Πρόσβαση αποστράτου στον υπηρεσιακό του φάκελο (ΑΠΔΠΧ 21/2024)

Διοικητικό πρόστιμο συνολικού ύψους 5.000 ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα στο Υπουργείο Εθνικής Άμυνας, για την παραβίαση διατάξεων του Γενικού Κανονισμού Προστασίας Δεδομένων.

Η Αρχή ερεύνησε καταγγελία που έλαβε από απόστρατο της Διοίκησης Υποβρυχίων του Γενικού Επιτελείου Ναυτικού, σύμφωνα με την οποία το ΓΕΝ αρνήθηκε να του παράσχει πρόσβαση στον υπηρεσιακό του φάκελο και ειδικότερα στις ειδικές εκθέσεις αξιολόγησης που τηρούνται στη Διοίκηση Υποβρυχίων.

Η απάντηση που έλαβε ο καταγγέλλων επί του αιτήματός του ανέφερε: «α) ότι η Διεύθυνση Προσωπικού της Διοίκησης Υποβρυχίων είναι υπεύθυνη για την τήρηση, φύλαξη και διαχείριση των εντύπων καταλληλότητας προσωπικού («Ειδικών Εκθέσεων Αξιολόγησης») για την υπηρεσία στα Υποβρύχια και τα εν λόγω έντυπα τηρούνται σε ειδικούς φακέλους για το σύνολο των εν ενεργεία στρατιωτικού προσωπικού, εξειδικευμένου στα Υποβρύχια, β) η Διοίκηση Υποβρυχίων, λαμβάνοντας υπόψη τα εντελλόμενα αναφορικά με τα τηρούμενα από ναυτικές υπηρεσίες αρχεία, προβαίνει σε καταστροφή των εν λόγω εντύπων μετά την παρέλευση διετίας από τη χρονολογία αποστρατείας των στελεχών, γ) με δεδομένο ότι ο καταγγέλλων έχει αποστρατευθεί το … τα αιτούμενα από αυτόν έντυπα καταλληλότητας έχουν καταστραφεί.»

Στο πλαίσιο εξέτασης της καταγγελίας, η Αρχή κάλεσε το Υπουργείο Εθνικής Άμυνας, το ΓΕΕΘΑ, το ΓΕΝ και τη Διοίκηση Υποβρυχίων να εκθέσουν τις απόψεις τους, χωρίς να λάβει απάντηση από οποιονδήποτε από τους κληθέντες φορείς. Κατόπιν τούτου, απεστάλη υπομνηστικό έγγραφο, με υπενθύμιση της υποχρέωσης συνεργασίας που προβλέπει το άρθρο 31 ΓΚΠΔ.

Μετά το υπομνηστικό έγγραφο, η Αρχή έλαβε την απάντηση του ΓΕΚ, το οποίο ανέφερε πως ισχύουν τα όσα προβλήθηκαν και προς τον καταγγέλλοντα, επισημαίνοντας πως «η Διοίκηση Υποβρυχίων προβαίνει σε καταστροφή των «Ειδικών Εκθέσεων Αξιολόγησης» μετά την παρέλευση διετίας από τη χρονολογία αποστρατείας των στελεχών, ενώ κατόπιν της παρέλευσης των είκοσι ετών δεν ευρέθη σχετικό πρωτόκολλο καταστροφής».

Στη συνέχεια και κληθέντες όπως παραστούν ενώπιον της Αρχής, οι εκπρόσωποι του ΓΕΝ και της Διοίκησης Υποβρυχίων επανέλαβαν τη θέση τους πως η ειδική έκθεση που ζητήθηκε από τον καταγγέλλοντα απόστρατο καταστράφηκε μετά την παρέλευση διετίας από την  αποστρατεία του, ενώ το σχετικό πρωτόκολλο καταστροφής δεν βρέθηκε, καθώς είχαν παρέλθει 20 έτη. Ως προς τις ακολουθούμενες διαδικασίες καταστροφής, ανέφεραν πως αυτές ρυθμίζονται με Πάγια Διαταγή του ΓΕΕΘΑ, η οποία όμως έχει εμπιστευτικό χαρακτήρα. Παράλληλα, προέβαλαν για πρώτη φορά τον ισχυρισμό πως ο καταγγέλλων έχει λάβει πλήρες αντίγραφο του ατομικού του φακέλου όταν αποστρατεύτηκε.

Η απόφαση της Αρχής

Ερμηνεύοντας το άρθρο 4 στοιχ. 7 ΓΚΠΔ για την έννοια του υπευθύνου επεξεργασίας και εφαρμόζοντας αυτό στην εξεταζόμενη υπόθεση, η Αρχή κατέληξε πως υπεύθυνος επεξεργασίας για τα αρχεία του προσωπικού του Πολεμικού Ναυτικού είναι το Υπουργείο Εθνικής Άμυνας, δια του ΓΕΕΘΑ.

Η Αρχή διαπίστωσε την παραβίαση των διατάξεων του άρθρου 15 παρ.1 και 3 ΓΚΠΔ για το δικαίωμα πρόσβασης, σε συνδυασμό με τις απαιτήσεις του άρθρου 12 παρ.3 και 4 σχετικά με την ανταπόκριση του υπευθύνου επεξεργασίας.

Ειδικότερα, διαπίστωσε ότι ο καταγγελλόμενος φορέας:

α. δεν προσκόμισε ενώπιόν της κανένα στοιχείο που να τεκμηριώνει την καταστροφή των ζητηθέντων δεδομένων, ως εκ τούτου και την αδυναμία παροχής τους στον καταγγέλλοντα,

β. προέβαλε ισχυρισμούς με χρονική και λογική ανακολουθία, καθώς «εφόσον ο καταγγέλλων αποστρατεύτηκε το … και τα δεδομένα καταστράφηκαν, κατά τους ισχυρισμούς του καταγγελλόμενου, κατόπιν δύο ετών, ενώ το πρωτόκολλο καταστροφής διατηρείται για διάστημα είκοσι ετών, δεν εξηγήθηκε ενώπιον της Αρχής η αδυναμία προσκόμισης του σχετικού πρωτοκόλλου καταστροφής»,

γ. προέβαλε οψίμως και μόνο κατά την ακρόαση τον ισχυρισμό πως ο καταγγέλλων είχε ήδη ζητήσει και λάβει αντίγραφο των επίμαχων δεδομένων, χωρίς να τον έχει θέσει προς τον καταγγέλλοντα ή να τον έχει προβάλει σε πρότερο στάδιο της διοικητικής διαδικασίας και χωρίς να τον τεκμηριώνει δια της προσκόμισης σχετικών στοιχείων,

δ. δεν έδωσε απάντηση στο αίτημα πρόσβασης που άσκησε ο απόστρατος εντός των προθεσμιών που ορίζονται από το άρθρο 12 παρ.3 και 4 ΓΚΠΔ, και

ε. ισχυρίστηκε πως η διαδικασία καταστροφής προβλέπεται από Πάγια Διαταγή, την οποία όμως δεν έθεσε σε γνώση και διάθεση της Αρχής, λόγω του διαβαθμισμένου χαρακτήρα της. Η Αρχή υπενθύμισε πως «η επεξεργασία προσωπικών δεδομένων που συντελείται στον τομέα της εθνικής άμυνας, ουδόλως εκφεύγει συνολικά από το πεδίο εφαρμογής της νομοθεσίας για την προστασία δεδομένων προσωπικού χαρακτήρα», ως εκ τούτου «γα την επίκληση λόγων «εθνικής ασφάλειας» θα πρέπει σε κάθε συγκεκριμένη περίπτωση ο υπεύθυνος επεξεργασίας να ερμηνεύει, να προσδιορίζει και να τεκμηριώνει ad hoc  ότι η επεξεργασία διενεργείται για δραστηριότητα που αφορά την εθνική ασφάλεια της χώρας, εκτός αν είναι πρόδηλη η συνδρομή της εννοίας αυτής».

Στην προκείμενη περίπτωση, ο καταγγελλόμενος «δεν επικαλέσθηκε πραγματικά περιστατικά, ούτε προσκόμισε σχετικά αποδεικτικά μέσα από τα οποία να προκύπτει ότι η εν λόγω διαδικασία καταστροφής των επίμαχων δεδομένων συνιστά κατ’ άρθρο 10 παρ. 5 του Ν. 4624/2019 «δραστηριότητα που αφορά την εθνική ασφάλεια» και συνεπώς ο καταγγελλόμενος όφειλε να προσκομίσει αυτήν ενώπιον της Αρχής προκειμένου η Αρχή να είναι σε θέση να κρίνει επί της τήρησης της διαδικασίας καταστροφής αναφορικά με τα επίμαχα δεδομένα».

Παράλληλα, η Αρχή διαπίστωσε και την παραβίαση της υποχρέωσης συνεργασίας με την εποπτική αρχή που θεσπίζεται από το άρθρο 31 ΓΚΠΔ. Όπως παρατήρησε, «ο καταγγελλόμενος υπεύθυνος επεξεργασίας, δεν ανταποκρίθηκε στο υπ’ αριθ. πρωτ. Αρχής Γ/ΕΞ/2525/10-10-2023 έγγραφο, παρά μόνον κατόπιν του υπ’ αριθ. πρωτ. Αρχής Γ/ΕΞ/3095/04-12-2023 υπομνηστικού εγγράφου της Αρχής, ενώ, λαμβανομένων υπόψη των διαλαμβανομένων στις αμέσως προηγούμενες σκέψεις, κρίνεται ότι ο καταγγελλόμενος υπεύθυνος επεξεργασίας δεν τεκμηρίωσε επαρκώς ενώπιον της Αρχής την αδυναμία παροχής των αιτούμενων δεδομένων στον καταγγέλλοντα, επιπλέον δε, όφειλε επί τη βάσει της αρχής της λογοδοσίας, να θέσει σε διάθεση και σε γνώση της Αρχής το σχετικό πλαίσιο διαδικασιών καταστροφής των επίμαχων δεδομένων».

Η Αρχή επέβαλε διοικητικό πρόστιμο 2.000 ευρώ για την παραβίαση των διατάξεων για το δικαίωμα πρόσβασης, ενώ υψηλότερο υπήρξε το πρόστιμο που επεβλήθη για τη μη συνεργασία μαζί της, το οποίο ανήλθε στο ύψος των 3.000 ευρώ.

Η απόφαση είναι διαθέσιμη στον ιστότοπο της Αρχής.