
ΣτΕ (Δ') 150/17 : Αρχή προστασίας δεδομένων προσωπικού χαρακτήρα – Επεξεργασία δεδομένων διεύθυνσης κατοικίας από εταιρία – Επιμέτρηση προστίμου. Αίτηση ακυρώσεως. Στο σώμα των αποφάσεων των συλλογικών διοικητικών οργάνων, όπως η ανεξάρτητη Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), δεν απαιτείται να αναφέρονται τα ονόματα και η γνώμη των μελών που μειοψήφησαν. Με νόμιμη αιτιολογία η ΑΠΔΠΧ έκρινε ότι η αιτούσα εταιρεία προέβη σε επεξεργασία των δεδομένων που αφορούσαν τη διεύθυνση κατοικίας του Λ.Φ. και διαβίβαση αυτών στην πρώην σύζυγό του, για τη δε στοιχειοθέτηση της παράβασης δεν απαιτείται η επέλευση βλάβης του υποκειμένου των δεδομένων. Το γεγονός ότι η πρώην σύζυγος του Λ.Φ., ενδεχομένως θα είχε δικαίωμα να λάβει γνώση των περιουσιακών στοιχείων του κατόπιν αιτήματός της ή εισαγγελικής παραγγελίας, δεν αναιρεί την τέλεση της παράβασης, διότι, πάντως, τέτοιο αίτημα δεν υπήρξε. Νομίμως αιτιολογημένη η επιμέτρηση του επίδικου προστίμου κατ' επίκληση της βαρύτητας της παράβασης, χωρίς να απαιτείται εκ του νόμου περαιτέρω εξειδίκευσή της, το δε επιλεγέν πρόστιμο ευρίσκεται εγγύς προς το κατώτερο όριο του δυναμένου να επιβληθεί και επομένως δεν παρίσταται δυσανάλογο. Απορρίπτει την αίτηση ακύρωσης.
ΣΥΜΒΟΥΛΙΟ ΤΗΣ ΕΠΙΚΡΑΤΕΙΑΣ
ΤΜΗΜΑ Δ΄
ΑΠΟΦΑΣΗ 150/2017
Συνεδρίασε δημόσια στο ακροατήριό του στις 20 Ιανουαρίου 2015, με την εξής σύνθεση: Δημοσθένης Π. Πετρούλιας, Αντιπρόεδρος, Πρόεδρος του Δ΄ Τμήματος, Ηλ. Μάζος, Β. Κίντζιου, Σύμβουλοι, Μ. Σωτηροπούλου, Μ. Αθανασοπούλου, Πάρεδροι. Γραμματέας η Ι. Παπαχαραλάμπους.
Για να δικάσει την από 10ης Σεπτεμβρίου 2012 αίτηση:
της ανώνυμης εταιρείας με την επωνυμία …, η οποία παρέστη με τη δικηγόρο ΚΜ (Α.Μ....), που τη διόρισε με πληρεξούσιο,
κατά της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, που εδρεύει στην Αθήνα (Λ. Κηφισίας 1-3), η οποία δεν παρέστη.
Με την αίτηση αυτή η αιτούσα εταιρεία επιδιώκει να ακυρωθεί η υπ' αριθ. 104/2012 απόφαση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.
Η εκδίκαση άρχισε με την ανάγνωση της εκθέσεως της εισηγήτριας, Παρέδρου M. Σωτηροπούλου.
Κατόπιν το δικαστήριο άκουσε την πληρεξουσία της αιτούσας εταιρείας, η οποία ανέπτυξε και προφορικά τους προβαλλόμενους λόγους ακυρώσεως και ζήτησε να γίνει δεκτή η αίτηση.
Μετά τη δημόσια συνεδρίαση το δικαστήριο συνήλθε σε διάσκεψη σε αίθουσα του δικαστηρίου και
Αφού μελέτησε τα σχετικά έγγραφα
Σκέφθηκε κατά τον Νόμο
1. Επειδή, για την άσκηση της κρινόμενης αίτησης έχει καταβληθεί το παράβολο (έντυπα παραβόλου 3370660, 1270051/2012).
2. Επειδή, με την κρινόμενη αίτηση ζητείται η ακύρωση της πράξης 104/8.6.2012 της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, με την οποία επεβλήθη στην εταιρεία «…» πρόστιμο ύψους 5.000 ευρώ.
3. Επειδή, πριν από την έκδοση της προσβαλλόμενης πράξης, η επωνυμία της εταιρείας, εις βάρος της οποίας είχε επιβληθεί το πρόστιμο, μεταβλήθηκε σε «…» (ΦΕΚ 12520/25.11.2011, τεύχος Α.Ε. και Ε.Π.Ε.), η οποία παραδεκτώς ασκεί την κρινόμενη αίτηση. Περαιτέρω, η επωνυμία της εταιρείας μετεβλήθη εκ νέου σε «…» (ΦΕΚ 11150/10.11.2012, τεύχος Α.Ε. και Ε.Π.Ε.), η οποία παραδεκτώς παρέστη κατά τη συζήτηση της υπόθεσης στο ακροατήριο.
4. Επειδή, στο άρθρο 19 παρ. 2 και 3 του ν. 2472/1997 «Προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα» (Α΄ 50), ορίζεται ότι «… Οι αποφάσεις της Αρχής λαμβάνονται με πλειοψηφία τουλάχιστον τεσσάρων μελών της. Σε περίπτωση ισοψηφίας υπερισχύει η ψήφος του Προέδρου ή του αναπληρωτή του. 3. [η οποία συμπληρώθηκε με το άρθρο 34 παρ. 5 του ν. 2915/2001, Α΄ 109] Η Αρχή καταρτίζει τον κανονισμό λειτουργίας της, με τον οποίο ρυθμίζονται ιδίως η κατανομή αρμοδιοτήτων μεταξύ των μελών της, η προηγούμενη ακρόαση των ενδιαφερομένων, θέματα πειθαρχικής διαδικασίας...». Κατ' επίκληση της ανωτέρω εξουσιοδότησης του άρθρου 19 παρ. 3 του ν. 2472/1997 εκδόθηκε ο Κανονισμός Λειτουργίας της Αρχής 6/1997 (Β΄ 1095), ο οποίος ορίζει στο άρθρο 6 ότι «1. ... 6. Η Αρχή συνεδριάζει νομίμως όταν παρίστανται τέσσερα τουλάχιστον μέλη της, συμπεριλαμβανομένου του Προέδρου. 7. ... 8. … 9. Με ευθύνη του Τμήματος Διοικητικών Υποθέσεων τηρούνται στενογραφημένα ή μαγνητοφωνημένα πρακτικά όλων των συνεδριάσεων της Αρχής. ... Στα πρακτικά καταχωρίζονται τα θέματα που συζητήθηκαν, η άποψη που πλειοψήφησε και οι γνώμες των μελών που τυχόν μειοψήφησαν. ...» και στο άρθρο 7 παρ. 2 και 4 ότι «Οι αποφάσεις της Αρχής λαμβάνονται με πλειοψηφία τουλάχιστον τεσσάρων μελών της. Σε περίπτωση ισοψηφίας υπερισχύει η ψήφος του Προέδρου» και «Η ψηφοφορία είναι φανερή εκτός από περιπτώσεις αποφάσεων που αφορούν κωλύματα ή ασυμβίβαστα μελών της Αρχής, οπότε είναι μυστική. ...». Περαιτέρω, ο κυρωθείς με το άρθρο πρώτο του ν. 2690/1999 (Α΄ 45) Κώδικας Διοικητικής Διαδικασίας ορίζει στο άρθρο 1 ότι «Οι διατάξεις του Κώδικα αυτού εφαρμόζονται στο Δημόσιο, στους οργανισμούς τοπικής αυτοδιοίκησης και στα άλλα νομικά πρόσωπα δημόσιου δικαίου» και στο άρθρο 15 ότι «1. ... 4. Για τις συνεδριάσεις του συλλογικού οργάνου συντάσσεται πρακτικό, στο οποίο μνημονεύονται, ιδίως, τα ονόματα και η ιδιότητα των παρισταμένων μελών, … τα θέματα που συζητήθηκαν..., η μορφή και τα αποτελέσματα της ψηφοφορίας και οι αποφάσεις που λήφθηκαν. 5. Στο πρακτικό καταχωρίζονται οι γνώμες των μελών που μειοψήφησαν, σε περίπτωση δε φανερής ψηφοφορίας και τα ονόματα τούτων. 6. ...». Όπως έχει κριθεί (ΣτΕ Ολομ. 1662/2009), από τις διατάξεις αυτές ουδόλως προκύπτει ότι στο σώμα των αποφάσεων της Αρχής επιβάλλεται, επί ποινή ακυρότητας, να αναγράφεται αν ελήφθησαν ομοφώνως ή κατά πλειοψηφία, ούτε να καταχωρείται το περιεχόμενο των μειοψηφουσών γνωμών και τα ονόματα των μειοψηφούντων μελών, αλλά, αντιθέτως, η Αρχή υποχρεούται, σύμφωνα με την ειδική διάταξη του άρθρου 6 παρ. 9 του Κανονισμού της, σε συνδυασμό και με την διάταξη του άρθρου 15 παρ. 5 του Κώδικα Διοικητικής Διαδικασίας, να καταχωρεί στα συντασσόμενα πρακτικά συνεδριάσεων τις μειοψηφούσες γνώμες και, επί φανερών ψηφοφοριών, τα ονόματα των μειοψηφούντων μελών της.
5. Επειδή, με την κρινόμενη αίτηση προβάλλεται ότι η προσβαλλόμενη απόφαση, ληφθείσα κατά πλειοψηφία, είναι μη νόμιμη και ακυρωτέα, διότι δεν αναφέρονται στο σώμα αυτής τα ονόματα και η γνώμη των μελών που μειοψήφησαν. Ο λόγος αυτός, όπως διατυπώνεται, είναι απορριπτέος ως αβάσιμος, δοθέντος ότι, όπως έγινε δεκτό στην προηγούμενη σκέψη, τα στοιχεία αυτά δεν απαιτείται να αναφέρονται στο σώμα της προσβαλλόμενης πράξης. Απαραδέκτως δε η αιτούσα προβάλλει το πρώτον με το υπόμνημα που κατέθεσε μετά τη συζήτηση της υπόθεσης στο ακροατήριο ότι τα στοιχεία αυτά δεν αναφέρονται ούτε στα πρακτικά της συνεδρίασης της Αρχής, διότι ο ισχυρισμός αυτός συνιστά αυτοτελή λόγο ακυρώσεως, ο οποίος θα μπορούσε να προβληθεί παραδεκτώς μόνον με δικόγραφο προσθέτων λόγων.
6. Επειδή, στο άρθρο 2 του προαναφερθέντος ν. 2472/1997, όπως ίσχυε τον κρίσιμο χρόνο, ορίζονται τα εξής, ορίζονται τα εξής: «Για τους σκοπούς του παρόντος νόμου νοούνται ως: α) "Δεδομένα προσωπικού χαρακτήρα, κάθε πληροφορία που αναφέρεται στο υποκείμενο των δεδομένων. … γ) "Υποκείμενο των δεδομένων", το φυσικό πρόσωπο στο οποίο αναφέρονται τα δεδομένα και του οποίου η ταυτότητα είναι γνωστή ή μπορεί να εξακριβωθεί, δηλαδή μπορεί να προσδιορισθεί αμέσως ή εμμέσως, … δ) "Επεξεργασία δεδομένων προσωπικού χαρακτήρα" ("επεξεργασία"), κάθε εργασία ή σειρά εργασιών που πραγματοποιείται, από το Δημόσιο ή από νομικό πρόσωπο δημοσίου δικαίου ή ιδιωτικού δικαίου ή ένωση προσώπων ή φυσικό πρόσωπο με ή χωρίς τη βοήθεια αυτοματοποιημένων μεθόδων και εφαρμόζονται σε δεδομένα προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διατήρηση ή αποθήκευση, η τροποποίηση, η εξαγωγή, η χρήση, η διαβίβαση, η διάδοση ή κάθε άλλης μορφής διάθεση, η συσχέτιση ή ο συνδυασμός, η διασύνδεση, η δέσμευση (κλείδωμα), η διαγραφή, η καταστροφή. ε) "Αρχείο δεδομένων προσωπικού χαρακτήρα" ("αρχείο"), σύνολο δεδομένων προσωπικού χαρακτήρα, το οποία αποτελούν ή μπορεί να αποτελέσουν αντικείμενο επεξεργασίας, και το οποία τηρούνται είτε από το Δημόσιο ή από νομικό πρόσωπο δημοσίου δικαίου ή ιδιωτικού δικαίου ή ένωση προσώπων ή φυσικό πρόσωπο. … ζ) "Υπεύθυνος επεξεργασίας", οποιοσδήποτε καθορίζει το σκοπό και τον τρόπο επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, όπως φυσικό ή νομικό πρόσωπο, δημόσια αρχή ή υπηρεσία ή οποιοσδήποτε άλλος οργανισμός. Όταν ο σκοπός και ο τρόπος της επεξεργασίας καθορίζονται με διατάξεις νόμου ή κανονιστικές διατάξεις εθνικού ή κοινοτικού δικαίου, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια βάσει των οποίων γίνεται η επιλογή του καθορίζονται αντίστοιχα από το εθνικό ή το κοινοτικό δίκαιο. η) "Εκτελών την επεξεργασία", οποιοσδήποτε επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό υπεύθυνου επεξεργασίας, όπως φυσικό ή νομικό πρόσωπο, δημόσια αρχή ή υπηρεσία ή οποιοσδήποτε άλλος οργανισμός. …». Στο δε άρθρο 4 παρ. 1 του αυτού νόμου προβλέπονται τα εξής: «Τα δεδομένα προσωπικού χαρακτήρα για να τύχουν νόμιμης επεξεργασίας πρέπει: α) Να συλλέγονται κατά τρόπο θεμιτό και νόμιμο για καθορισμένους, σαφείς και νόμιμους σκοπούς και να υφίστανται θεμιτή και νόμιμη επεξεργασία εν όψει των σκοπών αυτών. β) … γ) Να είναι ακριβή και, εφόσον χρειάζεται, να υποβάλλονται σε ενημέρωση. δ) …». Περαιτέρω, στο άρθρο 5 του νόμου ορίζεται ότι: «1. Επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται μόνον όταν το υποκείμενο των δεδομένων έχει δώσει τη συγκατάθεσή του. 2. Κατ' εξαίρεση επιτρέπεται η επεξεργασία και χωρίς τη συγκατάθεση, όταν: α) Η επεξεργασία είναι αναγκαία για την εκτέλεση σύμβασης, στην οποία συμβαλλόμενο μέρος είναι υποκείμενο δεδομένων ή για τη λήψη μέτρων κατόπιν αιτήσεως του υποκειμένου κατά το προσυμβατικό στάδιο. β) Η επεξεργασία είναι αναγκαία για την εκπλήρωση υποχρεώσεως του υπεύθυνου επεξεργασίας, η οποία επιβάλλεται από το νόμο. γ) Η επεξεργασία είναι αναγκαία για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου, εάν αυτό τελεί σε φυσική ή νομική αδυναμία να δώσει τη συγκατάθεσή του. δ) Η επεξεργασία είναι αναγκαία για την εκτέλεση έργου δημόσιου συμφέροντος ή έργου που εμπίπτει στην άσκηση δημόσιας εξουσίας και εκτελείται από δημόσια αρχή ή έχει ανατεθεί από αυτή είτε στον υπεύθυνο επεξεργασίας είτε σε τρίτο, στον οποίο γνωστοποιούνται τα δεδομένα. ε) Η επεξεργασία είναι απολύτως αναγκαία για την ικανοποίηση του έννομου συμφέροντος που επιδιώκει ο υπεύθυνος επεξεργασίας ή ο τρίτος ή οι τρίτοι στους οποίους ανακοινώνονται τα δεδομένα και υπό τον όρο ότι τούτο υπερέχει προφανώς των δικαιωμάτων και συμφερόντων των προσώπων στα οποία αναφέρονται τα δεδομένα και δεν θίγονται οι θεμελιώδεις ελευθερίες αυτών. 3. …». Εξάλλου, στο άρθρο 10 παρ. 3 και 4 του αυτού νόμου προβλέπονται τα εξής: «Ο υπεύθυνος επεξεργασίας οφείλει να λαμβάνει τα κατάλληλα οργανωτικά και τεχνικά μέτρα για την ασφάλεια των δεδομένων και την προστασία τους από τυχαία ή αθέμιτη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευμένη διάδοση ή πρόσβαση και κάθε άλλη μορφή αθέμιτης επεξεργασίας. Αυτά τα μέτρα πρέπει να εξασφαλίζουν επίπεδο ασφάλειας ανάλογο προς τους κινδύνους που συνεπάγεται η επεξεργασία και η φύση των δεδομένων που είναι αντικείμενο της επεξεργασίας» (παρ. 3) και «Αν η επεξεργασία διεξάγεται για λογαριασμό του υπευθύνου από πρόσωπο μη εξαρτώμενο από αυτόν, η σχετική ανάθεση γίνεται υποχρεωτικά εγγράφως. Η ανάθεση προβλέπει υποχρεωτικά ότι ο ενεργών την επεξεργασία τη διεξάγει μόνο κατ' εντολήν του υπευθύνου και ότι οι λοιπές υποχρεώσεις του παρόντος άρθρου βαρύνουν αναλόγως και αυτόν» (παρ. 4). Σύμφωνα με το άρθρο 21 του νόμου, «1.
Η Αρχή επιβάλλει στους υπεύθυνους επεξεργασίας ή στους τυχόν εκπροσώπους τους τις ακόλουθες διοικητικές κυρώσεις, για παράβαση των υποχρεώσεών τους που απορρέουν από τον παρόντα νόμο και από κάθε άλλη ρύθμιση που αφορά την προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα:
α) Προειδοποίηση, … β) Πρόστιμο ποσού από τριακόσιες χιλιάδες (300.000) έως πενήντα εκατομμύρια (50.000.000) δραχμές. γ) Προσωρινή ανάκληση άδειας. δ) οριστική ανάκληση άδειας. … 2. Οι υπό στοιχεία β΄, γ΄, δ΄ και ε΄ διοικητικές κυρώσεις της προηγούμενης παραγράφου επιβάλλονται πάντοτε ύστερα από ακρόαση του υπεύθυνου επεξεργασίας ή του εκπροσώπου του. Είναι ανάλογες προς τη βαρύτητα της παράβασης που καταλογίζεται. Οι υπό στοιχεία γ΄, δ΄ και ε΄ διοικητικές κυρώσεις επιβάλλονται σε περιπτώσεις ιδιαίτερα σοβαρής ή καθ' υποτροπήν παράβασης. …».