Σε καιρούς δυστοπικούς και χαλεπούς για τη Δικαιοσύνη η ΑΠΔΠΧ (Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα) αποτέλεσε επί πολλά χρόνια φωτεινότατο φάρο ορθολογισμού νομικού, αλλά και παράδειγμα για το πως οφείλουν να λειτουργούν οι Ανεξάρτητες Αρχές αλλά και οι Θεσμοί γενικότερα.
Ο τρόπος κ η πρακτική της ουσιαστικά αποτέλεσε αλλαγή παραδείγματος, με υψηλής ποιότητας κ επιστημοσύνης αποφάσεις.
Και περνάω απότομα στο παρασύνθημα.
Πρόσφατα η ΑΠΔΠΧ εξέδωσε δύο αποφάσεις, την 14/2026 η οποία αφορά το χακάρισμα στο ΕΑΠ (Ελληνικό Ανοιχτό Πανεπιστήμιο), κ την 17/2026 η οποία αφορά το sms του Υπουργείου Υποδομών και Μεταφορών για την οδική ασφάλεια.
Οι δύο αυτές αποφάσεις σηματοδοτούν σαφή στροφή της ΑΠΔΠΧ προς κάτι που ίσως είναι νωρίς ακόμα να χαρακτηρίσω.
Θέλω να μοιραστώ κάποιες σκέψεις μου για την απόφαση της ΑΠΔΠΧ για το ΕΑΠ, δεδομένου ότι χειρίζομαι για το θέμα αυτό υποθέσεις πελατών μου.
Στη Σκέψη 14(δ) η ίδια η Αρχή καταλήγει σε εύρημα παράβασης του άρθρου 32: ανεπαρκής αυθεντικοποίηση διαχειριστικών λογαριασμών, ανεπαρκής απομόνωση εσωτερικού δικτύου (τεκμαιρόμενη μάλιστα *a contrario* από το ότι το ΕΑΠ αναδιοργανώνει την αρχιτεκτονική δικτύου μετά το συμβάν — δηλαδή δέχεται η ίδια η Αρχή ότι η προ του συμβάντος αρχιτεκτονική ήταν ελλιπής).
Και όμως, η κύρωση είναι απλή *εντολή* άρθρου 58 παρ. 2 στ. δ’.
Η Αρχή, αφού καταλήξει σε εύρημα παράβασης άρθρου 32, δεν εφαρμόζει καθόλου τα κριτήρια του άρθρου 83 παρ. 2 (φύση/βαρύτητα/διάρκεια, αριθμός επηρεαζόμενων υποκειμένων, βαθμός αμέλειας, κατηγορίες δεδομένων — εδώ φέρεται να περιλαμβάνονται στοιχεία ταυτότητας και πληρωμών).
Απλώς μεταπηδά στο “ο χειρισμός μετά το συμβάν κρίθηκε επαρκής” (Σκέψη 15) και στηρίζει την επιλογή μόνης εντολής στο “κόστος λήψης των μέτρων” (Σκέψη 17) — κριτήριο που αφορά την *αναλογικότητα του διορθωτικού μέτρου*, όχι απάντηση στο γιατί δεν επιβάλλεται πρόστιμο για ήδη διαπιστωθείσα παράβαση.
Αυτό είναι το πραγματικό νομικό ελάττωμα: ασυνέπεια μεταξύ αιτιολογικού (εύρημα παράβασης 32 ΓΚΠΔ) και διατακτικού (καμία κύρωση, μόνο εντολή), χωρίς να εξηγείται γιατί μια παραβίαση 108.000 υποκειμένων με διαρροή 813GB (ενδεχομένως με στοιχεία πληρωμών) δεν πληρεί τα κριτήρια 83§2 για πρόστιμο. Αυτό είναι αξιοποιήσιμο ως επιχείρημα σε τυχόν προσφυγή τρίτου κατά της απόφασης — έλλειψη αιτιολογίας ως προς την επιλογή κύρωσης, όχι ως προς το αν υπήρξε παράβαση.
Το ελάττωμα είναι ότι η ίδια η Αρχή δεν αιτιολογεί επαρκώς τη μη επιβολή προστίμου.
Συμπέρασμα: Θα την χαρακτήριζα εσωτερικά ασυνεπή απόφαση καθώς διαπιστώνει παράβαση αλλά αποφεύγει τη συνακόλουθη κύρωση χωρίς να εφαρμόζει το προβλεπόμενο κριτήριο (άρθρο 83§2).
Ανδρέας Φλώρος
ΔΙΚΗΓΟΡΟΣ ΑΙΓΙΟΥ
Ακολουθήστε μας στις προτιμώμενες πηγές της Google:
