ΑΠΟΦΑΣΗ 67/2022
Αθήνα, 19-12-2022
Αριθ. Πρωτ.: 3350
(Τμήμα)
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της σε συνεδρίαση μέσω τηλεδιασκέψεως την Τετάρτη 19-10-2021 και ώρα 10π.μ., προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν, ο Αναπληρωτής Πρόεδρος της Αρχής, Γεώργιος Μπατζαλέξης, κωλυόμενου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, το τακτικό μέλος της Αρχής Κωνσταντίνος Λαμπρινουδάκης και το αναπληρωματικό μέλος της Αρχής Γρηγόρης Τσόλιας, ως εισηγητής, σε αντικατάσταση του τακτικού μέλους Χαράλαμπου Ανθόπουλου, ο οποίος αν και εκλήθη νομίμως εγγράφως, δεν παρέστη λόγω κωλύματος. Παρούσες χωρίς δικαίωμα ψήφου ήταν η Στεφανία Πλώτα, ειδική επιστήμονας-δικηγόρος, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας.
Η Αρχή έλαβε υπόψη της τα κατωτέρω:
Με την υπ’ αριθ. πρωτ. .../22-12-2020 καταγγελία του στην Αρχή ο Α, διεθνής επαγγελματίας ποδοσφαιριστής (εφεξής «καταγγέλλων») καταγγέλλει τις i. ... (εφεξής «...»), ii. ποδοσφαιρική ανώνυμη εταιρεία με την επωνυμία «...» και με διακριτικό τίτλο «ΠΑΕ ...» (εφεξής «ΠΑΕ ...»), και iii. εταιρεία ... ltd, ιδιοκτήτρια της ηλεκτρονικής αθλητικής εφημερίδας ... (εφεξής «...»), για παραβίαση διατάξεων αρμοδιότητας της Αρχής, ήτοι αναπαραγωγή και δημοσίευση επαγγελματικών συμβολαίων του καταγγέλλοντος εμπεριέχοντα προσωπικά δεδομένα του ιδίου. Ειδικότερα, ο καταγγέλλων αναφέρει ότι το καλοκαίρι του … εντάχθηκε στο δυναμικό της ΠΑΕ Χ και στις … υπέγραψε συμβόλαιο επαγγελματία ποδοσφαιριστή με την Ψ και εν συνεχεία τα εν λόγω συμβόλαια κατατέθηκαν νομίμως και εμπροθέσμως, όπως προβλέπεται στο κανονιστικό πλαίσιο της ..., αντιστοίχως από τις ανωτέρω ΠΑΕ στη διοργανώτρια αρχή του πρωταθλήματος της πρώτης επαγγελματικής κατηγορίας της Ελλάδας, στην οποία αμφότερες αγωνίζονται, ήτοι στη Super League 1, και αφού ελέγχθηκαν ως προς τη νομιμότητά τους, επικυρώθηκαν από τη Super League 1 και έπειτα διαβιβάστηκαν στην ..., όπως προβλέπεται στον «Κανονισμό Μεταγραφών και Ιδιότητας Ποδοσφαιριστών» (ΚΙΜΠ) αυτής. Συγκεκριμένα, το πρώτο αντίγραφο με την οικεία σφραγίδα και με την αρίθμηση 1, παραμένει στα αρχεία της Super League 1, το δεύτερο με την οικεία σφραγίδα και με την αρίθμηση 2, δηλαδή ως «2. ...», διαβιβάζεται στην ... εντός επτά ημερών από τη θεώρηση του συμβολαίου, το τρίτο αντίγραφο με την οικεία σφραγίδα και με την αρίθμηση 3 «3. ΠΑΕ» διαβιβάζεται στην ΠΑΕ, το τέταρτο αντίγραφο με την οικεία σφραγίδα και με την αρίθμηση 4 «4. ΠΣΑΠ» διαβιβάζεται στον ΠΣΑΠ (Πανελλήνιος Σύνδεσμος Αμειβομένων Ποδοσφαιριστών), και το πέμπτο στον ποδοσφαιριστή. Το αρχικό συμβόλαιο που σύνηψε ο καταγγέλλων με την ΠΑΕ Χ διαβιβάστηκε, όπως αναφέρει, στην ... στις …, το τροποποιητικό αυτού στις … και το συμβόλαιο του ιδίου με την ΠΑΕ Ψ στις … . Στις 10-12-2020, ο καταγγέλλων αναφέρει ότι πρόσωπο που γνώριζε από την πορεία του στην ΠΑΕ ... του προσέφερε χρήματα για να έχει μειωμένη απόδοση στον αγώνα που θα γινόταν μεταξύ της ΠΑΕ ... και της ΠΑΕ Ψ στις … στο πλαίσιο του πρωταθλήματος της Super League που ήταν τοπικό ντέρμπυ, περιστατικό το οποίο ο καταγγέλλων κατέθεσε στο Τμήμα Αστυνομικής Βίας στη Θεσσαλονίκη στις … . Η εν λόγω κατάθεσή του διαδόθηκε, όπως αναφέρεται στην καταγγελία, σχεδόν σε απευθείας μετάδοση στο τηλεοπτικό κανάλι ... TV, γεγονός για το οποίο ήδη έχει διαταχθεί προκαταρκτική εξέταση από τον αρμόδιο Εισαγγελέα. Στη συνέχεια, ο καταγγέλλων αναφέρει ότι διεπίστωσε πως στις … και ώρα … η ΠΑΕ ..., αφού απέκτησε παράνομα πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που τον αφορούν και τα οποία τηρούνται στο αρχείο της ..., επενέβη χωρίς δικαίωμα με άγνωστο στον καταγγέλλοντα τρόπο σε σύστημα αρχειοθέτησης δεδομένων προσωπικού χαρακτήρα και έλαβε γνώση των δεδομένων αυτών, έπειτα τα αντέγραψε, συνέλεξε, καταχώρησε, οργάνωσε, διάρθρωσε, αποθήκευσε, συσχέτισε, συνδύασε και, χωρίς τη συναίνεση του καταγγέλλοντος, αφού συνέλεξε τα συμβόλαια εργασίας του καταγγέλλοντος με την ΠΑΕ Χ και την ΠΑΕ Ψ με τα πλήρη στοιχεία της ταυτότητάς του, τον αριθμό φορολογικού του μητρώου και τη διεύθυνση κατοικίας του, τα ψηφιοποίησε και τα καταχώρησε στο αρχείο της ιστοσελίδας της παράνομα, ως υπεύθυνη επεξεργασίας, καθιστώντας τα εν λόγω δεδομένα προσιτά στο αναγνωστικό κοινό, σε απεριόριστο αριθμό προσώπων, εκδίδοντας παράλληλα δημόσια ανακοίνωση για την εν λόγω ανάρτηση. Ο καταγγέλλων παραθέτει με την καταγγελία του πλήθος αναδημοσιεύσεων στο σύνολο του ηλεκτρονικού τύπου που ενσωματώνει τον σχετικό σύνδεσμο που οδηγεί στην ηλεκτρονική σελίδα της ΠΑΕ ..., όπου έγινε η ανακοίνωση, ενώ ως προς την εταιρεία ..., την τρίτη καταγγελλόμενη, αναφέρει ότι με άρθρο της διέδωσε παράνομα τα προσωπικά δεδομένα του καταγγέλλοντος στο αναγνωστικό κοινό. Ως προς την ..., ο καταγγέλλων υποστηρίζει ότι δεν τήρησε την υποχρέωσή της ως υπεύθυνος επεξεργασίας κατά τις διατάξεις του Ν. 4624/2019 για τη λήψη κατάλληλων μέτρων για τη διασφάλιση του απορρήτου και την προστασία των δεδομένων από περιπτώσεις αθέμιτης πρόσβασης και «επενέβη χωρίς δικαίωμα σε σύστημα αρχειοθέτησης δεδομένων προσωπικού χαρακτήρα και με την πράξη αυτή έλαβε γνώση των δεδομένων αυτών για σκοπούς αλλότριους από εκείνους για τους οποίους τα συνέλεξε και έπειτα τα αντέγραψε, συνέλεξε, καταχώρησε, οργάνωσε, διάρθρωσε, αποθήκευσε, συσχέτισε και συνδύασε και εν τέλει τα χρησιμοποίησε, μετέδωσε, διέδωσε, κοινολόγησε με διαβίβαση, διέθεσε, ανακοίνωσε και κατέστησε προσιτά αυτά στην 2η και 3η των καταγγελλομένων. […]Ο δε δόλος της επιτείνεται και άρα και η σχετική ευθύνη της αυξάνεται από το γεγονός ότι μέχρι και σήμερα δεν προχώρησε σε κανένα εσωτερικό έλεγχο μετά την γενόμενη εις βάρος μου διαρροή σχετικά με τον τρόπο και τον χρόνο κατά τον οποίο έλαβε χώρα η διαρροή κάτι που αποτελεί επιβαρυντική περίσταση και πρέπει να ληφθεί υπόψιν στην ύψος της επιβαλλόμενης από την Επιτροπή σας ποινής.»
Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας απέστειλε στις τρεις καταγγελλόμενες το υπ’ αριθ. πρωτ. .../19-02-2021 έγγραφο προς παροχή απόψεων, οι οποίες στις απαντήσεις τους ανέφεραν τα ακόλουθα:
Η ... με το υπ’ αριθ. πρωτ. .../16-03-2021 υπόμνημά της αρνήθηκε όσα της αποδίδονται με βάση την καταγγελία, την οποία αξιολογεί ως νομικά και ουσιαστικά αβάσιμη, απαράδεκτη, αόριστη, αναπόδεικτη και καταχρηστική. Ως προς τις ισχύουσες διαδικασίες, η ... αναφέρει ότι «πριν αποσταλεί στην ... το κάθε επαγγελματικό συμβόλαιο ποδοσφαιριστή, λαμβάνει τη σχετική αρίθμηση από την οικεία επαγγελματική ένωση και παραμένει εις χείρας της για χρονικό διάστημα έως 7 ημερών. Εν συνεχεία, και εντός 7 ημερών, η οικεία επαγγελματική ένωση υποβάλλει στην αρμόδια Υπηρεσία της ... (Τμήμα Μητρώων Ποδοσφαιριστών) το συμβόλαιο του ποδοσφαιριστή με διαβιβαστικό, το οποίο πρωτοκολλείται. Το Τμήμα Μητρώων τοποθετεί αμέσως το συμβόλαιο στον Φάκελο του ποδοσφαιριστή και αποθηκεύει τον Φάκελο σε ερμάριο, το οποίο κλειδώνεται και μετά το τέλος των εργασιών, ολόκληρο το κτίριο κλείνει και φυλάσσεται. Το συμβόλαιο του κάθε ποδοσφαιριστή χρησιμοποιείται μόνο ως στοιχείο για την πληρότητα του Φακέλου, ο οποίος τηρείται για την έκδοση του Δελτίου του ποδοσφαιριστή» και επισημαίνει ότι η αρμόδια Υπηρεσία της ... αποθηκεύει απλώς και φυλάσσει το συμβόλαιο, ως αποδεικτικό στοιχείο για το ήδη εκδοθέν οικείο Δελτίου και δεν λαμβάνει χώρα οποιουδήποτε είδους επεξεργασία, ούτε κυκλοφορία των συμβολαίων των ποδοσφαιριστών μεταξύ Τμημάτων ή υπαλλήλων της Ομοσπονδίας, καθώς «Τα συμβόλαια των ποδοσφαιριστών δεν φωτοτυπούνται, δεν υφίστανται ηλεκτρονική σάρωση, ούτε τηρούνται σε ηλεκτρονική μορφή στην Ομοσπονδία, αλλά φυλάσσονται μόνο σε έγχαρτη μορφή, όπως παρελήφθησαν με τα ρηθέντα διαβιβαστικά της οικείας επαγγελματικής ένωσης. Το Τμήμα Μητρώων Ποδοσφαιριστών, στο οποίο φυλάσσεται το συμβόλαιο, εφαρμόζει πολιτική απορρήτου και δεν παρέχει ουδεμία πληροφορία τηλεφωνικώς, ή ταχυδρομικώς ή με ηλεκτρονικό τρόπο» και η οιαδήποτε ενέργεια επί των εγγράφων που παραλαμβάνει, ήτοι τα Δελτία και τα συμβόλαια των ποδοσφαιριστών, αποτυπώνεται σε βιβλίο, στο οποίο καταχωρείται το όνομα όποιου παραλάβει, για οποιονδήποτε λόγο, σχετικό έγγραφο, η ημερομηνία παραλαβής και τα στοιχεία του εγγράφου, ο δε παραλήπτης θέτει παραπλεύρως την υπογραφή του και οι υπάλληλοι του Τμήματος Μητρώων Ποδοσφαιριστών έχουν υπογράψει Ρήτρα Εμπιστευτικότητας με την FIFA. Επίσης, η ... αναφέρει ότι το ζήτημα της δημοσιεύσεως των επαγγελματικών συμβολαίων του καταγγέλλοντος συζητήθηκε εν όψει σχετικών δημοσιευμάτων του Τύπου στην υπ’ αριθ. … από …20 Εκτελεστική Επιτροπή (Διοικητικό Συμβούλιο) της ..., όπου αποφασίσθηκε να διενεργηθεί έρευνα, προκειμένου να διαπιστωθεί εάν υπήρξε διαρροή των άνω εγγράφων από τις υπηρεσίες της Ομοσπονδίας από την οποία επιβεβαιώθηκε ότι στην προκειμένη περίπτωση, τηρήθηκαν όλες οι προαναφερθείσες διαδικασίες, καταλήγοντας ότι «συνήχθη το συμπέρασμα, ότι δεν πρόκειται περί περιστατικού παραβίασης δεδομένων εκ μέρους της ..., δεν κατεγράφη ως τέτοιο και δεν έγινε περαιτέρω χειρισμός και κατά συνέπεια, οποιαδήποτε τυχόν δημοσίευση προσωπικών δεδομένων του καταγγέλλοντος δεν οφείλεται σε πράξεις της Ομοσπονδίας, αλλά αποτελεί αλλοίωση και παραποίηση των εγγράφων που βρίσκονται εις χείρας μεγάλου αριθμού προσώπων (οικεία επαγγελματική ένωση, ..., ΠΑΕ, ...) κατά τρόπο ώστε να προσομοιάζουν με τα έγγραφα (συμβόλαια του καταγγέλλοντος) που απεστάλησαν στην Ομοσπονδία κατά τον ρηθέντα τρόπο.»
Η ΠΑΕ ... στο υπ’ αριθ. πρωτ. .../17-03-2021 υπόμνημά της περιγράφει καταρχάς τη φορτισμένη κατάσταση που επικρατούσε λόγω καταιγισμού συκοφαντιών, όπως ισχυρίζεται, που υφίστατο η ΠΑΕ ... και τα στελέχη της, όταν στις … ο δημοσιογράφος- Υπεύθυνος Τύπου της έλαβε έναν ανώνυμο φάκελο που περιείχε τρεις (3) φωτοτυπίες: μία του αρχικού συμβολαίου του Α, με την ΠΑΕ Χ, μία τροποποίηση του εν λόγω συμβολαίου και μία του συμβολαίου του με την ΠΑΕ Ψ. Από το περιεχόμενο των συμβολαίων δημιουργήθηκε η πεποίθηση στην ΠΑΕ ... ότι υπήρξε συμπαιγνία μεταξύ των δύο ΠΑΕ και του καταγγέλλοντος προκειμένου να πληγεί η ΠΑΕ ... και ο Υπεύθυνος Τύπου συνέταξε άμεσα μία ανακοίνωση για να αναδειχθεί το γεγονός, στην οποία επισυνάφθηκαν οι φωτοτυπίες των συμβολαίων. Η ανακοίνωση αναρτήθηκε στις … και ώρα … στην ιστοσελίδα της ΠΑΕ ... και όπως ισχυρίζεται η ΠΑΕ ..., λίγο μετά την ανάρτησή της και προτού υπάρξει οιαδήποτε αντίδραση συνειδητοποίησε ο Υπεύθυνος Τύπου ότι «από λάθος δεν σβήστηκαν από τις φωτοτυπίες των συμβολαίων τα στοιχεία του ποδοσφαιριστή (διεύθυνση κατοικίας, ΑΦΜ) και την ίδια ημέρα και ώρα … σβήστηκαν από την ανάρτηση τα στοιχεία αυτά». Η ΠΑΕ ... ισχυρίζεται ότι ο Υπεύθυνος Τύπου της ΠΑΕ ενήργησε τόσο «θερμόαιμα» και ανήρτησε άμεσα άνευ επικαλύψεων των απλών προσωπικών δεδομένων του καταγγέλλοντος, χωρίς να έχει προηγηθεί κάποια ειδικότερη συνεννόησή του με τους νομίμους εκπροσώπους της ΠΑΕ γιατί τα δημοσιευθέντα έγγραφα απεδείκνυαν και επιβεβαίωναν τις καταγγελίες της ΠΑΕ ... ότι «η υπόθεση περί δήθεν απόπειρας δωροδοκίας του Α ήταν μία συμπαιγνία των ΠΑΕ Χ και Ψ με ενεργούμενο τον Α με σκοπό να πληγεί η φήμη και το κύρος της ΠΑΕ ...» και ο Υπεύθυνος Τύπου «λόγω της ιδιότητάς του ως δημοσιογράφου θεώρησε καθήκον του να δημοσιοποιήσει στο κοινό αυτά τα τόσο σημαντικά στοιχεία, τη γνησιότητα των οποίων δεν είχε λόγο να αμφισβητήσει, καθώς τα συμβόλαια εμφανίζονταν ως επικυρωμένα από τη διοργανώτρια αρχή του πρωταθλήματος Superleague Greece και από την ...» και η αναδημοσίευση που πραγματοποιήθηκε αποδεικνύει το μεγάλο ενδιαφέρον που είχε η υπόθεση για τον φίλαθλο κόσμο και την ελληνική κοινωνία. Επίσης, η ΠΑΕ ... επικαλείται έννομο συμφέρον, το οποίο θα μπορούσε να ισχύει στην περίπτωσή της, όπως αναφέρει, καθώς η επεξεργασία δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος, υπήρξε αναγκαία για να αποδείξει και να επιβεβαιώσει τις καταγγελίες της, ότι δηλαδή η υπόθεση περί δήθεν «απόπειρας δωροδοκίας» του καταγγέλλοντος από την ΠΑΕ ... δεν ήταν τίποτα άλλο από μία συμπαιγνία των ΠΑΕ Χ και Ψ με απώτερο σκοπό να πληγεί η φήμη και το κύρος της ΠΑΕ ... . Τέλος, η ΠΑΕ ... υποστηρίζει ότι η φύση, η βαρύτητα και η διάρκεια της παράβασης ήταν τέτοια που δεν προκάλεσε ζημία στο υποκείμενο των δεδομένων, αφού αφενός ήταν απλά και όχι «ευαίσθητα» δεδομένα, αφετέρου ο ίδιος ο καταγγέλλων δεν επικαλείται καμία επιγενόμενη βλάβη και επιπλέον σε διάρκεια λίγων ωρών η ΠΑΕ ... επανόρθωσε το λάθος επικαλύπτοντας τα επίδικα σημεία, ενώ τα στοιχεία που «αποκαλύφθηκαν», ήτοι το ονοματεπώνυμο, η οδός και το τηλέφωνο είναι ευρέως γνωστά και «το ΑΦΜ του υποκειμένου είναι πλέον υποχρεωτικά αναγραπτέο, σύμφωνα με τον ΚΠολΔ, σε όλα τα δικόγραφα και τις αιτήσεις, άρα, παρά τις διατάξεις του ν.2238/1994, οι εξαιρέσεις στο απόρρητο και είναι ευρεία η καθημερινή πλέον χρήση του στις συναλλαγές κάθε προσώπου» και ότι αν στη θέση της ΠΑΕ ... ως υπεύθυνος επεξεργασίας βρισκόταν ένας δημοσιογράφος τότε θα πληρούνταν οι προϋποθέσεις εφαρμογής του άρθρου 28 ν. 4624/2019 (παρ. 1γ’) και θα επιτρεπόταν η επεξεργασία των προσωπικών δεδομένων όταν υπερέχει το δικαίωμα στην ελευθερία της έκφρασης και το δικαίωμα της πληροφόρησης έναντι του δικαιώματος προστασίας των προσωπικών δεδομένων του υποκειμένου, ιδίως για θέματα γενικότερου ενδιαφέροντος ή όταν αφορά προσωπικά δεδομένα δημοσίων προσώπων.
Η εταιρεία ... αναφέρει στο υπ’ αριθ. πρωτ. .../07-04-2021 υπόμνημά της ότι «στην αθλητική ιστοσελίδα ... της ... δημοσιεύθηκε την … άρθρο με τίτλο «…», που συνιστούσε δημοσιογραφική κάλυψη της κοινής λήψης είδησης σχετικής επίσημης ανακοίνωσης της ΠΑΕ ...» στον ιστότοπο www.... και των σχετικών φωτογραφιών των συμβολαίων του καταγγέλλοντος, από την οποία αναπαρήχθησαν με αυτούσιο τρόπο από το σύνολο του Τύπου (έντυπου και ηλεκτρονικού) και από την ..., επισημαίνοντας ότι οι ανακοινώσεις προς τον Τύπο των ΠΑΕ αποτελούν ειδήσεις και καλύπτονται από το σύνολο του Τύπου. Ακολούθως, αναφέρεται ότι «η επίμαχη ανακοίνωση της ΠΑΕ ... ήταν σε χρονική ακολουθία με άλλη τότε σημαντική είδηση που είχε απασχολήσει το σύνολο του Τύπου και δη με τη φερόμενη καταγγελία του καταγγέλλοντος για φερόμενη απόπειρα δεκασμού του» και «ήταν ένα θέμα σοβαρό που απασχολούσε τη σχετική επικαιρότητα, όπως και το πρόσωπο του ιδίου του καταγγέλλοντος που είναι δημόσιο πρόσωπο» και έτσι «αποδεικνύεται το έντονο δημοσιογραφικό ενδιαφέρον γι΄ αυτό το μείζον θέμα της σχετικής επικαιρότητας του ποδοσφαίρου που, αυτονοήτως, καλύφθηκε και από την αθλητική ιστοσελίδα ... της “...”». Η ... επισημαίνει ότι επειδή, όπως συνήθως δημοσιογραφικώς αναπαράγεται ολόκληρη η εκάστοτε ανακοίνωση, έτσι και στην εν λόγω περίπτωση αναπαρήχθη ολόκληρη η ανακοίνωση της ΠΑΕ ... διατηρήθηκαν τα προσωπικά στοιχεία του καταγγέλλοντος, ενώ διέλαθε την προσοχή τους ότι στις επίμαχες τρεις φωτογραφίες των συμβολαίων δεν είχαν καλυφθεί στην ανακοίνωση της ΠΑΕ ... κάποια προσωπικά στοιχεία του καταγγέλλοντος, όπου μόλις έγινε αντιληπτό από την ... προέβη στην κάλυψη των προσωπικών στοιχείων του καταγγέλλοντος. Για τον λόγο αυτό, δεν είναι κατανοητή από την ... η επιλογή του καταγγέλλοντος να στραφεί με την καταγγελία του ενώπιον της Αρχής σε βάρος μόνο της ..., προσκομίζοντας ως σχετικά αντίστοιχα δημοσιεύματα λοιπόν ιστοσελίδων που περιείχαν τα ίδια προσωπικά στοιχεία του καταγγέλλοντος. Η ... αναφέρει επίσης, ότι «ως προς τη φύση των προσωπικών στοιχείων που κοινοποιήθηκαν από τις τρεις φωτογραφίες των συμβολαίων του καταγγέλλοντος, σημειώνεται ότι α) ως προς το αρχικό από … συμβόλαιό του με την ΠΑΕ Χ, τα στοιχεία που αναφέρονται σε αυτό, πέραν της ημερομηνίας γέννησης του ονοματεπωνύμου και της υπηκοότητας του Α, που είναι ήδη γνωστά σε όλους [..], η δηλωθείσα κατοικία του στον … […] αποδεικνύεται και προκύπτει ότι είναι η διεύθυνση των γραφείων στον … της ΠΑΕ Χ, ενώ και η συγκεκριμένη σύνδεση προδήλως ανήκει στην ΠΑΕ Χ, β) ως προς το από … τροποποιητικό συμβόλαιο του Α με την ΠΑΕ Χ σε αυτό αναφέρονται τα προεκτεθέντα στοιχεία, όπως και στο αρχικό, που όμως, ανήκουν στην ΠΑΕ Χ και όχι στον Α. Συνεπώς, ως προς αυτά τα συμβόλαια και γι’ αυτά τα στοιχεία δεν τίθεται ζήτημα παραβίασης προσωπικών δεδομένων», παρά μόνο ως προς τα στοιχεία του τρίτου συμβολαίου με την ΠΑΕ Ψ και δη το ΑΦΜ, τη ΔΟΥ, τη διεύθυνση κατοικίας και τον αριθμό δελτίου ταυτότητάς του που ισχύουν όσα έχει υποστηρίξει ανωτέρω η .... Συμπερασματικά, η ... υποστηρίζει ότι «επρόκειτο για αναδημοσίευση στον Τύπο της σχετικής ανακοίνωσης της ΠΑΕ ... για λόγους δεδικαιολογημένου δημοσιογραφικού ενδιαφέροντος και μετά από λίγες ώρες που έγινε αντιληπτό το σφάλμα, υπήρξε διόρθωση, ενώ σήμερα μετά και την κλήση της Αρχής, έχουν κατέβει οι σχετικές φωτογραφίες από το δημοσίευμα» και προσθέτει ότι «ούτε επεδίωξε ούτε και επέτυχε με το εν λόγω δημοσίευμα οποιοδήποτε οικονομικό όφελος».
Σε συνέχεια των ανωτέρω, η Αρχή απέστειλε τις υπ’ αρ. πρωτ. .../28-06-2021, .../28-06-2021 και .../28-06-202 επιστολές για περαιτέρω διευκρινίσεις στις καταγγελλόμενες, με τις οποίες τις κάλεσε να υποβάλουν τις εκ των άρθρων 5, 24 παρ. 1, 32 παρ. 1 του ΓΚΠΔ απαιτούμενες πολιτικές και διαδικασίες που αποδεικνύουν τη συμμόρφωσή τους με το ανωτέρω νομικό πλαίσιο και επιπλέον αυτών η Αρχή αιτήθηκε από την ... σύντομη περιγραφή του συστήματος αρχειοθέτησης των φακέλων των ποδοσφαιριστών και το Πόρισμα της έρευνας που πραγματοποιήθηκε, κατόπιν της δημοσίευσης των συμβολαίων του καταγγέλλοντος, όπως αναφέρεται στις απόψεις που υπέβαλε η ... . Σε απάντηση των εν λόγω αιτημάτων η ... απέστειλε το υπ’ αρ. πρωτ. .../07-07-2021 υπόμνημα, στο οποίο δεν περιλαμβάνονταν οι αιτηθείσες από την Αρχή πολιτικές και διαδικασίες, ενώ πέραν των όσων είχε αναφέρει στο υπ’ αριθ. πρωτ. .../16-03-2021 έγγραφό της αναφορικά με την περιγραφή του συστήματος αρχειοθέτησης, προσθέτει ότι «το Δελτίο του ποδοσφαιριστή έχει ήδη εκδοθεί από το αρμόδιο Τμήμα της ... μέσω του ηλεκτρονικού Συστήματος Συσχετισμού Μετεγγραφών (στο οποίο το uploading γίνεται αποκλειστικά από χρήστες ορισμένους από τις ΠΑΕ)» και ότι βάσει των όσων εφαρμόζονται για την καταχώρηση των αντιγράφων των συμβολαίων «ακόμα και εάν τα φωτοαντίγραφα που βρέθηκαν στην κατοχή της ΠΑΕ ... έφεραν την ένδειξη «2. ...», τούτο δεν θα αποτελούσε αυταπόδεικτο γεγονός, ότι αυτά δόθηκαν δια χειρός ... . Κατά συνέπεια, δεν προκύπτει, ότι τα φωτοαντίγραφα των συμβάσεων του καταγγέλλοντος θα μπορούσαν να δοθούν στην ΠΑΕ ... μόνον από την Ομοσπονδία, ούτε βέβαια, ότι δόθηκαν από αυτήν.» Τέλος, σχετικά με το Πόρισμα, την προσκόμιση του οποίου ζήτησε η Αρχή, η καταγγελλόμενη ανέφερε ότι «από την διενεργηθείσα έρευνα, επιβεβαιώθηκε, ότι στην προκειμένη περίπτωση, τηρήθηκαν όλες οι προαναφερθείσες διαδικασίες, καθώς μετά την λήψη των συμβολαίων του καταγγέλλοντος, αυτά τοποθετήθηκαν μαζί με το διαβιβαστικό τους, στον Φάκελο του ποδοσφαιριστή και αποθηκεύθηκαν και κλειδωθήκαν στο προβλεπόμενο ερμάριο. Ουδέποτε ο Φάκελος που περιείχε τα ένδικα έγγραφα φαίνεται να ανασύρθηκε από το ερμάριο, ούτε ότι τα έγγραφα αυτά χρησιμοποιήθηκαν, ούτε επεξεργάσθηκαν καθ οιονδήποτε τρόπο, ούτε βεβαίως ότι απεστάλησαν σε κάποιον τρίτο. Επίσης, δεν διαπιστώθηκε δόλος ή αμέλεια που να προκάλεσε παράβαση προσωπικών δεδομένων, σύμφωνα με τα δημοσιεύματα, ούτε ευθύνη των υπευθύνων επεξεργασίας ή των εκτελούντων την επεξεργασία. Άλλωστε, δεν διαπιστώθηκε κίνητρο, ούτε οικονομικά οφέλη που αποκομίστηκαν από την δημοσίευση. Κατ’ ακολουθία, και αφού ελήφθη υπόψη, ότι τα κείμενα που δημοσιεύθηκαν αποτελούν απλές φωτοτυπίες, οι οποίες, προδήλως, έχουν υποστεί επεξεργασία, συνήχθη το συμπέρασμα, ότι δεν πρόκειται περί περιστατικού παραβίασης προσωπικών δεδομένων εκ μέρους της ... . Το συμπέρασμα αυτό ανακοινώθηκε στην Διοίκηση της Ομοσπονδίας προφορικά, διότι η όλη υπόθεση αξιολογήθηκε, ότι εμπίπτει στα συνήθη και συχνά ανέρειστα και αβάσιμα δημοσιεύματα μερίδας του αθλητικού Τύπου, τα οποία αποσκοπούν απλά στην αύξηση της αναγνωσιμότητας των εντύπων που τα φιλοξενούν. Κατόπιν αυτού, το περιστατικό δεν κατεγράφη ως παραβίαση δεδομένων και δεν έγινε περαιτέρω χειρισμός, παρείλκε δε, η σύνταξη επισήμου πορίσματος.»
Η ΠΑΕ ... και η εταιρεία ... υπέβαλαν τις πολιτικές και διαδικασίες που εφαρμόζουν κατά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, οι οποίες δεν αφορούν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα στο διαδίκτυο δια της ιστοσελίδας τους.
Ενόψει των ανωτέρω, η Αρχή με τα υπ’ αρ. πρωτ. .../09-07-021, .../09-07-2021, .../09-07-2021 και .../09-07-2021 έγγραφα κάλεσε i. τον καταγγέλλοντα, Α, ii. την ..., iii. την ποδοσφαιρική ανώνυμη εταιρεία με την επωνυμία «...» και με διακριτικό τίτλο «ΠΑΕ ...», και iv. την εταιρεία ... ltd, ιδιοκτήτρια της ηλεκτρονικής αθλητικής εφημερίδας ..., όπως νομίμως εκπροσωπούνται, να παραστούν στη συνεδρίαση του Τμήματος της Αρχής στις 16-07-2021, προκειμένου να συζητηθεί η υπό εξέταση καταγγελία και να εκθέσουν τις απόψεις τους.
Στην εν λόγω συνεδρίαση, παρέστησαν, εκ μέρους του καταγγέλλοντος, η πληρεξούσια δικηγόρος Ασπασία Σουλούκου (…), εκ μέρους της ..., οι πληρεξούσιοι δικηγόροι Δημήτριος Κουβαράς (…) και Βασίλειος Σαράκης (…), εκ μέρους της ΠΑΕ ... οι πληρεξούσιοι δικηγόροι Αχιλλέας Μαυρομάτης (…), Χρήστος Παπαθωμάς (…), Νικόλαος Ανδρικόπουλος (…), Παναγιώτα Παπαναστασίου (…), καθώς και ο Β, ΙΤ MANAGER, ο Γ, Υπεύθυνος Προστασίας Προσωπικών Δεδομένων, ο Δ, Υπεύθυνος Προστασίας Προσωπικών Δεδομένων και ο Ε, Υπεύθυνος Τύπου, και τέλος, εκ μέρους της ..., ο πληρεξούσιος δικηγόρος Αδαμάντιος Μπασαράς (…).
Κατά τη συνεδρίαση αυτή, οι παριστάμενοι ανέπτυξαν τις απόψεις τους και εν συνεχεία υπέβαλαν στην Αρχή εντός της ταχθείσας προθεσμίας, ο καταγγέλλων το υπ’ αρ. πρωτ. .../05-08-2021 υπόμνημα και οι καταγγελλόμενοι, το υπ’ αρ. πρωτ. .../06-08-2021 ηλεκτρονικό μήνυμα στο οποίο εμπεριέχονταν δύο υπομνήματα της ..., το υπ’ αρ. πρωτ. .../06-08-2021 υπόμνημα της ΠΑΕ ..., και το υπ’ αρ. πρωτ. .../06-08-2021 υπόμνημα της εταιρείας ... με τα συμπληρωματικά αυτού έγγραφα.
Ο καταγγέλλων κατά την ανωτέρω ακρόαση αλλά και με το από 05-08-2021 υπόμνημά του υποστήριξε ότι η καταγγελία στρέφεται κατά της ιστοσελίδας ... για τις επίμαχες αναρτήσεις, παρότι προκύπτει ότι τις ίδιες αναρτήσεις έχουν κάνει και πολλές άλλες ιστοσελίδες γιατί «το καταγγελλόμενο μέσο ενημέρωσης ... και η ιδιοκτήτρια Κυπριακή εταιρεία αυτού ... LIMITED ανήκει, όπως αποδεικνύουμε από το ηλεκτρονικό σύστημα καταχώρησης εταιρειών (Τμήμα Εφόρου Εταιρειών) που υφίσταται στην Κύπρο, στην εταιρεία ... LTD, η οποία έχει κριθεί με την από … απόφαση της Επιτροπής Επαγγελματικού Αθλητισμού (ΕΕΑ) ότι αποτελεί εταιρεία συμφερόντων του ΣΤ, μεγαλομετόχου της ΠΑΕ ...» και η εν λόγω ιστοσελίδα δεν αναπαρήγαγε την ανακοίνωση προς τον σκοπό ενημέρωσης του κοινού αλλά προς τον σκοπό διαπόμπευσης και βλάβης του καταγγέλλοντος. Αναφορικά με τη βλάβη που υπέστη ο καταγγέλλων ενόψει του ότι αιτείται να επιβληθεί στους καταγγελλόμενους η ανώτατη διοικητική κύρωση, αναφέρει ότι έχει υποστεί ηθική, ψυχολογική, πνευματική και επαγγελματική βλάβη από την παραβίαση των δεδομένων προσωπικού χαρακτήρα που τον αφορούν, καθώς μετά την παράνομη δημοσίευση τον διακατέχει φόβος για την ασφάλεια της οικογενείας του που δεν μπορεί να τον ξεπεράσει και δεν ακολουθεί την αποστολή της ομάδας σε αγώνες εκτός έδρας, με αποτέλεσμα παρότι είχε καθιερωθεί ως βασικός τερματοφύλακας να βρεθεί πάλι τρίτος στη σειρά τερματοφύλακας και έτσι να μειωθεί η αγωνιστική του αξία. Επίσης, αναφορικά με την πρώτη καταγγελλόμενη, ο καταγγέλλων ισχυρίζεται ότι η ... ψεύδεται, όταν αναφέρει ότι το Τμήμα Μητρώων της τοποθετεί αμέσως το συμβόλαιο στον φάκελο του ποδοσφαιριστή και αποθηκεύει τον φάκελο σε ερμάριο, το οποίο κλειδώνεται, καθώς τα εν λόγω δεδομένα τυγχάνουν επεξεργασίας και για άλλους σκοπούς, όπως, επειδή επί της αξίας του συμβολαίου η ... εισπράττει 5%, πρόσβαση στα συμβόλαια έχουν και άλλα τμήματα, όπως το λογιστήριο της και στην ... εφαρμόζεται ηλεκτρονικό σύστημα μεταγραφών από το καλοκαίρι του 2020, στο οποίο έχουν πρόσβαση η ... ως διαχειρίστρια, και οι ομάδες (αυτή που αποκτά τον ποδοσφαιριστή και αυτήν από την οποία αποχωρεί), ενώ η Super League1 και ο ΠΣΑΠ δεν έχουν σε αυτό πρόσβαση.
Η ... με τα από 05-08-2021 υπομνήματά της ανέφερε ότι εγκρίθηκαν η σύναψη συμφωνίας με εταιρεία που θα επιλεγεί για να οργανώσει τα ζητήματα που αφορούν τον ΓΚΠΔ και η πρόταση συμβουλευτικής εταιρείας για την πλήρωση της θέσης του Υπευθύνου Προστασίας Δεδομένων. Αναφορικά με την επεξεργασία στην οποία υποβάλλονται τα συμβόλαια των ποδοσφαιριστών, η ... ανέφερε ότι το από … συμβόλαιο του καταγγέλλοντος με την ΠΑΕ Χ και το από … τροποποιητικό συμβόλαιο αυτού δεν είναι ψηφιοποιημένα, ενώ το από … συμβόλαιο του καταγγέλλοντος με την ΠΑΕ Ψ είναι σε ψηφιακή μορφή από της υποβολής του από την ΠΑΕ Ψ στο Εσωτερικό Σύστημα Συσχετισμού Μετεγγραφών (ΕΣΣΜ) της ... και προσκόμισε στην Αρχή αντίγραφα από το αρχείο που διατηρεί των τριών επίμαχων συμβολαίων.
Η ΠΑΕ ... με το από 06-08-2021 υπόμνημά της υποστήριξε ότι «μετά τη διόρθωση από τον Υπεύθυνο Τύπου της ανάρτησης με την κάλυψη των απλών δεδομένων του καταγγέλλοντος, συγκλήθηκε τηλεδιάσκεψη της ομάδας διαχείρισης περιστατικών παραβίασης της ΠΑΕ ... για να αποφασιστούν οι επόμενες κινήσεις, βάσει του Incident Response Plan» και μετά από αξιολόγηση του συμβάντος κρίθηκε πως η ΠΑΕ δεν έπρεπε να προβεί σε καμία περαιτέρω ενέργεια, ήτοι γνωστοποίηση στην Αρχή του περιστατικού βάσει του άρθρου 33 ΓΚΠΔ, επειδή δεν υπήρξε υψηλός κίνδυνος για τα δικαιώματα και τις ελευθερίες του υποκειμένου, από τη στιγμή που άμεσα σβήστηκαν τα στοιχεία του βάσει του άρθρου 34 του ΓΚΠΔ, ενώ τα δεδομένα ήταν απλά και ευρέως γνωστά λόγω της φήμης του υποκειμένου και όχι ευαίσθητα προσωπικά δεδομένα και η φύση, η βαρύτητα και η διάρκεια της παράβασης ήταν τέτοια που δεν προκάλεσε ζημία στο υποκείμενο των δεδομένων και δεν επικαλέστηκε στην καταγγελία. Επίσης, η ΠΑΕ ... ανέφερε ότι «υπήρξε πεποίθηση ότι η επεξεργασία ήταν απαραίτητη για τους σκοπούς των εννόμων συμφερόντων που επεδίωκε και η ανάρτηση του συνόλου των συμβολαίων έγινε εκ παραδρομής. Η φύση όμως και η βαρύτητα και η διάρκεια της παραβίασης ήταν τέτοια που δεν προκάλεσε ζημία στον καταγγέλλοντα και αυτό αποδείχθηκε γιατί ο ίδιος δεν ανέφερε καμία ζημία. Δεν συνέτρεχε δόλος της ΠΑΕ ... αλλά μόνο απροσεξία και αμέλεια» και στη συνέχεια επεσήμανε ότι «η επίκληση του “εννόμου συμφέροντος μας” αναφέρεται σε συνάρτηση με τη δημοσιοποίηση των επίμαχων συμβολαίων και όχι φυσικά στη δημοσιοποίηση των προσωπικών δεδομένων του καταγγέλλοντος», και «κρίθηκε εσωτερικά ότι μόνον από τα οικονομικά στοιχεία των συμβολαίων προέκυπτε άμεσα και αδιαφιλονίκητα η «διαπλοκή» μεταξύ των 2 ομάδων («Ψ» και «Χ»)». Τέλος, η ΠΑΕ ... προσκόμισε στην Αρχή αντίγραφα από το αρχείο που διατηρεί των τριών επίμαχων συμβολαίων.
Η εταιρεία ... με το από 06-08-2021 υπόμνημά της αναφέρει, σε σχέση με την εφαρμογή του άρθρου 29 του ν. 4624/2019 για την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο δημοσιογραφικών σκοπών, ότι «εν προκειμένω κρίσιμο είναι το ζήτημα της στάθμισης μεταξύ των συνταγματικής περιωπής δικαιωμάτων της ελευθεροτυπίας, της πληροφόρησης του κοινού δια του Τύπου και του δικαιώματος του προσώπου στη διαφύλαξη του απορρήτου των προσωπικών δεδομένων του και η υπεροχή της ελευθεροτυπίας συνάγεται από την ανεπιφύλακτη διατύπωση του άρθρου 14 του Συντάγματος, από τη διάταξη του άρθρου 9 της Οδηγίας 95/46 που επιτάσσει τα κράτη μέλη να προβλέπουν αποκλίσεις υπέρ της έρευνας για δημοσιογραφικούς σκοπούς, καθώς και από τις διατάξεις των παρ. 1-3 του αρ. 2 του Κώδικα Δεοντολογίας ειδησεογραφικών και λοιπών εκπομπών. Σε περίπτωση στάθμισης δε, προκειμένου να υπερισχύσει το καθήκον και δικαίωμα του τύπου στην πληροφόρηση του κοινού έναντι της τυχόν παραβίασης των διατάξεων του ν. 4624/2019 γίνεται δεκτόν ότι πρέπει να συντρέχει αφενός, οντολογικώς, ενδιαφέρον του κοινού για τα αποκαλυπτόμενα δημοσιογραφικώς δεδομένα και αφετέρου δεοντολογικώς, να παρίσταται ως δικαιοηθικώς αποδεκτό και επιδοκιμαζόμενο το συγκεκριμένο ενδιαφέρον». Επίσης, σε αυτήν τη στάθμιση λαμβάνεται υπόψη και η ιδιότητα του υποκειμένου ως «δημοσίου προσώπου», η οποία είτε αποκτάται ευθέως, όταν το ίδιο το πρόσωπο απασχολεί την επικαιρότητα, είτε αντανακλαστικώς όταν συνδέεται λ.χ. με δεσμό συγγένειας με δημόσιο πρόσωπο και ειδικώς στο πεδίο της δημοσιογραφικής έρευνας αμφισβητείται κατά πόσον η δημοσίευση πληροφοριών που αποκτήθηκαν με παράνομο τρόπο είναι νόμιμη ή μη, αναφέροντας και την Απόφαση 32/2007 της Αρχής με την οποία εκρίθη ότι ακόμα κι αν ο τρόπος συλλογής των δεδομένων είναι παράνομος και συνιστά, υπό προϋποθέσεις ποινικό αδίκημα, κατά τις διατάξεις του άρθρου 370Α ΠΚ και, ιδίως των παρ. 1, 2, 3 και 4, αυτό που πρέπει να εξεταστεί είναι εάν είναι νόμιμη ή μη η δημοσίευση, με γνώμονα εάν υπερέχει ή όχι στην εκάστοτε δημοσίευση το δικαίωμα του κοινού στην πληροφόρηση και το αντίστοιχο δημοσιογραφικό καθήκον προς ενημέρωση, ιδιαίτερα όταν αφορά στα δημόσια πρόσωπα που ασκούν δημόσια καθήκοντα και τελικώς εκρίθη ότι υπερίσχυε το δικαίωμα του κοινού στην πληροφόρηση και το επιβεβλημένο δημοσιογραφικό καθήκον για αναζήτηση και αποκάλυψη της αλήθειας, δοθέντος ότι επρόκειτο για ένα μείζον ζήτημα δημοσίου ενδιαφέροντος, που αφορούσε περιουσιακή κατάσταση δημοσίου εξ αντανακλάσεως προσώπου. Στη συγκεκριμένη περίπτωση, η εταιρεία ... ισχυρίζεται ότι η επεξεργασία είναι επιτρεπτή κατά τις διατάξεις της περίπτωσης γ΄ της παρ. 1 του αρ. 28 του ν.4624/2019 γιατί επρόκειτο για ένα ζήτημα εντόνου δημοσίου και δημοσιογραφικού ενδιαφέροντος, στο οποίο εφέροντο εμπλεκόμενα δημόσια πρόσωπα και απασχολούσε την τότε σχετική επικαιρότητα, καθώς ο καταγγέλλων είναι δημόσιο πρόσωπο και δη γνωστός και διεθνής αθλητής και αμέσως προηγουμένως είχε αποκαλύψει απόπειρα δεκασμού του με σκοπό να έχει μειωμένη απόδοση στο «ντέρμπι». Τέλος, η εταιρεία ... επισημαίνει ότι θα πρέπει σύμφωνα με τη σχετική νομολογία να δεχθεί η Αρχή ως νόμιμη και τη συλλογή πληροφοριών από την ιδιωτική και την απόρρητη σφαίρα ενός προσώπου, υπό την προϋπόθεση ότι οι πληροφορίες αυτές έχουν ήδη δημοσιευθεί, έχουν καταστεί γνωστές από τα μέσα μαζικής ενημέρωσης και συντρέχει δικαιολογημένο ενδιαφέρον και επομένως, επί αναδημοσίευσης δεν τυγχάνουν εφαρμογής οι διατάξεις του ν. 2472/1997 και αυτό σημαίνει ότι η αναδημοσίευση αυτούσιας της ανακοίνωσης της ΠΑΕ ... δεν συνιστά παράνομη επεξεργασία.
Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου και αποχώρησε μετά από τη συζήτηση της υποθέσεως και πριν από τη διάσκεψη και τη λήψη αποφάσεως, κατόπιν διεξοδικής συζητήσεως,
ΣΚΕΦΘΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
1. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (ΕΕ) 2016/679 (εφεξής «ΓΚΠΔ») και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
2. Επειδή, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς (…), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων») (…)».
3. Επειδή, σύμφωνα με το άρθρο 5 παρ. 2 του ΓΚΠΔ «ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 («λογοδοσία»)». Όπως έχει ήδη κρίνει η Αρχή, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό σημείο του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον, ο υπεύθυνος επεξεργασίας βαρύνεται με το ειδικότερο καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ, τόσο ως προς το υποκείμενο των δεδομένων δια λόγους διαφάνειας της επεξεργασίας, όσο και, ιδίως, ενώπιον της εποπτικής Αρχής. Δεν είναι τυχαίο ότι ο ΓΚΠΔ εντάσσει τη λογοδοσία (άρθρο 5 παρ. 2 ΓΚΠΔ) στη ρύθμιση των αρχών (άρθρο 5 παρ. 1 ΓΚΠΔ) που διέπουν την επεξεργασία, προσδίδοντας σε αυτήν, τη λειτουργία ενός μηχανισμού τήρησής τους, αντιστρέφοντας κατ’ ουσίαν το «βάρος της απόδειξης» ως προς τη νομιμότητα της επεξεργασίας (και εν γένει την τήρηση των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ), μεταθέτοντάς τη στον υπεύθυνο επεξεργασίας, ώστε να υποστηρίζεται βάσιμα ότι εκείνος φέρει το βάρος της επίκλησης και απόδειξης της νομιμότητας της επεξεργασίας. Έτσι, συνιστά υποχρέωση του υπευθύνου επεξεργασίας αφενός να λαμβάνει από μόνος του τα αναγκαία μέτρα προκειμένου να συμμορφώνεται προς τις απαιτήσεις του ΓΚΠΔ, αφετέρου, να αποδεικνύει ανά πάσα στιγμή την ανωτέρω συμμόρφωσή του, χωρίς μάλιστα να απαιτείται η Αρχή, στο πλαίσιο άσκησης των ερευνητικών - ελεγκτικών εξουσιών της, να υποβάλλει επιμέρους - εξειδικευμένα ερωτήματα και αιτήματα προς διαπίστωση της συμμόρφωσης.
4. Επειδή, σύμφωνα με τους ορισμούς του άρθρου 4 στοιχ. 1 ΓΚΠΔ «νοούνται ως «δεδομένα προσωπικού χαρακτήρα»: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου».
5. Επειδή, στο άρθρο 28 παρ. 1 του ν. 4624/2019 προβλέπεται ότι «Στον βαθμό που είναι αναγκαίο να συμβιβαστεί το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα με το δικαίωμα στην ελευθερία της έκφρασης και πληροφόρησης, συμπεριλαμβανομένης της επεξεργασίας για δημοσιογραφικούς σκοπούς και για σκοπούς ακαδημαϊκής, καλλιτεχνικής ή λογοτεχνικής έκφρασης, η επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται όταν: α) το υποκείμενο των δεδομένων έχει παράσχει τη ρητή συγκατάθεσή του, β) αφορά δεδομένα προσωπικού χαρακτήρα που έχουν προδήλως δημοσιοποιηθεί από το ίδιο το υποκείμενο, γ) υπερέχει το δικαίωμα στην ελευθερία της έκφρασης και το δικαίωμα της πληροφόρησης έναντι του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα του υποκειμένου, ιδίως για θέματα γενικότερου ενδιαφέροντος ή όταν αφορά δεδομένα προσωπικού χαρακτήρα δημοσίων προσώπων […]»
6. Επειδή, ως προς την πρώτη καταγγελλόμενη, από τα στοιχεία του φακέλου προκύπτει ότι τα επαγγελματικά συμβόλαια του καταγγέλλοντος που έχουν δημοσιευθεί στην ανακοίνωση της ΠΑΕ ... και σε ιστοσελίδες είναι i. το από … αρχικό συμβόλαιό του με την ΠΑΕ Χ, ii. το από … τροποποιητικό αυτού, καθώς και iii. το από … συμβόλαιο με την ΠΑΕ Ψ, τα οποία περιέχουν δεδομένα προσωπικού χαρακτήρα που τον αφορούν, ήτοι ονοματεπώνυμο, διεύθυνση κατοικίας, ημερομηνία γέννησης, υπηκοότητα, ΑΔΤ, ΑΦΜ, ΔΟΥ και χρηματικές αμοιβές και τα δύο πρώτα φέρουν κάτω αριστερά στην πρώτη σελίδα την ένδειξη «2. ...»., όπως προκύπτει από τα προσκομισθέντα στοιχεία, είναι καταχωρημένα σε σύστημα αρχειοθέτησης που διατηρεί η πρώτη καταγγελλόμενη. Επομένως, η Αρχή έχει αρμοδιότητα να εξετάσει την καταγγελία.
7. Επειδή η ... ως ..., όπως προκύπτει από τα προσκομισθέντα στοιχεία, είναι οργανωμένος φορέας, στον οποίο υφίσταται Τμήμα Μητρώων Ποδοσφαιριστών, όπου διατηρούνται οι φάκελοι των επαγγελματιών ποδοσφαιριστών, στους οποίους καταχωρούνται και τα συμβόλαια των ποδοσφαιριστών, ως αποδεικτικά στοιχεία για τα ήδη εκδοθέντα από το αρμόδιο Τμήμα της ... Δελτία των ποδοσφαιριστών. Επομένως, η ... συνιστά τον υπεύθυνο επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που αφορούν τους ποδοσφαιριστές και έχει όλες τις προβλεπόμενες από τον ΓΚΠΔ και τον ν. 4624/2019 υποχρεώσεις του υπευθύνου επεξεργασίας, μεταξύ των οποίων την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων για να διασφαλίσει ότι η επεξεργασία πραγματοποιείται σύμφωνα με το ανωτέρω πλαίσιο.
8. Επειδή παρότι στην ανακοίνωση της ΠΑΕ ... δημοσιεύονται τρία συμβόλαια του καταγγέλλοντος, μόνο στα δύο εξ αυτών, ήτοι στα από … και … συμβόλαια, υπάρχει η ένδειξη «1. ...» στο κάτω αριστερά σημείο της σελίδας, καθώς και ο αριθμός «…» στην πρώτη σελίδα του από … συμβολαίου, ενώ δεν υπάρχει αντίστοιχη ένδειξη στο τελευταίο συμβόλαιο.
9. Επειδή η πρώτη σελίδα των συμβολαίων που τηρούνται στο αρχείο της ... σε σχέση προς τις αντίστοιχες που παρελήφθησαν από την ΠΑΕ ... σε ανώνυμο φάκελο ταυτίζεται απόλυτα. Επιπλέον, από κανένα αποδεικτικό μέσο δεν προέκυψε ότι οι εν λόγω σελίδες έχουν παραποιηθεί και πλαστογραφηθεί. Ως προς τον ισχυρισμό της ... ότι ενδέχεται τα εν λόγω συμβόλαια να αντιγράφησαν και διέρρευσαν σε χρόνο προ της αποστολής τους στην ... από τον χρόνο επικύρωσής τους από τη Super League και έως την παράδοσή τους στην ΠΑΕ ..., η Αρχή απορρίπτει τον ισχυρισμό αυτό ως ουσία αβάσιμο καθώς:
Πρώτον, η ΠΑΕ ... δημοσίευσε τα εν θέματι συμβόλαια, όπως τα παρέλαβε ο Υπεύθυνος Τύπου με τον ανώνυμο φάκελο και σε αντιπαραβολή αυτών με τα αναρτημένα στην από … ανακοίνωση της ΠΑΕ ..., η μόνη παρέμβαση που έγινε σε αυτά με πρωτοβουλία του ιδίου του Υπευθύνου Τύπου, όπως ανέφερε η ΠΑΕ ..., είναι η κάλυψη με μαύρο μαρκαδόρο των εξής σημείων: ημερομηνία γεννήσεως, διεύθυνση κατοικίας, αριθμός τηλεφώνου και ΑΦΜ. Επομένως, από τα συμβόλαια που ενσωματώθηκαν στην ανακοίνωση της ΠΑΕ ... στην ιστοσελίδα της, προκύπτει ότι εκτός από την κάλυψη των ανωτέρω σημείων με μαύρο μαρκαδόρο, - στο από … συμβόλαιο μεταξύ καταγγέλλοντος και ΠΑΕ Χ δεν φαίνεται στην πρώτη σελίδα στην κεφαλίδα η επωνυμία της Super League, με τα στοιχεία της, το σφραγιδάκι με την ημερομηνία «…» και ο αριθμός «…», στοιχεία που στο σύνολό τους υπήρχαν στο αντίστοιχο συμβόλαιο που προσκόμισε η ... και η ΠΑΕ ... ως το αντίγραφο που έλαβε στον φάκελο, καθώς και στο συμβόλαιο που προσκόμισε,
- το από … συμβόλαιο, επίσης μεταξύ καταγγέλλοντος και ΠΑΕ Χ, έχει πανομοιότυπες όλες τις σελίδες με τα αντίστοιχα συμβόλαια που προσκόμισε η ... και η ΠΑΕ ... ως αντίγραφο που έλαβε στον φάκελο, εκτός από την τελευταία σελίδα, στην οποία έχει καλυφθεί το κάτω μέρος της, όπου υπάρχουν οι υπογραφές των εμπλεκομένων.
- στο από … συμβόλαιο μεταξύ του καταγγέλλοντος και της ΠΑΕ Ψ στην ανακοίνωση υπάρχει μόνο η πρώτη σελίδα με καλυμμένες τις υπογραφές, όπως και στο συμβόλαιο που προσκόμισε η ΠΑΕ ... ότι έλαβε στον φάκελο, και φαίνεται μόνο η μισή δεύτερη σελίδα με την αμοιβή και τις δόσεις αυτής, χωρίς να έχει αναρτηθεί το υπόλοιπο συμβόλαιο.
Δεύτερον, το πρώτο εκ των συμβολαίων επικυρώθηκε από την Super League στις … και θα έπρεπε να έχει διαβιβασθεί εντός 7 ημερών (ο καταγγέλλων ανέφερε ότι «το αρχικό συμβόλαιό μου με την ΠΑΕ Χ διαβιβάστηκε στην ... …, το τροποποιητικό αυτού στις …»), ήτοι δεκαεπτά (17) μήνες προ της αποστολής του με ανώνυμο φάκελο στην ΠΑΕ ... . Το τρίτο διαβιβάσθηκε στην ... στις …, όπως αναφέρει ο καταγγέλλων (στο σφραγιδάκι πάνω στο σώμα του συμβολαίου αναγράφεται …), ήτοι 2 μήνες πριν από την αποστολή του στην ΠΑΕ ... . Από τα πραγματικά αυτά περιστατικά προκύπτει ότι το σύνολο των συμβολαίων διέρρευσαν στον ίδιο χρόνο και άρα από το αρχείο της ... . Αντίθετη περίπτωση, κατά την οποία το πρώτο συμβόλαιο που υπεγράφη στις … αντεγράφη από τον χρόνο επικύρωσης του στη Super League και έως την παράδοση τους στην ΠΑΕ ... σε ανώνυμο φάκελο, 17-18 μήνες αργότερα και επομένως, διατηρήθηκε από άγνωστο πρόσωπο για μελλοντική χρήση, αντίκειται στα διδάγματα της πείρας και τα πορίσματα της κοινής λογικής.
Τρίτον, ενώ η ... ισχυρίζεται ότι διενήργησε εσωτερική έρευνα για το ενδεχόμενο διαρροής των συμβολαίων από το αρχείο της με αρνητικό αποτέλεσμα με βάση το επικαλούμενο Πόρισμα της, εν τούτοις, ο ισχυρισμός αυτός παραμένει ατεκμηρίωτος, καθώς συνιστά απλό προφορικό ισχυρισμό. Από κανένα αποδεικτικό μέσο δεν προέκυψε αφενός ότι έλαβε χώρα τέτοιος έλεγχος, αφετέρου, ακόμη και εάν υποτεθεί ότι έλαβε χώρα τέτοιος έλεγχος, δεν συντάχθηκε κανένα Πόρισμα, δεν προέκυψε ποιες ήταν οι ελεγκτικές ενέργειες, στις οποίες προέβη για να καταλήξει στο εν λόγω προφορικό, τελικά, Πόρισμα, προέκυψε ότι δεν προσκομίσθηκε κανονισμός ή διαδικασία εσωτερικού ελέγχου, από τον οποίο να προκύπτουν τα αρμόδια ελεγκτικά όργανα, οι αρμοδιότητές τους, η διαδικασία των επιμέρους ελεγκτικών πράξεων κ.λπ. Επιπλέον δε, ενώ η ... στο υπ’ αρ. πρωτ. .../07-07-2021 υπόμνημά της αναφέρεται σε Πολιτική Ασφαλείας, εν τούτοις, ουδέποτε προσκομίσθηκε, αν και ζητήθηκε από την Αρχή.
Τέταρτον, ενώ ζητήθηκε με την από υπ’ αρ. πρωτ. .../28-06-2021 επιστολή της Αρχής να προσκομιστούν όλες οι πολιτικές ή διαδικασίες συμμόρφωσης της ..., εν τούτοις δεν προσκομίσθηκε καμία πολιτική και διαδικασία αναφορικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που έχει στην κατοχή της και ανέφερε ότι μετά από αποφάσεις της Εκτελεστικής της Επιτροπής που ελήφθησαν τον … και τον … του …, ήτοι … έτη μετά την έναρξη εφαρμογής του Γενικού Κανονισμού, εγκρίθηκε η πρόταση συμβουλευτικής εταιρείας για την πλήρωση της θέσης του Υπευθύνου Προστασίας Δεδομένων και την εν γένει συμμόρφωση, όπως προκύπτει.
Πέμπτον, ενώ η ... με τα υπ’ αρ. πρωτ. .../16-03-2021 και .../07-07-2021 υπομνήματά της προ της ακρόασης υποστήριξε ότι το σύστημα αρχειοθέτησής της είναι χειροκίνητο και αποτελείται από τους έγχαρτους φακέλους του κάθε ποδοσφαιριστή, εν τούτοις, κατά την ακρόαση ενώπιον της Αρχής ο καταγγέλλων υποστήριξε ότι το σύστημα από το 2020 είναι ηλεκτρονικό. Με αφορμή τον ισχυρισμό αυτό, η Αρχή ζήτησε από την ... να την ενημερώσει με το μετ’ ακρόαση υπόμνημά της επί του ισχυρισμού αυτού, στο οποίο τελικά ανέφερε ότι υπάρχει και ηλεκτρονικό σύστημα μεταγραφών από το καλοκαίρι του 2020, στο οποίο έχουν πρόσβαση η ... ως διαχειρίστρια, και οι ομάδες. Ως εκ τούτου, προκύπτει ότι η ... ενώ γνώριζε ότι υφίσταται ηλεκτρονικό σύστημα το απέκρυψε από την Αρχή. Επομένως, η Αρχή διαπιστώνει ότι η διαρροή των επίδικων συμβολαίων, τα οποία περιέχουν προσωπικά δεδομένα έλαβε χώρα από το σύστημα αρχειοθέτησης του υπευθύνου επεξεργασίας (...). Αντιθέτως, δεν προέκυψε ότι η ... με δόλο επενέβη παράνομα σε σύστημα αρχειοθέτησης, αντέγραψε και διέρρευσε τα συμβόλαια απευθείας ή μέσω τρίτου, άγνωστου προσώπου, όπως ισχυρίζεται ο καταγγέλλων. Η διαρροή των εν λόγω συμβολαίων, στα οποία περιέχονται προσωπικά δεδομένα του καταγγέλλοντος, οφείλεται στην από μέρους της ... έλλειψης των κατάλληλων τεχνικών και οργανωτικών μέτρων ασφαλείας και εν γένει συμμόρφωσης προς τις απαιτήσεις του ΓΚΠΔ.
10. Επομένως, επειδή από το σύνολο του φακέλου και της ακροαματικής διαδικασίας, προκύπτει ότι η ... ως υπεύθυνος επεξεργασίας των προσωπικών δεδομένων, τα οποία περιλαμβάνονται στα συμβόλαια των ποδοσφαιριστών της δεν έχει προβεί σε συμμόρφωση με τον Γενικό Κανονισμό και τον ν. 4624/2019, θα πρέπει να επιβληθούν δύο διαφορετικές κυρώσεις, μία για παραβίαση των αρ. 5 παρ. 1 εδ. α’, στ’, 2, 24 παρ. 1, 2 και 32 παρ. 1 και 2 του ΓΚΠΔ και μία δεύτερη για τη συγκεκριμένη διαρροή και να δοθεί εντολή με βάση το άρθρο 58 παρ. 2 στοιχ. δ ΓΚΠΔ για συμμόρφωση με το νομοθετικό πλαίσιο προστασίας των δεδομένων προσωπικού χαρακτήρα εντός δύο (2) μηνών από την παραλαβή της παρούσας.
11. Επειδή ως προς τη δεύτερη καταγγελλόμενη, από τα στοιχεία του φακέλου προκύπτει ότι, σύμφωνα με όσα υποστηρίζει η ΠΑΕ ..., έλαβε σε ανώνυμο φάκελο τα επίμαχα συμβόλαια, τα οποία ανήρτησε στην επίσημη ιστοσελίδα της στις … και ώρα … (όπως υποστηρίζει ότι αντελήφθη ο καταγγέλλων) ή … (όπως υποστηρίζει η ΠΑΕ ...) χωρίς να προβεί σε κάποια ενέργεια κάλυψης/διαγραφής των δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος, ενέργεια στην οποία προέβη την ίδια ημέρα και ώρα … διαγράφοντας τελικά τη διεύθυνση κατοικίας και το ΑΦΜ. Επομένως, με την ανάρτηση των εν λόγω συμβολαίων εμπεριέχοντα τα δεδομένα προσωπικού χαρακτήρα του καταγγέλλοντος, η ΠΑΕ ... κατέστη υπεύθυνη επεξεργασίας ως διαχειρίστρια της ιστοσελίδας, στην οποία αναρτήθηκαν τα εν λόγω δεδομένα και έχει όλες τις προβλεπόμενες από τον ΓΚΠΔ και τον ν. 4624/2019 υποχρεώσεις του υπευθύνου επεξεργασίας, μεταξύ των οποίων και την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων για να διασφαλίσει ότι η επεξεργασία πραγματοποιείται σύμφωνα με το ανωτέρω νομικό πλαίσιο. Το γεγονός της δημοσίευσης του συνόλου των δεδομένων προσωπικού χαρακτήρα που περιέχονται στα επίμαχα συμβόλαια αποδεικνύει ότι δεν ελήφθησαν τα απαιτούμενα τεχνικά και οργανωτικά μέτρα ασφαλείας, ώστε να μην δημοσιοποιηθούν ευρέως τα εν λόγω στοιχεία. Ακόμα και η απόκρυψη που πραγματοποιήθηκε αφορούσε μόνο τη δ/νση κατοικίας και το ΑΦΜ, χωρίς να ληφθεί υπόψη ότι και τα στοιχεία αμοιβών αποτελούν δεδομένα προσωπικού χαρακτήρα του καταγγέλλοντος και μάλιστα ιδιαίτερης σημασίας, ακόμη και σε σχέση με τη διακινδύνευση της ασφάλειας του καταγγέλλοντος, καθώς και τη δυνατότητα τέλεσης εγκλημάτων σε βάρους του εκ του λόγου αυτού.
12. Επισημαίνεται ότι, παρότι η ΠΑΕ ... προσκόμισε αμελλητί το σύνολο των πολιτικών και διαδικασιών που εφαρμόζει και έχει αποδείξει τη διάθεση συνεργασίας με την Αρχή, καθώς και ότι παρείχε οδηγία προς τους εργαζομένους της ως προς τον τρόπο της επεξεργασίας των προσωπικών δεδομένων τρίτων, («[…] διαχειρίζομαι με προσοχή τα προσωπικά δεδομένων … των πολιτών… στο πλαίσιο της εργασίας μου και της υπηρεσίας που παρέχω, και φροντίζω να μην κοινοποιούνται ή αποκαλύπτονται σε τρίτους, καθώς επίσης και να μη γίνονται ορατά με οποιονδήποτε τρόπο από τρίτους που δεν εμπλέκονται στην παροχή της συγκεκριμένης υπηρεσίας», εν τούτοις δεν προκύπτει η ύπαρξη σαφούς διαδικασίας για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που εμπεριέχονται σε δημοσιεύσεις που αναρτώνται σε δελτία τύπου ή ανακοινώσεις στην ιστοσελίδα της ΠΑΕ.
13. Επειδή θα πρέπει να ληφθεί υπόψη ότι οι ΠΑΕ των ομάδων ποδοσφαίρου αναρτούν στους πίνακες ανακοινώσεων και στις ιστοσελίδες τους τις αποφάσεις των εσωτερικών τους οργάνων και θέματα που αφορούν το φίλαθλο κοινό της ομάδας τους, ενώ στην επίμαχη ανακοίνωση της ΠΑΕ ... η ανάρτηση αφορούσε επαγγελματικά συμβόλαια ποδοσφαιριστή άλλων ομάδων, γεγονός που επιτείνει τη μη νόμιμη επεξεργασία των εν λόγω δεδομένων.
14. Επειδή επικαλείται η ΠΑΕ ... έννομο συμφέρον για «την αποκάλυψη της συμπαιγνίας» και την προστασία του κύρους της ΠΑΕ ..., διευκρινίζοντας όμως, ότι δεν το επικαλείται ως ισχυρισμό και δικαιολογητική νομική βάση της επεξεργασίας. Εξάλλου, θα συνιστούσε αξιολογική αντινομία από τη μια να επικαλείται τη νομική βάση του υπέρτερου έννομου συμφέροντος για να δικαιολογήσει την ανάρτηση και δημοσιοποίηση των συμβολαίων και από την άλλη να προβαίνει σε διαγραφή κάποιων από τα δεδομένα, παραδεχόμενη ότι η από μέρους της ανάρτηση των προσωπικών δεδομένων υπήρξε εσφαλμένη ενέργεια.
15. Επειδή η ΠΑΕ ... μόλις αντελήφθη τη δημοσιοποίηση των δεδομένων του καταγγέλλοντος δεν πρόεβη σε γνωστοποίηση του περιστατικού παραβίασης γιατί είχε την πεποίθηση ότι η επεξεργασία ήταν απαραίτητη για τους σκοπούς των εννόμων συμφερόντων που επεδίωκε και ότι η παραβίαση δεν ήταν δυνατό να προκαλέσει κίνδυνο.
16. Επειδή από τις διατάξεις του άρθρου 6 ΓΚΠΔ προκύπτει ότι η επικαλούμενη από την ΠΑΕ ... «δικαιολογημένη αγανάκτηση» δεν συνιστά νόμιμο λόγο επεξεργασίας προσωπικών δεδομένων, ούτε μπορεί να υπαχθεί ερμηνευτικά σε καμία από τις περιλαμβανόμενες νόμιμες βάσεις. Ως εκ τούτου, η ανάρτηση των συμβολαίων που περιελάμβανε προσωπικά δεδομένα διενεργήθηκε χωρίς νόμιμη βάση και επομένως κατά παράβαση των άρθρων 5 παρ. 1 εδ. α’ συνδ. 6 παρ. 1 ΓΚΠΔ. Επιπλέον, η Αρχή λαμβάνει υπόψη την έλλειψη εσωτερικής αξιολόγησης και την μη παροχή οδηγιών στον αρμόδιο υπάλληλο για τον έλεγχο της τήρησης της νομοθεσίας για την προστασία των προσωπικών δεδομένων πριν από τις αναρτήσεις που πραγματοποιούνται στην ιστοσελίδα της ΠΑΕ ... .
17. Επειδή η ΠΑΕ ... ισχυρίζεται ότι ο Υπεύθυνος Τύπου Ε έδωσε εντολή ανάρτησης στο πλαίσιο μιας αυθόρμητης ενέργειας ως αποτέλεσμα της αγανάκτησης για όσα είχε υποστεί η ΠΑΕ ..., καθώς πίστευε ότι το περιεχόμενο των συμβολαίων και ειδικότερα το αναγραφόμενο τίμημα και η διαφοροποίηση μεταξύ των 300.000 - 30.000 ευρώ αποδείκνυε το ψευδές της καταγγελίας περί απόπειρας δωροδοκίας του εδώ καταγγέλλοντος. Παρά το ότι το γεγονός της διαφοροποίησης του ύψους του τιμήματος της σύμβασης δεν καθιστά άνευ ετέρου δεδομένο ότι υφίσταται συμπαιγνία και ότι η καταγγελθείσα απόπειρα δωροδοκίας υπήρξε ψευδής, εν τούτοις, η υποκειμενική θεώρηση των πραγμάτων από την ΠΑΕ ..., οδήγησε τον τελευταίο στην αυθόρμητη και χωρίς προηγούμενη εξέταση των νόμιμων προϋποθέσεων του ΓΚΠΔ, εν λόγω ανάρτηση στο διαδίκτυο, υπό το πρίσμα μιας θεωρούμενης από τον ίδιο «αγανάκτησης». Σε καμία περίπτωση η Αρχή δεν μπορεί και δεν έχει αρμοδιότητα να διαπιστώσει εάν η εν λόγω αυθόρμητη ενέργεια συνιστά αντικειμενικά πράξη αγανάκτησης και δη δικαιολογημένη, δοθέντος ότι η υπόθεση εκκρεμεί ενώπιον της ποινικής δικαιοσύνης. Επομένως, η Αρχή, λαμβάνοντας υπόψη και το γεγονός της άμεσης (εντός 2ώρου) διαγραφής από τον ... των προσωπικών δεδομένων του καταγγέλλοντος -εκτός από τα ποσά των αμοιβών, τα οποία παρανόμως διατηρήθηκαν, διαπιστώνει ότι η εν λόγω παράνομη ανάρτηση έλαβε χώρα από αμέλεια.
18. Επειδή ως προς την τρίτη καταγγελλόμενη, προκύπτει ότι η εταιρεία ... έχει λάβει αριθμό μητρώου ... στο Μητρώο Επιχειρήσεων Ηλεκτρονικών Μέσων Ενημέρωσης (άρθρα 52, 53 και 54 του Νόμου 4339/2015 ΦΕΚ Α’ 133) της Γενικής Γραμματείας Ενημέρωσης και Επικοινωνίας και είναι αθλητική δημοσιογραφική ιστοσελίδα που απασχολεί μεγάλο αριθμό δημοσιογράφων. Επομένως, εφαρμόζεται το αρ. 28 του ν. 4624/2019 για την επεξεργασία δεδομένων στο πλαίσιο δημοσιογραφικών σκοπών.
19. Σύμφωνα με τα στοιχεία του φακέλου, στην ιστοσελίδα ..., της οποίας ιδιοκτήτρια είναι η εταιρεία ..., αναδημοσιεύτηκε στις … στις … αυτούσια η ανακοίνωση της ΠΑΕ ..., όπως αυτή αναρτήθηκε στην επίσημη ιστοσελίδα της ΠΑΕ, στην οποία εμπεριέχονται και φωτογραφίες των τριών συμβολαίων του καταγγέλλοντος. Αδιαμφισβήτητα, οι ανακοινώσεις των ΠΑΕ αποτελούν σημαντική είδηση που αναδημοσιεύεται και δη η εν λόγω δημοσίευση της ΠΑΕ ... ήταν ιδιαίτερα σημαντική για τα αθλητικά δρώμενα με έντονο δημοσιογραφικό ενδιαφέρον, αφορούσε μείζον θέμα της επικαιρότητας και θα ήταν αναμενόμενο να αναδημοσιευθεί από το σύνολο του αθλητικού και λοιπού Τύπου. Παράλληλα και ο καταγγέλλων θεωρείται πρόσωπο που εκτός από γνωστός αθλητής, είχε απασχολήσει ειδικά την περίοδο εκείνη την επικαιρότητα με την καταγγελλόμενη και φερόμενη απόπειρα δεκασμού του, προκειμένου να έχει τότε μειωμένη απόδοση στο ποδοσφαιρικό ντέρμπι των ομάδων Ψ-.... Θα πρέπει να ληφθεί υπόψη επίσης, ότι η ... επεδίωξε να καλύψει τα εν λόγω δεδομένα -εκτός από τα ποσά των αμοιβών- όταν το αντελήφθη και ότι στο Σχετικό 11 που έχει προσκομίσει φαίνεται ότι στις … έχουν διαγραφεί οι φωτογραφίες των τριών συμβολαίων από την ανακοίνωση της ΠΑΕ ..., όπως αυτή αναδημοσιεύτηκε στην ιστοσελίδα ... .
20. Η ... προέβη στην αναπαραγωγή/κοινοποίηση μιας ανάρτησης της ΠΑΕ ..., όπως εξάλλου και άλλες ιστοσελίδες, και όχι στην για πρώτη φορά δημοσιοποίηση των συμβολαίων που τυχόν θα έφταναν με ανώνυμο φάκελο, όπως στην περίπτωση της ΠΑΕ ... . Με δεδομένο επομένως ότι η ... προέβη στην αναπαραγωγή μιας πληροφορίας που περιελάμβανε προσωπικά δεδομένα, όφειλε προηγουμένως να ελέγξει την τήρηση των απαιτούμενων αρχών της επεξεργασίας κατ’ αρ. 5 ΓΚΠΔ. Επιπλέον, η Αρχή διαπιστώνει την απουσία πολιτικών και διαδικασιών συμμόρφωσης προς τις απαιτήσεις του ΓΚΠΔ προ της ανάρτησης προσωπικών δεδομένων. Περαιτέρω, λαμβάνονται υπόψη από την Αρχή, οι μεταγενέστερες ενέργειες διαγραφής μέρους των δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος από τα αναρτηθέντα συμβόλαια, απανάρτησης στη συνέχεια των φωτογραφιών των συμβολαίων από το δημοσίευμα στην ιστοσελίδα της και την άσκηση κριτικής μέσω δημοσιεύματος της ... για τη δημοσίευση των δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος από την ΠΑΕ ..., ήτοι, όπως αναφέρει δημοσιογράφος της ιστοσελίδας «[…] η ΠΑΕ ... […] … […] δημοσιεύει τη διεύθυνση κατοικίας σε επίσημη ανακοίνωση […]», καθώς και το γεγονός ότι και οι λοιπές ιστοσελίδες με αθλητικό και όχι μόνο περιεχόμενο προέβησαν στην αντίστοιχη αναπαραγωγή της ανακοίνωσης της ΠΑΕ ... .
21. Ο καταγγέλλων κατά την ακρόαση υποστήριξε ότι και οι άλλες ιστοσελίδες παραβίασαν τα προσωπικά δεδομένα του διά της αναπαραγωγής της Ανακοίνωσης, πλην όμως ο καταγγέλλων στράφηκε αποκλειστικά κατά της ... λόγω του ότι είναι συμφερόντων της ΠΑΕ ... και επομένως, κατά τους ισχυρισμούς του, με δόλο προέβη στην εν λόγω ανάρτηση, ενώ προφανώς οι υπόλοιπες ιστοσελίδες βαρύνονται με αμέλεια.
22. Με τη Γνωμοδότηση 1/2020 της Αρχής έγινε δεκτό ότι, ενόψει της αρχής της αναλογικότητας και της αρχής της πρακτικής εναρμόνισης μεταξύ προστασίας των προσωπικών δεδομένων και ελευθερίας του τύπου, η επεξεργασία προσωπικών δεδομένων κατά την άσκηση του δικαιώματος έκφρασης και πληροφόρησης επιτρέπεται όταν το δικαίωμα έκφρασης και πληροφόρησης υπερέχει έναντι του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα του υποκειμένου, ιδίως για θέματα γενικότερου ενδιαφέροντος ή όταν αφορά δεδομένα προσωπικού χαρακτήρα δημοσίων προσώπων, με την προϋπόθεση ότι η επεξεργασία περιορίζεται στο αναγκαίο μέτρο για την εξασφάλιση της ελευθερίας της έκφρασης και του δικαιώματος ενημέρωσης, ιδίως όταν αφορά ειδικών κατηγοριών δεδομένα προσωπικού χαρακτήρα, καθώς και ποινικές διώξεις, καταδίκες και τα σχετικά με αυτές μέτρα ασφάλειας.
Επισημαίνεται ότι σύμφωνα με τις σχετικές Αποφάσεις της Αρχής, η κρίση αν η συγκεκριμένη επεξεργασία ασκήθηκε νόμιμα ή, αντίθετα, αν παραβιάστηκε κατ’ αυτή το δικαίωμα της πληροφοριακής αυτοδιάθεσης των θιγόμενων προσώπων και της ιδιωτικής ζωής, υπακούει τόσο στο κριτήριο του κατά πόσο η επεξεργασία αυτή εξυπηρέτησε το συμφέρον της πληροφόρησης της κοινής γνώμης που υπερτερεί στη συγκεκριμένη περίπτωση του δικαιώματος της ιδιωτικής ζωής, όσο και στο κατά πόσο η εξεταζόμενη προσβολή ήταν στο πλαίσιο της αρχής της αναλογικότητας αναγκαία για την άσκηση του δικαιώματος πληροφόρησης. Η κρίση δε του ζητήματος αυτού εξαρτάται από τα δεδομένα που συντρέχουν σε κάθε περίπτωση. Σύμφωνα με την αρχή της στάθμισης, που γίνεται δεκτή από την πάγια νομολογία των ελληνικών δικαστηρίων και του Ευρωπαϊκού Δικαστηρίου των Δικαιωμάτων του Ανθρώπου (ΕΔΔΑ), τα ΜΜΕ έχουν κατά το άρθρο 10 της Ευρωπαϊκής Σύμβασης των Δικαιωμάτων του Ανθρώπου (ΕΣΔΑ), που κυρώθηκε με το ν.δ. 53/1974, καθήκον να ενημερώνουν το κοινό για υποθέσεις και θέματα που έχουν δημόσιο ενδιαφέρον και αντίστοιχα το κοινό έχει δικαίωμα να ενημερώνεται για ζητήματα και υποθέσεις γενικού ενδιαφέροντος. Ειδικά εφόσον πρόκειται για πρόσωπα της δημόσιας ζωής ή θέματα δημοσίου ενδιαφέροντος, η ανάγκη ενημέρωσης του κοινού είναι εντονότερη. Για τον λόγο αυτό το ΕΔΔΑ αναγνωρίζει τον ρόλο των δημοσιογράφων ως δημόσιων φρουρών (“public watchdogs”), ήτοι την ελεγκτική λειτουργία του Τύπου, η οποία καλύπτει τη δυνατότητά του να στηλιτεύει τα κακώς κείμενα με τη δημοσιοποίηση και δημόσια κριτική τους.
Σημειώνεται ότι ως «δημόσια πρόσωπα» έχει γίνει δεκτόότι νοούνται τα πρόσωπα που ασκούν δημόσια εξουσία, καθώς και εκείνα που διαδραματίζουν ρόλο σε οποιονδήποτε τομέα της δημόσιας ζωής, όπως στην πολιτική ή στην πολιτιστική, επιστημονική, θρησκευτική, οικονομική, καλλιτεχνική, κοινωνική, αθλητική ζωή. Επισημαίνεται επίσης ότι ως δημόσια πρόσωπα μπορεί να θεωρηθούν, κατά διασταλτική ερμηνεία, εναρμονισμένη προς το Σύνταγμα, και τα λεγόμενα πρόσωπα της επικαιρότητας. Από τη συνδυαστική ερμηνεία των περιπτώσεων γ΄ και δ΄ της πρώτης παραγράφου του άρθρου 28 του ν. 4624/2019, προκύπτει ότι η δημοσιοποίηση ακόμη και των απλών, εν προκειμένω, προσωπικών δεδομένων για δημοσιογραφικούς σκοπούς πρέπει να γίνεται με τέτοιο τρόπο, ώστε η διείσδυση στην ιδιωτική και οικογενειακή ζωή του υποκειμένου των δεδομένων να είναι η μικρότερη δυνατή στο πλαίσιο εναρμονισμένης εφαρμογής της προστασίας της ιδιωτικής και οικογενειακής ζωής αφενός και του δικαιώματος στην πληροφόρηση αφετέρου. Στην περίπτωση αυτή, η αρχή της ελαχιστοποίησης κατά την επεξεργασία των προσωπικών δεδομένων, η οποία ισχύει και στην επεξεργασία προσωπικών δεδομένων για δημοσιογραφικούς σκοπούς για την ικανοποίηση δικαιολογημένου ενδιαφέροντος ενημέρωσης των πολιτών, επιβάλλει τη λιγότερο επαχθή για το υποκείμενο επεξεργασία, ειδικά όταν δεν επηρεάζει την ουσία της ενημέρωσης
23. Κατόπιν αυτών, θεμιτά καταρχήν η δημοσιογραφική ιστοσελίδα προέβη στη αναδημοσίευση του θέματος κατά τα ανωτέρω, συμπεριλαμβανομένων των αντιγράφων των συμβολαίων, υποβάλλοντας σε επεξεργασία τα δεδομένα προσωπικού χαρακτήρα του καταγγέλλοντος, τα οποία όμως όφειλε να διαγράψει ή ανωνυμοποιήσει. Η εταιρεία ... υποστηρίζει ότι «σε περίπτωση αναδημοσίευσης δεν υφίσταται προσβολή του εννόμου αγαθού της ιδιωτικής ζωής, διότι έχει ήδη πληγεί στον πυρήνα της η έννοια της «ιδιωτικότητας» αφού αυτή ήδη έχει καταλυθεί με την προγενέστερη πράξη της δημοσιοποίησης» καταλήγοντας στο ότι επί αναδημοσίευσης δεν τυγχάνουν εφαρμογής οι διατάξεις του ν. 2472/1997 και του ν. 4624/2019 και ότι η αναδημοσίευση της ανακοίνωσης της ΠΑΕ ... που είχε αναπαραχθεί από το σύνολο του Τύπου δεν συνιστά παράνομη επεξεργασία, καθώς τα δεδομένα είχαν ήδη καταστεί γνωστά από άλλη πηγή και έτσι το απόρρητο είχε ήδη καταλυθεί. Επί του θέματος, η Αρχή έχει κρίνει ότι, εφόσον η δημοσιοποίηση δεδομένων προσωπικού χαρακτήρα παραβιάζει το δικαίωμα στην προστασία του ιδιωτικού βίου και των προσωπικών δεδομένων, είναι παράνομη και η περαιτέρω αναδημοσίευση, καθώς και ότι τα παράνομα δημοσιεύματα που αναρτήθηκαν σε ιστοσελίδες στο Διαδίκτυο πρέπει αμελλητί να αποαναρτηθούν/διαγραφούν τόσο από τις αναφερόμενες αρχικές πηγές τους όσο και από τις ιστοσελίδες ενημερωτικού χαρακτήρα που τα αναπαρήγαγαν. Εξάλλου, κάθε περαιτέρω αναδημοσίευση μιας ανάρτησης, με την οποία προσβάλλεται το δικαίωμα στην προστασία των προσωπικών δεδομένων, συνιστά περαιτέρω και βαθύτερη παραβίαση του ίδιου δικαιώματος.
24. Η Αρχή, εν όψει των ανωτέρω και ιδίως του γεγονότος ότι η εταιρεία ... αφενός διέγραψε άμεσα (εντός 2 ωρών) από τα αναρτηθέντα συμβόλαια του καταγγέλλοντος με την ΠΑΕ Χ την ημερομηνία γέννησης του καταγγέλλοντος, τη διεύθυνση κατοικίας του και τον αριθμό τηλεφώνου και από το συμβόλαιο με την ΠΑΕ Ψ επιπρόσθετα τον ΑΦΜ και τον ΑΔΤ του καταγγέλλοντος -όχι όμως και τα ποσά των αμοιβών- και αφετέρου, ότι με μεταγενέστερα δημοσιεύματα της κατέκρινε τις πρακτικές αυτές με τις οποίες επέρχεται παραβίαση της προστασίας των προσωπικών δεδομένων και της ιδιωτικής ζωής, διαπιστώνει ότι η εν λόγω ανάρτηση του συνόλου των δεδομένων προσωπικού χαρακτήρα, ως αναπαραγωγή της ανακοίνωσης της ΠΑΕ ..., που αποτελεί παραβίαση του άρθρου 5 παρ. 1 εδ. α’ του ΓΚΠΔ, έλαβε χώρα από αμέλεια και αποφασίζει ότι συντρέχει λόγος να ασκήσει την κατά άρθρο 58 παρ. 2 στοιχ. β’ ΓΚΠΔ διορθωτική εξουσία της επίπληξης για την εταιρεία ... .
25. Περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης των προστίμων που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, τις Κατευθυντήριες Γραμμές «για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679»της Ομάδας Εργασίας του άρθρου 29 και τις Κατευθυντήριες Γραμμές 04/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων, καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως:
i. Το γεγονός ότι η πρώτη καταγγελλόμενη ... δεν έχει λάβει τα κατάλληλα τεχνικά και οργανωτικά μέτρα και εν γένει δεν έχει συμμορφωθεί προς τις απαιτήσεις του ΓΚΠΔ.
ii. Το γεγονός ότι δεν προέκυψε ότι η ... με δόλο αντέγραψε και διέρρευσε τα συμβόλαια απευθείας ή μέσω τρίτου, άγνωστου προσώπου, όπως ισχυρίζεται ο καταγγέλλων.
iii. Το γεγονός ότι η δεύτερη καταγγελλόμενη ΠΑΕ ... έχει προβεί σε ενέργειες εφαρμογής και συμμόρφωσης με τις απαιτήσεις του ΓΚΠΔ.
iv. Το γεγονός ότι η παράβαση και για τις δύο πρώτες καταγγελλόμενες ήταν μεμονωμένη, ήτοι εν προκειμένω έθιξε τον καταγγέλλοντα, ως υποκείμενο των δεδομένων.
v. Την απουσία προηγούμενων διαπιστωμένων παραβάσεων των δύο πρώτων καταγγελλομένων, καθώς από σχετικό έλεγχο προκύπτει ότι δεν τους έχει επιβληθεί μέχρι σήμερα διοικητική κύρωση από την Αρχή.
Βάσει των ανωτέρω, η Αρχή αποφασίζει ομόφωνα ότι πρέπει να επιβληθούν στις καταγγελλόμενες, υπό την ιδιότητα των υπευθύνων επεξεργασίας, οι αναφερόμενες στο διατακτικό διοικητικές κυρώσεις, οι οποίες κρίνονται ανάλογες με τη βαρύτητα των παραβάσεων.
ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ
Α. Διαπιστώνει ότι η καταγγελλόμενη ... - ... ως υπεύθυνος επεξεργασίας παραβίασε τα άρθρα 5 παρ. 1 εδ. α’, στ’, 2, 24 παρ. 1, 2 και 32 παρ. 1 και 2 του ΓΚΠΔ και επιβάλλει στην ... κατ’ άρθρο 58 παρ. 2 στοιχ. θ’ το διοικητικό χρηματικό πρόστιμο ύψους είκοσι πέντε χιλιάδων(25.000,00) ευρώ.
Β. Δίνει εντολή κατ’ άρθρο 58 παρ. 2 στοιχ. δ’ του ΓΚΠΔ στην καταγγελλόμενη ... - ... να συμμορφωθεί με τις διατάξεις του ΓΚΠΔ και του ν. 4624/2019 εντός δύο (2) μηνών από την παραλαβή της παρούσας.
Γ. Διαπιστώνει ότι η καταγγελλόμενη ποδοσφαιρική ανώνυμη εταιρεία με την επωνυμία «... - ...» - ΠΑΕ ... ως υπεύθυνος επεξεργασίας παραβίασε τα άρθρα 5 παρ. 1 εδ. α’, στ’, 2 και 24 παρ. 1, 2 του ΓΚΠΔ και επιβάλλει στην ΠΑΕ ... κατ’ άρθρο 58 παρ. 2 στοιχ. θ’ ΓΚΠΔ, το διοικητικό χρηματικό πρόστιμο ύψους πέντε χιλιάδων (5.000,00) ευρώ.
Δ. Απευθύνει επίπληξη, κατ’ άρθρο 58 παρ. 2 στοιχ. β΄ ΓΚΠΔ, στην καταγγελλόμενη εταιρεία ... ltd, ιδιοκτήτρια της ηλεκτρονικής αθλητικής εφημερίδας ..., ως υπεύθυνο επεξεργασίας, για την παραβίαση του άρθρου 5 παρ. 1 εδ. α’ του ΓΚΠΔ.
Ο Αναπληρωτής Πρόεδρος
Γεώργιος Μπατζαλέξης
Η Γραμματέας
Ειρήνη Παπαγεωργοπούλου