Πρόστιμο για παραβίαση της αρχής της ελαχιστοποίησης

(5)ημέρες μετά τη διάγνωση. Ωστόσο, κατά την ημερομηνία λήξης της πενθήμερης απομόνωσης, ήτοι στις 28-03-2022, συστάθηκε, κατά τους ισχυρισμούς της καταγγέλλουσας, από τον θεράποντα ιατρό της η λήψη πενθήμερης άδειας λόγω κόπωσης της τελευταίας μετά την υποχώρηση των συμπτωμάτων του κορωνοϊού. Ακολούθως, στις 29-03-2022 και ενώ είχε εκδοθεί το σχετικό Δελτίο Αδείας της καταγγέλλουσας για το χρονικό διάστημα από 28-03-2022 μέχρι 01-042022, η ίδια προσήλθε, κατόπιν διενέργειας αυτοδιαγνωστικού ελέγχου που απέβη αρνητικός, όπως αναφέρεται στην καταγγελία, στις εγκαταστάσεις της καταγγελλομένης προς υποστήριξη θέματος που την αφορούσε και θα συζητείτο ενώπιον του Διοικητικού Συμβουλίου της ΔΕΥΑ Χ. Μάλιστα, κατά τα καταγγελλόμενα, ο Πρόεδρος του εν λόγω Διοικητικού Συμβουλίου ανέφερε στην καταγγέλλουσα ότι μπορούσε να παρασταθεί, εάν το επιθυμούσε. Η καταγγέλλουσα σημειώνει ότι όταν προσήλθε κατέστη γνωστό προφορικά στη Γραμματέα του Διοικητικού Συμβουλίου το γεγονός της νόσησής της το προηγούμενο χρονικό διάστημα λόγω του ότι ρωτήθηκε σχετικά ενώπιόν της από τον Διευθυντή της Διοικητικής - Οικονομικής Υπηρεσίας της ΔΕΥΑ Χ. Στη δε συνεδρίαση που αφορούσε στην εξέταση του θέματος της καταγγέλλουσας παρίσταντο επτά άτομα διά ζώσης περιλαμβανομένης και της Γενικής Διευθύντριας της ΔΕΥΑ Χ. Επιπλέον, σύμφωνα με τα καταγγελλόμενα, στις 30-03-2022 ζητήθηκε από τη ΔΕΥΑ Χ η αποστολή του αποτελέσματος του αυτοδιαγνωστικού ελέγχου, στον οποίο υπεβλήθη η καταγγέλλουσα κατά την ημερομηνία της ως άνω συνεδρίασης του Διοικητικού Συμβουλίου. Σημειώνεται δε ότι η καταγγέλλουσα ανταποκρινόμενη στο αίτημα περί συλλογής από τη ΔΕΥΑ Χ του εν λόγω αποτελέσματος, απέστειλε το τελευταίο στις 30-03-2022 στη διεύθυνση ηλεκτρονικού ταχυδρομείου του προσωπικού της καταγγελλομένης. Περαιτέρω, η Γενική Διευθύντρια της ΔΕΥΑ Χ στις 31-03-2022 απέστειλε ηλεκτρονικό μήνυμα στο Τμήμα Προσωπικού της ΔΕΥΑ Χ, στον Πρόεδρο και τη Γραμματεία του ΔΣ της ΔΕΥΑ Χ, στον Διευθυντή Διοικητικού – Οικονομικού καθώς και στην Προϊσταμένη του Διοικητικού Τμήματος της αυτής ως άνω καταγγελλομένης αναφερόμενη λεπτομερώς στην από 29-03-2022 παράσταση της καταγγέλλουσας ενώπιον του ανωτέρω Διοικητικού Συμβουλίου και απευθύνοντας το ερώτημα στην Προϊσταμένη του Διοικητικού Τμήματος περί του εάν είχε αναρτηθεί από την καταγγέλλουσα κατά την ημέρα παράστασής της ενώπιον του ΔΣ Βεβαίωση Αρνητικού Διαγνωστικού Ελέγχου Κορωνοϊού COVID-19, στο πλαίσιο «άτυπου», όπως σημειώνει, 2 σχετικού κανόνα. Σύμφωνα δε με τους ισχυρισμούς της καταγγέλλουσας, το επίμαχο ηλεκτρονικό μήνυμα ουδόλως εξυπηρετούσε το σκοπό της ενημέρωσης των μελών του ΔΣ της ΔΕΥΑ Χ, καθώς η διά ζώσης συνεδρίαση με την παρουσία της είχε ήδη λάβει χώρα, ενώ σημειώνεται, μεταξύ άλλων, στο πλαίσιο της υπό εξέταση καταγγελίας ότι η Γενική Διευθύντρια ουδέποτε ενημέρωσε εγγράφως τους εργαζόμενους της ΔΕΥΑ Χ γνωστοποιώντας τους τυχόν «άτυπους κανόνες» σχετικά με τη διαδικασία επιστροφής νοσησάντων υπαλλήλων στις εγκαταστάσεις της καταγγελλομένης. Επιπλέον, τονίζεται ότι ο αποδέκτης του επίμαχου μηνύματος της Γενικής Διευθύντριας λόγω της φύσεως του ερωτήματος που ετίθετο, ήτοι εάν καταχωρήθηκε βεβαίωση αρνητικού διαγνωστικού ελέγχου κορωνοϊού, ήταν η Προϊσταμένη του Διοικητικού Τμήματος και ως εκ τούτου η κοινοποίηση στους λοιπούς αποδέκτες ήταν περιττή. Ακολούθως, σύμφωνα με τα καταγγελλόμενα, η Γενική Διευθύντρια της ΔΕΥΑ Χ απέστειλε προς την Αυτοτελή Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ, το με αριθ. πρωτ. … έγγραφο, με το οποίο ζητήθηκε ενημέρωση σχετικά με τον προσδιορισμό των μέτρων που πρέπει να λάβει η ΔΕΥΑ Χ προκειμένου οι ενέργειές της να είναι εναρμονισμένες με τα κατεπείγοντα μέτρα αντιμετώπισης των αρνητικών συνεπειών της εμφάνισης του COVID-19 και της ανάγκης περιορισμού της διάδοσής του, ενώ παράλληλα ζητήθηκε ενημέρωση για το κατά πόσο νομιμοποιείτο η διά ζώσης συμμετοχή της καταγγέλλουσας στην από 29-03-2022 συνεδρίαση του ΔΣ της ΔΕΥΑ Χ. Η δε Γενική Διευθύντρια εξέθεσε στο ανωτέρω έγγραφο προς την προαναφερόμενη Διεύθυνση της Περιφέρειας Ψ λεπτομερές ιστορικό νόσησης της καταγγέλλουσας επισυνάπτοντας, μεταξύ άλλων, και τα αποτελέσματα των σχετικών παλιότερων διαγνωστικών ελέγχων στους οποίους είχε υποβληθεί η καταγγέλλουσα, καθώς και τις ιατρικές γνωματεύσεις που είχε προσκομίσει η τελευταία στην Υπηρεσία της. Μάλιστα, το αυτό έγγραφο που η Γενική Διευθύντρια της ΔΕΥΑ Χ απηύθυνε στην προαναφερόμενη Διεύθυνση, το προώθησε περαιτέρω, περιλαμβανομένων, μάλιστα, και των συνημμένων εγγράφων που το συνόδευαν, κατά τα προεκτεθέντα, στα μέλη του ΔΣ της ΔΕΥΑ Χ. Εξάλλου, όπως σημειώνει η καταγγέλλουσα, στα επισυναπτόμενα έγγραφα περιλαμβάνονταν δεδομένα της όπως ο Αριθμός Μητρώου Κοινωνικής της Ασφάλισης, ο αριθμός Φορολογικού της Μητρώου και το τηλέφωνο επικοινωνίας της, για την κοινοποίηση των οποίων σε τρίτους και μάλιστα χωρίς τη συγκατάθεση της τελευταίας ουδείς λόγος συνέτρεχε. Σε απάντηση του ανωτέρω εγγράφου 3 της ΔΕΥΑ Χ, η ανωτέρω Αυτοτελής Διεύθυνση με το με αριθ. πρωτ. … έγγραφο επεσήμανε ότι μόνοι αρμόδιοι φορείς για τη διενέργεια ιχνηλάτησης είναι η Γενική Γραμματεία Πολιτικής Προστασίας και ο Εθνικός Οργανισμός Δημόσιας Υγείας, οι οποίοι συλλέγουν, επεξεργάζονται και διαχειρίζονται κατ’ αποκλειστικότητα τα στοιχεία των επιβεβαιωμένων κρουσμάτων COVID-19 παραπέμποντας παράλληλα στο με αριθ. 6214/23-12-2021 τ. Β’ ΦΕΚ με τις τροποποιήσεις του για τα εφαρμοστέα μέτρα και τις διαδικασίες απομόνωσης. Ενόψει των ανωτέρω, η καταγγέλλουσα παραπονείται για παράνομη επεξεργασία των ανωτέρω ειδικής κατηγορίας δεδομένων που αφορούν στην υγεία της, καθ’ όσον αυτά γνωστοποιήθηκαν σε τρίτους χωρίς την προηγούμενη ενημέρωση και συγκατάθεσή της, μολονότι, μάλιστα, ο μοναδικός σκοπός που γνωστοποίησε τα εν λόγω δεδομένα στην ήδη καταγγελλόμενη ΔΕΥΑ Χ ήταν η λήψη αναρρωτικής άδειας. Εξάλλου, κατά τους ισχυρισμούς της καταγγέλλουσας, θα μπορούσαν να είχαν διαγραφεί τα στοιχεία της από τα ανωτέρω έγγραφα που την αφορούσαν και γνωστοποιήθηκαν σε τρίτους, κατά τα προδιαλαμβανόμενα. Αναφορικά με τα πραγματικά περιστατικά που ακολούθησαν της ως άνω επίμαχης επεξεργασίας των προσωπικών δεδομένων της καταγγέλλουσας, η τελευταία αναφέρει ότι με την από 23-05-2022 αίτησή της προς τον Υπεύθυνο Προστασίας Δεδομένων της ΔΕΥΑ Χ ζήτησε, μεταξύ άλλων, όπως της γνωστοποιηθεί το κατά πόσο ήταν ενήμερος ο ίδιος ο Υπεύθυνος Προστασίας Δεδομένων για την γνωστοποίηση και περαιτέρω διαβίβαση προς τρίτους των δεδομένων που αφορούν στην υγεία της καθώς και για το σκοπό της επίμαχης επεξεργασίας. Περαιτέρω, με την αυτή ως άνω αίτησή της η καταγγέλλουσα δήλωσε στη ΔΕΥΑ Χ αφενός ότι επιθυμεί να περιοριστεί η επεξεργασία των δεδομένων που αφορούν στην κατάσταση της υγείας της, αφετέρου ότι «αντιτίθεται στη διαγραφή τους», καθώς έχει αντιρρήσεις για την επεξεργασία τους, σύμφωνα με το άρθρο 21 παρ. 1 του ΓΚΠΔ, η οποία βασίζεται στο άρθρο 6 παρ. 1 στοιχ. ε’ ή στ’ ΓΚΠΔ. Στη δε από 24-05-2022 απάντησή του ο Υπεύθυνος Προστασίας Δεδομένων της ΔΕΥΑ Χ ανέφερε ότι δεν είχε λάβει γνώση του περιστατικού που παρατέθηκε από την καταγγέλλουσα, ενώ με την από 30-05-2022 απάντησή του προς την καταγγέλλουσα, παρείχε προς την τελευταία την εξής ενημέρωση: «…όσον αφορά τα δεδομένα υγείας του Υπαλλήλου, αυτά τυγχάνουν επεξεργασίας εκ μέρους της ΔΕΥΑ Χ για τον σκοπό της παροχής αναρρωτικών αδειών ή εάν είναι απαραίτητα για την παροχή των υπηρεσιών του Υπαλλήλου προς την ΔΕΥΑ Χ. Η επεξεργασία τους μπορεί 4 να είναι απαραίτητη βάσει του εργατικού δικαίου και του δικαίου κοινωνικής ασφάλισης, όσο και για την επιβεβαίωση της καταλληλότητάς τους για τη συγκεκριμένη θέση εργασίας στα πλαίσια του περιοδικού ιατρικού ελέγχου που διενεργεί ο Ιατρός Εργασίας». Ακολούθως, αναφέρεται ότι στις 03-06-2022 κοινοποιήθηκαν στη ΔΕΥΑ Χ μέσω του Υπευθύνου Προστασίας Δεδομένων η αίτηση εναντίωσης στην επίμαχη επεξεργασία καθώς και η αίτηση περιορισμού της επεξεργασίας των προσωπικών δεδομένων της καταγγέλλουσας. Με τη με αριθ. πρωτ. … αίτησή της προς την ΔΕΥΑ Χ, η καταγγέλλουσα επανέφερε τα ως άνω αιτήματα περί εναντίωσης και περιορισμού της επεξεργασίας, αφού ζήτησε να ενημερωθεί, μεταξύ άλλων, σχετικά με τη νομιμότητα και το σκοπό για τον οποίο έλαβε χώρα η γνωστοποίηση και διαβίβαση προς τρίτους των δεδομένων υγείας της. Ακολούθως, η ΔΕΥΑ Χ με το με αριθ. πρωτ. … έγγραφο που απέστειλε στην καταγγέλλουσα υποστήριξε, μεταξύ άλλων, ότι τόσο το Διοικητικό Συμβούλιο της ΔΕΥΑ Χ όσο και η Γενική Διευθύντρια και ο Οικονομικός Διευθυντής ασκούν διοίκηση και ως εκ τούτου κάτι τέτοιο απαιτεί πρόσβαση, επεξεργασία και έλεγχο προσωπικών στοιχείων του προσωπικού για την επίτευξη του επιδιωκόμενου σκοπού στο πλαίσιο άσκησης αποτελεσματικής διοίκησης. Αναφορικά με τη διαβίβαση των επίμαχων δεδομένων της καταγγέλλουσας προς την Περιφέρεια Ψ, η ΔΕΥΑ Χ επικαλείται ότι η επεξεργασία ήταν σύννομη, καθ’ όσον έλαβε χώρα επί τη βάσει του άρθρου 24 παρ. 1 περ. α’ και δ’ του ν. 4624/2019, ενώ καταλήγει να καλεί την καταγγέλλουσα να παράσχει εξηγήσεις αναφορικά με το πώς περιήλθαν στη γνώση της υπηρεσιακά έγγραφα και ηλεκτρονικά μηνύματα που την αφορούσαν και των οποίων δεν ήταν αποδέκτης. Επιπλέον, στο πλαίσιο της υπό εξέταση καταγγελίας, μνημονεύεται, μεταξύ άλλων, και η με αριθ. πρωτ. … επιστολή της ΔΕΥΑ Χ προς την Αυτοτελή Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ, με την οποία έγινε δεκτή, κατά τα καταγγελλόμενα, η αίτηση περιορισμού και εναντίωσης στην επεξεργασία προσωπικών δεδομένων της καταγγέλλουσας. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, με το με αριθ. πρωτ. Γ/ΕΞ/3100/05-12-2022 έγγραφό της, ζήτησε από τη ΔΕΥΑ Χ διευκρινίσεις επί των καταγγελλομένων καλώντας την τελευταία να τοποθετηθεί ιδίως ως προς τις επίμαχες επεξεργασίες των δεδομένων υγείας της καταγγέλλουσας (ήτοι της κατά τους ισχυρισμούς της κοινοποίησης αυτών τόσο προς τα μέλη του ΔΣ της ΔΕΥΑ Χ καθώς και στον Διευθυντή Διοικητικού – Οικονομικού, όσο και προς το Τμήμα Πολιτικής Προστασίας της Περιφέρειας 5 Ψ), να διευκρινίσει εάν έλαβε χώρα εκ μέρους της ενημέρωση του Υπευθύνου Προστασίας Δεδομένων της Υπηρεσίας τους (προσκομίζοντας τα τυχόν υπάρχοντα σχετικά έγγραφα) καθώς και να προσδιορίσει πώς περιήλθαν το πρώτον, ήτοι στις 29-03-2022, σε γνώση του Διευθυντή Διοικητικού - Οικονομικού τα δεδομένα υγείας της καταγγέλλουσας. Ακολούθως, η Αρχή, στο πλαίσιο εξέτασης της εν λόγω καταγγελίας, με το με αριθ. πρωτ. Γ/ΕΞ/3101/0512-2022 έγγραφό της ζήτησε διευκρινίσεις από την Αυτοτελή Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ, ζητώντας της, ιδίως, να προσδιορίσει ποια δεδομένα της καταγγέλλουσας τυχόν επεξεργάζεται κατά λόγο αρμοδιότητας, στο πλαίσιο της νόσησης της τελευταίας από COVID-19, καθώς και να εκθέσει τις ενέργειες στις οποίες έχει προβεί αναφορικά με την υπόθεση της καταγγέλλουσας από τη λήψη του πρώτου σχετικού εγγράφου που έλαβε, ήτοι από την 1η-04-2022 μέχρι και την ημερομηνία λήψης του ανωτέρω εγγράφου της Αρχής, προσκομίζοντας και τα τυχόν υπάρχοντα σχετικά έγγραφα. Κατόπιν δε αυτού, με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/12638/16-12-2022 απαντητικό έγγραφό της, η ΔΕΥΑ Χ, αφού επαναλαμβάνει το ιστορικό νόσησης της καταγγέλλουσας αναφέρει, συνοπτικά, μεταξύ άλλων, τα ακόλουθα: καταρχάς σημειώνει ότι η καταγγέλλουσα δεν νομιμοποιείτο όπως προβεί σε επεξεργασία και ειδικότερα, λήψη και επίκληση σε έγγραφο που απηύθυνε η τελευταία προς τη ΔΕΥΑ Χ μηνυμάτων ηλεκτρονικού ταχυδρομείου μεταξύ μελών του ΔΣ της καταγγελλομένης και προσωπικού αυτής και τα οποία αφορούσαν στην καταγγέλλουσα. Ακολούθως, για την περιέλευση των δεδομένων υγείας της καταγγέλλουσας στη γνωστική σφαίρα του Οικονομικού Διευθυντή της ΔΕΥΑ Χ, η ΔΕΥΑ Χ επισημαίνει ότι λόγω της φύσης των αρμοδιοτήτων του τελευταίου περί κατάρτισης μισθοδοσίας και χορήγησης αδειών, καθίστατο αναγκαία η εκ μέρους του επεξεργασία των επίμαχων δεδομένων της καταγγέλλουσας. Υποστηρίζεται δε, ότι η προφορική αναφορά του εν λόγω Διευθυντή στην κατάσταση της υγείας της καταγγέλλουσας ενώπιον τόσο της τελευταίας όσο και έτερου υπαλλήλου του προσωπικού της ΔΕΥΑ Χ, εκφεύγει του πεδίου εφαρμογής του ΓΚΠΔ. Επιπλέον, γίνεται αναφορά στο με αριθ. πρωτ. (ΔΕΥΑ Χ) … έγγραφο του Αυτοτελούς Τμήματος Πολιτικής Προστασίας της Περιφέρειας Ψ, σύμφωνα με το οποίο δεν έλαβε χώρα κάποια εκ μέρους του τελευταίου περαιτέρω επεξεργασία των δεδομένων της καταγγέλλουσας. Αναφορικά με την επίμαχη κοινοποίηση προς την Αυτοτελή Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ, η ΔΕΥΑ Χ σημειώνει ότι ήταν νόμιμη, στο μέτρο που η εν λόγω Υπηρεσία επεξεργάζεται συναφή δεδομένα νοσούντων με κορωνοϊό και επομένως ήδη 6 γνώριζε τα ως άνω δεδομένα της καταγγέλλουσας, ενώ έλαβε χώρα επί τη βάσει της διάταξης του άρθρου 24 παρ. 1 παρ. α’ και δ’ του ν. 4624/

1. Επισημαίνει περαιτέρω η καταγγελλόμενη ότι με το με αριθ. πρωτ. 7672/24-06-2022 έγγραφό της ζήτησε από την εν λόγω Αυτοτελή Διεύθυνση όπως της επιστραφεί ο φάκελος που αφορούσε στην υπόθεση της καταγγέλλουσας καθώς επίσης και τυχόν αντίγραφα αυτού προς διασφάλιση και περιορισμό οποιασδήποτε περαιτέρω επεξεργασίας. Προς τούτο παραθέτει και την απάντηση της ως άνω Αυτοτελούς Διεύθυνσης, η οποία επιβεβαιώνει από την πλευρά της ότι τα επίμαχα έγγραφα που αφορούσαν στην καταγγέλλουσα δεν έχουν διαβιβαστεί σε τρίτους, κανένας υπάλληλος ή τρίτος δεν είχε πρόσβαση στο περιεχόμενο του φακέλου που αφορούσε στην υπόθεση της καταγγέλλουσας και δεν έχει λάβει χώρα κανενός είδους επεξεργασία των επίμαχων δεδομένων της. Επιπλέον, η καταγγελλόμενη ΔΕΥΑ Χ επαναφέρει τον ισχυρισμό περί αναγκαιότητας περιέλευσης των εν λόγω δεδομένων τόσο στο Διοικητικό Συμβούλιο της ΔΕΥΑ Χ, όσο και στη Γενική Διευθύντρια και τον Διευθυντή Διοικητικού Οικονομικού στο πλαίσιο άσκησης αποτελεσματικής διοίκησης. Συμπληρώνει δε η καταγγελλόμενη ότι η σχετική ενημέρωση έλαβε χώρα και χάριν προστασίας της υγείας των μελών του ΔΣ αυτής, ενώ αναφέρει ότι ήταν η ίδια η καταγγέλλουσα που προσκόμισε στην Υπηρεσία την ιατρική βεβαίωση νόσησής της με κορωνοϊό γνωστοποιώντας με τον τρόπο αυτό την ιατρική της κατάσταση. Τέλος, η Αυτοτελής Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ με τη με αριθ. πρωτ. Γ/ΕΙΣ/12636/16-12-2023 απάντησή της προς την Αρχή, διευκρίνισε ότι ο Διευθυντής της εν λόγω Υπηρεσίας παρέλαβε σφραγισμένο φάκελο με τα έγγραφα που του διαβιβάστηκαν από την καταγγελλόμενη ΔΕΥΑ Χ και αφορούσαν στην καταγγέλλουσα, μνημονεύοντας και το με αριθ. πρωτ. … σχετικό απαντητικό τους έγγραφο, σύμφωνα με το οποίο παρέπεμπαν τη ΔΕΥΑ Χ στη Γενική Γραμματεία Πολιτικής Προστασίας και στον Εθνικό Οργανισμό Δημόσιας Υγείας ως φορείς που επεξεργάζονται κατ’ αποκλειστικότητα τα δεδομένα των επιβεβαιωμένων κρουσμάτων κορωνοϊού καθώς επίσης και στις ισχύουσες κανονιστικές διατάξεις για τα μέτρα και τις διαδικασίες απομόνωσης. Ακολούθως η εν λόγω Αυτοτελής Διεύθυνση επιβεβαιώνει ότι έλαβε το προαναφερόμενο με αριθ. πρωτ. … έγγραφο της ΔΕΥΑ Χ επί του οποίου απάντησε τα εξής: «α) τα δεδομένα αυτά δεν έχουν διαβιβαστεί σε τρίτους, είτε εντύπως είτε ψηφιακά, σε φυσικά ή νομικά πρόσωπα εφαρμόζοντας απαρεγκλίτως τη σχετική νομοθεσία περί προστασίας των προσωπικών δεδομένων. β) Κανένα άτομο της Υπηρεσίας μας ή τρίτος δεν είχε με οποιοδήποτε τρόπο 7 πρόσβαση τόσο στο περιεχόμενο όσο και στα αναγραφόμενα των στοιχείων που παρελήφθησαν, αφού εκ μέρους του Δ/ντή υπήρξε σχετική μέριμνα και γ) Τα περιεχόμενα εντός του φακέλου στοιχεία, δεν έχουν υποστεί καμία απολύτως μορφή επεξεργασίας και τηρούνται αυστηρά στην αρχική τους μορφή και κατάσταση». Τέλος, η ως άνω Αυτοτελής Διεύθυνση αναφέρει ότι με το απαντητικό τους έγγραφο προς τη ΔΕΥΑ Χ επεστράφη στην τελευταία και ο επίμαχος φάκελος, καθ’ όσον η Διεύθυνση στερείτο οποιασδήποτε έτερης αρμοδιότητας σχετικά με την επίμαχη υπόθεση. Κατόπιν τούτων, η Αρχή κάλεσε με τις με αριθ. πρωτ. Γ/ΕΞΕ/1503/12-06-2023, Γ/ΕΞΕ/1507/12-06-2023 και Γ/ΕΞΕ/1509/12-06-2023 κλήσεις την καταγγέλλουσα, την Αυτοτελή Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ και την καταγγελλομένη, αντιστοίχως, σε ακρόαση, ώστε να ακουστούν στην από 21-06-2023 συνεδρίαση μέσω τηλεδιάσκεψης του αρμόδιου Τμήματος. Στην ως άνω συνεδρίαση παραστάθηκαν η μεν καταγγέλλουσα μετά της πληρεξούσιας δικηγόρου της, Άννας Κωνσταντοπούλου, (με ΑΜ ΔΣ Αθηνών …), η δε καταγγελλόμενη ΔΕΥΑ Χ εκπροσωπήθηκε από τον πρόεδρο του Διοικητικού της Συμβουλίου, Β, ενώ παρέστησαν και η Γενική Διευθύντρια της ΔΕΥΑ Χ, Γ, ο Προϊστάμενος της Διεύθυνσης Διοικητικής – Οικονομικής Υπηρεσίας της ΔΕΥΑ Χ, Δ καθώς και ο πληρεξούσιος δικηγόρος της καταγγελλομένης, Νικόλαος Καπτανής, (με ΑΜ ΔΣ …). Παρών ήταν και ο Υπεύθυνος Προστασίας Δεδομένων της ΔΕΥΑ Χ, Ε, για την περίπτωση που παρίστατο ανάγκη περαιτέρω διευκρινίσεων. Η Αυτοτελής Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ εκπροσωπήθηκε κατά την ακρόαση από τον Διευθυντή της, ΣΤ, ο οποίος, αφού επανέλαβε τα υποστηριζόμενα και στο με αριθ. πρωτ. Γ/ΕΙΣ/12636/16-12-2022 έγγραφο που είχε απευθύνει στην Αρχή, απάντησε στις ερωτήσεις που του τέθηκαν ενώπιον του Τμήματος της Αρχής υποστηρίζοντας, μεταξύ άλλων, ότι ο επίμαχος φάκελος που αφορούσε στην καταγγέλλουσα έχει επιστραφεί στη ΔΕΥΑ Χ, χωρίς να έχει λάβει χώρα εκ μέρους της Υπηρεσίας του καμία επεξεργασία. Τόνισε δε ότι κατά το χρόνο που μεσολάβησε μέχρι την επιστροφή του επίμαχου φακέλου στη ΔΕΥΑ Χ, ο τελευταίος ήταν φυλαγμένος χωρίς να έχει πρόσβαση σε αυτόν κανένας άλλος πλην του Διευθυντή και αφού επιβεβαίωσε ότι σε ενεστώτα χρόνο δεν τηρείται στο αρχείο της Υπηρεσίας του κανένα δεδομένο που να αφορά στην καταγγέλλουσα, αποχώρησε από την τηλεδιάσκεψη με τη σύμφωνη γνώμη του Προέδρου του Τμήματος. Μετά την εν λόγω ακρόαση δόθηκε τόσο στην καταγγέλλουσα όσο και στην καταγγελλόμενη ΔΕΥΑ Χ προθεσμία προσκομίσεως τυχόν υπομνημάτων προς περαιτέρω υποστήριξη των ισχυρισμών τους μέχρι τις 07-07-
2. 8 Ακολούθως, η καταγγέλλουσα υπέβαλε εμπροθέσμως το με αριθ. πρωτ. Γ/ΕΙΣ/5024/06-07-2023 υπόμνημά της, στο οποίο αναφέρει, μεταξύ άλλων, ότι σύμφωνα και με την από 09-09-2022 επιστολή που έλαβε από τον Υπεύθυνο Προστασίας Δεδομένων της ΔΕΥΑ Χ, σκοπός της επεξεργασίας των δεδομένων υγείας των υπαλλήλων της καταγγελλομένης είναι η παροχή αναρρωτικών αδειών ή η εξυπηρέτηση της παροχής υπηρεσιών προς τη ΔΕΥΑ Χ. Επισημαίνει δε, η καταγγέλλουσα ότι τα όργανα της καταγγελλόμενης Διαδημοτικής Επιχείρησης ως ειδικού δημοσίου σκοπού τοιαύτης που λειτουργεί ως νομικό πρόσωπο ιδιωτικού δικαίου κοινωφελούς χαρακτήρα, διεπόμενο από τους κανόνες της ιδιωτικής οικονομίας, δεν αποτελούν διοικητικά όργανα και οι πράξεις ή παραλείψεις τους δεν αφορούν την ενάσκηση δημόσιας εξουσίας. Τονίζεται δε ότι τόσο η ΔΕΥΑ Χ όσο και η Αυτοτελής Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ δεν είναι αρμόδιες για την παρακολούθηση, αξιολόγηση, ιχνηλάτηση, έλεγχο της επιδημίας του κορωνοϊού καθώς και ότι η ως άνω Αυτοτελής Διεύθυνση και τα μέλη του ΔΣ της ΔΕΥΑ Χ δεν εξουσιοδοτούνται όπως λαμβάνουν τα δεδομένα υγείας της καταγγέλλουσας. Τέλος, η καταγγέλλουσα αφού συνοψίζει εκ νέου τα πραγματικά περιστατικά της επίμαχης ημέρας της συνεδρίασης του ΔΣ της ΔΕΥΑ Χ, διευκρινίζει ότι το θέμα που θα συζητείτο και την αφορούσε, σχετιζόταν με υπηρεσιακό ζήτημα κάλυψης θέσης ευθύνης (βλ. σελ. 19-21 του μετ’ ακρόαση υπομνήματος της καταγγέλλουσας). Η δε καταγγελλόμενη ΔΕΥΑ Χ απέστειλε εμπροθέσμως το με αριθ. πρωτ. Γ/ΕΙΣ/5059/07-07-2023 υπόμνημά της με το οποίο, αφού επαναφέρει εν πολλοίς τους αυτούς ισχυρισμούς με το ως άνω υπ΄αριθ. πρωτ. Γ/ΕΙΣ/12638/16-12-2022 έγγραφό της προς την Αρχή, σημειώνει συνοπτικά, μεταξύ άλλων, τα ακόλουθα: Επισημαίνεται από τη ΔΕΥΑ Χ ότι η καταγγέλλουσα παρουσίασε κατά την επίμαχη συνεδρίαση του ΔΣ στις 29-03-2022 διαφορετική εικόνα της κατάστασης της υγείας της από αυτή που βεβαίωσε κατόπιν κλινικής εξέτασης ο ιατρός, ο οποίος διέγνωσε στην από 28-03-2023 γνωμάτευσή του ότι η καταγγέλλουσα έπασχε από κορωνοϊό με συμπτώματα πυρετού και κόπωσης. Η καταγγελλόμενη επαναφέρει τον ισχυρισμό περί σύννομης κοινοποίησης των δεδομένων της καταγγέλλουσας στην Αυτοτελή Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ, καθ’ όσον η τελευταία επεξεργάζεται συναφή προσωπικά δεδομένα οπότε ήδη γνώριζε τα δεδομένα της καταγγέλλουσας. Αναφέρεται, μάλιστα, η ΔΕΥΑ Χ και στη δυσχέρεια διαπίστωσης της αρμόδιας υπηρεσίας ή του ορθού προς εφαρμογή νόμου λόγω του πολυδαίδαλου εθνικού νομοθετικού πλαισίου. Εν συνεχεία, η καταγγελλομένη 9 επαναλαμβάνει το περιεχόμενο του υπ’ αριθ. πρωτ. … εγγράφου της Αυτοτελούς Διεύθυνσης Πολιτικής Προστασίας της Περιφέρειας Ψ καταλήγοντας στο ότι δεν υπήρξε καμία παραβίαση της νομοθεσίας περί προσωπικών δεδομένων, καθώς επιβεβαιώνεται ότι τα κοινοποιηθέντα δεδομένα της καταγγέλλουσας δεν υπέστησαν κάποια επεξεργασία από την προαναφερόμενη Διεύθυνση. Περαιτέρω, η ΔΕΥΑ Χ στηρίζει τον σύννομο χαρακτήρα της κοινοποίησης των δεδομένων της καταγγέλλουσας προς την ανωτέρω Διεύθυνση στη διάταξη του άρθρου 24 παρ. 1 εδ. α΄ και δ΄ του ν. 4624/
3. Αναφορικά δε με την επίμαχη (εκ των υστέρων) ενημέρωση των στελεχών της ΔΕΥΑ Χ για την κατάσταση υγείας της καταγγέλλουσας, η ΔΕΥΑ Χ τη θεωρεί εύλογη ιδίως ενόψει του ότι ορισμένα μέλη του ΔΣ τελούν υπό ανοσοκαταστολή. Επιπλέον, η καταγγελλομένη επισημαίνει ότι ο Διευθυντής Οικονομικού της ΔΕΥΑ Χ είναι επιφορτισμένος με τις μισθοδοσίες και τη χορήγηση αδειών και επομένως νομίμως επεξεργάζεται τα επίμαχα δεδομένα υγείας της καταγγέλλουσας. Ακολούθως η ΔΕΥΑ Χ σημειώνει ότι το ΔΣ αυτής όπως επίσης και η Γενική Διευθύντρια και ο Οικονομικός Διευθυντής επεξεργάζονται δεδομένα των εργαζομένων στο πλαίσιο άσκησης αποτελεσματικής διοίκησης. Εντός δε του προαναφερόμενου πλαισίου εστάλη το επίμαχο από 31-03-2022 μήνυμα ηλεκτρονικού ταχυδρομείου από τη Γενική Διευθύντρια (και) στα μέλη του ΔΣ, τα οποία ασκούν τα καθήκοντά τους σε πλαίσιο εχεμύθειας άλλως δεν θα ασκούντο συννόμως τα διευθυντικά καθήκοντα, καθώς οποιαδήποτε ασθένεια επηρεάζει την εύρυθμη λειτουργία της ΔΕΥΑ Χ και η σχετική ενημέρωση απαιτείται για την αναπροσαρμογή των υπηρεσιακών προτεραιοτήτων με βάση το διαθέσιμο ανθρώπινο δυναμικό. Σύμφωνα με την καταγγελλόμενη, η επεξεργασία των δεδομένων της καταγγέλλουσας έλαβε χώρα χάριν της προστασίας της δημόσιας υγείας και στο πλαίσιο της άσκησης χρηστής διοίκησης. Μάλιστα, η ΔΕΥΑ Χ επαναφέρει τον ισχυρισμό περί μη σύννομης επεξεργασίας εκ μέρους της καταγγέλλουσας υπηρεσιακών μηνυμάτων ηλεκτρονικής αλληλογραφίας που την αφορούσαν. Τέλος, η καταγγελλόμενη επικαλείται τη δυσχερή οικονομική της κατάσταση με τη σημαντική ελάττωση της εισπραξιμότητάς της και την αύξηση των πάγιων και ανελαστικών δαπανών της, τονίζοντας τον χαρακτήρα της ως παρέχουσας ένα δημόσιο αγαθό επιχείρησης και επισημαίνοντας τον κίνδυνο οικονομικού αδιεξόδου και συνέχισης της λειτουργίας της που θα προκαλούσε τυχόν επιβολή προστίμου σε βάρος της με τη συνακόλουθη λύση και εκκαθάριση αυτής. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, και κατόπιν διεξοδικής συζητήσεως, 10 ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
4. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού 2016/679) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας της Α, καθ’ όσον τα επίμαχα προσωπικά δεδομένα της καταγγέλλουσας, περιλαμβανομένων και δεδομένων υγείας της, κατά τα εκτενώς ως άνω αναφερόμενα, περιήλθαν στο σύστημα αρχειοθέτησης που τηρεί η εν λόγω Υπηρεσία για την καταγγέλλουσα ως υπάλληλο αυτής και ως εκ τούτου η εξαγωγή από το ως άνω σύστημα αρχειοθέτησης και περαιτέρω κοινοποίηση των δεδομένων αυτών σε έτερη Υπηρεσία, εν προκειμένω στην Αυτοτελή Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ συνιστά επεξεργασία υπαγόμενη στο πεδίο εφαρμογής των άρθρων 2 παρ. 1 του ΓΚΠΔ 1 και 2 του ν. 4624/
5. Περαιτέρω δε, η αποστολή με μήνυμα ηλεκτρονικού ταχυδρομείου δεδομένων υγείας της καταγγέλλουσας από τη Γενική Διευθύντρια της καταγγελλομένης προς τα μέλη του ΔΣ της τελευταίας, καθώς και προς τη Γραμματεία του εν λόγω ΔΣ, τον Διευθυντή Διοικητικού – Οικονομικού και την Προϊσταμένη του Διοικητικού Τμήματος της ΔΕΥΑ Χ συνιστά αυτοματοποιημένη επεξεργασία υπαγόμενη καταρχήν, ωσαύτως κατά τα ανωτέρω, στο ρυθμιστικό πεδίο του ΓΚΠΔ και του ν. 4624/
6. 2.Επειδή, κατά το άρθρο 4 στοιχ. 2 του ΓΚΠΔ ως επεξεργασία νοείται «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η Σύμφωνα με την εν λόγω διάταξη: «Ο παρών κανονισμός εφαρμόζεται στην, εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης». 1 11 διαγραφή ή η καταστροφή», ενώ σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 4 στοιχ. 7 ΓΚΠΔ ως υπεύθυνος επεξεργασίας νοείται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα (…)».Σύμφωνα δε με την Γνώμη 1/2010 σχετικά με τις έννοιες του «υπευθύνου της επεξεργασίας» και του «εκτελούντος την επεξεργασία» της Ομάδας εργασίας του άρθρου 29 για τον καθορισμό του υπευθύνου επεξεργασίας, σύμφωνα με τον προαναφερόμενο ορισμό, λαμβάνονται υπόψη τρία κύρια στοιχεία: α) η προσωπική πτυχή («το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας»), β) το ενδεχόμενο πολλαπλού ελέγχου («που, μόνα ή από κοινού με άλλα») και γ) τα βασικά χαρακτηριστικά για τη διάκριση του υπευθύνου της επεξεργασίας από άλλους παράγοντες («καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα»). Επισημαίνεται, ότι η έννοια του υπευθύνου επεξεργασίας διαδραματίζει καθοριστικό ρόλο για την εφαρμογή των κανόνων προστασίας δεδομένων προσωπικού χαρακτήρα, την απόδειξη συμμόρφωσης με αυτούς (αρχή της λογοδοσίας, άρθρο 5 παρ. 2 ΓΚΠΔ) και την απόδοση ευθυνών σε περίπτωση παραβίασής τους. Περαιτέρω, επεξηγείται στην προαναφερθείσα Γνώμη 1/2010 αναφορικά με το πρώτο στοιχείο – κατά τα διαλαμβανόμενα στην αμέσως προηγούμενη παράγραφο: «Στη στρατηγική οπτική της κατανομής αρμοδιοτήτων, και προκειμένου να παρασχεθεί στα πρόσωπα στα οποία αναφέρονται τα δεδομένα μια πιο σταθερή και αξιόπιστη οντότητα αναφοράς για την άσκηση των δικαιωμάτων τους που απορρέουν από την οδηγία, είναι προτιμότερο να θεωρείται υπεύθυνος της επεξεργασίας η εταιρεία ή ο φορέας παρά ένα συγκεκριμένο πρόσωπο εντός της εταιρείας ή του φορέα. Η εταιρεία ή ο φορέας θα θεωρηθούν τελικά υπεύθυνοι για την επεξεργασία των δεδομένων και για τις υποχρεώσεις που απορρέουν από τη νομοθεσία για την προστασία των δεδομένων, εκτός εάν υπάρχουν σαφή στοιχεία που υποδεικνύουν ότι υπεύθυνο είναι ένα φυσικό πρόσωπο. Γενικά, πρέπει να τεκμαίρεται ότι η εταιρεία ή ο δημόσιος φορέας είναι υπεύθυνοι για τις δραστηριότητες επεξεργασίας οι οποίες λαμβάνουν χώρα στο πλαίσιο των δραστηριοτήτων και των κινδύνων τους. Ενίοτε, εταιρείες και δημόσιοι φορείς διορίζουν ένα συγκεκριμένο πρόσωπο υπεύθυνο για την εκτέλεση των εργασιών επεξεργασίας. Ωστόσο, ακόμη και στην περίπτωση στην οποία ένα συγκεκριμένο φυσικό πρόσωπο διορίζεται για να διασφαλίζει τη συμμόρφωση προς τις αρχές της προστασίας των δεδομένων ή για να επεξεργάζεται δεδομένα προσωπικού 12 χαρακτήρα, το εν λόγω φυσικό πρόσωπο δεν θα είναι ο υπεύθυνος της επεξεργασίας, αλλά θα ενεργεί για λογαριασμό της νομικής οντότητας (εταιρείας ή δημόσιου φορέα), η οποία θα παραμείνει υπεύθυνη σε περίπτωση παράβασης των αρχών υπό την ιδιότητά της ως υπευθύνου της επεξεργασίας (…) Ωστόσο, στη στρατηγική οπτική της κατανομής αρμοδιοτήτων, είναι προτιμότερο να θεωρείται υπεύθυνος της επεξεργασίας η εταιρεία ή ο φορέας παρά ένα συγκεκριμένο πρόσωπο εντός της εταιρείας ή του φορέα. Η εταιρεία ή ο φορέας θα θεωρηθούν τελικά υπεύθυνοι για την επεξεργασία των δεδομένων και τις υποχρεώσεις που απορρέουν από τη νομοθεσία για την προστασία των δεδομένων, εκτός εάν υπάρχουν σαφή στοιχεία που υποδεικνύουν ότι υπεύθυνο είναι ένα φυσικό πρόσωπο, για παράδειγμα όταν ένα φυσικό πρόσωπο το οποίο εργάζεται σε μια εταιρεία ή έναν δημόσιο φορέα χρησιμοποιεί δεδομένα για δικούς του στόχους, εκτός των δραστηριοτήτων της εταιρείας.» Επιπλέον, διευκρινίζεται στην προαναφερθείσα Γνώμη 1/2010 της ομάδας εργασίας του άρθρου 29 : «(…) Δεν έχει σημασία εάν η απόφαση επεξεργασίας δεδομένων είναι «νόμιμη», υπό την έννοια ότι η οντότητα που έλαβε τη σχετική απόφαση νομιμοποιούνταν να πράξει κάτι τέτοιο ή ότι ο υπεύθυνος της επεξεργασίας διορίσθηκε τυπικά, σύμφωνα με συγκεκριμένη διαδικασία. Το ζήτημα της νομιμότητας της επεξεργασίας δεδομένων προσωπικού χαρακτήρα θα έχει σημασία σε διαφορετικό στάδιο και θα αξιολογηθεί υπό το πρίσμα άλλων άρθρων (ειδικότερα, των άρθρων 6-8) της οδηγίας. Με άλλα λόγια, είναι σημαντικό να διασφαλίζεται ότι, ακόμη και στις περιπτώσεις εκείνες στις οποίες η επεξεργασία των δεδομένων είναι παράνομη, μπορεί εύκολα να εντοπισθεί ένας υπεύθυνος της επεξεργασίας και να του αποδοθεί ευθύνη για την επεξεργασία (…)»
7. Ενόψει των ανωτέρω προκύπτει ότι η καταγγελλόμενη ΔΕΥΑ Χ διά της Γενικής Διευθύντριάς της, η οποία, ακόμα και αν γίνει δεκτό ότι ενήργησε αυτοβούλως, σε κάθε περίπτωση δεν προκύπτει ούτε αποδεικνύεται από το σύνολο των στοιχείων του φακέλου ότι έδρασε για ιδίους στόχους εκτός του πεδίου και του δυνητικού ελέγχου των δραστηριοτήτων του καταγγελλόμενου νομικού προσώπου3, καθόρισε το σκοπό και τον τρόπο της επεξεργασίας των δεδομένων υγείας της καταγγέλλουσας και ως εκ τούτου αποτελεί υπεύθυνη επεξεργασίας. Ειδικότερα, με τις επίμαχες επεξεργασίες των δεδομένων Βλ. συναφώς και τη με αριθ. 54/2021 απόφαση της Αρχής, σκ. 4, διαθέσιμη στον ιστότοπο www.dpa.gr Γνώμη 1/2010 της Ο.Ε του άρθρου 29, WP 169 από 16.02.2010, διαθέσιμη στην ιστοσελίδα https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2010/wp169_en.pdf, σελ.
8. 2 3 13 που αφορούν στην καταγγέλλουσα, ιδίως δε με τη γνωστοποίηση δεδομένων υγείας της τελευταίας όχι μόνο εντός της σφαίρας του υπευθύνου επεξεργασίας αλλά και προς την Αυτοτελή Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ, η Γενική Διευθύντρια ενήργησε με γνώμονα τη διασφάλιση της ομαλής λειτουργίας των υπηρεσιών της καταγγελλόμενης επιχείρησης 4 ως υπεύθυνης επεξεργασίας. 3.Με το άρθρο 5 παρ. 1 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (εφεξής ΓΚΠΔ) τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία. Ειδικότερα, στην παράγραφο 1 ορίζεται ότι: «
9. Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· η περαιτέρω επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς δεν θεωρείται ασύμβατη με τους αρχικούς σκοπούς σύμφωνα με το άρθρο 89 παράγραφος 1 («περιορισμός του σκοπού»), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων») …».
10. Σημειώνεται, εξάλλου, ότι µε τον ΓΚΠ∆ υιοθετήθηκε ένα νέο µοντέλο συµµόρφωσης, κεντρικό µέγεθος του οποίου συνιστά η προαναφερόμενη αρχή της λογοδοσίας, στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρµόζει και εν γένει λαµβάνει τα αναγκαία µέτρα και πολιτικές, προκειµένου η επεξεργασία των δεδοµένων να είναι σύµφωνη µε τις σχετικές νοµοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται µε το περαιτέρω καθήκον να αποδεικνύει από µόνος του και ανά πάσα στιγµή τη συµµόρφωσή του µε τις αρχές του άρθρου 5 παρ. 1 ΓΚΠ∆. ∆εν είναι τυχαίο ότι ο ΓΚΠ∆ εντάσσει τη λογοδοσία (βλ. άρθρο 5 παρ. 2 ΓΚΠ∆) στη ρύθµιση των αρχών (άρθρο 5 παρ. 1 ΓΚΠ∆) που διέπουν την επεξεργασία, προσδίδοντας σε αυτήν, τη λειτουργία ενός µηχανισµού τήρησής τους, αντιστρέφοντας κατ’ ουσίαν το «βάρος της απόδειξης» ως προς τη νοµιµότητα της επεξεργασίας (και εν γένει την τήρηση των αρχών του άρθρου 5 παρ. 1 4 Βλ. συναφώς και άρθρο 19 του Οργανισμού Εσωτερικής Υπηρεσίας της καταγγελλομένης (ΦΕΚ …). 14 ΓΚΠ∆), µεταθέτοντάς τη στον υπεύθυνο επεξεργασίας, ώστε να υποστηρίζεται βάσιµα ότι εκείνος φέρει το βάρος της επίκλησης και απόδειξης της νοµιµότητας της επεξεργασίας
11. Επειδή, όπως έχει κρίνει η Αρχή 6, λαμβάνοντας υπ’ όψιν τις αποφάσεις του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ) 7 και του Συμβουλίου της Επικρατείας8, προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, ήτοι επεξεργασίας σύμφωνα προς τις απαιτήσεις του ΓΚΠΔ, θα πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ. Η ύπαρξη ενός νόμιμου θεμελίου (άρθρα 6 και 9 ΓΚΠΔ) δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των αρχών (άρθρου 5 παρ. 1 ΓΚΠΔ) αναφορικά με τον θεμιτό χαρακτήρα, την αναγκαιότητα και την αναλογικότητα και την αρχή της ελαχιστοποίησης
12. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπομένων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία παρίσταται ως μη νόμιμη (αντικείμενη στις διατάξεις του ΓΚΠΔ) και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρων 6 και 9 ΓΚΠΔ, για την επεξεργασία, αντιστοίχως, απλών και ειδικής κατηγορίας δεδομένων προσωπικού χαρακτήρα. Κατ’ ακολουθία, η κατά παράβαση των αρχών του άρθρου 5 ΓΚΠΔ μη νόμιμη συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης
13. 5.Εν προκειμένω, όπως προκύπτει εκ των στοιχείων του φακέλου της υπόθεσης (βλ. το με αριθ. πρωτ. … έγγραφο της καταγγελλομένης) η Γενική Διευθύντρια της ΔΕΥΑ Χ στις 31-032022 κοινοποίησε στο Τμήμα Προσωπικού της ΔΕΥΑ Χ, στον Πρόεδρο και τη Γραμματεία του ΔΣ της τελευταίας καθώς και στον Διευθυντή του Διοικητικού – Οικονομικού τμήματος αυτής, μήνυμα ηλεκτρονικού ταχυδρομείου, στο οποίο περιλαμβάνονταν δεδομένα που αφορούσαν στην καταγγέλλουσα, όπως ιδίως λεπτομερής ανάλυση της παράστασής της στην από 29-03-2022 συνεδρίαση του ΔΣ της καταγγελλομένης αναφορικά με τη νόσησή της από κορωνοϊό. Σκοπός δε του εν λόγω μηνύματος, κατά την καταγγελλόμενη, ήταν να τεθεί το ερώτημα προς την Προϊσταμένη του Διοικητικού τμήματος της ΔΕΥΑ Χ περί του αν είχε Βλ. συναφώς Αποφάσεις ΑΠΔ 25/2022, σκ. 1, 26/2019, σκ. 7 και ΑΠΔ 43/2019, σκ.
14. Βλ. ιδίως απόφαση 44/2019 της Αρχής, σκ. 17, και 54/2021, σκ. 8, διαθέσιμες στην ιστοσελίδα της. 7 Βλ. απόφαση ΔΕΕ της 16-01-2019 στην υπόθεση C-496/2017 Deutsche Post AG κατά Hauptzollamt Köln, σκ.
15. 8 Βλ. απόφαση ΣτΕ 517/2018, σκ.
16. 9 Βλ. Λ. Μήτρου, ο γενικός κανονισμός προστασίας προσωπικών δεδομένων (νέο δίκαιο-νέες υποχρεώσειςνέα δικαιώματα), εκδ. Σάκκουλα, 2017 σελ. 58 και 69-
17. 10 Βλ. ιδίως αποφάσεις 54/2021 και 38/2004 της Αρχής, διαθέσιμες στην ιστοσελίδα της. 5 6 15 καταθέσει η καταγγέλλουσα Βεβαίωση αρνητικού διαγνωστικού ελέγχου κορωνοϊού αναρτημένο στο σύστημα gov.gr κατά την επίμαχη συνεδρίαση της 29ης-03-
18. Από την εξέταση δε, των στοιχείων του φακέλου, προκύπτει ότι έλαβε χώρα, επίσης εκ μέρους της Γενικής Διευθύντριας της καταγγελλομένης, αποστολή του με αριθ. πρωτ. … εγγράφου προς όλα τα μέλη του ΔΣ της τελευταίας με το οποίο τους κοινοποιήθηκε το με αριθ. πρωτ. (της ΔΕΥΑ Χ) … έγγραφο που είχε σταλεί προς την Αυτοτελή Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ. Με το εν λόγω έγγραφο, το οποίο περιελάμβανε ως συνημμένα στοιχεία, μεταξύ άλλων, τις ιατρικές γνωματεύσεις της καταγγέλλουσας και τα αποτελέσματα των διαγνωστικών ελέγχων στους οποίους υποβλήθηκε η τελευταία, ζητήθηκε από την ως άνω Αυτοτελή Διεύθυνση να παράσχει ενημέρωση αφενός για τα μέτρα που οφείλει να λάβει η ΔΕΥΑ Χ προκειμένου να εναρμονιστεί με τα κατεπείγοντα μέτρα αντιμετώπισης των αρνητικών συνεπειών εμφάνισης του κορωνοϊού και της ανάγκης περιορισμού της διάδοσής του, αφετέρου για τη νομιμοποίηση της διά ζώσης συμμετοχής της καταγγέλλουσας στην επίμαχη συνεδρίαση της 29ης-03-
19. Οι δύο ανωτέρω πράξεις επεξεργασίας, ανεξαρτήτως πάντως της νομιμότητας της αρχικής συλλογής της από 28-03-2022 ιατρικής γνωμάτευσης που η ίδια η καταγγέλλουσα προσκόμισε στη ΔΕΥΑ Χ, έλαβαν χώρα εντός της σφαίρας του αυτού υπευθύνου επεξεργασίας, κατά το μέρος που κοινολογήθηκαν σε ορισμένους εκ των εργαζομένων της ΔΕΥΑ Χ καθώς και στα μέλη του Διοικητικού της Συμβουλίου. Ωστόσο, προκειμένου να εξυπηρετηθούν οι σκοποί για τους οποίους έλαβαν χώρα οι ανωτέρω επεξεργασίες, δεν ήταν απαραίτητη η κοινοποίηση όλων ανεξαιρέτως των εν λόγω δεδομένων στο σύνολο των αποδεκτών ακόμη και εντός της σφαίρας του αυτού Υπευθύνου Επεξεργασίας, ήτοι της ΔΕΥΑ Χ. Ειδικότερα, στην πρώτη περίπτωση ο σκοπός της αποστολής του μηνύματος, εντός πάντως της σφαίρας της ΔΕΥΑ Χ ως υπεύθυνης επεξεργασίας, που συνίστατο στο ερώτημα προς την Προϊσταμένη του Διοικητικού Τμήματος της καταγγελλομένης περί του εάν υπέβαλε η καταγγέλλουσα Βεβαίωση Αρνητικού Διαγνωστικού Ελέγχου κορωνοϊού κατά την ημερομηνία συμμετοχής της στην επίμαχη συνεδρίαση του ΔΣ, στις 29-03-2022, θα μπορούσε να επιτευχθεί μέσω της αποστολής του επίμαχου μηνύματος μόνο προς την Προϊσταμένη του Διοικητικού, χωρίς την κοινοποίηση στους λοιπούς αποδέκτες, πολλώ δε μάλλον λαμβάνοντας υπ’ όψιν το γεγονός ότι η συνεδρίαση παρουσία της καταγγέλλουσας είχε ήδη πραγματοποιηθεί. Ωσαύτως και για τη δεύτερη ως άνω κοινοποίηση προς όλα τα 16 μέλη του ΔΣ της ΔΕΥΑ Χ, άρα και πάλι εντός της σφαίρας του υπευθύνου επεξεργασίας, ενός εγγράφου που απηύθυνε συγκεκριμένα ερωτήματα προς έτερη υπηρεσία περιλαμβάνοντας και σειρά εγγράφων που περιείχαν τόσο απλά προσωπικά δεδομένα της καταγγέλλουσας όσο και ειδικών κατηγοριών τοιαύτα, διαπιστώνεται εναργώς ότι ο σκοπός ενημέρωσης των μελών του ΔΣ, πέραν του ότι φαίνεται καταρχήν να στερείται νοήματος διότι ήταν ενήμερα ήδη για την κατάσταση της υγείας της καταγγέλλουσας από την ημερομηνία της επίμαχης συνεδρίασης στις 29-03-2022 στην οποία η καταγγέλλουσα πάντως παρέστη αυτοπροσώπως και τυχόν γνώση της πληροφορίας αυτής εκ των υστέρων δύσκολα θα μπορούσε να δικαιολογηθεί χάριν προστασίας της υγείας των εργαζομένων -αντικρουομένων των περί του αντιθέτου προβαλλομένων από τη ΔΕΥΑ Χ 11-, θα μπορούσε να επιτευχθεί μόνο με την αποστολή του εγγράφου προς την Αυτοτελή Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ άνευ των λοιπών συνοδευτικών του εγγράφων ή την απλή αναφορά των ερωτημάτων που τέθηκαν προς απάντηση στην εν λόγω Διεύθυνση. Επομένως, εκ των ανωτέρω προκύπτει ότι η ΔΕΥΑ Χ ως υπεύθυνη επεξεργασίας κατά παράβαση της αρχής της ελαχιστοποίησης κοινοποίησε δεδομένα της καταγγέλλουσας σε περισσοτέρους αποδέκτες έστω και εντός της σφαίρας του αυτού υπευθύνου επεξεργασίας, χωρίς η εν λόγω επεξεργασία να παρίσταται αναγκαία, κατά τα προδιαλαμβανόμενα. Περαιτέρω, εκ των στοιχείων του φακέλου δεν προκύπτει ούτε εξάλλου προσκομίζεται κάποια εσωτερική πολιτική ή έτερο εσωτερικό έγγραφο στο πλαίσιο του οποίου να προσδιορίζονται συγκεκριμένοι υπηρεσιακοί αποδέκτες των δεδομένων των εργαζομένων εντός της σφαίρας της καταγγελλομένης ως υπεύθυνης επεξεργασίας, από το οποίο να προσδιορίζεται και διαβαθμισμένη πρόσβαση σε πληροφορίες που συνιστούν ειδικής κατηγορίας δεδομένα (δεδομένα υγείας). Η ως άνω δε διαπίστωση περί μη ύπαρξης σχετικών εσωτερικών πολιτικών, ενισχύεται και από το γεγονός ότι και πάλι εντός της σφαίρας του αυτού Υπευθύνου Επεξεργασίας, ήτοι της ΔΕΥΑ Χ, η καταγγέλλουσα ως υπάλληλος της τελευταίας έλαβε γνώση υπηρεσιακών εγγράφων που την αφορούσαν, των οποίων δεν ήταν αποδέκτης. Εξάλλου, σημειώνεται ότι ο περιορισμός των επίμαχων προσωπικών δεδομένων καθώς επίσης και των αποδεκτών των εν λόγω προσωπικών δεδομένων της καταγγέλλουσας στους αναγκαίους για την επίτευξη του εκάστοτε επιδιωκόμενου σκοπού δεν δύναται εξ Βλ. ενδεικτικά σελ. 22 του με αριθ. πρωτ. Γ/ΕΙΣ/5059/07-07-2023 μετ’ ακρόαση Υπομνήματός της καθώς και σχετικούς προγενέστερα προβαλλόμενους ισχυρισμούς της στο πλαίσιο του με αριθ. πρωτ. Γ/ΕΙΣ/12638/16-122022 απαντητικού της εγγράφου προς την Αρχή. 11 17 αντικειμένου να θίξει την αποτελεσματική άσκηση διοίκησης της ΔΕΥΑ Χ, ιδίως ενόψει του ότι έλαβαν χώρα μετά την παρουσία της καταγγέλλουσας στην επίμαχη από 29-03-2022 συνεδρίαση του ΔΣ της καταγγελλομένης, ενώ τα παριστάμενα μέλη του εν λόγω ΔΣ φαίνεται εκ των στοιχείων του φακέλου ότι ήδη ήταν ενήμερα για την κατάσταση της υγείας της καταγγέλλουσας, όπως προαναφέρθηκε. Αναφορικά δε με τον ισχυρισμό της ΔΕΥΑ Χ, ο οποίος προβάλλεται το πρώτον με το μετ’ ακρόαση Υπόμνημά της 12, περί του ότι η ενημέρωση των μελών του ΔΣ αυτής ήταν απαραίτητη για λόγους αναπροσαρμογής των υπηρεσιακών προτεραιοτήτων εξαιτίας της απουσίας της καταγγέλλουσας καθώς και για λόγους διασφάλισης της εύρυθμης υπηρεσιακής λειτουργίας, αυτός απορρίπτεται ως αλυσιτελής και άρα απαράδεκτος στο μέτρο που ακόμα και ακριβής υποτιθέμενος –πράγμα που δυσχερώς θα γινόταν δεκτό λαμβανομένου υπ’ όψιν ότι επρόκειτο για την απουσία ενός υπαλλήλου- σε κάθε περίπτωση, για την ενημέρωση των μελών του ΔΣ και στις δύο ως άνω περιπτώσεις, δεν ήταν κατά λογική αναγκαιότητα απαραίτητες οι πράξεις επεξεργασίας των επίμαχων δεδομένων της καταγγέλλουσας, όπως αυτές έλαβαν χώρα κατά τα αναλυτικώς ως άνω εκτεθέντα. Τέλος, σημειώνεται ότι το θέμα που θα συζητείτο στην επίμαχη συνεδρίαση του ΔΣ της καταγγελλομένης, αφορούσε σε ζήτημα της υπηρεσιακής εξέλιξης της καταγγέλλουσας 13 και ως εκ τούτου τα ως άνω δεδομένα υγείας της που υπέστησαν τις εν λόγω πράξεις επεξεργασίας δεν ήταν κατ’ ουδένα τρόπο κρίσιμα για τα μέλη του ΔΣ της ΔΕΥΑ Χ, στο μέτρο που δεν σχετίζονταν με την κρίση τους στο πλαίσιο έκδοσης απόφασης επί του προς συζήτηση θέματος της συνεδρίασης. Ως εκ τούτου στοιχειοθετείται η παραβίαση της διάταξης του άρθρου 5 παρ. 1 στοιχ. γ’ του ΓΚΠΔ και για τις δύο ανωτέρω περιγραφόμενες αυτοτελείς πράξεις επεξεργασίας απορριπτομένων όλων των συναφών ισχυρισμών της καταγγελλομένης.
20. Αναφορικά με την ήδη ανωτέρω αναφερόμενη επεξεργασία δεδομένων της καταγγέλλουσας εκτός της σφαίρας του υπευθύνου επεξεργασίας που συνίσταται αυτή τη φορά στην αποστολή εκ μέρους της Γενικής Διευθύντριας της ΔΕΥΑ Χ του ως άνω με αριθ. πρωτ. (της ΔΕΥΑ Χ) … ηλεκτρονικού μηνύματος προς την Αυτοτελή Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ περιλαμβάνοντας μία σειρά εγγράφων με προσωπικά Βλ. σελ. 25 του μετ’ ακρόαση και με αριθ. πρωτ. Γ/ΕΙΣ/5059/07-07-2023 Υπομνήματος της ΔΕΥΑ Χ. Βλ. σελ. 19-21 του με αριθ. πρωτ. Γ/ΕΙΣ/5024/06-07-2023 μετ’ ακρόαση Υπομνήματος της καταγγέλλουσας καθώς επίσης και τα σχετιζόμενα με το ανωτέρω ζήτημα έγγραφα που προσκόμισε η ΔΕΥΑ Χ με το με αριθ. πρωτ. Γ/ΕΙΣ/5059/07-07-2023 μετ’ ακρόαση Υπόμνημά της. 12 13 18 δεδομένα της καταγγέλλουσας και δη όχι μόνον απλά αλλά και ειδικής κατηγορίας, ήτοι δεδομένα υγείας της (βλ. ιδίως ιατρικές γνωματεύσεις που την αφορούσαν καθώς και αποτελέσματα των διαγνωστικών ελέγχων νόσησης από κορωνοϊό στους οποίους είχε υποβληθεί η τελευταία), λεκτέα τα ακόλουθα: Εν πρώτοις, σημειώνεται ότι με το εν λόγω έγγραφο με το οποίο διαβιβάστηκαν από την καταγγελλομένη προς την ως άνω Αυτοτελή Διεύθυνση προσωπικά δεδομένα της καταγγέλλουσας, ζητήθηκαν κατευθύνσεις, όπως άλλωστε προαναφέρθηκε, για το ποια μέτρα οφείλει να λάβει η καταγγελλόμενη προκειμένου οι ενέργειές της να είναι εναρμονισμένες με τα κατεπείγοντα μέτρα αντιμετώπισης των αρνητικών συνεπειών της εμφάνισης του κορωνοϊού καθώς και για το εάν νομιμοποιείτο η διά ζώσης εμφάνιση της καταγγέλλουσας στην από 29-03-2022 συνεδρίαση του ΔΣ της ΔΕΥΑ Χ. Ωστόσο, από τη με αριθ. πρωτ. … απάντηση της ανωτέρω Αυτοτελούς Διεύθυνσης προκύπτει ότι η τελευταία στερείτο οποιασδήποτε αρμοδιότητας όπως αποφανθεί επί των δύο ερωτημάτων που της απηύθυνε η καταγγελλόμενη ΔΕΥΑ Χ, στο μέτρο που, όπως αναφέρεται και στην ως άνω απάντηση «οι μόνοι αρμόδιοι φορείς για την διενέργεια ιχνηλάτησης είναι η Γενική Γραμματεία Πολιτικής Προστασίας και ο Εθνικός Οργανισμός Δημόσιας Υγείας οι οποίοι συλλέγουν, επεξεργάζονται και διαχειρίζονται κατ’ απολειστικότητα τα στοιχεία των επιβεβαιωμένων κρουσμάτων COVID-19». Εξάλλου, με το αυτό ως άνω έγγραφο η Αυτοτελής Διεύθυνση παρέπεμψε τη ΔΕΥΑ Χ στο με αριθ. 6214/23.12.2021 τ. Β’ ΦΕΚ καθώς και στις τροποποιήσεις ή διευκρινίσεις αυτού, όπου προβλέπονται ενδελεχώς τα μέτρα και οι διαδικασίες απομόνωσης. Επομένως, από την ανωτέρω απάντηση της Αυτοτελούς Διεύθυνσης προκύπτει ότι αβασίμως προβάλλεται από τη με αριθ. πρωτ. Γ/ΕΙΣ/12638/16-12-2022 απάντηση της καταγγελλομένης προς την Αρχή (βλ. σελ. 17 και 22) ότι η εν λόγω Διεύθυνση διαχειρίζεται και επεξεργάζεται προσωπικά δεδομένα τα οποία άπτονται νοσούντων και άρα ήδη γνώριζε τα προσωπικά δεδομένα της καταγγέλλουσας
21. Ωσαύτως δε αβάσιμος είναι ο αυτός ισχυρισμός της καταγγελλομένης που επαναφέρει η τελευταία με το με αριθ. πρωτ. Γ/ΕΙΣ/5059/07-07-2023 μετ’ ακρόαση Υπόμνημά της (βλ. σελ. 7 του τελευταίου), καθ’ όσον από το γράμμα των διατάξεων που επικαλείται η ίδια η ΔΕΥΑ Χ, δεν προκύπτει η ανωτέρω αρμοδιότητα της επεξεργασίας Βλ. συναφώς και το με αριθ. πρωτ. 11338/20-01-2020 έγγραφο του Γενικού Γραμματέα Πολιτικής Προστασίας του Υπουργείου Προστασίας του Πολίτη, σύμφωνα με το οποίο: «… οι μόνοι αρμόδιοι Φορείς για την διενέργεια ιχνηλάτησης είναι η Γενική Γραμματεία Πολιτικής Προστασίας και ο Εθνικός Οργανισμός Δημόσιας Υγείας οι οποίοι συλλέγουν, επεξεργάζονται και διαχειρίζονται κατ’ αποκλειστικότητα τα στοιχεία των επιβεβαιωμένων κρουσμάτων COVID-19». 14 19 προσωπικών δεδομένων των νοσούντων από κορωνοϊό από την επίμαχη Αυτοτελή Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ. Περαιτέρω δε, ακόμα και εάν ήθελε υποτεθεί ότι η Αυτοτελής Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ ήταν αρμόδια να επιληφθεί των ερωτημάτων που της τέθηκαν από την καταγγελλόμενη ΔΕΥΑ Χ, δεν απαιτείτο κατά τους κανόνες της κοινής λογικής να επισυνάψει στο εν λόγω ηλεκτρονικό μήνυμα, μεταξύ άλλων, και τις ιατρικές γνωματεύσεις της καταγγέλλουσας καθώς και τα αποτελέσματα των διαγνωστικών ελέγχων στους οποίους είχε υποβληθεί η τελευταία, μιας και τα εν λόγω στοιχεία ουδέν εισφέρουν σε μία Υπηρεσία προκειμένου η τελευταία να αποφανθεί για το ποια είναι τα ήδη κανονιστικά προβλεπόμενα μέτρα που πρέπει να λαμβάνονται για τον περιορισμό της διάδοσης του κορωνοϊού καθώς και για το εάν νομιμοποιείται η διά ζώσης συμμετοχή υπαλλήλου που νόσησε ή νοσεί με κορωνοϊό σε συνεδρίαση συλλογικού οργάνου. Ενόψει των ανωτέρω προκύπτει ότι παραβιάστηκε η αρχή της ελαχιστοποίησης του άρθρου 5 παρ. 1 περ. γ’ του ΓΚΠΔ, καθ’ όσον η καταγγελλόμενη ΔΕΥΑ Χ προέβη σε διάδοση δεδομένων τόσο απλών όσο και ειδικής κατηγορίας, ήτοι δεδομένων υγείας, της καταγγέλλουσας προς την ανωτέρω Αυτοτελή Διεύθυνση, ενώ κάτι τέτοιο, δεν ήταν εξ αντικειμένου αναγκαίο για την εκπλήρωση του σκοπού της απάντησης επί των ερωτημάτων που τέθηκαν, δεδομένου και του περιεχομένου των τελευταίων, κατά τα αναλυτικώς ως άνω λεχθέντα. Ειδικότερα, ακόμα και στην περίπτωση που η εν λόγω Αυτοτελής Διεύθυνση ήταν αρμόδια όπως επιληφθεί των ανωτέρω ζητημάτων που έθεσε η Γενική Διευθύντρια της καταγγελλομένης περί του προσδιορισμού των αναγκαίων μέτρων για τον περιορισμό της διάδοσης του κορωνοϊού, δεν θα την εξυπηρετούσε, κατά λογική αναγκαιότητα, να διαθέτει τα συνημμένα στο επίμαχο μήνυμα ηλεκτρονικού ταχυδρομείου έγγραφα με δεδομένα της καταγγέλλουσας (βλ. ιδίως τις ιατρικές γνωματεύσεις που προσκόμισε η τελευταία και τα αποτελέσματα των διαγνωστικών ελέγχων στους οποίους είχε υποβληθεί), προκειμένου να αποφανθεί επ’ αυτών. Δεδομένης δε της παραβίασης της αρχής της ελαχιστοποίησης του άρθρου 5 παρ. 1 στ. γ’ του ΓΚΠΔ, κατά τα ως άνω λεχθέντα, ως μίας εκ των θεμελιωδών αρχών που πρέπει να διέπουν κάθε επεξεργασία, όπως την επίμαχη υπό εξέταση διάθεση δεδομένων της καταγγέλλουσας προς την Αυτοτελή Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ, παρέλκει ο έλεγχος περί θεμελίωσης μίας εκ των νομικών βάσεων του άρθρου 6 (σε συνδυασμό με το άρθρο 9) του ΓΚΠΔ και κατ’ επέκταση των σχετικών ισχυρισμών της ΔΕΥΑ 20 Χ, που σε κάθε περίπτωση, δεν φαίνεται καταρχήν να θεμελιώνεται15, καθώς η ύπαρξη τυχόν νόμιμων θεμελίων δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την τήρηση και εφαρμογή των γενικών αρχών επεξεργασίας του άρθρου 5 παρ. 1 ΓΚΠΔ κατά τα ανωτέρω διαλαμβανόμενα (βλ. ανωτέρω σκ. 4). Κατόπιν τούτων στοιχειοθετείται η παραβίαση της διάταξης του άρθρου 5 παρ. 1 στοιχ. γ’ του ΓΚΠΔ και ως εκ τούτου οι περαιτέρω ισχυρισμοί της καταγγελλομένης όλως αβασίμως προβάλλονται και επομένως τυγχάνουν απορριπτέοι. Τέλος, σημειώνεται ότι με το με αριθ. πρωτ. … (αριθ. πρωτ. ΔΕΥΑ Χ …) έγγραφο της Αυτοτελούς Διεύθυνσης Πολιτικής Προστασίας της Περιφέρειας Ψ, η τελευταία επιβεβαίωσε ότι το περιεχόμενο του επίμαχου φακέλου με τα προσωπικά δεδομένα της καταγγέλλουσας δεν έχει διαβιβαστεί σε τρίτους και έλαβε γνώση του περιεχομένου του μόνον ο Διευθυντής της εν λόγω Υπηρεσίας, ενώ δεν υπέστησαν κανενός είδους περαιτέρω επεξεργασία. Με το αυτό δε ως άνω έγγραφο επεστράφη στη ΔΕΥΑ Χ ο σχετικός φάκελος της καταγγέλλουσας. Κατά την ακρόαση δε, επιβεβαιώθηκε διά του Διευθυντή, κυρίου ΣΤ, ότι δεν έχει ενταχθεί στο αρχείο της ανωτέρω Αυτοτελούς Διεύθυνσης κάποιο δεδομένο της καταγγέλλουσας από τον επίμαχο φάκελο που διαβίβασε η ΔΕΥΑ Χ καθώς και ότι ο φάκελος επεστράφη. Κατόπιν τούτων, δεν συντρέχει λόγος περαιτέρω ελέγχου της ως άνω Διεύθυνσης, κατά λόγο αρμοδιότητας της Αρχής.
22. Επειδή διαπιστώνεται η παραβίαση της αρχής της ελαχιστοποίησης κατ’ άρθρο 5 παρ. 1 στοιχ. γ’ του ΓΚΠΔ και μάλιστα σε τρεις

(3)επί μέρους πράξεις επεξεργασίας, όπως αναλυτικά εξετέθη αμέσως ανωτέρω. Επιπλέον, διαπιστώνεται ότι η παραβίαση των προβλεπόμενων στο άρθρο 5 του ΓΚΠΔ βασικών αρχών που πρέπει να διέπουν κάθε διενεργούμενη επεξεργασία προσωπικών δεδομένων, επισύρει την επιβολή των σχετικών κυρώσεων κατ’ άρθρο 83 παρ. 5 στοιχ. α΄ του ΓΚΠΔ.

1. Σύμφωνα με τον ΓΚΠΔ (Αιτ. Σκ. 148) προκειμένου να ενισχυθεί η επιβολή των κανόνων του παρόντος Κανονισμού, κυρώσεις, συμπεριλαμβανομένων των διοικητικών προστίμων, θα πρέπει να επιβάλλονται για κάθε παράβαση του παρόντος Κανονισμού, επιπρόσθετα ή αντί των κατάλληλων μέτρων που επιβάλλονται από την εποπτική αρχή σύμφωνα με τον παρόντα Κανονισμό. 15 Πρβλ. συναφώς τη με αριθ. 30/2021 Απόφαση της Αρχής, σκ.
2. 21
3. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 στοιχ. δ’ και θ’ του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις.
4. Η Αρχή κρίνει περαιτέρω ότι η επιβολή ενός μόνον διορθωτικού μέτρου δεν αρκεί για την αποκατάσταση της συμμόρφωσης με τις διατάξεις του ΓΚΠΔ που έχουν παραβιαστεί και ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, και αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς
5. 11.Περαιτέρω η Αρχή, έλαβε υπ’ όψιν τα κριτήρια επιμέτρησης των προστίμων που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, την παράγραφο 5 περ. α’ του ίδιου άρθρου, σύμφωνα με την οποία η παράβαση των διατάξεων σχετικά με τις θεμελιώδεις αρχές επεξεργασίας υπάγεται στην ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης διοικητικών προστίμων, που έχουν εφαρμογή στην παρούσα υπόθεση, τις Κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679 που εκδόθηκαν στις 03-10-2017 από την Ομάδα Εργασίας του άρθρου 29 (WP 253), τις Κατευθυντήριες Γραμμές του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων για τον υπολογισμό των διοικητικών προστίμων υπό τον ΓΚΠΔ 17 καθώς επίσης και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως: Α. Για την παραβίαση της διάταξης του άρθρου 5 παρ. 1 στοιχ. γ’ του ΓΚΠΔ ως προς την εκ μέρους της Γενικής Διευθύντριας της ΔΕΥΑ Χ και από 31-03-2022 κοινοποίηση προς τον Πρόεδρο και τη Γραμματεία του ΔΣ της τελευταίας καθώς και στον Διευθυντή του Διοικητικού – Οικονομικού τμήματος αυτής, μηνύματος ηλεκτρονικού ταχυδρομείου με λεπτομερή ανάλυση της παράστασης της καταγγέλλουσας στην από 29-03-2022 συνεδρίαση του ΔΣ της καταγγελλομένης αναφορικά με τη νόσησή της από κορωνοϊό καθώς επίσης και για την παραβίαση της αυτής ως άνω διάταξης του άρθρου 5 παρ. 1 στοιχ. γ’ του ΓΚΠΔ που 16 Βλ. ΟΕ 29, Κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679 WP253, σελ.
6. Βλ. ΕDPB, Guidelines 04/2022 on the calculation of administrative fines under the GDPR, version 2.1, adopted on 24 may 2023, όπου αναφέρεται μεταξύ άλλων (βλ. σελ.3 και 6) ότι εφαρμόζονται συμπληρωματικά σε σχέση με τις προαναφερόμενες Κατευθυντήριες Γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679, WP
7. 17 22 αφορά στην εκ μέρους της ΔΕΥΑ Χ αποστολή του με αριθ. πρωτ. … εγγράφου προς όλα τα μέλη του ΔΣ της τελευταίας με το οποίο τους κοινοποιήθηκε το με αριθ. πρωτ. (της ΔΕΥΑ Χ) … έγγραφο που είχε σταλεί προς την Αυτοτελή Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ περιλαμβάνοντας ως συνημμένα στοιχεία, μεταξύ άλλων, τις ιατρικές γνωματεύσεις της καταγγέλλουσας και τα αποτελέσματα των διαγνωστικών ελέγχων στους οποίους υποβλήθηκε η τελευταία, η Αρχή, λαμβάνοντας υπ’ όψιν και τα κριτήρια της προαναφερόμενης με αριθ. 148 αιτιολογικής σκέψης του ΓΚΠΔ, σταθμίζοντας ότι πρόκειται για επεξεργασίες που έλαβαν χώρα εντός της σφαίρας του αυτού υπευθύνου επεξεργασίας, δίδει εντολή στην καταγγελλόμενη ΔΕΥΑ Χ όπως καταστήσει τις πράξεις επεξεργασίας των προσωπικών δεδομένων στις οποίες προβαίνει σύμφωνες με τις διατάξεις του ΓΚΠΔ διαμορφώνοντας εντός τριών

(3)μηνών από την κοινοποίηση της παρούσας σχετικές εσωτερικές πολιτικές για τους αποδέκτες προσωπικών δεδομένων καθώς και για τη διαβαθμισμένη πρόσβαση εντός της ΔΕΥΑ Χ στα εσωτερικά της έγγραφα ιδίως όταν περιλαμβάνονται σε αυτά δεδομένα υγείας. Β. Για την τρίτη αυτοτελή παραβίαση της αρχής της ελαχιστοποίησης του άρθρου 5 παρ. 1 στοιχ. γ' του ΓΚΠΔ, που αφορά στην εκ μέρους της ΔΕΥΑ Χ αποστολή του ως άνω με αριθ. πρωτ. (της ΔΕΥΑ Χ) … ηλεκτρονικού μηνύματος προς την Αυτοτελή Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ περιλαμβάνοντας, μεταξύ άλλων, τις ιατρικές γνωματεύσεις της καταγγέλλουσας και τα αποτελέσματα των διαγνωστικών ελέγχων στους οποίους υποβλήθηκε η τελευταία, η Αρχή λαμβάνει υπ’ όψιν: i. Το γεγονός ότι η παραβίαση της διάταξης του άρθρου 5 παρ. 1 στοιχ. γ’ του ΓΚΠΔ, αφορά σε θεμελιώδη αρχή που πρέπει να διέπει κάθε πράξη επεξεργασίας προσωπικών δεδομένων (άρθρο 83 παρ. 2 α’ ΓΚΠΔ). ii. Το γεγονός ότι η επίμαχη επεξεργασία αφορούσε και σε δεδομένα υγείας της καταγγέλλουσας, καθ’ όσον το επίμαχο κοινοποιούμενο έγγραφο περιελάμβανε ως συνημμένα έγγραφα μεταξύ άλλων, τις ιατρικές γνωματεύσεις της καταγγέλλουσας καθώς και τα αποτελέσματα των διαγνωστικών ελέγχων στους οποίους υποβλήθηκε η τελευταία (άρθρο 83 παρ. 2 ζ’ ΓΚΠΔ). iii. Το γεγονός ότι η ανωτέρω παραβίαση δεν ήταν μακράς διαρκείας, ενώ αφορούσε σε ένα μόνον θιγόμενο υποκείμενο δεδομένων στο οποίο πάντως δεν προκάλεσε οικονομική ζημία (άρθρο 83 παρ. 2 α’ ΓΚΠΔ). 23 iv. Το γεγονός ότι η παραβίαση της αρχής της ελαχιστοποίησης αποδίδεται σε αμέλεια της καταγγελλόμενης, καθ’ όσον, ενδεικτικά, δεν μερίμνησε να ρωτήσει συναφώς τον Υπεύθυνο Προστασίας Δεδομένων της για τον ορθό τρόπο διαχείρισης ενός ζητήματος επεξεργασίας προσωπικών δεδομένων (άρθρο 83 παρ. 2 β’ ΓΚΠΔ). v. απουσία Την προηγούμενων διαπιστωμένων παραβάσεων της καταγγελλόμενης καθώς από σχετικό έλεγχο προκύπτει ότι δεν της έχει επιβληθεί μέχρι σήμερα διοικητική κύρωση από την Αρχή (άρθρο 83 παρ. 2 ε’ ΓΚΠΔ). vi. Το γεγονός ότι από τα στοιχεία που τέθηκαν υπ’ όψιν της Αρχής και με βάση τα οποία διαπίστωσε την παραβίαση του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας δεν αποκόμισε οικονομικό όφελος, ούτε προκάλεσε υλική ζημία στον καταγγέλλοντα (άρθρο 83 παρ. 2 ια’ ΓΚΠΔ). vii. Το γεγονός ότι η καταγγελλόμενη απέστειλε στην Αυτοτελή Διεύθυνση Πολιτικής Προστασίας της Περιφέρειας Ψ το με αριθ. πρωτ. … έγγραφο αναφέροντας ότι αποφάσισε να περιορίσει την περαιτέρω επεξεργασία των προσωπικών δεδομένων της καταγγέλλουσας, όπως αυτά περιλαμβάνονταν στο με αριθ. πρωτ. … αίτημα που απεστάλη στην ως άνω Αυτοτελή Διεύθυνση και ζήτησε να ενημερωθεί για το εάν η Αυτοτελής Διεύθυνση διαβίβασε σε τρίτους τα προσωπικά δεδομένα της καταγγέλλουσας, για το πόσα άτομα στην εν λόγω Διεύθυνση έλαβαν γνώση των επίμαχων δεδομένων καθώς και για το εάν τα προσωπικά της δεδομένα υποβλήθηκαν σε οποιαδήποτε έτερη πράξη επεξεργασίας. Παράλληλα αιτήθηκε την επιστροφή του φακέλου της υπόθεσης καθώς και οποιουδήποτε αντιγράφου, είτε φυσικού είτε ηλεκτρονικού. Επομένως εκ των ανωτέρω προκύπτει ότι η καταγγελλόμενη ΔΕΥΑ Χ προέβη στην ανωτέρω ενέργεια προς άμβλυνση των συνεπειών της επεξεργασίας που έλαβε χώρα κατά παράβαση της αρχής της ελαχιστοποίησης κατά τα ως άνω εκτενώς αναφερόμενα (άρθρο 83 παρ. 2 γ’ ΓΚΠΔ). viii.Το γεγονός ότι το περιεχόμενο του επίμαχου φακέλου με τα προσωπικά δεδομένα της καταγγέλλουσας, όπως επιβεβαιώθηκε από την εν λόγω Αυτοτελή Διεύθυνση, δεν διαβιβάστηκε περαιτέρω σε τρίτους και έλαβε γνώση αυτού μόνον ο Διευθυντής της εν λόγω Υπηρεσίας, τα επίμαχα δε προσωπικά δεδομένα δεν υπέστησαν κανενός είδους περαιτέρω επεξεργασία, ενώ επεστράφη στη ΔΕΥΑ Χ ο σχετικός φάκελος της καταγγέλλουσας (άρθρο 83 παρ. 2 ια’ ΓΚΠΔ). ix) Το γεγονός ότι η καταγγελλόμενη εξυπηρετεί κοινωφελή σκοπό και παρουσιάζει ελλειμματικές οικονομικές καταστάσεις (βλ. τις σχετικές οικονομικές καταστάσεις για τη 24 χρήση του 2022, δημοσιευμένες στην ιστοσελίδα της ΔΕΥΑ Χ, …), λαμβανομένου υπ’ όψιν και του άρθρου 39 του ν. 4624/2019. 12. Βάσει των ανωτέρω, η Αρχή αποφασίζει ομόφωνα ότι πρέπει να επιβληθούν στην καταγγελλομένη ως υπεύθυνη επεξεργασίας οι αναφερόμενες στο διατακτικό διοικητικές κυρώσεις, οι οποίες κρίνονται ανάλογες με τη βαρύτητα των παραβάσεων, ενώ επιπλέον, συνιστούν μέτρα αποτελεσματικά ως προς την κατεύθυνση συμμόρφωσης με τις διατάξεις περί προστασίας των προσωπικών δεδομένων παράλληλα δε, έχουν χαρακτήρα αποτρεπτικό προς αποφυγή περαιτέρω παραβιάσεων της σχετικής νομοθεσίας εκ μέρους της καταγγελλομένης. Επομένως, συντρέχουν οι προϋποθέσεις άσκησης προς τον υπεύθυνο επεξεργασίας των διορθωτικών εξουσιών του άρθρου 58 παρ. 2 δ’ και θ΄ του ΓΚΠΔ, οι οποίες κρίνονται ανάλογες με τη βαρύτητα της παράβασης. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή α) Επιβάλλει στην καταγγελλόμενη υπεύθυνη επεξεργασίας Διαδημοτική Επιχείρηση Ύδρευσης – Αποχέτευσης Χ, το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση, σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους χιλίων (1.000) ευρώ για την παραβίαση του άρθρου 5 παρ. 1 στοιχ. γ’ του ΓΚΠΔ, όπως αυτή αναλύεται στο υπό Β. σκέλος της σκέψης 11 της παρούσας, σύμφωνα με τα άρθρα 58 παρ. 2 στοιχ. θ΄ και 83 παρ. 5 στοιχ. α΄ ΓΚΠΔ και β) δίδει εντολή, κατ’ άρθρο 58 παρ. 2 στοιχ. δ’ του ΓΚΠΔ, στην υπεύθυνη επεξεργασίας (ΔΕΥΑ Χ) όπως καταστήσει τις πράξεις επεξεργασίας των προσωπικών δεδομένων στις οποίες προβαίνει σύμφωνες με τις διατάξεις του ΓΚΠΔ διαμορφώνοντας εντός τριών

(3)μηνών από την κοινοποίηση της παρούσας σχετικές εσωτερικές πολιτικές για τους αποδέκτες προσωπικών δεδομένων καθώς και για τη διαβαθμισμένη πρόσβαση εντός της ΔΕΥΑ Χ στα εσωτερικά της έγγραφα ιδίως όταν περιλαμβάνονται σε αυτά δεδομένα υγείας. 25 Ο Αναπληρωτής Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 26