Αθήνα, 04-10-2022 Αριθ. Πρωτ.: 2458 Απόφαση 01/2022 (Μονοπρόσωπο Όργανο) Ο Πρόεδρος της Αρχής, ως μονοπρόσωπο όργανο κατά τα άρθρα 17 παρ. 1 του ν. 4624/2019 (ΦΕΚ Α΄ 137), στο πλαίσιο των αρμοδιοτήτων που προβλέπονται στα άρθρα 4 παρ. 3 και 10 παρ. 4 του Κανονισμού Λειτουργίας της Αρχής (ΦΕΚ Β΄879/25.02.2022), συνεδρίασε μέσω τηλεδιάσκεψης την 28η-07-2022 προκειμένου να εξετάσει την υπόθεση που αναφέρεται κατωτέρω στο ιστορικό της παρούσας απόφασης. Παρούσα χωρίς δικαίωμα ψήφου ήταν η Αναστασία Κανικλίδου, νομική ελέγκτρια – δικηγόρος, καθώς και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπ’ όψιν της τα παρακάτω:
- Με την με αριθ. πρωτ. Γ/ΕΙΣ/2255/14-02-2022 καταγγελία προς την Αρχή του Α κατά της ασφαλιστικής εταιρείας «NN ΕΛΛΗΝΙΚΗ MONOΠΡΟΣΩΠΗ ΑΝΩΝΥΜΗ ΑΣΦΑΛΙΣΤΙΚΗ ΕΤΑΙΡΙΑ ΖΩΗΣ», ο καταγγέλλων παραπονείται για παραβίαση των διατάξεων της νομοθεσίας περί προστασίας δεδομένων προσωπικού χαρακτήρα. Ειδικότερα, σύμφωνα με τον καταγγέλλοντα, την … ο διαχειριστής της πολυκατοικίας όπου διαμένει βρήκε στο γραμματοκιβώτιο και του παρέδωσε έναν επιστολοφάκελλο 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr της καταγγελλόμενης εταιρείας, με παραλήπτη τον καταγγέλλοντα, ο οποίος στην εξωτερική πίσω του πλευρά ανέγραφε με έντονα στοιχεία: «ΠΑΡΑΤΗΡΗΣΕΙΣ: Επιστολή προειδοποίησης ακύρωσης ασφαλιστηρίου συμβολαίου υπ’ αριθμόν …». Εντός του φακέλου εσωκλειόταν η από … επιστολή της καταγγελλόμενης εταιρείας, σχετικά με την πάροδο προθεσμίας καταβολής του ασφαλίστρου. Με τον τρόπο αυτό, κατά τους ισχυρισμούς του καταγγέλλοντος, έγιναν γνωστά προσωπικά του δεδομένα (ήτοι ονοματεπώνυμο, διεύθυνση, αριθμός ασφαλιστηρίου, καθώς και το γεγονός ότι πρόκειται να ακυρωθεί το εν λόγω ασφαλιστήριο), σε τρίτα πρόσωπα. Εν συνεχεία, όπως ο καταγγέλλων ισχυρίζεται, στην από … εξώδικη διαμαρτυρία του προς τον Υπεύθυνο Προστασίας Δεδομένων της καταγγελλόμενης εταιρείας (με την οποία παραπονείτο για την παραβίαση των προσωπικών του δεδομένων και καλούσε την εταιρεία να λάβει μέτρα για την αντιμετώπιση της παραβίασης), δεν απάντησε ο τελευταίος αλλά δυο υπάλληλοι της εταιρείας, κατά παράβαση της νομοθεσίας των προσωπικών δεδομένων.
- Η Αρχή, κατόπιν του με αριθμό πρωτοκόλλου Γ/ΕΞ/550/01-03-2022 εγγράφου της, με το οποίο ζήτησε από την καταγγελλόμενη εταιρεία διευκρινίσεις επί των καταγγελλομένων, έλαβε εις απάντηση το με αριθμό πρωτοκόλλου Γ/ΕΙΣ/4451/16-032022 έγγραφο, με το οποίο η καταγγελλόμενη εταιρεία ισχυρίζεται ότι οι επιστολές προειδοποίησης ακύρωσης αποστέλλονται με διάφορα μέσα περιλαμβανομένης της αποστολής μέσω εταιρείας ταχυμεταφορών, όπως η εταιρεία ACS. Οι επιστολές παραδίδονται από την καταγγελλόμενη εταιρεία στην ACS σε κλειστό φάκελο με την ένδειξη ότι πρόκειται για επιστολή προειδοποίησης ακύρωσης του ασφαλιστηρίου, ο δε φάκελος παραδίδεται προσωπικά στον παραλήπτη. Επιπλέον, τα προσωπικά δεδομένα που αναφέρονται στο φάκελο, ήτοι το ονοματεπώνυμο του παραλήπτη, η διεύθυνσή του και η ένδειξη του είδους της επιστολής είναι τα ελάχιστα αναγκαία για την επιβεβαίωση ότι ο λήπτης της ασφάλισης παρέλαβε την επιστολή και έλαβε γνώση αυτής, ως απαιτεί η οικεία νομοθεσία, αλλά και λόγω της επαυξημένης νομικής, συμβατικής και πρακτικής σπουδαιότητας, ώστε να είναι βέβαιο ότι ο παραλήπτης θα αντιληφθεί άμεσα τη σημασία της και την ανάγκη άμεσης ενέργειας. Στο εν λόγω απαντητικό έγγραφο προς την Αρχή η καταγγελλομένη επεσύναψε το αποδεικτικό παράδοσης που της έστειλε η 2 ACS, για την παράδοση της επιστολής για την οποία διαμαρτύρεται ο καταγγέλλων, αποδεικνύοντας – κατά τους ισχυρισμούς της – ότι επιστολή παραδόθηκε στον παραλήπτη.
- Εν συνεχεία, με τις με αριθμ. πρωτοκόλλου της Αρχής Γ/ΕΞ/1891/21-07-2022 και Γ/ΕΞ/1892/21-07-2022 κλήσεις, η Αρχή κάλεσε τα εμπλεκόμενα μέρη, όπως παραστούν ενώπιον του Προέδρου της Αρχής ως μονοπρόσωπου οργάνου, την Πέμπτη 28-07-2022, προκειμένου να συζητηθεί η προαναφερόμενη υπόθεση. Ενώπιον του Προέδρου παρέστησαν ο πληρεξούσιος δικηγόρος του καταγγέλλοντος, Βασίλειος Κοκκίνης (ΑΜ/ …), μετά του καταγγέλλοντος Α, εκ μέρους δε της καταγγελλόμενης εταιρείας παρέστησαν οι κκ. Βασίλειος Γιαννακόπουλος, δικηγόρος (ΑΜ/ …), επικεφαλής της Νομικής Υπηρεσίας, Αθανάσιος Κυράτσης, Επικεφαλής Κανονιστικής Συμμόρφωσης και δικηγόρος (ΑΜ/ …), Αγγελική Καβουροπούλου, δικηγόρος (ΑΜ/ …) και Β, Διευθύντρια Τμήματος … . Κατά την ακρόαση αυτή, οι παριστάμενοι, αφού ανέπτυξαν τις απόψεις τους, έλαβαν προθεσμία έως τις 04-08-2022 για την υποβολή των έγγραφων υπομνημάτων. Κατόπιν τούτου, τα μέρη υπέβαλαν εμπροθέσμως τα υπομνήματά τους, ο μεν καταγγέλλων το με αριθ. πρωτοκόλλου Γ/ΕΙΣ/9291/02-08-2022 υπόμνημά του, η δε καταγγελλομένη το από 04-08-2022 και με αριθμ. πρωτ. Γ/ΕΙΣ/9361/05-08-2022 υπόμνημά της. Ο καταγγέλλων, τόσο κατά την ακρόαση όσο και με το υπόμνημά του υποστήριξε τα αναφερόμενα στην καταγγελία, προσκόμισε δε τελεσίδικη απόφαση του Πολυμελούς Πρωτοδικείου Αθηνών (υπ’αριθμ. …), δυνάμει της οποίας κρίθηκε άκυρη η καταγγελία από την ασφαλιστική εταιρεία του ασφαλιστηρίου συμβολαίου το έτος …., με την αιτιολογία –μεταξύ άλλων– ότι η άνω δήλωση της ασφαλιστικής εταιρείας περί καταγγελίας της ασφαλιστικής σύμβασης δεν απέκτησε νομική ενέργεια, διότι η αποστολή συστημένης επιστολής προειδοποίησης ακύρωσης ασφαλιστηρίου μέσω εταιρείας ταχυμεταφορών (εν προκειμένω την ACS AEE) και η παραλαβή αυτής από τρίτο πρόσωπο το οποίο δεν είχε εξουσιοδότηση να την παραλάβει, δεν ικανοποιεί την απαίτηση του νόμου για την περιέλευση της δήλωσης της καταγγελίας στο χώρο εξουσίασης του ασφαλισμένου. Επιπλέον, ο καταγγέλλων στο μετ’ ακρόαση υπόμνημα 3 αρνείται ότι παρέλαβε την εν λόγω επιστολή και ότι έχει υπογράψει ο ίδιος στο σχετικό αποδεικτικό παραλαβής. Η δε καταγγελλόμενη εταιρεία, τόσο κατά την ακρόαση όσο και με το υπόμνημά της, επανέλαβε τις θέσεις που είχε υποστηρίξει με το υπ’ αριθμ. πρωτοκόλλου της Αρχής Γ/ΕΙΣ/4451/16-03-2022 έγγραφό της και συγκεκριμένα επανέλαβε ότι η αναγραφή της ένδειξης περί προειδοποίησης στο εξωτερικό του φακέλου είναι απολύτως αναγκαία, λαμβάνοντας υπόψη το συμφέρον του παραλήπτη/υποκειμένου των δεδομένων, καθώς και ότι έχει επανειλημμένως προτείνει στον καταγγέλλοντα την αποκλειστική ηλεκτρονική επικοινωνία, την οποία εκείνος αρνείται. ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
- Επειδή, σύμφωνα την παράγραφο 1 στοιχείο γ’ του άρθρου 5 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού 2016/679), το οποίο καθορίζει τις αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα, «τα δεδομένα προσωπικού χαρακτήρα είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»).
- Επειδή, εν προκειμένω από το σύνολο των στοιχείων του φακέλου της υπόθεσης, τους ισχυρισμούς των μερών κατά την ακροαματική διαδικασία και τα υποβληθέντα υπομνήματα προκύπτει ότι η καταγγελλόμενη επεξεργασία, συνιστάμενη στην αποστολή στον καταγγέλλοντα- παραλήπτη επιστολοφάκελλου της εταιρείας, ο οποίος στην εξωτερική πίσω του όψη ανέγραφε ένδειξη του αντικειμένου της επιστολής (ήτοι ανέγραφε με έντονα στοιχεία: «ΠΑΡΑΤΗΡΗΣΕΙΣ: Επιστολή προειδοποίησης ακύρωσης ασφαλιστηρίου συμβολαίου υπ’ αριθμόν …») έγινε κατά παράβαση της διάταξης του άρθρου 5 παράγραφος 1 στοιχείο γ’ του ΓΚΠΔ, περί υποχρέωσης τήρησης της αρχής της «ελαχιστοποίησης των δεδομένων». Συγκεκριμένα, για το σκοπό της ενημέρωσης του ασφαλισμένου – καταγγέλλοντος για τις υποχρεώσεις που απορρέουν από την ασφαλιστήρια σύμβαση με την καταγγελλόμενη ασφαλιστική εταιρεία μέσω αποστολής 4 ταχυδρομικής επιστολής αρκούσε η αναγραφή στον φάκελο της επιστολής του ονοματεπωνύμου, της ταχυδρομικής διεύθυνσης και του ταχυδρομικού κώδικα του παραλήπτη- καταγγέλλοντος /ασφαλισμένου, στοιχεία απαραίτητα για την αποστολή του φακέλου στον παραλήπτη και την ταυτοποίηση αυτού
- Τα δε περαιτέρω αναγραφόμενα στην εξωτερική όψη του φακέλου, δηλ. η αναγραφή της ένδειξης προειδοποίησης ακύρωσης του υπ’ αριθμόν … ασφαλιστηρίου συμβολαίου, δεν ήταν πρόσφορα και αναλογικά σε σχέση με τον σκοπό που εξυπηρετούσε η συγκεκριμένη επεξεργασία. Περαιτέρω, η Αρχή κρίνει ότι εφόσον η αναγραφή στο εξωτερικό στο φακέλου της φράσης «ΠΑΡΑΤΗΡΗΣΕΙΣ: Επιστολή προειδοποίησης ακύρωσης ασφαλιστηρίου συμβολαίου υπ’ αριθμόν …» κρίνεται ως παράνομη κατά τα ανωτέρω διαλαμβανόμενα, παρέλκει η εξέταση των επιμέρους ισχυρισμών του καταγγέλλοντος και της καταγγελλόμενης εταιρείας, σχετικά με το ζήτημα αν, λόγω της ανωτέρω ένδειξης στο εξωτερικό του φακέλου, έλαβαν γνώση ή μη τρίτα πρόσωπα προσωπικών του δεδομένων, ενώ τα προβαλλόμενα από τον καταγγέλλοντα που στηρίζονται αφενός στον ισχυρισμό ότι δεν υπέγραψε ο ίδιος το αποδεικτικό παραλαβής του προαναφερόμενου φακέλου και αφετέρου σε επίκληση τελεσίδικης απόφασης του Πολυμελούς Πρωτοδικείου Αθηνών, με την οποία κρίθηκε άκυρη η καταγγελία ασφαλιστηρίου συμβολαίου του καταγγέλλοντος από την ασφαλιστική εταιρεία λόγω μη νόμιμης παράδοσης της συστημένης επιστολής προειδοποίησης της ακύρωσης του συμβολαίου μέσω εταιρείας ταχυμεταφορών, εκφεύγουν της αρμοδιότητας της Αρχής.
- Επειδή, το προβαλλόμενο από τον καταγγέλλοντα γεγονός ότι στο από … αίτημά του προς τον Υπεύθυνο Προστασίας Δεδομένων της καταγγελλόμενης εταιρείας δεν απάντησε ο ίδιος ο Υπεύθυνος Προστασίας Δεδομένων αλλά υπάλληλοί της, δεν συνιστά παραβίαση της νομοθεσίας για την προστασία των προσωπικών δεδομένων. Και τούτο διότι, σύμφωνα με τις διατάξεις των άρθρων 38 και 39 ΓΚΠΔ, ο ρόλος του Υπευθύνου Προστασίας Δεδομένων είναι συμβουλευτικός (όχι αποφασιστικός) και δεν φέρει προσωπική ευθύνη για τη μη συμμόρφωση με τον ΓΚΠΔ. Υπεύθυνος να διασφαλίζει και 1 Βλ. συναφώς τις υπ’αριθμ. 47/2009 και 14/2022 αποφάσεις της Αρχής, αμφότερες δημοσιευμένες στην ιστοσελίδα της Αρχής, www.dpa.gr 5 να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με τον ΓΚΠΔ είναι ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία
- Επειδή, η καταγγελλόμενη εταιρεία ως υπεύθυνος επεξεργασίας οφείλει να συμμορφώνεται με τις επιταγές για την προστασία δεδομένων προσωπικού χαρακτήρα, μεταξύ των οποίων περιλαμβάνεται και η υποχρέωση τήρησης της αρχής της αναλογικότητας.
- Επειδή, σε σχέση με τη διαπιστωθείσα παραβίαση της αρχής της ελαχιστοποίησης εκ μέρους της ασφαλιστικής εταιρείας, ως υπευθύνου επεξεργασίας, συντρέχει περίπτωση να ασκήσει η Αρχή τις εκ του άρθρου 58 παρ. 2 ΓΚΠΔ διορθωτικές εξουσίες της, και, ειδικότερα, να απευθύνει επίπληξη κατ’ άρθρο 58 παρ. 2 στοιχείο β’ του ΓΚΠΔ στην καταγγελλόμενη εταιρεία για την ως άνω κατά παράβαση του άρθρου 5 παράγραφος 1 στοιχείο γ’ του ΓΚΠΔ επεξεργασία και να δώσει εντολή, κατ΄ άρθρο 58 παρ. 2 στοιχ, δ΄ ΓΚΠΔ, όπως εφεξής επεξεργάζεται η ασφαλιστική εταιρεία, ως υπεύθυνος επεξεργασίας, τα δεδομένα προσωπικού χαρακτήρα κατά τρόπο σύμφωνο προς τις επιταγές του ΓΚΠΔ, κατά τα ανωτέρω αναφερόμενα. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή α) Διαπιστώνει ότι με την αναγραφή της ένδειξης του αντικειμένου της επιστολής στην εξωτερική πλευρά του φακέλου παραβιάστηκε η διάταξη του άρθρου 5 παράγραφος 1 στοιχείο γ’ του ΓΚΠΔ και, απευθύνει επίπληξη κατ’ άρθρο 58 παρ. 2 στοιχείο β’ του ΓΚΠΔ στην καταγγελλόμενη εταιρεία για ως άνω παραβίαση και β) δίνει εντολή, κατ΄ άρθρο 58 παρ. 2 στοιχ, δ΄ ΓΚΠΔ, όπως εφεξής επεξεργάζεται η ασφαλιστική εταιρεία, ως υπεύθυνος επεξεργασίας, τα δεδομένα προσωπικού χαρακτήρα με τον τρόπο που περιγράφεται ανωτέρω, συμμορφούμενη προς τις επιταγές Βλ. σελ. 6, 23 και σελ. 33 των Κατευθυντήριων Γραμμών σχετικά με τους υπευθύνους προστασίας δεδομένων της Ομάδας Εργασίας του άρθρου 29 (WP. 243, rev. 01 από 05.04.2017). 2 6 του Γενικού Κανονισμού Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Ο ΠΡΟΕΔΡΟΣ Η ΓΡΑΜΜΑΤΕΑΣ Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 7