Με την κρινόμενη αίτηση ζητήθηκε η ακύρωση της 21/ 17.5.2021 απόφασης της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, με την οποία διατάχθηκε η διαγραφή από το πρόγραμμα «Διαύγεια» απόφασης του Διοικητικού Συμβουλίου του Δημοτικού Οργανισμού Προσχολικής Αγωγής και Κοινωνικής Αλληλεγγύης Δήμου Μοσχάτου-Ταύρου και ήδη Δήμου Μοσχάτου-Ταύρου, σχετικά με συμπεριφορά εργαζομένου, και επιβλήθηκαν σε βάρος του αιτούντος πρόστιμα συνολικού ύψους 10.000 ευρώ λόγω παράνομης επεξεργασίας προσωπικών δεδομένων του εν λόγω εργαζομένου, μη απάντησης σε αίτηση και μη ικανοποίησης αιτήματος διαγραφής των δεδομένων. Εν προκειμένω, στο κείμενο της επίμαχης απόφασης του Δ.Σ. του αιτούντος νομικού προσώπου που αναρτήθηκε στη Διαύγεια, αν και δεν κατονομάζεται ο καταγγέλλων εργαζόμενος, παρατίθενται ωστόσο συμπληρωματικές πληροφορίες που συνδέονται στενά με το πρόσωπό του, όπως τα αρχικά του ονόματός του και στοιχεία της υπηρεσιακής κατάστασης και συμπεριφοράς του. Οι πληροφορίες αυτές, θεωρούμενες στο σύνολό τους και σε συνδυασμό με τις περιστάσεις της επεξεργασίας, καθιστούν δυνατή την εξακρίβωση της ταυτότητάς του κατ’ αρχάς από τρίτους που προέρχονται από το επαγγελματικό ή το κοινωνικό του περιβάλλον. Επιπλέον δε, ενόψει των πληροφοριών που περιέχει η Διαύγεια, αλλά και των τεχνικών δυνατοτήτων αναζήτησης και συνδυασμού τους, η ταυτοποίηση του προσώπου του καταγγέλλοντος είναι δυνατή, χωρίς δυσανάλογη προσπάθεια, από απεριόριστο αριθμό χρηστών. Δεν απαιτείται δε προκειμένου να κριθεί εάν το υποκείμενο των δεδομένων είναι ταυτοποιήσιμο, να αποδειχθεί ότι υπήρξε πράγματι ταυτοποίηση από συγκεκριμένα πρόσωπα. Ενόψει της ανεπιτυχούς προσπάθειας του αιτούντος να καταστήσει ανώνυμα τα προσωπικά δεδομένα του καταγγέλλοντος κατά τρόπο ώστε η ταυτότητά του να μην μπορεί ή να μην μπορεί πλέον να εξακριβωθεί, τα δεδομένα που περιέχονται στην επίμαχη απόφαση είναι δεδομένα προσωπικού χαρακτήρα, κατά την έννοια του άρθρου 4 σημείο 1 του ΓΚΠΔ, και υπάγονται, συνεπώς, στις προστατευτικές διατάξεις του Κανονισμού, όπως ορθώς κρίθηκε με την προσβαλλόμενη απόφαση. Εξάλλου, η ανάρτηση της απόφασης με το ανωτέρω περιεχόμενο στο δικτυακό τόπο του προγράμματος της Διαύγειας αποτελεί αυτοματοποιημένη εν όλω ή εν μέρει επεξεργασία, κατά την έννοια του άρθρου 4 σημείο 2 του ΓΚΠΔ, προσωπικών δεδομένων του καταγγέλλοντος, ήτοι πληροφοριών τόσο αντικειμενικών όσο και υποκειμενικών, με τη μορφή γνώμης ή εκτίμησης, που σχετίζονται με την εργασιακή του συμπεριφορά, την παράνομη επεξεργασία των οποίων κατήγγειλε ο εργαζόμενος ενώπιον της Αρχής και για την οποία υπεύθυνος επεξεργασίας είναι το αιτούν νομικό πρόσωπο κατά την έννοια του άρθρου 4 σημείο 7, καθ’ όσον αυτό καθορίζει τον σκοπό και τον τρόπο της επεξεργασίας. Επίσης, ούτε από την κείμενη νομοθεσία προκύπτει ούτε το αιτούν νομικό πρόσωπο επικαλέστηκε διάταξη νόμου που να προβλέπει δημοσίευση πράξης με το περιεχόμενο της επίμαχης απόφασης είτε στην Εφημερίδα της Κυβερνήσεως είτε στον ημερήσιο τύπο είτε στην ιστοσελίδα ή στο κατάστημα του φορέα, όπως ορθώς έκρινε και η Αρχή με την προσβαλλόμενη απόφασή της. Οι δε πράξεις για τις οποίες θεσπίζεται υποχρέωση ανάρτησης στη Διαύγεια ορίζονται κατά τρόπο ρητό, σαφή και εξαντλητικό στις περιπτώσεις του άρθρου 2 § 4 του Ν. 3861/2010. Σε αυτές περιλαμβάνονται οι συμβάσεις εργασίας ιδιωτικού δικαίου ορισμένου χρόνου και ενδεχόμενες ανανεώσεις ή λύσεις τους. Άλλες πράξεις, ακόμη κι αν εντάσσονται στη διαδικασία σύναψης, ανανέωσης ή λύσης των συμβάσεων αυτών, αναρτώνται στη Διαύγεια μόνο υπό τις προϋποθέσεις της περ. 22 της § 4 του άρθρου 2, οι οποίες δεν συντρέχουν εν προκειμένω. Συνεπώς, οι διατάξεις τις οποίες το αιτούν επικαλέστηκε, αναφερόμενες σε αποφάσεις λύσης/μη ανανέωσης συμβάσεων προσωπικού, δεν μπορούν να αποτελέσουν, σε συνδυασμό με το άρθρο 2 § 4 περ. 14 και 22 του Ν. 3861/2010, νομική βάση για την ανάρτηση στη Διαύγεια απόφασης του ΔΣ του αιτούντος νομικού προσώπου με περιεχόμενο όπως το επίμαχο. Επιπλέον, οι κρίσιμες διατάξεις του Ν. 3861/2010 είναι σαφείς, ακριβείς και προβλέψιμες όσον αφορά την μη ύπαρξη υποχρέωσης ανάρτησης στη Διαύγεια πράξης με περιεχόμενο όπως αυτό της επίμαχης απόφασης, γεγονός το οποίο δεν κλονίζεται από τις γνωμοδοτήσεις του ΝΣΚ, που επικαλέστηκε το αιτούν, οι οποίες αφορούν διαφορετικές κατηγορίες πράξεων, ορισμένες δε εξ αυτών έχουν εκδοθεί βάσει ερωτημάτων άλλων φορέων και είναι κατά νόμο δεσμευτικές μόνο για τους φορείς αυτούς στο μέτρο που έχουν γίνει αποδεκτές. Συνεπώς, ούτε από τις γνωμοδοτήσεις αυτές, αλλά ούτε και από τις αορίστως, πάντως, αναφερόμενες οδηγίες και συστάσεις του Υπουργείου Εσωτερικών, συνάγεται διοικητική πρακτική σαφής, ακριβής και προβλέψιμη, κατά την έννοια του άρθρου 6 § 3 του ΓΚΠΔ, ως προς την υποχρέωση ανάρτησης διοικητικής πράξης με περιεχόμενο όπως αυτό της επίμαχης απόφασης. Επίσης, δεν τίθεται θέμα «συγγνωστής πλάνης», προεχόντως διότι η στοιχειοθέτηση παράβασης λόγω μη νόμιμης, κατά το άρθρο 6, επεξεργασίας κρίνεται αντικειμενικά, και, πάντως, εν προκειμένω από τις διατάξεις του Ν. 3861/2010 δεν προέκυπτε καμία αμφιβολία ως προς τη μη υποχρέωση ανάρτησης της επίμαχης απόφασης. Εξάλλου, η νομική βάση του άρθρου 6 § 1 στοιχ. στ΄ του ΓΚΠΔ δεν μπορεί να στηρίξει νομίμως την επίμαχη επεξεργασία, όπως ορθώς έκρινε και η Αρχή, αφού, όπως ρητώς προβλέπεται στο τελευταίο εδάφιο του στοιχείου στ΄ και διευκρινίζεται στην αιτιολογική σκέψη 47 του Κανονισμού, αυτή δεν εφαρμόζεται σε δημόσιες αρχές κατά την εκπλήρωση των καθηκόντων τους. Επιπλέον, η υποχρέωση ανάρτησης πράξεων στη Διαύγεια ρυθμίζεται νομοθετικά, επομένως, η νομιμότητα της συγκεκριμένης επεξεργασίας δεν μπορεί να βασίζεται στη σύμβαση, παρά μόνο στον νόμο. Περαιτέρω, τα δεδομένα προσωπικού χαρακτήρα πρέπει να τυγχάνουν επεξεργασίας σύμφωνα με τις εφαρμοστέες διατάξεις των άρθρων 5 και 6 του ΓΚΠΔ, ακόμη και εάν δεν εμπίπτουν στις ειδικές κατηγορίες του άρθρου 9 του ΓΚΠΔ. Κατόπιν των ανωτέρω, ορθώς κρίθηκε με την προσβαλλόμενη απόφαση ότι το αιτούν, ως υπεύθυνος επεξεργασίας, δεν απέδειξε ότι η καταγγελλόμενη επεξεργασία πληροί τις προϋποθέσεις νομιμότητας του άρθρου 6. Τέλος, οι διαπιστωθείσες παραβάσεις των άρθρων 6, 12 και 17 του ΓΚΠΔ έλαβαν χώρα υπό την ισχύ του ΓΚΠΔ και πριν από τη θέση σε ισχύ του Ν. 4624/2019, εξακολούθησαν όμως να υφίστανται και μετά την ημερομηνία αυτή καταλαμβανόμενες από τις διατάξεις του νόμου αυτού. Ο εθνικός νομοθέτης, κάνοντας χρήσης της ευχέρειας που παρέχει το άρθρο 83 § 7 του ΓΚΠΔ όσον αφορά το «εάν και σε ποιο βαθμό» μπορούν να επιβάλλονται πρόστιμα σε βάρος φορέων του δημοσίου τομέα ως υπευθύνων επεξεργασίας, προέβλεψε με το άρθρο 39 εξουσία της Αρχής να επιβάλλει πρόστιμα για συγκεκριμένες παραβάσεις, στις οποίες περιλαμβάνονται, μεταξύ άλλων, οι παραβάσεις των άρθρων 5, 6 και 12 του ΓΚΠΔ, εξαιρούνται όμως ρητώς παραβάσεις του άρθρου 17 του ΓΚΠΔ, υπό την επιφύλαξη πάντως των λοιπών διορθωτικών εξουσιών της εποπτικής αρχής, κατά το άρθρο 58 § 2 του ΓΚΠΔ, μεταξύ των οποίων και η εντολή διαγραφής των δεδομένων. Κατόπιν τούτων, η επιβολή προστίμου για τις παραβάσεις των άρθρων 6 και 12 του ΓΚΠΔ και η εντολή διαγραφής της απόφασης του ΔΣ από τη Διαύγεια κρίθηκε νόμιμη, η δε υπόθεση παραπέμφθηκε στην επταμελή σύνθεση.