Στην επικύρωση του προστίμου συνολικού ποσού 150.000 ευρώ που είχε επιβάλει η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα κατά της Γενικής Γραμματείας Πληροφοριακών Συστημάτων, προχώρησε το Συμβούλιο της Επικρατείας για υπόθεση διαρροής προσωπικών δεδομένων εκατομμυρίων φορολογουμένων το 2013.
Ειδικότερα, με την απόφαση υπ’ αριθμ. 339/2019, το Συμβούλιο της Επικρατείας απέρριψε την αίτηση ακύρωσης του Υπουργού Οικονομικών κατά απόφασης της Αρχής, με την οποία είχε απορριφθεί η αίτηση θεραπείας της Γενικής Γραμματείας κατά της προηγούμενης απόφασής της.
Σύμφωνα με την απόφαση του ΣτΕ, «η κρίση της Αρχής σχετικά με την επιβολή του ανώτατου προβλεπόμενου στον νόμο προστίμου παρίσταται νομίμως και επαρκώς αιτιολογημένη και δεν προκύπτει παράβαση της αρχής της αναλογικότητας». Και τούτο «εν όψει της έκτασης της μη εξουσιοδοτημένης πρόσβασης και παράνομης επεξεργασίας προσωπικών φορολογικών στοιχείων που διαπιστώθηκε, του όγκου των προσωπικών δεδομένων και της μεγάλης χρονικής περιόδου, που αφορούσε η παραβίαση, της φύσης των δεδομένων, ορισμένα εκ των οποίων υπάγονται στην κατηγορία των ευαίσθητων προσωπικών δεδομένων, καλύπτονται δε, από το φορολογικό απόρρητο, καθώς επίσης και της σημασίας των εν λόγω δεδομένων για τα υποκείμενα αυτών, αλλά και της σημασίας της διαφύλαξης του φορολογικού απορρήτου χάριν της διασφάλισης της εμπιστοσύνης των πολιτών στη φορολογική αρχή, προς αποτροπή ενεργειών που κατατείνουν στην απόκρυψη φορολογητέας φορολογικής ύλης».
Η Αρχή είχε επιβάλει στη Γ.Γ.Π.Σ. το ανώτερο πρ=ψη κατάλληλων μέτρων ασφάλειας, γεγονός που οδήγησε σε ιδιαίτερα σοβαρό περιστατικό παραβίασης προσωπικών δεδομένων, δηλαδή σε διαρροή δεδομένων που αφορούν το σύνολο σχεδόν των φορολογουμένων στην Ελλάδα.
Υπενθυμίζεται ότι το 2012 είχαν ελεγχθεί εταιρείες που δραστηριοποιούνται στον τομέα της εμπορίας δεδομένων προσωπικού χαρακτήρα, οπότε και διαπιστώθηκε ότι ορισμένες εξ αυτών είχαν στην κατοχή τους μεγάλο όγκο φορολογικών δεδομένων φυσικών και νομικών προσώπων. Σε αυτά περιλαμβάνονται αναλυτικά στοιχεία των δηλώσεων φορολογίας εισοδήματος των οικονομικών ετών 2006 και 2009 εκατομμυρίων φυσικών προσώπων. Σημειώνεται ότι, ανεξάρτητα από την απόφαση του ΣτΕ, η Αρχή διαπίστωσε σε νεότερο έλεγχό της κατά το έτος 2016 ότι η φορολογική διοίκηση είχε προχωρήσει σε ικανοποιητικές ενέργειες συμμόρφωσης με τις συστάσεις της απόφασης που εκδόθηκε το 2013.
Με αφορμή την έκδοση της ανωτέρω απόφασης του ΣτΕ, η Αρχή επισημαίνει ότι «ο Γενικός Κανονισμός Προστασίας Δεδομένων (ΓΚΠΔ) που έχει τεθεί σε ισχύ από τις 25/5/2018, προτάσσει την «αρχή της διαφάνειας». Ειδικά για τον δημόσιο τομέα, η διαφάνεια κατά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, όπως με την ορθή και σε απλή γλώσσα ενημέρωση για τον τρόπο με τον οποίο οι Δημόσιες Αρχές επεξεργάζονται τα δεδομένα των πολιτών για την άσκηση των αρμοδιοτήτων τους, θα οδηγήσει σε αύξηση της εμπιστοσύνης των πολιτών στη Δημόσια Διοίκηση». Επίσης, υποστηρίζει ότι «ο Γενικός Κανονισμός έχει αυξήσει τις υποχρεώσεις των «υπευθύνων επεξεργασίας» (εταιρειών, οργανισμών) ως προς την ασφάλεια της επεξεργασίας, δεδομένου ότι σε αυτούς ανατίθεται η γενικότερη ευθύνη για τον καθορισμό των κατάλληλων για τον σκοπό αυτό τεχνικών και οργανωτικών μέτρων. Συγχρόνως, ο Κανονισμός θεσπίζει για πρώτη φορά ρητά αυτοτελή υποχρέωση και των «εκτελούντων την επεξεργασία» για λήψη μέτρων ασφάλειας και εισάγει υποχρεώσεις για τον χειρισμό και τη γνωστοποίηση περιστατικών παραβίασης δεδομένων προσωπικού χαρακτήρα».
