Καταγγελία υποκειμένου των δεδομένων κατά Κολλεγίου για παραβίαση των δικαιωμάτων πρόσβασης και διαγραφής

ΕΛΛΗΝΙΚΗ ΔΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Αθήνα, 29-10-2020 Ταχ. Δ/νση: ΚΗΦΙΣΙΑΣ 1-3 ΑΠ: Γ/ΕΞ/7394/29-10-2020 115 23 ΑΘΗΝΑ ΤΗΛ.: 210-6475600 FAX: 210-6475628 ΑΠΟΦΑΣΗ 33/2020 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε, μετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση στην έδρα της την Τρίτη 03.03.2020 και ώρα 09:00, εξ αναβολής από την 25η.02.2020, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Σπυρίδων Βλαχόπουλος, Χαράλαμπος Ανθόπουλος, Κωνσταντίνος Λαμπρινουδάκης και Ελένη Μαρτσούκου. Στη συνεδρίαση παρέστη, με εντολή του Προέδρου, και ο Γρηγόριος Τσόλιας, αναπληρωματικό μέλος της Αρχής, ως εισηγητής. Παρούσες χωρίς δικαίωμα ψήφου ήταν η Χαρίκλεια Λάτσιου, νομικός ελεγκτής - δικηγόρος, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Με την από 02.08.2019 (και με αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/5322/02.08.2019) αίτηση ο Α, δια της πληρεξουσίας δικηγόρου του Αγγελικής Νεστορίδου, καταγγέλλει ότι το Αμερικανικό Κολλέγιο Ελλάδος (εφεξής Κολλέγιο) δεν ικανοποίησε τα δικαιώματα πρόσβασης και 2 διαγραφής σε δεδομένα προσωπικού χαρακτήρα που τον αφορούν. Συγκεκριμένα, καταγγέλλει ότι με την από … εξώδικη δήλωση – αίτηση προς το Κολλέγιο ζήτησε α) να λάβει αντίγραφα όλων των εγγράφων που περιλαμβάνονται στο ατομικό φάκελο που τηρεί το Κολλέγιο ως εργοδότης στο πλαίσιο της σχέσης απασχόλησης με τον καταγγέλλοντα, ως … από το … έως και το … και β) να διαγράψει το Κολλέγιο τον ατομικό φάκελο που τηρεί συμπεριλαμβανομένου του περιεχομένου του, καθώς έχει εκλείψει πλέον ο λόγος για τον οποίο συλλέχθηκαν και τηρούνται τα σχετικά στοιχεία, διότι έληξε η επαγγελματική συνεργασία μαζί του, ενώ παράλληλα ανακάλεσε με την ανωτέρω εξώδικη δήλωση – αίτησή του την τυχόν σιωπηρώς δοθείσα συγκατάθεσή του για την τήρηση και την επεξεργασία προσωπικών του δεδομένων από το Κολλέγιo. Με την προαναφερόμενη αίτηση προς την Αρχή ο Α καταγγέλλει ότι το Κολλέγιο δεν προέβη σε κάποια ενέργεια σε απάντηση της ανωτέρω από … εξώδικης δήλωσης – αίτησής του. Η Αρχή, κατά την εξέταση της υπόθεσης, κάλεσε με το υπ’ αρ. πρωτ. Γ/ΕΞ/5322-1/10.09.2019 έγγραφο το Κολλέγιο όπως παράσχει συγκεκριμένες διευκρινίσεις. Σε απάντηση του ανωτέρω εγγράφου της Αρχής, το Κολλέγιο με το υπ’ αρ. πρωτ. … (ΑΠΔΠΧ Γ/ΕΙΣ/6688/04.10.2019) έγγραφο ενημέρωσε την Αρχή ότι α) παρέλαβε την … (επισυνάπτοντας τη σχετική έκθεση επίδοσης) την από … εξώδικη δήλωση – αίτηση του Α, η οποία λόγω της κατάστασης υγείας του υπαλλήλου που την παρέλαβε, σε συνδυασμό με τον αυξημένο φόρτο εργασίας την εν λόγω χρονική περίοδο λόγω της λήξης της διαχειριστικής χρήσης του Κολλεγίου, «(…) η σχετική Εξώδικη Δήλωση παρέπεσε, με αποτέλεσμα το Κολλέγιο να ενημερωθεί το πρώτον περί του αιτήματος πρόσβασης και διαγραφής του κ. Α δια της υπ’ αριθμ. Πρωτ. Γ/ΕΞ/5322-1/10-09-2019 συστημένης επιστολής της Αρχής, την οποία (…) παραλάβαμε την …», β) ευθύς μόλις έλαβε το έγγραφο της Αρχής «(…) σπεύσαμε, αφενός, να διερευνήσουμε τους λόγους για τους οποίους δεν είχαμε λάβει γνώση του εξωδίκου του κ. Α (επικοινωνήσαμε μάλιστα πάραυτα με τον δικαστικό επιμελητή που μας επέδωσε το από … εξώδικο του κ. Α για να λάβουμε αντίγραφο αυτού και της σχετικής έκθεσης επίδοσης), και, αφετέρου (και ιδίως), να προβούμε σε όλες τις απαιτούμενες ενέργειες ώστε να εξετάσουμε και να ανταποκριθούμε το συντομότερο δυνατό στο αίτημα πρόσβασης και διαγραφής του κ. Α. Πράγματι, στο πλαίσιο αυτό και σε απάντηση της από … εξώδικης δήλωσης του κ. Α, ήδη του αποστείλαμε τόσο με e-mail όσο και με courier (στα στοιχεία επικοινωνίας που εμφαίνονται στο κείμενο της υπό κρίση καταγγελίας του την από … επιστολή μας (…) Δια της ως άνω επιστολής μας α) ικανοποιήσαμε το δικαίωμα πρόσβασης του κ. Α ενημερώνοντάς τον για τα προσωπικά δεδομένα που τηρούνται από το Κολλέγιο υπό την ιδιότητά του ως πρώην εργαζομένου του Κολλεγίου, και τον καλέσαμε να προσέλθει στα γραφεία του Τμήματος Προσωπικού του Κολλεγίου σε εργάσιμες ημέρες και 3 ώρες προκειμένου να λάβει αντίγραφα των σχετικών εγγράφων/πληροφοριών που τηρούνται από το Κολλέγιο (με εξαίρεση τα στοιχεία της Φοιτήτριας που εξέφρασε την ανησυχία της για την προσωπική της ασφάλεια καθότι τυχόν χορήγησή τους στον κ. Α, ενόψει και των επιφυλάξεων/αντιρρήσεών της, θα επηρέαζε δυσμενώς τα δικαιώματα και τις ελευθερίες της κατά την έννοια του άρθρου 15 παρ. 4 του ΓΚΠΔ) και β) του γνωρίσαμε ότι το αίτημα διαγραφής που υπέβαλε μπορεί να ικανοποιηθεί μόνο εν μέρει καθότι ορισμένα προσωπικά δεδομένα που τον αφορούν (και τα προσδιορίσαμε) εξακολουθούν να είναι απαραίτητα σε σχέση με τους σκοπούς για τους οποίους υποβλήθηκαν σε επεξεργασία και συντρέχουν επιτακτικοί και νόμιμοι λόγοι για την διατήρησή τους από το Κολλέγιο, ενώ ιδίως σε ό,τι αφορά στο ζήτημα των εις βάρος του καταγγελιών (που αποτελεί και την «ουσία» του σχετικού αιτήματός του), η τήρηση του σχετικού υλικού είναι απαραίτητη για την υπεράσπιση του Κολλεγίου έναντι τυχόν νομικών αξιώσεών του εναντίον μας (πολλώ δε μάλλον λαμβανομένου υπόψη ότι ήδη με την από … «Εξώδικη Δήλωση – Διαμαρτυρία – Πρόσκλησή του» (…) είχε «απειλήσει» το Κολλέγιο ότι επρόκειτο να προσφύγει ενώπιον των αρμοδίων Δικαστικών, Εισαγγελικών και άλλων Αρχών (…)». Το Κολλέγιο σημειώνει, ακόμα, ότι ο Α « (…) υπό το πρόσχημα του νέου κανονιστικού πλαισίου, ασκεί μεν το δικαίωμα πρόσβασης και διαγραφής, αλλά κατά τρόπο προδήλως αβάσιμο, επαναλαμβανόμενο και καταχρηστικό, με αποτέλεσμα το Κολλέγιο να δικαιούται να αρνηθεί να δώσει συνέχεια σε αυτό κατά τα οριζόμενα στον άρθρου 12 παρ. 5 εδ. β΄ του Γενικού Κανονισμού Προσωπικών Δεδομένων (…). Τούτο δε ιδίως καθότι το οψίμως υποβληθέν – κατά τα ανωτέρω – αίτημά του αφορά κατ’ ουσίαν τη χορήγηση στον κ. Α αντιγράφου της εις βάρος του καταγγελίας (και των στοιχείων) της δεύτερης Φοιτήτριας, αίτημα το οποίο είχε υποβάλει και με την από … επιστολή του (…), και επί του οποίου το Κολλέγιο του έχει ήδη απαντήσει με την από … επιστολή του (…)». Ακολούθως, ο Α σε απάντηση της από … επιστολής που έλαβε από το ανωτέρω Κολλέγιο ενημέρωσε με την από … αίτησή του (και με αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/7567/05.11.2019) την Αρχή ότι η από … απάντηση του Κολλεγίου δεν ικανοποιεί τα αιτήματά του για πρόσβαση και διαγραφή των προσωπικών του δεδομένων που τηρούνται στο Κολλέγιο, καθώς και ότι το Κολλέγιο δεν τεκμηριώνει το αβάσιμο ή υπερβολικό χαρακτήρα, συμφώνως προς τη διάταξη του άρθρου 12 παρ. 5 εδ. β΄ του ΓΚΠΔ 2016/679, του αιτήματος που υπέβαλε με την από … εξώδικη δήλωση – αίτησή του προς το Κολλέγιο, «(…) και μάλιστα, ενός δικαιώματος, που ουδέποτε έχει ικανοποιηθεί, καθώς όντως με την από … επιστολή μου είχα αιτηθεί και πάλι την πρόσβαση στον προσωπικό μου φάκελο. Με την από … επιστολή του, όμως, τότε το Κολλέγιο είχε επιφυλαχθεί ως προς την ικανοποίηση του αιτήματός μου και είχε καταφύγει με ερώτημα περί νομιμότητας ενώπιον της Αρχή σας, χωρίς ωστόσο να επανέλθει ποτέ, καθώς πιθανώς 4 θεωρήθηκε από το Κολλέγιο, ήσσονος σημασίας η ικανοποίηση των νομίμως κατοχυρωμένων δικαιωμάτων μου (…)». Σημειώνει, περαιτέρω, ο Α, με την προαναφερόμενη αίτησή του στην Αρχή, ότι το Κολλέγιο έχει τη σύννομη υποχρέωση, βάσει του άρθρου 55 του ν.4624/2019 να τον ενημερώσει, ως υποκείμενο των δεδομένων, για όλες τις διαθέσιμες πληροφορίες σχετικά με την προέλευση των δεδομένων που διατηρεί και επεξεργάζεται, καθώς και ότι το Κολλέγιο όφειλε να του εξασφαλίσει την απαιτούμενη πρόσβαση στο συνολικό του φάκελο που τηρεί, προτού ικανοποιήσει το δεύτερο αίτημα διαγραφής οποιουδήποτε στοιχείου αυτού. Κατόπιν τούτων, ζητεί από την Αρχή να υποχρεώσει το Κολλέγιο να ικανοποιήσει τα αιτήματά του και επιβάλει σε βάρος του κυρώσεις σχετικά με τη διαγραφή προσωπικών του δεδομένων, χωρίς προηγουμένως να έχει ικανοποιηθεί το αίτημά του για πρόσβαση σε αυτά. Από τα στοιχεία του φακέλου της υπόθεσης, προκύπτει ότι ο Α απασχολούνταν δυνάμει της από … σύμβασης ορισμένου χρόνου στο Κολλέγιο ως … Την … και την … η Διοίκηση του Κολλεγίου έλαβε, μέσω ηλεκτρονικού ταχυδρομείου, μηνύματα/καταγγελίες από δύο σπουδάστριες του Κολλεγίου, σύμφωνα με τα οποία ο Α είχε αναρτήσει την … και την … στον προσωπικό του λογαριασμό σε μέσο κοινωνικής δικτύωσης (facebook) δημοσιεύσεις με ομοφοβικό και ρατσιστικό περιεχόμενο, με αφορμή την ψήφιση του νόμου σχετικά με τη νομική αναγνώριση του φύλου, οι οποίες (δημοσιεύσεις) έρχονταν σε αντίθεση, μεταξύ άλλων, με τις Πολιτικές και τους Κανόνες Δεοντολογίας που διέπουν το Κολλέγιο. Κατόπιν τούτων, το Κολλέγιο, επικαλούμενο το σκοπό της εξυπηρέτησης της εύρυθμης λειτουργίας του, λόγω του ότι η συμπεριφορά του Α ήρθε σε πλήρη αντίθεση με τις αρχές του Κολλεγίου και τον παιδαγωγικό ρόλο που εκ της ιδιότητάς του όφειλε να υπηρετεί, τον ενημέρωσε με την από … επιστολή του για την απόφασή του να τον μετακινήσει σε άλλη θέση για την υπολειπόμενη διάρκειά της σύμβασης του, ως μέτρο ηπιότερο της καταγγελίας της σύμβασης. Ο Α, σε απάντηση της ανωτέρω επιστολής, με την από … εξώδικη δήλωση – διαμαρτυρία – πρόσκληση, δήλωσε ότι υπέστη από το Κολλέγιο συκοφαντική δυσφήμηση και το κάλεσε, αφενός, να αποκαταστήσει το όνομά του στο σύνολο το διδακτικού και μαθητικού κόσμου του Κολλεγίου με την έκδοση και δημοσιοποίηση σχετικής ανακοίνωσης και, αφετέρου, να αποκαταστήσει το εργασιακό του καθεστώς δυνάμει της προαναφερόμενης από … σύμβασης εργασίας ορισμένου χρόνου. Το Κολλέγιο, με την από … εξώδικη απάντηση – διαμαρτυρία – πρόσκληση, μεταξύ άλλων, κάλεσε τον Α εκ νέου να εμφανιστεί άμεσα στο Παράρτημα των Φ και να προσφέρει τις υπηρεσίες του ως …. Παρά το γεγονός ότι ο Α δεν προσέφερε τις υπηρεσίες του στα νέα καθήκοντα που του ανατέθηκαν, 5 το Κολλέγιο συνέχισε να του καταβάλει τις συμφωνημένες αποδοχές μέχρι τη λήξη της προαναφερόμενης σύμβασης εργασίας, ήτοι έως την …. Ακολούθως, ο Α με την από … αίτησή του κάλεσε το Κολλέγιο να χορηγήσει αντίγραφα των εγγράφων από το προσωπικόυπηρεσιακό του φάκελο, και ειδικότερα των εν γένει εις βάρος του καταγγελιών και της σχετικής ανάρτησής του στο facebook. Το Κολλέγιο, ενημέρωσε σχετικά τις σπουδάστριες για το προαναφερόμενο αίτημα του Α, εκ των οποίων η μία συμφώνησε για τη γνωστοποίηση της επώνυμης καταγγελίας, ενώ η δεύτερη εξέφρασε επιφυλάξεις, καταλήγοντας: « (…) as such, I admit I am a little skeptical about releasing this information to him. It could very well be a threat to my personal safety. I have never been in a similar situation and I am not entirely sure what the best course of action is. If you or Human Resources have any advice I would greatly appreciate your input”. Κατόπιν τούτων, το Κολλέγιο με την υπ’ αρ. πρωτ. … αίτησή του υπέβαλε σχετικό ερώτημα στην Αρχή (αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/368/16.01.2018), το οποίο κατέληγε: «(…) εάν στην προκειμένη περίπτωση το Κολλέγιο υποχρεούται ή μη να διαβιβάσει στον καταγγελλόμενο το κείμενο της καταγγελίας της δεύτερης εκ των καταγγελλουσών και το όνομά της και β) σε περίπτωση καταφατικής απάντησης, τυχόν προϋποθέσεις υπό τις οποίες πρέπει να γίνει η ως άνω διαβίβαση στον καταγγελλόμενο (…)». Το ερώτημα αυτό, όπως προκύπτει από τα τηρούμενα αρχεία της Αρχής, δεν απαντήθηκε. Παραλλήλως,, το Κολλέγιο με το από … έγγραφό του, απαντώντας στην από … αίτηση του Α, απέστειλε αντίγραφο της καταγγελίας της πρώτης σπουδάστριας και τον ενημέρωσε ότι, μετά τις επιφυλάξεις/αντιρρήσεις που εξέφρασε η δεύτερη σπουδάστρια, υπέβαλε το προαναφερόμενο ερώτημα στην Αρχή και αναμένει την απάντησή της για την γνωστοποίηση ή μη της καταγγελίας της δεύτερης σπουδάστριας. Τέλος, σε απάντηση της από … εξώδικης δήλωσης αίτησης του Α, το Αμερικανικό Κολλέγιο Ελλάδος με το από … έγγραφό του αναφέρει ότι α) λόγω της κατάστασης υγείας του παραλαβόντος την εξώδικη δήλωση – αίτηση σε συνδυασμό με τον αυξημένο φόρτο εργασίας αυτού κατά την εν λόγω χρονική περίοδο, αυτή παρέπεσε και έλαβε το πρώτον γνώση με το υπ’ αρ. πρωτ. … έγγραφο της Αρχής και β) το αίτημά του ασκείται κατά τρόπο προδήλως αβάσιμο, επαναλαμβανόμενο και καταχρηστικό, με αποτέλεσμα το Κολλέγιο να δικαιούται να αρνηθεί να δώσει συνέχεια, δυνάμει του άρθρου 12 παρ.5 εδ. β΄ του ΓΚΠΔ 2016/

1. Περαιτέρω αναφέρεται ότι το Κολλέγιο, ενεργώντας καλόπιστα και ως μη όφειλε, με την προαναφερόμενη αίτηση χορήγησε στον Α τις πληροφορίες για τις οποίες είχε ζητήσει να έχει πρόσβαση και τον ενημέρωσε ότι μπορεί να λάβει σχετικά αντίγραφα από τα γραφεία του Τμήματος Προσωπικού του Κολλεγίου σε δήλη ημέρα, κατόπιν προηγούμενης συνεννόησης, με εξαίρεση τα στοιχεία ταυτοποίησης της δεύτερης καταγγέλλουσας που πρόβαλε 6 αντιρρήσεις/επιφυλάξεις δυνάμει του άρθρου 15 παρ. 4 του ΓΚΠΔ 2016/
2. Αναφορικά με το αίτημα διαγραφής, το Κολλέγιο απάντησε ότι δεν είναι δυνατόν να ικανοποιηθεί σε σχέση με τα στοιχεία ταυτοποίησης, τις συμβάσεις εργασίας, τα έντυπα αναγγελίας πρόσληψης/λήξης σύμβασης που έχουν υποβληθεί στις αρμόδιες αρχές, τα εκκαθαριστικά μισθοδοσίας, την περιγραφή της θέσης εργασίας και τις βεβαιώσεις εργοδότη, δυνάμει του άρθρου 17 παρ.3 εδ. ε΄ του ΓΚΠΔ, λόγω του ότι είναι απαραίτητα για την υποστήριξη/υπεράσπιση του Κολλεγίου έναντι τυχόν νομικών αξιώσεων, λαμβανομένης υπόψη ιδίως της πενταετούς προθεσμίας παραγραφής των μισθολογικών αξιώσεων κατά τα άρθρα 250-253 ΑΚ και της εικοσαετούς παραγραφής των αξιώσεων του άρθρου 95 του ν.4387/
3. Πέραν δε των νομίμων περιόδων διατήρησης των δεδομένων αυτών, η διαγραφή τους θα ήταν επιζήμια για τα έννομα συμφέροντα του υποκειμένου των δεδομένων, υπό την έννοια ότι δεν θα μπορούσε το Κολλέγιο να χορηγήσει πιστοποιητικά προϋπηρεσίας κλπ. Εξάλλου, αναφορικά με τις σε βάρος του καταγγελίες, το Κολλέγιο, λαμβάνοντας υπόψη και την πρόθεση του Α στην από … εξώδικη δήλωση – διαμαρτυρία – πρόσκληση να προσφύγει ενώπιον των αρμοδίων Αρχών, απάντησε ότι το αίτημα διαγραφής δεν μπορεί να ικανοποιηθεί δυνάμει του άρθρου 17 παρ. 3 εδ. ε΄ του ΓΚΠΔ 2016/
4. Τέλος, το Κολλέγιο ενημέρωσε τον Α ότι διέγραψε τα υπόλοιπα στοιχεία που περιλαμβάνονταν στον προσωπικό του φάκελο (αλληλογραφία για εργασιακά θέματα και απόδοση δαπανών, βιογραφικό, αίτημα πρόσληψης), ικανοποιώντας, κατά το σκέλος αυτό, το αίτημά του. Ακολούθως, η Αρχή με τα υπ’. αρ. πρωτ. Γ/ΕΞ/5322-3/21.11.2019 και Γ/ΕΞ/53222/21.11.2019 έγγραφα κάλεσε το Αμερικανικό Κολλέγιο Ελλάδος και τον Α, αντίστοιχα, όπως παρουσιαστούν στη συνεδρίαση της Ολομελείας της Αρχής την Τρίτη 03.12.2019 προκειμένου να συζητηθεί η προαναφερόμενη καταγγελία του Α. Στη συνεδρίαση της Αρχής την 03η.12.2019 παρέστησαν ο Σπυρίδων Γκίκας (…), ως πληρεξούσιος δικηγόρος του Αμερικανικού Κολλεγίου Ελλάδος και η Αγγελική Νεστορίδου (…), ως πληρεξούσια δικηγόρος του Α. Κατά τη συνεδρίαση αυτή υποβλήθηκε από το Αμερικανικό Κολλέγιο Ελλάδος, αίτημα αναβολής συζήτησης της καταγγελίας του Α και η Αρχή, αποδεχόμενη το αίτημα, όρισε νέα ημερομηνία συζήτησης της προαναφερόμενης καταγγελίας την 17η.12.2019 ενημερώνοντας το Αμερικανικό Κολλέγιο Ελλάδος και τον Α, δια των νομίμων εκπροσώπων τους κατά τη συνεδρίαση αυτή. Στη συνεδρίαση της Αρχής την 17η.12.2019 παρέστησαν εκ μέρους του Αμερικανικού Κολλεγίου Ελλάδος οι Γρηγόριος Λαζαράκος (…), ως πληρεξούσιος δικηγόρος, Ηλιάνα Λαζανά, Αντιπρόεδρος Διοίκησης και Ανθρωπίνου Δυναμικού, και Β, Manager Γραφείου … και οι Α και Αγγελική Νεστορίδου 7 (…), ως πληρεξούσια δικηγόρος αυτού. Στη συνεδρίαση παρευρέθη και ο Γ, Υπεύθυνος Προστασίας Δεδομένων του Κολλεγίου. Κατά τη συνεδρίαση οι παριστάμενοι ζήτησαν και έλαβαν προθεσμία για την υποβολή εγγράφων υπομνημάτων ως την 13η.01.2020, τα οποία και υπέβαλαν εμπρόθεσμα, με τις από 10.01.2020 (και με αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/155/10.01.2020), όσον αφορά το Κολλέγιο και από 13.01.2020 (και με αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/231/13.01.2020), όσον αφορά τον Α, αιτήσεις τους. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου και αποχώρησε μετά από τη συζήτηση της υποθέσεως και πριν από τη διάσκεψη και τη λήψη αποφάσεως, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
5. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ακολούθως, από τις διατάξεις των άρθρων 57 παρ.1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του Α κατά του Αμερικανικού Κολλεγίου Ελλάδος για τη μη ικανοποίηση των δικαιωμάτων πρόσβασης και διαγραφής σε δεδομένα προσωπικού χαρακτήρα που τον αφορούν και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/
6. Αντίθετα, το ζήτημα της (μονομερούς) μεταβολής της από … σύμβασης εργασίας ορισμένου χρόνου, επί της οποίας φαίνεται ότι ερείδεται η διαμάχη μεταξύ Αμερικανικού Κολλεγίου Ελλάδος και Α, εκφεύγει των αρμοδιοτήτων της Αρχής.
7. Επειδή, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς (…), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους 8 σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων») (…)».
8. Επειδή, σύμφωνα με τα οριζόμενα, στη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του άρθρου
9. Όπως έχει κρίνει η Αρχή1, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό μέγεθος του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει από μόνος του και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ.
10. Επειδή, σύμφωνα με το άρθρο 8 παρ. 1 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, το άρθρο 9Α του Συντάγματος και την αιτιολογική σκέψη 4 του ΓΚΠΔ, το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο, αλλά πρέπει να εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας. Ο ΓΚΠΔ σέβεται όλα τα θεμελιώδη δικαιώματα και τηρεί τις ελευθερίες και αρχές που αναγνωρίζονται στον Χάρτη, όπως κατοχυρώνονται στις Συνθήκες, ιδίως τον σεβασμό της ιδιωτικής και οικογενειακής ζωής, της κατοικίας και των επικοινωνιών, την προστασία των δεδομένων προσωπικού χαρακτήρα, την ελευθερία σκέψης, συνείδησης και θρησκείας, την ελευθερία έκφρασης και πληροφόρησης, την επιχειρηματική ελευθερία, το δικαίωμα πραγματικής προσφυγής και αμερόληπτου δικαστηρίου και την πολιτιστική, θρησκευτική και γλωσσική πολυμορφία.
11. Επειδή, αναφορικά με το δικαίωμα πρόσβασης το άρθρο 12 του ΓΚΠΔ προβλέπει: «
12. Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. (…)».
13. Εάν 1 Βλ. απόφαση Αρχής 26/2019, σκέψη 8, διαθέσιμη στην ιστοσελίδα της. 9 ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων, χωρίς καθυστέρηση και το αργότερο εντός μηνός από την παραλαβή του αιτήματος, για τους λόγους για τους οποίους δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής.
14. Οι πληροφορίες που παρέχονται σύμφωνα με τα άρθρα 13 και 14 και κάθε ανακοίνωση καθώς και όλες οι ενέργειες που αναλαμβάνονται σύμφωνα με τα άρθρα 15 έως 22 και το άρθρο 34 παρέχονται δωρεάν. Εάν τα αιτήματα του υποκειμένου των δεδομένων είναι προδήλως αβάσιμα ή υπερβολικά, ιδίως λόγω του επαναλαμβανόμενου χαρακτήρα τους, ο υπεύθυνος επεξεργασίας μπορεί είτε: α) να επιβάλει την καταβολή εύλογου τέλους, λαμβάνοντας υπόψη τα διοικητικά έξοδα για την παροχή της ενημέρωσης ή την ανακοίνωση ή την εκτέλεση της ζητούμενης ενέργειας, ή β) να αρνηθεί να δώσει συνέχεια στο αίτημα». Ακολούθως, το άρθρο 15 του ΓΚΠΔ, ορίζει αναφορικά με το δικαίωμα πρόσβασης του υποκειμένου: «
15. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες: (…) ζ) όταν τα δεδομένα προσωπικού χαρακτήρα δεν συλλέγονται από το υποκείμενο των δεδομένων, κάθε διαθέσιμη πληροφορία σχετικά με την προέλευσή τους, (…).
16. Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. (…).
17. Το δικαίωμα να λαμβάνεται αντίγραφο που αναφέρεται στην παράγραφο 3 δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων». Τέλος, το άρθρο 33 του νόμου 4624/2019 εισάγει, δυνάμει του άρθρου 23 του ΓΚΠΔ, περιορισμούς στο δικαίωμα πρόσβασης ως ακολούθως: «
18. Εκτός των εξαιρέσεων που προβλέπονται στην παράγραφο 2 του άρθρου 29 και στην παράγραφο 2 του άρθρου 30, δεν ισχύει το δικαίωμα πρόσβασης του υποκειμένου των δεδομένων, σύμφωνα με το άρθρο 15 του ΓΚΠΔ, όταν: α) το υποκείμενο των δεδομένων δεν ενημερώνεται σύμφωνα με το στοιχείο ββ΄ των περιπτώσεων α΄ και β΄ της παραγράφου 1 του προηγούμενου άρθρου· ή β) τα δεδομένα, αα) καταγράφηκαν μόνο επειδή δεν μπορούν να διαγραφούν λόγω νομικών ή κανονιστικών διατάξεων υποχρέωσης διατήρησής τους, ή ββ) εξυπηρετούν αποκλειστικά σκοπούς προστασίας ή ελέγχου των δεδομένων, και η παροχή πληροφοριών θα απαιτούσε δυσανάλογη προσπάθεια και τα απαραίτητα τεχνικά και οργανωτικά μέτρα καθιστούν αδύνατη την επεξεργασία για άλλους σκοπούς.
19. Οι λόγοι άρνησης της παροχής πληροφοριών στο υποκείμενο των δεδομένων πρέπει να τεκμηριώνονται. Η άρνηση της παροχής πληροφοριών 10 πρέπει να αιτιολογείται στο υποκείμενο των δεδομένων, εκτός εάν μέσω της γνωστοποίησης των πραγματικών και νομικών λόγων στους οποίους βασίζεται η άρνηση θα ετίθετο σε κίνδυνο ο σκοπός που επιδιώκεται με την άρνηση παροχής των πληροφοριών. (…).
20. Το δικαίωμα ενημέρωσης του υποκειμένου των δεδομένων προσωπικού χαρακτήρα σύμφωνα με το άρθρο 15 του ΓΚΠΔ δεν ισχύει, στον βαθμό που μέσω της ενημέρωσης θα αποκαλύπτονταν πληροφορίες, οι οποίες σύμφωνα με διάταξη νόμου ή λόγω της φύσης τους, ιδίως λόγω των υπέρτερων έννομων συμφερόντων τρίτου, πρέπει να παραμείνουν απόρρητες (…)». Περαιτέρω, η Αρχή έχει κρίνει με την απόφαση 73/20102 ότι: « (…) η πληροφορία ποιος στρέφεται εναντίον του καταγγελλόμενου είναι πληροφορία που αναφέρεται στον τελευταίο και εμπεριέχεται στο δικαίωμα πρόσβασης (…).Συγκεκριμένα, το δικαίωμα γνώσης της προέλευσης των δεδομένων σημαίνει ότι ο υπεύθυνος επεξεργασίας πρέπει να γνωστοποιεί στο υποκείμενο των δεδομένων την προέλευση, δηλαδή την “πηγή” των δεδομένων του (βλ. ενδεικτικά Αποφάσεις 4/2005 και 39/2005 της Αρχής, με τις οποίες επιβλήθηκαν πρόστιμα στους υπεύθυνους επεξεργασίας, επειδή δεν ικανοποίησαν το δικαίωμα πρόσβασης, καθώς δεν απάντησαν ικανοποιητικά – ανάμεσα στα άλλα – και ως προς την πηγή των δεδομένων). Η Αρχή έχει μάλιστα κρίνει, ότι στην έννοια της “προέλευσης” μπορεί να εμπίπτουν και τρίτα φυσικά πρόσωπα, τα οποία διέθεσαν τις σχετικές πληροφορίες (βλ. ενδεικτικά Απoφάσεις 4/2003 και 43/2003 της Αρχής, όπου επισημαίνεται ότι ο καταγγελλόμενος δικαιούται να έχει πρόσβαση στο κείμενο της καταγγελίας και να γνωρίζει – εφόσον η καταγγελία είναι επώνυμη – το όνομα αυτού που τον καταγγέλλει, χωρίς να εξετάζεται το ζήτημα αν ο καταγγέλλων είναι τρίτος ή όχι). Εξάλλου η γνώση της προέλευσης των δεδομένων είναι αναγκαία προκειμένου το υποκείμενο των δεδομένων να είναι σε θέση να ασκήσει περαιτέρω δικαιώματά του (σε κάθε περίπτωση, ο καταγγελλόμενος, είτε είναι φυσικό είτε νομικό πρόσωπο, έχει κατά κανόνα και υπέρτερο έννομο συμφέρον να λάβει το πλήρες κείμενο της σε βάρος του καταγγελίας, ιδίως για να μπορεί να υπερασπισθεί τον εαυτό του αρτιότερα και να ασκήσει τα δικαιώματά του). Για παράδειγμα, μόνο μέσω της αποκάλυψης της πηγής, το υποκείμενο είναι συχνά πλέον σε θέση να αντικρούσει ισχυρισμούς, οι οποίοι ενδεχομένως έγιναν από συγκεκριμένα κίνητρα ή οι οποίοι μόνο από την οπτική του ίδιου του ισχυριζόμενου (καταγγέλλοντος) μπορούν να γίνουν κατανοητοί (…)» (σκ. 2 αποφάσεως 73/2010). Κατ’ ακολουθία των ανωτέρω, το όνομα της καταγγέλλουσας σπουδάστριας που περιλήφθηκε σε σύστημα αρχειοθέτησης και αποτέλεσε την γενεσιουργό αιτία για την διερεύνηση, εκ μέρους του Κολλεγίου, των καταγγελλομένων πράξεων εμπίπτει στην έννοια των δεδομένων προσωπικού χαρακτήρα 2 Διαθέσιμη στην ιστοσελίδα της Αρχής. 11 της προαναφερόμενης διάταξης του άρθρου 15 παρ. 1 στοιχ. ζ΄ του ΓΚΠΔ, επί των οποίων ο καταγγέλλων έχει καταρχήν δικαίωμα πρόσβασης.
21. Επειδή, από τα στοιχεία του φακέλου προκύπτει ότι, στην εξεταζόμενη υπόθεση, το Κολλέγιο, ως υπεύθυνος επεξεργασίας, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 4 στοιχ. 7 του ΓΚΠΔ, με το από … έγγραφό του ικανοποίησε καταρχήν το δικαίωμα πρόσβασης του Α, σε απάντηση της από … εξώδικης δήλωσης – αίτησής του, χορηγώντας του αντίγραφα των προσωπικών δεδομένων από το υπηρεσιακό – ατομικό φάκελο που τηρεί. Ωστόσο, όσον αφορά τη μη χορήγηση στον Α της δεύτερης καταγγελίας που υποβλήθηκε από έτερη σπουδάστρια του Κολλεγίου και του ονόματος της καταγγέλλουσας, η Αρχή κρίνει, κατά πλειοψηφία, ότι η μη ικανοποίηση του δικαιώματος πρόσβασης κατά το σκέλος αυτό, παραβιάζει τις προαναφερόμενες διατάξεις του ΓΚΠΔ και του νόμου 4624/2019, καθόσον το Κολλέγιο εξαρτά την ικανοποίηση του προαναφερόμενου δικαιώματος πρόσβασης του Α στη δεύτερη καταγγελία από την παροχή της συγκατάθεσης της καταγγέλλουσας συγκεκριμένης σπουδάστριας, κατά παράβαση του άρθρου 15 του ΓΚΠΔ, και δεν εξετάζει τη συνδρομή των προϋποθέσεων εφαρμογής των περιορισμών που εισάγονται στο δικαίωμα πρόσβασης με τη διάταξη του άρθρου 33 του νόμου 2462/
22. Εξάλλου, από τα στοιχεία του φακέλου της υπόθεσης δεν προκύπτει ότι υπήρξε κίνδυνος για τη συγκεκριμένη καταγγέλλουσα - σπουδάστρια του Κολλεγίου των ατομικών εννόμων αγαθών της ζωής και της ακεραιότητάς της, ούτε γίνεται επίκληση τέτοιου κινδύνου από το Κολλέγιο, το οποίο δεν κίνησε πειθαρχική διαδικασία σε βάρος του εργαζομένου του Α, επιπλέον δε, εξακολούθησε να του καταβάλει τον συμφωνημένο μισθό, παρά την από μέρους του καταγγέλλοντος άρνηση παροχής εργασίας μετά την μετακίνηση του σε έτερη θέση, ή από την καταγγέλλουσα, η οποία απλώς εξέφρασε απλώς επιφυλάξεις και ζήτησε τη γνώμη του Κολλεγίου. Κατά την άποψη, όμως, του μέλους της Αρχής Χαράλαμπου Ανθόπουλου, σύμφωνα με τις προαναφερόμενες διατάξεις των άρθρων 15 ΓΚΠΔ και 33 του νόμου 4624/2019, καθώς και τη διάταξη του άρθρου 25 παρ. 1 τελευταίο εδάφιο του Συντάγματος, και δοθέντος ότι η συγκεκριμένη καταγγέλλουσα - σπουδάστρια του Κολλεγίου εξέφρασε τις επιφυλάξεις της αναφορικά με τα ατομικά έννομα αγαθά της ζωής και της ακεραιότητάς της, η δίκαιη εξισορρόπηση του δικαιώματος στην προστασία των προσωπικών δεδομένων έναντι των εννόμων συμφερόντων του ήδη καταγγέλλοντος, που συνίσταται, ιδίως, στην αναγνώριση, άσκηση ή υπεράσπιση των δικαιωμάτων του ενώπιον των αρμοδίων Αρχών και Δικαστηρίων, επιβάλλει, εν προκειμένω, τη χορήγηση σ’ αυτόν του σώματος της καταγγελίας με απάλειψη των σχετικών προσδιοριστικών στοιχείων που θα μπορούσαν να οδηγήσουν στην ταυτοποίηση του υποκειμένου των δεδομένων (καταγγέλλουσα - 12 σπουδάστρια). Περαιτέρω, ουδεμία επίδραση ασκεί στην υποχρέωση του Κολλεγίου να ανταποκριθεί στο αίτημα πρόσβασης του καταγγέλλοντος ο ισχυρισμός του ότι παρέλαβε την από … εξώδικη δήλωση – αίτηση του Α το πρώτον με το υπ’ αρ. πρωτ. Γ/ΕΞ/53221/10.09.2019 έγγραφο της Αρχής, διότι «παρέπεσε» λόγω της κατάστασης υγείας του αρμοδίου εργαζομένου και τον αυξημένο φόρτο εργασίας, λόγω λήξης της διαχειριστικής χρήσης του Κολλεγίου, καθόσον η δραστηριότητα ενός εκπαιδευτικού ιδρύματος, κατά την κοινή γνώση του επιμελούς πολίτη, δεν εξαντλείται στην υπηρεσιακή κατάσταση και διαθεσιμότητα ενός εργαζομένου, οι δε κατά τον ΓΚΠΔ υποχρεώσεις δεν περιορίζονται σε περιόδους αυξημένου όγκου εργασιών του υπευθύνου επεξεργασίας. Εξάλλου, σε σχέση με την εκπλήρωση των ανωτέρω υποχρεώσεων του Κολλεγίου είναι αδιάφορο το γεγονός ότι η Αρχή δεν απάντησε στο προαναφερόμενο υπ΄ αρ. πρωτ. … αίτημά του (που έλαβε αρ. πρωτ. Γ/ΕΙΣ/368/16.01.2018), δεδομένου ότι, σύμφωνα με τη διάταξη του άρθρου 5 του νόμου 2472/19973 και τις Γνωμοδοτήσεις της 4/2009, 6/2013 και την απόφασή της 8/20194, η Αρχή δεν είχε αρμοδιότητα να επιβάλει στον υπεύθυνο επεξεργασίας τη χορήγηση σε τρίτο των αιτούμενων στοιχείων, ούτε, εν προκειμένω, είχε υποβληθεί προσφυγή στην Αρχή από το υποκείμενο των δεδομένων, δυνάμει του άρθρου 13 παρ. 2 του νόμου 2472/1997, ώστε η τελευταία να έχει αρμοδιότητα να επιληφθεί. Περαιτέρω, είναι αλυσιτελής ο ισχυρισμός του εγκαλούντος Α, που προβάλλεται με την από … (και με αρ. πρωτ. Γ/ΕΙΣ/7567/05.11.2019) αίτησή του στην Αρχή, ότι το Κολλέγιο δεν αποδεικνύει τον προδήλως αβάσιμο ή υπερβολικό χαρακτήρα του αιτήματός του, συμφώνως προς τη διάταξη του άρθρου 12 παρ. 5 εδ. β΄του ΓΚΠΔ, δεδομένου ότι το Κολλέγιο με το από … έγγραφό του προς αυτόν, καίτοι επικαλείται το προδήλως αβάσιμο, επί της ουσίας απαντά, αν και καθυστερημένα – κατά τα αμέσως προεκτεθέντα – στην από … εξώδικη δήλωση – αίτησή του. Τέλος, είναι αβάσιμος ο προβαλλόμενος επίσης με την από … αίτηση ισχυρισμός του Α περί εφαρμογής του άρθρου 55 παρ. 5 του νόμου 4624/2019, καθόσον η διάταξη του άρθρου αυτού, αφορά σε ενσωμάτωση των άρθρων 1415 της Οδηγίας 2016/680 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της απόφασης – πλαίσιο 2008/977/ΔΕΥ του Συμβουλίου, η οποία εν προκειμένω Με το άρθρο 94 του ΓΚΠΔ 2016/679 καταργήθηκε από τις 25.5.2018 η Οδηγία 95/46/ΕΚ, οπότε και τέθηκε, κατ’ εφαρμογή της διάταξης του άρθρου 99 παρ. 2, σε εφαρμογή ο ΓΚΠΔ 2016/
23. 4 Διαθέσιμες στην ιστοσελίδα της Αρχής. 3 13 δεν τυγχάνει εφαρμογής. Κατ’ ακολουθίαν των ανωτέρω, πρώτον η Αρχή κρίνει, κατά πλειοψηφία, ότι το Κολλέγιο με την από … απάντησή του στον Α ικανοποίησε το δικαίωμα πρόσβασης, μη προσηκόντως, ήτοι πλημμελώς, κατά το σκέλος που δεν χορήγησε τη δεύτερη σε βάρος του καταγγελία που υποβλήθηκε από έτερη σπουδάστρια του Κολλεγίου, συμπεριλαμβανομένου και του ονόματος αυτής, κατά παράβαση των διατάξεων των άρθρων 5 και 15 του ΓΚΠΔ και 33 του νόμου 4624/
24. Δεύτερον, η Αρχή κρίνει ομοφώνως ότι το Κολλέγιο με την από … απάντησή του στον Α ικανοποίησε κατά τα λοιπά το δικαίωμα πρόσβασης καθυστερημένα, παραβιάζοντας τις προθεσμίες που τάσσουν οι προαναφερόμενες διατάξεις των άρθρων 12 παρ. 3 και 4 του ΓΚΠΔ. Οι δυο αυτές αυτοτελείς παραβιάσεις επισύρουν, συμφώνως προς τη διάταξη του άρθρου 58 παρ. 2 στοιχ. θ΄ την επιβολή των διοικητικών προστίμων του άρθρου 83 παρ. 5 στοιχ. β΄ του ΓΚΠΔ. Περαιτέρω, η Αρχή, κατά την άσκηση της διορθωτικής της εξουσίας, κατά τρόπο ώστε να επιβληθεί, αν συντρέχει περίπτωση, το αποτελεσματικό, αναλογικό και αποτρεπτικό μέτρο κατ’ άρθρο 83 του ΓΚΠΔ, σύμφωνα και με τις Κατευθυντήριες Γραμμές «για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679» της ομάδας εργασίας του άρθρου 295, προκειμένου να επιλεγεί το πρόσφορο διορθωτικό μέτρο, συνεκτιμά, ιδίως, ότι η μη προσήκουσα – πλημμελής παραβίαση του δικαιώματος πρόσβασης συνιστούσε μεμονωμένη περίπτωση (άρθρο 83 παρ. 2 στοιχ. α΄), καθώς και ότι η εκπρόθεσμη ικανοποίηση του δικαιώματος πρόσβασης οφείλεται στην επικαλούμενη έλλειψη ανθρωπίνων πόρων την επίμαχη χρονική περίοδο (άρθρο 83 παρ. 2 στοιχ. β΄) και κρίνει ότι στη συγκριμένη περίπτωση, προσήκει για την πρώτη παραβίαση η επιβολή της διορθωτικής εξουσίας του άρθρου 58 παρ. 2 στοιχ. γ΄ του ΓΚΠΔ και για την δεύτερη παράβαση η επιβολή διοικητικού προστίμου, κατά το άρθρο 83 παρ. 5 στοιχ. β΄ του ΓΚΠΔ, ύψους 1.000 ευρώ.
25. Επειδή, περαιτέρω, αναφορικά με το δικαίωμα διαγραφής, το άρθρο 17 του ΓΚΠΔ, προβλέπει, μεταξύ άλλων: «
26. Το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, εάν ισχύει ένας από τους ακόλουθους λόγους: α) τα δεδομένα προσωπικού χαρακτήρα δεν είναι πλέον απαραίτητα σε σχέση με τους σκοπούς για τους οποίους συλλέχθηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε 5 WP 253 από 03.10.2017, διαθέσιμο στην ιστοσελίδα https://edpb.europa.eu 14 επεξεργασία, β) το υποκείμενο των δεδομένων ανακαλεί τη συγκατάθεση επί της οποίας βασίζεται η επεξεργασία σύμφωνα με το άρθρο 6 παράγραφος 1 στοιχείο α) ή το άρθρο 9 παράγραφος 2 στοιχείο α) και δεν υπάρχει άλλη νομική βάση για την επεξεργασία (…)». Ακολούθως, η διάταξη της παραγράφου 3 του ίδιου άρθρου προβλέπει παρεκκλίσεις από το δικαίωμα διαγραφής, ορίζοντας, μεταξύ άλλων: «
27. Οι παράγραφοι 1 και 2 δεν εφαρμόζονται στον βαθμό που η επεξεργασία είναι απαραίτητη: (…) β) για την τήρηση νομικής υποχρέωσης που επιβάλλει την επεξεργασία βάσει του δικαίου της Ένωσης ή του δικαίου κράτους μέλους στο οποίο υπάγεται ο υπεύθυνος επεξεργασίας ή για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο της επεξεργασίας, (…) ε) για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων». Αντίστοιχα, το άρθρο 34 του νόμου 4624/2019 εισάγει, δυνάμει του άρθρου 23 του ΓΚΠΔ περιορισμούς από το δικαίωμα διαγραφής και προβλέπει: «
28. Αν η διαγραφή σε περίπτωση μη αυτοματοποιημένης επεξεργασίας λόγω της ιδιαίτερης φύσης της αποθήκευσης δεν είναι δυνατή ή είναι δυνατή μόνο με δυσανάλογα μεγάλη προσπάθεια και το συμφέρον του υποκειμένου των δεδομένων για τη διαγραφή δεν θεωρείται σημαντικό, δεν υφίσταται το δικαίωμα του υποκειμένου και η υποχρέωση του υπεύθυνου επεξεργασίας να διαγράψει τα δεδομένα προσωπικού χαρακτήρα σύμφωνα με το άρθρο 17 παράγραφος 1 του ΓΚΠΔ, εκτός των εξαιρέσεων που αναφέρονται στο άρθρο 17 παράγραφος 3 του ΓΚΠΔ. Στην περίπτωση αυτή, η διαγραφή αντικαθίσταται από τον περιορισμό της επεξεργασίας σύμφωνα με το άρθρο 18 του ΓΚΠΔ. Τα ανωτέρω εδάφια δεν εφαρμόζονται, εάν τα δεδομένα προσωπικού χαρακτήρα έχουν υποστεί παράνομη επεξεργασία.(…)
29. Εκτός από το άρθρο 17 παράγραφος 3 στοιχείο β)του ΓΚΠΔ, η παράγραφος 1 εφαρμόζεται αναλόγως στην περίπτωση του άρθρου 17 παράγραφος 1 στοιχείο α) του ΓΚΠΔ, εάν η διαγραφή θα ερχόταν σε σύγκρουση με τις νόμιμες ή συμβατικές περιόδους διατήρησης».
30. Επειδή, στην εξεταζόμενη υπόθεση, από τα στοιχεία του φακέλου της υπόθεσης, προκύπτει ότι το Κολλέγιο, ως υπεύθυνος επεξεργασίας, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 4 στοιχ. 7 του ΓΚΠΔ, με το από … έγγραφό του ικανοποίησε καταρχήν το δικαίωμα διαγραφής του Α, σε απάντηση της από … εξώδικης δήλωσης – αίτησής του, σε δεδομένα προσωπικού χαρακτήρα που τηρεί. Η Αρχή κρίνει, συγκεκριμένα, ότι συντρέχει νόμιμη περίπτωση εξαίρεσης από το δικαίωμα διαγραφής για τη διατήρηση των προσωπικών δεδομένων του Α που αφορούν στην εργασιακή του σχέση (συμβάσεις εργασίας, έντυπα αναγγελίας πρόσληψης, εκκαθαριστικά μισθοδοσίας κλπ) και τα οποία οφείλει να τηρεί το Κολλέγιο, ως εργοδότης, προεχόντως σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 17 15 παρ. 3 στοιχ. β΄ του ΓΚΠΔ και δευτερευόντως για την τυχόν άσκηση νομικών αξιώσεων, σύμφωνα με τα οριζόμενα του άρθρου 17 παρ. 3 στοιχ. ε΄ του ΓΚΠΔ. Και ναι μεν εν προκειμένω, το Κολλέγιο, ως υπεύθυνος επεξεργασίας, παρέλειψε να θεμελιώσει τη διατήρηση των προαναφερόμενων προσωπικών δεδομένων του Α κατά παρέκκλιση του δικαιώματος διαγραφής, στην προαναφερόμενη προέχουσα νομική βάση, ως όφειλε συμφώνως προς την αρχή της λογοδοσίας που εισάγεται με το άρθρο 5 παρ. 2 του ΓΚΠΔ, η παράλειψη, όμως αυτή εν προκειμένω θεραπεύεται λόγω παράλληλης συνδρομής και επίκλησης εκ μέρους του υπευθύνου επεξεργασίας της νομικής βάσης του άρθρου 17 παρ. 3 στοιχ. ε΄ του ΓΚΠΔ. Η Αρχή, περαιτέρω, κρίνει ότι συντρέχει νόμιμη περίπτωση διατήρησης των δεδομένων των σε βάρος του Α καταγγελιών των δύο σπουδαστριών, συμφώνως προς τις διατάξεις των άρθρων 17 παρ. 3 στοιχ. ε΄ του ΓΚΠΔ και 34 παρ. 1 του νόμου 4624/2019, προς υποστήριξη νομικών αξιώσεων ιδίως λόγω του ότι οι καταγγελίες αυτές αποτέλεσαν την γενεσιουργό αιτία για τη (μονομερή) μεταβολή της από … σύμβασης εργασίας. Κατ’ ακολουθία των ανωτέρω και λαμβάνοντας υπόψη τις προαναφερόμενες διατάξεις του άρθρου 12 παρ. 3 και 4 του ΓΚΠΔ, η Αρχή κρίνει ότι το Κολλέγιο με την από … απάντησή του στον Α ικανοποίησε το δικαίωμα διαγραφής καθυστερημένα, παραβιάζοντας τις προθεσμίες που τάσσουν οι προαναφερόμενες διατάξεις των άρθρων του ΓΚΠΔ. Η παραβίαση αυτή επισύρει, συμφώνως προς τη διάταξη του άρθρου 58 παρ. 2 στοιχ. θ΄ την επιβολή των διοικητικών προστίμων του άρθρου 83 παρ. 5 στοιχ. β΄ του ΓΚΠΔ. Η Αρχή, κατά την άσκηση της διορθωτικής της εξουσίας, κατά τρόπο ώστε να επιβληθεί, αν συντρέχει περίπτωση, το αποτελεσματικό, αναλογικό και αποτρεπτικό μέτρο κατ’ άρθρο 83 του ΓΚΠΔ, σύμφωνα και με τις Κατευθυντήριες Γραμμές «για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679» της ομάδας εργασίας του άρθρου 296, προκειμένου να επιλεγεί το πρόσφορο διορθωτικό μέτρο, συνεκτιμά, ιδίως, ότι η εκπρόθεσμη παραβίαση του δικαιώματος διαγραφής συνιστούσε μεμονωμένη περίπτωση (άρθρο 83 παρ. 2 στοιχ. α΄), καθώς και ότι αυτή οφείλεται στην επικαλούμενη έλλειψη ανθρωπίνων πόρων την επίμαχη χρονική περίοδο (άρθρο 83 παρ. 2 στοιχ. β΄) και κρίνει ότι στη συγκριμένη περίπτωση, προσήκει για την παραβίαση αυτή η επιβολή διοικητικού προστίμου, κατά το άρθρο 83 παρ. 5 του ΓΚΠΔ, ύψους 1.000 ευρώ. 6 WP 253 από 03.10.2017, διαθέσιμο στην ιστοσελίδα https://edpb.europa.eu 16 ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή κρίνει ότι α) το Κολλέγιο, ως υπεύθυνος επεξεργασίας, εκπλήρωσε το δικαίωμα πρόσβασης που ασκήθηκε από τον Α πλημμελώς κατά το μέρος που αφορά την καταγγελία που υποβλήθηκε σε βάρος του από σπουδάστρια του Κολλεγίου, κατά παράβαση των διατάξεων των άρθρων 5 και 15 του ΓΚΠΔ, και δίνει εντολή στο Κολλέγιο, δυνάμει του άρθρου 58 παρ. 2 στοιχ. γ΄ του ΓΚΠΔ, να χορηγήσει στον Α την καταγγελία αυτή, συμπεριλαμβανομένου του ονόματος αυτής, β) το Κολλέγιο, ως υπεύθυνος επεξεργασίας, εκπλήρωσε κατά τα λοιπά το δικαίωμα πρόσβασης που ασκήθηκε από τον Α, καθυστερημένα , κατά παράβαση των διατάξεων των άρθρων 12 παρ. 3 και 4 του ΓΚΠΔ, και επιβάλλει, δυνάμει του άρθρου 83 παρ. 5 στοιχ. β΄ του ΓΚΠΔ διοικητικό πρόστιμο ύψους 1.000 ευρώ, γ) το Κολλέγιο, ως υπεύθυνος επεξεργασίας, εκπλήρωσε καθυστερημένα το δικαίωμα διαγραφής που ασκήθηκε από τον Α, κατά παράβαση των διατάξεων των άρθρων 12 παρ. 3 και 4 του ΓΚΠΔ και επιβάλλει, δυνάμει του άρθρου 83 παρ. 5 στοιχ. β΄ του ΓΚΠΔ διοικητικό πρόστιμο ύψους 1.000 ευρώ. Ο Πρόεδρος Κωνσταντίνος Μενουδάκος Η Γραμματέας Ειρήνη Παπαγεωργοπούλου