ΣτΕ (Ολ) 657/25 : ΑΙΤΗΣΗ ΑΚΥΡΩΣΗΣ – ΠΡΟΣΤΑΣΙΑ ΠΡΟΣΩΠΙΚΩΝ ΔΕΔΟΜΕΝΩΝ – ΕΚΛΟΓΕΣ – ΠΡΟΣΩΠΙΚΑ ΣΤΟΙΧΕΙΑ ΕΚΛΟΓΕΩΝ – ΠΟΛΙΤΙΚΗ ΕΠΙΚΟΙΝΩΝΙΑ. ΑΠΟΡΡΙΨΗ ΑΙΤΗΣΗΣ

 

ΣτΕ (Ολ) 657/25

ΑΙΤΗΣΗ ΑΚΥΡΩΣΗΣ – ΠΡΟΣΤΑΣΙΑ ΠΡΟΣΩΠΙΚΩΝ ΔΕΔΟΜΕΝΩΝ – ΕΚΛΟΓΕΣ – ΠΡΟΣΩΠΙΚΑ ΣΤΟΙΧΕΙΑ ΕΚΛΟΓΕΩΝ – ΠΟΛΙΤΙΚΗ ΕΠΙΚΟΙΝΩΝΙΑ. ΑΠΟΡΡΙΨΗ ΑΙΤΗΣΗΣ. Προστασία προσωπικών δεδομένων. Άσκηση εκλογικού δικαιώματος. Σκοπός της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από την αιτούσα ήταν η πολιτική επικοινωνία προς προώθηση της επιστολικής ψήφου ως έργου της κυβερνήσεως, καθώς και της υποψηφιότητάς της στις ευρωεκλογές του Ιουνίου 2024. Η επεξεργασία δεδομένων προσωπικού χαρακτήρα, η οποία επιχειρείται στο πλαίσιο πολιτικής επικοινωνίας με σκοπό τη διάδοση πολιτικών ιδεών και προγραμμάτων ή τη γνωστοποίηση στους πολίτες υποψηφιοτήτων σε εκλογικές διαδικασίες, εντάσσεται στο πεδίο των εννόμων συμφερόντων, κατά την έννοια του άρθρου 6 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ, των πολιτικών προσώπων ή φορέων που επιχειρούν την πολιτική επικοινωνία. Όπως εξ άλλου προκύπτει από τη νομολογία του Δ.Ε.Ε., η κατά τη διάταξη του άρθρου 6 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη μόνο εάν και στον βαθμό που είναι απαραίτητη για τους σκοπούς των εννόμων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός αν έναντι των συμφερόντων αυτών υπερισχύουν το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων, που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα. Τα δεδομένα και οι περιστάσεις που ελήφθησαν υπόψη από την ΑΠΔΠΧ για την επιμέτρηση του προστίμου που επιβλήθηκε στην αιτούσα ανταποκρίνονται στα κριτήρια του άρθρου 83 παρ. 2 του ΓΚΠΔ και ιδίως στα κριτήρια που παρατίθενται στα στοιχεία α΄, β΄ και ζ΄ της παραγράφου αυτής και αφορούν τη φύση, τη βαρύτητα και τη διάρκεια της παραβάσεως, τη φύση, την έκταση και τον σκοπό της επεξεργασίας, τον αριθμό των υποκειμένων των δικαιωμάτων που έθιξε η παράβαση και τον βαθμό ζημίας που αυτά υπέστησαν, τον δόλο ή την αμέλεια που προκάλεσε την παράβαση, καθώς και τις κατηγορίες δεδομένων που επηρεάστηκαν από αυτήν. Απορρίπτει την αίτηση. [ Άρθρα 9Α Συντάγματος,αρ.23 Π.Δ. 26/2012, αρ. 83 Ν.4624/2019 ]

ΤΟ ΣΥΜΒΟΥΛΙΟ ΤΗΣ ΕΠΙΚΡΑΤΕΙΑΣ

ΟΛΟΜΕΛΕΙΑ - ΑΠΟΦΑΣΗ 657/2025

 

Συνεδρίασε δημόσια στο ακροατήριό του στις 7 Φεβρουαρίου 2025, με την εξής σύνθεση: Μιχαήλ Πικραμένος, Πρόεδρος, Σπυριδούλα Χρυσικοπούλου, Διομήδης Κυριλλόπουλος, Ηλίας Μάζος, Χρήστος Ντουχάνης, Δημήτριος Εμμανουηλίδης, Αντιπρόεδροι του Συμβουλίου της Επικρατείας, Όλγα Ζύγουρα, Όλγα Παπαδοπούλου, Ιωάννης Σύμπλης, Κωνσταντίνα Κονιδιτσιώτου, Αγγελική Μίντζια, Χριστίνα Σιταρά, Μαρλένα Τριπολιτσιώτη, Σταυρούλα Κτιστάκη, Φραντζέσκα Γιαννακού, Ευσταθία Σκούρα, Δημήτριος Βασιλειάδης, Κασσιανή Μαρίνου, Μαρίνα-Αλεξάνδρα Τσακάλη, Ελένη Γεωργούτσου, Μαρία Αθανασοπούλου, Μαρία Σταματοπούλου, Χριστιάνα Μπολόφη, Ουρανία Νικολαράκου, Καλλιόπη Κατρά, Ιωάννης Παπαγιάννης, Αθανάσιος Ασημακόπουλος, Σύμβουλοι, Χάιδω Ευαγγελίου, Δήμητρα Μαυροπόδη, Κωνσταντίνα Σκούρα, Πάρεδροι. Από τους ανωτέρω οι Σύμβουλοι Φραντζέσκα Γιαννακού και Αθανάσιος Ασημακόπουλος, καθώς και η Πάρεδρος Κωνσταντίνα Σκούρα, μετέχουν ως αναπληρωματικά μέλη, σύμφωνα με το άρθρο 26 παρ. 2 του ν. 3719/2008. Γραμματέας η Σταυρούλα Χάρου.

Για να δικάσει την από 26 Ιουλίου 2024 αίτηση:

της …., κατοίκου Αθηνών (…. 1), η οποία παρέστη με τους δικηγόρους: 1. ΒΠ (Α.Μ. ….) και 2. ΛΚ (Α.Μ. ….), που τους διόρισε με πληρεξούσια,

κατά της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Α.Π.Δ.Π.Χ.), που εδρεύει στην Αθήνα (Λεωφ. Κηφισίας 1-3), η οποία παρέστη με τη δικηγόρο ΑΗ (Α.Μ….), που τη διόρισε με εντολή του Προέδρου της Αρχής,

και κατά των παρεμβαινόντων: 1. …. και 9. …. οι οποίοι παρέστησαν με τον δικηγόρο ΒΣ (Α.Μ. ….), που τον διόρισαν με πληρεξούσια.

Η πιο πάνω αίτηση εισάγεται στην Ολομέλεια του Δικαστηρίου, κατόπιν της από 17 Οκτωβρίου 2024 πράξης του Προέδρου του Συμβουλίου της Επικρατείας, λόγω της σπουδαιότητάς της, σύμφωνα με τα άρθρα 14 παρ. 2, 20 και 21 του π.δ. 18/1989.

Με την αίτηση αυτή η αιτούσα επιδιώκει να ακυρωθεί η υπ’ αριθμ. 16/2024 απόφαση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Α.Π.Δ.Π.Χ.) και κάθε άλλη σχετική πράξη της Διοικήσεως.

Η εκδίκαση άρχισε με την ανάγνωση της εκθέσεως του εισηγητή, Συμβούλου Ιωάννη Παπαγιάννη.

Κατόπιν το δικαστήριο άκουσε τους πληρεξουσίους της αιτούσας, οι οποίοι ανέπτυξαν και προφορικά τους προβαλλόμενους λόγους ακυρώσεως και ζήτησαν να γίνει δεκτή η αίτηση, την πληρεξουσία της καθ’ ης Αρχής και τον πληρεξούσιο των παρεμβαινόντων, οι οποίοι ζήτησαν την απόρριψή της.

Μετά τη δημόσια συνεδρίαση το δικαστήριο συνήλθε σε διάσκεψη σε αίθουσα του δικαστηρίου και

Αφού μελέτησε τα σχετικά έγγραφα

Σκέφθηκε κατά τον Νόμο

1. Επειδή, με την κρινόμενη αίτηση, για την άσκηση της οποίας καταβλήθηκε το νόμιμο παράβολο (…./2024 έντυπο παραβόλου), η αιτούσα Α ... ζητεί την ακύρωση της 16/2024 (αρ. πρωτ. ….) αποφάσεως της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (εφεξής: ΑΠΔΠΧ ή Αρχή) κατά το μέρος που επιβλήθηκε πρόστιμο 40.000 ευρώ για παραβάσεις της νομοθεσίας περί προστασίας δεδομένων προσωπικού χαρακτήρα. Οι παραβάσεις αυτές αφορούν επεξεργασία δεδομένων των εκλογέων οι οποίοι ήταν εγγεγραμμένοι στον ειδικό εκλογικό κατάλογο εξωτερικού για τις βουλευτικές εκλογές του Ιουνίου 2023.

2. Επειδή, η υπόθεση εισήχθη στην Ολομέλεια του Συμβουλίου της Επικρατείας με την από 17.10.2024 πράξη του Προέδρου του Συμβουλίου της Επικρατείας, σύμφωνα με το άρθρο 14 παρ. 2 περ. γ΄ του π.δ. 18/1989 (Α΄ 8), όπως ισχύει.

3. Επειδή, στη δίκη παρεμβαίνουν υπέρ του κύρους της προσβαλλόμενης αποφάσεως, με χωριστά δικόγραφα, εννέα (9) φυσικά πρόσωπα. Τα πρόσωπα αυτά, όπως προκύπτει από τα στοιχεία που προσκόμισαν, είναι εκλογείς εγγεγραμμένοι στον ειδικό εκλογικό κατάλογο εξωτερικού, τα προσωπικά δεδομένα των οποίων αποτέλεσαν αντικείμενο επεξεργασίας σύμφωνα με την προσβαλλόμενη απόφαση της ΑΠΔΠΧ. Οι πράξεις, εξ άλλου, της ΑΠΔΠΧ με τις οποίες επιβάλλονται διοικητικές κυρώσεις σε πρόσωπα ή φορείς που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα αποσκοπούν πρωτίστως στη διασφάλιση των δικαιωμάτων και συμφερόντων των υποκειμένων των δεδομένων. Ο σκοπός αυτός διαφέρει ουσιωδώς από τον σκοπό διοικητικών κυρώσεων, όπως οι πειθαρχικές, οι οποίες αποσκοπούν στη διαφύλαξη του κύρους και της εύρυθμης λειτουργίας δημόσιας υπηρεσίας. Τούτο έχει ως συνέπεια να μην αναγνωρίζεται έννομο συμφέρον τρίτων, οι οποίοι δεν αποτελούν κατά νόμο παράγοντες της πειθαρχικής διαδικασίας, για την άσκηση παρεμβάσεως υπέρ του κύρους πράξεων επιβολής πειθαρχικών κυρώσεων, ακόμη και αν η διαδικασία κινήθηκε με δική τους αναφορά (βλ. ΣτΕ 207/2024, 1704/2013, πρβλ. 199/2012 κ.ά.). Συνεπώς, αντιθέτως προς όσα προέβαλε η αιτούσα κατά τη συζήτηση στο ακροατήριο, καθώς και με το από 12.2.2025 υπόμνημα, οι παρεμβάσεις των πιο πάνω φυσικών προσώπων ασκούνται με έννομο συμφέρον (βλ. ΣτΕ 1838/2022 επτ., 1817/2018, 3775/2012, 3908/2004).

4. Επειδή, με τον ν. 4648/2019 «Διευκόλυνση άσκησης εκλογικού δικαιώματος εκλογέων που βρίσκονται εκτός Ελληνικής Επικράτειας και τροποποίηση εκλογικής διαδικασίας» (Α΄ 205), όπως ισχύει κατά τον κρίσιμο χρόνο, ορίζονται τα εξής: Άρθρο 2 («Ειδικοί εκλογικοί κατάλογοι εξωτερικού»): «1. ... 7. Οι εκλογείς που επιθυμούν να διευκολυνθούν να ασκήσουν το εκλογικό τους δικαίωμα εγγράφονται με δική τους μέριμνα στους ειδικούς εκλογικούς καταλόγους εξωτερικού ... 9. Η Διεύθυνση Εκλογών του Υπουργείου Εσωτερικών καταρτίζει και τηρεί τους ειδικούς εκλογικούς καταλόγους εξωτερικού...». Άρθρο 3 («Περιεχόμενο ειδικών εκλογικών καταλόγων εξωτερικού»): «1. Οι ειδικοί εκλογικοί κατάλογοι εξωτερικού που καταρτίζονται, φέρουν τον τίτλο “Ειδικός Εκλογικός Κατάλογος Εξωτερικού” και περιέχουν τα ακόλουθα: α) τον αύξοντα αριθμό, β) τον Ειδικό Εκλογικό Αριθμό, γ) το επώνυμο, δ) το όνομα, ε) το όνομα του πατέρα, στ) το όνομα της μητέρας, ζ) ... η) την ημερομηνία και τον χρόνο γέννησης, θ) ... ι) την πλήρη διεύθυνση διαμονής, ια) τη διεύθυνση ηλεκτρονικού ταχυδρομείου, ιβ) τα τηλέφωνα επικοινωνίας. 2. Οι διατάξεις του άρθρου 23 του π.δ. 26/2012 εφαρμόζονται αναλόγως και για τους ειδικούς εκλογικούς καταλόγους εξωτερικού, με την επιφύλαξη των στοιχείων ια) και ιβ) της ανωτέρω παραγράφου. 3. ...». Το άρθρο 23 («Διάθεση αντιτύπων εκλογικών καταλόγων κλπ.») του π.δ. 26/2012 «Κωδικοποίηση σ’ ενιαίο κείμενο των διατάξεων της νομοθεσίας για την εκλογή βουλευτών» (Α΄ 57), όπως αντικαταστάθηκε με το άρθρο 53 του ν. 4648/2019, ορίζει τα ακόλουθα: «1. Μία (1) πλήρη σειρά των εκλογικών καταλόγων σε ψηφιακά μέσα χωρίς καταβολή αντιτίμου ... δικαιούνται τα κόμματα που εκπροσωπούνται στη Βουλή ή το Ευρωπαϊκό Κοινοβούλιο. Επίσης τα παραπάνω είδη δικαιούνται κατά την προεκλογική περίοδο και τα αναγνωρισμένα κόμματα, σύμφωνα με τον Κανονισμό της Βουλής, καθώς και αυτά που καταρτίζουν συνδυασμούς στα 2/3 των εκλογικών περιφερειών του Κράτους, βασικών και ετεροδημοτών. 2. Αντίτυπα εκλογικών καταλόγων μπορούν να διατίθενται κατά την προεκλογική περίοδο με την καταβολή αντιτίμου υπέρ του Δημοσίου ... σε βουλευτές, ευρωβουλευτές, υποψηφίους βουλευτές ή υποψηφίους στις περιφερειακές και δημοτικές και κοινοτικές εκλογές, και μόνο για τις εκλογικές περιφέρειες, τις περιφέρειες ή τους δήμους όπου έχουν εκλεγεί, όπως προκύπτει βάσει των σχετικών αποφάσεων ανακήρυξής τους ή θα είναι υποψήφιοι σύμφωνα με έγγραφη δήλωσή τους. 3. Οι δικαιούχοι οφείλουν να καταστρέψουν τα ηλεκτρονικά μέσα, τα οποία περιέχουν τους εκλογικούς καταλόγους εντός τριμήνου από την ολοκλήρωση της διενέργειας των εκλογικών αναμετρήσεων σύμφωνα με έγγραφη δήλωσή τους. 4. ... 5. Τα ανωτέρω στοιχεία διατίθενται στους δικαιούχους μόνο σε ηλεκτρονικά μέσα, δεν μεταβιβάζονται σε αυτούς με ηλεκτρονικό τρόπο και χρησιμοποιούνται μόνον από εκείνον στον οποίο χορηγούνται αποκλειστικά και μόνο για εκλογική χρήση. 6. Η παραχώρηση σε οποιονδήποτε άλλο ή η χρησιμοποίησή τους από οιονδήποτε άλλον ή για σκοπό μη εκλογικό απαγορεύεται. 7. ...».

5. Επειδή, ο κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 «για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων)» (L 119) (εφεξής: ΓΚΠΔ ή κανονισμός), ο οποίος, όπως προκύπτει από το προοίμιο και την αιτιολογική σκέψη με αριθμό 1, εκδόθηκε κατ’ επίκληση του άρθρου 16 της Συνθήκης για τη Λειτουργία της Ευρωπαϊκής Ένωσης (ΣΛΕΕ) και εντός του πλαισίου που καθορίζει το άρθρο 8 του Χάρτη Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (ΧΘΔΕΕ), δηλαδή των διατάξεων του πρωτογενούς δικαίου της Ένωσης που κατοχυρώνουν ρητώς το δικαίωμα κάθε προσώπου στην προστασία των δεδομένων που το αφορούν, ορίζει τα εξής: Κεφάλαιο Ι («Γενικές διατάξεις»/άρθρα 1 έως 4): Άρθρο 1 («Αντικείμενο και στόχοι»): «1. Ο παρών κανονισμός θεσπίζει κανόνες που αφορούν την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και κανόνες που αφορούν την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα. 2. Ο παρών κανονισμός προστατεύει θεμελιώδη δικαιώματα και ελευθερίες των φυσικών προσώπων και ειδικότερα το δικαίωμά τους στην προστασία των δεδομένων προσωπικού χαρακτήρα. 3. Η ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα εντός της Ένωσης δεν περιορίζεται ούτε απαγορεύεται για λόγους που σχετίζονται με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα.». Άρθρο 2 («Ουσιαστικό πεδίο εφαρμογής»): «1. Ο παρών κανονισμός εφαρμόζεται στην εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα...». Άρθρο 4 («Ορισμοί»): «Για τους σκοπούς του παρόντος κανονισμού νοούνται ως: 1) "δεδομένα προσωπικού χαρακτήρα": κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο ("υποκείμενο των δεδομένων") ... 2) "επεξεργασία": κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή ... 7) "υπεύθυνος επεξεργασίας": το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα ... 12) "παραβίαση δεδομένων προσωπικού χαρακτήρα": η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη ... άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία...». Κεφάλαιο ΙΙ («Αρχές»/άρθρα 5 έως 11): Άρθρο 5 («Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα»): «1. Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων ("νομιμότητα, αντικειμενικότητα και διαφάνεια"), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς...». Άρθρο 6 («Νομιμότητα της επεξεργασίας»): «1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: α) το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, β) ... γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας, δ) ... ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα ... Το στοιχείο στ) του πρώτου εδαφίου δεν εφαρμόζεται στην επεξεργασία που διενεργείται από δημόσιες αρχές κατά την άσκηση των καθηκόντων τους. 2. Τα κράτη μέλη μπορούν να διατηρούν ή να θεσπίζουν πιο ειδικές διατάξεις για την προσαρμογή της εφαρμογής των κανόνων του παρόντος κανονισμού όσον αφορά την επεξεργασία για τη συμμόρφωση με την παράγραφο 1 στοιχεία γ) και ε), καθορίζοντας ακριβέστερα ειδικές απαιτήσεις για την επεξεργασία και άλλα μέτρα προς εξασφάλιση σύννομης και θεμιτής επεξεργασίας, μεταξύ άλλων για άλλες ειδικές περιπτώσεις επεξεργασίας, όπως προβλέπονται στο κεφάλαιο IX. 3. Η βάση για την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχεία γ) και ε) ορίζεται σύμφωνα με: α) το δίκαιο της Ένωσης, ή β) το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας. Ο σκοπός της επεξεργασίας καθορίζεται στην εν λόγω νομική βάση ή, όσον αφορά την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχείο ε), είναι η αναγκαιότητα της επεξεργασίας για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας. Η εν λόγω νομική βάση μπορεί να περιλαμβάνει ειδικές διατάξεις για την προσαρμογή της εφαρμογής των κανόνων του παρόντος κανονισμού, μεταξύ [δε] άλλων: τις γενικές προϋποθέσεις που διέπουν τη σύννομη επεξεργασία από τον υπεύθυνο επεξεργασίας· τα είδη των δεδομένων που υποβάλλονται σε επεξεργασία· τα οικεία υποκείμενα των δεδομένων· τις οντότητες στις οποίες μπορούν να κοινοποιούνται τα δεδομένα προσωπικού χαρακτήρα και τους σκοπούς αυτής της κοινοποίησης· τον περιορισμό του σκοπού· τις περιόδους αποθήκευσης· και τις πράξεις επεξεργασίας και τις διαδικασίες επεξεργασίας, συμπεριλαμβανομένων των μέτρων για τη διασφάλιση σύννομης και θεμιτής επεξεργασίας, όπως εκείνα για άλλες ειδικές περιπτώσεις επεξεργασίας όπως προβλέπονται στο κεφάλαιο IX. Το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους ανταποκρίνεται σε σκοπό δημόσιου συμφέροντος και είναι ανάλογο προς τον επιδιωκόμενο σκοπό. 4. ...». Άρθρο 9 («Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα»): «1. Απαγορεύεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ... 2. Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις: α) ... ζ) η επεξεργασία είναι απαραίτητη για λόγους ουσιαστικού δημοσίου συμφέροντος, βάσει του δικαίου της Ένωσης ή κράτους μέλους, το οποίο είναι ανάλογο προς τον επιδιωκόμενο στόχο, σέβεται την ουσία του δικαιώματος στην προστασία των δεδομένων και προβλέπει κατάλληλα και συγκεκριμένα μέτρα για τη διασφάλιση των θεμελιωδών δικαιωμάτων και των συμφερόντων του υποκειμένου των δεδομένων, η) ...». Κεφάλαιο ΙΙΙ («Δικαιώματα του υποκειμένου των δεδομένων»/άρθρα 12 έως 23): Άρθρο 12 («Διαφανής ενημέρωση, ανακοίνωση και ρυθμίσεις για την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων»): «1. Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14...». Άρθρο 14 («Πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων»): «1. Όταν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων τις ακόλουθες πληροφορίες: α) ... γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, δ) τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα ... 2. Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων τις εξής πληροφορίες που είναι αναγκαίες για τη διασφάλιση θεμιτής και διαφανούς επεξεργασίας όσον αφορά το υποκείμενο των δεδομένων: α) ... β) εάν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο στ), τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ... στ) την πηγή από την οποία προέρχονται τα δεδομένα προσωπικού χαρακτήρα ... 3. Ο υπεύθυνος επεξεργασίας παρέχει τις πληροφορίες που αναφέρονται στις παραγράφους 1 και 2: α) εντός εύλογης προθεσμίας από τη συλλογή των δεδομένων προσωπικού χαρακτήρα, αλλά το αργότερο εντός ενός μηνός, λαμβάνοντας υπόψη τις ειδικές συνθήκες υπό τις οποίες τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία, β) εάν τα δεδομένα προσωπικού χαρακτήρα πρόκειται να χρησιμοποιηθούν για επικοινωνία με το υποκείμενο των δεδομένων, το αργότερο κατά την πρώτη επικοινωνία με το εν λόγω υποκείμενο των δεδομένων...». Κεφάλαιο VI («Ανεξάρτητες εποπτικές αρχές»/άρθρα 51 έως 59): Άρθρο 58 («Εξουσίες»): «1. ... 2. Κάθε αρχή ελέγχου διαθέτει όλες τις ακόλουθες διορθωτικές εξουσίες: α) ... ζ) να δίνει εντολή διόρθωσης ή διαγραφής δεδομένων προσωπικού χαρακτήρα ... θ) να επιβάλλει διοικητικό πρόστιμο δυνάμει του άρθρου 83, επιπλέον ή αντί των μέτρων που αναφέρονται στην παρούσα παράγραφο, ανάλογα με τις περιστάσεις κάθε μεμονωμένης περίπτωσης, ι) ...». Κεφάλαιο VIII («Προσφυγές, ευθύνη και κυρώσεις»/άρθρα 77 έως 84): Άρθρο 83 («Γενικοί όροι επιβολής διοικητικών προστίμων»): «1. Κάθε εποπτική αρχή μεριμνά ώστε η επιβολή διοικητικών προστίμων σύμφωνα με το παρόν άρθρο έναντι παραβάσεων του παρόντος κανονισμού που αναφέρονται στις παραγράφους 4, 5 και 6 να είναι για κάθε μεμονωμένη περίπτωση αποτελεσματική, αναλογική και αποτρεπτική. 2. ... Κατά τη λήψη απόφασης σχετικά με την επιβολή διοικητικού προστίμου, καθώς και σχετικά με το ύψος του διοικητικού προστίμου για κάθε μεμονωμένη περίπτωση, λαμβάνονται δεόντως υπόψη τα ακόλουθα: α) η φύση, η βαρύτητα και η διάρκεια της παράβασης, λαμβάνοντας υπόψη τη φύση, την έκταση ή το σκοπό της σχετικής επεξεργασίας, καθώς και τον αριθμό των υποκειμένων που έθιξε η παράβαση και το βαθμό της ζημίας που υπέστησαν, β) ο δόλος ή η αμέλεια που προκάλεσε την παράβαση ... ζ) οι κατηγορίες δεδομένων προσωπικού χαρακτήρα που επηρεάζει η παράβαση ... ια) κάθε άλλο επιβαρυντικό ή ελαφρυντικό στοιχείο που προκύπτει από τις περιστάσεις της συγκεκριμένης περίπτωσης ... 3. ... 5. Παραβάσεις των ακόλουθων διατάξεων επισύρουν, σύμφωνα με την παράγραφο 2, διοικητικά πρόστιμα έως 20 000 000 EUR ...: α) οι βασικές αρχές για την επεξεργασία, περιλαμβανομένων των όρων που ισχύουν για τη συγκατάθεση, σύμφωνα με τα άρθρα 5, 6, 7 και 9, β) τα δικαιώματα των υποκειμένων των δεδομένων σύμφωνα με τα άρθρα 12 έως 22...». Κεφάλαιο IX («Διατάξεις που αφορούν ειδικές περιπτώσεις επεξεργασίας»/άρθρα 85 έως 91): Άρθρο 85 («Επεξεργασία και ελευθερία έκφρασης και πληροφόρησης»): «1. Τα κράτη μέλη διά νόμου συμβιβάζουν το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δυνάμει του παρόντος κανονισμού με το δικαίωμα στην ελευθερία της έκφρασης και πληροφόρησης και για σκοπούς πανεπιστημιακής, καλλιτεχνικής ή λογοτεχνικής έκφρασης. 2. Για την επεξεργασία που διενεργείται για δημοσιογραφικούς σκοπούς ή για σκοπούς ακαδημαϊκής, καλλιτεχνικής ή λογοτεχνικής έκφρασης, τα κράτη μέλη προβλέπουν εξαιρέσεις ή παρεκκλίσεις από το κεφάλαιο ΙΙ (αρχές), το κεφάλαιο ΙΙΙ (δικαιώματα του υποκειμένου των δεδομένων) ..., εφόσον αυτές είναι αναγκαίες για να συμβιβαστεί το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα με την ελευθερία της έκφρασης και πληροφόρησης...».

6. Επειδή, με τον ν. 4624/2019 «Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, μέτρα εφαρμογής του Κανονισμού (ΕΕ) 2016/679 κλπ.» (Α΄ 137), ορίζονται τα εξής: Άρθρο 9 («Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα»): «Η εποπτεία της εφαρμογής των διατάξεων του ΓΚΠΔ, του παρόντος και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα στην Ελληνική Επικράτεια ασκείται από την Αρχή που έχει συσταθεί με τον ν. 2472/1997...». Άρθρο 13 («Καθήκοντα της Αρχής»): «1. Επιπλέον των καθηκόντων της δυνάμει του άρθρου 57 του ΓΚΠΔ, η Αρχή: α) ... δ) εκδίδει Οδηγίες και απευθύνει συστάσεις για κάθε θέμα που αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα...». Άρθρο 28 («Επεξεργασία και ελευθερία έκφρασης και πληροφόρησης»): «1. Στον βαθμό που είναι αναγκαίο να συμβιβαστεί το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα με το δικαίωμα στην ελευθερία της έκφρασης και πληροφόρησης, συμπεριλαμβανομένης της επεξεργασίας για δημοσιογραφικούς σκοπούς και για σκοπούς ακαδημαϊκής, καλλιτεχνικής ή λογοτεχνικής έκφρασης, η επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται όταν: α) το υποκείμενο των δεδομένων έχει παράσχει τη ρητή συγκατάθεσή του, β) αφορά δεδομένα προσωπικού χαρακτήρα που έχουν προδήλως δημοσιοποιηθεί από το ίδιο το υποκείμενο, γ) υπερέχει το δικαίωμα στην ελευθερία της έκφρασης και το δικαίωμα πληροφόρησης έναντι του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα του υποκειμένου, ιδίως για θέματα γενικότερου ενδιαφέροντος ή όταν αφορά δεδομένα προσωπικού χαρακτήρα δημοσίων προσώπων και δ) όταν περιορίζεται στο αναγκαίο μέτρο για την εξασφάλιση της ελευθερίας της έκφρασης και του δικαιώματος ενημέρωσης, ιδίως όταν αφορά ειδικών κατηγοριών δεδομένα προσωπικού χαρακτήρα, καθώς και ποινικές διώξεις, καταδίκες και τα σχετικά με αυτές μέτρα ασφαλείας, λαμβάνοντας υπόψη το δικαίωμα του υποκειμένου στην ιδιωτική και οικογενειακή ζωή. 2. Στον βαθμό που είναι αναγκαίο να συμβιβαστεί το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα με το δικαίωμα στην ελευθερία της έκφρασης και πληροφόρησης, συμπεριλαμβανομένης της επεξεργασίας για δημοσιογραφικούς σκοπούς, και για σκοπούς ακαδημαϊκής, καλλιτεχνικής ή λογοτεχνικής έκφρασης δεν εφαρμόζεται: α) το Κεφάλαιο ΙΙ του ΓΚΠΔ “Αρχές”, εκτός από το άρθρο 5, β) ...».

7. Επειδή, η ΑΠΔΠΧ εξέδωσε στις 31.3.2023 τις «Κατευθυντήριες Γραμμές 1/2023», με τίτλο «Επεξεργασία προσωπικών δεδομένων με σκοπό την επικοινωνία πολιτικού χαρακτήρα» (εφεξής ΚΓ 1/2023 της ΑΠΔΠΧ), οι οποίες είναι αναρτημένες στην ιστοσελίδα της. Στις εν λόγω Κατευθυντήριες Γραμμές αναφέρονται, μεταξύ άλλων, τα εξής: «1. Εισαγωγή. Πολιτική επικοινωνία είναι η επικοινωνία που πραγματοποιείται από πολιτικά κόμματα, βουλευτές, ευρωβουλευτές, παρατάξεις και κατόχους αιρετών θέσεων στην τοπική αυτοδιοίκηση ή υποψηφίους στις βουλευτικές εκλογές, τις εκλογές του Ευρωπαϊκού Κοινοβουλίου και τις εκλογές τοπικής αυτοδιοίκησης σε οποιαδήποτε χρονική περίοδο, προεκλογική ή μη, για την προώθηση πολιτικών ιδεών, προγραμμάτων δράσης ή άλλων δραστηριοτήτων με σκοπό την υποστήριξή τους και τη διαμόρφωση πολιτικής συμπεριφοράς ... η δραστηριότητα της πολιτικής επικοινωνίας προστατεύεται από το Σύνταγμα, ιδίως στο πλαίσιο του γενικού δικαιώματος στην πολιτική ζωή της χώρας (άρθρο 5 παρ. 1 Συντ.), του δικαιώματος των πολιτών στην πληροφόρηση (άρθρο 5Α παρ. 1 Συντ.) και της εκπλήρωσης της συνταγματικής αποστολής των πολιτικών κομμάτων (άρθρο 29 παρ. 1 Συντ.). Ωστόσο, όταν χρησιμοποιούνται μέθοδοι που προϋποθέτουν ή συνίστανται στην επεξεργασία προσωπικών δεδομένων, όπως ονοματεπωνύμων, ταχυδρομικών διευθύνσεων, τηλεφωνικών αριθμών, διευθύνσεων ηλεκτρονικού ταχυδρομείου φυσικών προσώπων κ.ά., η πολιτική επικοινωνία απαιτείται να γίνεται κατά τρόπο ώστε να διασφαλίζεται σεβασμός του άρθρου 9Α [του Συντάγματος] και της εθνικής και ευρωπαϊκής νομοθεσίας για την προστασία των προσωπικών δεδομένων ... Στις ανωτέρω περιπτώσεις, οι φορείς και τα πρόσωπα που πραγματοποιούν πολιτική επικοινωνία καθίστανται υπεύθυνοι επεξεργασίας, σύμφωνα με τον ορισμό του άρθρου 4 παρ. 7 του [ΓΚΠΔ], στο μέτρο κατά το οποίο ορίζουν τον σκοπό και τον τρόπο της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα. Με την ιδιότητα αυτή ... τα παραπάνω πρόσωπα πρέπει να είναι σε θέση να αποδεικνύουν την τήρηση των βασικών αρχών επεξεργασίας δεδομένων, όπως αυτές προβλέπονται στο άρθρο 5 παρ. 1 [του] ΓΚΠΔ, δηλαδή: α) την αρχή της νομιμότητας, αντικειμενικότητας και διαφάνειας της επεξεργασίας ... 2. Γενικές αρχές. 2.1 Νομιμότητα. Προκειμένου να είναι σύννομη η επεξεργασία των δεδομένων των αποδεκτών πολιτικής επικοινωνίας, απαιτείται να στηρίζεται σε κάποια από τις καθοριζόμενες στο άρθρο 6 ΓΚΠΔ βάσεις. ... Η επεξεργασία προσωπικών δεδομένων με σκοπό την πολιτική επικοινωνία μπορεί να βασίζεται είτε στην προηγούμενη συγκατάθεση των υποκειμένων των δεδομένων (άρθρο 6 παρ. 1, εδ. α΄ ΓΚΠΔ) είτε σε υπέρτερο έννομο συμφέρον που εκάστοτε συντρέχει (άρθρο 6 παρ. 1, εδ. στ΄ ΓΚΠΔ). ... 2.1.2 Υπέρτερο έννομο συμφέρον ... η πολιτική επικοινωνία μπορεί να στηρίζεται στη νομική βάση του υπέρτερου εννόμου συμφέροντος του υπευθύνου επεξεργασίας ... εφόσον αποδεικνύεται ότι η επεξεργασία είναι απαραίτητη για την ικανοποίηση του εννόμου συμφέροντος του υπευθύνου επεξεργασίας για την προώθηση των πολιτικών του θέσεων, και έναντι του συμφέροντος αυτού δεν υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες των υποκειμένων, λαμβάνοντας υπόψη τις θεμιτές προσδοκίες τους βάσει της σχέσης τους με τον υπεύθυνο επεξεργασίας (Βλ. Αιτ. Σκ. 47 ΓΚΠΔ). Επισημαίνεται ότι, σύμφωνα με τη διάταξη του άρθρου 9 παρ. 2 στοιχ. δ΄ του ΓΚΠΔ επιτρέπεται η επεξεργασία που διενεργείται, με κατάλληλες εγγυήσεις στο πλαίσιο των νόμιμων δραστηριοτήτων των πολιτικών κομμάτων υπό την προϋπόθεση ότι αφορά τα μέλη τους ή πρώην μέλη τους ... Ενδεικτικά παραδείγματα περιπτώσεων στις οποίες μπορεί, κατ’ εκτίμηση των συγκεκριμένων περιστάσεων, να τεκμηριωθεί η νομιμότητα της επεξεργασίας προσωπικών δεδομένων για τον σκοπό της πολιτικής επικοινωνίας: ... Εάν ο υποψήφιος αποτελεί μέλος κόμματος και έχει αποκτήσει νομίμως από το κόμμα του τα στοιχεία άλλων μελών ή “φίλων” του κόμματος ... 2.2 Διαφάνεια. ... Τα άρθρα 13 και 14 [του] ΓΚΠΔ ορίζουν συγκεκριμένα τις πληροφορίες που πρέπει να παρέχονται στο υποκείμενο των δεδομένων από τον υπεύθυνο επεξεργασίας, τόσο στην περίπτωση που τα δεδομένα συλλέγονται από το υποκείμενο (άρθρο 13) όσο και στην περίπτωση που τα δεδομένα δεν έχουν συλλεγεί από το υποκείμενο (άρθρο 14), ενώ η ενημέρωση πρέπει να είναι συνοπτική, διαφανής, εύκολα προσβάσιμη και διατυπωμένη σε απλή και σαφή γλώσσα (άρθρο 12 παρ. 1 ΓΚΠΔ) ... 3. Ειδικά θέματα ανά μέσο επικοινωνίας. 3.1 Πολιτική επικοινωνία μέσω τηλεφωνικών κλήσεων και μέσω ηλεκτρονικών μέσων. Η επικοινωνία μέσω ηλεκτρονικών μέσων περιλαμβάνει: α) ... β) Μηνύματα ηλεκτρονικού ταχυδρομείου (e-mail) ... σε κάθε ηλεκτρονική επικοινωνία προς τον σκοπό της πολιτικής επικοινωνίας απαιτείται: ... • να διευκρινίζεται η πηγή από την οποία έχουν συλλεγεί τα στοιχεία επικοινωνίας του υποκειμένου, εφόσον αυτή δεν είναι το ίδιο το υποκείμενο (άρθρο 14 παρ. 2 στ)...».

8. Επειδή, όπως προκύπτει από τα στοιχεία του φακέλου, στην ΑΠΔΠΧ υποβλήθηκαν από την 1.3.2024 έως την 16.4.2024 διακόσιες τριάντα έξι (236) καταγγελίες και αιτήματα Ελλήνων του εξωτερικού κατά της Α.Μ.Α. (αιτούσα), τότε ευρωβουλευτή του κόμματος «...» (εφεξής: ...), για μη ζητηθείσα από τους καταγγέλλοντες πολιτική επικοινωνία μέσω μηνυμάτων ηλεκτρονικού ταχυδρομείου (email). Η επικοινωνία πραγματοποιήθηκε την 1.3.2024 με χρήση από την Α.Μ.Α. προσωπικών ηλεκτρονικών διευθύνσεων, τις οποίες όλοι οι καταγγέλλοντες είχαν χρησιμοποιήσει για την εγγραφή τους στον ειδικό εκλογικό κατάλογο εξωτερικού το έτος 2023 μέσω της διαδικτυακής πύλης του Υπουργείου Εσωτερικών (εφεξής: ΥΠ.ΕΣ.) «apodimoi.gov.gr». Το μήνυμα ηλεκτρονικού ταχυδρομείου της Α.Μ.Α., με τίτλο «100 ημέρες πριν από τις Ευρωεκλογές», απεστάλη την ίδια ημέρα (1.3.2024) και σε μεγάλη χρονική εγγύτητα με (άλλο) ενημερωτικό μήνυμα ηλεκτρονικού ταχυδρομείου του ΥΠ.ΕΣ. προς τους Έλληνες του εξωτερικού, σχετικού με τη νομοθετικώς προβλεφθείσα (ν. 5083/2024) επιστολική ψήφο για τη συμμετοχή των εκλογέων στις ευρωεκλογές. Οι καταγγέλλοντες ανέφεραν ότι κατά την προσπάθεια απεγγραφής τους από τη λίστα αποδεκτών του μηνύματος της Α.Μ.Α. εμφανιζόταν η πληροφορία ότι η λίστα είχε την ονομασία «ΑΠΟΔΗΜΟΙ». Ορισμένοι δε δήλωσαν ότι χρησιμοποιούσαν τη συγκεκριμένη διεύθυνση ηλεκτρονικού ταχυδρομείου αποκλειστικά στις επικοινωνίες τους με το Ελληνικό Δημόσιο. Κατά το ίδιο χρονικό διάστημα υποβλήθηκαν στην ΑΠΔΠΧ εξήντα έξι (66) καταγγελίες Ελλήνων του εξωτερικού κατά του ΥΠ.ΕΣ. για παραβίαση των προσωπικών τους δεδομένων λόγω εικαζόμενης διαρροής της διευθύνσεως ηλεκτρονικού ταχυδρομείου από το ΥΠ.ΕΣ. προς την Α.Μ.Α.. Κατόπιν των ανωτέρω καταγγελιών η ΑΠΔΠΧ διενήργησε εκτεταμένους ελέγχους (αναζήτηση πληροφοριών και στοιχείων από τα εμπλεκόμενα πρόσωπα, επιτόπιοι έλεγχοι στις εγκαταστάσεις του ΥΠ.ΕΣ. και της ...) από τους οποίους προέκυψαν τα ακόλουθα: α) Υπήρξε πράγματι διαρροή του ειδικού εκλογικού καταλόγου εξωτερικού από το ΥΠ.ΕΣ. κατά τον μήνα Ιούνιο του 2023, από τον κατάλογο δε προέρχονταν τα δεδομένα προσωπικού χαρακτήρα που υποβλήθηκαν σε επεξεργασία. Η διαρροή του ειδικού εκλογικού καταλόγου έγινε με μορφή ηλεκτρονικού αρχείου τύπου «excel», το οποίο έφερε τον τίτλο «Απόδημοι ανά Τμήμα για Κληρώσεις Εφορευτικών - Βουλ Εκλ Ιουν 2023.xlsx» και είχε δημιουργηθεί νομίμως, στις 8.6.2023, από τις υπηρεσίες του ΥΠ.ΕΣ. για τις ανάγκες της διαδικασίας των βουλευτικών εκλογών του Ιουνίου 2023. β) Ο εκλογικός κατάλογος περιήλθε, με την πιο πάνω μορφή ηλεκτρονικού αρχείου, αρχικά μέσω της διαδικτυακής εφαρμογής ανταλλαγής μηνυμάτων «WhatsApp» στον ... (…) ... (εφεξής: Α.Κ.), ο οποίος είχε την ιδιότητα του Οργανωτικού Γραμματέα Αυτοδιοίκησης και Διαχείρισης Κρίσεων της .... Κατά τους ισχυρισμούς του Α.Κ., ο κατάλογος διαβιβάσθηκε σε αυτόν από συνεργάτη του τότε Γενικού Γραμματέα (Γ.Γ.) του ΥΠ.ΕΣ. ... (εφεξής: Μ.Σ.), η ανάμιξη του οποίου πάντως, σύμφωνα με όσα τελικώς δέχθηκε η ΑΠΔΠΧ, δεν αποδείχθηκε. γ) Ο Α.Κ. διαβίβασε τον κατάλογο με τον ίδιο τρόπο στον … (εφεξής: Ν.Θ.) στις 23 Ιουνίου 2023, παραμονές των βουλευτικών εκλογών της 25.6.2023. Ο Ν.Θ. είχε τότε την ιδιότητα του Γραμματέα Αποδήμου Ελληνισμού ή Διασποράς (εφεξής: Γραμματέας Αποδήμων) της .... Τούτο έγινε, κατά τον Ν.Θ., προκειμένου ορισμένα από τα δεδομένα του καταλόγου, όπως το φύλο και η ηλικία των εκλογέων, να χρησιμοποιηθούν για στατιστική ανάλυση εκλογικών αποτελεσμάτων από τη .... Ο Ν.Θ. διατήρησε και μετά τον χρόνο αυτόν τον ειδικό εκλογικό κατάλογο εξωτερικού στην κατοχή του (με μορφή ηλεκτρονικού αρχείου). δ) Στη ..., όπως και σε άλλα πολιτικά κόμματα, ο επίμαχος ειδικός εκλογικός κατάλογος εξωτερικού είχε χορηγηθεί από το ΥΠ.ΕΣ. σε μέσο αποθηκεύσεως (CD), κατά τα οριζόμενα στην εκλογική νομοθεσία, εν όψει των βουλευτικών εκλογών του Μαΐου και του Ιουνίου 2023, χωρίς να περιλαμβάνει διευθύνσεις ηλεκτρονικού ταχυδρομείου και τηλέφωνα επικοινωνίας των εκλογέων εξωτερικού. ε) Τον Ιανουάριο του 2024 η αιτούσα ζήτησε τηλεφωνικώς, μέσω συνεργατών του γραφείου της, από τη Διεύθυνση Πληροφορικής της ... να της χορηγηθούν στοιχεία στελεχών του κόμματος σε οργανώσεις του στο εξωτερικό. Κατά την ανωτέρω τηλεφωνική επικοινωνία ζητήθηκε από τη ... το αίτημα να υποβληθεί εγγράφως. Στη συνέχεια η αιτούσα ζήτησε τα στοιχεία αυτά από τη ... με μήνυμα ηλεκτρονικού ταχυδρομείου στις 22.1.2024. Το μήνυμα απαντήθηκε την ίδια ημέρα και χορηγήθηκαν τα στοιχεία των κομματικών στελεχών με τη σύσταση να επικοινωνήσει με τη Γραμματεία Αποδήμων για τυχόν μη επικαιροποιημένα δεδομένα. στ) Πριν ωστόσο από τη γραπτή επικοινωνία μεταξύ ... και αιτούσας, η τελευταία ήλθε σε επαφή με τον Ν.Θ., τον συνάντησε στις 20.1.2024 και ζήτησε τα στοιχεία του ειδικού εκλογικού καταλόγου εξωτερικού στην πλήρη μορφή, συμπεριλαμβανομένων δηλαδή των στοιχείων εξ αποστάσεως επικοινωνίας (όπως οι διευθύνσεις ηλεκτρονικού ταχυδρομείου), ώστε να μπορεί να επικοινωνήσει με τους εγγεγραμμένους εκλογείς. ζ) Ο Ν.Θ. δέχθηκε να διαβιβάσει στην αιτούσα τον εκλογικό κατάλογο που κατείχε αναφέροντάς της ότι είχε περιέλθει νομίμως σε αυτόν λόγω της ιδιότητάς του ως εκπροσώπου της ... σε διακομματική επιτροπή του ΥΠ.ΕΣ. στις εκλογές του 2023. Η διαβίβαση στην αιτούσα έγινε μέσω «WhatsApp» το απόγευμα της 20.1.2024. Η αιτούσα χρησιμοποίησε τις διευθύνσεις ηλεκτρονικού ταχυδρομείου των εκλογέων, για να αποστείλει την 1.3.2024 το προαναφερθέν ηλεκτρονικό μήνυμα, με το οποίο προέβαλε τη θεσμοθετηθείσα επιστολική ψήφο και την υποψηφιότητά της στις ευρωεκλογές της 9.6.2024.

9. Επειδή, με την προσβαλλόμενη απόφαση (16/2024) η ΑΠΔΠΧ δέχθηκε, μεταξύ άλλων, τα ακόλουθα: (α) Σκοπός της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από την αιτούσα ήταν η πολιτική επικοινωνία προς προώθηση της επιστολικής ψήφου ως έργου της κυβερνήσεως, καθώς και της υποψηφιότητάς της στις ευρωεκλογές του Ιουνίου 2024. Η αιτούσα, συνεπώς, καθόρισε τον σκοπό και τα μέσα της επίμαχης επεξεργασίας και αποτέλεσε τον υπεύθυνο επεξεργασίας κατά την έννοια του άρθρου 4 αριθ. 7 του ΓΚΠΔ. (β) Το ηλεκτρονικό αρχείο «excel» με τίτλο «Απόδημοι ανά Τμήμα για Κληρώσεις Εφορευτικών - Βουλ Εκλ Ιουν 2023.xlsx», το οποίο περιελάμβανε και τις διευθύνσεις ηλεκτρονικού ταχυδρομείου των εκλογέων, δημιουργήθηκε με υπηρεσιακές ενέργειες εντός του ΥΠ.ΕΣ. στις 8.6.2023 από τη βάση δεδομένων του ΥΠ.ΕΣ. για νόμιμο σκοπό (εκλογική διαδικασία), όπως ήδη εκτέθηκε. (γ) Οι υποψήφιοι ευρωβουλευτές ανήκουν στα πρόσωπα που δικαιούνται να αποκτούν αντίγραφα εκλογικών καταλόγων υπό τις προϋποθέσεις του άρθρου 23 του π.δ. 26/2012, δηλαδή μόνο κατά την προεκλογική περίοδο, μόνο από το ΥΠ.ΕΣ. κατόπιν σχετικής αιτήσεως και μόνο σε μέσο αποθηκεύσεως (CD), απαγορευομένης ρητώς της ηλεκτρονικής διακινήσεως των εκλογικών καταλόγων με άλλο τρόπο. Οφείλουν επίσης να καταστρέφουν τα εν λόγω ηλεκτρονικά μέσα εντός τριμήνου από τη διενέργεια των εκλογών. (δ) Σύμφωνα με το άρθρο 3 του ν. 4648/2019, τα αντίτυπα των εκλογικών καταλόγων που διατίθενται στους δικαιούχους του άρθρου 23 του π.δ. 26/2012 δεν περιλαμβάνουν τη διεύθυνση ηλεκτρονικού ταχυδρομείου και τα τηλέφωνα επικοινωνίας των εκλογέων. (ε) Τα μέσα αποθηκεύσεως (CD) που χορηγήθηκαν από το ΥΠ.ΕΣ. στα πολιτικά κόμματα, συμπεριλαμβανομένης της ..., εν όψει των βουλευτικών εκλογών του Μαΐου και του Ιουνίου 2023 δεν περιελάμβαναν διευθύνσεις ηλεκτρονικού ταχυδρομείου και τηλέφωνα επικοινωνίας των εκλογέων εξωτερικού, ενώ κανένα φυσικό πρόσωπο με την ιδιότητα υποψηφίου δεν ζήτησε με αίτησή του τη χορήγηση αντιτύπου των ειδικών εκλογικών καταλόγων εξωτερικού του 2023. (στ) Το αρχείο που έλαβε η αιτούσα από τον Γραμματέα Αποδήμων της ..., Ν.Θ., στις 20.1.2024 μέσω «WhatsApp» είναι το αρχείο «Απόδημοι ανά Τμήμα για Κληρώσεις Εφορευτικών - Βουλ Εκλ Ιουν 2023.xlsx» του ΥΠ.ΕΣ. (όπως προέκυψε τόσο από το περιεχόμενο, όσο και από τα μεταδεδομένα του). (ζ) Η αιτούσα, ως υπεύθυνη επεξεργασίας, δεν παρέσχε την κατά το άρθρο 14 του ΓΚΠΔ ενημέρωση προς τα υποκείμενα των δεδομένων ούτε εντός μηνός από τη συλλογή τους ούτε με το ηλεκτρονικό μήνυμα με το οποίο ήλθε σε επικοινωνία μαζί τους την 1.3.2024. Με βάση τις ανωτέρω διαπιστώσεις η ΑΠΔΠΧ έκρινε ότι η συλλογή από την αιτούσα των προσωπικών δεδομένων αποδήμων, συμπεριλαμβανομένων των στοιχείων ηλεκτρονικής επικοινωνίας, τα οποία προήλθαν από τον Γραμματέα Αποδήμων της ... με ηλεκτρονικό μέσο («WhatsApp»), αποτελούσε αθέμιτη, μη αντικειμενική και μη σύννομη επεξεργασία, δεδομένου ότι έγινε κατά παράβαση σειράς διατάξεων της εκλογικής νομοθεσίας. Για τον λόγο επίσης αυτόν δεν μπορούσε να είναι ευλόγως αναμενόμενο από τα υποκείμενα των δεδομένων (εκλογείς εξωτερικού) ότι τα προσωπικά τους δεδομένα, τα οποία τηρεί το ΥΠ.ΕΣ. για τον σκοπό της ασκήσεως του εκλογικού τους δικαιώματος, θα βρίσκονταν στην κατοχή της συγκεκριμένης ευρωβουλευτού και θα γινόταν χρήση τους για τον σκοπό της πολιτικής επικοινωνίας της μέσω μηνυμάτων ηλεκτρονικού ταχυδρομείου. Ως εκ τούτου, η επεξεργασία προσωπικών δεδομένων των εκλογέων εξωτερικού από την Α.Μ.Α. δεν μπορούσε να στηριχθεί στη νομική βάση του υπέρτερου εννόμου συμφέροντος του υπευθύνου επεξεργασίας (άρθρο 6 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ) και τούτο διότι, λαμβανομένων υπόψη των ανωτέρω περιστάσεων, το δικαίωμα των αποδήμων εκλογέων στην προστασία των προσωπικών τους δεδομένων υπερείχε καταφανώς του εννόμου συμφέροντος της αιτούσας ως ευρωβουλευτού να επικοινωνήσει μαζί τους ατομικά προς διάδοση των πολιτικών της δράσεων και ιδεών. Επί πλέον, δεν παρεσχέθη από την αιτούσα κατάλληλη και σύμφωνη με τον ΓΚΠΔ (άρθρο 14) ενημέρωση στα υποκείμενα των δεδομένων, ιδίως για την πηγή προελεύσεως των δεδομένων τους, με αποτέλεσμα να παραβιασθεί και η αρχή της διαφάνειας της επεξεργασίας. Κατόπιν των ανωτέρω η ΑΠΔΠΧ έκρινε ότι συνέτρεχε περίπτωση να επιβληθεί στην αιτούσα, κατ' εφαρμογή των άρθρων 58 παρ. 2 στοιχ. θ΄ και 83 του ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό πρόστιμο, το ύψος του οποίου η Αρχή όρισε σε 40.000 ευρώ, αφού έλαβε, μεταξύ άλλων, υπόψη τα κριτήρια επιμετρήσεως του άρθρου 83 παρ. 2 του ΓΚΠΔ, την παρ. 5 περ. α΄ του άρθρου 83 του ΓΚΠΔ, η οποία προβλέπει την επιβολή προστίμου έως 20.000.000 ευρώ, όταν παραβιάζονται βασικές αρχές επεξεργασίας δεδομένων προσωπικού χαρακτήρα, καθώς και τα πραγματικά δεδομένα της υποθέσεως, με βάση τα οποία η βαρύτητα της παραβάσεως χαρακτηρίσθηκε «μεσαία». Ειδικότερα, για την επιμέτρηση του προστίμου η ΑΠΔΠΧ έλαβε υπόψη ότι α) η φύση της παραβάσεως αφορούσε τις βασικές αρχές επεξεργασίας δεδομένων προσωπικού χαρακτήρα (αρχές της αντικειμενικότητας, νομιμότητας και διαφάνειας) του ΓΚΠΔ, β) ο σκοπός της επεξεργασίας ήταν «θεμιτός» (υπό την έννοια ότι δεν ήταν, πάντως, και ηθικά αποδοκιμαστέος) και από την επεξεργασία δεν προέκυψαν αμέσως σοβαρές συνέπειες για τα υποκείμενα των δεδομένων, γ) η επεξεργασία δεν αφορούσε βασικές δραστηριότητες του υπευθύνου επεξεργασίας, δ) αποτέλεσε μεμονωμένη δραστηριότητα, η οποία δεν συνιστά «επιχείρηση» κατά την έννοια των άρθρων 101 και 102 της ΣΛΕΕ, ε) ο αριθμός των υποκειμένων που επηρεάσθηκαν ήταν μεγάλος (το σύνολο των εκλογέων εξωτερικού), στ) οι κατηγορίες των προσωπικών δεδομένων που αφορούσε η επεξεργασία δεν ενείχαν υψηλό κίνδυνο και δεν μπορούσε από αυτά να προκληθεί άμεση ζημία ή δυσχέρεια, ζ) προκλήθηκε πάντως αναστάτωση και ανησυχία στα υποκείμενα των δεδομένων σχετικά με τη διαρροή και παράνομη χρήση των προσωπικών δεδομένων τους και η) η παράβαση προκλήθηκε από βαριά αμέλεια της Α.Μ.Α., η οποία λόγω της θέσεως και της πολυετούς εμπειρίας της όφειλε να γνωρίζει ότι δεν είχε δικαίωμα να έχει στην κατοχή της το συγκεκριμένο αρχείο. Επί πλέον, η αιτούσα όφειλε να είχε λάβει υπόψη τις ΚΓ 1/2023 της ΑΠΔΠΧ για την πολιτική επικοινωνία, οι οποίες είναι διαθέσιμες στην ιστοσελίδα της ΑΠΔΠΧ, προκύπτει δε σαφώς ότι αυτονόητη προϋπόθεση για τη νομιμότητα κάθε επεξεργασίας δεδομένων προσωπικού χαρακτήρα είναι η συλλογή τους από νόμιμη πηγή. Πέραν του προστίμου των 40.000 ευρώ, η ΑΠΔΠΧ έδωσε στην αιτούσα την εντολή, σύμφωνα με το άρθρο 58 παρ. 2 στοιχείο ζ΄ του ΓΚΠΔ, να διαγράψει το σύνολο των επίμαχων δεδομένων εκλογέων εξωτερικού, εντολή προς την οποία, όπως εκτίθεται στην αίτηση, συμμορφώθηκε. Με την ίδια απόφαση (16/2024) η ΑΠΔΠΧ επέβαλε πρόστιμο 400.000 ευρώ και την υποχρέωση λήψεως διορθωτικών μέτρων στο ΥΠ.ΕΣ., ως υπεύθυνο επεξεργασίας, λόγω πλημμελούς εκπληρώσεως των υποχρεώσεών του για τη λήψη κατάλληλων μέτρων σχετικά με την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα. Τέλος, η ΑΠΔΠΧ έκρινε ότι ως προς την ... και τον Ν.Θ. έπρεπε να αναβάλει την έκδοση αποφάσεως, δεδομένου ότι ο Ν.Θ., μετά από τη διενεργηθείσα ακρόαση και την υποβολή υπομνημάτων, προσκόμισε με το Γ/ΕΙΣ/4499/22.5.2024 έγγραφο, ως νεότερο στοιχείο, ένορκη βεβαίωση του ιδίου ως προς τον τρόπο περιελεύσεως σε αυτόν των εκλογικών καταλόγων. Το στοιχείο αυτό μπορούσε, κατά την ΑΠΔΠΧ, να ληφθεί υπόψη στο πλαίσιο αυτεπάγγελτου ελέγχου, από δε το περιεχόμενό του προέκυπτε η ανάγκη περαιτέρω διερευνήσεως των ισχυρισμών του Ν.Θ..

10. Επειδή, σύμφωνα με το άρθρο 6 παρ. 1 στοιχ. ε΄ του ΓΚΠΔ, η επεξεργασία των δεδομένων προσωπικού χαρακτήρα είναι σύννομη, εφόσον είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας. Η ανωτέρω ρύθμιση (όπως και εκείνη του στοιχείου γ΄ της ίδιας παραγράφου) συμπληρώνεται από την παρ. 3 του άρθρου 6 του ΓΚΠΔ, σύμφωνα με την οποία οι σκοποί της επεξεργασίας δεδομένων προσωπικού χαρακτήρα στις ανωτέρω περιπτώσεις καθορίζονται είτε από το δίκαιο της Ένωσης είτε από το δίκαιο του κράτους μέλους, στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας. Η νομική βάση της επεξεργασίας, κατά το δίκαιο που την καθορίζει, μπορεί να περιλαμβάνει και ειδικότερες διατάξεις, καθορίζουσες, μεταξύ άλλων, τα είδη των δεδομένων που υποβάλλονται σε επεξεργασία, τις πράξεις και τις διαδικασίες επεξεργασίας, καθώς και τα μέτρα για τη διασφάλιση σύννομης και θεμιτής επεξεργασίας. Ακόμη, το δίκαιο (ενωσιακό ή εθνικό) που καθορίζει τη νομική βάση επεξεργασίας πρέπει να ανταποκρίνεται σε σκοπό δημοσίου συμφέροντος και να είναι ανάλογο προς τον επιδιωκόμενο σκοπό. Από το περιεχόμενο των ανωτέρω διατάξεων του ΓΚΠΔ, σε συνδυασμό προς τις διατάξεις των άρθρων 16 της ΣΛΕΕ και 8 του ΧΘΔΕΕ, συνάγεται ότι το επιτρεπτό της επεξεργασίας προσωπικών δεδομένων για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον τελεί, ως περιορισμός του δικαιώματος στην προστασία των δεδομένων προσωπικού χαρακτήρα, υπό την επιφύλαξη του νόμου (βλ. αντιστοίχως τη διάταξη του άρθρου 9Α του Συντάγματος). Προϋποθέτει δηλαδή νομική βάση επεξεργασίας (νομοθετική ή κανονιστική ρύθμιση), η οποία θεσπίζεται είτε από το δίκαιο της Ένωσης είτε από το εθνικό δίκαιο, προσδιορίζει το περιεχόμενο της επεξεργασίας και διασφαλίζει την τήρηση της αρχής της αναλογικότητας (βλ. αποφάσεις Δ.Ε.Ε. της 20.10.2022, Koalitsia «Demokratichna Bulgaria – Obedinenie», C-306/21, σκέψεις 49, 50, 52, της 1.8.2022, Vyriausioji tarnybinės etikos komisija, C-184/20, σκέψεις 69, 70 και 72, και της 24.2.2022, Valsts ieņēmumu dienests (Επεξεργασία των δεδομένων προσωπικού χαρακτήρα για φορολογικούς σκοπούς), C-175/20, σκέψεις 54, 55, 70, 71 και 83).

11. Επειδή, στην προκειμένη περίπτωση, τα προσωπικά δεδομένα των εκλογέων εξωτερικού που υποβλήθηκαν σε επεξεργασία από την αιτούσα προέρχονταν από τους ειδικούς εκλογικούς καταλόγους εξωτερικού, οι οποίοι τηρούνται από το ΥΠ.ΕΣ. σύμφωνα με το άρθρο 2 παρ. 9 του ν. 4648/2019. Όπως προκύπτει από τις διατάξεις του άρθρου 3 παρ. 1 του ν. 4648/2019, οι κατάλογοι αυτοί περιέχουν, μεταξύ άλλων δεδομένων προσωπικού χαρακτήρα των εκλογέων, τη διεύθυνση του ηλεκτρονικού ταχυδρομείου και τηλέφωνα επικοινωνίας (άρθρο 3 παρ. 1 στοιχ. ια΄ και ιβ΄ του ν. 4648/2019). Για τους ως άνω, εξ άλλου, ειδικούς εκλογικούς καταλόγους η διάταξη του άρθρου 3 παρ. 2 του ν. 4648/2019 ορίζει ότι εφαρμόζονται οι διατάξεις του άρθρου 23 του π.δ. 26/2012 περί κωδικοποιήσεως της νομοθεσίας για την εκλογή των βουλευτών, με ρητή επιφύλαξη ως προς τα στοιχεία ια΄ και ιβ΄ της παρ. 1 του άρθρου 3 του ν. 4648/2019. Μπορεί, δηλαδή, σύμφωνα με το άρθρο 23 παρ. 2 του π.δ. 26/2012, αντίτυπα των εκλογικών αυτών καταλόγων να διατίθενται από το ΥΠ.ΕΣ. στους οριζόμενους δικαιούχους, στους οποίους συγκαταλέγονται και οι υποψήφιοι ευρωβουλευτές, χωρίς όμως να περιλαμβάνονται στα διατιθέμενα αντίτυπα η διεύθυνση ηλεκτρονικού ταχυδρομείου και τα τηλέφωνα επικοινωνίας. Η επεξεργασία αυτή των δεδομένων προσωπικού χαρακτήρα του εκλογικού καταλόγου, με την εξαίρεση εκείνων που σχετίζονται με την εξ αποστάσεως επικοινωνία, έχει ως σκοπό, προδήλως, και τη διευκόλυνση της άμεσης επικοινωνίας των κομμάτων και των υποψηφίων με τους εγγεγραμμένους στους εκλογικούς καταλόγους εκλογείς κατά τις προεκλογικές περιόδους. Επικοινωνία η οποία αποτελεί αναπόσπαστο στοιχείο της εκλογικής διαδικασίας υπό ευρεία έννοια, ως απαραίτητη προϋπόθεση για την κατά το άρθρο 52 του Συντάγματος «ελεύθερη και ανόθευτη εκδήλωση της λαϊκής θέλησης». Η εν λόγω επεξεργασία προσωπικών δεδομένων βρίσκει νόμιμο έρεισμα όσον αφορά το ΥΠ.ΕΣ., ως υπεύθυνο επεξεργασίας για τη διαβίβαση των εκλογικών καταλόγων στα κόμματα και τους υποψηφίους, στο άρθρο 6 παρ. 1 περ. ε΄ του ΓΚΠΔ, διότι αποτελεί επεξεργασία απαραίτητη για την εκπλήρωση καθήκοντος, το οποίο εκτελείται, κατά τα προεκτεθέντα, για σκοπούς δημοσίου συμφέροντος, φορέας του οποίου είναι η πολιτεία. Η περαιτέρω επεξεργασία, αντιθέτως, των εν λόγω δεδομένων προσωπικού χαρακτήρα από τους αποδέκτες τους (πολιτικά κόμματα, υποψήφιοι), οι οποίοι δικαιούνται να λάβουν τους εκλογικούς καταλόγους κατά την εκλογική νομοθεσία, βρίσκει έρεισμα στο άρθρο 6 παρ. 1 περ. στ΄ του ΓΚΠΔ, ως επεξεργασία απαραίτητη για την εξυπηρέτηση εννόμων συμφερόντων, τα οποία προσδιορίζονται από τις ιδιότητες και τους σκοπούς των ανωτέρω πολιτικών φορέων και προσώπων (πρβλ. ΣτΕ 1838/2022 επτ.). Οι σκοποί αυτοί συνέχονται λειτουργικά με τους σκοπούς που επιδιώκει και η πολιτεία κατά τα προεκτεθέντα (πρβλ. απόφαση Δ.Ε.Ε. της 20.10.2022, Digi, C-77/21, σκέψη 34). Συνεπώς, βάσει της ιδιότητας της αιτούσας ως ευρωβουλευτού ή υποψήφιας ευρωβουλευτού, η επεξεργασία από αυτήν προσωπικών δεδομένων που περιέχονται σε εκλογικούς καταλόγους δεν μπορούσε να έχει ως νόμιμο έρεισμα τη διάταξη του άρθρου 6 παρ. 1 στοιχ. ε΄ του ΓΚΠΔ, διότι η αιτούσα δεν είναι φορέας δημοσίου συμφέροντος κατά την έννοια της διατάξεως αυτής. Ούτε, άλλωστε, ασκεί επιρροή σε σχέση με τη (μη) συνδρομή της παραπάνω ιδιότητας (του φορέα δημοσίου συμφέροντος) ο υποκειμενικός σκοπός των ενεργειών της, ο οποίος συνίστατο, όπως προβάλλει, στην πλουραλιστική ενημέρωση των εκλογέων για τις πολιτικές θέσεις της, καθώς και στην παρακίνηση των αποδήμων σε συμμετοχή στα κοινά (ευρωεκλογές). Ανεξαρτήτως εξ άλλου των προεκτεθέντων, η επίμαχη επεξεργασία δεδομένων προσωπικού χαρακτήρα δεν θα μπορούσε να βρει έρεισμα στη διάταξη του άρθρου 6 παρ. 1 στοιχ. ε΄ του ΓΚΠΔ, σε συνδυασμό με την παρ. 3 του ίδιου άρθρου, δοθέντος ότι η επεξεργασία δεδομένων που αντλούνται από τους εκλογικούς καταλόγους τελεί υπό συγκεκριμένους όρους της εκλογικής νομοθεσίας (διάθεση των εκλογικών καταλόγων αποκλειστικώς από το ΥΠ.ΕΣ., χρήση από υποψηφίους αποκλειστικώς κατά τη διάρκεια προεκλογικής περιόδου κ.λπ.), οι οποίοι δεν συνέτρεχαν εν προκειμένω. Αβασίμως, ως εκ τούτου, προβάλλεται ότι η ΑΠΔΠΧ παρέλειψε να εξετάσει από την άποψη του άρθρου 6 παρ. 1 στοιχ. ε΄ του ΓΚΠΔ τη νομιμότητα της επίμαχης επεξεργασίας δεδομένων προσωπικού χαρακτήρα από την Α.Μ.Α.. Η αιτούσα, εξ άλλου, αλυσιτελώς επικαλείται την 7/2021 γνωμοδότηση της ΑΠΔΠΧ, με την οποία έγινε δεκτό ότι η διαβίβαση από το Τμήμα Μητρώου Δικηγορικού Συλλόγου στοιχείων επικοινωνίας των μελών του (δικηγόρων) προς τους υποψηφίους για εκλογή σε θέσεις οργάνων διοικήσεως του οικείου νομικού προσώπου μπορούσε να βασισθεί στο άρθρο 6 παρ. 1 στοιχ. ε΄ του ΓΚΠΔ. Δηλαδή στην «εξυπηρέτηση σκοπού δημοσίου συμφέροντος για τη λειτουργία του Συλλόγου, ως νομικού προσώπου δημοσίου δικαίου και τη διεξαγωγή των αρχαιρεσιών ανάδειξης ΔΣ με τρόπο που να εξασφαλίζει την προβολή των θέσεων όλων των υποψηφίων». Και τούτο διότι η γνωμοδότηση αυτή της ΑΠΔΠΧ αναφέρεται σε πράξεις επεξεργασίας οργάνου του Δικηγορικού Συλλόγου, οι οποίες επιχειρήθηκαν στο πλαίσιο της οικείας ειδικής νομοθεσίας (άρθρα 103 και επ. του ν. 4194/2013-Α΄ 208 περί Κώδικα Δικηγόρων), είναι δε αντίστοιχες με τις νόμιμες πράξεις επεξεργασίας τις οποίες, σύμφωνα με τα προεκτεθέντα, επιχειρεί το ΥΠ.ΕΣ. κατά την προβλεπόμενη από την εκλογική νομοθεσία διαβίβαση των εκλογικών καταλόγων στους δικαιούχους και όχι με πράξεις επεξεργασίας επιχειρούμενες εκτός του οικείου κανονιστικού πλαισίου, όπως εν προκειμένω.

12. Επειδή, κατά τα εκτεθέντα ανωτέρω, η επεξεργασία δεδομένων προσωπικού χαρακτήρα, η οποία επιχειρείται στο πλαίσιο πολιτικής επικοινωνίας με σκοπό τη διάδοση πολιτικών ιδεών και προγραμμάτων ή τη γνωστοποίηση στους πολίτες υποψηφιοτήτων σε εκλογικές διαδικασίες, εντάσσεται στο πεδίο των εννόμων συμφερόντων, κατά την έννοια του άρθρου 6 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ, των πολιτικών προσώπων ή φορέων που επιχειρούν την πολιτική επικοινωνία. Όπως εξ άλλου προκύπτει από τη νομολογία του Δ.Ε.Ε., η κατά τη διάταξη του άρθρου 6 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη μόνο εάν και στον βαθμό που είναι απαραίτητη για τους σκοπούς των εννόμων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός αν έναντι των συμφερόντων αυτών υπερισχύουν το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων, που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα. Η ανωτέρω διάταξη καθιερώνει, συνεπώς, τρεις προϋποθέσεις για τη σύννομη επεξεργασία δεδομένων προσωπικού χαρακτήρα, οι οποίες πρέπει να συντρέχουν σωρευτικά, και συγκεκριμένα: α) την επιδίωξη εννόμου συμφέροντος εκ μέρους του υπευθύνου επεξεργασίας ή τρίτου, β) την αναγκαιότητα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την εξυπηρέτηση του επιδιωκόμενου εννόμου συμφέροντος και γ) ότι δεν υπερέχουν τα συμφέροντα ή οι ελευθερίες και τα θεμελιώδη δικαιώματα του προσώπου το οποίο αφορά η προστασία των δεδομένων (βλ. απόφαση Δ.Ε.Ε. της 17.6.2021, M.I.C.M., C-597/19, σκέψεις 105 και 106). Όπως περαιτέρω προκύπτει από την αιτιολογική σκέψη με αρ. 47 του ΓΚΠΔ, τα έννομα συμφέροντα του υπευθύνου επεξεργασίας «μπορεί να παρέχουν τη νομική βάση για την επεξεργασία υπό τον όρο ότι δεν υπερισχύουν των συμφερόντων ή των θεμελιωδών δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων, λαμβάνοντας υπόψη τις θεμιτές προσδοκίες των υποκειμένων βάσει της σχέσης τους με τον υπεύθυνο επεξεργασίας». Υπό τον όρο, δηλαδή, ότι τα έννομα συμφέροντα του υπευθύνου επεξεργασίας δεν κατισχύουν εκ προοιμίου και άνευ ετέρου των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων, αλλά λαμβάνονται σε κάθε περίπτωση υπόψη οι θεμιτές προσδοκίες του τελευταίου στη σχέση που τον συνδέει με τον υπεύθυνο της επεξεργασίας. Κατά την ίδια αιτιολογική σκέψη, η ύπαρξη εννόμου συμφέροντος του υπευθύνου επεξεργασίας θα χρειαζόταν προσεκτική αξιολόγηση, μεταξύ άλλων, ως προς το κατά πόσον το υποκείμενο των δεδομένων - κατά τη χρονική στιγμή και στο πλαίσιο της συλλογής των δεδομένων προσωπικού χαρακτήρα - μπορεί εύλογα να αναμένει ότι για τον σκοπό αυτόν μπορεί να πραγματοποιηθεί επεξεργασία. Στο πλαίσιο αυτό, τα συμφέροντα και θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων μπορούν να υπερισχύουν των συμφερόντων του υπευθύνου επεξεργασίας, όταν τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία σε περιπτώσεις στις οποίες το υποκείμενο «δεν αναμένει ευλόγως» περαιτέρω επεξεργασία των δεδομένων του. Με βάση τα προεκτεθέντα, το περιεχόμενο του άρθρου 6 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ, όπως διευκρινίζεται από την αιτιολογική σκέψη 47 του κανονισμού, συνιστά επαρκές, κατ’ αρχήν, κανονιστικό πλαίσιο για τη ρύθμιση και την άρση σε ατομικό επίπεδο, κατόπιν σταθμίσεως, κάθε συγκρούσεως με το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα, η οποία (σύγκρουση) μπορεί να προκύψει λόγω της ασκήσεως από τον υπεύθυνο επεξεργασίας άλλων θεμελιωδών δικαιωμάτων, όπως τα δικαιώματα στην ελευθερία εκφράσεως και πληροφορήσεως. Ο έλεγχος, εξ άλλου, της νομιμότητας της επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά την άσκηση των θεμελιωδών δικαιωμάτων επιβάλλεται ακόμη και στην περίπτωση που δεν έχει θεσπισθεί σε εθνικό επίπεδο ειδικότερο πλαίσιο, κατ’ εφαρμογή του άρθρου 85 του ΓΚΠΔ, για τον «συμβιβασμό» (εναρμόνιση) του δικαιώματος στην προστασία των δεδομένων προσωπικού χαρακτήρα με το δικαίωμα στην ελευθερία εκφράσεως και πληροφορήσεως. Και τούτο διότι η αποτελεσματική και με όρους αλληλοσεβασμού άσκηση όλων των τυχόν συγκρουόμενων δικαιωμάτων πρέπει να διασφαλίζεται ανεξαρτήτως αν έχουν θεσπισθεί ειδικότεροι κανόνες από τον εθνικό νομοθέτη κατά το ως άνω άρθρο του κανονισμού (βλ. Koalitsia «Demokratichna Bulgaria – Obedinenie», σκ. 59, 60).

13. Επειδή, ο εθνικός νομοθέτης, με τον ν. 4624/2019 καθόρισε, σε συμμόρφωση προς τα οριζόμενα στο άρθρο 85 του ΓΚΠΔ, το πλαίσιο «συμβιβασμού» του δικαιώματος στην προστασία των δεδομένων προσωπικού χαρακτήρα με το δικαίωμα στην ελευθερία εκφράσεως και πληροφορήσεως, προβλέποντας ειδικότερα (άρθρο 28 παρ. 1 του ν. 4624/2019) ότι, στον βαθμό που ο συμβιβασμός μεταξύ συγκρουόμενων δικαιωμάτων είναι αναγκαίος, η επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται, όταν: (α) το υποκείμενο των δεδομένων έχει παράσχει τη ρητή συγκατάθεσή του, (β) η επεξεργασία αφορά δεδομένα προσωπικού χαρακτήρα που έχουν προδήλως δημοσιοποιηθεί από το ίδιο το υποκείμενο, (γ) υπερέχει το δικαίωμα στην ελευθερία εκφράσεως και πληροφορήσεως έναντι του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα, ιδίως για θέματα γενικότερου ενδιαφέροντος ή όταν πρόκειται για δημόσια πρόσωπα, και (δ) η επεξεργασία περιορίζεται στο αναγκαίο μέτρο για την εξασφάλιση της ελευθερίας της εκφράσεως και του δικαιώματος ενημερώσεως, ιδίως αν αφορά δεδομένα ειδικών κατηγοριών, λαμβάνοντας υπόψη το δικαίωμα του υποκειμένου στην ιδιωτική και οικογενειακή ζωή. Με τον ίδιο νόμο (άρθρο 28 παρ. 2 του ν. 4624/2019) ορίσθηκε ότι στον βαθμό που είναι αναγκαίος ο εν λόγω συμβιβασμός συγκρουόμενων δικαιωμάτων δεν εφαρμόζεται, μεταξύ άλλων, το Κεφάλαιο ΙΙ («Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα») του ΓΚΠΔ, εκτός από το άρθρο 5 του κανονισμού περί βασικών αρχών επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, το οποίο εξακολουθεί να εφαρμόζεται, δηλαδή εφαρμόζεται και εν προκειμένω η κατά το άρθρο 5 παρ. 1 στοιχ. α΄ του ΓΚΠΔ αρχή της νομιμότητας της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα. Το προεκτεθέν πλαίσιο ρυθμίσεων για τον συμβιβασμό του δικαιώματος στην προστασία δεδομένων προσωπικού χαρακτήρα με το δικαίωμα στην ελευθερία εκφράσεως και πληροφορήσεως συμπληρώνεται από τις ειδικότερες διατάξεις της εκλογικής νομοθεσίας (άρθρο 23 του π.δ. 26/2012, όπως ισχύει, και άρθρο 3 παρ. 2 του ν. 4648/2019) σε ό,τι αφορά την προβλεπόμενη διάθεση από το ΥΠ.ΕΣ. αντιτύπων εκλογικών καταλόγων κατά την προεκλογική περίοδο σε πολιτικούς φορείς, βουλευτές, ευρωβουλευτές, υποψηφίους κ.λπ., χωρίς να περιλαμβάνονται στα διατιθέμενα αντίτυπα, όταν πρόκειται για τους ειδικούς εκλογικούς καταλόγους εκλογέων εξωτερικού, διευθύνσεις ηλεκτρονικού ταχυδρομείου και τηλέφωνα επικοινωνίας. Το εν λόγω, εξ άλλου, πλαίσιο νόμιμης επεξεργασίας δεδομένων προσωπικού χαρακτήρα με σκοπό την πολιτική επικοινωνία αποσαφηνίζεται έτι περαιτέρω με τις μνημονευθείσες ΚΓ 1/2023 της ΑΠΔΠΧ, στις οποίες παρατίθενται, προς καθοδήγηση των ενδιαφερομένων, και ενδεικτικά παραδείγματα επεξεργασιών δεδομένων προσωπικού χαρακτήρα, στις οποίες μπορεί να τεκμηριωθεί η νομιμότητα της επεξεργασίας για τον σκοπό της πολιτικής επικοινωνίας.

14. Επειδή, υπό τα ανωτέρω δεδομένα, υφίσταται επαρκής ρύθμιση για τον αναγκαίο «συμβιβασμό» (εναρμόνιση) των θεμελιωδών δικαιωμάτων στην προστασία των δεδομένων προσωπικού χαρακτήρα και στην ελευθερία εκφράσεως και πληροφορήσεως σε ό,τι αφορά ιδίως την πολιτική επικοινωνία τόσο γενικώς (ΓΚΠΔ, ν. 4624/2019, ΚΓ 1/2023 της ΑΠΔΠΧ), όσο και ειδικώς (εκλογική νομοθεσία), δηλαδή ως προς τη χρήση των εκλογικών καταλόγων από τους νόμιμους δικαιούχους (πολιτικά πρόσωπα και φορείς). Οι τελευταίοι μπορούν, σύμφωνα με τους κανόνες αυτούς, να ασκούν το έννομο συμφέρον τους στην πολιτική επικοινωνία τελώντας σε πλήρη γνώση τόσο των προϋποθέσεων που τίθενται για την επεξεργασία αυτή, όσο και των θεμιτών προσδοκιών των υποκειμένων των δεδομένων, που είναι συνυφασμένες με τις νόμιμες προϋποθέσεις επεξεργασίας. Με βάση, εξ άλλου, τα προεκτεθέντα, η αιτούσα - έχουσα άλλωστε πολυετή πολιτική εμπειρία και γνώση των σχετικών με την εφαρμογή του ΓΚΠΔ ζητημάτων, όπως και η ίδια εκθέτει στα υπομνήματά της ενώπιον της ΑΠΔΠΧ (από 20.3.2024 υπόμνημα, σελ. 6, από 10.5.2024 υπόμνημα, σελ. 10) - ήταν σε θέση να διαγνώσει τα νόμιμα όρια στη χρήση των δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονται στους εκλογικούς καταλόγους, κατά τα γενόμενα δεκτά με την προσβαλλόμενη απόφαση. Πρέπει, συνεπώς, να απορριφθούν ως αβάσιμα όσα περί του αντιθέτου προβάλλονται με την κρινόμενη αίτηση, κατά τα οποία (α) η προσβαλλόμενη απόφαση στερείται νομίμου ερείσματος, καθόσον, παρότι η επίμαχη επεξεργασία δεδομένων προσωπικού χαρακτήρα έλαβε χώρα στο πλαίσιο πολιτικής επικοινωνίας, υφίσταται «κενό» στην εθνική νομοθεσία για την εφαρμογή του ΓΚΠΔ, διότι δεν έχει θεσπισθεί η αναγκαία, κατά το άρθρο 85 του ΓΚΠΔ, ρύθμιση για την πολιτική επικοινωνία, (β) τέτοια ειδική ρύθμιση δεν περιέχεται στον εφαρμοστικό του ΓΚΠΔ ν. 4624/2019 και (γ) για την εφαρμογή του ΓΚΠΔ στην περίπτωση της πολιτικής επικοινωνίας δεν αρκούν οι μη δεσμευτικές ΚΓ 1/2023 της ΑΠΔΠΧ για την επεξεργασία προσωπικών δεδομένων κατά την πολιτική επικοινωνία.

15. Επειδή, περαιτέρω, από τις διατάξεις των άρθρων 9Α του Συντάγματος, 16 της ΣΛΕΕ και 8 του ΧΘΔΕΕ, καθώς και από τη διάταξη του άρθρου 8 της Ευρωπαϊκής Συμβάσεως Δικαιωμάτων του Ανθρώπου (ΕΣΔΑ-... 53/1974, Α΄ 256), προκύπτει ότι, δεδομένης της κατοχυρώσεως των σχετικών δικαιωμάτων με ρητές επιφυλάξεις υπέρ του νόμου, λαμβανομένων δε υπόψη και όσων ειδικότερα αναφέρονται στην αιτιολογική σκέψη αριθ. 4 του ΓΚΠΔ, το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο, αλλά επιβάλλεται να εκτιμάται σε συνάρτηση με τη λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας (βλ. και τη σκέψη 12 της παρούσας αποφάσεως). Στο πλαίσιο αυτό, όπως επίσης αναφέρεται στην αιτιολογική σκέψη αρ. 4 του κανονισμού, ο τελευταίος σέβεται όλα τα θεμελιώδη δικαιώματα και τηρεί τις ελευθερίες και αρχές που αναγνωρίζονται στον ΧΘΔΕΕ, όπως κατοχυρώνονται στις Συνθήκες, ιδίως δε, μεταξύ άλλων, την ελευθερία εκφράσεως και πληροφορήσεως. Εν όψει τούτων και όσων συναφώς ορίζει το άρθρο 52 παρ. 1 του ΧΘΔΕΕ, επιτρέπεται η επιβολή περιορισμών στην άσκηση των πιο πάνω θεμελιωδών δικαιωμάτων, υπό την προϋπόθεση ότι οι περιορισμοί προβλέπονται από τον νόμο, σέβονται το βασικό περιεχόμενο (πυρήνα) των θεμελιωδών δικαιωμάτων και, τηρουμένης της αρχής της αναλογικότητας, είναι αναγκαίοι για την εξυπηρέτηση σκοπών γενικού συμφέροντος ή για την προστασία των δικαιωμάτων και ελευθεριών των τρίτων. Η ως άνω, εξ άλλου, επιφύλαξη υπέρ του νόμου σε ό,τι αφορά τους νόμιμους περιορισμούς του δικαιώματος στην προστασία των δεδομένων προσωπικού χαρακτήρα ενεργοποιείται με τις διατάξεις του άρθρου 6 του ΓΚΠΔ. Οι διατάξεις του άρθρου αυτού, σε συνδυασμό με τις ειδικότερες ρυθμίσεις του δικαίου της Ένωσης και του δικαίου των κρατών μελών, καθορίζουν κατά τρόπο εξαντλητικό τις περιπτώσεις επιτρεπτής επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (βλ. Vyriausioji tarnybinės etikos komisija, σκέψεις 67 και 70, και αποφάσεις Δ.Ε.Ε. της 22.11.2022, Luxembourg Business Registers, C-37/20 και C-601/20, σκέψεις 46 και 47, της 22.6.2021, Latvijas Republikas Saeima (Βαθμοί ποινής), C-439/19, σκέψεις 99 και 105, και της 24.9.2019, GC κ.λπ. (Διαγραφή συνδέσμων προς ευαίσθητα δεδομένα), C-136/17, σκέψεις 57 και 58).

16. Επειδή, όπως ειδικότερα προκύπτει από τη νομολογία του Δ.Ε.Ε., η οποία λαμβάνεται υπόψη κατά την ερμηνεία του ΓΚΠΔ και σε περιπτώσεις που έχει διατυπωθεί βάσει ταυτόσημων διατάξεων της καταργηθείσης οδηγίας 95/46 (βλ. M.I.C.M., σκέψη 107, κ.ά.), η εγκαθίδρυση και η λειτουργία της εσωτερικής αγοράς μπορούν να θιγούν σοβαρά από τις διαφορές των εθνικών καθεστώτων για την επεξεργασία δεδομένων προσωπικού χαρακτήρα (αιτιολογική σκέψη αρ. 9 του ΓΚΠΔ). Ως εκ τούτου, κύρια επιδίωξη τόσο της ως άνω οδηγίας 95/46 (αιτιολογική σκέψη αρ. 8), όσο και του ΓΚΠΔ (αιτιολογική σκέψη αρ. 10) αποτέλεσε το επίπεδο προστασίας των δικαιωμάτων και ελευθεριών των προσώπων να καταστεί ισοδύναμο σε όλα τα κράτη μέλη. Για τον λόγο αυτόν, η εναρμόνιση των εθνικών νομοθεσιών, η οποία επιδιώχθηκε εξ αρχής με την ανωτέρω οδηγία, δεν περιορίσθηκε σε ένα ελάχιστο επίπεδο, αλλά ήταν πλήρης, εξ ου και ο εξαντλητικός (όχι ενδεικτικός) χαρακτήρας του καταλόγου των περιπτώσεων επεξεργασίας δεδομένων προσωπικού χαρακτήρα, οι οποίες θεωρούνται σύννομες κατά το άρθρο 6 του ΓΚΠΔ (αντίστοιχο το άρθρο 7 της οδηγίας 95/46). Συνεπώς, τα κράτη μέλη δεν μπορούν να προσθέτουν νέες αρχές σχετικά με τη νομιμοποίηση επεξεργασιών δεδομένων προσωπικού χαρακτήρα στο άρθρο 6 του ΓΚΠΔ ούτε να προβλέπουν πρόσθετες απαιτήσεις, οι οποίες τροποποιούν το περιεχόμενο οποιασδήποτε εκ των έξι αρχών (νομικών βάσεων σύννομης επεξεργασίας) που προβλέπει το εν λόγω άρθρο. Η δέσμευση εξ άλλου αυτή των κρατών μελών δεν αναιρείται εκ του ότι, σύμφωνα με τις διατάξεις των άρθρων 5 παρ. 1 στοιχ. α΄ και β΄ και 6 παρ. 2 και 3 του ΓΚΠΔ (όπως και με το άρθρο 5 της οδηγίας 95/46), τα κράτη μέλη έχουν την αρμοδιότητα να καθορίζουν, εντός των ορίων που θέτουν οι ανωτέρω διατάξεις, τις προϋποθέσεις υπό τις οποίες οι επεξεργασίες δεδομένων προσωπικού χαρακτήρα είναι σύννομες. Κατά την άσκηση της αρμοδιότητας αυτής, το περιθώριο εκτιμήσεως του εθνικού νομοθέτη οριοθετείται από τον σκοπό των ενωσιακών κανόνων για την προστασία των δεδομένων προσωπικού χαρακτήρα, δηλαδή από τη διατήρηση της αναγκαίας ισορροπίας μεταξύ της ελεύθερης κυκλοφορίας των δεδομένων και της προστασίας της ιδιωτικής ζωής. Εντός του περιθωρίου αυτού εκτιμήσεως, ο εθνικός νομοθέτης μπορεί να εξειδικεύει το περιεχόμενο των αρχών (νομικών βάσεων) επεξεργασίας του άρθρου 6 του ΓΚΠΔ, ώστε να διασφαλίζεται τόσο η προστασία των δεδομένων προσωπικού χαρακτήρα, όσο και η εξυπηρέτηση σκοπών δημοσίου συμφέροντος, αλλά και η άσκηση των θεμελιωδών δικαιωμάτων και ελευθεριών τρίτων (βλ. αποφάσεις Δ.Ε.Ε. της 16.10.2016, Breyer, C-582/14, σκέψεις 56-59, της 24.11.2011, ASNEF και FECEMD, C-468/10 και C-469/10, σκέψεις 27 επ. και ιδίως 32-36, και της 6.11.2003, Lindquist, C-101/01, σκέψη 97). Οι ανωτέρω ερμηνευτικές αρχές, διατυπωθείσες υπό την ισχύ της οδηγίας 95/46, πρέπει να συνδυασθούν με τη συστηματική ερμηνεία των ισχυουσών διατάξεων του άρθρου 6 παρ. 1 στοιχ. ε΄ και στ΄, παρ. 2 και παρ. 3 του ΓΚΠΔ. Από τον συνδυασμό αυτό συνάγεται ότι εθνική νομοθετική ρύθμιση, η οποία, για περιπτώσεις επεξεργασίας υπαγόμενες στο ως άνω στοιχείο ε΄ (εκπλήρωση καθήκοντος προς το δημόσιο συμφέρον κ.λπ.), καθορίζει, μεταξύ άλλων, τις γενικές προϋποθέσεις σύννομης επεξεργασίας, τα είδη των δεδομένων που υποβάλλονται σε επεξεργασία, τις οντότητες (φορείς ή φυσικά πρόσωπα) στις οποίες μπορούν να κοινοποιούνται τα δεδομένα προσωπικού χαρακτήρα και τους σκοπούς αυτής της κοινοποιήσεως, αποτελεί ρύθμιση, η οποία προσδιορίζει, κατά τρόπο συμβατό με τις προεκτεθείσες ερμηνευτικές αρχές, και το περιεχόμενο του κατά το στοιχείο στ΄ της παρ. 1 του άρθρου 6 του ΓΚΠΔ «εννόμου συμφέροντος» όσων δικαιούνται να λάβουν τα δεδομένα που έχουν αρχικώς συλλεγεί για λόγους δημοσίου συμφέροντος. Με αυτόν τον προσδιορισμό, ο οποίος λαμβάνει χώρα εντός της περιπτωσιολογίας του άρθρου 6 του ΓΚΠΔ, όλες οι πράξεις επεξεργασίας που εντάσσονται στο πλαίσιο που καθορίσθηκε από τον νομοθέτη καθίστανται σαφείς και προβλέψιμες, ώστε να ανταποκρίνονται και στις θεμιτές προσδοκίες των υποκειμένων των δεδομένων κατά την αιτιολογική σκέψη 47 του ΓΚΠΔ και να εναρμονίζονται τα τυχόν συγκρουόμενα δικαιώματα και συμφέροντα.

17. Επειδή, εν προκειμένω, όπως προκύπτει από τις μνημονευθείσες διατάξεις της εκλογικής νομοθεσίας, ο νομοθέτης προέβη σε μια κατ’ αρχήν εξισορρόπηση των δικαιωμάτων και συμφερόντων αφενός των υποκειμένων των δεδομένων που περιλαμβάνονται στους εκλογικούς καταλόγους και αφετέρου των συμμετεχόντων στις εκλογικές διαδικασίες πολιτικών φορέων και προσώπων. Η εν λόγω εξισορρόπηση έγινε με την πρόβλεψη της χορηγήσεως στους ως άνω φορείς και πρόσωπα αντιτύπων των εκλογικών καταλόγων υπό συγκεκριμένους όρους, αφορώντες, μεταξύ άλλων, τα είδη των δεδομένων που περιλαμβάνονται στα χορηγούμενα αντίτυπα και μπορούν να τύχουν επεξεργασίας, τον χρόνο εντός του οποίου μπορεί να λάβει χώρα η επεξεργασία και τον τρόπο διακινήσεως των εκλογικών καταλόγων προς τους δικαιούχους. Συνεπώς, η ικανοποίηση των εννόμων συμφερόντων των ως άνω πολιτικών φορέων και προσώπων σε ό,τι αφορά την αναγκαία πολιτική επικοινωνία με τους εκλογείς προϋποθέτει την τήρηση των περιορισμών στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που επέβαλε, κατά τα προεκτεθέντα, η εκλογική νομοθεσία. Οι περιορισμοί εξ άλλου αυτοί, όσον αφορά τα προαναφερθέντα, αντίρροπα προς το δικαίωμα στην προστασία δεδομένων προσωπικού χαρακτήρα θεμελιώδη δικαιώματα τρίτων, είναι σύμφωνοι με την αρχή της αναλογικότητας, λαμβανομένου ιδίως υπόψη ότι οι κίνδυνοι καταχρήσεων κατά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, κατά τα διδάγματα της κοινής πείρας, επιτείνονται, όταν τα δεδομένα διακινούνται, όπως εν προκειμένω, κατά τρόπο μαζικό και με μηχανισμούς αυτοματοποιημένης επεξεργασίας (πρβλ. Vyriausioji tarnybinės etikos komisija, σκέψεις 99 και 104, και Luxembourg Business Registers, σκέψη 43). Συνεπώς, η ΑΠΔΠΧ νομίμως θεώρησε ότι η αιτούσα παραβίασε τον ΓΚΠΔ, εφόσον χρησιμοποίησε, χωρίς να έχει δικαίωμα κατά τις ως άνω διατάξεις της εκλογικής νομοθεσίας, τους ειδικούς εκλογικούς καταλόγους εξωτερικού, με συνέπεια η συγκεκριμένη επεξεργασία δεδομένων προσωπικού χαρακτήρα να μη μπορεί να βρει νόμιμο έρεισμα στη διάταξη του άρθρου 6 παρ. 1 στοιχείο στ΄ του ΓΚΠΔ. Υπό τις περιστάσεις εξ άλλου που, κατά τα εκτεθέντα στο ιστορικό, η ανωτέρω παραβίαση έλαβε χώρα στην προκειμένη περίπτωση, δεν ανακύπτει ζήτημα ειδικότερης σταθμίσεως μεταξύ των συμφερόντων της αιτούσας, ως υπευθύνου επεξεργασίας, και των συμφερόντων των υποκειμένων των δεδομένων προσωπικού χαρακτήρα. Και τούτο διότι, αν και μια τέτοια στάθμιση δεν θα μπορούσε να αποκλεισθεί υπό όλως εξαιρετικές περιστάσεις, οι οποίες θα ήταν δυνατό να δικαιολογήσουν ορισμένη επεξεργασία, ακόμη και χωρίς να τηρούνται οι όροι της νομιμότητας (λ.χ. υπό περιστάσεις που θα μπορούσαν να αξιολογηθούν ως «ουσιαστικοί λόγοι δημοσίου συμφέροντος» κατ’ άρθρο 9 παρ. 2 περ. ζ΄ του ΓΚΠΔ), τέτοιες πάντως περιστάσεις δεν συνέτρεξαν εν προκειμένω (πρβλ. GC, σκέψεις 66 και 75-77). Πρέπει, συνεπώς, να απορριφθεί ως αβάσιμος ο λόγος ακυρώσεως, με τον οποίο προβάλλεται ότι η ΑΠΔΠΧ έκρινε την υπόθεση με μη νόμιμη και πλημμελή αιτιολογία, διότι παρέλειψε να προβεί στην απαιτούμενη στάθμιση συμφερόντων μεταξύ φορέων αντίρροπων δικαιωμάτων, δηλαδή α) του κατ’ άρθρο 9Α του Συντάγματος δικαιώματος στην προστασία προσωπικών δεδομένων και β) άλλων θεμελιωδών δικαιωμάτων, ιδίως δε του δικαιώματος στην ελεύθερη έκφραση και πληροφόρηση, το οποίο επικαλείται η αιτούσα με αναφορά σε σειρά διατάξεων αυξημένης τυπικής ισχύος (άρθρα 5 παρ. 1, 5Α, 9Α, 11, 14 παρ. 1, 29 και 52 του Συντάγματος, 11 του ΧΘΔΕΕ και 10 της ΕΣΔΑ).

18. Επειδή, όπως προκύπτει από τις διατάξεις του άρθρου 14 παρ. 1, 2 και 3 του ΓΚΠΔ, όταν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας οφείλει να παρέχει στο υποκείμενο σειρά πληροφοριών. Σε αυτές περιλαμβάνονται, μεταξύ άλλων, πληροφορίες σχετικές με τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και τη νομική βάση επεξεργασίας, με τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, με τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ή τρίτο (όταν η επεξεργασία βασίζεται στο άρθρο 6 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ), καθώς και με την πηγή προελεύσεως των δεδομένων. Οι ως άνω, εξ άλλου, πληροφορίες πρέπει να παρέχονται από τον υπεύθυνο επεξεργασίας εντός ορισμένων προθεσμιών. Ειδικότερα, ο υπεύθυνος επεξεργασίας οφείλει να παράσχει τις πληροφορίες εντός εύλογης προθεσμίας από τη συλλογή των δεδομένων, αλλά το αργότερο εντός μηνός, λαμβανομένων υπόψη των ειδικών συνθηκών υπό τις οποίες τα προσωπικά δεδομένα υποβάλλονται σε επεξεργασία, ή, εάν τα δεδομένα προσωπικού χαρακτήρα πρόκειται να χρησιμοποιηθούν για επικοινωνία με το υποκείμενο των δεδομένων, το αργότερο κατά την πρώτη επικοινωνία με αυτό. Η κατά τις ανωτέρω διατάξεις υποχρέωση του υπευθύνου επεξεργασίας να παράσχει εντός των οριζομένων προθεσμιών στα υποκείμενα των δεδομένων τις καθοριζόμενες από τον ΓΚΠΔ πληροφορίες αποτελεί θεμελιώδη υποχρέωση, απορρέουσα από την αρχή της διαφάνειας, η οποία διέπει την επεξεργασία δεδομένων προσωπικού χαρακτήρα σύμφωνα με το άρθρο 5 παρ. 1 στοιχ. α΄ του ΓΚΠΔ. Ως εκ τούτου, η παραβίαση της ως άνω υποχρεώσεως δεν είναι δυνατό να καλυφθεί με ενέργειες ή δηλώσεις του υπευθύνου επεξεργασίας, επιχειρούμενες εκτός των οριζομένων προθεσμιών. Συνεπώς, ο λόγος ακυρώσεως, με τον οποίο προβάλλεται ότι μη νομίμως έγινε δεκτό με την προσβαλλόμενη απόφαση της ΑΠΔΠΧ ότι η αιτούσα δεν παρέσχε πλήρη ενημέρωση στα υποκείμενα των δεδομένων για την επίμαχη επεξεργασία, διότι η αρχική «τυπική» παράλειψή της να αναφέρει, κατά το άρθρο 14 του ΓΚΠΔ, την πηγή συλλογής των δεδομένων καλύφθηκε από την επιγενόμενη και άμεση ενημέρωση κάθε ενδιαφερομένου από την ίδια, αλλά και από σχετικές δημόσιες δηλώσεις της, είναι απορριπτέος ως αβάσιμος.

19. Επειδή, η αιτούσα ελέγχθηκε από την ΑΠΔΠΧ και της επιβλήθηκε διοικητική κύρωση για συγκεκριμένες πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα, οι οποίες συνίστανται (i) στη χωρίς νόμιμο δικαίωμα συλλογή προσωπικών δεδομένων των εκλογέων εξωτερικού με μορφή ηλεκτρονικού αρχείου που της διαβιβάσθηκε μέσω «WhatsApp» από τον Ν.Θ., (ii) στη δημιουργία νέου αρχείου προς μεταφόρτωση στην πλατφόρμα «MailChimp» και (iii) στη χρήση των διευθύνσεων ηλεκτρονικού ταχυδρομείου των αποδήμων εκλογέων για την αποστολή ηλεκτρονικού μηνύματος πολιτικής επικοινωνίας. Εξ άλλου, τόσο οι ως άνω πράξεις επεξεργασίας, όσο και ο χαρακτηρισμός της Α.Μ.Α. γι’ αυτές ως «υπευθύνου επεξεργασίας», δεν αμφισβητούνται ειδικότερα με την κρινόμενη αίτηση, η ευθύνη δε που αποδόθηκε στην αιτούσα για τις ανωτέρω πράξεις επεξεργασίας είναι αυτοτελής και ανεξάρτητη τόσο από την απώτερη προέλευση του επίμαχου εκλογικού καταλόγου, όσο και από την τυχόν ευθύνη για συναφείς πράξεις επεξεργασίας ή άλλες παραβάσεις του ΓΚΠΔ, ως προς τις οποίες η ΑΠΔΠΧ εξέτασε, κατά τη διεξαγωγή της ίδιας διαδικασίας, αν συντρέχει περίπτωση επιβολής κυρώσεων σε άλλα πρόσωπα (Α.Κ., Μ.Σ., Ν.Θ.) ή φορείς (...). Όσον αφορά, περαιτέρω, την παράβαση του άρθρου 14 του ΓΚΠΔ, η ευθύνη που αποδόθηκε στην αιτούσα στηρίζεται στο ότι παρέλειψε να παράσχει τις προβλεπόμενες από τις διατάξεις του ανωτέρω άρθρου πληροφορίες στα υποκείμενα των δεδομένων. Για τη στοιχειοθέτηση της εν λόγω παραβάσεως δεν ασκεί επιρροή αν η αιτούσα τελούσε, όπως ισχυρίζεται, σε «συγγνωστή πλάνη» ως προς την αληθή πηγή προελεύσεως των επίμαχων δεδομένων. Και τούτο διότι – ανεξαρτήτως του ότι η παροχή πληροφοριών αναφορικώς με την πηγή προελεύσεως των δεδομένων αναφέρεται μόνο σε ένα από τα περισσότερα αντικείμενα που πρέπει αυτές να καλύπτουν – πάντως η σχετική υποχρέωση (παροχής πληροφοριών) αφορούσε κατ’ αρχήν την πηγή προελεύσεως των δεδομένων, όπως και στον βαθμό που ήταν γνωστή στην αιτούσα κατά τον χρόνο της συλλογής τους από την ίδια. Ζήτημα, συνεπώς, «συγγνωστής» ή μη πλάνης ως προς την πραγματική απώτερη προέλευση των δεδομένων θα μπορούσε, ενδεχομένως, να τεθεί μόνο αν η αιτούσα είχε εκπληρώσει την προαναφερθείσα βασική υποχρέωσή της. Υπό τις περιστάσεις αυτές, παρίστανται προεχόντως αλυσιτελείς οι ισχυρισμοί της αιτούσας, με τους οποίους προβάλλει ότι, σε περίπτωση που δεν αναβαλλόταν η κρίση της ΑΠΔΠΧ για τους λοιπούς εμπλεκομένους στην υπόθεση, η ίδια θα μπορούσε να επικαλεσθεί περαιτέρω στοιχεία σχετικά με την προέλευση του επίμαχου εκλογικού καταλόγου και τη «συγγνωστή πλάνη» της ως προς την προέλευση αυτή. Όπως εξ άλλου προκύπτει από τα στοιχεία του φακέλου, η αιτούσα κλήθηκε από την ΑΠΔΠΧ σε ταυτόχρονη προφορική ακρόαση, στις 29.4.2024, με τους λοιπούς εμπλεκομένους στην υπόθεση και έλαβε προδήλως γνώση όσων αυτοί εξέθεσαν. Άλλωστε ούτε από τα στοιχεία του φακέλου προκύπτει ούτε προβάλλεται ειδικότερα ότι από τα υπομνήματα που κατέθεσαν οι ανωτέρω μετά τη διενεργηθείσα ακρόαση, τα οποία χορηγήθηκαν στην αιτούσα μετά την έκδοση της προσβαλλόμενης αποφάσεως, προέκυψαν κρίσιμα στοιχεία, τα οποία είτε άσκησαν επιρροή στη θεμελίωση της ευθύνης της είτε μπορούσαν να επηρεάσουν ουσιωδώς την κρίση της Αρχής προς διαφορετική κατεύθυνση σε σχέση με τις παραβάσεις που της αποδόθηκαν (πρβλ. ΣτΕ 493/2022, 4447/2012 Ολομ.). Κατ’ ακολουθίαν των ανωτέρω, κατά το μέρος που η ΑΠΔΠΧ ανέβαλε με την προσβαλλόμενη απόφαση τη λήψη οριστικής αποφάσεως για άλλα φυσικά ή νομικά πρόσωπα (Μ.Σ., Ν.Θ., ...), δεν προσέβαλε τα δικαιώματα υπερασπίσεως της αιτούσας ούτε, εξ άλλου, υφίσταται αυτοτελής ουσιώδης τύπος της διαδικασίας κατά τον Κώδικα Διοικητικής Διαδικασίας (ν. 2690/1999, Α΄ 45) ή τον Κανονισμό Ακροάσεων της ΑΠΔΠΧ (απόφαση 9/10.2.2022 της ΑΠΔΠΧ, Β΄ 879) ή και κατά τις γενικές αρχές του δικαίου, ο οποίος θα επέβαλλε στην Αρχή την από κοινού διεξαγωγή της υποθέσεως για όλους τους εμπλεκομένους. Συνεπώς, ο λόγος ακυρώσεως με τον οποίο προβάλλονται τα αντίθετα είναι απορριπτέος ως αβάσιμος.

20. Επειδή, όπως προκύπτει από την προσβαλλόμενη απόφαση, τα δεδομένα και οι περιστάσεις που ελήφθησαν υπόψη από την ΑΠΔΠΧ για την επιμέτρηση του προστίμου που επιβλήθηκε στην αιτούσα ανταποκρίνονται στα κριτήρια του άρθρου 83 παρ. 2 του ΓΚΠΔ και ιδίως στα κριτήρια που παρατίθενται στα στοιχεία α΄, β΄ και ζ΄ της παραγράφου αυτής και αφορούν τη φύση, τη βαρύτητα και τη διάρκεια της παραβάσεως, τη φύση, την έκταση και τον σκοπό της επεξεργασίας, τον αριθμό των υποκειμένων των δικαιωμάτων που έθιξε η παράβαση και τον βαθμό ζημίας που αυτά υπέστησαν, τον δόλο ή την αμέλεια που προκάλεσε την παράβαση, καθώς και τις κατηγορίες δεδομένων που επηρεάσθηκαν από αυτήν. Το γεγονός ότι η ΑΠΔΠΧ έλαβε υπόψη, όπως όφειλε, και ελαφρυντικές για την αιτούσα περιστάσεις δεν καθιστά αντιφατική την αιτιολογία της επιμετρήσεως του προστίμου, ενώ το γεγονός ότι η αιτούσα δεν έχει πλέον την ιδιότητα πολιτικού δεν αναιρεί, όπως ισχυρίζεται, την προληπτική λειτουργία του προστίμου σε σχέση με τον αποτελεσματικό και αποτρεπτικό του χαρακτήρα. Το ύψος, περαιτέρω, του προστίμου καθορίσθηκε στο ποσό των 40.000 ευρώ, αφού ελήφθη υπόψη ότι α) οι παραβάσεις που αποδόθηκαν στην αιτούσα αφορούσαν πολύ μεγάλο αριθμό προσώπων (το σύνολο των απόδημων εκλογέων), β) προκλήθηκε ευλόγως αναστάτωση και ανησυχία στα υποκείμενα των δεδομένων, καθώς και γ) οι διαπιστωθείσες παραβάσεις ανάγονται σε παραβίαση βασικών αρχών της επεξεργασίας δεδομένων προσωπικού χαρακτήρα (των αρχών της νομιμότητας και διαφάνειας της επεξεργασίας). Οι διοικητικές, εξ άλλου, κυρώσεις επιβάλλονται σε κάθε ατομική περίπτωση αυτοτελώς και δεν καταλείπεται πεδίο συγκρίσεως μεταξύ κυρώσεων που επιβλήθηκαν σε άλλες περιπτώσεις. Συνεπεία των ανωτέρω, το ύψος του επιβληθέντος προστίμου (40.000 ευρώ), το οποίο τείνει, σε κάθε περίπτωση, προς το κατώτατο επίπεδο του προβλεπομένου (άρθρο 83 παρ. 5 ΓΚΠΔ), με ανώτατο όριο τα 20.000.000 ευρώ, αιτιολογείται νομίμως και επαρκώς και δεν υπερβαίνει το κατά την αρχή της αναλογικότητας αναγκαίο μέτρο, όσα δε περί του αντιθέτου προβάλλονται με την κρινόμενη αίτηση είναι απορριπτέα ως αβάσιμα.

21. Επειδή, κατόπιν των ανωτέρω, η αίτηση πρέπει να απορριφθεί και να γίνουν δεκτές οι ασκηθείσες παρεμβάσεις.

 

Δια ταύτα

Απορρίπτει την αίτηση.

Δέχεται τις παρεμβάσεις.

Διατάσσει την κατάπτωση του παραβόλου.

Επιβάλλει στην αιτούσα τη δικαστική δαπάνη της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, η οποία ανέρχεται σε τετρακόσια εξήντα (460) ευρώ.

Επιβάλλει στην αιτούσα τη δικαστική δαπάνη των παρεμβαινόντων, η οποία ανέρχεται, για κάθε παρεμβαίνοντα, σε πεντακόσια σαράντα (540) ευρώ.

Η διάσκεψη έγινε στην Αθήνα στις 21 Φεβρουαρίου 2025 και η απόφαση δημοσιεύθηκε σε δημόσια συνεδρίαση της 15ης Απριλίου 2025.