Με την κρινόμενη αίτηση ζητήθηκε η ακύρωση της από 22.1.2021 πράξης της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, με την οποία τέθηκε στο αρχείο η υπ’ αριθμ. Γ/ΕΙΣ/8455/9.12.2020 καταγγελία της αιτούσας κατά της ανώνυμης εταιρίας με την επωνυμία «… ΑΝΩΝΥΜΗ ΕΤΑΙΡΙΑ» και τον διακριτικό τίτλο «… Α.Ε.», για παράνομη επεξεργασία των προσωπικών της δεδομένων κατά παράβαση των σχετικών διατάξεων της νομοθεσίας περί προστασίας δεδομένων προσωπικού χαρακτήρα. Σύμφωνα με την απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης της 7.3.2024 στην υπόθεση C-740/22, το άρθρο 4 § 2 του Καν. (ΕΕ) 679/2026 (ΓΚΠΔ) ορίζει την «επεξεργασία» ως «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα». Από την έκφραση «κάθε πράξη» προκύπτει, μεταξύ άλλων, ότι ο νομοθέτης της Ένωσης θέλησε να προσδώσει στην έννοια της «επεξεργασίας» ευρύ περιεχόμενο, όπερ βεβαιώνεται από τον μη εξαντλητικό χαρακτήρα, ο οποίος εκφράζεται με τη λέξη «όπως», των πράξεων που απαριθμούνται στην εν λόγω διάταξη. Η απαρίθμηση αυτή αφορά, μεταξύ άλλων, την κοινολόγηση με διαβίβαση, τη διάδοση και «κάθε άλλη μορφή διάθεσης», οι δε εργασίες αυτές μπορούν να είναι αυτοματοποιημένες ή μη αυτοματοποιημένες. Συναφώς, το άρθρο 4 σημείο 2 του ΓΚΠΔ δεν θέτει καμία προϋπόθεση όσον αφορά τη μορφή της «μη αυτοματοποιημένης» επεξεργασίας. Ως εκ τούτου, η έννοια της «επεξεργασίας» καλύπτει την προφορική γνωστοποίηση των δεδομένων προσωπικού χαρακτήρα. Η ερμηνεία αυτή της έννοιας της «επεξεργασίας» επιρρωννύεται από τον σκοπό του ΓΚΠΔ, ο οποίος συνίσταται, μεταξύ άλλων, στη διασφάλιση υψηλού επιπέδου προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων και, ειδικότερα, του δικαιώματός τους στην ιδιωτική ζωή έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Ο σκοπός αυτός επιτάσσει να μην εξαρτάται η προστασία αυτή από τις χρησιμοποιούμενες τεχνικές επεξεργασίας των προσωπικών δεδομένων και να αποτρέπεται ο κίνδυνος καταστρατήγησης της προστασίας αυτής δια της προφορικής, αντί της έγγραφης, γνωστοποιήσεως δεδομένων προσωπικού χαρακτήρα. Για τους λόγους αυτούς, η έννοια της «επεξεργασίας» του άρθρου 4 σημείο 2 του ΓΚΠΔ περιλαμβάνει και την προφορική γνωστοποίηση δεδομένων προσωπικού χαρακτήρα. Περαιτέρω, όμως, μια τέτοια μη αυτοματοποιημένη επεξεργασία εμπίπτει στο καθ’ ύλην πεδίο εφαρμογής του ΓΚΠΔ, κατά τη ρητή διάταξη της § 1 του άρθρου 2 του ΓΚΠΔ, μόνο όταν τα δεδομένα που τυγχάνουν επεξεργασίας «περιλαμβάνονται» ή «πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης» (ΔΕΕ απόφαση της 7.3.2024, Endemol Shine Finland Oy, C-740/22 σκ. 28 επ.). Εν προκειμένω, η δεύτερη αιτιολογική βάση της προσβαλλόμενης πράξης, σύμφωνα με την οποία η καταγγελία της αιτούσας, ως αφορώσα σε προφορική διάδοση προσωπικών της δεδομένων, δεν υπάγεται στο πεδίο εφαρμογής της νομοθεσίας για την προστασία των προσωπικών δεδομένων και την αρμοδιότητα της Αρχής κρίθηκε μη νόμιμη από το ΣτΕ. Περαιτέρω, η Αρχή όφειλε να ερευνήσει αν η διενεργηθείσα προφορική επεξεργασία των δεδομένων της υγείας της αιτούσας εύρισκε έρεισμα στο νόμο είτε αυτοτελώς εξεταζόμενη είτε στο πλαίσιο της εκτέλεσης του παραπεμπτικού. Όφειλε, μεταξύ άλλων, να ερευνήσει αν η διενεργηθείσα επεξεργασία ήταν κατάλληλη, συναφής και αναγκαία για τον σκοπό για τον οποίο διενεργήθηκε και αν ικανοποιείται, συνεπώς, η αρχή της «ελαχιστοποίησης των δεδομένων», ως προϋπόθεση της θεμιτής επεξεργασίας των δεδομένων προσωπικού χαρακτήρα. Παραλείποντας δε να εξετάσει πλήρως και με επάρκεια την καταγγελία της αιτούσας, η καθ’ ης Αρχή μη νομίμως την απέρριψε ως προδήλως αβάσιμη. Επιπλέον, η απόρριψη της καταγγελίας της αιτούσας ως προώρως ασκηθείσας επειδή η ίδια δεν είχε προηγουμένως απευθυνθεί στην παρεμβαίνουσα ως υπεύθυνη επεξεργασίας κρίθηκε μη νόμιμη. Κατόπιν τούτων, το Δικαστήριο δέχτηκε την κρινόμενη αίτηση.