ΑΠΟΦΑΣΗ 23/2024
Αθήνα, 02-09-2024
Αριθ. Πρωτ.: 2285
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του Προέδρου της, σε συνεδρίαση μέσω τηλεδιάσκεψης στις 26-04-2024, κατόπιν αναβολής στις 26-03-2024, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Στη συνεδρίαση παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος, τα τακτικά μέλη Χαράλαμπος Ανθόπουλος, Σπυρίδων Βλαχόπουλος, Αικατερίνη Ηλιάδου, Χρήστος Καλλονιάτης, Κωνσταντίνος Λαμπρινουδάκης και Γρηγόριος Τσόλιας, καθώς και το αναπληρωματικό μέλος Νικόλαος Φαλδαμής, ως εισηγητής. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν η Χάρις Συμεωνίδου, ειδική επιστήμονας – ελέγκτρια, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας.
Η Αρχή έλαβε υπόψη τα παρακάτω:
Με τις όμοιες με αριθ. πρωτ. .../26-09-2022 και .../26-09-2022 καταγγελίες της Α και του Β, αντίστοιχα, κατά του ΕΚΑΒ, οι οποίες αφορούν τα ίδια πραγματικά περιστατικά, καταγγέλλεται παραβίαση του δικαιώματος πρόσβασης των καταγγελλόντων σε προσωπικά τους δεδομένα και συγκεκριμένα σε καταγεγραμμένες τηλεφωνικές συνομιλίες που είχαν οι καταγγέλλοντες με το τηλεφωνικό κέντρο του ΕΚΑΒ. Ειδικότερα, σύμφωνα με τις ως άνω καταγγελίες, σε συνέχεια περιστατικού καθυστέρησης άφιξης ασθενοφόρου που είχαν καλέσει στις 15/6/2022 για λογαριασμό συγγενικού τους προσώπου και συγκεκριμένα της (ανήλικης) εγγονής της πρώτης καταγγέλλουσας και κόρης του δεύτερου καταγγέλλοντος, οι καταγγέλλοντες υπέβαλαν στις 24/6/2022 μέσω της φόρμας επικοινωνίας της ιστοσελίδας του ΕΚΑΒ αίτημα πρόσβασης στις ηχογραφημένες κλήσεις που είχαν πραγματοποιήσει από τον αριθμό … στις 15/6/2022 και ώρα …, και από τον αριθμό … την ίδια ημέρα και ώρες …, …, … μ.μ. Παρ’ όλα αυτά, όπως υποστηρίζουν οι καταγγέλλοντες, το ΕΚΑΒ δεν ανταποκρίθηκε με κανένα τρόπο στο ως άνω αίτημά τους.
Στο πλαίσιο διερεύνησης των ως άνω καταγγελιών, η Αρχή με το .../01-12-2022 έγγραφο κοινοποίησε τα σχετικά έγγραφα στο καταγγελλόμενο ΕΚΑΒ και το κάλεσε να εκθέσει τις απόψεις του επί των καταγγελλομένων, διευκρινίζοντας ιδίως ποια διαδικασία ακολουθήθηκε εκ μέρους του μετά τη λήψη των ως άνω αιτημάτων πρόσβασης. Παράλληλα η Αρχή κάλεσε το ΕΚΑΒ να προσκομίσει τη σχετική Πολιτική Προστασίας Δεδομένων του, καθώς και οποιοδήποτε άλλο κείμενο από το οποίο να προκύπτει η διαχείριση αιτημάτων των υποκειμένων των δεδομένων σύμφωνα με τον ΓΚΠΔ.
Με την υπ’ αρ. πρωτ. .../19-12-2022 απάντησή του, το καταγγελλόμενο ΕΚΑΒ απάντησε κατ’ αρχάς ότι είναι ΝΠΔΔ ιδρυθέν το 1985, υπαγόμενο στο Υπουργείο Υγείας, με σκοπό, σύμφωνα με το άρθρο 29 του Ν. 4633/2019, «τον συντονισμό της παροχής σε έκτακτες περιπτώσεις άμεσης βοήθειας και επείγουσας ιατρικής φροντίδας στους πολίτες και τη μεταφορά των πολιτών αυτών σε μονάδες παροχής υπηρεσιών υγείας, το συντονισμό της νοσοκομειακής και προνοσοκομειακής φροντίδας σε καταστάσεις εκτάκτων αναγκών και κρίσεων και την παρακολούθηση και τον συντονισμό των συστημάτων εφημερίας των νοσοκομείων του Ε.Σ.Υ.» και ότι προκειμένου να ασκεί τις σχετικές αρμοδιότητες βάσει του άρθρου 33 του Ν. 4633/2019 συστάθηκε το Αυτοτελές Τμήμα Επιχειρήσεων Υγείας (ΚΕΠΥ-ΕΚΑΒ) και το Ενιαίο Συντονιστικό Κέντρο Επιχειρήσεων ΕΚΑΒ (ΕΣΚΕ-ΕΚΑΒ), τα οποία πλέον υπάγονται απευθείας στον Πρόεδρο Δ.Σ. του ΕΚΑΒ. Το ΕΣΚΕ ΕΚΑΒ, μεταξύ άλλων, διαχειρίζεται τις εισερχόμενες κλήσεις πολιτών που καλούν απευθείας στον αριθμό έκτακτης ανάγκης 166, στο πλαίσιο των οποίων ζητούνται από τον καλούντα η διεύθυνση του περιστατικού, το ονοματεπώνυμο του ατόμου που χρήζει βοήθειας και η ηλικία του, η περιγραφή της πάθησης και ένα τηλέφωνο επικοινωνίας του καλούντος. Σύμφωνα με το ΕΚΑΒ, η καταγραφή των συνομιλιών των πολιτών με το 166 ξεκίνησε το έτος 2001 και γίνεται από ψηφιακό καταγραφικό το οποίο βρίσκεται σε ασφαλές δωμάτιο, στο οποίο έχει πρόσβαση μόνο η επιτροπή απομαγνητοφώνησης που ορίζεται με απόφαση του ΔΣ του ΕΚΑΒ. Οι κλήσεις καταγράφονται σε σκληρούς δίσκους με διάρκεια δέκα (10) έτη σύμφωνα με απόφαση του ΔΣ του ΕΚΑΒ, ενώ τηρείται και αρχείο αντιγράφων ασφαλείας (backup). Όπως επισημαίνει το ΕΚΑΒ, διαδικασία καταστροφής αρχείου πέραν των δέκα (10) ετών δεν έχει πραγματοποιηθεί ποτέ και θα γίνει για πρώτη φορά σύμφωνα με τις κείμενες διατάξεις το πρώτο τρίμηνο του 2023. Επιπλέον, σύμφωνα με σχετική απόφαση του ΔΣ, το αρχείο των καταγεγραμμένων συνομιλιών του 166 αποτελεί απόρρητο αρχείο και χορήγηση αντιγράφων ή έγγραφη απομαγνητοφώνηση μπορεί να γίνει μόνο σε διοικητικές ή εισαγγελικές αρχές για διερεύνηση ποινικών αδικημάτων κατά τις κείμενες διατάξεις και ύστερα από εισήγηση και έγκριση από το ΔΣ του ΕΚΑΒ, ή μόνο με έγκριση του Προέδρου του ΔΣ σε εξαιρετικές περιπτώσεις επείγουσας προθεσμίας από τις εισαγγελικές αρχές. Όπως αναφέρει το ΕΚΑΒ με την απάντησή του, στους πολίτες δεν χορηγούνται αντίγραφα συνομιλιών ή απομαγνητοφωνήσεις, καθώς, όπως αναφέρεται στην ιστοσελίδα που αφορά τις διαδικασίες αιτήσεων πολιτών (https://www.ekab.gr/pistopiitika-veveosis/) «Δεν χορηγούνται βεβαιώσεις περί κλήσης του αριθμού έκτακτης ανάγκης 166 και η συγκεκριμένη πληροφορία θα πρέπει να βεβαιώνεται από τον εκάστοτε πάροχο κινητής ή σταθερής τηλεφωνίας. Δεν χορηγούνται αντίγραφα συνομιλιών ή απομαγνητοφωνήσεις συνομιλιών του 166 διότι αυτές καλύπτονται [από] ειδικό απόρρητο, τη νομοθεσία περί απορρήτου των τηλεπικοινωνιών (άρθρο 5 παρ. 1,2,3 του Ν. 2690/1999). Επίκληση του “δικαιώματος πρόσβασης” κατά το άρθρο 15 του ΓΚΠΔ δεν μπορεί να στοιχειοθετηθεί διότι το ΕΚΑΒ δεν πιστοποιεί τους καλούντες». Αναφορικά με τα καταγγελλόμενα πραγματικά περιστατικά, το ΕΚΑΒ με την απάντησή του ανέφερε ότι στις 24/6/2022 έλαβε μέσω της φόρμας επικοινωνίας της ιστοσελίδας του στην κατηγορία «ΠΑΡΑΠΟΝΑ» μήνυμα με φερόμενο αποστολέα την πρώτη καταγγέλλουσα (αρ. πρωτ. …) το οποίο «αναφέρεται κατ’ ουσίαν σε παράπονο για την επιχειρησιακή διαχείριση ενός συμβάντος». Το ΕΚΑΒ παραθέτει αυτούσιο το εν λόγω παράπονο, στο οποίο περιλαμβάνεται η φράση «Πρέπει να ακουστούν οι κλήσεις και μέσω των προσωπικών δεδομένων θέλουμε αντίγραφα των κλήσεων, σαν προσωπικά δεδομένα μας». Επιπλέον, το ΕΚΑΒ αναφέρει ότι τον Ιούλιο του 2022 άγνωστος άνδρας κάλεσε στο Αυτοτελές Γραφείο του ΥΠΔ του φορέα, ζητώντας στοιχεία για τη φόρμα επικοινωνίας που είχε συμπληρώσει τρίτος, δηλαδή η πρώτη καταγγέλλουσα, και ότι στη συνέχεια στις 01/08/2022 το ΕΚΑΒ απέστειλε την … απάντηση προς την πρώτη καταγγέλλουσα, η οποία δεν είχε αποστείλει κανένα δικαιολογητικό (στοιχεία ταυτοποίησης, εξουσιοδότηση) για να λάβει απάντηση επί του παραπόνου για τη διαχείριση της διακομιδής. Το ΕΚΑΒ προσκομίζει την εν λόγω απάντηση ως «Παράρτημα Γ», από την οποία προκύπτει ότι στην καταγγέλλουσα δόθηκε η απάντηση ότι δεν νομιμοποιείται να λάβει πληροφορίες για το περιστατικό, καθώς αφορά ανήλικο του οποίου δεν είναι κηδεμόνας. Με την ίδια απάντηση, το ΕΚΑΒ επαναλαμβάνει το απόσπασμα της πολιτικής του φορέα που αναλύεται στην ιστοσελίδα του (https://www.ekab.gr/pistopiitika-veveosis/) τονίζοντας ιδιαιτέρως ότι η καταγγέλλουσα γνώριζε εκ των προτέρων α) ότι η υπηρεσία δεν χορηγεί αντίγραφα συνομιλιών ή απομαγνητοφωνήσεων του αριθμού 166 και β) τη νομική βάση επί της οποίας αυτά δεν χορηγούνται «με απλά λόγια κατανοητά για το μέσο πολίτη». Περαιτέρω, το ΕΚΑΒ παραθέτει το από 26/9/2022 αίτημα του δεύτερου καταγγέλλοντος μέσω e-mail, από τη διεύθυνση … (στο οποίο γίνεται ρητή αναφορά στο δικαίωμα πρόσβασης κατ’ άρθρο 15 ΓΚΠΔ), αναφέροντας ότι έλαβε αρ. πρωτ. …, ότι και αυτό αφορούσε κατά κύριο λόγο παράπονο για την επιχειρησιακή διαχείριση του περιστατικού και ότι εστάλη χωρίς κανένα δικαιολογητικό, όπως ταυτότητα, εξουσιοδότηση από την πρώτη καταγγέλλουσα, στοιχεία ταυτότητας του τέκνου κλπ. και υποστηρίζει ότι η υπηρεσία του ΕΚΑΒ επέλεξε να σιωπήσει και να μην απαντήσει «σε μια καταχρηστικά επαναλαμβανόμενη αίτηση από πρόσωπο που αγνοεί στοιχειώδεις διατάξεις της καθημερινής συναλλαγής με τη δημόσια διοίκηση (προσκόμιση ενυπόγραφης αίτησης, στοιχείων ταυτότητας κλπ.)» κάνοντας χρήση της διάταξης του άρθρου 4 παρ. 3 του Ν. 2690/1999, σύμφωνα με την οποία «Οι υπηρεσίες απαλλάσσονται από τις κατά την παράγραφο 1 υποχρεώσεις αν το αίτημα είναι εμφανώς παράλογο, αόριστο, ακατάληπτο ή επαναλαμβάνεται καταχρηστικά», ενώ παράλληλα είχε ξεκινήσει ήδη οίκοθεν διαδικασία διερεύνησης του περιστατικού. Περαιτέρω, το ΕΚΑΒ προσκομίζει νέο μήνυμα που έλαβε, μετά την κοινοποίηση σε αυτό των καταγγελιών με το .../01-12-2022 έγγραφο της Αρχής, από τον δεύτερο καταγγέλλοντα μέσω e-mail στις 3/12/2022, το οποίο φέρονται να υπογράφουν και οι δύο καταγγέλλοντες και στο οποίο αναφέρεται ότι «σήμερα ζητάμε αντίγραφα όλων των καταχωρημένων προσωπικών δεδομένων μας το ΕΚΑΒ που πρέπει να σταλούν μέσα στο κανονισμένο χρονικό διάστημα» ενώ γίνεται ρητή αναφορά στον ΓΚΠΔ και αναφέρει ότι το μήνυμα πήρε αρ. πρωτ. … και απαντήθηκε αναλυτικά στις 6/12/2023 μέσω e-mail με παραπομπή του αιτούντος στην ιστοσελίδα https://www.ekab.gr/pistopiitika-veveosis/ για να ενημερωθεί σχετικά με τα στοιχεία που χορηγούνται σύμφωνα με τις εκεί αναφερόμενες διαδικασίες και με τα αναφερόμενα δικαιολογητικά. Η απάντηση προσκομίζεται ως Παράρτημα Δ και απευθύνεται στον «Κάτοχο ηλεκτρονικής διεύθυνσης …».
Με την ανωτέρω απάντησή του προς την Αρχή, το ΕΚΑΒ παρουσιάζει περαιτέρω τη δική του νομική ανάλυση και ερμηνεία των διατάξεων του ΓΚΠΔ σε συνδυασμό με το άρθρο 5 παρ. 3 Ν. 2690/1999, σύμφωνα με την οποία «το ΔΣ του ΕΚΑΒ έχει ορίσει ορισμένη διαδικασία σύμφωνα με την οποία, η εντολή διενέργειας απομαγνητοφώνησης δίδεται από το ΔΣ του ΕΚΑΒ και σε επείγουσες περιπτώσεις, όπως ύστερα από παραγγελία του εισαγγελέα υπό προθεσμία (ως αποδέκτη τον ίδιο τον εισαγγελέα και για τη διερεύνηση ποινικών αδικημάτων) με πράξη του Προέδρου του ΕΚΑΒ (αρ. Συν. 18/08-08-2006 ΔΣ του ΕΚΑΒ). Σε καμία απόφαση του ΔΣ του ΕΚΑΒ δεν υπάρχει πρόβλεψη για διενέργεια απομαγνητοφώνησης και χορήγηση αυτής σε πολίτες. Στην υπ. αριθμ. 9/13-03-2001 (ΘΕΜΑ 1ο) Συνεδρίαση του ΔΣ του ΕΚΑΒ είχε αποφασιστεί ότι η διενέργεια απομαγνητοφώνησης των καταγεγραμμένων συνομιλιών γίνεται (α) για τον έλεγχο της επικοινωνιακής συμπεριφοράς του προσωπικού με τον πολίτη καθώς και για την ορθή και πιστή τήρηση των υποχρεώσεων του προσωπικού που εμπλέκεται κατά τη διαχείριση των περιστατικών μέσα στα πλαίσια της εκτέλεσης των υπηρεσιακών του καθηκόντων και (β) μόνο σε εξαιρετικές περιπτώσεις να χορηγούνται στους διενεργούντες διοικητικές εξετάσεις και στις ανακριτικές αρχές. Επίσης, αποφασίστηκε «η συγκρότηση τριμελούς επιτροπής, παρουσία της οποίας θα γίνεται η απομαγνητοφώνηση και θα συντάσσεται σχετικό πρακτικό. Τα εν λόγω πρακτικά θα καταχωρούνται και θα αρχειοθετούνται ως απόρρητα έγγραφα». Επιπλέον, το ΕΚΑΒ επικαλείται τόσο τη διάταξη του άρθρου 5 παρ. 3 του Ν. 2690/1999, σύμφωνα με την οποία το δικαίωμα πρόσβασης σε διοικητικά έγγραφα ισχύει με την επιφύλαξη τήρησης απορρήτου που προβλέπεται από ειδικές διατάξεις, όσο και τη διάταξη του άρθρου 15 παρ. 4 ΓΚΠΔ, σύμφωνα με την οποία, όπως αναφέρεται στην απάντηση του ΕΚΑΒ, το κατά το άρθρο 15 παρ. 3 ΓΚΠΔ δικαίωμα λήψης αντιγράφου δεν πρέπει να επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων, εν προκειμένω των τηλεφωνητών του ΕΚΑΒ. Ως εκ τούτου, το ΕΚΑΒ θεωρεί ότι δεν υποχρεούται να χορηγεί αντίγραφα των καταγραφόμενων κλήσεων στον αριθμό 166 και ότι από την πρακτική αυτή δεν υφίσταται παραβίαση του κατ’ άρθρο 15 ΓΚΠΔ δικαιώματος πρόσβασης διότι δεν υπάρχουν οι νόμιμες προϋποθέσεις για την άσκησή του, τονίζοντας ότι δεν διαθέτει σύστημα αυτοματοποιημένης λήψης της ταυτότητας και της γεωγραφικής θέσης του εκάστοτε καλούντος στον αριθμό 166, ότι δεν ζητά και δεν επεξεργάζεται προσωπικά στοιχεία ταυτότητας του καλούντος κατά την αναγγελία εντός περιστατικού έκτακτης ανάγκης (επικαλούμενο τη διάταξη του άρθρου 11 ΓΚΠΔ), ενώ ενημερώνει για τη σχετική πολιτική το κοινό στην ιστοσελίδα του. Τέλος, υποστηρίζει ότι οι καταγγέλλοντες μέχρι και την ημέρα της απάντησης (16/12/2022) δεν προσκόμισαν κανένα αποδεικτικό ταυτοποίησής τους ή ενυπόγραφη αίτηση, ούτε έχουν αυθεντικοποιηθεί κατά το εδαφ. β’ της παρ. 4 του άρθρου 19 του Ν. 4727/2020.
Ακολούθως, κατόπιν του .../21-12-2022 σχετικού αιτήματος του καταγγέλλοντος Β για λήψη αντιγράφου της ως άνω απάντησης, η Αρχή με το .../21-12-2022 διαβιβαστικό κοινοποίησε στον καταγγέλλοντα το ανωτέρω απαντητικό έγγραφο του ΕΚΑΒ και ο καταγγέλλων επανήλθε με το .../20-02-2023 συμπληρωματικό του έγγραφο με το οποίο υποστηρίζει ότι οι ισχυρισμοί του ΕΚΑΒ είναι προσχηματικοί και ψευδείς, ιδίως διότι τα περιεχόμενα της ιστοσελίδας του έχουν τροποποιηθεί από το χρόνο των καταγγελλόμενων πραγματικών περιστατικών. Σύμφωνα με την απάντηση αυτή, η παρεχόμενη ενημέρωση προς τους πολίτες στην ιστοσελίδα του ΕΚΑΒ ήταν ελλιπής. Ο καταγγέλλων τονίζει ότι κατά την τηλεφωνική επικοινωνία που είχε με τον ΥΠΔ του ΕΚΑΒ τον Ιούλιο 2022, έδωσε τα στοιχεία ταυτότητάς του, άρα δεν ήταν «άγνωστος» όπως υποστηρίζει το ΕΚΑΒ και δεν του ζητήθηκε καμία περαιτέρω πληροφορία για την ταυτοποίησή του, ενώ αντικείμενο της συζήτησης ήταν, μεταξύ άλλων, δεδομένα που αφορούσαν τη μητέρα του και την κόρη του. Επίσης αναφέρει ότι δεν του δόθηκε καμία καθοδήγηση ως προς τον τρόπο υποβολής αιτήματος πρόσβασης κατά το άρθρο 15 ΓΚΠΔ και ότι η απάντηση που έλαβε η μητέρα του και πρώτη καταγγέλλουσα ήταν ελλιπής και δεν εξηγούσε ούτε τους λόγους της άρνησης ούτε την τυχόν απαιτούμενη διαδικασία για να δοθούν αντίγραφα των κλήσεων. Σύμφωνα με τον καταγγέλλοντα, καθώς ο ΓΚΠΔ δεν προβλέπει ορισμένο τύπο για την υποβολή αιτημάτων πρόσβασης, κάθε υπάλληλος του ΕΚΑΒ που λαμβάνει ένα έγκυρο αίτημα πρόσβασης σε προσωπικά δεδομένα όπως στην περίπτωσή τους, οφείλει να το προσδιορίσει ως τέτοιο και να το χειριστεί σωστά. Ο καταγγέλλων τονίζει ότι η ενημέρωση του κοινού περί μη χορήγησης ηχογραφημένων κλήσεων στους καλούντες, την οποία επικαλείται το ΕΚΑΒ, δεν υπήρχε στην ιστοσελίδα του τον Αύγουστο του 2022, αλλά αντιθέτως αναφερόταν ότι «οι βεβαιώσεις εκδίδονται εντός 10 εργασίμων ημερών και σε περίπτωση που χρειάζεται επιπλέον επεξεργασία (π.χ. απομαγνητοφώνηση) εντός 60 ημερών» προσκομίζοντας σχετικές φωτογραφίες και αποτυπώσεις οθόνης (screenshots) από τις οποίες προκύπτει ότι το περιεχόμενο της σελίδας τροποποιήθηκε εκ των υστέρων και, τέλος, επισημαίνει ότι η προσκομιζόμενη από το ΕΚΑΒ (Παράρτημα Δ) από 6/12/2022 απάντηση, φέρεται να έχει σταλεί σε εσφαλμένη διεύθυνση e-mail και συγκεκριμένα στη διεύθυνση … αντί της ορθής …, γεγονός που συνιστά πιθανή παραβίαση προσωπικών δεδομένων, ενώ σε κάθε περίπτωση ο ίδιος δεν έχει λάβει την εν λόγω απάντηση.
Σε συνέχεια των ανωτέρω, η Αρχή με το .../22-02-2023 έγγραφό της, κοινοποιώντας προς το καταγγελλόμενο ΕΚΑΒ το ως άνω συμπληρωματικό έγγραφο του καταγγέλλοντος, ζήτησε από το ΕΚΑΒ να παράσχει πλήρεις διευκρινίσεις επί των νεότερων στοιχείων, επισημαίνοντας ότι, όπως προκύπτει, κατά τον χρόνο των καταγγελλόμενων πραγματικών περιστατικών (Αύγουστος 2022) στην ενότητα «ΠΙΣΤΟΠΟΙΗΤΙΚΑ-ΒΕΒΑΙΩΣΕΙΣ» της ιστοσελίδας του ΕΚΑΒ αναφερόταν ότι «Οι βεβαιώσεις εκδίδονται εντός 10 εργασίμων ημερών και σε περίπτωση που χρειάζεται επιπλέον επεξεργασία (π.χ. απομαγνητοφώνηση) εντός 60 ημερών» και όχι η ενημέρωση ότι «δεν χορηγούνται αντίγραφα συνομιλιών ή απομαγνητοφωνήσεις συνομιλιών», σε αντίθεση με όσα υποστηρίζονταν στο προηγούμενο από 16-12-2022 έγγραφο του ΕΚΑΒ. Επιπλέον με το ίδιο έγγραφο επισημάνθηκε ότι, από σχετικό αυτεπάγγελτο έλεγχο που διενεργήθηκε από την Αρχή στο ιστορικό απεικόνισης της ιστοσελίδας του ΕΚΑΒ από το ψηφιακό αρχείο Wayback Machine (https://web.archive.org/), προέκυψε ότι οι παρεχόμενες προς το κοινό πληροφορίες σε σχέση με την απομαγνητοφώνηση τηλεφωνικών συνομιλιών, έχουν τροποποιηθεί αρκετές φορές. Συγκεκριμένα, διαπιστώθηκε ότι στη σελίδα αυτή, κατά καιρούς, έχουν συμπεριληφθεί οι παρακάτω αναφορές στο ζήτημα της απομαγνητοφώνησης κλήσεων:
• Τον Φεβρουάριο 2017: «Οι βεβαιώσεις που χρειάζονται επεξεργασία παραδίδονται εντός 60 ημερών (π.χ. απομαγνητοφώνηση). Ο αναφερόμενος χρόνος παράδοσης ισχύει εφόσον η αίτηση είναι συμπληρωμένη επαρκώς».
https://web.archive.org/web/20170204034718/http://www.ekab.gr/pistopiitikaveveosis/
• Τον Ιούνιο και τον Οκτώβριο του 2021: «7. Όταν υποβάλλεται αίτηση για χορήγηση απομαγνητοφώνησης καταγεγραμμένων συνομιλιών στο Τ/Α κέντρο του ΕΚΑΒ, να διαβιβάζεται μέσω εισαγγελικής παραγγελίας από το περιεχόμενο της οποίας να προκύπτει η υποχρέωση χορήγησης στον αιτούντα λόγω έννομου συμφέροντος.»
https://web.archive.org/web/20210612134037/https://www.ekab.gr/pistopiitikaveveosis/ (Ιουν. 2021)
https://web.archive.org/web/20211009030859/https://www.ekab.gr/pistopiitikaveveosis/ (Οκτ. 2021)
• Τον Ιανουάριο και τον Αύγουστο 2022: «Οι βεβαιώσεις εκδίδονται εντός 10 εργασίμων ημερών και σε περίπτωση που χρειάζεται επιπλέον επεξεργασία (π.χ. απομαγνητοφώνηση) εντός 60 ημερών. Ο αναφερόμενος χρόνος έκδοσης ισχύει εφόσον η αίτηση περιέχει πλήρη στοιχεία σε σχέση με την αιτουμένη βεβαίωση.»
https://web.archive.org/web/20220116183400/https://www.ekab.gr/pistopiitikaveveosis/ (Ιαν. 2022)
https://web.archive.org/web/20220815152439/https://www.ekab.gr/pistopiitikaveveosis/ (Αυγ. 2022)
• Τον Νοέμβριο 2022: «Δεν χορηγούνται αντίγραφα συνομιλιών ή απομαγνητοφωνήσεις συνομιλιών του 166 διότι αυτές καλύπτονται από ειδικό απόρρητο, τη νομοθεσία περί απορρήτου των τηλεπικοινωνιών (άρθρο 5 παρ. 1,2,3 του Ν. 2690/1999). Επίκληση του “δικαιώματος πρόσβασης” κατά το άρθρο 15 του ΓΚΠΔ δεν μπορεί να στοιχειοθετηθεί διότι το ΕΚΑΒ δεν πιστοποιεί τους καλούντες».
https://web.archive.org/web/20221130064607/https://www.ekab.gr/pistopiitikaveveosis/ (Νοεμ. 2022)
Ως εκ τούτου η Αρχή κάλεσε το ΕΚΑΒ να διευκρινίσει ποια ήταν η πρακτική που ακολουθούσε ως προς τη χορήγηση ή μη αντιγράφων ή απομαγνητοφωνήσεων συνομιλιών στους καλούντες στον αριθμό 166 κατά τον χρόνο των καταγγελλόμενων πραγματικών περιστατικών (Ιούνιος - Σεπτέμβριος 2022), ποια είναι η πρακτική που ακολουθείται σήμερα και πώς δικαιολογείται η σχετική μεταβολή στην πρακτική που ακολουθεί ο φορέας όταν υποβάλλονται σχετικά αιτήματα, παρέχοντας κάθε σχετικό στοιχείο τεκμηρίωσης. Περαιτέρω, στο πλαίσιο αυτεπάγγελτου ελέγχου ως προς την τήρηση εκ μέρους του καταγγελλόμενου φορέα των υποχρεώσεών του ως υπευθύνου επεξεργασίας, η Αρχή με το ίδιο έγγραφο κάλεσε το ΕΚΑΒ εντός προθεσμίας 15 ημερών: α) να προσκομίσει αντίγραφα των επικαλούμενων με την απάντησή του αποφάσεων του ΔΣ του ΕΚΑΒ σε σχέση με την καταγραφή και την απομαγνητοφώνηση συνομιλιών (αρ. Συν. … και …), β) δεδομένου ότι οι ανωτέρω αποφάσεις του ΔΣ ελήφθησαν σε χρόνο προ της θέσης σε εφαρμογή του ΓΚΠΔ, να προσκομίσει το κατά το άρθρο 30 ΓΚΠΔ αρχείο δραστηριοτήτων επεξεργασίας του ΕΚΑΒ, αναφορικά με την επεξεργασία που πραγματοποιείται από το ΕΚΑΒ στο πλαίσιο της καταγραφής των τηλεφωνικών κλήσεων, γ) να διευκρινίσει με ποιο τρόπο εκπληρώνεται η υποχρέωση ενημέρωσης των υποκειμένων κατά το άρθρο 13 ΓΚΠΔ για την εν λόγω επεξεργασία και δ) να διευκρινίσει, παρέχοντας πλήρη στοιχεία τεκμηρίωσης, ποιος είναι ο αριθμός των αιτημάτων πρόσβασης σε καταγεγραμμένες συνομιλίες που έχουν υποβληθεί προς το ΕΚΑΒ από υποκείμενα – καλούντες στον αριθμό 166, από την έναρξη της εφαρμογής του ΓΚΠΔ μέχρι τη στιγμή του ελέγχου και με ποιο τρόπο έχουν απαντηθεί από το ΕΚΑΒ.
Με το .../14-03-2023 απαντητικό του έγγραφο, που υποβλήθηκε κατόπιν χορήγησης σχετικής παράτασης της προθεσμίας που είχε ταχθεί, το ΕΚΑΒ απάντησε τα εξής: Ο φορέας, στο πλαίσιο αναθεώρησης των διαδικασιών του προς το σκοπό της συμμόρφωσης με τον ΓΚΠΔ αλλά και με την εθνική νομοθεσία (Ν. 4624/19 και 4727/20), και κατόπιν σχετικής εισήγησης του ΥΠΔ του στις 5/11/2021, τροποποίησε την εσφαλμένη, όπως αναφέρει, πρακτική που εφάρμοζε ως προς την απομαγνητοφώνηση κλήσεων, δηλαδή τη χορήγηση απομαγνητοφωνήσεων σε πολίτες κατόπιν εισαγγελικής παραγγελίας λόγω εννόμου συμφέροντος και από την ιστοσελίδα του αφαιρέθηκε η σχετική περίπτωση (7) που προέτρεπε τους πολίτες να ζητήσουν εισαγγελική παραγγελία για το σκοπό αυτό. Έτσι το ΕΚΑΒ σταμάτησε να ικανοποιεί σχετικά αιτήματα με το σκεπτικό ότι: «το ΕΚΑΒ δεν ζητά και δεν επεξεργάζεται προσωπικά στοιχεία ταυτότητας του καλούντος κατά την αναγγελία εντός περιστατικού έκτακτης ανάγκης και ως εκ τούτου δεν μπορεί να στοιχειοθετηθεί επίκληση του «δικαιώματος πρόσβασης» κατά το άρθρο 15 του ΓΚΠΔ, και Τα ηχητικά αντίγραφα συνομιλιών ή απομαγνητοφωνήσεις συνομιλιών του 166 καλύπτονται «ειδικό απόρρητο», τη νομοθεσία περί απορρήτου των τηλεπικοινωνιών και ως εκ τούτου ούτε με το άρθρο 5 παρ. 1,2,3 του Ν. 2690/1999 είναι δυνατή η ικανοποίηση δικαιώματος». Σύμφωνα με την ίδια απάντηση, εκ παραδρομής παρέμεινε η σχετική φράση περί χορήγησης απομαγνητοφωνήσεων εντός 60 ημερών στην ενότητα «Πιστοποιητικά – βεβαιώσεις» της ιστοσελίδας του. Με την ίδια απάντηση, το ΕΚΑΒ προσκομίζει τα αποσπάσματα Πρακτικών ΔΣ (…, …, …), σύμφωνα με τα οποία η απομαγνητοφώνηση των καταγεγραμμένων συνομιλιών θα γίνεται για τον έλεγχο της επικοινωνιακής συμπεριφοράς του προσωπικού με τον πολίτη, για την ορθή και πιστή τήρηση των υποχρεώσεων του προσωπικού που εμπλέκεται κατά τη διαχείριση περιστατικών κλπ. και τα πρακτικά απομαγνητοφώνησης θα αρχειοθετούνται ως απόρρητα έγγραφα. Προς επίρρωση της πολιτικής που εφαρμόζει, το ΕΚΑΒ επικαλείται επίσης τη διάταξη του άρθρου 30 του Εσωτερικού κανονισμού Οργάνωσης και Λειτουργίας του Εθνικού Συντονιστικού Κέντρου Επιχειρήσεων και Διαχείρισης Κρίσεων (ΕΣΚΕΔΙΚ) του αριθμού έκτακτης ανάγκης 112, σύμφωνα με το οποίο οι καταγραφές των κλήσεων στον αριθμό αυτό είναι απόρρητα έγγραφα, αντίγραφα ή αποσπάσματα των οποίων χορηγούνται μόνο σε όσους διενεργούν σχετικές διοικητικές εξετάσεις καθώς και στις ανακριτικές και δικαστικές αρχές εφόσον ζητηθούν. Περαιτέρω, το ΕΚΑΒ επικαλείται το άρθρο 29 παρ. 4γ του Ν. 4938/2022 (ΚΟΔΚΔΛ) που αφορά τις προϋποθέσεις χορήγησης εισαγγελικής παραγγελίας, καθώς και ορισμένα περιστατικά πιεστικών αιτημάτων χορήγησης απομαγνητοφωνήσεων από πολίτες και δικηγόρους το καλοκαίρι του 2022 με εσφαλμένες εισαγγελικές παραγγελίες, συνοδευόμενων από απειλές προς τον ΥΠΔ, οι οποίες είχαν ως αποτέλεσμα την αλλαγή της παρεχόμενης ενημέρωσης στην ιστοσελίδα του ΕΚΑΒ στις 9/9/2022 ως εξής: «Δεν χορηγούνται βεβαιώσεις περί κλήσης του αριθμού έκτακτης ανάγκης 166 και η συγκεκριμένη πληροφορία θα πρέπει να βεβαιώνεται από τον εκάστοτε πάροχο κινητής ή σταθερής τηλεφωνίας. Δεν χορηγούνται αντίγραφα συνομιλιών ή απομαγνητοφωνήσεις συνομιλιών του 166 διότι αυτές καλύπτονται ειδικό απόρρητο, τη νομοθεσία περί απορρήτου των τηλεπικοινωνιών (άρθρο 5 παρ. 1,2,3 του Ν. 2690/1999). Επίκληση του “δικαιώματος πρόσβασης” κατά το άρθρο 15 του ΓΚΠΔ δεν μπορεί να στοιχειοθετηθεί διότι το ΕΚΑΒ δεν πιστοποιεί τους καλούντες». Περαιτέρω, με την ίδια απάντηση, το ΕΚΑΒ προσκομίζει στην Αρχή απόσπασμα του κατ’ άρθρο 30 ΓΚΠΔ αρχείου δραστηριοτήτων του, στο οποίο περιλαμβάνεται η δραστηριότητα καταγραφής τηλεφωνικών κλήσεων: Ως υποκείμενα αναφέρονται οι ασθενείς και οι καλούντες τρίτοι, ως συλλεγόμενα προσωπικά δεδομένα αναφέρονται «φωνή καλούντος, ονοματεπώνυμο ασθενή, ηλικία ασθενή, τηλεφωνικός αριθμός επικοινωνίας, διεύθυνση συμβάντος, κατάσταση υγείας ασθενή», περιγράφεται ο σκοπός και η νομική βάση επεξεργασίας (άρθρο 6 παρ. δ) και ε) ΓΚΠΔ, άρθρο 9 παρ. η) ΓΚΠΔ), ενώ περιλαμβάνεται η εξής σημείωση: «στον καλούντα δεν παρέχονται δικαιώματα διότι δεν ζητείται η ταυτοποίησή του, ούτε είναι δυνατή η εκ των υστέρων ταυτοποίηση. Για τον ασθενή που δεν συνομιλεί, αλλά διαβιβάζονται μη ταυτοποιημένα ή διασταυρωμένα στοιχεία από τον καλούντα, δεν παρέχονται στοιχεία κλήσεως, αλλά τα στοιχεία που διαβιβάστηκαν λεκτικά, καταχωρούνται σε βάση δεδομένων από την οποία μπορεί να ζητηθεί η έκδοση βεβαίωσης διακομιδής σε έντυπη μορφή εφόσον υποβληθεί αίτηση και εφόσον αυτή η διακομιδή εν τέλει έλαβε χώρα». Ως προς την παρεχόμενη στα υποκείμενα ενημέρωση κατ’ άρθρο 13 ΓΚΠΔ, το ΕΚΑΒ με την απάντησή του υποστηρίζει ότι «οι απαιτήσεις κατά το άρθρο 13 του ΓΚΠΔ, ικανοποιούνται με τους εξής τρόπους: Με τις κατάλληλες ενημερώσεις που υπάρχουν σε διάφορα σημεία της ιστοσελίδας, και αναλυτικότερα τα στοιχεία του υπευθύνου επεξεργασίας https://www.ekab.gr/diikisi-tou-ekav/, τα στοιχεία επικοινωνίας του ΥΠΔ και η αναφορά του δικαιώματος σε καταγγελία https://www.ekab.gr/dpo/, σύντομη και περιεκτική αναφορά στην πολιτική του φορέα, τα στοιχεία που χορηγούνται και αυτά που δεν χορηγούνται και τα στοιχεία επικοινωνίας του Υπευθύνου Επεξεργασίας https://www.ekab.gr/pistopiitikaveveosis/. Επίσης, πάρα πολλές φορές που καλούν ηλικιωμένοι στο πρωτόκολλο της υπηρεσίας και δεν διαθέτουν διαδίκτυο, η αντίστοιχη ενημέρωση παρέχεται τηλεφωνικά είτε από τη Γραμματεία ΕΣΚΕ ή το Αυτοτελές Γρ. Υπευθύνου Προστασίας Δεδομένων με το οποίο γίνεται εσωτερική σύνδεση (transfer). Επίσης, στο έγχαρτο αρχείο της υπηρεσίας υπάρχει ένα συνεχώς ανανεούμενο draft αρχείο σε μορφή βιβλίου, το οποίο μπορεί ο κάθε πολίτης να μελετήσει στο κατάστημα της Κεντρικής Υπηρεσίας (επισυνάπτεται)». Στο εν λόγω κείμενο, όσον αφορά τα δικαιώματα των υποκειμένων, αναφέρεται ότι «έχετε τη δυνατότητα άσκησης ... α) δικαίωμα πληροφόρησης και δικαίωμα πρόσβασης σε όλα τα ταυτοποιήσιμα προσωπικά δεδομένα τα οποία τηρεί και επεξεργάζεται το ΕΚΑΒ, σχετικά με εσάς, το είδος της επεξεργασίας …». Αναφορικά με τα αιτήματα πρόσβασης που έχουν ληφθεί από 25/5/2018 μέχρι 01/03/2023, το ΕΚΑΒ αναφέρει ότι συνολικά έχουν υποβληθεί 77 αιτήματα, εκ των οποίων έχουν ικανοποιηθεί τα 52 και δεν έχουν ικανοποιηθεί τα 25 και καταλήγει εκ νέου στον ισχυρισμό ότι δεν υφίσταται παραβίαση του δικαιώματος πρόσβασης του άρθρου 15 ΓΚΠΔ, διότι δεν υπάρχουν οι νόμιμες προϋποθέσεις για την άσκησή του. Σημειώνεται ότι από τα στοιχεία τεκμηρίωσης που προσκομίζει το ΕΚΑΒ και συγκεκριμένα από τον πίνακα αιτημάτων πρόσβασης, όπου αναφέρεται για κάθε αίτημα αν «αφορά τρίτο» ή «αφορά τον ίδιο/την ίδια», αν «έχει Εισαγγελική» ή «Δεν έχει Εισαγγελική» και αν το αίτημα ικανοποιήθηκε ή όχι, δεν προκύπτει σαφώς η τήρηση ορισμένης πρακτικής από το ΕΚΑΒ, καθώς φαίνεται να έχουν ικανοποιηθεί αιτήματα χορήγησης δεδομένων τόσο «των ίδιων» των αιτούντων όσο και τρίτων, είτε έχουν είτε δεν έχουν εισαγγελική παραγγελία (βλ. π.χ. αίτημα υπ’ αρ. … προσώπου που δεν είναι ο καλών για δεδομένα που αφορούν σε τρίτο ασθενή – θανόντα, το οποίο ικανοποιήθηκε) ενώ σε άλλες περιπτώσεις αιτήματα χορήγησης δεδομένων που αφορούν τους ίδιους τους αιτούντες δεν έχουν ικανοποιηθεί ή έχουν ικανοποιηθεί μερικώς (βλ. π.χ. αίτημα υπ’ αρ. …).
Ο καταγγέλλων ζήτησε και έλαβε αντίγραφο της ανωτέρω δεύτερης απάντησης του ΕΚΑΒ και στη συνέχεια επανήλθε με το .../07-04-2023 συμπληρωματικό του έγγραφο, με το οποίο γνωστοποιεί στην Αρχή την απάντηση που έλαβε η σύζυγός του (αλλοδαπή που δεν γνωρίζει ελληνικά) από το ΕΚΑΒ, όταν επικοινώνησε μέσω email για να λάβει πληροφορίες σχετικά με την κόρη της, επισημαίνοντας ότι δεν υπάρχει αγγλική εκδοχή της ιστοσελίδας του ΕΚΑΒ. Με την προσκομιζόμενη απάντηση, το ΕΚΑΒ αναφέρει στη σύζυγο του καταγγέλλοντος ότι θα πρέπει να απευθυνθεί στην ελληνική πρεσβεία ή προξενείο της χώρας της, προκειμένου να συντάξει το αίτημά της στην ελληνική γλώσσα.
Σε συνέχεια των ανωτέρω, η Αρχή με τις .../12-01-2024, .../12-01-2024 και .../12-01-2024 κλήσεις της κάλεσε τους καταγγέλλοντες και το καταγγελλόμενο ΕΚΑΒ σε ακρόαση ενώπιον της Ολομέλειας της Αρχής στις 06/02/2024, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση. Κατά τη συνεδρίαση παρέστησαν, μέσω τηλεδιάσκεψης, οι δύο καταγγέλλοντες αυτοπροσώπως, ο Γ, Προϊστάμενος Αυτοτελούς Τμήματος Επιχειρήσεων Υγείας - ΚΕΠΥ ΕΚΑΒ, ο Δ, ΥΠΔ του ΕΚΑΒ και ο Ε, ΥΠΔ του Υπουργείου Υγείας, έλαβαν δε προθεσμία και υπέβαλαν εμπρόθεσμα, οι μεν καταγγέλλοντες το .../21-02-2024 υπόμνημα, το δε καταγγελλόμενο ΕΚΑΒ το .../21-02-2024 υπόμνημα. Τόσο κατά την ακρόαση όσο και με το υπόμνημά τους, οι καταγγέλλοντες επανέλαβαν τους αναφερόμενους στην καταγγελία και τα συμπληρωματικά τους έγγραφα ισχυρισμούς, τονίζοντας ιδιαιτέρως το γεγονός ότι με τα αιτήματά τους, στα οποία περιλαμβάνονταν λεπτομέρειες για το συμβάν καθώς και φωτογραφία του ασθενοφόρου, αναφέρθηκαν ρητά στη νομοθεσία για την προστασία προσωπικών δεδομένων και στο κατ’ άρθρο 15 ΓΚΠΔ δικαίωμα πρόσβασης τόσο των ιδίων όσο και της ανήλικης ασθενούς, ενώ τα εν λόγω αιτήματα εστάλησαν σε περισσότερες ηλεκτρονικές διευθύνσεις του ΕΚΑΒ, συμπεριλαμβανομένης της διεύθυνσης του ΥΠΔ (dpo@ekab.gr), ωστόσο δεν τους δόθηκε απάντηση, με το πρόσχημα ότι τα αιτήματα δεν υποβλήθηκαν έγκυρα, παρά το γεγονός ότι ο ΓΚΠΔ δεν προϋποθέτει την τήρηση ορισμένου τύπου για την υποβολή αιτημάτων πρόσβασης. Επισημαίνουν ακόμα ότι από το ΕΚΑΒ δεν τους ζητήθηκε κανένα επιπλέον στοιχείο για το σκοπό της ταυτοποίησής τους, αλλά τα αιτήματα αγνοήθηκαν και στη συνέχεια το ΕΚΑΒ τα χαρακτήρισε «καταχρηστικά». Οι καταγγέλλοντες αναφέρουν ότι στο εξωτερικό έχουν λάβει αντίστοιχες καταγραφές τηλεφωνικών κλήσεων στο πλαίσιο διαχείρισης επειγόντων περιστατικών, τονίζοντας ότι μια απόφαση Δ.Σ. του ΕΚΑΒ από το 2006 δεν μπορεί να υπερισχύει του Γενικού Κανονισμού. Έτσι, υποστηρίζουν ότι το ΕΚΑΒ ακόμα δεν έχει συμμορφωθεί με τον ΓΚΠΔ αναφορικά με την ικανοποίηση δικαιωμάτων των υποκειμένων και ότι εν προκειμένω παραβίασε τις διατάξεις των άρθρων 15, 12 παρ. 3 και 12 παρ. 4 ΓΚΠΔ, ενώ ακόμα δεν έχει παράσχει τις ζητηθείσες πληροφορίες, παρότι πλέον έχει λάβει γνώση των αιτημάτων πρόσβασης των καταγγελλόντων ως υποκειμένων και από την Αρχή. Τέλος, οι καταγγέλλοντες τονίζουν και πάλι ότι κατά τη διάρκεια εξέτασης της υπόθεσης το ΕΚΑΒ έχει τροποποιήσει τις παρεχόμενες πληροφορίες στην ιστοσελίδα του, ενώ προχώρησε σε ανάρτηση της πολιτικής προστασίας προσωπικών δεδομένων του μετά τη διεξαγωγή της ακρόασης ενώπιον της Ολομέλειας της Αρχής. Το καταγγελλόμενο ΕΚΑΒ, τόσο κατά την ακρόαση όσο και με το υπόμνημά του επανέλαβε την άποψη ότι μέχρι τώρα δεν έχει υποβληθεί εκ μέρους των καταγγελλόντων έγκυρο αίτημα πρόσβασης, αφού δεν έχει σταλεί οποιαδήποτε επίσημη υπογεγραμμένη αίτηση, αλλά μόνο ένα παράπονο/καταγγελία που αφορούσε τη διαδικασία της διακομιδής και την καθυστέρηση άφιξης του ασθενοφόρου. Απαντώντας σε σχετική ερώτηση, ο εκπρόσωπος του ΕΚΑΒ διευκρίνισε ότι ακόμα και στην περίπτωση που υποβαλλόταν έγκυρο αίτημα, θα χορηγούνταν στον καταγγέλλοντα μόνο η βεβαίωση διακομιδής και το δελτίο του ασθενοφόρου, όχι όμως οι καταγραφές των κλήσεων προς τον αριθμό 166, διότι αφ’ ενός μεν σκοπός τήρησης του αρχείου των τηλεφωνικών κλήσεων είναι ο εσωτερικός έλεγχος, αφ’ ετέρου δε ο καλών δεν ταυτοποιείται καθώς δεν ενδιαφέρει η ταυτότητά του κατά την κλήση, αλλά μόνο οι πληροφορίες που αφορούν το περιστατικό. Περαιτέρω, αναφορικά με τα στοιχεία που θα μπορούσαν να τηρούνται κατά την κλήση στο 166, το ΕΚΑΒ παραπέμπει στο άρθρο 5 παρ. 4 γ της Πράξης 2002 της ΑΔΑΕ – Αρ. Απόφασης 216/2008 (ΦΕΚ 1898/τ.Β΄/17-09-2008), σύμφωνα με το οποίο «ο αρμόδιος για την αντιμετώπιση καταστάσεων έκτακτης ανάγκης φορέας διατηρεί το ονοματεπώνυμο του καλούντος μόνο για το χρονικό διάστημα που είναι αναγκαίο για την ολοκλήρωση του σκοπού της άμεσης επέμβασης και στη συνέχεια προβαίνει στη διαγραφή του», υποστηρίζοντας ότι ως εκ τούτου, «αντικειμενικά απαγορεύεται από την ελληνική νομοθεσία» να διατηρούνται τα στοιχεία του καλούντος πέραν από την ολοκλήρωση του σκοπού άμεσης επέμβασης, δηλαδή το πολύ 1-2 ώρες μετά την τηλεφωνική κλήση. Το ΕΚΑΒ επικαλείται τη ΓνωμΕισΑΠ 9/2022, η οποία εκδόθηκε κατόπιν αιτήματός του, και σύμφωνα με την οποία «ο Εισαγγελέας Πρωτοδικών είναι ο μόνος κατά το νόμο αρμόδιος για να συνεκτιμήσει τα ιδιαίτερα στοιχεία καθεμιάς περίπτωσης (που σχετίζονται με το πρόσωπο του προβάλλοντος έννομο συμφέρον, το δικαίωμα που επικαλείται, την αποδεδειγμένη ταύτισή του με το πρόσωπο που κάλεσε και συνομίλησε με τον υπάλληλο του τηλεφωνικού κέντρου του ΕΚΑΒ κλπ.) και να κρίνει αν η ικανοποίηση του αιτήματός του μπορεί να γίνει στο πλαίσιο εφαρμογής της διάταξης του άρθρου 29 § 4 στοιχ. β ΚΟΔΚΔΛ, ώστε στη συνέχεια να εκδώσει τη σχετική εισαγγελική παραγγελία προς την αρμόδια υπηρεσία του ΕΚΑΒ, ή αν, ενδεχομένως, υφίσταται κάποιο νόμιμο κώλυμα προερχόμενο από την κείμενη νομοθεσία (άρθρο 263 ΚΠΔ), προστασία απορρήτου επικοινωνιών, προστασία προσωπικών δεδομένων κλπ.), οπότε θα ενεργήσει αναλόγως». Όπως υποστηρίζει το ΕΚΑΒ, σε καμία απόφαση του ΔΣ του ΕΚΑΒ δεν υπάρχει πρόβλεψη για διενέργεια απομαγνητοφώνησης ή χορήγηση ηχητικών αρχείων απευθείας σε πολίτες. Το ΕΚΑΒ αναφέρεται επίσης στον Ν. 3471/2003, που αποτελεί ενσωμάτωση της Οδηγίας 2002/58/ΕΚ στο ελληνικό Δίκαιο, και ισχυρίζεται ότι το περιεχόμενο των τηλεφωνικών συνδιαλέξεων και ο αριθμός του καλούντος προστατεύονται από το απόρρητο των επικοινωνιών, επικαλούμενο ταυτόχρονα τη διάταξη του άρθρου 95 ΓΚΠΔ, σύμφωνα με την οποία ο ΓΚΠΔ δεν επιβάλλει πρόσθετες υποχρεώσεις σε φυσικά ή νομικά πρόσωπα σε σχέση με την παροχή υπηρεσιών ηλεκτρονικών επικοινωνιών σε σχέση με θέματα τα οποία υπόκεινται σε ειδικές υποχρεώσεις με τον ίδιο στόχο που ορίζεται στην Οδηγία 2002/58/ΕΚ. To EKAB παραπέμπει και στο άρθρο 5 παρ. 1-3 του Ν. 2690/1999 (ΚΔΔιαδ), σύμφωνα με το οποίο το δικαίωμα πρόσβασης σε δημόσια έγγραφα δεν ικανοποιείται αν παραβλάπτεται απόρρητο που προβλέπεται από ειδικές διατάξεις, επισημαίνοντας ότι στην περίπτωση των τηλεφωνικών συνομιλιών υπάρχει το απόρρητο των επικοινωνιών, ενώ επιπλέον επικαλείται και την εξαίρεση του άρθρου 15 παρ. 4 ΓΚΠΔ, σύμφωνα με την οποία το δικαίωμα πρόσβασης σε προσωπικά δεδομένα ικανοποιείται εφόσον δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων, εν προκειμένω των υπαλλήλων του ΕΚΑΒ. Καταλήγοντας, το ΕΚΑΒ επαναλαμβάνει την άποψη ότι δεν υφίσταται εν προκειμένω παραβίαση του δικαιώματος πρόσβασης που προβλέπεται στο άρθρο 15 ΓΚΠΔ διότι δεν υπάρχουν οι νόμιμες προϋποθέσεις για την άσκησή του, καθώς και ότι, παρά το γεγονός ότι έχει αναρτήσει στην ιστοσελίδα του τις διαδικασίες που πρέπει να ακολουθήσει ένας πολίτης και τα επίσημα έντυπα που πρέπει να συμπληρώσει για να λάβει βεβαίωση διακομιδής, μέχρι και τις 19/2/2024 «οι φερόμενοι ως καταγγέλλοντες», όπως αναφέρει, δεν προσκόμισαν κανένα αποδεικτικό ταυτοποίησής τους ή ενυπόγραφη αίτηση ούτε έχουν αυθεντικοποιηθεί κατά το άρθρο 19 παρ. 4 εδ. β’ του Ν. 4727/2020, και ζητεί την απόρριψη των καταγγελιών. Όσον αφορά δε την εκπλήρωση της αρχής της διαφάνειας, το ΕΚΑΒ αναφέρει ότι έχει αναρτήσει στην ιστοσελίδα του τη σχετική Πολιτική (www.ekab.gr/dpo).
Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, μετά από διεξοδική συζήτηση
ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
1. Aπό τις διατάξεις των άρθρων 51 και 55 ΓΚΠΔ και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (εφεξής ΓΚΠΔ), του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Συνεπώς, η αρμοδιότητα της Αρχής να επιληφθεί ορισμένης υπόθεσης συναρτάται με το πεδίο εφαρμογής του ΓΚΠΔ, το οποίο καθορίζεται από το άρθρο 2 παρ. 1 ΓΚΠΔ: «ο παρών Κανονισμός εφαρμόζεται στην, εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης», ενώ ως «δεδομένο προσωπικού χαρακτήρα» νοείται σύμφωνα με τον ορισμό του άρθρου 4 αρ. 1 ΓΚΠΔ «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου». Κρίσιμη, επομένως, προϋπόθεση, για την εφαρμογή του ΓΚΠΔ και την εγκαθίδρυση της αρμοδιότητας της Αρχής εν προκειμένω, είναι η διαπίστωση ότι η καταγραφή των τηλεφωνικών κλήσεων στον αριθμό έκτακτης ανάγκης 166 αποτελεί επεξεργασία δεδομένων που μπορούν να αποδοθούν άμεσα ή έμμεσα σε συγκεκριμένο, ταυτοποιημένο ή ταυτοποιήσιμο, φυσικό πρόσωπο, και επομένως αποτελούν προσωπικά δεδομένα των καλούντων και, εν προκειμένω, των καταγγελλόντων.
2. Σύμφωνα με την Αιτιολογική Σκέψη 26 του ΓΚΠΔ, «…Για να κριθεί κατά πόσον ένα φυσικό πρόσωπο είναι ταυτοποιήσιμο, θα πρέπει να λαμβάνονται υπόψη όλα τα μέσα τα οποία είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν, όπως για παράδειγμα ο διαχωρισμός του, είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο για την άμεση ή έμμεση εξακρίβωση της ταυτότητας του φυσικού προσώπου. Για να διαπιστωθεί κατά πόσον κάποια μέσα είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν για την εξακρίβωση της ταυτότητας του φυσικού προσώπου, θα πρέπει να λαμβάνονται υπόψη όλοι οι αντικειμενικοί παράγοντες, όπως τα έξοδα και ο χρόνος που απαιτούνται για την ταυτοποίηση, λαμβανομένων υπόψη της τεχνολογίας που είναι διαθέσιμη κατά τον χρόνο της επεξεργασίας και των εξελίξεων της τεχνολογίας. Οι αρχές της προστασίας δεδομένων δεν θα πρέπει συνεπώς να εφαρμόζονται σε ανώνυμες πληροφορίες, δηλαδή πληροφορίες που δεν σχετίζονται προς ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο ή σε δεδομένα προσωπικού χαρακτήρα που έχουν καταστεί ανώνυμα κατά τρόπο ώστε η ταυτότητα του υποκειμένου των δεδομένων να μην μπορεί ή να μην μπορεί πλέον να εξακριβωθεί». Επιπλέον, στη Γνώμη 7/2004 της Ομάδας Εργασίας του άρθρου 29 σχετικά µε την έννοια του όρου ‘δεδοµένα προσωπικού χαρακτήρα’αναφέρονται τα εξής: «Όσον αφορά τη μορφή ή το µέσο µε το οποίο παρέχονται αυτές οι πληροφορίες, η έννοια των δεδοµένων προσωπικού χαρακτήρα περιλαµβάνει πληροφορίες που είναι διαθέσιµες σε οποιαδήποτε µορφή, π.χ. αλφαβητική, αριθµητική, γραφική, φωτογραφική ή ακουστική. Περιλαµβάνει επίσης πληροφορίες π.χ. σε χαρτί, πληροφορίες αποθηκευµένες σε µνήµη ηλεκτρονικού υπολογιστή µε δυαδικό κώδικα ή σε βιντεοταινία, το οποίο είναι λογική απόρροια της περιγραφής του πεδίου εφαρµογής, το οποίο καλύπτει την αυτοµατοποιηµένη επεξεργασία δεδοµένων προσωπικού χαρακτήρα. Ειδικότερα, από την άποψη αυτή, ως δεδοµένα προσωπικού χαρακτήρα λογίζονται ηχητικά ή οπτικά δεδοµένα στο µέτρο που ενδέχεται να συνιστούν πληροφορίες για ένα φυσικό πρόσωπο. Μάλιστα, η ιδιαίτερη αναφορά σε δεδοµένα ήχου και εικόνας του άρθρου 33 της οδηγίας πρέπει να ερµηνευθεί ως επιβεβαίωση και διευκρίνιση ότι τα δεδοµένα αυτού του είδους περιλαµβάνονται πράγµατι στο πεδίο εφαρµογής της (υπό την προϋπόθεση ότι πληρούνται όλες οι υπόλοιπες προϋποθέσεις) και ότι η οδηγία εφαρµόζεται σ’ αυτά. […] Παράδειγµα αριθ. 2: Τραπεζικές συναλλαγές µέσω τηλεφώνου: Στις τραπεζικές συναλλαγές µέσω τηλεφώνου, όπου η φωνή µε τις οδηγίες του πελάτη προς την τράπεζα καταγράφονται σε µαγνητοταινία, οι καταγεγραµµένες αυτές οδηγίες πρέπει να θεωρούνται ως δεδοµένα προσωπικού χαρακτήρα.[…] "η ταυτότητα ενός προσώπου µπορεί να προσδιορισθεί άµεσα από το όνοµα ή έµµεσα από έναν αριθµό τηλεφώνου, αριθµό κυκλοφορίας αυτοκινήτου, αριθµό κοινωνικής ασφάλισης, αριθµό διαβατηρίου ή από ένα συνδυασµό σηµαντικών κριτηρίων που επιτρέπουν την αναγνώρισή του περιορίζοντας το εύρος της οµάδας στην οποία ανήκει (ηλικία, επάγγελµα, τόπος διαµονής, κλπ) …. ο βαθµός στον οποίο ορισµένα στοιχεία αναγνώρισης αρκούν για να επιτευχθεί η αναγνώριση εξαρτάται από το πλαίσιο της συγκεκριµένης κατάστασης. […] Όσον αφορά πρόσωπα των οποίων η ταυτότητα είναι γνωστή ή µπορεί να εξακριβωθεί "άµεσα", το συνηθέστερο στοιχείο αναγνώρισης είναι το όνοµα του προσώπου και, στην πράξη, η έννοια του «ατόµου του οποίου η ταυτότητα είναι γνωστή» αναφέρεται κατά το πλείστον στο όνοµα του προσώπου. […] Όσον αφορά τα άτοµα των οποίων η ταυτότητα είναι γνωστή ή µπορεί να εξακριβωθεί "έµµεσα", …. Στις περιπτώσεις που, εκ πρώτης όψεως, η έκταση των διαθέσιµων στοιχείων αναγνώρισης δεν επιτρέπει σε κάποιον να διακρίνει ένα συγκεκριµένο πρόσωπο, ενδέχεται να είναι παρόλα αυτά δυνατό να «εξακριβωθεί η ταυτότητά του» επειδή οι εν λόγω πληροφορίες σε συνδυασµό µε άλλες πληροφορίες (που τηρούνται ενδεχοµένως από τον υπεύθυνο επεξεργασίας) θα επιτρέψουν τη διάκριση του ατόµου από άλλα». Όπως έχει κρίνει το ΔΕΕ (C-604/22), η χρήση του όρου «έμμεσα» από το νομοθέτη της Ένωσης υποδηλώνει ότι, για τον χαρακτηρισμό πληροφορίας ως δεδομένου προσωπικού χαρακτήρα, δεν απαιτείται αυτή και μόνον η πληροφορία να καθιστά δυνατή την εξακρίβωση της ταυτότητας του υποκειμένου των δεδομένων, αλλά αρκεί η εξακρίβωση της ταυτότητας να καθίσταται δυνατή με τη χρήση
συμπληρωματικών πληροφοριών, ενώ επιπλέον, για να είναι τα φυσικά πρόσωπα ταυτοποιήσιμα, δεν απαιτείται όλες οι πληροφορίες που καθιστούν δυνατή την εξακρίβωση της ταυτότητας του υποκειμένου να βρίσκονται στη διάθεση ενός μόνον προσώπου.Για τον έλεγχο του κατά πόσο είναι δυνατή η εξακρίβωση της ταυτότητας ενός προσώπου, θα πρέπει να λαμβάνεται υπόψη το σύνολο των μέσων που μπορεί ευλόγως να χρησιμοποιηθούν είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο. Εάν μια τέτοια δυνατότητα δεν υπάρχει ή είναι αμελητέα, τότε το φυσικό πρόσωπο δεν θεωρείται ταυτοποιήσιμο. Αναφορικά με το ποια μέσα μπορούν «ευλόγως» να χρησιμοποιηθούν είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο, θα πρέπει να λαμβάνονται υπόψη όλοι οι σχετικοί παράγοντες, όπως το κόστος, ο επιδιωκόμενος σκοπός, ο τρόπος εκτέλεσης της επεξεργασίας, το όφελος που προσδοκά ο υπεύθυνος επεξεργασίας, τα υπό διακύβευση συμφέροντα των ατόμων, καθώς και ο κίνδυνος τεχνικών ή οργανωτικών αστοχιών. Παράλληλα, η εφαρμογή του κριτηρίου έχει δυναμικό χαρακτήρα, πράγμα που σημαίνει ότι πρέπει να λαμβάνεται υπόψη η πλέον πρόσφατη τεχνολογία κατά το χρόνο της επεξεργασίας και οι δυνατότητες ανάπτυξής της κατά τη διάρκεια της περιόδου επεξεργασίας των δεδομένων (βλ. Αιτ. Σκ. 26 ΓΚΠΔ). Εν προκειμένω, κατά την πραγματοποίηση μιας κλήσης στον αριθμό 166, το ΕΚΑΒ καταγράφει τόσο τα εξωτερικά στοιχεία της επικοινωνίας (ημερομηνία, ώρα και διάρκεια κλήσης, αριθμό καλούντος) όσο και το περιεχόμενο της συνομιλίας, το οποίο περιλαμβάνει τη φωνή του καλούντος και του υπαλλήλου που τον εξυπηρετεί. Από τα στοιχεία αυτά, σε συνδυασμό με στοιχεία που μπορούν ευλόγως να αναζητηθούν (όπως π.χ. βεβαίωση παρόχου για την κατοχή του συγκεκριμένου τηλεφωνικού αριθμού ή άλλες πληροφορίες που μπορεί να δώσει ο αιτών κατά περίπτωση) η δυνατότητα εξακρίβωσης της ταυτότητας του καλούντος δεν μπορεί σε καμία περίπτωση να θεωρηθεί ανύπαρκτη ή «αμελητέα». Με άλλα λόγια, τα πρόσωπα στα οποία αναφέρονται τα εν λόγω δεδομένα είναι δυνητικά ταυτοποιήσιμα, επομένως πρόκειται για προσωπικά δεδομένα με την έννοια του ορισμού του άρθρου 4 ΓΚΠΔ και, συνεπώς, η καταγραφή των τηλεφωνικών κλήσεων στον αριθμό 166 συνιστά επεξεργασία προσωπικών δεδομένων εκ μέρους του ΕΚΑΒ ως υπευθύνου επεξεργασίας, εμπίπτουσα στο ρυθμιστικό πεδίο των κανόνων προστασίας δεδομένων προσωπικού χαρακτήρα. Εξάλλου, στο αρχείο δραστηριοτήτων κατ’ άρθρο 30 ΓΚΠΔ που απέστειλε στην Αρχή το ΕΚΑΒ με το υπ’ αρ. πρωτ. .../14-03-2023 έγγραφό του, περιλαμβάνεται η εν λόγω δραστηριότητα καταγραφής τηλεφωνικών κλήσεων, με ρητή αναφορά των υποκειμένων (ασθενείς, καλούντες τρίτοι), των συλλεγόμενων προσωπικών δεδομένων (φωνή καλούντος, ονοματεπώνυμο ασθενή, ηλικία ασθενή, τηλεφωνικός αριθμός επικοινωνίας, διεύθυνση συμβάντος, κατάσταση υγείας ασθενή), ο σκοπός και η νομική βάση επεξεργασίας κλπ. Στο πλαίσιο αυτό, ο ισχυρισμός ότι «στον καλούντα δεν παρέχονται δικαιώματα διότι δεν ζητείται η ταυτοποίησή του, ούτε είναι δυνατή η εκ των υστέρων ταυτοποίηση. Για τον ασθενή που δεν συνομιλεί, αλλά διαβιβάζονται μη ταυτοποιημένα ή διασταυρωμένα στοιχεία από τον καλούντα, δεν παρέχονται στοιχεία κλήσεως, αλλά τα στοιχεία που διαβιβάστηκαν λεκτικά, καταχωρούνται σε βάση δεδομένων από την οποία μπορεί να ζητηθεί η έκδοση βεβαίωσης διακομιδής σε έντυπη μορφή εφόσον υποβληθεί αίτηση και εφόσον αυτή η διακομιδή εν τέλει έλαβε χώρα» φαίνεται να αντιφάσκει με την αναφορά ότι τόσο ο ασθενής όσο και ο καλών είναι υποκείμενα προσωπικών δεδομένων (δηλαδή ταυτοποιήσιμα φυσικά πρόσωπα) με την έννοια του ΓΚΠΔ. Σημειώνεται επίσης ότι το ΕΚΑΒ με το ίδιο έγγραφο προσκόμισε στην Αρχή την από 12-10-2022 αίτησή του για ανάκληση εισαγγελικών παραγγελιών προς την Εισαγγελία Πρωτοδικών Αθηνών (υπ’ αριθ. πρωτ. …), με την οποία προβάλλει ισχυρισμούς αντιφατικούς και, συγκεκριμένα, αφ’ενός μεν υποστηρίζει ότι τα δεδομένα δεν ανήκουν σε ταυτοποιημένα ή ταυτοποιήσιμα φυσικά πρόσωπα, αφ’ ετέρου δε κάνει λόγο για εφαρμογή της αρχής της ελαχιστοποίησης των δεδομένων, κατ’ άρθρο 5 παρ. 1 περ. γ’ του ΓΚΠΔ., ενώ αναφέρει ότι η υπηρεσία έχει ικανοποιήσει σχετικά αιτήματα με χορήγηση άλλων δεδομένων «που αποδεικνύουν το ζητούμενο». Σύμφωνα με τις ανωτέρω διαπιστώσεις και από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019, προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί των καταγγελιών της A και του B κατά του ΕΚΑΒ για παραβίαση του δικαιώματος πρόσβασης σε προσωπικά τους δεδομένα και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/2019.
3. Με το άρθρο 5 παρ. 1 του ΓΚΠΔ τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία. Σύμφωνα με το άρθρο 5 παρ. 1 α) ΓΚΠΔ «1. Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια». Περαιτέρω, σύμφωνα με την αρχή της λογοδοσίας που ορίζεται ρητώς στην δεύτερη παράγραφο του ιδίου άρθρου και συνιστά ακρογωνιαίο λίθο του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Η αρχή αυτή συνεπάγεται την υποχρέωση του υπευθύνου επεξεργασίας να δύναται να αποδείξει συμμόρφωση με τις αρχές του άρθ. 5 παρ. 1. Προς το σκοπό δε τήρησης της αρχής της διαφάνειας, κατά τη συλλογή των δεδομένων, όταν τα προσωπικά δεδομένα συλλέγονται από το υποκείμενο των δεδομένων ο υπεύθυνος επεξεργασίας οφείλει κατά τη λήψη των δεδομένων να παρέχει στο υποκείμενο όλες τις πληροφορίες που προβλέπονται από το άρθρο 13 παρ. 1 και 2 ΓΚΠΔ και συγκεκριμένα: «1. […] α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας, β) τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων, κατά περίπτωση, γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, δ) εάν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο στ), τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ή από τρίτο, ε) τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, εάν υπάρχουν, στ) κατά περίπτωση, την πρόθεση του υπευθύνου επεξεργασίας να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε τρίτη χώρα ή διεθνή οργανισμό και την ύπαρξη ή την απουσία απόφασης επάρκειας της Επιτροπής ή, όταν πρόκειται για τις διαβιβάσεις που αναφέρονται στο άρθρο 46 ή 47 ή στο άρθρο 49 παράγραφος 1 δεύτερο εδάφιο, αναφορά στις ενδεδειγμένες ή κατάλληλες εγγυήσεις και τα μέσα για να αποκτηθεί αντίγραφό τους ή στο πού διατέθηκαν. 2. Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας […] παρέχει στο υποκείμενο των δεδομένων τις εξής επιπλέον πληροφορίες […] α) το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, β) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για πρόσβαση και διόρθωση ή διαγραφή των δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας που αφορούν το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην επεξεργασία, καθώς και δικαιώματος στη φορητότητα των δεδομένων, …». Όπως επισημαίνεται στην Αιτ. Σκέψη 39 του Κανονισμού, «Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα θα πρέπει να είναι σύννομη και δίκαιη. Θα πρέπει να είναι σαφές για τα φυσικά πρόσωπα ότι δεδομένα προσωπικού χαρακτήρα που τα αφορούν συλλέγονται, χρησιμοποιούνται, λαμβάνονται υπόψη ή υποβάλλονται κατ' άλλο τρόπο σε επεξεργασία, καθώς και σε ποιο βαθμό τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται ή θα υποβληθούν σε επεξεργασία. Η αρχή αυτή απαιτεί κάθε πληροφορία και ανακοίνωση σχετικά με την επεξεργασία των εν λόγω δεδομένων προσωπικού χαρακτήρα να είναι εύκολα προσβάσιμη και κατανοητή και να χρησιμοποιεί σαφή και απλή γλώσσα». Περαιτέρω, σύμφωνα με τις Κατευθυντήριες Γραμμές της Ομάδας Εργασίας του άρθρου 29 για τη διαφάνεια, «Η απαίτηση ότι η παροχή πληροφοριών στα υποκείμενα των δεδομένων και η επικοινωνία με αυτά γίνονται με «συνοπτικό και διαφανή» τρόπο σημαίνει ότι οι υπεύθυνοι επεξεργασίας θα πρέπει να παρουσιάζουν τις πληροφορίες/να επικοινωνούν αποτελεσματικά και συνοπτικά ώστε να αποφεύγεται η δημιουργία κούρασης λόγω της παροχής πληροφοριών. Αυτές οι πληροφορίες θα πρέπει να διαφοροποιούνται με σαφήνεια από άλλες σχετικές πληροφορίες που δεν αφορούν την προστασία της ιδιωτικής ζωής, όπως συμβατικές διατάξεις ή γενικοί όροι χρήσης. Σε ένα διαδικτυακό περιβάλλον, η χρήση μιας δήλωσης πολλαπλών επιπέδων σχετικά με την προστασία της ιδιωτικής ζωής θα παράσχει σε ένα υποκείμενο δεδομένων τη δυνατότητα να πλοηγηθεί σε ένα συγκεκριμένο τμήμα της δήλωσης το οποίο θέλουν να προσπελάσουν αμέσως αντί να πρέπει να πραγματοποιεί κύλιση σε κείμενα μεγάλης έκτασης αναζητώντας συγκεκριμένα θέματα. […] 11. Ο χαρακτηρισμός «εύκολα προσβάσιμες» σημαίνει ότι το υποκείμενο των δεδομένων δεν θα πρέπει να αναζητάει τις πληροφορίες· Θα πρέπει να καθίσταται αμέσως εμφανές στο υποκείμενο των δεδομένων πού και πώς είναι δυνατή η πρόσβαση σε αυτές τις πληροφορίες, για παράδειγμα μέσω της παροχής τους απευθείας σε αυτό, μέσω της σύνδεσής τους με αυτό, μέσω της σαφούς ένδειξής τους ή ως απάντηση σε ερώτηση με φυσική γλώσσα (για παράδειγμα σε μια δήλωση πολλαπλών επιπέδων σχετικά με την προστασία της ιδιωτικής ζωής, σε συχνές ερωτήσεις, μέσω αναδυόμενων παραθύρων περιβάλλοντος τα οποία ενεργοποιούνται όταν ένα υποκείμενο των δεδομένων συμπληρώνει ένα ηλεκτρονικό έντυπο ή σε διαδραστικό ψηφιακό περιβάλλον μέσω διεπαφής με ρομπότ συνομιλίας κ.λπ.)» (§ 9 και 11, WP260 rev.01).
Ο σκοπός της συλλογής και τήρησης των προσωπικών δεδομένων, δηλαδή ο σκοπός επεξεργασίας, δεν ασκεί επιρροή στην τήρηση των βασικών αρχών επεξεργασίας, οι οποίες πρέπει να τηρούνται κατ’ αρχήν σε κάθε περίπτωση, ανεξαρτήτως σκοπού.
4. Σύμφωνα με το άρθρο 15 παρ. 3 ΓΚΠΔ, το υποκείμενο των δεδομένων έχει το δικαίωμα λήψης αντιγράφου των προσωπικών δεδομένων που υποβάλλονται σε επεξεργασία, ενώ σύμφωνα με την παρ. 4 του ιδίου άρθρου, το δικαίωμα λήψης αντιγράφου πρέπει να μην επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων. Όπως έχει κριθεί από την Αρχή (βλ. αποφάσεις 20/2023, 36/2021, 26/2021, 13/2021), ο ΓΚΠΔ δεν θεσπίζει συγκεκριμένο διαδικαστικό πλαίσιο για την άσκηση δικαιώματος πρόσβασης, αλλά προβλέπει ότι ο υπεύθυνος επεξεργασίας οφείλει να διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων (άρθρο 12 παρ. 2 ΓΚΠΔ), παρέχοντας τα μέσα για την ηλεκτρονική υποβολή τους, ιδίως όταν δεδομένα υφίστανται επεξεργασία με ηλεκτρονικά μέσα (αιτ. 59 ΓΚΠΔ). Σύμφωνα με τις ανωτέρω Κατευθυντήριες Γραμμές σχετικά με τη διαφάνεια βάσει του κανονισμού 2016/679 (WP260 rev.01), οι διαφορετικοί τρόποι που παρέχει ο υπεύθυνος επεξεργασίας για την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων πρέπει να είναι κατάλληλοι για το πλαίσιο και τη φύση της μεταξύ τους σχέσης και να αντανακλούν τους διαφορετικούς τρόπους με τους οποίους τα υποκείμενα των δεδομένων αλληλοεπιδρούν μαζί του. Ειδικότερα, υπεύθυνος επεξεργασίας, ο οποίος χρησιμοποιεί ένα ηλεκτρονικό έντυπο στον ιστότοπό του και έγχαρτα έντυπα στην υποδοχή του, εξακολουθεί να αποδέχεται αιτήματα πρόσβασης που υποβάλλονται με άλλους τρόπους (όπως μέσω επιστολής ή ηλεκτρονικού ταχυδρομείου) και παρέχει ένα ειδικό προς αυτό τον σκοπό σημείο επαφής (η πρόσβαση στο οποίο είναι δυνατή μέσω ηλεκτρονικού ταχυδρομείου ή τηλεφωνικώς) ώστε να βοηθάει τα υποκείμενα των δεδομένων να ασκούν τα δικαιώματά τους (βλ. παράδειγμα σελ. 35 των κατευθυντήριων γραμμών WP260 rev.01). Συνεπώς, η άσκηση δικαιώματος δυνάμει των άρθρων 15 έως 22 ΓΚΠΔ δεν απαιτείται να περιβληθεί συγκεκριμένο τύπο ή να ασκηθεί με πανηγυρικό τρόπο π.χ. με την επίκληση των διατάξεων του ΓΚΠΔ ή με ρητή αναφορά σε άσκησή του. Αν και οι τυποποιημένες φόρμες άσκησης δικαιώματος μπορεί να διευκολύνουν την αναγνώριση ενός δικαιώματος πρόσβασης, η άσκησή του είναι εξίσου ισχυρή αν το υποκείμενο την υποβάλει μέσω επιστολής, μηνύματος ηλεκτρονικού ταχυδρομείου ή προφορικά. Ως εκ τούτου, δεν είναι υποχρεωτικό να χρησιμοποιείται κάποια τυποποιημένη φόρμα την οποία τα υποκείμενα απλώς ενθαρρύνονται να χρησιμοποιούν (βλ. ΑΠΔ 19/2022). Συνεπώς έγκυρα ασκείται δικαίωμα πρόσβασης από υποκείμενο μέσω μηνύματος ηλεκτρονικού ταχυδρομείου που απευθύνεται, μεταξύ άλλων, και στον ΥΠΔ του υπευθύνου επεξεργασίας.
5. Επιπλέον, σύμφωνα με τις διατάξεις των παρ. 3 και 4 του άρθρου 12 ΓΚΠΔ «3. Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα, η ενημέρωση παρέχεται, εάν είναι δυνατόν, με ηλεκτρονικά μέσα, εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό. 4. Εάν ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων, χωρίς καθυστέρηση και το αργότερο εντός μηνός από την παραλαβή του αιτήματος, για τους λόγους για τους οποίους δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής». Η ορθή και έγκαιρη ικανοποίηση του δικαιώματος πρόσβασης των υποκειμένων αποτελεί κρίσιμο στοιχείο για τη διαφάνεια της επεξεργασίας. Όπως επισημαίνεται στις Κατευθυντήριες Γραμμές 1/2022 του ΕΣΠΔ για το δικαίωμα πρόσβασης, το δικαίωμα αυτό δεν πρέπει να θεωρείται μεμονωμένο, καθώς συνδέεται στενά με άλλες προβλέψεις του Κανονισμού, ιδίως με τις αρχές προστασίας προσωπικών δεδομένων, συμπεριλαμβανομένης της νομιμότητας και αντικειμενικότητας της επεξεργασίας, της υποχρέωσης διαφάνειας του υπευθύνου επεξεργασίας, και με τα υπόλοιπα δικαιώματα του υποκειμένου των δεδομένων που προβλέπονται στο κεφάλαιο 3 του ΓΚΠΔ. Περαιτέρω, δεν έχει σημασία για ποιο σκοπό το υποκείμενο ασκεί το δικαίωμα πρόσβασης. Σύμφωνα με τη νομολογία της Αρχής, ο ΓΚΠΔ δεν θέτει προϋποθέσεις για την άσκησή του, η οποία συνδέεται με τη δυνατότητα του υποκειμένου να έχει επίγνωση της επεξεργασίας και να επαληθεύει τη νομιμότητα της επεξεργασίας (βλ. Αιτιολογική Σκέψη 63 ΓΚΠΔ, απόφαση ΑΠΔ 1/2022), χωρίς όμως να περιορίζεται στον σκοπό αυτό, όπως επιβεβαίωσε προσφάτως με απόφασή του το ΔΕΕ (βλ. απόφαση C-307/22, §§29-52). Έτσι δεν απαιτείται η επίκληση των λόγων για τους οποίους το υποκείµενο των δεδοµένων επιθυµεί την άσκηση του δικαιώµατος πρόσβασης (βλ. και αποφάσεις ΑΠΔ 36/2021, 2/2020 και 16/2017 σκ. 3). Το ίδιο επισημαίνεται εξάλλου και στις προαναφερόμενες Κατευθυντήριες Γραμμές 1/2022 του ΕΣΠΔ για το δικαίωμα πρόσβασης (βλ. ιδίως παρ. §13: “….ο σκοπός του δικαιώματος πρόσβασης δεν προσφέρεται για να αναλυθεί ως προϋπόθεση για την άσκηση του δικαιώματος πρόσβασης από τον υπεύθυνο επεξεργασίας στο πλαίσιο της εκ μέρους του αξιολόγησης των αιτημάτων πρόσβασης. Ως εκ τούτου, οι υπεύθυνοι επεξεργασίας δεν θα πρέπει να ελέγχουν «γιατί» το υποκείμενο των δεδομένων ζητεί πρόσβαση, αλλά μόνο «τι» ζητεί το υποκείμενο των δεδομένων”. Για τον ίδιο λόγο ο σκοπός επεξεργασίας των προσωπικών δεδομένων δεν ασκεί επιρροή στη δυνατότητα άσκησης δικαιώματος πρόσβασης εκ μέρους των υποκειμένων, τα οποία έχουν κατ’ αρχήν δικαίωμα λήψης αντιγράφου σύμφωνα με το άρθρο 15 παρ. 3 ΓΚΠΔ, με την επιφύλαξη της παρ. 4 του ιδίου άρθρου. Περιορισμοί στην άσκηση δικαιωμάτων που προβλέπονται στον ΓΚΠΔ είναι δυνατόν να θεσπίζονται σύμφωνα με τους όρους το άρθρου 23 ΓΚΠΔ, δηλαδή με διάταξη εθνικού ή ενωσιακού δικαίου όταν ένας τέτοιος περιορισμός σέβεται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών και συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση των περιοριστικά αναφερόμενων στη διάταξη της παρ. 1 του άρθρου 23 ΓΚΠΔ σκοπών. Κατά συνέπεια, το δικαίωμα πρόσβασης των υποκειμένων δεν μπορεί νομίμως να περιορίζεται με απόφαση του ΔΣ του υπευθύνου επεξεργασίας ούτε με άλλη πράξη (π.χ. Γνωμοδότηση ΕισΑΠ), παρά μόνο με διάταξη νόμου που πληροί τις παραπάνω προϋποθέσεις.
6. Σύμφωνα με το άρθρο 11 ΓΚΠΔ «1. Εάν οι σκοποί για τους οποίους ο υπεύθυνος επεξεργασίας επεξεργάζεται δεδομένα προσωπικού χαρακτήρα δεν απαιτούν ή δεν απαιτούν πλέον την εξακρίβωση της ταυτότητας του υποκειμένου των δεδομένων από τον υπεύθυνο επεξεργασίας, ο υπεύθυνος επεξεργασίας δεν υποχρεούται να διατηρεί, να αποκτά ή να επεξεργάζεται συμπληρωματικές πληροφορίες για την εξακρίβωση της ταυτότητας του υποκειμένου των δεδομένων αποκλειστικά και μόνο για το σκοπό της συμμόρφωσης προς τον παρόντα κανονισμό. 2. Όταν, στις περιπτώσεις που αναφέρονται στην παράγραφο 1 του παρόντος άρθρου, ο υπεύθυνος επεξεργασίας μπορεί να αποδείξει ότι δεν είναι σε θέση να εξακριβώσει την ταυτότητα του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας ενημερώνει σχετικά το υποκείμενο των δεδομένων, εάν είναι δυνατόν. Στις περιπτώσεις αυτές, τα άρθρα 15 ως 20 δεν εφαρμόζονται, εκτός εάν το υποκείμενο των δεδομένων, για τον σκοπό της άσκησης των δικαιωμάτων του που απορρέουν από τα εν λόγω άρθρα, παρέχει συμπληρωματικές πληροφορίες που επιτρέπουν την εξακρίβωση της ταυτότητάς του». Όπως εξηγείται στην Αιτ. Σκέψη 57 του ΓΚΠΔ «Εάν τα δεδομένα προσωπικού χαρακτήρα τα οποία επεξεργάζεται ένας υπεύθυνος επεξεργασίας δεν επιτρέπουν στον υπεύθυνο επεξεργασίας να ταυτοποιήσει ένα φυσικό πρόσωπο, ο υπεύθυνος επεξεργασίας δεδομένων δεν θα πρέπει να υποχρεούται να αποκτά συμπληρωματικές πληροφορίες, προκειμένου να ταυτοποιήσει το υποκείμενο των δεδομένων με μοναδικό σκοπό τη συμμόρφωσή του προς οποιαδήποτε διάταξη του παρόντος κανονισμού. Ωστόσο, ο υπεύθυνος επεξεργασίας δεν θα πρέπει να αρνείται να λάβει συμπληρωματικές πληροφορίες που παρέχει το υποκείμενο των δεδομένων με σκοπό την υποστήριξη της άσκησης των δικαιωμάτων του. Η ταυτοποίηση θα πρέπει να περιλαμβάνει την ψηφιακή ταυτοποίηση του υποκειμένου των δεδομένων, λόγου χάρη μέσω μηχανισμού επαλήθευσης της ταυτότητας, όπως είναι τα ίδια διακριτικά στοιχεία τα οποία χρησιμοποιούνται από το υποκείμενο των δεδομένων κατά την είσοδο (log-in) στην επιγραμμική υπηρεσία που προσφέρεται από τον υπεύθυνο επεξεργασίας».Παράλληλα, η παρ. 2 του άρθρου 12 ΓΚΠΔ ορίζει ότι «Ο υπεύθυνος επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων που προβλέπονται στα άρθρα 15 έως 22. Στις περιπτώσεις που προβλέπονται στο άρθρο 11 παράγραφος 2, ο υπεύθυνος επεξεργασίας δεν αρνείται να ενεργήσει κατόπιν αιτήσεως του υποκειμένου των δεδομένων για να ασκήσει τα δικαιώματά του βάσει των άρθρων 15 έως 22, εκτός αν ο υπεύθυνος επεξεργασίας αποδείξει ότι δεν είναι σε θέση να εξακριβώσει την ταυτότητα του υποκειμένου των δεδομένων». Εξάλλου, τόσο στις περιπτώσεις όπου η επεξεργασία δεν απαιτεί την εξακρίβωση της ταυτότητας του υποκειμένου όσο και στις περιπτώσεις που τέτοια εξακρίβωση απαιτείται, εάν ο υπεύθυνος επεξεργασίας έχει εύλογες αμφιβολίες σχετικά με την ταυτότητα του φυσικού προσώπου που υποβάλλει αίτημα άσκησης δικαιωμάτων σύμφωνα με τον ΓΚΠΔ, μπορεί να ζητήσει την παροχή πρόσθετων πληροφοριών που είναι απαραίτητες για την επιβεβαίωση της ταυτότητας του υποκειμένου των δεδομένων (άρθρο 12 παρ. 6 ΓΚΠΔ).
7. Το άρθρο 29 παρ. 4γ του ΚΟΔΚΔΛ (Ν. 4938/2022), το οποίο επικαλείται το ΕΚΑΒ, αναφέρεται στις προϋποθέσεις χορήγησης εισαγγελικής παραγγελίας και ορίζει τα εξής: «Ο εισαγγελέας πρωτοδικών: […] β) παραγγέλλει στις υπηρεσίες του Δημοσίου, των Ν.Π.Δ.Δ. και των λοιπών φορέων γενικής κυβέρνησης του άρθρου 14 του ν. 4270/2014 (Α’ 143), καθώς και στις επιχειρήσεις του ευρύτερου δημόσιου τομέα, αν έχει προηγηθεί αποδεδειγμένη με έγγραφα άρνηση παράδοσης ή χορήγησής τους, να παραδώσουν έγγραφα ή να χορηγήσουν αντίγραφά τους, όταν το ζητήσουν νομικά ή φυσικά πρόσωπα που έχουν δικαίωμα ή έννομο συμφέρον, εκτός αν πρόκειται για έγγραφα από αυτά που αναφέρονται στο άρθρο 263 του ΚΠΔ». Μέχρι το έτος 2022, από τη διάταξη του άρθρου 25 παρ. 4β) του τότε ισχύοντος ΚΟΔΚΔΛ (Ν. 1756/1988 προβλέπονταν αντίστοιχα τα εξής: «Ο εισαγγελέας πρωτοδικών: […] β) δικαιούται να παραγγέλλει στις υπηρεσίες του δημοσίου, των νομικών προσώπων δημοσίου δικαίου, των οργανισμών κοινής ωφέλειας και όλων γενικά των επιχειρήσεων του δημόσιου τομέα, να παραδώσουν έγγραφα ή να χορηγήσουν αντίγραφά τους, όταν το ζητήσουν νομικά ή φυσικά πρόσωπα που έχουν δικαίωμα ή έννομο συμφέρον, εκτός αν πρόκειται για έγγραφα από αυτά που αναφέρονται στο άρθρο 261 του Κ.Π.Δ.». Η εν λόγω διάταξη και η ειδική νομοθεσία περί προστασίας δεδομένων προσωπικού χαρακτήρα, βρίσκονται σε σχέση γενικού προς ειδικό, όπως έχει κριθεί από το ΣτΕ (βλ. αποφάσεις 2296/2020 και 1817/2018 ΣτΕ). Επομένως, σε περίπτωση σύγκρουσης μεταξύ των διατάξεων της ειδικής νομοθεσίας περί προστασίας δεδομένων προσωπικού χαρακτήρα (πλέον ΓΚΠΔ) και αυτών περί χορήγησης εισαγγελικής παραγγελίας σε τρίτους με έννομο συμφέρον, οι πρώτες υπερισχύουν ως ειδικότερες. Οι διατάξεις άλλωστε του ΚΟΔΚΔΛ αναφέρονται μόνο στη χορήγηση εγγράφων σε τρίτους με έννομο συμφέρον και όχι στη χορήγηση εγγράφων στα υποκείμενα των δεδομένων κατόπιν άσκησης δικαιώματος πρόσβασης κατά το άρθρο 15 ΓΚΠΔ.
8. Οι ισχυρισμοί τους οποίους προβάλλει το ΕΚΑΒ κατ’ επίκληση της προστασίας του απορρήτου των επικοινωνιών προκειμένου να αιτιολογήσει την μη παροχή πρόσβασης στις αιτούμενες επικοινωνίες μέσω του τηλεφωνικού κέντρου 166, είναι αβάσιμοι για τους εξής λόγους:
Πρώτον, ο ισχυρισμός σύμφωνα με τον οποίο δεν ζητούνται προσωπικά στοιχεία του καλούντος ώστε να καθίσταται κατ’ αποτέλεσμα αδύνατη η ταυτοποίηση του παραβλέπει το γεγονός ότι η συνομιλία και τα παραγόμενα δεδομένα εμπίπτουν στην έννοια των προσωπικών δεδομένων και επομένως καθίσταται δυνατή η ταυτοποίηση έστω και έμμεσα (βλ. ανωτέρω, Σκέψη 2).
Δεύτερον, το άρθρο 5 παρ. 4 γ’ της υπ’ αρ 216/2008 Κανονιστικής Πράξης της ΑΔΑΕ για τις κλήσεις έκτακτης ανάγκης, το οποίο επικαλείται το ΕΚΑΒ υποστηρίζοντας ότι βάσει της διάταξης αυτής απαγορεύεται η διατήρηση του ονοματεπωνύμου του καλούντος από τον φορέα αντιμετώπισης έκτακτης ανάγκης δεν προσδίδει νόμιμο έρεισμα στην άρνηση ικανοποίησης του δικαιώματος πρόσβασης που άσκησαν οι καταγγέλλοντες διότι η ανωτέρω Κανονιστική Πράξη εκδόθηκε κατ’ εφαρμογή των διατάξεων του άρθρου 8 παρ. 7 εδ. β’ ν. 3471/2006
και ως εκ τούτου το πεδίο εφαρμογής της Πράξης αυτής περιορίζεται αποκλειστικά και μόνο στις περιπτώσεις, στις οποίες για την αντιμετώπιση περιστατικού έκτακτης ανάγκης απαιτείται πρόσβαση σε δεδομένα θέσης ή εξουδετέρωση της δυνατότητας μη αναγραφής της καλούσας γραμμής μέσω συνδρομής των Παρόχων υπηρεσιών ηλεκτρονικών επικοινωνιών σε δημόσια δίκτυα, όπως προκύπτει από το άρθρο 1 παρ. 1 αυτής.
Επομένως, ο ισχυρισμός του ΕΚΑΒ σύμφωνα με τον οποίο σε ό,τι αφορά τον αριθμό 166 «αντικειμενικά απαγορεύεται από την ελληνική νομοθεσία να διατηρούνται (εφόσον τα είχε) τα στοιχεία του καλούντος…» είναι αβάσιμος.
Τρίτον, οι αποφάσεις του ΔΣ του ΕΚΑΒ για την απομαγνητοφώνηση των καταγεγραμμένων συνομιλιών μέσω διαδικασίας, στις οποίες δεν περιλαμβάνεται πρόβλεψη για διενέργεια απομαγνητοφώνησης ή χορήγηση ηχητικών αρχείων απευθείας σε πολίτες, δεν συνιστούν νόμιμο έρεισμα της άρνησης ικανοποίησης του επίμαχου δικαιώματος πρόσβασης διότι οι αποφάσεις ΔΣ του ΕΚΑΒ δεν έχουν ισχύ νόμου, αλλά επιπλέον εν προκειμένω έρχονται σε αντίθεση με το υπέρτερης τυπικής ισχύος δίκαιο της Ε.Ε. (ΓΚΠΔ), σύμφωνα με το οποίο ο υπεύθυνος επεξεργασίας υποχρεούται να παρέχει πρόσβαση και ενημέρωση στο υποκείμενο των δεδομένων κατόπιν αιτήματός του. Εναπόκειται επομένως στο ΕΚΑΒ να προσαρμόσει πλέον τις διαδικασίες του κατά τρόπο ώστε να σέβεται το δίκαιο της Ε.Ε. καθώς και τα δικαιώματα των υποκειμένων των δεδομένων.
Τέταρτον, η απόφαση του ΕΚΑΒ, σύμφωνα με την οποία τα πρακτικά απομαγνητοφώνησης των κλήσεων στον αριθμό 166 χαρακτηρίζονται ως «απόρρητα έγγραφα», αφενός δεν βρίσκει έρεισμα σε νομοθετική διάταξη, ούτε άλλωστε το ΕΚΑΒ επικαλείται σχετική διάταξη, αφετέρου έρχεται σε αντίθεση προς το ενωσιακό δίκαιο κατά τα ανωτέρω.
Πέμπτον, ο ισχυρισμός του ΕΚΑΒ που προβάλλεται κατ’ επίκληση των διατάξεων των άρθρων 2 παρ. 3, 5 συνδ. 4 παρ. 1 ν. 3471/2006, με τις οποίες ενσωματώθηκε η Οδηγία 2002/58/ΕΚ) για την προστασία του απορρήτου των επικοινωνιών στηρίζεται σε εσφαλμένη εκδοχή ως προς τη σχέση της ανωτέρω Οδηγίας και του εθνικού νόμου 3471/2006 με το πεδίο εφαρμογής του ΓΚΠΔ. Ειδικότερα, σύμφωνα με τη διάταξη του άρθρου 95 ΓΚΠΔ, ο Κανονισμός δεν επιβάλλει πρόσθετες υποχρεώσεις σε φυσικά ή νομικά πρόσωπα σε σχέση με την παροχή υπηρεσιών ηλεκτρονικών επικοινωνιών σε σχέση με θέματα τα οποία υπόκεινται σε ειδικές υποχρεώσεις με τον ίδιο στόχο που ορίζεται στην Οδηγία 2002/58/ΕΚ, ενώ στην αιτιολογική σκέψη 10 της εν λόγω Οδηγίας αναφέρεται ρητά ότι «στον τομέα των ηλεκτρονικών επικοινωνιών, η οδηγία 95/46/ΕΚ (σημ.: οι παραπομπές στην καταργηθείσα Οδηγία 95/46/ΕΚ θεωρούνται πλέον παραπομπές στον ΓΚΠΔ, σύμφωνα με το άρθρο 94 παρ. 2 ΓΚΠΔ) εφαρμόζεται ιδίως σε όλα τα ζητήματα που αφορούν την προστασία των θεμελιωδών δικαιωμάτων και ελευθεριών που δεν καλύπτονται ρητά από τις διατάξεις της παρούσας οδηγίας, συμπεριλαμβανομένων των υποχρεώσεων του υπεύθυνου επεξεργασίας και των ατομικών δικαιωμάτων». Αντίστοιχη σκέψη επαναλαμβάνεται με την Αιτιολ. Σκέψη 173 του ΓΚΠΔ, σύμφωνα με την οποία: «Ο παρών κανονισμός θα πρέπει να εφαρμόζεται σε όλα τα θέματα που αφορούν την προστασία θεμελιωδών δικαιωμάτων και ελευθεριών έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και τα οποία δεν υπάγονται στις ειδικές υποχρεώσεις που έχουν τον ίδιο στόχο, όπως περιγράφονται στην οδηγία 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, περιλαμβανομένων των υποχρεώσεων του υπευθύνου επεξεργασίας και των δικαιωμάτων των φυσικών προσώπων». Εξάλλου, ανάλογη παραπομπή γίνεται και στην Αιτιολ. Σκέψη 23 της Οδηγίας 2002/58/ΕΚ, η οποία αναφέρεται στην καταγραφή επικοινωνιών προς το σκοπό της απόδειξης συναλλαγών: «Το απόρρητο των επικοινωνιών θα πρέπει να εξασφαλίζεται και κατά τη σύννομη επιχειρηματική πρακτική. Όποτε είναι απαραίτητο και νομικώς επιτρεπτό, οι επικοινωνίες μπορούν να καταγράφονται προς το σκοπό της απόδειξης εμπορικών συναλλαγών. Κατά τη διαδικασία αυτή εφαρμόζεται η οδηγία 95/46/EK (…)». Εκ των ανωτέρω συνάγεται με σαφήνεια ότι για οποιοδήποτε θέμα δεν ρυθμίζεται από το Ν. 3471/2006, όπως, ιδίως η άσκηση των δικαιωμάτων των υποκειμένων σε σχέση με την επεξεργασία, εφαρμόζονται οι γενικές προς τούτο προβλέψεις του ΓΚΠΔ και όχι ο Ν. 3471/2006.
Έκτον, ενώ το ΕΚΑΒ επικαλείται το απόρρητο των επικοινωνιών καθ’ ερμηνεία του άρθρου 5 παρ. 1-3 Ν. 2690/1999 προκειμένου να αποκλείσει το δικαίωμα πρόσβασης στις συναφείς τηλεφωνικές συνομιλίες, παράλληλα όλως αντιφατικώς αναφέρεται στην καταγραφή των κλήσεων ως «νόμιμη επαγγελματική πρακτική ως φορέας παροχής υπηρεσιών έκτακτης ανάγκης μέσω του τηλεφωνικού κέντρου του αριθμού έκτακτης ανάγκης» η οποία όμως στηρίζεται στο άρθρο 4 παρ. 3 ν. 3471/2006 και εξαιρείται της προστασίας του απορρήτου εφόσον τα μέρη παρέχουν την συγκατάθεσή τους. Αυτός εξάλλου είναι και ο λόγος για τον οποίο το ΕΚΑΒ επικαλείται ότι έχει ενημερώσει τα υποκείμενα των δεδομένων για την καταγραφή της τηλεφωνικής συνομιλίας μέσω ηχογραφημένου μηνύματος. Ο ισχυρισμός όμως αυτός του ΕΚΑΒ συνιστά αξιολογική αντινομία. Εάν υφίσταται απόρρητο επικοινωνίας μεταξύ των δυο μερών, τότε αυτό θα ισχύει και για τα δυο μέρη. Δεν είναι δυνατόν να προστατεύεται το τηλεφωνικό απόρρητο του υπαλλήλου του ΕΚΑΒ κατά τρόπο ώστε να απαγορεύεται η πρόσβαση του καλούντος στην συνομιλία που τον αφορά, ενώ να μην ισχύει το ίδιο και για τον καλούντα, αφού το ΕΚΑΒ έχει πρόσβαση στη συνομιλία αυτή.
Σύμφωνα με τα ανωτέρω, όλοι οι σχετιζόμενοι με την προστασία του απορρήτου των επικοινωνιών ισχυρισμοί του ΕΚΑΒ είναι αβάσιμοι και δεν μπορούν να στοιχειοθετούν έναν γενικό περιορισμό του κατά το άρθρο 15 ΓΚΠΔ δικαιώματος πρόσβασης του καλούντος στην ηχογραφημένη συνομιλία του με το 166.
9. Τέλος, η συνδρομή των προϋποθέσεων της εξαίρεσης του άρθρου 15 παρ. 4 ΓΚΠΔ, σύμφωνα με την οποία το δικαίωμα λήψης αντιγράφου της παρ. 3 του ιδίου άρθρου δεν εφαρμόζεται αν η ικανοποίηση του δικαιώματος επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων, θα πρέπει να κρίνεται κατά περίπτωση (in concreto), αφού αυτοί οι παράγοντες δεν θα πρέπει να έχουν ως αποτέλεσμα την άρνηση της παροχής κάθε πληροφορίας στο υποκείμενο των δεδομένων (βλ. αιτ. σκ. 63 ΓΚΠΔ) και ο υπεύθυνος επεξεργασίας οφείλει κατ’ άρθρο 12 παρ. 1 σε συνδυασμό προς το άρθρο 24 παρ. 1 ΓΚΠΔ να λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε δυνατή πληροφορία στο πλαίσιο των άρθρων 15 έως 22 και του άρθρου 34 ΓΚΠΔ. Κατά συνέπεια, προκειμένου να περιορίσει το δικαίωμα λήψης αντιγράφου του υποκειμένου των δεδομένων επικαλούμενος τη διάταξη του άρθρου 15 παρ. 4 ΓΚΠΔ, ο υπεύθυνος επεξεργασίας θα πρέπει να είναι σε θέση να καταδείξει ότι η ικανοποίηση του δικαιώματος στη συγκεκριμένη περίπτωση θα επηρεάσει δυσμενώς τα δικαιώματα και τις ελευθερίες ορισμένου άλλου προσώπου, η δε καταγραφή της φωνής εργαζομένου κατά την εκτέλεση των καθηκόντων της εργασίας του δεν μπορεί να θεωρηθεί ότι αποτελεί επαρκή λόγο για την εκ των προτέρων άρνηση ικανοποίησης του δικαιώματος σε κάθε περίπτωση.
10. Σύμφωνα με τα ανωτέρω, μια πολιτική κατά την οποία αποκλείεται κατά τρόπο γενικό και εκ των προτέρων η άσκηση δικαιώματος πρόσβασης των καλούντων στον αριθμό 166 στα αρχεία των καταγραφόμενων κλήσεων είναι αντίθετη στις διατάξεις των άρθρων 5 παρ. 1 α’, 12 παρ. 2 και 15 ΓΚΠΔ και θα πρέπει να αναθεωρηθεί στο πλαίσιο συμμόρφωσης του υπευθύνου επεξεργασίας με τον Γενικό Κανονισμό. Σημειώνεται, εξάλλου, ότι τα εφαρμοζόμενα τεχνικά και οργανωτικά μέτρα που εφαρμόζει ο υπεύθυνος επεξεργασίας, προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με τον ΓΚΠΔ, στα οποία περιλαμβάνονται και οι κατάλληλες πολιτικές και διαδικασίες (άρθρο 24 παρ. 2 ΓΚΠΔ), πρέπει να επανεξετάζονται και επικαιροποιούνται όταν κρίνεται απαραίτητο, κατά ρητή επιταγή του άρθρου 24 παρ. 1 ΓΚΠΔ.
11. Στην προκειμένη περίπτωση, δεδομένων των ανωτέρω εκτιθέμενων πραγματικών περιστατικών, διαπιστώνονται τα εξής:
Α. Λαμβάνοντας υπόψη ότι, εν προκειμένω, οι αιτούντες άσκησαν δικαίωμα πρόσβασης στις καταγεγραμμένες κλήσεις τους προς τον αριθμό 166 ως υποκείμενα των δεδομένων, προσδιορίζοντας με τα αιτήματά τους τους τηλεφωνικούς αριθμούς από τους οποίους είχαν καλέσει, την ημερομηνία και την ώρα κάθε κλήσης, το δε ΕΚΑΒ, ως υπεύθυνος επεξεργασίας, δεν ανταποκρίθηκε με οποιοδήποτε τρόπο στα αιτήματά τους για πρόσβαση στα αρχεία των καταγεγραμμένων τηλεφωνικών τους κλήσεων, δεν ενημέρωσε τους αιτούντες για τους λόγους για τους οποίους δεν ενήργησε επί του αιτήματός τους, δεν ζήτησε συμπληρωματικές πληροφορίες για την ταυτοποίησή τους (π.χ. βεβαίωση του παρόχου για την κατοχή του αριθμού ή άλλα στοιχεία που θα μπορούσαν να οδηγήσουν στην ταυτοποίηση του εκάστοτε καλούντος), αλλά αντιθέτως αγνόησε τα εν λόγω αιτήματα ως επαναλαμβανόμενα, καταχρηστικά και «ακατανόητα», διαπιστώνεται παράβαση του άρθρου 15 παρ. 3 ΓΚΠΔ σε συνδυασμό με τα άρθρα 11 παρ. 2, 12 παρ. 4 και 12 παρ. 6 ΓΚΠΔ, εκ μέρους του ΕΚΑΒ ως υπεύθυνου επεξεργασίας. Όπως προκύπτει από τα στοιχεία του φακέλου, το ΕΚΑΒ απάντησε στον καταγγέλλοντα μόνο μετά την υποβολή της καταγγελίας και την κοινοποίησή της εκ μέρους της Αρχής, αποστέλλοντας όμως την απάντησή του σε εσφαλμένη διεύθυνση e-mail, ενώ υποστήριξε ότι ουδέποτε ασκήθηκε νομίμως δικαίωμα πρόσβασης εκ μέρους των καταγγελλόντων, διότι δεν υποβλήθηκε στο ΕΚΑΒ «επίσημη, υπογεγραμμένη αίτηση», πράγμα όμως που δεν είναι απαραίτητο για την άσκηση δικαιώματος πρόσβασης, όπως προεκτέθηκε. Στο πλαίσιο αυτό λαμβάνεται υπόψη επιβαρυντικά το γεγονός ότι το ΕΚΑΒ με την αρχική του απάντηση προς την Αρχή δήλωσε ότι ο καταγγέλλων γνώριζε κατά την υποβολή του αιτήματος (Ιούνιο του 2022) ότι δεν μπορεί να λάβει αντίγραφα των κλήσεων, ενώ, όπως προέκυψε από την εξέταση της υπόθεσης, η πληροφόρηση αυτή προστέθηκε στην ιστοσελίδα του ΕΚΑΒ μεταγενεστέρως και, συγκεκριμένα, τον Σεπτέμβριο του 2022. Σημειώνεται επίσης ότι ο καταγγέλλων, B, ανεξαρτήτως της ιδιότητας του ίδιου ως υποκειμένου των δεδομένων (καλούντος στο 166), έχει αυτοτελώς δικαίωμα πρόσβασης στα δεδομένα που αφορούν την ανήλικη ασθενή κόρη του, ως ασκών τη γονική μέριμνα, για λογαριασμό της, πράγμα που όφειλε να εξετάσει το ΕΚΑΒ ως υπεύθυνος επεξεργασίας. Με βάση τα ανωτέρω, η Αρχή κρίνει ομόφωνα ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις και ειδικότερα ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να δοθεί κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. γ’ του ΓΚΠΔ εντολή ικανοποίησης των δικαιωμάτων πρόσβασης των καταγγελλόντων και επιπλέον να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ, τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς. Για την επιμέτρηση του προστίμου, η Αρχή έλαβε υπόψη τα κριτήρια που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, την παράγραφο 5 εδ. β’ του ίδιου άρθρου που έχει εφαρμογή στην παρούσα υπόθεση καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης.
Β. Περαιτέρω, στο πλαίσιο της αυτεπάγγελτης αρμοδιότητας της Αρχής (άρθρο 57 παρ. 1 α΄ και δ΄ ΓΚΠΔ) που ασκείται επ’ αφορμή της εξεταζόμενης καταγγελίας, διαπιστώνεται ότι κατά γενική Πολιτική του ΕΚΑΒ και με επίκληση του γενικού απορρήτου των τηλεπικοινωνιών δεν χορηγούνται αντίγραφα ή απομαγνητοφώνηση των καταγεγραμμένων τηλεφωνικών κλήσεων σε πολίτες παρά μόνο στον αρμόδιο εισαγγελέα στο πλαίσιο διερεύνησης ποινικού αδικήματος. Ενημέρωση σχετικά με την εν λόγω Πολιτική παρέχεται μέσω της ιστοσελίδας του ΕΚΑΒ (https://www.ekab.gr/pistopiitika-veveosis/) ως εξής: «Δεν χορηγούνται αντίγραφα συνομιλιών ή απομαγνητοφωνήσεις συνομιλιών του 166 διότι αυτές καλύπτονται ειδικό απόρρητο, τη νομοθεσία περί απορρήτου των τηλεπικοινωνιών (άρθρο 5 παρ. 1,2,3 του Ν. 2690/1999). Επίκληση του “δικαιώματος πρόσβασης” κατά το άρθρο 15 του ΓΚΠΔ δεν μπορεί να στοιχειοθετηθεί διότι το ΕΚΑΒ δεν πιστοποιεί τους καλούντες». Όπως όμως προκύπτει από τις σκέψεις που προηγήθηκαν, η ακολουθούμενη πρακτική του εκ προοιμίου αποκλεισμού άσκησης του κατ’ άρθρο 15 παρ. 3 ΓΚΠΔ δικαιώματος πρόσβασης σε αντίγραφο των δεδομένων (στο αρχείο της καταγεγραμμένης κλήσης) είναι εσφαλμένη: Τα δεδομένα φωνής φυσικού προσώπου αποτελούν σε κάθε περίπτωση προσωπικά δεδομένα του προσώπου αυτού, διότι ακόμα και αν δεν συλλέγεται το ονοματεπώνυμο του καλούντος, το υποκείμενο των δεδομένων φωνής μπορεί κατά περίπτωση να ταυτοποιηθεί μέσω συμπληρωματικών πληροφοριών, όπως για παράδειγμα προσκομίζοντας βεβαίωση του παρόχου τηλεπικοινωνιών ότι είναι ο κάτοχος του συγκεκριμένου αριθμού, και εφόσον αποδειχθεί ότι ο κάτοχος του τηλεφωνικού αριθμού πραγματοποίησε την συγκεκριμένη κλήση. Ως εκ τούτου το ΕΚΑΒ, ως υπεύθυνος επεξεργασίας οφείλει κατ’ αρχήν να διασφαλίζει τη δυνατότητα άσκησης δικαιώματος πρόσβασης κατά το άρθρο 15 ΓΚΠΔ στις καταγεγραμμένες τηλεφωνικές κλήσεις προς τον αριθμό 166. Μόνο κατ’ εξαίρεση και υπό τις προϋποθέσεις του άρθρου 15 παρ. 4 ΓΚΠΔ ενδέχεται ορισμένο αίτημα να μην δύναται να ικανοποιηθεί. Ωστόσο η τυχόν συνδρομή των εν λόγω προϋποθέσεων θα πρέπει να κρίνεται κατά περίπτωση (in concreto), στο πλαίσιο εξέτασης συγκεκριμένου αιτήματος πρόσβασης. Με βάση τα ανωτέρω η Αρχή αποφασίζει ομόφωνα να απευθύνει εντολή προς το ΕΚΑΒ, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. δ’ του ΓΚΠΔ, να αναθεωρήσει, εντός προθεσμίας ενός (1) μηνός από την κοινοποίηση της παρούσας απόφασης, την εν λόγω πολιτική που εφαρμόζει αναφορικά με την ικανοποίηση δικαιωμάτων πρόσβασης των καλούντων στα αρχεία καταγεγραμμένων κλήσεων στον αριθμό 166, στο πλαίσιο συμμόρφωσης του ΕΚΑΒ με τον ΓΚΠΔ, κατά τρόπο ώστε να μην εμποδίζεται με γενικό τρόπο εκ των προτέρων η άσκηση του κατ’ άρθρο 15 ΓΚΠΔ δικαιώματος πρόσβασης από όλα τα ενδιαφερόμενα υποκείμενα, και να ενημερώσει σχετικά την Αρχή.
Γ. Τέλος, αναφορικά με την τήρηση των υποχρεώσεων διαφάνειας του ΕΚΑΒ ως προς την εν λόγω επεξεργασία δεδομένων, με την υπ’ αρ. .../14-03-2023 απάντησή του, το ΕΚΑΒ υποστήριξε ότι οι κατ’ άρθρο 13 ΓΚΠΔ υποχρεώσεις διαφάνειας ικανοποιούνται «με τις κατάλληλες ενημερώσεις που υπάρχουν σε διάφορα σημεία της ιστοσελίδας, και αναλυτικότερα τα στοιχεία του υπευθύνου επεξεργασίας https://www.ekab.gr/diikisi-tou-ekav/, τα στοιχεία επικοινωνίας του ΥΠΔ και η αναφορά του δικαιώματος σε καταγγελία https://www.ekab.gr/dpo/, σύντομη και περιεκτική αναφορά στην πολιτική του φορέα, τα στοιχεία που χορηγούνται και αυτά που δεν χορηγούνται και τα στοιχεία επικοινωνίας του Υπευθύνου Επεξεργασίας https://www.ekab.gr/pistopiitika-veveosis/. Επίσης, πάρα πολλές φορές που καλούν ηλικιωμένοι στο πρωτόκολλο της υπηρεσίας και δεν διαθέτουν διαδίκτυο, η αντίστοιχη ενημέρωση παρέχεται τηλεφωνικά είτε από τη Γραμματεία ΕΣΚΕ ή το Αυτοτελές Γρ. Υπευθύνου Προστασίας Δεδομένων με το οποίο γίνεται εσωτερική σύνδεση (transfer). Επίσης, στο έγχαρτο αρχείο της υπηρεσίας υπάρχει ένα συνεχώς ανανεούμενο draft αρχείο σε μορφή βιβλίου, το οποίο μπορεί ο κάθε πολίτης να μελετήσει στο κατάστημα της Κεντρικής Υπηρεσίας». Εντός του κειμένου αυτού περιγράφεται η ενημέρωση για το δικαίωμα πρόσβασης, ως εξής: «έχετε τη δυνατότητα άσκησης ... α) δικαίωμα πληροφόρησης και δικαίωμα πρόσβασης σε όλα τα ταυτοποιήσιμα προσωπικά δεδομένα τα οποία τηρεί και επεξεργάζεται το ΕΚΑΒ, σχετικά με εσάς, το είδος της επεξεργασίας …». Μετά τη συζήτηση της υπόθεσης στην Ολομέλεια (6/2/2024) το ΕΚΑΒ προέβη σε ανάρτηση της ανωτέρω Πολιτικής στην ιστοσελίδα του (www.ekab.gr/dpo), με την προσθήκη της φράσης «Ταυτοποίησιμα δεδομένα δεν αποτελούν τα στοιχεία καλούντος στο 166 του ΕΚΑΒ καθόσον δεν ζητούνται προσωπικά δεδομένα στοιχεία καλούντων κατά την αναγγελία συμβάντος». Εκ των ανωτέρω διαπιστώνεται ότι η παρεχόμενη μέχρι τον Φεβρουάριο 2024 ενημέρωση των υποκειμένων των δεδομένων (καλούντων τον αριθμό 166 και ασθενών) δεν πληρούσε τους όρους διαφάνειας του ΓΚΠΔ, αφ’ ενός μεν διότι δεν ήταν εύκολα προσβάσιμη για τα υποκείμενα, αφού οι αναγκαίες πληροφορίες βρίσκονταν διάσπαρτες στην ιστοσελίδα του ΕΚΑΒ και όχι σε σαφή και εύληπτη μορφή, ενώ το αναφερόμενο έγχαρτο, «διαρκώς ανανεούμενο» αρχείο που βρισκόταν στην Κεντρική Υπηρεσία δεν ήταν εύκολα προσβάσιμο από τα υποκείμενα που μπορεί να βρίσκονταν οπουδήποτε στην επικράτεια, αφ’ ετέρου δε, τόσο οι αναφερόμενες στην ιστοσελίδα πληροφορίες όσο και η προσκομισθείσα «Πολιτική Προστασίας Προσωπικών Δεδομένων» ήταν ασαφής και μη κατανοητή όσον αφορά τη δυνατότητα (ή μη) χορήγησης των καταγραφόμενων τηλεφωνικών κλήσεων στα υποκείμενα, στο πλαίσιο άσκησης δικαιώματος πρόσβασης. Με βάση τα ανωτέρω, η Αρχή κρίνει ομόφωνα ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με την διαπιστωθείσα παράβαση της κατ’ άρθρο 13 ΓΚΠΔ υποχρέωσης ενημέρωσης των υποκειμένων των δεδομένων σύμφωνα με τη θεμελιώδη αρχή της διαφάνειας (άρθρο 5 παρ. 1 α’ ΓΚΠΔ) σε κάθε περίπτωση μέχρι τον Φεβρουάριο 2024, κατά τον οποίο αναρτήθηκε στην ιστοσελίδα του ΕΚΑΒ η ανωτέρω προσθήκη στην Πολιτική του, ανεξαρτήτως του ζητήματος αν η προσθήκη αυτή είναι σύμφωνη με το άρθρο 15 ΓΚΠΔ, ενόψει όσων αναφέρονται ανωτέρω στο σημείο Α’, και ότι πρέπει, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, να επιβληθεί αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ, τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς. Για την επιμέτρηση του προστίμου, η Αρχή έλαβε υπόψη τα κριτήρια που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, την παράγραφο 5 εδ. α’ και β’ του ίδιου άρθρου που έχει εφαρμογή στην παρούσα υπόθεση καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης.
ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ
Η ΑΡΧΗ
Α. Επιβάλλει στο ΕΚΑΒ, ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, διοικητικό πρόστιμο ύψους είκοσι χιλιάδων (20.000€) ευρώ, για τη διαπιστωθείσα παράβαση του δικαιώματος πρόσβασης των καταγγελλόντων σε αντίγραφο των καταγεγραμμένων τηλεφωνικών συνομιλιών τους με το τηλεφωνικό κέντρο του 166, σύμφωνα με όσα διαπιστώνονται στο σημείο Α. της σκέψης 11 ανωτέρω.
Β. Απευθύνει στο ΕΚΑΒ, ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδ. γ’ του ΓΚΠΔ εντολή ικανοποίησης των ασκηθέντων στις 24/6/2022 και στις 26/9/2022 από τους καταγγέλλοντες δικαιωμάτων πρόσβασης, μέσω χορήγησης αντιγράφων των από 15/6/2022 καταγεγραμμένων τηλεφωνικών συνομιλιών τους, σύμφωνα με τα αναφερόμενα στο ιστορικό της παρούσας απόφασης.
Γ. Απευθύνει στο ΕΚΑΒ, ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδ. δ’ του ΓΚΠΔ εντολή, όπως εντός προθεσμίας ενός (1) μηνός από την κοινοποίηση της παρούσας απόφασης, αναθεωρήσει την πολιτική που εφαρμόζει αναφορικά με την ικανοποίηση δικαιωμάτων πρόσβασης των καλούντων στα αρχεία καταγεγραμμένων κλήσεων στον αριθμό 166, στο πλαίσιο συμμόρφωσης του ΕΚΑΒ με τον ΓΚΠΔ, κατά τρόπο ώστε να μην εμποδίζεται με γενικό τρόπο εκ των προτέρων η άσκηση του κατ’ άρθρο 15 ΓΚΠΔ δικαιώματος πρόσβασης από όλα τα ενδιαφερόμενα υποκείμενα, και να ενημερώσει σχετικά την Αρχή.
Δ. Επιβάλλει στο ΕΚΑΒ ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, διοικητικό πρόστιμο ύψους δέκα χιλιάδων (10.000€) ευρώ, για τη διαπιστωθείσα παράβαση της κατ’ άρθρο 13 ΓΚΠΔ υποχρέωσης ενημέρωσης των υποκειμένων των δεδομένων σύμφωνα με τη θεμελιώδη αρχή της διαφάνειας (άρθρο 5 παρ. 1 α’ ΓΚΠΔ) από την θέση σε εφαρμογή του ΓΚΠΔ (25/5/2018) μέχρι και τον Φεβρουάριο του 2024.
Ο Πρόεδρος
Κωνσταντίνος Μενουδάκος
Η Γραμματέας
Ειρήνη Παπαγεωργοπούλου