Ανάκληση εν μέρει της απόφασης 13/2021 της Αρχής και επιβολή προστίμου

Αθήνα, 25-07-2022 Αριθ. Πρωτ.: 1905 ΑΠΟΦΑΣΗ 20/2022 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος με τηλεδιάσκεψη την 23-03-2022 και ώρα 09.30 π.μ. μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Κωνσταντίνος Μενουδάκος, Πρόεδρος της Αρχής, και τα αναπληρωματικά μέλη Μαρία Ψάλλα και Δημοσθένης Βουγιούκας, ως εισηγητής, σε αντικατάσταση των τακτικών μελών Κωνσταντίνου Λαμπρινουδάκη και Γρηγορίου Τσόλια, αντίστοιχα, οι οποίοι, παρόλο που εκλήθησαν νομίμως εγγράφως δεν παρέστησαν, λόγω κωλύματος. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, η Χάρις Συμεωνίδου και ο Σπυρίδων Παπαστεργίου, ειδικοί επιστήμονες – ελεγκτές ως βοηθοί εισηγητές και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπ’ όψιν της τα παρακάτω: Με το με αριθ. πρωτ. Γ/ΕΙΣ/4316/30-06-2021 έγγραφό της η εταιρεία με την επωνυμία «MZN HELLAS ΑΝΩΝΥΜΗ ΑΘΛΗΤΙΚΗ ΕΜΠΟΡΙΚΗ ΕΤΑΙΡΕΙΑ» με διακριτικό τίτλο «MZN HELLAS A.E.» (εφεξής αναφερόμενη ως αιτούσα) υπέβαλε αίτηση θεραπείας κατά της με αριθ. 13/2021 Απόφασης της Αρχής, η οποία εκδόθηκε σε συνέχεια των με αριθ. πρωτ. Γ/ΕΙΣ/4863/10-07-2019 και Γ/ΕΙΣ/7689/07-11-2019 καταγγελιών που είχαν υποβληθεί σε βάρος της από τον A (εφεξής αναφερόμενος ως καταγγέλλων). Με τις ως άνω καταγγελίες, ο καταγγέλλων παραπονέθηκε για την αποστολή ανεπιθύμητων μηνυμάτων SMS στον αριθμό του κινητού τηλεφώνου του για 1 σκοπούς εμπορικής προώθησης των προϊόντων της αιτούσας, παρότι είχε εκφράσει ρητά την αντίρρησή του. Κατόπιν εξέτασης των ως άνω καταγγελιών, η Αρχή με την προσβαλλόμενη απόφαση 13/2021, έκανε δεκτές τις καταγγελίες και επέβαλε στην αιτούσα πρόστιμο ύψους είκοσι χιλιάδων (20.000,00) ευρώ για τη διαπιστωθείσα παράβαση του άρθρου 17 σε συνδυασμό με το άρθρο 21 παρ. 3 και το άρθρο 12 παρ. 3 του ΓΚΠΔ και του άρθρου 25 παρ. 1 του ΓΚΠΔ. Για την κρίση της αυτή, η Αρχή έλαβε ιδιαιτέρως υπόψη τα εξής (σκέψεις 10 και 11): «

1. Με το πρώτο του υπόμνημα, ο υπεύθυνος επεξεργασίας διαβεβαίωσε την Αρχή ότι έχει διαγράψει το κινητό τηλέφωνο και τη διεύθυνση ηλεκτρονικής αλληλογραφίας του καταγγέλλοντος και ότι έχουν προβεί σε όλες στις απαραίτητες ενέργειες για να μην ξανασυμβεί στο μέλλον για κανένα άλλο πελάτη. Εκ των πραγμάτων αποδεικνύεται ότι η παραπάνω δήλωση δεν ήταν ακριβής. Ακόμα και αν γίνει δεκτό το επιχείρημα της εταιρείας περί μεμονωμένου λάθους υπαλλήλων, το οποίο όμως δεν στηρίζεται σε ηλεκτρονικά ή άλλα στοιχεία τα οποία δεν μπορεί να αμφισβητηθούν, παρά μόνο σε έγγραφες δηλώσεις των εμπλεκομένων υπαλλήλων, προκύπτει ότι ο υπεύθυνος επεξεργασίας δεν προέβη σε ενέργειες ώστε να μην ξανασυμβεί στο μέλλον αντίστοιχο περιστατικό σε άλλο πελάτη. Συνεπώς, με την αποστολή του δεύτερου μηνύματος στις 6/11/2019, διαπιστώνεται ότι η εταιρεία δεν διέθετε στην πράξη τις απαραίτητες διαδικασίες ώστε να εξασφαλίσει τη διαγραφή των δεδομένων, ώστε να πληρούνται οι απαιτήσεις του ΓΚΠΔ και να προστατεύονται τα δικαιώματα των υποκειμένων των δεδομένων. Επομένως, προκύπτει παράβαση του άρθρου 25 παρ. 1 του ΓΚΠΔ. Επισημαίνεται ότι με βάση την αρχή της λογοδοσίας (άρθρο 5 παρ. 2 ΓΚΠΔ) ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις βασικές αρχές νόμιμης επεξεργασίας. Να σημειωθεί ότι το επιχείρημα περί μη χρήσης της ενσωματωμένης στο SMS λειτουργίας διαγραφής και χρήση αυτής μετά τις 6/11/2019 και συγκεκριμένα στις 11/12/2019, δεν γίνεται δεκτό. Ο καταγγέλλων, όπως εξηγήθηκε, δεν ήταν υποχρεωμένος να ασκήσει το δικαίωμά του με το συγκεκριμένο τρόπο, ενώ δεν αποδεικνύεται ότι ήταν αυτός που ενεργοποίησε τη διαδικασία διαγραφής, καθώς κατά το χρονικό διάστημα αυτό τα στοιχεία της καταγγελίας ήταν γνωστά και σε άλλα πρόσωπα (π.χ. στην Αρχή).
2. Η Αρχή λαμβάνει υπόψη επιβαρυντικά, ότι ο υπεύθυνος επεξεργασίας δεν κατέθεσε στοιχεία τεκμηρίωσης των διαδικασιών διαγραφής, ότι η παράβαση σχετίζεται με 2 άσκηση δικαιωμάτων του υποκειμένου των δεδομένων, ότι η εταιρεία δήλωσε στην Αρχή ότι έλαβε τα κατάλληλα μέτρα και μάλιστα για το σύνολο των πελατών της, ενώ αυτό στην πράξη δεν είχε συμβεί όσον αφορά τον καταγγέλλοντα, ότι ο υπεύθυνος επεξεργασίας διαθέτει ηλεκτρονικό κατάστημα και χρησιμοποιεί τεχνικές ηλεκτρονικής επικοινωνίας, συνεπώς θα όφειλε να έχει φροντίσει για την ορθή ανταπόκριση στα αιτήματα άσκησης δικαιωμάτων. Περαιτέρω, σύμφωνα με τα δημόσια διαθέσιμα στοιχεία στο ΓΕΜΗ [https://www.businessregistry.gr/publicity/show/9178201000], η εταιρεία κατά το έτος 2019 είχε κύκλο εργασιών 1.343.513,99 € και κέρδη μετά από φόρους 50.151,92 €. Ως ελαφρυντικά συνυπολογίζει ότι ενώ υπήρξε όχληση δεν υπήρξε οικονομική ζημία του υποκειμένου των δεδομένων από τη μη ικανοποίηση του δικαιώματος, ότι είναι η πρώτη παράβαση για τη συγκεκριμένη εταιρεία και τέλος, τη δυσμενή οικονομική περίσταση λόγω της πανδημίας Covid-19». Με την υπό κρίση αίτηση θεραπείας η αιτούσα ζητά την ανάκληση της προσβαλλόμενης απόφασης στο σύνολό της και τη διαγραφή του επιβληθέντος προστίμου για τους εξής λόγους: Α) Υποβολή νέων και κρίσιμων αποδεικτικών στοιχείων αναφορικά με τις διαδικασίες διαγραφής του καταγγέλλοντος από τη λίστα επικοινωνίας της αιτούσας και τις ενέργειες/διαδικασίες της προς τούτο. Συγκεκριμένα, η αιτούσα υποστηρίζει ότι έπραξε κάθε τι απαιτούμενο στο μέτρο του εφικτού για την συμμόρφωσή της με τις απαιτήσεις του Κανονισμού, έχοντας διευθετήσει το σύνολο των απαιτούμενων διαδικασιών για τον σκοπό αυτό, και έχοντας δώσει τις απαραίτητες οδηγίες και εντολές στον αρμόδιο υπάλληλό της, B, ο οποίος με τη σειρά του πάντοτε τη διαβεβαίωνε ότι έχει διενεργήσει κάθε τι απαιτούμενο προς την ικανοποίηση του δικαιώματος διαγραφής του καταγγέλλοντος από τη λίστα των πελατών της αιτούσας, ώστε να παύσει η αποστολή διαφημιστικών μηνυμάτων προς το τηλέφωνό του. Προς επιβεβαίωση των ανωτέρω η αιτούσα προσκομίζει και επικαλείται τα εξής νέα αποδεικτικά στοιχεία, τα οποία αφορούν τα καταγγελλόμενα πραγματικά περιστατικά και περιήλθαν εις γνώση της μετά την έκδοση της προσβαλλόμενης απόφασης: 3 i. την υπ’ αρ. …./2021 ένορκη βεβαίωση του υπαλλήλου της αιτούσας, κ. B ενώπιον του Ειρηνοδικείου Αθηνών (Σχετ. 1), στην οποία περιγράφονται αναλυτικά τα πραγματικά περιστατικά της υπόθεσης αλλά και οι κρίσιμες παραλείψεις εκ μέρους του υπαλλήλου, οι οποίες οδήγησαν αφ’ ενός μεν στη μη ολοκλήρωση της διαγραφής των στοιχείων του καταγγέλλοντος, αφ’ ετέρου δε στην εσφαλμένη πεποίθηση της διοίκησης της αιτούσας ότι έχουν ακολουθηθεί πλήρως οι απαραίτητες νόμιμες διαδικασίες, στην οποία στηρίχθηκε η επιχειρηματολογία της προς την Αρχή. Ειδικότερα, ο υπάλληλος βεβαιώνει την παράλειψή του να επιβεβαιώσει ότι έχει ολοκληρωθεί η διαγραφή των στοιχείων του καταγγέλλοντος μέσω της πλατφόρμας EasySMS τον Αύγουστο του 2019, επικοινωνώντας με την εταιρεία τεχνικής υποστήριξης ΤΕRN και την παράλειψή του να ενημερώσει σωστά τη διοίκηση της αιτούσας (Γ) στο πλαίσιο της καταγγελίας, καθώς και την εσφαλμένη του ενέργεια το Νοέμβριο του 2019, να προβεί σε εξαγωγή προγενέστερης λίστας παραληπτών (και όχι της ανανεωμένης), με αποτέλεσμα να σταλεί το 2ο SMS στον καταγγέλλοντα και να υποβληθεί η 2η καταγγελία. ii. Την από 14-4-2021 επιστολή της αιτούσας (Σχετ. 2) μέσω του πληρεξούσιου δικηγόρου της προς την εταιρεία TERN INFORMATION SYSTEMS – διαχειρίστρια της πλατφόρμας EasySMS και εκτελούσας την επεξεργασία, με την οποία η αιτούσα - υπεύθυνος επεξεργασίας συνεργαζόταν κατά το κρίσιμο χρονικό διάστημα για την αποστολή προωθητικών μηνυμάτων στους πελάτες της. Με την εν λόγω επιστολή ζητήθηκε η συνδρομή της εταιρείας TERN προς την αιτούσα, μέσω της χορήγησης στοιχείων και ηλεκτρονικών δεδομένων (πλήρους πληροφοριακού ιστορικού) προς απόδειξη των ακολουθούμενων διαδικασιών και της διαδικασίας διαγραφής των στοιχείων του καταγγέλλοντος. iii. Την από 27-4-2021 απαντητική επιστολή (Σχετ. 3) της εταιρείας TERN INFORMATION SYSTEMS, η οποία περιλαμβάνει ηλεκτρονικά ίχνη – το ιστορικό όλων των διαγραφών τηλεφωνικών αριθμών εκ μέρους της 4 αιτούσας στην πλατφόρμα EasySMS, και από την οποία αποδεικνύεται η σταθερή συμμόρφωση της αιτούσας με τα αιτήματα διαγραφής των υποκειμένων που δέχεται και ενισχύεται ο ισχυρισμός της ότι η μη ολοκλήρωση της διαδικασίας διαγραφής του αριθμού του καταγγέλλοντος τον Αύγουστο του 2019 οφείλεται σε παραδρομή του ανωτέρω υπαλλήλου. Β) Παραβίαση της αρχής της αναλογικότητας και των κριτηρίων για την επιβολή και την επιμέτρηση διοικητικών προστίμων για την παράβαση του ΓΚΠΔ, λόγω του ύψους του επιβληθέντος προστίμου (20.000,00 €). Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τους βοηθούς εισηγητές, και μετά από διεξοδική συζήτηση, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
3. Το άρθρο 24 παρ. 1 του Ν. 2690/1999 (ΚΔΔιαδ) ορίζει ότι «Αν από τις σχετικές διατάξεις δεν προβλέπεται η δυνατότητα άσκησης της, κατά το επόμενο άρθρο, ειδικής διοικητικής, ή ενδικοφανούς προσφυγής, ο ενδιαφερόμενος, για την αποκατάσταση υλικής ή ηθικής βλάβης των εννόμων συμφερόντων του που προκαλείται από ατομική διοικητική πράξη μπορεί, για οποιονδήποτε λόγο, με αίτησή του, να ζητήσει, είτε από τη διοικητική αρχή η οποία εξέδωσε την πράξη, την ανάκληση ή τροποποίησή της (αίτηση θεραπείας), είτε, από την αρχή η οποία προΐσταται εκείνης που εξέδωσε την πράξη, την ακύρωσή της (ιεραρχική προσφυγή)». Κατά την αληθή έννοια της διάταξης, η αίτηση θεραπείας αποσκοπεί στην ανάκληση ή τροποποίηση της προσβαλλόμενης ατομικής διοικητικής πράξης για νομικά ή πραγματικά ελαττώματα αυτής που ανάγονται στο καθεστώς υπό το οποίο εκδόθηκε.
4. Όπως προκύπτει από το περιεχόμενο της υπό κρίση αίτησης, η αιτούσα κατ’ αρχάς επαναλαμβάνει τον ισχυρισμό της περί μεμονωμένου σφάλματος στη διαδικασία διαγραφής του αριθμού του καταγγέλλοντος, λόγω παράλειψης του αρμόδιου υπαλλήλου της, ο οποίος είχε υποβληθεί στην Αρχή και πριν την έκδοση της 5 απόφασης, με το υπόμνημα της αιτούσας. Ο εν λόγω ισχυρισμός όμως πλέον τεκμηριώνεται με τα ως άνω αναφερόμενα νέα προσκομιζόμενα και επικαλούμενα από την αιτούσα αποδεικτικά στοιχεία. Ειδικότερα, από την ένορκη βεβαίωση του υπαλλήλου κ. Β (Σχετ. 1) και την επιστολή της εταιρείας TERN (Σχετ. 3), προκύπτει ότι η αποστολή του 2oυ μηνύματος στον καταγγέλλοντα οφείλεται πράγματι σε μεμονωμένο σφάλμα του υπαλλήλου και όχι σε ελλιπείς διαδικασίες της αιτούσας. Πρέπει να σημειωθεί ότι ο υπάλληλος δεν είναι «εκτελών την επεξεργασία» όπως εσφαλμένα αναφέρεται στη σελ. 25 της αίτησης θεραπείας, αλλά ενεργεί υπό την εποπτεία και κατ’ εντολή της αιτούσας (άρθρο 29 ΓΚΠΔ) και συνεπώς για τις ενέργειές του ή τις παραλείψεις του ευθύνη φέρει σύμφωνα με τον ΓΚΠΔ ο εργοδότης του, ως υπεύθυνος επεξεργασίας. Σε κάθε περίπτωση, κατόπιν της ως άνω ένορκης βεβαίωσης, αναγνωρίζεται ότι η αιτούσα είχε προσπαθήσει να ικανοποιήσει το αίτημα εναντίωσης του καταγγέλλοντος και η παράβαση σαφώς δε οφείλεται σε δόλο, αλλά σε αμέλεια.
5. Εν όψει των ανωτέρω νέων στοιχείων που κατατέθηκαν, η Αρχή αξιολογεί ως ελαφρυντικές περιστάσεις κατά το άρθρο 83 παρ. 2 ΓΚΠΔ το γεγονός ότι α) η παράβαση οφείλεται σε αμέλεια και όχι σε δόλο της αιτούσας, και β) η αιτούσα φαίνεται ότι κατά κανόνα ακολουθεί τις κατάλληλες διαδικασίες που εξασφαλίζουν την ικανοποίηση των δικαιωμάτων εναντίωσης και διαγραφής των υποκειμένων των δεδομένων, συνεπώς δεν διαπιστώνεται παράβαση του άρθρου 25 παρ. 1 ΓΚΠΔ. Συντρέχει, λοιπόν, περίπτωση μερικής ανάκλησης της απόφασης 13/2021 της Αρχής, και συγκεκριμένα κατά το μέρος που με την απόφαση αυτή κρίθηκε ότι συνέτρεχε παράβαση του άρθρου αυτού, η οποία συνυπολογίστηκε για την επιμέτρηση του προστίμου. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή
6. Δέχεται μερικώς την αίτηση θεραπείας, εν όψει της προσκόμισης και επίκλησης νέων στοιχείων εκ μέρους της αιτούσας.
7. Ανακαλεί την Απόφαση 13/2021 κατά το μέρος που κρίθηκε ότι συνέτρεχε παράβαση του άρθρου 25 παρ. 1 ΓΚΠΔ. 6
8. Επιβάλλει στην εταιρεία «ΜΖΝ HELLAS ΑΝΩΝΥΜΗ ΑΘΛΗΤΙΚΗ ΕΜΠΟΡΙΚΗ ΕΤΑΙΡΕΙΑ» το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στη συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους πέντε χιλιάδων (5.000,00) ευρώ, για τις διαπιστωθείσες παραβάσεις του άρθρου 17 σε συνδυασμό με το άρθρο 21 παρ. 3 και το άρθρο 12 παρ. 3 του ΓΚΠΔ, για τους λόγους που αναφέρονται στην Απόφαση 13/2021, σε συνδυασμό με το σκεπτικό της παρούσας απόφασης. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 7