Καταγγελία υποψηφίου για θέση καθηγητή κατά Πανεπιστημίου

Αθήνα, 29-01-2024 Αριθ. Πρωτ.427 Α Π Ο Φ Α Σ Η 49 /2023 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε σε σύνθεση Ολομέλειας μετά από πρόσκληση του Προέδρου της, στην έδρα της, την Τρίτη 13 Ιουνίου 2023, προκειμένου να εξετάσει την υπόθεση, που αναφέρεται κατωτέρω στο ιστορικό της παρούσας απόφασης. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, Χρήστος Καλλονιάτης, Αικατερίνη Ηλιάδου, Γρηγόριος Τσόλιας, το αναπληρωματικό μέλος της Αρχής Νικόλαος Λίβος, σε αντικατάσταση του τακτικού μέλους Χαράλαμπου Ανθόπουλου, ο οποίος δεν παρέστη, αν και κλητεύθηκε νομίμως και το αναπληρωματικό μέλος της Αρχής Μαρία Ψάλλα, ως εισηγήτρια χωρίς δικαίωμα ψήφου. Παρούσες χωρίς δικαίωμα ψήφου ήταν επίσης η Αναστασία Τριτάκη, νομική ελέγκτρια – δικηγόρος, ως βοηθός εισηγήτριας και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα κάτωθι: Με την υπ’ αρ. πρωτ. Αρχής Γ/ΕΙΣ/5995/21-9-2021 καταγγελία και τα συμπληρωματικά αυτής έγγραφα, ο Α (εφεξής καταγγέλλων), με την ιδιότητα του υποψηφίου για θέση καθηγητή πρώτης βαθμίδας στη Σχολή Χ (ΕΚΠΑ) βάσει της Προκήρυξης με αριθ. …, καταγγέλλει ότι, κατά τη διαδικασία εκλογής για την πλήρωση της θέσης, η εισηγητική επιτροπή προχώρησε σε επεξεργασία προσωπικών δεδομένων του, για την οποία, κατά τους ισχυρισμούς του, δεν υπήρξε προηγούμενη συγκατάθεση ή ενημέρωσή του. Συγκεκριμένα, σύμφωνα με τον καταγγέλλοντα, η εισηγητική επιτροπή, προκειμένου να επαληθεύσει τις υποστηρικτικές της υποψηφιότητάς του δηλώσεις, συνέλεξε προσωπικά δεδομένα του από τρίτες πηγές. Στη συνέχεια, την … αναρτήθηκε στο διαδικτυακό τόπο Απέλλα Κηφισίας 1-3, 11523, Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr | www.dpa.gr η εισηγητική έκθεση της επιτροπής, στην οποία καταγράφονται αναλυτικά τα πορίσματα της ως άνω επεξεργασίας, με αποτέλεσμα τη γνωστοποίηση προσωπικών δεδομένων του καταγγέλλοντος, που συνελέγησαν με την ως άνω διαδικασία, σε ευρύτερο κύκλο αποδεκτών. Κατόπιν αυτών, ο καταγγέλλων απέστειλε την ... επιστολή προς το ΕΚΠΑ υπ’ όψιν του Υπευθύνου Προστασίας Δεδομένων (ΥΠΔ) αυτού, διαμαρτυρόμενος για τα ως άνω, ζητώντας να πληροφορηθεί τον τρόπο κτήσης συγκεκριμένου εγγράφου που χρησιμοποιήθηκε για την αξιολόγηση της υποψηφιότητάς του και ασκώντας το δικαίωμα περιορισμού της επεξεργασίας των δεδομένων του κατ’ άρθρο 18 ΓΚΠΔ, καθώς και το δικαίωμα εναντίωσής του στην επεξεργασία των δεδομένων κατ’ άρθρο 21 ΓΚΠΔ. Σχετικώς, με απάντησή του την …, ο ΥΠΔ του ΕΚΠΑ επεσήμανε ότι η επεξεργασία των προσωπικών δεδομένων του καταγγέλλοντος έλαβε χώρα βάσει των διατάξεων του άρθρου 4 παρ. 4 του Ν. 4405/2016, σύμφωνα με τις οποίες επιτρέπεται η αναζήτηση συστατικών επιστολών για την υποβοήθηση του έργου της εισηγητικής επιτροπής, χωρίς τη συγκατάθεση του υποψηφίου, αναλογικώς εφαρμοζόμενων εν προκειμένω για την αναζήτηση πληροφοριών σε δημόσιες πηγές, εν προκειμένω σε διαδικτυακές πηγές πανεπιστημίων και στο διαδικτυακό τόπο Διαύγεια. Επομένως, σύμφωνα με τα αναφερόμενα στην ως άνω απάντηση, η νομική βάση της επεξεργασίας αποτελεί το άρθρο 6 παρ. 1 στοιχ. γ’ του ΓΚΠΔ, χωρίς να απαιτείται η συγκατάθεση του υποκειμένου των δεδομένων και, ακολούθως, δεν μπορεί να τύχει εφαρμογής το άρθρο 21 ΓΚΠΔ περί εναντίωσης στην επεξεργασία των δεδομένων, καθόσον δεν προβλέπεται εφαρμογή του στην περίπτωση επεξεργασίας βασιζόμενης στο άρθρο 6 παρ. 1 στοιχ. γ’ του ΓΚΠΔ. Την … ο καταγγέλλων απευθύνθηκε εκ νέου προς τον ΥΠΔ του ΕΚΠΑ, αμφισβητώντας τη δυνατότητα επεξεργασίας των δεδομένων του βάσει των διατάξεων του άρθρου 4 παρ. 4 του Ν. 4405/2016, καθόσον, όπως υποστήριξε, δεν προβλέπεται ρητά η δυνατότητα χρήσης τρίτων πηγών πέραν των συστατικών επιστολών και επανυπέβαλε αίτημα πληροφόρησης για τον τρόπο κτήσης συγκεκριμένου εγγράφου που χρησιμοποιήθηκε για την αξιολόγηση της υποψηφιότητάς του. Με απάντησή του την … ο ΥΠΔ του ΕΚΠΑ επανέλαβε τη θέση αναφορικά με την εφαρμογή του άρθρου 4 παρ. 4 του Ν. 4405/2016 ως νομική βάση της επεξεργασίας και πληροφόρησε τον καταγγέλλοντα για τη δυνατότητα υποβολής καταγγελίας στην Αρχή. 2 Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας απέστειλε στο Εθνικό και Καποδιστριακό Πανεπιστήμιο Αθηνών (εφεξής καθ΄ ου) το με αρ. πρωτ. Αρχής Γ/ΕΞ/2299/13-102021 έγγραφο προς παροχή απόψεων σχετικά με τα αναφερόμενα στην ως άνω καταγγελία. Ακολούθως, το καθ’ ου απάντησε στα ανωτέρω με το υπ’ αριθ. πρωτ. … (υπ’ αριθ. πρωτ. Αρχής Γ/ΕΙΣ/7387/11-11-2021) έγγραφό του, με το οποίο διευκρινίζει ότι, με δεδομένο ότι ο καταγγέλλων δεν είχε αναρτήσει στο διαδικτυακό τόπο Απέλλα τα απαραίτητα αποδεικτικά στοιχεία για την επαλήθευση των δηλώσεων του βιογραφικού και του υπομνήματός του, προκειμένου η Εισηγητική Επιτροπή να διατυπώσει την άποψή της αν ο καταγγέλλων ανταποκρίνεται ως υποψήφιος στα απαιτούμενα από το νόμο προσόντα για τη θέση, προέβη σε αναζήτηση στοιχείων διαθέσιμων μόνο σε δημόσιες πηγές και συγκεκριμένα στις εξής: 1) Εθνικό Τυπογραφείο (2 αρχεία) 2) Διαύγεια (1 αρχείο) 3) ιστοσελίδα Πανεπιστημίου Κύπρου (4 αρχεία) 4) ιστοσελίδα Πανεπιστημίου Birbeck (4 αρχεία) και 5) Bank for International Settlements (1 αρχείο). Περαιτέρω, το καθ΄ ου επισήμανε ότι η ως άνω αναζήτηση έλαβε χώρα κατ’ εφαρμογή των διατάξεων του άρθρου 19 του Ν. 4009/2011 παρ. 4 περ. γ’ (ΦΕΚ Α’ 195), όπως αντικαταστάθηκε με το άρθρο τέταρτο παρ. 4 του Ν. 4405/2016 (ΦΕΚ Α’ 129), προκειμένου «α) να αναλύσει και να αξιολογήσει το έργο και την προσωπικότητα κάθε υποψηφίου, εκφέροντας κρίση για την προσφορά του στην πρόοδο της επιστήμης, β) να διατυπώσει την άποψή της εάν οι υποψήφιοι ανταποκρίνονται στα απαιτούμενα από το νόμο προσόντα και ειδικότερα για τη συνάφεια του γνωστικού αντικειμένου της προς πλήρωση θέσης με το γνωστικό αντικείμενο της διδακτορικής διατριβής, καθώς και η συνάφεια αυτής, επιστημονικού, διδακτικού, κλινικού ή καλλιτεχνικού έργου των υποψηφίων με το γνωστικό αντικείμενο της προς πλήρωση θέσης, γ) εάν κρίνονται περισσότεροι του ενός υποψήφιοι, να προβεί στη συγκριτική και αξιολογική κατάταξή τους», ενώ κατά τα λοιπά, ο καταγγελλόμενος παραπέμπει στην απάντηση του ΥΠΔ, η οποία εστάλη στον καταγγέλλοντα κατόπιν της επιστολής διαμαρτυρίας του. Κατόπιν της εξέτασης των στοιχείων του φακέλου, η Αρχή απέστειλε την υπ’ αριθ. Πρωτ. Αρχής Γ/ΕΞ/ 967/28-04-2022 κλήση προς ακρόαση στο καθ’ ου και την υπ’ αριθ. Πρωτ. Αρχής Γ/ΕΞ/ 970/28-04-2022 στον καταγγέλλοντα, προκειμένου να παραστούν, μέσω τηλεδιάσκεψης, σε ακρόαση ενώπιον του Τμήματος της Αρχής την 4/5/2022 και ώρα 11.00 π.μ., με θέμα τη 3 συζήτηση της ως άνω καταγγελίας. Η συζήτηση ανεβλήθη για την 1/6/2022, κατά την οποία πραγματοποιήθηκε, μέσω τηλεδιάσκεψης. Στην εν λόγω συνεδρίαση παρέστη ο καταγγέλλων Α με τον πληρεξούσιο δικηγόρο του Αντώνιο Βασιλόπουλο (με ΑΜ ΔΣ …), εκ μέρους δε του καθ’ ου παρέστησαν οι Β, Αντιπρύτανης Ακαδημαϊκών Υποθέσεων και Φοιτητικής Μέριμνας ΕΚΠΑ, Γ, Πρόεδρος Τμήματος Χ, Δ, μέλος της Τριμελούς Εισηγητικής Επιτροπής, ομότιμος καθηγητής Τμήματος Χ, Χαράλαμπος Πάλλας, πληρεξούσιος δικηγόρος του ΕΚΠΑ (με ΑΜ ΔΣ …) και η Ε εκ μέρους της Space Hellas, Υπεύθυνου Προστασίας Δεδομένων του ΕΚΠΑ. Αμφότερα τα μέρη, αφού ανέπτυξαν προφορικά τις απόψεις τους, έλαβαν κατά τη συνεδρίαση αυτή προθεσμία προσκομίσεως υπομνημάτων προς περαιτέρω υποστήριξη των ισχυρισμών τους, τα οποία υπέβαλαν εμπροθέσμως. Κατά την ανωτέρω ακρόαση της 1/6/2022, αλλά και με το υπ’ αριθ. πρωτ. Αρχής Γ/ΕΙΣ/8030/16-06-2022 κατόπιν της ακροάσεως υπόμνημά του, ο καταγγέλλων, επανέλαβε τους ισχυρισμούς που έθεσε και προηγουμένως ενώπιον της Αρχής. Το καθ’ ου με το υπ’ αριθ. Πρωτ. Αρχής Γ/ΕΙΣ/8060/17-06-2022 κατόπιν ακροάσεως υπόμνημά του, υποστήριξε μεταξύ άλλων ότι η Εισηγητική Επιτροπή, έχοντας εκ του άρθρου 19 παρ. 4 περ. γ’ του Ν. 4009/2011 (ΦΕΚ Α’ 195), όπως αντικαταστάθηκε με το άρθρο 4 παρ. 4 του Ν. 4405/2016 (ΦΕΚ Α’ 129), έννομη υποχρέωση να εκφέρει πλήρως αιτιολογημένη και τεκμηριωμένη κρίση σχετικά με τους υποψηφίους, δύναται να συνεκτιμήσει και άλλα στοιχεία για το έργο ή την προσωπικότητα του υποψηφίου που τυχόν γνωρίζει από άλλες πηγές ή την προσωπική τους αντίληψη, παραπέμποντας ενδεικτικά στην ΣτΕ 2199/2020 (Γ’ Τμήμα) Απόφαση. Περαιτέρω, επανέλαβε ότι η Εισηγητική Επιτροπή συμβουλεύθηκε μόνο δημόσιες πηγές, στις οποίες έχει πρόσβαση κάθε πολίτης και οι οποίες παρέχουν «τεκμήριο ακρίβειας». Πρόσθεσε επιπλέον πως ο καταγγέλλων ενημερώθηκε εντός ευλόγου χρόνου για την αναζήτηση στοιχείων από τις ως άνω πηγές, σύμφωνα με τα οριζόμενα στο άρθρο 14 παρ. 3 περ. α) ΓΚΠΔ. Αναφορικά με την ικανοποίηση των ασκηθέντων από τον καταγγέλλοντα δικαιωμάτων, το καθ’ ου επανέλαβε τους ισχυρισμούς που έθεσε και προηγουμένως ενώπιον της Αρχής αναφορικά με το δικαίωμα εναντίωσης του άρθρου 21 ΓΚΠΔ, ενώ υποστήριξε προσέτι ότι, δεδομένου ότι το δικαίωμα περιορισμού της επεξεργασίας βάσει του άρθρου 18 ΓΚΠΔ, ασκήθηκε συνδυαστικά με το δικαίωμα εναντίωσης του άρθρου 21 ΓΚΠΔ, δεν χωρεί περίπτωση 4 εφαρμογής του. Τέλος, υποστήριξε ότι ο καταγγέλλων έλαβε σαφή και συγκεκριμένη απάντηση επί των ανωτέρω από τον Υπεύθυνο Προστασίας Δεδομένων του Πανεπιστημίου. Με την Απόφαση 62/2022 της Αρχής (με αρ. πρωτ. Αρχής Γ/ΕΞ/3074/01-12-2022) η εξέταση της υπό κρίση καταγγελίας παραπέμφθηκε από το Τμήμα στην Ολομέλεια της Αρχής, σύμφωνα με τα άρθρα 8 παρ. 1 και 4 παρ. 1 στοιχ. ι’ του Κανονισμού Λειτουργίας της Αρχής (ΦΕΚ Β’ 879), λόγω γενικότερου ενδιαφέροντος. H Αρχή κάλεσε εκ νέου αμφότερα τα μέρη προς ακρόαση στην Ολομέλειά της αποστέλλοντας την υπ’ αριθ. πρωτ. Αρχής Γ/ΕΞ/170/17-01-2023 κλήση προς ακρόαση στον καθ’ ου και την υπ’ αριθ. πρωτ. Αρχής Γ/ΕΞ/169/17-01-2023 στον καταγγέλλοντα, προκειμένου να παραστούν, μέσω τηλεδιάσκεψης, σε ακρόαση ενώπιον της Ολομέλειας της Αρχής την 24/1/2023 και ώρα 11.00 π.μ., με θέμα τη συζήτηση της ως άνω καταγγελίας. Στην ως άνω συνεδρίαση παρέστη ο καταγγέλλων Α με τον πληρεξούσιο δικηγόρο του Αντώνιο Βασιλόπουλο (με ΑΜ ΔΣ …), εκ μέρους δε του καθ’ ου παρέστησαν οι Β, Αντιπρύτανης Ακαδημαϊκών Υποθέσεων και Φοιτητικής Μέριμνας ΕΚΠΑ, Δ, μέλος της Τριμελούς Εισηγητικής Επιτροπής, ομότιμος καθηγητής Τμήματος Χ, Χαράλαμπος Πάλλας, πληρεξούσιος δικηγόρος του ΕΚΠΑ (με ΑΜ ΔΣ …) και η Ε, εκ μέρους της Space Hellas, Υπεύθυνου Προστασίας Δεδομένων του ΕΚΠΑ. Αμφότερα τα μέρη, αφού ανέπτυξαν προφορικά τις απόψεις τους, έλαβαν κατά τη συνεδρίαση αυτή προθεσμία προσκομίσεως υπομνημάτων προς περαιτέρω υποστήριξη των ισχυρισμών τους, τα οποία υπέβαλαν αμφότεροι εμπροθέσμως. Κατά την ακρόαση της 24/1/2023, αλλά και με το υπ’ αριθ. πρωτ. Αρχής Γ/ΕΙΣ/1042/10-022023 κατόπιν της ακροάσεως υπόμνημά του, ο καταγγέλλων, επανέλαβε τους ισχυρισμούς που έθεσε και προηγουμένως ενώπιον της Αρχής και υποστήριξε ότι με τη σύνταξη της εισηγητικής έκθεσης, η Εισηγητική Επιτροπή παραβίασε τον όρο συμμετοχής της ηλεκτρονικής υπηρεσίας Απέλλα βάσει του οποίου απαγορεύεται στους χρήστες της να τη χρησιμοποιούν για τη διακίνηση δεδομένων που εμπεριέχουν ή συνεπάγονται ψευδή δήλωση για την ταυτότητα χρήστη/μέλους ή παραπλανητική δήλωση αναφορικά με τη σχέση ή/και συνεργασία με κάποιο άλλο νομικό ή φυσικό πρόσωπο. Ο καταγγέλλων υποστήριξε επίσης ότι το αν και το σύστημα 5 Απέλλα είναι ένα κλειστό σύστημα, τα μέλη που εισέρχονται σε αυτό μπορεί να λάβουν γνώση της ανωτέρω έκθεσης. Το δε καθ΄ ου κατά την ακρόαση και με το υπ’ αριθ. Πρωτ. Αρχής Γ/ΕΙΣ/1005/09-02-2023 κατόπιν ακροάσεως υπόμνημά του, επανέλαβε τους ισχυρισμούς που προέβαλε και προηγουμένως ενώπιον της Αρχής και επικαλέστηκε εκ νέου τη σχετική νομολογία του ΣτΕ (ενδεικτικά ΣτΕ 2199/2020 (Γ’ Τμήμα) Απόφαση), βάσει της οποίας η εισηγητική επιτροπή δύναται να συνεκτιμήσει και άλλα στοιχεία για το έργο ή την προσωπικότητα του υποψηφίου που τυχόν γνωρίζει από άλλες πηγές ή την προσωπική τους αντίληψη. Επεσήμανε ότι η Εισηγητική Επιτροπή περιορίστηκε στον έλεγχο μόνο ορισμένων στοιχείων, τα οποία ο ίδιος ο καταγγέλλων είχε δηλώσει στο βιογραφικό σημείωμά του, μέσω δημοσίως προσβάσιμων πηγών, ορισμένες από τις οποίες, είχε καταδείξει ο ίδιος ο καταγγέλλων μέσω του βιογραφικού σημειώματός του. Επιπλέον, το καθ’ ου επεσήμανε ότι εν τέλει το εκλεκτορικό σώμα δεν στηρίχθηκε για την κρίση περί της υποψηφιότητας του καταγγέλλοντος στα εν λόγω στοιχεία, αλλά μόνο στα στοιχεία που ο ίδιος ο καταγγέλλων είχε αναρτήσει στο Απέλλα, καταλήγοντας ότι το επιστημονικό και ερευνητικό του έργο δεν ήταν συναφές με το γνωστικό αντικείμενο της εν λόγω θέσης. Περαιτέρω, το καθ’ ου προέβαλε ότι στο σύστημα Απέλλα έχουν πρόσβαση μόνο ορισμένα πρόσωπα τα οποία ορίζει ο νόμος, ενώ στους όρους του συστήματος αναφέρεται ότι: «Με τη συμμετοχή του στην Ηλεκτρονική Υπηρεσία «Απέλλα» και την αποδοχή των συγκεκριμένων όρων, ο χρήστης της υπηρεσίας δηλώνει υπεύθυνα ότι αποδέχεται τη χρήση και επεξεργασία των προσωπικών του δεδομένων προς το σκοπό της πλήρωσης μιας προκηρυχθείσας θέσης εκλογής/ εξέλιξης/ μονιμοποίησης/ ανανέωσης θητείας.» Αναφορικά με την ενημέρωση του καταγγέλλοντος και αναφορικά με την ικανοποίηση των ασκηθέντων από τον καταγγέλλοντα δικαιωμάτων εναντίωσης και περιορισμού, το καθ’ ου επανέλαβε τους ισχυρισμούς που προέβαλε και προηγουμένως ενώπιον της Αρχής και επεσήμανε ότι η άσκηση των κατά τον ΓΚΠΔ δικαιωμάτων αποδεικνύει ότι ο καταγγέλλων είχε λάβει γνώση της επεξεργασίας των δεδομένων του. Η Αρχή, έπειτα από εξέταση των στοιχείων του φακέλου και όσων προέκυψαν από την ενώπιόν της ακροαματική διαδικασία και τα υπομνήματα των μερών, αφού άκουσε την 6 εισηγήτρια και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ 1. Επειδή από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων 2016/679 (ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου 4624/2019 και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ.1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του Α κατά του Εθνικού και Καποδιστριακού Πανεπιστημίου, καθόσον αφορά σε αναζήτηση, συλλογή, συσχέτιση και κοινολόγηση των δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος, που συνιστούν μορφές μη αυτοματοποιημένης επεξεργασίας δεδομένων προσωπικού χαρακτήρα, κατά την έννοια του άρθρου 4 στοιχ. 2) ΓΚΠΔ., ενώ τα δεδομένα αυτά περιλαμβάνονται στην έκθεση αξιολόγησης των υποψηφιοτήτων, δηλαδή σε σύστημα αρχειοθέτησης κατά την έννοια του άρθρου 4 στοιχ. 6) ΓΚΠΔ. Επομένως, πρόκειται για επεξεργασία υπαγόμενη στο ρυθμιστικό πεδίο των άρθρων 2 παρ. 1 του ΓΚΠΔ και 2 του ν.4624/2019. 2. Επειδή, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 4 στοιχ. 7 ΓΚΠΔ, ως υπεύθυνος επεξεργασίας νοείται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα∙ όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους». Σύμφωνα με τις Κατευθυντήριες γραμμές 07/2020 του ΕΣΠΔ αναφορικά με τις έννοιες του υπευθύνου της επεξεργασίας και του εκτελούντος την επεξεργασία1, βασικό για τον προσδιορισμό του υπευθύνου επεξεργασίας 1 EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, Version 2.0, Adopted on 07 July 2021, https://edpb.europa.eu/system/files/2021-07/eppb_guidelines_202007_controllerprocessor_final_en.pdf 7 είναι το λειτουργικό κριτήριο. Δηλαδή, υπεύθυνος επεξεργασίας είναι αυτός που καθορίζει τον σκοπό ή/και τα ουσιώδη, τουλάχιστον, στοιχεία του τρόπου της επεξεργασίας (ο καθορισμός των στόχων και του τρόπου ισοδυναμεί με τον καθορισμό, αντίστοιχα, του «γιατί» και του «πώς» ορισμένων δραστηριοτήτων επεξεργασίας)2. Επιπλέον, σύμφωνα με τις ως άνω Κατευθυντήριες γραμμές, στις περιπτώσεις όπου ο νόμος θεσπίζει ένα καθήκον ή επιβάλλει μια υποχρέωση σε κάποιον να συλλέγει και να επεξεργάζεται ορισμένα δεδομένα, ο σκοπός της επεξεργασίας καθορίζεται συνήθως από το νόμο και ο υπεύθυνος επεξεργασίας θα είναι εκείνος ο οποίος ορίζεται από το νόμο για την πραγμάτωση αυτού του σκοπού, αυτού του δημοσίου καθήκοντος.3 Δεδομένου ότι εν προκειμένω η προκήρυξη με αριθ. … (ΦΕΚ …) εξεδόθη με ευθύνη του Εθνικού και Καποδιστριακού Πανεπιστημίου Αθηνών με σκοπό την πλήρωση θέσης στη Σχολή Χ, το Εθνικό και Καποδιστριακό Πανεπιστήμιο Αθηνών αποτελεί τον υπεύθυνο επεξεργασίας που λαμβάνει χώρα για την αξιολόγηση των υποψηφιοτήτων με σκοπό την πλήρωση της ως άνω θέσης. Περαιτέρω, αναφορικά με την κοινολόγηση των δεδομένων η οποία έλαβε χώρα μέσω της ανάρτησης στο σύστημα Απέλλα, σύμφωνα με το άρθρο 1 της Υπουργικής Απόφασης Φ.122.1/1137/145793/Β2 (ΦΕΚ Β’ 2619/ 16-10-2013), το σύστημα Απέλλα έχει συσταθεί υπό την εποπτεία του Υπουργείου Παιδείας και Θρησκευμάτων, με φορέα διαχείρισης το Εθνικό Δίκτυο Έρευνας και Τεχνολογίας Α.Ε., ενώ με το άρθρο 3 παρ. 8 εδ. α) της Υπουργικής Απόφασης Φ.122.1/6/14241/Ζ2 (ΦΕΚ Β’ 225/31-1-2017) ορίζεται ότι τα Α.Ε.Ι. μέσω των υπηρεσιών τους, των γραμματειών τους και των ορισθέντων υπευθύνων φέρουν την αποκλειστική ευθύνη για τις ενέργειες που επιτελούνται μέσω του πληροφοριακού συστήματος και συγκεκριμένα για όλα τα στάδια που συνθέτουν τις διαδικασίες εκλογής, εξέλιξης, ανανέωσης ή μονιμοποίησης. Σύμφωνα με τις διατάξεις αυτές το Εθνικό και Καποδιστριακό Πανεπιστήμιο Αθηνών αποτελεί τον υπεύθυνο επεξεργασίας για την ανάρτηση των ως άνω πράξεων στο σύστημα Απέλλα. 3. Επειδή το άρθρο 6 παρ. 1 στοιχ. γ’ του ΓΚΠΔ αναφορικά με τη νομιμότητα της επεξεργασίας ορίζει ότι: «1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: (…) γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη 2 3 Ως άνω, παρ. 20. Ως άνω παρ. 23-24. 8 υποχρέωση του υπευθύνου επεξεργασίας, (…)», ενώ σύμφωνα με την παρ. 3 του ως άνω ίδιου άρθρου: «Η βάση για την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχεία γ) και ε) ορίζεται σύμφωνα με: α) το δίκαιο της Ένωσης, ή β) το δίκαιο του κράτους μέλος στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας. Ο σκοπός της επεξεργασίας καθορίζεται στην εν λόγω νομική βάση ή, όσον αφορά την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχείο ε), είναι η αναγκαιότητα της επεξεργασίας για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας. (…)» Σύμφωνα δε με την Αιτιολογική Σκέψη 41 του ΓΚΠΔ «Οποτεδήποτε ο παρών κανονισμός αναφέρεται σε νομική βάση ή νομοθετικό μέτρο, αυτό δεν προϋποθέτει απαραιτήτως νομοθετική πράξη εγκεκριμένη από ένα κοινοβούλιο, με την επιφύλαξη των απαιτήσεων σύμφωνα με τη συνταγματική τάξη του συγκεκριμένου κράτους μέλους. Ωστόσο, αυτή η νομική βάση ή το νομοθετικό μέτρο θα πρέπει να είναι διατυπωμένο με σαφήνεια και ακρίβεια και η εφαρμογή του να είναι προβλέψιμη για πρόσωπα που υπόκεινται σε αυτό, σύμφωνα με τη νομολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης (το «Δικαστήριο») και του Ευρωπαϊκού Δικαστηρίου των Δικαιωμάτων του Ανθρώπου.» 4. Επειδή το άρθρο 19 παρ. 4 περ. γ’ του Ν. 4009/2011 (ΦΕΚ Α’ 195), όπως τροποποιήθηκε από το άρθρο 4 παρ. 4 του Ν. 4405/2016 (ΦΕΚ Α’ 129), όπως ίσχυε κατά το χρόνο των γεγονότων, ορίζει ότι : «Η τριμελής εισηγητική επιτροπή οφείλει μέσα σε αποκλειστική προθεσμία σαράντα