Αναζήτηση προσωπικών δεδομένων υποψηφίου από τρίτες πηγές (ΑΠΔΠΧ 49/2023)

Μια πράξη επεξεργασίας δεδομένων που στηρίζεται στη συμμόρφωση με έννομη υποχρέωση δεν απαιτείται να προκύπτει από τον νόμο, αλλά μπορεί και να προκύπτει καθ’ ερμηνεία των διατάξεων του νόμου από τα δικαστήρια.

Αυτό κρίθηκε από την Ολομέλεια της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα στην απόφαση 49/2023, που δημοσιεύτηκε χτες στον ιστότοπο της Αρχής. Μια απόφαση με ειδικό ενδιαφέρον για την ακαδημαϊκή κοινότητα, αλλά και γενικότερη σημασία για την επεξεργασία δεδομένων που βασίζεται στο άρθρο 6 παρ.1γ’ ΓΚΠΔ.

Το ιστορικό:

Η Αρχή δέχθηκε την καταγγελία υποκειμένου των δεδομένων, που είχε συμμετάσχει ως υποψήφιος για θέση Καθηγητή σε Σχολή του Εθνικού και Καποδιστριακού Πανεπιστημίου Αθηνών (ΕΚΠΑ). Σύμφωνα με την καταγγελία, κατά τη διαδικασία εκλογής για την πλήρωση της θέσης, η εισηγητική επιτροπή επεξεργάστηκε προσωπικά δεδομένα του, χωρίς τη συγκατάθεση ή την ενημέρωσή του.

Ειδικότερα, ο καταγγέλλων ισχυρίστηκε πως το αρμόδιο όργανο για την αξιολόγηση των υποψηφιοτήτων συνέλεξε προσωπικά δεδομένα του από τρίτες πηγές, ενώ στη συνέχεια η εισηγητική έκθεση της επιτροπή αναρτήθηκε στο Απέλλα, με αποτέλεσμα τα προσωπικά δεδομένα του που είχαν κατά τα ως άνω συλλεγεί να τεθούν σε γνώση «ευρύτερου κύκλου αποδεκτών».

Για την επεξεργασία αυτή, ο καταγγέλλων διαμαρτυρήθηκε προς το ΕΚΠΑ, ζητώντας να πληροφορηθεί τον τρόπο κτήσης συγκεκριμένου εγγράφου που χρησιμοποιήθηκε για την αξιολόγηση της υποψηφιότητάς του. Παράλληλα, άσκησε αίτημα περιορισμού της επεξεργασίας, σύμφωνα με το άρθρο 18 ΓΚΠΔ, και αίτημα εναντίωσης του άρθρου 21 ΓΚΠΔ.

Η παραπομπή στην Ολομέλεια και οι ισχυρισμοί του καταγγελλόμενου:

Η Αρχή ζήτησε τις απόψεις του ΕΚΠΑ επί των καταγγελλομένων και ακολούθως εξέδωσε την απόφαση ΑΠΔΠΧ 62/2022, με την οποία παρέπεμψε την υπόθεση στην Ολομέλεια, λόγω γενικότερου ενδιαφέροντος

Διαβάστε σχετικά: Δυνατότητα Εισηγητικών Επιτροπών για εκλογή μελών ΔΕΠ να συλλέγουν προσωπικά δεδομένα υποψηφίων από τρίτες πηγές (ΑΠΔΠΧ 62/2022)

Το καταγγελλόμενο Πανεπιστήμιο επανέλαβε ενώπιον της Ολομέλειας της Αρχής τους ισχυρισμούς που είχε προβάλει και προς το Τμήμα. Σύμφωνα με το ΕΚΠΑ, το Συμβούλιο της Επικρατείας έχει ήδη κρίνει (ενδεικτικά ΣτΕ 2199/2020 Γ’ Τμήμα), πως η εισηγητική επιτροπή δύναται να συνεκτιμήσει και άλλα στοιχεία για το έργο ή την προσωπικότητα του υποψηφίου που τυχόν γνωρίζει από άλλες πηγές ή την προσωπική τους αντίληψη.

Παράλληλα, επεσήμανε ότι η Εισηγητική Επιτροπή περιορίστηκε στον έλεγχο μόνο ορισμένων στοιχείων, τα οποία ο ίδιος ο καταγγέλλων είχε δηλώσει στο βιογραφικό σημείωμά του, μέσω δημοσίως προσβάσιμων πηγών, ορισμένες από τις οποίες, είχε καταδείξει ο ίδιος ο καταγγέλλων μέσω του βιογραφικού σημειώματός του, ενώ άλλωστε το εκλεκτορικό σώμα εν τέλει δεν στήριξε την κρίση του περί της υποψηφιότητας του καταγγέλλοντος στα εν λόγω στοιχεία, αλλά στα στοιχεία που ο ίδιος είχε αναρτήσει στο Απέλλα.

Ως προς την ικανοποίηση των ασκηθέντων δικαιωμάτων του καταγγέλλοντος, το ΕΚΠΑ προέβαλε τον ισχυρισμό πως δικαίωμα εναντίωσης δεν χωρεί όταν η νομική βάση είναι η συμμόρφωση με έννομη υποχρέωση, γεγονός που συμπαρασύρει και το δικαίωμα περιορισμού της επεξεργασίας, το οποίο επίσης δεν μπορεί να εφαρμοστεί, αφού ασκήθηκε συνδυαστική με την εναντίωση. Ως προς την ενημέρωση του καταγγέλλοντος, το ΕΚΠΑ ισχυρίστηκε πως αυτός έλαβε σαφή και συγκεκριμένη απάντηση από τον Υπεύθυνο Προστασίας Δεδομένων του Πανεπιστημίου, ενώ άλλωστε παρατήρησε πως η άσκηση των κατά τον ΓΚΠΔ δικαιωμάτων αποδεικνύει ότι ο καταγγέλλων είχε λάβει γνώση της επεξεργασίας των δεδομένων του.

Η κρίση της Αρχής:

Ως προς τον υπεύθυνο επεξεργασίας

Η Αρχή εξέτασε καταρχήν το ζήτημα του υπευθύνου επεξεργασίας ως προς τις καταγγελλόμενες πράξεις, διαπιστώνοντας πως ο ρόλος αυτός ανήκει στο ΕΚΠΑ. Σύμφωνα με την απόφαση, η προκήρυξη εκδόθηκε με ευθύνη του Ιδρύματος με σκοπό την πλήρωση θέσης σε Σχολή του, ως εκ τούτου το ΕΚΠΑ αποτελεί τον υπεύθυνο επεξεργασίας για τις πράξεις επεξεργασίας που λαμβάνουν χώρα για την αξιολόγηση των υποψηφιοτήτων με σκοπό την πλήρωση της θέσης αυτής.

Αναφορικά με την κοινολόγηση των δεδομένων μέσω ανάρτησης στο Απέλλα, η Αρχή έκρινε πως και πάλι το ΕΚΠΑ αποτελεί τον υπεύθυνο επεξεργασίας, μολονότι το σύστημα έχει συσταθεί υπό την εποπτεία του Υπουργείου Παιδείας με φορέα διαχείρισης το Εθνικό Δίκτυο Έρευνας και Τεχνολογίας, αφού το σχετικό νομοθετικό πλαίσιο που διέπει τη λειτουργία του προβλέπει πως «τα Α.Ε.Ι. μέσω των υπηρεσιών τους, των γραμματειών τους και των ορισθέντων υπευθύνων φέρουν την αποκλειστική ευθύνη για τις ενέργειες που επιτελούνται μέσω του πληροφοριακού συστήματος και συγκεκριμένα για όλα τα στάδια που συνθέτουν τις διαδικασίες εκλογής, εξέλιξης, ανανέωσης ή μονιμοποίησης».

Ως προς τη θεμελίωση της επεξεργασίας στη νομική βάση της συμμόρφωσης με έννομη υποχρέωση

Ακολούθως η Αρχή εξέτασε κατά πόσον η επεξεργασία, την οποία το υποκείμενο των δεδομένων κατήγγειλε ως παράνομη, μπορούσε πράγματι να θεμελιωθεί στη νομική βάση της συμμόρφωσης με έννομη υποχρέωση (άρθρο 6 παρ.1γ’ ΓΚΠΔ), όπως ισχυρίστηκε το ΕΚΠΑ.

Η Αρχή καταρχήν διαπίστωσε πως από τον νόμο (άρθρο 19 παρ.4γ’ Ν.4009/2011) «δεν προκύπτει ρητά η δυνατότητα ή η υποχρέωση της εισηγητικής επιτροπής για αναζήτηση, συλλογή και συσχέτιση πληροφοριών από τρίτες πηγές με σκοπό την αξιολόγηση των υποψηφιοτήτων, με εξαίρεση τη δυνατότητα αναζήτησης συστατικών επιστολών», ενώ τέτοια δυνατότητα ή υποχρέωση δεν προκύπτει ούτε από τις διατάξεις της σχετικής ΥΑ 14241/2017, αλλά ούτε και από την προκήρυξη του Πανεπιστημίου.

Ωστόσο, το ζήτημα αυτό είχε εξεταστεί από το Συμβούλιο της Επικρατείας κατά την ερμηνεία των συναφούς περιεχομένου διατάξεων του προϊσχύσαντος Ν. 2083/1992, με την απόφαση ΣτΕ 2199/2020 όπου είχε κριθεί ότι η εισηγητική επιτροπή και εν τέλει το εκλεκτορικό σώμα, για να παράσχει ακριβή εικόνα ενός υποψηφίου, οφείλει να αναλύσει και να κρίνει τα έργα του, την επιστημονική δράση του και τα λοιπά ουσιαστικά προσόντα του, χωρίς να υποχρεούται να αναλύσει απαραιτήτως το σύνολο του έργου του υποψηφίου ή να τηρήσει ορισμένη μεθοδολογία ή σύστημα, και ουδόλως κωλύεται να συνεκτιμήσει κατά την κρίση της και άλλα στοιχεία για το έργο και την προσωπικότητα του υποψηφίου που τυχόν γνωρίζει από άλλες πηγές ή την προσωπική της αντίληψη.

Η Αρχή παρατήρησε πως «σύμφωνα με το Ευρωπαϊκό Δικαστήριο Δικαιωμάτων του Ανθρώπου,  οι περιορισμοί της άσκησης του δικαιώματος στην ιδιωτική ζωή μπορούν να προβλέπονται κατ’ αρχήν όχι μόνο από το νόμο, με την τυπική του όρου έννοια, αλλά και από την πάγια νομολογία των Ανωτάτων Δικαστηρίων, υπό την προϋπόθεση τήρησης των λοιπών προϋποθέσεων που απαιτούνται από τη νομολογία του ΕΔΔΑ για την ισχύ των περιορισμών στην άσκηση των κατοχυρωμένων σε αυτή δικαιωμάτων».

Με το σκεπτικό αυτό, η Αρχή κατέληξε πως «ενόψει της, καθ’ ερμηνεία των ανωτέρω σχετικών διατάξεων, υποχρέωσης της Εισηγητικής Επιτροπής να αναλύσει και να αξιολογήσει το έργο και την προσωπικότητα κάθε υποψηφίου, προκειμένου να προβεί στη συγκριτική και αξιολογική κατάταξή τους, εν προκειμένω η αναζήτηση, συλλογή και συσχέτιση πληροφοριών από τρίτες πηγές κατά την αξιολόγηση της υποψηφιότητας του καταγγέλλοντος, έλαβε χώρα σε συμμόρφωση της Εισηγητικής Επιτροπής με έννομη υποχρέωσή της κατά τα οριζόμενα στο άρθρο 6 παρ. 1 στοιχ. γ’ του ΓΚΠΔ». Κατά συνέπεια, η πρώτη καταγγελλόμενη επεξεργασία της αναζήτησης προσωπικών δεδομένων από τρίτες πηγές κρίθηκε νόμιμη.

Νόμιμη κρίθηκε και η δεύτερη καταγγελλόμενη επεξεργασία της κοινολόγησης των προσωπικών δεδομένων του καταγγέλλοντος στο Απέλλα. Σύμφωνα με την απόφαση, και αυτή η επεξεργασία «έλαβε χώρα σε συμμόρφωση της Εισηγητικής Επιτροπής με έννομη υποχρέωσή της κατά τα οριζόμενα στο άρθρο 6 παρ. 1 στοιχ. γ’ του ΓΚΠΔ», καθόσον η ανάρτηση κοινολογήθηκε σε όσα πρόσωπα έχουν πρόσβαση βάσει των διατάξεων της Υπουργικής Απόφασης για τη λειτουργία του Απέλλα.

Ως προς τα δικαιώματα του υποκειμένου των δεδομένων

Με βάση τα ανωτέρω, η Αρχή απέρριψε αυτονοήτως τη δυνατότητα ικανοποίησης του δικαιώματος εναντίωσης του καταγγέλλοντος, αφού αυτό ασκήθηκε επί επεξεργασίας που βασίζεται στη συμμόρφωση με έννομη υποχρέωση. Σύμφωνα με την απόφαση, «με δεδομένο ότι, όπως έγινε δεκτό ως άνω, η εν λόγω επεξεργασία έλαβε χώρα με βάση το άρθρο 6 παρ. 1 στοιχ. γ’ ΓΚΠΔ, δεν χωρεί εν προκειμένω περίπτωση εφαρμογής του δικαιώματος εναντίωσης του καταγγέλλοντος και, συνεπώς, η καταγγελλόμενη άρνηση του καθ’ ου είναι νόμιμη.»

Μεγαλύτερο ενδιαφέρον παρουσιάζει η κρίση της Αρχής ως προς την ικανοποίηση του αιτήματος περιορισμού της επεξεργασίας. Η Αρχή παρατήρησε πως ο καταγγέλλων άσκησε το δικαίωμα περιορισμού αμφισβητώντας την ακρίβεια των δεδομένων του, ωστόσο από το σύνολο των στοιχείων του φακέλου προέκυψε πως αυτός «δεν εισέφερε ενώπιον του καθ’ ου τα ακριβή δεδομένα, ώστε να λάβει χώρα επαλήθευση κατά το άρθρο 18 παρ. 1 στοιχ. α’ ΓΚΠΔ».

Παράλληλα, η Αρχή προσέθεσε πως το αίτημα περιορισμού της επεξεργασίας ασκήθηκε συνδυαστικά με το δικαίωμα εναντίωσης, για τον λόγο αυτό έγινε δεκτός ο ισχυρισμός του ΕΚΠΑ πως «δεν χωρεί περίπτωση εφαρμογής του δικαιώματος περιορισμού, το οποίο αποσκοπεί σε ένα είδος προσωρινής προστασίας, το οποίο δύναται να ασκηθεί επικουρικά  κατά την άσκηση των δικαιωμάτων διόρθωσης, διαγραφής και εναντίωσης, και συνεπώς, εν προκειμένω, εφόσον, όπως έγινε δεκτό ως άνω, η εν λόγω επεξεργασία έλαβε χώρα με βάση το άρθρο 6 παρ. 1 στοιχ. γ’ ΓΚΠΔ, δεν συντρέχει περίπτωση εφαρμογής του δικαιώματος περιορισμού του καταγγέλλοντος εν αναμονή της στάθμισης των εκατέρωθεν συμφερόντων με βάση το άρθρο 21 ΓΚΠΔ».

Σε αντίθεση με τα ανωτέρω, η Αρχή διαπίστωσε την παραβίαση της υποχρέωσης του άρθρου 12 παρ.3 και 4 ΓΚΠΔ, καθώς η απάντηση που δόθηκε στον καταγγέλλοντα υπερέβη τις προθεσμίες ανταπόκρισης που ορίζονται από τις διατάξεις αυτές, με τον υπεύθυνο επεξεργασίας να μην παρέχει οποιαδήποτε απάντηση εντός μηνός από την παραλαβή του αιτήματος του καταγγέλλοντος.

Για την παραβίαση αυτή, η Αρχή απηύθυνε επίπληξη στο καταγγελλόμενο Ανώτατο Εκπαιδευτικό Ίδρυμα.