Αθήνα, 22-07-2021 Αριθ. Πρωτ.: 1764 ΑΠΟΦΑΣΗ 35/2021 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος μέσω τηλεδιασκέψεως την 17-02-2021 μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, και τα αναπληρωματικά μέλη Ευάγγελος Παπακωνσταντίνου, ως εισηγητής, και Γρηγόριος Τσόλιας, σε αντικατάσταση των τακτικών μελών Κωνσταντίνου Λαμπρινουδάκη και Χαράλαμπου Ανθόπουλου αντίστοιχα, οι οποίοι, αν και εκλήθησαν νομίμως εγγράφως δεν παρέστησαν λόγω κωλύματος. Το τακτικό μέλος Σπυρίδων Βλαχόπουλος, αν και κλήθηκε νομίμως εγγράφως, δεν παρέστη λόγω κωλύματος. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, ο Ιωάννης Λυκοτραφίτης, ειδικός επιστήμονας – ελεγκτής ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Υποβλήθηκε στην Αρχή η υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/2801/23-04-2020 καταγγελία, η οποία αφορά σε τηλεφωνική όχληση και μη προσήκουσα ικανοποίηση δικαιώματος πρόσβασης. Ειδικότερα, σύμφωνα με την εν λόγω καταγγελία, ο καταγγέλλων αναφέρει ότι έλαβε κλήση στο προσωπικό του κινητό τηλέφωνο … από τον αριθμό … στις … την … με σκοπό την εμπορική προώθηση εκπαιδευτικών υπηρεσιών 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr τηλεκατάρτισης της εταιρείας με επωνυμία «Ιδιωτικό Ινστιτούτο Επαγγελματικής Κατάρτισης ΟΜΗΡΟΣ Εταιρεία Περιορισμένης Ευθύνης» (εφεξής ΙΙΕΚ ΟΜΗΡΟΣ). Η καταγγελία, επίσης, αναφέρει ότι ο καλών εκ μέρους του υπευθύνου επεξεργασίας ζήτησε να μιλήσει με τον καταγγέλλοντα αναφέροντας το επώνυμό του, και όταν του επιβεβαίωσε ότι είναι ο ίδιος, του είπε πως είδαν ότι έχει υποβάλει αίτηση για το επίδομα τηλεκατάρτισης και θα ήθελε να τον ρωτήσει αν έχει επιλέξει πάροχο για την εκπαίδευσή του, καθώς το ΙΙΕΚ ΟΜΗΡΟΣ προσφέρει υπηρεσίες τηλεκατάρτισης. Ο καταγγέλλων αναφέρει ότι κατά τη διάρκεια της κλήσης άσκησε το δικαίωμα πρόσβασης για την πηγή προέλευσης των προσωπικών δεδομένων του καθώς και για τον τρόπο με τον οποίο γνωρίζει ο καλών ότι έχει υποβάλει αίτηση στην πλατφόρμα για να λάβει το επίδομα τηλεκατάρτισης. Η απάντηση που έλαβε ήταν ότι τα στοιχεία του τα έστειλαν «από τα κεντρικά του ΙΙΕΚ ΟΜΗΡΟΣ». Ο καταγγέλλων αναφέρει ότι πράγματι, λίγες μέρες πριν δεχθεί την επίμαχη κλήση, είχε καταχωρήσει αίτηση συμμετοχής στο Πληροφοριακό Σύστημα «Εργάνη» ως ωφελούμενος/δικαιούχος προκειμένου να λάβει το επίδομα κατάρτισης. Τέλος, σημειώνεται ότι αριθμός του κινητού τηλεφώνου του καταγγέλλοντος (…) προς τον οποίο έγινε η κλήση είναι καταχωρημένος στο μητρώο 11 (opt-out) του παρόχου του … από την ..-..- συνεχώς μέχρι σήμερα. Η Αρχή, στο πλαίσιο εξέτασης της εν λόγω καταγγελίας, απέστειλε στην καταγγελλόμενη εταιρεία το υπ’ αριθμ. πρωτ. Γ/ΕΞ/2801-1/06-05-2020 έγγραφο με το οποίο ζητούσε τις απόψεις της επί των καταγγελλομένων. Αρχικά ο καταγγελλόμενος υπεύθυνος επεξεργασίας απάντησε στην Αρχή με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/3310/14-05-2020 ηλεκτρονικό μήνυμα, στο οποίο αναφέρει, μεταξύ άλλων, τα εξής συνοπτικώς αναφερόμενα: 1) Για την παράτυπη χρήση των προσωπικών (μη ευαίσθητων δεδομένων) του υποκειμένου από την μεριά της εταιρείας, αν και μπορεί να στοιχειοθετηθεί έννομο συμφέρον από την μεριά της για ενέργειες προώθησης προϊόντων, αποδέχεται πλήρως την παράβαση και θα φροντίσει να σταματήσει η πρακτική της χρήσης των δεδομένων των ενδιαφερόμενων για προωθητικούς σκοπούς, εφόσον δεν έχουν δώσει τη συγκατάθεσή τους για κάτι τέτοιο. 2 2) Δεν υπήρξε διαβίβαση σε τρίτους, δεν δόθηκαν τα δεδομένα σε κάποιον εκτός επιχείρησης. Στη συνέχεια, και προκειμένου η Αρχή να συνεχίσει την εξέταση της εν λόγω καταγγελίας στο πλαίσιο των αρμοδιοτήτων της, κάλεσε την καταγγελλόμενη εταιρεία να παράσχει διευκρινίσεις εάν και, σε καταφατική περίπτωση, πώς το Υπουργείο Εργασίας και Κοινωνικών Υποθέσεων χορήγησε τα δεδομένα αυτά από το Πληροφοριακό Σύστημα "Εργάνη", λεπτομέρειες για το είδος των δεδομένων (π.χ. ονοματεπώνυμο, τηλέφωνο, διεύθυνση, κτλ.), καθώς και τον αριθμό των υποκειμένων (δικαιούχων επιστημόνων-ελεύθερων επαγγελματιών) που αυτά αφορούσαν. Ο υπεύθυνος επεξεργασίας απάντησε με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/3427/20-05-2020 ηλεκτρονικό μήνυμα, στο οποίο ανέφερε ότι το ΙΕΚ έχει νόμιμα πρόσβαση μέσω του ΕΡΓΑΝΗ στα προσωπικά δεδομένα (όνομα, επίθετο, ΑΦΜ) προκειμένου να διευκολύνεται η εγγραφή των ενδιαφερομένων. Ωστόσο, με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/3439/20-05-2020 νεότερο ηλεκτρονικό μήνυμά του, ο καταγγελλόμενος υπεύθυνος επεξεργασίας δηλώνει ότι η πηγή των δεδομένων αυτών δεν είναι το Πληροφοριακό Σύστημα «Εργάνη», ότι η αρχική πληροφορία δεν είναι σωστή και ήταν ουσιαστικά λανθασμένη εκτίμηση του εργαζόμενου που έκανε την κλήση που οδήγησε στην καταγγελία. Αντίθετα, τα δεδομένα που χρησιμοποιήθηκαν από το ΙΙΕΚ ΟΜΗΡΟΣ έχουν αποκλειστικά και σε κάθε περίπτωση προέλευση το διαδίκτυο. Πιο συγκεκριμένα, τα προσωπικά δεδομένα που συλλέχθηκαν και χρησιμοποιήθηκαν αφορούν 1000 υποκείμενα και περιλαμβάνουν: όνομα, επίθετο, τηλέφωνο, διεύθυνση & email. Σε μεταγενέστερο αίτημα της Αρχής για πρόσθετες πληροφορίες και διευκρινίσεις επί της τελευταίας απάντησής του, ο καταγγελλόμενος υπεύθυνος επεξεργασίας απάντησε με το υπ΄ αριθμ. πρωτ. Γ/ΕΙΣ/3583/26-05-2020 ηλεκτρονικό μήνυμα, στο οποίο διευκρινίζει, μεταξύ άλλων, τα εξής συνοπτικώς αναφερόμενα: 1) Αναφορικά με τις ιστοσελίδες που χρησιμοποιήθηκαν για τη συλλογή των εν λόγω στοιχείων επικοινωνίας, αυτές ήταν Χρυσός οδηγός (xo.gr), http://www.vrisko.gr, https://www.starofservice.gr/dir/thessalia/larisa/larisa/nomos, http://www.lawfirms.gr/dikigoroi, http://www.google.com, 3 http://www.dsa.gr κ.α. 2) Αναφορικά με την νομική βάση για αυτή την επεξεργασία, η εταιρεία δηλώνει ότι αυτή ήταν το άρθρο 6 παρ. 1 στοιχείο στ) ΓΚΠΔ, δηλ. η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας, καθώς και το άρθρο 9 παρ. 2 στοιχείο ε) ΓΚΠΔ, δηλ. η επεξεργασία αφορά δεδομένα προσωπικού χαρακτήρα τα οποία έχουν προδήλως δημοσιοποιηθεί από το υποκείμενο των δεδομένων. 3) Αναφορικά με τον τρόπο προσέγγισης των υποψήφιων πελατών, διευκρινίστηκε ότι η επικοινωνία έγινε μόνο τηλεφωνικά και με κανέναν άλλο τρόπο. 4) Η συγκεκριμένη πρακτική προώθησης των υπηρεσιών με χρήση στοιχείων επικοινωνίας διαθέσιμων στο διαδίκτυο εφαρμόστηκε αποκλειστικά μόνο για το πρόγραμμα/δράση αυτό (voucher) και για συγκεκριμένα επαγγέλματα. Η Αρχή ζήτησε με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/3663/28-05-2020 έγγραφο διευκρινίσεις επί του θέματος και από το Υπουργείο Εργασίας και Κοινωνικών Υποθέσεων. Το Υπουργείο απάντησε με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/4428/25-06-2020 έγγραφο στο οποίο, μεταξύ άλλων, ανέφερε τα εξής: 1) Λόγω της φύσης της δράσης και της υλοποίησης της μέσω επιταγών κατάρτισης (training voucher), η όλη διαδικασία εναπόκειτο αποκλειστικά σε πρωτοβουλία του ωφελούμενου και επιλογή από τον ίδιο του φορέα κατάρτισης, με τον οποίο θα συνεργαζόταν. Μόνον αφότου οι ωφελούμενοι ολοκλήρωναν την υποβολή αίτησης με έναν από τους δύο τρόπους (δηλαδή είτε αυτοπροσώπως είτε μέσω εξουσιοδοτημένου από τους ίδιους παρόχου κατάρτισης), το Υπουργείο αποκτούσε πρόσβαση στα αναγκαία για την υλοποίηση της δράσης προσωπικά δεδομένα των ωφελουμένων. Αντιθέτως, όπως είναι προφανές από την ανάλυση που προηγήθηκε, οι λοιποί εγγεγραμμένοι στο σχετικό Μητρώο πάροχοι κατάρτισης, όσοι 4 δηλαδή δεν είχαν επιλεγεί από ορισμένο ωφελούμενο, δεν είχαν καμία απολύτως πρόσβαση σε οποιαδήποτε δεδομένα του εν λόγω ωφελούμενου, στο πλαίσιο της ανωτέρω δράσης. 2) Από τα δικαιώματα χρήσης βάσει των κωδικών τους, οι πάροχοι κατάρτισης είχαν πρόσβαση στα δεδομένα μόνο των ωφελούμενων, για τους οποίους ενεργοποίησαν την επιταγή κατάρτισης, σύμφωνα με τη διαδικασία της Πρόσκλησης και όχι στο σύνολο των δυνητικά ωφελούμενων. Στη συνέχεια, η Αρχή κάλεσε με το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/434/20-01-2021 έγγραφο τον καταγγελλόμενο υπεύθυνο επεξεργασίας σε ακρόαση μέσω τηλεδιάσκεψης ενώπιον του Τμήματος της Αρχής στη συνεδρίαση αρχικά στις 27-012021 προκειμένου να συζητηθεί η ανωτέρω σχετική καταγγελία, καθώς και η γενική πρακτική που ακολουθεί για την προώθηση των υπηρεσιών του με ηλεκτρονικά μέσα. Ωστόσο, ο υπεύθυνος επεξεργασίας ζήτησε αναβολή, και τελικά στη συνεδρίαση στις 03/02/2021 παρέστησαν η Αναστασία Κουζινόγλου, δικηγόρος με ΑΜΔΣΑ …., και ο Γεώργιος Μακρυπλίδης, μέρος της διοίκησης του ΙΙΕΚ ΟΜΗΡΟΣ, εκ μέρους του υπευθύνου επεξεργασίας και εξέθεσαν προφορικά τις απόψεις τους. Μεταξύ άλλων, επανέλαβαν τα όσα αναφέρονταν στο ανωτέρω υπόμνημα, και πρόσθεσαν ότι πρόκειται για μεμονωμένο περιστατικό που οφείλεται σε ανθρώπινο λάθος, παρόλο που είχαν λάβει αντίγραφα των μητρών 11 από τους παρόχους πριν τη συγκεκριμένη προωθητική ενέργεια, ενώ τα στοιχεία επικοινωνίας ήταν αναρτημένα σε δημόσια προσβάσιμους επαγγελματικούς καταλόγους. Ακολούθως, ο καταγγελλόμενος υπεύθυνος επεξεργασίας έλαβε προθεσμία, και κατέθεσε εμπρόθεσμα το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/1051/11-02-2021 υπόμνημα. Στο εν λόγω υπόμνημα, επιπλέον των προηγούμενων εγγράφων, αναφέρονται τα εξής συνοπτικώς αναφερόμενα:
- Για την προώθηση της δράσης «Πρόγραμμα Τηλεκατάρτισης με πιστοποίηση για επιστήμονες πληττόμενους από τον COVID-19 που εντάσσονται στους 6 βασικούς επιστημονικούς κλάδους της χώρας βάσει ΚΑΔ οριζόμενων από το Υπουργείο Οικονομικών» απευθύνθηκε σε ελεύθερους επαγγελματίες – δικαιούχους του εν λόγω προγράμματος.
- Στο πλαίσιο προώθησης των υπηρεσιών του, ο καταγγελλόμενος υπεύθυνος 5 επεξεργασίας συνέλεξε δεδομένα ελεύθερων επαγγελματιών που ήταν αναρτημένα σε δημόσιους επαγγελματικούς καταλόγους στο διαδίκτυο. Τα δεδομένα που συνέλεξε ήταν το όνομα, το επίθετο και ο τηλεφωνικός αριθμός των υποκειμένων προκειμένου να πραγματοποιηθεί προώθηση μέσω διενέργειας τηλεφωνικών κλήσεων μόνο, και όχι π.χ. μέσω της αποστολής ηλεκτρονικών μηνυμάτων.
- Κατά την έναρξη των σχετικών κλήσεων οι υπάλληλοι της εταιρείας ενημέρωναν τα υποκείμενα για τα πλήρη στοιχεία της εταιρείας, για το λόγο για τον οποίο πραγματοποιούνταν η τηλεφωνική κλήση, και για τα δικαιώματα πρόσβασης και εναντίωσης που έχουν σύμφωνα με το ισχύον νομοθετικό πλαίσιο.
- Η εταιρεία δεν είχε ούτε απέκτησε πρόσβαση στο πληροφοριακό ηλεκτρονικό σύστημα του Υπουργείου Εργασίας «ΕΡΓΑΝΗ», αλλά αυτό συνιστά αποκλειστικά και μόνο μια αυθαίρετη υπόθεση του καταγγέλλοντος.
- Πριν τις τηλεφωνικές κλήσεις, η εταιρεία μερίμνησε να λάβει από όλους τους παρόχους τηλεπικοινωνίας αντίγραφα των μητρώων του άρθρου 11 των συνδρομητών τους, και οι υπάλληλοι της εταιρείας πριν την διενέργεια κάθε κλήσης προέβαιναν σε σχετικό έλεγχο. Έλεγχος πραγματοποιείται και στα αρχεία της ίδιας της εταιρείας για τις περιπτώσεις που ενδεχομένως το υποκείμενο άσκησε ειδικά απευθείας στην εταιρεία δικαίωμα εναντίωσης. Οποιαδήποτε άλλη περίπτωση διενέργειας δραστηριοτήτων εμπορικής προώθησης βασίζεται στην προηγούμενη ρητή συγκατάθεση του υποκειμένου.
- Στην περίπτωση του καταγγέλλοντος, έγινε λάθος από τον υπάλληλο, ο οποίος δεν προέβη σε ορθό έλεγχο με αποτέλεσμα να πραγματοποιηθεί η σχετική κλήση προς τον αριθμό του. Ο καταγγέλλων διαμαρτυρήθηκε εξ αρχής για την επικοινωνία, και στη συνέχεια ο εν λόγω υπάλληλος διέγραψε τα στοιχεία του από τη λίστα των προσώπων στα οποία θα πραγματοποιούσαν τη σχετική προωθητική ενέργεια.
- Το συγκεκριμένο περιστατικό ήταν μεμονωμένο και ουδέν άλλο λάθος πραγματοποιήθηκε κατά την διάρκεια της εν λόγω προωθητικής ενέργειας. Η εταιρεία προέβη σε συστάσεις προς τον υπάλληλο καθώς και σε όλο το 6 προσωπικό προκειμένου να διασφαλίσουν την αποφυγή αντίστοιχων λαθών.
- Η καταγγελλόμενη τηλεφωνική κλήση επρόκειτο για τηλεφωνική κλήση με σκοπό την προώθηση προϊόντος συναφούς με την επαγγελματική δραστηριότητα του καταγγέλλοντος, ήτοι προϊόντος που απευθυνόταν σε δικηγόρους. Η εταιρεία τηρεί το ισχύον νομοθετικό πλαίσιο για την προστασία των προσωπικών δεδομένων. Μεταξύ άλλων, οι εργαζόμενοι δεσμεύονται με σύμβαση εμπιστευτικότητας, και τηρούν τον ισχύοντα στην εταιρεία κώδικα δεοντολογίας. Επίσης, υπάρχουν συγκεκριμένες πολιτικές που περιγράφουν τα οργανωτικά και τεχνικά μέτρα προστασίας και ασφάλειας που έχουν ληφθεί και ελέγχονται ανά τακτά χρονικά διαστήματα. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, την ακροαματική διαδικασία και αφού άκουσε τον εισηγητή και τον βοηθό εισηγητή, ο οποίος παρέστη χωρίς δικαίωμα ψήφου και αποχώρησε μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης, μετά από διεξοδική συζήτηση, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
- Το ζήτημα των τηλεφωνικών κλήσεων, για σκοπούς απευθείας προώθησης προϊόντων ή υπηρεσιών και για κάθε είδους διαφημιστικούς σκοπούς, ρυθμίζεται στο άρθρο 11 του ν. 3471/2006, στο οποίο ορίζονται τα σχετικά με τις μη ζητηθείσες επικοινωνίες (βλ. παρ. 1 και 2). Σημειώνεται ότι, με τις διατάξεις του άρθρου 16 παρ. 1 και 2 του ν. 3917/2011 τροποποιήθηκαν οι παρ. 1 και 2 του άρθρου 11 του ν. 3471/2006, ώστε με το άρθρο 11 παρ. 1 του ν. 3471/2006 ορίζεται πλέον ότι: «Η χρησιμοποίηση αυτόματων συστημάτων κλήσης, ιδίως με χρήση συσκευών τηλεομοιοτυπίας (φαξ) ή ηλεκτρονικού ταχυδρομείου, και γενικότερα η πραγματοποίηση μη ζητηθεισών επικοινωνιών με οποιοδήποτε μέσο ηλεκτρονικής επικοινωνίας, χωρίς ανθρώπινη παρέμβαση, για σκοπούς απευθείας εμπορικής προώθησης προϊόντων ή υπηρεσιών και για κάθε είδους διαφημιστικούς σκοπούς, επιτρέπεται μόνο αν ο συνδρομητής συγκατατεθεί εκ των προτέρων ρητώς», ενώ με την παράγραφο 2 του ιδίου άρθρου ορίζεται ότι: 7 «Δεν επιτρέπεται η πραγματοποίηση μη ζητηθεισών επικοινωνιών με ανθρώπινη παρέμβαση (κλήσεων) για τους ανωτέρω σκοπούς, εφόσον ο συνδρομητής έχει δηλώσει προς τον φορέα παροχής της διαθέσιμης στο κοινό υπηρεσίας, ότι δεν επιθυμεί γενικώς να δέχεται τέτοιες κλήσεις. Ο φορέας υποχρεούται να καταχωρίζει δωρεάν τις δηλώσεις αυτές σε ειδικό κατάλογο συνδρομητών, ο οποίος είναι στη διάθεση κάθε ενδιαφερομένου». Κατά συνέπεια, μετά την 01-09-2011, ημερομηνία κατά την οποία άρχισε η ισχύς της τροποποιημένης διάταξης, οι τηλεφωνικές κλήσεις με ανθρώπινη παρέμβαση, ενόψει των ανωτέρω σκοπών, επιτρέπονται, εκτός αν ο καλούμενος συνδρομητής έχει δηλώσει ότι δεν τις επιθυμεί (σύστημα «opt-out»). Το σύστημα «opt-out» έχει ως συνέπεια ότι οι συνδρομητές φυσικά ή νομικά πρόσωπα μπορούν να απευθύνουν τις αντιρρήσεις τους, όσον αφορά την επεξεργασία των δεδομένων τους, είτε ειδικά απευθείας στον υπεύθυνο επεξεργασίας (δηλαδή στον διαφημιζόμενο) ασκώντας το δικαίωμα εναντίωσης ως προς την επεξεργασία προσωπικών δεδομένων βάσει του άρθρου 21 του ΓΚΠΔ είτε γενικά μέσω της εγγραφής τους στον ειδικό κατάλογο συνδρομητών του παρόχου που προβλέπει το άρθρο 11 παρ. 2 του ν. 3471/
- Ο νόμος προβλέπει τη δημιουργία μητρώων («opt-out») σε κάθε πάροχο και ο συνδρομητής μπορεί να δηλώσει ατελώς, στον δικό του πάροχο υπηρεσιών ηλεκτρονικών επικοινωνιών, ότι δεν επιθυμεί να λαμβάνει τηλεφωνικές κλήσεις για απευθείας εμπορική προώθηση.
- Η διενέργεια τηλεφωνικών κλήσεων με σκοπό την προώθηση προϊόντων και υπηρεσιών, ρυθμίζεται κατ΄ αρχήν από το άρθρο 11 του ν. 3471/
- Επισημαίνεται όμως ότι, στο άρθρο 3 παρ. 2 του νόμου αυτού διευκρινίζεται ότι «Ο ν. 2472/1997, όπως ισχύει, και οι εκτελεστικοί του άρθρου 19 του Συντάγματος νόμοι, όπως ισχύουν, εφαρμόζονται για κάθε ζήτημα σχετικό με την παροχή υπηρεσιών ηλεκτρονικών επικοινωνιών, που δεν ρυθμίζεται ειδικότερα από τον παρόντα νόμο». Πλέον, μετά τη θέση σε εφαρμογή του ΓΚΠΔ, κάθε παραπομπή στο ν. 2472/1997, ο οποίος είχε εκδοθεί σε συμμόρφωση με την Οδηγία 95/46/ΕΚ, νοείται ως παραπομπή στο ΓΚΠΔ (βλ. και άρθρο 94 παρ. 1 ΓΚΠΔ). Συνεπώς, για κάθε ζήτημα σχετικό με την παροχή υπηρεσιών ηλεκτρονικών επικοινωνιών σε συνδρομητές ή χρήστες που είναι φυσικά πρόσωπα και το οποίο 8 δεν ρυθμίζεται ειδικότερα στο ν. 3471/2006 εφαρμόζεται ο ΓΚΠΔ (βλ. επίσης και άρθρο 95 ΓΚΠΔ όπως και την αιτιολογική σκέψη υπ’ αριθμ. 173).
- Σύμφωνα με το άρθρο 4 στοιχ. 7 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (εφεξής, ΓΚΠΔ), ο οποίος είναι σε εφαρμογή από τις 25 Μαΐου 2018, ως υπεύθυνος επεξεργασίας ορίζεται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα».
- Το άρθρο 5 ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»)».
- Με βάση την αρχή της λογοδοσίας όπως ορίζεται στο άρθρο 5 παρ. 2 ΓΚΠΔ «Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Συνεπώς, ο υπεύθυνος επεξεργασίας οφείλει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις έξι βασικές αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα.
- Το άρθρο 6 παρ. 1 ΓΚΠΔ προβλέπει, μεταξύ άλλων, ότι: «Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: (...) στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα (...)».
- Όσον αφορά στην ενημέρωση του καλούμενου χρήστη, όταν τα στοιχεία δεν έχουν συλλεγεί από το ίδιο το υποκείμενο, εφαρμόζονται οι διατάξεις του άρθρου 14 ΓΚΠΔ και ο υπεύθυνος επεξεργασίας οφείλει να παρέχει στο υποκείμενο των δεδομένων μια σειρά από πληροφορίες, μεταξύ των οποίων περιλαμβάνονται η 9 ταυτότητά του, τα στοιχεία επικοινωνίας του, η ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για την άσκηση των δικαιωμάτων του καλούμενου υποκειμένου των δεδομένων, και η πηγή από την οποία προέρχονται τα δεδομένα του.
- Στη συγκεκριμένη περίπτωση, o καταγγελλόμενος, ως υπεύθυνος επεξεργασίας προέβη σε πραγματοποίηση μη ζητηθείσας τηλεφωνικής επικοινωνίας με ανθρώπινη παρέμβαση για σκοπούς απευθείας εμπορικής προώθησης των υπηρεσιών του προς τον καταγγέλλοντα, διότι ο κληθείς τηλεφωνικός αριθμός του καταγγέλλοντος ήταν καταχωρισμένος στο μητρώο του άρθρου 11 του ν. 3471/2006 που τηρεί ο τηλεπικοινωνιακός του πάροχος, παραβιάζοντας έτσι τη σχετική διάταξη. Η εταιρεία δηλώνει ότι πριν την πραγματοποίηση της εν λόγω προωθητικής ενέργειας έλαβε από τους παρόχους αντίγραφα των εν λόγω μητρώων προκειμένου να πραγματοποιούνται έλεγχοι πριν την κάθε κλήση ότι ο αριθμός τηλεφώνου δεν ήταν εγγεγραμμένος στο εν λόγω μητρώο. Ωστόσο, λόγω λάθους ενός υπαλλήλου, δεν πραγματοποιήθηκε ορθός έλεγχος πριν την επίμαχη κλήση.
- Επιπλέον, ο καταγγελλόμενος, όπως παραδέχεται στα ανωτέρω σχετικά έγγραφά που υπέβαλε στην Αρχή, συνέλεξε προσωπικά δεδομένα που ήταν δημοσιευμένα στο διαδίκτυο για το σκοπό της παροχής πληροφοριών στο ευρύ κοινό για τα στοιχεία επικοινωνίας των υποκειμένων ως ελεύθεροι επαγγελματίες. Στη συνέχεια, προέβη σε επεξεργασία των δεδομένων αυτών, ήτοι συλλογή, καταχώριση σε αρχείο και εν τέλει χρήση για την πραγματοποίηση των κλήσεων της εν λόγω προωθητικής ενέργειας, δηλ. για σκοπό επεξεργασίας μη συμβατό με το σκοπό για τον οποίο είχαν δημοσιευθεί τα προσωπικά αυτά δεδομένα στο διαδίκτυο. Κατά συνέπεια, καθώς δεν μπορεί να αποτελέσει νομική βάση για την επίμαχη επεξεργασία η επιδίωξη των έννομων συμφερόντων του υπευθύνου επεξεργασίας, δηλ. η περίπτωση του άρθρου 6 στοιχ. 1 παρ. στ) του ΓΚΠΔ, όπου απαιτείται να μην υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων, η εν λόγω επεξεργασία δεν ήταν νόμιμη.
- Περαιτέρω, καθώς ο υπεύθυνος επεξεργασίας δεν αναφέρει ότι τα υποκείμενα ενημερώθηκαν προηγουμένως για τη συλλογή των προσωπικών δεδομένων τους 10 από τις εν λόγω δημόσια προσβάσιμες πηγές, υπήρξε και παραβίαση της αρχής της διαφάνειας του άρθρου 5 παρ. 1 α’ του ΓΚΠΔ, και μη παροχή των απαραίτητων πληροφοριών στο υποκείμενο των δεδομένων, σύμφωνα με τα όσα ορίζονται στο άρθρο 14 του ΓΚΠΔ.
- Ως προς την καταγγελλόμενη μη σύννομη πρόσβαση του υπευθύνου επεξεργασίας στο πληροφοριακό σύστημα «Εργάνη» του Υπουργείου Εργασίας, δεν κατέστη δυνατό να στοιχειοθετηθεί παράνομη επεξεργασία είτε από την καταγγελία είτε από τα στοιχεία που συνελέγησαν από την έρευνα που διεξήγαγε η Αρχή.
- Ο υπεύθυνος επεξεργασίας δεν προσδιόρισε στην Αρχή τον ακριβή αριθμό των υποκειμένων των οποίων τα δεδομένα συνελέγησαν ή τον ακριβή αριθμό των κλήσεων που πραγματοποιήθηκαν.
- O υπεύθυνος επεξεργασίας συνεργάστηκε με την Αρχή απαντώντας στα έγγραφα για διευκρινίσεις, καθώς και κατά τη συνεδρίαση της Αρχής και στο υπόμνημα που κατέθεσε.
- Δεν έχει επιβληθεί στο παρελθόν διοικητική κύρωση από την Αρχή στον υπεύθυνο επεξεργασίας.
- Σύμφωνα με τα στοιχεία στο ΓΕΜΗ[1],η εταιρεία κατά τη χρήση της περιόδου 01/07/2019 έως 30/06/2020 είχε κύκλο εργασιών 3.198.421,99 € και κέρδη μετά από φόρους 121.910,66 €. Βάσει των ανωτέρω, η Αρχή κρίνει ομόφωνα ότι σύμφωνα με το άρθρο 11 του ν. 3471/2006, το άρθρο 5 παρ. 1 στοιχ. α’ του ΓΚΠΔ και το άρθρο 14 του ΓΚΠΔ συντρέχουν οι προϋποθέσεις επιβολής σε βάρος του υπευθύνου επεξεργασίας, με βάση αφενός το άρθρο 13 του ν. 3471/2006, σε συνδυασμό με το άρθρο 21 παρ. 1 στοιχ. β΄ του ν. 2472/1997 και με το άρθρο του 84 ν. 4624/2019, και αφετέρου το άρθρο 58 παρ. 2 εδ. θ’ του Κανονισμού και το άρθρο 15 παρ. 6 του ν. 4624/2019, λαμβάνοντας υπόψη τα κριτήρια του άρθρου 83 παρ. 2 του ΓΚΠΔ, της διοικητικής κύρωσης, που αναφέρεται στο διατακτικό της παρούσας, η οποία κρίνεται αποτελεσματική, αναλογική και αποτρεπτική, συνυπολογίζοντας τα επιβαρυντικά 1 https://www.businessregistry.gr/publicity/show/6982201000 11 στοιχεία που αναφέρονται στις σκέψεις 8, 9 και 10 της παρούσας και τα ελαφρυντικά στοιχεία που αναφέρονται στις σκέψεις 13 και 14 της παρούσας. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα: Επιβάλλει στην «Ιδιωτικό Ινστιτούτο Επαγγελματικής Κατάρτισης ΟΜΗΡΟΣ Εταιρεία Περιορισμένης Ευθύνης» το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους πέντε χιλιάδων ευρώ (5.000,00) ευρώ, για τις ως άνω διαπιστωθείσες παραβιάσεις του άρθρου 11 του ν. 3471/2006, σε συνδυασμό με το άρθρο 5 παρ. 1 στοιχ. α’ του ΓΚΠΔ και το άρθρο 14 του ΓΚΠΔ. Ο Αναπληρωτής Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 12