Καταγγελία υποκειμένου των δεδομένων κατά του 401 ΓΣΝΑ για παράνομη επεξεργασία προσωπικών δεδομένων κατά την είσοδό του στην πύλη του Νοσοκομείου

Αθήνα, 20-07-2020 ΕΛΛΗΝΙΚΗ ΔΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ ΑΠ: Γ/ΕΞ/5078/20-07-2020 ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Ταχ. Δ/νση: ΚΗΦΙΣΙΑΣ 1-3 115 23 ΑΘΗΝΑ ΤΗΛ.: 210-6475600 FAX: 210-6475628 ΑΠΟΦΑΣΗ 20/2020 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε, μετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση στην έδρα της την Τρίτη 03.03.2020 και ώρα 09:00, εξ αναβολής από την 25η.02.2020, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Σπυρίδων Βλαχόπουλος, Χαράλαμπος Ανθόπουλος, Κωνσταντίνος Λαμπρινουδάκης και Ελένη Μαρτσούκου. Στη συνεδρίαση παρέστη, ακόμα, με εντολή του Προέδρου, ο Γρηγόριος Τσόλιας, αναπληρωματικό μέλος της Αρχής, ως εισηγητής. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν η Χαρίκλεια Λάτσιου, νομικός ελεγκτής - δικηγόρος, ως βοηθός εισηγητή και η Γεωργία Παλαιολόγου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Με την από … (και με αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/4278/18.06.2019) καταγγελία η Α καταγγέλλει παραβίαση της νομοθεσίας περί προσωπικών δεδομένων, καθώς κατά την είσοδό της στην πύλη του 401 Γενικού Στρατιωτικού Νοσοκομείου Αθηνών (εφεξής «401 2 ΓΣΝΑ») της ζητήθηκε να επιδείξει την ταυτότητα μέλους οικογενείας ε.α. στρατιωτικού, παρακρατήθηκε το δελτίο της αστυνομικής της ταυτότητας μέχρι την έξοδό της από το χώρο του Νοσοκομείου και, τέλος, καταγράφηκαν χωρίς τη συγκατάθεσή της σε ημερήσιο δελτίο στοιχεία της αστυνομικής της ταυτότητας. Η Αρχή, κατά την εξέταση της ανωτέρω καταγγελίας, με τα υπ’ αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΞ/4278-1/01.07.2019, Γ/ΕΞ/4178-2/17.07.2019 και Γ/ΕΞ/2478-3/27.09.2019 έγγραφα, οριοθετώντας την αρμοδιότητά της, υπογράμμισε ότι έχει αρμοδιότητα να επιληφθεί για την επεξεργασία δεδομένων προσωπικού χαρακτήρα, δηλ. των στοιχείων της αστυνομικής ταυτότητας, που – σύμφωνα με την καταγγελία – καταχωρίζονται από το Νοσοκομείο σε ημερήσιο δελτίο, ως τμήμα συστήματος αρχειοθέτησης, και κάλεσε το 401 ΓΣΝΑ να παράσχει συγκεκριμένες εξηγήσεις. Σε απάντηση των ανωτέρω εγγράφων της Αρχής, το 401 ΓΣΝΑ με τα υπ’ αρ. πρωτ. …, … και … έγγραφα (υπ’ αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/4880/11.07.2019, Γ/ΕΙΣ/6099/09.09.2019, Γ/ΕΙΣ/7034/16.10.2019, αντίστοιχα), διευκρίνισε, μεταξύ άλλων, ότι κατά την είσοδο στο Νοσοκομείο καταχωρίζονται, με βάση τη στρατιωτική νομοθεσία, σε ημερήσιο δελτίο οι ακόλουθες πληροφορίες: 1) ονοματεπώνυμο, 2) αριθμός ταυτότητας, 3) γραφείο ή χώρος επίσκεψης, 4) σκοπός επίσκεψης και 5) ώρα εισόδου – εξόδου, οι οποίες τηρούνται για μια δεκαετία. Επιπλέον, κατά τους ισχυρισμούς του 401 ΓΣΝΑ, οι ανωτέρω πληροφορίες συνιστούν απλά δεδομένα προσωπικού χαρακτήρα και δεν εμπίπτουν σε οποιαδήποτε ειδική κατηγορία, δεδομένου ότι δεν σημειώνεται η ιδιότητα της επίσκεψης, αν δηλαδή πρόκειται για ασθενή και το συναφές πρόβλημα υγείας, καταχωρίζεται δε μόνο ό,τι ρητώς απαιτείται και είναι απολύτως αναγκαίο σύμφωνα με τα διαλαμβανόμενα σε σχετικούς κανονισμούς – διαταγές για την ασφάλεια των στρατιωτικών εγκαταστάσεων. Ακόμα, το 401 ΓΣΝΑ επικαλούμενο το άρθρο 10 του νόμου 4624/2019 υποστηρίζει ότι : «(…) φρονούμε πως δεν έχετε αρμοδιότητα για ζητήματα σχετιζόμενα με την εθνική ασφάλεια. Επιπροσθέτως, σας αναφέρεται ότι, το 401 ΓΣΝΑ είναι Οργανικός Σχηματισμός του ΓΕΣ, υπαγόμενος με σχέση Διοικητικής Διοίκησης και ως απόρροια αυτού υποχρεούται να συμμορφώνεται με τα διαλαμβανόμενα στους στρατιωτικούς κανονισμούς. Συνεπεία αυτού διαπιστώνεται ότι ο Στρατιωτικός Κανονισμός (…) και οι συναφείς διαβαθμισμένες διαταγές (…) που καθορίζουν το πώς διενεργείται ο έλεγχος για την είσοδο και την έξοδο σε στρατιωτικές εγκαταστάσεις, αποτελούν τη νομική βάση επεξεργασίας των προσωπικών δεδομένων». Τέλος, αναφορικά με τη συμμόρφωση προς την υποχρέωση ορισμού Υπευθύνου Προστασίας Δεδομένων (εφεξής ΥΠΔ), το 401 ΓΝΣΑ σημειώνει: «όπως προκύπτει από το (…) σχετικό, συστάθηκε γραφείο Υπευθύνου Προστασίας 3 Δεδομένων στο Γενικό Επιτελείο Εθνικής Άμυνας και έχει αρμοδιότητα επί θεμάτων προστασίας προσωπικών δεδομένων τόσο στα Γενικά Επιτελεία, όσο και στις υπαγόμενες σε αυτά Μονάδες – Υπηρεσίες, συνεπώς και στο 401 ΓΣΝΑ». Ακολούθως, η Αρχή με τα υπ’. αρ. πρωτ. Γ/ΕΞ/4278-6/07.11.2019 (σε συνέχεια του Γ/ΕΞ/4278-4/01.11.2019 εγγράφου) και Γ/ΕΞ/4278-7/07.11.2019 (σε συνέχεια του Γ/ΕΞ/4278-5/01.11.2019 εγγράφου) έγγραφα κάλεσε το 401 ΓΣΝΑ, όπως νομίμως εκπροσωπείται, και την Α, αντίστοιχα, όπως παρουσιαστούν σε συνεδρίαση της Ολομελείας της Αρχής την Παρασκευή 15.11.2019 και ώρα 11:00 προκειμένου να συζητηθεί η προαναφερόμενη καταγγελία της Α. Στη συνεδρίαση της Αρχής την 15η.11.2019 παρέστη το 401 ΓΣΝΑ, δια της Β, …, ενώ η Α με τις από … και … αιτήσεις (υπ’ αρ. πρωτ. Γ/ΕΙΣ/7710/08.11.2019 και Γ/ΕΙΣ/7750/11.11.2019, αντίστοιχα, έγγραφα) υπέβαλε αίτημα αναβολής. Κατόπιν τούτου, η Αρχή όρισε νέα ημερομηνία συζήτησης της υπόθεσης την 03η.12.2019 και ώρα 10:30, την οποία ανακοίνωσε στους εκπροσώπους του 401 ΓΣΝΑ που ήταν παρόντες κατά τη συνεδρίαση αυτή της 15ης.11.2019, ενώ η Α ενημερώθηκε με το υπ’ αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΞ/4278-8/15.11.2019 έγγραφο. Στη συνεδρίαση της Αρχής την 03η.12.2019 παρέστη το 401 ΓΣΝΑ, δια του Υποστράτηγου Κωνσταντίνου Καρλιαύτη, Διοικητή, Γ, Διευθυντή … Γραφείου και Β, … και η καταγγέλλουσα Α. Στη συνεδρίαση αυτή παρευρέθη και η Δ…, Υπεύθυνη Προστασίας Δεδομένων του Γενικού Επιτελείου Εθνικής Άμυνας. Με το πέρας της συνεδρίασης οι παριστάμενοι ζήτησαν και έλαβαν προθεσμία για την υποβολή εγγράφου υπομνήματος, αφενός το 401 ΓΣΝΑ έως την 08η.01.2020 και αφετέρου η Α (η οποία ζήτησε να λάβει αντίγραφο του υπομνήματος του 401 ΓΣΝΑ πριν υποβάλει το δικό της) έως την 15η.01.

1. Το 401 ΓΣΝΑ υπέβαλε εμπρόθεσμα υπόμνημα στην Αρχή με το υπ’ αρ. πρωτ. … (και με αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/92/08.01.2020) έγγραφό του, ενώ αντίθετα η Α, δεν αιτήθηκε εντός της ταχθείσας προθεσμίας τη λήψη αντιγράφου του σχετικού υπομνήματος του 401 ΓΣΝΑ, ούτε υπέβαλε εντός προθεσμίας σχετικό υπόμνημα. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου και αποχώρησε μετά από τη συζήτηση της υποθέσεως και πριν από τη διάσκεψη και τη λήψη αποφάσεως, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
2. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού 4 Προστασίας Δεδομένων 2016/679 (εφεξής «ΓΚΠΔ») και του άρθρου 9 ν. 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Προκειμένου, ωστόσο, να επιληφθεί η Αρχή της καταγγελίας της Α κατά του 401 ΓΣΝΑ, δυνάμει των άρθρων 57 παρ. 1 στοιχ. στ΄ ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ ν. 4624/2019, και να ασκήσει αντίστοιχα τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 ΓΚΠΔ και 15 ν. 4624/2019 πρέπει, προηγουμένως, να εξετασθεί ο ισχυρισμός του 401 ΓΣΝΑ, το οποίο, επικαλούμενο το άρθρο 10 παρ. 5 του ν. 4624/2019, υποστηρίζει ότι η Αρχή δεν έχει αρμοδιότητα να εξετάσει την παραπάνω καταγγελία διότι αναφέρεται σε ζητήματα σχετιζόμενα με την εθνική ασφάλεια της χώρας.
3. Σύμφωνα με την αιτιολογική σκέψη 16 του ΓΚΠΔ ο Κανονισμός αυτός δεν εφαρμόζεται σε ζητήματα προστασίας θεμελιωδών δικαιωμάτων και ελευθεριών ή στην ελεύθερη κυκλοφορία δραστηριότητες δεδομένων προσωπικού χαρακτήρα που σχετίζονται με μη υπαγόμενες στο πεδίο εφαρμογής του ενωσιακού δικαίου, όπως δραστηριότητες που αφορούν την εθνική ασφάλεια. Στις δε διατάξεις του άρθρου 2, που αφορούν το ουσιαστικό πεδίο εφαρμογής του, προβλέπεται ότι ο ΓΚΠΔ δεν εφαρμόζεται «στο πλαίσιο δραστηριότητας η οποία δεν εμπίπτει στο πεδίο εφαρμογής του δικαίου της Ένωσης» (παρ. 2 στοιχ. α΄) και «από αρμόδιες αρχές για τους σκοπούς της πρόληψης, της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, συμπεριλαμβανομένης της προστασίας και πρόληψης έναντι κινδύνων που απειλούν τη δημόσια ασφάλεια» (παρ. 2 στοιχ. δ΄). Περαιτέρω, στο άρθρο 23 ΓΚΠΔ προβλέπεται η δυνατότητα θέσπισης μέσω νομοθετικού μέτρου περιορισμών στα δικαιώματα στις υποχρεώσεις και τα δικαιώματα των άρθρων 12 – 22 και στα άρθρα 34 και 5, όταν οι περιορισμοί αυτοί σέβονται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών και συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση, μεταξύ άλλων, της ασφάλειας του κράτους (στοιχ. α΄), της δημόσιας ασφάλειας (στοιχ. γ΄) και της πρόληψης, της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, περιλαμβανομένης της προστασίας από απειλές κατά της δημόσιας ασφάλειας και της πρόληψης αυτών (στοιχ. δ΄). Τέλος, στο άρθρο 45 παρ. 2 ΓΚΠΔ αναφορικά με τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα ή διεθνή οργανισμό ορίζεται ότι κατά την εκτίμηση της επάρκειας του επιπέδου προστασίας, η Επιτροπή λαμβάνει υπόψη, ιδίως, τα ακόλουθα στοιχεία: «το κράτος δικαίου, τον σεβασμό των ανθρώπινων δικαιωμάτων και των 5 θεμελιωδών ελευθεριών, τη σχετική νομοθεσία, τόσο τη γενική όσο και την τομεακή, μεταξύ άλλων όσον αφορά τη δημόσια ασφάλεια, την άμυνα, την εθνική ασφάλεια και το ποινικό δίκαιο και την πρόσβαση των δημόσιων αρχών σε δεδομένα προσωπικού χαρακτήρα, καθώς και την εφαρμογή αυτής της νομοθεσίας (…)» (στοιχ. α’). Από τις ανωτέρω διατάξεις προκύπτει ότι η έννοια της εθνικής ασφάλειας συναντάται στο άρθρο 45 του ΓΚΠΔ που αφορά στις διαβιβάσεις βάσει απόφασης επάρκειας (και στις αιτ. σκ. 16- πεδίο εφαρμογής και 104 – διαβιβάσεις), ενώ κυρίως γίνεται αναφορά στην έννοια της δημόσιας ασφάλειας (άρθρα 2, 23 και 45 και αιτ. σκ. 19, 50, 73, 104) και ασφάλειας του κράτους (άρθρο 23). Ο ν. 4624/2019, καθορίζοντας την αρμοδιότητα της Αρχής, προβλέπει στο άρθρο 10 παρ. 5: «Η Αρχή δεν είναι αρμόδια να ελέγχει πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα που διενεργούνται από τις δικαστικές και εισαγγελικές αρχές στο πλαίσιο της δικαστικής λειτουργίας και των δικαστικών τους καθηκόντων, καθώς και πράξεις επεξεργασίας διαβαθμισμένων δεδομένων προσωπικού χαρακτήρα που διενεργούνται για τις δραστηριότητες που αφορούν την εθνική ασφάλεια». Σύμφωνα με την αιτιολογική έκθεση του νόμου, το άρθρο 10 καθορίζει την αρμοδιότητα της Αρχής σε συμμόρφωση με το άρθρο 55 ΓΚΠΔ. Το άρθρο 55 ΓΚΠΔ προβλέπει περιορισμό, μόνον όσον αφορά πράξεις επεξεργασίας που διενεργούνται από δικαστήρια στο πλαίσιο της δικαιοδοτικής τους αρμοδιότητας (παρ. 3), δηλ. ως προς την πρώτη περίπτωση που προβλέπεται στην παράγραφο 5 του άρθρου
4. Αξίζει να σημειωθεί ακόμα ότι, σύμφωνα με την ίδια αιτιολογική έκθεση, με την παράγραφο 4 του άρθρου 10 η Αρχή ασκεί τις αντίστοιχες εποπτικές αρμοδιότητες που προβλέπονται από ειδικές διατάξεις του διεθνούς και ενωσιακού δικαίου και αφορούν σε επεξεργασία δεδομένων προσωπικού χαρακτήρα
5. Ως τέτοιες νοούνται, βάσει της αιτιολογικής έκθεσης, μεταξύ άλλων, οι διατάξεις που ρυθμίζουν το Σύστημα Πληροφοριών Σένγκεν, το Σύστημα Πληροφοριών Ευρωπόλ, το Σύστημα Πληροφοριών Eurodac και η Σύμβαση για τη χρήση της πληροφορικής στον τελωνειακό τομέα. Από τη συστηματική ερμηνεία των διατάξεων των παραγράφων 4 και 5 του νόμου 4624/2019 προκύπτει ότι ο νομοθέτης δεν εξαιρεί εν γένει τα ζητήματα εθνικής ασφάλειας από την αρμοδιότητα της Αρχής, καθώς όπου από διεθνείς και διακρατικές συμβάσεις προβλέπεται ρητά αρμοδιότητα της Αρχής, η τελευταία διατηρεί τη σχετική αρμοδιότητα.
6. Κατόπιν τούτων, λαμβάνοντας υπόψη και την προρρηθείσα αιτιολογική σκέψη 16 Το άρθρο 10 παρ. 4 ορίζει: «Στις περιπτώσεις που σε διεθνείς ή διακρατικές συμβάσεις ή στο δίκαιο της Ευρωπαϊκής Ένωσης ή στην εθνική νομοθεσία προβλέπεται ανεξάρτητος έλεγχος ή εποπτεία η Αρχή ασκεί τις αντίστοιχες αρμοδιότητες και εξουσίες». 1 6 του ΓΚΠΔ 2016/679, η Αρχή κρίνει ότι ένας σχετικός περιορισμός της άσκησης των αρμοδιοτήτων της μέσω του εφαρμοστικού νόμου για λόγους εθνικής ασφάλειας δεν έρχεται, καταρχήν, σε αντίθεση με τον ΓΚΠΔ. Περαιτέρω, από τη διατύπωση της προαναφερόμενης διάταξης της παραγράφου 5 του άρθρου 10 του νόμου 4624/2019 προκύπτει ότι η Αρχή δεν έχει αρμοδιότητα ελέγχου των πράξεων επεξεργασίας που διενεργούνται για δραστηριότητες που αφορούν την εθνική ασφάλεια εφόσον συντρέχουν σωρευτικά οι ακόλουθες δυο προϋποθέσεις: α) πρόκειται για πράξεις επεξεργασίας διαβαθμισμένων δεδομένων προσωπικού χαρακτήρα, και ορθότερα, πληροφοριών καταχωρημένων σε συστήματα αρχειοθέτησης που έχουν αρμοδίως διαβαθμισθεί και οι οποίες συνιστούν δεδομένα προσωπικού χαρακτήρα και β) πρόκειται για πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα που διενεργούνται για δραστηριότητες που αφορούν την εθνική ασφάλεια. Από τα έγγραφα του φακέλου, την ακρόαση και το μετ’ ακρόαση υπόμνημα του 401 ΓΣΝΑ δεν προέκυψε ότι το ημερήσιο δελτίο, ως τμήμα συστήματος αρχειοθέτησης καθώς και τα δεδομένα προσωπικού χαρακτήρα που καταχωρίζονται στο ανωτέρω ημερήσιο δελτίο και τα οποία συλλέγονται από τα υποκείμενα κατά την είσοδο τους στο 401 ΓΣΝΑ, (ήτοι το ονοματεπώνυμο, ο αριθμός ταυτότητας, το γραφείο ή ο χώρος επίσκεψης, ο σκοπός επίσκεψης και η ώρα εισόδου – εξόδου), έχουν αρμοδίως χαρακτηρισθεί ως διαβαθμισμένα έγγραφα και πληροφορίες σύμφωνα με τον Εθνικό Κανονισμό Ασφαλείας (ΕΚΑ)/2018/ΓΕΕΘΑ/Ε’ΚΛ/Ε3 που κυρώθηκε με την Απόφαση του Υπουργού Εθνικής Άμυνας φ.120/01/510313/Σ.94/01-01-18/ΓΕΕΘΑ/Ε’ΚΛ/Ε3 (ΦΕΚ Β’683/27-02-2018). Ως εκ τούτου η Αρχή κρίνει ότι στην προκειμένη περίπτωση δεν αποδείχθηκε ότι συντρέχει η πρώτη προϋπόθεση εφαρμογής του άρθρου 10 παρ. 5 ν. 4624/2019 και επομένως είναι αρμόδια να ασκήσει τις αρμοδιότητες της, απορριπτομένου ως αβάσιμου του σχετικού ισχυρισμού-ένστασης του 401 ΓΣΝΑ. Ακόμη όμως και εάν συνέτρεχε η πρώτη προϋπόθεση, θα έπρεπε να αποδειχθεί, περαιτέρω, ότι συντρέχει και η δεύτερη προϋπόθεση εφαρμογής του άρθρου 10 παρ. 5 ν. 4624/2019, ήτοι ότι η εν λόγω επεξεργασία διαβαθμισμένων πληροφοριών που αποδίδονται σε φυσικό πρόσωπο (δεδομένα προσωπικού χαρακτήρα) διενεργείται για δραστηριότητες που αφορούν την εθνική ασφάλεια. H «εθνική ασφάλεια» συνιστά αόριστη νομική έννοια, η οποία πρέπει, με βάση τα δεδομένα που συντρέχουν σε κάθε περίπτωση, να ερμηνεύεται, προσδιορίζεται και 7 τεκμηριώνεται ad hoc2 από τον υπεύθυνο επεξεργασίας. Συνεπώς, δεν αρκεί η αόριστη και γενική επίκληση της συνδρομής της εθνικής ασφάλειας για τον αποκλεισμό της Αρχής από την άσκηση των αρμοδιοτήτων της, αλλά απαιτείται στη συγκεκριμένη περίπτωση τεκμηρίωση ότι η επεξεργασία διενεργείται για δραστηριότητα που αφορά την εθνική ασφάλεια της Ελλάδας, εκτός αν είναι πρόδηλη η συνδρομή της εννοίας αυτής (π.χ. αμιγώς στρατιωτικές εγκαταστάσεις με πολεμικό υλικό, μη προσβάσιμες στο κοινό). Η Αρχή μάλιστα με την Γνωμοδότηση υπ’ άρ. 01/20203 έκρινε αναφορικά με τη διάταξη του άρθρου 10 παρ. 5 του νόμου 4624/2019 ότι : «Λόγω της γενικότητας της διάταξης, κατά την οποία εξαιρούνται του ελέγχου της Αρχής οι πράξεις επεξεργασίας διαβαθμισμένων δεδομένων προσωπικού χαρακτήρα που διενεργούνται για τις δραστηριότητες που αφορούν την εθνική ασφάλεια, ανακύπτουν δυσχέρειες στον χαρακτηρισμό των πράξεων αυτών. Ενόψει αυτού, είναι σκόπιμο να προστεθεί στην παρ. 5 η εξής διάταξη: «Οι αρχές που επεξεργάζονται διαβαθμισμένα δεδομένα προσωπικού χαρακτήρα στο πλαίσιο δραστηριοτήτων εθνικής ασφάλειας, ενημερώνουν και συνεργάζονται με την Αρχή για την τήρηση της νομοθεσίας περί προστασίας προσωπικών δεδομένων και ιδίως τη λήψη και την τήρηση των αναγκαίων γενικών μέτρων ασφαλείας». Σύμφωνα με το άρθρο 1 του ν. 2292/1995 «Οργάνωση και Λειτουργία Υπουργείου Εθνικής Άμυνας, διοίκηση και έλεγχος των ενόπλων δυνάμεων και άλλες διατάξεις» (ΦΕΚ Α΄ 35/15-02-1995), στο οποίο προσδιορίζεται η αποστολή των Ενόπλων Δυνάμεων, «Η Εθνική Άμυνα περιλαμβάνει το σύνολο των λειτουργιών και δραστηριοτήτων, που αναπτύσσονται από το Κράτος, με σκοπό την προστασία της εδαφικής ακεραιότητας, της εθνικής ανεξαρτησίας και κυριαρχίας και της ασφάλειας των πολιτών εναντίον οποιασδήποτε εξωτερικής επίθεσης ή απειλής, καθώς και την υποστήριξη των εθνικών συμφερόντων». Εξάλλου, στα έγγραφα που απεστάλησαν στην Αρχή από το 401 ΓΣΝΑ κατά την προδικασία της παρούσας υπόθεσης γίνεται αναφορά στη στρατιωτική νομοθεσία, στην οποία περιέχονται οι αρχές και η οργάνωση της στρατιωτικής ασφάλειας που περιλαμβάνουν τη θέσπιση συγκεκριμένης διαδικασίας εισόδου σε στρατιωτικές εγκαταστάσεις, ως μέτρο ασφαλείας των στρατιωτικών Μονάδων (ΑΠΔΠΧ αρ. πρωτ. 7034/16-10-2019). Επιπλέον δε, το 401 ΓΣΝΑ υποστήριξε με το μετ’ ακρόαση υπόμνημά Για την έννοια της εθνικής ασφάλειας βλ. σχετικά Γρ. Τσόλια, Ειδικοί Ποινικοί Νόμοι, Απόρρητο Ηλεκτρονικών Επικοινωνιών, τ. ΙΙ, σελ. 13 επ., 2η ενημ. (Ιούνιος 2013), εκδόσεις Σάκκουλας, με τις εκεί παραπομπές στη σχετική βιβλιογραφία και τις επιφυλάξεις ως προς τη δυνατότητα καταχρηστικής προσφυγής και επίκλησης της εθνικής ασφάλειας ως λόγου άρσης του απορρήτου των επικοινωνιών, λόγου περιορισμού του δικαιώματος στην πληροφόρηση κατ’ άρ. 5 Α παρ. 1 Σ. και λόγου αναστολής συνταγματικών διατάξεων κατ’ αρ. 48Σ. 3 Διαθέσιμη στην ιστοσελίδα της Αρχής. 2 8 του (ΑΠΔΠΧ αρ. πρωτ. 92/08-01-2020) ότι: «[…] η ελευθερία που εναπόκειται στους αρμόδιους για την εθνική ασφάλεια της χώρας φορείς, να προβαίνουν στη θέσπιση συγκεκριμένων μέτρων ασφαλείας χωρίς τη διαμεσολάβηση ή τον έλεγχο από υπερκείμενες Αρχές είναι σύννομη, σύμφωνη και εναρμονισμένη με τη νέα διάταξη του Ν. 4624/2019, η οποία ήρθε να κατοχυρώσει αυτήν ακριβώς την ανεξαρτησία και την πρωτοβουλία δράσης ως προς τη διαχείριση ζητημάτων ασφαλείας και εν προκειμένω και την είσοδο σε στρατιωτικές εγκαταστάσεις…παρ. 5 του άρθρου 10 του νόμου 4624/2019 (…) Από τη γλωσσική εκφορά της ανωτέρω διάταξης σε συνδυασμό με την υπό κρίση εξεταζόμενη περίπτωση (την καταγραφή δηλαδή των προσωπικών δεδομένων κατά την είσοδο σε στρατιωτική εγκατάσταση) συνάγεται ότι ο καθορισμός του επιπέδου των μέτρων ασφαλείας και συνακόλουθα η παρακράτηση της ταυτότητας και η καταγραφή των στοιχείων όλων των επισκεπτών του 401/ΓΣΝΑ δεν μπορεί να υπόκειται στον έλεγχο της Αρχής. Σημειωτέον ότι η εν λόγω διάταξη είναι συνεπής και ακόλουθη με το πνεύμα του Κανονισμού ΕΕ 2016/679 ο οποίος στην παράγραφο 1β του άρθρου 23 δίδει ευρύ περιθώριο δράσης στον εθνικό νομοθέτη αναφορικά με τον περιορισμό των δικαιωμάτων του υποκειμένου των δεδομένων ως αναγκαίο και αναλογικό μέτρο για τη διασφάλιση της εθνικής άμυνας της χώρας. Από τα ανωτέρω προκύπτει ότι το 401 ΓΣΝΑ δεν επικαλέσθηκε πραγματικά περιστατικά, ούτε προσκόμισε σχετικά αποδεικτικά μέσα από τα οποία να προκύπτει ότι η καταγραφή στο ημερήσιο δελτίο των δεδομένων προσωπικού χαρακτήρα των εισερχομένων υποκειμένων στις νοσοκομειακές εγκαταστάσεις του για την παροχή υπηρεσιών υγείας συνιστά κατ’ άρθρο 10 παρ. 5 ν. 4624/2019 «δραστηριότητα που αφορά την εθνική ασφάλεια», υποστήριξε δε ότι τα ληφθέντα μέτρα αφορούν την στρατιωτική ασφάλεια των εγκαταστάσεων επικαλούμενη τη σχετική νομοθεσία στην οποία πάντως δεν γίνεται λόγος για εθνική ασφάλεια. Ειδικότερα, στην Υπουργική Απόφαση υπ’ αρ. Υ4α/137327 των Υπουργών Εθνικής Άμυνας και Υγείας-Κοινωνικής Αλληλεγγύης (ΦΕΚ Β΄ 1757/09.11.2010) που αφορά στο «Πλαίσιο συνεργασίας των Νοσοκομείων και Κέντρων Υγείας του ΕΣΥ με τα Στρατιωτικά Νοσοκομεία και τις Υγειονομικές Υπηρεσίες των Ενόπλων Δυνάμεων» προβλέπεται η δυνατότητα στους πολίτες της χώρας να εισέρχονται για τη λήψη παροχής υπηρεσιών υγείας4 στα στρατιωτικά νοσοκομεία της Αθήνας και της «3…Όλοι οι πολίτες αποκτούν πρόσβαση στα Στρατιωτικά Νοσοκομεία της Αθήνας και της Θεσσαλονίκης …με σκοπό την εξυπηρέτηση των υγειονομικών αναγκών του πληθυσμού της χώρας….εξυπηρετούνται ασθενείς που διακομίζονται μέσω του ΕΚΑΒ κατά τις εργάσιμες ώρες…Το δικαίωμα πρόσβασης των πολιτών παρέχεται και στα εργαστήρια καθώς και στα ειδικά ιατρεία των ανωτέρω Στρατιωτικών Νοσοκομείων…με την δυνατότητα διεξαγωγής εξειδικευμένων εξετάσεων για κάθε πολίτη είτε μέσω παραπομπής από Νοσοκομεία του ΕΣΥ στα οποία νοσηλεύεται ο ασθενής είτε και με απευθείας ραντεβού. Για την καλύτερη εξυπηρέτηση των πολιτών αναρτάται στο διαδίκτυο ενδεικτικός πίνακας ειδικών εξετάσεων που μπορούν να πραγματοποιούνται 4 9 Θεσσαλονίκης, μεταξύ αυτών και στο 401 ΓΣΝΑ, καθώς και η δυνατότητα διακομιδής των ασθενών στα νοσοκομεία αυτά μέσω του ΕΚΑΒ ή απευθείας τηλεφωνικού ραντεβού, χωρίς να ορίζεται ότι οι πολίτες δεσμεύονται από οποιουδήποτε είδους απόρρητο ή εμπιστευτικότητα διαβαθμισμένων πληροφοριών προκειμένου να μην αποκαλύψουν σε οποιονδήποτε τρίτο το γεγονός της εισόδου και διαμονής τους για λόγους νοσηλείας ή συνοδείας ή επίσκεψης ασθενών, όπως αντίθετα προβλέπεται σε άλλες περιπτώσεις (πρβλ. άρθρο 35 ν. 3978/2011 ΦΕΚ Α’ 137/16-6-2011 «Συμβάσεις Έργων Προμηθειών Άμυνας και Ασφάλειας» με το οποίο ενσωματώθηκε το άρθρο 22 της Οδηγίας 2009/81/ΕΚ). Η σημασία για το εξεταζόμενο ζήτημα της έλλειψης υποχρέωσης τήρησης εμπιστευτικότητας ή απορρήτου για λόγους εθνικής ασφάλειας από τους εισερχομένους στα νοσοκομεία, υποκείμενα των προσωπικών δεδομένων, επιβεβαιώνεται και από τη θέση του 401 ΓΣΝΑ (ΑΠΔΠΧ αρ. πρωτ. 7034/16-10-2019) ότι σύμφωνα με τον Εθνικό Κανονισμό Ασφαλείας προβλέπονται, μεταξύ άλλων, και ο βαθμός ασφαλείας που αποδίδεται σε ορισμένη πληροφορία και που είναι ανάλογος του κινδύνου που ενέχει για την εθνική ασφάλεια, η κοινοποίησή του σε αναρμόδια πρόσωπα. Ο ισχυρισμός του 401 ΓΣΝΑ κατά την ακροαματική διαδικασία ότι το ίδιο μόνον, χωρίς τη διαμεσολάβηση ή τον έλεγχο της Αρχής, έχει την απόλυτη ελευθερία να επιλέξει και να θεσπίσει τα μέτρα ασφαλείας αλλά και να καθορίσει το επίπεδο αυτών σε σχέση με τους εισερχόμενους στις εγκαταστάσεις του, αν και βάσιμος, δεν είναι κρίσιμος για το εν προκειμένω εξεταζόμενο ζήτημα της ελεγκτικής αρμοδιότητάς ή μη της Αρχής. Η Αρχή δεν έχει οποιουδήποτε είδους αρμοδιότητα επί των μέτρων φυσικής ασφαλείας του 401 ΓΣΝΑ, τα οποία το τελευταίο επιλέγει και εφαρμόζει, στο μέτρο όμως που μια επεξεργασία δεν διενεργείται για δραστηριότητα που αφορά την εθνική ασφάλεια, αρμοδίως ασκεί την ελεγκτική της αρμοδιότητα για να κρίνει την νομιμότητα επεξεργασίας και τα περαιτέρω σχετικά ζητήματα π.χ. εάν ο υπεύθυνος επεξεργασίας έχει λάβει τα αναγκαία τεχνικά και οργανωτικά μέτρα ασφαλείας σύμφωνα με τα άρθρα 5 παρ. 1, 24 και 32 ΓΚΠΔ. Για τους ανωτέρω λόγους η Αρχή κρίνει ότι δεν συντρέχει καμία από τις προϋποθέσεις των διατάξεων του άρθρου 10 παρ. 5 ν. 4624/2019 και, συνεπώς, είναι απορριπτέο το αίτημα-ένσταση περί αναρμοδιότητας της Αρχής να επιληφθεί επί της καταγγελίας της Α κατά του 401 ΓΣΝΑ για λόγους εθνικής ασφάλειας.
7. Επειδή, το άρθρο 5 ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο στα εν λόγω Νοσοκομεία καθώς και τα τηλέφωνα επικοινωνίας με τα αντίστοιχα εργαστήρια». 10 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς (…), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των
8. Επειδή, το άρθρο 6 παρ. 1 ΓΚΠΔ προβλέπει, μεταξύ άλλων, ότι: «Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, (…) ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας». Το άρθρο 9 παρ. 1 ΓΚΠΔ εισάγει, καταρχήν, απαγόρευση επεξεργασίας πληροφοριών που εμπίπτουν σε ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, δηλ. δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή τη συμμετοχή σε συνδικαλιστική οργάνωση, καθώς και των γενετικών δεδομένων, βιομετρικών δεδομένων με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου, δεδομένων που αφορούν την υγεία ή δεδομένων που αφορούν τη σεξουαλική ζωή φυσικού προσώπου ή τον γενετήσιο προσανατολισμό. Ακολούθως, η παράγραφος 2 του ίδιου άρθρου ορίζει ότι: «Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις: α) το υποκείμενο των δεδομένων έχει παράσχει ρητή συγκατάθεση για την επεξεργασία αυτών των δεδομένων προσωπικού χαρακτήρα για έναν ή περισσότερους συγκεκριμένους σκοπούς, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους προβλέπει ότι η απαγόρευση που αναφέρεται στην παράγραφο 1 δεν μπορεί να αρθεί από το υποκείμενο των δεδομένων (…) ζ) η επεξεργασία είναι απαραίτητη για λόγους ουσιαστικού δημόσιου συμφέροντος, βάσει του δικαίου της Ένωσης ή κράτους μέλους, το οποίο είναι ανάλογο προς τον επιδιωκόμενο στόχο, σέβεται την ουσία του δικαιώματος στην προστασία των δεδομένων και προβλέπει κατάλληλα και συγκεκριμένα μέτρα για τη διασφάλιση των θεμελιωδών δικαιωμάτων και των συμφερόντων του υποκειμένου των δεδομένων (…)».
9. Επειδή, στην εξεταζόμενη υπόθεση, από τα στοιχεία του φακέλου της υπόθεσης, προκύπτει ότι το 401 ΓΣΝΑ συλλέγει και τηρεί για μία δεκαετία σε ημερήσιο δελτίο το 11 ονοματεπώνυμο, τον αριθμό ταυτότητας, το γραφείο ή το χώρο επίσκεψης, το σκοπό επίσκεψης και την ώρα εισόδου – εξόδου των εισερχομένων προσώπων, ασθενών του Νοσοκομείου ή επισκεπτών των ασθενών. Η Αρχή, κρίνει, εν προκειμένω, λαμβάνοντας υπόψη τη διάταξη του άρθρου 4 στοιχ. 155 και την αιτιολογική σκέψη 35 ΓΚΠΔ6, ότι η συλλογή και η τήρηση της πληροφορίας που αφορά στο σκοπό επίσκεψης ενός φυσικού προσώπου, στο μέτρο που αφορά έναν ασθενή του Νοσοκομείου συνιστά πληροφορία που εμπίπτει στην ειδική κατηγορία δεδομένων προσωπικού χαρακτήρα, καθώς συνδυαζόμενη με το σχετικό αρχείο της παροχής υπηρεσιών υγείας του 401 ΓΣΝΑ δύναται να αποκαλύψει αμέσως πληροφορίες σχετικά με την κατάσταση της υγείας του συγκεκριμένου φυσικού προσώπου. Η Αρχή κρίνει, περαιτέρω, ότι η επεξεργασία των ανωτέρω πληροφοριών είναι νόμιμη, σύμφωνα με τα οριζόμενα στις διατάξεις των άρθρων 5 και 6 παρ. 1 στοιχ. ε΄, καθώς και 9 παρ. 2 στοιχ. ζ΄ ΓΚΠΔ, ακόμη και στο μέτρο που αφορούν επισκέπτες ασθενών και τους ίδιους του ασθενείς, αντίστοιχα, καθόσον το ουσιαστικό ή ουσιώδες δημόσιο συμφέρον μπορεί να συνίσταται στην προστασία, βάσει στρατιωτικών κανονισμών, στρατιωτικών εγκαταστάσεων. Κατ’ ακολουθία των ανωτέρω η Αρχή, κρίνει απορριπτέα την καταγγελία της Α κατά του 401 ΓΣΝΑ ως αβάσιμη.
10. Επειδή, ο ΓΚΠΔ αναγνωρίζει τον υπεύθυνο προστασίας δεδομένων (εφεξής ΥΠΔ) ως καίρια συνιστώσα του νέου συστήματος διακυβέρνησης δεδομένων και θεσπίζει τις προϋποθέσεις για τον ορισμό, τη θέση και τα καθήκοντά του. Ειδικότερα, αναφορικά με τον ορισμό ΥΠΔ, το άρθρο 37 παρ. 1 ΓΚΠΔ προβλέπει ότι «Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία ορίζουν υπεύθυνο επεξεργασίας σε κάθε περίπτωση στην οποία: α) η επεξεργασία διενεργείται από δημόσια αρχή ή φορέα, εκτός από δικαστήρια που ενεργούν στο πλαίσιο της δικαιοδοτικής τους αρμοδιότητας, β) οι βασικές δραστηριότητες του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία συνιστούν πράξεις επεξεργασίας, οι οποίες λόγω της φύσης, του πεδίου εφαρμογής και/ή των σκοπών τους, απαιτούν τακτική και συστηματική παρακολούθηση των υποκειμένων των δεδομένων σε μεγάλη κλίμακα, ή γ) Συγκεκριμένα ορίζονται ως δεδομένα υγείας τα δεδομένα προσωπικού χαρακτήρα τα οποία σχετίζονται με τη σωματική ή ψυχική υγεία ενός φυσικού προσώπου, περιλαμβανομένης της παροχής υπηρεσιών υγειονομικής φροντίδας, και τα οποία αποκαλύπτουν πληροφορίες σχετικά με την κατάσταση της υγείας του (άρθρο 4 στοιχ. 15 ΓΚΠΔ). 6 Σύμφωνα με την αιτιολογική σκέψη 35 του ΓΚΠΔ 2016/679 ως δεδομένα της υγείας νοούνται, μεταξύ άλλων, και οι πληροφορίες σχετικά με το φυσικό πρόσωπο που συλλέγονται κατά την εγγραφή του για τις υπηρεσίες υγείας και την παροχή αυτών, όπως ένας αριθμός, ένα σύμβολο ή ένα χαρακτηριστικό ταυτότητας που αποδίδεται σε ένα φυσικό πρόσωπο με σκοπό την πλήρη ταυτοποίησή του για σκοπούς υγείας. 5 12 οι βασικές δραστηριότητες του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία συνιστούν μεγάλης κλίμακας επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα κατά το άρθρο 9 και δεδομένων που αφορούν ποινικές καταδίκες και αδικήματα που αναφέρονται στο άρθρο 10». Ακόμα, η παράγραφος 3 του άρθρου 37 ΓΚΠΔ προβλέπει ότι «Εάν ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία είναι δημόσια αρχή ή δημόσιος φορέας, ένας μόνο υπεύθυνος προστασίας δεδομένων μπορεί να ορίζεται για πολλές τέτοιες αρχές ή πολλούς τέτοιους φορείς, λαμβάνοντας υπόψη την οργανωτική τους δομή και το μέγεθός τους».
11. Επειδή, από τα αρχεία που τηρεί η Αρχή δυνάμει του ΓΚΠΔ και του ν. 4624/2019, προκύπτει ότι το Γενικό Επιτελείο Εθνικής Άμυνας προέβη με την υπ’ αρ. πρωτ. Γ/ΕΙΣ/8303/29.11.2019 (σε αντικατάσταση της με υπ’ αρ. πρωτ. Γ/ΕΙΣ/3837/29.05.2019 αίτησης) αίτηση στην ανακοίνωση στην Αρχή των στοιχείων επικοινωνίας του ΥΠΔ που όρισε, συμφώνως προς τις προαναφερόμενες διατάξεις του άρθρου 37 του ΓΚΠΔ και προς το άρθρο 6 του νόμου 4624/
12. Περαιτέρω, από τα στοιχεία του φακέλου της υπόθεσης, προκύπτει ότι το 401 ΓΣΝΑ επικαλούμενο την δυνατότητα που παρέχουν οι διατάξεις των άρθρων 37 παρ. 3 ΓΚΔΠ και 6 παρ. 2 ν. 4624/2019 υποστηρίζει ότι έχει συμμορφωθεί προς την εκπλήρωση ορισμού ΥΠΔ, καθώς ο ΥΠΔ (ή/και το γραφείο ΥΠΔ) του Γενικού Επιτελείου Εθνικής Άμυνας, κατά τους ισχυρισμούς του, έχει αρμοδιότητα επί θεμάτων προστασίας δεδομένων προσωπικού χαρακτήρα τόσο στα Γενικά Επιτελεία, όσο και στις υπαγόμενες σε αυτά Μονάδες – Υπηρεσίες, συνεπώς και στο 401 ΓΣΝΑ. Κατά τις προαναφερόμενες διατάξεις του ΓΚΠΔ και του ν. 4624/2019 προβλέπεται η δυνατότητα ορισμού ενός ΥΠΔ για περισσότερες δημόσιες αρχές ή φορείς, στην περίπτωση όμως αυτή, σύμφωνα και με τις κατευθυντήριες γραμμές «σχετικά με τους υπευθύνους προστασίας δεδομένων» που εξέδωσε η ομάδα εργασίας του άρθρου 29, ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία, πρέπει να διασφαλίζει ότι ο ένας μόνο υπεύθυνος προστασίας δεδομένων, συνεπικουρούμενος από ομάδα εφόσον απαιτείται, δύναται να επιτελεί αποτελεσματικά όλα τα καθήκοντά του για όλες τις δημόσιες αρχές και δημόσιους φορείς, στους οποίους έχει οριστεί
13. Η Αρχή κρίνει, εν προκειμένω, ότι ο ορισμός ενός μόνο ΥΠΔ ή/και γραφείο ΥΠΔ στο Γενικό Επιτελείο Εθνικής Άμυνας για όλες τις πάσης φύσεως υπηρεσίες και αρμοδιότητες του Γενικού Επιτελείου Εθνικής Άμυνας και των εποπτευόμενων φορέων του, δεν αρκεί για την αποτελεσματική άσκηση των καθηκόντων του και ως προς το 401 ΓΣΝΑ, για το WP 243 rev. 01 από 13.12.2016, όπως αναθεωρήθηκε τελευταία και εγκρίθηκε στις 05.04.2017, σελ.14, διαθέσιμο στην ιστοσελίδα https://edpb.europa.eu 7 13 οποίο απαιτείται ο ορισμός ΥΠΔ αυτοτελώς, δεδομένου ότι πρόκειται για δημόσιο φορέα, που έχει ως κύρια δραστηριότητα τη συστηματική παρακολούθηση φυσικών προσώπων σε μεγάλη κλίμακα (παροχή υπηρεσιών υγείας σε ασθενείς) και αφορά σε επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα σε μεγάλη κλίμακα (δεδομένα υγείας ασθενών). Κατόπιν τούτων, η Αρχή, κρίνει ότι στη συγκεκριμένη περίπτωση προσήκει η άσκηση της διορθωτικής εξουσίας κατά το άρθρο 58 παρ. 2 στοιχ. δ΄ ΓΚΠΔ με την επιβολή ως πρόσφορου διορθωτικού μέτρου την επιβολή στο 401 ΓΣΝΑ της υποχρέωσης ορισμού Υπευθύνου Προστασίας Δεδομένων. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή α) απορρίπτει ως αβάσιμο τον ισχυρισμό- ένσταση του 401 Γενικού Στρατιωτικού Νοσοκομείου Αθηνών ότι δυνάμει του άρθρου 10 παρ. 5 τελ. εδάφιο ν. 4624/2019 η Αρχή δεν έχει αρμοδιότητα να επιληφθεί της καταγγελίας της Α σε βάρος του καθόσον αφορά επεξεργασία δεδομένων προσωπικού χαρακτήρα που διενεργείται για τις δραστηριότητες που αφορούν την εθνική ασφάλεια, β) απορρίπτει ως αβάσιμη την καταγγελία της Α κατά του 401 Γενικού Στρατιωτικού Νοσοκομείου Αθηνών και κρίνει ότι η συγκεκριμένη επεξεργασία είναι νόμιμη, σύμφωνα με τις διατάξεις των άρθρων 5, 6 παρ. 1 στοιχ. ε΄ και 9 παρ. 2 στοιχ. ζ΄ ΓΚΠΔ 2016/679 και γ) καλεί, δυνάμει του άρθρου 58 παρ. 2 στοιχ. δ΄ ΓΚΠΔ 2016/679, το 401 Γενικό Στρατιωτικό Νοσοκομείο Αθηνών να μεριμνήσει για τον ορισμό Υπευθύνου Προστασίας Δεδομένων κατά τρόπο που να ανταποκρίνεται στις απαιτήσεις του ΓΚΠΔ 2016/679 και του ν. 4624/2019, κατά τα αναφερόμενα στο σκεπτικό της παρούσας. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Γεωργία Παλαιολόγου