Μη ορισμός ΥΠΔ, μη συνεργασία με την Αρχή και έλλειψη συμμόρφωσης με τον ΓΚΠΔ

Αθήνα, 27-11-2024 Αριθ. Πρωτ.: 3364 ΑΠΟΦΑΣΗ 43/2024 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της μέσω τηλεδιάσκεψης, την 26/04/2024, προκειμένου να εξετάσει την υπόθεση, που αναφέρεται κατωτέρω στο ιστορικό της παρούσας απόφασης. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Κωνσταντίνος Λαμπρινουδάκης, Σπυρίδων Βλαχόπουλος, Χρήστος Καλλονιάτης, Χαράλαμπος Ανθόπουλος, Γρηγόριος Τσόλιας, το αναπληρωματικό μέλος Νικόλαος Φαλδαμής σε αντικατάσταση του τακτικού μέλους Αικατερίνης Ηλιάδου, η οποία αν και εκλήθη νομίμως εγγράφως, δεν παρέστη λόγω κωλύματος και το αναπληρωματικό μέλος Νικόλαος Λίβος ως εισηγητής χωρίς δικαίωμα ψήφου βάσει του άρθρου 8 παρ. 2 του Κανονισμού Λειτουργίας της Αρχής. Παρούσες χωρίς δικαίωμα ψήφου ήταν οι Ελένη Μαραγκού, ειδική επιστήμονας - νομικός, Γεωργία Παναγοπούλου και Αικατερίνη Χατζηδιάκου, ειδικοί επιστήμονες - πληροφορικοί, ως βοηθοί εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα κάτωθι: Στο πλαίσιο μιας ευρύτερης πρωτοβουλίας του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (εφεξής, ΕΣΠΔ), η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (εφεξής, Αρχή), όπως και η πλειοψηφία των μελών του ΕΣΠΔ, αναλαμβάνει από κοινού την εξέταση ενός θέματος με συντονισμένο τρόπο. Για το 2023, το ΕΣΠΔ αποφάσισε να δώσει προτεραιότητα στο θέμα "Ο ορισμός και η θέση του υπεύθυνου προστασίας δεδομένων". Για το σκοπό αυτό, το ΕΣΠΔ ανέπτυξε ένα ενιαίο ερωτηματολόγιο σχετικά με τον ορισμό και τη θέση του Υπευθύνου Προστασίας Δεδομένων (εφεξής, ΥΠΔ), το οποίο η Αρχή υιοθέτησε και απέστειλε σε επιλεγμένους φορείς του δημοσίου. 1 Η Αρχή ως συμμετέχον μέλος σε αυτή τη δράση έχει επιπλέον επιλέξει να ασκήσει τις εξουσίες έρευνας, που διαθέτει δυνάμει του άρθρου 58 ΓΚΠΔ, προκειμένου να ελέγξει τον ορισμό και τη θέση του ΥΠΔ στον δημόσιο τομέα ενόψει της εκ του νόμου υφιστάμενης σχετικής υποχρέωσης (άρθρα 37-39 ΓΚΠΔ και άρθρα 6-8 του ν. 4624/2019). Η ομάδα συντονισμένης δράσης της Αρχής αποτελούμενη από τις ειδικούς επιστήμονες Ε. Μαραγκού, Γ. Παναγοπούλου και Α. Χατζηδιάκου απέστειλε το ερωτηματολόγιο σε 31 φορείς του Δημοσίου στις 03-05-

1. Μεταξύ αυτών ήταν και το Υπουργείο Κλιματικής Κρίσης και Πολιτικής Προστασίας (εφεξής, υπεύθυνος επεξεργασίας), στο οποίο η ομάδα συντονισμένης δράσης απέστειλε το ερωτηματολόγιο με το υπ. αριθ. πρωτ. Γ/ΕΞΕ/1124/03-05-2023 έγγραφο με καταληκτική ημερομηνία υποβολής του μέσω του συνδέσμου EUsurvey στις 19-05-
2. Ο υπεύθυνος επεξεργασίας δεν ανταποκρίθηκε στο ανωτέρω έγγραφο. Η Αρχή έστειλε εκ νέου το ερωτηματολόγιο στον υπεύθυνο επεξεργασίας με το υπ. αριθ. πρωτ. Γ/ΕΞΕ/1350/29-05-2023 έγγραφο, στο οποίο ο υπεύθυνος επεξεργασίας κλήθηκε να απαντήσει μέχρι τις 31-05-
3. Ο υπεύθυνος επεξεργασίας δεν ανταποκρίθηκε στην ανωτέρω υπόμνηση. Από αναζήτηση στην ιστοσελίδα του υπεύθυνου επεξεργασίας προέκυψε ότι δεν υπήρχαν αναρτημένα στοιχεία ΥΠΔ. Επιπλέον, βάσει του μητρώου ΥΠΔ που τηρεί η Αρχή, επιβεβαιώθηκε ότι ο υπεύθυνος επεξεργασίας δεν έχει προβεί σε ανακοίνωση στοιχείων επικοινωνίας ΥΠΔ, ως όφειλε σύμφωνα με το άρθρο 37 παρ. 1 και
4. Στη συνέχεια και αφού η Αρχή εξέτασε τα στοιχεία του φακέλου, απέστειλε την υπ. αριθμ. πρωτ. Γ/ΕΞΕ/3018/28-11-2023 κλήση προς τον υπεύθυνο επεξεργασίας προκειμένου να συζητηθεί η εν λόγω υπόθεση ενώπιον της Ολομέλειας της Αρχής την Τρίτη 19 Δεκεμβρίου
5. Κατά τη συνεδρίαση η συζήτηση της υπόθεσης αναβλήθηκε κατόπιν αιτήματος του υπευθύνου επεξεργασίας για τη συνεδρίαση της 09-01-
6. Κατόπιν της λήψης της ανωτέρω κλήσης στην Ολομέλεια της Αρχής, ο υπεύθυνος επεξεργασίας απέστειλε στην Αρχή το υπ. αριθμ. πρωτ. Γ/ΕΙΣ/9143/22-12-2023 υπόμνημα, με το οποίο διαβίβασε το ερωτηματολόγιο στο οποίο επιβεβαιώνει μέσω των απαντήσεών του ότι δεν είχε ορίσει ΥΠΔ παρόλο που ο ορισμός του είναι υποχρεωτικός. Στην εν λόγω συνεδρίαση της 09-01-2024, η οποία πραγματοποιήθηκε μέσω τηλεδιάσκεψης, παρέστησαν εκ μέρους του υπεύθυνου επεξεργασίας, ο Α, … του Υπουργείου Κλιματικής Κρίσης και Πολιτικής Προστασίας και η Παναγιούλα Μακρή, Νομική Σύμβουλος στο Γραφείο του Υπουργού με ΑΜΔΣΠ … . Εν συνεχεία, ο υπεύθυνος 2 επεξεργασίας απέστειλε, εντός της προθεσμίας που ορίστηκε από την Αρχή κατά την ανωτέρω συνεδρίαση κατόπιν σχετικού αιτήματός του, το με αρ. πρωτ. Αρχής Γ/ΕΙΣ/654/2601-2024 υπόμνημα, με το οποίο επανέλαβε κατ’ ουσίαν τους ισχυρισμούς που είχε προβάλει και προηγουμένως ενώπιον της Αρχής. Με το υπόμνημά του επισημαίνει ότι α) έχει σταλεί σχέδιο Π.Δ. στο οποίο περιλαμβάνονται οργανωτικές αλλαγές που καλύπτουν το πεδίο προστασίας προσωπικών δεδομένων και το οποίο εκκρεμεί προς επεξεργασία από το Γενικό Λογιστήριο του Κράτους, β) η καθυστέρηση στη συμμόρφωση οφείλεται στη διενέργεια αλλαγών στη δομή και τη σύνθεση του Υπουργείου και ειδικότερα στην προσθήκη της Γενικής Γραμματείας Αρωγής, γ) το Υπουργείο συστάθηκε τον Σεπτέμβριο του 2021, σε αυτό δε, μεταφέρθηκαν υπηρεσίες από το Υπουργείο Προστασίας του Πολίτη, ενώ προβλέφθηκε μεταβατική περίοδος ως προς τον χρόνο οριστικής υπαγωγής υπαλλήλων και μεταφοράς κονδυλίων μέχρι και την 31.12.2022, δ) έχει συναφθεί με εξωτερικό σύμβουλο σύμβαση ανάθεσης εργασιών για την υποστήριξη της συμμόρφωσης με τον ΓΚΠΔ, καθώς επίσης συγκροτήθηκε υποστηρικτική ομάδα εργασίας με εκπροσώπηση όλων των κρίσιμων για την τήρηση των διαδικασιών προστασίας δεδομένων, επιμέρους διευθύνσεων του Υπουργείου, και επιπροσθέτως, θα οριστεί ΥΠΔ. Επιπλέον, με το ανωτέρω υπόμνημα ο υπεύθυνος επεξεργασίας απέστειλε τη σύμβαση έργου (01/2024) με την ανάδοχο εταιρεία με την επωνυμία «ODYSSEY CONSULTANTS LTD – ΥΠΟΚΑΤΑΣΤΗΜΑ ΑΛΛΟΔΑΠΗΣ» για την παροχή συμβουλευτικών υπηρεσιών συμμόρφωσης με τον ΓΚΠΔ. Τέλος, ο υπεύθυνος επεξεργασίας μέσω του υπομνήματος απέστειλε την ηλεκτρονική επικοινωνία μεταξύ της προϊσταμένης Διεύθυνσης Διοίκησης και Υποστήριξης, που συμπλήρωσε τελικά το εν λόγω ερωτηματολόγιο (το οποίο υπέβαλε στην Αρχή ο υπεύθυνος επεξεργασίας με το ανωτέρω υπ. αριθμ. πρωτ. Γ/ΕΙΣ/9143/22-12-2023 υπόμνημα) και λοιπών εκπροσώπων του Υπουργείου, η οποία έλαβε χώρα στις 06-06-2023, δηλαδή μετά την 31-05-2023 που είχε οριστεί ως καταληκτική ημερομηνία υποβολής του ερωτηματολογίου, και ενώ ο σύνδεσμος της πλατφόρμας ήταν απενεργοποιημένος από την Αρχή, όπως είχε προβλεφθεί στο πλαίσιο της διαδικασίας του ελέγχου. Η Αρχή, έπειτα από εξέταση των στοιχείων του φακέλου έκρινε ότι προέκυψαν νέα στοιχεία, τα οποία έχρηζαν περαιτέρω εξέτασης και εξέδωσε την υπ. αριθ. πρωτ. 4/2024 Απόφαση και απέστειλε νέα κλήση με αριθμ. πρωτ. Γ/ΕΞΕ/555/14-02-2024 στον υπεύθυνο επεξεργασίας προκειμένου να συζητηθεί εκ νέου και στο σύνολό της η υπόθεση ενώπιον της Ολομέλειας της Αρχής στις 23-02-
7. Κατά τη συνεδρίαση αυτή η υπόθεση αναβλήθηκε 3 κατόπιν αιτήματος του υπευθύνου επεξεργασίας για τη συνεδρίαση της 12-03-2024, για την οποία η Αρχή απέστειλε εκ νέου την υπ. αριθμ. πρωτ. Γ/ΕΞΕ/647/23-02-2024 κλήση προκειμένου να συζητηθεί ενώπιον της Ολομέλειας της Αρχής επιπλέον της συμμόρφωσης του υπεύθυνου επεξεργασίας με το άρθρο 31 και 37 του ΓΚΠΔ, η συμμόρφωση και οι υποχρεώσεις του όπως απορρέουν από τον ΓΚΠΔ σε σχέση με τα δικαιώματα των υποκειμένων των δεδομένων κατά τις διατάξεις του Κεφαλαίου 3, καθώς και με τις υποχρεώσεις του υπεύθυνου επεξεργασίας κατά τις διατάξεις του Κεφαλαίου
8. Στην τελευταία αυτή συνεδρίαση, η οποία πραγματοποιήθηκε μέσω τηλεδιάσκεψης, παρέστη εκ μέρους του υπεύθυνου επεξεργασίας, ο Α, … του Υπουργείου Κλιματικής Κρίσης και Πολιτικής Προστασίας. Εν συνεχεία, ο υπεύθυνος επεξεργασίας απέστειλε, εντός της προθεσμίας που ορίστηκε από την Αρχή κατά την ανωτέρω συνεδρίαση κατόπιν σχετικού αιτήματός του, το με αρ. πρωτ. Αρχής Γ/ΕΙΣ/2962/29-03-2024 υπόμνημα με το οποίο επανέλαβε κατ’ ουσίαν τους ισχυρισμούς που είχε προβάλει και προηγουμένως ενώπιον της Αρχής σχετικά με τη σύσταση του Υπουργείου, την έλλειψη πόρων, και τη σύναψη σύμβασης για τη συμμόρφωση με τον ΓΚΠΔ. Με το υπόμνημά του επισημαίνει ότι από τις 12-02-2024 είναι σε ισχύ η με αριθμ. πρωτ. … απόφαση ανάθεσης καθηκόντων ΥΠΔ για τη Γενική Γραμματεία Πολιτικής Προστασίας του Υπουργείου Κλιματικής Κρίσης και Πολιτικής Προστασίας. Επιπροσθέτως, στο ως άνω υπόμνημα αναφέρεται ότι υπάρχει ήδη ΥΠΔ με αρμοδιότητα επί των θεμάτων προστασίας δεδομένων του Πυροσβεστικού Σώματος. Ωστόσο, από αναζήτηση στην ιστοσελίδα του υπεύθυνου επεξεργασίας διαπιστώθηκε ότι δεν υπήρχαν αναρτημένα στοιχεία ΥΠΔ είτε για το σύνολο της Γενικής Γραμματείας, είτε για το Πυροσβεστικό Σώμα. Επιπλέον, βάσει του μητρώου ΥΠΔ που τηρεί η Αρχή, επιβεβαιώθηκε ότι ο υπεύθυνος επεξεργασίας δεν έχει προβεί σε ανακοίνωση στοιχείων επικοινωνίας ΥΠΔ ως όφειλε σύμφωνα με το άρθρο 37 παρ. 1 και
9. Τέλος, σε σχέση με τα ζητήματα συμμόρφωσης, ο υπεύθυνος επεξεργασίας ανέφερε ότι η καθυστέρηση συμμόρφωσης με τον ΓΚΠΔ οφείλεται στη διενέργεια αλλαγών ως προς τη δομή και τη σύνθεση του Υπουργείου, καθώς το Υπουργείο είναι νεοσύστατο και σε αυτό μεταφέρθηκε σύνολο αρμοδιοτήτων, θέσεων και προσωπικού. Επιπλέον, ανέφερε ότι προσφάτως πραγματοποιήθηκε η προσθήκη της Γενικής Γραμματείας Αποκατάστασης Φυσικών Καταστροφών και Κρατικής Αρωγής στο Υπουργείο, και η μεταφορά των αρμοδιοτήτων και του προσωπικού θα βρίσκονται σε εξέλιξη μέχρι και την 31-12-2024 ενώ η διοικητική υπαγωγή προσωπικού και οικονομική στήριξη της ανωτέρω προστεθείσας Γενικής 4 Γραμματείας εξακολουθούν να αποτελούν αρμοδιότητες του Υπουργείου Οικονομικών από το οποίο προήλθε. Η Αρχή, έπειτα από εξέταση των στοιχείων του φακέλου και όσων προέκυψαν από την ενώπιόν της ακροαματική διαδικασία και τα υπομνήματα του υπεύθυνου επεξεργασίας, με τα συμπληρωματικά έγγραφα αυτών, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τις βοηθούς εισηγητή, οι οποίες παρέστησαν χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
10. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του ΓΚΠΔ και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων και να ασκεί τις εξουσίες που τις ανατίθενται σύμφωνα με τον ανωτέρω κανονισμό.
11. Επειδή σύμφωνα με τους ορισμούς του άρθρου 58 ΓΚΠΔ: «
12. Κάθε αρχή ελέγχου διαθέτει όλες τις ακόλουθες εξουσίες έρευνας: α) να δίνει εντολή στον υπεύθυνο επεξεργασίας και στον εκτελούντα την επεξεργασία και, όπου συντρέχει περίπτωση, στον εκπρόσωπο του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία να παράσχουν κάθε πληροφορία την οποία απαιτεί για την εκτέλεση των καθηκόντων της, β) να διεξάγει έρευνες με τη μορφή ελέγχων για την προστασία των δεδομένων,… δ) να ειδοποιεί τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία για εικαζόμενη παράβαση του παρόντος κανονισμού, ε) να αποκτά, από τον υπεύθυνο επεξεργασίας και τον εκτελούντα την επεξεργασία, πρόσβαση σε όλα τα δεδομένα προσωπικού χαρακτήρα και όλες τις πληροφορίες που απαιτούνται για την εκτέλεση των καθηκόντων της…».
13. Επειδή σύμφωνα με τους ορισμούς των άρθρων 13 και 15 του ν. 4624/2019 αντίστοιχα: «
14. Επιπλέον των καθηκόντων της δυνάμει του άρθρου 57 του ΓΚΠΔ, η Αρχή: ...η) διενεργεί αυτεπαγγέλτως ή κατόπιν καταγγελίας έρευνες ή ελέγχους για την εφαρμογή του παρόντος νόμου και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων και βάσει πληροφοριών από άλλη δημόσια αρχή…» και «
15. Εκτός των προβλεπομένων στο άρθρο 58 του ΓΚΠΔ εξουσιών, η Αρχή διενεργεί αυτεπαγγέλτως ή κατόπιν καταγγελίας 5 έρευνες και ελέγχους ως προς τη συμμόρφωση με τον παρόντα νόμο στο πλαίσιο των οποίων ελέγχονται η τεχνολογική υποδομή και άλλα, αυτοματοποιημένα ή μη μέσα, που υποστηρίζουν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα. Κατά τη διενέργεια των ερευνών και ελέγχων η Αρχή έχει την εξουσία να αποκτά από τον υπεύθυνο επεξεργασίας και τον εκτελούντα την επεξεργασία, πρόσβαση σε όλα τα δεδομένα προσωπικού χαρακτήρα που αποτελούν αντικείμενο επεξεργασίας και όλες τις πληροφορίες που απαιτούνται για τους σκοπούς του σχετικού ελέγχου και την εκτέλεση των καθηκόντων της, χωρίς να μπορεί να της αντιταχθεί κανενός είδους απόρρητο…».
16. Επειδή σύμφωνα με τους ορισμούς του άρθρου 5 του ΓΚΠΔ «
17. Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»),…, γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»),…, στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»).
18. Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»).
19. Επειδή σύμφωνα με τους ορισμούς του άρθρου 31 του ΓΚΠΔ: «Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία και, κατά περίπτωση, οι εκπρόσωποί τους συνεργάζονται, κατόπιν αιτήματος, με την εποπτική αρχή για την άσκηση των καθηκόντων της.»
20. Επειδή σύμφωνα με τους ορισμούς του άρθρου 37 του ΓΚΠΔ: «
21. Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία ορίζουν υπεύθυνο προστασίας δεδομένων σε κάθε περίπτωση στην οποία: α) η επεξεργασία διενεργείται από δημόσια αρχή ή φορέα, εκτός από δικαστήρια που ενεργούν στο πλαίσιο της δικαστικής τους ιδιότητας,…
22. Εάν ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία είναι δημόσια αρχή ή δημόσιος φορέας, ένας μόνο υπεύθυνος προστασίας δεδομένων μπορεί να ορίζεται για πολλές τέτοιες αρχές ή πολλούς τέτοιους φορείς, λαμβάνοντας υπόψη την οργανωτική τους δομή και το μέγεθός τους,…
23. Ο υπεύθυνος προστασίας δεδομένων διορίζεται 6 βάσει επαγγελματικών προσόντων και ιδίως βάσει της εμπειρογνωσίας που διαθέτει στον τομέα του δικαίου και των πρακτικών περί προστασίας δεδομένων, καθώς και βάσει της ικανότητας εκπλήρωσης των καθηκόντων που αναφέρονται στο άρθρο
25. Ο υπεύθυνος προστασίας δεδομένων μπορεί να είναι μέλος του προσωπικού του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία ή να ασκεί τα καθήκοντά του βάσει σύμβασης παροχής υπηρεσιών.
26. Ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία δημοσιεύουν τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων και τα ανακοινώνουν στην εποπτική αρχή.»
27. Επειδή σύμφωνα με τους ορισμούς του άρθρου 38 του ΓΚΠΔ «
28. Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία διασφαλίζουν ότι ο υπεύθυνος προστασίας δεδομένων συμμετέχει, δεόντως και εγκαίρως, σε όλα τα ζητήματα τα οποία σχετίζονται με την προστασία δεδομένων προσωπικού χαρακτήρα.
29. Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία στηρίζουν τον υπεύθυνο προστασίας δεδομένων στην άσκηση των καθηκόντων που αναφέρονται στο άρθρο 39 παρέχοντας απαραίτητους πόρους για την άσκηση των εν λόγω καθηκόντων και πρόσβαση σε δεδομένα προσωπικού χαρακτήρα και σε πράξεις επεξεργασίας, καθώς και πόρους απαραίτητους για τη διατήρηση της εμπειρογνωσίας του.
30. Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία διασφαλίζει ότι ο υπεύθυνος προστασίας δεδομένων δεν λαμβάνει εντολές για την άσκηση των εν λόγω καθηκόντων. Δεν απολύεται ούτε υφίσταται κυρώσεις από τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία επειδή επιτέλεσε τα καθήκοντά του. Ο υπεύθυνος προστασίας δεδομένων λογοδοτεί απευθείας στο ανώτατο διοικητικό επίπεδο του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία.
31. Τα υποκείμενα των δεδομένων μπορούν να επικοινωνούν με τον υπεύθυνο προστασίας δεδομένων για κάθε ζήτημα σχετικό με την επεξεργασία των δεδομένων τους προσωπικού χαρακτήρα και με την άσκηση των δικαιωμάτων τους δυνάμει του παρόντος κανονισμού.
32. Ο υπεύθυνος προστασίας δεδομένων δεσμεύεται από την τήρηση του απορρήτου ή της εμπιστευτικότητας σχετικά με την εκτέλεση των καθηκόντων του, σύμφωνα με το δίκαιο της Ένωσης ή του κράτους μέλους.
33. Ο υπεύθυνος προστασίας δεδομένων μπορεί να επιτελεί και άλλα καθήκοντα και υποχρεώσεις. Ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία διασφαλίζουν ότι τα εν λόγω καθήκοντα και υποχρεώσεις δεν συνεπάγονται σύγκρουση συμφερόντων.» 7
34. Επειδή σύμφωνα με τους ορισμούς του άρθρου 39 του ΓΚΠΔ: «
35. Ο υπεύθυνος προστασίας δεδομένων έχει τουλάχιστον τα ακόλουθα καθήκοντα: α) ενημερώνει και συμβουλεύει τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία και τους υπαλλήλους που επεξεργάζονται τις υποχρεώσεις τους που απορρέουν από τον παρόντα κανονισμό και από άλλες διατάξεις της Ένωσης ή του κράτους μέλους σχετικά με την προστασία δεδομένων, β) παρακολουθεί τη συμμόρφωση με τον παρόντα κανονισμό, με άλλες διατάξεις της Ένωσης ή του κράτους μέλους σχετικά με την προστασία δεδομένων και με τις πολιτικές του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία σε σχέση με την προστασία των δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων της ανάθεσης αρμοδιοτήτων, της ευαισθητοποίησης και της κατάρτισης των υπαλλήλων που συμμετέχουν στις πράξεις επεξεργασίας, και των σχετικών ελέγχων, γ) παρέχει συμβουλές, όταν ζητείται, όσον αφορά την εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων και παρακολουθεί την υλοποίησή της σύμφωνα με το άρθρο 35, δ) συνεργάζεται με την εποπτική αρχή, ε) ενεργεί ως σημείο επικοινωνίας για την εποπτική αρχή για ζητήματα που σχετίζονται με την επεξεργασία, περιλαμβανομένης της προηγούμενης διαβούλευσης που αναφέρεται στο άρθρο 36, και πραγματοποιεί διαβουλεύσεις, ανάλογα με την περίπτωση, για οποιοδήποτε άλλο θέμα.
36. Κατά την εκτέλεση των καθηκόντων του, ο υπεύθυνος προστασίας δεδομένων λαμβάνει δεόντως υπόψη τον κίνδυνο που συνδέεται με τις πράξεις επεξεργασίας, συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας».
37. Επειδή σύμφωνα με τους ορισμούς του άρθρου 12 του ΓΚΠΔ: «
38. Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 και του άρθρου 34 σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, ιδίως όταν πρόκειται για πληροφορία απευθυνόμενη ειδικά σε παιδιά. Οι πληροφορίες παρέχονται γραπτώς ή με άλλα μέσα, μεταξύ άλλων, εφόσον ενδείκνυται, ηλεκτρονικώς. Όταν ζητείται από το υποκείμενο των δεδομένων, οι πληροφορίες μπορούν να δίνονται προφορικά, υπό την προϋπόθεση ότι η ταυτότητα του υποκειμένου των δεδομένων είναι αποδεδειγμένη με άλλα μέσα.
39. Ο υπεύθυνος επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων 8 των δεδομένων που προβλέπονται στα άρθρα 15 έως
40. Στις περιπτώσεις που προβλέπονται στο άρθρο 11 παράγραφος 2, ο υπεύθυνος επεξεργασίας δεν αρνείται να ενεργήσει κατόπιν αιτήσεως του υποκειμένου των δεδομένων για να ασκήσει τα δικαιώματά του βάσει των άρθρων 15 έως 22, εκτός αν ο υπεύθυνος επεξεργασίας αποδείξει ότι δεν είναι σε θέση να εξακριβώσει την ταυτότητα του υποκειμένου των δεδομένων.
41. Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα, η ενημέρωση παρέχεται, εάν είναι δυνατόν, με ηλεκτρονικά μέσα, εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό.
42. Εάν ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων, χωρίς καθυστέρηση και το αργότερο εντός μηνός από την παραλαβή του αιτήματος, για τους λόγους για τους οποίους δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής.
43. Οι πληροφορίες που παρέχονται σύμφωνα με τα άρθρα 13 και 14 και κάθε ανακοίνωση καθώς και όλες οι ενέργειες που αναλαμβάνονται σύμφωνα με τα άρθρα 15 έως 22 και το άρθρο 34 παρέχονται δωρεάν. Εάν τα αιτήματα του υποκειμένου των δεδομένων είναι προδήλως αβάσιμα ή υπερβολικά, ιδίως λόγω του επαναλαμβανόμενου χαρακτήρα τους, ο υπεύθυνος επεξεργασίας μπορεί είτε: α) να επιβάλει την καταβολή εύλογου τέλους, λαμβάνοντας υπόψη τα διοικητικά έξοδα για την παροχή της ενημέρωσης ή την ανακοίνωση ή την εκτέλεση της ζητούμενης ενέργειας, ή β) να αρνηθεί να δώσει συνέχεια στο αίτημα. Ο υπεύθυνος επεξεργασίας φέρει το βάρος της απόδειξης του προδήλως αβάσιμου ή του υπερβολικού χαρακτήρα του αιτήματος.
44. Με την επιφύλαξη του άρθρου 11, όταν ο υπεύθυνος επεξεργασίας έχει εύλογες αμφιβολίες σχετικά με την ταυτότητα του φυσικού προσώπου που υποβάλλει το αίτημα που αναφέρεται στα άρθρα 15 έως 21, ο υπεύθυνος επεξεργασίας μπορεί να ζητήσει την παροχή πρόσθετων 9 πληροφοριών αναγκαίων για την επιβεβαίωση της ταυτότητας του υποκειμένου των δεδομένων.
45. Οι πληροφορίες που πρέπει να παρέχονται στα υποκείμενα των δεδομένων σύμφωνα με τα άρθρα 13 και 14 μπορούν να παρέχονται σε συνδυασμό με τυποποιημένα εικονίδια προκειμένου να δίνεται με ευδιάκριτο, κατανοητό και ευανάγνωστο τρόπο μια ουσιαστική επισκόπηση της σκοπούμενης επεξεργασίας. Εάν τα εικονίδια διατίθενται ηλεκτρονικά, είναι μηχανικώς αναγνώσιμα.
46. Η Επιτροπή εξουσιοδοτείται να εκδίδει κατ' εξουσιοδότηση πράξεις σύμφωνα με το άρθρο 92 για τον καθορισμό των πληροφοριών που πρέπει να παρουσιάζονται με τα εικονίδια και των διαδικασιών για την παροχή τυποποιημένων εικονιδίων.»
47. Επειδή σύμφωνα με τους ορισμούς του άρθρου 25 του ΓΚΠΔ: «…
48. Ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για να διασφαλίζει ότι, εξ ορισμού, υφίστανται επεξεργασία μόνο τα δεδομένα προσωπικού χαρακτήρα που είναι απαραίτητα για τον εκάστοτε σκοπό της επεξεργασίας. Αυτή η υποχρέωση ισχύει για το εύρος των δεδομένων προσωπικού χαρακτήρα που συλλέγονται, τον βαθμό της επεξεργασίας τους, την περίοδο αποθήκευσης και την προσβασιμότητά τους. Ειδικότερα, τα εν λόγω μέτρα διασφαλίζουν ότι, εξ ορισμού, τα δεδομένα προσωπικού χαρακτήρα δεν καθίστανται προσβάσιμα χωρίς την παρέμβαση του φυσικού προσώπου σε αόριστο αριθμό φυσικών προσώπων…»
49. Επειδή σύμφωνα με του ορισμούς του άρθρου 30 του ΓΚΠΣ: «
50. Κάθε υπεύθυνος επεξεργασίας και, κατά περίπτωση, ο εκπρόσωπός του, τηρεί αρχείο των δραστηριοτήτων επεξεργασίας για τις οποίες είναι υπεύθυνος. Το εν λόγω αρχείο περιλαμβάνει όλες τις ακόλουθες πληροφορίες: α) το όνομα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του από κοινού υπευθύνου επεξεργασίας, του εκπροσώπου του υπευθύνου επεξεργασίας και του υπευθύνου προστασίας δεδομένων, β) τους σκοπούς της επεξεργασίας, γ) περιγραφή των κατηγοριών υποκειμένων των δεδομένων και των κατηγοριών δεδομένων προσωπικού χαρακτήρα, δ) τις κατηγορίες αποδεκτών στους οποίους πρόκειται να γνωστοποιηθούν ή γνωστοποιήθηκαν τα δεδομένα προσωπικού χαρακτήρα, περιλαμβανομένων των αποδεκτών σε τρίτες χώρες ή διεθνείς οργανισμούς, ε) όπου συντρέχει περίπτωση, τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα σε τρίτη χώρα ή διεθνή οργανισμό, συμπεριλαμβανομένων του προσδιορισμού της εν λόγω τρίτης χώρας ή του διεθνούς οργανισμού και, σε περίπτωση διαβιβάσεων που αναφέρονται στο άρθρο 49 10 παράγραφος 1 δεύτερο εδάφιο, της τεκμηρίωσης των κατάλληλων εγγυήσεων, στ) όπου είναι δυνατό, τις προβλεπόμενες προθεσμίες διαγραφής των διάφορων κατηγοριών δεδομένων, ζ) όπου είναι δυνατό, γενική περιγραφή των τεχνικών και οργανωτικών μέτρων ασφάλειας που αναφέρονται στο άρθρο 32 παράγραφος 1.,…,
51. Τα αρχεία που αναφέρονται στις παραγράφους 1 και 2 υφίστανται γραπτώς, μεταξύ άλλων σε ηλεκτρονική μορφή.
52. Ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία και, κατά περίπτωση, ο εκπρόσωπος του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία θέτουν το αρχείο στη διάθεση της εποπτικής αρχής κατόπιν αιτήματος….»
53. Επειδή σύμφωνα με τους ορισμούς του άρθρου 32 του ΓΚΠΔ: «
54. Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, περιλαμβανομένων, μεταξύ άλλων, κατά περίπτωση: α) της ψευδωνυμοποίησης και της κρυπτογράφησης δεδομένων προσωπικού χαρακτήρα, β) της δυνατότητας διασφάλισης του απορρήτου, της ακεραιότητας, της διαθεσιμότητας και της αξιοπιστίας των συστημάτων και των υπηρεσιών επεξεργασίας σε συνεχή βάση, γ) της δυνατότητας αποκατάστασης της διαθεσιμότητας και της πρόσβασης σε δεδομένα προσωπικού χαρακτήρα σε εύθετο χρόνο σε περίπτωση φυσικού ή τεχνικού συμβάντος, δ) διαδικασίας για την τακτική δοκιμή, εκτίμηση και αξιολόγηση της αποτελεσματικότητας των τεχνικών και των οργανωτικών μέτρων για τη διασφάλιση της ασφάλειας της επεξεργασίας.
55. Κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία.,…»
56. Επειδή στην προκειμένη περίπτωση από τα στοιχεία του φακέλου της υπόθεσης προκύπτει αρχικά ότι ο υπεύθυνος επεξεργασίας δεν προέβη εμπροθέσμως στην υποβολή του ανωτέρω ερωτηματολογίου κατά παράβαση του άρθρου 31 του ΓΚΠΔ.
57. Επειδή επιπροσθέτως, διαπιστώθηκε ότι ο υπεύθυνος επεξεργασίας δεν είχε ορίσει ΥΠΔ 11 από την ίδρυσή του. Κατόπιν της κλήσης στην Αρχή, ο υπεύθυνος επεξεργασίας όρισε ΥΠΔ για το σύνολο της Γενικής Γραμματείας αναφέροντας παράλληλα την ύπαρξη του ορισμένου ΥΠΔ για το ΠΣ, χωρίς ωστόσο να έχει γνωστοποιήσει τα στοιχεία τους στην Αρχή, αλλά ούτε να έχει αναρτήσει στην ιστοσελίδα τις σχετικές απαραίτητες πληροφορίες επικοινωνίας, ενώ δεν έχει οριστεί ΥΠΔ για το Υπουργείο συνολικά ως υπεύθυνο επεξεργασίας. Ο υπεύθυνος επεξεργασίας κατά τις κλήσεις αλλά και στα υπομνήματά του επικαλέστηκε ζητήματα πόρων και κάλυψης λειτουργικών θέσεων
59. Επειδή ο υπεύθυνος επεξεργασίας δεν είχε προβεί από τη στιγμή της σύστασής του σε συμμόρφωση με το ΓΚΠΔ, και ειδικότερα προς τις διατάξεις του Κεφαλαίου 3 και 4 του ΓΚΠΔ, όπως είχε υποχρέωση με βάση την αρχή της λογοδοσίας, ενώ όπως φαίνεται από το ιστορικό της παρούσας, ο υπεύθυνος επεξεργασίας απλώς επικαλέστηκε το γεγονός ότι είναι νεοσύστατο Υπουργείο και επομένως δεν είχε προλάβει να συμμορφωθεί ως προς τις επιταγές του ΓΚΠΔ, και προέβη στη σύναψη σύμβασης με εξωτερικό συνεργάτη με σκοπό την ανωτέρω συμμόρφωση κατόπιν της κλήσης από την Αρχή. Συγκεκριμένα, ο υπεύθυνος επεξεργασίας δεν είχε λάβει τα κατάλληλα μέτρα ώστε να παρέχει στα υποκείμενα διαφανή ενημέρωση σε σχέση με τα δικαιώματά τους, όπως και διευκόλυνση για την άσκηση αυτών, όπως προβλέπεται στο άρθρο 12 του ΓΚΠΔ. Επιπροσθέτως, ο υπεύθυνος επεξεργασίας δεν είχε προβεί στην λήψη και εφαρμογή κατάλληλων οργανωτικών μέτρων για την προστασία των προσωπικών δεδομένων και ειδικότερα για τη διασφάλιση της επεξεργασίας των προσωπικών δεδομένων κατά το σχεδιασμό και εξ ορισμού για τα προσωπικά δεδομένα που είναι απαραίτητα για το εκάστοτε σκοπό επεξεργασίας, όπως προβλέπεται στο άρθρο 25 του ΓΚΠΔ. Εξάλλου, ο υπεύθυνος επεξεργασίας δεν είχε προβεί στην τήρηση του αρχείου δραστηριοτήτων όπως προβλέπεται από το άρθρο 30 του ΓΚΠΔ. Επιπλέον, ο υπεύθυνος επεξεργασίας δεν είχε προβεί στην λήψη και εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων προκειμένου να διασφαλιστεί το κατάλληλο επίπεδο ασφάλειας έναντι κινδύνων, σύμφωνα με τις επιταγές του άρθρου 32 του ΓΚΠΔ.
60. Επειδή, όπως προκύπτει από τα ανωτέρω, διαπιστώθηκαν οι παραβάσεις των άρθρων 12, 32, 25 και 30, συνάγεται και παραβίαση των αρχών νομιμότητας όπως αυτές 1 Βλ. πρόσφατη απόφαση ΔΕΕ στην υπόθεση C-184/20 - Vyriausioji tarnybinės etikos komisij (Σκ. 89): «Πρέπει όμως να τονιστεί ότι η έλλειψη διαθέσιμων πόρων για τις δημόσιες αρχές δεν μπορεί σε καμία περίπτωση να αποτελεί θεμιτό λόγο ικανό να δικαιολογήσει προσβολή των θεμελιωδών δικαιωμάτων που κατοχυρώνει ο Χάρτης» 12 περιγράφονται στο άρθρο 5 παρ. 1 εδ. α’, 5 παρ. 1 εδ γ’ και 5 παρ. 1 εδ. στ’, δεδομένου ότι η παράβαση των υποχρεώσεων του υπευθύνου επεξεργασίας για διαφανή ενημέρωση, για την προστασία δεδομένων από τον σχεδιασμό και εξ’ ορισμού και για την ασφάλεια καθώς και για την τήρηση αρχείων δραστηριοτήτων απορρέουν από τις ως άνω αρχές του άρθρου 5 και τεκμηριώνουν παράβαση αυτών.
61. Επειδή, βάσει των ανωτέρω η Αρχή διαπιστώνει τα εξής: α. Παράβαση του άρθρου 31 αναφορικά με τη συνεργασία του υπεύθυνου επεξεργασίας με την Αρχή. β. Παράβαση του άρθρου 37 αναφορικά με το μη ορισμό ΥΠΔ. γ. Παράβαση του άρθρου 12 αναφορικά με τη διαφανή ενημέρωση, την ανακοίνωση και τις ρυθμίσεις για την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων και του άρθρου 32 παρ. 1 και παρ. 2 σχετικά με την ασφάλεια της επεξεργασίας σε συνδυασμό με το άρθρο 5 παρ. 1 εδ. α’, 5 παρ. 1 εδ. γ’ και 5 παρ. 1 εδ. στ’ αναφορικά με την διαφάνεια, ελαχιστοποίηση, ακεραιότητα και εμπιστευτικότητα των δεδομένων. δ. Παράβαση του άρθρου 25 αναφορικά με την προστασία των δεδομένων από τον σχεδιασμό και εξ ορισμού. ε. Παράβαση του άρθρου 30 αναφορικά με την τήρηση αρχείου δραστηριοτήτων.
62. Επειδή με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση άσκησης των εκ του άρθρου 58 παρ. 2 ΓΚΠΔ διορθωτικών εξουσιών της και επιβολής διοικητικής κυρώσεως σε σχέση με τις διαπιστωθείσες παραβάσεις.
63. Επειδή η Αρχή κρίνει περαιτέρω ότι πρέπει, με βάση τις παραβάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο, συμφώνως προς τα άρθρα 83 ΓΚΠΔ και 39 του Ν. 4624/2019, στον υπεύθυνο επεξεργασίας.
64. Επειδή περαιτέρω η Αρχή έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83, παρ. 2 του ΓΚΠΔ, τις παραγράφους 4 και 5 του ίδιου άρθρου που έχουν εφαρμογή στην παρούσα υπόθεση, το άρθρο 39 παρ. 1 και 2 του ν. 4624 που αφορά την επιβολή διοικητικών κυρώσεων στους φορείς του δημόσιου τομέα και τις Κατευθυντήριες Γραμμές 04/2022 του Ευρωπαϊκού 13 Συμβουλίου Προστασίας Δεδομένων2 για τον υπολογισμό των διοικητικών προστίμων υπό τον ΓΚΠΔ οι οποίες εγκρίθηκαν στις 24/5/2023, καθώς και τα πραγματικά περιστατικά/δεδομένα της εξεταζόμενης υπόθεσης και ιδίως τα εξής: i) Το γεγονός ότι ο υπεύθυνος επεξεργασίας, ως δημόσιος φορέας, δεν είχε ορίσει ΥΠΔ από την σύστασή του παρά την υποχρέωση που έχει, με αποτέλεσμα η παράβαση να έχει μεγάλη διάρκεια, ενώ και με τον πρόσφατο ορισμό ΥΠΔ στην Γενική Γραμματεία παραμένει η έλλειψη ορισμού ΥΠΔ για το Υπουργείο ως υπεύθυνου επεξεργασίας. ii) Το γεγονός ότι ο υπεύθυνος επεξεργασίας δεν έχει συμμορφωθεί με τον ΓΚΠΔ από την σύστασή του, παρά την υποχρέωση που έχει, με αποτέλεσμα η παράβαση να έχει μεγάλη διάρκεια. iii) Το γεγονός ότι ο υπεύθυνος επεξεργασίας δεν προέβη στην κοινοποίηση των ανωτέρω παραβάσεων στην Αρχή, αλλά αντιθέτως η Αρχή ενημερώθηκε μέσω του ελέγχου που πραγματοποίησε στο πλαίσιο της συντονισμένης δράσης. iv) Το γεγονός ότι ο υπεύθυνος επεξεργασίας δραστηριοποιείται σε εθνικό επίπεδο αυξάνει τη βαρύτητα της έκτασης της επεξεργασίας. v) Το γεγονός ότι δεν μπορεί να βεβαιωθεί εάν προέκυψε υλική βλάβη για τα υποκείμενα των δεδομένων, καθώς και ο αριθμός των πιθανώς επηρεαζόμενων υποκειμένων των δεδομένων. vi) Το γεγονός ότι ο υπεύθυνος επεξεργασίας επέδειξε απροθυμία στη συνεργασία με την Αρχή, παραλείποντας να παράσχει εγκαίρως τις πληροφορίες που του ζητήθηκαν. vii) Το γεγονός ότι, αν και εκπροθέσμως, ο υπεύθυνος επεξεργασίας υπέβαλε τελικά το ανωτέρω ερωτηματολόγιο. viii) Tο γεγονός ότι δεν έχει διαπιστωθεί προηγούμενη αντίστοιχη παράβαση μη συνεργασίας με την Αρχή από τον υπεύθυνο επεξεργασίας. Η Αρχή κρίνει ότι, με βάση τις παραβάσεις που διαπιστώθηκαν, η κύρωση που αναφέρεται στο διατακτικό της απόφασης είναι το αποτελεσματικό, αναλογικό και αποτρεπτικό μέτρο προς αποκατάσταση της συμμόρφωσης, 2 https://www.edpb.europa.eu/system/files/202401/edpb_guidelines_042022_calculationofadministrativefines_el_0.pdf 14 ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή λαμβάνοντας υπόψη τα παραπάνω: α) Επιβάλλει με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, διοικητικό πρόστιμο στο Υπουργείο Κλιματικής Κρίσης και Πολιτικής Προστασίας συνολικού ύψους 5.000 ευρώ, για την παράβαση του άρθρου 31 του Κανονισμού (ΕΕ) 2016/
65. β) Επιβάλλει με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, διοικητικό πρόστιμο στο Υπουργείο Κλιματικής Κρίσης και Πολιτικής Προστασίας συνολικού ύψους 25.000 ευρώ, για την παράβαση του άρθρου 37 του Κανονισμού (ΕΕ) 2016/
66. γ) Επιβάλλει με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, διοικητικό πρόστιμο στο Υπουργείο Κλιματικής Κρίσης και Πολιτικής Προστασίας συνολικού ύψους 20.000 ευρώ, για τις παραβάσεις των άρθρων 12 και 32 παρ. 1 και 2, σε συνδυασμό προς το άρθρο 5 παρ. 1 στοιχ. α’, γ’, και στ’, καθώς και των άρθρων 25 και 30 του Κανονισμού (ΕΕ) 2016/
67. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 15