Επιβολή προστίμου και εντολή ικανοποίησης δικαιώματος πρόσβασης σε καταγεγραμμένες τηλεφωνικές συνομιλίες

Αθήνα, 11-07-2025 Αριθ. Πρωτ.: 2477 ΑΠΟΦΑΣΗ 32/2025 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του αν. Προέδρου της, σε τακτική συνεδρίαση σε σύνθεση Τμήματος στην έδρα της την 10/07/2025 προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Στη συνεδρίαση παρέστησαν μέσω τηλεδιάσκεψης ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, το αναπληρωματικό μέλος Νικόλαος Λίβος, ως εισηγητής και τα αναπληρωματικά μέλη Δημοσθένης Βουγιούκας και Μαρία Ψάλλα, σε αντικατάσταση των τακτικών μελών, Κωνσταντίνου Λαμπρινουδάκη και Γρηγορίου Τσόλια, αντίστοιχα, οι οποίοι δεν παρέστησαν λόγω κωλύματος παρότι κλήθηκαν νομίμως εγγράφως. Στη συνεδρίαση παρέστη, με εντολή του αν. Προέδρου χωρίς δικαίωμα ψήφου, η Χάρις Συμεωνίδου, ειδική επιστήμονας – ελέγκτρια ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη τα παρακάτω: Με τη με αριθ. πρωτ. Γ/ΕΙΣ/918/06-02-2024 καταγγελία του, ο Α (στο εξής αναφερόμενος ως καταγγέλλων), στρέφεται κατά της εταιρείας «ΝΝ Ελληνική Μονοπρόσωπη Ανώνυμη Ασφαλιστική Εταιρία Ζωής» (στο εξής αναφερόμενη ως «NN Hellas») και κατά της εταιρείας με την επωνυμία «ΠΑΥΛΟΣ ΜΠΙΚΟΣ ΜΟΝΟΠΡΟΣΩΠΗ ΟΔΟΝΤΙΑΤΡΙΚΗ ΙΔΙΩΤΙΚΗ ΚΕΦΑΛΑΙΟΥΧΙΚΗ ΕΤΑΙΡΙΑ» και τον διακριτικό τίτλο «MEDIADENT» (στο εξής αναφερόμενη ως «MEDIADENT») για μη ικανοποίηση του αιτήματος πρόσβασης του καταγγέλλοντος σε ηχογραφημένες συνομιλίες του. Συγκεκριμένα, ο καταγγέλλων αναφέρει ότι, κατόπιν πολλών 1 τηλεφωνικών συνομιλιών του με το τηλεφωνικό κέντρο 2315555535 DENTAL CARE της NN Hellas, στο πλαίσιο των οποίων ακούγεται σε ηχογραφημένο μήνυμα η πληροφορία ότι «για τη δική σας ασφάλεια και ποιοτική εξυπηρέτηση η κλήση ηχογραφείται», και προκειμένου να προχωρήσει σε διεκδίκηση απαιτήσεών του, ζήτησε επανειλημμένα μέσω e-mail τις απομαγνητοφωνήσεις των εν λόγω τηλεφωνικών κλήσεων, τις οποίες προσδιόριζε κατά ημερομηνία και ώρα. Όπως δε προκύπτει από το με αριθ. πρωτ. Γ/ΕΙΣ/3920/29-04-2024 συμπληρωματικό έγγραφο του καταγγέλλοντος, το αίτημά του υποβλήθηκε ηλεκτρονικά προς τις διευθύνσεις MEDIADENTdental@gmail.com, …@gmail.com, info@nnhellas.gr, contact@nnhellas.gr, CustomerRelations@nnhellas.gr, και Β (ασφ. Σύμβουλος), στις 14/12/23 και επαναλήφθηκε στις 15/12/23, στις 20/12/23, στις 22/12/23 και στις 27/12/23, χωρίς όμως να ανταποκριθεί κανείς στα αιτήματά του μέχρι την υποβολή της καταγγελίας, παρ’ όλο που με το από 23/1/2024 ηλεκτρονικό του μήνυμα ο Γ του ανέφερε: «Αναφορικά με την αποστολή των τηλεφωνικών κλήσεων το νομικό μας τμήμα ασχολείται και θα σας ενημερώσω για τις ενέργειες». Στο πλαίσιο διερεύνησης της ως άνω καταγγελίας, η Αρχή με το Γ/ΕΞΕ/1307/02-052024 έγγραφο διαβίβασε στις καταγγελλόμενες εταιρείες την καταγγελία και τα σχετικά έγγραφα και τις κάλεσε να εκθέσουν τις απόψεις τους επί των καταγγελλομένων, παρέχοντας κάθε σχετικό στοιχείο τεκμηρίωσης και διευκρινίζοντας ιδίως α) για ποιο λόγο δεν ανταποκρίθηκαν στο κατά το άρθρο 15 ΓΚΠΔ αίτημα πρόσβασης του καταγγέλλοντος για τη χορήγηση των ηχογραφημένων τηλεφωνικών συνομιλιών του εντός της προβλεπόμενης στο άρθρο 12 παρ. 3 ΓΚΠΔ προθεσμίας και β) ποιος είναι ο ρόλος καθεμίας από τις εταιρείες αναφορικά με την επεξεργασία προσωπικών δεδομένων του καταγγέλλοντος, προσκομίζοντας τυχόν συμβάσεις μεταξύ τους, καθώς και τη συναφή ενημέρωση που παρέχεται στα υποκείμενα των δεδομένων. Με το με αριθ. πρωτ. Γ/ΕΙΣ/4781/31-05-2024 απαντητικό της έγγραφο, η NN Hellas υποστήριξε ότι έχει ήδη επανειλημμένα απαντήσει στο σύνολο των αιτιάσεων και αναφορών του καταγγέλλοντος επί του ζητήματος της καταγγελίας. Συγκεκριμένα, ανέφερε ότι έχει ενημερώσει τον καταγγέλλοντα και ασφαλισμένο της, τόσο σε συνάντηση μαζί του στα κεντρικά γραφεία της NN Hellas στις 23/01/2024 όσο και 2 εγγράφως (μέσω e-mail) στις 11/01/2024, ότι το Συντονιστικό Κέντρο στο οποίο αναφέρεται και με το οποίο πραγματοποιήθηκαν οι ηχογραφημένες τηλεφωνικές επικοινωνίες ανήκει στο δίκτυο της MEDIADENT, παρόχου των οδοντιατρικών υπηρεσιών που προβλέπονται στο ασφαλιστήριό του. Επίσης τον ενημέρωσε ότι η NN Hellas δεν έχει πρόσβαση στις κλήσεις αυτές και τον παρέπεμψε στη MEDIADENT, όπως αποδεικνύεται από την αλληλογραφία που ο ίδιος επισυνάπτει στην καταγγελία του. Η NN Hellas υποστήριξε ότι είναι υπεύθυνη επεξεργασίας των δεδομένων που ο καταγγέλλων έχει παράσχει στη δικαιοπάροχο της NN Hellas, METLIFE ΑΕΑΖ, και όσων έχει τυχόν δηλώσει στην ίδια μετά τη συγχώνευση, ενώ η MEDIADENT επεξεργάζεται ως εκτελούσα την επεξεργασία για λογαριασμό της ασφαλιστικής εταιρείας τα δεδομένα του καταγγέλλοντος, τα οποία διαβιβάζονται σε αυτήν από την NN Hellas, βάσει σχετικής συγκατάθεσης που έχει δώσει ο καταγγέλλων στην από 05/09/2016 αίτησή του για ασφάλιση, σύμφωνα με τον τότε ισχύοντα Ν. 2472/

1. Αναφορικά με την ενημέρωση των ασφαλισμένων για την επεξεργασία των προσωπικών δεδομένων τους, η NN Hellas ανέφερε ότι έχει αναρτήσει στην ιστοσελίδα της αναλυτική ενημέρωση. Επίσης επεσήμανε ότι δεν λαμβάνει προσωπικά δεδομένα από τη MEDIADENT και το Συντονιστικό της Κέντρο, στο πλαίσιο εξυπηρέτησης των πελατών της τελευταίας αναφορικά με την παροχή οδοντιατρικών υπηρεσιών, καθώς, αφενός ο Πάροχος αμείβεται με βάση τον αριθμό των ασφαλισμένων στο πρόγραμμα οδοντιατρικής φροντίδας και όχι απολογιστικά για κάθε υπηρεσία που παρέχει στους ασφαλισμένους, αφετέρου δε, σύμφωνα με τον όρο 13 του ασφαλιστικού προγράμματος Dental Care, «η εταιρία ουδεμία ευθύνη φέρει ούτε μπορεί να κριθεί υπεύθυνη αστικά και ποινικά για σφάλματα ή παραλείψεις ή για αδυναμία παροχής υπηρεσιών από τη Συνεργαζόμενη Εταιρία και τα συνεργαζόμενα με την τελευταία φυσικά ή νομικά πρόσωπα κατά την παροχή οποιασδήποτε από τις υπηρεσίες που προβλέπονται σε αυτό το Συμβόλαιο». Με την απάντησή της η εταιρεία προσκόμισε αντίγραφο του ασφαλιστηρίου συμβολαίου καθώς και της αιτήσεως ασφαλίσεως του καταγγέλλοντος. Δεν προσκομίστηκε σύμβαση με την εταιρεία MEDIADENT. Επειδή η Αρχή δεν είχε λάβει οποιαδήποτε απάντηση από την εταιρεία MEDIADENT, με το με αριθ. πρωτ. Γ/ΕΞΕ/2577/23-09-2024 υπομνηστικό έγγραφό της κοινοποίησε 3 εκ νέου το με αριθ. πρωτ. Γ/ΕΞΕ/1307/02-05-2024 έγγραφο στην εταιρεία και την κάλεσε να απαντήσει άμεσα εγγράφως σε αυτό. Ταυτόχρονα με το ίδιο έγγραφο διαβίβασε στην εταιρεία και τη συναφή ανωτέρω απάντηση της εταιρείας ΝΝ Hellas, ενώ επεσήμανε προς την MEDIADENT ότι κάθε υπεύθυνος επεξεργασίας και κάθε εκτελών την επεξεργασία φέρει αυτοτελή υποχρέωση συνεργασίας με την Αρχή, δυνάμει του άρθρου 31 ΓΚΠΔ, η δε μη συμμόρφωσή του με την υποχρέωση αυτή επισύρει την επιβολή διοικητικού προστίμου, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 83 παρ. 4 στοιχ. α΄ ΓΚΠΔ, πέρα από τις υπόλοιπες διορθωτικές εξουσίες που έχει η Αρχή, δυνάμει των άρθρων 58 παρ. 2 του ΓΚΠΔ 2016/679 και 15 του ν. 4624/
2. Η Αρχή δεν έλαβε οποιαδήποτε απάντηση από την MEDIADENT. Σε συνέχεια των ανωτέρω, η Αρχή με τις Γ/ΕΞΕ/1595/09-05-2025, Γ/ΕΞΕ/1594/09-052025 και Γ/ΕΞΕ/1593/09-05-2025 κλήσεις της κάλεσε τον καταγγέλλοντα και τις καταγγελλόμενες εταιρείες NN Hellas και MEDIADENT, αντίστοιχα, σε ακρόαση ενώπιον του Τμήματος της Αρχής στις 21-05-2025, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση. Στις κλήσεις προς τις καταγγελλόμενες εταιρείες επισυνάφθηκαν τα με αριθ. πρωτ. Γ/ΕΙΣ/6417/05-08-2024, Γ/ΕΙΣ/6841/03-09-2024, Γ/ΕΙΣ/6873/05-09-2024, Γ/ΕΙΣ/7522/01-10-2024 και Γ/ΕΙΣ/3159/16-04-2024 συμπληρωματικά έγγραφα και αιτήματα που είχαν υποβληθεί από τον καταγγέλλοντα, καθώς και το υπ’ αριθ. πρωτ. Γ/ΕΞΕ/2355/09-09-2024 διαβιβαστικό έγγραφο της Αρχής προς τον καταγγέλλοντα, προκειμένου να λάβουν πλήρη γνώση του φακέλου εν όψει της ακρόασης. Στη συνεδρίαση της 21-05-2025 παρέστησαν μέσω τηλεδιάσκεψης ο καταγγέλλων, εκ μέρους της NN Hellas η Δικηγόρος Πέλεια Άννα Κουντούρη (Α.Μ. ΔΣΑ …), ο Δ, Διευθυντής Εξυπηρέτησης Πελατών, ενώ παρών ήταν και ο Υπεύθυνος Προστασίας Δεδομένων (ΥΠΔ) της εταιρείας, Ε, για την παροχή διευκρινίσεων. Στη συνεδρίαση δεν εμφανίστηκε εκπρόσωπος της MEDIADENT. Κατά τη συνεδρίαση χορηγήθηκε από την Αρχή προθεσμία μέχρι την 6/6/2025 για την κατάθεση υπομνημάτων και ακολούθως υπέβαλαν εμπρόθεσμα, ο μεν καταγγέλλων το Γ/ΕΙΣ/4385/21-05-2025 υπόμνημα, η δε καταγγελλόμενη NN Hellas το Γ/ΕΙΣ/5108/06-06-2025 υπόμνημα, ενώ η MEDIADENT δεν υπέβαλε υπόμνημα. Κατά την ακρόαση ο καταγγέλλων αναφέρθηκε στην καταγγελία του, τονίζοντας ότι επικοινώνησε επανειλημμένα με την NN Hellas και ζήτησε τις καταγεγραμμένες 4 τηλεφωνικές συνομιλίες του για νομική χρήση, με σκοπό την υποβολή αγωγής· αφού δε ενημερώθηκε ότι τις καταγεγραμμένες κλήσεις τις διαχειρίζεται η εταιρεία MEDIADENT, στη συνέχεια τις ζήτησε από τη MEDIADENT, η οποία παρότι αρχικά του δήλωσε ότι θα τις χορηγήσει, τελικά δεν τις χορήγησε ποτέ. Ο καταγγέλλων υποστήριξε ότι μίλησε προσωπικά με τον Γ στο τηλέφωνο, ενώ απηύθυνε το αίτημά του μέσω ηλεκτρονικού μηνύματος (e-mail) προς τις ηλεκτρονικές διευθύνσεις τόσο της NN Hellas όσο και του Γ (εκπροσώπου της MEDIADENT). Ο καταγγέλλων διευκρίνισε ότι θεωρούσε πως το τηλέφωνο που χρησιμοποιούσε για την οδοντιατρική του εξυπηρέτηση ήταν της ασφαλιστικής εταιρείας NN Hellas και δεν γνώριζε ότι πρόκειται για τρίτη εταιρεία, αφού η συμβατική σχέση του ήταν με την NN Hellas και όχι με τη MEDIADENT. Παράλληλα, με το υπόμνημά του προσκόμισε αντίγραφο του ασφαλιστηρίου συμβολαίου του, στο οποίο περιλαμβάνεται το πρόγραμμα «Dental Care Παροχής Οδοντιατρικής Φροντίδας και Υποστήριξης εντός Δικτύου “ΥΓΕΙΑ”», επισημαίνοντας ότι «ΥΓΕΙΑ» ονομάζεται το δίκτυο συμβεβλημένων συνεργατών της NN Hellas και ότι η σχετική οδοντιατρική κάλυψη στους ασφαλισμένους παρεχόταν από την ασφαλιστική NN Hellas και όχι από την MEDIADENT. Περαιτέρω, με το ίδιο έγγραφο προσκομίσθηκαν οι από 26/7/2024 και από 14/8/2024 επιστολές της NN Hellas μέσω των οποίων ο καταγγέλλων ενημερώθηκε σχετικά με την κατάργηση του προγράμματος οδοντιατρικής φροντίδας («κάλυψη Dental Care») και έλαβε διευκρινίσεις σχετικά με την εξέλιξη των θεραπειών που τυχόν είχε ήδη ξεκινήσει και βρίσκονταν σε εξέλιξη, γεγονός από το οποίο, όπως υποστηρίζει, επιβεβαιώνεται ότι ο πάροχος της οδοντιατρικής κάλυψης ήταν η NN Hellas. Επειδή όμως η MEDIADENT, ως «χειριστής του ιατρικού θέματος» εισηγήθηκε πως είχε ολοκληρωθεί η θεραπεία, ο καταγγέλλων αναφέρει ότι χρειάζεται τις ηχογραφημένες συνομιλίες του, από τις οποίες, σύμφωνα με τους ισχυρισμούς του, αποδεικνύεται ότι η θεραπεία του που είχε ξεκινήσει το έτος 2022 βρισκόταν σε εξέλιξη. Η καταγγελλόμενη NN Hellas, τόσο διά των εκπροσώπων της κατά την ακρόαση όσο και με το Γ/ΕΙΣ/5108/06-06-2025 υπόμνημά της, υποστήριξε ότι σκοπός της καταγραφής των κλήσεων ήταν η παροχή των οδοντιατρικών υπηρεσιών από την εταιρεία MEDIADENT, και ότι, συνεπώς, υπεύθυνος επεξεργασίας είναι η εν λόγω 5 εταιρεία, ενώ η NN Hellas δεν έχει πρόσβαση στις καταγεγραμμένες τηλεφωνικές κλήσεις. Συγκεκριμένα, όπως αναλυτικά εκθέτει στο υπόμνημά της, η ίδια τυγχάνει υπεύθυνη επεξεργασίας των ασφαλισμένων της αποκλειστικά για τον σκοπό της εκτέλεσης της μεταξύ τους ασφαλιστικής σύμβασης και μόνο, και ειδικότερα για την ενημέρωση των παρόχων υγείας, όπως εν προκειμένω η MEDIADENT, ως προς την ταυτότητα των ασφαλισμένων, ώστε οι πάροχοι να γνωρίζουν την ιδιότητά τους κατά την παροχή των δικών τους υπηρεσιών υγείας. Σύμφωνα με την NN Hellas, η ίδια δεν έχει καμία συμμετοχή σε οποιαδήποτε άλλη επεξεργασία πραγματοποιεί ο εκάστοτε πάροχος υγείας, ως αποκλειστικός υπεύθυνος επεξεργασίας ως προς αυτές και ότι δεν έχει καμία ανάμειξη σε τυχόν επεξεργασίες που συνδέονται με τις οδοντιατρικές υπηρεσίες που παρέχει ο πάροχος υγείας στους ασφαλισμένους της NN Hellas, ούτε τηρεί οποιοδήποτε σχετικό αρχείο, γεγονός που γνωρίζει ο καταγγέλλων, όπως αναφέρει, αφού απηύθυνε το από 23/1/2023 αίτημά του προς τη MEDIADENT. Η NN Hellas με το υπόμνημά της προσκόμισε την ηλεκτρονική αλληλογραφία του καταγγέλλοντος με την ίδια και με την εταιρεία MEDIADENT, καθώς και αντίγραφο του από 30/10/2015 Ιδιωτικού Συμφωνητικού μεταξύ της εταιρείας «ΠΑΥΛΟΣ ΜΠΙΚΟΣ ΜΟΝ. ΟΔΟΝΤΙΑΤΡΙΚΗ ΙΚΕ» (“MEDIADENT”) και της ανώνυμης ασφαλιστικής εταιρείας «METLIFE Α.Ε. Ασφαλίσεων Ζωής», της οποίας η καταγγελλόμενη τυγχάνει καθολική διάδοχος λόγω συγχώνευσης (σύμφωνα με την υπ’ αρ. πρωτ. 2866883/2912-2022 Ανακοίνωση Καταχώρισης στο ΓΕΜΗ). Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
3. Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ), του άρθρου 13 του Ν. 3471/2006 (ΦΕΚ Α’ 133) και του άρθρου 9 του Ν. 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, των παραπάνω νόμων και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του Ν. 4624/2019 6 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του Α κατά των εταιρειών NN Hellas και MEDIADENT και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/
5. Σύμφωνα με τις διατάξεις του άρθρου 15 παρ. 1 και 3 ΓΚΠΔ: «
6. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα […].
7. Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. Για επιπλέον αντίγραφα που ενδέχεται να ζητηθούν από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας μπορεί να επιβάλει την καταβολή εύλογου τέλους για διοικητικά έξοδα. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως». Η ορθή και έγκαιρη ικανοποίηση του δικαιώματος πρόσβασης των υποκειμένων αποτελεί κρίσιμο στοιχείο για τη διαφάνεια της επεξεργασίας. Όπως επισημαίνεται στις Κατευθυντήριες Γραμμές 1/2022 του ΕΣΠΔ για το δικαίωμα πρόσβασης1, το δικαίωμα αυτό δεν πρέπει να θεωρείται μεμονωμένο, καθώς συνδέεται στενά με άλλες προβλέψεις του Κανονισμού, ιδίως με τις αρχές προστασίας προσωπικών δεδομένων, συμπεριλαμβανομένης της νομιμότητας και αντικειμενικότητας της επεξεργασίας, της υποχρέωσης διαφάνειας του υπευθύνου επεξεργασίας, και με τα υπόλοιπα δικαιώματα του υποκειμένου των δεδομένων που προβλέπονται στο κεφάλαιο 3 του ΓΚΠΔ
8. Σύμφωνα με το άρθρο 12 παρ. 2 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων που προβλέπονται στα άρθρα 15 έως 1 “Κατευθυντήριες γραμμές 01/2022 σχετικά με τα δικαιώματα των υποκειμένων των δεδομένων Δικαίωμα πρόσβασης”, Έκδοση 2.1, 28 Μαρτίου 2023, διαθέσιμες στην ιστοσελίδα του ΕΣΠΔ edpb_guidelines_202201_data_subject_rights_access_v2_el.pdf 2 “Το δικαίωμα πρόσβασης δεν θα πρέπει να εξετάζεται μεμονωμένα, καθώς συνδέεται στενά με άλλες διατάξεις του ΓΚΠΔ, ιδίως με τις αρχές προστασίας των δεδομένων, συμπεριλαμβανομένων της αντικειμενικότητας και της νομιμότητας της επεξεργασίας, της υποχρέωσης διαφάνειας του υπευθύνου επεξεργασίας και άλλων δικαιωμάτων των υποκειμένων των δεδομένων που προβλέπονται στο κεφάλαιο III του ΓΚΠΔ”(Κατευθυντήριες Γραμμές 01/2022 ΕΣΠΔ, §7). 7 22 του ΓΚΠΔ, ενώ σύμφωνα με το άρθρο 12 παρ. 3 ΓΚΠΔ, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Εξάλλου, όπως επισημαίνεται και στις Κατευθυντήριες Γραμμές της ΟΕ 29 σχετικά με τη διαφάνεια (WP260 rev.01) «Η αρχή της λογοδοσίας όσον αφορά τη διαφάνεια δεν ισχύει μόνο κατά το σημείο της συλλογής δεδομένων προσωπικού χαρακτήρα, αλλά και καθ’ όλη τη διάρκεια του κύκλου ζωής της επεξεργασίας ανεξάρτητα από τις πληροφορίες που παρέχονται ή την επικοινωνία που πραγματοποιείται» (§ 29). Επομένως οι κανόνες που επιβάλλουν σαφή και διαφανή ενημέρωση των υποκειμένου διέπουν και κάθε απάντηση του υπεύθυνου επεξεργασίας σε σχετικό αίτημα πρόσβασης κατά το άρθρο 15 ΓΠΚΔ, κατά ρητή επιταγή και του άρθρου 12 παρ. 1 ΓΚΠΔ.
9. Ως «υπεύθυνος επεξεργασίας» (άρθρο 4 αρ. 7 ΓΚΠΔ) ορίζεται το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ως «εκτελών την επεξεργασία» (άρθρο 4 αρ. 8 ΓΚΠΔ) το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου της επεξεργασίας, ενώ ως «τρίτος» (άρθρο 4 αρ. 10) ΓΚΠΔ) νοείται οποιοδήποτε φυσικό ή νομικό πρόσωπο, δημόσια αρχή, υπηρεσία ή φορέας, με εξαίρεση το υποκείμενο των δεδομένων, τον υπεύθυνο επεξεργασίας, τον εκτελούντα την επεξεργασία και τα πρόσωπα τα οποία, υπό την άμεση εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα. Περαιτέρω, σύμφωνα με το άρθρο 29 ΓΚΠΔ «Ο εκτελών την επεξεργασία και κάθε πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, το οποίο έχει πρόσβαση σε δεδομένα προσωπικού 8 χαρακτήρα, επεξεργάζεται τα εν λόγω δεδομένα μόνον κατ' εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους». Κατά συνέπεια, σε περίπτωση επεξεργασίας προσωπικών δεδομένων από φυσικό πρόσωπο για λογαριασμό του υπευθύνου επεξεργασίας, δηλαδή κατά την άσκηση των καθηκόντων του στο πλαίσιο των δραστηριοτήτων και των επιδιωκόμενων σκοπών του υπεύθυνου επεξεργασίας, οι ενέργειες του φυσικού προσώπου αποδίδονται στο νομικό πρόσωπο. Όπως επισημαίνεται στις Κατευθυντήριες Γραμμές 07/2020 του ΕΣΠΔ σχετικά με τις έννοιες του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία στον ΓΚΠΔ - Έκδοση 2.0 (7 Ιουλίου 2021)3 «στην πράξη αυτός που ενεργεί ως υπεύθυνος επεξεργασίας με την έννοια του ΓΚΠΔ είναι ο οργανισμός ως αυτοτελής νομική οντότητα και όχι κάποιο φυσικό πρόσωπο εντός του οργανισμού του υπευθύνου επεξεργασίας (όπως π.χ. ο Γενικός Διευθυντής, ένας υπάλληλος ή ένα μέλος της Διοίκησης)» (§ 17), «εάν ο υπεύθυνος επεξεργασίας εκτελεί πράξεις επεξεργασίας χρησιμοποιώντας δικούς του πόρους, για παράδειγμα μέσω του προσωπικού του, δεν καθίσταται εκτελών την επεξεργασία. Οι υπάλληλοι και τα άλλα πρόσωπα που ενεργούν υπό την άμεση εποπτεία του υπευθύνου επεξεργασίας, όπως το προσωρινά απασχολούμενο προσωπικό, δεν πρέπει να θεωρούνται εκτελούντες την επεξεργασία, καθώς επεξεργάζονται προσωπικά δεδομένα ως τμήματα της οντότητας του υπεύθυνου επεξεργασίας. Σύμφωνα με το άρθρο 29, δεσμεύονται επίσης από τις οδηγίες του υπεύθυνου επεξεργασίας» (§ 76)
10. Στο ίδιο κείμενο Κατευθυντηρίων Οδηγιών του ΕΣΠΔ διευκρινίζεται επίσης ότι ο υπεύθυνος επεξεργασίας είναι ο φορέας που καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας, ήτοι τον λόγο και τον τρόπο της επεξεργασίας, λαμβάνοντας τις σχετικές αποφάσεις. Ωστόσο, οι αποφάσεις που αφορούν ορισμένες πιο πρακτικές πτυχές της εφαρμογής («μέσα επουσιώδους σημασίας») είναι δυνατόν να λαμβάνονται από τον εκτελούντα την επεξεργασία. 3 Διαθέσιμες στην ιστοσελίδα του ΕΣΠΔ https://www.edpb.europa.eu/our-work-tools/ourdocuments/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en 4 Βλ. και το συναφές Παράδειγμα από το “Εγχειρίδιο σχετικά με την ευρωπαϊκή νομοθεσία για την προστασία των προσωπικών δεδομένων” (FRA, 2018): «Όταν το τμήμα μάρκετινγκ της εταιρείας Sunshine προτίθεται να επεξεργαστεί δεδομένα για έρευνα αγοράς, υπεύθυνος της συγκεκριμένης επεξεργασίας θα είναι η εταιρεία Sunshine και όχι οι υπάλληλοι του τμήματος μάρκετινγκ. Το τμήμα μάρκετινγκ δεν μπορεί να είναι ο υπεύθυνος επεξεργασίας, καθώς δεν έχει αυτοτελή ταυτότητα.» (σελ. 131). 9 «Όσον αφορά τον καθορισμό των μέσων, είναι δυνατή η διάκριση μεταξύ μέσων ουσιώδους και επουσιώδους σημασίας. Τα «μέσα ουσιώδους σημασίας» υπάγονται ανέκαθεν και ως εκ της φύσεώς τους στον υπεύθυνο επεξεργασίας. Ενώ τα μέσα επουσιώδους σημασίας μπορούν να καθορίζονται και από τον εκτελούντα την επεξεργασία, τα μέσα ουσιώδους σημασίας καθορίζονται από τον υπεύθυνο επεξεργασίας. «Μέσα ουσιώδους σημασίας» είναι τα μέσα που συνδέονται στενά με τον σκοπό και το πεδίο εφαρμογής της επεξεργασίας, όπως είναι το είδος των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία («Ποια δεδομένα υπόκεινται σε επεξεργασία;»), η διάρκεια της επεξεργασίας («Πόσο διαρκεί η επεξεργασία;»), οι κατηγορίες αποδεκτών («Ποιος θα έχει πρόσβαση στα δεδομένα προσωπικού χαρακτήρα;») και οι κατηγορίες των υποκειμένων των δεδομένων («Ποιων τα δεδομένα προσωπικού χαρακτήρα υπόκεινται σε επεξεργασία;»). Εκτός από τον σκοπό της επεξεργασίας, τα μέσα ουσιώδους σημασίας συνδέονται επίσης στενά με το ερώτημα αν η επεξεργασία είναι σύννομη, αναγκαία και αναλογική. Τα «μέσα επουσιώδους σημασίας» αφορούν τις πιο πρακτικές πτυχές της υλοποίησης της επεξεργασίας, όπως είναι η επιλογή συγκεκριμένου είδους υλισμικού ή λογισμικού ή οι λεπτομέρειες των μέτρων ασφαλείας οι οποίες είναι δυνατόν να αποφασίζονται από τον εκτελούντα την επεξεργασία» (§ 40). Τέλος, διευκρινίζεται σαφώς ότι ο υπεύθυνος επεξεργασίας δεν είναι αναγκαίο να έχει πράγματι πρόσβαση στα δεδομένα που υποβάλλονται σε επεξεργασία για να θεωρηθεί υπεύθυνος επεξεργασίας: «
11. Ο υπεύθυνος επεξεργασίας δεν είναι αναγκαίο να έχει πράγματι πρόσβαση στα δεδομένα που υποβάλλονται σε επεξεργασία. Όποιος αναθέτει δραστηριότητες επεξεργασίας σε εξωτερικό πάροχο ασκώντας κρίσιμη επιρροή σχετικά με τον σκοπό και τα (ουσιώδη) μέσα της επεξεργασίας (π.χ. προσαρμόζοντας παραμέτρους της υπηρεσίας κατά τρόπον ώστε να ασκεί επιρροή ως προς την επιλογή των προσώπων των οποίων τα δεδομένα προσωπικού χαρακτήρα υπόκεινται σε επεξεργασία) θεωρείται υπεύθυνος επεξεργασίας, ακόμη και αν δεν έχει καμία πραγματική πρόσβαση στα δεδομένα» (§ 45). 10
12. Περαιτέρω, σύμφωνα με το άρθρο 31 ΓΚΠΔ «Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία και, κατά περίπτωση, οι εκπρόσωποί τους συνεργάζονται, κατόπιν αιτήματος, με την εποπτική αρχή για την άσκηση των καθηκόντων της».
13. Στην προκειμένη περίπτωση, κατόπιν ακρόασης των μερών και λαμβάνοντας υπόψη το σύνολο των στοιχείων του φακέλου της υπόθεσης, προέκυψαν τα εξής πραγματικά περιστατικά: Ο καταγγέλλων, ως ασφαλισμένος στην NN Hellas, του οποίου το ασφαλιστήριο συμβόλαιο περιλάμβανε το πρόγραμμα οδοντιατρικής κάλυψης με την ονομασία “Dental Care”, υπέβαλε στις 14/12/2023 μέσω ηλεκτρονικού μηνύματος προς τις δύο καταγγελλόμενες εταιρείες (στις διευθύνσεις MEDIADENTdental@gmail.com, …@gmail.com, info@nnhellas.gr, contact@nnhellas.gr, CustomerRelations@nnhellas.gr και στη διεύθυνση του ασφαλιστικού συμβούλου Β αίτημα πρόσβασης σε καταγεγραμμένες τηλεφωνικές συνομιλίες του που είχαν πραγματοποιηθεί το διάστημα μεταξύ 24/07/2023 και 14/12/2023 από τον ίδιο προς το τηλεφωνικό κέντρο με αριθμό 2315555535, προσδιορίζοντας την ακριβή ώρα κάθε κλήσης. Σύμφωνα με σχετικό ισχυρισμό του καταγγέλλοντος (βλ. το Γ/ΕΙΣ/7522/01-10-2024 έγγραφο) τον οποίο η καταγγελλόμενη δεν αμφισβήτησε, τον αριθμό αυτό υποδείκνυε η NN Hellas στους ασφαλισμένους ως το Συντονιστικό Κέντρο του προγράμματος, μέσω της ιστοσελίδας της, ενώ ο καλών τον αριθμό ενημερωνόταν ότι επικοινωνεί με την “Dental Care της ΝΝ Hellas”. Με το από 20/12/2023 μήνυμά του προς τις δύο καταγγελλόμενες εταιρείες ο καταγγέλλων ζήτησε επιπλέον πρόσβαση στις κλήσεις που πραγματοποιήθηκαν στις 15/12/2023 και στις 16/12/2023, με το από 22/12/2023 μήνυμά του ζήτησε πρόσβαση στις κλήσεις που πραγματοποιήθηκαν στις 19/12/2023, 20/12/2023, 21/12/2023 και 22/12/2023, και τέλος με το από 27/12/2023 μήνυμά του ζήτησε επιπλέον πρόσβαση στις κλήσεις που είχαν πραγματοποιηθεί την ίδια ημέρα, επαναλαμβάνοντας τα προηγούμενα αιτήματά του κάθε φορά. Με το από 11/1/2024 ηλεκτρονικό της μήνυμα η NN Hellas ανέφερε στον καταγγέλλοντα τα εξής: «Σε απάντηση του κάτωθι ηλεκτρονικού σας μηνύματος θα θέλαμε να σας γνωρίσουμε ότι το αίτημά σας να λάβετε απομαγνητοφωνήσεις των από 14/12/23 τηλεφωνικών σας κλήσεων από το Συντονιστικό Κέντρο του προγράμματος σας θα πρέπει να αποσταλεί απευθείας προς την ίδια την εταιρεία η 11 οποία και λειτουργεί το Συντονιστικό κέντρο καθώς και το οδοντιατρικό δίκτυο, δηλ. την MEDIADENT (MEDIADENTdental@gmail.com)». Στη συνέχεια, με το από 14/1/2024 μήνυμά του ο καταγγέλλων απάντησε: «Επαναλαμβάνω για πολλοστή φορά, πως ενδεχομένως η NN HELLAS δεν φέρει ευθύνη για την ποιότητα των παρεχομένων υπηρεσιών από τους συνεργάτες της, φέρει όμως την ευθύνη για την τήρηση των συμβατικών της υποχρεώσεων. Δεν γνωρίζω κανένα «Συντονιστικό», εγώ επικοινωνώ με το “Dental Care της NN HELLAS” εκτός εάν το εισαγωγικό μήνυμα του τηλεφωνικού κέντρου είναι παραπλανητικό. Από το συγκεκριμένο τμήμα της NN HELLAS ζήτησα τις απομαγνητοφωνήσεις και εναντίον της οποίας θα στραφώ εάν υπάρξει παράβαση του ΓΚΠΔ». Περαιτέρω, σύμφωνα με το από 30/10/2015 Ιδιωτικό Συμφωνητικό μεταξύ της εταιρείας «ΠΑΥΛΟΣ ΜΠΙΚΟΣ ΜΟΝ. ΟΔΟΝΤΙΑΤΡΙΚΗ ΙΚΕ» (“MEDIADENT”) και της ανώνυμης ασφαλιστικής εταιρείας «METLIFE Α.Ε. Ασφαλίσεων Ζωής» (δικαιοπαρόχου της καταγγελλόμενης), το οποίο προσκομίσθηκε στην Αρχή με το Γ/ΕΙΣ/5108/06-06-2025 υπόμνημα της NN Hellas, η MEDIADENT είχε δημιουργήσει ένα Πανελλαδικό Δίκτυο Οδοντιατρείων, που λειτουργούσε με βάση τη συμβατική σχέση της MEDIADENT με τα επιμέρους Οδοντιατρεία και εταιρείες παροχής οδοντιατρικών υπηρεσιών. Βάσει της σχέσης αυτής, τα τελευταία υποχρεούνταν να παρέχουν οδοντιατρικές υπηρεσίες στους Ασφαλισμένους της METLIFE, σύμφωνα με τους όρους του Συμφωνητικού, στους οποίους περιλαμβάνονται, μεταξύ άλλων, και οι ακόλουθοι (προστίθεται υπογράμμιση): «
14. Το τηλεφωνικό κέντρο το οποίο επιλέγει η ΜΕDΙΑDΕΝΤ να διαχειρίζεται το πρόγραμμα, οφείλει να τηρεί τις παρακάτω προϋποθέσεις απόδοσης: i. Συνολική επιτυχής υποδοχή τηλεφωνημάτων: 95% ii. Συνολική Επιτυχής υποδοχή τηλεφωνημάτων εντός 20 δευτερολέπτων: 85% iii. Συνολική Επιτυχής υποδοχή τηλεφωνημάτων εντός 60 δευτερολέπτων: 95% iv. Άμεσο κλείσιμο ραντεβού με οδοντίατρο (με μια κλήση): 80% ν. Ακυρώσεις Ραντεβού με υπαιτιότητα οδοντιάτρου: 1% νί. Ποσοστό παραπόνων για τηλεφωνική εξυπηρέτηση: 2% νii. Μέση Διάρκεια Τηλεφωνήματος με επιτυχημένη εξυπηρέτηση: 150 δευτερόλεπτα 12 νiii. Ποσοστό Εξυπηρέτησης Ερωτήσεων με μια κλήση: 75% ix. Ποσοστό Εξυπηρέτησης παραπόνων με μια κλήση: 60% x. Αποστολή μηνιαίας αναφοράς για τα παραπάνω στην METLIFE xi. Χρήση ως βασικής γραμμής τον αριθμό 8001124444 και παροχή ανά πάσα στιγμή ικανού αριθμού διακριτών αριθμών κλήσης που θα εξυπηρετούν τις ανάγκες του προγράμματος. xii. Δυνατότητα μαγνητοφώνησης – απομαγνητοφώνησης και αποστολής κλήσεων σε συμβατό τύπο αρχείου προς την METLIFE, για θέματα εξυπηρέτησης πελατών και ελέγχου ποιότητας παρεχόμενων υπηρεσιών. Οι κλήσεις θα αποστέλλονται το αργότερο μέχρι το τέλος της επόμενης εργάσιμης από την ημερομηνία αίτησης και πάντα σύμφωνα με την ισχύουσα νομοθεσία». «
15. Συμφωνείται ότι η MEDIADENT θα κοινοποιεί στην ΜΕTLIFE μηνιαία αναφορές οι οποίες θα περιλαμβάνουν κατ’ ελάχιστο τα παρακάτω: i. Αριθμό και ημερομηνία κλεισμένων RDV και αριθμό και ημερομηνία RDV που πραγματοποιήθηκαν. ii. Αριθμό, status και ημερομηνία σχεδίων θεραπείας που υποβλήθηκαν. iii. Αριθμό, status και ημερομηνία σχεδίων θεραπείας που εγκρίθηκαν. iv. Ποσοστό εγκρισιμότητας. v. Μέσος χρόνος έγκρισης RDV. vi. Αναλυτική κατάσταση με αιτούμενο ποσό και εγκεκριμένο ποσό ανά ασφαλισμένο. vii. Αναλυτική κατάσταση τιμολογήσεων και πληρωμών ανά μήνα. viii. Αναλυτική κατάσταση οφειλών και πληρωμών προς οδοντιάτρους ανά μήνα. ix. Χρήση δωρεάν παροχών ανά ασφαλισμένο. x. Ανάλυση κόστους ανά εργασία. xi. Ανάλυση κόστους ανά τυπολογία προϊόντος. xii. Αριθμό Παραπόνων και Περιγραφή Διαχείρισής τους όπως Παράρτημα Η. xiii. Αριθμό νέων οδοντιάτρων στο δίκτυο. xiv. Αριθμό αιτήσεων για ένταξη οδοντιάτρων. xv. Αριθμό αποχωρήσεων οδοντιάτρων από το Δίκτυο 13 xvi. Αναλυτική Κατάσταση Κλήσεων όπως Παράρτημα Θ.» «
16. ΔΕΔΟΜΕΝΑ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΤΩΝ ΑΣΦΑΛΙΣΜΕΝΩΝ — ΥΠΟΧΡΕΩΣΗ ΕΧΕΜΥΘΕΙΑΣ 19.
17. Τα στοιχεία των ασφαλισμένων που η METLIFE θα γνωστοποιεί στα Μέλη του Δικτύου, υποχρεούνται τα τελευταία να χρησιμοποιούν αποκλειστικά και μόνο για τους σκοπούς της παρούσας και να διαφυλάσσουν με κάθε τρόπο το απόρρητο αυτών. Η MEDIADENT και τα Μέλη του Δικτύου είναι υπόχρεα για την τήρηση των εκ του νόμου προβλεπόμενων υποχρεώσεών τους, σε σχέση με τη νομοθεσία περί Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. 19.
18. Οι ασφαλισμένοι στο πρόγραμμα οδοντιατρικής φροντίδας θα έχουν την κατά νόμο οριζόμενη πρόσβαση στον ηλεκτρονικό φάκελο που τηρείται, με τα οδοντιατρικά τους δεδομένα, για την εξυπηρέτησή τους, καθώς και τη δυνατότητα να παραλάβουν το φάκελο αυτό και να τον μεταφέρουν σε άλλο οδοντίατρο (εκτός του δικτύου MEDIADENT). Επίσης, οι ασφαλισμένοι, μπορούν να χρησιμοποιήσουν το συντονιστικό κέντρο, για να προβούν σε επιβεβαίωση ότι οι τιμές χρέωσης των ειδικών υλικών είναι σε λογικά πλαίσια και δεν υπάρχει υπερτιμολόγηση. 19.3 Στα στοιχεία αυτά δικαιούνται να έχουν ακώλυτη πρόσβαση οι αρμόδιοι υπάλληλοι των Μελών του Δικτύου και οι συνεργαζόμενοι Οδοντίατροι. 19.
19. Τα στοιχεία των ασφαλισμένων που η METLIFE θέτει σε διάθεση των Μελών του Δικτύου, καθώς και εκείνα που έρχονται σε γνώση τους κατά την παροχή των ανωτέρω υπηρεσιών, δύνανται να καταχωρούνται σε ηλεκτρονικό υπολογιστή των τελευταίων για χρήση τόσο για την παροχή της υπηρεσίας όσο και για την μετέπειτα επεξεργασία προς εξαγωγή στατιστικών δεδομένων. Τα στατιστικά αυτά δεδομένα, με την επιφύλαξη της παραγράφου 4, εδάφιο 3 του παρόντος Άρθρου, θα κοινοποιούνται αποκλειστικά και μόνο στην METLIFE, υπό την προϋπόθεση ότι η κοινοποίηση είναι σύμφωνη με τις διατάξεις της οικείας νομοθεσίας περί προστασίας Προσωπικών Δεδομένων. […] 19.6 Οποιαδήποτε πληροφορία έρχεται σε γνώση των συμβαλλομένων έχουσα σχέση με τις παρεχόμενες υπηρεσίες, είναι απολύτως εμπιστευτική και απαγορεύεται να κοινολογηθεί σε τρίτους. Δεν νοούνται σαν τρίτοι η Εταιρεία και τα Μέλη του Δικτύου. 14 Τα μέρη δεσμεύονται ότι θα τηρήσουν πλήρη εχεμύθεια αναφορικά με τις πληροφορίες που λάβουν γνώση επ’ ευκαιρία της παρούσας σύμβασης. Στην έννοια των πληροφοριών περιλαμβάνονται όλα τα γραπτά, προφορικά ή αποτυπωμένα σε ηλεκτρονικά μέσα, ή με ηλεκτρονικά μέσα διαβιβαζόμενα στοιχεία. 19.7 Τα μέρη δεσμεύονται ότι θα υποχρεώσουν και τους υπαλλήλους/προστηθέντες τους για την τήρηση της ανωτέρω υποχρέωσης εχεμύθειας. Δεσμεύονται επίσης, ότι δεν θα χρησιμοποιήσουν οιαδήποτε τέτοια πληροφορία για δική τους χρήση ή για σκοπούς προώθησης πωλήσεων /ενημέρωσης πελατών /έρευνας αγοράς κλπ. χωρίς τη σχετική άδεια από την ΜΕTLIFΕ. Οποιαδήποτε χρήση των στοιχείων των πελατών (ονοματεπώνυμα, τηλέφωνα, διευθύνσεις κλπ.) η οποία δεν σχετίζεται άμεσα με τους σκοπούς της παρούσας σύμβασης, χωρίς την προηγούμενη ενημέρωση και γραπτή συναίνεση της ΜΕΤLIFΕ συνιστά γι’ αυτήν αιτία καταγγελίας της παρούσας με επιφύλαξη παντός νoμίμου δικαιώματος. Κάθε πληροφορία που παρέχεται, θεωρείται ότι δίδεται για τις ανάγκες της παρούσας σύμβασης και δεν αποτελεί ιδιοκτησία του λαβόντος την πληροφορία φυσικού ή νομικού προσώπου. 19.8 Η MEDIADENΤ και τα Μέλη του Δικτύου και το προσωπικό τους οφείλουν να απέχουν από κάθε χρήση, μερική ή ολική, είτε για λογαριασμό τους, είτε για λογαριασμό τρίτων, των στοιχείων και γενικά των προσωπικών ή πληροφοριακών δεδομένων πελατών που (α) παραχωρούνται ή διαβιβάζονται από την ΜΕΤLIFΕ προς αυτά ή (β) τα αποκτούν, με οποιοδήποτε τρόπο, κατά την εκτέλεση και επ’ ευκαιρία της παροχής των υπηρεσιών που περιγράφονται στην παρούσα. Τα αρχεία που παραχωρούνται ή διαβιβάζονται ή δημιουργούνται με την συλλογή, επεξεργασία και αποθήκευση των προσωπικών δεδομένων, ανήκουν, κατ’ αποκλειστικότητα στην ΜΕΤLIFΕ, η οποία θα είναι υπεύθυνη έναντι των αρμοδίων αρχών για τη διατήρηση ή και καταστροφή τους. Η ΜΕDIADΕΝΤ και τα Μέλη του Δικτύου υποχρεούνται να παραδώσουν στην ΜΕΤLIFΕ τα αρχεία (ηλεκτρομαγνητικά ή μη), στα οποία τηρούνται τα στοιχεία, χωρίς να έχει το δικαίωμα διακράτησης ή αναπαραγωγής αντιγράφων πάρα μόνο για τους εκ του νόμου επιβεβλημένους ιατρικούς λόγους. […] Η MEDIADENT και τα Μέλη του Δικτύου ευθύνονται, για τη διαφύλαξη των παραπάνω στοιχείων, όπως για τα δικά τους εμπιστευτικά στοιχεία και υποχρεούνται, αφενός μεν, να λαμβάνουν όλα τα απαραίτητα μέτρα, για την αποφυγή αποκάλυψης των στοιχείων αυτών σε μη εξουσιοδοτημένα άτομα και αφετέρου να ενημερώνουν 15 αμέσως τη METLIFE για κάθε απώλεια ή μη εξουσιοδοτημένη αποκάλυψη ή και χρήση στοιχείων, που θα υποπέσει στην αντίληψή τους. Λόγω του είδους της παρεχόμενης υπηρεσίας η MEDIADENT δύναται να τηρεί αντίγραφο του ιατρικού αρχείου κάθε ασθενούς, προς διαφύλαξη των συμφερόντων της και των Μελών του Δικτύου. Τα εν λόγω στοιχεία δεν δύναται να τα χρησιμοποιήσει για οποιονδήποτε άλλο σκοπό (όπως ενδεικτικά για εμπορικούς σκοπούς) πλην της απόδειξης της παροχής υπηρεσίας. Η MEDIADENT διατηρεί τα λοιπά αρχεία που αφορούν στους ασφαλισμένους για ένα έτος μετά την λήξη κάλυψης έκαστου ασφαλισμένου. […]». Στο Παράρτημα Θ του Συμφωνητικού παρατίθεται υπόδειγμα αναφοράς τηλεφωνικών κλήσεων, το οποίο περιλαμβάνει και τα ατομικά στοιχεία (ονοματεπώνυμο και τηλέφωνο επικοινωνίας) του ασφαλισμένου.
20. Εκ των ανωτέρω προκύπτει ότι η METLIFE AEAZ – της οποίας διάδοχος ως προς τις συναφείς υποχρεώσεις τυγχάνει η καταγγελλόμενη NN Hellas λόγω συγχώνευσης – καθόρισε εν προκειμένω τον σκοπό και τα μέσα της επεξεργασίας που συνίσταται στην καταγραφή των τηλεφωνικών κλήσεων στο τηλεφωνικό κέντρο που διαχειριζόταν η MEDIADENT. Ειδικότερα, η METLIFE έθεσε σαφείς και συγκεκριμένες προδιαγραφές λειτουργίας για το τηλεφωνικό κέντρο, όρισε (βλ. άρθρο 10 σημείο xii.) ότι αυτό θα πρέπει να διαθέτει δυνατότητα μαγνητοφώνησης – απομαγνητοφώνησης και αποστολής των κλήσεων σε συμβατό τύπο αρχείου προς την ίδια κατ’ αίτησή της εντός σύντομης προθεσμίας (το αργότερο μέχρι το τέλος της επόμενης εργάσιμης ημέρας), καθορίζοντας ταυτόχρονα και τον σκοπό της εν λόγω επεξεργασίας («…μαγνητοφώνησης – απομαγνητοφώνησης και αποστολής κλήσεων σε συμβατό τύπο αρχείου προς την METLIFE, για θέματα εξυπηρέτησης πελατών και ελέγχου ποιότητας παρεχόμενων υπηρεσιών»). Επιπλέον όρισε (βλ. άρθρο 13 σημείο xvi.) ότι η MEDIADENT θα της αποστέλλει μηνιαίες αναφορές οι οποίες θα περιλαμβάνουν τουλάχιστον αναλυτική κατάσταση κλήσεων με βάση συγκεκριμένο πρότυπο, καθώς και ότι τα αρχεία των καταγεγραμμένων κλήσεων, όπως και όλα τα αρχεία προσωπικών δεδομένων «ανήκουν, κατ’ αποκλειστικότητα στην ΜΕΤLIFΕ, η οποία θα είναι υπεύθυνη έναντι των αρμοδίων αρχών για τη διατήρηση ή και καταστροφή τους. Η ΜΕDIADΕΝΤ και τα Μέλη του Δικτύου υποχρεούνται να παραδώσουν στην ΜΕΤLIFΕ τα αρχεία (ηλεκτρομαγνητικά ή μη), στα οποία τηρούνται 16 τα στοιχεία, χωρίς να έχει το δικαίωμα διακράτησης ή αναπαραγωγής αντιγράφων πάρα μόνο για τους εκ του νόμου επιβεβλημένους ιατρικούς λόγους». Επομένως, αναφορικά με την επεξεργασία που συνίσταται στην καταγραφή των τηλεφωνικών κλήσεων, και ανεξαρτήτως του αν η NN HELLAS έχει στην κατοχή της ή αν διαθέτει πρόσβαση στα ζητηθέντα από τον καταγγέλλοντα αρχεία τηλεφωνικών κλήσεων, ως διάδοχος της METLIFE είναι σε κάθε περίπτωση υπεύθυνος επεξεργασίας των δεδομένων του καταγγέλλοντος, ανεξαρτήτως του ρόλου της MEDIADENT στην επίμαχη επεξεργασία. Λαμβάνεται, εξάλλου, υπόψιν ότι η NN Hellas υποδείκνυε στους ασφαλισμένους όπως ο καταγγέλλων, τον τηλεφωνικό αριθμό της MEDIADENT ως το κέντρο εξυπηρέτησής τους για ζητήματα οδοντιατρικής κάλυψης, αφού η επιλογή παρόχου υγείας στη συγκεκριμένη περίπτωση δεν γινόταν από τους ασφαλισμένους αλλά από την ίδια την NN Hellas, η οποία σε συνεργασία με τη MEDIADENT είχε δημιουργήσει ένα δίκτυο οδοντιάτρων, μέσω του οποίου εξασφάλιζε την παροχή υπηρεσιών οδοντιατρικής φροντίδας σε όσους ασφαλισμένους της είχαν ενταχθεί στο πρόγραμμα Dental Care. Ωστόσο η συμφωνία και η ακριβής σχέση μεταξύ NN Hellas και MEDIADENT δεν ήταν διαφανής έναντι των υποκειμένων των δεδομένων, τα οποία αναγνώριζαν μόνο την αντισυμβαλλόμενή τους ΝΝ Hellas ως υπεύθυνο επεξεργασίας. Ειδικότερα, σύμφωνα με το ασφαλιστήριο συμβόλαιο του καταγγέλλοντος, το πρόγραμμα Dental Care (ΠΑ78 …) περιλάμβανε την «Παροχή Οδοντιατρικής Φροντίδας και Υποστήριξης εντός Δικτύου ´ΥΓΕΙΑ´». Όπως δε αναφέρει ο καταγγέλλων στο από 1/12/2023 ηλεκτρονικό του μήνυμα προς τις καταγγελλόμενες εταιρείες, στο τηλέφωνο 2315555535 απαντούσαν αναφέροντας ότι πρόκειται για την «Dental Care της NN HELLAS», γεγονός που οδηγεί στο συμπέρασμα ότι η Dental Care ανήκει στην NN Hellas, ενώ στο από 4/12/2023 μήνυμά του προς τον Γ ο καταγγέλλων αναφέρει: «Παρακαλώ οι απαντήσεις σας να υπογράφονται από την εταιρεία που εκπροσωπείτε και είναι ιδιαιτέρως περίεργο που επιμελώς το αποφεύγετε». Επιπλέον, στην αναρτημένη στην ιστοσελίδα της NN Hellas ενημέρωση των υποκειμένων για την επεξεργασία προσωπικών δεδομένων τους (https://www.nnhellas.gr/gdpr), αναφορικά με τους αποδέκτες αναφέρονται τα εξής: 17 «Τα δεδομένα σας μπορεί να διαβιβασθούν σε άλλες (αντ)ασφαλιστικές εταιρίες σε περίπτωση σε που είναι αναγκαίο για τη λειτουργία της ασφαλιστικής σύμβασης (αντασφάλιση κινδύνου που η εταιρία αναλαμβάνει ή που προκύψει ζήτημα διερεύνησης του ενδεχόμενου ασφαλιστικής απάτης, σε συνδεδεμένες επιχειρήσεις του Ομίλου ΝΝ Group N.V., οι οποίες μας συνδράμουν αναφορικά με την υποστήριξη των πληροφοριακών μας συστημάτων και σε οργανοτεχνικά θέματα, καθώς και σε συνεργαζόμενα με την Εταιρία φυσικά ή νομικά πρόσωπα στο πλαίσιο της νόμιμης λειτουργίας της ασφαλιστικής σύμβασης, στο βαθμό που αυτό είναι αναγκαίο για την καλύτερη εξυπηρέτησή σας και την παροχή των υπηρεσιών /ασφαλιστικών καλύψεων, όπως, εταιρίες διαχείρισης αποζημιώσεων για λογαριασμό της Εταιρίας, ασφαλιστικές εταιρίες ή άλλες επιχειρήσεις που σας παρέχουν υπηρεσίες σε εκτέλεση των όρων της ασφαλιστικής σας σύμβασης και της ορθής και αποτελεσματικής επικοινωνίας της εταιρίας μαζί σας, εταιρίες φύλαξης και διατήρησης αρχείων για λογαριασμό της Εταιρίας, εταιρίες υπηρεσιών τηλεφωνικής εξυπηρέτησης πελατών, εταιρίες που σας παρέχουν πληροφορίες σε γενικά θέματα υγείας, ασφαλιστικούς διαμεσολαβητές, δικηγόρους, ερευνητές, πραγματογνώμονες. Στην περίπτωση αυτή η Εταιρία δεσμεύεται ότι οι συνεργάτες της τελούν υπό τον έλεγχο και ενεργούν μόνον κατ’ εντολή της, έχουν εξουσιοδοτηθεί ειδικά για τον σκοπό αυτό και δεσμεύονται πλήρως από το απόρρητο και τις υποχρεώσεις που προβλέπονται στη νομοθεσία σχετικά με τη συλλογή και επεξεργασία των ανωτέρω δεδομένων». Ο ισχυρισμός της NN Hellas ότι ο καταγγέλλων γνώριζε τη σχέση της εταιρείας με τη MEDIADENT και τον ρόλο καθεμίας στην επεξεργασία, καθώς «έχει κάνει επανειλημμένα χρήση των παροχών αλλά και του τηλεφωνικού κέντρου της συνεργαζόμενης εταιρείας MEDIADENT» δεν επιβεβαιώνεται. Αντιθέτως, όπως προκύπτει: α) από το ιδιωτικό συμφωνητικό μεταξύ METLIFE και MEDIADENT (βλ. ιδίως τους αναφερόμενους ανωτέρω όρους 10, 13, 19.8 αυτού), β) από το ασφαλιστήριο συμβόλαιο του καταγγέλλοντος και γ) από το σύνολο της ηλεκτρονικής αλληλογραφίας του καταγγέλλοντος στο πλαίσιο άσκησης του δικαιώματος πρόσβασης, η MEDIADENT διαχειριζόταν το τηλεφωνικό κέντρο για λογαριασμό της εταιρείας NN Hellas, δίνοντας αυτή την εντύπωση και στους ασφαλισμένους («Dental 18 Care της NN Hellas»). Βάσει των ανωτέρω δεν καταλείπεται καμία αμφιβολία περί του ρόλου της NN Hellas ως υπεύθυνου επεξεργασίας στο πλαίσιο της καταγραφής των τηλεφωνικών συνομιλιών του με το τηλεφωνικό κέντρο του προγράμματος Dental Care, και συνεπώς περί της υποχρέωσής της να ανταποκρίνεται στα αιτήματα των υποκειμένων των δεδομένων για την άσκηση των δικαιωμάτων τους.
21. Περαιτέρω, οι καταγεγραμμένες τηλεφωνικές συνομιλίες του καταγγέλλοντα αποτελούν προσωπικά δεδομένα του, στα οποία ο ίδιος ως υποκείμενο των δεδομένων έχει δικαίωμα να αποκτά πρόσβαση, σύμφωνα με τα οριζόμενα στο άρθρο 15 ΓΚΠΔ. Από την εξέταση της υπόθεσης προέκυψε ότι η NN Hellas, ως υπεύθυνος επεξεργασίας των δεδομένων του καταγγέλλοντος δεν ανταποκρίθηκε στο από 14/12/2023 ασκηθέν δικαίωμα πρόσβασης του καταγγέλλοντος ως υποκειμένου. Ως εκ τούτου, η Αρχή διαπιστώνει στην προκειμένη περίπτωση παράβαση εκ μέρους της NN Hellas, ως υπεύθυνου επεξεργασίας, του άρθρου 15 ΓΚΠΔ.
22. Όσον αφορά την εταιρεία MEDIADENT, η οποία στο πλαίσιο της υπό κρίση επεξεργασίας είναι σε κάθε περίπτωση είτε εκτελούσα την επεξεργασία είτε από κοινού υπεύθυνη επεξεργασίας με την ΝΝ Hellas, βάσει της από 30/10/2015 Σύμβασης με τη δικαιοπάροχό της METLIFE ΑΕΑΖ, διαπιστώνεται ότι παρά τις επανειλημμένες οχλήσεις της Αρχής δεν ανταποκρίθηκε σε κανένα από τα δύο έγγραφά της για παροχή διευκρινίσεων (Γ/ΕΞΕ/1307/02-05-2024 έγγραφο της Αρχής και Γ/ΕΞΕ/2577/23-09-2024 υπομνηστικό έγγραφο) ούτε εμφανίστηκε κατά τη συνεδρίαση της 21-5-2025 παρότι κλήθηκε νομίμως και εμπροθέσμως με τη Γ/ΕΞΕ/1593/09-05-2025 κλήση, η παραλαβή της οποίας επιβεβαιώθηκε τόσο ηλεκτρονικά όσο και τηλεφωνικά από τη Γραμματεία της Αρχής. Ως εκ τούτου η Αρχή διαπιστώνει εκ μέρους της MEDIADENT παραβίαση της κατά το άρθρο 31 ΓΚΠΔ υποχρέωσης συνεργασίας των υπευθύνων επεξεργασίας και των εκτελούντων την επεξεργασία με την εποπτική αρχή. 19
23. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις: i. Αναφορικά με την παραβίαση του κατ’ άρθρο 15 ΓΚΠΔ δικαιώματος πρόσβασης του καταγγέλλοντος από την NN Hellas, όπως περιγράφεται στο σημείο 7 της παρούσας απόφασης, η Αρχή κρίνει ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν: α) να απευθυνθεί στην καταγγελλόμενη εταιρεία κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. γ’ του ΓΚΠΔ εντολή ικανοποίησης του δικαιώματος πρόσβασης του καταγγέλλοντος και β) να επιβληθεί στην εταιρεία, ως υπεύθυνο επεξεργασίας, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο, κατ’ άρθρο 83 του ΓΚΠΔ, όπως αναφέρεται στο διατακτικό της παρούσας απόφασης. Για την επιμέτρηση του προστίμου ελήφθησαν υπόψη τα κριτήρια που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, και η παρ. 5 εδ. β’ του ιδίου άρθρου που έχει εφαρμογή στην υπόθεση και ιδίως: - το γεγονός ότι η παράβαση αφορά ένα υποκείμενο και δεδομένης της φύσης, της έκτασης και του σκοπού της υπό κρίση επεξεργασίας, η παράβαση κρίνεται ως χαμηλής βαρύτητας· - ο βαθμός ευθύνης της καταγγελλόμενης εταιρείας, η οποία δεν φαίνεται να ακολούθησε εν προκειμένω ορισμένη διαδικασία ανταπόκρισης στο δικαίωμα πρόσβασης υποκειμένου των δεδομένων σε συνεργασία με την εταιρεία MEDIADENT· - το γεγονός ότι η εταιρεία προέβαλε αντιφατικούς ισχυρισμούς ενώπιον της Αρχής αναφορικά με τον ρόλο της MEDIADENT στην υπό κρίση επεξεργασία, αφού με το Γ/ΕΙΣ/4781/31-05-2024 αρχικό απαντητικό της έγγραφο υποστήριξε ότι η MEDIADENT είναι εκτελούσα την επεξεργασία, ενώ με το Γ/ΕΙΣ/5108/06-06-2025 υπόμνημα υποστήριξε ότι η MEDIADENT είναι υπεύθυνος επεξεργασίας· - το γεγονός ότι η εταιρεία αδιαφόρησε για την ορθή και έγκαιρη ικανοποίηση του δικαιώματος πρόσβασης του καταγγέλλοντα για μεγάλο χρονικό διάστημα· 20 - ότι η μη χορήγηση των ζητηθέντων εκ μέρους του καταγγέλλοντα προσωπικών δεδομένων του (καταγεγραμμένες τηλεφωνικές κλήσεις) επηρεάζει τη δυνατότητα αποτελεσματικής άσκησης νομικών αξιώσεων από τον ίδιο ως ασφαλισμένο, δεδομένου ότι του στερεί κρίσιμα αποδεικτικά στοιχεία· - ότι για το τελευταίο διαθέσιμο οικονομικό έτος