Η υπόθεση είχε έρθει στο φως όταν δεκάδες εκλογείς του εξωτερικού κατήγγειλαν ότι έλαβαν email από την ευρωβουλευτή της ΝΔ Άννα-Μισέλ Ασημακοπούλου χωρίς να έχουν δώσει σχετική συγκατάθεση. Το email τους είχε αποσταλεί σε διευθύνσεις που οι ίδιοι είχαν καταχωρήσει αποκλειστικά στην κρατική πλατφόρμα εγγραφής εκλογέων εξωτερικού. Στη συνέχεια, διαπιστώθηκε από την ΑΠΔΠΧ ότι υπήρξε διαρροή αρχείου με προσωπικά δεδομένα, το οποίο κυκλοφόρησε μέσω WhatsApp σε στελέχη του κόμματος.
Με την απόφασή του (658/2025), το Συμβούλιο της Επικρατείας έκανε δεκτή την αίτηση ακύρωσης της Νέας Δημοκρατίας, κρίνοντας πως η Αρχή δεν αιτιολόγησε επαρκώς γιατί θεωρεί το κόμμα υπεύθυνο για την παράνομη επεξεργασία δεδομένων. Σύμφωνα με το Δικαστήριο, η εμπλοκή στελεχών δεν αρκεί από μόνη της για να θεμελιώσει την ευθύνη ενός πολιτικού κόμματος ως «υπεύθυνου επεξεργασίας» βάσει του Γενικού Κανονισμού Προστασίας Δεδομένων (GDPR).
Το ΣτΕ διαπίστωσε επίσης ότι ορισμένα κρίσιμα αποδεικτικά στοιχεία – όπως εικόνες συνομιλιών στο WhatsApp και πίνακες Excel με στατιστικά δεδομένα – κατατέθηκαν εκπρόθεσμα και δεν κοινοποιήθηκαν εγκαίρως στο κόμμα για να εκφράσει τη θέση του. Το γεγονός αυτό κρίθηκε ότι παραβίασε τη θεμελιώδη αρχή της προηγούμενης ακρόασης.
ΔΙΑΒΑΣΤΕ ΕΠΙΣΗΣ
Σε σχέση με το πρόστιμο των 30.000 ευρώ για πλημμελή τεχνικά και οργανωτικά μέτρα προστασίας, το ΣτΕ επισήμανε ότι η ΑΠΔΠΧ δεν αξιολόγησε με την απαιτούμενη λεπτομέρεια τα μέτρα που είχε λάβει η ΝΔ. Το κόμμα, σύμφωνα με την απόφαση, είχε ήδη αναπτύξει σύστημα εσωτερικών κανονισμών για την ασφάλεια των δεδομένων, περιλαμβάνοντας εκπαιδευτικά προγράμματα, συμβάσεις εμπιστευτικότητας, περιορισμένη πρόσβαση στα δεδομένα και πολιτική για χρήση ιδιωτικών συσκευών (BYOD).
Αξιοσημείωτο είναι ότι η απόφαση δεν ελήφθη ομόφωνα. Μέλη της Ολομέλειας του ΣτΕ μειοψήφησαν, θεωρώντας ότι υπήρχαν επαρκείς ενδείξεις πως η Νέα Δημοκρατία, ως πολιτικός οργανισμός, όφειλε να έχει τον έλεγχο για τον τρόπο με τον οποίο διαχειρίζονται προσωπικά δεδομένα τα στελέχη της. Κατά την άποψη των μειοψηφούντων, η παράλειψη πρόληψης ή ελέγχου μπορεί από μόνη της να συνιστά παράβαση του Κανονισμού.
Η ύπαρξη αυτής της μειοψηφίας αναδεικνύει τη νομική και θεσμική πολυπλοκότητα της υπόθεσης, αλλά και τη διαφορετική αντίληψη ως προς το εύρος της ευθύνης πολιτικών φορέων έναντι του GDPR.
Η απόφαση του ΣτΕ ερμηνεύεται από νομικούς κύκλους ως επιβεβαίωση της ανάγκης αυστηρής τεκμηρίωσης όταν αποδίδεται ευθύνη σε πολιτικούς οργανισμούς. Το Δικαστήριο φάνηκε να υιοθετεί μια συντηρητική προσέγγιση ως προς το πότε μπορεί να θεωρηθεί ότι ένας πολιτικός φορέας έχει τον έλεγχο μιας πράξης παράνομης επεξεργασίας, επιμένοντας στη διάκριση ανάμεσα σε μεμονωμένες ενέργειες και επίσημες πολιτικές ή εντολές.
Αν και το ΣτΕ δεν αμφισβητεί ότι υπήρξε παραβίαση της νομοθεσίας περί δεδομένων, φαίνεται να δίνει έμφαση στην ανάγκη να αποδεικνύεται ξεκάθαρα η «θεσμική εμπλοκή» ενός κόμματος – δηλαδή το αν το ίδιο το κόμμα, ως οργανισμός, γνώριζε ή ενέκρινε τέτοιες ενέργειες.
Παράλληλα, όμως, η απόφαση αφήνει ανοιχτό και ένα θεσμικό ερώτημα: κατά πόσο ένα πολιτικό κόμμα μπορεί να θεωρηθεί πραγματικά υπόλογο για ενέργειες στελεχών του, όταν η απόδειξη πρέπει να αγγίζει σχεδόν το επίπεδο της ρητής ανάθεσης εντολής.
Ανεξάρτητα από τη νομική της θεμελίωση, η απόφαση του ΣτΕ δημιουργεί προηγούμενο για το πώς αποδίδεται (ή δεν αποδίδεται) ευθύνη σε πολιτικούς οργανισμούς σε θέματα προστασίας προσωπικών δεδομένων. Ενδεχομένως, η απόφαση να εκφράζει και μια διάθεση θεσμικής ισορροπίας απέναντι σε μια υπόθεση με έντονο πολιτικό χαρακτήρα, χωρίς να επιδιώκει μετωπική σύγκρουση με το κυβερνών κόμμα.
Πάντως, το ΣτΕ δεν απέκλεισε την πιθανότητα επανεξέτασης της υπόθεσης στο μέλλον, εφόσον παρουσιαστούν νέα ή πληρέστερα στοιχεία. Μέχρι τότε, η Νέα Δημοκρατία απαλλάσσεται από τις διοικητικές κυρώσεις, ενώ η ΑΠΔΠΧ καλείται ίσως να επανεξετάσει την τεκμηρίωση των αποφάσεών της – ιδίως όταν αυτές αφορούν πολιτικά πρόσωπα ή φορείς.
