Επιβολή διοικητικού προστίμου για παράνομη επεξεργασία προσωπικών δεδομένων και μη κατ’ ουσίαν εξέταση δικαιωμάτων εναντίωσης και διαγραφής

Αθήνα, 19-07-2022 Αριθ. Πρωτ.: 1866 ΑΠΟΦΑΣΗ 25/2022 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος μέσω τηλεδιασκέψεως την 11-05-2022 μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής, Κωνσταντίνου Μενουδάκου, το αναπληρωματικό μέλος, Μαρία Ψάλλα ως εισηγήτρια, σε αναπλήρωση του τακτικού μέλους Γρηγορίου Τσόλια, ο οποίος, αν και είχε προσκληθεί νομίμως εγγράφως, απουσίασε λόγω κωλύματος, και τα αναπληρωματικά μέλη Νικόλαος Λίβος και Δημοσθένης Βουγιούκας σε αναπλήρωση των τακτικών μελών Χαράλαμπου Ανθόπουλου και Κωνσταντίνου Λαμπρινουδάκη αντίστοιχα, οι οποίοι, αν και είχαν προσκληθεί νομίμως εγγράφως, απουσίασαν λόγω κωλύματος. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, η Κυριακή Καρακάση, νομική ελέγκτρια – δικηγόρος, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Με τη με αριθ. πρωτ. Γ/ΕΙΣ/3939/15-06-2021 καταγγελία της η A καταγγέλλει ότι από τον Σεπτέμβριο του 2020 δεχόταν τηλεφωνικές οχλήσεις από εκπροσώπους της καταγγελλόμενης ανώνυμης εταιρείας με την επωνυμία «doValue Greece Ανώνυμη Εταιρεία Διαχείρισης Απαιτήσεων από Δάνεια και Πιστώσεις» σχετικά με οφειλές της προς την τράπεζα Eurobank, οι οποίες είχαν ανατεθεί προς διαχείριση στην πρώτη. Ακολούθως, στις Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 04-02-2021 υπέβαλε δια του πληρεξούσιου δικηγόρου της, δήλωση εναντίωσης στην ανωτέρω επεξεργασία, ζητώντας την άμεση διακοπή των οχλήσεων και τη διαγραφή των προσωπικών της δεδομένων από τον κατάλογο οφειλετών της εταιρείας (βλ. επισυναπτόμενα έγγραφα στην καταγγελία καθώς και την από 04-02-2021 εξουσιοδότηση της καταγγέλλουσας προς τον πληρεξούσιο δικηγόρο, ενώ είχε προηγηθεί και η από 07-012021 σχετική εξουσιοδότησή της). Επεσήμανε δε στο πλαίσιο της αυτής ως άνω αιτήσεως ότι κατόπιν εκδόσεως της με αριθ. … Απόφασης του Ειρηνοδικείου [περιοχής] Χ, με την οποία υπήχθη στον ν. 3869/2010 περί υπερχρεωμένων νοικοκυριών, ρυθμίστηκαν επί τετραετία οι οφειλές της, συμπεριλαμβανομένων και των επίμαχων για τις οποίες οχλείται τηλεφωνικά από την καταγγελλόμενη εταιρεία, ενώ με τη με αριθ. … Απόφαση του ιδίου Δικαστηρίου πιστοποιήθηκε η απαλλαγή της από το υπόλοιπο των οφειλών της, λόγω κανονικής εκτέλεσης της υποχρέωσης που της επιβλήθηκε με την πρώτη δικαστική απόφαση στο πλαίσιο του άρθρου 8 παρ. 2 του ν. 3869/

1. Ωστόσο, σύμφωνα με τα καταγγελλόμενα, οι τηλεφωνικές οχλήσεις εκ μέρους της καταγγελλόμενης εταιρείας συνεχίστηκαν. Στη συνέχεια, αφού η καταγγέλλουσα ενημερώθηκε τηλεφωνικά περί του ότι οι επίμαχες οχλήσεις συνδέονται με την ήδη λυθείσα ομόρρυθμη εταιρεία που έφερε την επωνυμία «… Ο.Ε», στην οποία η καταγγέλλουσα υπήρξε ομόρρυθμη εταίρος, απέστειλε εκ νέου μήνυμα στην καταγγελλόμενη, στις 22-02-2021, με το οποίο επανέφερε το αίτημα περί διακοπής των τηλεφωνικών οχλήσεων τονίζοντας ότι δεν ευθύνεται για τις επίμαχες οφειλές ούτε ως εγγυήτρια ούτε ως πρώην ομόρρυθμη εταίρος, καθ’ όσον με την υπαγωγή της στις διατάξεις του ν. 3869/2010 διαγνώστηκαν αμφότερες οι ανωτέρω ιδιότητες. Κατόπιν τούτων, η καταγγέλλουσα αναφέρει ότι η εταιρεία ουδέποτε απάντησε στο ανωτέρω αίτημα διαγραφής, ενώ τον Μάϊο του 2021 παρέλαβε την από 14-01-2021 επιστολή της καταγγελλομένης, με την οποία ενημερώθηκε περί του ότι τα αναγραφόμενα στην ως άνω εξουσιοδότηση στοιχεία του Αστυνομικού Δελτίου Ταυτότητάς της δεν συνέπιπταν με τα σχετικώς τηρούμενα στο αρχείο της καταγγελλομένης, και επομένως προκειμένου να γίνει αποδεκτή η εν λόγω εξουσιοδότηση προϋποτίθεται η μετάβαση σε κάποιο κατάστημα της τράπεζας Eurobank για την επικαιροποίηση των στοιχείων ταυτοποίησής της, προκειμένου να επανυποβληθεί στο ορθό το υπόδειγμα εξουσιοδότησης στο οποίο αναφέρονται στην εν λόγω επιστολή. Επισημαίνει δε η καταγγέλλουσα ότι με την εν λόγω επιστολή, η καταγγελλόμενη εταιρεία αρνήθηκε να απαντήσει στο αίτημά της, εξηγώντας το λόγο επεξεργασίας των προσωπικών της δεδομένων, ενώ αρνήθηκε και την ικανοποίηση του 2 δικαιώματος διαγραφής των δεδομένων της από τα αρχεία της. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, με το με αριθ. πρωτ. Γ/ΕΞ/1995/02-09-2021 έγγραφό της, ζήτησε από την εν λόγω εταιρεία διευκρινίσεις επί των καταγγελλομένων, εστιάζοντας ιδίως στο αν υφίστατο νόμιμο έρεισμα για τις τηλεφωνικές οχλήσεις προς την καταγγέλλουσα, καθώς και στο αν ασκήθηκαν εκ μέρους της συγκεκριμένα δικαιώματά της, ως υποκειμένου δεδομένων, εάν και τι ακριβώς της απάντησαν επ’ αυτών, καθώς και τους λόγους τυχόν καθυστερημένης απάντησής τους, ζητώντας παράλληλα να επισυναφθεί η σχετική αίτηση της καταγγέλλουσας και η τυχόν απάντηση επ’ αυτής. Κατόπιν δε αυτού, με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/5909/20-09-2021 απαντητικό έγγραφό της, η καταγγελλόμενη, αναφέρεται στις δύο επίμαχες δανειακές συμβάσεις που είχαν συναφθεί με την ανωτέρω ήδη λυθείσα ομόρρυθμη εταιρεία (προσκομίζοντας ενώπιον της Αρχής το δημοσιευθέν στο Εμπορικό και Βιομηχανικό Επιμελητήριο [περιοχής] Χ από 15-11-2010 σχετικό ιδιωτικό συμφωνητικό λύσης της), επιβεβαιώνοντας ότι τελεί σε γνώση των δύο προαναφερόμενων αποφάσεων του Ειρηνοδικείου [περιοχής] Χ, τις οποίες προσκομίζει ενώπιον της Αρχής μετά της σχετικής αίτησης της καταγγέλλουσας προς υπαγωγή της στις διατάξεις του ν. 3869/
2. Διευκρινίζει, ωστόσο, ότι η απαλλαγή της καταγγέλλουσας με τη με αριθ. … ως άνω Απόφαση αφορούσε αποκλειστικά και μόνο στην ευθύνη της ως εγγυήτριας στο πλαίσιο των ανωτέρω συμβάσεων, χωρίς να καταλαμβάνει την απορρέουσα από την ιδιότητά της ως ομορρύθμου εταίρου της ανωτέρω εταιρείας τοιαύτη κατ’ επίκληση και των διατάξεων των άρθρων 22 του Εμπορικού Νόμου και 258 του ν. 4072/
3. Συμπεραίνει δε, ότι ενόψει των ανωτέρω υφίστατο νόμιμο έρεισμα για τη διενέργεια τηλεφωνικών οχλήσεων προς την καταγγέλλουσα, που ελάμβαναν χώρα κατόπιν αποστολής προς την τελευταία των από 1806-2019 επιστολών, με τις οποίες ενημερώθηκε για τη διαβίβαση των προσωπικών της δεδομένων προς την καταγγελλόμενη (βλ. επισυναπτόμενα έγγραφα στην απάντησή της)
4. Επιπλέον, επιβεβαιώνει το περιεχόμενο της ως άνω από 14-01-2021 επιστολής της προς την καταγγέλλουσα, επισημαίνοντας τη μη δυνατότητα ταυτοποίησής της, για την αναγκαιότητα επαλήθευσης της οποίας μνημονεύει το σχετικό κανονιστικό πλαίσιο, λόγω της προπεριγραφόμενης αναντιστοιχίας στον αριθμό του Δελτίου Αστυνομικής Ταυτότητάς της Η δε καταγγελλόμενη έφερε κατά το χρόνο εκείνο την επωνυμία «Eurobank FPS Ανώνυμη Εταιρεία Διαχείρισης Απαιτήσεων από Δάνεια και Πιστώσεις» 1 3 και τον συνακόλουθο, κατ’ αυτήν, κίνδυνο διαρροής των προσωπικών της δεδομένων. Μάλιστα, η καταγγελλόμενη αναφέρει ότι και στις 22-02-2021, οπότε και η καταγγέλλουσα της απηύθυνε εκ νέου την αυτή εξουσιοδότηση, δεν ολοκληρώθηκε το περί εκπροσώπησής της από τρίτο πρόσωπο αίτημα, καθ’ όσον δεν ήταν δυνατή η ταυτοποίησή της, ενώ ισχυρίζεται ότι οι τηλεφωνικές κλήσεις που έλαβαν χώρα μετά την αποστολή των ως άνω εξουσιοδοτήσεων είχαν ως στόχο την ενημέρωσή της για τις ελλείψεις των τελευταίων καθώς και για την ανάγκη επικαιροποίησης των προσωπικών της στοιχείων. Σχετικά δε με τη μη ικανοποίηση των δικαιωμάτων εναντίωσης και διαγραφής που άσκησε η καταγγέλλουσα, αναφέρεται ότι αυτά δεν μπορούσαν να ικανοποιηθούν για τους προαναφερόμενους λόγους, παραπέμποντας και σε σχετικές, κατά τους ισχυρισμούς της, τηλεφωνικές συνομιλίες με την καταγγέλλουσα. Η Αρχή κάλεσε με τις με αριθ. Πρωτ. Γ/ΕΞΕ/432/15-02-2022 και Γ/ΕΞΕ/429/15-022022 κλήσεις αμφότερα τα μέρη σε ακρόαση, μέσω τηλεδιάσκεψης, ώστε να ακουστούν στην από 23-02-2022 συνεδρίαση του αρμόδιου Τμήματος, δίδοντας προθεσμία προσκομίσεως τυχόν υπομνημάτων προς περαιτέρω υποστήριξη των ισχυρισμών τους μέχρι τις 11-03-
5. Στην ως άνω συνεδρίαση παραστάθηκαν η μεν καταγγέλλουσα διά του δικηγόρου της, Βασιλείου Αβραμίδη (με ΑΜ …), η δε καταγγελλόμενη διά των δικηγόρων Μενέλαου Καρπαθάκη (με ΑΜ …) και Βασιλείου Σάλιαρη (με ΑΜ …), επίσης παρέστησαν ο Β, υπάλληλος της καταγγελλόμενης εταιρείας και η Γ, Υπεύθυνη Προστασίας Δεδομένων της καταγγελλόμενης εταιρείας, για την περίπτωση που παρίστατο ανάγκη περαιτέρω διευκρινίσεων. Ακολούθως, η καταγγέλλουσα υπέβαλε εμπροθέσμως το με αριθ. πρωτ. Γ/ΕΙΣ/3758/09-03-2022 υπόμνημα μετά των σχετικών αυτού εγγράφων. Με το ανωτέρω υπόμνημα αντικρούονται οι ισχυρισμοί της καταγγελλόμενης εταιρείας, ενώ προβάλλεται, μεταξύ άλλων, ότι η τελευταία κατά παράβαση δεδικασμένου που απορρέει από δικαστική απόφαση, επικαλείται ανύπαρκτη οφειλή ως νόμιμη βάση συλλογής και επεξεργασίας δεδομένων στο πλαίσιο εκτέλεσης σύμβασης καταλογίζοντας, μάλιστα, στην καταγγέλλουσα την ιδιότητα του μη συνεργάσιμου δανειολήπτη ως προς την επικαιροποίηση των στοιχείων ταυτοποίησης. Ειδικότερα, η καταγγέλλουσα αρνείται ότι οχλήθηκε από την καταγγελλόμενη εταιρεία υπό την ιδιότητά της ως διαχειρίστρια ομόρρυθμης εταιρείας, καθ’ όσον ήδη από 06-02-2009 είχε δημοσιευτεί στα βιβλία του Πρωτοδικείου [περιοχής] Χ το από 29-01-2009 ιδιωτικό συμφωνητικό τροποποίησης της επίμαχης ομόρρυθμης εταιρείας 4 (ενώ η ανωτέρω μεταβολή μνημονεύεται και στο από 29-04-2011 δημοσιευθέν στο Πρωτοδικείο [περιοχής] Χ ιδιωτικό συμφωνητικό λύσης της εταιρείας με ημερομηνία 15-112010, βλ. επισυναπτόμενα στο ως άνω υπόμνημα έγγραφα), με το οποίο ορίστηκε έτερο πρόσωπο ως διαχειριστής και εκπρόσωπος αυτής και ως εκ τούτου καταλήγει στο ότι το σχετικό επιχείρημα της καταγγελλόμενης περί τηλεφωνικών οχλήσεών της υπό την ιδιότητα της διαχειρίστριας προβάλλεται προσχηματικά και δη το πρώτον κατά την ακρόαση ενώπιον της Αρχής. Επισημαίνει δε ότι η παύση της ιδιότητάς της ως διαχειρίστριας ήταν ήδη γνωστή στην καταγγελλόμενη τόσο από την αποδεικτική διαδικασία ενώπιον του δικαστηρίου ενόψει της έκδοσης της με αριθ. … απόφασης του Ειρηνοδικείου [περιοχής] Χ καθώς και από τα δημόσια προσβάσιμα βιβλία του Πρωτοδικείου [περιοχής] Χ, όσο και από την επικοινωνία που είχε με την καταγγελλόμενη ο πληρεξούσιος δικηγόρος της, και ως εκ τούτου δεν είχε υποχρέωση περαιτέρω επικαιροποίησης προς την καταγγελλόμενη του καθεστώτος της ομόρρυθμης εταιρείας. Τέλος, αντικρούει τον ισχυρισμό της καταγγελλομένης περί διατήρησης της ευθύνης της καταγγέλλουσας ως ομορρύθμου εταίρου εν είδει νομικής βάσης για τις επίμαχες τηλεφωνικές οχλήσεις, με ευθεία παραπομπή, μεταξύ άλλων, και στις με αριθ. … και … αμετάκλητες αποφάσεις του Ειρηνοδικείου [περιοχής] Χ (βλ. τα προσκομιζόμενα με αριθ. πρωτ. … και … αντιστοίχως πιστοποιητικά του Ειρηνοδικείου [περιοχής] Χ περί μη ασκήσεως ενδίκων μέσων κατά των ανωτέρω αποφάσεων), καταλήγοντας στη μη θεμελίωση της νομικής βάσης της εκτέλεσης σύμβασης για την επίμαχη επεξεργασία, στο μέτρο που δεν υφίστατο οφειλή από δανειακή σύμβαση. Η δε καταγγελλόμενη εταιρεία με το με αριθ. πρωτ. Γ/ΕΙΣ/4124/11-03-2022 υπόμνημά της αναφέρει συνοπτικά, μεταξύ άλλων, τα ακόλουθα: καταρχάς μνημονεύει τις από 18-06-2019 επιστολές της τράπεζας Eurobank, με τις οποίες ενημερώθηκε η καταγγέλλουσα για τη μεταβίβαση των επίμαχων απαιτήσεων από την Τράπεζα και για τον ορισμό της ίδιας της καταγγελλόμενης ως διαχειρίστριας αυτών αναφορικά και με την περαιτέρω επεξεργασία των σχετικών προσωπικών δεδομένων. Μάλιστα, κατά τους ισχυρισμούς της καταγγελλόμενης εταιρείας, η εν λόγω ενημέρωση απευθύνθηκε στην καταγγέλλουσα τόσο ως διαχειρίστρια και νόμιμη εκπρόσωπο της πρωτοφειλέτριας ομόρρυθμης εταιρείας όσο και ως εγγυήτρια, ενώ περιελάμβανε και την ανάγκη επικαιροποίησης των τηρούμενων στοιχείων ταυτοποίησης και επικοινωνίας. Προσκομίζεται δε και η από 31-08-2012 επιστολή της τράπεζας Eurobank προς την ως άνω ομόρρυθμη εταιρεία σχετικά με την ανάγκη επικαιροποίησης των στοιχείων των εκπροσώπων της. 5 Ακολούθως, και δεδομένου ότι η καταγγέλλουσα δεν προέβη σε κάποια επικαιροποίηση των στοιχείων της, η καταγγελλόμενη παραδέχεται ότι έλαβαν χώρα οι επίμαχες τηλεφωνικές οχλήσεις από τον Αύγουστο του 2019 έως και τον Φεβρουάριο του 2021, καθ’ όσον, ακόμα και μετά την ενημέρωση των συστημάτων τους για την επί τη βάσει της με αριθ. … απόφασης του Ειρηνοδικείου [περιοχής] Χ απαλλαγή της καταγγέλλουσας, η ίδια εξακολουθούσε να ενέχεται υπό την ιδιότητά της ως ομορρύθμου εταίρου, πολλώ δε μάλλον από τη στιγμή που εξακολουθούσε να είναι καταχωρημένη στα συστήματα της εταιρείας τόσο ως ομόρρυθμη εταίρος όσο και ως διαχειρίστρια και νόμιμη εκπρόσωπος της ανωτέρω ομόρρυθμης εταιρείας. Επιπλέον, η καταγγελλόμενη εταιρεία περιγράφει το ιστορικό των συνομιλιών της με την καταγγέλλουσα και τον πληρεξούσιο δικηγόρο της αναφέροντας, μεταξύ άλλων, ότι η εξουσιοδότηση προς τον τελευταίο δεν μπορούσε να γίνει δεκτή αποκλειστικά και μόνο λόγω διαφοροποίησης του εις αυτή αναφερόμενου αριθμού του δελτίου ταυτότητας της καταγγέλλουσας σε σχέση με τον αντίστοιχο τηρούμενο στα αρχεία της καταγγελλομένης. Μνημονεύει, περαιτέρω, την από 14-01-2021 σχετική επιστολή της προς την καταγγέλλουσα, ενώ τονίζει ότι ουδέποτε επικαιροποιήθηκαν τα στοιχεία της καταγγέλλουσας και το από 1511-2010 ιδιωτικό συμφωνητικό λύσης της πρωτοφειλέτριας ομόρρυθμης εταιρείας εστάλη από τον δικηγόρο της καταγγέλλουσας για πρώτη φορά στο πλαίσιο της τελευταίας ηλεκτρονικής του επικοινωνίας με την καταγγελλομένη, η οποία και πληροφορήθηκε τότε το πρώτον ότι η εν λόγω εταιρεία τέθηκε σε εκκαθάριση με έτερο της καταγγέλλουσας πρόσωπο οριζόμενο ως εκκαθαριστή και νόμιμο εκπρόσωπο. Επιπλέον, η καταγγελλόμενη αναφέρει ότι η επικαιροποίηση των στοιχείων ταυτοποίησης γίνεται αυτοπροσώπως και απαιτεί καταρχήν φυσική παρουσία, ενώ η εξ αποστάσεως διεξαγωγή της υπόκειται σε αυστηρό κανονιστικό πλαίσιο. Σημειώνει δε η καταγγελλόμενη ότι μετά την έναρξη της διαδικασίας εξουσιοδότησης της καταγγέλλουσας προς τον δικηγόρο της, οι τηλεφωνικές οχλήσεις είχαν ως αποκλειστικό σκοπό την ανάγκη επικαιροποίησης των στοιχείων της. Επιπλέον, η καταγγελλόμενη επικαλείται την εκτέλεση των επίμαχων δανειακών συμβάσεων ως νομική βάση επεξεργασίας των προσωπικών δεδομένων της καταγγέλλουσας, επαναλαμβάνοντας ότι η δικαστική της απαλλαγή δεν καταλαμβάνει την ιδιότητά της ως ομορρύθμου εταίρου, ενώ τονίζει ότι μόλις τον Φεβρουάριο του 2021 πληροφορήθηκε ότι η καταγγέλλουσα δεν είναι πλέον νόμιμη εκπρόσωπος της πρωτοφειλέτριας ομόρρυθμης εταιρείας και πάντως όχι με τον προσήκοντα τρόπο, ώστε να συνεπάγεται τη μεταβολή των σχετικών στοιχείων της στα συστήματά της. Καταλήγει δε στο 6 ότι η καταγγέλλουσα ήταν καταχωρημένη ως το κατεξοχήν πρόσωπο επικοινωνίας για λογαριασμό της πρωτοφειλέτριας ομόρρυθμης εταιρείας, μιας και φαινόταν εγγεγραμμένη ως νόμιμη εκπρόσωπος της τελευταίας, και ως εκ τούτου νομίμως οχλείτο τηλεφωνικά με σκοπό την ενημέρωση για τις ληξιπρόθεσμες οφειλές της εν λόγω εταιρείας. Επομένως, ενόψει της ευθύνης της ως ομόρρυθμης εταίρου της πρωτοφειλέτριας εταιρείας, δεν υπήρχε δυνατότητα, κατά τους ισχυρισμούς της καταγγελλομένης, όπως ικανοποιηθεί το αίτημα της καταγγέλλουσας περί παύσης των οχλήσεων και διαγραφής των προσωπικών της δεδομένων, ενώ η καταγγελλόμενη εταιρεία αναφέρεται και στην υποχρέωσή της να τηρεί τα προσωπικά δεδομένα της καταγγέλλουσας υπό την ακόμη υφιστάμενη ιδιότητά της ως ομορρύθμου εταίρου της πρωτοφειλέτριας εταιρείας. Περαιτέρω, αναφορικά με το ζήτημα της εξουσιοδότησης της καταγγέλλουσας προς τρίτο πρόσωπο, και αφού η καταγγελλόμενη δικαιολογεί την ύπαρξη προτυποποιημένων προτύπων σχετικών εξουσιοδοτήσεων χάριν της απρόσκοπτης εξυπηρέτησης του μεγάλου αριθμού των πελατών της αλλά και χάριν αποφυγής διαρροών προσωπικών δεδομένων, επισημαίνει ότι εν προκειμένω η αιτία της μη αποδοχής της επίμαχης εξουσιοδότησης ήταν η προαναφερόμενη αναντιστοιχία στον αριθμό του Δελτίου Αστυνομικής Ταυτότητας της καταγγέλλουσας που επιτείνεται από τη μη επικαιροποίηση των δεδομένων της τελευταίας και τη μη αποστολή αντιγράφου του νέου δελτίου της ταυτότητάς της. Επιπλέον, η καταγγελλόμενη διευκρινίζει τη διαδικασία ταυτοποίησης της καταγγέλλουσας από εκπροσώπους της στις περιπτώσεις εισερχόμενων και εξερχόμενων τηλεφωνικών κλήσεων, αναφέροντας ότι τα εκάστοτε χρησιμοποιούμενα δεδομένα είναι ο ΑΦΜ για τις εισερχόμενες κλήσεις και το πατρώνυμο και η ημερομηνία γέννησης για τις εξερχόμενες τοιαύτες (πρβλ. άρθρ. 4 παρ. 4 ν. 3758/2009). Τέλος, η καταγγελλόμενη κάνει λόγο για αντισυναλλακτική συμπεριφορά της καταγγέλλουσας ερειδόμενη στη μη επικαιροποίηση των προαναφερόμενων στοιχείων της. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε την εισηγήτρια και τις διευκρινίσεις από τη βοηθό εισηγήτριας, και κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
6. Με το άρθρο 5 παρ. 1 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα 7 (εφεξής ΓΚΠΔ) τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία. Ειδικότερα, στην παράγραφο 1 ορίζεται ότι: «
7. Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· η περαιτέρω επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς δεν θεωρείται ασύμβατη με τους αρχικούς σκοπούς σύμφωνα με το άρθρο 89 παράγραφος 1 («περιορισμός του σκοπού»), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων») …». Σύμφωνα δε με την αρχή της λογοδοσίας που εισάγεται με τη δεύτερη παράγραφο του αυτού ως άνω άρθρου, ορίζεται ρητώς ότι ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Η αρχή αυτή, η οποία συνιστά ακρογωνιαίο λίθο του ΓΚΠΔ, συνεπάγεται την υποχρέωση του υπευθύνου επεξεργασίας να δύναται όπως αποδείξει συμμόρφωση. Επιπλέον, δίδει τη δυνατότητα στον υπεύθυνο επεξεργασίας να δύναται να ελέγξει και να τεκμηριώσει νομικά μια επεξεργασία που διενεργεί σύμφωνα με τις νομικές βάσεις που του παρέχει ο ΓΚΠΔ και το εθνικό δίκαιο προστασίας δεδομένων.
8. Σύμφωνα με το άρθρο 6 παρ. 1 εδ. β΄ και στ΄ του ΓΚΠΔ «
9. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: …… β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ' αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης,… στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί». Εξάλλου, το άρθρο 12 παρ. 2 του ΓΚΠΔ προβλέπει ότι: «Ο υπεύθυνος επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων που προβλέπονται στα άρθρα 15 έως
10. Στις περιπτώσεις που προβλέπονται στο άρθρο 11 παράγραφος 2, ο υπεύθυνος επεξεργασίας δεν αρνείται να ενεργήσει κατόπιν αιτήσεως του 8 υποκειμένου των δεδομένων για να ασκήσει τα δικαιώματά του βάσει των άρθρων 15 έως 22, εκτός αν ο υπεύθυνος επεξεργασίας αποδείξει ότι δεν είναι σε θέση να εξακριβώσει την ταυτότητα του υποκειμένου των δεδομένων». Η παράγραφος 1 δε του άρθρου 21 του ΓΚΠΔ περί του δικαιώματος εναντίωσης προβλέπει ότι: «Το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν, η οποία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο ε) ή στ), περιλαμβανομένης της κατάρτισης προφίλ βάσει των εν λόγω διατάξεων. Ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν ο υπεύθυνος επεξεργασίας καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων». Σύμφωνα δε με το άρθρο 17 παρ. 1 στ. γ΄ και δ΄: «Το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, εάν ισχύει ένας από τους ακόλουθους λόγους: … γ) το υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία σύμφωνα με το άρθρο 21 παράγραφος 1 και δεν υπάρχουν επιτακτικοί και νόμιμοι λόγοι για την επεξεργασία ή το υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία σύμφωνα με το άρθρο 21 παράγραφος 2, δ) τα δεδομένα προσωπικού χαρακτήρα υποβλήθηκαν σε επεξεργασία παράνομα…».
11. Επιπλέον, κατά το άρθρο 4 στοιχ. 2 του ΓΚΠΔ ως επεξεργασία νοείται «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή», ενώ σύμφωνα με το στοιχείο 7 του αυτού ως άνω άρθρου ορίζεται ως υπεύθυνος επεξεργασίας «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος 9 της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους»…
12. Περαιτέρω, κατά το άρθρο 4 παρ. 4 του ν. 3758/2009 για τις Εταιρείες Ενημέρωσης Οφειλετών «Πριν από κάθε ενέργεια Ενημέρωσης απαιτείται η από τον δανειστή προς τον οφειλέτη επιβεβαίωση των οφειλών με κάθε διαθέσιμο τρόπο και η ταυτοποίηση του οφειλέτη, καθώς και η ενημέρωση του για τη διαβίβαση των δεδομένων του στην Εταιρεία [ΕΕΟ] συμφώνως και προς το άρθρο 11 του ν. 2472/1997, ως εκάστοτε αυτός ισχύει. ….». Σύμφωνα δε με το άρθρο 9 παρ. 6 ν. 3758/2009, όπως τροποποιήθηκε και ισχύει «Οι διατάξεις των άρθρων 4, 5 και 8 εφαρμόζονται και για τους δανειστές όταν προβαίνουν σε επαναλαμβανόμενη ενημέρωση των οφειλετών για τις ληξιπρόθεσμες οφειλές τους».
13. Σημειώνεται, εξάλλου, ότι µε τον ΓΚΠ∆ υιοθετήθηκε ένα νέο µοντέλο συµµόρφωσης, κεντρικό µέγεθος του οποίου συνιστά η προαναφερόμενη αρχή της λογοδοσίας, στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρµόζει και εν γένει λαµβάνει τα αναγκαία µέτρα και πολιτικές, προκειµένου η επεξεργασία των δεδοµένων να είναι σύµφωνη µε τις σχετικές νοµοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται µε το περαιτέρω καθήκον να αποδεικνύει από µόνος του και ανά πάσα στιγµή τη συµµόρφωσή του µε τις αρχές του άρθρου 5 παρ. 1 ΓΚΠ∆. ∆εν είναι τυχαίο ότι ο ΓΚΠ∆ εντάσσει τη λογοδοσία (ήδη προαναφερθέν άρθρο 5 παρ. 2 ΓΚΠ∆) στη ρύθµιση των αρχών (άρθρο 5 παρ. 1 ΓΚΠ∆) που διέπουν την επεξεργασία, προσδίδοντας σε αυτήν, τη λειτουργία ενός µηχανισµού τήρησής τους, αντιστρέφοντας κατ’ ουσίαν το «βάρος της απόδειξης» ως προς την νοµιµότητα της επεξεργασίας (και εν γένει την τήρηση των αρχών του άρθρου 5 παρ. 1 ΓΚΠ∆), µεταθέτοντάς τη στον υπεύθυνο επεξεργασίας, ώστε να υποστηρίζεται βάσιµα ότι εκείνος φέρει το βάρος της επίκλησης και απόδειξης της νοµιµότητας της επεξεργασίας
15. Εν προκειμένω και συμφώνως προς τα ανωτέρω, η καταγγελλόμενη Εταιρεία Διαχείρισης Απαιτήσεων από Δάνεια και Πιστώσεις έχει την ιδιότητα του υπευθύνου επεξεργασίας, κατά το άρθρ. 4 παρ. 7 ΓΚΠ∆, καθ’ όσον η τελευταία παραδοχή προκύπτει ευθέως εκ του εντύπου ενημέρωσης για την επεξεργασία προσωπικών δεδομένων της ίδιας της καταγγελλόμενης εταιρείας περί του ότι αποτελεί αυτοτελώς υπεύθυνη επεξεργασίας ως προς τα δεδομένα 2 Βλ. συναφώς Αποφάσεις της Αρχής 26/2019, σκ. 7 και 43/2019, σκ.
16. 10 που σχετίζονται με την εν γένει συμμόρφωσή της ως προς τις υποχρεώσεις που απορρέουν από το εκάστοτε ισχύον νομικό, κανονιστικό και εποπτικό πλαίσιο, συμπεριλαμβανομένης της σχετικής επικοινωνίας και ενημέρωσης των φυσικών προσώπων για τη διαχείριση των υφιστάμενων οφειλών τους (βλ. και σχετική ενημέρωση στην ιστοσελίδα της, https://www.dovaluegreece.gr/enimerosi-gia-tin-epexergasia-prosopikon-dedomenon-apotin-dovalue-greece). Το αυτό συνάγεται και από τη με αριθ. πρωτ. Γ/ΕΙΣ/5909/20-09-2021 απάντησή της προς την Αρχή. Η καταγγελλόμενη, ως Εταιρεία Διαχείρισης Απαιτήσεων από Δάνεια και Πιστώσεις, όπως προκύπτει εκ των ανωτέρω καθώς και εκ των πραγματικών περιστατικών της εν λόγω υπόθεσης, έχοντας αναλάβει τη διαχείριση των απαιτήσεων της Τράπεζας Eurobank έναντι της καταγγέλλουσας, καθορίζει, ως αυτοτελώς υπεύθυνη επεξεργασίας, τους σκοπούς και τον τρόπο επεξεργασίας των προσωπικών της δεδομένων, και εποµένως καθίσταται υπόχρεη στη συµµόρφωση καταρχάς προς τις αρχές που εισάγονται µε το άρθρο 5 ΓΚΠ∆ καθώς και προς τις λοιπές συνακόλουθες υποχρεώσεις της στο πλαίσιο της κανονιστικής προστασίας των προσωπικών δεδομένων
17. Ως υπεύθυνη δε επεξεργασίας η καταγγελλόμενη εταιρεία, προέβαινε καθ’ ομολογίαν της (βλ. και την σελ. 4 του με αριθ. πρωτ. Γ/ΕΙΣ/4124/11-03-2022 υπομνήματος της καταγγελλομένης) στη διενέργεια τηλεφωνικών οχλήσεων προς την καταγγέλλουσα, ενώ εκ του ανωτέρω υπομνήματος που υπέβαλε μετά την ακρόαση ενώπιον της Αρχής, προκύπτει ότι θεμελιώνει την επίμαχη επεξεργασία στη νομική βάση του άρθρου 6 παρ. 1 περ. β΄ του ΓΚΠΔ και ειδικότερα στην εκτέλεση των δανειακών συμβάσεων στις οποίες η ανωτέρω ομόρρυθμη εταιρεία είναι συμβαλλόμενο μέρος (βλ. ιδίως σελ. 8 του με αριθ. πρωτ. Γ/ΕΙΣ/4124/11-03-2022 υπομνήματος της καταγγελλoμένης), καθ’ όσον, σύμφωνα με τους ισχυρισμούς της, η καταγγέλλουσα εξακολουθεί να ευθύνεται πλήρως για τις οφειλές της προαναφερόμενης και ήδη λυθείσας ομόρρυθμης εταιρείας υπό την ιδιότητά της ως ομορρύθμου εταίρου, στο μέτρο που η με αριθ. … Απόφαση του Ειρηνοδικείου [περιοχής] Χ καταλαμβάνει την απαλλαγή της μόνον υπό την ιδιότητά της ως εγγυήτριας στις επίμαχες δανειακές συμβάσεις.
18. Ωστόσο, στο πλαίσιο εξέτασης του ως άνω ισχυρισμού, του οποίου η αξιολόγηση αποτελεί πρόκριμα αναγκαίο, προκειμένου να αποφανθεί η Αρχή περί της ύπαρξης νομίμου Βλ. συναφώς και Αποφάσεις της Αρχής 134/2017, σκ. 3 καθώς και 87/2017, σκ. 2, όπου αναφέρονται οι εξουσίες των εταιρειών διαχείρισης απαιτήσεων, οι οποίες επί της ουσίας υπεισέρχονται στη θέση του δανειστή. Βλ. δε συναφώς και τη με αριθ. 18/2019 Απόφαση της Αρχής. 3 11 ερείσματος για την επίμαχη επεξεργασία, λεκτέα τα ακόλουθα: Με τη με αριθ. … προαναφερόμενη Απόφαση του Ειρηνοδικείου [περιοχής] Χ, η καταγγέλλουσα έχει ήδη απαλλαγεί από τις επίμαχες οφειλές, για τις οποίες οχλείτο τηλεφωνικά από την καταγγελλομένη. Το ζήτημα δε της ευθύνης της καταγγέλλουσας ως ομορρύθμου εταίρου και άρα ως εμπόρου - κρίθηκε με την με αριθ. … Απόφαση του ιδίου ως άνω Δικαστηρίου (η οποία είναι αμετάκλητη, όπως προκύπτει εκ του προσκομιζόμενου σχετικού πιστοποιητικού του Ειρηνοδικείου [περιοχής] Χ), το οποίο απέρριψε, μάλιστα, σχετικό ισχυρισμό της δικαιοπαρόχου τράπεζας περί της εμπορικής ιδιότητας της καταγγέλλουσας, καθ’ όσον προηγήθηκε χρονικά η παύση της εμπορικής δραστηριότητας της καταγγέλλουσας οφειλέτιδας, και μεταγενέστερα η τελευταία προέβη σε παύση πληρωμών, γεγονός που τη νομιμοποίησε να υπαχθεί στις διατάξεις του νόμου 3869/2010
19. Εφόσον η καταγγέλλουσα οφειλέτιδα έπαυσε να διατηρεί την εμπορική της ιδιότητα, συνέχισε τις πληρωμές της και κατόπιν τις έπαυσε, υποβάλλοντας νομίμως τη σχετική αίτηση για την υπαγωγή της στις διατάξεις του ν. 3869/2010
20. Σε αντίθετη περίπτωση, εάν, δηλαδή, η οφειλέτιδα διατηρούσε την εμπορική ιδιότητα θα απορριπτόταν η ανωτέρω αίτηση. Οι οφειλέτες απαλλάσσονται από τα χρέη άπαξ και μέσω μίας μόνο διαδικασίας, ήτοι είτε αυτής του Πτωχευτικού Κώδικα, είτε, όπως εν προκειμένω, του ν. 3869/2010 και πάντοτε σύμφωνα με το νομοθετικό καθεστώς που ίσχυε κατά τον κρίσιμο χρόνο υποβολής της αίτησης της καταγγέλλουσας. Επομένως, ο ισχυρισμός της καταγγελλομένης περί εξακολούθησης της ενοχής της καταγγέλλουσας ως εμπόρου - ομορρύθμου εταίρου, δεν δύναται να ευδοκιμήσει, καθ’ όσον θα οδηγούσε στο αδιέξοδο να μην μπορεί να ενταχθεί η τελευταία στις διατάξεις του ν. 3869/2010, στον οποίο και υπήχθη
22. Εκ των ανωτέρω προκύπτει ότι δεν υφίστατο έγκυρη νόμιμη βάση για την επεξεργασία που συνίστατο στις τηλεφωνικές οχλήσεις προς την καταγγέλλουσα, καθ’ όσον ενόψει του ότι η απαλλαγή της τελευταίας από τις επίμαχες οφειλές για τις οποίες οχλείτο, καταλαμβάνει τόσο την ιδιότητά της ως εγγυήτριας όσο και την ιδιότητά της ως ομορρύθμου εταίρου, κατά τα προδιαλαμβανόμενα, εξέλιπε οποιοδήποτε νομικό έρεισμα για τις εν λόγω οχλήσεις. Αναφορικά δε με τον ισχυρισμό της καταγγελλόμενης εταιρείας, ο οποίος Βλ. συναφώς Ι. Βενιέρης – Θ. Κατσάς, Εφαρμογή του Ν. 3869/2010 για τα υπερχρεωμένα φυσικά πρόσωπα, Νομική Βιβλιοθήκη, 2011, σελ. 56 -
23. 5 Βλ. ΕιρΠατρών 218/2020, ΕιρΑταλ 183/2016, ΕιρΑθ 142/2011 & 127/
24. 6 Βλ. συναφώς Ι. Βενιέρης – Θ. Κατσάς, ό.π, σελ.
25. 4 12 προβάλλεται το πρώτον μετά τις με αριθ. πρωτ. Γ/ΕΙΣ/5909/20-09-2021 έγγραφες διευκρινίσεις της καταγγελλομένης προς θεμελίωση νομίμου ερείσματος για τις τηλεφωνικές οχλήσεις, περί της αναγραφής της καταγγέλλουσας στα συστήματά της ως διαχειρίστριας και νόμιμης εκπροσώπου της ανωτέρω ομόρρυθμης εταιρείας, είναι απορριπτέος, καθώς ο ορισμός ετέρου προσώπου σε σχέση με την καταγγέλλουσα ως εκκαθαριστή και διαχειριστή της επίμαχης ομόρρυθμης εταιρείας ήταν γνωστός στην καταγγελλόμενη εταιρεία, η οποία ήδη με τις προαναφερόμενες (με αριθ. πρωτ. Γ/ΕΙΣ/5909/20-09-2021) διευκρινίσεις της ενώπιον της Αρχής, προσκόμισε ως σχετικό το επίμαχο δημοσιευθέν στο Εμπορικό και Βιομηχανικό Επιμελητήριο [περιοχής] Χ από 15-112010 ιδιωτικό συμφωνητικό λύσης της, όπου αναφέρεται και ο ορισμός νέου διαχειριστή και εκπροσώπου της ως άνω εταιρείας. Εξάλλου, προκύπτει και κατά τεκμήριο ότι ο oρισμός έτερου διαχειριστή ήταν ήδη γνωστός στην καταγγελλόμενη εταιρεία, καθ’ όσον το από 1511-2010 δημοσιευθέν στο Πρωτοδικείο [περιοχής] Χ ιδιωτικό συμφωνητικό λύσης της ομόρρυθμης εταιρείας, στο οποίο, όπως προαναφέρθηκε, περιλαμβανόταν ο ορισμός εκκαθαριστή και διαχειριστή της τελευταίας, είχε καταστεί στοιχείο της δικογραφίας ενόψει της έκδοσης της με αριθ. … ως άνω απόφασης του Ειρηνοδικείου [περιοχής] Χ. Επομένως, η καταγγελλόμενη εταιρεία προέβη σε μη σύννομη επεξεργασία των προσωπικών δεδομένων της καταγγέλλουσας κατά παράβαση της αρχής του άρθρου 5 παρ. 1 στ. α’ του ΓΚΠΔ, ιδίως ενόψει του ότι προέβαινε σε τηλεφωνικές οχλήσεις προς οφειλέτιδα, που είχε απαλλαγεί για τις επίμαχες οφειλές της με ήδη γνωστή στην καταγγελλόμενη εταιρεία αμετάκλητη δικαστική απόφαση, η οποία, μάλιστα, καταλάμβανε κάθε ιδιότητα της καταγγέλλουσας (ως εγγυήτριας και ως ομορρύθμου εταίρου), και άρα στη συγκεκριμένη περίπτωση, δυνάμει της ως άνω δικαστικής απόφασης, εξέλιπε η νομική βάση για τις εν λόγω οχλήσεις. Επιπλέον, πέραν των ανωτέρω, τονίζεται ότι προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, ήτοι επεξεργασίας σύμφωνα προς τις απαιτήσεις του ΓΚΠΔ, θα πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ, όπως προκύπτει και από την πρόσφατη Απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ) της 16-01-2019 στην υπόθεση C496/2017 Deutsche Post AG κατά Hauptzollamt Koln
26. Η ύπαρξη δε ενός νομίμου θεμελίου «
27. Ωστόσο, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να είναι σύμφωνη, αφενός προς τις αρχές που πρέπει να τηρούνται ως προς την ποιότητα των δεδομένων, τις οποίες θέτει το άρθρο 6 της οδηγίας 95/46 ή το άρθρο 5 του κανονισμού 2016/679 και, αφετέρου, προς τις βασικές αρχές της νόμιμης 7 13 (άρθρ. 6 ΓΚΠΔ) δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των αρχών (άρθρ. 5 παρ. 1 ΓΚΠΔ) αναφορικά με τον θεμιτό χαρακτήρα, την αναγκαιότητα και την αναλογικότητα καθώς και την αρχή της ελαχιστοποίησης. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπομένων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, όπως εν προκειμένω, η εν λόγω επεξεργασία παρίσταται ως μη νόμιμη (αντικείμενη στις διατάξεις του ΓΚΠΔ) και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρου 6 ΓΚΠΔ. Έτσι, η κατά παράβαση των αρχών του άρθρου 5 ΓΚΠΔ μη νόμιμη επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης 8, η οποία, όμως, και πάλι δεν υφίσταται εν προκειμένω, όπως αναλυτικώς προεξετέθη
28. Τα ανωτέρω δε, δεν αναιρούνται κατά λογική αναγκαιότητα από τον ισχυρισμό της καταγγελλομένης περί του ότι μετά την αποστολή της εξουσιοδότησης της καταγγέλλουσας, εν τέλει διεκόπησαν οι τηλεφωνικές οχλήσεις.
29. Περαιτέρω, εκ των ως άνω πραγματικών περιστατικών, όπως αυτά προκύπτουν από τα στοιχεία του φακέλου της εν λόγω υπόθεσης, η καταγγελλόμενη, παρά την από 04-02-2021 άσκηση των δικαιωμάτων εναντίωσης και διαγραφής, όπως επαναλήφθηκε την 22-02-2021, δεν προέβη κατ’ ουσίαν σε εξέταση αυτών (βλ. την προαναφερόμενη από 14-01-2021 επιστολή της καταγγελλόμενης προς την καταγγέλλουσα και το με αριθ. πρωτ. Γ/ΕΙΣ/5909/20-09-2021 απαντητικό έγγραφό της προς την Αρχή), καθ’ όσον, όπως ισχυρίστηκε, ανέκυπτε ζήτημα ταυτοποίησής της λόγω του ότι επί του σώματος της σχετικής εξουσιοδότησης προς τον δικηγόρο της αναγραφόταν διαφορετικός αριθμός δελτίου αστυνομικής ταυτότητας από αυτόν που είχε καταχωρημένο στα αρχεία της η καταγγελλομένη. Ενόψει των ανωτέρω, σημειώνεται ότι η καταγγελλόμενη Εταιρεία Διαχείρισης Απαιτήσεων από Δάνεια και Πιστώσεις διέθετε ως τέτοια, πλήρη τα στοιχεία των ανατιθέμενων σε αυτή προς διαχείριση φακέλων, μεταξύ των οποίων και εκείνων που αφορούσαν στις επίμαχες απαιτήσεις έναντι της καταγγέλλουσας, συμπεριλαμβανομένων, ως εκ τούτου, όλων των δεδομένων της τελευταίας, όπως αυτά προέκυπταν από τις επίμαχες δανειακές συμβάσεις (στις οποίες αναφέρεται π.χ. και ο ΑΦΜ του δανειολήπτη/εγγυητή), επεξεργασίας δεδομένων που απαριθμεί το άρθρο 7 της οδηγίας αυτής ή το άρθρο 6 του κανονισμού αυτού (πρβλ. αποφάσεις της 20ής Μαΐου 2003, Österreichischer Rundfunk κ.λπ., C-465/00, C-138/01 και C-139/01, EU:C:2003:294, σκέψη 65, καθώς και της 13ης Μαΐου 2014, Google Spain και Google, C-131/12, EU:C:2014:317, σκέψη 71) ». 8 Βλ. Απόφαση της Αρχής 26/2019, σκ. 5, πρβλ. Απόφαση της Αρχής 38/
30. 9 Βλ., ενδεικτικά, Απόφαση της Αρχής 30/
31. 14 καθώς και το σύνολο των εγγράφων της δικογραφίας ενόψει της υπαγωγής της καταγγέλλουσας στις διατάξεις του ν. 3869/
32. Επομένως, διέθετε μία σειρά προσωπικών δεδομένων της καταγγέλλουσας, χωρίς να εξαιρούνται και τα λοιπά στοιχεία του δελτίου ταυτότητάς της πλην του αριθμού του10, με βάση τα οποία θα μπορούσε ευχερώς να ταυτοποιήσει με ασφάλεια την τελευταία αντιπαραβάλλοντάς τα με τα εμφαινόμενα στο σώμα της εν λόγω εξουσιοδότησης τοιαύτα, πολλώ δε μάλλον από τη στιγμή που είχε προηγηθεί σωρεία τηλεφωνικών επικοινωνιών με την καταγγέλλουσα όχι μόνο για τις υφιστάμενες -κατά τους ισχυρισμούς της καταγγελλομένης- οφειλές της καταγγέλλουσας, αλλά και προκειμένου να εκφράσει η τελευταία τη βούλησή της όπως εκπροσωπηθεί από δικηγόρο για την άσκηση δικαιωμάτων της, όπως παραδέχεται και η ίδια η καταγγελλόμενη (βλ. σελ. 2-3 του προαναφερόμενου απαντητικού προς την Αρχή εγγράφου). Σημειώνεται δε συναφώς και η αντίφαση μεταξύ του ανωτέρω ισχυρισμού περί της απορρέουσας από την ανωτέρω εξουσιοδότηση αμφιβολίας ως προς την ταυτοποίηση της καταγγέλλουσας και της παραδοχής της καταγγελλομένης περί του ότι δεδομένα όπως ΑΦΜ, πατρώνυμο και ημερομηνία γέννησης αρκούσαν για την ταυτοποίηση της καταγγέλλουσας στο πλαίσιο των ανωτέρω εισερχόμενων και εξερχόμενων κλήσεων που έλαβαν χώρα (βλ. σελ. 13 του με αριθ. πρωτ. Γ/ΕΙΣ/4124/11-03-2022 υπομνήματος της καταγγελλομένης), όχι όμως για την ουσιαστική εξέταση των ως άνω αιτημάτων της καταγγέλλουσας, ως υποκειμένου των δεδομένων.
33. Επομένως, ενόψει των ανωτέρω, η καταγγελλόμενη δεν απέδειξε ως Υπεύθυνη Επεξεργασίας αφενός ότι συμμορφώθηκε με τις διατάξεις του ΓΚΠΔ κατ’ άρθρο 5 παρ. 2 αυτού, αφετέρου ότι δεν ήταν σε θέση να εξακριβώσει την ταυτότητα της καταγγέλλουσας, ιδίως ενόψει του ότι παραδέχεται τις τηλεφωνικές επικοινωνίες που έλαβαν χώρα τόσο με πρωτοβουλία της ίδιας της καταγγελλόμενης όσο και της καταγγέλλουσας στο πλαίσιο σχετικών της διαμαρτυριών για τις οχλήσεις αλλά και ρητής δήλωσης εκπροσώπησής της από δικηγόρο (βλ. συναφώς σελ. 10 του με αριθ. πρωτ. Γ/ΕΙΣ/4124/11-03-2022 υπομνήματος της καταγγελλομένης, όπου περιγράφεται το αντικείμενο των συνομιλιών της τελευταίας με την καταγγέλλουσα). Προκύπτει συνακόλουθα, και ενόψει του συνόλου των ανωτέρω προσωπικών δεδομένων της καταγγέλλουσας που ήδη διέθετε η καταγγελλομένη, ότι ο ισχυρισμός περί δήθεν αμφιβολίας ως προς την ταυτότητα της πρώτης ως υποκειμένου 10 Πρβλ. συναφώς Απόφαση της Αρχής 140/2017, σκ.
34. 15 δεδομένων προβάλλεται προσχηματικά. Με τον τρόπο αυτό και αρνούμενη κατ’ ουσίαν η καταγγελλόμενη εταιρεία να εξετάσει τα ως άνω δικαιώματα εναντίωσης και διαγραφής, έθεσε αδικαιολόγητα πρόσκομμα στην άσκηση αυτών, κατά παράβαση και της διάταξης της παρ. 2 του άρθρου 12 του ΓΚΠΔ
35. Ειδικότερα, τα εν λόγω δικαιώματα ουδέποτε εξετάστηκαν επί της ουσίας, καθ’ όσον η καταγγελλόμενη Υπεύθυνη Επεξεργασίας επικαλείται, και για τις δύο φορές που προκύπτει ότι αυτά ασκήθηκαν δια πληρεξουσίου δικηγόρου ενώπιόν της, ζήτημα δήθεν αδυναμίας ταυτοποίησης του υποκειμένου των δεδομένων. Ωστόσο, και δεδομένου ότι, όπως προεξετέθη, ήταν ευχερής η ταυτοποίηση της καταγγέλλουσας, μπορούσε η καταγγελλόμενη εταιρεία να προβεί σε κατ’ ουσίαν εξέταση και απάντηση επί των δικαιωμάτων εναντίωσης και διαγραφής που ασκήθηκαν, χωρίς αυτό να σημαίνει ότι δεν θα μεριμνούσε, όπως οφείλει, για την επικαιροποίηση του επίμαχου αριθμού δελτίου ταυτότητας βάσει του υφιστάμενου κανονιστικού πλαισίου. Επομένως, δεν γεννάται ζήτημα παραβίασης του τελευταίου εκ μόνης της κατ’ ουσίαν εξέτασης των δικαιωμάτων που άσκησε η καταγγέλλουσα, πολλώ δε μάλλον που η ταυτοποίησή της ήταν δυνατή με την αντιπαραβολή μίας σειράς άλλων δεδομένων που ήδη διέθεταν (όπως ενδεικτικά ο ΑΦΜ) 12, κατά τα προεκτεθέντα, καθώς η ζητηθείσα επικαιροποίηση θα μπορούσε να λάβει χώρα ανεξαρτήτως της εξέτασης των ως άνω δικαιωμάτων και πάντως χωρίς να τίθεται ως προϋπόθεση αυτής. Η δε υποχρέωση της ανωτέρω κατ’ ουσίαν εξέτασης των ασκηθέντων δικαιωμάτων της καταγγέλλουσας, ουδόλως αναιρείται από το ενδεχόμενο μη ικανοποίησής τους λόγω μη συνδρομής των σχετικών προς τούτο εκ του νόμου τιθέμενων προϋποθέσεων κατά τις διατάξεις των άρθρων 17 και 21 του ΓΚΠΔ.
36. Επειδή, εν προκειμένω, και σύμφωνα με τα ανωτέρω, η καταγγελλόμενη εταιρεία παραβίασε τη διάταξη της παρ. 2 του άρθρου 12 ΓΚΠΔ και δεν εξέτασε κατ’ ουσίαν τα ασκηθέντα ενώπιόν της δικαιώματα εναντίωσης και διαγραφής που άσκησε η καταγγέλλουσα δια του πληρεξούσιου δικηγόρου της, ενώ προέβη στην επίμαχη επεξεργασία των τηλεφωνικών οχλήσεων κατά παράβαση των διατάξεων των άρθρων 5 παρ. 1 στ. α’, 5 παρ. 2 του ΓΚΠΔ, όπως αυτές εξειδικεύονται αναλυτικά στις προαναφερόμενες σκέψεις και πάντως χωρίς να θεμελιώνεται κάποια νομική βάση επί της οποίας ερείδεται η τελευταία κατ’ άρθρο 6 του ΓΚΠΔ. 11 12 Πρβλ. Απόφαση της Αρχής 48/2021, σκ.
37. Πρβλ. συναφώς Απόφαση της Αρχής 140/2017, σκ.
38. 16
39. Επειδή η παραβίαση των βασικών αρχών για την επεξεργασία σε συνδυασμό με τη μη θεμελίωση νόμιμης βάσης για την τελευταία, όπως ανωτέρω αναλυτικώς εκτέθηκε, επισύρουν την επιβολή των διοικητικών κυρώσεων του άρθρου 83 παρ. 5 στοιχ. α΄ του ΓΚΠΔ, ενώ η παραβίαση των προβλεπόμενων στα άρθρα 12-22 του ΓΚΠΔ δικαιωμάτων των υποκειμένων των δεδομένων, επισύρει την επιβολή των σχετικών κυρώσεων κατ’ άρθρο 83 παρ. 5 στοιχ. β΄ του ΓΚΠΔ. Σύμφωνα δε με τον ΓΚΠΔ (Αιτ. Σκ. 148) προκειμένου να ενισχυθεί η επιβολή των κανόνων του παρόντος Κανονισμού, κυρώσεις, συμπεριλαμβανομένων των διοικητικών προστίμων, θα πρέπει να επιβάλλονται για κάθε παράβαση του παρόντος Κανονισμού, επιπρόσθετα ή αντί των κατάλληλων μέτρων που επιβάλλονται από την εποπτική αρχή σύμφωνα με τον παρόντα Κανονισμό.
40. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις.
41. Η Αρχή κρίνει περαιτέρω ότι η επιβολή διορθωτικού μέτρου δεν αρκεί για την αποκατάσταση της συμμόρφωσης με τις διατάξεις του ΓΚΠΔ που έχουν παραβιαστεί και ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ επιπλέον και αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την κύρωση της παράνομης συμπεριφοράς
43. Περαιτέρω η Αρχή, έλαβε υπ’ όψιν τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, την παράγραφο 5 στοιχ. α΄ και β΄ του ίδιου άρθρου που έχουν εφαρμογή στην παρούσα υπόθεση και τις Κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679 που εκδόθηκαν στις 03-10-2017 από την Ομάδα Εργασίας του άρθρου 29 (WP 253), καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως: i. Το γεγονός ότι η καταγγελλόμενη εταιρεία Διαχείρισης Απαιτήσεων από Δάνεια και Πιστώσεις παραβίασε τις προβλεπόμενες από το άρθρο 5 παρ. 1 εδ. α΄ ΓΚΠ∆ Βλ. ΟΕ 29, Κατευθυντήριες γραμμές και την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679 WP253, σελ. 6 13 17 αρχές της νοµιµότητας, αντικειµενικότητας και διαφάνειας, ήτοι παραβίασε θεµελιώδη αρχή του ΓΚΠ∆ για την προστασία των δεδοµένων προσωπικού χαρακτήρα. ii. Το γεγονός ότι η τήρηση των αρχών που προβλέπονται από τη διάταξη του άρθρου 5 παρ. 1 εδ. α΄ του ΓΚΠ∆ είναι κεφαλαιώδους σηµασίας, πρωτίστως δε, η αρχή της νοµιµότητας, ώστε εάν εκλείπει αυτή να καθίσταται εξ’ αρχής παράνοµη η επεξεργασία, ακόµη και εάν έχουν τηρηθεί οι λοιπές αρχές επεξεργασίας πολλώ δε μάλλον εν προκειμένω που δεν θεμελιώθηκε κάποια εκ των προβλεπόμενων στο άρθρο 6 του ΓΚΠΔ νομική βάση για την επίμαχη επεξεργασία, κατά τα προαναφερόμενα. iii. Το γεγονός ότι η καταγγελλόμενη προβαίνοντας στην επίμαχη επεξεργασία άνευ νομικής βάσης και αρνούμενη να εξετάσει κατ’ ουσίαν τα δικαιώματα της καταγγέλλουσας ως υποκειμένου των δεδομένων θέτοντας, μάλιστα, αδικαιολόγητο πρόσκομμα στην άσκηση αυτών, σύμφωνα με τα αναλυτικώς ως άνω εκτεθέντα, κατά παράβαση της παρ. 2 του άρθρου 12 του ΓΚΠΔ, δεν κατάφερε να αποδείξει ότι συμμορφώθηκε με την αρχή της νόμιμης, αντικειμενικής και διαφανούς επεξεργασίας, παραβιάζοντας κατά τούτο την αρχή της λογοδοσίας. iv. Το γεγονός ότι οι επίμαχες τηλεφωνικές οχλήσεις προς την καταγγέλλουσα είχαν χαρακτήρα εξακολουθητικό διενεργούμενες σε χρονικό ορίζοντα περισσοτέρων του ενός μηνών, μολονότι δεν υπήρχε νομική βάση, κατά τα προδιαλαμβανόμενα. v. Το γεγονός ότι η ανωτέρω κατά παράβαση του ΓΚΠΔ επεξεργασία προσωπικών δεδομένων εν προκειμένω έθιξε ένα