Παράνομη η κοινοποίηση στοιχείων καταγγέλοντος από Δήμο

Σε μια πολύ ενδιαφέρουσα απόφαση προχώρησε η ΑΠΔΠΧ, με την οποία διαπίστωσε παραβίαση αρχών του ΓΚΠΔ, λόγω κοινοποίησης των δεδομένων του καταγγέλλοντος προς τον καταγγελλόμενο από Δήμο.

Ιστορικό

Η υπόθεση αφορά στην εξέταση μιας καταγγελίας που υποβλήθηκε κατά του Δήμου Μεταμόρφωσης (εφεξής ο «Δήμος»), ενώπιον της Αρχής Προστασίας Προσωπικών Δεδομένων (εφεξής «ΑΠΔΠΧ») από κάτοικο (εφεξής ο «Καταγγέλλων») για παραβίαση του ρυθμιστικού πλαισίου περί προστασίας προσωπικών δεδομένων. Ειδικότερα, ο Καταγγέλλων είχε υποβάλει καταγγελία στο Δήμο σχετικά με μια πολεοδομική παράβαση (καταπάτηση πεζοδρομίου λόγω τοποθέτησης εξώπορτας) και είχε αιτηθεί να λάβει ενημέρωση για τις ενέργειες του Δήμου.

Στην απάντηση του Δήμου προς τον ιδιοκτήτη του ακινήτου για την πολεοδομική παράβαση, κοινοποιήθηκαν, μεταξύ άλλων, και προσωπικά δεδομένα του Καταγγέλλοντος (όνομα και διεύθυνση), κάτι που αποτέλεσε τη βάση της καταγγελίας του τελευταίου προς την ΑΠΔΠΧ. Πιο συγκεκριμένα, ο Καταγγέλλων ισχυρίστηκε ότι με την κοινοποίηση αυτών των στοιχείων συντελέστηκε παραβίαση των Προσωπικών του Δεδομένων.

Ο Δήμος, ισχυρίστηκε ενώπιον της ΑΠΔΠΧ ότι η κοινοποίηση των προσωπικών δεδομένων του Καταγγέλλοντος ήταν σύννομη και στηρίχθηκε στην Απόφαση 73/2010 της Αρχής, η οποία αναγνωρίζει το δικαίωμα του καταγγελλόμενου να έχει πρόσβαση στα δεδομένα της καταγγελίας που τον αφορούν, συμπεριλαμβανομένων των στοιχείων του καταγγέλλοντος. Επιπλέον, ο Δήμος ισχυρίστηκε ότι κατά την περίοδο υποβολής της καταγγελίας, υπήρχε μια προφορική ενημέρωση προς τους πολίτες για την πιθανή κοινοποίηση των προσωπικών τους στοιχείων στους καταγγελλόμενους.

Νομικό πλαίσιο

Η υπόθεση εξετάστηκε βάσει του Κανονισμού (ΕΕ) 2016/679 (εφεξής «ΓΚΠΔ») και του ν.4624/2019, όπως ισχύει. Ειδικότερα, για τη νομιμότητα των υπό συζήτηση δραστηριοτήτων επεξεργασίας, η ΑΠΔΠΧ έλαβε υπόψη:

1. Το άρθρο 5 ΓΚΠΔ: Στο άρθρο 5 παρατίθενται οι αρχές επεξεργασίας, οι οποίες πρέπει να πληρούνται σωρευτικά για να θεωρείται σύννομη μια δραστηριότητα επεξεργασίας. Σε αυτές συμπεριλαμβάνεται η αρχή της «νομιμότητας, αντικειμενικότηας και διαφάνειας» (άρθρο 5 παρ. 1 στοιχ. α’ ΓΚΠΔ), η αρχή της «ελαχιστοποίησης των δεδομένων» (άρθρο 5 παρ. 1 στοιχ. γ’ ΓΚΠΔ) και η αρχή της «λογοδοσίας» (άρθρο 5 παρ. 2 ΓΚΠΔ).

2. Την απόφαση 73/2010 της ΑΠΔΠΧ, βάσει της οποίας «καταγγελλόμενος, ως υποκείμενο των δεδομένων που τον αφορούν, δηλαδή της υποβληθείσας σε δημόσια υπηρεσία καταγγελίας, έχει δικαίωμα πρόσβασης, όχι μόνο στο κείμενο της καταγγελίας αλλά και σε κάθε πληροφορία σχετική με την προέλευση (πηγή) των δεδομένων αυτών, ενώ τα στοιχεία ταυτοποίησης του καταγγέλλοντος, όπως το όνομα και η διεύθυνσή του, συνιστούν προέλευση των δεδομένων».

Παράλληλα η ΑΠΔΠΧ έκανε μια αναφορά στην παρ. 3 του ν.2690/1990, όπως ισχύει (εφεξής «ΚΔΔιαδ») καθώς και την παρ. 4 του άρθρου 15 ΓΚΠΔ.

Απόφαση της ΑΠΔΠΧ

Η ΑΠΔΠΧ αποφάσισε ότι η κοινοποίηση των στοιχείων του Καταγγέλλοντος από τον Δήμο, στον Καταγγελλόμενο δεν ήταν αναγκαία για τον σκοπό της επίλυσης της πολεοδομικής παράβασης, καθώς ο Δήμος μπορούσε να επιβάλλει κυρώσεις στον ιδιοκτήτη χωρίς να απαιτείται η κοινοποίηση των προσωπικών δεδομένων του Καταγγέλλοντος.

Διαπιστώθηκε παραβίαση των αρχών του ΓΚΠΔ και συγκεκριμένα των αρχών της διαφάνειας και της ελαχιστοποίησης των δεδομένων, όπως ορίζονται στο άρθρο 5 παρ. 1 στοιχ. α’ και γ’ του ΓΚΠΔ.

Ειδικότερα, διαπίστωσε παραβίαση αναφορικά με:

Την Αρχή της διαφάνειας: Ο Δήμος δεν παρείχε επαρκή και σαφή ενημέρωση στον Καταγγέλλοντα ότι τα προσωπικά του δεδομένα θα μπορούσαν να κοινοποιηθούν στον Καταγγελλόμενο. Ο ισχυρισμός περί προφορικής ενημέρωσης δεν τεκμηριώθηκε και σε κάθε περίπτωση δεν αποδείχθηκε ως οφείλεται βάσει της παραγράφου 2 του άρθρου 5 ΓΚΠΔ.

Την Αρχή της ελαχιστοποίησης των δεδομένων: Η κοινοποίηση των προσωπικών στοιχείων του Καταγγέλλοντος ήταν περιττή για την επίτευξη του σκοπού της διαχείρισης της καταγγελίας. Ο Δήμος είχε την αυτεπάγγελτη αρμοδιότητα να ελέγξει και να επιβάλει διορθωτικά μέτρα για την πολεοδομική παράβαση χωρίς να κοινοποιήσει τα στοιχεία του Καταγγέλλοντος.

Λαμβάνοντας υπόψη κριτήρια[1] του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (εφεξής «ΕΣΠΔ»), ήτοι ότι (α) η παραβίαση δεν είχε ευρεία έκταση, (β) δεν αφορούσε ευαίσθητα δεδομένα, και (γ) δεν υπήρχε υλική ή ηθική ζημία για τον καταγγέλλοντα αλλά και ότι (δ) ο Δήμος είχε ήδη προβεί σε αναμόρφωση του συστήματος υποβολής καταγγελιών , η ΑΠΔΠΧ προχώρησε στην επιβολή επίπληξης (αντί προστίμου) στον Δήμο.

Συμπέρασμα/Σχολιασμός

Ως αναφέρθηκε ανωτέρω, η ΑΠΔΠΧ διαπίστωσε ότι η ενέργεια του Δήμου συνιστά παράβαση των άρθρων 5 παρ. 1 στοιχ. α’ και γ’ του ΓΚΠΔ, που αφορούν τη νομιμότητα, τη διαφάνεια και την ελαχιστοποίηση της επεξεργασίας των προσωπικών δεδομένων. Ως αποτέλεσμα, απηύθυνε επίπληξη στον Δήμο για τη μη συμμόρφωση με τις διατάξεις του ΓΚΠΔ.

Ωστόσο, η απόφαση αυτή έρχεται σε ευθεία αντίφαση με την υπ’ αριθμ. 73/2010 Απόφαση, για την οποία γίνεται εκτενής μνεία στην υπό ανάλυση υπόθεση. Συγκεκριμένα, στην απόφαση αυτή αναφέρεται ότι «[κ]άθε δημόσια υπηρεσία, η οποία είναι αρμόδια να εξετάζει καταγγελίες, διαβιβάζει κατά κανόνα αντίγραφα των καταγγελιών αυτών στους καταγγελλομένους, ώστε οι τελευταίοι να λάβουν γνώση και να εκθέσουν τις απόψεις τους. Η διαβίβαση αυτή πραγματοποιείται στο πλαίσιο της αρμοδιότητας κάθε υπηρεσίας και της ανάγκης για την ορθή διερεύνηση της υπόθεσης. Η διοικητική αυτή πρακτική αποτελεί κοινή γνώση του επιμελούς πολίτη. Συγκεκριμένα, ο καταγγέλλων οφείλει να γνωρίζει ότι ο καταγγελλόμενος έχει, πλην νομίμων εξαιρέσεων, δικαίωμα πρόσβασης στην καταγγελία που τον αφορά και στα στοιχεία του καταγγέλλοντος».

Αρχικά, αξίζει να αναφερθεί ότι ορθώς η ΑΠΔΠΧ δεν δέχθηκε το επιχείρημα περί προφορικής ενημέρωσης. Η προφορική ενημέρωση δεν είναι επαρκής, όχι μόνο λόγω της αρχής της λογοδοσίας, που αναφέρει στο σκεπτικό της η ΑΠΔΠΧ, αλλά και της προϋπόθεσης που θέτει το εδ. β’ της παραγράφου 1 του άρθρου 12 ΓΚΠΔ, σύμφωνα με την οποία θα πρέπει να γίνεται προφορική ενημέρωση «όταν ζητείται από το υποκείμενο των δεδομένων». Από αυτό τεκμαίρεται η ανάγκη διαμόρφωσης, από τους Υπευθύνους Επεξεργασίας, πλήρων, συνοπτικών και κατανοητών ενημερωτικών σημειωμάτων επεξεργασίας δεδομένων (και όχι «Πολιτικές» οι οποίες σε έναν μεγάλο βαθμό είναι είτε δυσνόητες είτε προϊόν αντιγραφής από κείμενα άλλων ιστοσελίδων) , τα οποία να είναι διαθέσιμα στο κοινό, ιδανικά μέσω της ιστοσελίδας ενός Δήμου. Με αυτόν τον τρόπο ένας Υπεύθυνος Επεξεργασίας πραγματοποιεί τεκμαρτά ενέργειες για τη συμμόρφωσή του με την υποχρέωση ενημέρωσης που φέρει[2].

Ωστόσο, τεράστια έκπληξη προκαλεί το γεγονός ότι, κατά τη μείζονα πρόταση της εν λόγω απόφασης, έγινε ανάλυση και εξέταση, υπό το πρίσμα του δικαιώματος πρόσβασης του Καταγγελλομένου. Εν τούτοις, από τα πραγματικά περιστατικά που παρατέθηκαν, δεν προκύπτει ότι ο Καταγγελλόμενος υπέβαλε κάποιο αίτημα πρόσβασης αλλά ότι ο Δήμος προχώρησε σε κοινοποίηση των στοιχείων του Καταγγελλομένου.

Αυτός είναι και ο λόγος που προκαλεί έκπληξη ότι δεν έγινε καμία αναφορά, πολλώ δε μάλλον ανάλυση, του άρθρου 14 ΓΚΠΔ και ειδικότερα το στοιχ. στ’ της παραγράφου 2 του άρθρου αυτού. Σύμφωνα με τη διάταξη αυτή, ο Υπεύθυνος Επεξεργασίας (εν προκειμένω ο Δήμος) έχει υποχρέωση να αναφέρει την πηγή των δεδομένων, όταν η προέλευση των δεδομένων δεν είναι το ίδιο το υποκείμενο, όπως συμβαίνει στις περιπτώσεις μιας καταγγελίας. Η παροχή δε των προβλεπόμενων στο άρθρο 14 ΓΚΠΔ πληροφοριών, συμπεριλαμβανομένης της πληροφορίας, που αφορά την πηγή, θα πρέπει να γίνεται κατά την πρώτη επικοινωνία με το εν λόγω υποκείμενο των δεδομένων (άρθρο 14 παρ. 3 στοιχ. β’ ΓΚΠΔ) και σε κάθε περίπτωση εντός ενός μήνα από τη συλλογή των προσωπικών δεδομένων (άρθρο 14 παρ. 3 στοιχ. α’ ΓΚΠΔ). Διαζευτικές προϋποθέσεις εξαίρεσης της ως άνω υποχρέωσης, θέτει η παράγραφος 5 του άρθρου 14 ΓΚΠΔ. Συγκεκριμένα, δεν απαιτείται η παροχή της εν λόγω πληροφόρησης εάν:

Α. «Το υποκείμενο διαθέτει ήδη τις πληροφορίες» (άρθρο 14 παρ. 5 στοιχ. α’ ΓΚΠΔ),

Β. «Η παροχή της πληροφόρησης θα ήταν αδύνατη ή θα συνεπάγοταν δυσανάλογη προσπάθεια […] Στις περιπτώσεις αυτές, ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για την προστασία των δικαιωμάτων και ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων, μεταξύ άλλων καθιστώντας τις πληροφορίες διαθέσιμες στο κοινό» (άρθρο 14 παρ. 5 στοιχ. β’ ΓΚΠΔ),

Γ. «Η απόκτηση ή η κοινολόγηση προβλέπεται ρητώς από το δίκαιο της Ένωσης ή του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας και το οποίο παρέχει τα κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων» (άρθρο 14 παρ. 5 στοιχ. β’ ΓΚΠΔ),

Δ. «Τα δεδομένα προσωπικού χαρακτήρα πρέπει να παραμείνουν εμπιστευτικά δυνάμει υποχρέωσης επαγγελματικού απορρήτου που ρυθμίζεται από το δίκαιο της Ένωσης ή κράτους μέλους, συμπεριλαμβανομένης της εκ του νόμου υποχρέωσης τήρησης απορρήτου» (άρθρο 14 παρ. 5 στοιχ. β’ ΓΚΠΔ).

Από το ιστορικό που παρέθεσε η ΑΠΔΠΧ, στην υπό ανάλυση απόφαση, δεν προκύπτει ότι ο Καταγγέλλων ζήτησε την ανωνυμία του εν γένει ή γιατί απειλείται κάποιο υπέρτατο έννομο αγαθό του ή υπάρχει επέμβαση στην ιδιωτική ή οικογενειακή ζωή του ή/και γιατί παραβλάπτεται απόρρητο το οποίο προβλέπεται από ειδικές διατάξεις. Από αυτό συμπεραίνεται ότι δεν πληρούνται οι προϋποθέσεις ώστε να τυγχάνει εφαρμογής η παρ. 3 του άρθρου 5 του ΚΔΔιαδ και ως εκ τούτου να εφαρμόζεται η ως άνω εξαίρεση του ΓΚΠΔ. Δεδομένων των ανωτέρω, ο Δήμος ήταν υποχρεωμένος να παράσχει τα στοιχεία προέλευσης του Καταγγέλλοντος στον Καταγγελλόμενο, με αντίστοιχη υποχρέωση προηγούμενης σχετικής ενημέρωσης των υποκειμένων.

Με την απόφασή της, η ΑΠΔΠΧ ενώ διαπίστωσε παραβίαση της υποχρέωσης ενημέρωσης, που φέρει ο Δήμος έναντι του Καταγγέλλοντος, ο οποίος αποτελεί υποκείμενο των δεδομένων, δεν αναγνωρίζει και ούτε αναφέρεται στην αντίστοιχη υποχρέωση που φέρει ο Δήμος, ως Υπεύθυνος Επεξεργασίας, προς τον Καταγγελλόμενο, ο οποίος αντίστοιχα αποτελεί Υποκείμενο Δεδομένων και σε κάθε περίπτωση δεν εξηγεί γιατί θα πρέπει να εφαρμοστεί εν προκειμένω εξαίρεση. Αν και η κάθε υπόθεση εξετάζεται ad hoc και τα πραγματικά περιστατικά παίζουν καθοριστικό ρόλο στη νομιμότητα μιας δραστηριότητας επεξεργασίας, η εν λόγω απόφαση δημιουργεί ορισμένες αντιφάσεις και ενδεχομένως να δημιουργεί ζητήματα σε ό,τι αφορά την αρχή της ισότητας.

[1]https://www.lawspot.gr/nomika-blogs/stergios_konstantinoy/pos-ypologizontai-ta-prostima-gia-paraviasi-toy-gdpr

[2] Άρθρο 5 παρ. 1 στοιχ. α’ ΓΚΠΔ σε συνδυασμό με τα άρθρα 12 – 14 ΓΚΠΔ