Αθήνα, 09-03-2011 Αριθ. Πρωτ.: Γ/ΕΞ/1668/09-03-2011 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΕΟΜΕΝΝ ΠΡΟΣΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Α Π Ο Φ Α Σ Η 13/2011 ( ήα) Η Αρχή Προστασ ας εδο&ένων Προσωπικού Χαρακτήρα συνεδρ ασε σε σύνθεση Τ&ή&ατος στο κατάστη&ά της την 8.3.2011 &ετά από πρόσκληση του Προέδρου της, προκει&ένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Χ. Παληοκώστας, Αναπληρωτής Πρόεδρος, κωλυο&ένου του Προέδρου της Αρχής Χ. Γεραρή, . Λιάππης, ως εισηγητής, Π. Τσαντ λας και Γ. Λαζαράκος, αναπληρω&ατικά &έλη, σε αντικατάσταση των τακτικών &ελών Λ. Κοτσαλή, Α. Πράσσου και Α.Ι. Μεταξά αντ στοιχα, οι οπο οι αν και εκλήθησαν νο& &ως εγγράφως δεν παρέστησαν λόγω κωλύ&ατος. Παρούσα χωρ ς δικα ω&α ψήφου ήταν η Ε. Χατζηλιάση, νο&ικός ελέγκτρια, ως βοηθός εισηγητή και η Ε. Παπαγεωργοπούλου, υπάλληλος του τ&ή&ατος διοικητικών και οικονο&ικών υποθέσεων, ως γρα&&ατέας. Η Αρχή έλαβε υπόψη τα παρακάτω: Με τη &ε αριθ&. πρωτοκόλλου της Αρχής Γ/ΕΙΣ/352/22.1.2009 καταγγελ α του και κατ’ ορθή εκτ &ηση αυτής ο A έθεσε υπ’ όψιν της Αρχής ότι η εταιρε α &ε την επωνυ& α «Forthnet Α.Ε.» διατηρούσε αναρτη&ένα στην ιστοσελ δα της δεδο&ένα προσωπικού του χαρακτήρα και συγκεκρι&ένα δεδο&ένα (όνο&α, επώνυ&ο, πατρώνυ&ο, αριθ&ό δελτ ου ταυτότητας, βαθ&ο ) σχετικά &ε τη συ&&ετοχή του σε γραπτό διαγωνισ&ό του Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 1 Ανεξάρτητου Συ&βουλ ου Επιλογής Προσωπικού το 2004, τα οπο α δεν ήταν πλέον αναρτη&ένα στην ιστοσελ δα της εν λόγω Ανεξάρτητης Αρχής. Προκει&ένου να εξετάσει την ανωτέρω καταγγελ α, η Αρχή απέστειλε στην εταιρε α τις &ε αριθ&. πρωτοκόλλου Γ/ΕΞ/3069/14.05.2010 και Γ/ΕΞ/6089/13.10.2010 επιστολές για διευκρινήσεις, &ε τις οπο ες ζητούσε να της γνωρ σει η καθής η καταγγελ α την πολιτική της ως προς τις αναδη&οσιεύσεις (που περιέχουν προσωπικά δεδο&ένα) στην ιστοσελ δα της. Συγκεκρι&ένα ζητούσε να της γνωρ σει: α) τη νο&ική βάση της επεξεργασ ας (αναδη&οσ ευσης) των δεδο&ένων, &ε αναφορά στον τρόπο &ε τον οπο ο εξασφαλ ζονται οι όροι και οι προϋποθέσεις επεξεργασ ας που έχουν τεθε από τον αρχικό υπεύθυνο επεξεργασ ας, εν προκει&ένω το ΑΣΕΠ (για παράδειγ&α το συγκεκρι&ένο χρονικό διάστη&α ανάρτησης των δεδο&ένων, ο αποκλεισ&ός των &ηχανών αναζήτησης από την περαιτέρω διάδοση των δεδο&ένων), β) τα &έτρα που τυχόν λα&βάνει για την επικαιροπο ηση των δεδο&ένων και γ) το χρονικό διάστη&α για το οπο ο τα δεδο&ένα παρα&ένουν αναρτη&ένα. Σε απάντηση των παραπάνω επιστολών η καθής &ε το &ε αριθ&. πρωτοκόλλου ΝΥ/ΕΞ/1918/30.11.2010 (αριθ&. πρωτ. της Αρχής Γ/ΕΙΣ/7246/1.12.2010) έγγραφό της ενη&έρωσε την Αρχή ότι, &ετά τη γνωστοπο ηση της καταγγελ ας του A &ε την πρώτη επιστολή της Αρχής (Γ/ΕΞ/3069/14.05.2010), προέβη σε ά&εση απενεργοπο ηση και διαγραφή του συνδέσ&ου από την εταιρική της ιστοσελ δα. Επιπλέον, προέβη σε ενδελεχή έρευνα της ιστοσελ δας της και διαγραφή ή απενεργοπο ηση όλων των αναδη&οσιεύσεων που περιε χαν προσωπικά δεδο&ένα ή αρχε α αυτού του ε δους (αντ στοιχα, δηλαδή, &ε αυτά του A) και αποφάσισε εφεξής τα σχετικά αρχε α να &ην ε ναι ά&εσα διαθέσι&α στο διαδικτυακό της τόπο αλλά αντ θετα να γ νεται παραπο&πή &έσω υπερσυνδέσ&ων στις αντ στοιχες σελ δες του ΑΣΕΠ ή/και άλλων τρ των αντ στοιχων φορέων. Σε απάντηση των υπόλοιπων ερωτη&άτων η καθής ενη&έρωσε την Αρχή: α) για το σκοπό της επεξεργασ ας (ενη&έρωση των ενδιαφερο&ένων επισκεπτών της ιστοσελ δας της και παράλληλα συ&βολή στην επιδιωκό&ενη διαφάνεια των διαδικασιών πρόσληψης στο η&όσιο), β) για τον τεχνικό τρόπο της αναδη&οσ ευσης («αντιγραφή/επικόλληση» των καταστάσεων των συ&&ετεχόντων σε διαγωνισ&ούς του ΑΣΕΠ από την ιστοσελ δα Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 2 της Ανεξάρτητης Αρχής - www.asep.gr – ή, για τα &εγαλύτερα αρχε α, χρήση υπερσυνδέσ&ων για την παραπο&πή στην ιστοσελ δα του ΑΣΕΠ) και γ) για το γεγονός ότι εταιρε α προβα νει σε αναδη&οσιεύσεις προσωπικών δεδο&ένων &όνο στην περ πτωση που τα τελευτα α προέρχονται από επ ση&ες πηγές, όπως για παράδειγ&α από το Αθηναϊκό Πρακτορε ο Ειδήσεων ή από δη&όσιες υπηρεσ ες. Η Αρχή, &ετά από εξέταση όλων των παραπάνω στοιχε ων και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΘΗΚΕ ΣΥΜΦΝΑ ΜΕ ΤΟ ΝΟΜΟ
- Η αναδη&οσ ευση δεδο&ένων στο διαδ κτυο συνιστά επεξεργασ α δεδο&ένων προσωπικού χαρακτήρα κατά την έννοια του άρθρου 2 στοιχ. α΄ και δ΄ του ν. 2472/
- ς επεξεργασ α ορ ζεται κάθε εργασ α που εφαρ&όζεται σε προσωπικά δεδο&ένα, από τη συλλογή &έχρι και την καταστροφή αυτών, &ε τη χρήση ή &η αυτο&ατοποιη&ένων &εθόδων. Εν προκει&ένω τα προσωπικά δεδο&ένα υφ στανται επεξεργασ α, αφού η αντιγραφή των καταστάσεων των συ&&ετεχόντων σε διαγωνισ&ούς του ΑΣΕΠ από την ιστοσελ δα της Ανεξάρτητης Αρχής αξιολογε ται ως συλλογή δεδο&ένων και η αναδη&οσ ευσή τους στην ιστοσελ δα της Forthnet (δηλαδή, στο διαδ κτυο) ως διάδοση ή διαβ βαση (πβλ. και ΕΚ, Απόφαση της 6ης Νοε&βρ ου 2003, C-101/01 - Lindqvist, σκ. 25-27). Επιπλέον, η εταιρε α Forthnet Α.Ε. ε ναι κατά την έννοια του άρθρου 2 στοιχ. ζ΄ του ν. 2472/1997 υπεύθυνος επεξεργασ ας ως προς τη συγκεκρι&ένη υπηρεσ α, καθώς αυτή ορ ζει το σκοπό και τον τρόπο της επεξεργασ ας των προσωπικών δεδο&ένων.
- Στο άρθρο 4 παρ. 1 του ν. 2472/1997 προβλέπονται οι θε&ελιώδεις αρχές που πρέπει να τηρούνται σε κάθε επεξεργασ α προσωπικών δεδο&ένων. Ειδικότερα προβλέπεται η τήρηση της αρχής του σκοπού και της αναλογικότητας, υπό την έννοια ότι κάθε επεξεργασ α λα&βάνει χώρα για έναν σκοπό ο οπο ος ε ναι καθορισ&ένος, σαφής και νό&ι&ος και παράλληλα τα δεδο&ένα που τυγχάνουν επεξεργασ ας ε ναι συναφή, πρόσφορα και όχι περισσότερα από όσα απαιτούνται ενόψει του συγκεκρι&ένου σκοπού της επεξεργασ ας. Επιπλέον, προβλέπεται η τήρηση της αρχής της ακρ βειας των δεδο&ένων, υπό την έννοια ότι τα υπό επεξεργασ α δεδο&ένα ε ναι ακριβή και εφόσον Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 3 χρειάζεται υποβάλλονται σε ενη&έρωση, και της χρονικά πεπερασ&ένης διατήρησης αυτών, υπό την έννοια ότι τα δεδο&ένα τηρούνται &όνο για το χρονικό διάστη&α που απαιτε ται για την εκπλήρωση του συγκεκρι&ένου σκοπού της επεξεργασ ας.
- Η επεξεργασ α των «απλών» προσωπικών δεδο&ένων διέπεται από τη διάταξη του άρθρου 5 του ν. 2472/1997, σύ&φωνα &ε την παράγραφο 1 της οπο ας, «επεξεργα ία δεδο ένων προ ωπικού χαρακτήρα επιτρέπεται όνον όταν το υποκεί ενο των δεδο ένων έχει δώ ει τη υγκατάθε ή του». Η επεξεργασ α προσωπικών δεδο&ένων χωρ ς τη συγκατάθεση των υποκει&ένων τους, ε ναι κατ' εξα ρεση επιτρεπτή, &όνο στην περ πτωση που συντρέχει κάποια από τις εξαιρετικές βάσεις νο&ι&ότητας της επεξεργασ ας της παραγράφου 2 του διου άρθρου, η οπο α ορ ζει ότι: «Κατ’ εξαίρε η επιτρέπεται η επεξεργα ία και χωρίς τη υγκατάθε η, όταν: ... ε) Η επεξεργα ία είναι απολύτως αναγκαία για την ικανοποίη η του έννο ου υ φέροντος που επιδιώκει ο υπεύθυνος επεξεργα ίας ή ο τρίτος ή οι τρίτοι τους οποίους ανακοινώνονται τα δεδο ένα και υπό τον όρο ότι τούτο υπερέχει προφανώς των δικαιω άτων και υ φερόντων των προ ώπων τα οποία αναφέρονται τα δεδο ένα και δεν θίγονται οι θε ελιώδεις ελευθερίες αυτών». ς έννο&ο συ&φέρον θεωρε ται καταρχήν η ανάπτυξη οικονο&ικής δραστηριότητας, ως ιδια τερη έκφραση του ατο&ικού δικαιώ&ατος στην ελεύθερη ανάπτυξη της προσωπικότητας (άρθρο 5 παρ. 1 Συντάγ&ατος), αλλά και η ελευθερ α της έκφρασης (άρθρο 14 παρ. 1 του Συντάγ&ατος), τόσο στην ενεργητική της διάσταση, στο δικα ω&α δηλαδή του καθενός να εκφράζεται ελεύθερα (στο οπο ο περιέχεται και η &ετάδοση πληροφοριών και στατιστικών στοιχε ων), όσο και στην παθητική της διάσταση, στο δικα ω&α, δηλαδή, παθητικής πληροφόρησης του κοινού.
- Το άρθρο 10 του ν. 2472/1997 το οπο ο αναφέρεται στα &έτρα ασφαλε ας ορ ζει, &εταξύ άλλων, τα παρακάτω: «...
- Ο υπεύθυνος επεξεργα ίας οφείλει να λα βάνει τα κατάλληλα οργανωτικά και τεχνικά έτρα για την α φάλεια των δεδο ένων και την προ τα ία τους από τυχαία ή αθέ ιτη κατα τροφή, τυχαία απώλεια, αλλοίω η, απαγορευ ένη διάδο η ή πρό βα η και κάθε άλλη ορφή αθέ ιτης επεξεργα ίας. Αυτά τα έτρα πρέπει να εξα φαλίζουν επίπεδο α φαλείας ανάλογο προς τους κινδύνους που υνεπάγεται η επεξεργα ία και η φύ η των δεδο ένων που είναι αντικεί ενο της επεξεργα ίας...». Με δεδο&ένο ότι η αναδη&οσ ευση δεδο&ένων στο διαδ κτυο ενέχει Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 4 ιδια τερους κινδύνους αφού τα σχετικά δεδο&ένα ε ναι προσβάσι&α σε κάθε ενδιαφερό&ενο χρήστη χωρ ς κανένα χρονικό ή τοπικό περιορισ&ό, εκτός και αν ο διος ο υπεύθυνος επεξεργασ ας για άλλους λόγους αποσύρει τα δεδο&ένα, και παράλληλα υφ σταται η δυνατότητα άντλησης και συνδυασ&ού προσωπικών δεδο&ένων &έσω διάφορων διαδικτυακών υπηρεσιών (για παράδειγ&α, &έσω των &ηχανών αναζήτησης), ο υπεύθυνος επεξεργασ ας θα πρέπει να λα&βάνει τουλάχιστον εκε να τα τεχνικά &έτρα ασφάλειας, τα οπο α έχουν ληφθε από τον αρχικό υπεύθυνο επεξεργασ ας, εν προκει&ένω από το ΑΣΕΠ.
- Στην υπό κρ ση περ πτωση η αναδη&οσ ευση από την καθής δεδο&ένων προσωπικού χαρακτήρα του A και συγκεκρι&ένα δεδο&ένων (όνο&α, επώνυ&ο, πατρώνυ&ο, αριθ&ό δελτ ου ταυτότητας, βαθ&ο ) σχετικά &ε τη συ&&ετοχή του τελευτα ου σε γραπτό διαγωνισ&ό του ΑΣΕΠ το 2004, τα οπο α έχουν αντληθε από την ιστοσελ δα της Ανεξάρτητης Αρχής, συνιστά & α επεξεργασ α η οπο α &ε βάση όσα προαναφέρθηκαν θα &πορούσε να θεωρηθε σύννο&η κατά το άρθρο 5 παρ. 2 στοιχ. ε΄ του ν. 2472/
- Η εν λόγω επεξεργασ α, εντούτοις, &ε τον τρόπο που έλαβε χώρα παραβ ασε την αρχή της ακρ βειας των δεδο&ένων και της χρονικά πεπερασ&ένης διατήρησης αυτών, όπως αυτές κατοχυρώνονται στο άρθρο 4 παρ. 1 στοιχ. γ΄ και δ΄ του ν. 2472/
- Ειδικότερα η τεχνική της «αντιγραφής/επικόλλησης» των δεδο&ένων από την ιστοσελ δα του ΑΣΕΠ, σε αντ θεση &ε την τεχνική της χρήσης υπερσυνδέσ&ων για την παραπο&πή στην ιστοσελ δα της Ανεξάρτητης Αρχής, ενέχει τον κ νδυνο τα υπό δη&οσ ευση δεδο&ένα να ε ναι ανακριβή και να τηρούνται δη&οσιευ&ένα για &εγαλύτερο χρονικό διάστη&α απ’ όσο απαιτε ται για την επ τευξη του σκοπού της επεξεργασ ας. Αυτό ακριβώς συνέβη και στην υπό κρ ση περ πτωση στην οπο α τα δεδο&ένα του καταγγέλλοντος παρέ&ειναν αναρτη&ένα στην ιστοσελ δα της καθής για έξι χρόνια, για χρονικό διάστη&α, δηλαδή, πολύ &εγαλύτερο από αυτό που παρέ&ειναν αναρτη&ένα στην ιστοσελ δα του ΑΣΕΠ. Επιπλέον, η καθής, ως υπεύθυνος επεξεργασ ας, παραβ ασε και τις διατάξεις του άρθρου 10 του ν. 2472/1997, καθώς δεν έλαβε τα τεχνικά &έτρα ασφάλειας που ε χε λάβει ο αρχικός υπεύθυνος επεξεργασ ας (δηλαδή, το ΑΣΕΠ), προκει&ένου να αντι&ετωπιστούν κάποιοι από τους εγγενε ς κινδύνους του διαδικτύου, και συγκεκρι&ένα αυτό του αποκλεισ&ού των &ηχανών αναζήτησης από την περαιτέρω Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 5 διάδοση των δεδο&ένων.
- Βάσει των όσων εκτέθηκαν ανωτέρω στο ιστορικό της παρούσας προκύπτει ότι η καθής, &ετά τη γνωστοπο ηση της καταγγελ ας του A, προέβη σε ά&εση απενεργοπο ηση και διαγραφή του συνδέσ&ου που περιε χε προσωπικά δεδο&ένα του τελευτα ου από την εταιρική της ιστοσελ δα, ενώ, επιπλέον, προέβη σε ενδελεχή έρευνα της ιστοσελ δας της και διαγραφή ή απενεργοπο ηση όλων των αναδη&οσιεύσεων που περιε χαν προσωπικά δεδο&ένα ή αρχε α αντ στοιχου ε δους. Επ σης, αποφάσισε εφεξής τα σχετικά αρχε α να &ην ε ναι ά&εσα διαθέσι&α στο διαδικτυακό της τόπο αλλά αντ θετα να γ νεται παραπο&πή &έσω υπερσυνδέσ&ων στις αντ στοιχες σελ δες του ΑΣΕΠ ή/και άλλων τρ των αντ στοιχων φορέων. ς εκ τούτου από τις προβλεπό&ενες στο ν. 2472/1997 διοικητικές κυρώσεις πρέπει να επιβληθε στην καθής η κύρωση της προειδοπο ησης. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή δέχεται τη &ε αριθ&. πρωτοκόλλου Γ/ΕΙΣ/352/22.1.2009 καταγγελ α του A και απευθύνει στην εταιρε α &ε την επωνυ& α «Forthnet Α.Ε.» προειδοπο ηση να συ&&ορφώνεται στο εξής &ε τις διατάξεις του ν. 2472/
- Ο Πρόεδρος Η Γρα&&ατέας Χρήστος Παληοκώστας Ειρήνη Παπαγεωργόπουλου Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 6