Πρόστιμο 5.000 ευρώ σε Επιμελητήριο για διαβίβαση προσωπικών δεδομένων σε τρίτους χωρίς νόμιμη βάση και προηγούμενη ενημέρωση (ΑΠΔΠΧ)

Πρόστιμο 5.000 ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα σε Νομικό Πρόσωπο Δημοσίου Δικαίου (Επιμελητήριο Μαγνησίας) για διαβίβαση προσωπικών δεδομένων σε τρίτους χωρίς νόμιμη βάση και χωρίς την προηγούμενη ενημέρωση του υποκειμένου.

Η υπόθεση τέθηκε ενώπιον της Αρχής έπειτα από καταγγελία του A, σύμφωνα με την οποία ο καταγγέλλων αναφέρει ότι το Επιμελητήριο Μαγνησίας κοινοποίησε με έγγραφό του προς την Ομοσπονδία Επαγγελματιών Βιοτεχνών και Εμπόρων Νομού Μαγνησίας καθώς και προς τα πρωτοβάθμια σωματεία - μέλη της ανωτέρω Ομοσπονδίας την αναφορά - καταγγελία κατά του ιδίου, η οποία φέρεται να κατατέθηκε ενώπιον της Εισαγγελίας Πρωτοδικών.

Μάλιστα, κατά τους ισχυρισμούς του καταγγέλλοντος, η ανωτέρω κοινοποίηση έλαβε χώρα ακόμα και προς πρόσωπα που δεν μετέχουν πλέον στη σύνθεση των σχετικών διοικητικών συμβουλίων καθώς και σε μέλη της εν λόγω Ομοσπονδίας, ήτοι σωματεία, που δεν υφίστανται πλέον στο νομικό κόσμο.

Επιπλέον, ο καταγγέλλων ισχυρίστηκε ότι με έγγραφο του Επιμελητηρίου δεν απαντήθηκε από το τελευταίο ουσιωδώς η αίτησή του περί του διαδικαστικού ερείσματος και των λόγων περαιτέρω διαβίβασης της αναφοράς που στρεφόταν σε βάρος του.

Το καταγγελλόμενο Επιμελητήριο ισχυρίστηκε, μεταξύ άλλων, ότι η επεξεργασία έγινε στο πλαίσιο νόμιμης υποχρέωσής και ειδικότερα χάριν του ελέγχου της σύννομης συμμέτοχης του καταγγέλλοντα στο ΔΣ της ανωτέρω Ομοσπονδίας λόγω διαχείρισης από την τελευταία επιδοτήσεων που της διέθετε το Επιμελητήριο. 

Σύμφωνα με το Επιμελητήριο, η μη διαβίβαση της επίμαχης αναφοράς θα μπορούσε να θεωρηθεί απόπειρα συγκάλυψης του θέματος ενώ μεταξύ των διατάξεων που επικαλείται προς υποστήριξη των ισχυρισμών του περιλαμβάνονται πέραν των ανωτέρω και εκείνες των άρθρων 5 και 9 παρ. 2 στοιχ. ε’ του ΓΚΠΔ καθώς και εκείνες των άρθρων 2 και 4α του ν. 4624/2019.

Ένα δε εκ των νομικών ερεισμάτων της διαβίβασης αποτελεί, κατά το Επιμελητήριο, και το άρθρο 4 του Κώδικα Διοικητικής Διαδικασίας περί διαβίβασης αιτήσεων στους αρμόδιους φορείς.

Η κρίση της Αρχής

Σε ό,τι αφορά το σκέλος της νόμιμης βάσης επεξεργασίας, η Αρχή διαπίστωσε ότι από καμία διάταξη νόμου, δεν προκύπτει ότι το Επιμελητήριο Μαγνησίας αφενός είχε έννομη υποχρέωση να προβεί στην εν λόγω επεξεργασία, αφετέρου, ότι θα ανταποκρινόταν πλημμελώς στο σκοπό του εάν δεν προέβαινε σε κοινοποίηση της εν λόγω αναφοράς.

Επομένως, το Επιμελητήριο προέβη στην εν λόγω επεξεργασία χωρίς την ύπαρξη νόμιμης βάσης και επομένως κατά παραβίαση του άρθρου 5 παρ. 1 εδ. α’ ΓΚΠΔ.

Ακόμα δε, και σε έλεγχο νομιμότητας εκλογής μέλους του ίδιου του Επιμελητηρίου να αφορούσε, και πάλι δεν υπήρχε νόμιμη βάση για την περαιτέρω κοινοποίηση.

Άλλωστε, η Ομοσπονδία και μέσω αυτής και τα πρωτοβάθμια σωματεία ως μέλη της, θα ελάμβαναν γνώση της αναφοράς εάν καλούνταν από τον Εισαγγελέα Πρωτοδικών να καταθέσουν στο πλαίσιο προκαταρκτικής εξέτασης.

Επομένως, ο εν λόγω ισχυρισμός τυγχάνει απορριπτέος.

Επιπλέον, ως προς την επίκληση του άρθρου 9 παρ. 2 περ. ε’ του ΓΚΠΔ περί πρόδηλης δημοσιοποίησης των προσωπικών δεδομένων από το ίδιο το υποκείμενο, προκύπτει ότι δεν συντρέχουν οι προϋποθέσεις εφαρμογής της εν λόγω διάταξης δοθέντος ότι στην προκειμένη περίπτωση η επεξεργασία αφορά σε περαιτέρω διαβίβαση μίας καταγγελίας που περιέχει προσωπικά δεδομένα και απευθύνεται καταρχήν προς εισαγγελική αρχή ενώ δεν εμπεριέχει αναφορές μόνο στα σχετικά με τη συνδικαλιστική δραστηριότητα του καταγγέλλοντος.

Ως προς τον ισχυρισμό του Επιμελητηρίου περί της δήθεν απορρέουσας από το άρθρο 4 του Κώδικα Διοικητικής Διαδικασίας υποχρέωσης να προβεί στην επίμαχη διαβίβαση, επισημαίνεται ότι όλως αβασίμως υποστηρίζεται, καθ’ όσον δεν πρόκειται περί αιτήσεως και ως εκ τούτου το καταγγελλόμενο Επιμελητήριο προβαίνει σε εσφαλμένη διασταλτική ερμηνεία της ανωτέρω διατάξεως. Επομένως και ο ανωτέρω ισχυρισμός τυγχάνει απορριπτέος.

Με την απόφασή της η Αρχή έκρινε ότι εν προκειμένω το καταγγελλόμενο Επιμελητήριο διαβιβάζοντας περαιτέρω προς τρίτους την εις βάρος του καταγγέλλοντος αναφορά χωρίς την ύπαρξη νόμιμης βάσης και σωρευτικά χωρίς την προηγούμενη ενημέρωση του καταγγέλλοντος - υποκειμένου των δεδομένων για το σκοπό της εν λόγω περαιτέρω επεξεργασίας, παραβίασε το άρθρο 5 παρ. 1 περ. α’ του ΓΚΠΔ και ειδικότερα την αρχή περί νόμιμης, αντικειμενικής και διαφανούς επεξεργασίας, καθώς επίσης και τα άρθρα 12 παρ. 1 και 14 παρ. 4 του ΓΚΠΔ.

Στο πλαίσιο αυτό η ΑΠΔΠΧ επέβαλε στο Επιμελητήριο Μαγνησίας το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο ύψους πέντε χιλιάδων (5.000).

Δείτε την απόφαση 30/2021 στο dpa.gr