9 Απριλίου, 2026
Σπυριδούλα Καρύδα
Δικηγόρος για προσωπικά δεδομένα
Με τη σκέψη 17 της απόφασης ΣτΕ 442/2026, παραπέμπεται στην επταμελή σύνθεση ένα ζήτημα που εμφανίζεται ως αυτονόητο, ήτοι η υπεροχή του ενωσιακού δικαίου έναντι του εθνικού και, εν προκειμένω, η υπεροχή του άρθρου 83 του GDPR έναντι του άρθρου 39 του ν. 4624/2019.
Η υπόθεση ήταν, κατ’ ουσίαν, απλή: δημόσια αρχή ανάρτησε στη «Διαύγεια» απόφαση Διοικητικού Συμβουλίου, από την οποία καθίστατο δυνατή, έστω και εμμέσως, η ταυτοποίηση του υποκειμένου των δεδομένων. Η επίμαχη επεξεργασία, η οποία είχε βλαπτικό χαρακτήρα, συνίστατο ακριβώς στην ανάρτηση της απόφασης στο διαδίκτυο.Και τούτο διότι το δικαίωμα διαγραφής έναντι του Δημοσίου, κατά κανόνα, δεν υφίσταται απεριόριστα, αλλά υπόκειται στους αυστηρούς περιορισμούς του άρθρου 17 παρ. 3 GDPR (Dix σε: NK-BDSG, έκδ. 2η, 2026, ά.17, αρ.38 επ.). Εντούτοις, η ΑΠΔΠΧ ορθώς διέγνωσε ότι η συγκεκριμένη ανάρτηση δεν ήταν σύμφωνη με τις απαιτήσεις του GDPR και διέταξε τη διαγραφή της. Περαιτέρω, επέβαλε διοικητικό πρόστιμο στη δημόσια αρχή για παράνομη επεξεργασία, κατ’ εφαρμογή των άρθρων 5 και 6 παρ. 1 στοιχ. γ΄ GDPR, καθώς και για μη ικανοποίηση του δικαιώματος διαγραφής, σύμφωνα με το άρθρο 17 παρ. 1 στοιχ. δ΄ του ίδιου Κανονισμού.
Ωστόσο, το Συμβούλιο της Επικρατείας, με την υπ’ αριθ. 442/2026 απόφασή του, έκρινε καταρχάς ότι νομίμως η ΑΠΔΠΧ επέβαλε πρόστιμο σε βάρος της Δημόσιας Αρχής για παράνομη επεξεργασία προσωπικών δεδομένων, κατά παράβαση του άρθρου 6 του GDPR, κατ’ εφαρμογή του άρθρου 39 παρ. 1 περ. β΄ του ν. 4624/2019. Περαιτέρω, έκρινε ότι η επιμέτρηση του προστίμου στο ποσό των 7.000 ευρώ —σημαντικά χαμηλότερο από το ανώτατο όριο των 10.000.000 ευρώ— πραγματοποιήθηκε βάσει των νόμιμων κριτηρίων και είναι επαρκώς αιτιολογημένη. Στη συνέχεια, όμως, το Δικαστήριο επισήμανε ότι, σύμφωνα με το άρθρο 39 παρ. 1 περ. β΄ του ν. 4624/2019, η επιβολή διοικητικού προστίμου για παραβίαση του άρθρου 17 του GDPR (δικαίωμα στη λήθη) εξαιρείται ρητώς από την κυρωτική εξουσία της Αρχής. Υπό το πρίσμα αυτό, έκρινε ότι ανακύπτει αυτεπαγγέλτως εξεταζόμενο ζήτημα ως προς την ύπαρξη νομίμου ερείσματος της προσβαλλόμενης απόφασης, κατά το μέρος που επιβλήθηκε πρόστιμο για παράβαση του άρθρου 17 παρ. 1 στοιχ. δ΄ του GDPR. Δεδομένου ότι με την προσβαλλόμενη απόφαση επιβλήθηκε ενιαίο πρόστιμο ύψους 3.000 ευρώ για παραβάσεις των άρθρων 12 και 17 του GDPR, το Δικαστήριο επισήμανε ότι, σε περίπτωση που κριθεί πως δεν υφίσταται νόμιμο έρεισμα για την επιβολή προστίμου λόγω παραβίασης του άρθρου 17, η υπόθεση θα πρέπει να αναπεμφθεί στην Αρχή, προκειμένου αυτή να προβεί σε νέα επιμέτρηση του προστίμου που νομίμως επιβάλλεται αποκλειστικά για την παράβαση του άρθρου 12. Ωστόσο, λόγω της ιδιαίτερης σπουδαιότητας του ζητήματος —το οποίο αφορά την ερμηνεία του άρθρου 39 του ν. 4624/2019 ως προς τον περιορισμό της εξουσίας της Αρχής να επιβάλλει πρόστιμα για παραβάσεις του άρθρου 17 του GDPR και επί του οποίου δεν υφίσταται μέχρι σήμερα σχετική νομολογία— το Δικαστήριο έκρινε ότι πρέπει να απόσχει από την οριστική κρίση του και να παραπέμψει το ζήτημα στην επταμελή σύνθεση.
Η δυνατότητα των ΚΜ να θεσπίζουν ειδικό καθεστώς επιβολής διοικητικών προστίμων σε δημόσιες αρχές προβλέπεται ρητώς στο άρθρο 83 παρ. 7 του GDPR με το οποίο δίδεται ρήτρα ανοίγματος (Boehm σε: NK-BDSG, έκδ. 2η, 2026, ά.83, αρ.64) και αξιοποιήθηκε από τον Έλληνα νομοθέτη με το άρθρο 39 του ν. 4624/2019. Ωστόσο, η σχετική ρύθμιση τελεί πάντοτε υπό την επιφύλαξη των διορθωτικών εξουσιών της ΑΠΔΠΧ, όπως αυτές κατοχυρώνονται στο άρθρο 58 παρ. 2 του GDPR, μεταξύ των οποίων περιλαμβάνεται και η αρμοδιότητα επιβολής διοικητικών προστίμων σύμφωνα με το άρθρο 83 του GDPR.
Είναι αληθές ότι ο Έλληνας νομοθέτης πράγματι εξαιρεί το άρθρο 17 GDPR από το ρυθμιστικό πεδίο του άρθρου 39 του ν. 4624/2019. Η επιλογή αυτή, ωστόσο, δικαιολογείται από συγκεκριμένους λόγους: αφενός, διότι ως προς το Δημόσιο εφαρμόζονται κατά κανόνα οι εξαιρέσεις του άρθρου 17 παρ. 3 του GDPR, και αφετέρου, διότι προκρίθηκε η άρνηση ικανοποίησης ενός εκ των θεμελιωδέστερων δικαιωμάτων του GDPR να μην υπαχθεί στο ηπιότερο κυρωτικό καθεστώς του άρθρου 39. Η προσέγγιση αυτή άλλωστε είναι σύμφωνη και με τη νομολογία του ΔΕΕ ως προς τη φύση και τη λειτουργία των διοικητικών προστίμων του άρθρου 83 GDPR. Όπως έχει επανειλημμένως κριθεί (βλ. ιδίως ΔΕΕ C-807/21 Deutsche Wohnen και C-683/21 Nacionalinis visuomenės sveikatos centras), τα πρόστιμα συνιστούν βασικό μηχανισμό διασφάλισης της αποτελεσματικότητας του Κανονισμού και πρέπει να είναι, σε κάθε περίπτωση, αποτελεσματικά, αναλογικά και αποτρεπτικά. Μολονότι το άρθρο 83 παρ. 7 GDPR παρέχει στα κράτη μέλη τη δυνατότητα να ρυθμίσουν το εάν και σε ποιο βαθμό επιβάλλονται πρόστιμα σε δημόσιες αρχές, η ευχέρεια αυτή δεν είναι απεριόριστη, αλλά οφείλει να ασκείται κατά τρόπο που να μην αναιρεί τον πυρήνα του ενωσιακού συστήματος κυρώσεων. Συνεπώς, εθνική ρύθμιση που θα ερμηνευθεί ως αποκλείουσα την επιβολή προστίμων για παραβάσεις του άρθρου 17 GDPR —δηλαδή ενός εκ των θεμελιωδέστερων δικαιωμάτων του Κανονισμού— θα δημιουργούσε σοβαρά ζητήματα συμβατότητας με το ενωσιακό δίκαιο, καθόσον οδηγεί σε αποδυνάμωση της πρακτικής αποτελεσματικότητάς του (effet utile) και, εν τέλει, σε άνιση προστασία των υποκειμένων των δεδομένων έναντι του Δημοσίου, κάτι το οποίο οπωσδήποτε δεν ήταν στις προθέσεις του Έλληνα νομοθέτη, ακόμη και εάν παρουσιαστεί έτσι στη συνέχεια.
Μία ερμηνεία λοιπόν του άρθρου 39 του ν. 4624/2019 σύμφωνη με τον GDPR —ο οποίος, σε κάθε περίπτωση, υπερισχύει— θα απήλλασσε το Δικαστήριο από την άσκοπη αυτή παραπομπή στην επταμελή σύνθεση. Επισημαίνεται δε, ότι κανένας περιορισμός της ΑΠΔΠΧ εν προκειμένω δεν υπήρξε ως προς την άσκηση των εξουσιών της, τις οποίες άλλωστε εν προκειμένω άσκησε.
Δεν καθίσταται σαφές το σκεπτικό της εν λόγω απόφασης, ενώ γεννάται ο προβληματισμός ότι ενδέχεται να εκπέμπει εσφαλμένα μηνύματα ως προς το εύρος άσκησης του δικαιώματος διαγραφής έναντι του Ελληνικού Δημοσίου. Παράλληλα, η πρόσληψή της από τον Τύπο δεν υπήρξε ορθή (https://www.dikastiko.gr/eidhsh/ste-i-diaygeia-den-nomimopoiei-tin-epexergasia-prosopikon-dedomenon-se-dieyrymeni-synthesi-to-keno-toy-n-4624-19/ ) καθώς κανένα «κενό» του ν.4624/2019 δεν υπήρξε εν προκειμένω.
Η απόφαση αυτή και η πρόσληψή της από τον δημοσιογραφικό τύπο αναδεικνύει, για ακόμη μία φορά, το διαχρονικό πρόβλημα κατανόησης του GDPR και της σχέσης του με την εθνική νομοθεσία, καθώς και των ερμηνευτικών προκλήσεων που ανακύπτουν στο πεδίο αυτό.
Σημαντική σημείωση: Το άρθρο είχε αποσταλεί ως απάντηση στο www.dikastiko.gr, πλην όμως δεν δημοσιεύθηκε.
Δεν υπάρχουν σχόλια:
Δεν επιτρέπονται νέα σχόλια.