Επιβολή προστίμου για περιστατικό παραβίασης προσωπικών δεδομένων και μη νόμιμη επεξεργασία δεδομένων

(4)σημαντικού μεγέθους μεταφορές δεδομένων (μεγαλύτερες από 1GB) από server της COSMOTE και συγκεκριμένα στις …2020 (37GB, 2.4GB και 8.5GB) και στις …2020 (6.1GB). Δεν κατέστη εφικτό να εντοπιστεί το είδος των δεδομένων που διαβιβάστηκαν μέσω της εν λόγω διαδικτυακής κίνησης. Το αρχείο που διέρρευσε περιείχε δεδομένα κλήσεων των συνδρομητών για το χρονικό διάστημα 1-9-2020 – 5-9-2020 με τα εξής στοιχεία: Τηλεφωνικός αριθμός Α– Τηλεφωνικός αριθμός B, συντεταγμένες σταθμών βάσης, Διεθνής ταυτότητα εξοπλισμού κινητής τηλεφωνίας (International Mobile Equipment Identity IMEI), Διεθνής ταυτότητα συνδρομητή κινητής τηλεφωνίας (International Mobile Subscriber Identity - IMSI), χρονική σήμανση (timestamp), διάρκεια κλήσης, ένδειξη παρόχου, τιμολογιακό πρόγραμμα συνδρομητή, ηλικία, φύλο, μέσο έσοδο ανά χρήστη (ARPU). Τα διάφορα σύνολα κλήσεων, που περιέχονται στο ανωτέρω αρχείο, περιλαμβάνουν διαφορετικό συνδυασμό των ανωτέρω δεδομένων. Το αρχείο προέρχεται από το σύστημα μαζικών δεδομένων «BigStreamer». Ειδικότερα, τα δεδομένα αφορούσαν: I. Δεδομένα κίνησης, συμπεριλαμβανομένων των συντεταγμένων σταθμών βάσης, για 4.792.869 μοναδικούς συνδρομητές COSMOTE. Εξ αυτών, το αρχείο περιείχε επιπλέον απλά προσωπικά δεδομένα (Ηλικία, Φύλο, Οικονομικό πρόγραμμα, ARPU) για 4.239.213 μοναδικούς συνδρομητές. 3 Τα MSISDN2 / CLI3 6.939.656 χρηστών άλλων εγχώριων παρόχων σταθερής & II. κινητής τηλεφωνίας που κάλεσαν ή κλήθηκαν από συνδρομητές COSMOTE. III. Τα MSISDN, IMEI, IMSI και συντεταγμένες σταθμών βάσης για 281.403 συνδρομητές περιαγωγής που πραγματοποίησαν κλήσεις μέσω του δικτύου κινητής τηλεφωνίας της COSMOTE. Αρχικό σημείο από το οποίο προήλθε το περιστατικό, από πλευράς ασφάλειας, αποτέλεσε η εγκατάσταση κακόβουλου λογισμικού (εργαλείο επιθέσεων τύπου Bruteforce) σε έναν εξυπηρετητή που ανήκει στον OTE. Σύμφωνα με την COSMOTE δεν αποτελεί σύστημα, το οποίο προορίζεται ή ενδέχεται να φιλοξενεί προσωπικά δεδομένα πελατών. Η περιγραφή του τρόπου παρείσφρησης περιγράφεται στο εμπιστευτικό παράρτημα Α της απόφασης. Οι εκτιμώμενες αιτίες του περιστατικού σύμφωνα με την COSMOTE αποτυπώνονται στο εμπιστευτικό παράρτημα Β της απόφασης. Κατά τη συνεδρίαση της Αρχής και την ακρόαση των εταιρειών COSMOTE και OTE στις 23-4-2021 τέθηκαν από την Αρχή συγκεκριμένα ερωτήματα σε σχέση με τις δραστηριότητες επεξεργασίας που σχετίζονται με το περιστατικό. Οι εταιρείες σύμφωνα με τα έγγραφα και υπομνήματα που αναφέρονται παραπάνω επισημαίνουν τα εξής: Στο σύστημα Big Streamer αποθηκεύονται και διατηρούνται, για χρονικό διάστημα τριών

(3)μηνών, αρχεία κλήσεων συνδρομητών κινητής τηλεφωνίας με δύο σκοπούς. Ο πρώτος σκοπός είναι η εξυπηρέτηση αιτημάτων συνδρομητών που αντιμετωπίζουν προβλήματα/βλάβες στο δίκτυο κινητής τηλεφωνίας όπως π.χ. απουσία σύνδεσης, κακή ποιότητα σήματος, αποτυχημένες κλήσεις κτλ. Η διατήρηση των δεδομένων για τρεις μήνες κρίθηκε απαραίτητη, προκειμένου να αξιολογηθεί η επαναληψιμότητα και η φύση των προβλημάτων δικτύου που αντιμετωπίζουν οι 2 Mobile Station International Subscriber Directory Number – Διεθνής αριθμός σύνδεσης κινητής τηλεφωνίας 3 Caller identification – αναγνώριση καλούντος 4 συνδρομητές κινητής τηλεφωνίας σ΄ ένα αντιπροσωπευτικό και επαρκές χρονικό διάστημα. Το εν λόγω αρχείο δεδομένων (εφεξής και «απλό») τηρείται για το ανωτέρω χρονικό διάστημα και υπόκειται σε περαιτέρω επεξεργασία με σκοπό την εκτέλεση της σύμβασης με τους συνδρομητές (άρθρο 5 παρ. 2 εδαφ. β Ν. 3471/2006 σε συνδυασμό με το άρθρο 6 παρ. 1 εδαφ. β του ΓΚΠΔ) και συγκεκριμένα την παροχή υπηρεσιών ηλεκτρονικών επικοινωνιών, οι οποίες σύμφωνα με το ισχύον ρυθμιστικό πλαίσιο πρέπει να συγκεντρώνουν συγκεκριμένα ποιοτικά χαρακτηριστικά. Ένα από τα απαραίτητα χαρακτηριστικά γνωρίσματα των συμβατικά παρεχόμενων υπηρεσιών της COSMOTE, όπως αυτά καθορίζονται ρυθμιστικά και ενσωματώνονται στους Γενικούς Όρους Παροχής Υπηρεσιών που υπογράφουν οι συνδρομητές κατά την σύναψη της σύμβασης σύνδεσής τους με το δίκτυο της εταιρείας, είναι και οι υπηρεσίες βλαβοδιαχείρισης. Συγκεκριμένα, η βλαβοδιαχείριση αποτελεί λειτουργία που βρίσκεται στον πυρήνα των παρεχόμενων τηλεπικοινωνιακών υπηρεσιών, υπό την έννοια ότι ο συνδρομητής, συνδεόμενος με το δίκτυο του παρόχου του, προσβλέπει στην παροχή υπηρεσίας με συγκεκριμένα ποιοτικά χαρακτηριστικά, όπως αυτά προσδιορίζονται ειδικότερα από το κανονιστικό πλαίσιο του ΓΚΠΔ. Η εταιρεία παραπέμπει σχετικά στη σελ. 12 των Κατευθυντήριων Γραμμών 2/2019 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (εφεξής, ΕΣΠΔ) για την επεξεργασία δεδομένων προσωπικού χαρακτήρα σύμφωνα με το άρθρο 6 παρ. 1 στοιχείο β), στο πλαίσιο παροχής επιγραμμικών υπηρεσιών σε υποκείμενα των δεδομένων, όπου αναφέρονται ρητά τα εξής: «Παρόλο που ο υπεύθυνος επεξεργασίας μπορεί να θεωρεί ότι η επεξεργασία είναι απαραίτητη για τον συμβατικό σκοπό, είναι σημαντικό να εξετάσει προσεκτικά την προοπτική του μέσου υποκειμένου των δεδομένων, προκειμένου να διασφαλιστεί ότι υφίσταται πραγματικά αμοιβαία κατανόηση ως προς τον συμβατικό σκοπό». Η COSMOTE επίσης σημειώνει ότι η υποχρέωση των παρόχων να διαθέτουν αποτελεσματικές διαδικασίες βλαβοδιαχείρισης ούτως ώστε να παρέχουν αδιάλειπτα και με ποιοτικό τρόπο τις υπηρεσίες τους προβλέπεται τόσο από την υπ' αριθμ. 834/2/2017 απόφαση της Εθνικής Επιτροπής Τηλεπικοινωνιών και Ταχυδρομείων (ΕΕΤΤ)­ ΦΕΚ 4262/6-12- 5 2017 - με τίτλο «Κανονισμός Γενικών Αδειών» (εφεξής ο Κανονισμός Γενικών Αδειών 4) όσο και από την υπ' αριθμ. 488/82/2008 Απόφαση της ΕΕΤΤ με τίτλο «Κώδικας Δεοντολογίας για την Παροχή Υπηρεσιών Ηλεκτρονικών Επικοινωνιών στους Καταναλωτές» - ΦΕΚ 1505Β/30-7-2008 (εφεξής ο Κώδικας Δεοντολογίας 5). Περαιτέρω, οι υποχρεώσεις που πηγάζουν από το προαναφερόμενο ρυθμιστικό πλαίσιο ενσωματώνονται στην σύμβαση των συνδρομητών της COSMOTE και αποτελούν συμβατικούς όρους, που διέπουν την παροχή των τηλεπικοινωνιών υπηρεσιών. Ειδικότερα στα άρθρα 5.4 έως 5.9 των Γενικών Όρων Παροχής Υπηρεσιών αναφέρονται τα εξής: «5.

1. (…) Η κάλυψη που παρέχει η COSMOTE μέσω του δικτύου της αναφέρεται στην ιστοσελίδα της wwνv.cosmote.gr. Η COSMOTE θα προσφέρει τις 4 Ειδικότερα, η Cosmote επισημαίνει ότι σύμφωνα με τον άρθρο 2.1.14 γ του Κανονισμού Γενικών Αδειών ισχύουν τα εξής : «Ο πάροχος οφείλει να εφαρμόζει διαδικασίες άμεσης εξέτασης των αιτημάτων και παραπόνων των χρηστών σε ό,τι αφορά την παραγγελία, την εγκατάσταση, την έναρξη, τη διακοπή, την τιμολόγηση και γενικά την ποιότητα του δημοσίου δικτύου και των υπηρεσιών ηλεκτρονικών επικοινωνιών που παρέχονται στο κοινό. Επίσης, οφείλει να ενημερώνει την ΕΕΤΤ , κατόπιν αιτήματος της, αναφορικά με όλα τα ανωτέρω αιτήματα και παράπονα τα οποία ενυπόγραφα έχουν ενώπιον τους υποβληθεί... ». Η περίπτωση δ’ του ίδιου ως άνω άρθρου αναφέρει τα εξής: «Ο πάροχος υποχρεούται, εντός εύλογου χρόνου, να λάβει όλα τα απαραίτητα μέτρα παροχής διευκόλυνσης και βοήθειας στους χρήστες για την επίλυση προβλημάτων που σχετίζονται με τη λειτουργία του δημοσίου δικτύου και των υπηρεσιών ηλεκτρονικών επικοινωνιών που παρέχονται στο κοινό». Επιπλέον τα άρθρα 2.1.17 β) και γ) του Κανονισμού Γενικών Αδειών προβλέπουν τα εξής: « .... Η αδικαιολόγητη διακοπή του δικτύου και των υπηρεσιών ηλεκτρονικών επικοινωνιών προς τους χρήστες γεννά επίσης δικαίωμα αποζημίωσης τους... γ): Ειδικότερα, στην περίπτωση που η διαθεσιμότητα του δικτύου και των παρεχόμενων υπηρεσιών ηλεκτρονικών επικοινωνιών είναι χαμηλότερη από την ποιότητα παροχής υπηρεσιών που το πρόσωπο υποχρεούται να παρέχει σύμφωνα με τις διατάξεις των Γενικών Αδειών ή με τα ειδικά δικαιώματα χρήσης ραδιοσυχνοτήτων ή αριθμών που του έχουν εκχωρηθεί ή με τους όρους της σύμβασης καθώς και στην περίπτωση βλάβης που δεν οφείλονται σε υπαιτιότητα του συνδρομητή ή τρίτου προσώπου και οδηγούν σε διακοπή της παροχής των παρεχόμενων υπηρεσιών ηλεκτρονικών επικοινωνιών στο συνδρομητή, εκτός από τις περιπτώσεις λόγω ανωτέρας βίας, ο πάροχος οφείλει, να πιστώνει το συνδρομητή (…)».Τέλος, το άρθρο 3.1.
2. του Κανονισμού Γενικών Αδειών με τίτλο «Τμήματα Εξυπηρέτησης Πελατών» προβλέπει την υποχρέωση των παρόχων να διαθέτουν δωρεάν αριθμό δήλωσης βλαβών και επί λέξει αναφέρονται τα εξής: «Ειδικά για θέματα βλαβών, η γραμμή εξυπηρέτησης λειτουργεί τουλάχιστον 16 ώρες το 24ωpο χωρίς χρέωση (τόσο για κλήσεις εντός δικτύου όσο και για κλήσεις εκτός δικτύου) από Δευτέρα έως και Σάββατο». 5 Ειδικότερα, η Cosmote επισημαίνει ότι το άρθρο 5 παρ.1 του Κώδικα Δεοντολογίας προβλέπει ειδικότερα τα εξής αναφορικά με τα ελάχιστα στοιχεία ενημέρωσης του καταναλωτή: «
3. Ο πάροχος εξασφαλίζει ότι διαθέτει κατάλληλα συστήματα ενημέρωσης των καταναλωτών σε κάθε στάδιο της παροχής υπηρεσίας και κυρίως κατά την προσυμβατική ενημέρωση του καταναλωτή, έτσι ώστε να είναι δυνατή η πλήρης, ακριβής και σαφής ενημέρωση του καταναλωτή τουλάχιστον για τα ακόλουθα: (…) ii) χαρακτηριστικά της υπηρεσίας που παρέχει, iii) ποιότητα παρεχόμενης υπηρεσίας, iv) διαθεσιμότητα της υπηρεσίας, (…), vii) Συντήρηση και τεχνική υποστήριξη». Επιπλέον, το άρθρο 9 παρ. 4 του Κώδικα Δεοντολογίας αναφέρει τα εξής: «Ο πάροχος υπηρεσιών εξασφαλίζει ότι το προσωπικό του, το οποίο ασχολείται με την εξυπηρέτηση καταναλωτών, την αποκατάσταση των προβλημάτων τους και την τεχνική τους υποστήριξη, είναι επαρκώς καταρτισμένο (…). Ιδίως για τις περιπτώσεις βλαβών, το προσωπικό παρέχει ακριβή και κατανοητή πληροφόρηση στον καταναλωτή σχετικά με τη φύση της βλάβης, (…) και παρέχει ακριβή πληροφόρηση σχετικά με τον χρόνο και την πορεία αποκατάστασης της βλάβης». 6 Υπηρεσίες είκοσι τέσσερις

(24)ώρες την ημέρα επί επτά

(7)ημέρες την εβδομάδα, χωρίς διακοπή, εκτός από μια χρονική περίοδο, η οποία δεν θα υπερβαίνει συνολικά τις έξι

(6)ώρες μηνιαίως, εφόσον η διακοπή αυτή είναι εντελώς απαραίτητη για την εκτέλεση των αναγκαίων εργασιών συντήρησης (…). 5.5. (…) σε περίπτωση διακοπής παροχής των Υπηρεσιών προς τον Συνδρομητή, χωρίς υπαιτιότητα του τελευταίου, για συνεχές χρονικό διάστημα μεγαλύτερο των δύο

(2)ωρών και δεκαπέντε

(15)λεπτών ή για χρονικό διάστημα που υπερβαίνει τις έξι

(6)ώρες σε οποιαδήποτε συνεχή χρονική περίοδο τριάντα

(30)ημερών, (…), ο Συνδρομητής θα έχει το δικαίωμα να ζητήσει εγγράφως την πίστωση του τμήματος του παγίου τέλους που αντιστοιχεί στην περίοδο της διακοπής, ακόμη και αν η διακοπή οφείλεται σε γεγονός που εκφεύγει του ελέγχου της COSMOTE». Η COSMOTE αναφέρει ότι, από τα ανωτέρω, προκύπτει ότι υποχρέωσή της με βάση το ισχύον ρυθμιστικό πλαίσιο, αλλά και συστατικό στοιχείο των παρεχόμενων τηλεπικοινωνιακών υπηρεσιών είναι η αντιμετώπιση των προβλημάτων του δικτύου συνολικά αλλά και σε επίπεδο συνδρομητή μέσω της οργάνωσης και λειτουργίας αποτελεσματικών διαδικασιών βλαβοδιαχείρισης. Η βλαβοδιαχείριση αποτελεί λειτουργία που εύλογα αναμένεται από τους ίδιους τους συνδρομητές της ότι αποτελεί αναπόσπαστο κομμάτι της παρεχόμενης υπηρεσίας, ενώ συνδέεται με την βασική υπηρεσία με τέτοιο τρόπο ώστε τυχόν παροχή της μετά από συναίνεση, ως υπηρεσία προστιθέμενης αξίας, να συνιστά, κατά τους ισχυρισμούς της COSMOTE, πλημμελή εκπλήρωση των συμβατικών της υποχρεώσεων με βάση το ρυθμιστικό πλαίσιο. Η COSMOTE επίσης σημειώνει ότι η στενότητα της σχέσης της διαδικασίας βλαβοδιαχείρισης με την παροχή των τηλεπικοινωνιακών υπηρεσιών, έτσι ώστε η εν λόγω διαδικασία να μην μπορεί να προσφερθεί στους συνδρομητές της ως υπηρεσία προστιθέμενης αξίας, προκύπτει και από το γεγονός ότι οι συνδρομητές δηλώνουν τις βλάβες τους τηλεφωνικά χωρίς χρέωση. Η COSMOTE αναφέρει επίσης ότι σύμφωνα με την αιτιολογική σκέψη 18 της 2002/58/ΕΚ Οδηγίας, ως παραδείγματα υπηρεσιών προστιθέμενης αξίας αναφέρονται «οι υπηρεσίες συμβουλών για φθηνότερα πακέτα προσφορών, υπηρεσίες οδικής καθοδήγησης, υπηρεσίες που παρέχουν πληροφορίες για την κυκλοφορία, πρόγνωση του καιρού και τουριστικές πληροφορίες, υπηρεσίες δηλαδή οι οποίες είναι εvvοιολογικά απομακρυσμένες από την βασική υπηρεσία της παροχής υπηρεσιών ηλεκτρονικών επικοιvωvιώv». 7 Σε σχέση με το ζήτημα κατά πόσο η εκτέλεση της σύμβασης ως νόμιμη βάση επεξεργασίας είναι σύμφωνη με τον Ν. 3471/2006, η COSMOTE αναφέρει τα εξής: Στο άρθρο 5 παρ. 2 του Ν. 3471/2006 με τον τίτλο «Κανόνες Επεξεργασίας», προσδιορίζονται οι νόμιμες βάσεις επεξεργασίας προσωπικών δεδομένων στον τομέα των ηλεκτρονικών επικοινωνιών και συγκεκριμένα: «α) η συγκατάθεση του συνδρομητή ή χρήστη μετά από ενημέρωσή του και β) η επεξεργασία είναι αναγκαία για την εκτέλεση σύμβασης, στην οποία ο συνδρομητής ή ο χρήστης είναι συμβαλλόμενο μέρος, ή για τη λήψη μέτρων κατά το προσυμβατικό στάδιο, μετά από αίτηση του συνδρομητή». Στο άρθρο 6 παρ. 2, 3 και 4 του Ν. 3471/2006 εξειδικεύονται περαιτέρω οι κανόνες επεξεργασίας αναφορικά με τα δεδομένα κίνησης και τα δεδομένα θέσης, ιδίως στις περιπτώσεις χρέωσης συνδρομητών και πληρωμής διασυνδέσεων (για τα δεδομένα κίνησης) και για την παροχή υπηρεσιών προστιθέμενης αξίας μετά από ενημέρωση και συναίνεση του συνδρομητή (για τα δεδομένα θέσης). Κατά τους ισχυρισμούς της COSMOTE, οι διατάξεις του άρθρου 6 ρυθμίζουν ειδικότερα αυτές τις περιπτώσεις επεξεργασίας δεδομένων κίνησης και θέσης (δηλαδή την επεξεργασία με σκοπό τη χρέωση και την πληρωμή των διασυνδέσεων, καθώς και την επεξεργασία για την παροχή υπηρεσιών προστιθέμενης αξίας) και δεν καταργούν την διάταξη του άρθρου 5 παρ. 2 του Ν. 3471/2006, το οποίο, σε περίπτωση αντίθετης ερμηνείας, δεν έχει λόγο ύπαρξης. Η COSMOTE επισημαίνει ότι το άρθρο 6 παρ. 2 και παρ. 3 του Ν. 3471/2006 θα πρέπει να ερμηνεύεται υπό το πρίσμα των γενικότερων ερμηνευτικών κανόνων του άρθρου 5 παρ. 2 του Ν.3471/2006, λαμβάνοντας υπόψη και την αιτιολογική έκθεση του Ν. 3471/2006, όπου αναφέρονται τα εξής: «Στο άρθρο 5 επαναλαμβάνονται οι γενικές κατευθυντήριες και ερμηνευτικές αρχές της προστασίας των προσωπικώ ν δεδομένων και της ιδιωτικής ζωής, με τις απαραίτητες τροποποιήσεις και προσαρμογές σε σχέση με τις ηλεκτρονικές επικοινωνίες και την χρήση των δεδομένων κίνησης. Απαριθμούνται οι περιπτώσεις που θεμελιώνουν την νομιμότητα της επεξεργασίας (συγκατάθεση και σύμβαση) και εξειδικεύεται η αρχή της αναλογικότητας, με έμφαση στη διάσταση της αναγκαιότητα ς ». Επιπλέον, η δυνατότητα των παρόχων να επεξεργάζονται δεδομένα κίνησης και θέσης για σκοπούς βλαβοδιαχείρισης αναφέρεται, όπως σημειώνει η COSMOTE, και 8 στην υπ' αριθμ. 29 αιτιολογική σκέψη της Οδηγίας 2002/58/ΕΚ, σύμφωνα με την οποία: «Ο πάροχος υπηρεσίας μπορεί να υποβάλλει σε επεξεργασία δεδομέ να κίνησης που αφορούν συνδρομητές και χρήστες όταν απαιτείται σε επιμέρο υς περιπτώσεις προκειμένου να εντοπίζει τεχνικές βλάβες ή σφάλματα κατά τη διαβίβαση επικοινωνιών. Ο πάροχος υπηρεσίας μπορεί επίσης να υποβάλλει σε επεξεργασία δεδομένα κίνησης που απαιτούνται για τη χρέωση, προκειμένου να εντοπίζεται και να τερματίζεται η απάτη η οποία συνίσταται σε απλήρωτη χρήση υπηρεσιών ηλεκτρονικών επικοινωνιών». Η COSMOTE αναφέρει ότι από την εν λόγω αιτιολογική σκέψη προκύπτει ότι η Οδηγία 2002/58/ΕΚ επιτρέπει την επεξεργασία δεδομένων κίνησης και θέσης όχι μόνο για τη διαβίβαση της επικοινωνίας, αλλά και για τη διαδικασία του εντοπισμού τυχόν σφαλμάτων, που εκδηλώθηκαν κατά τη διαβίβαση της επικοινωνίας – οπότε η διαδικασία της βλαβοδιαχείρισης, η οποία διενεργείται με επεξεργασία δεδομένων κίνησης και θέσης σε χρόνο ελαφρώς μεταγενέστερο της διαβίβασης δεν θα μπορούσε να αντιμετωπιστεί διαφορετικά, υπό την έννοια ότι δεν συντρέχει κύριος αντικειμενικός λόγος για τη διαφορετική μεταχείριση των δύο διαδικασιών από πλευράς προστασίας δεδομένων (παραπέμποντας και στην Απόφαση ΔΕΕ C-119/12 Josef Probst κατά mr. nexnet GmbH6). Κατά την COSMOTE, ο Έλληνας νομοθέτης, κατά την ενσωμάτωση της Οδηγίας 2002/58/ΕΚ στο εθνικό δίκαιο και λαμβάνοντας υπόψη ότι κατά την ενσωμάτωση οι χώρες της ΕΕ καλούνται να επιτύχουν ένα συγκεκριμένο αποτέλεσμα αλλά είναι 6 Στη σκέψη 14 της εν λόγω απόφασης αναφέρεται: «Το αιτούν δικαστήριο φρονεί ότι το άρθρο 6, παράγραφοι 2 και 5, της οδηγίας 2002/58 είναι κρίσιμο για την ερμηνεία του άρθρου 97, παράγραφος 1, του TKG. Αφενός, υπογραμμίζει ότι η έννοια της «χρεώσεως», που συνιστά έναν από τους σκοπούς για την επίτευξη των οποίων το άρθρο 6, παράγραφοι 2 και 5, της εν λόγω οδηγίας επιτρέπει την επεξεργασία δεδομένων κινήσεως, δεν περιλαμβάνει κατ’ ανάγκη την είσπραξη των τιμολογηθέντων τιμών. Εντούτοις, κρίνει ότι δεν συντρέχει κάποιος αντικειμενικός λόγος για τη διαφορετική μεταχείριση, από απόψεως προστασίας των προσωπικών δεδομένων, της τιμολογήσεως και της εισπράξεως των απαιτήσεων. Αφετέρου, βάσει του άρθρου 6, παράγραφος 5, της εν λόγω οδηγίας η επεξεργασία των δεδομένων κινήσεως πρέπει να περιορίζεται σε πρόσωπα τα οποία ενεργούν «υπό την εποπτεία» του φορέα παροχής του δημοσίου δικτύου και της διαθέσιμης στο κοινό υπηρεσίας ηλεκτρονικών επικοινωνιών (στο εξής: πάροχος των υπηρεσιών). Κατά το αιτούν δικαστήριο, από την έννοια αυτή δεν μπορεί να συναχθεί αν πρέπει να έχει αποκλειστικώς ο πάροχος των υπηρεσιών, καθ’ όλη τη διάρκεια της επεξεργασίας των δεδομένων, ακόμη και σε κάθε συγκεκριμένη περίπτωση δυνατότητα προσδιορισμού της χρήσεως των δεδομένων ή αν επαρκούν γενικές ρυθμίσεις περί της τηρήσεως του απορρήτου των τηλεπικοινωνιών και της προστασίας των δεδομένων, όπως οι συμφωνηθείσες εν προκειμένω με τις συμβατικές ρήτρες, καθώς και η δυνατότητα διαγραφής ή επιστροφής των δεδομένων κατόπιν σχετικού αιτήματος». 9 ελεύθερες να επιλέξουν τον τρόπο επίτευξης του αποτελέσματος αυτού, έλαβε μέριμνα ούτως ώστε να επιτρέπεται η επεξεργασία δεδομένων κίνησης και θέσης σύμφωνα με το άρθρο 5 παρ. 1 και 2 του Ν. 3471/2006 μεταξύ άλλων και στην περίπτωση που η εν λόγω επεξεργασία είναι αναγκαία για την εκτέλεση της σύμβασης μεταξύ παρόχου και συνδρομητή. Το ποιες λειτουργίες είναι αναγκαίες για την εκτέλεση της σύμβασης προσδιορίζεται με λεπτομέρεια στο ισχύον ρυθμιστικό πλαίσιο για τις τηλεπικοινωνίες, όπως αυτό αναλύθηκε ανωτέρω. Η COSMOTE αναφέρει επίσης ότι ο Γερμανός Νομοθέτης επέλεξε παρόμοιο τρόπο επίτευξης ισοδύναμου αποτελέσματος προστασίας των δεδομένων κίνησης και θέσης, προβλέποντας μάλιστα ρητά τη διαδικασία της βλαβοδιαχείρισης ως νόμιμο λόγο επεξεργασίας των εν λόγω δεδομένων (κάνοντας σχετική μνεία στο άρθρο 100 του Telecommunications Act, ο οποίος ενσωματώνει, μεταξύ άλλων, και την Οδηγία 2002/58/ΕΚ), ενώ κάνει αναφορά και στα όσα προβλέπονται στο σχέδιο νέου Κανονισμού για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες. Η COSMOTE αναφέρει ότι το διάστημα των τριών μηνών αναφορικά με την τήρηση του απλού αρχείου προσωπικών δεδομένων επιλέχθηκε με βάση την εμπειρία των εμπλεκομένων στην βλαβοδιαχείριση στελεχών της, καθώς διαπιστώθηκε ότι κρίσιμη πληροφορία στη διαδικασία της βλαβοδιαχείρισης είναι ο εντοπισμός του χρονικού σημείου στο οποίο ξεκίνησε το πρόβλημα που αναφέρει ο συνδρομητής, προκειμένου να διαπιστωθεί εάν το πρόβλημα αυτό μπορεί να συσχετισθεί με συγκεκριμένα γεγονότα τα οποία είναι γνωστό ότι έχουν επηρεάσει την απόδοση του δικτύου. Παραδείγματα τέτοιων γεγονότων είναι εργασίες που αφορούν αναβαθμίσεις λογισμικού σταθμών βάσης, αντικαταστάσεις/επεκτάσεις σταθμών βάσης και παρεμβολές. Επίσης, συχνές είναι οι περιπτώσεις συνδρομητών, που αντιμετωπίζουν προβλήματα στην ποιότητα των υπηρεσιών μετά από αλλαγή συσκευής. Σε όλες τις περιπτώσεις, είναι ιδιαίτερα σημαντικό να μπορεί να εξακριβωθεί εάν τα συγκεκριμένα προβλήματα που αναφέρει ο συνδρομητής μπορούν να συσχετισθούν με κάποιο από αυτά τα γεγονότα. Η COSMOTE επίσης προσθέτει ότι δεν είναι σπάνιες οι περιπτώσεις που ο ίδιος ο συνδρομητής καθυστερεί να επικοινωνήσει με την Εξυπηρέτηση Πελατών της εταιρείας και αναφέρει πρόβλημα ποιότητας των υπηρεσιών στις περιπτώσεις αυτές, είναι 10 χρήσιμη η ύπαρξη επαρκούς ιστορικότητας, ώστε να είναι εφικτή η διερεύνηση των προβλημάτων αυτών και η συσχέτιση με το γεγονός που τα προκάλεσε ώστε να γίνει η δρομολόγηση ενεργειών βλαβοδιαχείρισης. Δεύτερος σκοπός είναι η εξαγωγή στατιστικών συμπερασμάτων, τα οποία αξιοποιούνται για τον βέλτιστο σχεδιασμό του δικτύου κινητής τηλεφωνίας. Συγκεκριμένα, τα δεδομένα σχετικά με τις κλήσεις, εμπλουτίζονταν σε καθημερινή βάση με απλά προσωπικά δεδομένα (συγκεκριμένα: ARPU, οικονομικό πρόγραμμα, ηλικία και φύλο). Το αρχείο αυτό αναφέρεται εφεξής και ως «εμπλουτισμένο». Στη συνέχεια το συγκεκριμένο αρχείο ανωνυμοποιείται7 . Για παράδειγμα, ανάλογα με τα δημογραφικά χαρακτηριστικά των συνδρομητών που εξυπηρετούνται από έναν συγκεκριμένο σταθμό βάσης και τα έσοδα κάθε σταθμού, δρομολογείται και ο σχεδιασμός της αναβάθμισης του δικτύου στη συγκεκριμένη περιοχή από 3G σε 4G. Η ανωνυμοποίηση πραγματοποιείται με χρήση του αλγορίθμου SHA-2 σε συνδυασμό με κλειδί (salt key), το οποίο αλλάζει κάθε τρεις μήνες. Για τον περιορισμό του κινδύνου επαναταυτοποίησης των ανώνυμων δεδομένων, ο χρόνος διατήρησής τους περιορίζεται στους 12 μήνες. Ο χρόνος αυτός κρίνεται απαραίτητος από την εταιρεία, προκειμένου να εξάγονται ορθά συμπεράσματα για τη χρήση του δικτύου, λαμβάνοντας υπόψη ότι τα στοιχεία χρήσης μεταβάλλονται σημαντικά ανάλογα με την εποχή (π.χ. η χρήση αυξάνεται σε τουριστικές περιόδους). Σύμφωνα με την COSMOTE, η διαδικασία αυτή αποτελεί περαιτέρω επεξεργασία συμβατή προς τον σκοπό για τον οποίο συλλέχθηκαν αρχικά τα δεδομένα. Μέχρι τα τέλη Ιανουαρίου 2021 … το αρχείο αυτό δημιουργούνταν αφού πρώτα εμπλουτιζόταν το πρώτο («απλό») αρχείο με προσωπικά δεδομένα τα οποία δεν ανήκουν στις ειδικές κατηγορίες του άρθρου 9 του ΓΚΠΔ (ARPU, ηλικία και φύλο συνδρομητή, τύπος συμβολαίου). Στη συνέχεια, στο νέο αρχείο ανωνυμοποιούνταν τα αναγνωριστικά στοιχεία του εκάστοτε συνδρομητή (MSSDN, IMSI, ΙΜΕΙ). Κατόπιν επαναξιολόγησης της ανωτέρω διαδικασίας δημιουργίας του δεύτερου αρχείου, αυτή τροποποιήθηκε ώστε να μην διατηρούνται πλέον τα απλά προσωπικά δεδομένα του πρώτου αρχείου. Ειδικότερα, η αλλαγή που υλοποιήθηκε στη διαδικασία 7 Η χρήση του εν λόγω όρου κατά την παράθεση των απόψεων της COSMOTE γίνεται με βάση τα υπομνήματα της εταιρείας 11 ανωνυμοποίησης του εμπλουτισμένου αρχείου, με σκοπό την ισχυροποίησή της, έγκειται στο εξής: Πραγματοποιείται ανωνυμοποίηση στο αρχείο των κλήσεων, καθώς και στο αρχείο που περιέχει τα απλά προσωπικά δεδομένα. Στη συνέχεια τα δύο ανωτέρω αρχεία συνδυάζονται προκειμένου να διαμορφωθεί το δεύτερο αρχείο, το οποίο χρησιμοποιείται για στατιστική επεξεργασία. Πρόκειται επί της ουσίας για διαδικασία συνδυασμού δύο ξεχωριστών ανώνυμων αρχείων, οι πληροφορίες των οποίων συνδυάζονται με βάση μια μοναδική (ανώνυμο) συνδρομητή, ούτως ώστε να μπορεί να επιτευχθεί τιμή ανά έγκυρη αντιστοίχιση. Κατά τους ισχυρισμούς της COSMOTE, η εφαρμοζόμενη διαδικασία καθιστά τα δεδομένα ανώνυμα εκμηδενίζοντας την πιθανότητα επαναταυτοποίησης του αρχείου υπό την έννοια ότι:

1. i)Χρησιμοποιείται μη αναστρέψιμος μηχανισμός για την ανωνυμοποίηση των δεδομένων, μέσω των συναρτήσεων κατακερματισμού (SHA256).
2. ii)Για μεγαλύτερη ασφάλεια χρησιμοποιείται επιπλέον κλειδί, το οποίο αλλάζει περιοδικά. iii) Ο χρόνος διατήρησης των ανώνυμων δεδομένων είναι περιορισμένος.
3. iv)Πρόσβαση στα ανώνυμα δεδομένα έχει μόνο εξουσιοδοτημένο προσωπικό, με αποτέλεσμα να εκμηδενίζεται ο κίνδυνος κακόβουλων ενεργειών επαναταυτοποίησης των δεδομένων μέσω του συνδυασμού ανώνυμων και επώνυμων στοιχείων, ενώ το εν λόγω αρχείο δεν διατίθεται σε τρίτους.
4. v)Επιπλέον της εφαρμογής συνάρτησης κατακερματισμού (hash function) στα αναγνωριστικά των συνδρομητών, εφαρμόζονται μέτρα για την προστασία του κλειδιού. Συγκεκριμένα, το κλειδί (salt key) είναι προσβάσιμο μόνο από τον συστημικό λογαριασμό που υλοποιεί τη διαδικασία ανωνυμοποίησης.
5. vi)Τηρούνται αρχεία καταγραφής για την πρόσβαση στην εφαρμογή CEA (Customer Experience Analysis), τα οποία ελέγχονται σε καθημερινή βάση και επιβεβαιώνεται η αναγκαιότητα πρόσβασης στα δεδομένα συνδρομητών, ελέγχοντας π.χ. την ύπαρξη σχετικού αιτήματος συνδρομητή στο CRM σύστημα (Customer Relations Management) με αποτέλεσμα να εκμηδενίζεται ο κίνδυνος κακόβουλου συνδυασμού ανώνυμων και επώνυμων δεδομένων συνδρομητών με στόχο την επαναταυτοποίηση του ανώνυμου αρχείου. vii) Τέλος, τόσο στα επώνυμα, όσο και στα ανώνυμα δεδομένα εφαρμόζεται κρυπτογράφηση σε επίπεδο συστήματος αρχείων (Hadoop Distributed File System) 12 και χρησιμοποιείται αλγόριθμος AES-CTR με 128 bit κλειδί κρυπτογράφησης. Επιπλέον, κατά τη διεξαγωγή της Μελέτης Εκτίμησης Αντικτύπου (για την οποία ρωτήθηκε ειδικώς η COSMOTE από την Αρχή ως προς το αν εκπονήθηκε), ελήφθησαν υπόψη οι απαιτήσεις προστασίας δεδομένων σχετικά με την ανωνυμοποίηση / ψευδωνυμοποίηση δεδομένων. Στο αρχικό της υπόμνημα η εταιρεία είχε αναφέρει ότι σύμφωνα με τις εσωτερικές της διαδικασίες, οι λεπτομέρειες αναφορικά με την επεξεργασία που πραγματοποιείται ανά σύστημα καταγράφονται στο Ερωτηματολόγιο αρχικής αξιολόγησης θεμάτων προστασίας δεδομένων ως μέρος της τεκμηρίωσης για την εκτίμηση αντικτύπου. Τα αποτελέσματα της αξιολόγησης που προκύπτουν έχουν καταγραφεί. Η Μελέτη Εκτίμησης Αντίκτυπου, τα πλήρη αρχεία της οποίας έχουν προσκομιστεί στην Αρχή (όπως και τα ερωτηματολόγια αξιολόγησης), πραγματοποιήθηκε στο πλαίσιο υλοποίησης της διαδικασίας ανωνυμοποίησης τον 01/2019 και επικαιροποιήθηκε τον 03/2020, ενώ έχει εγκριθεί από την Υπεύθυνη Προστασίας Δεδομένων του Ομίλου ΟΤΕ. H COSMOTE, εν κατακλείδι, σημειώνει ότι από όλα τα ανωτέρω και με βάση την κοινή εμπειρία μπορεί με μεγάλη βεβαιότητα να υποστηριχθεί ότι έχουν ληφθεί όλα τα κατάλληλα μέτρα ώστε το εν λόγω ανώνυμο αρχείο να μην μπορεί αντικειμενικά να επαναταυτοποιηθεί λαμβάνοντας υπόψη αντικειμενικούς παράγοντες, όπως τα έξοδα και ο χρόνος που η διαδικασία επαναταυτοποίησης θα απαιτούσε. Ωστόσο, είναι μια διαδικασία η οποία επαναξιολογείται περιοδικά, στο πλαίσιο της τήρησης της αρχής της λογοδοσίας. Σε σχέση με τη νομική βάση για την επεξεργασία, η COSMOTE αναφέρει ότι η διαδικασία ανωνυμοποίησης των δεδομένων κίνησης και θέσης, όταν αυτά δεν είναι πλέον απαραίτητα για σκοπούς εξυπηρέτησης της σύμβασης, προβλέπεται ρητά στο άρθρο 6 παρ. 1 του Ν. 3471/2006. Παράλληλα, όπως σε κάθε είδους επεξεργασία, πέρα από την ύπαρξη κατάλληλης νομικής βάσης (εν προκειμένω την ύπαρξη ρητής νομοθετικής διάταξης), λήφθηκε υπόψη η υποχρέωση τήρησης των γενικών αρχών που διέπουν την επεξεργασία προσωπικών δεδομένων και ιδίως η αρχή του περιορισμού του σκοπού, η οποία διακηρύσσεται στο άρθρο 5 παρ. 1 εδαφ. β του ΓΚΠΔ. Περαιτέρω, όπως υποστηρίζει, έλαβε υπόψη της τη σχετική Γνώμη της Ομάδας Εργασίας του άρθρου 29 (WP 5/2014 σχετικά με τις τεχνικές ανωνυμοποίησης), 13 σύμφωνα με την οποία η διαδικασία της ανωνυμοποίησης αποτελεί περίπτωση «περαιτέρω επεξεργασίας», για την αξιολόγηση της οποίας πρέπει να εξεταστούν συγκεκριμένοι παράγοντες, όπως: η σχέση αρχικού και περαιτέρω σκοπού επεξεργασίας, οι εύλογες προσδοκίες των υποκειμένων των δεδομένων, η φύση των προσωπικών δεδομένων και οι πιθανές συνέπειες της περαιτέρω επεξεργασίας, καθώς και τα μέτρα που λαμβάνει ο υπεύθυνος επεξεργασίας για την προστασία των δεδομένων. Αποτέλεσμα της εν λόγω αξιολόγησης είναι, κατά την κρίση της COSMOTE, ότι η διαδικασία ανωνυμοποίησης των προσωπικών δεδομένων των συνδρομητών για σκοπούς στατιστικής ανάλυσης για τη βελτίωση του παρεχόμενου δικτύου αποτελεί σκοπό συμβατό με τον σκοπό για τον οποίο τα προσωπικά δεδομένα συλλέχθηκαν αρχικά. Αναφορικά με το χρονικό διάστημα τήρησης του εμπλουτισμένου αρχείου, επιλέχθηκε το ένα έτος, προκειμένου να καλύπτονται όλες οι εποχές του χρόνου, καθώς η χρήση του δικτύου διαφοροποιείται ανάλογα με την εποχή (π.χ. λόγω τουρισμού, μετακινήσεων σε αργίες) και με τον τρόπο αυτό δίνεται η δυνατότητα εξαγωγής αξιόπιστων συμπερασμάτων για τις ανάγκες βελτιστοποίησης του δικτύου. Πρόσβαση στα ανωτέρω αρχεία (απλό και εμπλουτισμένο) έχει αρμόδιο προσωπικό της COSMOTE – συγκεκριμένα, χρήστες από την εξυπηρέτηση πελατών, χρήστες τεχνικής υποστήριξης δικτύου, χρήστες οι οποίοι σχεδιάζουν και υλοποιούν τις λειτουργικότητες που παρέχονται από το σύστημα, οι διαχειριστές του συστήματος από το Τμήμα Network Planning & Analytics Systems - και η εταιρεία Intracom, η οποία παρέχει υπηρεσίες ανάπτυξης και τεχνικής υποστήριξης του συστήματος, ως εκτελών την επεξεργασία για λογαριασμό της COSMOTE. Απαντώντας σε σχετικό ερώτημα που τέθηκε από την Αρχή κατά τη διάρκεια της ακρόασης, η COSMOTE ενημέρωσε ότι κατά μέσο όρο έχει 4.700 (1.500 εκ των οποίων αφορούν θέματα κάλυψης) αιτήματα ανά μήνα συνδρομητών της που αφορούν θέματα βλαβών στο δίκτυο, ενώ το εμπλουτισμένο αρχείο χρησιμοποιείται καθημερινά κατά μέσο όρο 50 φορές, δεδομένου ότι αξιοποιείται για την εξαγωγή στατιστικών συμπερασμάτων, τα οποία εν συνεχεία συμβάλλουν στον αποτελεσματικότερο σχεδιασμό του δικτύου. H COSMOTE επίσης αναφέρει ενδεικτικές περιπτώσεις χρήσης του ανώνυμου αρχείου για τον ανωτέρω σκοπό. 14 Τέλος, αναφέρει ότι το αρχείο με τα επώνυμα δεδομένα τηρείται από το 2015, ενώ το εμπλουτισμένο από το 2019. Όσον αφορά την ενημέρωση των συνδρομητών της, η COSMOTE υποστηρίζει ότι αυτοί ενημερώνονται για την επεξεργασία των προσωπικών τους δεδομένων για τους σκοπούς βλαβοδιαχείρισης μέσω του κειμένου της Γενικής Ενημέρωσης σχετικά με την Επεξεργασία Προσωπικών Δεδομένων (Data Privacy Notice), το οποίο προσαρτάται στους Γενικούς Όρους Παροχής Υπηρεσιών της και αποτελεί τμήμα τους. Μέσω του κειμένου της Γενικής Ενημέρωσης παρέχονται στους συνδρομητές και υποψήφιους συνδρομητές λεπτομέρειες αναφορικά με την επεξεργασία προσωπικών δεδομένων που διενεργείται από την εταιρεία για σκοπούς εξυπηρέτησης της σύμβασης, καθώς και για άλλους σκοπούς. Ειδικότερα, στο άρθρο 3 του εν λόγω κειμένου ενημέρωσης αναφέρονται τα εξής: «3. Για ποιους σκοπούς επεξεργαζόμαστε τα προσωπικά σας δεδομέ να (νομιμοποιητικές βάσεις επεξεργασίας); Επεξεργαζόμαστε τα δεδομένα σας για να εξυπηρετήσουμε τη σύμβασή σας. Για να υπογράψετε σύμβαση παροχής υπηρεσιών σταθερής ή κινητής με τον ΟΤΕ ή/και την COSMOTE ή/και να υποβάλετε αίτηση με σκοπό τη σύναψή της, είναι απαραίτητο να μας γνωστοποιήσετε τα δεδομένα ταυτότητας (ονοματεπών υμο, πατρώνυμο, διεύθυνση, ΑΦΜ, αριθμός δελτίου ταυτότητας, στοιχεία επικοινωνίας κ.λπ.), τα οποία θα επεξεργαστούμε. Επιπλέον, αν γίνετε συνδρομητές μας, είναι απαραίτητο να επεξεργαστούμε τα δεδομένα κίνησης και θέσης σας (π.χ. εισερχόμενες και εξερχόμενες κλήσει ς, δεδομένα τοποθεσίας κ.λπ.) με σκοπό τη διαβίβαση της επικοινωνίας σας στο δίκτυο μας, τη χρέωσή σας ανάλογα με τη χρήση της κάθε υπηρεσίας, καθώς και την επίλυση προβλημάτων και την εξυπηρέτησή σας. Στο πλαίσιο της διασύνδεσης του δικτύου μας με σκοπό τη μετάδοση της επικοινωνίας, ενδέχεται να διαβιβάσουμε τα προσωπικά σας δεδομένα σε άλλα δίκτυα παρόχων που βρίσκονται εντός ή εκτός Ευρωπαϊκής Ένωσης. Η εν λόγω επεξεργασία, επομέν ω ς, πραγματοποιείται με σκοπό την εκτέλεση της μεταξύ μας σύμβασης και την παροχή σε εσάς των τηλεπικοινωνιακών υπηρεσιών μας ή ακόμα και κατόπιν 15 αιτήματός σας πριν την υπογραφή της σύμβασης». Περαιτέρω, όσον αφορά τη διάρκεια τήρησης των προσωπικών δεδομένων, στο άρθρο 5 του εν λόγω κειμένου ενημέρωσης περιλαμβάνονται τα εξής: «5. Για πόσο διάστημα θα διατηρήσουμε τα προσωπικά σας δεδομένα; Τα προσωπικά δεδομένα που αφορούν την ταυτότητά σας, αυτά που προκύπτουν από τη χρήση των υπηρεσιών διατηρούνται για όσο χρονικό διάστημα είστε ενεργοί συνδρομητές στο δίκτυο ΟΤΕ/ COSMOTE. Σε περίπτωση λύσης ή λήξης των συμβολαίων σας, τα δεδομένα σας διατηρούνται στα συστήματά μας για διάστημα δεκατεσσάρων

(14)μηνών, βάσει της ρυθμιστικής απαίτησης. […] Τα δεδομένα κίνησης διατηρούνται για την τιμολόγηση και την εξυπηρέτηση της σύμβασης για ένα έτος. Επίσης, ενδέχεται να διατηρηθούν και για άλλους σκοπούς μετά τη λήξη του συμβολαίου σας, όπως π.χ. σε περίπτωση οφειλής σας ή εκκρεμότητας κάποιου παραπόνου σας σε σχέση με την παροχή ή τιμολόγηση των υπηρεσιών μας, και για χρονικό διάστημα που ορίζει η ισχύουσα νομοθεσία. Τα δεδομένα θέσης διατηρούνται για τρεις μήνες με σκοπό την επίλυση προβλημάτων στο δίκτυό μας και τη βελτίωση της υπηρεσίας που σας προσφέρουμε». Ανωτέρω στο ίδιο κείμενο και συγκεκριμένα στο άρθρο 1 παρέχεται ο ορισμός των δεδομένων κίνησης και θέσης (με απλό και κατανοητό για τον μέσο συνδρομητή τρόπο, όπως αναφέρει η COSMOTE). Η COSMOTE αναφέρει ότι η ανωτέρω ενημέρωση πληροί τις απαιτήσεις τόσο των άρθρων 13 και 14 του Κανονισμού όσο και των Κατευθυντήριων γραμμών της Ομάδας Εργασίας του άρθρου 29 σχετικά με τη διαφάνεια βάσει του Κανονισμού 2016/679 και συγκεκριμένα παρέχεται ενημέρωση με τρόπο απλό και σαφή, με γραπτά μέσα και δωρεάν. Επιπλέον, η ενημέρωση αναφορικά με την επεξεργασία των προσωπικών δεδομένων είναι άμεσα διαθέσιμη και στην ιστοσελίδα της COSMOTE 8, ενώ το κείμενο είναι διαθέσιμο για όσους επιθυμούν να το «κατεβάσουν». Αναφορικά με την ενημέρωση των συνδρομητών για τη χρήση του ανώνυμου 8 Στην ιστοσελίδα https://www.cosmot e.gr /c s/c osm ote /gr/dat aprivac ypolic y.ht ml 16 αρχείου, το κείμενο της Γενικής Ενημέρωσης αναφορικά με την επεξεργασία των Προσωπικών Δεδομένων από τις εταιρείες ΟΤΕ και COSMOTE (Data Privacy Notice) κάνει ρητή αναφορά στη διαδικασία της ανωνυμοποίησης (άρθρο 5 του κειμένου), όπου αναφέρονται επί λέξει τα εξής: «... Σε αντίθετη περίπτωση τα δεδομένα σας θα διαγραφούν με τρόπο που να μην είναι τεχνικά εφικτή η ανάκτησή τους ή θα ανωνυμοποιηθούν. Η ανωνυμοποίηση είναι η εφαρμογή πρακτικών σε προσωπικά στοιχεία που τα καθιστούν ανώνυμα, έτσι ώστε να μην είναι πλέον εφικτό να αναγνωριστεί από τις πληροφορίες αυτές ποια είναι η ταυτότητά σας. Η χρήση ανώνυμων δεδομένων είναι εξαιρετικά σημαντική για εμάς, γιατί μας βοηθάει στην εξαγωγή χρήσιμων συμπερασμάτων αναφορικά με τη χρήση των υπηρεσιών μας και, παράλληλα, αποτελεί ένα χρήσιμο εργαλείο στον σχεδιασμό vέων υπηρεσιών». Παρέχεται έτσι με τρόπο απλό και κατανοητό - όπως αναφέρει η COSMOTE - στον συνδρομητή ή στον υποψήφιο συνδρομητή ενημέρωση αναφορικά με την ανωνυμοποίηση των δεδομένων του για σκοπούς εξαγωγής στατιστικών συμπερασμάτων και ανάπτυξης νέων υπηρεσιών. Αναφορικά με το ρόλο της COSMOTE στην παραμετροποίηση του εξυπηρετητή αντιγράφων που αναφέρεται στο εμπιστευτικό Παράρτημα Α, η εταιρεία αναφέρει ότι ο ΟΤΕ και η COSMOTE λειτουργούν ανά περίπτωση ως ανεξάρτητοι ή από κοινού υπεύθυνοι επεξεργασίας, καθώς ενδέχεται τα προσωπικά δεδομένα που φυλάσσονται στον εν λόγω server να αφορούν συστήματα του ΟΤΕ ή της COSMOTE ή ακόμα και των δύο εταιρειών, με αποτέλεσμα αυτές να ορίζουν από κοινού ή ανεξάρτητα τους σκοπούς και τα μέσα επεξεργασίας των δεδομένων, καθώς και τα εφαρμοζόμενα μέτρα ασφάλειας. Οι δύο εταιρείες, παρά το αίτημα της Αρχής κατά την ακρόαση, δεν προσκόμισαν κανένα στοιχείο από το οποίο να προκύπτει ο καθορισμός των ρόλων και η κατανομή των αρμοδιοτήτων μεταξύ τους, όπως για παράδειγμα συμφωνία με βάση το άρθρο 26 ΓΚΠΔ σε περίπτωση από κοινού ελέγχου ή σύμβαση υπευθύνου και εκτελούντα την επεξεργασία με βάση το άρθρο 28 ΓΚΠΔ. Δεδομένης της λειτουργικής ενοποίησης των δύο εταιρειών, χρησιμοποιούνται κοινές υποδομές, συστήματα και ανθρώπινοι πόροι, ενώ εφαρμόζονται κοινές πολιτικές, διαδικασίες και τεχνικά και οργανωτικά μέτρα. Το γεγονός αυτό, κατά την COSMOTE, δεν καθιστά αυτόματα τις δύο εταιρείες ως από κοινού Υπεύθυνους 17 Επεξεργασίας, καθώς μόνη η χρήση κοινών συστημάτων δεν καθιστά πάντοτε τα εμπλεκόμενα από κοινού Υπευθύνους Επεξεργασίας (η COSMOTE παραπέμπει σχετικά στις Κατευθυντήριες Γραμμές 07/2020 του ΕΣΠΔ για τις έννοιες των υπευθύνων επεξεργασίας και εκτελούντων την επεξεργασία). Τέλος, επισημαίνει ότι η κάθε εταιρεία είναι υπεύθυνη για την λήψη των κατάλληλων μέτρων προστασίας των προσωπικών δεδομένων, που η ίδια επεξεργάζεται. Στη συγκεκριμένη περίπτωση, δεδομένου ότι το περιστατικό αφορά την παραβίαση δεδομένων συνδρομητών COSMOTE, αναφέρει ότι υπεύθυνη για τη λήψη των κατάλληλων μέτρων ασφάλειας ήταν η COSMOTE, η οποία αμέσως μετά την εκδήλωση του περιστατικού, έλαβε μέτρα, ώστε να μην είναι πλέον δικτυακά δυνατή η πρόσβαση στα δεδομένα της. Η COSMOTE αναφέρει ότι πέραν του γεγονότος ότι η υποδομή την οποία χρησιμοποίησε ο επιτιθέμενος (hacker) για να επιτεθεί στην COSMOTE ανήκει στον ΟΤΕ, δεν εντοπίζεται άλλη συμμετοχή του οργανισμού στο περιστατικό. Αντίστοιχα και ο ΟΤΕ υποστηρίζει ότι η μόνη εμπλοκή του με το περιστατικό είναι ότι η υποδομή αυτή αποτέλεσε το σημείο εισόδου του επιτιθέμενου, παρότι η εταιρεία είχε λάβει κατάλληλα μέτρα. Η εν λόγω υποδομή είχε κατηγοριοποιηθεί ως σύστημα που δεν φιλοξενεί ούτε επεξεργάζεται προσωπικά δεδομένα, αλλά εφαρμόζονταν κατά το χρόνο του περιστατικού επαρκή μέτρα ασφάλειας, βάσει των πολιτικών που αναφέρονται στο υπόμνημα. Ο ΟΤΕ υποστηρίζει ότι δεν εντοπίζεται καμία πρόσβαση σε δεδομένα συνδρομητών ή πελατών του η οποία να συνιστά περιστατικό παραβίασης δεδομένων και ότι πραγματοποιήθηκαν άμεσα βελτιώσεις στην παραμετροποίηση της υποδομής. Το σύστημα αυτό ήταν διασυνδεδεμένο με κεντρικό κοινό (των δύο εταιρειών) server, η δικτυακή παραμετροποίηση του οποίου επέτρεψε την πρόσβαση στα δεδομένα της COSMOTE. Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου και αφού άκουσε τους εισηγητές και τους βοηθούς εισηγητές, οι οποίοι (βοηθοί) αποχώρησαν μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ 18

1. Σύμφωνα με το άρθρο 4 στοιχ. 1 του ΓΚΠΔ, ως δεδομένο προσωπικού χαρακτήρα ορίζεται κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου.
2. Περαιτέρω, σύμφωνα με το άρθρο 4 στοιχ. 5 του ΓΚΠΔ, ως ψευδωνυμοποίηση ορίζεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά τρόπο ώστε τα δεδομένα να μην μπορούν πλέον να αποδοθούν σε συγκεκριμένο υποκείμενο των δεδομένων χωρίς τη χρήση συμπληρωματικών πληροφοριών, εφόσον οι εν λόγω συμπληρωματικές πληροφορίες διατηρούνται χωριστά και υπόκεινται σε τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλιστεί ότι δεν μπορούν να αποδοθούν σε ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Επισημαίνεται ότι, σύμφωνα με την αιτιολογική σκέψη 26 του Κανονισμού, δεδομένα προσωπικού χαρακτήρα που έχουν υποστεί ψευδωνυμοποίηση, η οποία θα μπορούσε να αποδοθεί σε φυσικό πρόσωπο με τη χρήση συμπληρωματικών πληροφοριών, θα πρέπει να θεωρούνται πληροφορίες σχετικά με ταυτοποιήσιμο φυσικό πρόσωπο. Στην ίδια αιτιολογική σκέψη αναφέρεται ότι οι αρχές της προστασίας δεδομένων θα πρέπει να εφαρμόζονται σε κάθε πληροφορία η οποία αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο, καθώς επίσης και ότι για να κριθεί κατά πόσον ένα φυσικό πρόσωπο είναι ταυτοποιήσιμο, θα πρέπει να λαμβάνονται υπόψη όλα τα μέσα τα οποία είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν, όπως για παράδειγμα ο διαχωρισμός του, είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο για την άμεση ή έμμεση εξακρίβωση της ταυτότητας του φυσικού προσώπου. Για να διαπιστωθεί κατά πόσον κάποια μέσα είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν για την εξακρίβωση της ταυτότητας του φυσικού προσώπου, θα πρέπει να λαμβάνονται υπόψη όλοι οι αντικειμενικοί παράγοντες, όπως τα έξοδα και ο χρόνος που απαιτούνται για την ταυτοποίηση, λαμβανομένων υπόψη της τεχνολογίας που είναι διαθέσιμη κατά τον χρόνο της 19 επεξεργασίας και των εξελίξεων της τεχνολογίας. Οι αρχές της προστασίας δεδομένων δεν θα πρέπει συνεπώς να εφαρμόζονται σε ανώνυμες πληροφορίες, δηλαδή πληροφορίες που δεν σχετίζονται προς ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο ή σε δεδομένα προσωπικού χαρακτήρα που έχουν καταστεί ανώνυμα κατά τρόπο ώστε η ταυτότητα του υποκειμένου των δεδομένων να μην μπορεί ή να μην μπορεί πλέον να εξακριβωθεί.
3. Σύμφωνα με το άρθρο 5 του ΓΚΠΔ, θεμελιώδεις αρχές για τη νόμιμη επεξεργασία προσωπικών δεδομένων αποτελούν, κατά την παράγραφο 1 αυτού: α) η αρχή της διαφάνειας της επεξεργασίας («τα δεδομένα υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων»), β) η αρχή του περιορισμού του σκοπού («τα δεδομένα συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· η περαιτέρω επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς δεν θεωρείται ασύμβατη με τους αρχικούς σκοπούς σύμφωνα με το άρθρο 89 παράγραφος 1), γ) η αρχή της ελαχιστοποίησης των δεδομένων («τα δεδομένα είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία», δ) η αρχή της ακρίβειας («τα δεδομένα είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται· πρέπει να λαμβάνονται όλα τα εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση δεδομένων προσωπικού χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς της επεξεργασίας), ε) η αρχή του περιορισμού του χρόνου αποθήκευσης («τα δεδομένα διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα· τα δεδομένα προσωπικού χαρακτήρα μπορούν να αποθηκεύονται για μεγαλύτερα διαστήματα, εφόσον τα δεδομένα προσωπικού χαρακτήρα θα υποβάλλονται σε επεξεργασία μόνο για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς, σύμφωνα με το άρθρο 89 παράγραφος 1 και εφόσον εφαρμόζονται τα κατάλληλα τεχνικά και οργανωτικά μέτρα που απαιτεί ο παρών κανονισμός για τη διασφάλιση των 20 δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων), στ) η αρχή της εμπιστευτικότητας και ακεραιότητας («τα δεδομένα υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων».
4. Περαιτέρω, σύμφωνα με το άρθρο 5 παρ. 2 του ΓΚΠΔ ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του ιδίου άρθρου. Με άλλα λόγια, με τον ΓΚΠΔ υιοθετήθηκε ένα μοντέλο συμμόρφωσης με κεντρικό πυλώνα την εν λόγω αρχή της λογοδοσίας, σύμφωνα με την οποία ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις και, επιπλέον, οφείλει να είναι σε θέση να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ.
5. Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη μόνο εάν ισχύει τουλάχιστον μία από τις προϋποθέσεις που τίθενται στο άρθρο 6 παρ. 1 του ΓΚΠΔ, όπως: «(…) β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ' αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης, (…), στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί». Εφόσον μία εκ των παραπάνω προϋποθέσεων συντρέχει, τότε αυτή αποτελεί και τη νομική βάση για την επεξεργασία. Περαιτέρω, στην παρ. 4 του ιδίου άρθρου αναφέρεται: «Όταν η επεξεργασία για σκοπό άλλο από αυτόν για τον οποίο έχουν συλλεγεί τα δεδομένα προσωπικού χαρακτήρα δεν βασίζεται στη συγκατάθεση του υποκειμένου των δεδομένων ή στο δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους το οποίο αποτελεί αναγκαίο και 21 αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση των σκοπών που αναφέρονται στο άρθρο 23 παράγραφος 1, ο υπεύθυνος επεξεργασίας, προκειμένου να εξακριβωθεί κατά πόσο η επεξεργασία για άλλο σκοπό είναι συμβατή με τον σκοπό για τον οποίο συλλέγονται αρχικώς τα δεδομένα προσωπικού χαρακτήρα, λαμβάνει υπόψη, μεταξύ άλλων: α) τυχόν σχέση μεταξύ των σκοπών για τους οποίους έχουν συλλεχθεί τα δεδομένα προσωπικού χαρακτήρα και των σκοπών της επιδιωκόμενης περαιτέρω επεξεργασίας, β) το πλαίσιο εντός του οποίου συλλέχθηκαν τα δεδομένα προσωπικού χαρακτήρα, ιδίως όσον αφορά τη σχέση μεταξύ των υποκειμένων των δεδομένων και του υπευθύνου επεξεργασίας, γ) τη φύση των δεδομένων προσωπικού χαρακτήρα, ιδίως για τις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία, σύμφωνα με το άρθρο 9, ή κατά πόσο δεδομένα προσωπικού χαρακτήρα που σχετίζονται με ποινικές καταδίκες και αδικήματα υποβάλλονται σε επεξεργασία, σύμφωνα με το άρθρο 10, δ) τις πιθανές συνέπειες της επιδιωκόμενης περαιτέρω επεξεργασίας για τα υποκείμενα των δεδομένων, ε) την ύπαρξη κατάλληλων εγγυήσεων, που μπορεί να περιλαμβάνουν κρυπτογράφηση ή ψευδωνυμοποίηση».
6. Αναφορικά με την αρχή της διαφάνειας της επεξεργασίας, ο ΓΚΠΔ θέτει συγκεκριμένες υποχρεώσεις στους υπευθύνους επεξεργασίας ως προς την ενημέρωση που οφείλουν να παρέχουν στα υποκείμενα των δεδομένων. Ειδικότερα, σύμφωνα με το άρθρο 12 παρ. 1 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στο άρθρο 13 – στο οποίο ειδικώς γίνεται αναφορά στο ότι «όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες: α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας, β) τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων, κατά περίπτωση, γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, δ) εάν η 22 επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο στ), τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ή από τρίτο, ε) τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, εάν υπάρχουν (…)» (βλ. παρ. 1 του άρθρου 13 του ΓΚΠΔ). Περαιτέρω, στην παρ. 2 του ιδίου άρθρου, αναφέρεται ότι «εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων τις εξής επιπλέον πληροφορίες που είναι αναγκαίες για την εξασφάλιση θεμιτής και διαφανούς επεξεργασίας: α) το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, β) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για πρόσβαση και διόρθωση ή διαγραφή των δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας που αφορούν το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην επεξεργασία, καθώς και δικαιώματος στη φορητότητα των δεδομένων, γ) όταν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο α) ή στο άρθρο 9 παράγραφος 2 στοιχείο α), την ύπαρξη του δικαιώματος να ανακαλέσει τη συγκατάθεσή του οποτεδήποτε, χωρίς να θιγεί η νομιμότητα της επεξεργασίας που βασίστηκε στη συγκατάθεση πριν από την ανάκλησή της, δ) το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, ε) κατά πόσο η παροχή δεδομένων προσωπικού χαρακτήρα αποτελεί νομική ή συμβατική υποχρέωση ή απαίτηση για τη σύναψη σύμβασης, καθώς και κατά πόσο το υποκείμενο των δεδομένων υποχρεούται να παρέχει τα δεδομένα προσωπικού χαρακτήρα και ποιες ενδεχόμενες συνέπειες θα είχε η μη παροχή των δεδομένων αυτών, στ) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που αναφέρεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων». Εξάλλου, στην παρ. 3 του ιδίου άρθρου αναφέρεται ότι «Όταν ο υπεύθυνος επεξεργασίας προτίθεται να επεξεργαστεί περαιτέρω τα δεδομένα προσωπικού χαρακτήρα για άλλο σκοπό από εκείνο για τον οποίο τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν, ο υπεύθυνος επεξεργασίας παρέχει στο 23 υποκείμενο των δεδομένων, πριν από την εν λόγω περαιτέρω επεξεργασία, πληροφορίες για τον σκοπό αυτόν και άλλες τυχόν αναγκαίες πληροφορίες, όπως αναφέρεται στην παράγραφο 2».
7. Σύμφωνα με το άρθρο 24 παρ. 1 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας, λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με το ΓΚΠΔ, ενώ επίσης τα εν λόγω μέτρα επανεξετάζονται και επικαιροποιούνται όταν κρίνεται απαραίτητο. Περαιτέρω, σύμφωνα με το άρθρο 32 του ΓΚΠΔ, «λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, περιλαμβανομένων, μεταξύ άλλων, κατά περίπτωση: (…) δ) διαδικασίας για την τακτική δοκιμή, εκτίμηση και αξιολόγηση της αποτελεσματικότητας των τεχνικών και των οργανωτικών μέτρων για τη διασφάλιση της ασφάλειας της επεξεργασίας». Εξάλλου, στην παράγραφο 2 αυτού, αναφέρεται ότι «κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία».
8. Σύμφωνα με το άρθρο 25 παρ. 1 του ΓΚΠΔ, όπου περιγράφεται η αρχή της προστασίας των δεδομένων ήδη από το σχεδιασμό, «λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις 24 ελευθερίες των φυσικών προσώπων από την επεξεργασία, ο υπεύθυνος επεξεργασίας εφαρμόζει αποτελεσματικά, τόσο κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας όσο και κατά τη στιγμή της επεξεργασίας, κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως η ψευδωνυμοποίηση, σχεδιασμένα για την εφαρμογή αρχών προστασίας των δεδομένων, όπως η ελαχιστοποίηση των δεδομένων, και την ενσωμάτωση των απαραίτητων εγγυήσεων στην επεξεργασία κατά τρόπο ώστε να πληρούνται οι απαιτήσεις του παρόντος κανονισμού και να προστατεύονται τα δικαιώματα των υποκειμένων των δεδομένων». Τα ανωτέρω ισχύουν για κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα. Περαιτέρω, σύμφωνα με το άρθρο 35 του ΓΚΠΔ, «όταν ένα είδος επεξεργασίας, ιδίως με χρήση νέων τεχνολογιών και συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας διενεργεί, πριν από την επεξεργασία, εκτίμηση των επιπτώσεων των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία δεδομένων προσωπικού χαρακτήρα».
9. Στο άρθρο 2 παρ. 3 και 4 του Ν. 3471/2006, ο οποίος ενσωματώνει στην εθνική έννομη τάξη την Οδηγία 2002/58/ΕΚ, ορίζονται αντίστοιχα οι έννοιες των δεδομένων κίνησης και δεδομένων θέσης. Ειδικότερα: «(…)
10. «δεδομένα κίνησης»: τα δεδομένα που υποβάλλονται σε επεξεργασία για τους σκοπούς της διαβίβασης μίας επικοινωνίας σε δίκτυο ηλεκτρονικών επικοινωνιών ή της χρέωσής της.
11. «δεδομένα θέσης»: τα δεδομένα που υποβάλλονται σε επεξεργασία σε δίκτυο ηλεκτρονικών επικοινωνιών ή από μια υπηρεσία ηλεκτρονικών επικοινωνιών και που υποδεικνύουν τη γεωγραφική θέση του τερματικού εξοπλισμού του χρήστη μια διαθέσιμης στο κοινό υπηρεσίας ηλεκτρονικών επικοινωνιών.
12. Στα άρθρα 5 και 6 του ίδιου νόμου θεσπίζονται ειδικές προϋποθέσεις για τη νομιμότητα επεξεργασίας προσωπικών δεδομένων στο πλαίσιο παροχής και χρήσης υπηρεσιών ηλεκτρονικών επικοινωνιών, στις οποίες περιλαμβάνονται και οι υπηρεσίες κινητής τηλεφωνίας σύμφωνα με το άρθρο 2 παρ. 8 του νόμου. Συγκεκριμένα: Σύμφωνα με το άρθρο 5 του Ν. 3471/2006 («Κανόνες επεξεργασίας»), «
13. Η επεξεργασία των δεδομένων προσωπικού χαρακτήρα, 25 περιλαμβανομένων των δεδομένων κίνησης και θέσης, πρέπει να περιορίζεται στο απολύτως αναγκαίο μέτρο για την εξυπηρέτηση των σκοπών της.
14. Η επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται μόνον εφόσον: … β) η επεξεργασία είναι αναγκαία για την εκτέλεση σύμβασης, στην οποία ο συνδρομητής ή ο χρήστης είναι συμβαλλόμενο μέρος, ή για τη λήψη μέτρων κατά το προσυμβατικό στάδιο, μετά από αίτηση του συνδρομητή. (…)
15. Ο σχεδιασμός και η επιλογή των τεχνικών μέσων και των πληροφοριακών συστημάτων, καθώς και ο εξοπλισμός για την παροχή διαθεσίμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών, πρέπει να γίνονται με βασικό κριτήριο την επεξεργασία όσο το δυνατόν λιγότερων δεδομένων προσωπικού χαρακτήρα». Περαιτέρω, σύμφωνα με το άρθρο 6 του Ν. 3471/2006 («Δεδομένα κίνησης και θέσης»), «
16. Τα δεδομένα κίνησης που αφορούν συνδρομητές και χρήστες, τα οποία υποβάλλονται σε επεξεργασία και αποθηκεύονται από τον φορέα παροχής δημοσίου δικτύου ή και διαθέσιμης στο κοινό υπηρεσίας ηλεκτρονικών επικοινωνιών, με τη λήξη της επικοινωνίας καταστρέφονται ή καθίστανται ανώνυμα, με την επιφύλαξη του ν. 3917/2011 (Α`22), καθώς και των παραγράφων 2 έως 6 του παρόντος άρθρου.
17. Για τη χρέωση των συνδρομητών και την πληρωμή των διασυνδέσεων, εφόσον είναι αναγκαίο, ο φορέας παροχής δημόσιου δικτύου ή διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών, επιτρέπεται να επεξεργάζεται τα δεδομένα κίνησης. Ο φορέας παροχής υπηρεσιών ηλεκτρονικών επικοινωνιών ενημερώνει τον συνδρομητή σχετικά με τον τύπο των δεδομένων κίνησης που υποβάλλονται σε επεξεργασία, καθώς και σχετικά με τη διάρκεια της επεξεργασίας. Η επεξεργασία αυτή για το σκοπό της χρέωσης και πληρωμής επιτρέπεται για χρονικό διάστημα που δεν μπορεί να υπερβαίνει τους δώδεκα

(12)μήνες από την ημερομηνία της επικοινωνίας, εκτός και αν αμφισβητήθηκε ο λογαριασμός ή δεν εξοφλήθηκε. Στην περίπτωση αυτή η επεξεργασία επιτρέπεται μέχρι την αμετάκλητη επίλυση της διαφοράς. Η διαβίβαση των δεδομένων κίνησης σε άλλο φορέα παροχής δημοσίου δικτύου ή διαθέσιμης στο κοινό υπηρεσίας ηλεκτρονικών επικοινωνιών επιτρέπεται για το σκοπό της χρέωσης των παρεχόμενων υπηρεσιών, υπό τον όρο ότι ο συνδρομητής ή ο χρήστης ενημερώνεται με τρόπο σαφή και πρόσφορο, εγγράφως ή με ηλεκτρονικά μέσα, κατά την κατάρτιση 26 της σύμβασης ή πριν τη διαβίβαση. Ομοίως, επιτρέπεται η διαβίβαση των αναγκαίων δεδομένων κίνησης και των δεδομένων προσωπικού χαρακτήρα που αφορούν στη σύμβαση με αποκλειστικό σκοπό την είσπραξη του λογαριασμού, υπό τον όρο ότι ο συνδρομητής ή ο χρήστης ενημερώνεται με τρόπο σαφή και πρόσφορο, εγγράφως ή με ηλεκτρονικά μέσα, κατά την κατάρτιση της σύμβασης ή πριν τη διαβίβαση….»

1. Αναφορικά με την ασφάλεια της επεξεργασίας, το άρθρο 12 του Ν. 3471/2006 ορίζει ότι: «
2. Ο φορέας παροχής διαθεσίμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών οφείλει να λαμβάνει τα ενδεδειγμένα τεχνικά και οργανωτικά μέτρα, προκειμένου να προστατεύεται η ασφάλεια των υπηρεσιών του, καθώς και η ασφάλεια του δημοσίου δικτύου ηλεκτρονικών επικοινωνιών. Τα μέτρα αυτά, εφόσον είναι αναγκαίο, λαμβάνονται από κοινού με τον φορέα παροχής του δημοσίου δικτύου ηλεκτρονικών επικοινωνιών, πρέπει δε να εγγυώνται επίπεδο ασφαλείας ανάλογο προς τον υπάρχοντα κίνδυνο, λαμβανομένων υπόψη αφ' ενός των πλέον προσφάτων τεχνικών δυνατοτήτων αφ' ετέρου δε του κόστους εφαρμογής τους. (…)
3. (…) με τα μέτρα του παρόντος άρθρου κατ` ελάχιστον: α) εξασφαλίζεται ότι πρόσβαση σε δεδομένα προσωπικού χαρακτήρα μπορεί να έχει μόνον εξουσιοδοτημένο προσωπικό για νομίμως εγκεκριμένους σκοπούς, β) προστατεύονται τα αποθηκευμένα ή διαβιβασθέντα δεδομένα προσωπικού χαρακτήρα από τυχαία ή παράνομη καταστροφή, τυχαία απώλεια ή αλλοίωση και από μη εξουσιοδοτημένη ή παράνομη επεξεργασία, συμπεριλαμβανομένης της αποθήκευσης, πρόσβασης ή αποκάλυψης και γ) διασφαλίζεται η εφαρμογή πολιτικής ασφάλειας σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συναφείς ειδικές διατάξεις, καθώς και Κανονισμοί Ανεξαρτήτων Αρχών, εξακολουθούν να ισχύουν. (…)
4. Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ο φορέας παροχής διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών γνωστοποιεί αμελλητί την παραβίαση στην Α.Π.∆.Π.Χ. και στην Α.∆.Α.Ε.. (…)
5. Όταν η παραβίαση δεδομένων προσωπικού χαρακτήρα ενδέχεται να έχει δυσμενείς επιπτώσεις στα δεδομένα προσωπικού χαρακτήρα ή την ιδιωτική ζωή του συνδρομητή ή άλλου ατόμου, ο φορέας ενημερώνει αμελλητί για την παραβίαση αυτή και τον θιγόμενο συνδρομητή ή το θιγόμενο άτομο. (…)» 27
6. Σύμφωνα με την αιτιολογική σκέψη 10 της Οδηγίας 2002/58/ΕΚ, στον τομέα των ηλεκτρονικών επικοινωνιών, η οδηγία 95/46/ΕΚ εφαρμόζεται ιδίως σε όλα τα ζητήματα που αφορούν την προστασία των θεμελιωδών δικαιωμάτων και ελευθεριών που δεν καλύπτονται ρητά από τις διατάξεις της παρούσας οδηγίας, συμπεριλαμβανομένων των υποχρεώσεων του υπεύθυνου επεξεργασίας και των ατομικών δικαιωμάτων. Περαιτέρω, το άρθρο 95 του ΓΚΠΔ ορίζει ότι ο Κανονισμός δεν επιβάλλει πρόσθετες υποχρεώσεις σε σχέση με την εν λόγω Οδηγία.
7. Το ΕΣΠΔ εξέδωσε τη Γνώμη 5/2019 σχετικά με την αλληλεπίδραση μεταξύ της Οδηγίας 2002/58/ΕΚ για την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών (στο εξής αναφερόμενη ως «Οδηγία») και του ΓΚΠΔ, ιδίως όσον αφορά την αρμοδιότητα, τα καθήκοντα και τις εξουσίες των αρχών προστασίας δεδομένων. Μάλιστα, στην παρ. 39 της εν λόγω Γνώμης αναφέρεται ότι το άρθρο 6 της Οδηγίας, το οποίο αφορά την επεξεργασία των «δεδομένων κίνησης», αποτελεί παράδειγμα περίπτωσης στην οποία «εξειδικεύονται» οι διατάξεις του ΓΚΠΔ. Συνήθως, η επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να δικαιολογηθεί βάσει καθενός από τους νόμιμους λόγους που αναφέρονται στο άρθρο 6 του ΓΚΠΔ. Ωστόσο, το πλήρες φάσμα των πιθανών νόμιμων λόγων που προβλέπονται στο άρθρο 6 του ΓΚΠΔ δεν μπορεί να εφαρμοστεί από τον πάροχο υπηρεσίας ηλεκτρονικών επικοινωνιών στην επεξεργασία των δεδομένων κίνησης, διότι το άρθρο 6 της Οδηγίας περιορίζει ρητά τις περιπτώσεις στις οποίες είναι δυνατή η επεξεργασία δεδομένων κίνησης, συμπεριλαμβανομένων των δεδομένων προσωπικού χαρακτήρα. Στην περίπτωση αυτή, οι ειδικότερες διατάξεις της οδηγίας για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες πρέπει να υπερισχύουν των γενικότερων διατάξεων του ΓΚΠΔ. Ωστόσο, το άρθρο 6 της Οδηγίας δεν περιορίζει την εφαρμογή άλλων διατάξεων του ΓΚΠΔ, όπως τα δικαιώματα του υποκειμένου των δεδομένων. Επίσης, δεν αναιρείται η απαίτηση ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να είναι σύννομη και θεμιτή (άρθρο 5 παράγραφος 1 στοιχείο α) του ΓΚΠΔ). Στη σκέψη 45 της εν λόγω Γνώμης αναφέρεται ότι όταν υπάρχουν ειδικές διατάξεις που διέπουν μια συγκεκριμένη πράξη επεξεργασίας ή ένα σύνολο πράξεων επεξεργασίας, θα πρέπει να εφαρμόζονται οι ειδικές διατάξεις (lex specialis), ενώ, σε όλες τις άλλες 28 περιπτώσεις (δηλαδή όταν δεν υπάρχουν ειδικές διατάξεις που να διέπουν μια συγκεκριμένη πράξη επεξεργασίας ή ένα σύνολο πράξεων επεξεργασίας) εφαρμόζεται ο γενικός κανόνας (lex generalis). Η αιτιολογική σκέψη 173 του ΓΚΠΔ επιβεβαιώνει ότι, όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα στην οποία δεν εφαρμόζονται οι ειδικές υποχρεώσεις της Οδηγίας, εξακολουθεί να εφαρμόζεται ο ΓΚΠΔ: «σε όλα τα θέματα που αφορούν την προστασία θεμελιωδών δικαιωμάτων και ελευθεριών έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και τα οποία δεν υπάγονται στις ειδικές υποχρεώσεις που έχουν τον ίδιο στόχο, όπως περιγράφονται στην οδηγία 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, περιλαμβανομένων των υποχρεώσεων του υπευθύνου επεξεργασίας και των δικαιωμάτων των φυσικών προσώπων». Η αιτιολογική σκέψη αυτή επαναλαμβάνει τα ήδη προβλεπόμενα στην αιτιολογική σκέψη 10 της Οδηγίας, η οποία αναφέρει ότι: «Στον τομέα των ηλεκτρονικών επικοινωνιών, η οδηγία 95/46/ΕΚ [ήδη ο Κανονισμός (ΕΕ) 2016/679] εφαρμόζεται ιδίως σε όλα τα ζητήματα που αφορούν την προστασία των θεμελιωδών δικαιωμάτων και ελευθεριών που δεν καλύπτονται ρητά από τις διατάξεις της παρούσας οδηγίας, συμπεριλαμβανομένων των υποχρεώσεων του υπεύθυνου επεξεργασίας και των ατομικών δικαιωμάτων.» Η Γνώμη 5/2019 του ΕΣΠΔ αναφέρει ως παράδειγμα ότι, ένας πάροχος δημόσιου δικτύου επικοινωνιών ή διαθέσιμης στο κοινό υπηρεσίας ηλεκτρονικών επικοινωνιών πρέπει να συμμορφώνεται με τους εθνικούς κανόνες που μεταφέρουν στο εθνικό δίκαιο το άρθρο 6 παράγραφος 2 της Οδηγίας σχετικά με τα δεδομένα κίνησης όταν επεξεργάζεται δεδομένα που είναι αναγκαία για τους σκοπούς της χρέωσης των συνδρομητών και των πληρωμών διασύνδεσης. Λόγω της απουσίας ειδικών διατάξεων για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες όσον αφορά, π.χ., το δικαίωμα πρόσβασης, εφαρμόζονται οι διατάξεις του ΓΚΠΔ. Ομοίως η αιτιολογική σκέψη 32 της Οδηγίας επιβεβαιώνει ότι όταν ο πάροχος ηλεκτρονικής υπηρεσίας επικοινωνιών ή υπηρεσίας προστιθέμενης αξίας αναθέτει υπεργολαβικώς σε άλλο φορέα την επεξεργασία δεδομένων προσωπικού χαρακτήρα απαραίτητων για την παροχή αυτών των υπηρεσιών, η υπεργολαβία αυτή και η συνακόλουθη επεξεργασία των δεδομένων θα πρέπει να συμμορφώνεται πλήρως προς τις απαιτήσεις όσον 29 αφορά τους υπευθύνους και τους εκτελούντες επεξεργασία, όπως ορίζονται ήδη στον ΓΚΠΔ.
8. Στη συγκεκριμένη περίπτωση, αρχείο προσωπικών δεδομένων που τηρεί η COSMOTE διέρρευσε προς άγνωστους τρίτους το του 2020, λόγω επιτυχούς επίθεσης ασφαλείας που πραγματοποιήθηκε. Συνεπώς, προκύπτει περιστατικό παραβίασης δεδομένων προσωπικού χαρακτήρα, το οποίο αφορά συνδρομητές της εταιρείας, αλλά και στοιχεία συνδρομητών άλλων τηλεπικοινωνιακών παρόχων για όσους, κατά το επίμαχο διάστημα, υπήρξε ηλεκτρονική επικοινωνία τους με συνδρομητές της COSMOTE, και εμπίπτει στην υποχρέωση γνωστοποίησης του άρθρου 12 παρ. 5 του Ν. 3471/2006, όπως και έπραξε η εταιρεία. Περαιτέρω, καθώς η COSMOTE έκρινε ότι η παραβίαση ενδέχεται να έχει δυσμενείς επιπτώσεις στα δεδομένα προσωπικού χαρακτήρα ή την ιδιωτική ζωή των συνδρομητών ή άλλων ατόμων, προχώρησε και σε ενημέρωση των θιγόμενων συνδρομητών και ατόμων, όπως επιτάσσει η παρ. 6 του ιδίου άρθρου.
9. Πριν την εξέταση των ζητημάτων ασφάλειας κατά την επεξεργασία, είναι απαραίτητο να αξιολογηθεί η νομιμότητα των δραστηριοτήτων επεξεργασίας τις οποίες εξυπηρετεί το αρχείο που διέρρευσε προερχόμενο από το σύστημα μαζικών δεδομένων «Big Streamer». Πρώτος σκοπός επεξεργασίας είναι η χρήση δεδομένων θέσης και κίνησης για σκοπούς βλαβοδιαχείρισης. Κατά την COSMOTE, ως νομική βάση για την εν λόγω επεξεργασία αναφέρεται η «εκτέλεση σύμβασης» κατά το άρθρο 5 παρ. 2β Ν. 3471/2006 σε συνδυασμό με το 6 παρ. 1β του ΓΚΠΔ. Η τεκμηρίωση που προβάλλεται από την εταιρεία έγκειται στο γεγονός ότι, εκ του υφιστάμενου θεσμικού πλαισίου (το οποίο αναλύεται εκτενώς στα υπομνήματά της), η COSMOTE έχει υποχρέωση κατά την παροχή των υπηρεσιών της να διαθέτει συγκεκριμένα ποιοτικά χαρακτηριστικά και αποτελεσματικές διαδικασίες βλαβοδιαχείρισης. Επομένως, η βλαβοδιαχείριση αποτελεί λειτουργία που εύλογα αναμένεται από τους ίδιους τους συνδρομητές της ότι αποτελεί αναπόσπαστο κομμάτι της παρεχόμενης υπηρεσίας, ενώ η συνάφεια της σχέσης της διαδικασίας βλαβοδιαχείρισης με την παροχή των τηλεπικοινωνιακών υπηρεσιών είναι τέτοια ώστε η εν λόγω διαδικασία να μην μπορεί να προσφερθεί στους συνδρομητές της ως υπηρεσία προστιθέμενης αξίας. Αναφορικά με το γεγονός ότι το άρθρο 6 του Ν. 3471/2006 θέτει περιορισμούς στην επεξεργασία 30 δεδομένων θέσης και κίνησης, η COSMOTE υποστηρίζει ότι οι παρ. 2 και 3 του άρθρου 6 του νόμου αυτού θα πρέπει να ερμηνεύονται υπό το πρίσμα των γενικότερων ερμηνευτικών κανόνων του άρθρου 5 παρ. 2 του ιδίου νόμου και ότι οι διατάξεις του άρθρου 6 ρυθμίζουν ειδικότερα αυτές τις περιπτώσεις επεξεργασίας δεδομένων κίνησης και θέσης (δηλαδή την επεξεργασία με σκοπό την χρέωση και την πληρωμή των διασυνδέσεων, καθώς και την επεξεργασία για την παροχή υπηρεσιών προστιθέμενης αξίας) και δεν καταργούν τη διάταξη του άρθρου 5 παρ. 2, το οποίο, σε περίπτωση αντίθετης ερμηνείας, κατά την COSMOTE δεν έχει λόγο ύπαρξης. Η επεξεργασία προσωπικών δεδομένων στον τομέα των ηλεκτρονικών επικοινωνιών ρυθμίζεται από τον Ν. 3471/2006, ο οποίος πρέπει να ερμηνεύεται υπό το φως της Οδηγίας 2002/58/ΕΚ την οποία και ενσωμάτωσε στο ελληνικό δίκαιο, όπως αυτή επεξηγείται μέσω των αιτιολογικών της σκέψεων και ερμηνεύεται από τις αποφάσεις του ΔΕΕ. Ο σκοπός της διαχείρισης βλαβών είναι στενά συνδεδεμένος με τη συμβατική σχέση μεταξύ παρόχου και συνδρομητή και την τιμολόγησή του, όπως προκύπτει από την αιτιολογική σκέψη υπ’ αριθμ. 29 της Οδηγίας, σύμφωνα με την οποία «Ο πάροχος υπηρεσίας μπορεί να υποβάλλει σε επεξεργασία δεδομένα κίνησης που αφορούν συνδρομητές και χρήστες όταν απαιτείται σε επιμέρους περιπτώσεις προκειμένου να εντοπίζει τεχνικές βλάβες ή σφάλματα κατά τη διαβίβαση επικοινωνιών. […]». Ωστόσο, όπως ρητά αναφέρεται στην αιτιολογική σκέψη υπ’ αριθμ. 30 «[τ]α συστήματα για την παροχή ηλεκτρονικών επικοινωνιακών δικτύων και υπηρεσιών θα πρέπει να σχεδιάζονται έτσι ώστε να περιορίζουν την ποσότητα των απαιτούμενων δεδομένων προσωπικού χαρακτήρα στο ελάχιστο δυνατό», σύμφωνα εξάλλου και με την αρχή της ελαχιστοποίησης των δεδομένων (άρθ. 5 παρ. 1 στοιχ. γ) ΓΚΠΔ). Περαιτέρω, το ΔΕΕ έχει κρίνει9 ότι η αρχή του απορρήτου των επικοινωνιών που κατοχυρώνεται με την Οδηγία 2002/58/ΕΚ περιλαμβάνει, μεταξύ άλλων, όπως προκύπτει από το άρθρο της 5, παράγραφος 1, δεύτερο εδάφιο, την απαγόρευση, καταρχήν, της αποθήκευσης των συναφών με ηλεκτρονικές επικοινωνίες δεδομένων κίνησης από άλλα πρόσωπα πλην των χρηστών, χωρίς τη 9 Βλ. απόφαση στις συνεξεταζόμενες υποθέσεις C 203/15 και C 698/15 - Tele2 Sverige AB/Watson, σκέψεις 82-
10. 31 συγκατάθεση των ενδιαφερομένων χρηστών. Εξαιρούνται μόνον τα νομίμως εξουσιοδοτημένα πρόσωπα, σύμφωνα με το άρθρο 15, παράγραφος 1, της οδηγίας αυτής, και η τεχνική αποθήκευση η οποία είναι αναγκαία για τη διαβίβαση επικοινωνίας. Επομένως, και όπως επιβεβαιώνεται από τις αιτιολογικές σκέψεις 22 και 26 της Οδηγίας, η επεξεργασία και η αποθήκευση των δεδομένων κινήσεως επιτρέπονται δυνάμει του άρθρου 6 της οδηγίας αυτής μόνο στην απαιτούμενη έκταση και για την απαιτούμενη διάρκεια για την τιμολόγηση των υπηρεσιών, την εμπορική προώθησή τους ή την παροχή υπηρεσιών προστιθεμένης αξίας (Απόφαση C-203/15 και C-698/15 - Tele2 Sverige AB/Watson, §85-86), αλλά και για τους σκοπούς εντοπισμού τεχνικών βλαβών η σφαλμάτων σε επιμέρους μόνο περιπτώσεις, όπως προκύπτει από την αιτιολογική σκέψη 29, όπως αναφέρθηκε παραπάνω. Συνεπώς, με τον τρόπο αυτό πρέπει να ερμηνευθεί το άρθρο 610 της Οδηγίας, καθώς και το άρθρο 6 του ελληνικού Ν. 3471/
11. Πρέπει επίσης να σημειωθεί ότι οι υποχρεώσεις για την ποιότητα στην παροχή υπηρεσιών στους συνδρομητές οι οποίες και καθορίζονται από τους σχετικούς κανονισμούς της ΕΕΤΤ και κώδικες δεοντολογίας δεν επιβάλλουν ούτε και αναφέρουν ότι απαιτείται η εκ των προτέρων καθολική τήρηση για συγκεκριμένο χρονικό διάστημα όλων ανεξαιρέτως των δεδομένων θέσης και κίνησης για τους σκοπούς της βλαβοδιαχείρισης. Ο στόχος της ποιοτικής παροχής υπηρεσιών δεν προϋποθέτει 10 Ειδικότερα, στο άρθρο 6 της Οδηγίας αναφέρονται τα εξής: «
12. Τα δεδομένα κίνησης που αφορούν συνδρομητές και χρήστες, τα οποία υποβάλλονται σε επεξεργασία και αποθηκεύονται από τον πάροχο δημόσιου δικτύου ή διαθέσιμης στο κοινό υπηρεσίας ηλεκτρονικών επικοινωνιών, πρέπει να απαλείφονται ή να καθίστανται ανώνυμα όταν δεν είναι πλέον απαραίτητα για το σκοπό της μετάδοσης μιας επικοινωνίας, με την επιφύλαξη των παραγράφων 2, 3 και 5 του παρόντος άρθρου και του άρθρου 15 παράγραφος 1».
13. Τα δεδομένα κίνησης που είναι απαραίτητα για τη χρέωση των συνδρομητών και την πληρωμή των διασυνδέσεων μπορούν να υποβάλλονται σε επεξεργασία. Η επεξεργασία αυτή επιτρέπεται μόνον έως το τέλος της χρονικής περιόδου εντός της οποίας δύναται να αμφισβητείται νομίμως ο λογαριασμός ή να επιδιώκεται η πληρωμή.
14. Για την εμπορική προώθηση των υπηρεσιών ηλεκτρονικών επικοινωνιών ή για την παροχή υπηρεσιών προστιθέμενης αξίας, ο πάροχος διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών μπορεί να επεξεργάζεται τα δεδομένα που αναφέρονται στην παράγραφο 1 στην απαιτούμενη έκταση και για την απαιτούμενη διάρκεια για αυτή την υπηρεσία ή την εμπορική προώθηση, εφόσον ο συνδρ ομητής ή ο χρήστης τον οποίο αφορούν δίδει προηγουμένως τη συγκατάθεσή του. Στους χρήστες ή συνδρομητές πρέπει να δίνεται η δυνατότητα να ανακαλούν οποτεδήποτε τη συγκατάθεσή τους για την επεξεργασία των δεδομένων κίνησης.
15. Ο φορέας παροχής υπηρεσιών πρέπει να ενημερώνει τον συνδρομητή ή τον χρήστη σχετικά με τον τύπο των δεδομένων κίνησης που υποβάλλονται σε επεξεργασία και τη διάρκεια της επεξεργασίας αυτής για τους σκοπούς που αναφέρονται στην παράγραφο 2 και, πριν από τη χορήγηση της συγκατάθεσης, για τους σκοπούς που αναφέρονται στην παράγραφο 3». 32 μια τέτοιας έκτασης επεξεργασία. Λαμβανομένων υπόψη των ανωτέρω, προς το σκοπό της βλαβοδιαχείρισης θα ήταν επιτρεπτή μόνο η τήρηση περιορισμένου υποσυνόλου δεδομένων κίνησης, σε επιμέρους περιπτώσεις, στον βαθμό και για το χρόνο που αυτό απαιτείται για να εντοπιστούν συγκεκριμένες τεχνικές βλάβες ή συγκεκριμένα σφάλματα, ενώ δεν υφίσταται νομική βάση στην οποία θα μπορούσε να στηριχθεί η τήρηση του συνόλου των δεδομένων κίνησης επί τρίμηνο, όπως στην εξεταζόμενη υπόθεση. Εξάλλου, η εν λόγω επεξεργασία άρχισε, όπως αναφέρει η COSMOTE, το 2015 γεγονός το οποίο υποδηλώνει ότι για όλα τα προηγούμενα έτη λειτουργίας της εταιρείας, κατά τα οποία ίσχυε επίσης το ίδιο νομικό πλαίσιο που υποχρεώνει την εταιρεία να παρέχει υπηρεσίες με συγκεκριμένα ποιοτικά χαρακτηριστικά, οι επιδιωκόμενοι σκοποί – συμπεριλαμβανομένης της βλαβοδιαχείρισης - μπορούσαν να επιτευχθούν χωρίς την εν λόγω επεξεργασία.
16. Συναφώς δε, η COSMOTE εκπόνησε για την εν λόγω επεξεργασία εκτίμηση αντικτύπου ως προς την προστασία των προσωπικών δεδομένων (εφεξής, ΕΑΠΔ). Αν και η εν λόγω εκτίμηση αντικτύπου βασίστηκε σε μία μεθοδολογία του ICO 11 που έγκειται στην απάντηση συγκεκριμένων ερωτήσεων, από τις οποίες απαντήσεις καταδεικνύεται, μεταξύ άλλων, και η αναγκαιότητα της επεξεργασίας σε σχέση με τους κινδύνους που απορρέουν, δεν φαίνεται ότι η μεθοδολογία αυτή εφαρμόστηκε κατά τον ορθό τρόπο αφού οι απαντήσεις που παρέχει η COSMOTE, ως υπεύθυνος επεξεργασίας, δεν είναι τεκμηριωμένες και, ως εκ τούτου, δεν καταδεικνύεται ότι έχουν εξεταστεί όλοι οι κίνδυνοι (ενδεικτικό παράδειγμα: σε ερώτηση «Είναι εφικτή η επίτευξη του σκοπού χωρίς την συγκεκριμένη επεξεργασία;» δίνεται η απάντηση «Όχι, δεν είναι δυνατόν να εξυπηρετηθούν τα αιτήματα βλαβοδιαχείρισης των συνδρομητών χωρίς την επεξεργασία των συγκεκριμένων προσωπικών δεδομένων»). Σύμφωνα με το άρθρο 35 παρ. 7 του ΓΚΠΔ η ΕΑΠΔ οφείλει να περιέχει τουλάχιστον συγκεκριμένα στοιχεία, μεταξύ των οποίων και εκτίμηση της αναγκαιότητας και της αναλογικότητας των πράξεων επεξεργασίας σε συνάρτηση με τους σκοπούς. Επομένως, ο ΓΚΠΔ προκρίνει την αναλυτική εξέταση των πράξεων επεξεργασίας κατά την εκπόνηση της ΕΑΠΔ. Κάθε 11 UK Information Commissioner – Η εποπτική αρχή προστασίας δεδομένων του Ηνωμένου Βασιλείου 33 κρίση που περιέχεται σε αυτή πρέπει να είναι τεκμηριωμένη και κάθε απάντηση να είναι κατάλληλα αιτιολογημένη. Συνεπώς, προκύπτει παράβαση του άρθρου 35 παρ. 7 του ΓΚΠΔ, καθώς το περιεχόμενο της ΕΑΠΔ δεν είναι επαρκές, ειδικά ως προς την εκτίμηση της αναγκαιότητας και της αναλογικότητας της επεξεργασίας.
17. Όσον αφορά τις υποχρεώσεις διαφάνειας σε σχέση με τη βλαβοδιαχείριση, αν και υπήρχε ενημέρωση στους συνδρομητές για την εν λόγω επεξεργασία, η εν λόγω ενημέρωση δεν μπορεί να χαρακτηριστεί ακριβής και πλήρης διότι δεν είναι σαφής η ενημέρωση ως προς το σκοπό επεξεργασίας σε σχέση με το χρόνο τήρησης (εν προκειμένω 90 ημέρες), ανεξαρτήτως του ότι, σύμφωνα με όσα εκτίθενται σε προηγούμενη σκέψη, δεν ήταν νόμιμη η τήρηση του συνόλου των δεδομένων επί τρίμηνο. Στο κείμενο ενημέρωσης, για τα μεν δεδομένα κίνησης ο σκοπός αναφέρεται εμμέσως ως «εξυπηρέτηση της σύμβασης», χωρίς να καθίσταται σαφές ότι για λόγους βλαβοδιαχείρισης τα δεδομένα τηρούνται επί τρίμηνο, για τα δε δεδομένα θέσης ο ίδιος σκοπός αναφέρεται πιο ειδικά ως «επίλυση προβλημάτων στο δίκτυο και βελτίωση της υπηρεσίας». Μάλιστα η COSMOTE τηρεί δεδομένα τόσο των συνδρομητών της, όσο και συνδρομητών τρίτων παρόχων, τα οποία όσον αφορά τα δεδομένα που σχετίζονται με τις κλήσεις συλλέγονται απευθείας από τα πρόσωπα αυτά κατά τη χρήση των υπηρεσιών τηλεφωνίας της, άρα εφαρμοστέο είναι το άρθρο 13 του ΓΚΠΔ, ενώ όσον αφορά τα δεδομένα θέσης, συλλέγονται από τον ίδιο τον πάροχο, άρα εφαρμοστέο είναι το άρθρο 14 του ΓΚΠΔ. Συνεπώς προκύπτει παράβαση της αρχής της διαφάνειας (αρ. 5 παρ. 1 α) ΓΚΠΔ) και των άρθρων 13 και 14 του ΓΚΠΔ λόγω ασαφούς και ελλιπούς ενημέρωσης.
18. Δεύτερος σκοπός επεξεργασίας είναι η επεξεργασία τόσο του αρχείου δεδομένων κίνησης και θέσης όσο και των λοιπών προσωπικών δεδομένων των συνδρομητών (εμπλουτισμένο αρχείο) με σκοπό την εξαγωγή στατιστικών συμπερασμάτων για σκοπούς ανάπτυξης του δικτύου. Όπως προκύπτει από το φάκελο της υπόθεσης, το αρχείο αυτό εξυπηρετεί ένα σκοπό ο οποίος μπορεί, κατ΄ αρχήν, να επιτευχθεί με χρήση ανωνυμοποιημένων δεδομένων. Σε τούτο συνηγορεί εξάλλου και η COSMOTE, η οποία αναφέρει ότι πραγματοποιεί ανωνυμοποίηση, για τον εν λόγω σκοπό, όπως προβλέπεται να γίνεται μετά τη λήξη της επικοινωνίας με βάση το άρθρο 6 παρ. 1 του Ν. 3471/
19. Ωστόσο, σε σχέση με τη διαδικασία που 34 ακολουθεί η COSMOTE για την ανωνυμοποίηση, προκύπτουν τα εξής: Κατά το χρόνο του περιστατικού και νωρίτερα, το αρχείο τηρούνταν, σε μη ανωνυμοποιημένη μορφή για διάστημα τριμήνου, μετά την πάροδο του οποίου ακολουθούσε η διαδικασία ανωνυμοποίησης. Κατά τη διάρκεια του τριμήνου, τα εμπλουτισμένα δεδομένα δεν ήταν σε ανωνυμοποιημένη (ούτε ψευδωνυμοποιημένη) μορφή. Αυτό άλλωστε είναι και το αρχείο το οποίο αφορά η διαρροή. Συνεπώς, πέραν του ότι δεν προκύπτει ότι υπάρχει νομική βάση για τη δημιουργία και τήρηση με σκοπό την εξαγωγή στατιστικών συμπερασμάτων του αρχικού, μη εμπλουτισμένου («απλού»), αρχείου προσωπικών δεδομένων όπως περιγράφηκε ανωτέρω, δεν υπάρχει νομική βάση ούτε για τη δημιουργία και τήρηση του εμπλουτισμένου, μη ανωνυμοποιημένου αρχείου αφού, για τους σκοπούς του εμπλουτισμένου αρχείου, αυτό θα έπρεπε να είναι σε μορφή ανωνυμοποιημένη. Ο ΓΚΠΔ πράγματι προβλέπει, στο άρθρο 5 παρ. 1 στοιχ. β’ του ΓΚΠΔ αναφορικά με την αρχή του περιορισμού του σκοπού, ότι η περαιτέρω επεξεργασία για στατιστικούς σκοπούς δεν θεωρείται ασύμβατη με τους αρχικούς σκοπούς, αλλά παραπέμπει σχετικώς στα όσα ορίζονται στο άρθρο 89 παράγραφος 1, όπου εκεί υπάρχει ρητή αναφορά ως προς το ότι «η επεξεργασία (…) για στατιστικούς σκοπούς υπόκειται σε κατάλληλες εγγυήσεις, (…), ως προς τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων (…). Οι εν λόγω εγγυήσεις διασφαλίζουν ότι έχουν θεσπιστεί τα τεχνικά και οργανωτικά μέτρα, ιδίως για να διασφαλίζουν την τήρηση της αρχής της ελαχιστοποίησης των δεδομένων. Τα εν λόγω μέτρα μπορούν να περιλαμβάνουν τη χρήση ψευδωνύμων, εφόσον οι εν λόγω σκοποί μπορούν να εκπληρωθούν κατ' αυτόν τον τρόπο. Εφόσον οι εν λόγω σκοποί μπορούν να εκπληρωθούν από περαιτέρω επεξεργασία η οποία δεν επιτρέπει ή δεν επιτρέπει πλέον την ταυτοποίηση των υποκειμένων των δεδομένων, οι εν λόγω σκοποί εκπληρώνονται κατ' αυτόν τον τρόπο». Η δε αναφορά σε συμβατό σκοπό δεν καθιερώνει νομική βάση για την επεξεργασία των δεδομένων κίνησης, η οποία θα μπορούσε να θεμελιωθεί μόνο στο άρθρο 6 του Ν. 3471/2006, όπως αναπτύσσεται σε προηγούμενες σκέψεις. Άλλωστε, η COSMOTE, αναγνωρίζοντας ότι δεν είναι αναγκαία η τήρηση του εμπλουτισμένου αρχείου σε μη ανωνυμοποιημένη μορφή, έχει τροποποιήσει τις διαδικασίες της από τον Ιανουάριο του 2021 έτσι ώστε αυτό το (νέου τύπου) εμπλουτισμένο 35 αρχείο πλέον δεν περιέχει, σε καμία χρονική στιγμή, τα άμεσα αναγνωριστικά στοιχεία του εκάστοτε συνδρομητή (MSSDN, IMSI, ΙΜΕΙ). Ακόμα όμως και μετά την τροποποίηση αυτή, η επεξεργασία πραγματοποιείται με συνδυασμό των δεδομένων κίνησης του εκάστοτε συνδρομητή με εμπορικές του πληροφορίες (τιμολογιακό πρόγραμμα συνδρομητή, ηλικία, φύλο, ARPU), άρα ακόμα κι αν θεωρηθεί ότι πραγματοποιείται πράγματι ανωνυμοποίηση, προηγείται της ανωνυμοποίησης διαδικασία συσχέτισης των δεδομένων, η οποία αποτελεί επεξεργασία χωρίς νομική βάση, που λαμβάνει χώρα κατά παράβαση των άρθρων 5 και 6 του Ν. 3471/
21. Από την ανάλυση της διαδικασίας για την ανωνυμοποίηση των δεδομένων, τόσο αυτής που ίσχυε κατά την επίμαχη περίοδο, όσο όμως και της βελτιωμένης – κατά τα ανωτέρω – που εφαρμόστηκε στη συνέχεια, προκύπτει ότι τα δεδομένα που εν τέλει χρησιμοποιούνται για το δεύτερο σκοπό είναι ψευδωνυμοποιημένα και όχι ανωνυμοποιημένα. Σύμφωνα με τη μέθοδο αυτή, στα αναγνωριστικά στοιχεία του εκάστοτε συνδρομητή εφαρμόζεται κρυπτογραφική συνάρτηση κατακερματισμού (hash function) με χρήση μυστικού κλειδιού (“salt”), το οποίο φυλάσσεται ξεχωριστά και προστατεύεται. To «salt» αλλάζει κάθε τρεις μήνες. H COSMOTE τηρεί το μυστικό κλειδί και γνωρίζει επίσης και τα αναγνωριστικά στοιχεία των συνδρομητών της, άρα μπορεί ανά πάσα στιγμή, για το διάστημα του τριμήνου κατά το οποίο το salt δεν έχει καταστραφεί, να αντιστοιχίσει κάθε κατακερματισμένη τιμή (που εμφανίζεται στο - φερόμενο ως ανωνυμοποιημένο αρχείο) με το αντίστοιχο αναγνωριστικό του συνδρομητή. Στη νέα μέθοδο που η COSMOTE εφαρμόζει από τον Ιανουάριο του 2021, η εταιρεία είναι σε θέση να συνενώσει κατάλληλα δύο αρχεία που τα χαρακτηρίζει ως ανωνυμοποιημένα, λόγω του ότι κάθε συνδρομητής της αντιστοιχεί σε μοναδική κατακερματισμένη τιμή στα δύο αρχεία. Όμως, η ίδια η COSMOTE στα έγγραφά της, αναφορικά με την τεκμηρίωση της αποτελεσματικότητας της διαδικασίας, αναφέρεται σε «περιορισμό του κινδύνου επαναταυτοποίησης των ανώνυμων δεδομένων», κάτι που επίσης υποδεικνύει ότι πρόκειται για ψευδωνυμοποίηση και όχι ανωνυμοποίηση. Συνεπώς, η εν λόγω επεξεργασία αποτελεί ψευδωνυμοποίηση, κατά την έννοια του άρθρου 4 στοιχ. 5 του ΓΚΠΔ, όπου οι συμπληρωματικές πληροφορίες που επιτρέπουν την ταυτοποίηση και χρήζουν προστασίας 36 συνίστανται στο μυστικό κλειδί («salt»), το οποίο πράγματι, με βάση την περιγραφή της COSMOTE, τηρείται χωριστά και υπόκειται σε τεχνικά και οργανωτικά μέτρα ασφάλειας. Άρα, τα εν λόγω δεδομένα είναι προσωπικά δεδομένα και όχι ανώνυμα, οπότε για το εν λόγω εμπλουτισμένο αρχείο έχει εφαρμογή ο ΓΚΠΔ12, σύμφωνα με τις διατάξεις του οποίου ο τρόπος αυτός επεξεργασίας δεν οδηγεί σε σύννομη επεξεργασία, αφού τα δεδομένα παραμένουν προσωπικά και όχι ανώνυμα. Συνεπώς, προκύπτει ότι η εφαρμοζόμενη διαδικασία ανωνυμοποίησης του «εμπλουτισμένου» αρχείου, τόσο πριν τον Ιανουάριο του 2021 (μετά την πάροδο τριμήνου) όσο και μετά, δεν διασφαλίζει την ανωνυμία των τηρούμενων δεδομένων, αλλά απλώς την τήρηση προσωπικών δεδομένων σε ψευδωνυμοποιημένη μορφή. Αυτό αποτελεί παράβαση του άρθρου 25 παρ. 1 του ΓΚΠΔ από την COSMOTE καθώς δεν εφαρμόστηκαν κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας και κατά τη στιγμή της επεξεργασίας, κατάλληλα τεχνικά και οργανωτικά μέτρα για να διασφαλιστεί η ορθή εφαρμογή διαδικασίας ανωνυμοποίησης.
22. Περαιτέρω, δεν υπήρχε καμία ενημέρωση στα υποκείμενα των δεδομένων για αυτήν την επεξεργασία (ήτοι την τήρηση του εμπλουτισμένου αρχείου, σε μη ανωνυμοποιημένη/ψευδωνυμοποιημένη μορφή). Στο κείμενο ενημέρωσης υπάρχει αναφορά για την τήρηση δεδομένων για τρεις μήνες με σκοπό την βελτίωση της υπηρεσίας, χωρίς να προκύπτει από αυτή την ενημέρωση η τήρηση όλων των κατηγοριών των δεδομένων κίνησης (συμπεριλαμβανομένων των δεδομένων θέσης) που περιλαμβάνονται στο αρχείο ούτε ο συνδυασμός τους με άλλα προσωπικά δεδομένα (όπως φύλο, ηλικία, πρόγραμμα συνδρομητή, ARPU) για το σκοπό της εξαγωγής στατιστικών στοιχείων και της βελτιστοποίησης του δικτύου. Επισημαίνεται ότι, ακόμα και αν θεωρηθεί ότι ο σκοπός της στατιστικής επεξεργασίας των ως άνω δεδομένων για τη βελτιστοποίηση του δικτύου αποτελεί 12 Σημειώνεται επίσης ότι ακόμα και αν το μυστικό κλειδί (salt) διαγραφόταν απευθείας, οπότε δεν θα ήταν επιτρεπτή η ανάκτηση των αρχικών αναγνωριστικών των χρηστών από το νέο, μη αναστρέψιμο, αναγνωριστικό, δεν προκύπτει ως αυτόματο συμπέρασμα ότι τα εν λόγω δεδομένα είναι ανωνυμοποιημένα. Λαμβάνοντας υπόψη τον όγκο της πληροφορίας για την κάθε καταχώρηση αυτού του αρχείου, θα έπρεπε η Cosmote ως υπεύθυνος επεξεργασίας να διερευνήσει αν πράγματι δεν είναι εφικτή η ταυτοποίηση κάποιου χρήστη λαμβάνοντας υπόψη όλα τα εύλογα μέσα που μπορεί να διαθέσει κάποιος ο οποίος θα έχει πρόσβαση στο εν λόγω αρχείο, Μία τέτοια ανάλυση/αποτίμηση δεν φαίνεται ότι έγινε. 37 συμβατό σκοπό περαιτέρω επεξεργασίας, για τον οποίο δεν απαιτείται χωριστή νομική βάση από εκείνη που επέτρεψε την αρχική συλλογή των δεδομένων, σε κάθε περίπτωση πρέπει να τηρείται η υποχρέωση ενημέρωσης των υποκειμένων κατά τα άρθρα 13 παρ. 3 και 14 παρ. 4 του ΓΚΠΔ, όπου ορίζεται ότι ο υπεύθυνος επεξεργασίας οφείλει να παρέχει στο υποκείμενο των δεδομένων, πριν από την περαιτέρω επεξεργασία, πληροφορίες για το νέο σκοπό και άλλες αναγκαίες πληροφορίες. Εν προκειμένω, η ενημέρωση που παρέχεται δεν είναι πλήρης. Συγκεκριμένα, στο κείμενο της Γενικής Ενημέρωσης για την Επεξεργασία Προσωπικών Δεδομένων του παρόχου, αναφέρονται τα εξής: « (…) Σε αvτίθετη περίπτωση τα δεδομένα σας θα διαγραφούν με τρόπο που vα μην είναι τεχνικά εφικτή η ανάκτησή τους ή θα αvωνυμοποιηθούv. Η αvωvυμοποίηση είναι η εφαρμογή πρακτικών σε προσωπικά στοιχεία που τα καθιστούv αvώvυμα, έτσι ώστε να μην είναι πλέον εφικτό vα αναγνωριστεί από τις πληροφορίες αυτές ποια είναι η ταυτότητά σας. Η χρήση αvώvυμωv δεδομένων είναι εξαιρετικά σημαvτική για εμάς, γιατί μας βοηθάει στηv εξαγωγή χρήσιμωv συμπερασμάτωv αναφορικά με τη χρήση των υπηρεσιών μας και, παράλληλα, αποτελεί ένα χρήσιμο εργαλείο στον σχεδιασμό vέωv υπηρεσιών». Πέραν του ότι η COSMOTE αναφέρεται σε ανωνυμοποίηση, το οποίο, όπως προαναφέρθηκε, δεν είναι ακριβές, από το κείμενο προκύπτει ότι αυτή η ανωνυμοποίηση (όπως χαρακτηρίζεται από την COSMOTE) πραγματοποιείται μόνο όταν με οποιονδήποτε τρόπο λήξει η σύμβαση του συνδρομητή με την COSMOTE – ενώ, τελικά, ισχύει για όλους τους ενεργούς συνδρομητές, όσους χρησιμοποιούν το δίκτυο με περιαγωγή και όσους δέχονται κλήσεις από συνδρομητές. Συνεπώς, από τα παραπάνω, προκύπτει παράβαση της αρχής της διαφάνειας (αρ. 5 παρ. 1 εδαφ. α’ ΓΚΠΔ) και των άρθρων 13 και 14 του ΓΚΠΔ λόγω ασαφούς και ελλιπούς ενημέρωσης.
23. Από την εξέταση των στοιχείων του φακέλου προκύπτουν ευπάθειες σε σχέση με τα μέτρα ασφάλειας, οι οποίες αξιοποιήθηκαν άμεσα ή έμμεσα από τον επιτιθέμενο κατά το περιστατικό. Οι ευπάθειες αυτές αναπτύσσονται αναλυτικά στο εμπιστευτικό παράρτημα Γ της απόφασης. Διαπιστώνονται συνολικά έξι ευπάθειες, εκ των οποίων η πρώτη αφορά σύστημα το οποίο δεν σχετίζεται με τις υπό εξέταση δραστηριότητες επεξεργασίας – ωστόσο, λόγω ιδίως όχι ορθών ρυθμίσεων στις ενδότερες δικτυακές συνδέσεις, η 38 πρώτη αυτή ευπάθεια αποτέλεσε το εφαλτήριο για τον εισβολέα. Στις λοιπές ευπάθειες, διαπιστώνεται ότι η COSMOTE αποτελεί τον υπεύθυνο επεξεργασίας σε σχέση με τους δύο επιδιωκόμενους σκοπούς του αρχείου που αποτέλεσε αντικείμενο του περιστατικού. Όσον αφορά τα μέτρα ασφάλειας, διαπιστώνεται ότι η ευθύνη της COSMOTE δεν είναι αποκλειστική. Τα μέτρα ασφάλειας λαμβάνονται, στην πράξη, από κοινού με τον ΟΤΕ. Τούτο προκύπτει από την ανάλυση των ευπαθειών των πολιτικών και των σχετικών ρυθμίσεων που οδήγησαν στην παραβίαση της ασφάλειας σε σχέση με τις εν λόγω επεξεργασίες. Ο καθορισμός των μέτρων ασφάλειας ανήκει στον ΟΤΕ, σε μεγάλο βαθμό, σε σχέση με τις ευπάθειες με αριθμό 2 (σε μεγάλο βαθμό), 3 (σε μεγάλο βαθμό), 4 (σε μεγάλο βαθμό καθώς σχετίζεται με προσωπικό του ΟΤΕ) και σε μικρότερο βαθμό (αλλά όχι αμελητέο) στις ευπάθειες 5 και 6 που σχετίζονται περισσότερο με τις δραστηριότητες επεξεργασίας της COSMOTE. Όσον αφορά τη λήψη των μέτρων ασφάλειας, καθώς ο καθορισμός τους ανήκει ουσιωδώς τόσο στην COSMOTE, όσο και στον ΟΤΕ, με βαθμό ευθύνης όπως περιγράφεται παραπάνω, προκύπτει παράβαση του άρθρου 12 παρ. 1 του ν. 3471/2006, όσον αφορά την COSMOTE, ενώ για τον ΟΤΕ προκύπτει παράβαση του άρθρου 32 παρ. 1 του ΓΚΠΔ.
24. Οι δύο εταιρείες υποστηρίζουν ότι δρουν από κοινού μεν ως προς τα συστήματα, αλλά ανεξάρτητα η κάθε μία. Το μοντέλο αυτό λειτουργίας, στο οποίο η συνεργασία των εταιρειών είναι μη καταγεγραμμένη, τουλάχιστον σε σχέση με τα μέτρα ασφάλειας, δεν είναι σύμφωνο με την αρχή της λογοδοσίας του άρθρου 5 παρ. 2 του ΓΚΠΔ. Και τούτο γιατί δεν προκύπτει ποιος από τους συνεργαζόμενους φορείς έχει την ευθύνη για την επιλογή των ουσιωδών μέσων της επεξεργασίας, και ως εκ τούτου δεν είναι δυνατό να αποδειχθεί η συμμόρφωση των φορέων σε σχέση με την τήρηση της αρχής της ακεραιότητας και εμπιστευτικότητας που προβλέπεται στο άρθρο 5 παρ. 1 εδάφ. στ του ΓΚΠΔ. Η συνεργασία των δύο φορέων και η κατανομή των αρμοδιοτήτων τους 13 θα έπρεπε να βασίζεται είτε σε 13 Βλ. και Αιτ. Σκ. 79 ΓΚΠΔ: «Η προστασία των δικαιωμάτων και των ελευθεριών των υποκειμένων των δεδομένων, καθώς και η ευθύνη και η υποχρέωση αποζημίωσης των υπευθύνων επεξεργασίας και των εκτελούντων επεξεργασία, μεταξύ άλλων σε σχέση με την παρακολούθηση από τις εποπτικές αρχές και τα μέτρα εποπτικών αρχών, προϋποθέτει σαφή κατανομή των αρμοδιοτήτων βάσει του παρόντος κανονισμού, περιλαμβανομένης της περίπτωσης κατά την οποία ένας υπεύθυνο ς 39 συμφωνία14 με βάση το άρθρο 26 του ΓΚΠΔ σε περίπτωση από κοινού ευθύνης είτε σε σύμβαση ή άλλη νομική πράξη με βάση το άρθρο 28 σε περίπτωση ανάθεσης επεξεργασίας. Όπως προέκυψε κατά την ακρόαση των δύο εταιρειών, τέτοιες συμφωνίες δεν υπάρχουν.
25. Η COSMOTE προέβη αμέσως σε γνωστοποίηση του εν λόγω περιστατικού παραβίασης στην Αρχή, σύμφωνα με τα οριζόμενα στο άρθρο 12 του Ν. 3471/2006, ενώ επίσης προέβη, σε εύλογο χρόνο, μετά την αρχική διερεύνηση και αντιμετώπιση του περιστατικού, σε ενημέρωση των συνδρομητών της και άλλων προσώπων, όπως περιγράφεται στο ιστορικό της παρούσας. Η COSMOTE, από κοινού με τον ΟΤΕ όπου ήταν απαραίτητο, προέβη σε διορθωτικά μέτρα για την ασφάλεια της επεξεργασίας, ώστε να αντιμετωπισθούν επαρκώς, κατά την κρίση της Αρχής και για αυτό το χρόνο, οι ευπάθειες που αναφέρθηκαν νωρίτερα. Επισημαίνεται πάντως ότι οι δύο εταιρείες οφείλουν να διαθέτουν και να εφαρμόζουν ανελλιπώς διαδικασία για την τακτική δοκιμή, εκτίμηση και αξιολόγηση της αποτελεσματικότητας των τεχνικών και των οργανωτικών μέτρων για τη διασφάλιση της ασφάλειας της επεξεργασίας.
26. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 13 παρ. 1 και 4 του ν. 3471/2006, σε συνδυασμό με το άρθρο 21 του Ν. 2472/1997 και με το άρθρο 84 του Ν. 4624/2019, εξουσίες για τις διαπιστωθείσες παραβάσεις του Ν. 3471/2006, καθώς και τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις του ΓΚΠΔ. Για τον καθορισμό των κυρώσεων η Αρχή, λαμβάνει υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2, 4 στοιχ. α’ και 5 επεξεργασίας καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας από κοινού με άλλους υπευθύνους επεξεργασίας ή όταν μια πράξη επεξεργασίας διενεργείται για λογαριασμό ενός υπευθύνου επεξεργασίας». 14 “…for the sake of legal certainty, even if there is no legal requirement in the GDPR for a contract or other legal act, the EDPB recommends that such arrangement be made in the form of a binding document such as a contract or other legal binding act under EU or Member State law to which the controllers are subject. This would provide certainty and could be used to evidence transparency and accountability. Indeed, in case of non-compliance with the agreed allocation provided in the arrangement, its binding nature allows one controller to seek the liability of the other for what was stated in the agreement as falling under its responsibility. Also, in line with the accountability principle, the use of a contract or other legal act will allow joint controllers to demonstrate that they comply with the obligations imposed upon them by the GDPR” (Κατευθυντήριες Οδηγίες 7/2020 του ΕΣΠΔ, § 173). 40 στοιχ. α’ και β’ του ΓΚΠΔ που έχουν εφαρμογή στην παρούσα υπόθεση και τις κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του ΓΚΠΔ, καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης, και ιδίως τα ειδικότερα κριτήρια επιμέτρησης που αναφέρονται στην προηγούμενη σκέψη σε κάθε παράβαση και τα παρακάτω κριτήρια επιμέτρησης που αφορούν το σύνολο των δραστηριοτήτων, στο βαθμό που επηρεάζουν την COSMOTE ή τον OTE αντίστοιχα: α) Τη φύση της παράβασης που αφορά δικαίωμα του ΓΚΠΔ. β) Ότι δεν πρόκειται για δεδομένα προσωπικού χαρακτήρα των άρθρων 9 και 10 του ΓΚΠΔ, αλλά για δεδομένα που υπόκεινται σε ειδικό απόρρητο. γ) Ότι έχουν επιβληθεί στο παρελθόν διοικητικές κυρώσεις από την Αρχή στον OTE (βλ. Αποφάσεις 1/2015, 31/2019, 34/2019). δ) Ότι οι δύο εταιρείες συνεργάστηκαν απόλυτα με την Αρχή και ότι η COSMOTE προέβη στη γνωστοποίηση του περιστατικού. ε) Ότι οι δύο εταιρείες έλαβαν μέτρα για τον περιορισμό και την αντιμετώπιση του περιστατικού. στ) Από τα διαθέσιμα στο διαδίκτυο στοιχεία τα οποία έχει αναρτήσει ο όμιλος 15 προκύπτει ότι ο κύκλος εργασιών του ομίλου ανήλθε σε 3,258 δισεκατομμύρια ευρώ. Συγκεκριμένα, η Αρχή: Α. Διαπιστώνει για την COSMOTE: α) Παράβαση του άρθρου 5 και 6 του Ν. 3471/2006, όπως περιγράφεται αναλυτικά στη σκέψη με αριθμό 15 της παρούσας. Για την επιβαλλόμενη κύρωση λαμβάνεται ιδιαίτερα υπόψη ότι η εν λόγω επεξεργασία αποσκοπούσε στην εξυπηρέτηση των συνδρομητών, έγινε χωρίς δόλο και ότι το σχετικό θεσμικό πλαίσιο είναι δυσερμήνευτο. Επισημαίνεται ότι ο σκοπός επεξεργασίας της βλαβοδιαχείρισης μπορεί να επιδιώκεται στο μέλλον, εφόσον πληρούνται οι προϋποθέσεις που περιγράφονται στη σκέψη με αριθμό
27. 15 https://www.cosmote.gr/otegroup_company/investor_relations/financial_results/financial_statemen ts_ote_group_k_ote_sa/gr/OTE_IFRS_TABLE_WITH_DATA_INFORMATION_31122020_GR.pdf 41 β) Παράβαση του άρθρου 35 παρ. 7 του ΓΚΠΔ, όπως αναλύεται στη σκέψη 16 της παρούσας. Για την επιβαλλόμενη κύρωση λαμβάνεται επίσης υπόψη ότι η εν λόγω παράβαση δύναται να επιφέρει πρόστιμο του οποίου το ύψος φτάνει έως το 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, σύμφωνα με το άρθρο 83 παρ. 4 ΓΚΠΔ. γ) Παράβαση της αρχής της διαφάνειας (άρθρο 5 παρ. 1 α) ΓΚΠΔ) και των άρθρων 13 και 14 του ΓΚΠΔ σε σχέση με τη βλαβοδιαχείριση, όπως αναλύεται στη σκέψη 17 της παρούσας. Για την επιβαλλόμενη κύρωση λαμβάνεται επίσης υπόψη ότι η εν λόγω παράβαση δύναται να επιφέρει πρόστιμο του οποίου το ύψος φτάνει έως το 4% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους και ότι υπήρχε ενημέρωση η οποία όμως ήταν ατελής. Για τις ανωτέρω υπό στοιχεία α’, β’ και γ΄ παραβάσεις λαμβάνεται επίσης υπόψη η πολύ μεγάλη διάρκεια της παράβασης (6 έτη) καθώς και ο αριθμός των πληττόμενων συνδρομητών, χρηστών ή φυσικών προσώπων, ο οποίος συνολικά, μαζί με τους συνδρομητές ή χρήστες άλλων παρόχων αριθμεί πολλά εκατομμύρια πρόσωπα (πάνω από 10.000.000 αριθμοί). δ) Παράβαση των άρθρων 5 και 6 του Ν. 3471/2006 για την νομιμότητα της επεξεργασίας της εξαγωγής στατιστικών συμπερασμάτων για σκοπούς ανάπτυξης του δικτύου, όπως περιγράφεται αναλυτικά στη σκέψη με αριθμό 18 της παρούσας. ε) Παράβαση της αρχής της διαφάνειας (άρθρο 5 παρ. 1 α) ΓΚΠΔ) και των άρθρων 13 και 14 του ΓΚΠΔ σε σχέση με το εμπλουτισμένο αρχείο, όπως αναλύεται στη σκέψη 20 της παρούσας. Για την επιβαλλόμενη κύρωση λαμβάνεται επίσης υπόψη ότι η εν λόγω παράβαση δύναται να επιφέρει πρόστιμο του οποίου το ύψος φτάνει έως το 4% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους. στ) Παράβαση του άρθρου 25 παρ. 1 του ΓΚΠΔ σε σχέση με την ορθή εφαρμογή της διαδικασίας ανωνυμοποίησης, όπως αναλύεται στη σκέψη 19 της παρούσας. Για την επιβαλλόμενη κύρωση λαμβάνεται επίσης υπόψη ότι η εν λόγω παράβαση δύναται να επιφέρει πρόστιμο του οποίου το ύψος φτάνει έως το 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους και ότι αν είχε εφαρμοστεί ορθά και στο χρόνο της η διαδικασία 42 ανωνυμοποίησης θα είχε περιορίσει τις συνέπειες του περιστατικού. Για τις ανωτέρω υπό στοιχεία δ’, ε’ και στ΄ παραβάσεις λαμβάνεται επίσης υπόψη η πολύ μεγάλη διάρκεια της παράβασης (6 έτη) ο αριθμός των πληττόμενων συνδρομητών, χρηστών ή φυσικών προσώπων, ο οποίος συνολικά, μαζί με τους συνδρομητές ή χρήστες άλλων παρόχων αριθμεί πολλά εκατομμύρια πρόσωπα (πάνω από 10.000.000 αριθμοί) και ότι για μεγάλο χρονικό διάστημα δεν υπήρχε κατά το αρχικό τρίμηνο μετά τις κλήσεις το μέτρο προστασίας της ψευδωνυμοποίησης. ζ) Παράβαση του άρθρου 12 παρ. 1 του ν. 3471/2006, όπως περιγράφεται αναλυτικά στη σκέψη με αριθμό 21 της παρούσας. Για την επιβαλλόμενη κύρωση λαμβάνεται επίσης υπόψη ότι το περιστατικό αποδίδεται σε αμέλεια, επηρέασε πολύ μεγάλο αριθμό συνδρομητών, χρηστών του παρόχου και συνδρομητών άλλων παρόχων, ο αριθμός των ευπαθειών και ο βαθμός στον οποίο αυτές αποδίδονται στην COSMOTE, όπως περιγράφεται στο σχετικό παράρτημα της απόφασης, καθώς και ότι τα μέτρα ασφάλειας αποδείχθηκε ότι ήταν ελλιπή για μεγάλο χρονικό διάστημα. η) Παράβαση του άρθρου 5 παρ. 2 σε συνδυασμό με τα άρθρα 26 και 28 του ΓΚΠΔ, όπως αναλύεται στη σκέψη 22 της παρούσας. Για την επιβαλλόμενη κύρωση λαμβάνεται επίσης υπόψη ότι η εν λόγω παράβαση δύναται να επιφέρει πρόστιμο του οποίου το ύψος φτάνει έως το 4% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, ότι η παράβαση αυτή έχει μεγάλη διάρκεια, καθώς ήδη από την έναρξη εφαρμογής του ΓΚΠΔ οι εταιρείες εμφανίζονταν με ενιαία εμπορική ονομασία και ότι αφορά το σύνολο των φυσικών προσώπων συνδρομητών των 2 εταιρειών, αλλά και ότι η παράβαση οφείλεται σε αμέλεια λόγω της ιδιαίτερης σχέσης των εταιρειών. Β. Διαπιστώνει για τον ΟΤΕ: Παράβαση του άρθρου 32 του ΓΚΠΔ και την ελλιπή λήψη μέτρων ασφάλειας, όπως περιγράφεται αναλυτικά στη σκέψη με αριθμό 21 της παρούσας. Για την επιβαλλόμενη κύρωση λαμβάνεται επίσης υπόψη ότι η εν λόγω παράβαση δύναται να επιφέρει πρόστιμο του οποίου το ύψος φτάνει έως το 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού 43 έτους, ότι το περιστατικό αποδίδεται σε αμέλεια, επηρέασε πολύ μεγάλο αριθμό φυσικών προσώπων, ο αριθμός των ευπαθειών και ο βαθμός στον οποίο αυτές αποδίδονται στον OTE, όπως περιγράφεται στο σχετικό παράρτημα της απόφασης, καθώς και ότι τα μέτρα ασφάλειας αποδείχθηκε ότι ήταν ελλιπή για μεγάλο χρονικό διάστημα. Η Αρχή κρίνει ότι, με βάση τις περιστάσεις που διαπιστώθηκαν, οι κυρώσεις προστίμου που αναφέρονται στο διατακτικό της απόφασης είναι το αποτελεσματικό, αναλογικό και αποτρεπτικό μέτρο τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή:  Επιβάλλει στην COSMOTE ΚΙΝΗΤΕΣ ΤΗΛΕΠΙΚΟΙΝΩΝΙΕΣ Α.Ε. Κύρωση διακοπής επεξεργασίας και καταστροφής δεδομένων, με βάση το άρθρο 21 παρ. ε’ του ν. 2472/1997, για την παράβαση που περιγράφεται στη σκέψη 24, σημείο Α. α). Με βάση το άρθρο 58 παρ. 2 εδάφ. θ του ΓΚΠΔ, πρόστιμο συνολικού ύψους 5.850.000 ευρώ, το οποίο επιμερίζεται ως εξής:  Κύρωση προστίμου 1.300.000 ευρώ για την παράβαση που περιγράφεται στη σκέψη 24, σημείο Α. β).  Κύρωση προστίμου 650.000 ευρώ για την παράβαση που περιγράφεται στη σκέψη 24, σημείο Α. γ).  Κύρωση προστίμου 1.300.000 ευρώ για την παράβαση που περιγράφεται στη σκέψη 24, σημείο Α. ε).  Κύρωση προστίμου 1.300.000 ευρώ για την παράβαση που περιγράφεται στη σκέψη 24, σημείο Α. στ). 44  Κύρωση προστίμου 1.300.000 ευρώ για την παράβαση που περιγράφεται στη σκέψη 24, σημείο Α. η). Με βάση το άρθρο 21 παρ. ε’ του ν. 2472/1997, την κύρωση διακοπής επεξεργασίας και καταστροφής δεδομένων, για την παράβαση που περιγράφεται στη σκέψη 24, σημείο Α. δ) και στη σκέψη 24, σημείο Α. ζ). Με βάση το άρθρο 21 παρ. β΄ του ν. 2472/1997, πρόστιμο συνολικού ύψους 150.000 ευρώ για τις παραβάσεις που περιγράφονται στη σκέψη 24, σημεία Α. δ), και Α. ζ).  Επιβάλλει στον Οργανισμό Τηλεπικοινωνιών της Ελλάδος Α.Ε κύρωση προστίμου ύψους (3.250.000) ευρώ με βάση το άρθρο 58 παρ. 2 εδάφ. θ του ΓΚΠΔ, για την παράβαση του ΓΚΠΔ η οποία περιγράφεται στο σημείο Β της σκέψης 24 της παρούσας. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 45