Διαβίβαση δεδομένων πριν τη δημοσίευση του νόμου (ΑΠΔΠΧ 39-40/2024)

Έστω και μια ημέρα μπορεί να καταστήσει την επεξεργασία των δεδομένων παράνομη, όπως διαπίστωσε η Εθνική Υπηρεσία Πληροφοριών (ΕΥΠ) μετά την επιβολή προστίμων συνολικού ύψους 10.000 ευρώ σε βάρος της από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.

Η Αρχή δέχθηκε τις καταγγελίες δύο προσώπων που υπηρετούσαν στην ΕΥΠ, σύμφωνα με τις οποίες η καταγγελλόμενη είχε διαβιβάσει παρανόμως σε τρίτους (τον Υπουργό Προστασίας του Πολίτη, τον Υφυπουργό Προστασίας του Πολίτη και τον αρχηγό ΕΛ.ΑΣ) καταστάσεις με το προσωπικό της υπηρεσίας, στις οποίες περιλαμβάνονταν και τα προσωπικά δεδομένα τους.

Ερωτηθείσα σχετικώς από την Αρχή, η ΕΥΠ διευκρίνισε πως οι καταστάσεις διαβιβάστηκαν στις 15-2021, μετά την ψήφιση του Ν. 4873/2021 «και την υπογραφή από την Πρόεδρο της Δημοκρατίας της παραγγελίας προς δημοσίευσή του στην Εφημερίδα της Κυβέρνησης» και πως σε αυτές «αναγραφόταν το ονοματεπώνυμο των υπαλλήλων, η κατηγορία, ο κλάδος, ο βαθμός αυτών, καθώς επίσης και οι τίτλοι σπουδών που κατείχαν, στοιχεία απαραίτητα για την έκδοση των αποφάσεων μετάταξης και τοποθέτησής τους», όπως προέβλεπε το άρθρο 74 του νόμου.

Η διαβίβαση αυτή, σύμφωνα με την ΕΥΠ, έγινε μια ημέρα μετά την ψήφιση και μια ημέρα πριν την έναρξη ισχύος του νόμου, «στο πλαίσιο της συνεργασίας και προεργασίας των δημοσίων υπηρεσιών, η οποία αποτελεί πάγια πρακτική μεταξύ των υπηρεσιών, όταν πρόκειται να εφαρμοσθούν ανάλογες διατάξεις Νόμου». Άλλωστε, όπως επισημάνθηκε, η διαβίβαση αυτή «θα πραγματοποιείτο ούτως ή άλλως» την 16-12-2021, ημερομηνία έναρξης ισχύος του νόμου.

Με τα υπομνήματά τους, που κατέθεσαν ενώπιον της Αρχής, οι καταγγέλλοντες των δύο υποθέσεων  αντέκρουσαν τους ισχυρισμούς της ΕΥΠ, αναφέροντας ότι στις 15-12-2021, όταν και έγινε η διαβίβαση των δεδομένων τους, το επίμαχο άρθρο 74 του Ν. 4873/2021 για την υποχρεωτική μετάταξη του πολιτικού προσωπικού της ΕΥΠ δεν βρισκόταν ακόμη σε ισχύ. Ως εκ τούτου, «δεν υπήρχε νόμιμο έρεισμα διαβίβασης» των προσωπικών δεδομένων των υπαλλήλων της καταγγελλόμενης.

Η ΕΥΠ ισχυρίστηκε πως η διαβίβαση δεδομένων που πραγματοποιήθηκε εμπίπτει στην περίπτωση του άρθρου 26 παρ.1 Ν. 4624/2019, περί διαβίβασης από δημόσιο φορέα σε δημόσιο φορέα, και έγινε «στο πλαίσιο της εκτέλεσης καθηκόντων του φορέα που διαβιβάζει, αλλά και της ανάγκης να τεθούν τα στοιχεία της καταγγέλλουσας υπόψη της Ελληνικής Αστυνομίας, προκειμένου να ολοκληρωθεί η διοικητική διαδικασία της μετάταξης».

Περαιτέρω, ακόμη και αν ήθελε γίνει δεκτό πως υπήρξε παραβίαση της νομοθεσίας για την προστασία των προσωπικών δεδομένων, «η διάρκεια αυτής ήταν περιορισμένη (μόλις λίγες ώρες), καθώς υπήρξε μια τεχνικής φύσεως αστοχία από πλευράς του Εθνικού Τυπογραφείου, παρότι το τελευταίο διαβεβαίωνε για την δημοσίευση του Νόμου στις 15-12-2021, και δεν οφείλεται σε δόλο της ΕΥΠ, αφού η εν λόγω διαβίβαση έγινε προκειμένου να υπάρξει ταχεία διεκπεραίωση της διοικητικής διαδικασίας της μετάταξης».

Η κρίση της ΑΠΔΠΧ

Η Αρχή δέχθηκε τον κύριο ισχυρισμό των δύο καταγγελλόντων και διαπίστωσε την παραβίαση της αρχής της νομιμότητας, αντικειμενικότητας και διαφάνειας της επεξεργασίας του άρθρου 5 παρ.1α’ ΓΚΠΔ.

Σύμφωνα με την απόφαση ΑΠΔΠΧ 39/2024, το σκεπτικό της οποίας επαναλαμβάνεται και στην ΑΠΔΠΧ 40/2024, «κατά την ημερομηνία της επίμαχης διαβίβασης, ήτοι στις 15-12-2021, η Πρόεδρος της Δημοκρατίας είχε υπογράψει μεν το ψηφισθέν από τη Βουλή νομοσχέδιο, το οποίο περιείχε τη σχετική με τη μετάταξη προσωπικού της ΕΥΠ διάταξη, η δημοσίευση αυτού ωστόσο στην Εφημερίδα της Κυβερνήσεως πραγματοποιήθηκε μία ημέρα αργότερα, και συγκεκριμένα στις 16-12-2021, οπότε, και τότε μόνο ο σχετικός νόμος απέκτησε τυπική ισχύ και νόμιμη υπόσταση, σύμφωνα με τα ανωτέρω. Επομένως, στις 15-12-2021 η ΕΥΠ προέβη σε επεξεργασία των προσωπικών δεδομένων της καταγγέλλουσας, με τη διαβίβαση στον Υπουργό Προστασίας του Πολίτη, στον Υφυπουργό Προστασίας του Πολίτη και στον Αρχηγό της ΕΛΑΣ, […], χωρίς να έχει προηγηθεί η δημοσίευση στην Εφημερίδα της Κυβερνήσεως του, σχετικού με την μετάταξη της ΕΥΠ προσωπικού, τυπικού νόμου (ήτοι του Ν. 4873/2021), με αποτέλεσμα κατά την επίμαχη διαβίβαση να ελλείπει το νομοθετικό έρεισμα για την εν λόγω μετάταξη, αλλά και χωρίς να έχει προηγηθεί σχετική ενημέρωση της καταγγέλλουσας, ως υποκειμένου των δεδομένων για τη διαβίβαση αυτή. Κατά τον τρόπο αυτό η επίμαχη επεξεργασία πραγματοποιήθηκε κατά παράβαση της αρχής της νομιμότητας, αντικειμενικότητας και διαφάνειας (άρθρο 5 παρ. 1, περ. α΄ ΓΚΠΔ), με αποτέλεσμα τα προσωπικά δεδομένα της καταγγέλλουσας να έχουν υποβληθεί σε μη σύννομη και μη θεμιτή επεξεργασία που έλαβε χώρα με μη διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων.

Η Αρχή έδωσε ιδιαίτερη σημασία και στο ζήτημα της ενημέρωσης των καταγγελλόντων, ως υποκειμένων των δεδομένων, σχετικά με τη διαβίβαση των δεδομένων τους.

Επί του ζητήματος αυτού, η ΕΥΠ είχε προβάλει (στην ΑΠΔΠΧ 39/2024) τον ισχυρισμό πως η επίμαχη διάταξη περί μετάταξης των υπαλλήλων της «ήταν ήδη γνωστή από τον χρόνο κατάθεσής της στο Ελληνικό Κοινοβούλιο προς ψήφιση, είχε λάβει σημαντική δημοσιότητα και συζητήθηκε πολύ πριν την ψήφισή της», χωρίς ωστόσο να πείθει την εποπτική αρχή. Όπως κρίθηκε, η ενημέρωση αυτή «δια της δημοσιότητας που είχε λάβει το εν λόγω ζήτημα» δεν πληροί τους όρους του άρθρου 13 ΓΚΠΔ, «σύμφωνα με το οποίο για την ενημέρωση απαιτείται ενέργεια του υπευθύνου επεξεργασίας, απευθυνόμενη στο υποκείμενο των δεδομένων».

Με βάση τα ανωτέρω, η Αρχή Προστασίας Δεδομένων διαπίστωσε δύο παραβάσεις της νομοθεσίας, επιβάλλοντας διοικητικό πρόστιμο ύψους 5.000 ευρώ με κάθε μια εκ των δύο αποφάσεών της, ήτοι συνολικού ύψους 10.000 ευρώ. Το πρόστιμο για τη διαβίβαση των δεδομένων κατά παράβαση του άρθρου 5 παρ.1α’ ΓΚΠΔ ανήλθε σε 4.000 ευρώ σε κάθε μια από τις δύο αποφάσεις, ενώ για τη μη ενημέρωση των υποκειμένων κατά παράβαση του άρθρου 13 ΓΚΠΔ επιβλήθηκαν πρόστιμα ύψους 1.000 ευρώ.

Ενδιαφέρον παρουσιάζουν και δύο ειδικότερες κρίσεις της Αρχής επί ζητημάτων που ετέθησαν υπόψιν της:

α. Η Αρχή επανέλαβε εκ νέου τις επιφυλάξεις της ως προς το εφαρμοστικό εύρος των εθνικών διατάξεων των άρθρων 24 και 26 Ν. 4624/2019, όπως οι επιφυλάξεις αυτές είχαν διατυπωθεί στην υπ’ αριθμ. 1/2020 Γνωμοδότησή της.

Η ΕΥΠ ισχυρίστηκε πως η επίμαχη διαβίβαση έλαβε χώρα υπό τους όρους του άρθρου 26 του Ν. 4624/2019, ήτοι στο πλαίσιο εκτέλεσης των καθηκόντων της, αλλά και των οριζόμενων προϋποθέσεων του άρθρου 24 του ως άνω Νόμου. Η Αρχή υπενθύμισε πως έχει ήδη κρίνει ότι ο ΓΚΠΔ «δεν παρέχει εξουσιοδότηση στον εθνικό νομοθέτη να θεσπίσει νέες «εθνικές νομικές βάσεις», αλλά μόνον να εξειδικεύσει τις νομικές βάσεις του άρθρου 6 παρ. 1 εδ. γ’ και ε’ ΓΚΠΔ» και έχει ήδη γνωμοδοτήσει πως «οι διατάξεις των ανωτέρω άρθρων 24 και 26 του Νόμου δεν πληρούν καμία από τις […] ουσιαστικές και διαδικαστικές προϋποθέσεις και εγγυήσεις που απορρέουν από τον ΓΚΠΔ».

β. Η ΕΥΠ ζήτησε από την Αρχή να εξετάσει το ενδεχόμενο «να μην εξετάσει» την καταγγελία, καθώς η καταγγέλλουσα δεν είχε προηγουμένως απευθυνθεί στην ίδια, ως υπεύθυνη επεξεργασίας. Η Αρχή απέρριψε το αίτημα αυτό, κρίνοντας πως «σύμφωνα με το άρθρο 12 ΓΚΠΔ το σχετικό αίτημα προς τον υπεύθυνο επεξεργασίας αφορά την άσκηση δικαιώματος εκ του ΓΚΠΔ και όχι την υποβολή καταγγελίας που έχει ως αντικείμενο την παραβίαση των διατάξεων αρμοδιότητας της ΑΠΔΠΧ».

Οι αποφάσεις ΑΠΔΠΧ 39/2024 και 40/2024 είναι διαθέσιμες στον ιστότοπο της Αρχής.