ΤΟ ΔΙΟΙΚΗΤΙΚΟ ΠΡΩΤΟΔΙΚΕΙΟ ΑΘΗΝΩΝ

ΤΜΗΜΑ 19ο ΜΟΝΟΜΕΛΕΣ

ΑΡΙΘΜΟΣ 6060/2026

Συνεδρίασε δημόσια στο ακροατήριό του, στις 29 Ιανουαρίου 2026, με δικαστή τον Νικόλαο Χαμάκο, Πρωτοδίκη Δ.Δ. και γραμματέα τη Θέκλα Κατρή, δικαστική υπάλληλο,

για να δικάσει την κατατεθείσα από 25 Μαρτίου 2024 (ΑΕ: …./2024) αγωγή,

του … του …, κατοίκου … Ολλανδίας (…), ο οποίος παραστάθηκε με την από 10.12.2025 δήλωση, σύμφωνα με το άρθρο 133 παρ. 2 του Κώδικα Διοικητικής Δικονομίας (Κ.Δ.Δ., ν. 2717/1999, Α΄ 97), του πληρεξουσίου δικηγόρου του, Βασίλειου Σωτηρόπουλου,

κατά του Ελληνικού Δημοσίου, όπως νομίμως εκπροσωπείται από τον Υπουργό Οικονομικών και παραστάθηκε την από 9.1.2026 δήλωση, σύμφωνα με το άρθρο 133 παρ. 2 του Κώδικα Διοικητικής Δικονομίας (Κ.Δ.Δ., ν. 2717/1999, Α΄ 97), της δικαστικής πληρεξουσίας του Νομικού Συμβουλίου του Κράτους (Ν.Σ.Κ.), Κυριακής Σαχπατσίδη.

Το Δικαστήριο, αφού μελέτησε τα σχετικά έγγραφα

Σκέφτηκε κατά τον νόμο

Η κρίση του Δικαστηρίου είναι η εξής:

1. Επειδή, με την υπό κρινόμενη αγωγή, για την άσκηση της οποίας έχει καταβληθεί το νόμιμο δικαστικό ένσημο (βλ. το με κωδικό πληρωμής … δικαστικό ένσημο), ζητείται να υποχρεωθεί το εναγόμενο Ελληνικό Δημόσιο, με απόφαση που θα κηρυχθεί προσωρινώς εκτελεστή, να καταβάλει στον ενάγοντα ποσό είκοσι χιλιάδων (20.000) ευρώ, νομιμοτόκως από την επίδοση της αγωγής μέχρι την πλήρη εξόφληση. Το ως άνω ποσό ζητείται ως χρηματική ικανοποίηση για την αποκατάσταση της ηθικής βλάβης, κατ’ άρθρο 105 του Εισαγωγικού Νόμου του Αστικού Κώδικα (π.δ. 456/1984, Α΄ 164, Εισ.Ν.Α.Κ.) σε συνδυασμό με τα άρθρα 57, 59 και 932 του Αστικού Κώδικα (Α.Κ.), άλλως ως αποζημίωση για την αποκατάσταση της μη υλικής ζημίας κατ’ άρθρο 82 του Κανονισμού (ΕΕ) 2016/679 (Γενικός Κανονισμός Προστασίας Δεδομένων, L 119, εφεξής Γ.Κ.Π.Δ. ή Κανονισμός), που, κατά τους ισχυρισμούς του, ο ενάγων υπέστη, αφενός, συνεπεία παράνομων παραλείψεων των οργάνων του εναγομένου, και ειδικότερα του Υπουργείου Εσωτερικών, να λάβουν τα κατάλληλα οργανωτικά και λειτουργικά μέτρα ασφαλείας για την διασφάλιση της προστασίας των συλλεγέντων προσωπικών δεδομένων του, που περιέχονταν στον ειδικό εκλογικό κατάλογο έτους 2023 ως απόδημου Έλληνα ψηφοφόρου και αφετέρου, από την παράνομη διαρροή των προσωπικών του δεδομένων, την χωρίς νόμιμο λόγο κοινοποίησή τους σε τρίτο πρόσωπο και χρήση τους από αυτό για άμεση πολιτική επικοινωνία με τον ίδιο (τον ενάγοντα), με την αποστολή σ’ αυτόν μηνύματος ηλεκτρονικού ταχυδρομείου χωρίς τη ρητή και προηγούμενη συγκατάθεσή του.

2. Επειδή, το εισαγωγικό δικόγραφο της υπό κρίση αγωγής περιλαμβάνει καθορισμό της έννομης σχέσης από την οποία απορρέει η αξίωση του ενάγοντος, σαφή έκθεση των κρίσιμων πραγματικών περιστατικών, τις αποδιδόμενες στα όργανα του εναγομένου παρανομίες που θεμελιώνουν την προβαλλόμενη αξίωση, ενώ διατυπώνεται σαφώς καθορισμένο αίτημα αποζημίωσης, όπως απαιτείται από τις διατάξεις του άρθρου 73 του Κώδικα Διοικητικής Δικονομίας (Κ.Δ.Δ., ν. 2717/1999, Α’ 97) και, ως εκ τούτου, πρέπει να απορριφθεί ο προβαλλόμενος από το εναγόμενο ισχυρισμός περί αοριστίας της υπό κρίση αγωγής. Δεδομένου δε ότι συντρέχουν και οι λοιπές προϋποθέσεις του παραδεκτού, η αγωγή ασκείται εν γένει παραδεκτώς και πρέπει να εξετασθεί στην ουσία.

3. Επειδή, ο Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 «για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων)» (L 119), ο οποίος, όπως προκύπτει από το προοίμιο και την αιτιολογική σκέψη με αριθμό 1, εκδόθηκε κατ’ επίκληση του άρθρου 16 της Συνθήκης για τη Λειτουργία της Ευρωπαϊκής Ένωσης (Σ.Λ.Ε.Ε.) και εντός του πλαισίου που καθορίζει το άρθρο 8 του Χάρτη Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (Χ.Θ.Δ.Ε.Ε.), δηλαδή των διατάξεων του πρωτογενούς δικαίου της Ένωσης που κατοχυρώνουν ρητώς το δικαίωμα κάθε προσώπου στην προστασία των δεδομένων που το αφορούν και ισχύει αμέσως ως νομοθεσία σε όλα τα κράτη - μέλη της ΕΕ, χωρίς να χρειάζεται να μεταφερθεί στο εθνικό δίκαιο, δημιουργώντας δικαιώματα και υποχρεώσεις για ιδιώτες, οι οποίοι μπορούν ως εκ τούτου να τον επικαλεστούν άμεσα ενώπιον των εθνικών Δικαστηρίων, ορίζει στο άρθρο 82 τα εξής: «1. Κάθε πρόσωπο το οποίο υπέστη … μη υλική ζημία ως αποτέλεσμα παραβίασης του παρόντος … δικαιούται αποζημίωση από τον υπεύθυνο επεξεργασίας … για τη ζημία που υπέστη. 2. Κάθε υπεύθυνος επεξεργασίας που συμμετέχει στην επεξεργασία είναι υπεύθυνος για τη ζημία που προκάλεσε η εκ μέρους του επεξεργασία που παραβαίνει τον παρόντα κανονισμό … 3. Ο υπεύθυνος επεξεργασίας … απαλλάσσεται από την ευθύνη … εάν αποδεικνύει ότι δεν φέρει καμία ευθύνη για το γενεσιουργό γεγονός της ζημίας. 4. Εάν περισσότεροι του ενός υπεύθυνοι επεξεργασίας … εμπλέκονται στην ίδια επεξεργασία και … είναι υπεύθυνοι για τυχόν ζημία που προκάλεσε η επεξεργασία, κάθε υπεύθυνος επεξεργασίας … ευθύνεται για τη συνολική ζημία, προκειμένου να διασφαλιστεί αποτελεσματική αποζημίωση του υποκειμένου των δεδομένων … 6. Οι δικαστικές διαδικασίες για την άσκηση του δικαιώματος αποζημίωσης υποβάλλονται ενώπιον των αρμόδιων δικαστηρίων δυνάμει του δικαίου του κράτους μέλους που αναφέρεται στο άρθρο 79 παράγραφος 2». Εξάλλου, στο άρθρο 79 του Γ.Κ.Π.Δ. («Δικαίωμα πραγματικής δικαστικής προσφυγής κατά υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία») ορίζεται ότι: « … 2. Η διαδικασία κατά υπευθύνου επεξεργασίας … κινείται ενώπιον των δικαστηρίων του κράτους μέλους στο οποίο ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία έχουν εγκατάσταση …».

4. Επειδή, κατά την έννοια των ως άνω διατάξεων, όταν ο υπεύθυνος για την επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι δημόσιος φορέας, τότε, σε περίπτωση παράνομης επεξεργασίας αυτών, τυγχάνει εφαρμογής, ως προς τις ουσιαστικές προϋποθέσεις γέννησης αποζημιωτικής ευθύνης, η ειδικότερη, υπερέχουσα και αμέσου εφαρμογής διάταξη του άρθρου 82 του Γ.Κ.Π.Δ. και όχι η γενικότερη του άρθρου 105 του Εισ.Ν.Α.Κ.. Και τούτο διότι, η υποχώρηση των εθνικών κανόνων αστικής ευθύνης του κράτους υπαγορεύεται από την ανάγκη ομοιόμορφης και συνεκτικής εφαρμογής του ενωσιακού δικαίου. Όπως έχει κριθεί, οι όροι του άρθρου 82 συνιστούν αυτοτελείς έννοιες του ενωσιακού δικαίου και πρέπει να ερμηνεύονται και να εφαρμόζονται ομοιόμορφα σε όλα τα κράτη-μέλη (βλ. ΔΕΕ, απόφαση της 4.5.2023, C-300/21, Österreichische Post, σκ. 29-30). Ειδικότερα, όπως προκύπτει από το προοίμιο του Κανονισμού (αιτιολογικές σκέψεις 10, 13 και 146), η καθιέρωση αυτοτελούς ενωσιακού καθεστώτος περί την προστασία δεδομένων προσωπικού χαρακτήρα αποσκοπεί στην αποτροπή του νομικού κατακερματισμού, διασφαλίζει δε ότι κάθε υπεύθυνος επεξεργασίας μεταχειρίζεται ισότιμα και ότι κάθε υποκείμενο δεδομένων απολαμβάνει ένα υψηλό και ισοδύναμο επίπεδο προστασίας, μέσω της θέσπισης του δικαιώματος πλήρους και ουσιαστικής αποζημίωσης για την τυχόν ζημία που υπέστη, η οποία αποζημίωση έχει αντισταθμιστικό και όχι τιμωρητικό χαρακτήρα (πρβλ. ΔΕΕ, C-667/21, Krankenversicherung Nordrhein, σκ. 84-85). Επιπροσθέτως, σύμφωνα με την αιτιολογική σκέψη αρ. 146 εδ. δ΄ του Γ.Κ.Π.Δ., οι τυχόν αξιώσεις αποζημίωσης λόγω παραβίασης άλλων κανόνων του δικαίου δεν επηρεάζονται, δηλαδή εκτός από το δικαίωμα δυνάμει του άρθρου 82 Γ.Κ.Π.Δ., συνεχίζουν να ισχύουν κανονικά άλλα συναφή δικαιώματα δυνάμει του εθνικού δικαίου, με αποτέλεσμα το τελευταίο να εφαρμόζεται παράλληλα με τα άρθρα 57 και 59 του ΑΚ, όταν συντρέχει προσβολή της προσωπικότητας, ώστε να είναι δυνατή η δικαστική επιδίωξη της άρσης της προσβολής και της παράλειψής της στο μέλλον. Για την ερμηνεία της ανωτέρω διάταξης, οι διατάξεις του ενωσιακού δικαίου ερμηνεύονται αυτόνομα, εκτός αν ο ενωσιακός νομοθέτης παραπέμπει ειδικά για την ερμηνεία μιας έννοιας στο εθνικό δίκαιο. Τα ως άνω επιρρωνύονται από το άρθρο 40 του ν.4624/2019, με το οποίο, σε συνέχεια των άρθρων 82 παρ. 6 και 79 παρ. 2 του Γ.Κ.Π.Δ., ρυθμίζεται μόνο το (διαδικαστικό) ζήτημα της δικαιοδοσίας για τη δικαστική προστασία έναντι του υπευθύνου επεξεργασίας και όχι ζητήματα περί των ουσιαστικών προϋποθέσεων γέννησης αποζημιωτικής ευθύνης.

5. Επειδή, κατά την πάγια νομολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης, το κεφάλαιο VIII του Γ.Κ.Π.Δ. ρυθμίζει, μεταξύ άλλων, τα μέσα έννομης προστασίας που καθιστούν δυνατή την προστασία των δικαιωμάτων του υποκειμένου των δεδομένων όταν τα δεδομένα προσωπικού χαρακτήρα που το αφορούν έχουν υποστεί επεξεργασία, η οποία φέρεται ότι αντιβαίνει στις διατάξεις του Κανονισμού αυτού, σύμφωνα με το πεδίο εφαρμογής του ΓΚΠΔ κατά το άρθρο 3 αυτού. Δεδομένου δε ότι το άρθρο 82, παράγραφος 1, του Γ.Κ.Π.Δ. δεν περιέχει καμία αναφορά στο εσωτερικό δίκαιο των κρατών μελών, η έννοια της «μη υλικής ζημίας», κατά τη διάταξη αυτήν, πρέπει να ορίζεται κατά τρόπο αυτοτελή και ομοιόμορφο, ο οποίος να προσιδιάζει στο δίκαιο της Ένωσης (πρβλ. αποφάσεις της 25ης Ιανουαρίου 2024, MediaMarktSaturn, C-687/21, , σκέψη 64, και C-200/23, σκ. 139 και εκεί μνημονευόμενη νομολογία). Συναφώς, το Δ.Ε.Ε. έχει κρίνει επανειλημμένως, ιδίως υπό το πρίσμα των αιτιολογικών σκέψεων 75, 85 και 146 του Γ.Κ.Π.Δ., ότι η απλή παράβαση του Κανονισμού δεν αρκεί για τη θεμελίωση δικαιώματος αποζημίωσης δυνάμει του άρθρου του 82 παρ. 1. Η ύπαρξη υλικής ή μη υλικής «ζημίας» την οποία «υπέστη» το υποκείμενο των δεδομένων, η παράβαση των διατάξεων του Γ.Κ.Π.Δ. και η αιτιώδης συνάφεια μεταξύ της ζημίας και της παραβάσεως αποτελούν τις τρεις σωρευτικές, αναγκαίες και επαρκείς προϋποθέσεις για τη θεμελίωση του δικαιώματος αποζημίωσης. Επομένως, το υποκείμενο των δεδομένων που ζητεί ικανοποίηση για μη υλική ζημία, βάσει του άρθρου 82 παρ. 1, υποχρεούται να αποδείξει όχι μόνον την παράβαση του Κανονισμού, αλλά και ότι η παράβαση αυτή του προκάλεσε αιτιωδώς τέτοια ζημία (πρβλ. αποφάσεις Δ.Ε.Ε, Οsterreichische Post, C-300/21, σκ. 32, 33, 37 και 42, C-200/23, σκ. 140 έως 142, καθώς και C-507/23, σκ. 24 και 25). Ακόμη, το Δ.Ε.Ε. έχει κρίνει ότι, σύμφωνα με το γράμμα του άρθρου 82 παρ. 1 του Γ.Κ.Π.Δ., ερμηνευόμενο υπό το πρίσμα των αιτιολογικών σκέψεων 85 και 146 του Κανονισμού, ο όρος «μη υλική ζημία» πρέπει να τυγχάνει ευρείας ερμηνείας και, πάντα, υπό την προϋπόθεση ότι αυτή (η υλική ζημία) αποδεικνύεται δεόντως, όπερ εναπόκειται στο επιληφθέν εθνικό δικαστήριο να εξακριβώσει (πρβλ. αποφάσεις της 20ής Ιουνίου 2024, PS, C-590/22, σκέψεις 32, 35 και 36, και της 4ης Οκτωβρίου 2024, Agentsia po vpisvaniyata, C-200/23, σκέψεις 143, 144 και 155 και εκεί μνημονευόμενη νομολογία). Πάντως, σύμφωνα με το άρθρο 82 Γ.Κ.Π.Δ. για να είναι παράνομη η συμπεριφορά που προκάλεσε τη ζημία δεν αρκεί μόνη η παραβίαση του Κανονισμού, αλλά πρέπει αυτή να συναρτάται και με επεξεργασία δεδομένων, ακόμη κι αν η τελευταία δεν είναι από μόνη της αθέμιτη. Συνεπώς, ευθύνη θα ιδρύεται κι όταν η επεξεργασία είναι νόμιμη, στηριζόμενη σε κάποια από τις βάσεις του άρθρου 6 Γ.Κ.Π.Δ., αλλά προκαλείται ζημία εξ αυτής, επειδή παραβιάστηκαν διατάξεις του Κανονισμού, όπως όταν ο υπόχρεος δεν έλαβε τα κατάλληλα τεχνικά και οργανωτικά μέτρα κατ’ άρθρο 32 Γ.Κ.Π.Δ., με αποτέλεσμα τη διαρροή δεδομένων σε τρίτους. Στο πλαίσιο αυτό, ο υπεύθυνος επεξεργασίας δεν απαλλάσσεται (κατ’ άρθρο 82 παρ. 3 του Γ.Κ.Π.Δ.) προβάλλοντας απλώς σφάλμα ή παράλειψη υπαλλήλου του, αλλά υπέχει αυτοτελή υποχρέωση (άρθρα 29 και 32 παρ. 4) διασφάλισης της τήρησης των οδηγιών του και οφείλει, προς πλήρη απαλλαγή του, να αποδείξει την απουσία οποιασδήποτε δικής του οργανωτικής ή εποπτικής πλημμέλειας (βλ. ΔΕΕ C-741/21, σκ. 48-54, και C-340/21, σκ. 68- 72). Τέλος, ο Γ.Κ.Π.Δ. δεν περιέχει διατάξεις, οι οποίες να καθορίζουν τους κανόνες υπολογισμού της αποζημίωσης που οφείλεται δυνάμει του άρθρου 82 του αυτού, όπερ συνεπάγεται ότι τα εθνικά Δικαστήρια οφείλουν, προς τούτο, να εφαρμόζουν τους εσωτερικούς κανόνες εκάστου κράτους μέλους σχετικά με την έκταση της χρηματικής αποζημίωσης, υπό την προϋπόθεση ότι τηρούνται οι αρχές της ισοδυναμίας και της αποτελεσματικότητας του δικαίου της Ένωσης. Ειδικότερα, υπογραμμίζεται ότι τα κριτήρια υπολογισμού της οφειλόμενης αποζημίωσης στο πλαίσιο μέσων έννομης προστασίας που αποσκοπούν στη διαφύλαξη των δικαιωμάτων που αντλούν οι πολίτες από το άρθρο 82 του Γ.Κ.Π.Δ. πρέπει να καθιστούν δυνατή τη διασφάλιση πλήρους και αποτελεσματικής αποκατάστασης της ζημίας που υπέστη το υποκείμενο των δεδομένων λόγω παράβασης του Κανονισμού αυτού (Απόφαση C-655/23 σκ.77-78, απόφαση C-200/23, σκ. 152 και C-507/23, σκέψη 34 και εκεί μνημονευόμενη νομολογία). Συνεπώς, έως ότου οριστούν κοινά ενωσιακά κριτήρια αποζημίωσης, το ύψος της αποζημίωσης θα γίνεται κατ’ εκτίμηση του εκάστοτε δικάζοντος Δικαστή. Το δε δικαίωμα αποζημίωσης, το οποίο προβλέπεται από το άρθρο 82 παράγραφος 1 του Γ.Κ.Π.Δ., ιδίως σε περίπτωση μη υλικής ζημίας, επιτελεί αποκλειστικώς αντισταθμιστική λειτουργία, υπό την έννοια ότι η χρηματική αποκατάσταση η οποία στηρίζεται στη διάταξη αυτή πρέπει να καθιστά δυνατή την πλήρη ανόρθωση της ζημίας που προκλήθηκε συγκεκριμένα από το γεγονός της παραβίασης του Κανονισμού, ενώ δεν έχει αντιθέτως αποτρεπτικό ή τιμωρητικό χαρακτήρα [πρβλ. αποφάσεις της Οsterreichische Post C-300/21, καθώς και C-741/21, EU:C:2024:288, σκέψη 61].

6. Επειδή, περαιτέρω, στο Κεφάλαιο Ι («Γενικές διατάξεις»/άρθρα 1 έως 4): Άρθρο 1 («Αντικείμενο και στόχοι») του Γ.Κ.Π.Δ. ορίζεται ότι: «1. Ο παρών Κανονισμός θεσπίζει κανόνες που αφορούν την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και κανόνες που αφορούν την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα. 2. Ο παρών Κανονισμός προστατεύει θεμελιώδη δικαιώματα και ελευθερίες των φυσικών προσώπων και ειδικότερα το δικαίωμά τους στην προστασία των δεδομένων προσωπικού χαρακτήρα. 3. ...». Άρθρο 2 («Ουσιαστικό πεδίο εφαρμογής»): «1. Ο παρών Κανονισμός εφαρμόζεται στην εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα...». Άρθρο 4 («Ορισμοί»): «Για τους σκοπούς του παρόντος Κανονισμού νοούνται ως: 1) "δεδομένα προσωπικού χαρακτήρα": κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο ("υποκείμενο των δεδομένων") ... 2) "επεξεργασία": κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή ... 7) "υπεύθυνος επεξεργασίας": το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα ... 12) "παραβίαση δεδομένων προσωπικού χαρακτήρα": η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη ... άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία...». Κεφάλαιο ΙΙ («Αρχές»/άρθρα 5 έως 11): Άρθρο 5 («Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα»): «1. Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων ("νομιμότητα, αντικειμενικότητα και διαφάνεια"), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς ... στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων ("ακεραιότητα και εμπιστευτικότητα"). 2. Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 ("λογοδοσία").». Περαιτέρω, στο άρθρο 6 «Νομιμότητα της επεξεργασίας» ορίζεται ότι: «1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: α) το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος …, γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας, δ) … ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος …Το στοιχείο στ) του πρώτου εδαφίου δεν εφαρμόζεται στην επεξεργασία που διενεργείται από δημόσιες αρχές κατά την άσκηση των καθηκόντων τους. 2. Τα κράτη μέλη μπορούν να διατηρούν ή να θεσπίζουν πιο ειδικές διατάξεις για την προσαρμογή της εφαρμογής των κανόνων του παρόντος Κανονισμού όσον αφορά την επεξεργασία για τη συμμόρφωση με την παράγραφο 1 στοιχεία γ) και ε), καθορίζοντας ακριβέστερα ειδικές απαιτήσεις για την επεξεργασία και άλλα μέτρα προς εξασφάλιση σύννομης και θεμιτής επεξεργασίας ... 3. Η βάση για την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχεία γ) και ε) ορίζεται σύμφωνα με: α) το δίκαιο της Ένωσης, ή β) το δίκαιο του κράτους μέλος στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας. …». Στο Κεφάλαιο ΙΙΙ «Δικαιώματα του υποκειμένου των δεδομένων» ορίζεται, στο άρθρο 12 παρ. 3 και 4, ότι: «3. Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί ... Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης ... 4. Εάν ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων, χωρίς καθυστέρηση και το αργότερο εντός μηνός από την παραλαβή του αιτήματος, για τους λόγους για τους οποίους δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής».

7. Επειδή, ακολούθως, ο Γ.Κ.Π.Δ. ορίζει στο Κεφάλαιο IV («Υπεύθυνος επεξεργασίας και εκτελών την επεξεργασία»/άρθρα 24 έως 43): Άρθρο 24 («Ευθύνη του υπευθύνου επεξεργασίας»): «1. Λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με τον παρόντα κανονισμό. Τα εν λόγω μέτρα επανεξετάζονται και επικαιροποιούνται όταν κρίνεται απαραίτητο. 2. Όταν δικαιολογείται σε σχέση με τις δραστηριότητες επεξεργασίας, τα μέτρα που αναφέρονται στην παράγραφο 1 περιλαμβάνουν την εφαρμογή κατάλληλων πολιτικών για την προστασία των δεδομένων από τον υπεύθυνο επεξεργασίας. 3. ...». Άρθρο 25 («Προστασία των δεδομένων ήδη από το σχεδιασμό και εξ ορισμού»): «1. Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων από την επεξεργασία, ο υπεύθυνος επεξεργασίας εφαρμόζει αποτελεσματικά, τόσο κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας όσο και κατά τη στιγμή της επεξεργασίας, κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως η ψευδωνυμοποίηση, σχεδιασμένα για την εφαρμογή αρχών προστασίας των δεδομένων, όπως η ελαχιστοποίηση των δεδομένων, και την ενσωμάτωση των απαραίτητων εγγυήσεων στην επεξεργασία κατά τρόπο ώστε να πληρούνται οι απαιτήσεις του παρόντος Κανονισμού και να προστατεύονται τα δικαιώματα των υποκειμένων των δεδομένων. 2. ...». Άρθρο 29 («Επεξεργασία υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία»): «Ο εκτελών την επεξεργασία και κάθε πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, το οποίο έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα, επεξεργάζεται τα εν λόγω δεδομένα μόνον κατ’ εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους.». Ακόμη, ορίζεται στο Άρθρο 32 («Ασφάλεια επεξεργασίας»): «1. Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, περιλαμβανομένων, μεταξύ άλλων, κατά περίπτωση: α) της ψευδωνυμοποίησης και της κρυπτογράφησης δεδομένων προσωπικού χαρακτήρα, β) της δυνατότητας διασφάλισης της εμπιστευτικότητας, της ακεραιότητας, της διαθεσιμότητας και της αξιοπιστίας των συστημάτων και των υπηρεσιών επεξεργασίας σε συνεχή βάση ... 2. Κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία. 3. ... 4. Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία λαμβάνουν μέτρα ώστε να διασφαλίζεται ότι κάθε φυσικό πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία το οποίο έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα τα επεξεργάζεται μόνο κατ’ εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους.».

8. Επειδή, όπως προκύπτει από τη νομολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης (Δ.Ε.Ε.) όσον αφορά ειδικότερα την ερμηνεία του όρου «υπεύθυνος επεξεργασίας», όπως ορίζεται από το άρθρο 4 σημείο 7 του Γ.Κ.Π.Δ. (όμοιο περιεχόμενο είχε η διάταξη του άρθρου 2 στοιχ. δ΄ της προϊσχύσασας οδηγίας 95/46/ΕΚ), οι ως άνω διατάξεις ορίζουν ευρέως τον «υπεύθυνο επεξεργασίας», ως το φυσικό ή νομικό πρόσωπο, τη δημόσια αρχή, την υπηρεσία ή άλλο φορέα, οι οποίοι μόνοι ή από κοινού με άλλους «καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας» δεδομένων προσωπικού χαρακτήρα. Ο σκοπός του ευρέος ορισμού, ο οποίος περιλαμβάνει ρητώς και τα νομικά πρόσωπα, συνίσταται στη διασφάλιση αποτελεσματικής προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων, ειδικότερα δε στη διασφάλιση υψηλού επιπέδου προστασίας κάθε προσώπου αναφορικώς με τα δεδομένα προσωπικού χαρακτήρα που το αφορούν. Ως εκ τούτου, κάθε φυσικό ή νομικό πρόσωπο, το οποίο επηρεάζει για τους δικούς του σκοπούς την επεξεργασία δεδομένων προσωπικού χαρακτήρα και μετέχει στον καθορισμό των στόχων και του τρόπου επεξεργασίας μπορεί να θεωρηθεί «υπεύθυνος επεξεργασίας», χωρίς να απαιτείται ο προαναφερόμενος καθορισμός να γίνεται με γραπτές εντολές ή με κατευθυντήριες γραμμές εκ μέρους του υπευθύνου επεξεργασίας. οι αρχές, οι απαγορεύσεις και οι υποχρεώσεις που προβλέπονται στον Γ.Κ.Π.Δ. απευθύνονται ειδικότερα στους «υπευθύνους επεξεργασίας» των οποίων η ευθύνη εκτείνεται, όπως τονίζεται στην αιτιολογική σκέψη 74 του Γ.Κ.Π.Δ., σε οποιαδήποτε επεξεργασία δεδομένων προσωπικού χαρακτήρα πραγματοποιείται από τους ιδίους ή για λογαριασμό τους και οι οποίοι υποχρεούνται, ως εκ τούτου, όχι μόνον να εφαρμόζουν κατάλληλα και αποτελεσματικά μέτρα, αλλά και να είναι σε θέση να αποδείξουν οτι οι δραστηριότητες επεξεργασίας που ασκούν είναι σύμφωνες με τον Γ.Κ.Π.Δ., καθώς και οτι τα μέτρα που λαμβάνουν για τη διασφάλιση της συμμόρφωσης αυτής είναι αποτελεσματικά (πρβλ. Δ.Ε.Ε. C-807/21, Deutsche Wohnen SE). Εξάλλου, το Δ.Ε.Ε. έχει κρίνει οτι κάθε φυσικό ή νομικό πρόσωπο το οποίο επηρεάζει για τους δικούς του σκοπούς την επεξεργασία δεδομένων προσωπικού χαρακτήρα και μετέχει κατ’ αυτόν τον τρόπο στον καθορισμό των στόχων και του τρόπου της επεξεργασίας μπορεί να θεωρηθεί ως υπεύθυνος επεξεργασίας (πρβλ. Δ.Ε.Ε., Jehovan todistajat, C-25/17, σκ. 68). Επομένως, από το γράμμα και τον σκοπό του άρθρου 4, σημείο 7, του Γ.Κ.Π.Δ. προκύπτει οτι ο νομοθέτης της Ένωσης δεν προέβη, για τη στοιχειοθέτηση της ευθύνης βάσει του Κανονισμού αυτού, σε διάκριση μεταξύ φυσικών και νομικών προσώπων, καθόσον η ευθύνη αυτή εξαρτάται μόνον από την προϋπόθεση τα εν λόγω πρόσωπα, μονά ή από κοινού με άλλα, να καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Συνεπώς, η κοινολόγηση με διαβίβαση προσωπικών δεδομένων από τον υπεύθυνο επεξεργασίας σε τρίτο αποδέκτη, χωρίς νόμιμη βάση, όπως και η παράλειψη λήψης των κατάλληλων και αναγκαίων μέτρων ασφαλείας προς αποτροπή αυτής, συνιστούν παραβίαση των ανωτέρω διατάξεων του Γ.Κ.Π.Δ. και θεμελιώνουν αποζημιωτική ευθύνη του υπευθύνου επεξεργασίας υπό τους όρους του άρθρου 82 του Γ.Κ.Π.Δ.. Εξάλλου, σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα από πρόσωπο το οποίο ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας, ο τελευταίος μπορεί να απαλλαγεί μόνον εφόσον αποδείξει ότι δεν υφίσταται αιτιώδης συνάφεια μεταξύ της τυχόν παράβασης της υποχρέωσης προστασίας των δεδομένων, την οποία υπέχει δυνάμει των άρθρων 5, 24 και 32 του Κανονισμού, και της ζημίας που υπέστη το υποκείμενο των δεδομένων (βλ. απόφαση Δ.Ε.Ε. της 11.4.2024, C-741/21, σκ. 51, C340/21, σκ. 72). Αντιθέτως, από καμία διάταξη του Γ.Κ.Π.Δ. δεν μπορεί να συναχθεί οτι η επιβολή διοικητικού προστίμου σε νομικό πρόσωπο ως υπεύθυνο επεξεργασίας, και κατ’ αναλογία η στοιχειοθέτηση αποζημιωτικής ευθύνης, εξαρτάται από την προηγουμένη διαπίστωση οτι η παράβαση διαπράχθηκε από ταυτοποιημένο φυσικό πρόσωπο.

9. Επειδή, σύμφωνα με τις ανωτέρω διατάξεις του Γ.Κ.Π.Δ., τα δεδομένα προσωπικού χαρακτήρα των υποκειμένων, δηλαδή κάθε πληροφορία που μπορεί να ταυτοποιήσει, άμεσα ή έμμεσα, ένα φυσικό πρόσωπο (άρθρο 4 περ. 1 του Γ.Κ.Π.Δ.) δύνανται να υποβάλλονται σε επεξεργασία, όπως είναι η κοινολόγηση με διαβίβαση (άρθρο 4 περ. 2 του Γ.Κ.Π.Δ.), από τον υπεύθυνο επεξεργασίας, ο οποίος καθορίζει τους σκοπούς και τον τρόπο για την επεξεργασία τους (άρθρο 4 περ. 7 του Γ.Κ.Π.Δ.), υπό την αυστηρή τήρηση των αρχών της νομιμότητας, της αντικειμενικότητας και της διαφάνειας, του περιορισμού του σκοπού, της ακεραιότητας και εμπιστευτικότητας, καθώς και της λογοδοσίας. Ειδικότερα, προκειμένου η επεξεργασία να είναι σύννομη, αντικειμενική και διαφανής (άρθρο 5 παρ. 1 περ. α΄ του Γ.Κ.Π.Δ.), οφείλει να θεμελιώνεται σε μία από τις περιοριστικά αναφερόμενες νομικές βάσεις του άρθρου 6 παρ. 1 του Γ.Κ.Π.Δ., όπως είναι η ρητή συγκατάθεση (περ. α΄). Περαιτέρω, τα δεδομένα πρέπει να συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και απαγορεύεται να υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους αρχικούς αυτούς σκοπούς (άρθρο 5 παρ. 1 περ. β΄ του Γ.Κ.Π.Δ.). Παράλληλα, ο υπεύθυνος επεξεργασίας οφείλει να εγγυάται την ασφάλεια των δεδομένων, προστατεύοντάς τα από μη εξουσιοδοτημένη επεξεργασία, με τη χρησιμοποίηση των κατάλληλων τεχνικών και οργανωτικών μέτρων (άρθρο 5 παρ. 1 περ. στ΄ του Γ.Κ.Π.Δ.), φέρων και το σχετικό βάρος απόδειξης (αρχή της λογοδοσίας, άρθρο 5 παρ. 2 του Γ.Κ.Π.Δ.). Στο πλαίσιο αυτό, υποχρεούται να μεριμνά για την προστασία των δεδομένων ήδη από τον σχεδιασμό και εξ ορισμού, ενσωματώνοντας αποτελεσματικά τις απαραίτητες εγγυήσεις και τα κατάλληλα τεχνικά και οργανωτικά μέτρα, ώστε να διασφαλίζεται ότι υφίστανται επεξεργασία μόνο τα απολύτως απαραίτητα δεδομένα για τον σκοπό της επεξεργασίας και ότι η πρόσβαση σε αυτά καθίσταται αυστηρά περιορισμένη και ελεγχόμενη (άρθρο 25 παρ. 1 και 2 του Γ.Κ.Π.Δ.). Προς περαιτέρω εκπλήρωση της υποχρέωσης αυτής, δεσμεύεται να εφαρμόζει διαρκώς τα ενδεδειγμένα μέτρα προστασίας έναντι των εκάστοτε κινδύνων (άρθρο 32 παρ. 1 του Γ.Κ.Π.Δ.). Ειδικότερα, οφείλει να διασφαλίζει ότι κάθε φυσικό πρόσωπο που ενεργεί υπό την εποπτεία του και έχει πρόσβαση σε δεδομένα, τα επεξεργάζεται αποκλειστικά και μόνο κατ' εντολή του, εκτός εάν υποχρεούται προς τούτο από τον νόμο (άρθρα 29 και 32 παρ. 4 του Γ.Κ.Π.Δ.).

10. Επειδή, επιπροσθέτως, όπως αναφέρεται στην αιτιολογική σκέψη με αρ. 78 του Γ.Κ.Π.Δ., «[η] προστασία των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα απαιτεί τη λήψη κατάλληλων τεχνικών και οργανωτικών μέτρων, ώστε να διασφαλίζεται ότι τηρούνται οι απαιτήσεις του παρόντος Κανονισμού. Προκειμένου να μπορεί να αποδείξει συμμόρφωση προς τον παρόντα κανονισμό, ο υπεύθυνος επεξεργασίας θα πρέπει να θεσπίζει εσωτερικές πολιτικές και να εφαρμόζει μέτρα τα οποία ανταποκρίνονται ειδικότερα στις αρχές της προστασίας των δεδομένων ήδη από τον σχεδιασμό και εξ ορισμού. Τέτοια μέτρα θα μπορούσαν να περιλαμβάνουν, μεταξύ άλλων, την ελαχιστοποίηση της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, την ψευδωνυμοποίηση δεδομένων προσωπικού χαρακτήρα το συντομότερο δυνατόν, τη διαφάνεια όσον αφορά τις λειτουργίες και την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, ώστε να μπορεί το υποκείμενο των δεδομένων να παρακολουθεί την επεξεργασία δεδομένων και να είναι σε θέση ο υπεύθυνος επεξεργασίας να δημιουργεί και να βελτιώνει τα χαρακτηριστικά ασφάλειας...». Στην αιτιολογική σκέψη με αρ. 83 του Γ.Κ.Π.Δ. αναφέρεται, περαιτέρω, ότι «για τη διατήρηση της ασφάλειας και την αποφυγή της επεξεργασίας κατά παράβαση του παρόντος Κανονισμού, ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία θα πρέπει να αξιολογεί τους κινδύνους που ενέχει η επεξεργασία και να εφαρμόζει μέτρα για τον μετριασμό των εν λόγω κινδύνων, όπως για παράδειγμα μέσω κρυπτογράφησης. Τα εν λόγω μέτρα θα πρέπει να διασφαλίζουν κατάλληλο επίπεδο ασφάλειας, πράγμα που περιλαμβάνει και την εμπιστευτικότητα, λαμβάνοντας υπόψη τις τελευταίες εξελίξεις και το κόστος της εφαρμογής σε σχέση με τους κινδύνους και τη φύση των δεδομένων προσωπικού χαρακτήρα που πρέπει να προστατευθούν. Κατά την εκτίμηση του κινδύνου για την ασφάλεια των δεδομένων θα πρέπει να δίνεται προσοχή στους κινδύνους που προκύπτουν από την επεξεργασία δεδομένων προσωπικού χαρακτήρα, όπως η τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία η οποία θα μπορούσε να οδηγήσει σε σωματική, υλική ή μη υλική βλάβη.». Όπως, εξάλλου, προκύπτει από τη νομολογία του Δ.Ε.Ε., τα άρθρα 24 παρ. 1, 25 παρ. 1 και 2 και 32 του Γ.Κ.Π.Δ. εξειδικεύουν τις υποχρεώσεις του υπευθύνου επεξεργασίας για τη λήψη κατάλληλων τεχνικών και οργανωτικών μέτρων. Τα ανωτέρω άρθρα αφορούν αφενός τον σχεδιασμό της επεξεργασίας και τον περιορισμό της μόνο στα δεδομένα που είναι απαραίτητα για τον εκάστοτε σκοπό επεξεργασίας, και αφετέρου τη διασφάλιση του κατάλληλου επιπέδου ασφαλείας έναντι των σχετικών κινδύνων (ασφάλεια επεξεργασίας), οι οποίοι, κατά την παρ. 2 του άρθρου 32, λαμβάνονται υπόψη κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφαλείας. Οι αναφορές του Γ.Κ.Π.Δ. σε «κατάλληλο επίπεδο ασφάλειας» και σε «ενδεδειγμένο επίπεδο ασφάλειας» μαρτυρούν, κατά το Δ.Ε.Ε., ότι ο Κανονισμός θεσπίζει σύστημα διαχειρίσεως κινδύνων και δεν αποσκοπεί στην εξάλειψη των κινδύνων παραβιάσεως των δεδομένων προσωπικού χαρακτήρα. Επομένως, από το γράμμα των ανωτέρω διατάξεων του Γ.Κ.Π.Δ. προκύπτει ότι αυτές επιβάλλουν απλώς στον υπεύθυνο επεξεργασίας την υποχρέωση να λαμβάνει τεχνικά και οργανωτικά μέτρα για την αποφυγή, στο μέτρο του δυνατού, οποιασδήποτε προσβολής των δεδομένων προσωπικού χαρακτήρα. Η καταλληλότητα, εξάλλου, των μέτρων πρέπει να αξιολογείται κατά τρόπο συγκεκριμένο, με εξέταση του αν ο υπεύθυνος έθεσε σε ισχύ και εφάρμοσε τα μέτρα αυτά, λαμβάνοντας υπόψη τα διάφορα κριτήρια που προβλέπονται στις προαναφερθείσες διατάξεις, τις ανάγκες προστασίας των δεδομένων που είναι εγγενείς στη συγκεκριμένη επεξεργασία, καθώς και τους κινδύνους που ενέχει η επεξεργασία αυτή.

11. Επειδή, ο ν.4624/2019 (Α΄ 137) ορίζει στο άρθρο 1 «Σκοπός του νόμου» ότι: «Σκοπός του παρόντος νόμου είναι: … β) η λήψη μέτρων εφαρμογής του Κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της Οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων, εφεξής: Γ.Κ.Π.Δ.) … », στο άρθρο 2 «Ουσιαστικό πεδίο εφαρμογής» ότι: «Οι διατάξεις του παρόντος εφαρμόζονται στην … αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων … τα οποία περιλαμβάνονται … σε σύστημα αρχειοθέτησης από: α) δημόσιους φορείς ή β) ιδιωτικούς φορείς …» και στο άρθρο 40 «Δικαστική προστασία κατά υπεύθυνου επεξεργασίας ή εκτελούντος την επεξεργασία» ότι: «1. Οι αγωγές του υποκειμένου των δεδομένων κατά του υπεύθυνου επεξεργασίας … λόγω παραβίασης των διατάξεων για την προστασία των δεδομένων εντός του πεδίου εφαρμογής του Γ.Κ.Π.Δ. … εισάγονται στο πολιτικό δικαστήριο στην περιφέρεια του οποίου ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία έχει την εγκατάστασή του … 2. Η προηγούμενη παράγραφος δεν εφαρμόζεται στις αγωγές κατά δημοσίων αρχών, όταν οι αρχές αυτές ασκούν κυριαρχική δημόσια εξουσία που τους έχει ανατεθεί …».

12. Επειδή, τέλος, με το ν. 4648/2019 «Διευκόλυνση άσκησης εκλογικού δικαιώματος εκλογέων που βρίσκονται εκτός Ελληνικής Επικράτειας και τροποποίηση εκλογικής διαδικασίας» (Α΄ 205), όπως ισχύει κατά τον κρίσιμο χρόνο, ορίζονται τα εξής: Άρθρο 2 («Ειδικοί εκλογικοί κατάλογοι εξωτερικού»): «1. [...] 7. Οι εκλογείς που επιθυμούν να διευκολυνθούν να ασκήσουν το εκλογικό τους δικαίωμα εγγράφονται με δική τους μέριμνα στους ειδικούς εκλογικούς καταλόγους εξωτερικού [...] 8. [...] 9. Η Διεύθυνση Εκλογών του Υπουργείου Εσωτερικών καταρτίζει και τηρεί τους ειδικούς εκλογικούς καταλόγους εξωτερικού. 10. [...]». Άρθρο 3 («Περιεχόμενο ειδικών εκλογικών καταλόγων εξωτερικού»): «1. Οι ειδικοί εκλογικοί κατάλογοι εξωτερικού που καταρτίζονται, φέρουν τον τίτλο “Ειδικός Εκλογικός Κατάλογος Εξωτερικού” και περιέχουν τα ακόλουθα: α) τον αύξοντα αριθμό, β) τον Ειδικό Εκλογικό Αριθμό, γ) το επώνυμο, δ) το όνομα, ε) το όνομα του πατέρα, στ) το όνομα της μητέρας, ζ) [...] η) την ημερομηνία και τον χρόνο γέννησης, θ) [...] ι) την πλήρη διεύθυνση διαμονής, ια) τη διεύθυνση ηλεκτρονικού ταχυδρομείου, ιβ) τα τηλέφωνα επικοινωνίας. 2. Οι διατάξεις του άρθρου 23 του π.δ. 26/2012 εφαρμόζονται αναλόγως και για τους ειδικούς εκλογικούς καταλόγους εξωτερικού, με την επιφύλαξη των στοιχείων ια) και ιβ) της ανωτέρω παραγράφου. 3. [...]». Το άρθρο 23 («Διάθεση αντιτύπων εκλογικών καταλόγων κ.λπ.») του π.δ. 26/2012 «Κωδικοποίηση σ’ ενιαίο κείμενο των διατάξεων της νομοθεσίας για την εκλογή βουλευτών» (Α΄ 57), όπως αντικαταστάθηκε με το άρθρο 53 του ν. 4648/2019, ορίζει τα ακόλουθα: «1. Μία (1) πλήρη σειρά των εκλογικών καταλόγων σε ψηφιακά μέσα χωρίς καταβολή αντιτίμου [...] δικαιούνται τα κόμματα που εκπροσωπούνται στη Βουλή ή το Ευρωπαϊκό Κοινοβούλιο. Επίσης τα παραπάνω είδη δικαιούνται κατά την προεκλογική περίοδο και τα αναγνωρισμένα κόμματα, σύμφωνα με τον Κανονισμό της Βουλής, καθώς και αυτά που καταρτίζουν συνδυασμούς στα 2/3 των εκλογικών περιφερειών του Κράτους, βασικών και ετεροδημοτών. 2. Αντίτυπα εκλογικών καταλόγων μπορούν να διατίθενται κατά την προεκλογική περίοδο με την καταβολή αντιτίμου υπέρ του Δημοσίου, που ορίζεται από τον Υπουργό Εσωτερικών σε βουλευτές, ευρωβουλευτές, υποψηφίους βουλευτές ή υποψηφίους στις περιφερειακές και δημοτικές και κοινοτικές εκλογές, και μόνο για τις εκλογικές περιφέρειες, τις περιφέρειες ή τους δήμους όπου έχουν εκλεγεί, όπως προκύπτει βάσει των σχετικών αποφάσεων ανακήρυξής τους ή θα είναι υποψήφιοι σύμφωνα με έγγραφη δήλωσή τους. … 5. Τα ανωτέρω στοιχεία διατίθενται στους δικαιούχους μόνο σε ηλεκτρονικά μέσα, δεν μεταβιβάζονται σε αυτούς με ηλεκτρονικό τρόπο και χρησιμοποιούνται μόνον από εκείνον στον οποίο χορηγούνται αποκλειστικά και μόνο για εκλογική χρήση. 6. Η παραχώρηση σε οποιονδήποτε άλλο ή η χρησιμοποίησή τους από οιονδήποτε άλλον ή για σκοπό μη εκλογικό απαγορεύεται. 7. [...]».

13. Επειδή, στην προκειμένη περίπτωση, από τα στοιχεία της δικογραφίας, προκύπτουν τα εξής: Ο ενάγων είναι Έλληνας πολίτης, κάτοικος εξωτερικού, κατά το κρίσιμο χρονικό διάστημα, ήτοι από Φεβρουάριο του έτους 2021 έως Φεβρουάριο του έτους 2024, και ειδικότερα κατοικούσε στο .... Μέσω της διαδικτυακής πύλης του Υπουργείου Εσωτερικών (εφεξής: ΥΠ.ΕΣ.) «apodimoi.gov.gr», ο ενάγων υπέβαλε την υπ’ αριθμ. ....2023 αίτηση για να εγγραφεί στους Ειδικούς Εκλογικούς Καταλόγους Εξωτερικού, μέσω της εφαρμογής «Αιτήσεις εκλογέων Εξωτερικού», προκειμένου να συμμετάσχει στις βουλευτικές εκλογές του έτους 2023. Με την ως άνω αίτηση του, η οποία εγκρίθηκε από το αρμόδιο όργανο, γνωστοποίησε προς τα αρμόδια όργανα προσωπικά του στοιχεία, μεταξύ των οποίων και τη διεύθυνση ηλεκτρονικού ταχυδρομείου του, ήτοι το «e-mail» «...@gmail.com». Ακολούθως, την 1η.3.2024 έλαβε στην, δηλωθείσα με την προαναφερθείσα αίτηση ως άνω διεύθυνση ηλεκτρονικού ταχυδρομείου, μήνυμα από υποψήφια ευρωβουλευτή με τίτλο «100 ημέρες πριν από τις Ευρωεκλογές», το οποίο έφερε πολιτικό περιεχόμενο, διαφημίζοντας την ως άνω ευρωβουλευτή ενόψει των επερχόμενων Ευρωεκλογών. Εξάλλου, την ίδια ημέρα, απεστάλη στην ίδια ως άνω διεύθυνση ηλεκτρονικού ταχυδρομείου ενημερωτικό μήνυμα του ΥΠ.ΕΣ. προς τους Έλληνες του εξωτερικού σχετικά με την επιστολική ψήφο. Ακολούθως, κατόπιν σχετικών καταγγελιών απόδημων εκλογέων, η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Α.Π.Δ.Π.Χ.), στα πλαίσια της εποπτικής (άρθρα 51 και 55 Γ.Κ.Π.Δ. και 9 ν. 4624/2019) και ελεγκτικής (άρθρα 58 Γ.Κ.Π.Δ. και 15 ν. 4624/20219) της αρμοδιότητας διενήργησε εκτεταμένους ελέγχους, από τους οποίους προέκυψε ότι υπήρξε πράγματι διαρροή του ειδικού εκλογικού καταλόγου εξωτερικού από το ΥΠ.ΕΣ. κατά τον μήνα Ιούνιο του 2023, από τον κατάλογο, δε, αυτόν προέρχονταν τα δεδομένα προσωπικού χαρακτήρα που υποβλήθηκαν περαιτέρω σε επεξεργασία. Μεταξύ άλλων, από τις διαπιστώσεις των ως άνω ελέγχων, προέκυψε ότι η λίστα με τίτλο «ΑΠΟΔΗΜΟΙ» της υποψήφιας ευρωβουλευτή περιείχε το ονοματεπώνυμο, την διεύθυνση ηλεκτρονικού ταχυδρομείου και την χώρα κατοικίας σχεδόν του συνόλου των πολιτών που περιλαμβάνονταν στους εκλογικούς καταλόγους αποδήμων για τις εκλογές του Ιουνίου 2023, πλην ελαχίστων εξαιρέσεων. Ακολούθως, με την υπ’αριθμ. ...απόφασή της, η Α.Π.Δ.Π.Χ. κατέληξε, μεταξύ άλλων, στις εξής διαπιστώσεις, όσον αφορά το ΥΠ.ΕΣ.: α) το ΥΠ.ΕΣ. αποτελεί τον υπεύθυνο επεξεργασίας για την επεξεργασία προσωπικών δεδομένων των Ελλήνων πολιτών εκλογέων για το σκοπό της διεξαγωγής της εκλογικής διαδικασίας και ειδικότερα, σύμφωνα και με το ν. 4648/2019, για την άσκηση του εκλογικού δικαιώματος εκλογέων που βρίσκονται εκτός Ελληνικής Επικράτειας, β) τα στοιχεία ηλεκτρονικής επικοινωνίας, μεταξύ των οποίων και το email, των εγγεγραμμένων στους εκλογικούς καταλόγους εξωτερικού δεν περιλαμβάνονται στα αντίτυπα των εκλογικών καταλόγων εξωτερικού που διατίθενται στους δικαιούχους, σύμφωνα και με το άρθρο 23 του π.δ. 26/2012, ενώ, κατά τους ισχυρισμούς του ΥΠ.ΕΣ., κατά τις προεκλογικές περιόδους Μαΐου – Ιουνίου 2023 κανένα φυσικό πρόσωπο με την ιδιότητα του υποψήφιου δεν αιτήθηκε αντίτυπο ειδικών εκλογικών καταλόγων εξωτερικού του 2023 και τα πολιτικά κόμματα που παρέλαβαν δια εκπροσώπων εκλογικούς καταλόγους με την Α’ Αναθεώρηση 2023 συμπεριλαμβανομένων των εκλογικών τμημάτων, παρέλαβαν και αρχείο με τους ειδικούς εκλογικούς καταλόγους εξωτερικού, χωρίς τα αρχεία αυτά να περιλαμβάνουν διευθύνσεις ηλεκτρονικού ταχυδρομείου των εκλογέων. γ) αρχείο μορφής MS excel εξήχθη στις 08.06.2023 από το Ολοκληρωμένο Πληροφοριακό Σύστημα Υποστήριξης Εκλογικών Διαδικασιών (Ο.Σ.Υ.Ε.Δ., που αναπτύχθηκε από την εταιρία ... ΑΕ, με την οποία συμβλήθηκε το ΥΠ.ΕΣ. υπογράφοντας την .../21.7.2020 σύμβαση «Για την παροχή υπηρεσιών ανάπτυξης Ολοκληρωμένου Συστήματος Υποστήριξης Εκλογικών Διαδικασιών») με σκοπό τη διεξαγωγή κληρώσεων εφορευτικών επιτροπών, περιείχε δεδομένα των εγγεγραμμένων στους ειδικούς εκλογικούς καταλόγους εξωτερικού για τις επικείμενες βουλευτικές εκλογές της 25ης.6.2023 και βρέθηκε εκτός ΥΠ.ΕΣ. στην κατοχή τρίτων προσώπων και ειδικότερα στον Γραμματέα Αποδήμων της Ν.Δ., μέσω μηνύματος στις 23.06.2023 στην εφαρμογή WhatsApp, το οποίο προσκόμισε ο ίδιος στην Α.Π.Δ.Π.Χ. και από τον τελευταίο στην ανωτέρω ευρωβουλευτή στις 20.1.2024. Το ως άνω αρχείο περιείχε προσωπικά στοιχεία 25.610 πολιτών, δηλαδή του συνόλου των εγγεγραμμένων στους εκλογικούς καταλόγους αποδήμων για τις εκλογές του Ιουνίου 2023, και περιλάμβανε, μεταξύ άλλων, και την διεύθυνση ηλεκτρονικού ταχυδρομείου τους, δ) δυνατότητα μαζικής εξαγωγής δεδομένων από το σύστημα Ο.Σ.Υ.Ε.Δ. είχαν μόνο ειδικά εντεταλμένα πρόσωπα, μέσω εκτέλεσης ερωτημάτων στη βάση δεδομένων, για τους σκοπούς, δε, αποστολής ηλεκτρονικής επικοινωνίας εκ μέρους του Υπουργείου σχετικά με την εκλογική διαδικασία, πραγματοποιήθηκε διακίνηση των αρχείων excel προς τους αρμόδιους υπαλλήλους μέσω ηλεκτρονικού ταχυδρομείου, κατόπιν μαζικών εξαγωγών, χωρίς να έχει ληφθεί κάποιο ειδικό μέτρο ασφαλείας. Κατά συνέπεια, κάθε ένας από τους αποδέκτες είχε τη δυνατότητα για τοπική αποθήκευση, εξαγωγή σε αποσπώμενο μέσο ή και διαβίβαση του αρχείου μέσω εφαρμογών, ε) υπήρχε δυνατότητα μαζικής εξαγωγής του συνόλου των δεδομένων των εκλογικών καταλόγων εξωτερικού, χωρίς καταγραφή και χωρίς περιορισμό ή οριοθέτηση του πότε, ποιος και για ποιο σκοπό μπορεί να την αιτηθεί και συνεπώς δεν μπορεί να αποκλειστεί η πιθανότητα να έχουν διαβιβαστεί στο παρελθόν εκλογικοί κατάλογοι με email, σε αποδέκτες εκτός Υπουργείου, στ) αναφορικά με τον τρόπο καταγραφής των προσβάσεων για άντληση μαζικών δεδομένων από το Ο.Σ.Υ.Ε.Δ., τα αρχεία καταγραφής της βάσης δεδομένων και της εφαρμογής, δεν τηρούν πληροφορίες για τις ενέργειες του χρήστη αλλά αποκλειστικά και μόνο για την είσοδο και έξοδό του από το σύστημα και ως εκ τούτου, δεν μπορεί εκ των υστέρων να αναζητηθεί ποιος και πότε εκτέλεσε κάποιο ερώτημα στη βάση δεδομένων, ενώ, σε κάθε περίπτωση, από τη σχετική μελέτη ασφαλείας, προκύπτει ότι θα μπορούσε να έχει ενεργοποιηθεί η καταγραφή audit trails στο Ο.Σ.Υ.Ε.Δ., δυνάμει της οποίας θα καταγράφονταν οι χρήστες του συστήματος και οι λειτουργίες που έχουν εκτελέσει σε μία δεδομένη χρονική περίοδο, ζ) η μελέτη ασφάλειας του αναδόχου της Ο.Σ.Υ.Ε.Δ. περιλαμβάνει και προτείνει διαδικασίες πάνω στις οποίες θα βασιστεί η πολιτική ασφαλείας και το σχέδιο ασφαλείας του φορέα του Ο.Σ.Υ.Ε.Δ. (δηλαδή το ΥΠ.ΕΣ.) και δεν αποτελεί την εγκεκριμένη πολιτική και σχέδιο ασφαλείας του φορέα, η) δεν είχε υλοποιηθεί μηχανισμός στην ως άνω εφαρμογή, μέσω του οποίου θα μπορούσε να υποστηρίζεται η λειτουργικότητα της ενημέρωσης των εκλογέων εξωτερικού χωρίς να υπάρχει ανάγκη μαζικής εξαγωγής αρχείων, ενώ, εξάλλου, δεν προκύπτει ότι το ΥΠ.ΕΣ. προέβη σε σχολαστική έρευνα και αναζήτηση πληροφοριών προκειμένου να διευκολυνθεί ο προσδιορισμός του χρόνου και του αντικειμένου της παράνομης διαβίβασης στοιχείων των εκλογικών καταλόγων, ενώ στα αρχεία δραστηριοτήτων που αφορούν το σύστημα ΟΣΥΕΔ, τα οποία προσκομίστηκαν, δεν περιλαμβάνεται επαρκής αναφορά σε μέτρα ασφαλείας, δεν προσδιορίζεται ο χρόνος τήρησης των δεδομένων και γίνεται αναφορά σε γενική νομοθεσία και όχι ειδική αναφορά στη συγκεκριμένη εκλογική νομοθεσία. Με βάση τις διαπιστώσεις αυτές, η Α.Π.Δ.Π.Χ. κατέληξε στο συμπέρασμα ότι αρχείο με προσωπικά δεδομένα του συνόλου των εγγεγραμμένων εκλογέων εξωτερικού για τις εκλογές του Ιουνίου 2023, για το οποίο το Υπουργείο Εσωτερικών είναι υπεύθυνος επεξεργασίας, και για το οποίο η ισχύουσα νομοθεσία δεν προβλέπει καμία απολύτως περίπτωση διαβίβασης του εκτός Υπουργείου, διακινήθηκε εκτός του Υπουργείου και, συνεπώς, παραβιάστηκαν τα υφιστάμενα μέτρα και υπήρξε άνευ αδείας κοινολόγηση δεδομένων προσωπικού χαρακτήρα, με διαβίβαση αυτών εκτός του ΥΠ.ΕΣ., ενώ, όσον αφορά τα εφαρμοζόμενα μέτρα, η Αρχή διαπίστωσε ότι οι πολιτικές και οι διαδικασίες που ακολουθεί το Υπουργείο για τη μαζική εξαγωγή και εσωτερική διακίνηση δεδομένων εκλογέων του εξωτερικού δεν περιείχαν ειδικές προβλέψεις (ειδικά μέτρα ασφάλειας κατά τη διακίνηση των αρχείων) και περιορισμούς (αναφορικά με τους αποδέκτες των αρχείων), αλλά ούτε και προβλέψεις για την καταγραφή και τεκμηρίωση των ενεργειών καθώς και την έγκριση του σκοπού εξαγωγής και σε κάθε περίπτωση, οι σχεδιασμένες διαδικασίες δεν περιλάμβαναν κανένα μέτρο για τον περιορισμό κινδύνου που προκαλείται από τον ανθρώπινο παράγοντα, ο οποίος απεδείχθη καταλυτικός και καθοριστικός. Οι εν λόγω, δε, ελλείψεις στις διαδικασίες και πολιτικές για την προστασία των δεδομένων συνηγορούν στο γεγονός ότι ο υπεύθυνος επεξεργασίας, εν προκειμένω το ΥΠ.ΕΣ., δεν εφάρμοσε αποτελεσματικά, κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας, τα κατάλληλα τεχνικά μέτρα καταγραφής ενεργειών των χρηστών αλλά και οργανωτικά μέτρα για την εφαρμογή αρχών προστασίας των δεδομένων ήδη από το σχεδιασμό (κατ’ άρθρο 25 παρ. 1 του Γ.Κ.Π.Δ.). Για το λόγο, δε, τούτο, η Α.Π.Δ.Π.Χ., λαμβάνοντας υπόψη τη φύση των παραβάσεων, την κύρια δραστηριότητα του υπευθύνου επεξεργασίας, το γεγονός ότι η παράβαση προκλήθηκε από αμέλεια του υπευθύνου επεξεργασίας, την αναστάτωση και ανησυχία των υποκειμένων των δεδομένων για τη διαρροή, τη μη επέλευση σοβαρών συνεπειών στα υποκείμενα, καθώς και το είδος των κατηγοριών προσωπικών δεδομένων, επέβαλε στο ΥΠ.ΕΣ., ως υπεύθυνο επεξεργασίας, χρηματικό πρόστιμο ύψους 400.000 ευρώ, λόγω παράβασης των άρθρων 5 παρ. 1 εδ. στ΄, 25 παρ. 1, 30, 32 και 33 παρ. 3, 4 και 5 του Γ.Κ.Π.Δ.

14. Επειδή, με την κρινόμενη αγωγή, όπως αναπτύσσεται με τα νομίμως κατατεθέντα στις 10.12.2025 και 4.2.2026 υπομνήματά του, ο ενάγων ισχυρίζεται ότι το ΥΠ.ΕΣ., ως υπεύθυνος επεξεργασίας των προσωπικών δεδομένων του εκλογικού καταλόγου των εκλογέων εξωτερικού, προέβη σε παράνομη επεξεργασία των προσωπικών του δεδομένων, δοθέντος ότι όργανο του εν λόγω Υπουργείου κοινολόγησε, σε χρόνο μεταξύ της υποβολής της αίτησης εγγραφής της στον ειδικό κατάλογο εκλογέων εξωτερικού (30.3.2023) και της λήψης του επίμαχου μηνύματος (1.3.2024), τα προσωπικά δεδομένα που δήλωσε κατά την αίτηση εγγραφής, μεταξύ των οποίων και τη προσωπική διεύθυνση ηλεκτρονικού ταχυδρομείου του «...@gmail.com» σε τρίτους, χωρίς την προηγούμενη συγκατάθεσή του και, πάντως, χωρίς νόμιμη αιτία. Ειδικότερα, προβάλλει ότι τα προσωπικά του δεδομένα, τα οποία είχε γνωστοποιήσει στο ΥΠ.ΕΣ. αποκλειστικά για τον σκοπό της εγγραφής του στους ειδικούς εκλογικούς καταλόγους εξωτερικού και της άσκησης του εκλογικού δικαιώματος, χρησιμοποιήθηκαν μεταγενέστερα για σκοπό ασύμβατο προς τον σκοπό συλλογής τους, ήτοι για πολιτική επικοινωνία από τρίτο πρόσωπο, χωρίς τη συγκατάθεσή του και χωρίς να συντρέχει καμία από τις νόμιμες βάσεις του άρθρου 6 του Γ.Κ.Π.Δ. (σύμφωνα με τις οποίες η επεξεργασία των δεδομένων είναι σύννομη), ενώ, περαιτέρω, η εν λόγω διαβίβαση των προσωπικών δεδομένων έλαβε χώρα κατά παράβαση της ρητής νομοθετικής εξαίρεσης των στοιχείων ηλεκτρονικής επικοινωνίας από τη διαβίβαση σε τρίτους. Περαιτέρω, ισχυρίζεται ότι το ΥΠ.ΕΣ. δεν είχε διαμορφώσει την κατάλληλη πληροφοριακή υποδομή, που θα διασφάλιζε ότι όλα τα φυσικά πρόσωπα, με πρόσβαση στα δεδομένα των αποδήμων, θα τα επεξεργάζονταν μόνο κατ’ εντολή του υπεύθυνου επεξεργασίας, σύμφωνα με την αρχή της νομιμότητας, παρέλειψε δε και την πρόσληψη ατόμων με τα αναγκαία εχέγγυα αξιοπιστίας και ακεραιότητας, κατά παράβαση του άρθρου 32 παρ. 4 του Γ.Κ.Π.Δ.. Επιπροσθέτως, τονίζει ότι το εναγόμενο δεν απέδειξε ότι τα δεδομένα προσωπικού χαρακτήρα υποβλήθηκαν σε επεξεργασία που εγγυάται τη δέουσα ασφάλειά τους, ενώ δεν ελήφθη κανένα μέτρο για τον περιορισμό του κινδύνου που προκαλείται από τον ανθρώπινο παράγοντα (π.χ. ειδικά μέτρα ασφαλείας κατά την διακίνηση των αρχείων, περιορισμοί αναφορικά με τους αποδέκτες των αρχείων, προβλέψεις για την καταγραφή και τεκμηρίωση των ενεργειών καθώς και την έγκριση του σκοπού εξαγωγής των αρχείων). Ακόμη, αναφέρει ότι το εναγόμενο δεν έχει διεξάγει μια ολοκληρωμένη και εμπεριστατωμένη διοικητική έρευνα για την ταυτοποίηση των φυσικών προσώπων που τέλεσαν την ένδικη διαρροή και συνεπώς ουδεμία πειθαρχική ευθύνη έχει αποδοθεί, ενώ η παραίτηση πολιτικών προσώπων, συνεπεία του συμβάντος, ανάγεται στα πλαίσια της πολιτικής ευθύνης και δεν επιδρά στην αποζημιωτική ευθύνη του εναγομένου. Κατά τους ισχυρισμούς του, οι ανωτέρω παραλείψεις και πράξεις του εναγομένου συνιστούν παραβίαση των άρθρων 4, 5, 6, 12 και 32 του Γ.Κ.Π.Δ., καθώς και των σχετικών διατάξεων της εκλογικής νομοθεσίας, και είχαν ως αποτέλεσμα να προκληθεί στον ενάγοντα ψυχική αναστάτωση, αίσθημα ανασφάλειας και ανησυχίας για περαιτέρω κοινολόγηση των δεδομένων του, απώλεια ελέγχου επί των προσωπικών του δεδομένων και κλονισμό της πίστης που επέδειξε προς την ακεραιότητα και εχεμύθεια της διοίκησης, ειδικότερα στα πλαίσια οργάνωσης και διενέργειας της εκλογικής διαδικασίας. Τέλος, ο ενάγων διατείνεται ότι κατ’ εφαρμογή του ν. 3471/2006, η χρηματική ικανοποίηση λόγω ηθικής βλάβης από παράνομη επεξεργασία δεδομένων στο πλαίσιο ηλεκτρονικών επικοινωνιών ορίζεται στο κατώτατο ποσό των 10.000 ευρώ. Κατόπιν τούτων, ο ενάγων προβάλει ότι έχει υποστεί ηθική βλάβη, για την οποία πρέπει να υποχρεωθεί το εναγόμενο να του καταβάλει το ποσό των 20.000 ευρώ, νομιμοτόκως από την επίδοση της αγωγής μέχρι την πλήρη εξόφληση, ως χρηματική ικανοποίηση, σύμφωνα με το άρθρο 932 Α.Κ., σε συνδυασμό με τα άρθρα 57, 59 του ΑΚ. και 105 του Εισ.Ν.Α.Κ., άλλως προς αποκατάσταση της μη υλικής του ζημίας κατά τα άρθρα 82, 2, 4, 5, 6, 12 και 32 παρ. 4 του Γ.Κ.Π.Δ. Προς απόδειξη των ισχυρισμών του, ο ενάγων επικαλείται και προσκομίζει, μεταξύ άλλων: α) την …. έκθεση επίδοσης του Δικαστικού Επιμελητή της Περιφέρειας του Εφετείου Αθηνών, … για την επίδοση της κρινόμενης αγωγής στο εναγόμενο Ελληνικό Δημόσιο, β) εκτύπωση της με αρ. πρωτ. … αίτησης του για εγγραφή του στους Ειδικούς Καταλόγους Εξωτερικού, γ) εκτύπωση του από 1.3.2024 μηνύματος ηλεκτρονικού ταχυδρομείου με θέμα «...100 ημέρες πριν από τις Ευρωεκλογές», το οποίο απεστάλη στον ενάγοντα στην προσωπική διεύθυνση ηλεκτρονικού ταχυδρομείου του «...@gmail.com», δ) το από 1.3.2024 μήνυμα ηλεκτρονικού ταχυδρομείου, με θέμα «Υπουργείο Εσωτερικών - Επιστολική Ψήφος», που απέστειλε το Υπουργείο Εσωτερικών προς τους εγγεγραμμένους στους ειδικούς εκλογικούς καταλόγους εξωτερικού, ε) αντίγραφο της εξώδικης δήλωσης- διαμαρτυρίας- πρόσκλησης του ενάγοντος προς την ..., με την οποία ζητεί, μεταξύ άλλων, να διαγραφούν τα κοινοποιηθέντα προσωπικά δεδομένα του, στ) την από 4.4.2024 απάντηση στην ως άνω εξώδικη διαμαρτυρία, ζ) την υπ’ αριθμ. ...απόφαση της Α.Π.Δ.Π.Χ., με την οποία επιβλήθηκε στο Υπουργείο Εσωτερικών, ως υπεύθυνο επεξεργασίας, χρηματικό πρόστιμο ύψους 400.000 ευρώ για τη διαρροή του αρχείου προσωπικών δεδομένων αποδήμων, καθώς και στην ευρωβουλευτή Α.Μ.Α. χρηματικό πρόστιμο ύψους 40.000 ευρώ, η) την υπ’ αριθμ. ....2024 απόφαση του Υπουργείου Εσωτερικών, από την οποία προκύπτει η έγκριση δέσμευσης πίστωσης ποσού ύψους 428.000 ευρώ σε βάρος του προϋπολογισμού του οικονομικού έτους 2024, προκειμένου να καλυφθεί η δαπάνη για την εξόφληση του ως άνω επιβληθέντος χρηματικού προστίμου της Α.Π.Δ.Π.Χ.

15. Επειδή, το εναγόμενο Ελληνικό Δημόσιο, με την με αρ. πρωτ. ...έκθεση των απόψεών του, καθώς και τα κατατεθέντα στις 2 και 6.2.2026 υπομνήματά, ζητεί την απόρριψη της κρινόμενης αγωγής, ισχυριζόμενο ότι δεν έχει υπάρξει, εν προκειμένω, κάποια παράνομη πράξη ή παράλειψή του. Αντίθετα, το ίδιο έχει προβεί, όπως ισχυρίζεται, στις προβλεπόμενες από τον Γ.Κ.Π.Δ. νόμιμες ενέργειες για τη διασφάλιση του απορρήτου των δεδομένων των αποδήμων και είχε λάβει πριν τις 20.1.2024, ημερομηνία κοινοποίησης του αρχείου στην υποψήφια ευρωβουλευτή, κάθε πρόσφορο και αναγκαίο οργανωτικό και τεχνικό μέτρο. Ειδικότερα, το εναγόμενο ισχυρίζεται ότι, ήδη από το 2018, είχε προβεί σε ενημέρωση όλων των υπηρεσιών του Υπουργείου Εσωτερικών σχετικά με τον ευρωπαϊκό κανονισμό, τα προσωπικά δεδομένα και τον τρόπο καταγραφής όλων των συνόλων των προσωπικών δεδομένων που τηρούνται σε κάθε υπηρεσία. Περαιτέρω, αναφέρει ότι υλοποιήθηκαν δυο πιστοποιημένα επιμορφωτικά προγράμματα, εκ των οποίων το πρώτο σκοπεί στην εκπαίδευση των εκπροσώπων των εποπτευόμενων φορέων του ΥΠ.ΕΣ. στο Δίκτυο Διαχείρισης Περιστατικών Ασφάλειας, συμβάλλοντας στην εξασφάλιση της ασφαλούς χρήσης και αξιοποίησης πληροφοριακών συστημάτων του Υπουργείου, τόσο από τους χρήστες-στελέχη του Υπουργείου, όσο και από τους χρήστες-στελέχη των εποπτευόμενων φορέων του, ενώ, το δεύτερο εξ αυτών με θέμα «Ευαισθητοποίηση σε Θέματα Κυβερνοασφάλειας Υπαλλήλων Υπουργείου Εσωτερικών Αποκεντρωμένων Διοικήσεων και ΟΤΑ Α΄ και Β΄ Βαθμού», έχει ως στόχο την εκπαίδευση και ευαισθητοποίηση των στελεχών του ΥΠ.ΕΣ. και των εποπτευόμενων φορέων του που είναι χρήστες πληροφοριακών συστημάτων και πληροφοριακών υποδομών. Επιπλέον, όπως σημειώνει το εναγόμενο, λαμβάνουν χώρα συνεχείς ενημερώσεις του προσωπικού του Υπουργείου και των εποπτευόμενων φορέων του, στο πλαίσιο λειτουργίας του Δικτύου Διαχείρισης Περιστατικών Ασφάλειας, για τη δραστηριότητα κακόβουλων δρώντων στον κυβερνοχώρο. Περαιτέρω, όπως υποστηρίζει, έχει αποσταλεί στις αρμόδιες οργανικές μονάδες όλων των τομέων του ΥΠ.ΕΣ. προς λήψη των κατάλληλων μέτρων το Εγχειρίδιο Κυβερνοασφάλειας του Υπουργείου Ψηφιακής Διακυβέρνησης καθώς και επικαιροποιημένη πολιτική αυθεντικοποίησης χρηστών, στην οποία περιγράφονται οι στόχοι και οι διαδικασίες της ασφάλειας που πρέπει να ακολουθούνται στο πλαίσιο της αυθεντικοποίησης των χρηστών καθώς και τα τεχνικά και οργανωτικά μέτρα που τυγχάνουν εφαρμογής. Επιπροσθέτως, επικαιροποιείται το Μητρώο Υποδομής Πληροφορικής και Επικοινωνιών όλων των τομέων του ΥΠ.ΕΣ., προκειμένου να εκτιμηθούν οι κίνδυνοι και οι απειλές και να προσδιοριστούν επιπλέον τρόποι αντιμετώπισης των κινδύνων, διενεργούνται δε, τακτικοί και έκτακτοι έλεγχοι ασφαλείας τόσο προληπτικοί, όσο και για τη διαπίστωση τυχόν ύποπτης δραστηριότητας, σε υποδομές του Υπουργείου και των εποπτευόμενων φορέων του από στελέχη του τμήματος κυβερνοασφάλειας, προκειμένου να εντοπιστούν ευπάθειες σε κρίσιμα πληροφοριακά συστήματα του Υπουργείου, συμπεριλαμβανομένων και των συστημάτων που χρησιμοποιούνται στην εκλογική διαδικασία. Εξάλλου, το εναγόμενο διατείνεται ότι σε όλα τα πληροφοριακά συστήματα προβλέπεται πρόσβαση με κωδικούς, που είναι σύμφωνοι με τα πρότυπα ασφαλείας που έχουν τεθεί από το εθνικό CERT, ενώ έχουν καθοριστεί και έλεγχοι πρόσβασης (και κατά περίπτωση, έλεγχοι ενεργειών χρηστών) σε όλες τις υποδομές και καταγραφή τους, ώστε να αποφευχθεί κατά το δυνατόν η πρόσβαση κακόβουλων δρώντων. Συναφώς, όπως υποστηρίζει, στο πλαίσιο υλοποίησης των διατάξεων του ν. 4648/2019 για την άσκηση του εκλογικού δικαιώματος εκλογέων που βρίσκονται εκτός ελληνικής επικράτειας, συνήφθη η προσκομισθείσα .../2020 σύμβαση «Για την παροχή υπηρεσιών ανάπτυξης ολοκληρωμένου συστήματος υποστήριξης εκλογικών διαδικασιών», μεταξύ του ΥΠ.ΕΣ. και της ανώνυμης εταιρίας με την επωνυμία «...ΑΕ», στο άρθρο 11 της οποίας προβλέφθηκε ειδική ρήτρα εμπιστευτικότητας, σύμφωνα με την οποία οι πληροφορίες και τα στοιχεία που θα λάβει η ως άνω εταιρεία χαρακτηρίζονται απόρρητες, ενώ, η ως άνω αντισυμβαλλόμενη εταιρία οφείλει να προβλέψει όλους τους απαραίτητους ελέγχους και μέτρα για την εξασφάλιση της αξιοπιστίας των πληροφοριών και της ακεραιότητας των αρχείων, με την ύπαρξη ισχυρού συστήματος προστασίας και ασφάλειας για κάθε περίπτωση λανθασμένου χειρισμού σε όλες τις φάσεις του έργου. Στην εν λόγω, δε, βάση δεδομένων του Ο.Σ.Υ.Ε.Δ. αποθηκεύονταν τα προσωπικά δεδομένα των εγγραφών αποδήμων για την άσκηση του εκλογικού τους δικαιώματος, ενώ, κατά τα προβαλλόμενα, ουδείς υπάλληλος του ΥΠ.ΕΣ. δεν μπορεί να παρέμβει στην επεξεργασία των ανωτέρω προσωπικών δεδομένων, ούτε μέσω διαχειριστικής εφαρμογής, ούτε απευθείας με πρόσβαση στη βάση δεδομένων. Στο πλαίσιο, δε, της λήψης μέτρων ασφαλείας για την προστασία προσωπικών δεδομένων, πραγματοποιήθηκε, όπως υποστηρίζει το εναγόμενο, από την ανωτέρω ανώνυμη εταιρία κρυπτογράφηση των βάσεων δεδομένων των αιτήσεων αποδήμων και εκπονήθηκε μελέτη ασφαλείας για το Ο.Σ.Υ.Ε.Δ., βασιζόμενη στο διεθνές πρότυπο ISO/IEC27001. Άλλωστε, όπως επισημαίνει το εναγόμενο, το Τμήμα Εκλογών διενεργούσε τον έλεγχο των αιτήσεων των εκλογέων εξωτερικού μόνο στην εν λόγω πλατφόρμα (Ο.Σ.Υ.Ε.Δ.), στην οποία δεν μπορούσε να εισέλθει μη εξουσιοδοτημένος χρήστης, ενώ, κατά το χρονικό διάστημα που προηγήθηκε των εκλογών Μαΐου - Ιουνίου 2023, πραγματοποιήθηκαν έλεγχοι ασφαλείας στο σύστημα από την Εθνική Υπηρεσία Πληροφοριών και από την Διεύθυνση Κυβερνοάμυνας του Γενικού Επιτελείου Εθνικής Άμυνας. Συνεπώς, κατά το εναγόμενο, ορθώς επελέγησαν, εν προκειμένω, ως κατάλληλα τα ως άνω περιγραφέντα τεχνικά και οργανωτικά μέτρα για την προστασία των προσωπικών δεδομένων των εκλογέων εκτός ελληνικής επικράτειας, κατόπιν στάθμισης της φύσης των εν λόγω προσωπικών δεδομένων, του γεγονότος ότι τα δεδομένα αυτά, πλην των στοιχείων ηλεκτρονικής επικοινωνίας, κοινοποιούνται νομίμως στους δικαιούχους του άρθρου 23 του π.δ. 26/2012 και του μη υψηλού κινδύνου από την τυχόν παραβίασή τους. Λόγω δε της λήψης όλων των επιβαλλομένων μέτρων για τη διασφάλιση του απορρήτου των συλλεγέντων προσωπικών δεδομένων των αποδήμων, δεν συντρέχει, όπως αναφέρει, σε κάθε περίπτωση ευθύνη του. Άλλωστε, κατά το εναγόμενο, από το σύνολο των στοιχείων που περιλαμβάνονταν στο σχετικό αρχείο, το μόνο που χρησιμοποιήθηκε ήταν η διεύθυνση ηλεκτρονικού ταχυδρομείου, η οποία χρησιμοποιήθηκε μία και μοναδική φορά για την αποστολή ηλεκτρονικού μηνύματος, ενώ, εξάλλου, το μήνυμα αυτό δεν είχε παρεμβατικό περιεχόμενο, υπό την έννοια ότι δεν ήταν προσωποποιημένο, δεν περιείχε πληροφορίες που να αφορούν τον συγκεκριμένο αποδέκτη και δεν καλούσε σε περαιτέρω επικοινωνία και από κανένα πραγματικό περιστατικό δεν προκύπτει ότι τα προσωπικά δεδομένα του ενάγοντος περιήλθαν στην κατοχή αγνώστου αριθμού προσώπων, όπως ισχυρίζεται, αφού έκτοτε δεν οχλήθηκε από οποιονδήποτε, σε κάθε, δε, περίπτωση, η Α.Π.Δ.Π.Χ., στη σελ. 57 της σχετικής απόφασής της, αναφέρει ότι οι κατηγορίες των προσωπικών δεδομένων, που αφορά η επεξεργασία, δεν ενέχουν υψηλό κίνδυνο (άρθρα 9-10 Γ.Κ.Π.Δ.) και ότι από αυτά δεν μπορεί να προκληθεί άμεση ζημία ή δυσχέρεια. Ενόψει των ανωτέρω, κατά το εναγόμενο, δεν προκύπτει, ούτε και ο ενάγων αποδεικνύει ότι έχει υποστεί κάποια ηθική βλάβη και πάντως, η ηθική βλάβη που επικαλείται ότι υπέστη είναι δυσανάλογη της επικαλούμενης παράνομης πράξης. Επικουρικώς, το εναγόμενο ισχυρίζεται ότι, αν υποτεθεί ότι ο ενάγων έχει πράγματι υποστεί κάποια ηθική βλάβη, αυτή έχει ήδη αποκατασταθεί λόγω των ενεργειών του ΥΠ.ΕΣ. και της Κυβέρνησης συνολικά, που επέδειξαν μεγάλη ευαισθησία για το ζήτημα, με πολύ γρήγορη ανάληψη πολιτικών ευθυνών με την παραίτηση του Γενικού Γραμματέα του Υπουργείου Εσωτερικών και του Γραμματέα Απόδημου Ελληνισμού της Ν.Δ., αλλά και τη μη συμμετοχή της προαναφερθείσας ευρωβουλευτή στις Ευρωεκλογές του έτους 2024. Τα ανωτέρω, κατά το εναγόμενο, συνιστούν ενέργειες έμπρακτης συγγνώμης για το περιστατικό της διαρροής δεδομένων των αποδήμων, που αρκούν για την αποκατάσταση της όποιας ηθικής βλάβης έχει υποστεί ο ενάγων, ενώ περαιτέρω, το ΥΠ.ΕΣ. έχει πλέον προβεί σε σειρά ενεργειών για την ενίσχυση των διαδικασιών και τη βελτιστοποίηση των ειδικών πολιτικών χειρισμού περιστατικών για την τήρηση των διαδικασιών, όπως: α) η απόκτηση πιστοποίησης ISO 27001:2022, β) η αναβάθμιση του Ο.Σ.Υ.Ε.Δ. και η μελέτη για τη δυνατότητα εγκατάστασης εφαρμογών για την απευθείας επικοινωνία με τους εκλογείς μέσω του συστήματος, χωρίς εξαγωγή αρχείων, γ) η αναβάθμιση της υποδομής του Security Operation Center, το οποίο λειτουργεί σε άμεση συνεργασία με την Εθνική Αρχή Αντιμετώπισης Ηλεκτρονικών Επιθέσεων και το Κέντρο Τεχνολογικής Υποστήριξης, Ανάπτυξης και Καινοτομίας και δ) η προετοιμασία εκπαιδευτικών σεμιναρίων για το σύνολο των υπαλλήλων του για ευαισθητοποίηση σε θέματα κυβερνοασφάλειας και προστασίας προσωπικών δεδομένων, τα οποία έχει παρακολουθήσει το σύνολο σχεδόν του προσωπικού του, το σύνολο, δε, των μέτρων αυτών αποτελεί πλήρη και προσήκουσα αποκατάσταση της ζημίας του ενάγοντος. Εξάλλου, κατά το εναγόμενο, δεν υφίσταται αιτιώδης σύνδεσμος μεταξύ της επικαλούμενης παράβασης μη λήψης των κατάλληλων οργανωτικών και τεχνικών μέτρων ασφαλείας προσωπικών δεδομένων και της ζημίας του ενάγοντος, διότι αυτός έχει διαρραγεί με τη μεσολάβηση τρίτων προσώπων, ήτοι του αγνώστου ταυτότητας προσώπου, το οποίο απέκτησε πρόσβαση στα δεδομένα των αποδήμων, τα οποία στη συνέχεια κοινολόγησε σε στέλεχος της Ν.Δ., το οποίο με τη σειρά του κοινολόγησε τα εν λόγω δεδομένα στην υποψήφια ευρωβουλευτή, από το email της οποίας προκλήθηκε η τυχόν βλάβη που επικαλείται ο ενάγων. Κατά συνέπεια, τα εν λόγω τρίτα πρόσωπα κατέστησαν αυτοτελώς υπεύθυνοι επεξεργασίας, επιδιώκοντας ιδίους σκοπούς επεξεργασίας των προσωπικών δεδομένων των αποδήμων, οι οποίοι δεν σχετίζονταν με τους σκοπούς επεξεργασίας του αρχικώς υπεύθυνου επεξεργασίας, ήτοι του ΥΠ.ΕΣ. Προς επίρρωση των ανωτέρω ισχυρισμών του, το εναγόμενο επικαλείται και προσκομίζει: α) το Εγχειρίδιο Κυβερνοασφάλειας του Υπουργείου Ψηφιακής Διακυβέρνησης Ιουνίου 2021, αναφορικά με τις βέλτιστες πρακτικές για την προστασία και ανθεκτικότητα των πληροφοριακών συστημάτων, β) την Πολιτική Αυθεντικοποίησης Χρηστών Μαΐου 2024 του ΥΠ.ΕΣ. και γ) την .../2020 σύμβαση «Για την παροχή υπηρεσιών ανάπτυξης Ολοκληρωμένου Συστήματος Υποστήριξης Εκλογικών Διαδικασιών», την οποία συνήψε το ΥΠ.ΕΣ. με την εταιρία με την επωνυμία «... Ανώνυμη Εταιρεία Πληροφοριακών Συστημάτων και Εφαρμογών Πληροφορικής».

16. Επειδή, καταρχάς, σύμφωνα με όσα έγιναν δεκτά στην τέταρτη σκέψη της παρούσας, για τη θεμελίωση αποζημιωτικής ευθύνης δημόσιας αρχής ως υπευθύνου επεξεργασίας και εκτελούντος την επεξεργασία προς αποκατάσταση της υλικής ή της μη υλικής ζημίας που υπέστη το υποκείμενο των δεδομένων, εφαρμοστέα τυγχάνει η διάταξη του άρθρου 82 του Κανονισμού, ως αυτοτελής και ειδικότερη ενωσιακή νομική βάση αμέσου εφαρμογής έναντι της γενικότερης των άρθρων 105- 106 Εισ.Ν.Α.Κ..

17. Επειδή, περαιτέρω, σύμφωνα με τα στοιχεία του φακέλου και με όσα έγιναν ερμηνευτικώς δεκτά στη μείζονα σκέψη της παρούσας, και συνεκτιμώντας την υπ’ αριθμ....απόφαση της Α.Π.Δ.Π.Χ, οι πραγματικές διαπιστώσεις της οποίας έχουν κριθεί νομίμως και επαρκώς αιτιολογημένες με τις υπ’αριθμ. 657-660/2025 αποφάσεις της Ολομέλειας του Συμβουλίου της Επικρατείας, το Δικαστήριο λαμβάνει υπόψη ότι, το ΥΠ.ΕΣ., ως υπεύθυνος επεξεργασίας, τηρούσε στους ειδικούς καταλόγους εκλογέων εξωτερικού προσωπικά δεδομένα αυτών, μεταξύ των οποίων, το όνομα, το επώνυμο, τη διεύθυνση διαμονής, το τηλέφωνο και τη διεύθυνση ηλεκτρονικού ταχυδρομείου. Όπως προκύπτει, στις 8.6.2023, εξήχθη από το πληροφοριακό σύστημα Ο.Σ.Υ.Ε.Δ. του ΥΠ.ΕΣ. αντίτυπο του ως άνω καταλόγου σε αρχείο μορφής MS Excel (υπό τον τίτλο «Απόδημοι ανά Τμήμα για Κληρώσεις Εφορευτικών - Βουλ Εκλ Ιουν 2023.xlsx»), με σκοπό την διεξαγωγή κληρώσεων των εφορευτικών επιτροπών των τμημάτων αποδήμων για τις εκλογές του Ιουνίου 2023, στο οποίο συμπεριλαμβάνονταν, τηλέφωνα και διευθύνσεις ηλεκτρονικού ταχυδρομείου των ως άνω εκλογέων, μεταξύ των οποίων και του ενάγοντος. Ακολούθως, το αρχείο αυτό διαβιβάστηκε, από όργανο του ως άνω Υπουργείου, στις 23.6.2023 εκτός ΥΠ.ΕΣ., μέσω της εφαρμογής «WhatsApp», στο Γραμματέα Αποδήμων του πολιτικού κόμματος της Νέας Δημοκρατίας και τελικά, στις 20.1.2024, σε υποψήφια ευρωβουλευτή, η οποία υπέβαλε τα προσωπικά δεδομένα που περιέχονταν στο ως άνω αρχείο σε επεξεργασία αποστέλλοντας ηλεκτρονικό μήνυμα πολιτικής επικοινωνίας την 1η.3.2024, μεταξύ άλλων αποδήμων εκλογέων, και στην ηλεκτρονική διεύθυνση του ενάγοντος (βλ. σχετ. την προσκομιζόμενη εκτύπωση του από 1.3.2024 μηνύματος ηλεκτρονικού ταχυδρομείου στην προσωπική διεύθυνση «...@gmail.com»). Η αρχική αυτή διαβίβαση αποτελεί περιστατικό παραβίασης της εμπιστευτικότητας των προσωπικών δεδομένων σύμφωνα με τον ορισμό του άρθρου 4 περ. 12 του Γ.ΚΠ.Δ., ενώ διενεργήθηκε και άνευ προηγούμενης συγκατάθεσης του ενάγοντος (άρθρο 6 παρ. 1 περ. α΄ του Γ.Κ.Π.Δ.), και κατά παράβαση του άρθρου 5 παρ. 1 περ. β΄ του Γ.Κ.Π.Δ., δοθέντος ότι τα δεδομένα είχαν συλλεγεί αποκλειστικά για τη διευκόλυνση άσκησης του εκλογικού δικαιώματος, κατ’ αποδοχή του σχετικού ισχυρισμού του ενάγοντος ως βάσιμου. Σε κάθε περίπτωση, το ως άνω αρχείο, που περιείχε, ως αναφέρθηκε ανωτέρω, και τις διευθύνσεις ηλεκτρονικού ταχυδρομείου των εκλογέων, διαβιβάστηκε κατά παράβαση του άρθρου 3 παρ. 2 του ν. 4648/2019, που ορίζει την διάθεση αντιτύπων των εκλογικών καταλόγων σε ψηφιακά μέσα στα κόμματα που εκπροσωπούνται στη Βουλή ή το Ευρωπαϊκό Κοινοβούλιο. Περαιτέρω, σύμφωνα με τις διαπιστώσεις της ανωτέρω απόφασης της Α.Π.Δ.Π.Χ., είχαν γίνει μαζικές εξαγωγές των δεδομένων των απόδημων εκλογέων για το σκοπό αποστολής ηλεκτρονικής επικοινωνίας από το ΥΠ.ΕΣ. σχετικά με την εκλογική διαδικασία, καθώς και για τις ανάγκες της κλήρωσης των εφορευτικών επιτροπών και, προς το σκοπό αυτό, έγινε διακίνηση των αρχείων με τα στοιχεία των εκλογικών καταλόγων χωρίς, ωστόσο, να έχει ληφθεί (από το Υπουργείο) κάποιο ειδικό μέτρο ασφάλειας για την αποφυγή της δυνατότητας τοπικής αποθήκευσης και της περαιτέρω διακίνησης από τους αρμοδίους υπαλλήλους, αλλά και περιορισμοί ως προς τους αποδέκτες του αρχείου και προβλέψεις για την καταγραφή και τεκμηρίωση των ενεργειών και την έγκριση του σκοπού εξαγωγής. Ακόμη, το σύστημα Ο.Σ.Υ.Ε.Δ δεν διέθετε ασφαλή μηχανισμό (ως είχε προβλεφθεί) μέσω του οποίου θα μπορούσε να υποστηρίζεται η λειτουργικότητα της ενημέρωσης των εκλογέων εξωτερικού, χωρίς να υπάρχει ανάγκη της επικίνδυνης, όπως αποδείχθηκε, μαζικής εξαγωγής αρχείων, (το σύστημα) στερούταν επαρκών αρχείων καταγραφής ενεργειών (audit trails), ενώ τα αρχεία καταγραφής της βάσης δεδομένων και της εφαρμογής δεν τηρούσαν πληροφορίες για τις ενέργειες του εκάστοτε χρήστη. Αυτά τα τεχνικά και οργανωτικά ελλείμματα κατέστησαν την ασφάλεια των προσωπικών δεδομένων εξαρτώμενη αποκλειστικά από τον ανθρώπινο παράγοντα και εμπόδισαν, τελικά, την ιχνηλάτηση του φυσικού αυτουργού της διαρροής. Κατά συνέπεια, οι ως άνω ελλείψεις βασικών εγγυήσεων συνιστούν, αφενός παραβίαση της αρχής της προστασίας των δεδομένων ήδη από τον σχεδιασμό, κατά την έννοια του άρθρου 25 παρ. 1 του Γ.Κ.Π.Δ., αφετέρου, ευθεία παράβαση της επιταγής του άρθρου 32 παρ. 4 του ίδιου Κανονισμού, διότι το εναγόμενο απέτυχε να διασφαλίσει ότι τα φυσικά πρόσωπα υπό την εποπτεία του επεξεργάζονται τα δεδομένα αυστηρά κατ’ εντολή του. Έναντι των ως άνω ευρημάτων, το εναγόμενο, που φέρει το (αντεστραμμένο) βάρος απόδειξης της μη ευθύνης του για το γενεσιουργό γεγονός της ζημίας (άρθρο 82 παρ. 2, 3 του Γ.Κ.Π.Δ.) δεν ανταποκρίθηκε σε αυτό. Και τούτο διότι, ως υπεύθυνος επεξεργασίας φέρει το βάρος της απόδειξης της καταλληλότητας των μέτρων, ήτοι ότι τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία κατά τρόπο που να εγγυάται τη δέουσα ασφάλεια των δεδομένων αυτών (βλ. απόφαση ΔΕΕ της 25.1.2024, BL κατά MediaMarktSaturn HagenIserlohn GmbH, σκ. 42, 43) και συνεπώς, ο ισχυρισμός του εναγόμενου ότι δεν εξειδικεύονται τα ενδεικνυόμενα μέτρα ασφαλείας εκ μέρους του ενάγοντος, είναι απορριπτέος ως ερειδόμενος επί εσφαλμένης νομικής προϋπόθεσης. Ειδικότερα, μολονότι το εναγόμενο ισχυρίζεται ότι το σύστημα Ο.Σ.Υ.Ε.Δ. και το σχέδιο ασφαλείας βασίζονταν στο διεθνές πρότυπο ISO 27001, δεν προσκομίζει πιστοποιητικό συμμόρφωσης από διαπιστευμένο φορέα, που να αποδεικνύει την ενεργή πιστοποίηση του συστήματος κατά τον κρίσιμο χρόνο, παρά συνομολογεί ότι αυτό θα ληφθεί σε μελλοντικό χρόνο. Επίσης, αν και ισχυρίζεται ότι έλεγχοι ασφαλείας πραγματοποιήθηκαν στο σύστημα τόσο από την Εθνική Υπηρεσία Πληροφοριών όσο και από τη Διεύθυνση Κυβερνοάμυνας του Γενικού Επιτελείου Εθνικής Άμυνας πριν τις εκλογές του 2023, δεν προσκομίζει έκθεση ελέγχου ή επίσημο πόρισμα των εν λόγω υπηρεσιών, που να βεβαιώνει την επάρκεια των μέτρων ή την ισχύ τους κατά τον κρίσιμο χρόνο της επεξεργασίας. Εξάλλου, μολονότι ισχυρίζεται ότι οι υπάλληλοι που χειρίζονταν το σύστημα είχαν εκπαιδευτεί συστηματικά, παραθέτοντας μάλιστα και τον αριθμό των σεμιναρίων του Εθνικού Κέντρου Δημόσιας Διοίκησης και Αποκέντρωσης, δεν προσκομίζει κανένα έγγραφο (π.χ. βεβαιώσεις παρακολούθησης, λίστες συμμετεχόντων) που να αποδεικνύει ότι οι συγκεκριμένοι υπάλληλοι που διαχειρίζονταν το εν λόγω αρχείο αποδήμων εκλογέων είχαν πράγματι λάβει τη σχετική εκπαίδευση. Επιπλέον, αν και προσκομίζει την «πολιτική αυθεντικοποίησης» (με ημερομηνία πάντως Μαΐου 2024), δεν προσκομίζει κανένα τεχνικό αποδεικτικό στοιχείο (π.χ. αποσπάσματα από αρχεία καταγραφής/log files, πορίσματα εσωτερικού τεχνικού ελέγχου) από το οποίο να προκύπτει ότι η διαβαθμισμένη πρόσβαση και η ιχνηλασιμότητα εφαρμόζονταν πράγματι κατά τον χρόνο της διαρροής. Σε κάθε περίπτωση, η προσκομισθείσα σύμβαση υπ’ αριθ. .../2020 με την εταιρεία ... αποδεικνύει μεν την ανάθεση του έργου του Ο.Σ.Υ.Ε.Δ, αλλά όχι και την ύπαρξη μηχανισμών αποτροπής μαζικών εξαγωγών δεδομένων από τους εσωτερικούς χρήστες του Υπουργείου. Ομοίως, το «Εγχειρίδιο Κυβερνοασφάλειας», συνιστά ένα γενικό σύνολο εντολών, χωρίς από αυτό και μόνο να προκύπτει ότι πράγματι αυτές εφαρμόστηκαν στο επίμαχο σύστημα. Τούτων δοθέντων, το Δικαστήριο κρίνει ότι το εναγόμενο δεν απέδειξε ότι έλαβε τα απαραίτητα τεχνικά και οργανωτικά μέτρα για την αποφυγή οποιασδήποτε προσβολής των δεδομένων προσωπικού χαρακτήρα των απόδημων εκλογέων ήδη από τον σχεδιασμό και εξ ορισμού, ώστε να διασφαλίζεται ότι υφίστανται επεξεργασία μόνο τα απολύτως απαραίτητα δεδομένα για τον σκοπό της επεξεργασίας και ότι η πρόσβαση σε αυτά καθίσταται αυστηρά περιορισμένη και ελεγχόμενη. Κατ’ ακολουθίαν, το Δικαστήριο κρίνει ότι, εν προκειμένω, στοιχειοθετείται η ευθύνη του εναγομένου Ελληνικού Δημοσίου προς αποζημίωση. Ειδικότερα, το εναγόμενο, υπό την ιδιότητά του ως υπευθύνου επεξεργασίας, παρέλειψε, αφενός, να λάβει τα κατάλληλα τεχνικά και οργανωτικά μέτρα ασφαλείας για τη διασφάλιση της προστασίας των προσωπικών δεδομένων, μεταξύ άλλων, του ενάγοντος, αφετέρου δε, προέβη σε παράνομη επεξεργασία των εν λόγω προσωπικών δεδομένων, μέσω οργάνων που τελούσαν υπό την εποπτεία του, καθώς αυτά (τα προσωπικά δεδομένα) διαβιβάστηκαν σε τρίτους εκτός του Υπουργείου, χωρίς η διαβίβαση αυτή να στηρίζεται σε κάποια από τις περιοριστικώς προβλεπόμενες νομικές βάσεις του άρθρου 6 παρ. 1 του Γ.Κ.Π.Δ, αλλά και ούτε να πληροί τις προϋποθέσεις της εκλογικής νομοθεσίας περί σύννομης διαβίβασης προσωπικών δεδομένων κατά την προεκλογική περίοδο (πρβλ. ΣτΕ Ολομ. 657, 659 και 660/2025). Εξάλλου, αβάσιμος είναι ο ισχυρισμός του εναγόμενου περί διακοπής του αιτιώδους συνδέσμου λόγω της παρεμβολής τρίτων προσώπων. Και τούτο διότι, η αρχική βλάβη επήλθε ήδη από τον χρόνο εξαγωγής και διαρροής του αρχείου από το ΥΠ.ΕΣ., ενώ το γεγονός ότι στην αλυσίδα της παράνομης επεξεργασίας ενεπλάκησαν στη συνέχεια και έτεροι αυτοτελείς υπεύθυνοι επεξεργασίας, δεν απαλλάσσει το εναγόμενο, αλλά θεμελιώνει ευθύνη του εις ολόκληρον (άρθρο 82 παρ. 4 του Γ.Κ.Π.Δ.) για την αποκατάσταση της συνολικής ζημίας, προκειμένου να διασφαλιστεί η αποτελεσματική προστασία του υποκειμένου.

18. Επειδή, ο ενάγων ισχυρίζεται ότι λόγω της ανωτέρω παράνομης κοινοποίησης και χρήσης των προσωπικών του δεδομένων και της παράλειψης λήψης κατάλληλων οργανωτικών και τεχνικών μέτρων ασφαλείας από το εναγόμενο, προκλήθηκε σε αυτόν τεράστια ανησυχία, σοβαρά ψυχολογικά και σωματικά προβλήματα (αυξημένη πίεση, άγχος, αϋπνίες) και πλήρης έλλειψη εμπιστοσύνης στην ασφάλεια και τα συστήματα του εναγομένου, ενώ, εξάλλου, διακατέχεται από φόβο περαιτέρω κοινολόγησης των προσωπικών του δεδομένων, τα οποία ο ίδιος κοινοποίησε στο εναγόμενο για την άσκηση του συνταγματικά κατοχυρωμένου του δικαιώματος συμμετοχής στις βουλευτικές εκλογές. Κατόπιν τούτων, το Δικαστήριο, λαμβάνει υπόψιν ότι, καθώς τα προσωπικά δεδομένα του ενάγοντος διέρρευσαν σε άγνωστους, πλην του στελέχους και της υποψήφιας ευρωβουλευτή του πολιτικού κόμματος, μέχρι σήμερα τρίτους, ελλείψει ιχνηλάτησης του προσώπου που προέβη στην αρχική διαρροή (σελ. 62 της απόφασης της Α.Π.Δ.Π.Χ.), ευλόγως του προκλήθηκε βάσιμος φόβος περαιτέρω μελλοντικής κατάχρησης και αίσθημα ανασφάλειας (βλ. ΔΕΕ, C-340/21, ό.π., σκ. 85-86), ότι η ζημία αυτή είναι αυτοτελώς αποκαταστατέα, χωρίς να απαιτείται να υπερβαίνει κάποιο κατώφλι σοβαρότητας, απορριπτομένου του αντίθετου ισχυρισμού του εναγόμενου περί απλής ενόχλησης του ενάγοντος (βλ. ΔΕΕ, C-300/21, ό.π., σκ. 60, ΔΕΕ, C-456/22, Gemeinde Ummendorf, σκ. 22) και ότι η εν τοις πράγμασι απώλεια ελέγχου επί των δεδομένων προσωπικού χαρακτήρα προκάλεσε στο υποκείμενο των δεδομένων, ήτοι τον ενάγοντα, «μη υλική ζημία», κατά την έννοια του άρθρου 82 παρ. 1 του Γ.Κ.Π.Δ. (πρβλ. αποφάσεις ΔΕΕ C-590/22, C-200/23, σκ. 143, 144 και 155, C-687/21, σκ. 65-66), η οποία παρέχει δικαίωμα αποζημίωσης. Εξάλλου, απορριπτέος ως αβάσιμος τυγχάνει ο ισχυρισμός του εναγομένου ότι η ενδεχόμενη βλάβη ικανοποιήθηκε πλήρως με την ανάληψη πολιτικής ευθύνης και τη δημόσια έκφραση συγγνώμης. Τούτο, διότι, ναι μεν, η έκφραση συγγνώμης δύναται να αποτελέσει προσήκουσα αποκατάσταση, μόνο υπό την προϋπόθεση όμως ότι αποκαθιστά πλήρως τη ζημία. Εν προκειμένω, όμως, η γενική πολιτική συγγνώμη δεν μπορούσε αντικειμενικά να άρει την ανησυχία του υποκειμένου, εφόσον τα ήδη διαρρεύσαντα δεδομένα του, ελλείψει πλήρους και αποτελεσματικού εσωτερικού ελέγχου ως προς τις συνθήκες της διαρροής, δεν έχουν εισέτι ανακτηθεί (βλ. ΔΕΕ, απόφαση της 20.6.2024, C-507/23, σκ. 36-37). Τούτων δοθέντων, το Δικαστήριο κρίνει ότι ο ενάγων υπέστη μη υλική ζημία, συνιστάμενη στην ανησυχία του από την υφιστάμενη διαρροή των προσωπικών του δεδομένων καθώς και στο φόβο για περαιτέρω κοινολόγηση αυτών, ενώ επρόκειτο για δεδομένα που καταχώρισε ο ίδιος σε πλατφόρμα του ΥΠ.ΕΣ. στο πλαίσιο της παρεχόμενης δυνατότητας άσκησης του εκλογικού δικαιώματος από εκλογείς του εξωτερικού, με την προσδοκία ότι αυτά θα χρησιμοποιηθούν για τους νόμιμους σκοπούς επεξεργασίας του υπευθύνου επεξεργασίας και εν προκειμένω του ΥΠ.ΕΣ. και, συνεπώς, αποδείχθηκαν τόσο η ύπαρξη μη υλικής «ζημίας» την οποία «υπέστη» το υποκείμενο των δεδομένων, αλλά και η παράβαση των διατάξεων του Γ.Κ.Π.Δ. και η αιτιώδης συνάφεια μεταξύ της ζημίας και της παραβάσεως, ήτοι οι τρεις σωρευτικές, αναγκαίες και επαρκείς προϋποθέσεις για τη θεμελίωση του δικαιώματος αποζημίωσης κατ’ αρθρο 82 του Κανονισμού. Ενόψει τούτων και λαμβάνοντας υπόψη τη φύση και τη βαρύτητα των παράνομων παραλείψεων του εναγόμενου, τις συνθήκες της υπό κρίση διαρροής, καθώς και τη φύση των προσωπικών δεδομένων που διέρρευσαν, το Δικαστήριο κρίνει ότι πρέπει να επιδικαστεί στον ενάγοντα το ποσό των 2.000,00 ευρώ, κατά μερική αποδοχή του αιτήματος της αγωγής, το οποίο κρίνεται προσήκον για τη διασφάλιση πλήρους και αποτελεσματικής αποκατάστασης της μη υλικής ζημίας που υπέστη, ως υποκείμενο των δεδομένων, λόγω της ως άνω παράβασης του Κανονισμού (πρβλ. αποφάσεις Δ.Ε.Ε. C-200/23, σκέψη 152, C-507/23, σκέψη 34 και εκεί μνημονευόμενη νομολογία) και ενόψει της αντισταθμιστικής λειτουργίας του δικαιώματος αποκατάστασης της ζημίας που προβλέπεται στο άρθρο 82 του Γ.Κ.Π.Δ.. Τέλος, απορριπτέος τυγχάνει ο ισχυρισμός του ενάγοντος περί ελάχιστης αποζημίωσης ποσού 10.000 ευρώ κατά το άρθρο 14 παρ. 2 του ν. 3471/2006 (Α΄ 133), προεχόντως, ως απαραδέκτως προβαλλόμενος το πρώτον με το κατατεθέν στις 4.2.2026 υπόμνημά μετά την συζήτηση της υπόθεσης, με το οποίο επιτρέπεται κατά νόμο μόνο η ανάπτυξη ήδη προβληθέντων ισχυρισμών και όχι η υποβολή νέων αιτημάτων.

19. Επειδή, τέλος, δεν συντρέχουν οι προϋποθέσεις κήρυξης της παρούσας απόφασης προσωρινώς εκτελεστής, καθώς ο ενάγων, που φέρει και το σχετικό βάρος απόδειξης, δεν απέδειξε ότι συντρέχουν εξαιρετικοί λόγοι προς τούτο, ούτε ενδεχόμενη αδυναμία του προς αντιμετώπιση των άμεσων αναγκών διαβίωσης του ίδιου. Ως εκ τούτου, το Δικαστήριο κρίνει ότι το σχετικό αίτημα πρέπει να απορριφθεί.

20. Επειδή, κατ’ ακολουθίαν, η αγωγή πρέπει να γίνει εν μέρει δεκτή και να υποχρεωθεί το εναγόμενο Ελληνικό Δημόσιο να καταβάλει στον ενάγοντα το συνολικό ποσό των 2.000,00 ευρώ, νομιμοτόκως, από την επίδοση της αγωγής στο εναγόμενο στις 28.3.2024 έως την πλήρη εξόφληση, με επιτόκιο υπολογιζόμενο σύμφωνα με τα οριζόμενα στο άρθρο 45 παρ. 1 του ν. 4607/2019. Τέλος, λόγω της εν μέρει νίκης και ήττας των διαδίκων, τα δικαστικά έξοδα πρέπει να συμψηφισθούν μεταξύ τους (άρθρο 275 παρ. 1 εδ. γ΄ του Κ.Δ.Δ).

ΔΙΑ ΤΑΥΤΑ

Δέχεται εν μέρει την αγωγή.

Υποχρεώνει το εναγόμενο Ελληνικό Δημόσιο να καταβάλει στον ενάγοντα, το ποσό των δύο χιλιάδων (2.000,00) ευρώ, εντόκως, με επιτόκιο υπολογιζόμενο σύμφωνα με τα οριζόμενα στο άρθρο 45 παρ. 1 του ν. 4607/2019, από την επίδοση της αγωγής στις 28.3.2024 έως την πλήρη εξόφληση.

Συμψηφίζει τα δικαστικά έξοδα μεταξύ των διαδίκων.

Η απόφαση δημοσιεύθηκε στην Αθήνα, στις 29.6.2026, σε έκτακτη δημόσια συνεδρίαση, στο ακροατήριο του Δικαστηρίου τούτου.

    Ο ΔΙΚΑΣΤΗΣ         Η ΓΡΑΜΜΑΤΕΑΣ

ΝΙΚΟΛΑΟΣ ΧΑΜΑΚΟΣ    ΘΕΚΛΑ ΚΑΤΡΗ