Αθήνα, 26-01-2024
Αριθ. Πρωτ. Γ/ΕΞΕ/406
ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ
Λεωφ. Κηφισίας 1-3, 11523 Αθήνα
Τ: 210 6475 600 · E: [email protected] · www.dpa.gr
ΑΠΟΦΑΣΗ 48/2023 (Τμήμα)
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε σε σύνθεση Τμήματος μετά από πρόσκληση του Προέδρου της μέσω τηλεδιάσκεψης την Τετάρτη 8 Νοεμβρίου 2023 προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Αναπληρωτής Πρόεδρος της Αρχής, Γεώργιος Μπατζαλέξης, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, και τα αναπληρωματικά μέλη της Αρχής, Δημοσθένης Βουγιούκας και Μαρία Ψάλλα, σε αντικατάσταση των τακτικών Μελών Κωνσταντίνου Λαμπρινουδάκη και Γρηγορίου Τσόλια, οι οποίοι αν και εκλήθησαν νομίμως δεν παρέστησαν λόγω κωλύματος, καθώς και ο Γεώργιος Κόντης, αναπληρωματικό μέλος, ως εισηγητής. Παρούσες χωρίς δικαίωμα ψήφου ήταν η Αναστασία Τριτάκη, ειδική επιστήμονας- νομικός, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας.
Η Αρχή έλαβε υπόψη της τα κάτωθι: Με τη με αρ. πρωτ. Γ/ΕΙΣ/……/……2022 καταγγελία, ο Α, καταγγέλλει ενώπιον της Αρχής, ότι ο Β, προέβη σε παράνομη επεξεργασία προσωπικών δεδομένων του. Συγκεκριμένα, ο Α (εφεξής καταγγέλλων) αναφέρει ότι ο ίδιος τυγχάνει κάτοικος εξωτερικού και ότι κατόπιν του θανάτου του πατρός του, Γ, με τον οποίον δε διατηρούσαν επαφές, κατά την αναζήτηση φορολογικών υποχρεώσεών του θανόντος, πληροφορήθηκε από τη Δ.Ο.Υ. … Αθηνών ότι υπεβλήθη την 1-10-2021, ήτοι μετά το θάνατο του πατρός του, η με αρ. πρωτ. δήλωση εισοδήματος (Ε1) για το έτος 2020 μέσω e-mail από το Β (εφεξής καθ’ ου).
Ο καταγγέλλων ισχυρίζεται ότι η ως άνω δήλωση υπεβλήθη χωρίς ουδέποτε να έχει παράσχει ο ίδιος σχετική εντολή, ενώ ο καθ’ ου την υπέβαλε εξ ονόματός του, χρησιμοποιώντας τα προσωπικά στοιχεία του, ήτοι ονοματεπώνυμο και ΑΦΜ, ορίζοντας αυτόν ως φορολογικό εκπρόσωπο του θανόντος. Περαιτέρω, ο καταγγέλλων επισημαίνει ότι για τα ως άνω δεν υπήρξε προηγούμενη συναίνεση ή ενημέρωση του, καθώς ενημερώθηκε το πρώτον σχετικώς την 17-02-2022, οπότε και έλαβε αντίγραφο της επίμαχης δήλωσης από τη Δ.Ο.Υ. … Αθηνών, κατόπιν της με αρ. πρωτ. αίτησής του. Εν συνεχεία, ο καταγγέλλων απέστειλε διά του δικηγόρου του την 20-4-2022 e-mail προς τον καθ’ου, προκειμένου να ενημερωθεί αναφορικά με τον τρόπο με τον οποίο περιήλθαν σε γνώση του τα προσωπικά στοιχεία του καταγγέλλοντος, χωρίς ωστόσο να λάβει απάντηση.
Η Αρχή, στο πλαίσιο της εξέτασης της ανωτέρω καταγγελίας, απέστειλε προς τον καταγγέλλοντα το Γ/ΕΞ/…../……2022 έγγραφο, με αίτημα να της γνωστοποιήσει αν, στο χρονικό διάστημα που είχε μεσολαβήσει, έλαβε απάντηση από τον καθ’ ου. Σχετικώς, ο καταγγέλλων απάντησε αρνητικά με το Γ/ΕΙΣ/……/……2022 έγγραφο και κατόπιν αυτού, η Αρχή, απέστειλε προς τον καθ’ ου το Γ/ΕΞ/…../…….2022 έγγραφο, ζητώντας διευκρινίσεις αναφορικά με τα διαλαμβανόμενα με την υπό εξέταση καταγγελία.
Με τις με αρ. πρωτ. Γ/ΕΙΣ/……/……2022 και Γ/ΕΙΣ/……/…….2022 απαντήσεις του προς την Αρχή, ο καθ’ ου υποστήριξε μεταξύ άλλων ότι τυγχάνει λογιστής εξ επαγγέλματος και ότι προ 15ετίας, ο θανών Γ, τού είχε αναθέσει την κατάρτιση και υποβολή των δηλώσεων (Ε1) εισοδήματός του. Στο πλαίσιο και προς εκπλήρωση της ως άνω εντολής κατήρτισε και υπέβαλε την 1-10-2021, ήτοι μετά το θάνατο του εντολέα του τη δήλωση εισοδήματος του για το έτος 2020, προκειμένου, όπως ο εντολέας του του είχε δηλώσει, να μην επιβαρυνθεί ο υιός του. Περαιτέρω, ο καθ’ ου δήλωσε πως επειδή ήταν απαραίτητο να καταχωρισθεί το ονοματεπώνυμο και το ΑΦΜ ορισμένου εν ζωή συγγενούς του θανόντος εντολέα του ως εκπροσώπου του, καταχώρισε τα ως άνω στοιχεία του καταγγέλλοντος, καθώς, εξ όσων γνώριζε, ο καταγγέλλων τύγχανε ο πλησιέστερος συγγενής του εντολέα του κατά το χρόνο του θανάτου του, ενώ τα ως άνω στοιχεία είχαν περιέλθει σε γνώση του από τον εντολέα του όσο ζούσε. Ο καθ’ ου δήλωσε ακόμα ότι δεν ηδύνατο να επικοινωνήσει με τον καταγγέλλοντα κατά το χρόνο υποβολής της επίμαχης δήλωσης εισοδήματος, καθώς ο τελευταίος διέμενε στο εξωτερικό και δε διέθετε τρόπο επικοινωνίας μαζί του. Τέλος, επεσήμανε ότι τα επίμαχα προσωπικά στοιχεία του καταγγέλλοντος, ήτοι το ονοματεπώνυμο και το ΑΦΜ του, κοινοποιήθηκαν αποκλειστικά στη Δ.Ο.Υ., υπηρεσία στην οποία τύγχαναν ήδη γνωστά, και δεν κοινοποιήθηκαν σε οιονδήποτε άλλο από τον ίδιο.
Την 24-6-2022, ο καθ’ ου κοινοποίησε τη με αρ. πρωτ. Γ/ΕΙΣ/……/…….2022 απάντησή του προς την Αρχή και προς τον καταγγέλλοντα (βλ. το με αρ. πρωτ. Γ/ΕΙΣ/……./……2022 έγγραφο). Με το με αρ. πρωτ. Γ/ΕΙΣ/……../…….2022 συμπληρωματικό υπόμνημα, ο καταγγέλλων υποστήριξε, μεταξύ άλλων, ότι με τον πατέρα του δε διατηρούσαν σχέσεις, καθώς την αποκλειστική επιμέλειά του είχε από το … η μητέρα του, ενώ ο καταγγέλλων απέκτησε ΑΦΜ μόνο μετά τη δωρεά ακινήτων από τη μητέρα του, η οποία και μόνο διαχειρίζεται τις φορολογικές υποθέσεις του. Συνεπώς, σύμφωνα με τον καταγγέλλοντα, ο θανών πατέρας του δεν ήταν γνώστης κανενός φορολογικού στοιχείου του και κατ’ επέκταση ο θανών και ο καθ’ ου δε γνώριζαν το ΑΦΜ του. Επιπροσθέτως, ο καταγγέλλων αμφισβητεί την ύπαρξη εντολής από τον πατέρα του προς τον καθ’ ου, καθώς, δεν προσκομίστηκαν σχετικά στοιχεία, ενώ προηγούμενες δηλώσεις εισοδήματος του πατέρα του δεν συνυπογράφονται από τον καθ’ ου. Σε κάθε περίπτωση, όπως επεσήμανε, η εντολή λύνεται, αν δεν ορίστηκε το αντίθετο, με το θάνατο του εντολέα. Ακόμα, στοιχείο μη νόμιμης κτήσης των προσωπικών στοιχείων του θεωρεί ο καταγγέλλων την εσφαλμένη, όπως αναφέρει, αναγραφή επί της δήλωσης εισοδήματος της διεύθυνσης κατοικίας του θανόντος.
Κατόπιν της εξέτασης των στοιχείων του φακέλου, η Αρχή απέστειλε την με αρ. πρωτ. Αρχής Γ/ΕΞ/……../……2022 κλήση προς ακρόαση στον καθ’ ου και τη με αρ. πρωτ. Αρχής Γ/ΕΞ/……./………2022 κλήση στον καταγγέλλοντα, προκειμένου να παραστούν, μέσω τηλεδιάσκεψης, σε ακρόαση ενώπιον του Τμήματος της Αρχής την Τετάρτη 14 Δεκεμβρίου 2022 και ώρα 10.30 με θέμα τη συζήτηση της ως άνω καταγγελίας.
Με e-mail του προς την Αρχή την ημέρα της συνεδρίασης, ο καθ’ ου ζήτησε την αναβολή της συζήτησης λόγω αδυναμίας παράστασης του πληρεξουσίου δικηγόρου του κατά την ως άνω συνεδρίαση. Ο Πρόεδρος του Τμήματος, αφού άκουσε και τον πληρεξούσιο δικηγόρο του καταγγέλλοντος, ο οποίος δεν αντέλεξε, έκανε δεκτό το αίτημα αναβολής και προσδιόρισε τη συζήτηση της υπόθεσης σε νέα ημερομηνία την Τετάρτη 21 Δεκεμβρίου 2022, για την οποία κλήθηκε ο καθ’ ου με την με αρ. πρωτ. Γ/ΕΞ/……./……….2022 κλήση της Αρχής.
Κατά την ως άνω συνεδρίαση, η οποία πραγματοποιήθηκε μέσω τηλεδιάσκεψης, ο καταγγέλλων παρέστη διά του πληρεξουσίου δικηγόρου του ………………. και ο καθ’ ου παρέστη αυτοπροσώπως, μετά του πληρεξουσίου δικηγόρου του …………….. Αμφότερα τα μέρη, αφού ανέπτυξαν προφορικά τις απόψεις τους, έλαβαν κατά τη συνεδρίαση αυτή προθεσμία προσκομίσεως έγγραφων υπομνημάτων, έως την 11-1-2023, προς περαιτέρω υποστήριξη των ισχυρισμών τους. Κατόπιν αυτών, ο καταγγέλλων υπέβαλε εμπροθέσμως το με αριθ. πρωτ. Γ/ΕΙΣ/…../……2023 υπόμνημα, και ο καθ’ ου υπέβαλε εμπροθέσμως το με αριθ. πρωτ. Γ/ΕΙΣ/…./……2023 υπόμνημα.
Κατά την ανωτέρω ακρόαση και με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/……/……….2023 κατόπιν της ακροάσεως υπόμνημά του, ο καταγγέλλων, ανέπτυξε περαιτέρω τους ισχυρισμούς που έθεσε και προηγουμένως ενώπιον της Αρχής και προσέθεσε, μεταξύ άλλων, ότι με την κατάθεση της φορολογικής δήλωσης από τον καθ’ ου με τη χρήση των δεδομένων του, χωρίς συναίνεση ή ενημέρωσή του, αυτός διακινδύνευσε να δημιουργηθούν άγνωστες οφειλές προς το πρόσωπό του, διοικητικές ή/ και ποινικές. Επιπλέον ο καταγγέλλων αμφισβήτησε τον ισχυρισμό του καθ’ ου περί μη εξοικείωσης με την τεχνολογία, λόγο που πρόβαλε ο καθ’ ου κατά την ακρόαση ως αιτία μη ανταπόκρισης στο από 20-4-2022 μήνυμα ηλεκτρονικής αλληλογραφίας του καταγγέλλοντος.
Κατά την ανωτέρω ακρόαση και με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/…./……..2023 κατόπιν της ακροάσεως υπόμνημά του, ο καθ’ ου ανέπτυξε περαιτέρω τους ισχυρισμούς που έθεσε και προηγουμένως ενώπιον της Αρχής και προσέθεσε, μεταξύ άλλων, ότι η δηλωθείσα διεύθυνση αφορούσε τον κληρονομούμενο και όχι τον καταγγέλλοντα, ενώ ο λόγος δήλωσης των στοιχείων του ήταν η απαίτηση των φορολογικών αρχών για δήλωση του πλησιέστερου εν ζωή συγγενούς του θανόντος ως φορολογικού αντικλήτου- εκπροσώπου. Περαιτέρω ανέφερε ότι η κοινοποίηση του ΑΦΜ του καταγγελλομένου δεν προκάλεσε καμία ζημία στον καθ’ ου, ούτε κάποια ωφέλεια στον ίδιο, ενώ τυχόν ζητήματα που αφορούν τη σύμβαση εντολής και/ή παροχής υπηρεσιών του με τον θανόντα, θα μπορούσαν να εγείρουν αστικές αξιώσεις και δεν δύνανται να θεμελιώσουν ευθύνη του λόγω παράβασης της νομοθεσίας περί προσωπικών δεδομένων
Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και όσων προέκυψαν από την ενώπιον της ακροαματική διαδικασία, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως,
ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
1) Επειδή από τις διατάξεις των άρθρων 51 και 55 του Κανονισμού 2016/679/ΕΕ (Γενικού Κανονισμού Προστασίας Δεδομένων – εφεξής ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α’ 137), προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου 4624/2019 και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ.1 στοιχ. στ) του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ) του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του Α κατά του Β, ως υπευθύνου επεξεργασίας1, καθόσον η υπό εξέταση καταγγελία αφορά σε μη αυτοματοποιημένη επεξεργασία (συλλογή και χρήση) δεδομένων προσωπικού χαρακτήρα, περιλαμβανομένων σε σύστημα αρχειοθέτησης κατά την έννοια του άρθρου 4 στοιχ. 2) και 6) ΓΚΠΔ. Επομένως πρόκειται για επεξεργασία υπαγόμενη στο ρυθμιστικό πεδίο των άρθρων 2 παρ. 1 του ΓΚΠΔ και 2 του ν. 4624/2019.
2) Επειδή σύμφωνα με τις διατάξεις του άρθρου 5 παρ. 1 του ΓΚΠΔ αναφορικά με τις αρχές που θα πρέπει να διέπουν την επεξεργασία των δεδομένων, τα δεδομένα προσωπικού χαρακτήρα θα πρέπει μεταξύ άλλων «α) να υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), (…)» Προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, ήτοι επεξεργασίας σύμφωνα προς τις απαιτήσεις του ΓΚΠΔ, θα πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ2. Επιπλέον, σύμφωνα με τις διατάξεις του άρθρου 5 παρ. 2 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του άρθρου 5. Όπως έχει κρίνει η Αρχή3, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό μέγεθος του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ.
3) Επειδή περαιτέρω, σύμφωνα με τις διατάξεις του άρθρου 6 παρ. 1 ΓΚΠΔ αναφορικά με τη νομιμότητα της επεξεργασίας: «1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης, γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας, δ) η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου, ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί. Το στοιχείο στ) του πρώτου εδαφίου δεν εφαρμόζεται στην επεξεργασία που διενεργείται από δημόσιες αρχές κατά την άσκηση των καθηκόντων τους.» Σύμφωνα δε με την αιτιολογική σκέψη 39 του ΓΚΠΔ «Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα θα πρέπει να είναι σύννομη και δίκαιη (..)», ενώ σύμφωνα με την αιτιολογική σκέψη 40 του ΓΚΠΔ «Για να είναι η επεξεργασία σύννομη, τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να υποβάλλονται σε επεξεργασία με βάση τη συγκατάθεση του ενδιαφερόμενου υποκειμένου των δεδομένων ή με άλλη βάση, προβλεπόμενη από τον νόμο, είτε στον παρόντα κανονισμό είτε σε άλλη νομοθεσία της Ένωσης ή κράτους μέλους όπως αναφέρεται στον παρόντα κανονισμό, περιλαμβανομένης της ανάγκης συμμόρφωσης προς την εκ του νόμου υποχρέωση στην οποία υπόκειται ο υπεύθυνος επεξεργασίας ή της ανάγκης να εκτελεστεί σύμβαση στην οποία το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατόπιν αίτησης του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης.»
4) Επειδή το άρθρο 15 του ΓΚΠΔ ορίζει ότι : «1. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες: (…) ζ) όταν τα δεδομένα προσωπικού χαρακτήρα δεν συλλέγονται από το υποκείμενο των δεδομένων, κάθε διαθέσιμη πληροφορία σχετικά με την προέλευσή τους, (…)», ενώ σύμφωνα με το άρθρο 12 παρ. 3-4: «Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα, η ενημέρωση παρέχεται, εάν είναι δυνατόν, με ηλεκτρονικά μέσα, εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό. 4. Εάν ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων, χωρίς καθυστέρηση και το αργότερο εντός μηνός από την παραλαβή του αιτήματος, για τους λόγους για τους οποίους δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής.»
5) Επειδή εν προκειμένω, σύμφωνα με τους ισχυρισμούς του, ο καθ’ ου έλαβε γνώση του ονοματεπωνύμου και του ΑΦΜ του καταγγέλλοντος στο πλαίσιο εντολής του θανόντος εντολέα/ πατέρα του καταγγέλλοντος προς κατάρτιση και υποβολή δήλωσης εισοδήματος και έκανε χρήση τους στο πλαίσιο αυτής, καθώς η δήλωση των στοιχείων ορισμένου εν ζωή συγγενούς του θανόντος, ως εκπροσώπου του θανόντος ήταν, κατά τους ισχυρισμούς του, υποχρεωτική για την υποβολή της δήλωσης. Σχετικώς επισημαίνεται ότι δεν προσκομίστηκε ενώπιον της Αρχής η επικαλούμενη σύμβαση εντολής, ενώ λαμβάνεται υπόψη ότι σύμφωνα με τις διατάξεις του Α.Κ. 726, η σύμβαση της εντολής λύνεται, αν δεν ορίστηκε το αντίθετο, με το θάνατο του εντολέα. Περαιτέρω, δεν προσκομίστηκε ενώπιον της Αρχής ούτε άλλου περιεχομένου σύμβαση παροχής υπηρεσιών, η οποία να τεκμηριώνει την ύπαρξη συμβατικής σχέσης του καθ’ ου με τον θανόντα εντολέα/ πατέρα του καταγγέλλοντος με περιεχόμενο την υποβολή της επίμαχης δήλωσης. Εξάλλου, σύμφωνα με το άρθρο 67 του Κώδικα Φορολογικού Εισοδήματος «Υποβολή της δήλωσης φορολογίας εισοδήματος φυσικών προσώπων και καταβολή του φόρου», παρ. 5 στοιχ. γ), όπως τροποποιηθέν ισχύει, «Υπόχρεος σε υποβολή δήλωσης είναι: (…) γ) σε περίπτωση θανάτου του φορολογουμένου, οι κληρονομοί του για τα εισοδήματα του μέχρι τη χρονολογία του θανάτου του.» Επομένως, από το σύνολο των στοιχείων του φακέλου και της ακροαματικής διαδικασίας ενώπιον της Αρχής, καθώς και εκ των υποβληθέντων υπομνημάτων, προκύπτει ότι δεν τεκμηριώθηκε επαρκώς από τον καθ’ ου η ισχύς σχετικής εντολής του θανόντος εντολέα/ πατέρα του καταγγέλλοντος κατόπιν του θανάτου του, ούτε η ύπαρξη άλλης συμβατικής σχέσης μεταξύ του τελευταίου και του καθ’ ου με περιεχόμενο την υποβολή της επίμαχης δήλωσης εισοδήματος, συμφώνως προς την αρχή της λογοδοσίας του άρθρου 5 παρ. 2 ΓΚΠΔ, ενώ εκ της παράθεσης των ως άνω διατάξεων, προκύπτει ότι ακόμη και αν ήθελε υποτεθεί ως υφιστάμενη σύμβαση με σχετικό περιεχόμενο, αυτή θα έπασχε ακυρότητας καθώς θα προσέκρουε σε δημοσίας τάξης διατάξεις της φορολογικής νομοθεσίας (Α.Κ. 174)4. Από τις ίδιες ως άνω διατάξεις, δεν προκύπτει εξάλλου νομική υποχρέωση για την υποβολή δήλωσης με ταυτόχρονη κοινοποίηση των δεδομένων κληρονόμων, η οποία να βαρύνει τον καθ’ ου, ούτε εξάλλου η ύπαρξη έτερης νομικής βάσης για την επεξεργασία, συμφώνως προς τα στοιχεία α) έως στ) του άρθρου 6 παρ. 1 ΓΚΠΔ. Κατά συνέπεια διαπιστώνεται παραβίαση των διατάξεων του άρθρου 6 παρ. 1 ΓΚΠΔ και του άρθρου 5 παρ. 1 στοιχ. α) ΓΚΠΔ αναφορικά με την απαίτηση νομιμότητας της επεξεργασίας.
6) Επειδή εφόσον, συμφώνως με τα ως άνω, διαπιστώνεται έλλειψη συμμόρφωσης προς την προβλεπόμενη από το άρθρο 5 παρ. 1 στοιχ. α) ΓΚΠΔ αρχής της νομιμότητας και των προϋποθέσεων νομιμότητας της επεξεργασίας του άρθρου 6 παρ. 1 ΓΚΠΔ, και δεδομένου ότι απαιτείται σωρευτικώς η πλήρωση των προϋποθέσεων εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ5, προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, παρέλκει η εξέταση της πλήρωσης των λοιπών αρχών νόμιμης επεξεργασίας των δεδομένων βάσει του άρθρου 5 ΓΚΠΔ.
7) Επειδή περαιτέρω, κατόπιν της πληροφόρησής του από τη ΔΟΥ … Αθηνών αναφορικά με την υποβολή της δήλωσης εισοδήματος του έτους 2020 για λογαριασμό του θανόντος πατρός του, ο καταγγέλλων απέστειλε διά του πληρεξουσίου δικηγόρου του την 20-4-2022 μήνυμα ηλεκτρονικής αλληλογραφίας προς τον καθ’ ου, προκειμένου να ενημερωθεί αναφορικά με τον τρόπο με τον οποίο περιήλθαν σε γνώση του τα προσωπικά στοιχεία του καταγγέλλοντος, χωρίς ωστόσο να λάβει απάντηση μέχρι την 27-6-2022 οπότε και έλαβε ως απάντηση, μέσω κοινοποίησής της από τον καθ’ ου, την απάντηση του προς την Αρχή (αρ. πρωτ. Αρχής Γ/ΕΙΣ/……/……2022). Σχετικώς επισημαίνεται ότι από το σύνολο των στοιχείων του φακέλου και της ακροαματικής διαδικασίας ενώπιον της Αρχής, καθώς και εκ των υποβληθέντων υπομνημάτων, προκύπτει ότι ο καθ’ ου δεν τεκμηρίωσε επαρκώς ενώπιον της Αρχής τους λόγους μη ανταπόκρισης στο ως άνω αίτημα πρόσβασης του καταγγέλλοντος, συμφώνως προς την αρχή της λογοδοσίας, κατ’ άρθρον 5 παρ. 2 ΓΚΠΔ, ιδίως λαμβανομένου υπόψη ότι έλαβε γνώση της αποστολής του ως άνω αιτήματος τουλάχιστον με τη λήψη του με αρ. πρωτ. Γ/ΕΞ/……/……2023 εγγράφου της Αρχής προς παροχή διευκρινίσεων, στο οποίο επισυνάπτονται η εξεταζόμενη καταγγελία και όλα τα συνημμένα και συμπληρωματικά αυτής έγγραφα. Κατά συνέπεια, διαπιστώνεται πλημμελής ικανοποίηση του δικαιώματος πρόσβασης του καταγγέλλοντος εκ μέρους του καθ’ ου υπευθύνου επεξεργασίας κατά παραβίαση των διατάξεων του άρθρου 15 ΓΚΠΔ, σε συνδυασμό με τις διατάξεις του άρθρου 12 παρ. 3-4 ΓΚΠΔ.
Κατόπιν όλων των ανωτέρω, διαπιστώνεται εκ μέρους του καθ’ ου υπευθύνου επεξεργασίας παραβίαση των διατάξεων των άρθρων 5 παρ. 1 στοιχ. α), 6 παρ. 1, 12 παρ. 3-4 και 15 ΓΚΠΔ, σε συνδυασμό με το άρθρο 5 παρ. 2 ΓΚΠΔ και η Αρχή κρίνει ότι σε σχέση με τις ως άνω αναλυτικά περιγραφόμενες παραβιάσεις συντρέχει περίπτωση άσκησης των εκ του άρθρου 58 παρ. 2 ΓΚΠΔ διορθωτικών εξουσιών της. Ειδικότερα η Αρχή κρίνει, κατά πλειοψηφία, ότι συντρέχει περίπτωση επιβολής, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 στοιχ. θ) ΓΚΠΔ, αποτελεσματικού, αναλογικού και αποτρεπτικού διοικητικού χρηματικού προστίμου, συμφώνως προς τις διατάξεις του άρθρου 83 παρ. 3 και 5 ΓΚΠΔ, λαμβάνοντας υπόψη την αιτ. σκέψη 148 ΓΚΠΔ, καθώς και τις Κατευθυντήριες Γραμμές της Ομάδας Εργασίας του Άρθρου 29 για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/6796 και τις Κατευθυντήριες Γραμμές 04/2022 για τον υπολογισμό των διοικητικών προστίμων υπό τον ΓΚΠΔ του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων7. Κατά την άποψη όμως ενός μέλους της σύνθεσης, σε σχέση με τις ως άνω αναλυτικά περιγραφόμενες παραβιάσεις, συντρέχει περίπτωση εφαρμογής της διάταξης του άρθρου 58 παρ. 2 στοιχ. β) ΓΚΠΔ, και θα πρέπει η Αρχή να απευθύνει επίπληξη στον καθ’ ου υπεύθυνο επεξεργασίας για την παραβίασή των ως άνω διατάξεων του ΓΚΠΔ.
Κατά την αξιολόγηση των δεδομένων, προκειμένου να επιλεγεί το πρόσφορο και διορθωτικό μέτρο, η Αρχή, κατά πλειοψηφία, λαμβάνει υπόψη, με βάση τους όρους του άρθρου 83 παρ. 2 ΓΚΠΔ, τα εξής στοιχεία:
• «η φύση, η βαρύτητα και η διάρκεια της παράβασης, λαμβάνοντας υπόψη τη φύση, την έκταση ή το σκοπό της σχετικής επεξεργασίας, καθώς και τον αριθμό των υποκειμένων των δεδομένων που έθιξε η παράβαση και το βαθμό ζημίας που υπέστησαν», επομένως λαμβάνεται υπόψη ότι η συγκεκριμένη παραβίαση δεν έλαβε ευρύτερο χαρακτήρα, ενώ ο καταγγέλλων δεν επικαλέστηκε ούτε τεκμηρίωσε ενώπιον της Αρχής περαιτέρω υλική ζημία του που να συνδέεται με την εν λόγω παραβίαση (άρθρο 83 παρ. 2 στοιχ. α) ΓΚΠΔ),
• «ο δόλος ή η αμέλεια που προκάλεσε την παράβαση,» επομένως λαμβάνεται υπόψη ότι η εν λόγω παραβίαση δεν προκύπτει ότι οφείλεται σε πρόθεση τέλεσης του καταγγέλλοντος (άρθρο 83 παρ. 2 στοιχ. β) ΓΚΠΔ).
ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ
Η Αρχή, διαπιστώνει ομόφωνα ότι η καταγγελλόμενη πράξη επεξεργασίας συνιστά παραβίαση των άρθρων 5 παρ. 1 στοιχ. α), 6 παρ. 1, 12 παρ. 3 -4, 15 ΓΚΠΔ και
α) επιβάλλει, κατά πλειοψηφία, για την παραβίαση των διατάξεων των άρθρων 5 παρ. 1 στοιχ. α) και 6 ΓΚΠΔ, κατ’ άρθρο 58 παρ. 2 στοιχ. θ) ΓΚΠΔ, στον καθ’ ου Β χρηματικό πρόστιμο ύψους πεντακοσίων (500) ευρώ,
β) επιβάλλει κατά πλειοψηφία, για την παραβίαση των άρθρων 12 παρ. 3-4 και 15 ΓΚΠΔ, κατ’ άρθρο 58 παρ. 2 στοιχ. θ) ΓΚΠΔ, στον καθ’ ου Β χρηματικό πρόστιμο ύψους πεντακοσίων (500) ευρώ,
για τους λόγους που εκτενώς αναλύονται στο σκεπτικό της παρούσης.
Ο Πρόεδρος
Γεώργιος Μπατζαλέξης
Η Γραμματέας
Ειρήνη Παπαγεωργοπούλου
1Για τους λογιστές ως υπευθύνους επεξεργασίας, βλ. μεταξύ άλλων, Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, Κατευθυντήριες γραμμές 07/2020 σχετικά με τις έννοιες του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία στον ΓΚΠΔ, Έκδοση 2.0, 7 Ιουλίου 2021, σελ. 1718.
2ΔΕΕ, C-496/17, Deutsche Post AG κατά Hauptzollamt Köln1, 16 Ιανουαρίου 2019, σκ. 57.
3Απόφαση 26/2019 ΑΠΔΠΧ, διαθέσιμη στην ιστοσελίδα της.
4ΑΠ 1930/2009 (Α’2 ΠΟΛ) «(..) Η διάταξη του άρθρου 174 Α.Κ. αποτελεί περιορισμό της αρχής της ελευθερίας των συμβάσεων, που θεσπίσθηκε με το άρθρο 361 Α.Κ. και καθιερώνει την αρχή της ακυρότητας της δικαιοπραξίας, η οποία αντιβαίνει σε απαγορευτικού ή επιτακτικού χαρακτήρα -δημόσιας τάξης -διάταξη οποιουδήποτε νόμου, ακόμη και ποινικού.(..)» Βλ. και ΕφΘεσ 296/1994, ΕφΑθ 14073/1988.
5ΔΕΕ, C-496/17, Deutsche Post AG κατά Hauptzollamt Köln, 16 Ιανουαρίου 2019, σκ. 57.
6https://www.dpa.gr/sites/default/files/2019-12/wp253_el.pdf
7https://edpb.europa.eu/system/files/202306/edpb_guidelines_042022_calculationofadministrativefines_en.pdf