ΔΙΟΙΚΗΤΙΚΟ ΔΙΚΑΣΤΗΡΙΟ
(Υπόθεση Αρ. 1421/2022)
20 Μαΐου 2026
[ΜΙΧΑΗΛ, Δ/στης Δ.Δ.]
ΠΑΓΚΥΠΡΙΑ ΟΜΟΣΠΟΝΔΙΑ ΤΖΟΥΝΤΟ
Αιτήτρια
ν.
ΓΡΑΦΕΙΟ ΕΠΙΤΡΟΠΟΥ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ
Καθ’ ου η Αίτηση
…………………………
Χ. Σιακαλλή (κα) για Ορφανίδης, Χριστοφίδης και Συνεργάτες Δ.Ε.Π.Ε., για την αιτήτρια.
Θ. Χατζηλούκα για Γενικό Εισαγγελέα, για τον καθ’ ου η αίτηση.
Α Π Ο Φ Α Σ Η
ΜΙΧΑΗΛ, Δ.Δ.Δ.: Η αιτήτρια με την υπό κρίση προσφυγή ζητά την ακύρωση της απόφασης της καθ’ ης η αίτηση ημερομηνίας 11.5.2022 με την οποία επέβαλε στην αιτήτρια διοικητικό πρόστιμο ύψους €5.000.
Στις 3.11.2021 υποβλήθηκε καταγγελία κατά προσώπου που διατηρεί σωματείο εγγεγραμμένο στην αιτήτρια για χωρίς άδεια δημοσίευση φωτογραφικού και άλλου υλικού στο οποίο περιλαμβάνεται και το ανήλικο παιδί του καταγγέλλοντα στα πλαίσια των παγκύπριων αγώνων τζούντο για κάτω των 18 που τελούν υπό την αιγίδα της αιτήτριας. Η καθ’ ης η αίτηση με επιστολή ημερομηνίας 13.12.2021 ζήτησε από την αιτήτρια διάφορες πληροφορίες. Η αιτήτρια δεν ανταποκρίθηκε. Στις 31.3.2022 η καθ’ ης η αίτηση προχώρησε στην έκδοση εκ πρώτης όψεως απόφασης με την οποία διαπιστώνει παραβίαση του Άρθρου 31 του Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (στο εξής ο «Γενικός Κανονισμός») λόγω έλλειψης συνεργασίας από την αιτήτρια και δίδει το δικαίωμα στην αιτήτρια να υποβάλει τις θέσεις της σχετικά με το περιεχόμενο της επιστολής και τους λόγους γιατί να μην της επιβληθεί κύρωση. Ούτε σε αυτή την επιστολή ανταποκρίθηκε η αιτήτρια και έτσι εκδόθηκε η προσβαλλόμενη απόφαση στις 11.5.2022.
Η αιτήτρια εισηγείται ότι η προσβαλλόμενη απόφαση λήφθηκε στη βάση εσφαλμένης εφαρμογής του Γενικού Κανονισμού και υπό νομική και πραγματική πλάνη.
Όπως προκύπτει από το σημεία Γ και Δ της προσβαλλόμενης απόφασης με τίτλο «Σκεπτικό» και «Κατάληξη» αντίστοιχα, η καθ’ ης η αίτηση έκρινε ότι:
«24. Την 13 Δεκεμβρίου, 2021, στα πλαίσια διερεύνησης της εν λόγω καταγγελίας, ζητήθηκε από την Ομοσπονδία όπως παράσχει στο Γραφείο μου συγκεκριμένες πληροφορίες, που σχετίζονται άμεσα με το υπό διερεύνηση συμβάν. Αφού παρήλθε το πρώτο χρονικό περιθώριο που είχε τεθεί (31 Δεκεμβρίου, 2021), στάληκε επιστολή υπενθύμισης την 25 Ιανουάριου, 2022, με νέο χρονικό περιθώριο απάντησης την 2 Φεβρουάριου, 2022. Παρήλθε και το νέο χρονικό περιθώριο, χωρίς καμία ανταπόκριση από την Ομοσπονδία επί των ερωτημάτων που είχαν τεθεί και τα οποία έχουν άμεση σχέση με την υπό διερεύνηση καταγγελία. Ακολούθως την 30 Μαρτίου, 2022 εκδόθηκε η εκ πρώτης όψεως απόφαση μου με την οποία εντόπιζα παραβίαση των διατάξεων του Κανονισμού και ειδικότερα του Άρθρου 31. Η εν λόγω απόφαση, κοινοποιήθηκε στην Ομοσπονδία.
25. Με βάση το Άρθρο 31 του Κανονισμού, η Ομοσπονδία, θα έπρεπε να είχε συνεργαστεί με το Γραφείο μου, διατυπώνοντας τις θέσεις της επί του θέματος όπως της είχε ζητηθεί, κάτι το οποίο δεν έχει πράξει μέχρι σήμερα.
26. Λαμβάνοντας υπόψιν τα ως άνω και το γεγονός ότι η Ομοσπονδία δεν έχει αποστείλει τις δικές της θέσεις μέχρι σήμερα, διαπιστώνω, για ακόμη μία φορά, έλλειψη συνεργασίας με το Γραφείο μου από την Ομοσπονδία και συνεπώς παραβίαση του Άρθρου 31 του Κανονισμού.
Δ. Κατάληξη
27. Έχοντας υπόψιν τα ανωτέρω και με βάση τις εξουσίες που μου παρέχονται από τα Άρθρα 58 και 83 του Κανονισμού (ΕΕ) 2016/679, άρθρο 24(β) του Νόμου 125(Ι)/2018, επαναλαμβάνω την διαπίστωση μου περί παραβίασης εκ μέρους της Καθ' ης την καταγγελία:
(α) του Άρθρου 31 του Κανονισμού, εφόσον δεν συνεργάστηκε με το Γραφείο μου παρά τις επανειλημμένες εκκλήσεις και δεν έδωσε καμία απάντηση σε όσα ζητήματα της είχαν τεθεί υπόψιν.
28. Δυστυχώς δεν μπορεί να επιμετρηθεί κανένας μετριαστικός παράγοντας υπέρ της Ομοσπονδίας, εφόσον δεν έθεσε οποιοδήποτε μετριαστικό παράγοντα η ίδια, ως της είχε ζητηθεί με την εκ πρώτης όψεως απόφαση μου ημερ. 30 Μαρτίου, 2022. Υπήρξε παντελής έλλειψη συνεργασίας. Κρίνω ότι υπό τις περιστάσεις δικαιολογείται η επιβολή της προβλεπόμενης στο Άρθρο 58(2)(θ) διοικητικής κύρωσης, ήτοι της επιβολής διοικητικού προστίμου δυνάμει του Άρθρου 83 του Κανονισμούς.
29. Υπό το φως των ανωτέρω,
ΑΠΟΦΑΣΙΣΑ όπως επιβάλω την πιο κάτω διοικητική κύρωση:
- Προς την Παγκύπρια Ομοσπονδία Τζούντο, διοικητική κύρωση των €5.000,00.»
Το Άρθρο 31 του Γενικού Κανονισμού το οποίο επικαλείται η προσβαλλόμενη απόφαση προνοεί τα ακόλουθα:
«Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία και, κατά περίπτωση, οι εκπρόσωποί τους συνεργάζονται, κατόπιν αιτήματος, με την εποπτική αρχή για την άσκηση των καθηκόντων της.»
Και το Άρθρο 58(2) κάτω από τον τίτλο «Εξουσίες» προνοεί ότι:
«2. Κάθε αρχή ελέγχου διαθέτει όλες τις ακόλουθες διορθωτικές εξουσίες:
α) να απευθύνει προειδοποιήσεις στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία ότι σκοπούμενες πράξεις επεξεργασίας είναι πιθανόν να παραβαίνουν διατάξεις του παρόντος κανονισμού,
β) να απευθύνει επιπλήξεις στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία όταν πράξεις επεξεργασίας έχουν παραβεί διατάξεις του παρόντος κανονισμού,
γ) να δίνει εντολή στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία να συμμορφώνεται προς τα αιτήματα του υποκειμένου των δεδομένων για την άσκηση των δικαιωμάτων του σύμφωνα με τον παρόντα κανονισμό,
δ) να δίνει εντολή στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία να καθιστούν τις πράξεις επεξεργασίας σύμφωνες με τις διατάξεις του παρόντος κανονισμού, εάν χρειάζεται, με συγκεκριμένο τρόπο και εντός ορισμένης προθεσμίας,
ε) να δίνει εντολή στον υπεύθυνο επεξεργασίας να ανακοινώνει την παραβίαση δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων,
στ) να επιβάλλει προσωρινό ή οριστικό περιορισμό, περιλαμβανομένης της απαγόρευσης της επεξεργασίας,
ζ) να δίνει εντολή διόρθωσης ή διαγραφής δεδομένων προσωπικού χαρακτήρα ή περιορισμού της επεξεργασίας δυνάμει των άρθρων 16, 17 και 18 και εντολή κοινοποίησης των ενεργειών αυτών σε αποδέκτες στους οποίους τα δεδομένα προσωπικού χαρακτήρα γνωστοποιήθηκαν δυνάμει του άρθρου 17 παράγραφος 2 και του άρθρου 19,
η) να αποσύρει την πιστοποίηση ή να διατάξει τον οργανισμό πιστοποίησης να αποσύρει ένα πιστοποιητικό εκδοθέν σύμφωνα με τα άρθρα 42 και 43 ή να διατάξει τον οργανισμό πιστοποίησης να μην εκδώσει πιστοποίηση, εφόσον οι απαιτήσεις πιστοποίησης δεν πληρούνται ή δεν πληρούνται πλέον,
θ) να επιβάλλει διοικητικό πρόστιμο δυνάμει του άρθρου 83, επιπλέον ή αντί των μέτρων που αναφέρονται στην παρούσα παράγραφο, ανάλογα με τις περιστάσεις κάθε μεμονωμένης περίπτωσης,
ι) να δίνει εντολή για αναστολή της κυκλοφορίας δεδομένων σε αποδέκτη σε τρίτη χώρα ή σε διεθνή οργανισμό.»
Για να τυγχάνουν εφαρμογής οι πιο πάνω πρόνοιες, προϋπόθεση είναι η αιτήτρια να είναι είτε υπεύθυνη επεξεργασίας είτε η εκτελούσα την επεξεργασία.
Τα Άρθρα 4(7) και (8) δίδουν τους εξής ορισμούς:
«7) «υπεύθυνος επεξεργασίας»: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους,
8) «εκτελών την επεξεργασία»: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου της επεξεργασίας,»
Η αιτήτρια σίγουρα δεν εμπίπτει στον ορισμό της εκτελούσας την επεξεργασία και εν πάση περιπτώσει, ούτε προκύπτει η καθ’ ης η αίτηση να την αντιμετώπισε ως τέτοια. Ως προς το κατά πόσο η αιτήτρια συνιστά υπεύθυνη επεξεργασίας δεν προκύπτει από την προσβαλλόμενη απόφαση με σαφήνεια ο λόγος που η καθ’ ης η αίτηση κατέληξε στο συμπέρασμα ότι η αιτήτρια εμπίπτει στον συγκεκριμένο ορισμό. Εικάζω ότι επειδή η αιτήτρια στις 6.6.2018 προώθησε κατ’ απαίτηση της δικηγόρου ενός σωματείου επιστολή προς όλα τα μέλη της με αναφορά σε διαρροή προσωπικών δεδομένων, συμπέρανε η καθ’ ης η αίτηση ότι η αιτήτρια είναι υπεύθυνη επεξεργασίας. Το συμπέρασμα αυτό, όμως, φαίνεται αυθαίρετο και βεβιασμένο. Η αιτήτρια απλά προώθησε επιστολή. Δεν έδωσε οδηγίες σε σχέση με τον σκοπό και τον τρόπο επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Συνεπώς, η καθ’ ης η αίτηση δεν φαίνεται να διερεύνησε με οποιονδήποτε τρόπο κατά πόσο η αιτήτρια πράγματι είτε από μόνη της είτε από κοινού με τα μέλη της καθορίζει τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Ούτε και τεκμαίρεται ότι επειδή σαν ομοσπονδία έχει εγγεγραμμένα μέλη, έχει οιανδήποτε ανάμειξη στα δεδομένα προσωπικού χαρακτήρα που επεξεργάζεται το κάθε σωματείο.
Υπό τα δεδομένα ως επεξηγούνται πιο πάνω, εφόσον η αιτήτρια δεν εμπίπτει στον ορισμό της υπεύθυνης επεξεργασίας δεν τυγχάνουν εφαρμογής τα Άρθρα 31, 58(2) και 83 του Γενικού Κανονισμού.
Για τους πιο πάνω λόγους καταλήγω ότι η προσφυγή επιτυγχάνει και η προσβαλλόμενη απόφαση ακυρώνεται. Επιδικάζονται €2.000 πλέον Φ.Π.Α. υπέρ της αιτήτριας και εναντίον της καθ’ ης η αίτηση.
Ε. ΜΙΧΑΗΛ, Δ.Δ.Δ.
cylaw.org: Από το ΚΙΝOΠ/CyLii για τον Παγκύπριο Δικηγορικό Σύλλογο