Αθήνα, 02-04-2021 Αριθ. Πρωτ.: 988 ΑΠΟΦΑΣΗ 11/2021 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος μέσω τηλεδιάσκεψης την 11-11-2020 και ώρα 10:00, μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, και τα αναπληρωματικά μέλη Γρηγόριος Τσόλιας και Ευάγγελος Παπακωνσταντίνου, ως εισηγητής, σε αντικατάσταση των τακτικών μελών Χαράλαμπου Ανθόπουλου και Κωνσταντίνου Λαμπρινουδάκη αντίστοιχα, οι οποίοι, αν και εκλήθησαν νομίμως εγγράφως δεν παρέστησαν λόγω κωλύματος. Το τακτικό μέλος Σπυρίδων Βλαχόπουλος, αν και κλήθηκε νομίμως εγγράφως, δεν παρέστη λόγω κωλύματος. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, η Γεωργία Παναγοπούλου, ειδικός επιστήμονας – ελέγκτρια ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα ακόλουθα: Υπεβλήθη στην Αρχή η με αρ. πρωτ. Γ/ΕΙΣ/6150/11-09-2019 καταγγελία κατά της εταιρείας «Α ΚΑΙ ΣΙΑ ΕΕ» με το διακριτικό τίτλο «…» σχετικά με αποστολή μηνυμάτων ηλεκτρονικού ταχυδρομείου διαφημιστικού περιεχομένου στον καταγγέλλοντα ενώ αυτός είχε ζητήσει τη διαγραφή του λογαριασμού που 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr διατηρούσε ως πελάτης της. Συγκεκριμένα, σύμφωνα με το Γ/ΕΙΣ/6150/11-09-2019 έγγραφο ο καταγγέλλων ζήτησε μέσω email στις … τη διαγραφή του λογαριασμού του και έλαβε την ίδια μέρα από την … ηλεκτρονικό μήνυμα επιβεβαίωσης της διαγραφής. Συνέχισε όμως να λαμβάνει ηλεκτρονικά μηνύματα διαφημιστικού περιεχομένου. Η Αρχή με το με αρ. πρωτ. Γ/ΕΞ/6150-1/09-10-2019 έγγραφό της ενημέρωσε την … σχετικά με την καταγγελία και ζήτησε τις απόψεις της. Η … απάντησε με το με αρ. πρωτ: Γ/ΕΙΣ/7933/18-11-2019 έγγραφο στο οποίο αναφέρει ότι η αποστολή των διαφημιστικών μηνυμάτων μετά τη διαγραφή του λογαριασμού του καταγγέλλοντα είναι νόμιμη διότι βάσει το άρθρου 11, παρ. 3 του ν. 3471/2006 ο καταγγέλλων ήταν πελάτης της και δεν άσκησε ειδικά το δικαίωμα διαγραφής από τη λίστα των αποδεκτών των newsletters. Στη συνέχεια η Αρχή απέστειλε το με αρ. πρωτ. Γ/ΕΞ/Γ/ΕΞ/931/05-02-2020 έγγραφο με το οποίο ζήτησε τις ακόλουθες διευκρινίσεις: α) Με ποιο τρόπο δόθηκε η δυνατότητα αντίρρησης κατά το στάδιο της συλλογής της διεύθυνσης ηλεκτρονικού ταχυδρομείου του καταγγέλλοντος, β) Με ποιο τρόπο ενημερώνονται οι πελάτες και οι ενδιαφερόμενοι για λήψη emails διαφημιστικού περιεχομένου σχετικά με την επεξεργασία των προσωπικών τους δεδομένων και με γ) με ποιο τρόπο ενημερώνονται και υποβάλουν αιτήματα για άσκηση των δικαιωμάτων τους. Η … απάντησε με το με αρ. πρωτ. Γ/ΕΙΣ/1765/06-03-2020 έγγραφο στο οποίο αναφέρει μεταξύ άλλων τα εξής: Ο χρήστης έχει τη δυνατότητα να εκφράσει τις αντιρρήσεις του τόσο στο στάδιο της εγγραφής του στην ιστοσελίδα για την δημιουργία λογαριασμού, όσο και μεταγενέστερα ως εγγεγραμμένος χρήστης. Η λειτουργία των newsletters επεξηγείται με τρόπο σαφή και ξεκάθαρο στους Όρους Χρήσης και στην Πολιτική Απορρήτου. Μετά την εγγραφή του ο εγγεγραμμένος πλέον χρήστης έχει τη διαρκή και απρόσκοπτη δυνατότητα, να εκφράσει ρητά τις αντιρρήσεις του τόσο για την αποστολή newsletters όσο και για την διατήρηση του λογαριασμού του. Συγκεκριμένα, σε περίπτωση που ο αγοραστής επιθυμεί την διαγραφή του από την λίστα ενημερωτικών emails (newsletters) μπορεί να ζητήσει την διαγραφή του στέλνοντας με email το αίτημά του ή να πραγματοποιήσει αυτόματα την διαγραφή του στο ειδικό πεδίο που βρίσκεται στο τέλος κάθε σελίδας 2 newsletter που λαμβάνει. Στην περίπτωση που ο αγοραστής επιθυμεί την διαγραφή του λογαριασμού του (προφίλ) θα πρέπει να επικοινωνήσει με την Εταιρία, στέλνοντας το αίτημά του με email . Από τα ανωτέρω γίνεται ευχερώς κατανοητό στον χρήστη, ότι υφίσταται σαφής διάκριση μεταξύ α) της διαγραφής του από την αποστολή newsletters, που γίνεται είτε με αποστολή email είτε αυτόματα με επιλογή του ειδικού πεδίου που βρίσκεται στο τέλος κάθε newsletter που του αποστέλλεται και β) της διαγραφής του λογαριασμού του (προφίλ), που γίνεται με αποστολή email. Επομένως, εάν ένας χρήστης αποστείλει email, όπως στην προκειμένη περίπτωση, ζητώντας μόνο την διαγραφή του λογαριασμού του ως εγγεγραμμένου χρήστη (προφίλ), αυτό δεν σημαίνει αυτομάτως και διαγραφή του από την αποστολή ενημερωτικών emails (newsletters). Κι αυτό διότι δεν έχει εκφράσει ρητά τις αντιρρήσεις του προς τούτο. Έχει βέβαια τη διαρκή κι απρόσκοπτη δυνατότητα, να εκφράσει οποτεδήποτε τις αντιρρήσεις του για την αποστολή newsletters με τους προαναφερόμενους εύκολους κι απλούς τρόπους, για τους οποίους έχει ήδη ενημερωθεί με κατανοητό τρόπο τόσο με την Πολιτική Απορρήτου όσο και με τους Όρους Χρήσης. Κατόπιν των ανωτέρω, η Αρχή προχώρησε σε συζήτηση της υπόθεσης κατά τη συνεδρίαση τμήματος στις 11-11-
- Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου και αποχώρησε μετά από τη συζήτηση της υποθέσεως και πριν από τη διάσκεψη και τη λήψη αποφάσεως, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
- Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
- Σύμφωνα με το άρθρο 4 στοιχ. 7 του ΓΚΠΔ, ο οποίος είναι σε εφαρμογή από 3 τις 25 Μαΐου 2018, ως υπεύθυνος επεξεργασίας ορίζεται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα».
- Το ζήτημα, της πραγματοποίησης μη ζητηθεισών επικοινωνιών με οποιοδήποτε μέσο ηλεκτρονικής επικοινωνίας, χωρίς ανθρώπινη παρέμβαση, για σκοπούς απευθείας εμπορικής προώθησης προϊόντων ή υπηρεσιών και για κάθε είδους διαφημιστικούς σκοπούς, ρυθμίζεται με το άρθρο 11 του ν. 3471/2006 για την προστασία προσωπικών δεδομένων στον τομέα των ηλεκτρονικών επικοινωνιών, ο οποίος ενσωμάτωσε στην εθνική έννομη τάξη την Οδηγία 2002/58/ΕΚ. Σύμφωνα με το άρθρο αυτό, μία τέτοια επικοινωνία επιτρέπεται μόνο εφόσον ο συνδρομητής συγκατατεθεί εκ των προτέρων ρητώς. Κατ’ εξαίρεση, σύμφωνα με το άρθρο 11 παρ. 3 του ν. 3471/2006, τα στοιχεία επαφής ηλεκτρονικού ταχυδρομείου που αποκτήθηκαν νομίμως, στο πλαίσιο της πώλησης προϊόντων ή υπηρεσιών ή άλλης συναλλαγής, μπορούν να χρησιμοποιούνται για την απευθείας προώθηση παρόμοιων προϊόντων ή υπηρεσιών του προμηθευτή ή για την εξυπηρέτηση παρόμοιων σκοπών, ακόμη και όταν ο αποδέκτης του μηνύματος δεν έχει δώσει εκ των προτέρων τη συγκατάθεσή του, υπό την προϋπόθεση ότι του παρέχεται κατά τρόπο σαφή και ευδιάκριτο η δυνατότητα να αντιτάσσεται, με εύκολο τρόπο και δωρεάν, στη συλλογή και χρησιμοποίηση των ηλεκτρονικών του στοιχείων και αυτό κατά τη συλλογή των στοιχείων επαφής, καθώς και σε κάθε μήνυμα, σε περίπτωση που ο χρήστης αρχικά δεν είχε διαφωνήσει σε αυτή τη χρήση.
- Σύμφωνα με το άρθρο 17 παρ. 1 του ΓΚΠΔ, «Το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, εάν ισχύει ένας από τους ακόλουθους λόγους: (…) γ) το υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία σύμφωνα με το άρθρο 21 παράγραφος 1 και δεν υπάρχουν επιτακτικοί και νόμιμοι λόγοι για την επεξεργασία ή το υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία σύμφωνα με το άρθρο 21 παράγραφος 2». Περαιτέρω, στο άρθρο 21 παρ. 2 του ΓΚΠΔ ορίζεται ότι «Εάν δεδομένα προσωπικού χαρακτήρα 4 υποβάλλονται σε επεξεργασία για σκοπούς απευθείας εμπορικής προώθησης, το υποκείμενο των δεδομένων δικαιούται να αντιταχθεί ανά πάσα στιγμή στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν για την εν λόγω εμπορική προώθηση, περιλαμβανομένης της κατάρτισης προφίλ, εάν σχετίζεται με αυτήν την απευθείας εμπορική προώθηση.»
- Σύμφωνα με το άρθρο 5, παρ. 1 α) του ΓΚΠΔ τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»). Σύμφωνα με το άρθρο 6 του ΓΚΠΔ η επεξεργασία προσωπικών δεδομένων είναι σύννομη όταν ισχύουν κάποιες από τις προϋποθέσεις που αναφέρονται στο άρθρο, δηλαδή εφαρμόζεται συγκεκριμένη νομική βάση επεξεργασίας, μεταξύ άλλων η συγκατάθεση (παρ. α) ή το έννομο συμφέρον (παρ. στ).
- Στη συγκεκριμένη περίπτωση, πραγματοποιήθηκε επεξεργασία δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος για σκοπούς προώθησης προϊόντων και υπηρεσιών από την εταιρεία ..., που αποτελεί τον υπεύθυνο επεξεργασίας. Ο καταγγέλλων δεν έχει δώσει ειδική συγκατάθεση για την επεξεργασία των δεδομένων του για σκοπούς προώθησης προϊόντων και υπηρεσιών, αλλά, κατ’ εφαρμογή του την άρθρου 11 παρ. 3 του ν. 3471/2006 η επεξεργασία έχει νομική βάση στο άρθρο 6 παρ. 1 του ΓΚΠΔ, δηλαδή η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας και αυτοί υπερισχύουν των συμφερόντων ή των θεμελιωδών δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων. Το έννομο συμφέρον του υπευθύνου επεξεργασίας υπάρχει ως νομική βάση εφόσον υφίσταται η πελατειακή σχέση. Ο καταγγέλλων άσκησε το δικαίωμα διαγραφής βάσει του άρθρου 17 παρ. 1 του ΓΚΠΔ για τα στοιχεία που τηρεί ο υπεύθυνος επεξεργασίας για την πελατειακή σχέση. Ο υπεύθυνος επεξεργασίας, εφόσον ικανοποίησε το δικαίωμα διαγραφής του υποκειμένου ως πελάτη, παύει να έχει έρεισμα στο έννομο συμφέρον ως νομική βάση επεξεργασίας για το σκοπό προώθησης προϊόντων και υπηρεσιών και οφείλει να τον διαγράψει και από τις λίστες αποδεκτών προωθητικών ενεργειών. Συνεπώς, η επεξεργασία των δεδομένων του για την αποστολή προωθητικού μηνύματος έγινε κατά παράβαση της αρχής της νομιμότητας, αντικειμενικότητας και 5 διαφάνειας του άρθρου 5 παρ. 1 α’ του ΓΚΠΔ. Για να μπορεί να συνεχίσει την επεξεργασία των δεδομένων του για προωθητικούς σκοπούς, ο υπεύθυνος επεξεργασίας οφείλει να αναζητήσει άλλη νομική βάση, όπως είναι η συγκατάθεση. Η Αρχή κρίνει ότι καθώς η εν λόγω παράβαση αποτελεί μεμονωμένο περιστατικό, αλλά ενδέχεται αν επαναληφθεί και για άλλους πελάτες του υπεύθυνου επεξεργασίας, κατάλληλο διορθωτικό μέτρο αποτελεί η δυνάμει του άρθρου 58, παρ. 2 στοιχ. δ’ του ΓΚΠΔ εντολή στον υπεύθυνο επεξεργασίας να καταστήσει τις πράξεις επεξεργασίας σύμφωνες με τις διατάξεις του ΓΚΠΔ εντός ορισμένης προθεσμίας. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, δυνάμει του άρθρου 58 παρ. 2 στοιχ. δ ́του ΓΚΠ∆, καλεί την εταιρεία «Α ΚΑΙ ΣΙΑ ΕΕ» με το διακριτικό τίτλο «…» να προσαρμόσει τις διαδικασίες της εντός εξαμήνου ώστε η διαγραφή των στοιχείων πελάτη της που δεν έχει δώσει ειδική συγκατάθεση για την επεξεργασία των δεδομένων του για το σκοπό προώθησης προϊόντων και υπηρεσιών, να διασφαλίζει τη διαγραφή των στοιχείων του από τις λίστες αποδεκτών μηνυμάτων με σκοπό προώθησης προϊόντων και υπηρεσιών. Ο Αναπληρωτής Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 6