλογο Εργαζομένων στις Δ.Ο.Υ. Φ ήταν πιθανόν να οδηγήσει σε κίνδυνο για τα δικαιώματα και τις ελευθερίες του καταγγέλλοντος, καθώς α) οδήγησε σε αποκάλυψη κατάστασης της υγείας που προστατεύονταν από επαγγελματικό απόρρητο (ιατρικό απόρρητο), β) ήταν επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούσαν την υγεία, γ) συνιστούσε επεξεργασία ευάλωτου προσώπου, υπαγόμενου – έστω και εν δυνάμει – στις ομάδες αυξημένου κινδύνου για νόσηση από τον κορωνοϊό COVID-19, δ) διενεργήθηκε στο πλαίσιο της εκτίμησης της εργασιακής κατάστασης/καταλληλότητας του συγκεκριμένου υπαλλήλου, ε) ενείχε τον κίνδυνο διάκρισης του συγκεκριμένου υπαλλήλου έναντι των υπολοίπων συναδέλφων του και πιθανώς μελών του εν λόγω Σωματείου Εργαζομένων, ως και εθελοντών αιμοδοτών. Κατ’ ακολουθία των ανωτέρω, η Αρχή κρίνει ότι η καταγγελλόμενη παράνομη επεξεργασία συνιστά παραβίαση δεδομένων που έπρεπε να γνωστοποιηθεί στην Αρχή, κατ΄ άρθρο 33 παρ. 1 ΓΚΠΔ. Εξάλλου, η Αρχή κρίνει ότι τα στοιχεία που επικαλείται το Αυτοτελές Τμήμα Υποστήριξης ΥΠΔ της ΑΑΔΕ, στο το υπ’ αρ. πρωτ. … από … έγγραφό του προς την Αρχή για τη μη γνωστοποίηση του περιστατικού στην Αρχή κατ’ άρθρο 33 ΓΚΠΔ, ήτοι ότι: α) γνώση των προσωπικών δεδομένων του υπαλλήλου έλαβε σαφώς προσδιορισμένος και περιορισμένος κύκλος προσώπων (υπάλληλοι του εν λόγω Συλλόγου Εργαζομένων), β) οι οποίοι στην πλειοψηφία τους είναι δημόσιοι υπάλληλοι δεσμευόμενοι από υποχρέωση εχεμύθειας (άρθρο 26 Δημοσιοϋπαλληλικού Κώδικα), γ) τα δεδομένα υγείας που γνωστοποιήθηκαν (πληροφορίες ότι ο υπάλληλος πάσχει από …) δεν ήταν ικανά να οδηγήσουν σε διακρίσεις σε βάρος του υποκειμένου των δεδομένων, δ) αλλά και διότι τυχόν περαιτέρω διαβίβαση των δεδομένων στο συνεργαζόμενο με το σύλλογο κέντρο αιμοδοσίας δεν συνεπάγεται δυσμενείς συνέπειες για το υποκείμενο των δεδομένων, αφενός διότι το κέντρο αιμοδοσίας πιθανότατα διαθέτει ήδη τα εν λόγω δεδομένα από τον ίδιο τον υπάλληλο, αφετέρου διότι οι υπάλληλοι του κέντρου αιμοδοσίας δεσμεύονται από το ιατρικό απόρρητο, δεν δικαιολογούν την παράλειψη της γνωστοποίησης του περιστατικού στην Αρχή κατά το άρθρο 33 του ΓΚΠΔ, ενόψει 25 του κινδύνου βλάβης από το περιστατικό, όπως περιγράφεται στις προαναφερόμενες αιτιολογικές σκέψεις 75 και 85 του ΓΚΠΔ, σύμφωνα και με την προαναφερόμενη Γνωμοδότηση 3/2014 του άρθρου 29 σχετικά με τη γνωστοποίηση παραβίασης προσωπικών δεδομένων, καθώς και τις Κατευθυντήριες γραμμές του άρθρου 29 σχετικά με τη γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα δυνάμει του κανονισμού 2016/
61. Περαιτέρω, και για τους ως άνω λόγους, ήταν εσφαλμένη η απόφαση της ΑΑΔΕ περί αρχειοθέτησης του εν λόγω περιστατικού.
62. Επειδή, το άρθρο 34 ΓΚΠΔ προβλέπει στην παρ. 1: «Όταν η παραβίαση δεδομένων προσωπικού χαρακτήρα ενδέχεται να θέσει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας ανακοινώνει αμελλητί την παραβίαση των δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων (…)
63. Η ανακοίνωση στο υποκείμενο των δεδομένων η οποία αναφέρεται στην παράγραφο 1 δεν απαιτείται, εάν πληρείται οποιαδήποτε από τις ακόλουθες προϋποθέσεις: α) ο υπεύθυνος επεξεργασίας εφάρμοσε κατάλληλα τεχνικά και οργανωτικά μέτρα προστασίας, και τα μέτρα αυτά εφαρμόστηκαν στα επηρεαζόμενα από την παραβίαση δεδομένα προσωπικού χαρακτήρα, κυρίως μέτρα που καθιστούν μη κατανοητά τα δεδομένα προσωπικού χαρακτήρα σε όσους δεν διαθέτουν άδεια πρόσβασης σε αυτά, όπως η κρυπτογράφηση, β) ο υπεύθυνος επεξεργασίας έλαβε στη συνέχεια μέτρα που διασφαλίζουν ότι δεν είναι πλέον πιθανό να προκύψει ο αναφερόμενος στην παράγραφο 1 υψηλός κίνδυνος για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων, γ) προϋποθέτει δυσανάλογες προσπάθειες. Στην περίπτωση αυτή, γίνεται αντ' αυτής δημόσια ανακοίνωση ή υπάρχει παρόμοιο μέτρο με το οποίο τα υποκείμενα των δεδομένων ενημερώνονται με εξίσου αποτελεσματικό τρόπο (…)». Επιπλέον, η ΟΕ 29 του άρθρου 29 στις Κατευθυντήριες Γραμμές σχετικά με τη γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα δυνάμει του κανονισμού 2016/679, λαμβάνοντας υπόψη και την αιτιολογική σκέψη 86 του ΓΚΠΔ υπογραμμίζει, μεταξύ άλλων, ότι: «Οι υπεύθυνοι επεξεργασίας θα πρέπει να θυμούνται ότι η γνωστοποίηση στην εποπτική αρχή είναι υποχρεωτική, εκτός εάν είναι απίθανο να δημιουργηθεί κίνδυνος για τα δικαιώματα και τις ελευθερίες των προσώπων ως αποτέλεσμα της παραβίασης. Επιπλέον, όταν ενδέχεται να τεθούν σε 26 υψηλό κίνδυνο τα δικαιώματα και οι ελευθερίες των προσώπων ως αποτέλεσμα μιας παραβίασης, τα πρόσωπα πρέπει επίσης να ενημερώνονται. Το κατώφλι για την ανακοίνωση μιας παραβίασης στα πρόσωπα είναι, συνεπώς, υψηλότερο απ’ ό,τι για τη γνωστοποίηση στις εποπτικές αρχές και, συνακόλουθα, δεν θα απαιτείται για όλες τις παραβιάσεις η ανακοίνωση στα πρόσωπα, γεγονός που τα προστατεύει από περιττή κόπωση λόγω φόρτου γνωστοποιήσεων.
64. Εν προκειμένω, ανεξαρτήτως αν στην εξεταζόμενη υπόθεση συντρέχουν οι περιπτώσεις των στοιχ. α΄ ή/και β΄ της παρ. 3 του άρθρου 34 ΓΚΠΔ, η Αρχή κρίνει ότι, αν και υπήρξε κίνδυνος για τα δικαιώματα και τις ελευθερίες του καταγγέλλοντος, δεν υπήρχε υποχρέωση ανακοίνωσης της παραβίασης στο υποκείμενο των δεδομένων, Α, καθώς οι ενέργειες στις οποίες θα μπορούσε να προβεί ο τελευταίος για την αποτροπή των κινδύνων που προκλήθηκαν από την αποκάλυψη των δεδομένων της υγείας του προκειμένου να προστατευτεί ήταν περιορισμένες. Από το ιστορικό της υπόθεσης, προκύπτει ότι ο Α ευθύς μόλις πληροφορήθηκε για την διαβίβαση της επίμαχης ιατρικής βεβαίωσης υπέβαλε το από … αίτημά του στο Αυτοτελές Τμήμα Υποστήριξης ΥΠΔ της ΑΑΔΕ προκειμένου να ενημερωθεί για την επεξεργασία των δεδομένων προσωπικού του χαρακτήρα, μετά δε από τη σχετική απάντηση που έλαβε, η μόνη δυνατότητα που του κατελείπετο ήταν να ασκήσει το δικαίωμα διαγραφής, καθώς και να υποβάλει καταγγελία στην Αρχή.
65. Η Αρχή, λαμβάνοντας υπόψη τα ανωτέρω, κρίνει ότι για την διαπιστωθείσα παράλειψη γνωστοποίησης του περιστατικού παραβίασης στην Αρχή, κατ΄ άρθρο 33 ΓΚΠΔ πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 ΓΚΠΔ σύμφωνα και με τις Κατευθυντήριες Γραμμές «για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679» της ομάδας εργασίας του άρθρου
66. Κατά την αξιολόγηση των δεδομένων, προκειμένου να επιλεγεί το πρόσφορο και διορθωτικό μέτρο, η Αρχή συνεκτιμά, ότι η συγκεκριμένη παραβίαση αφορούσε σε επεξεργασία ειδικής κατηγορίας δεδομένων προσωπικού χαρακτήρα (δεδομένα υγείας, άρθρο 83 παρ. 2 στοιχ. ζ΄) και ότι συνιστά μεμονωμένη περίπτωση (άρθρο 83 παρ. 2 στοιχ. α΄). 27
67. Επειδή, τέλος, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 13 παρ. 1 ΓΚΠΔ, ο υπεύθυνος επεξεργασίας οφείλει να παρέχει στο υποκείμενο των δεδομένων σε εκπλήρωση της υποχρέωσης ικανοποίησης του δικαιώματος ενημέρωσης, μεταξύ άλλων, την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας, τα στοιχεία επικοινωνίας του ΥΠΔ, τους σκοπούς επεξεργασίας και τη νομική βάση για την επεξεργασία τους, τους αποδέκτες των δεδομένων. Περαιτέρω, σύμφωνα με τα οριζόμενα στη διάταξη του παρ. 2 του ανωτέρω άρθρου, «Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων τις εξής πληροφορίες που είναι αναγκαίες για τη διασφάλιση θεμιτής και διαφανούς επεξεργασίας όσον αφορά το υποκείμενο των δεδομένων: (…) β) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για πρόσβαση και διόρθωση ή διαγραφή των δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας που αφορά το υποκείμενο των δεδομένων και δικαιώματος αντίταξης στην επεξεργασία, καθώς και δικαιώματος στη φορητότητα των δεδομένων (…)». Η δε έννοια της διαφανούς ενημέρωσης επεξηγείται, μεταξύ άλλων, στην αιτιολογική σκέψη 60 ΓΚΠΔ ως εξής: «Οι αρχές της δίκαιης και διαφανούς επεξεργασίας απαιτούν να ενημερώνεται το υποκείμενο των δεδομένων για την ύπαρξη της πράξης επεξεργασίας και τους σκοπούς της. Ο υπεύθυνος επεξεργασίας θα πρέπει να παρέχει στο υποκείμενο των δεδομένων κάθε περαιτέρω πληροφορία που είναι αναγκαία για τη διασφάλιση δίκαιης και διαφανούς επεξεργασίας, λαμβάνοντας υπόψη τις ειδικές συνθήκες και το πλαίσιο εντός του οποίου πραγματοποιείται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα. Περαιτέρω, το υποκείμενο των δεδομένων θα πρέπει να ενημερώνεται αν καταρτίζεται το προφίλ του και ποιες συνέπειες έχει αυτό. Εάν τα δεδομένα προσωπικού χαρακτήρα παρέχονται από το υποκείμενο των δεδομένων, το υποκείμενο των δεδομένων θα πρέπει να ενημερώνεται επίσης για το κατά πόσον υποχρεούται να παράσχει τα δεδομένα προσωπικού χαρακτήρα και για τις συνέπειες, όταν δεν παρέχει τα εν λόγω δεδομένα (…)».
68. Λαμβάνοντας υπόψη τα διαλαμβανόμενα στις αμέσως προηγούμενες σκέψεις της παρούσας και τα στοιχεία του συνόλου του φακέλου της υπόθεσης η 28 Αρχή κρίνει, εν προκειμένω, ότι η ΑΑΔΕ, ως υπεύθυνος επεξεργασίας, μέσω της απάντησης που παρασχέθηκε από την Δ.Ο.Υ. Χ με το υπ’ αρ. πρωτ. … έγγραφο, ικανοποίησε το δικαίωμα ενημέρωσης που άσκησε ο καταγγέλλων με το από … αίτημά του, ως προς τις επιμέρους πληροφορίες που ζήτησε και μάλιστα εμπρόθεσμα, ήτοι προ της παρέλευσης της προθεσμίας του ενός μηνός, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 12 παρ. 3 ΓΚΠΔ. Ωστόσο, η ΑΑΔΕ, ως υπεύθυνος επεξεργασίας, όφειλε προς εξασφάλιση θεμιτής και διαφανούς επεξεργασίας να παράσχει στο υποκείμενο των δεδομένων την ενημέρωση ότι έχει δικαίωμα να ασκήσει τα δικαιώματα διαγραφής ή/και περιορισμού της επίμαχης επεξεργασίας, κατ’ άρθρο 13 παρ. 2 στοιχ. β΄ του ΓΚΠΔ. Με τον τρόπο αυτό θα μετριάζονταν ο κίνδυνος που προκλήθηκε στα δικαιώματα και τις ελευθερίες του καταγγέλλοντος από την παράνομη επεξεργασία της αποκάλυψης δεδομένων υγείας του, μέσω της διαβίβασης της επίμαχης ιατρικής γνωμάτευσης στον Σύλλογο Εργαζομένων στις Δ.Ο.Υ. Φ. Συνακόλουθα, η Αρχή κρίνει ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 παρ. 5 στοιχ. β΄ ΓΚΠΔ, σύμφωνα και με τις προαναφερθείσες Κατευθυντήριες Γραμμές «για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679» της ομάδας εργασίας του άρθρου 29, τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς, συνεκτιμώντας ότι η συγκεκριμένη παραβίαση συνιστούσε μεμονωμένη περίπτωση (άρθρο 83 παρ. 2 στοιχ. α΄). ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή α) κρίνει ότι η καταγγελλόμενη διαβίβαση της επίμαχης ιατρικής γνωμάτευσης με το υπ’ αρ. πρωτ. … έγγραφο της Δ.Ο.Υ. Χ στον Σύλλογο Εργαζομένων στις Δ.Ο.Υ. Φ έγινε κατά παράβαση της διάταξης του άρθρου 5 παρ. 1 στοιχ. α΄ ΓΚΠΔ, και επιβάλλει στην ΑΑΔΕ, ως υπεύθυνο επεξεργασίας, διοικητικό πρόστιμο ύψους δύο χιλιάδων (2.000) ευρώ, 29 β) δίνει εντολή, κατ’ εφαρμογή του άρθρου 58 παρ. 2 στοιχ. δ΄ ΓΚΠΔ, στην ΑΑΔΕ, ως υπεύθυνο επεξεργασίας να διαγράψει το υπ’ αρ. πρωτ. … έγγραφο που εκδόθηκε από την Δ.Ο.Υ. Χ, στο οποίο κατά παράβαση της αρχής του άρθρου 5 παρ. 1 στοιχ. γ΄ ΓΚΠΔ αναγράφηκε η πάθηση του καταγγέλλοντος, γ) κρίνει ότι η καταγγελλόμενη επεξεργασία συνιστούσε παραβίαση δεδομένων προσωπικού χαρακτήρα, κατά παράβαση των οριζομένων στις διατάξεις των άρθρων 5 παρ. 1 στοιχ. στ΄ και 32 ΓΚΠΔ, η οποία έπρεπε κατ’ εφαρμογή του άρθρου 33 να γνωστοποιηθεί στην Αρχή και επιβάλλει στην ΑΑΔΕ, ως υπεύθυνο επεξεργασίας για την παράλειψη της γνωστοποίησης, διοικητικό πρόστιμο ύψους χιλίων πεντακοσίων (1.500) ευρώ και δ) κρίνει ότι η ικανοποίηση στο δικαίωμα ενημέρωσης που άσκησε ο Α ήταν ελλιπής, κατά παράβαση της διάταξης του άρθρου 13 παρ. 2 στοιχ. β΄ ΓΚΠΔ και επιβάλλει στην ΑΑΔΕ, ως υπεύθυνο επεξεργασίας, διοικητικό πρόστιμου ύψους χιλίων πεντακοσίων (1.500) ευρώ. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 30