Επεξεργασία δεδομένων αποτελεί η προφορική γνωστοποίηση προσωπικών δεδομένων (ΣτΕ 1989/2025, Τμ.Δ’)

Στα βήματα του ΔΕΕ κινήθηκε το Συμβούλιο της Επικρατείας, εξετάζοντας το κατά πόσον η προφορική γνωστοποίηση προσωπικών δεδομένων αποτελεί επεξεργασία και άρα εντάσσεται στο πεδίο εφαρμογής του Γενικού Κανονισμού Προστασίας Δεδομένων.

Σύμφωνα με τη σχετική ενημέρωση που αναρτήθηκε στον ιστότοπο του Ανωτάτου Δικαστηρίου, το ΣτΕ κλήθηκε να κρίνει αίτηση ακύρωσης απόφασης της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, με την οποία τέθηκε στο αρχείο καταγγελία για παράνομη προφορική αποκάλυψη δεδομένων από υπάλληλο ιδιωτικού πολυϊατρείου. Ο λόγος της αρχειοθέτησης ήταν πως η προφορική αποκάλυψη ή γνωστοποίηση προσωπικών δεδομένων δεν υπάγεται στο πεδίο εφαρμογής του ΓΚΠΔ, πιθανότατα διότι αυτή δεν αποτελεί, έστω και μη αυτοματοποιημένη, επεξεργασία δεδομένων.

Η αίτηση ακύρωσης έγινε δεκτή και το ΣτΕ επέστρεψε την υπόθεση στην Αρχή, προκειμένου να εξεταστεί εκ νέου, αφού το ζήτημα είχε ήδη κριθεί από το Δικαστήριο της Ευρωπαϊκής Ένωσης. Πρόκειται για την υπόθεση C‐740/22 (Endemol Shine Finland Oy), στην οποία κρίθηκε ότι «η προφορική γνωστοποίηση πληροφοριών σχετικά με τυχόν εκτιόμενες ή ήδη εκτιθείσες ποινικές καταδίκες φυσικού προσώπου συνιστά επεξεργασία δεδομένων προσωπικού χαρακτήρα, κατά την έννοια του άρθρου 4, σημείο 2, του ανωτέρω κανονισμού, η οποία εμπίπτει στο καθ’ ύλην πεδίο εφαρμογής του, εφόσον οι πληροφορίες αυτές περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθετήσεως».

Στην προκείμενη περίπτωση, οι επίμαχες πληροφορίες, όπως διαπιστώθηκε από το Ανώτατο Δικαστήριο, είχαν αντληθεί από το σύστημα αρχειοθέτησης, στο οποίο είχε πρόσβαση η υπάλληλος του πολυϊατρείου, ως εκ τούτου η κρίση του ΔΕΕ καταλάμβανε σαφώς και την υπόθεση αυτή.

Το πλήρες κείμενο της ανακοίνωσης του ΣτΕ έχει ως εξής:

ΣτΕ Δ’ 1989/2025

Πρόεδρος: Η. Μάζος, Αντιπρόεδρος

Εισηγητής: Ε. Κουράκου, Πάρεδρος

Με την 1989/2025 απόφαση του Δ ́ Τμήματος του Συμβουλίου της Επικρατείας κρίθηκε ότι η έννοια της «επεξεργασίας δεδομένων προσωπικού χαρακτήρα» περιλαμβάνει και την προφορική γνωστοποίηση των δεδομένων προσωπικού χαρακτήρα, η οποία, ως μη αυτοματοποιημένη επεξεργασία, εμπίπτει στο καθ’ ύλην πεδίο εφαρμογής του Γενικού Κανονισμού Προστασίας Δεδομένων Προσωπικού Χαρακτήρα όταν τα δεδομένα που τυγχάνουν επεξεργασίας «περιλαμβάνονται» ή «πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης» (ΔΕΕ απόφαση της 7.3.2024, Endemol Shine Finland Oy, C-740/22 σκ. 28 επ.).

Το Δικαστήριο ακύρωσε απόφαση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, με την οποία τέθηκε στο αρχείο ως μη υπαγόμενη στο πεδίο εφαρμογής της νομοθεσίας για την προστασία των προσωπικών δεδομένων και στην αρμοδιότητα της Αρχής καταγγελία που είχε υποβληθεί για προφορική γνωστοποίηση σε τρίτους δεδομένων προσωπικού χαρακτήρα της καταγγέλλουσας από υπάλληλο ιδιωτικού πολυϊατρείου. Με την απόφαση του Δικαστηρίου κρίθηκε ότι η προφορική εν προκειμένω γνωστοποίηση των δεδομένων προσωπικού χαρακτήρα συνιστά μη αυτοματοποιημένη επεξεργασία που εμπίπτει στο πεδίο εφαρμογής του Γενικού Κανονισμού Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, καθόσον τα δεδομένα της αιτούσας που έτυχαν επεξεργασίας αντλήθηκαν από σύστημα αρχειοθέτησης, στο οποίο είχε πρόσβαση η υπάλληλος του πολυϊατρείου, παρέπεμψε δε την υπόθεση στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για νόμιμη εξέταση της καταγγελίας, ενόψει και των οριζομένων στα άρθρα 5 και 9 του Γενικού Κανονισμού.