ΣτΕ (Δ') 150/17 : "Αρχή προστασίας δεδομένων προσωπικού χαρακτήρα – Επεξεργασία δεδομένων διεύθυνσης κατοικίας από εταιρία – Επιμέτρηση προστίμου"

ΣτΕ (Δ') 150/17 : Αρχή προστασίας δεδομένων προσωπικού χαρακτήρα – Επεξεργασία δεδομένων διεύθυνσης κατοικίας από εταιρία – Επιμέτρηση προστίμου. Αίτηση ακυρώσεως. Στο σώμα των αποφάσεων των συλλογικών διοικητικών οργάνων, όπως η ανεξάρτητη Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), δεν απαιτείται να αναφέρονται τα ονόματα και η γνώμη των μελών που μειοψήφησαν. Με νόμιμη αιτιολογία η ΑΠΔΠΧ έκρινε ότι η αιτούσα εταιρεία προέβη σε επεξεργασία των δεδομένων που αφορούσαν τη διεύθυνση κατοικίας του Λ.Φ. και διαβίβαση αυτών στην πρώην σύζυγό του, για τη δε στοιχειοθέτηση της παράβασης δεν απαιτείται η επέλευση βλάβης του υποκειμένου των δεδομένων. Το γεγονός ότι η πρώην σύζυγος του Λ.Φ., ενδεχομένως θα είχε δικαίωμα να λάβει γνώση των περιουσιακών στοιχείων του κατόπιν αιτήματός της ή εισαγγελικής παραγγελίας, δεν αναιρεί την τέλεση της παράβασης, διότι, πάντως, τέτοιο αίτημα δεν υπήρξε. Νομίμως αιτιολογημένη η επιμέτρηση του επίδικου προστίμου κατ' επίκληση της βαρύτητας της παράβασης, χωρίς να απαιτείται εκ του νόμου περαιτέρω εξειδίκευσή της, το δε επιλεγέν πρόστιμο ευρίσκεται εγγύς προς το κατώτερο όριο του δυναμένου να επιβληθεί και επομένως δεν παρίσταται δυσανάλογο. Απορρίπτει την αίτηση ακύρωσης.

ΣΥΜΒΟΥΛΙΟ ΤΗΣ ΕΠΙΚΡΑΤΕΙΑΣ

ΤΜΗΜΑ Δ΄

ΑΠΟΦΑΣΗ 150/2017

Συνεδρίασε δημόσια στο ακροατήριό του στις 20 Ιανουαρίου 2015, με την εξής σύνθεση: Δημοσθένης Π. Πετρούλιας, Αντιπρόεδρος, Πρόεδρος του Δ΄ Τμήματος, Ηλ. Μάζος, Β. Κίντζιου, Σύμβουλοι, Μ. Σωτηροπούλου, Μ. Αθανασοπούλου, Πάρεδροι. Γραμματέας η Ι. Παπαχαραλάμπους.

Για να δικάσει την από 10ης Σεπτεμβρίου 2012 αίτηση:

της ανώνυμης εταιρείας με την επωνυμία …, η οποία παρέστη με τη δικηγόρο ΚΜ (Α.Μ....), που τη διόρισε με πληρεξούσιο,

κατά της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, που εδρεύει στην Αθήνα (Λ. Κηφισίας 1-3), η οποία δεν παρέστη.

Με την αίτηση αυτή η αιτούσα εταιρεία επιδιώκει να ακυρωθεί η υπ' αριθ. 104/2012 απόφαση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.

Η εκδίκαση άρχισε με την ανάγνωση της εκθέσεως της εισηγήτριας, Παρέδρου M. Σωτηροπούλου.

Κατόπιν το δικαστήριο άκουσε την πληρεξουσία της αιτούσας εταιρείας, η οποία ανέπτυξε και προφορικά τους προβαλλόμενους λόγους ακυρώσεως και ζήτησε να γίνει δεκτή η αίτηση.

Μετά τη δημόσια συνεδρίαση το δικαστήριο συνήλθε σε διάσκεψη σε αίθουσα του δικαστηρίου και

Αφού μελέτησε τα σχετικά έγγραφα

Σκέφθηκε κατά τον Νόμο

1. Επειδή, για την άσκηση της κρινόμενης αίτησης έχει καταβληθεί το παράβολο (έντυπα παραβόλου 3370660, 1270051/2012).

2. Επειδή, με την κρινόμενη αίτηση ζητείται η ακύρωση της πράξης 104/8.6.2012 της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, με την οποία επεβλήθη στην εταιρεία «…» πρόστιμο ύψους 5.000 ευρώ.

3. Επειδή, πριν από την έκδοση της προσβαλλόμενης πράξης, η επωνυμία της εταιρείας, εις βάρος της οποίας είχε επιβληθεί το πρόστιμο, μεταβλήθηκε σε «…» (ΦΕΚ 12520/25.11.2011, τεύχος Α.Ε. και Ε.Π.Ε.), η οποία παραδεκτώς ασκεί την κρινόμενη αίτηση. Περαιτέρω, η επωνυμία της εταιρείας μετεβλήθη εκ νέου σε «…» (ΦΕΚ 11150/10.11.2012, τεύχος Α.Ε. και Ε.Π.Ε.), η οποία παραδεκτώς παρέστη κατά τη συζήτηση της υπόθεσης στο ακροατήριο.

4. Επειδή, στο άρθρο 19 παρ. 2 και 3 του ν. 2472/1997 «Προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα» (Α΄ 50), ορίζεται ότι «… Οι αποφάσεις της Αρχής λαμβάνονται με πλειοψηφία τουλάχιστον τεσσάρων μελών της. Σε περίπτωση ισοψηφίας υπερισχύει η ψήφος του Προέδρου ή του αναπληρωτή του. 3. [η οποία συμπληρώθηκε με το άρθρο 34 παρ. 5 του ν. 2915/2001, Α΄ 109] Η Αρχή καταρτίζει τον κανονισμό λειτουργίας της, με τον οποίο ρυθμίζονται ιδίως η κατανομή αρμοδιοτήτων μεταξύ των μελών της, η προηγούμενη ακρόαση των ενδιαφερομένων, θέματα πειθαρχικής διαδικασίας...». Κατ' επίκληση της ανωτέρω εξουσιοδότησης του άρθρου 19 παρ. 3 του ν. 2472/1997 εκδόθηκε ο Κανονισμός Λειτουργίας της Αρχής 6/1997 (Β΄ 1095), ο οποίος ορίζει στο άρθρο 6 ότι «1. ... 6. Η Αρχή συνεδριάζει νομίμως όταν παρίστανται τέσσερα τουλάχιστον μέλη της, συμπεριλαμβανομένου του Προέδρου. 7. ... 8. … 9. Με ευθύνη του Τμήματος Διοικητικών Υποθέσεων τηρούνται στενογραφημένα ή μαγνητοφωνημένα πρακτικά όλων των συνεδριάσεων της Αρχής. ... Στα πρακτικά καταχωρίζονται τα θέματα που συζητήθηκαν, η άποψη που πλειοψήφησε και οι γνώμες των μελών που τυχόν μειοψήφησαν. ...» και στο άρθρο 7 παρ. 2 και 4 ότι «Οι αποφάσεις της Αρχής λαμβάνονται με πλειοψηφία τουλάχιστον τεσσάρων μελών της. Σε περίπτωση ισοψηφίας υπερισχύει η ψήφος του Προέδρου» και «Η ψηφοφορία είναι φανερή εκτός από περιπτώσεις αποφάσεων που αφορούν κωλύματα ή ασυμβίβαστα μελών της Αρχής, οπότε είναι μυστική. ...». Περαιτέρω, ο κυρωθείς με το άρθρο πρώτο του ν. 2690/1999 (Α΄ 45) Κώδικας Διοικητικής Διαδικασίας ορίζει στο άρθρο 1 ότι «Οι διατάξεις του Κώδικα αυτού εφαρμόζονται στο Δημόσιο, στους οργανισμούς τοπικής αυτοδιοίκησης και στα άλλα νομικά πρόσωπα δημόσιου δικαίου» και στο άρθρο 15 ότι «1. ... 4. Για τις συνεδριάσεις του συλλογικού οργάνου συντάσσεται πρακτικό, στο οποίο μνημονεύονται, ιδίως, τα ονόματα και η ιδιότητα των παρισταμένων μελών, … τα θέματα που συζητήθηκαν..., η μορφή και τα αποτελέσματα της ψηφοφορίας και οι αποφάσεις που λήφθηκαν. 5. Στο πρακτικό καταχωρίζονται οι γνώμες των μελών που μειοψήφησαν, σε περίπτωση δε φανερής ψηφοφορίας και τα ονόματα τούτων. 6. ...». Όπως έχει κριθεί (ΣτΕ Ολομ. 1662/2009), από τις διατάξεις αυτές ουδόλως προκύπτει ότι στο σώμα των αποφάσεων της Αρχής επιβάλλεται, επί ποινή ακυρότητας, να αναγράφεται αν ελήφθησαν ομοφώνως ή κατά πλειοψηφία, ούτε να καταχωρείται το περιεχόμενο των μειοψηφουσών γνωμών και τα ονόματα των μειοψηφούντων μελών, αλλά, αντιθέτως, η Αρχή υποχρεούται, σύμφωνα με την ειδική διάταξη του άρθρου 6 παρ. 9 του Κανονισμού της, σε συνδυασμό και με την διάταξη του άρθρου 15 παρ. 5 του Κώδικα Διοικητικής Διαδικασίας, να καταχωρεί στα συντασσόμενα πρακτικά συνεδριάσεων τις μειοψηφούσες γνώμες και, επί φανερών ψηφοφοριών, τα ονόματα των μειοψηφούντων μελών της.

5. Επειδή, με την κρινόμενη αίτηση προβάλλεται ότι η προσβαλλόμενη απόφαση, ληφθείσα κατά πλειοψηφία, είναι μη νόμιμη και ακυρωτέα, διότι δεν αναφέρονται στο σώμα αυτής τα ονόματα και η γνώμη των μελών που μειοψήφησαν. Ο λόγος αυτός, όπως διατυπώνεται, είναι απορριπτέος ως αβάσιμος, δοθέντος ότι, όπως έγινε δεκτό στην προηγούμενη σκέψη, τα στοιχεία αυτά δεν απαιτείται να αναφέρονται στο σώμα της προσβαλλόμενης πράξης. Απαραδέκτως δε η αιτούσα προβάλλει το πρώτον με το υπόμνημα που κατέθεσε μετά τη συζήτηση της υπόθεσης στο ακροατήριο ότι τα στοιχεία αυτά δεν αναφέρονται ούτε στα πρακτικά της συνεδρίασης της Αρχής, διότι ο ισχυρισμός αυτός συνιστά αυτοτελή λόγο ακυρώσεως, ο οποίος θα μπορούσε να προβληθεί παραδεκτώς μόνον με δικόγραφο προσθέτων λόγων.

6. Επειδή, στο άρθρο 2 του προαναφερθέντος ν. 2472/1997, όπως ίσχυε τον κρίσιμο χρόνο, ορίζονται τα εξής, ορίζονται τα εξής: «Για τους σκοπούς του παρόντος νόμου νοούνται ως: α) "Δεδομένα προσωπικού χαρακτήρα, κάθε πληροφορία που αναφέρεται στο υποκείμενο των δεδομένων. … γ) "Υποκείμενο των δεδομένων", το φυσικό πρόσωπο στο οποίο αναφέρονται τα δεδομένα και του οποίου η ταυτότητα είναι γνωστή ή μπορεί να εξακριβωθεί, δηλαδή μπορεί να προσδιορισθεί αμέσως ή εμμέσως, … δ) "Επεξεργασία δεδομένων προσωπικού χαρακτήρα" ("επεξεργασία"), κάθε εργασία ή σειρά εργασιών που πραγματοποιείται, από το Δημόσιο ή από νομικό πρόσωπο δημοσίου δικαίου ή ιδιωτικού δικαίου ή ένωση προσώπων ή φυσικό πρόσωπο με ή χωρίς τη βοήθεια αυτοματοποιημένων μεθόδων και εφαρμόζονται σε δεδομένα προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διατήρηση ή αποθήκευση, η τροποποίηση, η εξαγωγή, η χρήση, η διαβίβαση, η διάδοση ή κάθε άλλης μορφής διάθεση, η συσχέτιση ή ο συνδυασμός, η διασύνδεση, η δέσμευση (κλείδωμα), η διαγραφή, η καταστροφή. ε) "Αρχείο δεδομένων προσωπικού χαρακτήρα" ("αρχείο"), σύνολο δεδομένων προσωπικού χαρακτήρα, το οποία αποτελούν ή μπορεί να αποτελέσουν αντικείμενο επεξεργασίας, και το οποία τηρούνται είτε από το Δημόσιο ή από νομικό πρόσωπο δημοσίου δικαίου ή ιδιωτικού δικαίου ή ένωση προσώπων ή φυσικό πρόσωπο. … ζ) "Υπεύθυνος επεξεργασίας", οποιοσδήποτε καθορίζει το σκοπό και τον τρόπο επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, όπως φυσικό ή νομικό πρόσωπο, δημόσια αρχή ή υπηρεσία ή οποιοσδήποτε άλλος οργανισμός. Όταν ο σκοπός και ο τρόπος της επεξεργασίας καθορίζονται με διατάξεις νόμου ή κανονιστικές διατάξεις εθνικού ή κοινοτικού δικαίου, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια βάσει των οποίων γίνεται η επιλογή του καθορίζονται αντίστοιχα από το εθνικό ή το κοινοτικό δίκαιο. η) "Εκτελών την επεξεργασία", οποιοσδήποτε επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό υπεύθυνου επεξεργασίας, όπως φυσικό ή νομικό πρόσωπο, δημόσια αρχή ή υπηρεσία ή οποιοσδήποτε άλλος οργανισμός. …». Στο δε άρθρο 4 παρ. 1 του αυτού νόμου προβλέπονται τα εξής: «Τα δεδομένα προσωπικού χαρακτήρα για να τύχουν νόμιμης επεξεργασίας πρέπει: α) Να συλλέγονται κατά τρόπο θεμιτό και νόμιμο για καθορισμένους, σαφείς και νόμιμους σκοπούς και να υφίστανται θεμιτή και νόμιμη επεξεργασία εν όψει των σκοπών αυτών. β) … γ) Να είναι ακριβή και, εφόσον χρειάζεται, να υποβάλλονται σε ενημέρωση. δ) …». Περαιτέρω, στο άρθρο 5 του νόμου ορίζεται ότι: «1. Επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται μόνον όταν το υποκείμενο των δεδομένων έχει δώσει τη συγκατάθεσή του. 2. Κατ' εξαίρεση επιτρέπεται η επεξεργασία και χωρίς τη συγκατάθεση, όταν: α) Η επεξεργασία είναι αναγκαία για την εκτέλεση σύμβασης, στην οποία συμβαλλόμενο μέρος είναι υποκείμενο δεδομένων ή για τη λήψη μέτρων κατόπιν αιτήσεως του υποκειμένου κατά το προσυμβατικό στάδιο. β) Η επεξεργασία είναι αναγκαία για την εκπλήρωση υποχρεώσεως του υπεύθυνου επεξεργασίας, η οποία επιβάλλεται από το νόμο. γ) Η επεξεργασία είναι αναγκαία για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου, εάν αυτό τελεί σε φυσική ή νομική αδυναμία να δώσει τη συγκατάθεσή του. δ) Η επεξεργασία είναι αναγκαία για την εκτέλεση έργου δημόσιου συμφέροντος ή έργου που εμπίπτει στην άσκηση δημόσιας εξουσίας και εκτελείται από δημόσια αρχή ή έχει ανατεθεί από αυτή είτε στον υπεύθυνο επεξεργασίας είτε σε τρίτο, στον οποίο γνωστοποιούνται τα δεδομένα. ε) Η επεξεργασία είναι απολύτως αναγκαία για την ικανοποίηση του έννομου συμφέροντος που επιδιώκει ο υπεύθυνος επεξεργασίας ή ο τρίτος ή οι τρίτοι στους οποίους ανακοινώνονται τα δεδομένα και υπό τον όρο ότι τούτο υπερέχει προφανώς των δικαιωμάτων και συμφερόντων των προσώπων στα οποία αναφέρονται τα δεδομένα και δεν θίγονται οι θεμελιώδεις ελευθερίες αυτών. 3. …». Εξάλλου, στο άρθρο 10 παρ. 3 και 4 του αυτού νόμου προβλέπονται τα εξής: «Ο υπεύθυνος επεξεργασίας οφείλει να λαμβάνει τα κατάλληλα οργανωτικά και τεχνικά μέτρα για την ασφάλεια των δεδομένων και την προστασία τους από τυχαία ή αθέμιτη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευμένη διάδοση ή πρόσβαση και κάθε άλλη μορφή αθέμιτης επεξεργασίας. Αυτά τα μέτρα πρέπει να εξασφαλίζουν επίπεδο ασφάλειας ανάλογο προς τους κινδύνους που συνεπάγεται η επεξεργασία και η φύση των δεδομένων που είναι αντικείμενο της επεξεργασίας» (παρ. 3) και «Αν η επεξεργασία διεξάγεται για λογαριασμό του υπευθύνου από πρόσωπο μη εξαρτώμενο από αυτόν, η σχετική ανάθεση γίνεται υποχρεωτικά εγγράφως. Η ανάθεση προβλέπει υποχρεωτικά ότι ο ενεργών την επεξεργασία τη διεξάγει μόνο κατ' εντολήν του υπευθύνου και ότι οι λοιπές υποχρεώσεις του παρόντος άρθρου βαρύνουν αναλόγως και αυτόν» (παρ. 4). Σύμφωνα με το άρθρο 21 του νόμου, «1. 

Η Αρχή επιβάλλει στους υπεύθυνους επεξεργασίας ή στους τυχόν εκπροσώπους τους τις ακόλουθες διοικητικές κυρώσεις, για παράβαση των υποχρεώσεών τους που απορρέουν από τον παρόντα νόμο και από κάθε άλλη ρύθμιση που αφορά την προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα: 

α) Προειδοποίηση, … β) Πρόστιμο ποσού από τριακόσιες χιλιάδες (300.000) έως πενήντα εκατομμύρια (50.000.000) δραχμές. γ) Προσωρινή ανάκληση άδειας. δ) οριστική ανάκληση άδειας. … 2. Οι υπό στοιχεία β΄, γ΄, δ΄ και ε΄ διοικητικές κυρώσεις της προηγούμενης παραγράφου επιβάλλονται πάντοτε ύστερα από ακρόαση του υπεύθυνου επεξεργασίας ή του εκπροσώπου του. Είναι ανάλογες προς τη βαρύτητα της παράβασης που καταλογίζεται. Οι υπό στοιχεία γ΄, δ΄ και ε΄ διοικητικές κυρώσεις επιβάλλονται σε περιπτώσεις ιδιαίτερα σοβαρής ή καθ' υποτροπήν παράβασης. …».

7. Επειδή, εν προκειμένω, όπως προκύπτει από τα στοιχεία του φακέλου, ο ιδιώτης Λ.Φ. είχε ανοίξει ατομικό τραπεζικό λογαριασμό στην Τράπεζα με την επωνυμία EFG Eurobank Ergasias, δηλώνοντας συγκεκριμένη διεύθυνση κατοικίας (οδό Χ), είχε δε παράσχει εντολή για την απόκτηση μεριδίων αμοιβαίων κεφαλαίων μέσω του λογαριασμού αυτού. Για την παροχή των υπηρεσιών που σχετίζονταν με την τελευταία αυτή δραστηριότητα, συμβλήθηκε με την αιτούσα εταιρεία Διαχείρισης Αμοιβαίων Κεφαλαίων, η οποία του απέστειλε ενημερωτικά σημειώματα για τις κινήσεις του χαρτοφυλακίου αμοιβαίων κεφαλαίων που αφορούσαν το τελευταίο τρίμηνο του έτους 2000 σε άλλη διεύθυνση (οδό Φ), που αποτελούσε τη διεύθυνση της ατομικής επιχείρησης της πρώην συζύγου του. Στις 29.11.2004, ο Λ.Φ. υπέβαλε καταγγελία στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, ισχυριζόμενος ότι η Τράπεζα και η αιτούσα προέβησαν σε παράνομη διαβίβαση προσωπικών δεδομένων που τον αφορούσαν σε άλλη διεύθυνση σε σχέση με τη δηλωθείσα, με αποτέλεσμα να λάβει γνώση αυτών η πρώην σύζυγός του και να τα χρησιμοποιήσει εναντίον του σε δίκη διατροφής των ανηλίκων τέκνων τους. Η Αρχή επελήφθη της καταγγελίας και, με την πράξη 41/2006, επέβαλε στην αιτούσα πρόστιμο 5.000 ευρώ, η πράξη, όμως, αυτή ανεκλήθη με την απόφαση 120/2011 της αυτής Αρχής, λόγω κακής σύνθεσης, όπως είχε κριθεί με αποφάσεις του Δ΄ Τμήματος του Συμβουλίου της Επικρατείας (βλ. ΣτΕ 4240/2010 7μ. κ.ά.). Στη συνέχεια, η Αρχή κάλεσε εκ νέου την αιτούσα σε ακρόαση και, με την προσβαλλόμενη πράξη, της επέβαλε και πάλι πρόστιμο ύψους 5.000 ευρώ. Ειδικότερα, η Αρχή δέχθηκε τα εξής: α. ότι, βάσει της σύμβασης αντιπροσώπευσης, η Τράπεζα εκτελεί την επεξεργασία για λογαριασμό της αιτούσας, έχει την υποχρέωση να ελέγχει τα στοιχεία και τη νοµιµοποίηση των ενδιαφερομένων για την απόκτηση αμοιβαίων κεφαλαίων και να µεριµνά για τη σωστή συμπλήρωση των αιτήσεων που αποστέλλει στην αιτούσα, β. ότι, όπως προκύπτει από το μητρώο πελάτη που τηρεί η Τράπεζα, για το συγκεκριμένο λογαριασμό του Λ.Φ., μέσω του οποίου γίνονταν οι συναλλαγές αμοιβαίων κεφαλαίων, είχε δηλωθεί ως διεύθυνση κατοικίας η οδός Χ, όπου ο Λ.Φ. διέμενε το χρόνο εκείνο, ενώ, στα έγγραφα των αιτήσεων συμμετοχής σε αμοιβαία κεφάλαια [τις οποίες προωθούσε η Τράπεζα προς την αιτούσα] δεν αναγραφόταν διεύθυνση αποστολής στοιχείων σε σχέση με το λογαριασμό κίνησης αμοιβαίων κεφαλαίων, γ. ότι, ανεξαρτήτως του ότι δεν προκύπτει με σαφήνεια εάν υπήρχε εντολή του Λ.Φ. περί µη ταχυδρομικής αποστολής («hold mail») ενημερωτικών σημειωμάτων σχετικώς με την πορεία του χαρτοφυλακίου αμοιβαίων κεφαλαίων, ή εάν ο Λ.Φ. είχε ενημερώσει την Τράπεζα ή την αιτούσα για τη νέα του διεύθυνση (οδό Υ), πάντως, δεν αποδεικνύεται ότι η διεύθυνση, την οποία γνωστοποίησε η Τράπεζα προς την αιτούσα και στην οποία απεστάλη από την αιτούσα το επίμαχο ενημερωτικό σημείωμα [οδός Φ], είχε δηλωθεί από τον Λ.Φ. σε σχέση µε τον επίδικο λογαριασμό, δ. ότι η Τράπεζα, αν και επικαλέσθηκε καρτέλα καταθέσεων του Λ.Φ. µε αρχική διεύθυνση την οδό Χ και μεταγενέστερη διεύθυνση την οδό Φ, δεν προσκόμισε στοιχεία από τα οποία να αποδεικνύεται η δήλωση του Λ.Φ. για αλλαγή διεύθυνσης από οδό Χ σε οδό Φ για τον συγκεκριμένο λογαριασμό, από τον οποίο και επενδύονταν χρηματικά ποσά για την απόκτηση αμοιβαίων κεφαλαίων, ε. ότι η Τράπεζα, ως εκτελούσα την επεξεργασία για λογαριασμό της αιτούσας, δεν ήλεγξε, ως όφειλε, τη δηλωθείσα από τον Λ.Φ. διεύθυνση σε σχέση µε τον επίδικο λογαριασμό, με αποτέλεσμα να αποστείλει στην αιτούσα μη ακριβή προσωπικά στοιχεία του Λ.Φ., στ. ότι η αιτούσα παρέλειψε να λάβει τα κατάλληλα οργανωτικά και τεχνικά μέτρα για την ορθή υλοποίηση των υποχρεώσεών της ως υπευθύνου επεξεργασίας, και να παράσχει τις κατάλληλες οδηγίες στην Τράπεζα, και διεβίβασε παρανόμως προσωπικά δεδομένα του Λ.Φ. σε τρίτο πρόσωπο (την πρώην σύζυγο του Λ.Φ.). Κατόπιν αυτών, η Αρχή επέβαλε στην αιτούσα πρόστιμο ύψους 5.000 ευρώ, λαμβάνοντας υπόψη τη βαρύτητα της παράβασης και της προσβολής που επήλθε στα έννομα συμφέροντα του Λ.Φ., ενόψει του ότι προσωπικά στοιχεία αυτού περιήλθαν σε τρίτο, μη δικαιούµενο, πρόσωπο.

8. Επειδή, η πράξη επιβολής προστίμου 41/2006, με την οποία είχε αρχικώς επιβληθεί ισόποσο πρόστιμο εις βάρος της αιτούσας, εξεδόθη στις 11.7.2006, κατόπιν καταγγελίας που υπεβλήθη στην Αρχή στις 29.11.2004 από τον Λ.Φ., αφού περιήλθε εις γνώση του η διαβίβαση προσωπικών του δεδομένων στην πρώην σύζυγό του. Στη συνέχεια, η πράξη 41/2006 ανακλήθηκε, για τυπικούς λόγους, το έτος 2011, λόγω κακής σύνθεσης της Αρχής, κατ' επίκληση της [αναφερθείσης σε προηγούμενη σκέψη] νομολογίας του Συμβουλίου της Επικρατείας, και επηκολούθησε η έκδοση, το έτος 2012, της προσβαλλόμενης πράξης περί επιβολής προστίμου εις βάρος της αιτούσας για τις ίδιες παραβάσεις, η τέλεση των οποίων είχε διαπιστωθεί με την απόφαση 41/2006 της Αρχής. Υπό τα δεδομένα αυτά, δεν μπορεί να θεωρηθεί ότι η προσβαλλόμενη πράξη εξεδόθη μετά την πάροδο ευλόγου χρόνου από την τέλεση των επιμάχων παραβάσεων και ο περί του αντιθέτου λόγος είναι απορριπτέος ως αβάσιμος (βλ. ΣτΕ 442/2014). Ο δε ειδικότερος ισχυρισμός, κατά τον οποίον η πάροδος υπερβολικά μεγάλου χρονικού διαστήματος από την τέλεση των αποδιδομένων παραβάσεων (τέλη του έτους 2000) έως την εκ νέου παροχή εξηγήσεων από την αιτούσα ενώπιον της Αρχής (17.11.2011) δυσχεραίνει την άμυνά της, είναι ομοίως απορριπτέος ως αβάσιμος, δεδομένου ότι η αιτούσα είχε κληθεί για πρώτη φορά προς ακρόαση το έτος 2006, είχε αναπτύξει τους ισχυρισμούς της και είχε προσκομίσει στοιχεία ενώπιον της Αρχής, επιπλέον δε, είχε προσβάλει την απόφαση 41/2006 με αίτηση ακυρώσεως και προέβαλε λόγους ακυρώσεως κατ' αυτής (πρβ. απόφαση ΔΕΕ της 5.5.2011, C-201/10 και C-202/10, Ze Fu Fleischhandel και Vion Trading, ΣτΕ 1976/2015).

9. Επειδή, περαιτέρω, με την κρινόμενη αίτηση προβάλλονται οι εξής λόγοι ακυρώσεως: α. ότι η αποτίμηση του χαρτοφυλακίου του Λ.Φ. αποστελλόταν στη δηλωθείσα από τον ίδιον διεύθυνση, με αποτέλεσμα να μην υπάρχει εσφαλμένη διαβίβαση προσωπικών του δεδομένων, η δε Αρχή δεν εξειδικεύει τη διεύθυνση (οδό Χ, Φ ή Υ) στην οποία θα έπρεπε, κατά την άποψή της, να του αποστέλλονται οι ενημερωτικές επιστολές, β. ότι ούτε η αιτούσα, ούτε η Τράπεζα […] είχαν πληροφορηθεί τη νέα διεύθυνση (οδό Υ) του Λ.Φ., προς την οποία έπρεπε να αποστέλλεται η αποτίμηση του χαρτοφυλακίου του, και ότι μόνον μεταγενεστέρως, το έτος 2001, ο Λ.Φ. δήλωσε τη νέα αυτή διεύθυνση, γ. ότι τρίτη χρηματιστηριακή εταιρεία του είχε αποστείλει έγγραφο στη σωστή κατ' αυτόν διεύθυνση κατοικίας (οδό Υ) και προφανώς σε αυτήν και μόνον την εταιρεία ο Λ.Φ. είχε γνωστοποιήσει τη διεύθυνση αυτή, δ. ότι ο Λ.Φ. δεν είχε δηλώσει ότι δεν επιθυμεί να λαμβάνει αλληλογραφία δια του ταχυδρομείου, ούτε είχε ζητήσει να παραμένει η αλληλογραφία του στο υποκατάστημα της Τράπεζας (με την υποβολή εγγράφου περί «hold mail») και ότι, επομένως, εσφαλμένως η αρχή θεώρησε ότι είχε δοθεί τέτοια προφορική εντολή, και ε. ότι ο Λ.Φ. δεν υπέστη βλάβη, δεδομένου, μάλιστα, ότι η πρώην σύζυγός του εδικαιούτο να ζητήσει τη χορήγηση πληροφοριών για την περιουσιακή του κατάσταση, προκειμένου να τα χρησιμοποιήσει στη δίκη διατροφής, και ότι το έννομο συμφέρον αυτής και των τέκνων είναι υπέρτερο από το συμφέρον του ιδίου να αποκρύψει περιουσιακά του στοιχεία, με αποτέλεσμα να συντρέχει περίπτωση, σύμφωνα με το προμνησθέν άρθρο 5 παρ. 2 περ. ε΄ του ν. 2472/1997, επιτρεπτής επεξεργασίας δεδομένων χωρίς τη συγκατάθεση του Λ.Φ.

10. Επειδή, οι ανωτέρω λόγοι προβάλλονται αβασίμως και είναι απορριπτέοι. Ειδικότερα, από τα στοιχεία του φακέλου και τα στοιχεία που έθεσε υπόψη της Αρχής η αιτούσα, δεν προκύπτει ότι, κατά το άνοιγμα του επίμαχου –και συνδεδεμένου με το χαρτοφυλάκιο αμοιβαίων κεφαλαίων– τραπεζικού λογαριασμού, ή και μεταγενεστέρως, έως την αποστολή της προαναφερθείσης ενημερωτικής επιστολής, ο Λ.Φ. είχε δηλώσει, είτε προς την αιτούσα, είτε προς την Τράπεζα, ως διεύθυνση κατοικίας αυτή στην οποία του απεστάλησαν τα εν λόγω ενημερωτικά σημειώματα που αφορούσαν την πορεία του χαρτοφυλακίου του κατά το τελευταίο τρίµηνο του 2000. Υπό τα δεδομένα αυτά, νομίμως έκρινε η Αρχή ότι η αιτούσα, ως υπεύθυνη επεξεργασίας, ευθύνεται για την παράνομη επεξεργασία των δεδομένων του Λ.Φ., που συνίσταται στην καταχώρηση, χρήση, διατήρηση και διαβίβαση αυτών, και για την παράλειψη λήψης των κατάλληλων οργανωτικών και τεχνικών μέτρων για την ασφάλεια των δεδομένων και την προστασία τους από κάθε αθέμιτη επεξεργασία. Ενόψει δε του ότι η επεξεργασία των δεδομένων που αφορούσαν τη διεύθυνση κατοικίας του Λ.Φ. ήταν μη νόμιμη, αλυσιτελώς προβάλλονται οι αναφερόμενοι στην προηγούμενη σκέψη λόγοι ακυρώσεως υπό στοιχεία α΄, β΄, γ΄ και δ΄, πέραν του ότι ο υπό στοιχείο δ΄ λόγος στηρίζεται, επιπλέον, σε εσφαλμένη προϋπόθεση, διότι, αντιθέτως προς τα προβαλλόμενα, η Αρχή δεν εδέχθη ότι υπήρχε εντολή του Λ.Φ. περί μη ταχυδρομικής αποστολής ενημερωτικών σημειωμάτων («hold mail»). Περαιτέρω, ανεξαρτήτως του ότι, για τη στοιχειοθέτηση της παράβασης του ν. 2472/1997 δεν απαιτείται η επέλευση βλάβης του υποκειμένου των δεδομένων (ΣτΕ 1622/2012 Ολομ.), πάντως, τα στοιχεία για τη θέση του χαρτοφυλακίου του Λ.Φ. δεν περιήλθαν στην πρώην σύζυγό του κατόπιν αιτήματός της ή εισαγγελικής παραγγελίας και, κατά συνέπεια, το γεγονός ότι ενδεχομένως το πρόσωπο αυτό θα είχε δικαίωμα να λάβει γνώση των περιουσιακών στοιχείων του Λ.Φ. δεν αναιρεί την τέλεση της παράβασης εκ μέρους της αιτούσας. Πρέπει, επομένως, να απορριφθεί και ο ανωτέρω λόγος υπό στοιχείο ε΄.

11. Επειδή, η αιτούσα προβάλλει ότι μη νομίμως επεβλήθησαν σωρευτικώς δύο πρόστιμα εις βάρος της ιδίας και της Τράπεζας «…» για την ίδια πράξη. Ο λόγος αυτός είναι απορριπτέος ως αβάσιμος, διότι νομίμως επεβλήθη πρόστιμο στην αιτούσα, υπό την ιδιότητά της ως υπευθύνου επεξεργασίας δεδομένων, για τις προμνησθείσες παραβάσεις των άρθρων 4, 5 και 10 παρ. 3 του ν. 2472/1997, χωρίς να ασκεί επιρροή στη νομιμότητα της προσβαλλόμενης πράξης η επιβολή ισοπόσου προστίμου εις βάρος άλλου νομικού προσώπου (της προαναφερθείσης Τράπεζας) για τις προεκτεθείσες χωριστές παραβάσεις των υποχρεώσεων που βαρύνουν το τελευταίο αυτό νομικό πρόσωπο, όσον αφορά την επίμαχη επεξεργασία δεδομένων προσωπικού χαρακτήρα.

12. Επειδή, τέλος, με την κρινόμενη αίτηση προβάλλεται ότι η επιβολή του επιδίκου προστίμου, ύψους 5.000 ευρώ, παρίσταται μη νόμιμη, διότι δεν αναφέρεται στην προσβαλλόμενη πράξη ο τρόπος στάθμισης της βαρύτητας της παράβασης, ούτε εξειδικεύεται η προσβολή που επήλθε στο υποκείμενο των δεδομένων. Προβάλλεται επίσης ότι το επιβληθέν πρόστιμο είναι δυσανάλογο σε σχέση προς τον επιδιωκόμενο σκοπό. Οι λόγοι αυτοί είναι απορριπτέοι, διότι η επιμέτρηση του προστίμου αιτιολογείται νομίμως κατ' επίκληση της βαρύτητας της παράβασης, που συνίσταται στην παράνομη επεξεργασία και διαβίβαση προσωπικών δεδομένων του Λ.Φ. σε μη δηλωθείσα από αυτόν διεύθυνση, με συνέπεια την περιέλευση αυτών σε τρίτο, μη δικαιούμενο να λάβει γνώση, πρόσωπο, χωρίς να επιβάλλεται από το νόμο, ως τυπικό στοιχείο του κύρους της πράξης επιβολής της κύρωσης, η περαιτέρω εξειδίκευση της βαρύτητας της παράβασης (πρβ. ΣτΕ 1175/2015). Η προσβολή δε την οποία τελικώς υπέστη ο Λ.Φ. προσδιορίζεται αναλυτικώς στην προσβαλλόμενη πράξη και ο περί του αντιθέτου λόγος στηρίζεται σε εσφαλμένη προϋπόθεση. Τέλος, ενόψει της δυνατότητας της Αρχής να επιβάλει πρόστιμο κυμαινόμενο από 300.000 έως 50.000.000 δραχμές, το επιλεγέν πρόστιμο, ύψους 5.000 ευρώ, ευρίσκεται εγγύς προς το κατώτερο όριο του δυναμένου να επιβληθεί προστίμου, απορριπτομένου του λόγου περί δυσαναλογίας του επιβληθέντος προστίμου.

13. Επειδή, κατόπιν των ανωτέρω, η κρινόμενη αίτηση πρέπει να απορριφθεί.

Δια ταύτα

Απορρίπτει την αίτηση.

Διατάσσει την κατάπτωση του παραβόλου.

Η διάσκεψη έγινε στην Αθήνα στις 16 Φεβρουαρίου και στις 9 Ιουνίου 2015

Ο Πρόεδρος του Δ´ Τμήματος               Η Γραμματέας

Δημοσθένης Π. Πετρούλιας              Ι. Παπαχαραλάμπους

και η απόφαση δημοσιεύθηκε σε δημόσια συνεδρίαση της 17ης Ιανουαρίου 2017.

Ο Προεδρεύων Αντιπρόεδρος               Η Γραμματέας

Ν. Μαρκουλάκης                          Ι. Παπαχαραλάμπους