ΣτΕ Δ΄ 442/2026
Πρόεδρος: Η. Μάζος, Αντιπρόεδρος
Εισηγητής: Δ. Μαυροπόδη, Πάρεδρος
Απόφαση Αρχής Προστασίας Δεδομένων με την οποία διατάχθηκε η διαγραφή από τη «Διαύγεια» απόφασης ΔΣ του αιτούντος νπδδ (περί παροχής εξουσιοδότησης σε όργανό του για την αντιμετώπιση συμπεριφοράς εργαζομένου) και επιβλήθηκαν σε βάρος του πρόστιμα λόγω παράνομης επεξεργασίας προσωπικών δεδομένων του εν λόγω εργαζομένου (άρ. 6 ΓΚΠΔ), μη απάντησης σε αίτηση (12 ΓΚΠΔ) και μη ικανοποίησης αιτήματος διαγραφής των δεδομένων (17 ΓΚΠΔ). -Στο κείμενο της αναρτηθείσας στη Διαύγεια απόφασης, αν και δεν κατονομάζεται ο καταγγέλλων εργαζόμενος, παρατίθενται συμπληρωματικές πληροφορίες που συνδέονται στενά με το πρόσωπό του, όπως τα αρχικά του ονόματός του και στοιχεία της υπηρεσιακής κατάστασης και συμπεριφοράς του. Οι πληροφορίες αυτές, θεωρούμενες στο σύνολό τους και σε συνδυασμό με τις περιστάσεις της επεξεργασίας (δημοσιοποίηση σε ελευθέρως προσβάσιμο δικτυακό τόπο), καθιστούν δυνατή την εξακρίβωση της ταυτότητάς του κατ’ αρχάς από τρίτους που προέρχονται από το επαγγελματικό ή το κοινωνικό του περιβάλλον. Επιπλέον, ενόψει των πληροφοριών που περιέχει η Διαύγεια σχετικά τις συμβάσεις εργασίας, αλλά και των τεχνικών δυνατοτήτων αναζήτησης και συνδυασμού τους, η ταυτοποίηση του καταγγέλλοντος είναι δυνατή, χωρίς δυσανάλογη προσπάθεια, από απεριόριστο αριθμό χρηστών. Δεν απαιτείται προκειμένου να κριθεί εάν το υποκείμενο των δεδομένων είναι ταυτοποιήσιμο, να αποδειχθεί ότι υπήρξε πράγματι ταυτοποίηση από συγκεκριμένα πρόσωπα. -Η ανάρτηση απόφασης με το ανωτέρω περιεχόμενο στο δικτυακό τόπο της Διαύγειας αποτελεί αυτοματοποιημένη εν όλω ή εν μέρει επεξεργασία προσωπικών δεδομένων, ήτοι πληροφοριών τόσο αντικειμενικών όσο και υποκειμενικών με τη μορφή γνώμης ή εκτίμησης που σχετίζονται με εργασιακή συμπεριφορά. -Επίκληση ως νομικής βάσης της επεξεργασίας άρ. 6 παρ. 1 στοιχ. γ΄ ΓΚΠΔ (έννομη υποχρέωση υπευθύνου επεξεργασίας). -Οι πράξεις για τις οποίες θεσπίζεται υποχρέωση ανάρτησης στη Διαύγεια ορίζονται κατά τρόπο ρητό, σαφή και εξαντλητικό στις περιπτώσεις του άρθρου 2 παρ. 4 του ν. 3861/2010. Σε αυτές περιλαμβάνονται οι συμβάσεις εργασίας ιδιωτικού δικαίου ορισμένου χρόνου, ανανεώσεις ή λύσεις τους. Άλλες πράξεις, ακόμη κι αν εντάσσονται στη διαδικασία σύναψης, ανανέωσης ή λύσης των συμβάσεων αυτών, αναρτώνται στη Διαύγεια μόνο υπό τις προϋποθέσεις της περ. 22 της παρ. 4 του άρθρου 2, εφόσον δηλαδή η δημοσίευσή τους προβλέπεται από ειδική διάταξη νόμου, γεγονός που δεν συντρέχει εν προκειμένω. Επεξεργασία που έχει ως νομική βάση το άρθρο 6 παρ. 1 στοιχ. γ΄ του ΓΚΠΔ και όχι τη συγκατάθεση του υποκειμένου των δεδομένων πρέπει να ερμηνεύεται στενά και υπό τους όρους σαφήνειας, ακρίβειας και προβλεψιμότητας των κανονιστικών διατάξεων. Γνωμοδοτήσεις ΝΣΚ, σύμφωνα με τις οποίες εν αμφιβολία δημιουργείται τεκμήριο υπέρ της ανάρτησης στη Διαύγεια (που έχουν εκδοθεί βάσει ερωτημάτων άλλων φορέων και αφορούν διαφορετικές κατηγορίες πράξεων), δεν στοιχειοθετούν διοικητική πρακτική σαφή, ακριβή και προβλέψιμη, κατά την έννοια του άρθρου 6 παρ. 3 του ΓΚΠΔ, ως προς την υποχρέωση ανάρτησης στη Διαύγεια. -Η ύπαρξη συγγνωστής πλάνης δεν ασκεί επιρροή στην στοιχειοθέτηση της παράβασης λόγω μη νόμιμης επεξεργασίας, η οποία κρίνεται αντικειμενικά. -Η νομική βάση του άρθρου 6 παρ. 1 στοιχ. στ΄ ΓΚΠΔ, σύμφωνα με την οποία επεξεργασία μπορεί να δικαιολογείται για τους σκοπούς των εννόμων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας, δεν εφαρμόζεται σε δημόσιες αρχές κατά την εκπλήρωση των καθηκόντων τους. -Εφόσον η υποχρέωση ανάρτησης πράξεων στη Διαύγεια ρυθμίζεται νομοθετικά, η νομιμότητα της συγκεκριμένης επεξεργασίας δεν μπορεί να βασίζεται στη σύμβαση (άρ. 6 παρ. 1 στοιχ. Β΄ ΓΚΠΔ), παρά μόνο στον νόμο. -Αναποδείκτως γίνεται επίκληση της συγκατάθεσης του εργαζομένου, καθώς δεν προσκομίστηκαν στοιχεία που να τεκμηριώνουν συγκατάθεση που να πληροί τις απαιτήσεις του ΓΚΠΔ (ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει). -Ορθή η κρίση της Αρχής περί μη σύννομης επεξεργασίας. -Οι διαπιστωθείσες παραβάσεις των άρθρων 6, 12 και 17 του ΓΚΠΔ έλαβαν χώρα υπό την ισχύ του ΓΚΠΔ και πριν από τη θέση σε ισχύ του ν. 4624/2019, εξακολούθησαν όμως να υφίστανται και μετά την ημερομηνία αυτή καταλαμβανόμενες από τις διατάξεις του νόμου αυτού. Ο εθνικός νομοθέτης, κάνοντας χρήσης της ευχέρειας που παρέχει το άρθρο 83 παρ. 7 του ΓΚΠΔ όσον αφορά το «εάν και σε ποιο βαθμό» μπορούν να επιβάλλονται πρόστιμα σε βάρος φορέων του δημοσίου τομέα ως υπευθύνων επεξεργασίας, προέβλεψε με το άρθρο 39 εξουσία της Αρχής να επιβάλλει πρόστιμα για συγκεκριμένες παραβάσεις, στις οποίες περιλαμβάνονται, μεταξύ άλλων, οι παραβάσεις των άρθρων 5, 6 και 12 του ΓΚΠΔ, εξαιρούνται όμως ρητώς παραβάσεις του άρθρου 17 του ΓΚΠΔ, υπό την επιφύλαξη πάντως των λοιπών διορθωτικών εξουσιών της εποπτικής αρχής, κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ, μεταξύ των οποίων και η εντολή διαγραφής των δεδομένων. Νόμιμη η επιβολή προστίμου για τις παραβάσεις των άρθρων 6 και 12 του ΓΚΠΔ και η εντολή διαγραφής της απόφασης του ΔΣ από τη Διαύγεια. -Τίθεται αυτεπαγγέλτως εξεταζόμενο ζήτημα έλλειψης νομίμου ερείσματος ως προς την επιβολή προστίμου για παράβαση του άρθρου 17 ΓΚΠΔ. Η υπόθεση παραπέμπεται κατά τούτο στην 7μ.
