Διοικητικός έλεγχος στην εταιρεία Groupon Greece ΜΕΠΕ για τήρηση των υποχρεώσεων που απορρέουν από τους Ν. 2472/1997 και 3471/2006 - Επιβολή προστίμου

ΕΛΛΗΝΙΚΗ ∆ΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Αθήνα, 06-09-2013 Αριθ. Πρωτ.: Γ/ΕΞ/5733/06-09-2013 ΑΠΟΦΑΣΗ ΑΡ. 100/2013 (Τµήµα) Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τµήµατος στην έδρα της την Τρίτη 23 Ιουλίου και ώρα 10:00 µετά από πρόσκληση του Προέδρου της, σε συνέχεια της από 2 Ιουλίου 2013 συνεδρίασης, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυοµένου του Προέδρου της Αρχής Πέτρου Χριστόφορου, και τα αναπληρωµατικά µέλη της Αρχής Σπύρος Βλαχόπουλος, Γρηγόρης Λαζαράκος, ως εισηγητής, και Χαράλαµπος Ανθόπουλος, σε αντικατάσταση των τακτικών µελών Λεωνίδα Κοτσαλή, Αναστασίου – Ιωάννη Μεταξά και ∆ηµητρίου Μπριόλα, αντίστοιχα, οι οποίοι αν και εκλήθησαν νοµίµως εγγράφως δεν παρέστησαν λόγω κωλύµατος. Παρόντες χωρίς δικαίωµα ψήφου ήταν οι Κωνσταντίνος Λιµνιώτης και Ιωάννης Λυκοτραφίτης, πληροφορικοί ελεγκτές, ως βοηθοί εισηγητή, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τµήµατος διοικητικών και οικονοµικών υποθέσεων, ως γραµµατέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Η Γενική Γραµµατεία Καταναλωτή (εφεξής ΓΓΚ) κοινοποίησε στην Αρχή, µε το υπ’ αριθµ. πρωτ. …-…./2012 έγγραφό της (αριθµ. πρωτ. Αρχής: Γ/ΕΙΣ/1134/16-02-2012), την καταγγελία που της υποβλήθηκε από τον A στις 19-01-2012 αναφορικά µε την τήρηση των δεδοµένων της πιστωτικής του κάρτας από την εταιρεία Groupon Greece Μονοπρόσωπη Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 1 Εταιρεία Περιορισµένης Ευθύνης (εφεξής Groupon Ελλάδος), προκειµένου να την εξετάσει στο πλαίσιο των αρµοδιοτήτων της. Ειδικότερα, στην εν λόγω καταγγελία αναφέρεται ότι ο καταγγέλλων διαπίστωσε – κατά τη διαδικασία αγοράς κουπονιού µέσω του διαδικτυακού τόπου της εταιρείας www.groupon.gr - ότι ο αριθµός της πιστωτικής του κάρτας, το ονοµατεπώνυµο κατόχου, αλλά και η ηµεροµηνία λήξης αυτής, ήταν αποθηκευµένα στη βάση δεδοµένων της εταιρείας, αφού δεν χρειάστηκε να τα πληκτρολογήσει εκ νέου. Περαιτέρω, µε το ως άνω σχετικό έγγραφο κοινοποιήθηκε στην Αρχή η από 19-01-2012 απάντηση που η εταιρεία απέστειλε µέσω ηλεκτρονικού ταχυδροµείου στον καταγγέλλοντα (η οποία απάντηση προωθήθηκε από τον ίδιο στη ΓΓΚ), µε την οποία τον ενηµέρωσε ότι προέβη στη διαγραφή όλων των δεδοµένων των (δύο) πιστωτικών του καρτών. Σηµειώνεται ότι η ΓΓΚ κοινοποίησε επίσης στην Αρχή (αριθµ. πρωτ. Αρχής: Γ/ΕΙΣ/1767/08-03-2012) την υπ’ αριθµ. πρωτ. …/.2012 επιστολή που απέστειλε στην εταιρεία προκειµένου να έχει τις απόψεις της, καθώς επίσης και την υπ’ αριθµ. πρωτ. …/2012 απάντηση (αριθµ. πρωτ. Αρχής: Γ/ΕΙΣ/2622/09-04-2012) που έλαβε από την εταιρεία, όπου αναφέρεται ότι ικανοποιήθηκε το αίτηµα του πελάτη για τη διαγραφή των στοιχείων των δύο πιστωτικών του καρτών από τη βάση δεδοµένων της εταιρείας. Η Αρχή, στο πλαίσιο εξέτασης της εν λόγω υπόθεσης, απέστειλε στην εταιρεία το υπ’ αριθµ. πρωτ. Γ/ΕΞ/1134-1/08-03-2012 έγγραφο, µε το οποίο ζητούσε µεταξύ άλλων διευκρινίσεις επί των διαδικασιών που ακολουθεί η Groupon Ελλάδος – ως προς την επεξεργασία προσωπικών δεδοµένων των πελατών της - για την παροχή των διαδικτυακών της υπηρεσιών. Ακολούθως η Groupon Ελλάδος απάντησε µε το υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/3796/25-05-2012 έγγραφο, όπου αναφέρει µεταξύ άλλων ότι η επεξεργασία των προσωπικών δεδοµένων των πελατών της έχει ανατεθεί στην εταιρεία Groupon GmbH, µε έδρα το Βερολίνο, η οποία παρέχει υπηρεσίες αποθήκευσης – φιλοξενίας σε ασφαλή διακοµιστή στη Γερµανία. Περαιτέρω, σύµφωνα µε το ίδιο έγγραφο, οι υπηρεσίες ηλεκτρονικών πληρωµών (συµπεριλαµβανοµένης της συλλογής δεδοµένων πιστωτικών καρτών) έχουν ανατεθεί από την εταιρεία Groupon GmbH στην εταιρεία Adyen B.V. (εφεξής Adyen). Ειδικότερα, αναφέρεται ότι η Groupon GmbH δεν τηρεί δεδοµένα πιστωτικών καρτών - πάρα µόνο ένα τυχαίο «κλειδί» (token) που παράγεται για κάθε πελάτη την πρώτη φορά που αυτός/αυτή πραγµατοποιεί µια ηλεκτρονική αγορά. Το κλειδί αυτό στη συνέχεια διαβιβάζεται από την Groupon GmbH στην Adyen προκειµένου να γίνεται ανεύρεση των στοιχείων των πιστωτικών καρτών του πελάτη, κάθε φορά που αυτός/αυτή πραγµατοποιεί κάποια νέα ηλεκτρονική αγορά. Η εταιρεία Adyen µε τη σειρά της τηρεί για κάθε πελάτη, εκτός από το παραπάνω τυχαίο κλειδί, τον αριθµό της πιστωτικής κάρτας και την Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 2 ηµεροµηνία λήξης αυτής, αλλά όχι τον τριψήφιο αριθµό CVV/CVC/CCV (Card Verification Value/Card Validation Code/Card Code Verification) που βρίσκεται στο πίσω µέρος της κάρτας: ο αριθµός αυτός χρησιµοποιείται κατά την πρώτη συναλλαγή µε τον πελάτη (οπότε και παράγεται το τυχαίο κλειδί) αλλά ουδέποτε αποθηκεύεται. Σηµειώνεται επίσης στο ως άνω έγγραφο ότι τόσο η Groupon GmbH όσο και η εταιρεία Adyen συµµορφώνονται µε το διεθνές πρότυπο ασφαλείας PCI-DSS (Payment Card Industry Data Security Standard). Η εταιρεία απέστειλε επίσης στην Αρχή, µε το ως άνω έγγραφο, τη σύµβαση µε τη γερµανική εταιρεία Groupon GmbH. Επισηµαίνεται ότι, σύµφωνα µε τους όρους της σύµβασης, η επεξεργασία πραγµατοποιείται εντός της Οµοσπονδιακής ∆ηµοκρατίας της Γερµανίας ή κράτους εντός της Ευρωπαϊκής Ένωσης ή του Ευρωπαϊκού Οικονοµικού Χώρου. Στο ίδιο έγγραφο επίσης επισυνάπτεται λίστα υπεργολάβων εταιρειών, όπου για την παροχή υπηρεσιών ηλεκτρονικών εισπράξεων (συµπεριλαµβανοµένων της συλλογής/φιλοξενίας δεδοµένων πιστωτικών καρτών) αναφέρονται, πέραν της Adyen, οι: α) Telephonica GmbH (φύλαξη των διακοµιστών οι οποίοι τηρούν τα υπό επεξεργασία δεδοµένα), β) Experian CheetahMail Deutchland GmbH (παροχή υπηρεσιών σχετικών µε την αποστολή e-mail στους πελάτες). Επιπρόσθετα, υποβλήθηκε στην Αρχή η υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/4692/03-07-2012 καταγγελία από τον Β σχετικά µε αποστολή αζήτητης ηλεκτρονικής επικοινωνίας (spam) µέσω ηλεκτρονικού ταχυδροµείου από την Groupon Ελλάδος. Σηµειώνεται ότι, βάσει της υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/5646/23-08-2011 παλαιότερης καταγγελίας, η Αρχή έχει ήδη ενηµερώσει την Groupon Ελλάδος, µε το υπ’ αριθµ. πρωτ. Γ/ΕΞ/1534/01-03-2012 έγγραφο, σχετικά µε τις προϋποθέσεις νοµιµότητας που πρέπει να πληρούνται για την αποστολή διαφηµιστικών µηνυµάτων. Με την υπ’ αριθµ. πρωτ. Γ/ΕΞ/4734/04-07-2012 εντολή του Προέδρου της Αρχής, διατάχθηκε η διενέργεια ελέγχου στη Groupon Ελλάδος. Ο έλεγχος πραγµατοποιήθηκε στις 11-07-2012 στις εγκαταστάσεις της εταιρείας στην οδό Αιγιαλείας 54, στο Μαρούσι, από τους υπαλλήλους του Τµήµατος Ελεγκτών της Γραµµατείας της Αρχής Κωνσταντίνο Λιµνιώτη και Ιωάννη Λυκοτραφίτη (εφεξής «οµάδα ελέγχου»). Ο έλεγχος επικεντρώθηκε στα ζητήµατα που σχετίζονται µε τις ανωτέρω καταγγελίες, ήτοι α) στην επεξεργασία των προσωπικών δεδοµένων των πελατών της Groupon Ελλάδος, και ειδικότερα στην επεξεργασία δεδοµένων πιστωτικών καρτών και στην ασφάλεια των συναλλαγών, και β) στις διαδικασίες που ακολουθούνται προκειµένου να διασφαλίζεται η νόµιµη αποστολή διαφηµιστικών µηνυµάτων ηλεκτρονικού ταχυδροµείου από την εταιρεία. Κατά τον επιτόπιο έλεγχο, η οµάδα ελέγχου πραγµατοποίησε συνεντεύξεις µε διοικητικά Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 3 στελέχη της εταιρείας. Επίσης, στο πλαίσιο του ελέγχου, έγινε επίδειξη των εφαρµογών που χρησιµοποιούν οι υπάλληλοι της εταιρείας, και συγκεκριµένα του συστήµατος διαχείρισης πελατών (περιλαµβάνει προσωπικά στοιχεία πελατών και στοιχεία για τις αγορές τους), καθώς και του συστήµατος διαχείρισης στοιχείων πληρωµών των πελατών (µέσω ασφαλούς διαδικτυακής σύνδεσης µε τους διακοµιστές της Adyen). Περαιτέρω, έγινε επίδειξη της ιστοσελίδας που εµφανίζεται σε έναν εγγεγραµµένο και αυθεντικοποιηµένο χρήστη όταν προβαίνει σε αγορά κάποιου κουπονιού. Αναφορικά µε τα ανωτέρω, ζητήθηκε από τον υπεύθυνο επεξεργασίας να παραδώσει µια σειρά ηλεκτρονικών πειστηρίων (εφεξής Πειστήρια), τα οποία εµπεριέχουν αντιπροσωπευτικά δείγµατα οθόνης (screenshots). Μετά από την ολοκλήρωση του ελέγχου, η οµάδα ελέγχου συνέταξε τα Πρακτικά του ελέγχου (εφεξής Πρακτικά), στα οποία καταγράφονται οι απαντήσεις/διευκρινίσεις του υπεύθυνου επεξεργασίας, καθώς και επιτόπιες παρατηρήσεις της οµάδας ελέγχου. Το σχέδιο Πρακτικών εστάλη µε το υπ’ αριθµ. πρωτ. Γ/ΕΞ/4970/17-07-2012 έγγραφο της Αρχής στον υπεύθυνο επεξεργασίας για υποβολή σχολίων ή/και παρατηρήσεων. Με το ίδιο έγγραφο η Αρχή ζήτησε κάποιες συµπληρωµατικές διευκρινίσεις αναφορικά µε τις διαδικασίες που ακολουθούνται από την εταιρεία Adyen για τη διεκπεραίωση ηλεκτρονικών πληρωµών. Ο υπεύθυνος επεξεργασίας απάντησε µε το υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/6415/10-10-2012 έγγραφο, οπότε και τα Πρακτικά – λαµβάνοντας υπόψη και τα σχόλια του υπεύθυνου επεξεργασίας – οριστικοποιήθηκαν µε το µε αρ. πρωτ. Γ/ΕΞ/6969/31-10-2012 έγγραφο της Αρχής. Στη συνέχεια, η οµάδα ελέγχου µελέτησε τα Πρακτικά σε συνδυασµό µε τα Πειστήρια και συνέταξε Πόρισµα, το οποίο υπέβαλε στην Αρχή µε το υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/146/1101-2013 έγγραφο. Όπως διαπιστώνεται από το Πόρισµα και καταγράφεται στα ευρήµατα: o Οι πελάτες της Groupon δεν ενηµερώνονται για το γεγονός ότι δεδοµένα της πιστωτικής τους κάρτας τηρούνται από την εταιρεία Adyen. o Οι πελάτες της Groupon δεν ενηµερώνονται για το γεγονός ότι κανένα στοιχείο της πιστωτικής τους κάρτας (συµπεριλαµβανοµένου του τριψήφιου αριθµού CVV/CVC/CCV) δεν θα τους ζητηθεί εκ νέου σε επόµενες αγορές τους. Σηµειώνεται ότι, για την πραγµατοποίηση µιας ηλεκτρονικής αφοράς, απαιτείται µόνο η σύνδεση στον ηλεκτρονικό λογαριασµό του πελάτη στην ιστοσελίδα του υπεύθυνου επεξεργασίας, χωρίς να πραγµατοποιείται κανένας περαιτέρω έλεγχος (π.χ. επιβεβαίωση των στοιχείων της πιστωτικής κάρτας µέσω ελέγχου του τριψήφιου CCV/CVC/CCV). Ως εκ τούτου, ενδεχόµενη διαρροή του κωδικού πρόσβασης (που χρησιµοποιεί ένας πελάτης για τη σύνδεσή του στην ιστοσελίδα της εταιρείας) σε κάποιον τρίτο, θα επιτρέψει στον τελευταίο Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr την 4 πραγµατοποίηση αγοράς µε χρέωση της πιστωτικής κάρτας του πελάτη, ακόµα και αν δεν γνωρίζει κανένα στοιχείο της πιστωτικής κάρτας. o Ως άµεσο επακόλουθο των ανωτέρω, δεν λαµβάνεται από τους πελάτες η ρητή συγκατάθεσή τους για την ως άνω επεξεργασία (ήτοι την τήρηση στοιχείων της πιστωτικής τους κάρτας, καθώς και τη συνεπαγόµενη δυνατότητα πραγµατοποίησης µελλοντικών αγορών βάσει αυτών). o Ο υπεύθυνος επεξεργασίας πραγµατοποιεί αποστολή διαφηµιστικών µηνυµάτων ηλεκτρονικού ταχυδροµείου σε άτοµα που έχουν δηλώσει ρητά ότι δεν επιθυµούν τη λήψη τέτοιων µηνυµάτων. Η εταιρεία Groupon Greece Μονοπρόσωπη Εταιρεία Περιορισµένης Ευθύνης κλήθηκε, µε το υπ’ αριθµ. πρωτ. Γ/ΕΞ/4235/20-06-2013 έγγραφο της Αρχής, νοµίµως σε ακρόαση ενώπιον της Αρχής στη συνεδρίαση της 02-07-2013 για να δώσει περαιτέρω διευκρινίσεις και να εκθέσει τις απόψεις της επί των καταγγελλοµένων. Το ως άνω πόρισµα του ελέγχου επιδόθηκε επίσης στην εταιρεία, µαζί µε την κλήση της από την Αρχή για ακρόαση. Στη συνεδρίαση της Αρχής, την 02-07-2013, παρέστησαν νοµίµως, ως εκπρόσωποι της εταιρείας, ο Γ, ιδιοκτήτης αυτής, και η Αγγελική Γιαννακάκου, δικηγόρος Κατά την ακρόαση, οι εκπρόσωποι της εταιρείας, εξέθεσαν προφορικά τις απόψεις τους. Κατόπιν της ακρόασης, η εταιρεία κατέθεσε εµπροθέσµως σχετικό υπόµνηµα µε το υπ' αριθµ. πρωτ. Γ/ΕΙΣ/4624/09-07-2013 έγγραφο, εκθέτοντας και εγγράφως τις απόψεις της. Στο υπόµνηµά της η εταιρεία αναφέρει τα εξής: α) Αναφορικά µε την τήρηση των δεδοµένων της κάρτας για µελλοντικές αγορές, έχει προστεθεί, στην ιστοσελίδα που εµφανίζεται στο χρήστη κατά την αγορά/πληρωµή, σχετικό κείµενο ενηµέρωσης σε ήδη υπάρχον κείµενο για την αποδοχή των όρων χρήσης. Μέσω αυτού, ο χρήστης ενηµερώνεται και συγκατατίθεται στην τήρηση των στοιχείων της πιστωτικής/χρεωστικής του κάρτας και για χρήση σε µελλοντικές αγορές µέσω επιλογής στο σχετικό κουτί ελέγχου («τικ» σε κουτάκι δίπλα στο κείµενο που είναι το ίδιο µε την έκφραση αποδοχής των όρων χρήσης). Ειδικότερα, όπως προκύπτει και από το στιγµιότυπο οθόνης που επισυνάπτεται στο ως άνω υπόµνηµα, στο κείµενο αυτό αναφέρεται το εξής: «Bεβαιώνω ότι είµαι άνω των 18 ετών και ότι έχω διαβάσει και συµφωνώ µε τoυς όρoυς χρήσης καθώς και µε την τήρηση των ανωτέρω στοιχείων πληρωµής για χρήση σε µελλοντικές αγορές µου». Περαιτέρω, η εταιρεία διευκρινίζει ότι ακόµα κι αν υπάρξει περιστατικό παραβίασης του συνθηµατικού πρόσβασης ενός χρήστη, αφενός δεν θα µπορεί να γίνει γενικευµένη χρήση των στοιχείων της κάρτας αυτού, παρά µόνο πραγµατοποίηση αγορών µε χρήση Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 5 της κάρτας µέσω της ιστοσελίδας της εταιρείας, αφετέρου στην περίπτωση αυτή ο κάτοχος της κάρτας θα µπορεί να αµφισβητήσει τη συναλλαγή και το αίτηµά του θα γίνει αποδεκτό από την εταιρεία χωρίς καµία επιβάρυνση. β) Αναφορικά µε την αποστολή αζήτητης ηλεκτρονικής αλληλογραφίας, η εταιρεία από το Μάρτιο του 2013 έχει ανανεώσει το σύστηµα εγγραφής/αποεγγραφής στο ενηµερωτικό της δελτίο (newsletter), έτσι ώστε ο κάθε χρήστης να µπορεί να επιλέγει το είδος των ενηµερωτικών δελτίων που θα λαµβάνει, καθώς επίσης και να ζητήσει να µη λαµβάνει κανένα. Περαιτέρω, δυνατότητα διαγραφής από τη λίστα παραληπτών ενηµερωτικών δελτίων δίνεται και µέσω των σχετικών µηνυµάτων ηλεκτρονικού ταχυδροµείου που αποστέλλονται στους χρήστες που τα έχουν αιτηθεί. Η εταιρεία, τέλος, διευκρινίζει ότι δεν έχει αποστείλει ποτέ διαφηµιστικά µηνύµατα µέσω ηλεκτρονικού ταχυδροµείου σε άτοµα που δεν έχουν δώσει τη συγκατάθεσή τους, ενώ το σχετικό πρόβληµα που υπήρχε παλαιότερα (αναφορικά µε το γεγονός ότι, αν κάποιος πραγµατοποιούσε µία αγορά µέσω της ιστοσελίδας της εταιρείας, τότε θα λάµβανε στο µέλλον διαφηµιστικά µηνύµατα, ακόµα και αν προ της αγοράς είχε δηλώσει ότι δεν επιθυµούσε τη λήψη αυτών) έχει διορθωθεί. Η Αρχή, µετά από εξέταση των προαναφεροµένων στοιχείων, αφού αναγνώστηκαν τα πρακτικά της συνεδρίασης της 02/07/2013, άκουσε τον εισηγητή και τους βοηθούς εισηγητή, οι οποίοι στη συνέχεια αποχώρησαν, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΘΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

1. Σύµφωνα µε το άρθρο 5 παρ. 1 του ν. 2472/1997, η επεξεργασία δεδοµένων προσωπικού χαρακτήρα (στα οποία συγκαταλέγονται και τα δεδοµένα πιστωτικών καρτών) επιτρέπεται µόνο όταν το υποκείµενο έχει δώσει τη συγκατάθεσή του, εκτός εάν συντρέχει µία από τις προβλεπόµενες από την παράγραφο 2 του ιδίου άρθρου εξαιρέσεις, οπότε είναι νόµιµη η επεξεργασία και χωρίς τη συγκατάθεση του υποκειµένου. Σηµειώνεται ότι, σύµφωνα µε το άρθρο 2 του ν. 2472/1997, ως συγκατάθεση νοείται «κάθε ελεύθερη, ρητή και ειδική δήλωση βουλήσεως που εκφράζεται µε τρόπο σαφή, και εν πλήρη επιγνώσει, και µε την οποία, το υποκείµενο των δεδοµένων, αφού προηγουµένως ενηµερωθεί, δέχεται να αποτελέσουν αντικείµενο της επεξεργασίας τα δεδοµένα προσωπικού χαρακτήρα που το αφορούν». Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 6 Στη συγκεκριµένη περίπτωση, αναφορικά µε την τήρηση στοιχείων των πιστωτικών καρτών των πελατών της εταιρείας και τη δυνατότητα που τους παρέχεται, ως εγγεγραµµένοι χρήστες, να πραγµατοποιούν αγορές µέσω του διαδικτυακού τόπου της εταιρείας χωρίς να επανεισάγουν κάθε φορά τα στοιχεία της κάρτας τους, σηµειώνεται ότι η πραγµατοποίηση µίας αγοράς από κάποιον εγγεγραµµένο χρήστη δεν µπορεί να θεωρηθεί ως ελεύθερη, ρητή και ειδική βούλησή του για την εν λόγω επεξεργασία που εκφράζεται εν πλήρη επιγνώσει, διότι δεν έχει προηγουµένως ενηµερωθεί για τα βασικά χαρακτηριστικά αυτής (βλ. και επόµενη Σκέψη 2). Συνεπώς, το σύννοµο της εν λόγω επεξεργασίας θα πρέπει να κριθεί µε βάση τη διάταξη του άρθρου 5 παρ. 2 στοιχ. ε) του ν. 2472/1997, αφού δεν συντρέχει άλλος λόγος επεξεργασίας από όσους αναφέρονται στο ίδιο άρθρο. Σύµφωνα µε την εν λόγω διάταξη, κατ’ εξαίρεση επιτρέπεται η επεξεργασία και χωρίς συγκατάθεση όταν «η επεξεργασία είναι απολύτως αναγκαία για την ικανοποίηση του έννοµου συµφέροντος που επιδιώκει ο υπεύθυνος επεξεργασίας (…), και υπό τον όρο ότι τούτο υπερέχει προφανώς των δικαιωµάτων και συµφερόντων των προσώπων στα οποία αναφέρονται τα δεδοµένα και δεν θίγονται οι θεµελιώδεις ελευθερίες αυτών». Ωστόσο, για τη συγκεκριµένη περίπτωση, επισηµαίνεται ότι η εν λόγω επεξεργασία δεν είναι απολύτως αναγκαία για την πραγµατοποίηση της αγοράς, αφού µπορεί να πραγµατοποιηθεί και χωρίς αυτή. Κατά συνέπεια, λαµβάνοντας επίσης υπόψη και τους κινδύνους όπως αναλύονται στη συνέχεια στη Σκέψη 3, δεν πληρούνται οι προϋποθέσεις του άρθρου 5 παρ. 2 στοιχ. ε).
2. Σύµφωνα µε το άρθρο 11 του ν. 2472/1997 ο υπεύθυνος επεξεργασίας οφείλει να ενηµερώνει τα υποκείµενα των δεδοµένων, µε τρόπο πρόσφορο και σαφή, για τα βασικά χαρακτηριστικά της επεξεργασίας καθώς και για τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδοµένων τους. Στη συγκεκριµένη περίπτωση, για το γεγονός ότι µετά την πρώτη αγορά που θα πραγµατοποιήσει ένας πελάτης µέσω πιστωτικής/χρεωστικής κάρτας δεν θα του ζητηθεί στο µέλλον, σε επόµενη αγορά, η επανεισαγωγή των στοιχείων της κάρτας του, που αποτελεί βασικό χαρακτηριστικό της επεξεργασίας, δεν παρέχεται σαφής προηγούµενη ενηµέρωση προς τους πελάτες/κατόχους των καρτών (πέραν µίας γενικής διατύπωσης στην Πολιτική Απορρήτου στο διαδικτυακό τόπο της εταιρείας, όπου αναφέρεται ότι «(…) δυνάµεθα να διαθέσουµε τις προσωπικές πληροφορίες σας σε αντιπροσώπους και υπεργολάβους µας προκειµένου να διευκολυνθεί οποιαδήποτε χρήση των δεδοµένων σας που αναφέρεται στην παρούσα Πολιτική. Για παράδειγµα, δυνάµεθα να χρησιµοποιήσουµε τρίτα µέρη να µας παρέχουν υπηρεσίες προώθησης προϊόντων ή υπηρεσίες εξυπηρέτησης πελατών ή να τις αποστείλουµε σε πάροχο πιστωτικών καρτών προκειµένου να επεξεργαστεί µία πληρωµή») – Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 7 οπότε και, κατ’ επέκταση, δεν ζητείται και η ρητή συγκατάθεσή τους για αυτή την επεξεργασία. Όπως δήλωσε η εταιρεία στο υπ΄ αριθµ. πρωτ. Γ/ΕΙΣ/4624/09-07-2013 υπόµνηµά της, πλέον έχει προστεθεί, στην ιστοσελίδα που εµφανίζεται στο χρήστη κατά την αγορά/πληρωµή, σχετικό κείµενο ενηµέρωσης σε ήδη υπάρχον κείµενο για την αποδοχή των όρων χρήσης, µέσω του οποίου, ο χρήστης ενηµερώνεται στην τήρηση των στοιχείων της πιστωτικής/χρεωστικής του κάρτας και για χρήση σε µελλοντικές αγορές.
3. Το άρθρο 10, παρ. 3 του ν. 2472/1997 ορίζει ότι ο υπεύθυνος επεξεργασίας οφείλει να λαµβάνει τα κατάλληλα οργανωτικά και τεχνικά µέτρα για την ασφάλεια των δεδοµένων και την προστασία τους από τυχαία ή αθέµιτη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευµένη διάδοση ή πρόσβαση και κάθε άλλη µορφή αθέµιτης επεξεργασίας. Αυτά τα µέτρα πρέπει να εξασφαλίζουν επίπεδο ασφαλείας ανάλογο προς τους κινδύνους που συνεπάγεται η επεξεργασία και η φύση των δεδοµένων που είναι αντικείµενο της επεξεργασίας. Στο ίδιο άρθρο αναφέρεται ότι ο υπεύθυνος επεξεργασίας οφείλει να επιλέγει πρόσωπα µε αντίστοιχα επαγγελµατικά προσόντα που παρέχουν επαρκείς εγγυήσεις από πλευράς τεχνικών γνώσεων και προσωπικής ακεραιότητας για την τήρηση του απορρήτου. Ειδικά για την ασφάλεια σε ηλεκτρονικές πληρωµές, σηµείο αναφοράς αποτελεί το διεθνώς αναγνωρισµένο πρότυπο ασφαλείας Payment Card Industry Data Security Standard (PCI/DSS). Το PCI/DSS αναπτύχθηκε από το ανοιχτό παγκόσµιο forum Payment Card Industry Security Standards Council για να ενισχύσει την ασφάλεια των δεδοµένων του κατόχου πιστωτικών καρτών µέσω της υιοθέτησης ενιαίων µέτρων ασφαλείας παγκοσµίως. Το πρότυπο αυτό απευθύνεται σε όλους τους φορείς που εµπλέκονται στην επεξεργασία πληρωµών µε πιστωτική κάρτα, συµπεριλαµβανοµένων των εµπόρων, των φορέων παροχής υπηρεσιών, καθώς και όλων των µερών που αποθηκεύουν, επεξεργάζονται ή µεταδίδουν δεδοµένα κατόχων καρτών
4. Σηµειώνεται ότι το πρότυπο PCI/DSS προβλέπει ότι ο τριψήφιος αριθµός ασφαλείας που βρίσκεται στο πίσω µέρος της κάρτας δεν πρέπει να αποθηκεύεται. Η Αρχή κρίνει ότι η συµµόρφωση µε το πρότυπο PCI/DSS αποτελεί απαραίτητη προϋπόθεση για την κατ’ ελάχιστο εκπλήρωση των όρων του άρθρου 10 του ν. 2472/
5. Στη συγκεκριµένη περίπτωση, τόσο η Groupon GmbH όσο και η Adyen συµµορφώνονται µε το ως άνω πρότυπο. Επίσης, σηµειώνεται ότι η διαδικτυακή σύνδεση των εξουσιοδοτηµένων υπαλλήλων της Groupon Ελλάδος µε τους διακοµιστές της Groupon GmbH και της Adyen 1 https://www.pcisecuritystandards.org/documents/pci_dss_v2.pdf Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 8 είναι κρυπτογραφηµένη (χρήση πρωτοκόλλου HTTPS). Ωστόσο, το γεγονός ότι, µετά την πρώτη αγορά που θα πραγµατοποιήσει ένας χρήστης, δεν θα του ζητηθεί εκ νέου, σε καµία επόµενή του αγορά, να εισάγει τα στοιχεία της πιστωτικής του κάρτας (συµπεριλαµβανοµένου µάλιστα και του τριψήφιου αριθµού ασφαλείας, ο οποίος – παρόλο που δεν αποθηκεύεται, σε συµµόρφωση µε το PCI/DSS πρότυπο - δεν θα του ζητηθεί ξανά), αυξάνει τους κινδύνους ως προς την ασφάλεια της επεξεργασίας – ιδίως δε σε συνδυασµό µε το ότι δεν παρέχεται από τον υπεύθυνο επεξεργασίας προς τους πελάτες σχετική ενηµέρωση για αυτό. Και τούτο διότι ενδεχόµενη διαρροή του κωδικού πρόσβασης (συνθηµατικού) που χρησιµοποιεί ένας χρήστης (για τη σύνδεσή του στο διαδικτυακό τόπο της εταιρείας) σε κάποιον τρίτο, θα επιτρέψει στον τελευταίο την πραγµατοποίηση αγοράς µε χρέωση της πιστωτικής κάρτας του πελάτη, ακόµα και αν δεν γνωρίζει κανένα στοιχείο της κάρτας αυτής.
6. Σύµφωνα µε το άρθρο 11 παρ. 1 του ν. 3471/2006, όπως τροποποιήθηκε και ισχύει, η πραγµατοποίηση µη ζητηθεισών επικοινωνιών µε οποιοδήποτε µέσο ηλεκτρονικής επικοινωνίας, µε ή χωρίς ανθρώπινη παρέµβαση, για σκοπούς απευθείας εµπορικής προώθησης προϊόντων ή υπηρεσιών και για κάθε είδους διαφηµιστικούς σκοπούς, επιτρέπεται µόνο αν ο συνδροµητής συγκατατεθεί εκ των προτέρων ρητώς. Περαιτέρω, σύµφωνα µε την παρ. 3 του ίδιου άρθρου, τα στοιχεία επαφής ηλεκτρονικού ταχυδροµείου που αποκτήθηκαν νοµίµως, στο πλαίσιο της πώλησης προϊόντων ή υπηρεσιών ή άλλης συναλλαγής, µπορούν να χρησιµοποιούνται για την απευθείας προώθηση παρόµοιων προϊόντων ή υπηρεσιών του προµηθευτή ή για την εξυπηρέτηση παρόµοιων σκοπών, ακόµα και όταν ο αποδέκτης δεν έχει δώσει εκ των προτέρων τη συγκατάθεσή του, υπό την προϋπόθεση ότι του παρέχεται κατά τρόπο σαφή και ευδιάκριτο η δυνατότητα να αντιτάσσεται, µε εύκολο τρόπο και δωρεάν, στη συλλογή και χρησιµοποίηση των ηλεκτρονικών του στοιχείων, και αυτό κατά τη συλλογή των στοιχείων επαφής, καθώς και σε κάθε µήνυµα, σε περίπτωση που ο χρήστης αρχικά δεν είχε διαφωνήσει σε αυτή τη χρήση. Στη συγκεκριµένη περίπτωση, η Groupon Ελλάδος απέστελλε διαφηµιστικά µηνύµατα σε πελάτες που είχαν πραγµατοποιήσει αγορά µέσω του διαδικτυακού τόπου της εταιρείας και είχαν δηλώσει ότι δεν επιθυµούν τη λήψη τέτοιων µηνυµάτων (είτε ρητά είτε µη επιλέγοντας κατά την αγορά τo σχετικό πεδίο ελέγχου δήλωσης επιθυµίας λήψης µηνυµάτων), κατά παράβαση της ανωτέρω διάταξης και παρά το γεγονός ότι η Αρχή έχει ήδη ενηµερώσει τον υπεύθυνο επεξεργασίας σχετικά µε τις προϋποθέσεις νόµιµης προώθησης προϊόντων/υπηρεσιών µε το υπ’ αριθµ. πρωτ. Γ/ΕΞ/1534/01-03-2012 έγγραφό της. Η εταιρεία, µε το υπ΄ αριθµ. πρωτ. Γ/ΕΙΣ/4624/09-07-2013 υπόµνηµά της, δηλώνει ότι πλέον η Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 9 πρακτική αυτή έχει εγκαταλειφθεί. Συνεπώς η εταιρεία Groupon Greece παραβίασε τις διατάξεις των άρθρων 5, 10 και 11 του ν. 2472/1997 και του άρθρου 11 του ν. 3471/2006 και, λαµβάνοντας υπόψη και το άρθρο 13 του ν. 3471/2006, συντρέχουν οι προϋποθέσεις επιβολής σε βάρος της των κατ’ άρθρο 21 παρ. 1 α και β΄ του ν. 2472/1997 διοικητικών κυρώσεων, λαµβανοµένων υπόψη και των ανωτέρω ενεργειών στις οποίες προέβη προς αποκατάσταση της νοµιµότητας και συµµόρφωση προς τις υποχρεώσεις που επιβάλλουν οι ανωτέρω διατάξεις. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα, 1) Επιβάλλει στη Groupon Greece Μονοπρόσωπη Εταιρεία Περιορισµένης Ευθύνης, πρόστιµο χιλίων πεντακοσίων Ευρώ (1.500€) για παραβίαση του άρθρου 11 του ν. 3471/
7. 2) Απευθύνει προειδοποίηση στην Groupon Greece Μονοπρόσωπη Εταιρεία Περιορισµένης Ευθύνης να προβεί στις κάτωθι ενέργειες, καθώς επίσης και να ενηµερώσει σχετικά την Αρχή, αναφορικά µε την εκπλήρωση των υποχρεώσεών της που τίθενται στα άρθρα 5, 10 και 11 του ν. 2472/1997: o Να ζητά τη ρητή συγκατάθεση των πελατών της για την επεξεργασία δεδοµένων των πιστωτικών/χρεωστικών τους καρτών, αναφορικά µε την τήρηση δεδοµένων της πιστωτικής τους κάρτας κατά τρόπο τέτοιο ώστε να παρέχεται η δυνατότητα στο να πραγµατοποιούν αγορές χωρίς να χρειάζεται να επανεισάγουν τα στοιχεία των πιστωτικών τους καρτών. Προκειµένου η συγκατάθεση για αυτήν ακριβώς την επεξεργασία να είναι ελεύθερη, θα πρέπει να δίνεται στους χρήστες η δυνατότητα να επιλέξουν ρητώς εάν επιθυµούν να απολαύουν αυτής της υπηρεσίας ή αν αντίθετα επιθυµούν να εισάγουν, κάθε φορά που πραγµατοποιούν µία νέα αγορά, τα στοιχεία της κάρτας τους. Ως εκ τούτου, η σχετική δήλωση συγκατάθεσης των χρηστών θα πρέπει να είναι διακριτή από άλλες δηλώσεις συγκατάθεσης (ήτοι να υπάρχει ξεχωριστό κείµενο το οποίο να περιγράφει σαφώς τη δυνατότητα τήρησης στοιχείων κάρτας για µελλοντικές αγορές), χωρίς να είναι υποχρεωτικό για το χρήστη, προκειµένου να πραγµατοποιήσει κάποια αγορά, να επιλέξει το σχετικό πεδίο. Τέλος, η Αρχή απευθύνει σύσταση στην Groupon Greece Μονοπρόσωπη Εταιρεία Περιορισµένης Ευθύνης να ενηµερώνει µε τρόπο πρόσφορο και σαφή τους πελάτες για τη Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 10 σηµασία της επιλογής κωδικού πρόσβασης (συνθηµατικού), και να εφαρµόζει επίσης κανόνες για να αποτρέπεται - κατά το δυνατόν - η επιλογή εύκολα προβλέψιµων συνθηµατικών από τους χρήστες (π.χ. καθορισµός ελάχιστου επιτρεπτού µήκους, υποχρεωτική χρήση µη αλφαριθµητικών χαρακτήρων κτλ.). Ο Αναπληρωτής Πρόεδρος Η γραµµατέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 11