ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ Αθήνα, 10-06-2020 Αριθ. πρωτ.: Γ/ΕΞ/3995/10-06-2020 ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Α Π Ο Φ Α Σ Η 14/2020 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος στην έδρα της την 29-01-2020 μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, και τα αναπληρωματικά μέλη Γρηγόριος Τσόλιας και Εμμανουήλ Δημογεροντάκης, ως εισηγητής, σε αντικατάσταση των τακτικών μελών Χαράλαμπου Ανθόπουλου και Ελένης Μαρτσούκου αντίστοιχα, οι οποίοι, αν και εκλήθησαν νομίμως εγγράφως δεν παρέστησαν λόγω κωλύματος. Δεν παρέστησαν λόγω κωλύματος, αν και εκλήθησαν νομίμως εγγράφως το τακτικό μέλος Κωνσταντίνος Λαμπρινουδάκης και το αναπληρωματικό του Ευάγγελος Παπακωνσταντίνου. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, οι Κωνσταντίνος Λιμνιώτης και Γεωργία Παναγοπούλου, ειδικοί επιστήμονες – ελεγκτές ως βοηθοί εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα ακόλουθα: Υποβλήθηκε στην Αρχή η υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/3726/24-05-2019 καταγγελία, η οποία αφορά λήψη αζήτητης πολιτικής επικοινωνίας από την Α (εφεξής «καταγγελλόμενη») για προώθηση της υποψηφιότητας της τελευταίας στις δημοτικές εκλογές ως δημοτική σύμβουλος. Ειδικότερα, σύμφωνα με την ως άνω καταγγελία, η καταγγέλλουσα έλαβε στις …, στην ηλεκτρονική της διεύθυνση μήνυμα ηλεκτρονικού ταχυδρομείου από την 1 καταγγελλόμενη, το οποίο ήταν πολιτικού χαρακτήρα για σκοπούς προώθησης της ως άνω υποψηφιότητάς της για τις επικείμενες, κατά την επίμαχη περίοδο, δημοτικές εκλογές, χωρίς – όπως ισχυρίζεται η καταγγέλλουσα – να έχει οποιαδήποτε προηγούμενη σχέση μαζί της. Η Αρχή, στο πλαίσιο εξέτασης της εν λόγω καταγγελίας, απέστειλε στην καταγγελλόμενη το υπ’ αριθμ. πρωτ. Γ/ΕΞ/3726-1/12-06-2019 έγγραφο με το οποίο ζήτησε τις απόψεις της επί των καταγγελλομένων, λαμβάνοντας υπόψη τις σχετικές κατευθυντήριες γραμμές που έχει εκδώσει η Αρχή για την πολιτική επικοινωνία. Η καταγγελλόμενη απάντησε στην Αρχή με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/4214/12-06-2019 έγγραφο, με το οποίο διαβίβασε στην Αρχή αντίγραφο του ηλεκτρονικού μηνύματος το οποίο η ίδια έστειλε στην καταγγέλλουσα αμέσως μετά το απαντητικό ηλεκτρονικό μήνυμα της τελευταίας για την απαγόρευση επεξεργασίας των δεδομένων της εκ μέρους της καταγγελλομένης. Στο εν λόγω μήνυμα – για το οποίο η καταγγελλόμενη αναφέρει ότι περιέχονται οι ζητούμενες απόψεις της – αναφέρονται τα εξής: 1) Δεν υπάρχει άλλο πρόσωπο ως εκτελών την επεξεργασία. 2) Νομική βάση της επικοινωνίας είναι το έννομο συμφέρον της (άρθ. 6 παρ. 1 στοιχ. στ’ του Κανονισμού (ΕΕ) 2016/679), και τα προσωπικά δεδομένα της καταγγέλλουσας τα οποία έτυχαν επεξεργασίας ήταν απλά δεδομένα (όνομα, επώνυμο, τηλέφωνο, διεύθυνση), τα οποία προέρχονται από νόμιμες πηγές (κυρίως επαγγελματικούς καταλόγους, μητρώο Δικηγορικού Συλλόγου Αθηνών (Δ.Σ.Α.) κ.α.) 3) Σκοπός της επικοινωνίας ήταν η ενημέρωση των συναδέλφων της οι οποίοι είναι εγγεγραμμένοι στο μητρώο του .... Περαιτέρω, η καταγγελλόμενη ενημέρωσε με το ως άνω μήνυμα την καταγγέλλουσα ότι τα δεδομένα της είχαν ήδη διαγραφεί από τη λίστα που τηρεί αφού εκπληρώθηκε ο ως άνω αναφερόμενος σκοπός. Στη συνέχεια, η Αρχή κάλεσε με το με αρ. πρωτ. Γ/ΕΞ/3726-2/12-09-2019 έγγραφο την καταγγελλόμενη σε ακρόαση στη συνεδρίαση του Τμήματος της Αρχής στις 25/9/2019, προκειμένου να συζητηθεί η ως άνω καταγγελία καθώς και η γενική πρακτική που ακολουθήθηκε για την επικοινωνία πολιτικού χαρακτήρα με ηλεκτρονικά μέσα. Στην εν λόγω συνεδρίαση παρέστη η καταγγελλόμενη, η οποία εξέθεσε τις απόψεις της και ακολούθως υπέβαλε, εντός της ταχθείσης προθεσμίας, το υπ΄αριθμ. πρωτ. Γ/ΕΙΣ/6816/09-10-2019 υπόμνημα. Στο εν λόγω υπόμνημα, αναφέρονται τα εξής: 2 1) Ουδέποτε στη ζωή της είχε πολιτική δράση ή υπήρξε πολιτικό πρόσωπο. Υπήρξε υποψήφια για πρώτη φορά στις δημοτικές εκλογές του Μαΐου
- 2) Στο πλαίσιο της επαγγελματικής της σταδιοδρομίας αντήλλαξε στοιχεία επαγγελματικών καρτών είτε δικόγραφα που περιείχαν προσωπικά δεδομένα. Άλλες φορές επικοινώνησε μαζί τους εξωδικαστικά, αντλώντας τα στοιχεία τους από τους καταλόγους των Δικηγορικών Συλλόγων ή έλαβε τα στοιχεία τους μέσω βιογραφικών σημειωμάτων. Τα εν λόγω στοιχεία καταχωρούνταν σε ένα πρόχειρο – όπως η ίδια αναφέρει – αρχείο λογιστικού φύλλου (Excel), με ελάχιστες διαφοροποιήσεις ανά περίπτωση. Τα τελευταία δύο χρόνια δημιούργησε ένα άλλο αρχείο, σε πιο οργανωμένη μορφή. 3) Κατά την προεκλογική περίοδο, χρησιμοποίησε τα ως άνω δύο αρχεία προκειμένου να γνωστοποιήσει, αποκλειστικά σε δικηγόρους, την για πρώτη φορά ανάμιξή της στην πολιτική και την υποψηφιότητά της. Για την αποστολή των ηλεκτρονικών μηνυμάτων χρησιμοποίησε πλατφόρμα “με δυνατότητα δωρεάν αποστολής μηνυμάτων μέχρι το όριο των 2000 παραληπτών. Εκτιμά ότι, ο αριθμός ήταν των μηνυμάτων που έστειλε ήταν μικρότερος από
- 4) Σε κάθε μήνυμα που εστάλη (η καταγγελλόμενη επισυνάπτει σχετικό δείγμα) υπήρχε η δυνατότητα στον παραλήπτη να ζητήσει να ενημερωθεί για την προέλευση των στοιχείων του αλλά και για να απεγγραφεί από τη λίστα παραληπτών. 5) Στην περίπτωση της καταγγέλλουσας, η οποία εξέφρασε την αντίρρησή της αποστέλλοντας απευθείας μήνυμα στην προσωπική ηλεκτρονική διεύθυνση της καταγγελλομένης, απέστειλε ένα επεξεργασμένο μήνυμα απάντησης που είχε ετοιμάσει. Το εν λόγω μήνυμα – το περιεχόμενο του οποίου έχει ήδη περιγραφεί ανωτέρω – δεν ήταν προσωποποιημένο, αλλά απευθυνόταν σε οποιονδήποτε συνάδελφό της τυχόν εξέφραζε αντίρρηση. Για τη συγκεκριμένη δε περίπτωση, η καταγγελλόμενη δεν είναι σίγουρη για την προέλευση των στοιχείων της καταγγέλλουσας – κάνοντας ωστόσο κάποιες σχετικές εικασίες στο υπόμνημά της. 6) Η καταγγελλόμενη αναφέρει ότι παρείχε δυνατότητα άσκησης δικαιώματος αντίρρησης, με τρόπο εύκολο και σαφή. 7) Κατά τους ισχυρισμούς της καταγγελλομένης, δεν προέβη σε πολιτική επικοινωνία αλλά σε απλή ενημέρωση για την υποψηφιότητά της, η οποία 3 συνέβη άπαξ και χωρίς κάποια οργάνωση ή μέθοδο. Όπως αναφέρει σχετικά, αν δεν μπορεί κάθε υποψήφιος – και ιδίως νέος υποψήφιος – να ενημερώσει άπαξ είτε οποιονδήποτε είτε συνεργάτες/φίλους/γνωστούς για την υποψηφιότητά του, θα στερείται τόσο ο υποψήφιος τη δυνατότητα ενάσκησης του δικαιώματος του εκλέγεσθαι όσο και κάθε πολίτης την ορθή ενάσκηση του δικαιώματος του εκλέγειν. Μία αυστηρή ερμηνεία θα παραβίαζε – κατά την καταγγελλομένη – κατάφορα κάθε δημοκρατική διαδικασία, ιδίως στην περίπτωση των αυτοδιοικητικών εκλογών. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, την ακροαματική διαδικασία και αφού άκουσε τον εισηγητή και τους βοηθούς εισηγητή, οι οποίοι αποχώρησαν μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
- Σύμφωνα με το άρ. 4 στοιχ. 7 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (εφεξής, Κανονισμός), ο οποίος είναι σε εφαρμογή από τις 25 Μαΐου 2018, ως υπεύθυνος επεξεργασίας ορίζεται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα».
- Το ζήτημα, της πραγματοποίησης μη ζητηθεισών επικοινωνιών με οποιοδήποτε μέσο ηλεκτρονικής επικοινωνίας, χωρίς ανθρώπινη παρέμβαση, για σκοπούς απευθείας εμπορικής προώθησης προϊόντων ή υπηρεσιών και για κάθε είδους διαφημιστικούς σκοπούς, ρυθμίζεται στο το άρθρο 11 του ν. 3471/2006 για την προστασία προσωπικών δεδομένων στον τομέα των ηλεκτρονικών επικοινωνιών. Σύμφωνα με το άρθρο αυτό, μία τέτοια επικοινωνία επιτρέπεται μόνο εφόσον ο συνδρομητής συγκατατεθεί εκ των προτέρων ρητώς. Κατ’ εξαίρεση, σύμφωνα με το άρ. 11 παρ. 3 του ν. 3471/2006, τα στοιχεία επαφής ηλεκτρονικού 4 ταχυδρομείου που αποκτήθηκαν νομίμως, στο πλαίσιο της πώλησης προϊόντων ή υπηρεσιών ή άλλης συναλλαγής, μπορούν να χρησιμοποιούνται για την απευθείας προώθηση παρόμοιων προϊόντων ή υπηρεσιών του προμηθευτή ή για την εξυπηρέτηση παρόμοιων σκοπών, ακόμη και όταν ο αποδέκτης του μηνύματος δεν έχει δώσει εκ των προτέρων τη συγκατάθεση του, υπό την προϋπόθεση ότι του παρέχεται κατά τρόπο σαφή και ευδιάκριτο η δυνατότητα να αντιτάσσεται, με εύκολο τρόπο και δωρεάν, στη συλλογή και χρησιμοποίηση των ηλεκτρονικών του στοιχείων και αυτό κατά τη συλλογή των στοιχείων επαφής, καθώς και σε κάθε μήνυμα, σε περίπτωση που ο χρήστης αρχικά δεν είχε διαφωνήσει σε αυτή τη χρήση.
- Ειδικά για την πολιτική επικοινωνία μέσω ηλεκτρονικών μέσων χωρίς ανθρώπινη παρέμβαση και σύμφωνα με τις κατευθυντήριες οδηγίες της Αρχής σχετικά με την επεξεργασία προσωπικών δεδομένων με σκοπό την επικοινωνία πολιτικού χαρακτήρα, λαμβάνοντας υπόψη τόσο το άρθρο 11 του ν. 3471/2006, όσο και την Οδηγία 1/2010 της Αρχής για την πολιτική επικοινωνία αλλά και το Γενικό Κανονισμό (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα ο οποίος είναι σε εφαρμογή από τις 25 Μαΐου 2018, ισχύουν τα εξής: Η πολιτική επικοινωνία1 ενδιαφέρει από την άποψη της προστασίας των προσωπικών δεδομένων, πραγματοποιείται σε οποιαδήποτε χρονική περίοδο, προεκλογική ή μη, από πολιτικά κόμματα, βουλευτές, ευρωβουλευτές, παρατάξεις και κατόχους αιρετών θέσεων στην τοπική αυτοδιοίκηση ή υποψηφίους στις βουλευτικές εκλογές, τις εκλογές Κοινοβουλίου και τις εκλογές τοπικής αυτοδιοίκησης. του Ευρωπαϊκού Τα πρόσωπα αυτά καθίστανται υπεύθυνοι επεξεργασίας, σύμφωνα με τον Κανονισμό (ΕΕ) 2016/679, άρθρο 4, στοιχ.. 7) εφόσον ορίζουν το σκοπό και τον τρόπο της επεξεργασίας. Για παράδειγμα, όταν οι βουλευτές ή οι υποψήφιοι βουλευτές λαμβάνουν δεδομένα από τα πολιτικά κόμματα και τα επεξεργάζονται για προσωπική τους πολιτική επικοινωνία, καθίστανται και αυτοί υπεύθυνοι επεξεργασίας. Με την ιδιότητα αυτή και με βάση την αρχή της λογοδοσίας 2 1 Βλέπε ορισμό στο άρθρο 1 παρ. 2 της οδηγίας 1/2010 της Αρχής 2 Όπως ορίζεται στο άρθρο 5 παρ. 2 του ΓΚΠΔ 5 πρέπει να είναι σε θέση να αποδεικνύουν την τήρηση των υποχρεώσεών τους και των κανόνων επεξεργασίας.
- Όταν η πολιτική επικοινωνία πραγματοποιείται με χρήση ηλεκτρονικών μέσων επικοινωνίας, χωρίς ανθρώπινη παρέμβαση, μέσω δημοσίων δικτύων επικοινωνίας, όπως είναι η περίπτωση μηνυμάτων ηλεκτρονικού ταχυδρομείου (email), η επικοινωνία προϋποθέτει, σύμφωνα με το άρθρο 11 παρ. 1 ν. 3471/2006, όπως ισχύει, την προηγούμενη συγκατάθεση του υποκειμένου των δεδομένων, με την επιφύλαξη της παραγράφου 3 του ιδίου άρθρου, όπως ισχύει. Επισημαίνεται επίσης ότι σύντομα γραπτά μηνύματα (SMS) αποτελούν επίσης μηνύματα ηλεκτρονικού ταχυδρομείου σύμφωνα με τους ορισμούς του ν. 3471/2006 και της Οδηγίας 2002/58/ΕΚ.
- Επιτρέπεται η πολιτική επικοινωνία με χρήση ηλεκτρονικών μέσων χωρίς ανθρώπινη παρέμβαση και χωρίς τη συγκατάθεση του υποκειμένου των δεδομένων μόνο εφόσον συντρέχουν σωρευτικά οι ακόλουθες προϋποθέσεις: (α) Τα στοιχεία επικοινωνίας έχουν αποκτηθεί νομίμως στο πλαίσιο προηγούμενης, παρόμοιας επαφής με τα υποκείμενα των δεδομένων, και το υποκείμενο κατά τη συλλογή των δεδομένων ενημερώθηκε για τη χρήση τους με σκοπό την πολιτική επικοινωνία, του δόθηκε η δυνατότητα να εκφράσει αντίρρηση για αυτή τη χρήση αλλά δεν την εξέφρασε . Η προηγούμενη επαφή δεν είναι απαραίτητο να έχει αμιγώς πολιτικό χαρακτήρα, π.χ. είναι νόμιμη η αποστολή μηνυμάτων όταν τα στοιχεία ηλεκτρονικού ταχυδρομείου συλλέχθηκαν στο πλαίσιο προηγούμενης πρόσκλησης για συμμετοχή σε κάποια εκδήλωση ή δράση, ανεξαρτήτως του πολιτικού χαρακτήρα της. Αντιθέτως, δεν θεωρείται ότι συνιστά παρόμοια επαφή και δεν είναι νόμιμη η χρήση των ηλεκτρονικών στοιχείων επικοινωνίας προς το σκοπό της πολιτικής επικοινωνίας όταν τα στοιχεία αυτά αποκτήθηκαν στο πλαίσιο επαγγελματικής σχέσης, όπως για παράδειγμα η χρήση του αρχείου πελατών από υποψήφιο βουλευτή. (β) O υπεύθυνος επεξεργασίας οφείλει να παρέχει στο υποκείμενο των δεδομένων τη δυνατότητα να ασκεί το δικαίωμα αντίρρησης με τρόπο εύκολο και σαφή, και αυτό σε κάθε μήνυμα πολιτικής επικοινωνίας. Σε κάθε επικοινωνία απαιτείται να αναφέρεται ευδιάκριτα και σαφώς η ταυτότητα του αποστολέα ή του προσώπου προς όφελος του οποίου αποστέλλεται το μήνυμα, καθώς επίσης και μια έγκυρη 6 διεύθυνση στην οποία ο αποδέκτης του μηνύματος μπορεί να ζητεί τον τερματισμό της επικοινωνίας
- Στη συγκεκριμένη περίπτωση, η καταγγελλομένη, βάσει των ανωτέρω, πραγματοποίησε, ως υπεύθυνος επεξεργασίας, πολιτική επικοινωνία με αποστολή μηνυμάτων ηλεκτρονικού ταχυδρομείου. Ως εκ τούτου, η νομιμότητα της αποστολής εξασφαλίζεται εάν έχουν τηρηθεί τα αναφερόμενα στις ανωτέρω Σκέψεις 4,
- Από τις απαντήσεις του υπευθύνου επεξεργασίας προκύπτουν τα εξής:
- Ο υπεύθυνος επεξεργασίας δεν είχε λάβει προηγούμενες συγκαταθέσεις των ατόμων στα οποία απέστειλε μηνύματα πολιτικής επικοινωνίας. Επίσης, τα στοιχεία επικοινωνίας των παραληπτών των μηνυμάτων δεν είχαν περιέλθει στην κατοχή του στο πλαίσιο προηγούμενης παρόμοιας επαφής μαζί τους. Αντιθέτως, τα προσωπικά τους στοιχεία αποκτήθηκαν στο πλαίσιο επαγγελματικής σχέσης η οποία δεν σχετίζεται με την πολιτική δραστηριότητα του υπευθύνου επεξεργασίας.
- Ο υπεύθυνος επεξεργασίας δεν προσδιόρισε στην Αρχή τον ακριβή αριθμό των μηνυμάτων τα οποία εστάλησαν. Ωστόσο, ανέφερε σαφώς ότι, λόγω σχετικών περιορισμών της πλατφόρμας που χρησιμοποιήθηκε, δεν μπορεί να είναι μεγαλύτερος των 2000, κάνοντας την εκτίμηση ότι στην πράξη έστειλε λιγότερα από
- O υπεύθυνος επεξεργασίας παρείχε στο υποκείμενο των δεδομένων τη δυνατότητα να ασκήσει το δικαίωμα εναντίωσης με τρόπο εύκολο και σαφή, το οποίο και ικανοποίησε στη συγκεκριμένη περίπτωση.
- Ο υπεύθυνος επεξεργασίας ανταποκρίθηκε στο αίτημα του υποκειμένου των δεδομένων για τα χαρακτηριστικά της επεξεργασίας και την προέλευση των δεδομένων αυτού – αν και, εκ των πραγμάτων, δεν ήταν σε θέση να παρέχει ακριβή πληροφόρηση περί της προέλευσης των δεδομένων (συναφώς με τα όσα αναφέρονται στη Σκέψη 7 περί του τρόπου με τον οποίο τα δεδομένα των υποκειμένων των δεδομένων περιήλθαν στην κατοχή του υπευθύνου 7 επεξεργασίας).
- O υπεύθυνος επεξεργασίας συνεργάστηκε με την Αρχή απαντώντας χωρίς καθυστέρηση στα έγγραφα για διευκρινίσεις, παρέχοντας τις πληροφορίες που ζητήθηκαν και κατά τη συνεδρίαση της Αρχής και στο υπόμνημα που κατέθεσε.
- Δεν έχει επιβληθεί στο παρελθόν διοικητική κύρωση στον υπεύθυνο επεξεργασίας από την Αρχή. Βάσει των ανωτέρω, και συνυπολογίζοντας επίσης ότι ο υπεύθυνος επεξεργασίας δεν είναι πολιτικό πρόσωπο ούτε έχει υπάρξει στο παρελθόν υποψήφιος σε εκλογική αναμέτρηση, η Αρχή κρίνει ότι, λαµβάνοντας υπόψη και το άρθρο 13 του ν. 3471/2006, συντρέχουν οι προϋποθέσεις επιβολής σε βάρος του της κατ’ άρθρο 21 παρ. 1 στοιχ. β΄ του ν. 2472/1997 διοικητικής κύρωσης, που αναφέρεται στο διατακτικό της παρούσας, η οποία κρίνεται ανάλογη με τη βαρύτητα της παραβάσεως. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Επιβάλλει, με βάση τα άρθρα 19 παρ. 1 στοιχ. στ΄ και 21 του ν. 2472/1997 και 13 παρ. 1 και 4 του ν. 3471/2006, στην Α την κύρωση της προειδοποίησης, για τις ως άνω διαπιστωθείσες παραβιάσεις του άρθρου 11 του ν. 3471/
- Ο Αναπληρωτής Πρόεδρος Γεώργιος Μπατζαλέξης Η Γραμματέας Ειρήνη Παπαγεωργοπούλου 8