Επιβολή προστίμων ύψους 100.000 και 15.000 ευρώ σε δύο υπεύθυνους επεξεργασίας για παράνομη επεξεργασία δεδομένων προσωπικού χαρακτήρα με σκοπό την αν

(44)αυτές καταγγελ ες παρουσιάζονται στο πόρισ&α της Αρχής. Επιση&α νεται, επ σης, ότι οι ελεγκτές της Αρχής παρακωλύθηκαν κατά τη διενέργεια του ελέγχου. Τούτο αποδεικνύεται από τα εξής γεγονότα που περιγράφονται στο πόρισ&α: α) Πολλά αρχε α από τους σκληρούς δ σκους των ελεγχο&ένων ηλεκτρονικών υπολογιστών ε χαν πρόσφατα διαγραφε . β) Κατά τη διάρκεια της πρώτης η&έρας του ελέγχου ση&ειώθηκε διακοπή της ηλεκτροδότησης στις εγκαταστάσεις των εταιρειών, &ε αποτέλεσ&α να διακοπε η διαδικασ α αντιγραφής ψηφιακών πειστηρ ων, η οπο α συνεχ στηκε &ετά από 3 η&ερολογιακές η&έρες. Η διακοπή αυτή δεν οφε λεται σε παρέ&βαση της εταιρε ας παροχής ηλεκτρικής ενέργειας, όπως αποδεικνύεται από τις έγγραφες επικοινων ες &ε αυτή. γ) Αποδεικνύεται ότι σε ηλεκτρονικό υπολογιστή του εκπροσώπου των εταιρειών ήταν συνδεδε&ένος και επιπλέον σκληρός δ σκος, ο οπο ος δεν βρέθηκε κατά τον έλεγχο. δ) ιαπιστώθηκε ότι πριν από την αντιγραφή των ψηφιακών πειστηρ ων εκτελέστηκε σε ηλεκτρονικό υπολογιστή του εκπροσώπου των εταιρειών λογισ&ικό καταστροφής ηλεκτρονικών αρχε ων, &ε αποτέλεσ&α να διαγραφούν πολλά αρχε α. ε) ιαπιστώθηκε ότι στον υπολογιστή αυτόν ε χαν συνδεθε , &εταξύ των η&ερο&ηνιών του ελέγχου, αποσπώ&ενα αποθηκευτικά &έσα, &εταξύ των οπο ων και εξωτερικός σκληρός δ σκος χωρητικότητας 250 Gb. Η ΡΑΝΝΕΡ έχει υποβάλει την υπ’ αριθ&. πρωτ. ΓΝ/ΕΙΣ/25/28-01-2003 Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -3γνωστοπο ηση τήρησης αρχε ου. Συγκεκρι&ένα, βάσει αυτής, τηρε , για τον σκοπό επεξεργασ ας «Προώθηση προϊόντων και υπηρεσιών (Μάρκετινγκ)», αρχε α εργαζο&ένων / υπαλλήλων / ασκού&ενων, εργοδοτών, πελατών, &εσιτών, ιδιοκτητών / ενοικιαστών, συ&&ετεχόντων σε έρευνα αγοράς / δη&οσκόπηση, σπουδαστών / &αθητών και επιχειρήσεων. Πηγές των δεδο&ένων δηλώνονται: φυσικά ή νο&ικά πρόσωπα που συνδέονται ά&εσα &ε τα υποκε &ενα των δεδο&ένων, πελάτες αγαθών / υπηρεσιών, νο&ικά πρόσωπα ιδιωτικού δικα ου, φυσικά ή νο&ικά πρόσωπα που συνδέονται ά&εσα &ε τον υπεύθυνο επεξεργασ ας, χρη&ατοπιστωτικο φορε ς, ο Τύπος, δη&όσια προσιτο κατάλογοι, οδηγο / κατάλογοι εκθέσεων, επαγγελ&άτων, εταιρειών και διαφη&ιστικά φυλλάδια. Αποδέκτες των δεδο&ένων δηλώνονται όλες οι προαναφερθε σες πηγές καθώς και ασφαλιστικο φορε ς. Από το 2003 &έχρι και το 2010, η ΡΑΝΝΕΡ έχει υποβάλει στην Αρχή αντ γραφα των ιδιωτικών συ&φωνητικών συνεργασ ας &ε άλλες δέκα

(10)εταιρε ες, όπως αυτές παρουσιάζονται στο πόρισ&α. Με τα συ&φωνητικά αυτά, η ΡΑΝΝΕΡ αναλα&βάνει να διαβιβάσει στις ανωτέρω εταιρε ες αρχε α &η ευα σθητων προσωπικών δεδο&ένων, προς επ τευξη του σκοπού της προώθησης προϊόντων ή υπηρεσιών σε τρ τους δυνητικούς πελάτες των ανωτέρω εταιρειών. Η ΡΑΝΝΕΡ εγγυάται τη νο&ι&ότητα της απόκτησης των δεδο&ένων, τα οπο α δεδο&ένα βεβαιώνει ότι προέρχονται από δη&όσια προσβάσι&ες πηγές. Η Αρχή ε χε πραγ&ατοποιήσει στο παρελθόν δύο

(2)σχετικούς διοικητικούς ελέγχους. Αρχικά το έτος 1999 στην εταιρε α ΑΡΓΗ Α.Ε., &ε δ.τ. «RUNNER Α.Ε.» που έπαψε να λειτουργε το έτος 2000, και ακολούθως το έτος 2006 στη ΡΑΝΝΕΡ, η οπο α δη&ιουργήθηκε κατά το

1. Ο δεύτερος έλεγχος έγινε σε συνέχεια καταγγελ ας από το Κέντρο Προστασ ας Καταναλωτών, σύ&φωνα &ε την οπο α η ΡΑΝΝΕΡ συνέλεγε και ε&πορευόταν προσωπικά δεδο&ένα χωρ ς την προηγού&ενη συγκατάθεση των υποκει&ένων. Η Αρχή έχει επ σης εκδώσει την υπ΄ αριθ&. 34/2008 απόφαση, &ε την οπο α επέβαλε πρόστι&ο ύψους τριών χιλιάδων (3.000) ευρώ στη ΡΑΝΝΕΡ για παραβιάσεις του ν. 2472/
2. Με την απόφαση αυτή διέταξε και την καταστροφή των δεδο&ένων προσωπικού χαρακτήρα, που δεν προέρχονται από δη&όσια προσβάσι&ες πηγές και έχουν συλλεγε χωρ ς την ενη&έρωση και συγκατάθεση των υποκει&ένων των Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -4δεδο&ένων. Τέλος, η Αρχή ε χε αποστε λει στη ΡΑΝΝΕΡ, σε συνέχεια της υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/2944/13-06-2008 καταγγελ ας του ‘Β’, δύο επιστολές για διευκριν σεις (υπ’ αριθ&. πρωτ. Γ/ΕΞ/2944-1/23-06-2008 και Γ/ΕΞ/2944-2/25-09-2008 έγγραφα). Η καταγγελ α αφορούσε λήψη spam στη διεύθυνση ηλ. ταχυδρο&ε ου του καταγγέλλοντα info@bcnintegrated.gr που φα νεται να προέρχεται από τη διεύθυνση info@frasersplace.co.nz (και όνο&α αποστολέα «PLAZA24»). Το εν λόγω &ήνυ&α ηλ. ταχυδρο&ε ου διαφή&ιζε προϊόντα του «ADDShop» και ανέφερε ως ηλεκτρονική διεύθυνση για πληροφορ ες την plaza24@plaza24.gr. Η ΡΑΝΝΕΡ ε χε απαντήσει στο τελευτα ο έγγραφο της Αρχής (υπ’ αριθ&. πρωτ. Γ/ΕΞ/2944-2/25-09-2008 έγγραφο) ότι δεν γνωρ ζει την εν λόγω διεύθυνση ηλεκτρονικού ταχυδρο&ε ου, από την οπο α έγινε αποστολή διαφη&ιστικού &ηνύ&ατος του διαδικτυακού τόπου plaza24.gr. Ό&ως ο συγκεκρι&ένος διαδικτυακός τόπος ανήκει στην ADD ONE. Μετά την εξέταση των πειστηρ ων του ελέγχου διαπιστώθηκαν τα εξής ευρή&ατα, τα οπο α παρουσιάζονται συνοπτικά:
3. ιαπιστώθηκε ότι οι εταιρε ες ε χαν στην κατοχή τους και επεξεργάζονταν διάφορα αρχε α &ε προσωπικά δεδο&ένα χωρ ς τη συγκατάθεση των υποκει&ένων των δεδο&ένων. Συγκεκρι&ένα, στους ηλεκτρονικούς υπολογιστές και σε άλλα αποθηκευτικά &έσα (ψηφιακο δ σκοι) των υπό έλεγχο εταιρειών βρέθηκαν αρχε α που περιλα&βάνουν: α) εδο&ένα &ε στοιχε α δηλώσεων φόρου εισοδή&ατος, τα οπο α &πορε να προέρχονται &όνο από τα τηρού&ενα στη Γενική Γρα&&ατε α Πληροφοριακών Συστη&άτων (Γ.Γ.Π.Σ.) στοιχε α. Τα στοιχε α αφορούν σε πάνω από 5.000.000 φορολογού&ενους και σε πολλά από τα πεδ α του εντύπου δήλωσης φόρου εισοδή&ατος Ε
4. Μεταξύ των πεδ ων αυτών περιλα&βάνονται και ευα σθητα δεδο&ένα, όπως αυτά που αφορούν στο αν ο φορολογού&ενος ε ναι ΑΜΕΑ. β) Αρχε α που φα νεται να αποτελούν λ στα πελατών της εταιρε ας 3Suisses. γ) Στοιχε α γεννήσεων από τη δεκαετ α του 1990 σε τρ α &αιευτήρια (Ήρα, Ιασώ, Μητέρα) που αφορούν σε πάνω από 110.000 γεννήσεις. δ) Στοιχε α 333.912 συνδρο&ητών του τηλεπικοινωνιακού παρόχου TIM (νυν Wind), που φα νεται να αφορούν σε στοιχε α προ του 2007 και έχουν στοιχε α συντάκτη του αρχε ου δια &ε αυτά του ση&ε ου α). ε) Στοιχε α περ που 200.000 προσώπων που κατέχουν πιστωτικές Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -5κάρτες εκδοθε σες από την Eurobank. στ) Στοιχε α που αντιστοιχούν σε περ που 4.300.000 συνδρο&ητές του ΟΤΕ και τα τηλέφωνά τους (τα οπο α αφορούν στο έτος 2009) συνδυασ&ένα &ε στοιχε α εισοδή&ατος και τ&ή&α αριθ&ού πιστωτικής κάρτας. ζ) Στοιχε α ονό&ατος και ταχυδρο&ικής διεύθυνσης που αφορούν σε 1.428.965 πρόσωπα, τα οπο α ε τε ε ναι πελάτες ε τε ε χαν χρησι&οποιηθε σε προωθητική ενέργεια για την εταιρε α Pizza Fan. η) Αντ γραφα των εκλογικών καταλόγων των ή&ων Κηφισιάς (34.857 άτο&α), Νέας Ερυθρα ας (10.762 άτο&α) και Εκάλης (4.332 άτο&α) για το τρ το τρ &ηνο του
5. θ) Στοιχε α επαφών (ατό&ων) σε διάφορες επιχειρήσεις (εγγραφές για περ που 75.000 επιχειρήσεις). ι) Λ στα &ελών της Τ.Ο. Βούλας του ΠΑΣΟΚ, και κατάλογο &ε κινητά τηλέφωνα &ελών του ιδ ου κό&&ατος. Επ σης, &ετά την εύρεση τι&ολογ ου αξ ας 14.760 ευρώ για πώληση αρχε ου ε&πορικού και οικονο&ικού ενδιαφέροντος προς την εταιρε α ΠΕΙΡΑΙΣ DIRECT SERVICES, ακολούθησε έλεγχος στην εταιρε α αυτή. Στο υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/1447/27-2-2013 πόρισ&α ελέγχου της εταιρε ας αυτής διαπιστώθηκε ότι η ΡΑΝΝΕΡ χορήγησε αρχε ο που περιλα&βάνει στοιχε α για πάνω από 5.000.000 συνδρο&ητές τηλεφων ας στην εν λόγω εταιρε α. Στο αρχε ο αυτό, εκτός από τα στοιχε α συνδρο&ητών τα οπο α επιτρέπεται να περιλα&βάνονται στους σχετικούς καταλόγους (όνο&α, επώνυ&ο, πατρώνυ&ο, διεύθυνση), περιλα&βάνονται και επιπλέον δεδο&ένα προσωπικού χαρακτήρα σε πεδ α (στήλες αρχε ου βάσης δεδο&ένων &ορφής MS Access) &ε τ τλους “epitheto_ote”, “onoma_ote”, “patronymo_ote”. Σε πάνω από 500.000 περιπτώσεις τα επιπλέον αυτά πεδ α δεν ταυτ ζονται &ε τα πεδ α επωνύ&ου, ονό&ατος και πατρωνύ&ου των συνδρο&ητών. Επιπλέον, στο διο αρχε ο βρέθηκε αυτο&ατοποιη&ένο ερώτη&α (query) που ενη&ερώνει τα προαναφερθέντα πεδ α της βάσης δεδο&ένων, &έσω διασταύρωσης &ε π νακα που έχει τ τλο “AFM_OTE”. ς κλειδ για τη διασταύρωση χρησι&οποιε ται πεδ ο &ε τ τλο “AFM”. Ο π νακας “AFM_OTE” και το πεδ ο “AFM” δεν βρέθηκαν στο συγκεκρι&ένο αρχε ο βάσης δεδο&ένων.
6. Η εταιρε α ΡΑΝΝΕΡ διατηρούσε διάφορα αρχε α &ε προσωπικές πληροφορ ες, όπως αυτά που περιγράφηκαν παραπάνω, τα οπο α χρησι&οποιούσε, χωρ ς τη συγκατάθεση των υποκει&ένων, για να ανταποκρ νεται έναντι α&οιβής σε αιτή&ατα πελατών της για παροχή πληροφοριών. Τα ερωτή&ατα αυτά αφορούσαν, κατά κανόνα, Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -6στη δη&ιουργ α αρχε ων &ε προσωπικά δεδο&ένα, βάσει συγκεκρι&ένων κριτηρ ων, όπως επάγγελ&α, εισόδη&α, περιοχή ή κάθε άλλη πληροφορ α που ήταν στη διάθεση της εταιρε ας ΡΑΝΝΕΡ. Αν και συχνά τα ερωτή&ατα αφορούσαν στοιχε α επιχειρήσεων δεν γινόταν κα& α διάκριση ως προς τα φυσικά ή τα νο&ικά πρόσωπα. Από τα στοιχε α που βρέθηκαν κατά τον έλεγχο και παρουσιάζονται στο πόρισ&α προκύπτει ότι η συνήθης πρακτική της εταιρε ας ήταν να επεξεργάζεται τα αιτή&ατα, &ε βάση τα στοιχε α που ε χε στην κατοχή της, αποστέλλοντας ως απάντηση τα στοιχε α επικοινων ας (ονο&ατεπώνυ&ο, διεύθυνση, τηλέφωνα) των φυσικών ή νο&ικών προσώπων, ώστε να ε ναι εύκολη η πραγ&ατοπο ηση, από τον εκάστοτε πελάτη, προωθητικής ενέργειας σε στοχευ&ένο κοινό (απευθε ας προώθηση προϊόντων και υπηρεσιών). Έτσι, αν και σε κα& α περ πτωση δεν διαπιστώθηκε ότι έχουν παραδοθε αναλυτικά στοιχε α εισοδή&ατος, από το περιεχό&ενο των αιτού&ενων στοιχε ων προκύπτει ότι για την πραγ&ατοπο ηση και ανταπόκριση στα ερωτή&ατα γινόταν χρήση –άρα και επεξεργασ α– όλων των πληροφοριών, όπως π.χ. &ε τη δη&ιουργ α αρχε ου κατο κων συγκεκρι&ένης περιοχής ή/και βάσει συγκεκρι&ένων εισοδη&ατικών κριτηρ ων. Από τα στοιχε α του πορ σ&ατος προκύπτει ότι η δραστηριότητα αυτή ήταν το κύριο αντικε &ενο της ΡΑΝΝΕΡ. Σε ορισ&ένες από τις περιπτώσεις η εταιρε α αυτή υπέγραφε ιδιωτικό συ&φωνητικό συνεργασ ας &ε την εταιρε α που αγόραζε τα δεδο&ένα, όπως αυτά που περιγράφηκε παραπάνω ότι κοινοποιούσε στην Αρχή (βλ. σελ. 3). Συνοπτικά, από τα ευρεθέντα κατά τον έλεγχο στοιχε α, τα οπο α παρουσιάζονται αναλυτικά στο πόρισ&α, προκύπτει ότι η ΡΑΝΝΕΡ: α) επεξεργάστηκε και απάντησε σε σχετικά αιτή&ατα πελατών της για χορήγηση δεδο&ένων προσωπικού χαρακτήρα που σχετ ζονται: &ε δεδο&ένα εισοδή&ατος φυσικών προσώπων σε τουλάχιστον πέντε

(5)περιπτώσεις (‘Γ’, ‘’, HSBC BANK PLC, Mandarini ΑΕ, Paramount), &ε δεδο&ένα επαγγέλ&ατος φυσικών προσώπων σε τουλάχιστον ε κοσι

(20)περιπτώσεις (CEPU, Ε & ΣΙΑ ΕΕ, ΑΦΟΙ ‘ΣΤ’ ΟΕ, Β-ΛΟΓΚΙΝ ΑΕ, COSMESIS ΑΕ, EXCESS Μον. ΕΠΕ, ‘Ζ’ & Σια ΟΕ, ‘Η’ ΑΕ, Metalgo Μ.Ε.Π.Ε., ‘Θ’ & Συνεργάτες Μον. ΕΠΕ, Partners AE, ‘Ι’ VODAFONE-ΠΑΝΑΦΟΝ, Vivere Εκδοτική, Rakson ΑΕ, ‘Κ’ ΑΕΒΕ, Αναλυτικές Συσκευές ΑΕ, ‘Λ’ Α.Ε, ‘Μ’ OTIS ΑΒΕΤΕ), &ε δεδο&ένα περιοχής κατοικ ας φυσικών προσώπων σε τουλάχιστον οκτώ

(8)Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -7περιπτώσεις (Cyfield, ‘Ν’ ΟΕ, ‘Ξ’ & ΣΙΑ ΟΕ, ‘Ο’, PIZZA FAN ΝΤΕΛΙΒΕΡΙ ΑΕ, ΑΚΟΥΣΤΙΚΑ ‘Π’ ΕΠΕ, Verbund Austria Power Trading Energa Hellas Α.Ε, ‘Ρ’), &ε λοιπά προσωπικά δεδο&ένα φυσικών προσώπων (π.χ. ΑΦΜ, ηλικ α, φύλο, κατοχή αυτοκινήτου, τέκνων, κλπ) σε τουλάχιστον δέκα επτά

(17)περιπτώσεις (‘Σ’ & ΣΙΑ ΕΕ, Chrysler Jeep Dodge Ελλάς, έλτα Επενδυτική Μον. Ε.Π.Ε., ΚΤΕΟ HELLAS AE, ‘Τ’, Ελαστικά Michelin ΑΕ, Paladino S.A., Healthmylife, Interamerican Ε.Ε.Α.Ζ., Milleniumbank, Πειραιώς Direct Services, Proximity ZZ. ιαφη&ιστική ΑΕ, ‘Υ’ Ο.Ε, Γραφοτυπική Α.Ε, ‘Φ’, ‘Χ’ και Σια ΟΕ, ‘Ψ’). β) δέχθηκε αιτή&ατα για χορήγηση δεδο&ένων προσωπικού χαρακτήρα, για τα οπο α δεν έγινε δυνατό να διαπιστωθε πως απάντησε στους αιτούντες, σε περιπτώσεις που σχετ ζονται: αα) &ε δεδο&ένα εισοδή&ατος φυσικών προσώπων σε τουλάχιστον δέκα

(10)περιπτώσεις, ββ) &ε δεδο&ένα επαγγέλ&ατος φυσικών προσώπων σε τουλάχιστον ενενήντα ένα

(91)περιπτώσεις, γγ) &ε δεδο&ένα περιοχής κατοικ ας φυσικών προσώπων σε τουλάχιστον ε κοσι πέντε

(25)περιπτώσεις, δδ) &ε λοιπά προσωπικά δεδο&ένα φυσικών προσώπων (π.χ. ηλικ α, φύλο, κατοχή αυτοκινήτου, τέκνων, κ.λπ.) σε τουλάχιστον τριάντα εννέα

(39)περιπτώσεις. εε) &ε δεδο&ένα αδιευκρ νιστου περιεχο&ένου που πιθανολογε ται ότι αφορούν σε δεδο&ένα προσωπικού χαρακτήρα σε τριάντα οκτώ

(38)περιπτώσεις. Τον ζεται επ σης, ότι οι προτάσεις συνεργασ ας που λα&βάνει ή στέλνει η εταιρε α στους λογαριασ&ούς ηλεκτρονικού ταχυδρο&ε ου της (Βλ. ση&ε ο Β.22 στο Παράρτη&α Β του πορ σ&ατος) αφορούν στην παροχή εξατο&ικευ&ένων καταλόγων επικοινων ας, που δη&ιουργούνται &ε διαφορετικά κριτήρια ανά πελάτη, &ε χρήση των αρχε ων που έχει στην κατοχή της. Επιση&α νεται, επ σης, ότι από το 2011 και έως και τον εν λόγω έλεγχο, τα παραστατικά των συναλλαγών της ΡΑΝΝΕΡ εκδ δονται από την Daimad Ltd, εταιρε α συ&φερόντων του εκπροσώπου της ΡΑΝΝΕΡ, που εδρεύει στην Κυπριακή η&οκρατ α (εφεξής Daimad). Οι περισσότερες ό&ως από τις σχετικές επικοινων ες πραγ&ατοποιούνται από τους λογαριασ&ούς ηλεκτρονικού ταχυδρο&ε ου της ΡΑΝΝΕΡ. Με τον τρόπο αυτό έτυχαν επεξεργασ ας και απαντήθηκαν αιτή&ατα για χορήγηση δεδο&ένων προσωπικού χαρακτήρα &ετά από επεξεργασ α ερωτη&άτων που σχετ ζονται: Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -8αα) &ε δεδο&ένα εισοδή&ατος φυσικών προσώπων σε τουλάχιστον τρεις

(3)περιπτώσεις, ββ) &ε δεδο&ένα επαγγέλ&ατος φυσικών προσώπων σε τουλάχιστον δύο

(2)περιπτώσεις, γγ) &ε δεδο&ένα περιοχής κατοικ ας φυσικών προσώπων σε τουλάχιστον δύο

(2)περιπτώσεις, δδ) &ε στοιχε α επαφών προσώπων που κατέχουν ση&αντικές θέσεις (πολιτικών, δικαστικών, διοικητών φυλακών και αστυνο&ικών τ&η&άτων, στελεχών του Υπ. ικαιοσύνης, εκδοτών, πανεπιστη&ιακών, επιχειρη&ατιών), τα οπο α σε &ια περ πτωση, διαβιβάστηκαν από τη ΡΑΝΝΕΡ στην Εκκλησ α της Σαΐεντολογ ας που εδρεύει στη αν α . 3. Από το πόρισ&α διαπιστώνεται ότι στάλθηκαν διαφη&ιστικά &ηνύ&ατα ηλεκτρονικού ταχυδρο&ε ου σε πολύ &εγάλο αριθ&ό παραληπτών. Οι παραλήπτες αυτο δεν ε χαν δώσει τη συγκατάθεσή τους ούτε ε χαν προηγού&ενη συναλλακτική επαφή ή άλλη επαφή επαγγελ&ατικού χαρακτήρα τόσο &ε τη ΡΑΝΝΕΡ, όσο και &ε την ADD ONE. Τα &ηνύ&ατα αυτά στέλνονταν για διαφή&ιση των υπηρεσιών και προϊόντων και των δύο ελεγχο&ένων εταιρειών. Επ σης, διαπιστώνεται ότι η ΡΑΝΝΕΡ αναλά&βανε την αποστολή διαφη&ιστικών &ηνυ&άτων ηλεκτρονικού ταχυδρο&ε ου, FAX και SMS για λογαριασ&ό τρ των, χωρ ς να παραδ δει τη λ στα των διευθύνσεων ηλεκτρονικού ταχυδρο&ε ου ή αριθ&ών SMS. Σε &ια περ πτωση, τι&ολόγιο για την αποστολή διαφη&ιστικών &ηνυ&άτων SMS φα νεται να εκδ δεται και από την εταιρε α ADD ONE, αν και δεν ήταν το σύνηθες πεδ ο δραστηριότητάς της. Όπως αναφέρθηκε και στην προηγού&ενη παράγραφο κατά τα έτη 2011 και 2012 φα νεται ότι οι δραστηριότητες της ΡΑΝΝΕΡ &ειώνονται, καθώς τα περισσότερα τι&ολόγια εκδ δονται πλέον &έσω της εταιρε ας Daimad, ενώ, στην πράξη, οι επιχειρη&ατικές επικοινων ες και η επεξεργασ α πραγ&ατοποιούνται από τους λογαριασ&ούς ηλ. ταχυδρο&ε ου της ΡΑΝΝΕΡ. Τα ανωτέρω προκύπτουν από τα εξής: α) ιαπιστώθηκε εκτετα&ένη χρήση λογισ&ικού &αζικής αποστολής &ηνυ&άτων ηλεκτρονικού ταχυδρο&ε ου (εύρη&α Β.1 του πορ σ&ατος). Για την αποστολή χρησι&οποιήθηκαν παραποιη&ένες (spoofed) διευθύνσεις αποστολέα, ενώ η διεύθυνση απάντησης (reply-to) ανήκε στις υπό έλεγχο εταιρε ες. Ενδεικτικά αναφέρεται ότι, ενώ η Αρχή ε χε εγγράφως ερωτήσει τη ΡΑΝΝΕΡ σχετικά &ε αποστολή διαφη&ιστικών &ηνυ&άτων (&άλιστα για προϊόντα και υπηρεσ ες της ADD ONE), η εταιρε α ε χε Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -9δηλώσει &ε το υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/5338/10-10-2008 έγγραφό της προς την Αρχή ότι δεν γνωρ ζει τη διεύθυνση ηλεκτρονικού ταχυδρο&ε ου, η οπο α, εντούτοις, βρέθηκε στα αρχε α της κατά τον έλεγχο. Άλλες τέσσερις

(4)από τις παραποιη&ένες διευθύνσεις ηλεκτρονικού ταχυδρο&ε ου εντοπ σθηκαν επ σης και σε αρχε α στους σκληρούς δ σκους. Συνολικά διαπιστώθηκε πως ε χε γ νει αποστολή διαφη&ιστικών &ηνυ&άτων για λογαριασ&ό της ΡΑΝΝΕΡ από δέκα

(10)από τις παραποιη&ένες διευθύνσεις ηλεκτρονικού ταχυδρο&ε ου, από τις οπο ες, &ε βάση τις καταγγελ ες έστελνε διαφη&ιστικά &ηνύ&ατα η ΡΑΝΝΕΡ (βλ. ση&ε ο Β.3 στο Παράρτη&α Β του πορ σ&ατος). β) Βρέθηκαν πολυάριθ&α αρχε α κει&ένου, τα οπο α περιε χαν διευθύνσεις ηλεκτρονικού ταχυδρο&ε ου. Αποδεικνύεται ότι οι διευθύνσεις αυτές έχουν συλλεχθε από το ιαδ κτυο χωρ ς τη συγκατάθεση των συνδρο&ητών στους οπο ους ανήκουν και χωρ ς κριτήρια ως προς τη συλλογή (εύρη&α Β.2 του πορ σ&ατος). Οι διευθύνσεις αυτές, που ε ναι πάνω από 400.000, εισήχθησαν &αζικά και σε συγκεκρι&ένες η&ερο&ην ες στους δύο διαδικτυακούς τόπους της ADD ONE. Επ σης, σε & α περ πτωση διαπιστώθηκε ότι ο ‘Α’ ε χε επικοινων α &έσω ηλεκτρονικού ταχυδρο&ε ου που αφορούσε στην αγορά βάσης &ε 100.000 διευθύνσεις ηλεκτρονικού ταχυδρο&ε ου. γ) Από τα πειστήρια του ελέγχου επιβεβαιώνονται έντεκα

(11)περιπτώσεις καταγγελιών (εύρη&α Β.3 του πορ σ&ατος) που αφορούν στην αποστολή διαφη&ιστικών &ηνυ&άτων τόσο για λογαριασ&ό της ΡΑΝΝΕΡ όσο και για λογαριασ&ό της ADD ONE, αλλά και αποστολή διαφη&ιστικών &ηνυ&άτων για λογαριασ&ό τρ των από τη ΡΑΝΝΕΡ. δ) Αποδεικνύεται ότι έχει πραγ&ατοποιηθε σε αρκετές περιπτώσεις &αζική αποστολή αζήτητων &ηνυ&άτων ηλεκτρονικού ταχυδρο&ε ου για τη διαφή&ιση της εταιρε ας ΡΑΝΝΕΡ και των ιστοσελ δων της (εύρη&α Β.5 του πορ σ&ατος). ε) Αποδεικνύεται ότι έχει πραγ&ατοποιηθε σε αρκετές περιπτώσεις &αζική αποστολή αζήτητων &ηνυ&άτων ηλεκτρονικού ταχυδρο&ε ου για τη διαφή&ιση της εταιρε ας ADD ONE και των ιστοσελ δων της (εύρη&α Β.6 του πορ σ&ατος). στ) Αποδεικνύεται ότι έχει πραγ&ατοποιηθε σε τουλάχιστον ε κοσι περιπτώσεις &αζική αποστολή αζήτητων &ηνυ&άτων ηλεκτρονικού ταχυδρο&ε ου &έσω διαδικτύου για την διαφή&ιση υπηρεσιών τρ των εταιρειών (εύρη&α Β.7 του πορ σ&ατος). Οι αποστολές αυτές πραγ&ατοποιήθηκαν &ε &έσα της ΡΑΝΝΕΡ σε δική της λ στα Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -10παραληπτών. Σε & α περ πτωση (εύρη&α Β.10 του πορ σ&ατος) για την αποστολή διαφη&ιστικών &ηνυ&άτων ηλεκτρονικού ταχυδρο&ε ου εκδ δεται τι&ολόγιο από την ADD ONE. ζ) Αποδεικνύεται ότι έχει πραγ&ατοποιηθε σε τουλάχιστον τέσσερις περιπτώσεις &αζική αποστολή αζήτητων &ηνυ&άτων τηλεο&οιοτυπ ας (FAX) για τη διαφή&ιση υπηρεσιών τρ των εταιρειών (εύρη&α Β.9 του πορ σ&ατος). Οι αποστολές αυτές πραγ&ατοποιούνται &ε &έσα της ΡΑΝΝΕΡ σε δική της λ στα παραληπτών. Επιση&α νεται επ σης ότι, όπως αναφέρεται στο πόρισ&α (ευρή&ατα Β.11, Β.12, Β.13 και Β.14 του πορ σ&ατος), &ετά το 2011 οι υπηρεσ ες &αζικής αποστολή αζήτητων ηλεκτρονικών &ηνυ&άτων κάθε &ορφής (e-mail, SMS, FAX) υλοποιούνται και τι&ολογούνται &έσω της Daimad. Κατόπιν της κοινοπο ησης του πορ σ&ατος και της κλήσης της Αρχής, οι δύο εταιρε ες κατέθεσαν κοινό υπό&νη&α (Γ/ΕΙΣ/1318/25-2-2014) όπου συνοπτικά αναφέρουν τα παρακάτω. Όσον αφορά στα ευρή&ατα για τα αρχε α που βρέθηκαν στην κατοχή τους, χωρ ς συγκατάθεση των υποκει&ένων, υποστηρ ζουν ότι επρόκειτο για αρχε α πελατών της ΡΑΝΝΕΡ, που οι διοι ε χαν δώσει &ε σκοπό την επεξεργασ α (π.χ. συ&πλήρωση τηλεφώνων). Ειδικά για τα αρχε α &ε τα οικονο&ικά δεδο&ένα ισχυρ ζονται ότι ε ναι πελατολόγιο της τράπεζας HSBC. Για τα αρχε α εκλογικών καταλόγων ισχυρ ζονται ότι προορ ζονταν και ε χαν χρησι&οποιηθε για την προεκλογική δράση του διαχειριστή των εταιρειών ‘Α’ ως υποψηφ ου του ΠΑΣΟΚ στην περιοχή που κατοικε . Για το αρχε ο που βρέθηκε κατά τον έλεγχο στην εταιρε α Πειραιώς Direct Services, υποστηρ ζουν ότι έχει προκύψει από δη&όσια προσβάσι&η πηγή και &άλιστα από τους έντυπους καταλόγους του ΟΤΕ &έσω διαδικασ ας οπτικής αναγνώρισης χαρακτήρων (OCR). Υποστηρ ζουν ότι το αρχε ο αυτό ε ναι ση&αντικό εργαλε ο τους και παρε χε πάνω από 4.000.000 σταθερά και 1.000.000 κινητά τηλέφωνα και στοιχε α συνδρο&ητών. Για το λογισ&ικό καταστροφής αρχε ων υποστηρ ζουν ότι αυτό εκτελε το αυτό&ατα σε τακτά χρονικά διαστή&ατα. Για την επεξεργασ α που η ΡΑΝΝΕΡ εκτελούσε παρέχοντας καταλόγους &ε Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -11προσωπικά δεδο&ένα σε πελάτες τους, υποστηρ ζουν ότι αυτή έχει γνωστοποιηθε στην Αρχή (ΓΝ/ΕΙΣ/25/28-01-2003) και ότι βασικό εργαλε ο της συλλογής ε ναι το αρχε ο συνδρο&ητών τηλεφων ας που περιγράφηκε. Επ σης, ότι όχι &όνο δεν παρέδιδε ποτέ στοιχε α εισοδή&ατος αλλά ούτε έγινε χρήση των πληροφοριών που η ΡΑΝΝΕΡ κατε χε από πελατολόγια που της χορηγούσαν οι συνεργαζό&ενες εταιρε ες. Όλα τα στοιχε α βασ ζονταν σε δη&όσια προσβάσι&η πηγή (99% από καταλόγους συνδρο&ητών) και διασταυρώνονταν &ε τη λ στα του άρ. 13 του ν. 2472/1997 που τηρε η Αρχή. Επ σης, οι απαντήσεις σε ερωτή&ατα &ε άλλα κριτήρια προέρχονταν από στατιστική ανάλυση των στοιχε ων αυτών &ε βάση την περιοχή κατοικ ας και τα παλιότερα στοιχε α που ε χαν στην κατοχή τους οι εν λόγω δύο εταιρε ες. Στη συνέχεια οι εταιρε ες δ δουν απαντήσεις σε συγκεκρι&ένα ευρή&ατα του πορ σ&ατος, υποστηρ ζοντας ότι στις περισσότερες περιπτώσεις τα ευρή&ατα του ελέγχου στηρ ζονται σε χνη επικοινωνιών που δεν δ νουν ολοκληρω&ένο νόη&α για το περιεχό&ενο της συνεργασ ας. Συνοπτικά υποστηρ ζουν τα παρακάτω: α) Ότι το αρχε ο που παρεδόθη περιελά&βανε στατιστικά στοιχε α κι όχι προσωπικά δεδο&ένα (‘Γ’). β) Ότι υπήρξε συναλλαγή &ε πελάτες τους, αλλά δεν προκύπτει από το πόρισ&α ποια συναλλαγή έχει γ νει κάθε φορά, η οπο α ό&ως αφορούσε σε αγορά αρχε ου που περιε χε &όνο στοιχε α επικοινων ας (‘’, Infoassist, Paramount). γ) Ότι τα στοιχε α που βρέθηκαν για την Τράπεζα HSBC ήταν το πελατολόγιό της που παρελήφθη σε &ορφή CD. Η ΡΑΝΝΕΡ επεξεργάστηκε τα δεδο&ένα για λογαριασ&ό της τράπεζας, όταν αυτό ζητήθηκε. δ) Ότι η συνεργασ α έ&εινε στο στάδιο της προσφοράς (Mandarini, Millenium Bank, Proximity ZZ, ΡΙΕΤ). ε) Ότι το αρχε ο που παρεδόθη στις εταιρε ες περιε χε δεδο&ένα επαγγέλ&ατος ή περιοχής που προέρχονται από δη&όσιους καταλόγους (ΟΤΕ, Χρυσός Οδηγός, εκθέσεις κ.ά.). Επιπλέον οι πληροφορ ες για τον ΑΦΜ και τα λοιπά στοιχε α επιχειρήσεων προέρχονται από το ΓΕΜΗ (ΚΤΕΟ HELLAS, Γραφοτυπική, ‘Χ’ και ΣΙΑ ΟΕ, ‘Ψ’, Εκκλησ α Σαΐεντολογ ας, Energa). στ) Ότι η εργασ α που επιτελέσθηκε αφορούσε σε επικαιροπο ηση ή διόρθωση Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -12στοιχε ων πελατολογ ου (Chrysler, έλτα Επενδυτική, Ελαστικά Michelin, Palantino, Interamerican, ‘Φ’). ζ) Ότι τα στοιχε α ακινήτων που παρεδόθησαν προέρχονται από τη βάση δεδο&ένων που τηρε η ΡΑΝΝΕΡ για πλειστηριασ&ούς και προέρχονται από δη&όσια δεδο&ένα, όπως αγγελ ες και δελτ α δη&οπρασιών (alarm.gr). η) Ότι παρεδόθη &όνο αρχε ο επιχειρήσεων (Humminbgird, ΙΕΚ AKMH, Techniclean). θ) Ότι σε κάποιες περιπτώσεις δεν &πορούν να απαντήσουν, λόγω του &εγάλου χρονικού διαστή&ατος που έχει &εσολαβήσει, ιδ ως για όσες έ&ειναν στο επ πεδο της επικοινων ας. Όσον αφορά στην αποστολή αζήτητης ηλεκτρονικής επικοινων ας για διαφη&ιστικούς σκοπούς, υποστηρ ζεται στο υπό&νη&α ότι αναζητούσαν τρόπο αποστολής ενη&ερώσεων &ε ηλεκτρονικά &έσα για τους πελάτες τους που ενδιαφέρονται για ευκαιρ ες σε ακ νητα. Μετά από δοκι&ές και αφού οι εγχώριοι πάροχοι δεν ε χαν τη δυνατότητα να ανταποκριθούν (υποστηρ ζεται ότι οι πάροχοι δεν ε χαν αναπτυχθε τόσο ώστε να στέλνουν &ηνύ&ατα σε &εγάλο αριθ&ό παραληπτών) κατέληξαν στους παρόχους εξωτερικού που κοινοπο ησαν στην Αρχή &ε το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/1219/25-02-2014 έγγραφό τους. Η ΡΑΝΝΕΡ έστελνε διαφη&ιστικά δελτ α στους πελάτες της και σε όσους ε χαν εκδηλώσει ενδιαφέρον. Επ σης, υποστηρ ζεται ότι οι εφαρ&ογές λογισ&ικού για τη &αζική αποστολή και την αυτο&ατοποιη&ένη συλλογή διευθύνσεων που βρέθηκαν εγκατεστη&ένες αφορούσαν σε δοκι&αστικές εκδόσεις. Περαιτέρω υποστηρ ζεται ότι η ανάλυση που περιγράφεται στο πόρισ&α περιέχει λανθασ&ένες εκτι&ήσεις των ελεγκτών εξαιτ ας προβλη&ατικών τεχνικών που ακολούθησαν και λαθών επ της ουσ ας. Αναφέρεται ότι η ADD ONE ξεκ νησε να λειτουργε επ ση&α από τον Ιούλιο του 2008 και στην πράξη από τον Σεπτέ&βριο του έτους αυτού, ενώ ε&φαν ζονται αποστολές &ηνυ&άτων από προγενέστερες η&ερο&ην ες. Όσον αφορά στην αποστολή των &ηνυ&άτων του ‘’, υποστηρ ζεται ότι έγινε από την Daimad Ltd (κι όχι την ADD ONE) σε στοχευ&ένη λ στα &ελών του κό&&ατός του. Α&φισβητε ται δε το ότι ο &εγάλος αριθ&ός επιστροφών στα &ηνύ&ατα τεκ&ηριώνει Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -13απουσ α συγκατάθεσης. Όσον αφορά στις εγγραφές 473.352 διευθύνσεων ηλεκτρονικού ταχυδρο&ε ου στους διαδικτυακούς τόπους euexia.gr και plaza.24 υποστηρ ζεται ότι δεν θα ήταν σωστή ενέργεια η εγγραφή τους χωρ ς να το έχουν ζητήσει οι διοι, καθώς, αν ζητούσαν αργότερα να χρησι&οποιήσουν το κατάστη&α, αυτό δε θα ήταν δυνατό, κάτι που επιχειρη&ατικά δεν ε ναι σωστό. ς προς τις καταγγελ ες, υποστηρ ζεται ότι σε κα& α δε φα νεται να έχει σταλε επικοινων α από δική τους διεύθυνση. Επ σης, ότι κάποιοι από τους καταγγέλλοντες ζητούν οι διοι την επικοινων α &έσω σχετικής ανάρτησης της διεύθυνσής τους σε διάφορες ιστοσελ δες. ς προς την αποστολή διαφη&ιστικών FAX, δηλώνουν ότι αυτό έγινε &όνο σε λ στα πελατών της ΡΑΝΝΕΡ στο πλα σιο συνδρο&ητικής υπηρεσ ας πληροφόρησης και &ια φορά σε πελατολόγιο της CompassExpo. Τέλος, για τη διακοπή του ρεύ&ατος, ισχυρ ζονται ότι το ρεύ&α ήταν κο&&ένο και το επανέφερε κατά διαστή&ατα φ λος τους ηλεκτρολόγος. Κατά διαστή&ατα, συνήθως Παρασκευές, ιδιωτικό κινητό συνεργε ο περνούσε και διέκοπτε ξανά την παροχή, κάτι που συνέβη και την η&έρα του ελέγχου. Κατόπιν της δεύτερης ακρόασης στην ολο&έλεια της Αρχής κατά την 05-03-2014 διατυπώθηκαν εγγράφως ερωτή&ατα προς τις εταιρε ες που τους παρεδόθησαν &ε το υπ’ αριθ&. πρωτ. Γ/ΕΞ/1476/05-03-2014 έγγραφο. Συγκεκρι&ένα, ζητήθηκε: 1) Να διευκρινισθε η προέλευση των στοιχε ων του πειστηρ ου Π02 που φα νεται να έχει προέλθει πρωτογενώς από δεδο&ένα που τηρούνται στη Γ.Γ.Π.Σ. 2) Να περιγραφε τι ε δους συ&βάσεις συνεργασ ας υπήρχαν &ε την τράπεζα HSBC, λα&βάνοντας υπόψη ότι όπως διαπιστώθηκε &ε την απόφαση 109/2013 της Αρχής η τράπεζα ισχυρ ζεται ότι λά&βανε δεδο&ένα από τη ΡΑΝΝΕΡ χωρ ς να της αποστέλλει αρχε α. Να προσκο&ισθούν σχετικά αντ γραφα των συ&βάσεων. 3) Όσον αφορά τα στοιχε α των εταιρειών 3Suisses, ΤΙΜ, Eurobank, Pizza Fan και των γεννήσεων από διάφορα &αιευτήρια, να προσκο&ισθούν οι σχετικές συ&βάσεις και κάθε άλλο σχετικό παραστατικό. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -144) Να εξηγηθε η ύπαρξη των &η δη&όσια διαθέσι&ων πληροφοριών (πεδ ων) customer_ref και terminated στους π νακες βάσεων δεδο&ένων του πειστηρ ου Π

1. 5) Να εξηγηθε ποιος έχει κάνει το συνδυασ&ό σε ένα αρχε ο (βάση δεδο&ένων) των στοιχε ων τηλεφώνων και εισοδή&ατος που υπάρχει σε διάφορα πειστήρια. 6) Να εξηγηθε &ε ποια αρχε α, που δεν βρέθηκαν κατά τον έλεγχο, γινόταν η αντιπαραβολή &ε αντ στοιχα στοιχε α άλλου έτους για την εξαγωγή πληροφοριών, σε ποιους ηλεκτρονικούς υπολογιστές γινόταν αυτή η επεξεργασ α, αν υπάρχουν σή&ερα αυτά τα αρχε α και σε ποιο τόπο και αν υπάρχει άλλη υπολογιστική υποδο&ή των εταιρειών, πέραν από αυτή που ελέγχθηκε κατά τις η&έρες του επιτόπιου ελέγχου. Με το υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/1638/12-03-2014 έγγραφό τους οι δύο εταιρε ες δήλωσαν ότι όλα τα στοιχε α των υπ’ αριθ&. 1, 4 και 5 ερωτήσεων τούς παραδόθηκαν ως πελατολόγιο από την τράπεζα HSBC, ενώ δεν ε ναι σε θέση να γνωρ ζουν την έννοια των πεδ ων της ερώτησης
2. Όσον αφορά στη σύ&βαση &ε την HSBC, απαντούν ότι αυτή ε ναι η σύ&βαση που έχει κατατεθε στην Αρχή και αφορά στη συνεργασ α σε επ πεδο παροχής και επεξεργασ ας αρχε ων και δεν χρειάζεται να ανανεώνεται &ε κάθε ανάθεση έργου. Προς απάντηση της υπ’ αριθ&. 3 ερώτησης αναφέρουν ότι για την 3Suisses παρε χαν υπηρεσ ες προς την εταιρε α ΙΛΚΟΣ ΑΕ προσκο& ζοντας 3 ελτ α Αποστολής – Τι&ολόγια των ετών 2001 και
3. Όσον αφορά στην ΤΙΜ, δεν ολοκληρώθηκε η συνεργασ α που αφορούσε σε στοιχε α παλιών πελατών της TELESTET, ενώ όσον αφορά στη Eurobank ζητήθηκε ενη&έρωση πελατολογ ου (δύο τι&ολόγια του 2005 προς τη Eurobank και τη θυγατρική της Open24). Με την Pizza Fan δηλώνουν ότι υπήρχε &ακροχρόνια συνεργασ α &ε παροχή υπηρεσ ας ανταλλακτικού χαρακτήρα, όπως άλλωστε ση&ειώνουν ότι προκύπτει και από το πόρισ&α. Σκοπός ήταν η αποφυγή διπλοεγγραφών στο πελατολόγιό της. Ση&ειώνουν δε ότι οι η&ερο&ην ες που ε&φαν ζονται στα αρχε α αφορούν στην η&ερο&ην α που αποθηκεύθηκαν για να ενταχθούν στο αδρανές αρχε ο της εταιρε ας. Όσον αφορά τα στοιχε α γεννήσεων, υποστηρ ζουν ότι αφορά σε εργασ α για προώθηση παιδικής πάνας από την παλιότερη εταιρε α ΑΡΓΗ Α.Ε. Το αρχε ο αυτό ανήκει επ σης στο αδρανές αρχε ο. Αξ ζει βέβαια στο ση&ε ο αυτό να ση&ειωθε ότι δεν προσκο& ζεται κα& α σχετική Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -15σύ&βαση, παρά &όνο ορισ&ένα τι&ολόγια-δελτ α αποστολής. Τέλος, για την υπ’ αριθ&. 6 ερώτηση επισυνάπτουν φωτοτυπ ες εξωφύλλων των ηλεκτρονικών καταλόγων (CD) του ΟΤΕ από τα έτη 1999 και
4. Κατά την εξέταση της υπόθεσης η Αρχή προχώρησε σε αποστολή εγγράφων ερωτη&άτων και διενέργεια διοικητικών ελέγχων προς συγκεκρι&ένους πελάτες των εταιρειών ΡΑΝΝΕΡ και ADD ONE για τους οπο ους βρέθηκαν τι&ολόγια (για τα έτη 2011 και 2012) κατά τον έλεγχο. Με απαντήσεις τους οι Acoustica Medica, (Γ/ΕΙΣ/2020/20-03-2013), ΚΕΝΤΡ (διάδοχος της ENERGA - Γ/ΕΙΣ/2083/21-03-2013), ‘Ρ’ (Γ/ΕΙΣ/2212/28-03-2013) και OTIS (Γ/ΕΙΣ/2496/09-04-2013) επιβεβαιώνουν την αγορά αρχε ων &ε προσωπικά δεδο&ένα από τη ΡΑΝΝΕΡ. Η ‘Ζ’ και Σια Ο.Ε. &ε το υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/1710/14-03-2014 υπό&νη&ά της, &ετά την υπ’ αριθ&. πρωτ. Γ/ΕΞ/8170/24-12-2013 κλήση σε ακρόαση από την Αρχή, παραδέχθηκε τη συνεργασ α της &ε τη ΡΑΝΝΕΡ και την τι&ολόγηση των υπηρεσιών &έσω Daimad. Η δια σε αρχικό ερώτη&α της Αρχής (Γ/ΕΞ/1639/05-03-2013) ε χε απαντήσει, &ε το υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/2258/29-03-2013 έγγραφο, ότι τα στοιχε α ήταν &όνο στατιστικά, κατόπιν σχετικής υπόδειξης της ΡΑΝΝΕΡ, όπως ανέφερε κατά τη συνεδρ αση της Αρχής στις 2602-
5. Αντ στοιχα, η ‘’ &ε το Γ/ΕΙΣ/1825/20-03-2014 απαντητικό της υπό&νη&α, &ετά την υπ’ αριθ&. πρωτ. Γ/ΕΞ/8173/24-12-2013 κλήση σε ακρόαση από την Αρχή, παραδέχθηκε ότι ορισ&ένες φορές ζητήθηκε να χορηγηθούν πληροφορ ες νο&ικών και φυσικών προσώπων &ε βάση κριτήρια (&εταξύ των οπο ων και οικονο&ικά), τα οπο α έθεταν δικο της πελάτες της. Και σε αυτή την περ πτωση, η ‘’ ε χε αρχικά απαντήσει &ε το Γ/ΕΙΣ/1966/15-3-2013 έγγραφό της, κατόπιν της υπ’ αριθ&. πρωτ. Γ/ΕΞ/1638/05-032013 επιστολής της Αρχής, ότι ε χε συνεργαστε για έρευνα της τούρκικης επιχειρη&ατικής αγοράς. Με το υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/1826/20-03-2014 απαντητικό της υπό&νη&α, &ετά την υπ’ αριθ&. πρωτ. Γ/ΕΞ/8166/24-12-2013 κλήση σε ακρόαση από την Αρχή, η εταιρε α Infoassist αν και, συνοπτικά, υποστηρ ζει ότι δεν πραγ&ατοποιούσε προς τη ΡΑΝΝΕΡ ειδικότερα ερωτή&ατα &ε βάση κριτήρια, ιδ ως οικονο&ικά, παραδέχεται ότι έλαβε Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -16στοιχε α υποψηφ ων πελατών, ήτοι αποκλειστικά ονο&ατεπώνυ&ο, περιοχή και τηλεφωνικό αριθ&ό. Με το υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/439/22-01-2014 απαντητικό της υπό&νη&α, &ετά την υπ’ αριθ&. πρωτ. Γ/ΕΞ/8174/24-12-2013 κλήση σε ακρόαση από την Αρχή, η εταιρε α PARAMOUNT A.E. ΙΑΦΗΜΙΣΤΙΚΗ ΕΤΑΙΡΕΙΑ, παραδέχεται τη συνεργασ α της &ε την εταιρε α ΡΑΝΝΕΡ, η οπο α, όπως υποστηρ ζει, διαφή&ιζε και διαβεβα ωνε ότι διαθέτει νό&ι&ες και έγκυρες βάσεις δεδο&ένων &ε τη δυνατότητα «φιλτραρ σ&ατος» προκει&ένου να εξυπηρετηθούν στοχευ&ένες ανάγκες διαφή&ισης. Η εταιρε α MANDARINI Α.Ε., &ε το υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/1307/25-02-2014 υπό&νη&ά της &ετά την υπ’ αριθ&. πρωτ. Γ/ΕΞ/8164/13-01-2014 κλήση σε ακρόαση από την Αρχή, παραδέχθηκε τη συνεργασ α της &ε τη ΡΑΝΝΕΡ προσκο& ζοντας και σχετικό τι&ολόγιο-δελτ ο αποστολής ύψους 1400 Ευρώ πλέον ΦΠΑ. Όσον αφορά στα αποτελέσ&ατα των ελέγχων, αυτο επικεντρώθηκαν στις περιπτώσεις της Τράπεζα HSBC BANK PLC Ελλάδος, της Πειραιώς Direct Services, και τέλος της Τράπεζας Eurobank Ergasias A.E. και της θυγατρικής της Eurobank Υπηρεσ ες Προώθησης και ιαχε ρισης Προϊόντων Καταναλωτικής και Στεγαστικής Π στης Α.Ε. Τα αποτελέσ&ατα των δύο πρώτων ελέγχων έχουν ήδη περιγραφε και κατέληξαν σε αποφάσεις της Αρχής. Πιο συγκεκρι&ένα, &ε την υπ’ αριθ&. 109/2013 απόφαση η Αρχή επέβαλε την κύρωση του προστ &ου στην Τράπεζα HSBC BANK PLC Ελλάδος, αναγνωρ ζοντας, &εταξύ άλλων, ότι έλαβε από τη ΡΑΝΝΕΡ προσωπικά δεδο&ένα που δεν προέρχονται από πηγές δη&όσια προσβάσι&ες που προορ ζονται για την παροχή πληροφοριών στο ευρύ κοινό, ενώ ούτε τα δια τα υποκε &ενα, επ δοξοι πελάτες, ε χαν δη&οσιοποιήσει τα δεδο&ένα τους για συναφε ς σκοπούς. Με την υπ’ αριθ&. 86/2013 απόφαση η Αρχή διαπ στωσε ότι η επεξεργασ α αρχε ου &ε δεδο&ένα προσωπικού χαρακτήρα που πραγ&ατοπο ησε η εταιρε α «Πειραιώς Direct Services AE» αφορά σε στοιχε α που δεν ανήκαν στον ενοποιη&ένο, δη&όσια προσβάσι&ο κατάλογο του ΟΤΕ και ζήτησε την καταστροφή του αρχε ου. Το αρχε ο αυτό ε χε προέλθει από τη ΡΑΝΝΕΡ. Τέλος, κλι&άκιο ελεγκτών της Αρχής, κατόπιν των υπ’ αριθ&. πρωτ. Γ/ΕΞ/2581/11-042013 και Γ/ΕΞ/2580/11-04-2013 εντολών ελέγχου, πραγ&ατοπο ησε έλεγχο στις εταιρε ες Eurobank Υπηρεσ ες Προώθησης και ιαχε ρισης Προϊόντων Καταναλωτικής Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -17και Στεγαστικής Π στης Α.Ε. και Eurobank Ergasias A.E. Σκοπός του ελέγχου αυτού ήταν να διερευνηθε τυχόν περιστατικό παραβ ασης προσωπικών δεδο&ένων που αφορά στην κατοχή από την εταιρε α ΡΑΝΝΕΡ του αρχε ου &ε στοιχε α πιστωτικών καρτών. Από τον έλεγχο (βλ. υπ’ αριθ&. πρωτ. πρακτικό ελέγχου Γ/ΕΞ/3314-1/27-05-2013 και την υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/3829/05-06-2013 απάντηση της Τράπεζας) προέκυψε ότι δεν υπήρξε συναλλαγή ή σύ&βαση &ε την εταιρε α ΡΑΝΝΕΡ πέραν από &ια πληρω&ή ποσού 305 ευρώ &ε τι&ολόγιο, για ενέργειες προβολής και διαφή&ισης κατά την έναρξη λειτουργ ας ενός υποκαταστή&ατος της Τράπεζας το
6. Επ σης, κατόπιν ερωτη&άτων προς την Ε.Ε.Τ.Τ., η Αρχή ενη&ερώθηκε για την η&ερο&ην α καταχώρισης των ονο&άτων χώρου των υπό έλεγχο εταιρειών τα οπο α έχουν ως εξής: runner.net.gr: 17-03-2006 (Γ/ΕΙΣ/6115/26-09-2012), ecohealth.gr: 06-112007 (Γ/ΕΙΣ/6123/26-09-2012), plaza24.gr: 13-02-2008 (Γ/ΕΙΣ/6127/26-09-2012), plaza25: 13-02-2008 (Γ/ΕΙΣ/6128/26-09-2012), euexia.gr: 29-05-2007 (Γ/ΕΙΣ/6126/2609-2012). Η Αρχή, &ετά από εξέταση των προαναφερθέντων στοιχε ων του φακέλου της υπόθεσης και αναφορά στα δια&ειφθέντα των συνεδριάσεων της 05-02-2014 και της 0503-2014, άκουσε τον εισηγητή και τους βοηθούς εισηγητή, οι οπο οι στη συνέχεια αποχώρησαν, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΘΗΚΕ ΣΥΜΦΝΑ ΜΕ ΤΟ ΝΟΜΟ
7. Σύ&φωνα &ε το άρθρο 4, παρ. 1 του ν. 2472/1997, τα δεδο&ένα προσωπικού χαρακτήρα για να τύχουν νό&ι&ης επεξεργασ ας πρέπει να συλλέγονται κατά τρόπο θε&ιτό και νό&ι&ο για καθορισ&ένους, σαφε ς και νό&ι&ους σκοπούς και να υφ στανται θε&ιτή και νό&ι&η επεξεργασ α ενόψει των σκοπών αυτών. Επ σης, στο διο άρθρο αναφέρεται ότι τα δεδο&ένα θα πρέπει να ε ναι συναφή, πρόσφορα, και όχι περισσότερα από όσα κάθε φορά απαιτε ται εν όψει των σκοπών επεξεργασ ας (αρχή της αναλογικότητας).
8. Περαιτέρω, σύ&φωνα &ε το άρθρο 5 παρ. 1 του ν. 2472/1997, η επεξεργασ α δεδο&ένων προσωπικού χαρακτήρα επιτρέπεται &όνο όταν το υποκε &ενο έχει δώσει τη Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -18συγκατάθεσή του, εκτός εάν συντρέχει & α από τις προβλεπό&ενες από την παράγραφο 2 του ιδ ου άρθρου εξαιρέσεις, οπότε ε ναι νό&ι&η η επεξεργασ α και χωρ ς τη συγκατάθεση του υποκει&ένου. Ση&ειώνεται ότι, σύ&φωνα &ε το αρ. 2 του ν. 2472/1997, ως συγκατάθεση νοε ται «κάθε ελεύθερη, ρητή και ειδική δήλωση βουλήσεως που εκφράζεται &ε τρόπο σαφή, και εν πλήρη επιγνώσει, και &ε την οπο α, το υποκε &ενο των δεδο&ένων, αφού προηγου&ένως ενη&ερωθε , δέχεται να αποτελέσουν αντικε &ενο της επεξεργασ ας τα δεδο&ένα προσωπικού χαρακτήρα που το αφορούν». Για τη συγκεκρι&ένη επεξεργασ α, το σύννο&ο της επεξεργασ ας χωρ ς συγκατάθεση κρ νεται &ε βάση τη διάταξη του άρθρου 5 παρ. 2 στοιχ. ε) του ν. 2472/1997, αφού δεν συντρέχει άλλος λόγος επεξεργασ ας από όσους αναφέρονται στο διο άρθρο. Σύ&φωνα &ε την εν λόγω διάταξη, κατ’ εξα ρεση επιτρέπεται η επεξεργασ α και χωρ ς συγκατάθεση όταν «η επεξεργασ α ε ναι απολύτως αναγκα α για την ικανοπο ηση του έννο&ου συ&φέροντος που επιδιώκει ο υπεύθυνος επεξεργασ ας (…), και υπό τον όρο ότι τούτο υπερέχει προφανώς των δικαιω&άτων και συ&φερόντων των προσώπων στα οπο α αναφέρονται τα δεδο&ένα και δεν θ γονται οι θε&ελιώδεις ελευθερ ες αυτών».
9. Ειδικότερα, αναφορικά &ε τους όρους για τη νό&ι&η επεξεργασ α δεδο&ένων προσωπικού χαρακτήρα για σκοπούς της ά&εσης ε&πορ ας ή διαφή&ισης, η Αρχή στη &ε αρ. 26/2004 Απόφαση-Οδηγ α για τη «νό&ι&η επεξεργασ α δεδο&ένων προσωπικού χαρακτήρα για τους σκοπούς της ά&εσης ε&πορ ας ή διαφή&ισης και της διαπ στωσης πιστοληπτικής ικανότητας» ρύθ&ισε το σχετικό ζήτη&α. Η Αρχή αναγνωρ ζει την απευθε ας προώθηση ως νό&ι&η δραστηριότητα στο πλα σιο του δικαιώ&ατος της ελεύθερης ανάπτυξης οικονο&ικών δραστηριοτήτων και γενικότερα του δικαιώ&ατος της ελεύθερης ανάπτυξης της προσωπικότητας. Αυτό θε&ελιώνεται από την επιλογή τόσο του ενωσιακού όσο και του εθνικού νο&οθέτη να προβλέπει το δικα ω&α αντ ρρησης σε τέτοιες δραστηριότητες και όχι να τις απαγορεύει. στόσο, στη βάση της γενικής θεωρ ας της ορθής ισορροπ ας των αντικρουό&ενων ατο&ικών δικαιω&άτων (δικα ω&α της προσωπικότητας και δικα ω&α προστασ ας προσωπικών δεδο&ένων) καθορ ζονται οι κανόνες για τη νό&ι&η συλλογή και χρήση των προσωπικών δεδο&ένων. Σε αυτό το πλα σιο, η συλλογή και χρήση προσωπικών δεδο&ένων για τον σκοπό της απευθε ας προώθησης επιτρέπεται: α) &ε τη συγκατάθεση του υποκει&ένου των Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -19δεδο&ένων) ή β) χωρ ς τη συγκατάθεση του υποκει&ένου όταν τα δεδο&ένα συλλέγονται από αα) δη&όσιους καταλόγους (π.χ. τηλεφωνικούς καταλόγους συνδρο&ητών, επαγγελ&ατικούς καταλόγους όπως ο Χρυσός Οδηγός, καταλόγους ε&πορικών εκθέσεων ή το νέο γενικό ε&πορικό &ητρώο για εταιρε ες και ε&πόρους), ή ββ) όταν το διο το υποκε &ενο των δεδο&ένων δη&οσιοπο ησε τα δεδο&ένα του για συναφε ς σκοπούς ή γγ) βάσει της πελατειακής σχέσης ή συναλλακτικής επαφής. Τα δεδο&ένα που συλλέγονται για τους προαναφερθέντες σκοπούς &πορούν να περιλα&βάνουν &όνο όνο&α, ταχυδρο&ική διεύθυνση και επάγγελ&α.
10. Στο άρθρο 2 παρ. β του ν. 2472/1997 ως “Ευα σθητα δεδο&ένα”, τα δεδο&ένα που αφορούν στη φυλετική ή εθνική προέλευση, στα πολιτικά φρονή&ατα, στις θρησκευτικές ή φιλοσοφικές πεποιθήσεις, στη συ&&ετοχή σε συνδικαλιστική οργάνωση, στην υγε α, στην κοινωνική πρόνοια και στην ερωτική ζωή, στα σχετικά &ε ποινικές διώξεις ή καταδ κες, καθώς και στη συ&&ετοχή σε συναφε ς &ε τα ανωτέρω ενώσεις προσώπων. Σύ&φωνα &ε το άρθρο 7 του ιδ ου νό&ου, η επεξεργασ α ευα σθητων δεδο&ένων επιτρέπεται &όνο κατ’ εξα ρεση ύστερα από άδεια της Αρχής, όταν συντρέχουν & α ή περισσότερες από τις προϋποθέσεις που περιγράφονται στην παρ. 2 του άρθρου αυτού. Σε σχέση &ε τους σκοπούς προώθησης προϊόντων και υπηρεσιών επεξεργασ α ευα σθητων δεδο&ένων &πορε να γ νει &όνο &ε συγκατάθεση των υποκει&ένων των δεδο&ένων.
11. Όταν για τον σκοπό της απευθε ας ε&πορικής προώθησης προϊόντων και υπηρεσιών για διαφη&ιστικούς σκοπούς γ νεται χρήση ηλεκτρονικών &έσων, τυγχάνει εφαρ&ογής το ειδικότερο άρθρο 11 ν. 3471/2006 για την προστασ α των προσωπικών δεδο&ένων στις ηλεκτρονικές επικοινων ες. Ειδικότερα, σύ&φωνα &ε την παρ. 1 του παραπάνω άρθρου, «η χρησι π ίηση αυτόατων συστηάτων κλήσης, ιδίως ε χρήση συσκευών τηλε  ι τυπίας (φαξ) ή ηλεκτρ νικ ύ ταχυδρ εί υ, και γενικότερα η πραγατ π ίηση η ζητηθεισών επικ ινωνιών ε π ι δήπ τε έσ ηλεκτρ νικής επικ ινωνίας χωρίς ανθρώπινη παρέβαση, για σκ π ύς απευθείας επ ρικής πρ ώθησης πρ ϊόντων ή υπηρεσιών και για κάθε είδ υς διαφηιστικ ύς σκ π ύς, επιτρέπεται όν αν συνδρ ητής συγκατατεθεί εκ των πρ τέρων ρητώς». Η Αρχή δε &ε την Οδηγ α 2/2010 για την ηλεκτρονική συγκατάθεση περιγράφει αναλυτικά τις προϋποθέσεις και τους Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -20τρόπους νό&ι&ης λήψης της συγκατάθεσης &ε ηλεκτρονικά &έσα για τους σκοπούς της ανωτέρω διάταξης. Μοναδική εξα ρεση στην υποχρέωση λήψης προηγού&ενης συγκατάθεσης αποτελε , σύ&φωνα &ε την παρ. 3 του διου άρθρου, η περ πτωση κατά την οπο α τα στοιχε α επαφής ηλεκτρονικού ταχυδρο&ε ου αποκτήθηκαν νο& &ως, στο πλα σιο της πώλησης προϊόντων ή υπηρεσιών ή άλλης συναλλαγής και χρησι&οποιούνται για την απευθε ας προώθηση παρό&οιων προϊόντων ή υπηρεσιών του προ&ηθευτή ή για την εξυπηρέτηση παρό&οιων σκοπών και υπό τις λοιπές προϋποθέσεις που θέτει η συγκεκρι&ένη παράγραφος. Επιση&α νεται ότι τα παραπάνω, σύ&φωνα &ε την παρ. 7 του άρθρου 11 ν. 3471/2006, ισχύουν και για παραλήπτες &ηνυ&άτων ηλεκτρονικού ταχυδρο&ε ου που ε ναι νο&ικά πρόσωπα.
12. Από τα στοιχε α του φακέλου προκύπτει ότι η ΡΑΝΝΕΡ τηρούσε (και άρα και επεξεργαζόταν, καθώς και &όνο η τήρηση αρχε ου αποτελε ήδη επεξεργασ α) αρχε α &ε προσωπικά δεδο&ένα, χωρ ς τη συγκατάθεση των υποκει&ένων. Συγκεκρι&ένα, από τα αρχε α που βρέθηκαν στην κατοχή της εταιρε ας &όνο το αρχε ο των &ελών του κό&&ατος ΠΑΣΟΚ &πορε να θεωρηθε ότι δεν τηρε ται για λογαριασ&ό της εταιρε ας αυτής, αλλά αποτελε προσωπικό αρχε ο του διαχειριστή των ελεγχο&ένων εταιρειών κ. ‘Α’. Για τα λοιπά αρχε α, τα επιχειρή&ατα που αναπτύσσονται στα υπο&νή&ατα, όσον αφορά στη νό&ι&η τήρησή τους, δεν &πορούν να γ νουν δεκτά. Ειδικότερα, το βασικό επιχε ρη&α της ΡΑΝΝΕΡ ε ναι ότι τα αρχε α &ε τα δεδο&ένα των φορολογικών δηλώσεων και τα δεδο&ένα που προέρχονται από τον πάροχο ΟΤΕ &ε τα σχετικά στοιχε α συνδρο&ητών (π.χ. κωδικούς πεδ ων customer_ref και terminated) αποτελούν πελατολόγιο της τράπεζας HSBC. Ε ναι ό&ως αποδεδειγ&ένο τόσο από τα πειστήρια του ελέγχου των ΡΑΝΝΕΡ και AddOne, όσο και από τον έλεγχο στην HSBC, ότι η τράπεζα ζητούσε στοιχε α από τη ΡΑΝΝΕΡ και ποτέ δεν της χορήγησε στοιχε α, όπως αυτά που αναφέρονται στο υπό&νη&α. Η ύπαρξη στα αρχε α αυτά δεδο&ένων που προέρχονται από &η δη&όσια προσβάσι&ες πηγές (όπως φορολογικά δεδο&ένα ΓΓΠΣ και κωδικο συνδρο&ητών παρόχων), δεν αφήνει περιθώριο α&φισβήτησης ότι τα δεδο&ένα αυτά όχι &όνο τηρούνται παρανό&ως, αλλά έχουν προέλθει και &ε παράνο&ο τρόπο, ο οπο ος &άλιστα χρήζει περαιτέρω διερεύνησης. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -21Επιπλέον, για κα& α από τις άλλες περιπτώσεις κατοχής αρχε ων από αυτά που περιγράφονται στο υπ’ αριθ&. 1 ση&ε ο του ιστορικού δεν προσκό&ισε η ΡΑΝΝΕΡ σύ&βαση ανάθεσης επεξεργασ ας, από την οπο α να προκύπτει ότι εκτελε εργασ α επ του πελατολογ ου, από την οπο α θα δικαιολογε το η τήρηση και επεξεργασ α του αρχε ου. Ακό&α και για την περ πτωση της 3Suisses, όπου ενδέχεται το προσκο&ισθέν τι&ολόγιο να αφορά σε εργασ α επ του πελατολογ ου της εταιρε ας ΙΛΚΟΣ, τα αρχε α πελατών θα έπρεπε να έχουν καταστραφε &ετά τη λήξη της επεξεργασ ας, πολλά έτη πριν από τη διενέργεια του ελέγχου. Συνεπώς, το αρχε ο τηρε ται παρανό&ως, ακό&α κι αν παραβλεφθε το γεγονός της απουσ ας σύ&βασης, κάτι που θα βάρυνε την αναθέτουσα την επεξεργασ α εταιρε α. Όσον αφορά στα αρχε α εκλογικών καταλόγων ενδέχεται πράγ&ατι να προέρχονται από εκτέλεση εργασ ας για λογαριασ&ό πελάτη κατά την προεκλογική περ οδο, αλλά θα έπρεπε επ σης να έχουν διατηρηθε &όνο για όσο χρονικό διάστη&α ε ναι απαρα τητο και να καταστραφούν &ετά τη λήξη της εκλογικής περιόδου. Όσον αφορά στην εταιρε α Pizza Fan, ε ναι σαφές από τα στοιχε α του πορ σ&ατος ότι υπήρξε συνεργασ α των δύο εταιρειών για σκοπούς προώθησης προϊόντων και υπηρεσιών, έστω και χωρ ς ά&εσο χρη&ατικό αντ τι&ο αλλά &ε «ανταλλαγή υπηρεσιών», αλλά η ΡΑΝΝΕΡ συνεχ ζει να τηρε τα αρχε α αυτά και &ετά το τέλος της συνεργασ ας αυτής, συνεπώς παράνο&α. Όσον αφορά στα στοιχε α γεννήσεων της δεκαετ ας του 1990, αν και αφορούν σε παλιότερα έτη, συνέχισαν να τηρούνται στο αρχε ο της ΡΑΝΝΕΡ. Τα δεδο&ένα αυτά δεν &πορε να έχουν προέλθει από δη&όσια προσβάσι&η πηγή, και επιπλέον, καθώς δεν τηρε ται για αυτά πληροφορ α για τη συγκατάθεση, τηρούνται άνευ συγκατάθεσης των υποκει&ένων και άρα παρανό&ως. Για την εταιρε α TIM (νυν Wind) πέραν του γεγονότος ότι δεν υπάρχει σύ&βαση ανάθεσης επεξεργασ ας, ακό&α κι αν γ νει δεκτός ο ισχυρισ&ός ότι τα δεδο&ένα χορηγήθηκαν από την εταιρε α TIM, αυτά θα έπρεπε να έχουν καταστραφε ά&εσα, από τη στιγ&ή που δεν πραγ&ατοποιήθηκε η ενέργεια. Αντ θετα, τα στοιχε α &εταδεδο&ένων του αρχε ου (π.χ. στοιχε α συντάκτη) αποδεικνύουν ότι το αρχε ο αυτό έχει τύχει Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -22περαιτέρω επεξεργασ ας από το διο φυσικό πρόσωπο που επεξεργάστηκε και τα αρχε α οικονο&ικών δεδο&ένων. Όσον αφορά στα στοιχε α της Τράπεζας Eurobank, αυτά δεν &πορε να σχετ ζονται &ε τα τι&ολόγια τα οπο α χρονολογούνται από το 2005, όπως ισχυρ ζεται η ΡΑΝΝΕΡ, γεγονός που επιβεβαιώθηκε και από τα ευρή&ατα του ελέγχου στην Τράπεζα Eurobank-Εργασ ας, όπου αποδε χθηκε ότι το τι&ολόγιο αυτό αφορούσε σε ενέργειες προβολής και διαφή&ισης υποκαταστή&ατος. Άλλωστε, ακό&α και η η&ερο&ην α τελευτα ας επεξεργασ ας του αρχε ου βάσης δεδο&ένων (και όχι δη&ιουργ ας του CD όπως αναφέρεται στο υπό&νη&α των εταιρειών) ανάγεται στο 2006, δηλαδή σε χρόνο &εταγενέστερο των τι&ολογ ων. Τέλος, όσον αφορά στο αρχε ο συνδρο&ητών τηλεφων ας που βρέθηκε στην εταιρε α ΠΕΙΡΑΙΣ DIRECT SERVICES, το συγκεκρι&ένο αρχε ο δεν ταυτ ζεται &ε τον ενια ο κατάλογο συνδρο&ητών αλλά δη&ιουργήθηκε &έσω συσχέτισης &ε άλλα δεδο&ένα, τα οπο α δεν προέρχονται από δη&όσια προσβάσι&η πηγή. Συνεπώς, η ΡΑΝΝΕΡ τηρε πολλά και διαφορετικά αρχε α &ε δεδο&ένα προσωπικού χαρακτήρα, για εξαιρετικά &εγάλο αριθ&ό φυσικών προσώπων (της τάξης των εκατο&&υρ ων φυσικών προσώπων σε πολλές περιπτώσεις), χωρ ς συγκατάθεση των υποκει&ένων της επεξεργασ ας, τα οπο α δεν προέρχονται από δη&όσια προσβάσι&ες πηγές και τα οπο α περιέχουν τόσο απλά όσο και ευα σθητα δεδο&ένα, όπως αυτά που αφορούν στους κωδικούς της δήλωσης φορολογ ας εισοδή&ατος για την ιδιότητα του ΑΜΕΑ. 7α. Επιπλέον, όπως προκύπτει από την εξέταση του φακέλου της υπόθεσης η ΡΑΝΝΕΡ προχωρούσε και σε περαιτέρω επεξεργασ α των δεδο&ένων που ε χε στην κατοχή της για την απάντηση ερωτη&άτων των πελατών της. Τα στοιχε α που παρουσιάζονται στο πόρισ&α και οι απαντήσεις των συνεργαζο&ένων &ε τη ΡΑΝΝΕΡ εταιρειών δεν αφήνουν κα& α α&φιβολ α ότι η ΡΑΝΝΕΡ προχωρούσε σε διασταυρώσεις και εξειδικευ&ένες αναζητήσεις προσωπικών δεδο&ένων στα αρχε α που κατε χε. Οι πελάτες της ΡΑΝΝΕΡ ζητούσαν αρχε α &ε βάση συγκεκρι&ένα κριτήρια κάθε φορά, όπως αυτά που έχουν περιγραφε , και η ΡΑΝΝΕΡ επεξεργαζόταν τα αρχε α που ε χε στην κατοχή της για να απαντήσει στα ερωτή&ατα αυτά, παραδ δοντας τελικά στοιχε α Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -23επικοινων ας. Στις δε περιπτώσεις που ζητούνται στοιχε α επιχειρήσεων, στα παραδιδό&ενα στοιχε α δεν γ νεται διάκριση &εταξύ φυσικών και νο&ικών προσώπων. Η Αρχή εξετάζοντας τις διευκριν σεις που παρε χε η ΡΑΝΝΕΡ &ε τα υπο&νή&ατά της κρ νει &η ικανοποιητικές τις απαντήσεις της για τα δεδο&ένα που χορήγησε σε τρ τους. Συγκεκρι&ένα, όταν το αρχε ο που παραδ δεται περιλα&βάνει στατιστικά στοιχε α κι όχι προσωπικά δεδο&ένα (π.χ. ‘Γ’), ε ναι βέβαιο ότι τα στατιστικά αυτά στοιχε α έχουν προέλθει από επεξεργασ α των διαθέσι&ων στη ΡΑΝΝΕΡ αρχε ων &ε προσωπικά δεδο&ένα. Το επιχε ρη&α της ΡΑΝΝΕΡ ότι δεν προκύπτει από το πόρισ&α ποια συναλλαγή έχει γ νει κάθε φορά στις περιπτώσεις των ‘’, Infoassist και Paramount δεν γ νεται δεκτό, καθώς από τα στοιχε α του φακέλου και τις απαντήσεις των εταιρειών όπως περιγράφονται στο ιστορικό της υπόθεσης ε ναι ε&φανές ότι λά&βαναν αρχε α &ε προσωπικά δεδο&ένα που δη&ιουργούνταν &ε βάση συγκεκρι&ένα κριτήρια, όπως εισόδη&α, επάγγελ&α και περιοχή κατοικ ας. Από τις περιπτώσεις που η ΡΑΝΝΕΡ δηλώνει ότι η συνεργασ α έ&εινε στο στάδιο της προσφοράς, η συνεργασ α &ε τις Mandarini, ΡΙΕΤ και Proximity ZZ επιβεβαιώνεται πλήρως από τα στοιχε α του φακέλου και τα εκτιθέ&ενα στο ιστορικό. Από τις περιπτώσεις που η ΡΑΝΝΕΡ δηλώνει ότι το αρχε ο που παρεδόθη στις εταιρε ες περιε χε δεδο&ένα επαγγέλ&ατος ή περιοχής που προέρχονται από δη&όσιους καταλόγους, ενώ οι πληροφορ ες για το ΑΦΜ και τα λοιπά στοιχε α επιχειρήσεων προέρχονται από το ΓΕΜΗ, τα ευρή&ατα του ελέγχου δεν επαληθεύουν τις εξηγήσεις της ΡΑΝΝΕΡ. Συγκεκρι&ένα, από την ΚΤΕΟ HELLAS έχουν ζητηθε 81.000 ονό&ατα που σχετ ζονται &ε οχή&ατα, η Γραφοτυπική ζητά στοιχε α φυσικών προσώπων &ε κριτήρια ηλικ α, φύλλο, επάγγελ&α, περιοχή, άνθρωποι &ε &έσο και ανώτερο οικονο&ικό επ πεδο, η ‘Χ’ και ΣΙΑ ΟΕ στοιχε α ιδιοκτητών οικιών &ε ε&βαδόν πάνω από 180 τ&, ο ‘Ψ’ αρχε ο &ε 11.256 αριθ&ούς κινητών τηλεφώνων, ενώ σχετικά &ε την Energa, η διάδοχός της εταιρε α ΚΕΝΤΡ επιβεβα ωσε την αγορά αρχε ων &ε προσωπικά δεδο&ένα. Τέλος, το εύρη&α σχετικά &ε την Εκκλησ α της Σαΐντεολογ ας αφορά στη δραστηριότητα της Daimad. Στις περιπτώσεις που η ΡΑΝΝΕΡ επικαλε ται ότι η εργασ α που επιτελέσθηκε Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -24αφορούσε σε επικαιροπο ηση ή διόρθωση στοιχε ων πελατολογ ου, από τον έλεγχο, όπως έχει ήδη εξηγηθε , επιβεβαιώνεται ότι η ΡΑΝΝΕΡ διασταυρώνει τα στοιχε α πελατολογ ου που της διαβ βαζαν &ε προσωπικά δεδο&ένα συλλεχθέντα από &η νό&ι&ες πηγές. Στη δε περ πτωση της alarm.gr (‘Υ’ Ο.Ε.), τα στοιχε α ακινήτων δεν &πορε να προέρχονται από τη βάση δεδο&ένων που τηρε η ΡΑΝΝΕΡ για πλειστηριασ&ούς, καθώς σε αυτή περιέχονται στοιχε α όσων επιθυ&ούν να πουλήσουν τα ακ νητα, όχι βέβαια των αγοραστών τους και φυσικά όχι προσώπων που επιθυ&ούν να επενδύσουν στην ασφάλειά τους &ε αγορά συστη&άτων προστασ ας, όπως προκύπτει από τα στοιχε α του φακέλου. Τέλος, οι περιπτώσεις των Humminbgird, ΙΕΚ AKMH, ΡΙΕΤ και Techniclean αφορούν στην Daimad Ltd και δεν εξετάζονται στην παρούσα απόφαση. Συνεπώς, η Αρχή δέχεται τα ευρή&ατα του πορ σ&ατος του ελέγχου όπως καταγράφονται στο ιστορικό, καθώς προκύπτει ότι η ΡΑΝΝΕΡ επεξεργάστηκε και απάντησε σε σχετικά αιτή&ατα πελατών της για χορήγηση δεδο&ένων προσωπικού χαρακτήρα που σχετ ζονται: α) &ε δεδο&ένα εισοδή&ατος φυσικών προσώπων σε τουλάχιστον πέντε

(5)περιπτώσεις, β) &ε δεδο&ένα επαγγέλ&ατος φυσικών προσώπων σε τουλάχιστον ε κοσι

(20)περιπτώσεις, γ) &ε δεδο&ένα περιοχής κατοικ ας φυσικών προσώπων σε τουλάχιστον οκτώ

(8)περιπτώσεις, δ) &ε λοιπά προσωπικά δεδο&ένα φυσικών προσώπων (π.χ. ΑΦΜ, ηλικ α, φύλο, κατοχή αυτοκινήτου, τέκνων, κλπ) σε τουλάχιστον δεκαεπτά

(17)περιπτώσεις. Από τα λοιπά ευρή&ατα, επ σης, προκύπτει ότι η δραστηριότητα της ΡΑΝΝΕΡ δεν περιορ στηκε &όνο στις παραπάνω περιπτώσεις, για τις οπο ες αποδεικνύεται η χορήγηση δεδο&ένων, αλλά ήταν διαρκής και αποτελούσε το κύριο αντικε &ενο της εταιρε ας. 7β. Συνεπώς, προκύπτει ότι η ΡΑΝΝΕΡ ως υπεύθυνος επεξεργασ ας τήρησε σε αρχε ο και επεξεργάστηκε για δικούς της οικονο&ικούς σκοπούς λ στες &ε παρανό&ως συλλεχθέντα προσωπικά δεδο&ένα και παραβ ασε τις διατάξεις του άρθρου 4 για τη νο&ι&ότητα κάθε συλλογής δεδο&ένων προσωπικού χαρακτήρα, καθώς επ σης και τις διατάξεις του άρθρου 5 του ν. 2472/1997 και τις διατάξεις του άρθρου 7 όσον αφορά την επεξεργασ α ευα σθητων δεδο&ένων. Ο σκοπός της προώθησης προϊόντων και υπηρεσιών σε δυνητικούς πελάτες ε ναι Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -25καθορισ&ένος, σαφής και νό&ι&ος. στόσο, οι πληροφορ ες που η ΡΑΝΝΕΡ επεξεργάζεται (τηρε και χρησι&οποιε για την απάντηση ερωτη&άτων) δεν &πορε να προκύψουν από δη&όσια προσβάσι&ες πηγές που προορ ζονται για την παροχή πληροφοριών στο ευρύ κοινό. Από όλα τα στοιχε α του φακέλου προκύπτει ότι δεν ε χε ληφθε η συγκατάθεση των υποκει&ένων των δεδο&ένων για την εν λόγω συλλογή δεδο&ένων, ενώ ούτε τα δια τα υποκε &ενα ε χαν δη&οσιοποιήσει τα δεδο&ένα τους για συναφε ς σκοπούς, και αυτά ήταν εις γνώσιν της εταιρε ας ΡΑΝΝΕΡ. Για δε τα ευα σθητα δεδο&ένα, δεν υπήρχε συγκατάθεση των υποκει&ένων της επεξεργασ ας ούτε άδεια της Αρχής.

1. Επιπλέον, όπως προκύπτει από τα στοιχε α του φακέλου, τόσο η ΡΑΝΝΕΡ όσο και η ADD ONE πραγ&ατοποιούσαν συλλογή διευθύνσεων ηλεκτρονικού ταχυδρο&ε ου και περαιτέρω χρήση τους για τον σκοπό της απευθε ας ε&πορικής προώθησης και διαφή&ισης &έσω αποστολής &ηνυ&άτων ηλεκτρονικού ταχυδρο&ε ου. ιαπιστώθηκε αποστολή &ηνυ&άτων ηλεκτρονικού ταχυδρο&ε ου σε πολύ &εγάλο αριθ&ό παραληπτών και σε πολλαπλές περιπτώσεις για τη διαφή&ιση των υπηρεσιών των δύο εταιρειών και όχι αποστολή &όνο σε κατάλογο πελατών των εταιρειών, όπως υποστηρ ζεται στο υπό&νη&α. Για κανέναν δε από τους παραλήπτες των ηλεκτρονικών &ηνυ&άτων δεν τηρε ται η συγκατάθεση, ούτε προκύπτουν στοιχε α ότι ακολουθήθηκε διαδικασ α λήψης συγκατάθεσης. Το &όνο στοιχε ο που τηρε ται για τις διευθύνσεις ηλεκτρονικού ταχυδρο&ε ου που έχουν καταχωριστε στους διαδικτυακούς τόπους της ADD ONE ε ναι η η&ερο&ην α καταχώρισης, κάτι που δεν πληρο τις προϋποθέσεις που περιγράφονται στον οδηγ α 2/2011 της Αρχής και δεν &πορε να θεωρηθε ως νό&ι&ος τρόπος τήρησης της συγκατάθεσης. Ειδικά όσον αφορά στην ADD ONE, οι ισχυρισ&ο που περιέχονται στο υπό&νη&α των εταιρειών, περ λανθασ&ένων εκτι&ήσεων των ελεγκτών, καταρρ πτονται, καθώς προκύπτει ότι οι διαδικτυακο τόποι της ADD ONE ε χαν ξεκινήσει τη λειτουργ α τους από τα τέλη του 2007 (π.χ. το euexia.gr από το Μάιο του 2007) πριν την επ ση&η έναρξη της ADD ONE τον Ιούλιο του
2. Συνεπώς, όλα τα ευρή&ατα του ελέγχου επιβεβαιώνονται πλήρως. ς εκ τούτου, οι εταιρε ες ΡΑΝΝΕΡ και ADD ONE αποτελούν τον υπεύθυνο της εν λόγω επεξεργασ ας, όταν η αποστολή των &ηνυ&άτων αφορά τις διες. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -26Όσον αφορά στην εταιρε α ΡΑΝΝΕΡ, διαπιστώθηκε επ σης ότι απέστειλε σε πολλές περιπτώσεις &ηνύ&ατα ηλεκτρονικού ταχυδρο&ε ου και τηλεο&οιοτυπ ας για λογαριασ&ό πελατών της. Όταν η αποστολή γ νεται για λογαριασ&ό τρ των (των πελατών της), η ΡΑΝΝΕΡ ε ναι συνυπεύθυνος της επεξεργασ ας (&αζ &ε τους πελάτες), καθώς εκε νη ορ ζει αποκλειστικά τα &έσα της επεξεργασ ας και ιδ ως τη λ στα των διευθύνσεων ηλεκτρονικού ταχυδρο&ε ου και τους αριθ&ούς τηλεφώνου για τα &ηνύ&ατα τηλεο&οιοτυπ ας, που αποτελε την απαρα τητη προϋπόθεση της όλης επεξεργασ ας.
3. Ενόψει της βαρύτητας των παραβάσεων που διαπιστώθηκε, του πλήθους των αρχε ων που διαπιστώθηκε ότι τηρούνται παρανό&ως από τη ΡΑΝΝΕΡ, του εξαιρετικά &εγάλου πλήθους των φυσικών προσώπων των οπο ων τα δεδο&ένα έτυχαν επεξεργασ ας, του πλήθους των περιπτώσεων στις οπο ες η ΡΑΝΝΕΡ απέστειλε δεδο&ένα προσωπικού χαρακτήρα σε πελάτες της, του πλήθους των αποστολών αζήτητων &ηνυ&άτων ηλεκτρονικού ταχυδρο&ε ου από τις ΡΑΝΝΕΡ και ADD ONE, του ιστορικού της ΡΑΝΝΕΡ στην οπο α ε χε ήδη επιβληθε πρόστι&ο για παρό&οιες παραβάσεις και ε χε διαταχθε η διαγραφή των αρχε ων για τα οπο α δεν υπάρχει συγκατάθεση, του γεγονότος ότι οι υπεύθυνοι επεξεργασ ας σκοπούσαν &ε τις ανωτέρω ενέργειες οπωσδήποτε να αποκο& σουν κέρδος και συνεκτι&ώντας την οικονο&ική κατάσταση των υπεύθυνων επεξεργασ ας όπως εξετέθη στα υπο&νή&ατά τους, η Αρχή κρ νει κατά πλειοψηφ α ότι πρέπει να επιβληθούν στους υπεύθυνους επεξεργασ ας οι προβλεπό&ενες στο άρθρο 21 παρ. 1 στοιχ. β΄ του ν. 2472/1997 κυρώσεις που αναφέρονται στο διατακτικό της παρούσας και οι οπο ες κρ νονται ανάλογες &ε τη βαρύτητα των παραβάσεων. Ένα &έλος της Αρχής &ειοψήφησε κρ νοντας ότι, ενόψει των ανωτέρω παραβάσεων, και δεδο&ένου πως δεν απεδε χθη από τη ΡΑΝΝΕΡ και την ADD ONE η όποια οικονο&ική αδυνα& α, &ε συνέπεια να &η &πορε να συνεκτι&ηθε , πρέπει να επιβληθούν υψηλότερα πρόστι&α. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή : 1) Επιβάλλει, &ε βάση τα άρθρα 19 παρ. 1 στοιχ. στ΄ και 21 του ν. 2472/1997, στη Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -27«ΡΑΝΝΕΡ ΕΤΑΙΡΕΙΑ ΣΥΛΛΟΓΗΣ ΚΑΙ ΙΑΧΕΙΡΙΣΗΣ ΠΛΗΡΟΦΟΡΙΝ Ε.Π.Ε.» πρόστι&ο 75.000 Ευρώ για την ως άνω διαπιστωθε σα παραβ αση των διατάξεων των άρθρων 4, 5 και 7 του ν. 2472/1997, καθώς επ σης και καταστροφή κάθε σχετικού αρχε ου &ε προσωπικά δεδο&ένα που αναφέρεται στο σκεπτικό της παρούσας και τηρε ται κατά παραβ αση των ως άνω άρθρων, &ε ακόλουθη ενη&έρωση της Αρχής. 2) Επιβάλλει, &ε βάση τα άρθρα 19 παρ. 1 στοιχ. στ΄ και 21 του ν. 2472/1997, στη «ΡΑΝΝΕΡ ΕΤΑΙΡΕΙΑ ΣΥΛΛΟΓΗΣ ΚΑΙ ΙΑΧΕΙΡΙΣΗΣ ΠΛΗΡΟΦΟΡΙΝ Ε.Π.Ε.» πρόστι&ο 25.000 Ευρώ για την ως άνω διαπιστωθε σα παραβ αση των διατάξεων του άρθρου 11 παρ. 1 του ν. 3471/
4. 3) Επιβάλλει, &ε βάση τα άρθρα 19 παρ. 1 στοιχ. στ΄ και 21 του ν. 2472/1997, στην «ADD ΟΝΕ ΕΜΠΟΡΙΚΗ – ΕΙΣΑΓΓΙΚΗ ΕΤΑΙΡΕΙΑ ΠΕΡΙΟΡΙΣΜΕΝΗΣ ΕΥΘΥΝΗΣ» πρόστι&ο 15.000 Ευρώ για την ως άνω διαπιστωθε σα παραβ αση των διατάξεων του άρθρου 11 παρ. 1 του ν. 3471/
5. 4) ιαβιβάζει, &ε βάση το άρθρο 22 παρ. 11 του ν. 2472/1997 στον αρ&όδιο εισαγγελέα την παρούσα, καθώς και όλα τα στοιχε α του φακέλου της υπόθεσης, προς διερεύνηση τυχόν ποινικών ευθυνών. Ο Πρόεδρος Η Γρα&&ατέας Πέτρος Χριστόφορος Ειρήνη Παπαγεωργοπούλου Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr