ΕΛΛΗΝΙΚΗ ΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ Ε ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Αθήνα, 09-11-2018 Αριθ. Πρωτ.: Γ/ΕΞ/8841/09-11-2018 ΑΠΟΦΑΣΗ ΑΡ. 66/2018 (Τµήµα) Η Αρχή Προστασ ας ∆εδοµένων Προσωπικού Χαρακτήρα συνεδρ ασε σε σύνθεση Τµήµατος στην έδρα της την Τετάρτη 7 Νοεµβρ ου 2018 µετά από πρόσκληση του Προέδρου της, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυοµένου του Προέδρου της Αρχής, Κωνσταντ νου Μενουδάκου, το τακτικό µέλος της Αρχής Κωνσταντ νος Λαµπρινουδάκης και τα αναπληρωµατικά µέλη Παναγιώτης Ροντογιάννης ως εισηγητής και Γρηγόριος Τσόλιας σε αναπλήρωση των τακτικών µελών Αντώνιου Συµβώνη και Χαράλαµπου Ανθόπουλου, οι οπο οι, αν και εκλήθησαν νοµ µως εγγράφως, δεν παρέστησαν λόγω κωλύµατος. Στη συνεδρ αση παρέστη, µε εντολή του Προέδρου, ο Γεώργιος Ρουσόπουλος, ειδικός επιστήµονας – ελεγκτής ως βοηθός εισηγητή. Επ σης, παρέστη, µε εντολή του Προέδρου, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του ∆ιοικητικού Τµήµατος της Αρχής, ως γραµµατέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Υποβλήθηκε στην Αρχή η υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/4232/29-05-2018 καταγγελ α του A. Σύµφωνα µε αυτή, ο καταγγέλλων έλαβε στις 24/5/2018 µήνυµα από την «Πιτσουλάκης – Ροµπογιαννάκης Ο.Ε.» (εφεξής και υπεύθυνος επεξεργασ ας), µέσω της εφαρµογής Viber, το οπο ο ανέφερε ότι η εταιρε α τον ευχαριστε για τη συγκατάθεσή του και ότι θα συνεχ σει να τον ενηµερώνει για ειδικές προσφορές, τεχνολογικά νέα, events και διαγωνισµούς. Ο Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr καταγγέλλων αναφέρει ότι δεν υπήρξε συγκατάθεση για τη συλλογή του αριθµού του ούτε για τη συνέχεια της αποστολής των µηνυµάτων. Η Αρχή µε το υπ’ αριθµ. πρωτ. Γ/ΕΞ/42321/25-06-2018 έγγραφό της απέστειλε αντ γραφο της καταγγελ ας στον υπεύθυνο επεξεργασ ας, ο οπο ος υπέβαλλε τις απόψεις του µε το υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/20-07-2018 έγγραφό του. Με το έγγραφό αυτό ο υπεύθυνος επεξεργασ ας υποστηρ ζει, συνοπτικά, ότι ο καταγγέλλων εσφαλµένα αναφέρει ότι δεν υπήρξε συγκατάθεση στη συλλογή του αριθµού του, καθώς χορήγησε ο διος τον αριθµό του τηλεφώνου του στην εταιρε α, στο πλα σιο προηγούµενων συναλλαγών και ότι έλαβε τη συγκατάθεσή του για την αποστολή διαφηµιστικών µηνυµάτων µέσω της διαδικασ ας 4 σταδ ων της εφαρµογής “Viber Βusiness”, η οπο α διαδικασ α εξασφαλ ζει τις προϋποθέσεις νοµιµότητας. Ο υπεύθυνος επεξεργασ ας θεωρε ότι για την αποστολή µηνυµάτων µέσω της εφαρµογής Viber εφαρµόζεται η διάταξη του αρ. 11 παρ. 3 του ν. 3471/2006, η οπο α του δ νει τη δυνατότητα, υπό προϋποθέσεις, να αποστέλλει διαφηµιστικά µηνύµατα σε πελάτες του. Η Αρχή, µετά από εξέταση όλων των στοιχε ων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκριν σεις του βοηθού εισηγητή, ο οπο ος αποχώρησε µετά τη συζήτηση και πριν από τη διάσκεψη και τη λήψη αποφάσεως, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
- Το άρθρο 2 του ν. 2472/1997 ορ ζει ότι «δεδοµένα προσωπικού χαρακτήρα» ε ναι «κάθε πληροφορ α που αναφέρεται στο υποκε µενο των δεδοµένων». «Υποκε µενο των δεδοµένων» ε ναι «το φυσικό πρόσωπο στο οπο ο αναφέρονται τα δεδοµένα, και του οπο ου η ταυτότητα ε ναι γνωστή ή µπορε να εξακριβωθε , δηλαδή µπορε να προσδιορισθε αµέσως ή εµµέσως, ιδ ως βάσει αριθµού ταυτότητας ή βάσει ενός ή περισσότερων συγκεκριµένων στοιχε ων που χαρακτηρ ζουν την υπόστασή του από άποψη φυσική, βιολογική, ψυχική, οικονοµική, πολιτιστική, πολιτική ή κοινωνική». Στο πλα σιο αυτό, ο αριθµός τηλεφώνου ενός φυσικού προσώπου αποτελε προσωπικό δεδοµένο, αφού µπορε να λειτουργήσει ως στοιχε ο έµµεσης αναγνώρισης του κατόχου του, επιτρέποντας την επικοινων α µε αυτόν. Επισηµα νεται δε ότι, σύµφωνα και µε τη Γνώµη 4/2007 της οµάδας εργασ ας του άρθρου 29 της Ε.Ε. σχετικά µε την έννοια των προσωπικών δεδοµένων, ειδικά κατά τη λειτουργ α ηλεκτρονικών υπηρεσιών, στοιχε α έµµεσης αναγνώρισης, µπορούν επαρκώς σε ορισµένες περιπτώσεις να διακρ νουν ένα άτοµο από άλλα στο πλα σιο ενός συγκεκριµένου συνόλου, ακόµα και αν δεν έχει γ νει η εξακρ βωση του ονόµατός του. 2 Σύµφωνα µε το άρθρο 2 στοιχ. ζ) ν. 2472/1997, ως “υπεύθυνος επεξεργασ ας”, ορ ζεται κάθε φυσικό ή νοµικό πρόσωπο που καθορ ζει τον σκοπό και τον τρόπο επεξεργασ ας των δεδοµένων προσωπικού χαρακτήρα. Αντ στοιχοι ορισµο τόσο για τα δεδοµένα προσωπικού χαρακτήρα όσο και για τον υπεύθυνο επεξεργασ ας προβλέπονται και στο άρθρο 4 παρ. 1 και παρ. 7 του Κανονισµού (ΕΕ) 2016/679 (Γενικός Κανονισµός για την Προστασ α ∆εδοµένων - ΓΚΠ∆) ο οπο ος έχει τεθε σε εφαρµογή από τις 25/5/
- Στο άρθρο 5 του ν. 2472/1997 προβλέπεται ότι επεξεργασ α δεδοµένων προσωπικού χαρακτήρα επιτρέπεται µόνον όταν το υποκε µενο των δεδοµένων έχει δώσει τη συγκατάθεσή του (παρ. 1) και κατ’ εξα ρεση χωρ ς συγκατάθεση, όταν «είναι απ λύτως αναγκαία για την ικαν π ίηση τ υ ένν µ υ συµφέρ ντ ς π υ επιδιώκει επεξεργασίας ή υπεύθυν ς τρίτ ς ή ι τρίτ ι στ υς π ί υς ανακ ινών νται τα δεδ µένα και υπό τ ν όρ ότι τ ύτ υπερέχει πρ φανώς των δικαιωµάτων και συµφερόντων των πρ σώπων στα π ία αναφέρ νται τα δεδ µένα και δεν θίγ νται ι θεµελιώδεις ελευθερίες αυτών» (παρ. 2 εδαφ. ε’). Αντ στοιχα, στο άρθρο 6 παρ. 1 του ΓΚΠ∆ προβλέπονται ως προϋποθέσεις για το σύννοµο µιας επεξεργασ ας η συνα νεση του υποκειµένου των δεδοµένων για έναν ή περισσότερους συγκεκριµένους σκοπούς (εδάφ. α’) και το υπέρτερο έννοµο συµφέρον του υπεύθυνου επεξεργασ ας (εδάφ. στ’).
- Στο άρθρο 2 παρ. ια΄ του ν. 2472/1997 ορ ζεται ως συγκατάθεση του υποκειµένου των δεδοµένων «κάθε ελεύθερη, ρητή και ειδική δήλωση β υλήσεως, π υ εκφράζεται µε τρόπ σαφή, και εν πλήρη επιγνώσει, και µε την π ία, τ υπ κείµεν των δεδ µένων, αφ ύ πρ ηγ υµένως ενηµερωθεί, δέχεται να απ τελέσ υν αντικείµεν επεξεργασίας τα δεδ µένα πρ σωπικ ύ χαρακτήρα π υ τ αφ ρ ύν...». Αντ στοιχος ορισµός απαντάται και στο άρθρο 4 παρ. 11 του ΓΚΠ∆, ενώ στο άρθρο 7 του εν λόγω Κανονισµού ορ ζονται πρόσθετες υποχρεώσεις για τη συγκατάθεση, όπως για παράδειγµα ότι όταν «η συγκατάθεση τ υ υπ κειµέν υ των δεδ µένων παρέχεται στ πλαίσι γραπτής δήλωσης η π ία αφ ρά και άλλα θέµατα, τ αίτηµα για συγκατάθεση υπ βάλλεται κατά τρόπ ώστε να είναι σαφώς διακριτό από τα άλλα θέµατα» (παρ. 2).
- Στο άρθρο 3 του ν. 3471/2006 ορ ζεται ότι το πεδ ο εφαρµογής του εν λόγω νόµου περιλαµβάνει «την επεξεργασία δεδ µένων πρ σωπικ ύ χαρακτήρα και τη διασφάλιση τ υ απ ρρήτ υ των επικ ινωνιών, στ πλαίσι της παρ χής διαθεσίµων στ κ ινό υπηρεσιών ηλεκτρ νικών επικ ινωνιών σε δηµόσια δίκτυα ηλεκτρ νικών επικ ινωνιών». Στο πλα σιο αυτό, όταν η επεξεργασ α συν σταται σε απευθε ας εµπορική προώθηση προϊόντων και υπηρεσιών για διαφηµιστικούς σκοπούς µε αποστολή µηνυµάτων ηλεκτρονικού ταχυδροµε ου (στα οπο α περιλαµβάνονται και τα SMS) µέσω υπηρεσιών ηλεκτρονικών 3 επικοινωνιών σε δηµόσια δ κτυα ηλεκτρονικών επικοινωνιών, τυγχάνει εφαρµογής το ειδικότερο άρθρο 11 ν. 3471/2006 για την προστασ α των προσωπικών δεδοµένων στις ηλεκτρονικές επικοινων ες. Ειδικότερα, σύµφωνα µε την παρ. 1 του παραπάνω άρθρου, «η χρησιµ π ίηση αυτόµατων συστηµάτων κλήσης, ιδίως µε χρήση συσκευών τηλε µ ι τυπίας (φαξ) ή ηλεκτρ νικ ύ ταχυδρ µεί υ, και γενικότερα η πραγµατ π ίηση µη ζητηθεισών επικ ινωνιών µε π ι δήπ τε µέσ ηλεκτρ νικής επικ ινωνίας χωρίς ανθρώπινη παρέµβαση, για σκ π ύς απευθείας εµπ ρικής πρ ώθησης πρ ϊόντων ή υπηρεσιών και για κάθε είδ υς διαφηµιστικ ύς σκ π ύς, επιτρέπεται µόν αν συνδρ µητής συγκατατεθεί εκ των πρ τέρων ρητώς». Η Αρχή µε την Οδηγ α 2/2011 για την ηλεκτρονική συγκατάθεση περιγράφει αναλυτικά τις προϋποθέσεις και τους τρόπους νόµιµης λήψης της συγκατάθεσης µε ηλεκτρονικά µέσα για τους σκοπούς της ανωτέρω διάταξης. Μοναδική εξα ρεση στην υποχρέωση λήψης προηγούµενης συγκατάθεσης αποτελε , σύµφωνα µε την παρ. 3 του διου άρθρου, η περ πτωση κατά την οπο α τα στοιχε α επαφής ηλεκτρονικού ταχυδροµε ου αποκτήθηκαν νοµ µως, στο πλα σιο της πώλησης προϊόντων ή υπηρεσιών ή άλλης συναλλαγής και χρησιµοποιούνται για την απευθε ας προώθηση παρόµοιων προϊόντων ή υπηρεσιών του προµηθευτή ή για την εξυπηρέτηση παρόµοιων σκοπών και υπό τις λοιπές προϋποθέσεις που θέτει η συγκεκριµένη παράγραφος.
- Για την αποστολή διαφηµιστικού µηνύµατος µέσω της εφαρµογής Viber πραγµατοποιε ται επεξεργασ α του αριθµού τηλεφώνου. Η αποστολή τέτοιων µηνυµάτων, κατά το χρόνο της αποστολής του καταγγελλόµενου µηνύµατος ρυθµιζόταν από το ν. 2472/1997 ενώ µετά τις 25/5/2018 εµπ πτει στο πεδ ο εφαρµογής του Κανονισµού (ΕΕ) 2016/679 (Γενικός Κανονισµός για την Προστασ α ∆εδοµένων – ΓΚΠ∆) και όχι στο πεδ ο εφαρµογής του ν. 3471/
- Και τούτο διότι η εφαρµογή «Viber» αποτελε «υπηρεσ α της κοινων ας των πληροφοριών»1 και όχι υπηρεσ α ηλεκτρονικών επικοινωνιών σε δηµόσιο δ κτυο ηλεκτρονικών επικοινωνιών. Συνεπώς, η εξέταση της νοµιµότητας της αποστολής του εν λόγω µηνύµατος πρέπει να γ νει µε βάση τις διατάξεις του ν. 2472/1997, ενώ η µετά τις 25/5/2018 τήρηση και χρήση του αριθµού τηλεφώνου για διαφηµιστικό σκοπό και η ισχύς τυχόν συγκατάθεσης του υποκειµένου των δεδοµένων κρ νεται µε βάση τις διατάξεις του ΓΚΠ∆. Ειδικότερα, η νοµιµότητα της εν λόγω επεξεργασ ας µπορε να βασιστε ε τε στη συγκατάθεση του υποκειµένου της επεξεργασ ας ε τε στο υπέρτερο έννοµο συµφέρον του υπευθύνου επεξεργασ ας. Ειδικά για την τελευτα α περ πτωση, προκειµένου να κριθε ότι η επεξεργασ α ε ναι απαρα τητη για τους σκοπούς των έννοµων συµφερόντων που επιδιώκει ο 1 Βλέπε και άρθρο 4 παρ. 25 Κανονισµού (ΕΕ) 2016/679 4 υπεύθυνος επεξεργασ ας και να εξασφαλ ζονται τα δικαιώµατα των υποκειµένων των δεδοµένων, λαµβάνοντας υπόψη ότι η αποστολή των µηνυµάτων αυτών προσοµοιάζει στην αποστολή µηνυµάτων SMS σε δηµόσια δ κτυα τηλεφων ας, ε ναι απαρα τητο να πληρούνται τουλάχιστον οι διες προϋποθέσεις µε αυτές που περιγράφονται στο αρ. 11 παρ. 3 του ν. 3471/
- Εν προκειµένω, από τα στοιχε α του φακέλου της υπόθεσης προκύπτει ότι ο καταγγέλλων ε χε στο παρελθόν συναλλαγή µε τον υπεύθυνο επεξεργασ ας, στο πλα σιο της οπο ας του χορήγησε τον αριθµό του κινητού του τηλεφώνου. Όµως, το υποκε µενο της επεξεργασ ας (και πελάτης του υπευθύνου) δεν ενηµερώθηκε κατά το στάδιο της χορήγησης του τηλεφωνικού του αριθµού για τις περαιτέρω χρήσεις του αριθµού αυτού και ιδ ως για το γεγονός ότι ο αριθµός θα χρησιµοποιηθε για προώθηση προϊόντων και υπηρεσιών. Περαιτέρω, η εντός της εφαρµογής «viber» αποδοχή της λήψης µηνυµάτων από τον υπεύθυνο επεξεργασ ας, µέσω της χρήσης της υπηρεσ ας «viber business» δεν µπορε να θεωρηθε ως συγκατάθεση, καθώς, δεν πληρο τα κριτήρια της συγκατάθεσης όπως περιγράφονται στο άρθρο 2 παρ. ια΄ του ν. 2472/1997 (αλλά ούτε στο αρ. 4 παρ. 11 του ΓΚΠ∆). Και τούτο διότι προκύπτει ότι το υποκε µενο των δεδοµένων, κατά τη συλλογή των δεδοµένων, δεν ε χε ενηµερωθε κατάλληλα για το σκοπό της επεξεργασ ας, ήτοι την προώθηση προϊόντων και υπηρεσιών της εταιρε ας, ενώ ούτε κατά την αποστολή του µηνύµατος προσδιορ ζεται επαρκώς ο σκοπός της αποστολής αυτής, αν για παράδειγµα ε ναι για την εξυπηρέτηση της πελατειακής σχέσης ή για την αποστολή διαφηµιστικών µηνυµάτων. Συνεπώς, η χρήση της διαδικασ ας τεσσάρων σταδ ων, όπως περιγράφεται στο υπόµνηµα του υπευθύνου επεξεργασ ας, δεν διασφαλ ζει τη νοµιµότητα της αρχικής χρήσης (συλλογής) του αριθµού τηλεφώνου, κατά την οπο α δεν υπήρξε κατάλληλη ενηµέρωση του υποκειµένου των δεδοµένων για τους σκοπούς της επεξεργασ ας.
- Συνεπώς, διαπιστώνεται παράβαση του ν. 2472/1997 λόγω της επεξεργασ ας του αριθµού τηλεφώνου πελάτη για την αποστολή µηνύµατος µέσω της ηλεκτρονική εφαρµογής «viber», χωρ ς κατάλληλη ενηµέρωση του παραλήπτη, παράβαση η οπο α συντελέστηκε σε χρόνο κατά τον οπο ο δεν ε χε τεθε σε εφαρµογή ο ΓΚΠ∆. Περαιτέρω, καθώς ο υπεύθυνος επεξεργασ ας φα νεται ότι εφάρµοσε την εν λόγω διαδικασ α αποστολής µηνύµατος προκειµένου να λάβει συγκατάθεση η οπο α θα ήταν εν ισχύ και µετά τις 25/5/2018, ο εν λόγω αριθµός τηλεφώνου τηρήθηκε µη νόµιµα για σκοπό προώθησης προϊόντων και υπηρεσιών όχι µόνο πριν αλλά και µετά τις 25/5/
- Λαµβάνοντας υπόψη τη βαρύτητα της παράβασης και το γεγονός ότι δεν υπήρξε άλλο παράπονο κατά του υπευθύνου επεξεργασ ας, η Αρχή κρ νει ότι πρέπει να απευθύνει σχετική επ πληξη στον υπεύθυνο 5 επεξεργασ ας, µε βάση το άρθρο 58 παρ. 2 εδαφ. α’ του ΓΚΠ∆. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή Προστασ ας ∆εδοµένων Προσωπικού Χαρακτήρα: Απευθύνει, επ πληξη στον υπεύθυνο επεξεργασ ας για µη νόµιµη επεξεργασ α αριθµού τηλεφώνου, όπως αυτή περιγράφεται στο σκεπτικό της παρούσης. Ο Αναπληρωτής Πρόεδρος Η γραµµατέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 6