Επιβολή κυρώσεων για παράβαση δικαιώματος πρόσβασης και διαγραφής

Αθήνα, 07-09-2022 Αριθ. Πρωτ.: 2211 ΑΠΟΦΑΣΗ 40/2022 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση σε σύνθεση Τμήματος στην έδρα της την 08/06/2022, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Στη συνεδρίαση μετείχε μέσω τηλεδιάσκεψης ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής, Κωνσταντίνου Μενουδάκου, και παρέστησαν τα αναπληρωματικά μέλη Δημοσθένης Βουγιούκας και Μαρία Ψάλλα, ως εισηγήτρια σε αντικατάσταση των τακτικών μελών Κωνσταντίνου Λαμπρινουδάκη και Γρηγόριου Τσόλια οι οποίοι δεν παρέστησαν λόγω κωλύματος αν και κλήθηκαν νομίμως εγγράφως. Στη συνεδρίαση παρέστη, με εντολή του Προέδρου χωρίς δικαίωμα ψήφου, η Χάρις Συμεωνίδου, ειδική επιστήμονας – ελέγκτρια ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. H Αρχή έλαβε υπόψη τα παρακάτω: Με τη με αριθ. πρωτ. Γ/ΕΙΣ/7944/19-11-2020 καταγγελία του ο Α καταγγέλλει μη ικανοποίηση δικαιωμάτων του σχετικά με την επεξεργασία δεδομένων του από την εταιρεία DHL EXPRESS HELLAS A.E. (στο εξής “DHL”). Ειδικότερα, σύμφωνα με την ως άνω καταγγελία, κατά την παράδοση δέματος της DHL στον καταγγέλλοντα σε σημείο έξυπνης παραλαβής (“Clever Point”) στο …, ο συνεργάτης της εταιρείας ζήτησε να καταχωρήσει στο σύστημα στον υπολογιστή του τον αριθμό της αστυνομικής ταυτότητας του καταγγέλλοντος ως παραλήπτη. Λόγω άρνησης του καταγγέλλοντος να δώσει τον αριθμό αυτό, ο υπάλληλος έλαβε και καταχώρησε, σύμφωνα με την Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr καταγγελία, τον αριθμό της επαγγελματικής ταυτότητας του καταγγέλλοντος. Ακολούθως, σύμφωνα με την καταγγελία, στις … ο καταγγέλλων ζήτησε από την DHL μέσω ηλεκτρονικού μηνύματος στη διεύθυνση …@dhl.com, να πληροφορηθεί σε ποιο σύστημα έγινε η εισαγωγή των στοιχείων του καθώς και ποια άλλα προσωπικά του δεδομένα περιλαμβάνονται στο εν λόγω σύστημα, είτε με ελληνικούς είτε με λατινικούς χαρακτήρες, είτε από την τελευταία είτε από προηγούμενες αποστολές. Τέλος, όπως αναφέρει ο καταγγέλλων, ζήτησε να διαγραφούν οριστικά τα δεδομένα του και να του σταλεί σχετική επιβεβαίωση. Σύμφωνα δε με την καταγγελία, το αίτημα του καταγγέλλοντος δεν ικανοποιήθηκε και ο καταγγέλλων επανέλαβε τα αιτήματά του με νέο ηλεκτρονικό μήνυμα στην ίδια διεύθυνση στις …. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, με το με αριθ. πρωτ. Γ/ΕΞΕ/485/27-01-2021 έγγραφό της, κάλεσε την καταγγελλόμενη εταιρεία να εκθέσει τις απόψεις της επί των καταγγελλομένων. Στην απάντησή της η DHL κλήθηκε να διευκρινίσει ιδίως: α) εάν πράγματι ο καταγγέλλων άσκησε τα δικαιώματα πρόσβασης και διαγραφής των δεδομένων του, β) εάν και με ποιο τρόπο η εταιρεία ανταποκρίθηκε στα παραπάνω αιτήματα του καταγγέλλοντος και γ) ποια είναι η γενικότερη πολιτική που ακολουθεί η εταιρεία σχετικά με τη διαδικασία ταυτοποίησης των παραληπτών των δεμάτων που μεταφέρει (αναφέροντας, ειδικότερα, με ποια στοιχεία πρέπει να ταυτοποιείται ο παραλήπτης, ποιο είναι το σχετικό δικαιολογητικό έρεισμα, ποιος ο χρόνος τήρησης των στοιχείων ταυτοποίησης και οποιαδήποτε άλλη σχετική πληροφορία κρίνει σκόπιμη). Με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/1121/15-02-2021 απαντητικό της έγγραφο, η καταγγελλόμενη απάντησε στην Αρχή ότι έχει συμβληθεί με την εταιρεία «CLEVER SERVICES ΑΝΩΝΥΜΗ ΕΤΑΙΡΕΙΑ ΠΑΡΟΧΗΣ ΥΠΗΡΕΣΙΩΝ ΑΝΑΠΤΥΞΗΣ ΔΙΚΤΥΟΥ ΔΙΑΝΟΜΗΣ» (εφεξής “Clever Services”) που έχει αδειοδοτηθεί από την Ε.Ε.Τ.Τ. υπό καθεστώς Γενικής Άδειας, η οποία διαχειρίζεται το δίκτυο σημείων Clever Points (ήτοι, καταστήματα όπως Mini Market, ανθοπωλεία, βενζινάδικα, κάβες, φωτοτυπικά κέντρα κ.α. τα οποία https://cleverpoint.gr/about/) λειτουργούν με σκοπό σε την διευρυμένο ωράριο, αυτοματοποιημένη βλ. παράδοση ταχυδρομικών αποστολών με διαμεσολάβηση των υπαλλήλων της (παράδοση φακέλων και μικροδεμάτων) από πελάτες της DHL σε παραλήπτες χωρίς είσπραξη αντικαταβολής, στα συγκεκριμένα σημεία. Σύμφωνα με την ίδια απάντηση, στις … ο καταγγέλλων παρέλαβε από σημείο Clever Point … ένα δέμα, που είχε αποσταλεί από … μέσω της καταγγελλόμενης DHL στις …, κατά τη διάρκεια της παραλαβής του οποίου, αναφέρει ότι του ζητήθηκε από τον αρμόδιο υπάλληλο της Clever Services να καταχωρηθεί ο αριθμός της αστυνομικής του ταυτότητας, πράγμα που ο καταγγέλλων αρνήθηκε και τελικά καταχωρήθηκε μόνον ο αριθμός της επαγγελματικής του ταυτότητας. Η καταγγελλόμενη αναφέρει ότι στο πλαίσιο των ως άνω πραγματικών περιστατικών είχε συλλέξει στοιχεία του καταγγέλλοντος ως παραλήπτη του δέματος μόνο από τον αποστολέα αυτού, τη δε παράδοση του δέματος είχε αναλάβει εξ ολοκλήρου η εταιρεία Clever Services, η οποία προβαίνει σε έλεγχο ταυτοπροσωπίας του παραλήπτη «με βάση τις τηρούμενες από την ίδια πρακτικές και πολιτικές σύμφωνα με το εκάστοτε κανονιστικό πλαίσιο». Περαιτέρω, σύμφωνα με την καταγγελλόμενη DHL, στις … ο καταγγέλλων απευθύνθηκε στη διεύθυνση ηλεκτρονικού ταχυδρομείου …@dhl.com, ζητώντας να ενημερωθεί ποια δεδομένα του προσωπικού χαρακτήρα τηρούνται στο σύστημα της εταιρείας, αν είναι υποχρεωτική η καταχώρηση των στοιχείων ΑΔΤ στο ηλεκτρονικό σύστημα της DHL, ποια είναι τα στοιχεία επικοινωνίας της εταιρείας Clever Point, ενώ ζήτησε τη μεσολάβηση της DHL προκειμένου να ασκηθεί αποτελεσματικά το δικαίωμα διαγραφής του. Η καταγγελλόμενη επισυνάπτει και παραθέτει όλη τη σχετική αλληλογραφία των εκπροσώπων της με τον καταγγέλλοντα και υποστηρίζει ότι ο τελευταίος στην ουσία αρχικώς προβληματίστηκε και εναντιώθηκε στην απόδειξη της ταυτοπροσωπίας του κατά την παραλαβή του δέματος από το σημείο Clever Point, στη συνέχεια θέλησε να μάθει περισσότερες λεπτομέρειες σχετικά με την εταιρεία διαχείρισης του Clever Point, «ο υπάλληλος της οποίας ζήτησε να καταχωρήσει τον αριθμό της αστυνομικής του ταυτότητας στο ηλεκτρονικό σύστημα που τηρείται από την εταιρεία, ενώ ζήτησε και τη διαγραφή των δεδομένων της επαγγελματικής του ταυτότητας, η οποία είχε καταχωρηθεί στο σύστημα της ως άνω εταιρείας από τον υπάλληλό της». Η DHL με το ως άνω (Γ/ΕΙΣ/1121/15-02-2021) απαντητικό της έγγραφο επεσήμανε ότι η εταιρεία Clever Services υποστηρίζει την παράδοση δεμάτων, είτε μεταφορικών εταιρειών, είτε μεμονωμένων e-shops σε επιλεγμένα σημεία, και «τηρεί δικό της πληροφοριακό σύστημα για την παροχή της ως άνω υπηρεσίας (της παραλαβής δηλαδή των δεμάτων από συγκεκριμένα σημεία, ανεξαρτήτως του προηγούμενου τρόπου μεταφοράς τους)». Κατόπιν των ανωτέρω, η καταγγελλόμενη DHL δήλωσε στην Αρχή ότι θεωρεί πως ο καταγγέλλων δεν άσκησε ρητώς κάποιο δικαίωμα από τα αναφερόμενα στον Γενικό Κανονισμό Προστασίας Δεδομένων όσον αφορά στις επεξεργασίες που διενεργούνται από την ίδια. Αντιθέτως, εξέφρασε την πρόθεση να ενημερωθεί περαιτέρω για την διαδικασία ταυτοποίησης που διενεργεί η εταιρεία Clever Services και να διαγραφεί ο αριθμός της επαγγελματικής του ταυτότητας από τη βάση δεδομένων της εν λόγω εταιρείας. Σύμφωνα με την ως άνω απάντησή της, η καταγγελλόμενη DHL ενήργησε προς άμεση διερεύνηση του καταγγέλλοντος, ζητήματος και ενημερώνοντάς προς τον ικανοποίηση κατόπιν των αιτημάτων αλλεπάλληλων του τηλεφωνικών επικοινωνιών ότι «στα συστήματα μας εμφανίζονται τα στοιχεία που έχουν δηλωθεί στα συνοδευτικά έγγραφα μεταφοράς από πλευράς αποστολέα, αντίγραφο των οποίων παραδίδεται στον αποδέκτη κατά την επίδοση της αποστολής, και αποσκοπούν αποκλειστικά στην διασφάλιση της επιτυχούς ολοκλήρωσης της παράδοσης της αλληλογραφίας», και ότι κατά την παραλαβή δέματος από κατάστημα της DHL ζητείται η επίδειξη νόμιμου εγγράφου για λόγους ταυτοποίησης του αποδέκτη, χωρίς τα στοιχεία του εγγράφου να διατηρούνται ή να καταγράφονται με κανένα τρόπο από πλευράς DHL. Στη συνέχεια, ο καταγγέλλων επανήλθε μέσω email στις …, στο οποίο ανέφερε τα εξής: «[…] θα ήθελα να με ενημερώσετε σε ποιο σύστημα έγινε η εισαγωγή των στοιχείων μου, ποια άλλα προσωπικά δεδομένα υπάρχουν στο σύστημα αυτό και φυσικά επιβεβαίωση της οριστικής διαγραφής τους. Kαταλαβαίνω από την απάντησή σας ότι αυτό το σύστημα δεν είναι της DHL αλλά καθόσον το δέμα αφορούσε παράδοση από DHL πιστεύω ότι έχω δικαίωμα να γνωρίζω πως χειρίζεστε τα στοιχεία μου. Επίσης θα ήθελα να με ενημερώσετε ποια προσωπικά δεδομένα έχει η DHL στα σύστημά σας είτε με λατινικούς χαρακτήρες, είτε με ελληνικούς (με σωστή ορθογραφία ή όχι) όχι μόνο από την τελευταία αποστολή αλλά και από προηγούμενες και φυσικά επιβεβαίωση της διαγραφής τους. Ευχαριστώ πολύ». Σύμφωνα με την απάντηση της DHL, κατόπιν αυτού, και αφού είχε ήδη ενημερώσει τον καταγγέλλοντα, ότι δεν διατηρεί κανένα επιπλέον δεδομένο του, πλην αυτών που της είχε παράσχει ο αποστολέας του δέματος κατά την αποστολή, επανεπιβεβαίωσε πως ο καταγγέλλων είχε ήδη λάβει αντίγραφο των δεδομένων αυτών, καθώς περιέχονταν στο σχετικό συνοδευτικό έγγραφο του δέματος, που είχε ήδη παραλάβει. Ταυτόχρονα ενημερώθηκε ο Υπεύθυνος Προστασίας Δεδομένων της DHL, ο οποίος απέστειλε την από … επιστολή προς την εταιρεία Clever Services, γνωστοποιώντας της το αίτημα διαγραφής του καταγγέλλοντος, και ακολούθως, με την από … απαντητική επιστολή του, ο Διευθύνων Σύμβουλος της εταιρείας (ΣΤ), βεβαίωσε την ικανοποίηση του δικαιώματος διαγραφής του καταγγέλλοντος. Η DHL υποστηρίζει ότι προκειμένου να εξυπηρετήσει τον πελάτη της προέβη σε αλλεπάλληλες τηλεφωνικές και ηλεκτρονικές επικοινωνίες με τον καταγγέλλοντα και την εταιρεία Clever Services και του παρείχε όλες τις απαραίτητες πληροφορίες. Συγκεκριμένα, η DHL ισχυρίζεται ότι «ενημέρωσε τον καταγγέλλοντα σχετικά με τα στοιχεία της εταιρείας που διαχειρίζεται τα Clever Points, υπάλληλος της οποίας καταχώρησε τα στοιχεία του στην οικεία βάση δεδομένων της εταιρείας […] που ήταν υπεύθυνη για την εν λόγω υπηρεσία, ώστε να μπορέσει να ασκήσει προσηκόντως τα δικαιώματά του», ότι τα μόνα στοιχεία που τηρεί η ίδια είναι τα στοιχεία που της παρείχε ο αποστολέας του δέματος, αντίγραφο των οποίων είχε ήδη παραδοθεί στον καταγγέλλοντα, καθώς και ότι διαβίβασε το αίτημα διαγραφής του στην εταιρεία Clever Services, ώστε να διευκολύνει την άσκηση του δικαιώματός του, «παρά το γεγονός πως δεν είχε εκ του νόμου σχετική υποχρέωση», λαμβάνοντας στη συνέχεια τη βεβαίωση ικανοποίησης του δικαιώματος διαγραφής του από την εταιρεία αυτή. Η καταγγελλόμενη DHL με το απαντητικό της έγγραφο τονίζει ότι η υπηρεσία για την οποία ο καταγγέλλων διαμαρτύρεται, ήτοι η παραλαβή του δέματος μέσω clever point, αποτελεί «αποκλειστική αρμοδιότητα της εταιρείας Clever Services η οποία διαχειρίζεται τα σημεία, έχει δικό της πληροφοριακό σύστημα και υπαλλήλους που διενεργούν τη διαδικασία παράδοσης και ταυτοποίησης του παραλήπτη, όχι μόνο για παραλαβές δεμάτων που έχουν μεταφερθεί μέσω της DHL, αλλά και δεμάτων που έχουν μεταφερθεί μέσω άλλων εταιρειών, ή απευθείας από ηλεκτρονικά καταστήματα». Τέλος η DHL επισύναψε προς την Αρχή αντίγραφο της Πολιτικής Διατήρησης Δεδομένων προσωπικού χαρακτήρα (ως Σχετικό Ε) στην οποία περιλαμβάνεται (Παράρτημα ΙΙ) ο χρόνος και η αιτιολογία διατήρησης του συνόλου των δεδομένων προσωπικού χαρακτήρα που τηρεί. Σημειώνεται ότι στον εν λόγω πίνακα δεν περιλαμβάνονται πληροφορίες σχετικά με τα δεδομένα παραληπτών δεμάτων, όπως ο καταγγέλλων. Στη συνέχεια, λαμβάνοντας υπόψη τους ανωτέρω ισχυρισμούς της καταγγελλόμενης, ότι α) ενημέρωσε τον καταγγέλλοντα σχετικά με τα στοιχεία της εταιρείας που διαχειρίζεται τα Clever Points και β) δεν είχε εκ του νόμου υποχρέωση να διαβιβάσει το αίτημα διαγραφής του καταγγέλλοντος στην εταιρεία Clever Services, η Αρχή της απέστειλε το υπ’ αριθ. πρωτ. Γ/ΕΞΕ/914/23-03-2021 έγγραφο για παροχή διευκρινίσεων, θέτοντας τα εξής ερωτήματα: 1) αν η παράδοση της αποστολής σε σημείο Clever Point εν προκειμένω επελέγη από τον παραλήπτη (καταγγέλλοντα), σε ποιο χρονικό σημείο, με ποιον τρόπο και έπειτα από ποια ενημέρωση, 2) ποια είναι η μορφή της συνεργασίας της καταγγελλόμενης με την εταιρεία Clever Services, ήτοι εάν της παρέχει οδηγίες ως προς τη διαδικασία ταυτοποίησης του παραλήπτη, όπως φέρεται, κατά την καταγγελία, να δήλωσε ο υπάλληλος του Clever Point στον καταγγέλλοντα, 3) με ποιο τρόπο συμμορφώνεται η DHL προς την υποχρέωση διαφάνειας απέναντι στα υποκείμενα των δεδομένων όσον αφορά τη μορφή της συνεργασίας της με την εταιρεία Clever Services και τέλος 4) την κάλεσε να τεκμηριώσει τον ισχυρισμό ότι παρείχε στον καταγγέλλοντα τα πλήρη στοιχεία (επωνυμία, στοιχεία επικοινωνίας), της εταιρείας που διαχειρίζεται τα Clever Points. Με το Γ/ΕΙΣ/4106/22-06-2021 διευκρινιστικό έγγραφό της (το οποίο σημειώνεται ότι εστάλη με καθυστέρηση), η καταγγελλόμενη απάντησε στα ανωτέρω ερωτήματα ως εξής: 1) Αρχικά η αποστολή εκτελέστηκε από την ίδια (DHL), όμως λόγω μη εύρεσης του παραλήπτη στη δηλωθείσα διεύθυνση επέστρεψε στα απαράδοτα δέματα στις … και την ίδια μέρα ο παραλήπτης (καταγγέλλων) επικοινώνησε με το τμήμα εξυπηρέτησης πελατών της DHL, ενημερώθηκε για την δυνατότητα να παραλάβει το δέμα του από συγκεκριμένο σημείο παραλαβής που διαχειρίζεται τρίτος συνεργάτης της και επέλεξε ένα τέτοιο σημείο (Clever Point) στο …, όπου και προωθήθηκε το δέμα του στις …. 2) Όσον αφορά τη μορφή της συνεργασίας των δύο εταιρειών, η DHL ανέφερε ότι βασίζεται σε εμπορική σύμβαση συνεργασίας που έχει υπογραφεί στις 16/10/2018, στην οποία προβλέπεται ειδικώς ο τρόπος εξυπηρέτησης των πελατών και παρέχονται ειδικές οδηγίες ταυτοποίησης, περιλαμβανομένων των δεδομένων που απαιτούνται για την παράδοση φακέλων και μικροδεμάτων. Η DHL επισυνάπτει τη σχετική σύμβαση και παραπέμπει στο Παράρτημα Ι, σύμφωνα με το οποίο η ταυτοποίηση του παραλήπτη γίνεται μέσω 8ψήφιου κωδικού παραλαβής (PIN) που έχει λάβει ο παραλήπτης με SMS ή e-mail. Ωστόσο υποστηρίζει ότι κατά την πάροδο του χρόνου έχει παύσει να χρησιμοποιείται ο κωδικός PIN, έχει δε ενημερώσει τον συνεργάτη (Clever Services) ότι η ταυτοποίηση γίνεται με απλή επίδειξη της ταυτότητας του πελάτη. Παράλληλα αναφέρει ότι «η DHL αναπτύσσει και διαθέτει κεντρική εφαρμογή/ λογισμικό διαχείρισης και λειτουργίας των σημείων εξυπηρέτησης και λαμβάνει τα απαραίτητα μέτρα για να διατηρεί το δικό της μηχανογραφικό σύστημα σε λειτουργία αναλαμβάνοντας το κόστος αυτού, καθώς και να διακινεί περαιτέρω μέσω του οργανωμένου δικτύου της τις παραδοτέες αποστολές προς τα καταστήματα του Συνεργάτη. Στο μηχανογραφικό μας σύστημα, δε, δεν περιλαμβάνεται πεδίο για τον ΑΔΤ. Από τα ανωτέρω, καθώς και την μεταξύ μας συναφθείσα Σύμβαση Επεξεργασίας Προσωπικών Δεδομένων, προκύπτει ότι ουδόλως είχε τεθεί ως όρος για την ολοκλήρωση της παράδοσης η λήψη του αριθμού αστυνομικής ταυτότητας. Το δεδομένο αυτό συνέλεξε και επεξεργάστηκε ο εκτελών την υπηρεσία αυτοβούλως και χωρίς δική μας εντολή». 3) Σχετικά με τη συμμόρφωσή της προς την υποχρέωση διαφάνειας απέναντι στα υποκείμενα των δεδομένων αναφορικά με τη συνεργασία της με την Clever Services, η καταγγελλόμενη απάντησε ότι μεταξύ των δύο εταιριών έχει υπογραφεί «Controller Processor Agreement» (σύμβαση μεταξύ Υπευθύνου Επεξεργασίας και Εκτελούντος την Επεξεργασία), την οποία και επισύναψε καθώς επίσης και το συμβόλαιο συνεργασίας “ΣΥΜΒΑΣΗ CLEVER SERVICES - DHL Final.doc” και “ΣΥΜΒΑΣΗ CLEVER SERVICES - DHL τροποποιημένο.doc”. Επιπλέον η καταγγελλόμενη DHL απέστειλε στην Αρχή την «Πολιτική προστασίας [προσωπικών δεδομένων]» «summary_dpdhl_privacypolicy.pdf» και «DPDHL Data Privacy Policy EN.pdf» η οποία είναι αναρτημένη στην ιστοσελίδα της (https://www.dhl.com/gr- el/home/yposelido/topiki-eidopoiisi-aporritou.html). Τέλος, 4) προς τεκμηρίωση του ισχυρισμού της ότι παρείχε στον καταγγέλλοντα τα πλήρη στοιχεία της Clever Services, η καταγγελλόμενη επικαλέστηκε την αλληλογραφία τους μέσω e-mail, παραπέμποντας στα σχετικά αρχεία συνομιλιών. Κατόπιν λήψης γνώσης της ως άνω απάντησης, με το Γ/ΕΙΣ/5812/16-09-2021 έγγραφό του ο καταγγέλλων ανέφερε τα εξής: • Ότι κατά την παραλαβή του δέματος επέδειξε κανονικά την ταυτότητά του και εναντιώθηκε μόνο στην καταχώριση των στοιχείων του στη βάση δεδομένων του συνεργάτη της DHL, • ότι ζήτησε πρόσβαση στα δεδομένα του όχι μόνο από τη συγκεκριμένη αποστολή αλλά γενικότερα στο σύστημα της καταγγελλόμενης, αίτημα που δεν ικανοποιήθηκε. Επισημαίνει δε ότι αυτό που εννοεί η DHL ως αντίγραφο των δεδομένων που ο ίδιος είχε παραλάβει, είναι το αποδεικτικό voucher της συγκεκριμένης αποστολής. Ποτέ όμως δεν του έδωσαν αντίγραφο του συνόλου των προσωπικών δεδομένων του που τηρούνται στη βάση της DHL γενικότερα (αφού για να εκτυπωθεί το έντυπο φορτωτικής, τα στοιχεία του καταχωρήθηκαν ηλεκτρονικά στα αρχεία της DHL), • ότι δεν τον ενημέρωσαν για τα στοιχεία της Clever Services, καθώς δεν του γνωστοποίησαν ούτε τη διεύθυνσή της ούτε τα τηλέφωνά της, ώστε να μπορέσει να ασκήσει προς αυτή το δικαίωμα πρόσβασης, ούτε επικοινώνησε μαζί του κάποιος από την εταιρεία αυτή και • ότι κανείς δεν ενημέρωσε τον ίδιο εάν τα δεδομένα του είχαν διαγραφεί, ότι δεν γνωρίζει την αλληλογραφία μεταξύ των δύο εταιρειών, δεν τον ενημέρωσαν για το σχετικό αίτημα διαγραφής από την Clever Services, ούτε επιβεβαίωσαν προς τον ίδιο τη διαγραφή των δεδομένων του από τα συστήματα της DHL. Όσον αφορά τη σχέση και τους ρόλους των δύο εταιρειών, η καταγγελλόμενη DHL είχε ισχυριστεί με το μεν Γ/ΕΙΣ/1121/15-02-2021 αρχικό απαντητικό της έγγραφο ότι «[…] η υπηρεσία για την οποία ο καταγγέλλων διαμαρτύρεται, ήτοι η παραλαβή του δέματος μέσω clever point, αποτελεί αποκλειστική αρμοδιότητα της εταιρείας Clever Systems, η οποία διαχειρίζεται τα σημεία, έχει δικό της πληροφοριακό σύστημα και υπαλλήλους που διενεργούν τη διαδικασία παράδοσης και ταυτοποίησης του παραλήπτη, όχι μόνο για παραλαβές δεμάτων που έχουν μεταφερθεί μέσω της DHL, αλλά και δεμάτων που έχουν μεταφερθεί μέσω άλλων εταιρειών, ή απευθείας από ηλεκτρονικά καταστήματα», με το δε υπ’ αριθ. πρωτ. Γ/ΕΙΣ/4106/22-06-2021 διευκρινιστικό της έγγραφο προσκόμισε στην Αρχή συμφωνητικό της με την εταιρεία Clever Services χαρακτηριζόμενο ως «CPA – Controller Processor Agreement» στο οποίο η τελευταία αναφέρεται ως εκτελούσα την επεξεργασία για λογαριασμό της DHL, υποστηρίζοντας ότι «ουδόλως είχε τεθεί ως όρος για την ολοκλήρωση της παράδοσης η λήψη του αριθμού αστυνομικής ταυτότητας. Το δεδομένο αυτό συνέλεξε και επεξεργάστηκε ο εκτελών την υπηρεσία αυτοβούλως και χωρίς δική μας εντολή». Προς το σκοπό της αποσαφήνισης της σχέσης μεταξύ των δύο εταιρειών, η Αρχή απέστειλε τo Γ/ΕΞΕ/2063/15-09-2021 έγγραφο προς την εταιρεία Clever Services, προκειμένου να παρέχει τις απόψεις της επί των καταγγελλομένων, διευκρινίζοντας ιδίως: α) ποιος είναι ο ακριβής ρόλος της στο πλαίσιο της καταγγελλόμενης επεξεργασίας, και β) εάν η λήψη και τήρηση του αριθμού ταυτότητας των παραληπτών δεμάτων αποτελεί πρακτική που εφαρμόζει η Clever Services βάσει δικής της απόφασης ή βάσει εντολών που λαμβάνει από τις μεταφορικές εταιρείες. Με το Γ/ΕΙΣ/6328/30-09-2021 απαντητικό της έγγραφο, η Clever Services περιγράφει αναλυτικά τη διαδικασία παράδοσης δεμάτων από σημείο Clever Point σε παραλήπτη-πελάτη συνεργαζόμενης εταιρείας ταχυμεταφορών, παραθέτοντας προς τεκμηρίωση ενδεικτικές εικόνες από την οθόνη (screenshots) του υπαλλήλου καταστήματος Clever Point. Η θέση της εν λόγω εταιρείας είναι ότι δεν καταχώρησε ποτέ τον αριθμό ταυτότητας (ούτε αστυνομικής ούτε επαγγελματικής) του καταγγέλλοντος στο σύστημά της, καθώς δεν υπάρχει σχετικό πεδίο στην πλατφόρμα στην οποία έχουν πρόσβαση και καταχωρούν στοιχεία οι συνεργάτες των Clever Points. Επιπλέον αναφέρει ότι συνήθως η Clever Services συνεργάζεται με τέτοιο τρόπο με τα καταστήματα και τις εταιρείες ταχυμεταφορών ώστε να παραδίδει τα δέματα κατόπιν ταυτοποίησης του παραλήπτη μέσω ενός προσωπικού κωδικού (PIN) που του έχει σταλεί, και μόνο αν δεν έχει τον κωδικό να ζητείται η επίδειξη κάποιου εγγράφου ταυτοποίησης. Ειδικά όμως όσον αφορά την καταγγελλόμενη DHL και κατόπιν δικής της απαίτησης, ακολουθείται ένα διαφορετικό μοντέλο χωρίς τη χρήση κωδικού ταυτοποίησης, σύμφωνα με το οποίο ο παραλήπτης οφείλει πάντα να επιδεικνύει ένα έγγραφο ταυτοποίησης, χωρίς όμως να καταχωρούνται κάπου τα στοιχεία του εγγράφου αυτού. Τέλος, υποστηρίζει ότι κατόπιν του αιτήματος του καταγγέλλοντος, το οποίο μεταφέρθηκε από τον Β (ΥΠΔ της DHL) η Clever Services ικανοποίησε το αίτημα διαγραφής και απάντησε σχετικά στην DHL. Από τα παραπάνω στοιχεία επιβεβαιώνεται ότι η Clever Services έχει το ρόλο εκτελούντος την επεξεργασία για λογαριασμό της DHL, ως υπεύθυνου επεξεργασίας. Κατόπιν των ανωτέρω, η Αρχή, με τις Γ/ΕΞΕ/677/14-03-2022, Γ/ΕΞΕ/670/14-032022 και Γ/ΕΞΕ/669/14-03-2022 Κλήσεις προς τον καταγγέλλοντα και τις εταιρείες DHL EXPRESS HELLAS Α.Ε. και Clever Services Α.Ε. αντίστοιχα, κάλεσε τα εμπλεκόμενα μέρη σε ακρόαση στη συνεδρίαση του Τμήματος, στις 23/3/2022 και ώρα 11.00 π.μ., προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση. Κατά την ακρόαση τα μέρη ανέπτυξαν τις απόψεις τους και τους ορίσθηκε προθεσμία 16 ημερών (μέχρι την 08-04-2022) για την υποβολή υπομνημάτων. Κατά τη συνεδρίαση της 23/3/2022 παρέστησαν αφ’ ενός μεν ο καταγγέλλων, και αφ’ ετέρου, εκ μέρους της καταγγελλόμενης DHL οι Γ, Προϊσταμένη …, οι πληρεξούσιοι δικηγόροι της, Κάτια Λαμπροπούλου (ΑΜ ΔΣ …) και Σπύρος Τάσσης (ΑΜ ΔΣ …) και ο Β, Διευθυντής … και Υπεύθυνος Προστασίας Δεδομένων της εταιρείας, ο οποίος δεν έλαβε το λόγο, ενώ εκ μέρους της Clever Services A.E. παρέστησαν ο ΣΤ, Πρόεδρος και Διευθύνων Σύμβουλος της εταιρείας, ο Δ, Διευθυντής … και ο πληρεξούσιος δικηγόρος της εταιρείας, Σταύρος Μπρούστας (ΑΜ ΔΣ …). Κατά τη συνεδρίαση αυτή τα μέρη έλαβαν προθεσμία και κατέθεσαν εμπρόθεσμα, ο μεν καταγγέλλων το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/5452/01-04-2022 υπόμνημα, η δε καταγγελλόμενη DHL το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/5759/08-04-2022 υπόμνημα, ενώ η Clever Services δεν κατέθεσε υπόμνημα. Τόσο κατά την ακρόαση όσο και με το υπόμνημά του, ο καταγγέλλων επανέλαβε τα αναφερόμενα στην καταγγελία του, τονίζοντας ότι η DHL δεν του γνωστοποίησε τα στοιχεία της Clever Services, ότι δεν επικοινώνησε μαζί του κανείς από την εταιρεία αυτή, ότι ακόμα δεν έχει λάβει επίσημη απάντηση προς ικανοποίηση του δικαιώματος πρόσβασής του (πέρα από την κοινοποίηση του voucher της συγκεκριμένης αποστολής) ούτε είναι βέβαιος εάν τα δεδομένα του έχουν διαγραφεί οριστικά από την καταγγελλόμενη. Όσον αφορά την από … επιστολή του εκπροσώπου της Clever Services ΣΤ προς την DHL με την οποία βεβαιώθηκε η διαγραφή των δεδομένων του, ο καταγγέλλων υποστηρίζει ότι καμία επικοινωνία μεταξύ των δύο εταιρειών δεν του κοινοποιήθηκε, ενώ αμφισβητεί και το χρόνο σύνταξης της επιστολής, διότι, όπως αναφέρει, «δεν είναι δύσκολο να φτιάξουν μια επιστολή εκ των υστέρων με συγκεκριμένη ημερομηνία, που δεν πρωτοκολλείται πουθενά και παραμένει στα γραφεία τους». Τέλος, επανέλαβε ότι ο υπάλληλος κατά την παράδοση του δέματος ζήτησε την ταυτότητα του καταγγέλλοντος προκειμένου να καταχωρήσει τον αριθμό της και ότι ο καταγγέλλων πράγματι τον είδε να καταχωρεί τον αριθμό της επαγγελματικής ταυτότητάς του στην οθόνη. Η καταγγελλόμενη DHL, μέσω των εκπροσώπων της, κατά την ακρόαση αλλά και με το υπόμνημά της, ανέφερε ότι για την παράδοση δεμάτων μέσω της Clever Services έχει σχεδιάσει και αναπτύξει μια ειδική εφαρμογή – λογισμικό ανταλλαγής πληροφοριών, διαχείρισης και λειτουργίας των Clever Points, ενώ διατηρεί και το δικό της μηχανογραφικό σύστημα σε λειτουργία προκειμένου να διακινεί περαιτέρω μέσω του οργανωμένου δικτύου της τις παραδοτέες αποστολές προς τα καταστήματα με τα οποία συνεργάζεται η Clever Services, στο οποίο δεν περιλαμβάνεται πεδίο για την καταχώρηση του ΑΔΤ, διότι έχει προνοήσει ώστε να συλλέγονται μόνο τα απαραίτητα προσωπικά δεδομένα για τη διασφάλιση της ορθής εκτέλεσης της μεταφοράς και παράδοσης (αρχή privacy by design). Η ταυτοποίηση του παραλήπτη λαμβάνει χώρα μέσω 8ψήφιου μοναδικού αναγνωριστικού (κωδικού PIN) που αποστέλλεται στο κινητό του παραλήπτη, ενώ εάν δεν υπάρχει διαθέσιμος αριθμός κινητού, όπως στην περίπτωση του καταγγέλλοντος, η ταυτοποίηση γίνεται με την επίδειξη ταυτότητας ή άλλου ισοδύναμου δημόσιου εγγράφου. Η καταγγελλόμενη επανέλαβε ότι μετά την άσκηση του δικαιώματος πρόσβασης εκ μέρους του καταγγέλλοντος στις …, τον ενημέρωσε αρχικά μέσω του από … e-mail ότι στα συστήματα της DHL εμφανίζονται μόνο τα στοιχεία του συνοδευτικού εγγράφου μεταφοράς (voucher), αντίγραφο του οποίου ο παραλήπτης είχε λάβει με την παράδοση της αποστολής, καθώς και ότι τα στοιχεία ταυτότητας των παραληπτών δεν καταγράφονται. Όσον αφορά τον ισχυρισμό για καταγραφή της επαγγελματικής του ταυτότητας, η καταγγελλόμενη υποστηρίζει ότι τον διερεύνησε, όμως δεν κατέστη δυνατό να επιβεβαιωθεί είτε από την ίδια είτε από τη συνεργαζόμενη εταιρεία Clever Services. Σημειώνεται ότι κατά την ακρόαση και οι εκπρόσωποι της Clever Services υποστήριξαν ότι δεν προβλέπεται και δεν ζητείται η καταχώρηση του αριθμού ταυτότητας στο σύστημα διαχείρισης αποστολών, καθώς οι οδηγίες τις οποίες εφαρμόζει ως εκτελούσα την επεξεργασία για λογαριασμό της DHL αναφέρουν ότι η ταυτοποίηση γίνεται μόνο με τον αριθμό φορτωτικής. Περαιτέρω, σύμφωνα με το υπόμνημα της DHL, μετά τη διευκρίνιση του καταγγέλλοντος ότι είχε δώσει την επαγγελματική του ταυτότητα, στις 13/8/2020 η καταγγελλόμενη τον ενημέρωσε εγγράφως για το ποια δεδομένα ακριβώς είχε καταγεγραμμένα στο σύστημά της για την εν λόγω φορτωτική, καθώς και για το ότι προβαίνει στη διαγραφή των δεδομένων του. Όπως εξήγησαν κατά την ακρόαση οι εκπρόσωποι της DHL, το όνομα και το επίθετο του παραλήπτη αποτελούν στοιχεία της συμβατικής σχέσης και για το λόγο αυτό, έχουν διαγραφεί μεν από την Clever Services, αλλά από τη DHL δεν μπορούν να διαγραφούν, ενώ στη συνέχεια επεσήμαναν ότι όλα τα στοιχεία αποστολών διαγράφονται μετά την πάροδο τριμήνου και για το λόγο αυτό δεν εντοπίστηκαν για τον καταγγέλλοντα στοιχεία από προηγούμενες αποστολές, παρά μόνο για τη συγκεκριμένη, για την οποία και τον ενημέρωσαν μέσω e-mail. Στο υπόμνημα της DHL επισυνάπτεται το από … e-mail της Ε προς τον καταγγέλλοντα, με το εξής περιεχόμενο: «Σε συνέχεια των επικοινωνιών μας, θα επιθυμούσαμε να ενημερώσουμε ότι το αίτημά σας για διαγραφή των προσωπικών σας στοιχείων από το σύστημα του συνεργαζόμενου σημείου εξυπηρέτησης, έχει ήδη προωθηθεί στο αρμόδιο τμήμα για περαιτέρω χειρισμό, ενώ το συντομότερο δυνατό αναμένεται να σας αποσταλεί και σχετική γραπτή επιβεβαίωση. Σε επισύναψη μπορείτε να βρείτε τα στοιχεία που είχαμε στην διάθεσή μας για την επίδοση της αποστολής με αριθμό φορτωτικής …, ενώ στο σημείο αυτό θα επιθυμούσαμε να αναφέρουμε ότι χωρίς δικό σας αίτημα αναφέροντας συγκεκριμένο αριθμό μεταφοράς, δεν είναι δυνατή η αναζήτηση οποιαδήποτε πληροφορίας». Περαιτέρω, σύμφωνα με το υπόμνημα της καταγγελλόμενης, στις … ολοκληρώθηκε η διαδικασία διαγραφής των δεδομένων του καταγγέλλοντος (ονοματεπώνυμο) από τους συνεργάτες και τα συστήματα παρακολούθησης παραγγελίας και τις επόμενες ημέρες «εκπρόσωπός της κάλεσε τον Α να τον ενημερώσει σχετικά», ισχυρισμός τον οποίο ο καταγγέλλων αρνείται. Τέλος, όσον αφορά την ενημέρωση του καταγγέλλοντος για τα στοιχεία της Clever Services ως αποδέκτη των δεδομένων του, κατά την ακρόαση η DHL υποστήριξε ότι όταν η παραλαβή πρόκειται να γίνει μέσω clever point με πρωτοβουλία του παραλήπτη, είναι σαφές για τον παραλήπτη ως υποκείμενο των δεδομένων ότι υπάρχει τρίτη εταιρεία που παρέχει τη σχετική υπηρεσία. H DHL δεν έδωσε καμία εξήγηση, ούτε προφορικά ούτε με το υπόμνημά της, αναφορικά με το γεγονός ότι δεν παρείχε τα στοιχεία της εν λόγω εταιρείας στον καταγγέλλοντα κατόπιν του αιτήματος πρόσβασής του. ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ

1. Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
2. Σύμφωνα με το άρθρο 5 παρ. 1 α) ΓΚΠΔ «
3. Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»). Όσον αφορά τη διαφάνεια της επεξεργασίας, το άρθρο 12 παρ. 1 ΓΚΠΔ ορίζει ότι: «Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 και του άρθρου 34 σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, ιδίως όταν πρόκειται για πληροφορία απευθυνόμενη ειδικά σε παιδιά. Οι πληροφορίες παρέχονται γραπτώς ή με άλλα μέσα, μεταξύ άλλων, εφόσον ενδείκνυται, ηλεκτρονικώς. Όταν ζητείται από το υποκείμενο των δεδομένων, οι πληροφορίες μπορούν να δίνονται προφορικά, υπό την προϋπόθεση ότι η ταυτότητα του υποκειμένου των δεδομένων είναι αποδεδειγμένη με άλλα μέσα». Οι υποχρεωτικά παρεχόμενες πληροφορίες προβλέπονται στο άρθρο 13 ΓΚΠΔ για την περίπτωση που τα δεδομένα συλλέγονται από το υποκείμενο και στο άρθρο 14 ΓΚΠΔ για την περίπτωση που τα δεδομένα δεν έχουν συλλεγεί από το υποκείμενο. Ειδικότερα, οι πληροφορίες αυτές περιλαμβάνουν τουλάχιστον «α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του, β) τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων, κατά περίπτωση, γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, δ) τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, ε) τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, στ) κατά περίπτωση, ότι ο υπεύθυνος επεξεργασίας προτίθεται να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε αποδέκτη σε τρίτη χώρα ή διεθνή οργανισμό και σχετικές πληροφορίες, ζ) το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα, ή, εφόσον αυτό είναι αδύνατον, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, η) πληροφορίες σχετικά με τα δικαιώματα του υποκειμένου σύμφωνα με τα άρθρα 15-22 ΓΚΠΔ». Εφόσον τα δεδομένα δεν έχουν συλλεγεί από το υποκείμενο, σύμφωνα με το άρθρο 14 παρ. 2 εδ. στ) ΓΚΠΔ, απαιτείται να παρέχεται στο υποκείμενο ως πληροφορία «η πηγή από την οποία προέρχονται τα δεδομένα προσωπικού χαρακτήρα και, ανάλογα με την περίπτωση, εάν τα δεδομένα προήλθαν από πηγές στις οποίες έχει πρόσβαση το κοινό». Οι πληροφορίες παρέχονται είτε κατά τη συλλογή των δεδομένων, όταν αυτή γίνεται από το υποκείμενο (άρθρο 13 ΓΚΠΔ) είτε εντός του χρονικού διαστήματος που ορίζεται στην παρ. 3 του άρθρου 14 ΓΚΠΔ, στην περίπτωση που τα δεδομένα δεν έχουν συλλεγεί από το υποκείμενο. Σύμφωνα με τις Κατευθυντήριες Γραμμές της ΟΕ 29 σχετικά με τη διαφάνεια (WP260 rev.01) κατά την ενημέρωση των υποκειμένων σύμφωνα με τα άρθρα 13-14 ΓΚΠΔ, οι παρεχόμενες πληροφορίες θα πρέπει να είναι συγκεκριμένες και οριστικές: «Η χρήση γλωσσικών προσδιορισμών όπως «ενδέχεται», «ορισμένος», «συχνά» και «πιθανός» θα πρέπει επίσης να αποφεύγεται. Όταν οι υπεύθυνοι επεξεργασίας δεδομένων επιλέγουν να χρησιμοποιούν αόριστη διατύπωση, θα πρέπει να είναι σε θέση, σύμφωνα με την αρχή της λογοδοσίας, να αποδεικνύουν τον λόγο για τον οποίο η χρήση τέτοιας διατύπωσης δεν ήταν δυνατό να αποφευχθεί και γιατί δεν υπονομεύει τη νομιμότητα της επεξεργασίας» (§ 13).
4. Σύμφωνα με το άρθρο 15 παρ. 1 και 3 ΓΚΠΔ: «
5. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες: α) τους σκοπούς της επεξεργασίας, β) τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, γ) τους αποδέκτες ή τις κατηγορίες αποδεκτών στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα, ιδίως τους αποδέκτες σε τρίτες χώρες ή διεθνείς οργανισμούς, δ) εάν είναι δυνατόν, το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, ε) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για διόρθωση ή διαγραφή δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που αφορά το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην εν λόγω επεξεργασία, στ) το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, ζ) όταν τα δεδομένα προσωπικού χαρακτήρα δεν συλλέγονται από το υποκείμενο των δεδομένων, κάθε διαθέσιμη πληροφορία σχετικά με την προέλευσή τους, η) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που προβλέπεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων. […]
6. Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία.[…] Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως». Παράλληλα, το άρθρο 12 παρ. 3 ΓΚΠΔ ορίζει τα εξής: «Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα, η ενημέρωση παρέχεται, εάν είναι δυνατόν, με ηλεκτρονικά μέσα, εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό». Σύμφωνα με τη Νομολογία της Αρχής, το δικαίωμα πρόσβασης κατά το άρθρο 15 ΓΚΠΔ δεν απαιτείται να περιβληθεί συγκεκριμένο τύπο ή να ασκηθεί με πανηγυρικό τρόπο, ούτε να περιλαμβάνει τους λόγους για τους οποίους το υποκείμενο ασκεί το δικαίωμα (βλ. απόφαση ΑΠΔ 36/2021 και 16/2017 σκ. 3). Το ίδιο επισημαίνεται εξάλλου και στις Κατευθυντήριες Γραμμές 1/2022 του ΕΣΠΔ για το δικαίωμα πρόσβασης (υπό διαβούλευση)
8. Περαιτέρω, σύμφωνα με τις ως άνω Κατευθυντήριες Γραμμές του ΕΣΠΔ 1/2022, το δικαίωμα λήψης αντιγράφου των δεδομένων θα πρέπει να ερμηνεύεται με ευρεία έννοια και να περιλαμβάνει όλους τους διαφορετικούς τρόπους πρόσβασης στα προσωπικά δεδομένα, εφόσον η πρόσβαση είναι πλήρης (δηλαδή περιλαμβάνει όλα τα ζητηθέντα προσωπικά δεδομένα) και παρέχει στο υποκείμενο τη δυνατότητα να τα διατηρήσει. Έτσι, η απαίτηση χορήγησης αντιγράφου σημαίνει ότι οι πληροφορίες για τα προσωπικά δεδομένα που αφορούν το πρόσωπο που υποβάλλει το αίτημα παρέχονται στο υποκείμενο των δεδομένων με τρόπο που του επιτρέπει να διατηρήσει όλες τις πληροφορίες και να επανέλθει σε αυτές (§25). Εξάλλου, ένα αίτημα πρόσβασης θα πρέπει να νοείται με γενικούς όρους και να περιλαμβάνει όλα τα προσωπικά δεδομένα που αφορούν το υποκείμενο, εκτός εάν το υποκείμενο περιορίσει ρητά το αίτημά του σε συγκεκριμένο υποσύνολο των δεδομένων, ή εάν ο υπεύθυνος επεξεργασίας επεξεργάζεται ένα μεγάλο όγκο δεδομένων του υποκειμένου, περίπτωση κατά την οποία θα πρέπει να ζητήσει διευκρινίσεις από το υποκείμενο προς άρση τυχόν αμφιβολίας ως προς το περιεχόμενο του αιτήματος (§35). Επισημαίνεται ότι ο κανόνας της παροχής όσο το δυνατόν πιο ακριβών και σαφών πληροφοριών με βάση την αρχή της διαφάνειας πρέπει να διέπει και την Βλ. ιδίως παρ. 47-51: “...the GDPR does not introduce any formal requirements for persons requesting access to data.” (§50), “…there are in principle no requirements under the GDPR that the data subjects must observe when choosing a communication channel through which they enter into contact with the controller” (§51) και παρ. §13: “….the aim of the right of access is not suitable to be analysed as a precondition for the exercise of the right of access by the controller as part of its assessment of access requests. Thus, controllers should not assess “why” the data subject is requesting access, but only “what” the data subject is requesting. 1 ενημέρωση που λαμβάνουν τα υποκείμενα ως απάντηση σε σχετικό αίτημα πρόσβασης κατά το άρθρο 15 ΓΠΚΔ. Σύμφωνα με τις προαναφερθείσες Κατευθυντήριες Οδηγίες της ΟΕ 29 σχετικά με τη διαφάνεια (WP260 rev.01), «Η αρχή της λογοδοσίας όσον αφορά τη διαφάνεια δεν ισχύει μόνο κατά το σημείο της συλλογής δεδομένων προσωπικού χαρακτήρα, αλλά και καθ’ όλη τη διάρκεια του κύκλου ζωής της επεξεργασίας ανεξάρτητα από τις πληροφορίες που παρέχονται ή την επικοινωνία που πραγματοποιείται» (§ 29). Ειδικά σε σχέση με την ενημέρωση για τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων, συστήνονται τα εξής: «Ο όρος «αποδέκτης» ορίζεται στο άρθρο 4 παράγραφος 9 ως «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας, προς τα οποία κοινολογούνται τα δεδομένα προσωπικού χαρακτήρα, είτε πρόκειται για τρίτον είτε όχι» [προσθήκη έμφασης]. Δεδομένου τούτου, ένας αποδέκτης δεν χρειάζεται να είναι κάποιος τρίτος. Ως εκ τούτου, οι υπόλοιποι υπεύθυνοι επεξεργασίας δεδομένων, από κοινού υπεύθυνοι επεξεργασίας και εκτελούντες την επεξεργασία στους οποίους διαβιβάζονται ή κοινολογούνται τα δεδομένα καλύπτονται από τον όρο «αποδέκτης» […]. Σύμφωνα με την αρχή της νομιμότητας, οι υπεύθυνοι επεξεργασίας πρέπει να παρέχουν σχετικά με τους αποδέκτες τις πλέον σημαντικές για τα υποκείμενα των δεδομένων πληροφορίες. Στην πράξη, θα πρόκειται σε γενικές γραμμές για τα ονόματα των αποδεκτών, ώστε να υποκείμενα των δεδομένων να γνωρίζουν επακριβώς ποιος έχει στην κατοχή του τα δεδομένα προσωπικού χαρακτήρα τους. Εάν οι υπεύθυνοι επεξεργασίας επιλέγουν να παράσχουν τις κατηγορίες των αποδεκτών, οι πληροφορίες θα πρέπει είναι όσο το δυνατόν πιο συγκεκριμένες και να αναφέρουν τον τύπο του αποδέκτη (δηλ., με αναφορά στις δραστηριότητες που εκτελεί), τον κλάδο, τον τομέα, τον επιμέρους τομέα και την τοποθεσία των αποδεκτών» (βλ. πίνακα σελ. 49-50, WP260 rev.01). Βλ. άλλωστε και τις Κατευθυντήριες Γραμμές 1/2022 του ΕΣΠΔ για το δικαίωμα πρόσβασης, §115 και εκεί αναφερόμενο παράδειγμα: «… ήδη υπό το άρθρο 13/14 ΓΚΠΔ οι πληροφορίες σχετικά με τους αποδέκτες ή τις κατηγορίες αποδεκτών πρέπει να είναι όσο πιο συγκεκριμένες είναι δυνατόν από πλευράς τήρησης των αρχών της διαφάνειας και της νομιμότητας. Ο υπεύθυνος επεξεργασίας θα πρέπει να κατονομάσει τους πραγματικούς αποδέκτες εκτός εάν θα ήταν δυνατό μόνο να προσδιορίσει την κατηγορία αποδεκτών. Σε κάθε περίπτωση, κάποιες φορές δεν είναι ακόμα δυνατό να κατονομαστούν οι πραγματικοί αποδέκτες κατά το χρόνο της παροχής πληροφοριών σύμφωνα με τα άρθρα 13 και 14 ΓΚΠΔ, παρά μόνο σε επόμενο στάδιο, για παράδειγμα, όταν υποβάλλεται ένα αίτημα πρόσβασης».2 Σύμφωνα με τα παραπάνω, στο πλαίσιο υποβολής εκ μέρους του υποκειμένου αιτήματος πρόσβασης στην πληροφορία σχετικά με τους αποδέκτες των δεδομένων (άρθρο 15 παρ. 1 στ. γ’ ΓΚΠΔ), σε χρόνο μεταγενέστερο της αρχικής ενημέρωσης, δηλαδή σε χρόνο κατά τον οποίο έχει ήδη πραγματοποιηθεί η διαβίβαση των δεδομένων του σε συγκεκριμένους αποδέκτες, ο Υπεύθυνος Επεξεργασίας θα πρέπει να παρέχει όσο το δυνατόν πιο ακριβείς πληροφορίες για τους αποδέκτες των δεδομένων κατά το χρόνο του αιτήματος πρόσβασης, δηλαδή να τους κατονομάσει, αναφέροντας τουλάχιστον την ακριβή επωνυμία και τα στοιχεία επικοινωνίας τυχόν εκτελούντος την επεξεργασία στον οποίο έχουν ήδη διαβιβαστεί τα δεδομένα του αιτούντος, ώστε το υποκείμενο να είναι σε θέση, εφόσον επιθυμεί, να ασκήσει περαιτέρω δικαιώματά του απευθυνόμενο προς αυτούς.
9. Σχετικά με το δικαίωμα διαγραφής, το άρθρο 17 παρ. 1 ΓΚΠΔ ορίζει τα εξής: «
10. Το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, εάν ισχύει ένας από τους ακόλουθους λόγους: α) τα δεδομένα προσωπικού χαρακτήρα δεν είναι πλέον απαραίτητα σε σχέση με τους σκοπούς για τους οποίους συλλέχθηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία, β) το υποκείμενο των δεδομένων ανακαλεί τη συγκατάθεση επί της οποίας βασίζεται η επεξεργασία σύμφωνα με το άρθρο 6 παράγραφος 1 στοιχείο α) ή το άρθρο 9 παράγραφος 2 στοιχείο α) και δεν υπάρχει άλλη νομική βάση για την επεξεργασία, γ) το υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία σύμφωνα με το άρθρο 21 παράγραφος 2 “...already under Article 13/14 GDPR information on the recipients or categories of recipients should be as concrete as possible in respect of the principles of transparency and fairness. The controller should name the actual recipients unless it would only be possible to indicate the category of recipients. Nevertheless, sometimes naming the actual recipients is not yet possible at the time of the information under Articles 13 and 14 GDPR, but only in a later stage, for example, when an access request is made.” (Guidelines 1/2022 on data subject rights – Right of Access, §115). 1 και δεν υπάρχουν επιτακτικοί και νόμιμοι λόγοι για την επεξεργασία ή το υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία σύμφωνα με το άρθρο 21 παράγραφος 2,δ) τα δεδομένα προσωπικού χαρακτήρα υποβλήθηκαν σε επεξεργασία παράνομα, ε) τα δεδομένα προσωπικού χαρακτήρα πρέπει να διαγραφούν, ώστε να τηρηθεί νομική υποχρέωση βάσει του ενωσιακού δικαίου ή του δικαίου κράτους μέλους, στην οποία υπόκειται ο υπεύθυνος επεξεργασίας, στ) τα δεδομένα προσωπικού χαρακτήρα έχουν συλλεχθεί σε σχέση με την προσφορά υπηρεσιών της κοινωνίας των πληροφοριών που αναφέρονται στο άρθρο 8 παράγραφος 1». Παράλληλα, το άρθρο 19 ΓΚΠΔ ορίζει ότι «Ο υπεύθυνος επεξεργασίας ανακοινώνει κάθε διόρθωση ή διαγραφή δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας των δεδομένων που διενεργείται σύμφωνα με το άρθρο 16, το άρθρο 17 παράγραφος 1 και το άρθρο 18 σε κάθε αποδέκτη στον οποίο γνωστοποιήθηκαν τα δεδομένα προσωπικού χαρακτήρα, εκτός εάν αυτό αποδεικνύεται ανέφικτο ή εάν συνεπάγεται δυσανάλογη προσπάθεια. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων σχετικά με τους εν λόγω αποδέκτες, εφόσον αυτό ζητηθεί από το υποκείμενο των δεδομένων».
11. Τέλος, σύμφωνα με το άρθρο 28 ΓΚΠΔ, «Όταν η επεξεργασία πρόκειται να διενεργηθεί για λογαριασμό υπευθύνου επεξεργασίας, ο υπεύθυνος επεξεργασίας χρησιμοποιεί μόνο εκτελούντες την επεξεργασία που παρέχουν επαρκείς διαβεβαιώσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων, κατά τρόπο ώστε η επεξεργασία να πληροί τις απαιτήσεις του παρόντος κανονισμού και να διασφαλίζεται η προστασία των δικαιωμάτων του υποκειμένου των δεδομένων», στη δε παρ. 3 του ιδίου άρθρου προβλέπεται το ελάχιστο περιεχόμενο της σύμβασης ή άλλης νομικής πράξης, η οποία πρέπει να δεσμεύει τον εκτελούντα την επεξεργασία σε σχέση με τον υπεύθυνο επεξεργασίας. Σύμφωνα με τις Κατευθυντήριες γραμμές 07/2020 του ΕΣΠΔ σχετικά με τις έννοιες του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία στον ΓΚΠΔ, ο υπεύθυνος επεξεργασίας καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας, ήτοι τον λόγο και τον τρόπο της επεξεργασίας. Ο υπεύθυνος επεξεργασίας πρέπει να λαμβάνει τις αποφάσεις που αφορούν τόσο τους σκοπούς όσο και τα μέσα. Ωστόσο, οι αποφάσεις που αφορούν ορισμένες πιο πρακτικές πτυχές της εφαρμογής («μέσα επουσιώδους σημασίας») είναι δυνατόν να λαμβάνονται από τον εκτελούντα την επεξεργασία. Ο υπεύθυνος επεξεργασίας δεν είναι αναγκαίο να έχει πράγματι πρόσβαση στα δεδομένα που υποβάλλονται σε επεξεργασία για να θεωρηθεί υπεύθυνος επεξεργασίας. Ο εκτελών την επεξεργασία είναι το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου επεξεργασίας. Για την αναγνώριση κάποιου φορέα ως εκτελούντος την επεξεργασία ισχύουν δύο βασικές προϋποθέσεις: ότι είναι χωριστή οντότητα σε σχέση με τον υπεύθυνο επεξεργασίας και ότι επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου επεξεργασίας. Ο εκτελών την επεξεργασία δεν πρέπει να επεξεργάζεται τα δεδομένα με άλλον τρόπο, παρά μόνο σύμφωνα με τις εντολές του υπευθύνου επεξεργασίας. Οι εντολές του υπευθύνου επεξεργασίας είναι δυνατόν να παρέχουν κάποιο περιθώριο διακριτικής ευχέρειας σχετικά με τον βέλτιστο τρόπο εξυπηρέτησης των συμφερόντων του υπευθύνου επεξεργασίας, επιτρέποντας στον εκτελούντα την επεξεργασία να επιλέγει τα πλέον κατάλληλα τεχνικά και οργανωτικά μέσα. Ωστόσο, ο εκτελών την επεξεργασία παραβαίνει τον ΓΚΠΔ εάν υπερβαίνει τις εντολές του υπευθύνου επεξεργασίας και αρχίζει να καθορίζει ίδιους σκοπούς και μέσα επεξεργασίας. Σε μια τέτοια περίπτωση ο εκτελών την επεξεργασία θα θεωρηθεί υπεύθυνος επεξεργασίας ως προς την επίμαχη επεξεργασία και ενδέχεται να υποστεί κυρώσεις για υπέρβαση των εντολών του υπευθύνου επεξεργασίας (βλ. σύνοψη ΚΓ 7/2020 ΕΣΠΔ, σελ. 3-4).
12. Στην υπό εξέταση περίπτωση, από τα στοιχεία του φακέλου προέκυψαν τα εξής: Η DHL, ενεργούσα ως υπεύθυνος επεξεργασίας δεδομένων για το σκοπό της μεταφοράς και παράδοσης δεμάτων, έχει αναθέσει στην Clever Services, ως εκτελούσα την επεξεργασία, την παράδοση των αποστολών σε σημεία επιλογής του εκάστοτε παραλήπτη, από ένα δίκτυο συνεργαζόμενων καταστημάτων (σημεία “Clever Point”, «έξυπνης», δηλ. ευέλικτης παράδοσης) και την ενημέρωση του πληροφοριακού συστήματος διαχείρισης αποστολών με την καταχώρηση των πληροφοριών παράδοσης από τους συνεργάτες. Ο καταγγέλλων είναι ο παραλήπτης ενός δέματος που εστάλη από τη Γερμανία τον … μέσω της καταγγελλόμενης εταιρείας ταχυμεταφορών, DHL. Στις …, καθώς δεν κατέστη εφικτή η παράδοση του δέματος στη διεύθυνση που είχε δηλώσει ο καταγγέλλων, σε σχετική τηλεφωνική επικοινωνία του με τους εκπροσώπους της καταγγελλόμενης, του δόθηκε η δυνατότητα να επιλέξει την παραλαβή από Clever Point, όπως και έπραξε, επιλέγοντας το επιθυμητό σημείο παραλαβής στο … . Σημειώνεται ότι με το Γ/ΕΙΣ/4106/22-6-2021 διευκρινιστικό της έγγραφο η DHL ανέφερε ότι ο καταγγέλλων ζήτησε να παραλάβει το δέμα του από σημείο Clever Point στις … τηλεφωνικά («επικοινώνησε με το τμήμα εξυπηρέτησης της εταιρείας μας») αφού το δέμα επεστράφη αρχικά ως ανεπίδοτο, ωστόσο δεν προκύπτει οποιαδήποτε προηγούμενη ενημέρωση του καταγγέλλοντος ως υποκειμένου για την επεξεργασία που συνεπάγεται αυτή η επιλογή (διαβίβαση σε αποδέκτη/εκτελούντα την επεξεργασία). Απαντώντας στο ερώτημα της Αρχής σχετικά με τη διαφάνεια απέναντι στα υποκείμενα των δεδομένων όσον αφορά τη μορφή της συνεργασίας της με την εταιρεία Clever Services Α.Ε., η καταγγελλόμενη DHL επικαλείται τις συμβάσεις μεταξύ των εταιρειών (οι οποίες όμως δεν είναι γνωστές στα υποκείμενα), καθώς και 3 διαφορετικά κείμενα «Πολιτικής Προστασίας Δεδομένων», δύο εκ των οποίων είναι στα αγγλικά και δεν προκύπτει η κοινοποίησή τους στα υποκείμενα («summary_dpdhl_privacypolicy.pdf» και «DPDHL Data Privacy Policy EN.pdf»), το δε τρίτο βρίσκεται αναρτημένο στην ιστοσελίδα της, στη διεύθυνση: https://www.dhl.com/gr-el/home/yposelido/topiki-eidopoiisi-aporritou.html. Με το υπόμνημά της, η DHL παραπέμπει και σε ένα ακόμα κείμενο ενημέρωσης για την επεξεργασία δεδομένων, το οποίο βρίσκεται στη διεύθυνση https://mydhl.express.dhl/content/dam/downloads/global/privacynotice/express_privacy_notice-v1.2c_gr_el.pdf Από την εν λόγω ενημέρωση διαπιστώνεται ότι οι πληροφορίες σχετικά με τους αποδέκτες είναι γενικές και αόριστες, ενώ δεν γίνεται καμία αναφορά στην Clever Services ως πιθανό αποδέκτη, ούτε ως κατηγορία αποδέκτη.3 Συνεπώς, ο ισχυρισμός «[…] η DHL θα μεταφέρει τα δεδομένα σας στις παρακάτω κατηγορίες παραληπτών: […] Επιχειρηματικοί συνεργάτες τρίτου μέρους: Η μεταφορά σε επιχειρηματικούς συνεργάτες τρίτου μέρους περιορίζεται σε όσα απαιτούνται από την ισχύουσα νομοθεσία ή/και για την εκπλήρωση των συμβατικών υποχρεώσεών μας.» (https://www.dhl.com/gr-el/home/yposelido/eidopoiisiaporritou.html) και «Θα μεταφέρουμε τα δεδομένα σας στην ακόλουθη κατηγορία παραληπτών: […] • Επιχειρηματικοί συνεργάτες: η μεταφορά περιορίζεται σε ό,τι απαιτείται (π.χ. για την παραλαβή ή παράδοση του δέματός σας σε σημείο εξυπηρέτησης, σε ορισμένους τομείς για την εκτέλεση της παραλαβής και παράδοσης ή για την εκτέλεση εκτελωνισμού.)» 3 που προβλήθηκε από τις δύο εταιρείες στο πλαίσιο της ακρόασης, ότι δηλαδή για τον παραλήπτη είναι σαφές ότι πρόκειται για τρίτη εταιρεία, δεν μπορεί να γίνει δεκτός καθώς δεν τεκμηριώνεται από τα επικαλούμενα στοιχεία. Περαιτέρω, κατά τη διαδικασία παράδοσης του δέματος ο καταγγέλλων υποστηρίζει ότι του ζητήθηκε από τον υπάλληλο του Clever Point η καταχώρηση του αριθμού ταυτότητάς του στο σύστημα του υπολογιστή του, πράγμα που ο καταγγέλλων αρνήθηκε και αντ’ αυτής επέδειξε την επαγγελματική του ταυτότητα προς το σκοπό της ταυτοποίησής του. Από την εξέταση της καταγγελίας δεν αποδείχθηκε εάν πράγματι καταχωρήθηκε ο αριθμός επαγγελματικής ταυτότητας του καταγγέλλοντος στο σύστημα αποστολών που διαχειρίζεται ο συνεργάτης του Clever Point, δεδομένου ότι δεν υφίσταται σχετικό πεδίο, όπως προκύπτει από τις απεικονίσεις οθόνης που προσκόμισε η Clever Services. Ακολούθως, όπως προκύπτει από την προσκομισθείσα αλληλογραφία (βλ. Σχετικό 1 του υπ’ αρ. πρωτ. Γ/ΕΙΣ/1121/15-02-2021 εγγράφου) στις … μέσω της εφαρμογής που παρέχει η DHL για παρακολούθηση (tracking) της αποστολής, ο καταγγέλλων υπέβαλε το εξής σχόλιο: «Καλημέρα, Για το δέμα … που έχω παραλάβει είχα ζητήσει από τη συνάδελφο σας μέσω τηλεφώνου, να έχω ενημέρωση για το ποια προσωπικά στοιχεία έχετε στο σύστημα και με ποια διαδικασία θα μπορούσαν να διαγραφούν. Έχει περάσει σχεδόν μια εβδομάδα και ακόμα περιμένω. Επισης Στο σημείο εξυπηρέτησης έξυπνης παραλαβής μου ζήτησε να μπει ο αριθμός ταυτότητας μου στο σύστημα. Είναι έτσι η διαδικασία; Είναι υποχρεωτικό αυτό ή υπάρχει και εναλλακτικός τρόπος; Ποιος είναι ο διαχειριστής των στοιχείων του clever point? Μπορείτε να βοηθήσετε». Με τον τρόπο αυτό ο καταγγέλλων, ως υποκείμενο των δεδομένων άσκησε ηλεκτρονικά το κατά το άρθρο 15 ΓΚΠΔ δικαίωμα πρόσβασης στις εξής πληροφορίες: α) τα δεδομένα του που υπόκεινται σε επεξεργασία, ζητώντας επιπλέον να μάθει εάν είναι υποχρεωτική η παροχή και ηλεκτρονική καταχώρηση του αριθμού ταυτότητάς του ή όχι («ποια προσωπικά στοιχεία έχετε στο σύστημα… μου ζήτησε να μπει ο αριθμός ταυτότητάς μου στο σύστημα. Είναι έτσι η διαδικασία; Είναι υποχρεωτικό αυτό ή υπάρχει και εναλλακτικός τρόπος;»), β) τον (https://mydhl.express.dhl/content/dam/downloads/global/privacy-notice/express_privacy_noticev1.2c_gr_el.pdf ). τρόπο άσκησης δικαιώματος διαγραφής («με ποια διαδικασία θα μπορούσαν να διαγραφούν»), γ) τον αποδέκτη των δεδομένων του στο πλαίσιο της διαδικασίας παραλαβής από σημείο Clever Point («Ποιος είναι ο διαχειριστής των στοιχείων του clever point»), σύμφωνα με τις διατάξεις του άρθρου ΓΚΠΔ 15 παρ. 1, 15 παρ. 1 στοιχ. ε) και στοιχ. γ) κατά σειρά). Με το από … μήνυμα της Ε εκ μέρους της DHL, ο καταγγέλλων έλαβε τις ακόλουθες πληροφορίες: «….στα συστήματα μας εμφανίζονται τα στοιχεία που έχουν δηλωθεί στα συνοδευτικά έγγραφα μεταφοράς από πλευράς αποστολέα, αντίγραφο των οποίων παραδίδεται στον αποδέκτη κατά την επίδοση της αποστολής, και αποσκοπούν αποκλειστικά στην διασφάλιση της επιτυχούς ολοκλήρωσης της παράδοσης της αλληλογραφίας. Στο σημείο αυτό θα επιθυμούσαμε επίσης να αναφέρουμε ότι κατά την παραλαβή δέματος από κατάστημά ή συνεργαζόμενο γραφείο ζητείται η επίδειξη νόμιμου εγγράφου για λόγους ταυτοποίησης του αποδέκτη, ενώ σαφώς λεπτομέρειες τους δεν διατηρούνται ή καταγράφονται με κανένα τρόπο από πλευράς DHL. Θα επιθυμούσαμε να ενημερώσουμε ότι η υπόθεση έχει κοινοποιηθεί στους αρμόδιους για τις απαραίτητες συστάσεις και διορθωτικές ενέργειες για την αποφυγή παρόμοιων περιστατικών στο μέλλον. Έχετε την διαβεβαίωσή μας ότι ο όμιλος των Γερμανικών Ταχυδρομείων και η DHL Express ως μέλος αυτού, δρουν σύμφωνα με τον Γενικό Κανονισμό Προστασίας Δεδομένων, ενώ το αίτημά διαγραφής που έχετε διατυπώσει έχει ήδη προωθηθεί στο αρμόδιο τμήμα για περαιτέρω χειρισμό». Στις …, ο καταγγέλλων απάντησε στο ως άνω μήνυμα την DHL, παρέχοντας περαιτέρω διευκρινίσεις στο υποβληθέν αίτημα πρόσβασης: «[…] ο συνεργάτης για την παράδοση του δέματος, απαίτησε και καταχώρησε ηλεκτρονικά στον υπολογιστή του (όπως μου είπε ότι είχε οδηγίες) το ονοματεπώνυμο μου καθώς και τον αριθμό της επαγγελματικής μου ταυτότητας καθώς αρνήθηκα να δώσω τον αριθμό της ΑΤ. Kατά συνέπεια, θα ήθελα να με ενημερώσετε σε ποιο σύστημα έγινε η εισαγωγή των στοιχείων μου, ποια άλλα προσωπικά δεδομένα υπάρχουν στο σύστημα αυτό και φυσικά επιβεβαίωση της οριστικής διαγράφης τους. Kκαταλαβαίνω από την απάντησή σας ότι αυτό το σύστημα δεν είναι της DHL αλλά καθόσον το δέμα αφορούσε παράδοση από DHL πιστεύω ότι έχω δικαίωμα να γνωρίζω πώς χειρίζεστε τα στοιχεία μου. Επίσης θα ήθελα να με ενημερώσετε ποια προσωπικά δεδομένα έχει η DHL στα συστημα[τά] σας είτε με λατινικούς χαρακτήρες, είτε με ελληνικούς (με σωστή ορθογραφία ή όχι) όχι μόνο από την τελευταία αποστολή αλλά και από προηγούμενες και φυσικά επιβεβαίωση της διαγραφής τους». Από τα παραπάνω προκύπτει ότι ο καταγγέλλων, έχοντας αντιληφθεί (εμμέσως, από την απάντηση της DHL) ότι το σύστημα στο οποίο καταχωρήθηκαν οι πληροφορίες για την οριστική παράδοση του δέματος ήταν σύστημα άλλης εταιρείας, τρίτης ως προς την DHL, ζήτησε να πληροφορηθεί «σε ποιο σύστημα έγινε η εισαγωγή» εννοώντας επί της ουσίας ποια είναι η εν λόγω τρίτη εταιρεία, ζητώντας δηλαδή και πάλι να μάθει σε ποιον αποδέκτη κοινοποιήθηκαν τα δεδομένα του, σύμφωνα με το άρθρο 15 παρ. 1 γ’ ΓΚΠΔ. Το ερώτημα αυτό αποτελούσε συνέχεια του αρχικού του από 28/7/2020 ερωτήματος «ποιος είναι ο διαχειριστής των clever point». Επιπλέον ο καταγγέλλων επανέλαβε το αίτημα πρόσβασης σε όλα τα προσωπικά δεδομένα του που η καταγγελλόμενη επεξεργάζεται (άρθρο 15 παρ. 1 ΓΚΠΔ), διευκρινίζοντας ότι αναφέρεται στις πληροφορίες που τηρεί η εταιρεία «όχι μόνο από την τελευταία αποστολή αλλά και από προηγούμενες», και ζητώντας να γίνει αναζήτηση του ονόματός του τόσο με ελληνικούς όσο και με λατινικούς χαρακτήρες, ενώ υπέβαλε και αίτημα διαγραφής των δεδομένων του σύμφωνα με το άρθρο 17 ΓΚΠΔ. Με το από … μήνυμα της Ε, ο καταγγέλλων έλαβε την απάντηση ότι «[…]το αίτημά σας για διαγραφή των προσωπικών σας στοιχείων από το σύστημα του συνεργαζόμενου σημείου εξυπηρέτησης, έχει ήδη προωθηθεί στο αρμόδιο τμήμα για περεταίρω χειρισμό, ενώ το συντομότερο δυνατό αναμένεται να σας αποσταλεί και σχετική γραπτή επιβεβαίωση. Σε επισύναψη μπορείτε να βρείτε τα στοιχεία που είχαμε στην διάθεσή μας για την επίδοση της αποστολής με αριθμό φορτωτικής …, ενώ στο σημείο αυτό θα επιθυμούσαμε να αναφέρουμε ότι χωρίς δικό σας αίτημα αναφέροντας συγκεκριμένο αριθμό μεταφοράς, δεν είναι δυνατή η αναζήτηση οποιαδήποτε πληροφορίας». Από την προσκομισθείσα αλληλογραφία, επομένως, προκύπτει ότι η καταγγελλόμενη, προς ικανοποίηση του δικαιώματος πρόσβασης απέστειλε στον καταγγέλλοντα αντίγραφο των στοιχείων μόνο της συγκεκριμένης αποστολής, τα οποία σύμφωνα με όσα υποστήριξε κατά την ακρόαση ήταν και τα μόνα που είχε στη διάθεσή της για τον καταγγέλλοντα, λόγω του ότι, όπως ανέφερε, τα στοιχεία αυτά τηρούνται επί τρίμηνο και στη συνέχεια διαγράφονται. Πρέπει να σημειωθεί ότι στο πλαίσιο της ακροαματικής διαδικασίας οι εκπρόσωποι της DHL έκαναν λόγο για τήρηση των δεδομένων επί τρίμηνο, χωρίς ωστόσο να προσκομίσουν οποιοδήποτε σχετικό στοιχείο με το υπόμνημά τους. Από την παρεχόμενη στα υποκείμενα ενημέρωση δεν προκύπτει ο ακριβής χρόνος τήρησης των στοιχείων των παραληπτών. 4 Εξάλλου με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/1121/15-02-2021 απαντητικό της έγγραφο, η καταγγελλόμενη DHL προσκόμισε στην Αρχή αντίγραφο της Πολιτικής Διατήρησης Δεδομένων προσωπικού χαρακτήρα, (ως Σχετικό Ε) στην οποία περιλαμβάνεται (Παράρτημα ΙΙ) ο χρόνος και η αιτιολογία διατήρησης του συνόλου των δεδομένων προσωπικού χαρακτήρα που τηρεί. Στον εν λόγω πίνακα δεν περιλαμβάνονται πληροφορίες σχετικά με τα δεδομένα παραληπτών δεμάτων, όπως ο καταγγέλλων. Στο τμήμα με τίτλο «Δεδομένα επικοινωνίας για σκοπούς μάρκετινγκ» αναφέρεται ότι στο πλαίσιο διαχείρισης παραπόνων, τα δεδομένα επικοινωνίας (του παραπονούμενου πελάτη) τηρούνται για πέντε