Επιβολή προστίμου για μη σύννομη επεξεργασία και μη τήρηση της υποχρέωσης λογοδοσίας στην ΝEW YORK COLLEGE Α.Ε, σε συνέχεια καταγγελίας για στοχευμένη

ΕΛΛΗΝΙΚΗ ΔΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Αθήνα, 29-06-2020 Αριθ. πρωτ.: Γ/ΕΞ/4512/29-06-2020 ΑΠΟΦΑΣΗ ΑΡ. 18/2020 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος στην έδρα της την Τετάρτη 12-02-2020 μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Προέδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα αναπληρωματικά μέλη, Ευάγγελος Παπακωνσταντίνου, Γρηγόρης Τσόλιας και Εμμανουήλ Δημογεροντάκης σε αντικατάσταση των τακτικών μελών Κωνσταντίνου Λαμπρινουδάκη, Χαράλαμπου Ανθόπουλου και Ελένης Μαρτσούκου αντίστοιχα, οι οποίοι, αν και εκλήθησαν νομίμως εγγράφως, δεν παρέστησαν λόγω κωλύματος. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, η Γεωργία Παναγοπούλου, ειδική επιστήμονας – ελέγκτρια ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Υποβλήθηκε στην Αρχή η με αρ. πρωτ. Γ/ΕΙΣ/6013/04-09-2019 καταγγελία με την οποία ο κ. A (εφεξής «καταγγέλλων») καταγγέλλει την ΝEW YORK COLLEGE Α.Ε (εφεξής «καταγγελλόμενος» ή «καταγγελλόμενη εταιρεία») ότι πραγματοποίησε στοχευμένη τηλεφωνική κλήση με την οποία του πρότεινε τη συμμετοχή του σε επιδοτούμενο από τον ΟΑΕΔ σεμινάριο που απευθύνεται σε ανέργους. Στην τηλεφωνική επικοινωνία του απευθύνθηκαν γνωρίζοντας την ιδιότητά του ως ανέργου. Ο καταγγέλλων αναφέρει ότι προσπάθησε να ασκήσει το δικαίωμα ενημέρωσης και Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr πρόσβασης, αναζήτησε τον υπεύθυνο προστασίας δεδομένων, αλλά θεωρεί ότι η αλληλογραφία και οι απαντήσεις που έλαβε δεν ήταν ικανοποιητικές αφού δεν πληροφορήθηκε το είδος και την προέλευση των δεδομένων που τηρούνται από την καταγγελλόμενη εταιρία για το πρόσωπό του και το γιατί έγινε αποδέκτης της συγκεκριμένης τηλεφωνικής επικοινωνίας. Η Αρχή, στο πλαίσιο εξέτασης τη εν λόγω καταγγελίας, απέστειλε στον καταγγελλόμενο το με αρ. πρωτ. Γ/ΕΞ/6013-1/03-10-2019 έγγραφο με το οποίο ζήτησε απόψεις της επί των καταγγελλομένων. Η καταγγελλόμενη εταιρεία απάντησε με το με αρ. πρωτ. Γ/ΕΙΣ/7002/15-10-2019 έγγραφο, με το οποίο αμφισβήτησε την πραγματοποίηση της κλήσης ενώ για την υποθετική περίπτωση που αυτή πραγματοποιήθηκε ισχυρίστηκε ότι ενδέχεται ο ίδιος ο καταγγέλλων να δήλωσε ενδιαφέρον για κάποιο από τα επιδοτούμενα προγράμματα και η κλήση να αφορούσε την ανταπόκριση της εταιρείας στο ενδιαφέρον αυτό. Στη συνέχεια ο καταγγέλλων απέστειλε και το με αρ. πρωτ. Γ/ΕΙΣ/7242/22-10-2019 συμπληρωματικό έγγραφο με τα οποίο αποδεικνύει την πραγματοποίηση της κλήσης, αφού στη λίστα με τις εισερχόμενες κλήσεις που έλαβε από τον τηλεπικοινωνιακό του πάροχο περιλαμβάνεται το τηλεφωνικό νούμερο που ανήκει στην καταγγελλόμενη εταιρεία. Στη συνέχεια, η Αρχή κάλεσε με το με αρ. πρωτ. Γ/ΕΞ/6013-2/13-11-2019 έγγραφο την New York College Α.Ε σε ακρόαση, προκειμένου να συζητηθεί η ανωτέρω καταγγελία καθώς και η γενική πρακτική που ακολουθείται σε τέτοιου τύπου τηλεφωνικές κλήσεις. Με την με αρ. πρωτ. Γ/ΕΞ/6013-2/13-11-2019 κλήση κοινοποιήθηκε και το με αρ. πρωτ. Γ/ΕΙΣ/7242/22-10-2019 συμπληρωματικό έγγραφο του καταγγέλλοντος στο οποίο περιέχεται με το τεκμήριο της πραγματοποίησης της τηλεφωνικής κλήσης. Η καταγγελλόμενη εταιρεία παρέστη στη συνεδρίαση της 25-11-2019 δια της πληρεξούσιας δικηγόρου της Γεωργίας Σίτου με ΑΜΔΣΑ …, η οποία εξέθεσε προφορικά τις απόψεις της ενώ, αφού έλαβε προθεσμία, κατέθεσε το με αρ. πρωτ. Γ/ΕΙΣ/8534/06-12-2019 υπόμνημα. Στο υπόμνημα επαναλαμβάνει όσα ανέφερε στο με αρ. πρωτ. Γ/ΕΙΣ/7002/15-102019 έγγραφο της, δηλαδή ότι α) ο τηλεφωνικός αριθμός από τον οποίο πραγματοποιήθηκε η τηλεφωνική κλήση ανήκει στην εταιρεία και ειδικότερα στο παράρτημα Θεσσαλονίκης, β) δεν τηρείται κανένα στοιχείο σχετικά με την εργασιακή κατάσταση και τα στοιχεία επικοινωνίας του καταγγέλλοντα στα αρχεία που τηρεί η εταιρεία γ) δεν κατέστη δυνατό να 2 εντοπιστεί το υπό ποιες συνθήκες και για ποιο λόγο πραγματοποιήθηκε η τηλεφωνική κλήση, και ότι ενδέχεται ο ίδιος ο καταγγέλλων να δήλωσε ενδιαφέρον στα επιδοτούμενα προγράμματα που ήταν διαθέσιμα την εποχή εκείνη οπότε η τηλεφωνική επικοινωνία να αποτελούσε συνέχεια δικής του εκδήλωσης ενδιαφέροντος, δ) την περίοδο κατά την οποία πραγματοποιήθηκε η κλήση στο παράρτημα της εταιρείας στη Θεσσαλονίκη εργάζονταν συνολικά 11 εκ των 15 εργαζομένων, και 2 στη γραμματεία, ε) η μικρή καθυστέρηση στην απάντηση στον καταγγέλλοντα (μόνον τρεις μέρες μετά τη νόμιμη προθεσμία των 30 ημερών) οφείλεται στην απουσία προσωπικού λόγω των θερινών διακοπών εκείνη την περίοδο. Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις της βοηθού εισηγητή, η οποία αποχώρησε μετά τη συζήτηση και πριν από τη διάσκεψη και τη λήψη αποφάσεως, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ

1. Στο άρθρο 4 παρ. 7 του Κανονισμού (ΕΕ) 2016/679 (Γενικός Κανονισμός για την Προστασία Δεδομένων - ΓΚΠΔ) ορίζεται ως υπεύθυνος επεξεργασίας «…το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα…».
2. Σύμφωνα με τις διατάξεις του άρθρου 5 παρ. 1 εδ. α’ του ΓΚΠΔ τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»).
3. Τα φυσικά πρόσωπα (υποκείμενα των δεδομένων) έχουν δικαίωμα να ενημερώνονται με ακρίβεια και σαφήνεια για τη συλλογή και χρήση (επεξεργασία) των προσωπικών τους δεδομένων. Το δικαίωμα αυτό διέπεται από τη βασική αρχή του ΓΚΠΔ, την αρχή της διαφάνειας (σχετικά άρθρα 12-14 του ΓΚΠΔ).
4. O ΓΚΠΔ εισάγει την αρχή της λογοδοσίας, σύμφωνα με την οποία οι υπεύθυνοι επεξεργασίας που συλλέγουν και επεξεργάζονται προσωπικά δεδομένα, οφείλουν να διαμορφώνουν τις διαδικασίες και τα τεχνικά και οργανωτικά συστήματά τους κατά τέτοιο τρόπο ώστε να μπορούν να αποδεικνύουν, ανά πάσα στιγμή, τόσο ενώπιον των εποπτικών αρχών όσο και των δικαστηρίων, ότι είναι πλήρως συμμορφωμένοι με 3 όσα προβλέπει ο ΓΚΠΔ. Η εισαγωγή της αρχής της λογοδοσίας μετατοπίζει το «βάρος της απόδειξης», όσον αφορά τη νομιμότητα της επεξεργασίας και τη συμμόρφωση με τον ΓΚΠΔ, στους ίδιους τους υπευθύνους επεξεργασίας ή τους εκτελούντες. O υπεύθυνος επεξεργασίας υποχρεούται με βάση την αρχή της λογοδοσίας (βλ. άρθρο 5 παρ. 2 σε συνδυασμό με άρθρα 24 και 32 του ΓΚΠΔ) να επιλέξει την κατάλληλη νομική βάση εκ των προβλεπόμενων από το άρθρο 6 παρ. 1 του ΓΚΠΔ, καθώς και να είναι σε θέση να αποδείξει στο πλαίσιο της εσωτερικής συμμόρφωσης την τήρηση των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ.
5. Στην υπό κρίση περίπτωση η New York College Α.Ε αποτελεί τον υπεύθυνο επεξεργασίας αφού αποδεικνύεται ότι προέβη σε επεξεργασία δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος, απευθυνόμενη τηλεφωνικά στον καταγγέλλοντα με την ιδιότητά του ως ανέργου. Η διενέργεια της κλήσης επιβεβαιώνεται επίσης από το προσκομισθέντα κατάλογο εισερχομένων κλήσεων.
6. Ο υπεύθυνος επεξεργασίας δεν προσκόμισε κανένα στοιχείο με το οποίο να εξηγεί τον τρόπο με τον οποίο επεξεργάστηκε τα προσωπικά δεδομένα του καταγγέλλοντος, δηλαδή δεν μπόρεσε να τεκμηριώσει την νομιμότητα της επεξεργασίας, κατά παράβαση της αρχής της λογοδοσίας. Δεν παρείχε στοιχεία ούτε για την ειδική περίπτωση του καταγγέλλοντα, ούτε για τη γενική πολιτική που ακολούθησε για την εν λόγω επεξεργασία, ενώ αυτά ζητήθηκαν από την Αρχή. Περαιτέρω, η επεξεργασία διενεργήθηκε με τρόπο μη διαφανή προς το υποκείμενο των δεδομένων, καθώς τόσο κατά τη διενέργεια της κλήσης, όσο και κατόπιν της άσκησης δικαιώματος, δεν του παρασχέθηκαν οι προβλεπόμενες στον ΓΚΠΔ πληροφορίες.
7. Ως υπεύθυνος επεξεργασίας προκύπτει λοιπόν ότι η Νew York College παραβίασε τις από το άρθρο 5 παρ. 1 του ΓΚΠΔ αρχές καθώς και την υποχρέωση (αρχή) λογοδοσίας κατ’ άρθρο. 5 παρ. 2 ΓΚΠΔ, ήτοι παραβίασε θεμελιώδεις αρχές του ΓΚΠΔ για την προστασία των δεδομένων προσωπικού χαρακτήρα.
8. Ως συνέπεια της παραπάνω παραβίασης δεν κατέστη δυνατό να ικανοποιηθεί το δικαίωμα ενημέρωσης και πρόσβασης που άσκησε ο καταγγέλλων.
9. Η Αρχή, μετά την διαπίστωση των ανωτέρω παραβιάσεων των διατάξεων του ΓΚΠΔ, οι οποίες περιλαμβάνονται στις παραβάσεις που μνημονεύονται στο άρθρο 83 παρ. 5 του ΓΚΠΔ, λαμβάνοντας υπόψη: α) ότι πιθανολογείται ότι δεν πρόκειται για μεμονωμένο περιστατικό καθώς η παραβίαση αφορά μία κατηγορία επεξεργασίας, δηλαδή την επεξεργασία δεδομένων προσωπικού χαρακτήρα των ενδιαφερομένων ή υποψήφιων για συμμετοχή σε 4 επιδοτούμενα προγράμματα που απευθύνονται σε συγκεκριμένες ομάδες πολιτών, όπως οι άνεργοι, και τον τρόπο με τον οποίο γίνεται η επικοινωνία με αυτούς β) τη φύση της βλάβης και ειδικότερα την αίσθηση που δημιουργείται στον πολίτη ότι γίνεται υποκείμενο στόχευσης από υπεύθυνο επεξεργασίας με γνώση προσωπικών του δεδομένων τα οποία δεν είναι δημόσια διαθέσιμα, γ) ότι δεν πρόκειται για δεδομένα προσωπικού χαρακτήρα των άρθρων 9 και 10 του ΓΚΠΔ, σύμφωνα με τα στοιχεία που τέθηκαν υπόψη της Αρχής δ) ότι υποβλήθηκε μια μόνο σχετική καταγγελία, ε) ότι δεν έχει επιβληθεί στο παρελθόν διοικητική κύρωση από την Αρχή στον υπεύθυνο επεξεργασίας, στ) ότι ο κύκλος εργασιών του υπευθύνου επεξεργασίας για το 2018, όπως προκύπτει από το με αρ. πρωτ. Γ/ΕΙΣ/8534/06-12-2019 υπόμνημά του, ανήλθε σε 5.972.436 ευρώ, κρίνει, με βάση τη κριτήρια του άρθρου 83 παρ. 2 του ΓΚΠΔ ότι το αποτελεσματικό, αναλογικό και αποτρεπτικό πρόστιμο που αρμόζει στην ως άνω παράβαση είναι πέντε χιλιάδες (5.000) ευρώ. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα: Α. Δίνει εντολή στην εταιρία ΝEW YORK COLLEGE Α.Ε όπως εντός τριών