Απόρριψη αίτησης για την ανάκληση/τροποποίηση απόφασης της Αρχής

ΕΛΛΗΝΙΚΗ ∆ΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΑΠΟΦΑΣΗ Αθήνα, 31-07-2014 Αριθ. Πρωτ.: Γ/ΕΞ/4787/31-07-2014 ΑΡ. 97/2014 Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνήλθε µετά από πρόσκληση του Προέδρου της στην έδρα της την 26-03-2014, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Π. Χριστόφορος, Πρόεδρος της Αρχής, Λ. Κοτσαλής, Α.-Ι. Μεταξάς, ∆. Μπριόλας, Α. Συµβώνης και Κ. Χριστοδούλου, ως εισηγητές, τακτικά µέλη. ∆εν προσήλθε, λόγω κωλύµατος, το τακτικό µέλος Π. Τσαντίλας. Στη συνεδρίαση, χωρίς δικαίωµα ψήφου, παρέστησαν οι ειδικοί επιστήµονες-υπάλληλοι του Τµήµατος Ελεγκτών Κ. Λωσταράκου, Ε. Σιουγλέ, και Κ. Λιµνιώτης, ως βοηθοί εισηγητών, και η Ε. Παπαγεωργοπούλου, υπάλληλος του Τµήµατος ∆ιοικητικού-Οικονοµικού, ως γραµµατέας, µετά από εντολή του Προέδρου. Η Αρχή έλαβε υπόψη τα παρακάτω: Η Τράπεζα HSBC BANK PLC Ελλάδος (εφεξής, υπεύθυνος επεξεργασίας) άσκησε τη µε αριθµ. πρωτοκόλλου Γ/ΕΙΣ/7455/22-11-2013 αίτηση θεραπείας κατά της απόφασης της Αρχής µε αριθµ. 109/2013, µε την οποία ζητά την ανάκληση άλλως την τροποποίηση αυτής. Στην ως άνω απόφαση και από τα ευρήµατα των επιτόπιων ελέγχων στον υπεύθυνο επεξεργασίας, καθώς και στις εταιρείες Runner ΕΠΕ (εφεξής Runner) και ATTP, η Αρχή διαπίστωσε ότι ο υπεύθυνος επεξεργασίας αγόρασε λίστες µε παρανόµως συλλεχθέντα προσωπικά δεδοµένα από τις εταιρείες Runner και ATTP, για το σκοπό της στοχευµένης προώθησης προϊόντων και υπηρεσιών σε δυνητικούς υποψήφιους πελάτες παραβιάζοντας τις διατάξεις των άρθρων 4 και 5 του ν. 2472/1997 και επέβαλε στον υπεύθυνο επεξεργασίας πρόστιµο εβδοµήντα πέντε χιλιάδων (75.000) Ευρώ, καθώς επίσης και την καταστροφή κάθε Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 1 σχετικής λίστας µε προσωπικά δεδοµένα που συλλέχτηκε µε τον τρόπο που αναφέρεται στο σκεπτικό της ανωτέρω απόφασης κατά παραβίαση των ως άνω άρθρων, µε ακόλουθη ενηµέρωση της Αρχής. Με την ίδια Απόφαση, η Αρχή απηύθυνε σύσταση στον υπεύθυνο επεξεργασίας να συµµορφώνεται, αναφορικά µε την προώθηση προϊόντων και υπηρεσιών, σε όσα προβλέπονται στο άρθρο 11 του ν. 3471/2006, όπως τροποποιήθηκε και ισχύει, και στις σχετικές Κανονιστικές Πράξεις και Οδηγίες της Αρχής. Στην ως άνω αίτηση θεραπείας, ο υπεύθυνος επεξεργασίας ισχυρίζεται ότι η συνεργασία του µε τη Runner ήταν εξαιρετικά περιορισµένης έκτασης (το ποσό που καταβλήθηκε στη Runner αντιπροσωπεύει το 0,06% της συνολικής δαπάνης marketing για το διάστηµα 20072011), καθώς επίσης και ότι τα στελέχη του που κατά καιρούς ήλθαν σε επαφή, κυρίως µέσω µηνυµάτων ηλεκτρονικού ταχυδροµείου, µε τη Runner, υπελάµβαναν καλόπιστα ότι οι σχετικές λίστες είχαν συλλεγεί και τύχει επεξεργασίας νοµίµως. Αντίστοιχα, ο υπεύθυνος επεξεργασίας ισχυρίζεται ότι ζήτησε από την ATTP µία και µοναδική φορά λίστα δυνητικών πελατών, χαµηλού κόστους, όπου επίσης τα στελέχη του δικαιολογηµένα υπέλαβαν ότι είχε τύχει νόµιµης επεξεργασίας. Περαιτέρω, στην ως άνω αίτηση θεραπείας επισηµαίνεται ότι στις συµβάσεις του υπευθύνου επεξεργασίας τόσο µε τη Runner όσο και µε την ATTP υπάρχουν οι σχετικές εγγυοδοτικές δηλώσεις από την πλευρά των αντισυµβαλλοµένων περί της νοµιµότητας απόκτησης των δεδοµένων, σε κάθε δε περίπτωση, οι ως άνω εταιρίες ενήργησαν ως αντιπρόσωποι του υπευθύνου επεξεργασίας και εποµένως στο πρόσωπο αυτών και όχι του υπευθύνου επεξεργασίας πρέπει να κριθεί η γνώση ή υπαίτιος άγνοια που αφορούσαν την επεξεργασία προσωπικών δεδοµένων (κατά αναλογική εφαρµογή του άρθρου 214 ΑΚ). Επιπλέον, ο υπεύθυνος επεξεργασίας θεωρεί ότι η συµπεριφορά του πρέπει να σταθµιστεί και να αξιολογηθεί υπό το φως της αναλογικότητας, αφού ληφθούν υπόψη αφενός η λίαν περιορισµένη έκταση της συνεργασίας µε τη Runner και ο κυριολεκτικός de minimis χαρακτήρας µε την ATTP στο υπό κρίση ζήτηµα, και αφετέρου το γεγονός ότι οι σχετικές λίστες έχουν καταστραφεί και ουδεµία χρήση τους γίνεται πλέον. Ως εκ τούτου, ο υπεύθυνος επεξεργασίας θεωρεί ότι επεβλήθη ιδιαίτερα υψηλό πρόστιµο, χωρίς να έχουν ληφθεί υπόψη τα ανωτέρω στοιχεία. Η Αρχή, µετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τους εισηγητές και τους βοηθούς εισηγητών, οι οποίοι στη συνέχεια αποχώρησαν, και κατόπιν διεξοδικής συζήτησης, Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 2 ΣΚΕΦΘΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

1. Το άρθρο 24 παρ. 1 του Ν. 2690/1999 (Κ∆∆ιαδ) ορίζει ότι «Αν από τις σχετικές διατάξεις δεν προβλέπεται η δυνατότητα άσκησης της, κατά το επόµενο άρθρο, ειδικής διοικητικής, ή ενδικοφανούς προσφυγής, ο ενδιαφερόµενος, για την αποκατάσταση υλικής ή ηθικής βλάβης των εννόµων συµφερόντων του που προκαλείται από ατοµική διοικητική πράξη µπορεί, για οποιονδήποτε λόγο, µε αίτησή του, να ζητήσει, είτε από τη διοικητική αρχή η οποία εξέδωσε την πράξη, την ανάκληση ή τροποποίησή της (αίτηση θεραπείας), είτε, από την αρχή η οποία προΐσταται εκείνης που εξέδωσε την πράξη, την ακύρωσή της (ιεραρχική προσφυγή)». Κατά την έννοια της διάταξης, η αίτηση θεραπείας αποσκοπεί στην ανάκληση ή τροποποίηση της προσβαλλόµενης ατοµικής διοικητικής πράξης για νοµικά ή πραγµατικά ελαττώµατα αυτής που ανάγονται στο καθεστώς υπό το οποίο εκδόθηκε.
2. Με την Απόφαση 109/2013 η Αρχή έκρινε ότι η συναλλαγή του υπεύθυνου επεξεργασίας µε την εταιρεία ATTP, για το σκοπό της παροχής αρχείων µε προσωπικά δεδοµένα πολιτών βάσει συγκεκριµένων κριτηρίων, ήταν µεµονωµένη. Ωστόσο, οι αντίστοιχες συναλλαγές του υπεύθυνου επεξεργασίας µε την εταιρεία Runner ήταν συνεχείς (η συνεργασία ήταν ενεργή από τα τέλη του 2006 µέχρι τις αρχές του 2012, όπου ο υπεύθυνος επεξεργασίας αγόραζε λίστες προσωπικών δεδοµένων σε συνεχή και επαναλαµβανόµενη βάση). Περαιτέρω, όπως προέκυψε από τα πειστήρια των σχετικών ελέγχων που αναφέρονται στην υπ’ αριθµ. 109/2013 Απόφαση, ο υπεύθυνος επεξεργασίας ζητούσε, µεταξύ άλλων, από τη Runner λίστες προσωπικών δεδοµένων που πληρούσαν συγκεκριµένα κριτήρια βάσει των πληροφοριών των εκκαθαριστικών σηµειωµάτων της εφορίας – οι οποίες πληροφορίες δεν µπορούν να προκύψουν από δηµόσια προσβάσιµες πηγές και τούτο ήταν σαφώς εις γνώσιν του υπεύθυνου επεξεργασίας (σηµειώνεται ότι ο υπεύθυνος επεξεργασίας δεν υποστήριξε, ούτε µε την αίτηση θεραπείας, ότι υπήρχε κάποια νόµιµα προσβάσιµη πηγή από την οποία δικαιολογηµένα να πίστευαν οι υπάλληλοί του ότι προέρχονται τα δεδοµένα). Η Αρχή, µε την υπ’ αριθµ. 109/2013 Απόφαση, έλαβε υπόψη κατά την επιβολή του προστίµου τόσο τη βαρύτητα της παράβασης όσο και το πλήθος των προσωπικών δεδοµένων που έτυχαν µη νόµιµης επεξεργασίας.
3. Συνεπώς, τα ζητήµατα τα οποία προβάλλονται µε την αίτηση θεραπείας, όπως εκτίθενται ανωτέρω στο ιστορικό της παρούσας, έχουν ήδη συζητηθεί, εξεταστεί και κριθεί διεξοδικά µε την απόφαση 109/
4. Και τούτο διότι ο αιτών δεν επικαλείται ούτε προσκοµίζει νέα στοιχεία για την υποστήριξη των ισχυρισµών του (οι ισχυρισµοί που Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 3 επικαλείται µε την αίτηση θεραπείας είχαν ήδη αποτυπωθεί και στο µε αρ. πρωτ. Γ/ΕΙΣ/4969/24-07-2013 έγγραφο υπόµνηµά του).
5. Ως εκ τούτου, δεν συντρέχει λόγος επανεξέτασης της εν λόγω υπόθεσης. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Απορρίπτει την αίτηση θεραπείας της Τράπεζας HSBC BANK PLC Ελλάδος. Ο Πρόεδρος Η Γραµµατέας Πέτρος Χριστόφορος Ειρήνη Παπαγεωργοπούλου Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 4