Αθήνα, 20-06-2022 Αριθ. Πρωτ.: 1493 ΑΠΟΦΑΣΗ 23/2022 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση σε σύνθεση Τμήματος στην έδρα της την 10/05/2022, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Στη συνεδρίαση μετείχε μέσω τηλεδιάσκεψης ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής, Κωνσταντίνου Μενουδάκου, και παρέστησαν τα τακτικά μέλη Χαράλαμπος Ανθόπουλος, Σπυρίδων Βλαχόπουλος και Κωνσταντίνος Λαμπρινουδάκης, ως εισηγητής. Στη συνεδρίαση, παρέστη, με εντολή του Προέδρου χωρίς δικαίωμα ψήφου, η Χάρις Συμεωνίδου, ειδική επιστήμονας – ελέγκτρια ως βοηθός εισηγήτρια και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. H Αρχή έλαβε υπόψη τα παρακάτω: Με τη με αριθ. πρωτ. Γ/ΕΙΣ/6446/23-09-2020 καταγγελία του ο Α (στο εξής καταγγέλλων), στρέφεται κατά του καταστήματος Wind [περιοχής] Χ και συνολικά κατά της εταιρείας WIND Ελλάς Τηλεπικοινωνίες ΑΕΒΕ (στο εξής καταγγελλόμενη), της οποίας τυγχάνει συνδρομητής, παραπονούμενος για κενό ασφαλείας κατά τη διαδικασία ανανέωσης της σύμβασής του και για μη ικανοποίηση του δικαιώματος πρόσβασής του σε δεδομένα του. Ειδικότερα, σύμφωνα με την ως άνω σχετική καταγγελία, στις 29/07/2020 ο καταγγέλλων μετέβη στο κατάστημα Wind στην [περιοχή] … και ζήτησε να ανανεώσει το πρόγραμμα σύνδεσής του για τον αριθμό σταθερού τηλεφώνου … . Ο καταγγέλλων αναφέρει ότι κατά τη διαδικασία Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr ανανέωσης της σύμβασης δεν του ζητήθηκε κανένα έγγραφο ταυτοποίησης, δεν του υπεβλήθη κανένα έγγραφο προς υπογραφή, είτε φυσική είτε ηλεκτρονική, ενώ οι υπάλληλοι, αφού του παρέδωσαν έντυπο με τίτλο ‘‘Συμβόλαιο Ανανέωσης Σταθερής’’ με κενά πεδία υπογραφής πελάτη, υπογραφής και σφραγίδα συνεργάτη, τον διαβεβαίωσαν, όπως αναφέρει, ότι η ανανέωση με τον τρόπο αυτό είναι έγκυρη. Ακολούθως, ο καταγγέλλων υπέβαλε ηλεκτρονικά την ίδια ημέρα (29/07/2020) τόσο προς το κατάστημα της [περιοχής] Χ όσο και προς τον Υπεύθυνο Προστασίας Δεδομένων της καταγγελλόμενης, μέσω e-mail αίτημα πρόσβασης στο καταγεγραμμένο οπτικό υλικό από τις κάμερες του καταστήματος, για όσο χρονικό διάστημα διήρκεσε η παραμονή του σε αυτό, ενώ επανέλαβε το ερώτημά του σχετικά με την εγκυρότητα της ανανέωσης της σύμβασής του. Περαιτέρω ο καταγγέλλων, με τη συμπληρωματική του αναφορά υπ’ αρ. πρωτ. Γ/ΕΙΣ/5750/25-08-2020 κοινοποίησε στην Αρχή την από 24/8/2020 απάντηση που έλαβε από το Τμήμα Γραπτής Επικοινωνίας της καταγγελλόμενης, με την οποία η εταιρεία του δήλωσε ότι έγινε προφορική επιβεβαίωση του ονοματεπωνύμου και του Α.Φ.Μ. του καταγγέλλοντος, και δεν ζητήθηκαν έγγραφα ταυτοποίησης καθώς οι υπάλληλοι του καταστήματος Wind [περιοχής] Χ τον γνωρίζουν εξ όψεως, ενώ λόγω προσωρινού συστημικού προβλήματος δεν κατέστη δυνατή η ψηφιακή υπογραφή του συμβολαίου. Σε σχέση με το οπτικό υλικό από τις κάμερες η καταγγελλόμενη παρέπεμψε τον καταγγέλλοντα στον συνεργάτη της, Β, ο οποίος διευθύνει το εν λόγω κατάστημα υπό το καθεστώς δικαιόχρησης. Ο καταγγέλλων με το ως άνω συμπληρωματικό του έγγραφο προς την Αρχή υποστήριξε ότι, αντίθετα με τα αναφερόμενα στην απάντηση της καταγγελλόμενης, ο υπάλληλος που τον εξυπηρέτησε ήταν καινούργιος και τον έβλεπε για πρώτη φορά, ενώ το μόνο στοιχείο που του έδωσε ο καταγγέλλων ήταν ο αριθμός τηλεφώνου του. Επιπλέον καταγγέλλει το γεγονός ότι δεν ενημερώθηκε εγκαίρως για το συστημικό πρόβλημα που εμπόδιζε την υπογραφή του, ενώ ως προς το δικαίωμα πρόσβασής του στο καταγεγραμμένο υλικό από τις κάμερες, αναφέρει ότι απηύθυνε σχετικό αίτημα μέσω e-mail στη διεύθυνση …@windstores.gr του καταγγελλόμενου Β, στις 29/07/2020. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, με το με αριθ. πρωτ. Γ/ΕΞ/5346-1/16-10-2020 έγγραφό της, το οποίο κοινοποιήθηκε στον ιδιοκτήτη του καταστήματος [περιοχής] Χ, κάλεσε την καταγγελλόμενη να εκθέσει τις απόψεις της επί των καταγγελλομένων, διευκρινίζοντας ιδίως τα εξής: α) ποια είναι η γενικότερη πολιτική που προβλέπεται από την καταγγελλόμενη ως προς τη διαδικασία ανανέωσης συμβολαίου από συνδρομητή, σε περίπτωση φυσικής του παρουσίας σε κατάστημα, β) εάν η διαδικασία αυτή τηρήθηκε στην περίπτωση του καταγγέλλοντος, γ) εάν και με ποιο τρόπο η καταγγελλόμενη ανταποκρίθηκε στο αίτημα πρόσβασης του καταγγέλλοντος στο καταγεγραμμένο οπτικό υλικό που τον αφορά και σχετίζεται με την υπό κρίση συναλλαγή, το οποίο ασκήθηκε με το από 29-07-2020 ηλεκτρονικό μήνυμα του καταγγέλλοντος προς την καταγγελλόμενη και προς το κατάστημα Wind [περιοχής] Χ. Η καταγγελλόμενη με την από 17-11-2020 απάντησή της (με αρ. πρωτ. Αρχής Γ/ΕΙΣ/7904/17-11-2020) κατ’ αρχάς παραπέμπει στο από 24-08-2020 έγγραφό της προς τον καταγγέλλοντα, με το οποίο υποστήριξε ότι η ταυτοποίησή του στο κατάστημα [περιοχής] Χ είχε διενεργηθεί «προσηκόντως» με επιβεβαίωση του ΑΦΜ του, ενώ δεν ζητήθηκε η επίδειξη εγγράφου ταυτοπροσωπίας, καθότι ο καταγγέλλων ήταν «γνωστός και αναγνωρίσιμος από τους υπαλλήλους του καταστήματος της [περιοχής] Χ, οι οποίοι τον εξυπηρετούν τακτικά». Ωστόσο, όπως αναφέρει η καταγγελλόμενη, η ανανέωση συμβολαίων με αυτοπρόσωπη παρουσία του συνδρομητή σε φυσικό κατάστημα, σύμφωνα με τις επίσημες οδηγίες της, λαμβάνει χώρα κατόπιν επίδειξης εγγράφου ταυτοπροσωπίας και σύγκρισης των στοιχείων του με την καρτέλα του συνδρομητή. Αφού συμφωνήσει στις παρεχόμενες υπηρεσίες, ο συνδρομητής υπογράφει ψηφιακά μέσω tablet και λαμβάνει το συμβόλαιο ανανέωσής του και τη συνοπτική προσφορά του. Σύμφωνα με την καταγγελλόμενη, η υπογραφή μέσω tablet στην προκειμένη περίπτωση δεν κατέστη εφικτή, καθώς το σύστημα που υποστηρίζει τη σχετική λειτουργία είχε μπλοκάρει, όμως ο καταγγέλλων ενημερώθηκε σχετικά και ως αποδεικτικό έλαβε αντίγραφο του συμβολαίου του. Περαιτέρω, αν και το ζήτημα της υπογραφής του συμβολαίου υπόκειται πρωτίστως στις διατάξεις του Κανονισμού Γενικών Αδειών της ΕΕΤΤ και του δικαίου προστασίας καταναλωτή, η καταγγελλόμενη δήλωσε ότι παρείχε στον καταγγέλλοντα τη δυνατότητα αζήμιας υπαναχώρησης, αποστέλλοντάς του το σχετικό έντυπο με αναλυτικές οδηγίες στις 27-08-2020, ωστόσο ο καταγγέλλων δεν υπαναχώρησε από τη σύμβασή του. Τέλος, όσον αφορά το δικαίωμα πρόσβασης του καταγγέλλοντος στο καταγεγραμμένο οπτικό υλικό από τις κάμερες του καταστήματος [περιοχής] Χ, η καταγγελλόμενη παρέπεμψε και πάλι στον συνεργάτη της, Β, που διευθύνει το κατάστημα υπό καθεστώς δικαιόχρησης. Παράλληλα, με το από 18-11-2020 έγγραφό του προς τον καταγγέλλοντα, που κοινοποιήθηκε στην Αρχή (αρ. πρωτ. Γ/ΕΙΣ/7922/18-11-2020) ο ιδιοκτήτης του καταστήματος [περιοχής] Χ, Β, υποστήριξε επίσης ότι ο καταγγέλλων κατά την επίσκεψή του εξυπηρετήθηκε από πωλητή που τον γνωρίζει, λόγω των τακτικών επισκέψεών του στο κατάστημα, τόσο του ιδίου όσο και της συζύγου του, ότι έπειτα από την προφορική συμφωνία του καταγγέλλοντος για τα χαρακτηριστικά του προγράμματός του, ο πωλητής επιβεβαίωσε εκ νέου τα στοιχεία του καταγγέλλοντος με την αναφορά του ΑΦΜ του, ολοκληρώνοντας έτσι την ταυτοποίηση, και ότι κατά το στάδιο των ηλεκτρονικών υπογραφών, ο υπολογιστής με το εγκατεστημένο λογισμικό κόλλησε και προκειμένου να μην καθυστερήσει η εξυπηρέτησή του πελάτη, ο πωλητής εκτύπωσε αντίγραφο του συμβολαίου χωρίς την προσθήκη των ψηφιακών υπογραφών. Αναφορικά με το οπτικό υλικό από τις κάμερες που ζητήθηκε από τον καταγγέλλοντα, ο καταγγελλόμενος δήλωσε ότι «δυστυχώς δεν υπάρχει πλέον αντίγραφο λόγω μη αναστρέψιμης βλάβης που προκλήθηκε στον σκληρό δίσκο που διατηρούσε τα αρχεία». Ακολούθως, με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/7939/19-11-2020 έγγραφό του προς την Αρχή, ο καταγγέλλων ενέμεινε στις αρχικές του καταγγελίες και υποστήριξε ότι η απάντηση της καταγγελλόμενης είναι ψευδής, καθώς ο υπάλληλος ήταν καινούργιος και δεν τον γνώριζε, δεν έγινε προφορική επιβεβαίωση των στοιχείων του και καμία ταυτοποίηση και γι’ αυτό το λόγο ζήτησε άμεσα το υλικό από το κατάστημα και από τον ΥΠΔ της καταγγελλόμενης εταιρείας. Ακολούθως η Αρχή, με τις υπ’ αριθ. πρωτ. Γ/ΕΞ/2290/12-10-2021 και Γ/ΕΞ/2301/13-10-2021 Κλήσεις της κάλεσε τα εμπλεκόμενα μέρη σε ακρόαση στη συνεδρίαση του τμήματος της Αρχής στις 19-10-2021 και, κατόπιν αναβολής στις 1011-2021, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση. Κατά την ακρόαση τα μέρη ανέπτυξαν τις απόψεις τους και τους ορίσθηκε προθεσμία 15 ημερών (μέχρι την 01-12-2021) για την υποβολή υπομνημάτων. Κατά τη συνεδρίαση της 10-11-2021 παρέστησαν μέσω τηλεδιάσκεψης ο καταγγέλλων Α από τα γραφεία της Αρχής, και εκ μέρους της καταγγελλόμενης οι πληρεξούσιες δικηγόροι της, Αθηνά Χατζηπαυλή … και Χρυσή Τζάθα … . Παρέστησαν επίσης ο Β, ο οποίος διευθύνει το κατάστημα της WIND [περιοχής] Χ υπό το καθεστώς δικαιόχρησης και ο πληρεξούσιος δικηγόρος του, Ηλίας Σπύρου … . Τα εμπλεκόμενα μέρη έλαβαν, κατά τη συνεδρίαση αυτή, προθεσμία και υπέβαλαν, ο μεν καταγγέλλων το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/7551/18-11-2021 υπόμνημα, η δε καταγγελλόμενη Wind το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/7889/02-12-2021 υπόμνημά της και ο καταγγελλόμενος ιδιοκτήτης του Καταστήματος Wind [περιοχής] Χ, Β, το Γ/ΕΙΣ/7913/02-12-2021 υπόμνημα. Ο καταγγέλλων, τόσο προφορικά κατά την ακρόαση όσο και με το ως άνω υπόμνημά του, υποστήριξε τα αναφερόμενα στην καταγγελία του. Η καταγγελλόμενη Wind, κατά την ακρόαση και με το υπόμνημά της ανέφερε ότι έχει θεσπίσει ορθή και πλήρη διαδικασία ταυτοποίησης των πελατών της στα καταστήματα, την οποία και προσκομίζει, καθώς και ότι διασφαλίζει την καταλληλότητα του προσωπικού των καταστημάτων της με σύστημα εκπαίδευσης του προσωπικού για ζητήματα προστασίας προσωπικών δεδομένων. Υποστήριξε ότι η απόκλιση στη διαδικασία ταυτοποίησης εν προκειμένω, η οποία έλαβε χώρα μόνο με την επιβεβαίωση του Α.Φ.Μ. του καταγγέλλοντος, μπορεί να δικαιολογηθεί «στο πλαίσιο της καθημερινής συναλλακτικής ζωής» λόγω του ότι ο καταγγέλλων ήταν γνωστός και αναγνωρίσιμος από τους υπαλλήλους. Τέλος, επανέλαβε τους ισχυρισμούς ότι το ζήτημα της μη προσυπογραφής του συμβολαίου άπτεται του δικαίου του καταναλωτή, ότι τελικά του χορηγήθηκε τόσο το συμβόλαιο όσο και οι όροι χρήσης και ότι δεν τίθεται ζήτημα ζημίας του καταγγέλλοντος, αφού ο ίδιος δεν αμφισβήτησε τη συναλλαγή ούτε υπαναχώρησε από αυτή αζημίως παρότι του δόθηκε αυτή η δυνατότητα, ενώ όσον αφορά το θέμα της πρόσβασης του καταγγέλλοντος στο καταγεγραμμένο υλικό από τις κάμερες του καταστήματος, επανέλαβε ότι υπεύθυνος επεξεργασίας για τη συγκεκριμένη επεξεργασία τυγχάνει το ίδιο το κατάστημα που λειτουργεί υπό καθεστώς δικαιόχρησης. Ο καταγγελλόμενος ιδιοκτήτης του καταστήματος, Β, τόσο στο πλαίσιο της ακρόασης όσο και με το υπόμνημά του, υποστήριξε ότι κατά την επίσκεψη του καταγγέλλοντος στο κατάστημα [περιοχής] Χ προς ανανέωση του συμβολαίου σταθερού του ήταν παρόντες τρεις
(3)υπάλληλοι, τους οποίους γνώριζε προσωπικά και χαιρέτησε κατά την είσοδό του, προς απόδειξη τούτου δε προσκομίζει υπεύθυνες δηλώσεις των εν λόγω υπαλλήλων, ενώ τον εξυπηρέτησε έτερος υπάλληλος ο οποίος βρισκόταν σε δοκιμαστική περίοδο εργασίας και τον οποίο επιτηρούσαν και συνεπικουρούσαν οι υπόλοιποι. Επιπλέον αναφέρει ότι για την ταυτοποίηση του καταγγέλλοντος χρησιμοποιήθηκε ο αριθμός Α.Φ.Μ., ότι ο καταγγέλλων δεν αμφισβήτησε ποτέ το γεγονός ότι ήταν ο ίδιος παρών στο περιστατικό, ούτε υπέστη οποιαδήποτε ζημία, καθώς και ότι για τεχνικούς λόγους το συμβόλαιο δεν ήταν δυνατό να εκτυπωθεί εκείνη τη στιγμή, ωστόσο δόθηκε τις επόμενες ημέρες στον καταγγέλλοντα, ο οποίος δεν αμφισβήτησε την εγκυρότητά του ούτε υπαναχώρησε από αυτό, παρότι του δόθηκε η δυνατότητα να το πράξει αζημίως. Τέλος, όσον αφορά το αίτημα πρόσβασης του καταγγέλλοντος στο καταγεγραμμένο υλικό από τις κάμερες του καταστήματος, ο ιδιοκτήτης του καταστήματος υποστήριξε ότι λόγω τεχνικού προβλήματος (εντοπισμού ιών) δεν ήταν δυνατή η χορήγηση των σχετικών αρχείων στον καταγγέλλοντα, όπως του απάντησε στις 28-11-
- Κατά την ακρόαση ο δικηγόρος του Β παραδέχτηκε ότι δεν απάντησε εγκαίρως στο σχετικό αίτημα πρόσβασης του καταγγέλλοντος. Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τη βοηθό εισηγήτρια και μετά από διεξοδική συζήτηση, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
- Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του Α κατά της WIND Ελλάς Τηλεπικοινωνίες ΑΕΒΕ και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/
- Σύμφωνα με τις διατάξεις του άρθρου 15 παρ. 1, 3 και 4 ΓΚΠΔ: «
- Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα […].
- Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. Για επιπλέον αντίγραφα που ενδέχεται να ζητηθούν από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας μπορεί να επιβάλει την καταβολή εύλογου τέλους για διοικητικά έξοδα. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως», ενώ σύμφωνα με τη διάταξη του άρθρου 12 παρ. 3 ΓΚΠΔ: «Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα, η ενημέρωση παρέχεται, εάν είναι δυνατόν, με ηλεκτρονικά μέσα, εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό.» Ο υπεύθυνος επεξεργασίας οφείλει να ανταποκριθεί στο αίτημα του υποκειμένου, απαντώντας (είτε θετικά είτε αρνητικά) χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Όπως επισημαίνεται και στις Κατευθυντήριες Γραμμές 1/2022 του ΕΣΠΔ για το δικαίωμα πρόσβασης, ο υπεύθυνος επεξεργασίας οφείλει να αντιδράσει και, κατά κανόνα να παρέχει τις πληροφορίες του άρθρου 14 χωρίς καθυστέρηση, ή, με άλλα λόγια, το συντομότερο δυνατόν (βλ. EDPB Guidelines 1/2022 on data subject rights – Right of Access, §§155157).
- Περαιτέρω, σύμφωνα με το άρθρο 32 ΓΚΠΔ παρ. 1 β), 2 και 4: «
- Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, περιλαμβανομένων, μεταξύ άλλων, κατά περίπτωση: […] β) της δυνατότητας διασφάλισης του απορρήτου, της ακεραιότητας, της διαθεσιμότητας και της αξιοπιστίας των συστημάτων και των υπηρεσιών επεξεργασίας σε συνεχή βάση, […]
- Κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία.. […]
- Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία λαμβάνουν μέτρα ώστε να διασφαλίζεται ότι κάθε φυσικό πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία το οποίο έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα τα επεξεργάζεται μόνο κατ' εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους».
- Επιπλέον, σύμφωνα με το άρθρο 28 παρ. 3 ΓΚΠΔ «
- Η επεξεργασία από τον εκτελούντα την επεξεργασία διέπεται από σύμβαση ή άλλη νομική πράξη υπαγόμενη στο δίκαιο της Ένωσης ή του κράτους μέλους, που δεσμεύει τον εκτελούντα την επεξεργασία σε σχέση με τον υπεύθυνο επεξεργασίας και καθορίζει το αντικείμενο και τη διάρκεια της επεξεργασίας, τη φύση και τον σκοπό της επεξεργασίας, το είδος των δεδομένων προσωπικού χαρακτήρα και τις κατηγορίες των υποκειμένων των δεδομένων και τις υποχρεώσεις και τα δικαιώματα του υπευθύνου επεξεργασίας. Η εν λόγω σύμβαση ή άλλη νομική πράξη προβλέπει ειδικότερα ότι ο εκτελών την επεξεργασία: α) επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα μόνο βάσει καταγεγραμμένων εντολών του υπευθύνου επεξεργασίας, μεταξύ άλλων όσον αφορά τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε τρίτη χώρα ή διεθνή οργανισμό, εκτός εάν υποχρεούται προς τούτο βάσει του δικαίου της Ένωσης ή του δικαίου του κράτους μέλους στο οποίο υπόκειται ο εκτελών την επεξεργασία· σε αυτήν την περίπτωση, ο εκτελών την επεξεργασία ενημερώνει τον υπεύθυνο επεξεργασίας για την εν λόγω νομική απαίτηση πριν από την επεξεργασία, εκτός εάν το εν λόγω δίκαιο απαγορεύει αυτού του είδους την ενημέρωση για σοβαρούς λόγους δημόσιου συμφέροντος, γ) λαμβάνει όλα τα απαιτούμενα μέτρα δυνάμει του άρθρου 32 […]».
- Τέλος, το άρθρο 4 αρ. 7 ορίζει τον υπεύθυνο επεξεργασίας ως το φυσικό ή νομικό πρόσωπο, δημόσια αρχή, υπηρεσία ή άλλο φορέα που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Βασικό για τον προσδιορισμό του υπευθύνου επεξεργασίας είναι το λειτουργικό κριτήριο. Δηλαδή υπεύθυνος επεξεργασίας είναι αυτός που λαμβάνει αποφάσεις για ορισμένα κρίσιμα στοιχεία της επεξεργασίας, ήτοι, καθορίζει τον σκοπό ή/και τα ουσιώδη, τουλάχιστον, στοιχεία του τρόπου της επεξεργασίας (πρβλ. για την έννοια του υπευθύνου και εκτελούντος την επεξεργασία τη Γνώμη 1/2010 της Ο.Ε. του Άρθρου 29, στην οποία και αναφέρεται μεταξύ άλλων ότι ο καθορισμός των στόχων και του τρόπου ισοδυναμεί με τον καθορισμό, αντίστοιχα, του «γιατί» και του «πώς» ορισμένων δραστηριοτήτων επεξεργασίας, καθώς και τις σκέψεις 25-27 των Κατευθυντηρίων Γραμμών 07/2020 του ΕΣΠΔ για τις έννοιες του υπεύθυνου επεξεργασίας και του εκτελούντος την επεξεργασία στον ΓΚΠΔ).
- Στην υπό εξέταση περίπτωση από τα στοιχεία του φακέλου προέκυψαν τα εξής: Η καταγγελλόμενη εταιρεία, ως υπεύθυνος επεξεργασίας των δεδομένων του καταγγέλλοντος για το σκοπό της εκτέλεσης της μεταξύ τους σύμβασης παροχής τηλεπικοινωνιακών υπηρεσιών, έχει χορηγήσει συγκεκριμένες εντολές - οδηγίες προς τα καταστήματα, που ενεργούν εν προκειμένω ως εκτελούντες την επεξεργασία, για την ταυτοποίηση των συνδρομητών σε φυσικό κατάστημα. Σύμφωνα με τις οδηγίες αυτές προβλέπεται ανεξαιρέτως η επίδειξη εγγράφου ταυτοποίησης σε περιπτώσεις σύναψης νέου ή τροποποίησης υπάρχοντος συμβολαίου. Δεδομένου ότι η διαδικασία ταυτοποίησης συνδρομητών σε φυσικό κατάστημα σχετίζεται με την ασφάλεια της επεξεργασίας των προσωπικών δεδομένων τους η οποία διενεργείται υπό την ευθύνη της καταγγελλόμενης παρόχου τηλεπικοινωνιακών υπηρεσιών, η διαδικασία αυτή εντάσσεται στα τεχνικά και οργανωτικά μέτρα ασφαλείας του Υπευθύνου Επεξεργασίας σύμφωνα με το άρθρο 32 ΓΚΠΔ. Στο πλαίσιο της ακρόασης ζητήθηκαν οι εν λόγω οδηγίες, προς τεκμηρίωση των ισχυρισμών της καταγγελλόμενης, η οποία με το υπόμνημά της προσκόμισε το έγγραφο «Διαδικασία ταυτοποίησης κατόχων υπηρεσιών τηλεπικοινωνίας», την οποία αναφέρει ότι έχει κοινολογήσει σε όλα τα συνεργαζόμενα καταστήματα, και η οποία περιλαμβάνει την ταυτοποίηση του συνδρομητή με την επίδειξη πρωτότυπου εγγράφου ταυτοποίησης.
- Εν προκειμένω, από τα προσκομιζόμενα στοιχεία προκύπτει ότι πράγματι οι υπάλληλοι του καταστήματος γνώριζαν τον καταγγέλλοντα εξ όψεως και επιβεβαίωσαν την ταυτότητά του με χρήση του Α.Φ.Μ. του, επομένως δεν διαπιστώνεται παράβαση του άρθρου 32 παρ. 4 από την καταγγελλόμενη εταιρεία ως Υπεύθυνο Επεξεργασίας, ούτε παράβαση των άρθρων 28 παρ. 3 α) και 32 παρ. 4 από το κατάστημα ως εκτελούντα την επεξεργασία. Άλλωστε ο κίνδυνος για το υποκείμενο στην περίπτωση της ανανέωσης συμβολαίου σταθερής τηλεφωνίας είναι χαμηλός. Το ζήτημα της ορθής ή μη διαδικασίας ανανέωσης της σύμβασης σταθερής τηλεφωνίας δεν εμπίπτει στην αρμοδιότητα της Αρχής. Περαιτέρω διαπιστώθηκε ότι ο καταγγέλλων υπέβαλε ηλεκτρονικά στις 29/7/2020 αίτημα πρόσβασης κατά το άρθρο 15 ΓΚΠΔ στο καταγεγραμμένο οπτικό υλικό από το σύστημα βιντεοεπιτήρησης του καταστήματος [περιοχής] Χ, τόσο προς την καταγγελλόμενη εταιρεία όσο και προς το κατάστημα. Με βάση τα αναφερόμενα στη σκέψη 4 και σύμφωνα με το λειτουργικό κριτήριο, υπεύθυνος επεξεργασίας όσον αφορά το σύστημα βιντεοεπιτήρησης είναι το κατάστημα, καθώς στο πλαίσιο της σύμβασης δικαιόχρησης ο ιδιοκτήτης του καταστήματος διατηρεί την αυτονομία να αποφασίζει για τον τρόπο προστασίας του καταστήματός του. Εν προκειμένω, ο ιδιοκτήτης του καταστήματος Β, ως υπεύθυνος επεξεργασίας δεν ανταποκρίθηκε με κανένα τρόπο στο αίτημα πρόσβασης του καταγγέλλοντος, παρά μόνο μετά την παρέμβαση της Αρχής. Συγκεκριμένα, στις 28/11/2020, 4 μήνες μετά την υποβολή του αιτήματος, ο υπεύθυνος επεξεργασίας απέρριψε το αίτημα πρόσβασης του καταγγέλλοντος με την αιτιολογία ότι το καταγεγραμμένο υλικό είχε καταστραφεί.
- Κατόπιν των ανωτέρω, από τα στοιχεία του φακέλου και κατόπιν της ακροαματικής διαδικασίας, η Αρχή διαπιστώνει εκ μέρους του καταστήματος Wind [περιοχής] Χ, ως υπεύθυνου επεξεργασίας αναφορικά με το σύστημα βιντεοεπιτήρησης, παράβαση του άρθρου 15 σε συνδυασμό με το άρθρο 12 παρ. 3 ΓΚΠΔ και κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά τα άρθρα 58 παρ. 2 θ) και 83 ΓΚΠΔ διορθωτικές εξουσίες της (επιβολή προστίμου) όσον αφορά την ανωτέρω παράβαση. Για τον καθορισμό της κύρωσης η Αρχή λαμβάνει υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ που έχουν εφαρμογή στην παρούσα υπόθεση. Ειδικότερα, λαμβάνονται ιδιαιτέρως υπόψη: α) Η φύση και η βαρύτητα της παράβασης, β) Το γεγονός ότι επηρεάστηκε μόνο ένα
(1)υποκείμενο το οποίο δεν υπέστη οικονομική ζημία γ) Το γεγονός ότι η παράβαση εκ μέρους του υπεύθυνου επεξεργασίας δεν αποδίδεται σε δόλο δ) Η έλλειψη προηγούμενων παραβάσεων του υπευθύνου επεξεργασίας, και η) Το γεγονός ότι από την παράβαση δεν επηρεάστηκαν ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ Επιβάλλει στον Β, ως υπεύθυνο επεξεργασίας με βάση το άρθρο 58 παρ. 2 εδαφ. θ του ΓΚΠΔ πρόστιμο ύψους δύο χιλιάδων (2.000 €) ευρώ για την παράβαση της μη ανταπόκρισης στο κατά το άρθρο 15 ΓΚΠΔ αίτημα πρόσβασης του καταγγέλλοντος εντός της προβλεπόμενης από το άρθρο 12 παρ. 3 ΓΚΠΔ προθεσμίας. Ο Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου