|
Η υπόθεση εκδικάστηκε και εκδόθηκε η απόφαση από το Ε’ Τριμελές Εφετείο Κακουργημάτων τον Ιούνιο του 2021 και ο Σοφοκλής Ξυνής καταδικάστηκε σε φυλάκιση τεσσάρων ετών με αναστολή για «το αδίκημα της ηθικής αυτουργίας στην κατ’ εξακολούθηση κατάρτιση πλαστών ασφαλιστικών ενημεροτήτων».<ref>Γιώργος Παγάνης, [https://www.enikos.gr/society/783881/poini-fylakisis-4-eton-gia-ton-sofokli-xyni «Ποινή φυλάκισης 4 ετών για τον Σοφοκλή Ξυνή»], ''enikos.gr'' (Πέμπτη 24 Ιουνίου 2021). Ανακτήθηκε στις 2021-07-02.</ref>
'''<u>Παραβίαση προσωπικών δεδομένων από ΙΕΚ Ξυνή και ΙΕΚ Άλφα</u>'''
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος μέσω τηλεδιάσκεψης την 07-04-2021 και ώρα 10:00, μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, και τα μέλη Χαράλαμπος Ανθόπουλος, ως εισηγητής, Σπυρίδων Βλαχόπουλος και Κωνσταντίνος Λαμπρινουδάκης. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, ο Γεώργιος Ρουσόπουλος, ειδικός επιστήμονας – ελεγκτής ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα ακόλουθα: Υποβλήθηκε στην Αρχή η υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/2252/22-03-2019 καταγγελία του Α, όπως συμπληρώθηκε με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/3028/22-04-2019 μήνυμα ηλεκτρονικού ταχυδρομείου. Ο καταγγέλλων αναφέρει ότι έλαβε προωθητικό μήνυμα στην ηλεκτρονική του διεύθυνση από εταιρική διεύθυνση του ΙΕΚ ΑΛΦΑ, χωρίς να έχει δώσει τα στοιχεία του στην εν λόγω σχολή. Μέσω μηνύματος ηλεκτρονικού ταχυδρομείου, ζήτησε από την εταιρεία «Α. ΕΠΙΛΟΓΗ ΙΔΙΩΤΙΚΗ ΚΕΦΑΛΑΙΟΥΧΙΚΗ ΕΤΑΙΡΕΙΑ» (η εταιρεία που λειτουργεί το ΙΙΕΚ ΑΛΦΑ – εφεξής και υπεύθυνος επεξεργασίας) να τον ενημερώσει σε σχέση με το αν έχει τη συγκατάθεσή 2 του για τη χρήση των δεδομένων του για προωθητικές ενέργειες και να προχωρήσει σε διαγραφή των στοιχείων αυτών. Μετά την πάροδο ενός μήνα, ο καταγγέλλων δεν είχε λάβει απάντηση. Ο καταγγέλλων αμφισβητεί τη νομιμότητα τήρησης των προσωπικών του δεδομένων από την εταιρεία και δηλώνει ότι είχε φοιτήσει παλαιότερα στη σχολή, όταν είχε την επωνυμία «ΙΙΕΚ ΞΥΝΗ», ζήτησε διαγραφή, πήρε μεταγραφή σε άλλη σχολή …, αλλά υποθέτει ότι ακόμα χρησιμοποιούν τα στοιχεία του. Αναφέρει επίσης, ότι τον είχαν ενοχλήσει τηλεφωνικά, αποκαλώντας τον φοιτητή στη σχολή. Ο καταγγέλλων άσκησε τα δικαιώματά του στις 21/03/2019, μέσω ηλεκτρονικού ταχυδρομείου, ενώ δεν έλαβε απάντηση έως τις 22/04/2019, οπότε και συμπλήρωσε την καταγγελία. Η καταγγελλόμενη εταιρεία ενημερώθηκε για την καταγγελία με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/2252-1/16-05-2019 έγγραφο της Αρχής, με το οποίο ζητήθηκε να υποβάλει τις απόψεις της. Η εταιρεία απάντησε με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/3728/24-05-2019 έγγραφό της, δηλώνοντας, ότι η διεύθυνση ηλεκτρονικού ταχυδρομείου του καταγγέλλοντος είχε δοθεί από τον ίδιο κατά την εγγραφή του σε πρόγραμμα σπουδών της σχολής, ώστε να ενημερώνεται για δράσεις και προσφορές και για το λόγο αυτό και μόνο επικοινώνησαν ηλεκτρονικά μαζί του. Αναφέρει επίσης ότι, όταν στις 21-03-2019 ενημερώθηκε ότι ο καταγγέλλων δεν επιθυμεί να επικοινωνούν πλέον μαζί του, διέγραψε τη διεύθυνση του ηλεκτρονικού του ταχυδρομείου και πλέον, ουδέν προσωπικό του στοιχείο τηρεί ή επεξεργάζεται καθ’ οιονδήποτε τρόπο. Κατόπιν της απάντησης αυτής, ο καταγγέλλων ενημέρωσε την Αρχή με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/3825/29-05-2019 μήνυμα ηλεκτρονικού ταχυδρομείου, ότι θεωρεί πως το ΙΙΕΚ ΑΛΦΑ δεν νομιμοποιείται να χρησιμοποιεί τα στοιχεία του, καθώς δεν ήταν σπουδαστής σε αυτό, αλλά στο ΙΙΕΚ ΞΥΝΗ. Στη συνέχεια, η Αρχή απέστειλε το υπ’ αριθμ. πρωτ. Γ/ΕΞ/3922-1/03-09-2019 έγγραφο προς την εταιρεία, αναφέροντας ότι με την απάντησή της δεν παρέχει αποδεικτικά στοιχεία σε σχέση με τον τρόπο με τον οποίο ήρθαν τα στοιχεία του καταγγέλλοντος στη διάθεσή της και ότι τόσο στην αρχική καταγγελία, όσο και στο νεότερο έγγραφό του, ο καταγγέλλων αναφέρει ότι δεν είχε συμβληθεί με το ΙΙΕΚ ΑΛΦΑ, αλλά με το ΙΙΕΚ ΞΥΝΗ, μεταξύ των οποίων δεν είναι προφανής η σχέση. Περαιτέρω, δεν προκύπτει ότι η εταιρεία έχει 3 ενημερώσει ορθά τον καταγγέλλοντα και ότι έχει απαντήσει στον ίδιο σχετικά με τα δικαιώματά του, όπως οφείλει από το άρθρο 12 του ΓΚΠΔ, αλλά μόνο ότι έχει παράσχει διευκρινίσεις στην Αρχή. Η Αρχή κάλεσε την εταιρεία να απαντήσει ειδικά, σε σχέση με τον τρόπο με τον οποίο βρήκε τα στοιχεία του καταγγέλλοντα, αν αυτός είχε παράσχει συγκατάθεση για χρήση τους για προωθητικούς σκοπούς ή με ποια νομική βάση πραγματοποιήθηκε η επεξεργασία, προσκομίζοντας κάθε απαιτούμενο στοιχείο, όπως αίτηση ή σύμβαση ή φόρμα εγγραφής σε πρόγραμμα σπουδών. Η εταιρεία απάντησε, στην Αρχή (με καθυστέρηση και μετά από υπόμνηση με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/481/21-01-2020 έγγραφο, παρότι το έγγραφο της Αρχής είχε επιδοθεί με συστημένη επιστολή στις 4/9/2019) με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/998/06- 02-2020 έγγραφό της. Σε αυτό αναφέρει συνοπτικά τα εξής: Ο καταγγέλλων ήταν φοιτητής του ΙΙΕΚ Ξυνή … στο .. εξάμηνο φοίτησης, όταν την 6η Σεπτεμβρίου 2016 η άδεια του εν λόγω ΙΕΚ ανακλήθηκε. Θεωρώντας ότι το ΙΕΚ ΑΛΦΑ έχει τον φάκελο φοίτησής του στο ΙΕΚ Ξυνή, προσήλθε στις εγκαταστάσεις του ΙΕΚ ΑΛΦΑ …, το Δεκέμβριο του 2016, τον Ιανουάριο και το Φεβρουάριο του 2017. Κατά τις επισκέψεις του αυτές άφησε το τηλέφωνο και το e-mail του, με σκοπό την υποστήριξη της επικοινωνίας μαζί του, την ανταπόκριση στα αιτήματά του, την πληροφόρηση και ενημέρωσή του. Το συγκεκριμένο e-mail, για το οποίο παραπονείται ο καταγγέλλων, αφορούσε ένα σεμινάριο στην ειδικότητά του, το οποίο του απεστάλη θεωρώντας καλόπιστα ότι θα μπορούσε να τον ενδιαφέρει. Όταν την 21-03-2019 ο καταγγέλλων ενημέρωσε, για πρώτη φορά, ότι δεν επιθυμεί περαιτέρω επικοινωνίες, αμέσως διαγράφηκαν όλα τα στοιχεία του. Μέχρι την 21-03-2019, η εταιρεία δεν γνώριζε ότι τους απαγορεύει να στείλουν e-mail ενημέρωσης. Κατόπιν των ανωτέρω, η Αρχή προχώρησε σε κλήση της εταιρείας «Α Επιλογή ΙΚΕ» για τη συνεδρίαση τμήματος στις 15-07-2020, με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/4488/29-06-2020 έγγραφό της. Με την κλήση η εταιρεία ενημερώθηκε ότι κατά την εξέταση της υπόθεσης θα συζητηθούν η καταγγελία του Α, όπως έχει συμπληρωθεί με τα λοιπά έγγραφα του φακέλου. Κατά τη συνεδρίαση δόθηκε αναβολή και η Αρχή προχώρησε σε νέα κλήση για τη συνεδρίαση της 14/10/2020 ενώ κατά τη συνεδρίαση αυτή δόθηκε αναβολή για τη συνεδρίαση του τμήματος της 04/11/2020. Στη συνεδρίαση αυτή παρέστη η εταιρεία διά των δικηγόρων της Πέτρου 4 Τσαντίλα και Νικόλαου Αναστόπουλου και της […] Β ενώ κατόπιν αυτής κατέθεσε το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/7956/19-11-2020 υπόμνημα. Σε αυτό υποστηρίζει συνοπτικά τα εξής: Το συμβάν είναι ήσσονος σημασίας και προκλήθηκε λόγω αδικαιολόγητης και ανεξήγητης εμμονής του καταγγέλλοντος. Ο καταγγέλλων προσήλθε στα γραφεία του ΙΙΕΚ ΑΛΦΑ απαιτώντας να παραλάβει το φάκελο φοίτησής στο ΙΙΕΚ ΞΥΝΗ. Έλαβε αρνητική απάντηση αλλά επέμενε να ζητά το φάκελο, προσερχόμενος στις εγκαταστάσεις του ΙΕΚ ΑΛΦΑ. Ο ίδιος, με δική του πρωτοβουλία, άφησε το τηλέφωνο και το e-mail του, με σκοπό την υποστήριξη της επικοινωνίας μαζί του, την ανταπόκριση στα αιτήματά του και την πληροφόρηση και ενημέρωσή του. Ο καταγγέλλων εσφαλμένα θεωρούσε ότι το ΙΙΕΚ ΑΛΦΑ αποτελεί συνέχεια του ΙΙΕΚ ΞΥΝΗ. Το ΙΙΕΚ ΑΛΦΑ δέχθηκε τα στοιχεία του με καλή πίστη, ώστε να μπορέσει να εξυπηρετηθεί ο καταγγέλλων. Στο πλαίσιο αυτής της επαφής ο καταγγέλλων παρείχε πληροφορίες σχετικά με το πρόγραμμα σπουδών του. Εντούτοις, ο καταγγέλλων υπέβαλλε καταγγελία στο Υπουργείο Παιδείας για μη παράδοση του σπουδαστικού φακέλου του. Όσον αφορά την αποστολή του μηνύματος, αυτή έλαβε χώρα στο πλαίσιο ενός και μόνου μηνύματος, από πρωτοβουλία μιας υπαλλήλου. Η υπάλληλος θεώρησε, εκ παραδρομής, ότι είχε δοθεί συγκατάθεση εκ μέρους του και μετά την καταγγελία απολύθηκε, καθώς προέβη σε ενέργεια για την οποία δεν ήταν εξουσιοδοτημένη. Μετά τη λήψη του μηνύματος εναντίωσης, τα δεδομένα του καταγγέλλοντος διαγράφηκαν και δεν ακολούθησε άλλη επικοινωνία μαζί του. Η εταιρεία αναφέρει ότι ο καταγγέλλων δεν εμφανίστηκε ενώπιον της Αρχής αν και κλητεύθηκε και θεωρεί την απουσία του σκόπιμη, μεθοδευμένη και με κακή προαίρεση. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από το βοηθό εισηγητή, ο οποίος παρέστη χωρίς δικαίωμα ψήφου και αποχώρησε μετά από τη συζήτηση της υποθέσεως και πριν από τη διάσκεψη και τη λήψη αποφάσεως, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ 5 1. Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. 2. Σύμφωνα με το άρθρο 4 στοιχ. 7 του ΓΚΠΔ, ο οποίος είναι σε εφαρμογή από τις 25 Μαΐου 2018, ως υπεύθυνος επεξεργασίας ορίζεται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα». 3. Το ζήτημα, της πραγματοποίησης μη ζητηθεισών επικοινωνιών με οποιοδήποτε μέσο ηλεκτρονικής επικοινωνίας, χωρίς ανθρώπινη παρέμβαση, για σκοπούς απευθείας εμπορικής προώθησης προϊόντων ή υπηρεσιών και για κάθε είδους διαφημιστικούς σκοπούς, ρυθμίζεται με το άρθρο 11 του ν. 3471/2006 για την προστασία προσωπικών δεδομένων στον τομέα των ηλεκτρονικών επικοινωνιών, ο οποίος ενσωμάτωσε στην εθνική έννομη τάξη την Οδηγία 2002/58/ΕΚ. Σύμφωνα με το άρθρο αυτό, μία τέτοια επικοινωνία επιτρέπεται μόνο εφόσον ο συνδρομητής συγκατατεθεί εκ των προτέρων ρητώς. Κατ’ εξαίρεση, σύμφωνα με το άρθρο 11 παρ. 3 του ν. 3471/2006, τα στοιχεία επαφής ηλεκτρονικού ταχυδρομείου που αποκτήθηκαν νομίμως, στο πλαίσιο της πώλησης προϊόντων ή υπηρεσιών ή άλλης συναλλαγής, μπορούν να χρησιμοποιούνται για την απευθείας προώθηση παρόμοιων προϊόντων ή υπηρεσιών του προμηθευτή ή για την εξυπηρέτηση παρόμοιων σκοπών, ακόμη και όταν ο αποδέκτης του μηνύματος δεν έχει δώσει εκ των προτέρων τη συγκατάθεσή του, υπό την προϋπόθεση ότι του παρέχεται κατά τρόπο σαφή και ευδιάκριτο η δυνατότητα να αντιτάσσεται, με εύκολο τρόπο και δωρεάν, στη συλλογή και χρησιμοποίηση των ηλεκτρονικών του στοιχείων και αυτό κατά τη συλλογή των στοιχείων επαφής, καθώς και σε κάθε μήνυμα, σε περίπτωση που ο χρήστης αρχικά δεν είχε διαφωνήσει σε αυτή τη χρήση. Σε κάθε περίπτωση με βάση το άρθρο 11 παρ. 4 του ν. 3471/2006, το μήνυμα πρέπει, μεταξύ άλλων, να περιλαμβάνει μια έγκυρη διεύθυνση στην οποία ο αποδέκτης του μηνύματος μπορεί να ζητεί τον τερματισμό της επικοινωνίας. 4. Σύμφωνα με το άρθρο 17 παρ. 1 του ΓΚΠΔ, το υποκείμενο των δεδομένων έχει 6 το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και σε μια σειρά από πληροφορίες. 5. Σύμφωνα με το άρθρο 17 παρ. 1 του ΓΚΠΔ, «Το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, εάν ισχύει ένας από τους ακόλουθους λόγους: (…) γ) το υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία σύμφωνα με το άρθρο 21 παράγραφος 1 και δεν υπάρχουν επιτακτικοί και νόμιμοι λόγοι για την επεξεργασία ή το υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία σύμφωνα με το άρθρο 21 παράγραφος 2». Περαιτέρω, στο άρθρο 21 παρ. 2 του ΓΚΠΔ ορίζεται ότι «Εάν δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία για σκοπούς απευθείας εμπορικής προώθησης, το υποκείμενο των δεδομένων δικαιούται να αντιταχθεί ανά πάσα στιγμή στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν για την εν λόγω εμπορική προώθηση, περιλαμβανομένης της κατάρτισης προφίλ, εάν σχετίζεται με αυτήν την απευθείας εμπορική προώθηση.» 6. Στο άρθρο 12 παρ. 3 του ΓΚΠΔ ορίζεται ότι «Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. (…)». 7. Το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, στην παράγραφο 1 ορίζεται ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο 7 των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς (…) («περιορισμός του σκοπού») (…)» Επιπλέον, με βάση την αρχή της λογοδοσίας (παρ. 2 του ιδίου άρθρου) «Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1.» 8. Στο άρθρο 6 παρ. 1 του ΓΚΠΔ ορίζεται ότι «Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, (…) στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί (…)» 9. Στη συγκεκριμένη περίπτωση, πραγματοποιήθηκε επεξεργασία δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος από την εταιρεία «Α Επιλογή ΙΚΕ» ως υπεύθυνο επεξεργασίας, για σκοπούς προώθησης προϊόντων και υπηρεσιών. Τα στοιχεία τα οποία έτυχαν επεξεργασίας περιλαμβάνουν τη διεύθυνση ηλεκτρονικού ταχυδρομείου του καταγγέλλοντος και πληροφορίες σε σχέση με την ειδικότητα την οποία είχε κατά τις σπουδές του στα ΙΕΚ. Όπως προκύπτει από τα στοιχεία της υπόθεσης, η επεξεργασία δεν βασίστηκε σε συγκατάθεση του υποκειμένου των δεδομένων, άρα η μόνη νομική βάση η οποία θα μπορούσε να έχει εφαρμογή, είναι το άρθρο 6 παρ. 1 στ του ΓΚΠΔ. Ο σκοπός της επεξεργασίας των δεδομένων δεν σχετίζεται με τις επικοινωνίες και επαφές που είχε ο καταγγέλλων με τον υπεύθυνο επεξεργασίας, συνεπώς προκύπτει χρήση των δεδομένων για άλλο σκοπό (συγκεκριμένα για προώθηση προϊόντων και υπηρεσιών). Περαιτέρω, ο υπεύθυνος επεξεργασίας αξιοποιεί και την πληροφορία της ειδικότητας του καταγγέλλοντος, εμπλουτίζοντας τα στοιχεία που ήταν απαραίτητα για σκοπούς επικοινωνίας για απάντηση στα αιτήματά του με στοιχεία που αξιοποιούνται σε στοχευμένες προωθητικές ενέργειες (με βάση την ειδικότητα των σπουδών). Καθώς ο σκοπός της 8 εν λόγω στοχευμένης προώθησης υπηρεσιών δεν σχετίζεται με το σκοπό της επικοινωνίας για ανταπόκριση σε αιτήματα σε σχέση με τις σπουδές, προκύπτει παραβίαση της αρχής του περιορισμού του σκοπού (αρ. 5 παρ. 1 β ΓΚΠΔ). Περαιτέρω, είναι σαφές ότι ο καταγγέλλων δεν ενημερώθηκε σε σχέση με τη χρήση των δεδομένων του για άλλο, και μάλιστα μη συναφή και μη νόμιμο σκοπό, συνεπώς και εξ αυτού του γεγονότος προκύπτει παραβίαση και της αρχής της νομιμότητας, αντικειμενικότητας και διαφάνειας (αρ. 5 παρ. 1 α ΓΚΠΔ). Επισημαίνεται επίσης ότι, ο υπεύθυνος επεξεργασίας δεν προσκόμισε κανένα στοιχείο, όπως έγγραφα ή πολιτικές, με βάση τα οποία θα τεκμηρίωνε τη συμμόρφωσή του με τις αρχές του αρ. 5. παρ. 1 του ΓΚΠΔ, όπως οφείλει με βάση την αρχή της λογοδοσίας. 10. Ο καταγγέλλων, όπως προκύπτει από την αρχική καταγγελία, ζητώντας από τον υπεύθυνο επεξεργασίας να τον ενημερώσει σε σχέση με το αν έχει τη συγκατάθεσή του για τη χρήση των δεδομένων του για προωθητικές ενέργειες και να προχωρήσει σε διαγραφή των στοιχείων αυτών, άσκησε το δικαίωμα πρόσβασης και το δικαίωμα διαγραφής. Να σημειωθεί ότι το μήνυμα που έλαβε ο καταγγέλλων δεν περιείχε έγκυρη διεύθυνση για τη διακοπή περαιτέρω μηνυμάτων, όμως επιβάλει η διάταξη του άρθρου 11 παρ. 4 του ν. 3471/2006. Ο υπεύθυνος επεξεργασίας, σύμφωνα με τη δήλωσή του, ενήργησε ώστε να διαγράψει τα δεδομένα του καταγγέλλοντα. Αυτό δεν αμφισβητείται, καθώς ο καταγγέλλων δεν αναφέρει νεότερο μήνυμα από τον υπεύθυνο επεξεργασίας. Ο υπεύθυνος επεξεργασίας δεν παρείχε όμως στον καταγγέλλοντα πληροφορίες σε σχέση με την προέλευση των δεδομένων του και τη νομιμότητα της επεξεργασίας, παρά μόνο μετά την παρέμβαση της Αρχής. Μάλιστα, και στην περίπτωση αυτή, ο υπεύθυνος απάντησε στην Αρχή, χωρίς να ενημερώσει τον καταγγέλλοντα. Συνεπώς, από την καταγγελία προκύπτει παράβαση του άρθρου 15 για μη ικανοποίηση του δικαιώματος πρόσβασης και παράβαση του άρθρο 12 παρ. 3 του ΓΚΠΔ, τόσο σε σχέση με το δικαίωμα πρόσβασης (μη ανταπόκριση στο αίτημα) όσο και σε σχέση με το δικαίωμα διαγραφής (μη ενημέρωση του καταγγέλλοντα). 11. Ο καταγγέλλων δεν κλήθηκε από την Αρχή για να παραστεί στις συνεδριάσεις της, καθώς δεν είναι απαραίτητη η αυτοπρόσωπη παρουσία του για την εξέταση της καταγγελίας, συνεπώς εξ αυτού του γεγονότος δεν μπορεί να θεωρηθεί σκόπιμη ή μεθοδευμένη η καταγγελία του, όπως υποστηρίζει η καταγγελλόμενη εταιρεία. 9 12. Η Αρχή λαμβάνει υπόψη επιβαρυντικά ότι προκύπτουν παραπάνω της μίας παραβάσεις οι οποίες αφορούν τόσο τις βασικές αρχές που διέπουν την επεξεργασία όσο και την άσκηση δικαιωμάτων του υποκειμένου των δεδομένων, ιδίως δε ότι η επεξεργασία των δεδομένων έγινε με μη διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων. Επίσης, λαμβάνει υπόψη επιβαρυντικά ότι με την επεξεργασία ο υπεύθυνος αποσκοπούσε να αποκομίσει κέρδος, ότι δεν προσκόμισε έγγραφα σε σχέση με την τεκμηρίωση της νομιμότητας των ενεργειών του ούτε διαδικασία ανταπόκρισης στα αιτήματα άσκησης δικαιωμάτων (στο οποίο συμπεριλαμβάνεται το ότι όφειλε να έχει φροντίσει για τη συμπερίληψη έγκυρης διεύθυνσης για τον τερματισμό της επικοινωνίας) και ότι καθυστέρησε υπερβολικά να απαντήσει στην Αρχή. Περαιτέρω, σύμφωνα με τα δημόσια διαθέσιμα στοιχεία στο ΓΕΜΗ1, η εταιρεία κατά το έτος 2018 είχε κύκλο εργασιών 5.643.043,71 € και κέρδη μετά από φόρους 796.128,36 €. Ως ελαφρυντικά συνυπολογίζει ότι μετά την καταγγελία διεγράφησαν τα δεδομένα του καταγγέλλοντος, ότι ενώ υπήρξε όχληση δεν υπήρξε οικονομική ζημία του υποκειμένου των δεδομένων από τη μη ικανοποίηση του δικαιώματος, ότι είναι η πρώτη παράβαση για τη συγκεκριμένη εταιρεία και τέλος, τη δυσμενή οικονομική περίσταση λόγω της πανδημίας Covid-19. 13. Βάσει των ανωτέρω, η Αρχή κρίνει ομόφωνα ότι σύμφωνα με το άρθρο 5 παρ. 1 α’ και β΄ του ΓΚΠΔ, το άρθρο 15 του ΓΚΠΔ και το άρθρο 12 παρ. 3 σε συνδυασμό με το άρθρο 17 του ΓΚΠΔ, συντρέχουν οι προϋποθέσεις επιβολής σε βάρος του υπευθύνου επεξεργασίας, με βάση το άρθρο 58 παρ. 2 θ΄ του ΓΚΠΔ και λαμβάνοντας υπόψη τα κριτήρια του άρθρου 83 παρ. 2 του ΓΚΠΔ, της διοικητικής κύρωσης, που αναφέρεται στο διατακτικό της παρούσας, η οποία κρίνεται ανάλογη με τη βαρύτητα της παράβασης. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή επιβάλλει, στην «Α. ΕΠΙΛΟΓΗ ΙΔΙΩΤΙΚΗ ΚΕΦΑΛΑΙΟΥΧΙΚΗ ΕΤΑΙΡΕΙΑ» το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους πέντε χιλιάδων ευρώ (5.000,00) ευρώ, για τις ως άνω διαπιστωθείσες 1 <nowiki>https://www.businessregistry.gr/publicity/show/125613901000</nowiki> 10 παραβιάσεις του άρθρου 5 παρ. 1 α’ και β΄ του ΓΚΠΔ, του άρθρου 15 του ΓΚΠΔ και του άρθρου 12 παρ. 3 σε συνδυασμό με το άρθρο 17 του ΓΚΠΔ.
Παραπομπή προερχόμενη απευθείας από την ιστοσελίδα της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα<ref>https://www.dpa.gr/sites/default/files/2021-05/17_2021anonym.pdf</ref>
==Παραπομπές==
|
