Επιβολή προστίμου σε Δήμαρχο για μη νόμιμη απόκτηση και χρήση προσωπικών δεδομένων και μη ικανοποίηση δικαιώματος

Αθήνα, 09-09-2022 Αριθ. Πρωτ.: 2224 ΑΠΟΦΑΣΗ 48/2022 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος μέσω τηλεδιάσκεψης την 04-07-2022 και ώρα 10:00, μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, και τα αναπληρωματικά μέλη Δημοσθένης Βουγιούκας ως εισηγητής και Μαρία Ψάλλα σε αντικατάσταση των τακτικών μελών Κωνσταντίνου Λαμπρινουδάκη και Γρηγόριου Τσόλια οι οποίοι δεν παρέστησαν λόγω κωλύματος αν και κλήθηκαν νομίμως εγγράφως. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, ο Γεώργιος Ρουσόπουλος, ειδικός επιστήμονας – ελεγκτής ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα ακόλουθα: Υποβλήθηκε στην Αρχή η υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/2736/16-04-2020 καταγγελία του Α. Σύμφωνα με τα αναφερόμενα σε αυτή, ο καταγγέλλων έλαβε στις 30-12-2019 μήνυμα από τον προσωπικό λογαριασμό ηλεκτρονικού ταχυδρομείου του Δημάρχου [περιοχής] Χ Β, χωρίς να έχει παράσχει τη συγκατάθεσή του. Κατόπιν του μηνύματος άσκησε το δικαίωμα εναντίωσης, ζητώντας να μην λάβει ξανά τέτοιο μήνυμα. Ο καταγγέλλων προσέφυγε στην Αρχή μετά από νέο μήνυμα, το οποίο έλαβε στις 16-42020, παρά την προηγούμενη άσκηση αντίρρησής του. Με την καταγγελία του, ο καταγγέλλων θέτει επίσης ζήτημα μη νόμιμης προέλευσης και χρήσης των προσωπικών του δεδομένων, καθώς θεωρεί ότι ο καταγγελλόμενος έλαβε γνώση των στοιχείων του από εγγραφή του σε πρόγραμμα του Δήμου Χ (…). Η Αρχή ενημέρωσε τον καταγγελλόμενο για την καταγγελία με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/2736-1/05-06-2020 έγγραφό της. Ο καταγγελλόμενος, κατόπιν υπόμνησης (με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/2736-2/25-09-2020 έγγραφο της Αρχής) απάντησε με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/3870/11-6-2021 έγγραφό του. Με το έγγραφο αυτό υποστηρίζει ότι το μήνυμα ηλεκτρονικού ταχυδρομείου που έστειλε δεν ήταν για σκοπούς πολιτικής επικοινωνίας (γίνεται μάλιστα αναφορά στην απόφαση 16/2021 της Αρχής), ότι από την διεύθυνση ηλεκτρονικού ταχυδρομείου που χρησιμοποιήθηκε δεν προκύπτει καμία συσχέτιση με φυσικό πρόσωπο (ταυτοποιημένο ή ταυτοποιήσιμο), καθώς και ότι μετά την αποστολή του από 16-042020 μηνύματος εναντίωσης του καταγγέλλοντος, δεν έστειλε άλλο μήνυμα. Η Αρχή, με νεότερο έγγραφό της (Γ/ΕΞΕ/1748/21-07-2021) επισήμανε ότι δεν ετέθη θέμα χρήσης των δεδομένων (της προαναφερθείσας διεύθυνσης ηλεκτρονικού ταχυδρομείου) για σκοπούς πολιτικής επικοινωνίας, αλλά α) μη ικανοποίησης δικαιώματος εναντίωσης μετά το αρχικό μήνυμα που έλαβε ο καταγγέλλων στις 3012-2019 και β) μη νόμιμης προέλευσης των δεδομένων, καθώς ο καταγγέλλων θεωρεί ότι η (μόνη) πηγή των δεδομένων του μπορεί να είναι η εγγραφή του στο πρόγραμμα του Δήμου Χ … . Με το αρχικό έγγραφό του ο καταγγελλόμενος δεν παρείχε απάντηση στα δύο παραπάνω ζητήματα. Η Αρχή τον κάλεσε να διευκρινίσει τα δύο παραπάνω ζητήματα, ενημερώνοντας και για τους λόγους για τους οποίους δεν ικανοποίησε την εναντίωση του καταγγέλλοντα μετά από το αρχικό μήνυμα και παρέχοντας κάθε πληροφορία σε σχέση με την πηγή της διεύθυνσης ηλεκτρονικού ταχυδρομείου «…». Μάλιστα, η Αρχή τον ενημέρωσε ειδικά για τον ορισμό των δεδομένων προσωπικού χαρακτήρα στο άρθρο 4 περ. 1 του ΓΚΠΔ

1. Ο καταγγέλλων επιβεβαίωσε (με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/5467/30-08-2021 έγγραφό του) ότι για λόγους ιχνηλάτησης (tracking) χρησιμοποιεί μοναδικές διευθύνσεις ηλεκτρονικού ταχυδρομείου σε δικό του σχετικό διακομιστή, για κάθε εγγραφή του σε επιγραμμικές υπηρεσίες, ηλεκτρονικά καταστήματα, κλπ. Με τον Η Αρχή παρέπεμψε επίσης σχετικά στη γνώμη 04/2007 της Ο.Ε. του άρθρου 29 καθώς και την απόφαση του ΔΕΕ στην υπόθεση C‑582/
2. 1 2 τρόπο αυτό μπορεί εύκολα να εντοπίσει από που διέρρευσε η κάθε διεύθυνσή του όταν λαμβάνει ανεπιθύμητη αλληλογραφία από αγνώστους. Στην προκειμένη περίπτωση, εγγράφηκε με το email «…» στην υπηρεσία … (https://www.....gr/), η οποία λειτουργεί από τρίτη εταιρεία και εν προκειμένω για λογαριασμό του Δήμου Χ. Ο καταγγελλόμενος απάντησε με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/7991/08-12-2021 έγγραφό του, με το οποίο υποστηρίζει α) ότι τα μηνύματα τα οποία απέστειλε στον καταγγέλλοντα δεν είχαν ως σκοπό την «πολιτική επικοινωνία», β) ότι η αποστολή των μηνυμάτων αυτών δεν συνιστά επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς από τη διεύθυνση του καταγγέλλοντα δεν προκύπτει συσχέτιση με φυσικό πρόσωπο και γ) ότι κατόπιν της εναντίωσης του καταγγέλλοντα και μετά την αποστολή του από 16-4-2020 μηνύματος, δεν έχει στείλει νέο μήνυμα, προβαίνοντας σε διαγραφή της διεύθυνσης αυτής. Η Αρχή προχώρησε στην με αριθμ. πρωτ. Γ/ΕΞΕ/697/15-03-2022 κλήση σε ακρόαση του καταγγελλόμενου. Κατόπιν αναβολής συζήτησης της υπόθεσης κατά τις συνεδριάσεις των 30-03-2022 και 13-04-2022, η υπόθεση συζητήθηκε στη συνεδρίαση του τμήματος της Αρχής την 11-05-
3. Ο καταγγελλόμενος παρέστη διά του πληρεξούσιου δικηγόρου του Απόστολου Γεωργούλα ενώ έλαβε προθεσμία και κατέθεσε στις 29-05-2022 το με αριθμ. πρωτ. Γ/ΕΙΣ/8053/17-06-2022 υπόμνημα. Σε αυτό αναφέρει πλέον ότι πράγματι ο καταγγέλλων υπέβαλε αίτημα στην διαδικτυακή πλατφόρμα του Δήμου … . Ο πολίτης που χρησιμοποιεί την εν λόγω ηλεκτρονική υπηρεσία καταχωρεί σε αυτή το ονοματεπώνυμό του, το τηλέφωνό του και την διεύθυνση του ηλεκτρονικού του ταχυδρομείου. Τα στοιχεία επικοινωνίας αυτά είναι απαραίτητα για την ορθή λειτουργία της υπηρεσίας, καθότι είναι πάρα πολύ συχνή η περίπτωση που κάποιος υπάλληλος του Δήμου ή κάποιος αιρετός είναι αναγκαίο να επικοινωνήσει με τον υποβάλλοντα το αίτημα για διευκρινίσεις ή ακόμα και για να εξηγήσει σε αυτόν για ποιο λόγο δεν μπορεί να ικανοποιηθεί το αίτημά του. Οι πολίτες που χρησιμοποιούν την εφαρμογή γνωρίζουν τους σκοπούς της επικοινωνίας και κατ’ επέκταση τη γνωστοποίηση των στοιχείων επικοινωνίας τους. Ένα μέρος των επικοινωνιών απευθύνονται στον Δήμαρχο της πόλης, ο οποίος καλείται να ικανοποιήσει αιτήματα ή να εξηγήσει τους λόγους για τους οποίους αυτό 3 δεν μπορεί να γίνει. Αυτό έχει ως αποτέλεσμα ένα τμήμα των στοιχείων επικοινωνίας να διαβιβάζονται εσωτερικά στο γραφείο του Δημάρχου και από την εν λόγω διοικητική δομή να γίνεται περαιτέρω επικοινωνία με τους πολίτες. Τα στοιχεία επικοινωνίας δεν χρησιμοποιούνται για σκοπούς άλλους από τους ανωτέρω αναφερθέντες, πολλώ δε μάλλον για σκοπούς πολιτικής επικοινωνίας. Πλην όμως στο πλαίσιο της επικοινωνίας που αναπτύσσει ο Δήμος (εν προκειμένω μέσω του Δημάρχου του) με τους δημότες που χρησιμοποιούν την εφαρμογή, email επικοινωνίας κάποιων πολιτών που είχαν διαβιβαστεί εσωτερικά στο Γραφείο Δημάρχου για τους παραπάνω σκοπούς, χρησιμοποιήθηκαν προς αποστολή ευχών, δηλαδή για λόγους κοινωνικής αβροφροσύνης που ενισχύουν την επικοινωνία. Ο καταγγελλόμενος υποστηρίζει ότι η συγκεκριμένη επικοινωνία και ο σκοπός της δεν απέχει των σκοπών για τους οποίους συλλέχθηκαν τα στοιχεία, ήταν δε σε γνώση των πολιτών, οι οποίοι είχαν ήδη δεχθεί επικοινωνία από τον Δήμο προηγουμένως, σε πολλές μάλιστα περιπτώσεις και τηλεφωνική, και είχαν ενημερωθεί σχετικά. Σε αυτό το πλαίσιο ο καταγγέλλων δέχθηκε τα υπό κρίση ευχετήρια μηνύματα ηλεκτρονικού ταχυδρομείου, καθώς είχε επικοινωνήσει με τον Δήμο προκειμένου να διαμαρτυρηθεί για τον τρόπο λειτουργίας της εφαρμογής … . Τα στοιχεία του είχαν διαβιβαστεί στο Γραφείο Δημάρχου ώστε να γίνει επικοινωνία μαζί του, να ακουστεί το παράπονό του, να καταγραφούν οι παρατηρήσεις του κλπ. Τα στοιχεία επικοινωνίας που ο καταγγέλλων γνωστοποίησε στον Δήμο Χ δεν χρησιμοποιήθηκαν για κανέναν άλλο σκοπό (π.χ. στο πλαίσιο πολιτικής επικοινωνίας) από αυτόν για τον οποίο γνωστοποιήθηκαν, ούτε πριν ούτε μετά από τις υπό κρίση επικοινωνίες. Ο καταγγελλόμενος αναφέρει ότι δόθηκε η δυνατότητα στον καταγγέλλοντα να ασκήσει το δικαίωμα εναντίωσης σε μελλοντικές επικοινωνίες και πράγματι αυτός το άσκησε, απαντώντας στο email και ζητώντας να μην λάβει εκ νέου στο μέλλον παρόμοια επικοινωνία. Το γεγονός ότι εντούτοις έλαβε και πάλι τέτοια επικοινωνία οφείλεται σε σφάλμα. Συγκεκριμένα η διαγραφή των ασκούντων το δικαίωμα εναντίωσης από τον κατάλογο των αποδεκτών γίνεται με διαγραφή των στοιχείων επικοινωνίας από επιφορτισμένο με αυτό το καθήκον φυσικό πρόσωπο. Έχει προκριθεί αυτός ο τρόπος διαγραφής έναντι κάποιου αυτοματοποιημένου για το 4 λόγο ότι αφενός μεν οι διευθύνσεις ηλεκτρονικού ταχυδρομείου που υπάρχουν στον συγκεκριμένο κατάλογο δεν είναι πολλές και αφετέρου τα αιτήματα διαγραφής είναι ελάχιστα. Στην προκειμένη περίπτωση, το φυσικό πρόσωπο που ήταν επιφορτισμένο με την διαγραφή της διεύθυνσης ηλεκτρονικού ταχυδρομείου του καταγγέλλοντος από τον κατάλογο των αποδεκτών, εκ σφάλματος, δεν διέγραψε αυτό μετά την πρώτη επικοινωνία, το έκανε όμως μετά τη δεύτερη, με αποτέλεσμα ο καταγγέλλων να μην έχει λάβει έως σήμερα άλλη επικοινωνία. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από το βοηθό εισηγητή, ο οποίος παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
4. Σύμφωνα με το άρθρο 4 στοιχ. 1 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (εφεξής ΓΚΠΔ), ««δεδομένα προσωπικού χαρακτήρα» είναι κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου». Στο πλαίσιο αυτό, η διεύθυνση ηλεκτρονικού ταχυδρομείου ενός φυσικού προσώπου αποτελεί προσωπικό δεδομένο, αφού μπορεί να λειτουργήσει ως στοιχείο αναγνώρισης του κατόχου του, επιτρέποντας την επικοινωνία με αυτόν. Επισημαίνεται δε ότι, σύμφωνα και με τη Γνώμη 4/2007 της ομάδας εργασίας του άρθρου 29 σχετικά με την έννοια των προσωπικών δεδομένων, ειδικά κατά τη λειτουργία ηλεκτρονικών υπηρεσιών, στοιχεία έμμεσης αναγνώρισης μπορούν επαρκώς σε ορισμένες περιπτώσεις να διακρίνουν ένα άτομο από άλλα στο πλαίσιο 5 ενός συγκεκριμένου συνόλου, ακόμα και αν δεν έχει γίνει η εξακρίβωση του ονόματός του.
5. Στο άρθρο 4 στοιχ. 7 του ΓΚΠΔ ως υπεύθυνος επεξεργασίας ορίζεται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα».
6. Σύμφωνα με το άρθρο 2 παρ. 2 στοιχείο γ) του ΓΚΠΔ, η επεξεργασία δεδομένων προσωπικού χαρακτήρα από φυσικό πρόσωπο στο πλαίσιο αποκλειστικά προσωπικής ή οικιακής δραστηριότητας, που μπορεί να περιλαμβάνει και επιγραμμική δραστηριότητα, δεν εμπίπτει στο πεδίο εφαρμογής του ΓΚΠΔ. Αυτή η διάταξη –γνωστή και ως εξαίρεση της οικιακής δραστηριότητας– πρέπει να ερμηνεύεται με τη στενή της έννοια όπως έχει κρίνει το ΔΕΕ σε σχετικές περιπτώσεις
7. Ως εκ τούτου, δεν μπορεί να θεωρηθεί ως αποκλειστικώς “προσωπική ή οικιακή” δραστηριότητα, η επικοινωνία ενός Δημάρχου με δημότη του, με τον οποίο δεν έχει προσωπική ή οικιακή σχέση.
8. Στο άρθρο 5 του ΓΚΠΔ ορίζονται οι αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, στο άρθρο 5 παρ. 1 εδαφ. α) ορίζεται ότι τα δεδομένα προσωπικού χαρακτήρα «υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»)». Σύμφωνα με τον ΟΕ του άρθρου 29 3 η αιτιολογική σκέψη 39 του ΓΚΠΔ παρέχει πληροφορίες σχετικά με την έννοια και το αποτέλεσμα της αρχής της διαφάνειας στο πλαίσιο της επεξεργασίας δεδομένων: «Θα πρέπει να είναι σαφές για τα φυσικά πρόσωπα ότι δεδομένα προσωπικού χαρακτήρα που τα αφορούν συλλέγονται, χρησιμοποιούνται, λαμβάνονται υπόψη ή υποβάλλονται κατ’ άλλο τρόπο σε επεξεργασία, καθώς και σε ποιο βαθμό τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται ή θα υποβληθούν σε επεξεργασία. Η αρχή αυτή απαιτεί κάθε πληροφορία και ανακοίνωση σχετικά με την επεξεργασία των εν λόγω δεδομένων προσωπικού χαρακτήρα να είναι εύκολα προσβάσιμη και Βλ. απόφαση στην υπόθεση C-101/01, υπόθεση Bodil Lindqvist, 6 Νοεμβρίου 2003, σκέψη 47 και απόφαση στην υπόθεση C-212/13, František Ryneš v Úřad pro ochranu osobních údajů, 11 Δεκεμβρίου 2014, σκέψη
9. 3 Κατευθυντήριες γραμμές σχετικά με τη διαφάνεια βάσει του κανονισμού 2016/679 2 6 κατανοητή και να χρησιμοποιεί σαφή και απλή γλώσσα. Αυτή η αρχή αφορά ιδίως την ενημέρωση των υποκειμένων των δεδομένων σχετικά με την ταυτότητα του υπεύθυνου της επεξεργασίας και τους σκοπούς της επεξεργασίας και την περαιτέρω ενημέρωση ώστε να διασφαλιστεί δίκαιη και διαφανής επεξεργασία σε σχέση με τα εν λόγω φυσικά πρόσωπα και το δικαίωμά τους να λαμβάνουν επιβεβαίωση και να επιτυγχάνουν ανακοίνωση των σχετικών με αυτά δεδομένων προσωπικού χαρακτήρα που υπόκεινται σε επεξεργασία…». Στις περιπτώσεις που ένας υπεύθυνος επεξεργασίας συλλέγει δεδομένα προσωπικού χαρακτήρα από πηγές εκτός του υποκειμένου των δεδομένων, εφαρμοστέο είναι το άρθρο 14 του ΓΚΠΔ. Ο υπεύθυνος επεξεργασίας οφείλει, προς ικανοποίηση της αρχής της διαφάνειας, να παράσχει συγκεκριμένη ενημέρωση στο υποκείμενο των δεδομένων το αργότερο εντός ενός μηνός από τη συλλογή των δεδομένων προσωπικού χαρακτήρα ή αν τα δεδομένα χρησιμοποιηθούν για επικοινωνία, το αργότερο κατά την πρώτη επικοινωνία.
10. Στο άρθρο 5 παρ. 1 εδαφ. β) ορίζεται ότι τα δεδομένα «συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· η περαιτέρω επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς δεν θεωρείται ασύμβατη με τους αρχικούς σκοπούς σύμφωνα με το άρθρο 89 παράγραφος 1 («περιορισμός του σκοπού»)». Τέσσερις είναι οι παράμετροι της αρχής αυτής. Η υποχρέωση για καθορισμένο σκοπό σημαίνει ότι η επεξεργασία για μη προσδιορισμένο σκοπό δεν είναι νόμιμη. Ρητός σκοπός σημαίνει ότι αυτός πρέπει να καθορίζεται (να δηλώνεται) σαφώς πριν από την έναρξη της επεξεργασίας, ενώ νόμιμος σημαίνει ότι δεν μπορεί να παραβιάζει το νόμο και απαιτεί μια νομική βάση. Τέλος, μπορεί να επιτρέπεται η περαιτέρω επεξεργασία δεδομένων που ήδη τηρούνται νόμιμα για ένα σκοπό, μόνο αν ο νέος σκοπός είναι συμβατός με τον αρχικό, όμως, η περαιτέρω επεξεργασία δεν πρέπει να πραγματοποιείται με τρόπο μη αναμενόμενο από το υποκείμενο των δεδομένων ή με τρόπο στον οποίο ενδέχεται να διαφωνεί το υποκείμενο των δεδομένων
11. Για πλήρη ανάλυση βλέπε ΟΕ Opinion 03/2013 on purpose limitation και FRA-COE Εγχειρίδιο σχετικά με την ευρωπαϊκή νομοθεσία για την προστασία των προσωπικών δεδομένων (Έκδοση 2018), ενότητα 3.
12. 4 7
13. Περαιτέρω, σύμφωνα με το άρθρο 5 παρ. 2 του ΓΚΠΔ ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του ιδίου άρθρου. Με άλλα λόγια, με τον ΓΚΠΔ υιοθετήθηκε ένα μοντέλο συμμόρφωσης με κεντρικό πυλώνα την εν λόγω αρχή της λογοδοσίας, σύμφωνα με την οποία ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις και, επιπλέον, οφείλει να είναι σε θέση να αποδεικνύει, ο ίδιος και ανά πάσα στιγμή, τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ.
14. Σύμφωνα με το άρθρο 21 παρ. 1 του ΓΚΠΔ «το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν, η οποία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο ε) ή στ), περιλαμβανομένης της κατάρτισης προφίλ βάσει των εν λόγω διατάξεων. Ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν ο υπεύθυνος επεξεργασίας καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων.».
15. Στο άρθρο 12 παρ. 3 του ΓΚΠΔ ορίζεται ότι «Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. (…)».
16. Από το φάκελο της υπόθεσης προκύπτει ότι με το υπόμνημα του καταγγελλόμενου μετά την κλήση, διαφοροποιούνται ουσιωδώς τα επιχειρήματά του, σε σχέση με την τεκμηρίωση της νομιμότητας της επεξεργασίας των προσωπικών δεδομένων του 8 καταγγέλλοντα για τον σκοπό της αποστολής ηλεκτρονικών ευχετηρίων μηνυμάτων από το Δήμαρχο προς δημότες οι οποίοι είχαν χρησιμοποιήσει προηγουμένως ηλεκτρονική εφαρμογή του Δήμου για υποβολή διαφόρων αιτημάτων. Ο καταγγελλόμενος ουσιαστικά αποδέχεται ότι έχει διενεργηθεί επεξεργασία προσωπικών δεδομένων. Είναι άλλωστε σαφές ότι η διεύθυνση ηλεκτρονικού ταχυδρομείου του καταγγέλλοντα αποτελεί επιγραμμικό αναγνωριστικό ταυτότητας, το οποίο τον ταυτοποιεί μοναδικά. Μάλιστα, σύμφωνα με το υπόμνημα, ο καταγγελλόμενος είχε στη διάθεσή του τα στοιχεία αυτά, μέσω της πλατφόρμας … (όπως εξ αρχής υποστήριζε ο καταγγέλλων), προκειμένου το γραφείο του να επικοινωνήσει με τον καταγγέλλοντα, στο πλαίσιο άσκησης των αρμοδιοτήτων του Δημάρχου. Ο σκοπός της επεξεργασίας τον οποίο αφορά η καταγγελία, σύμφωνα με τον καταγγελλόμενο είναι η αποστολή ευχών σε δημότες χρήστες της πλατφόρμας, στο πλαίσιο των ενεργειών βελτίωσης της απευθείας επικοινωνίας των πολιτών με τους αιρετούς εκπροσώπους τους και τους υπαλλήλους του Δήμου, χωρίς να απαιτείται η μετάβασή τους στον Δήμο και η τήρηση γραφειοκρατικών διαδικασιών. Με βάση το υπόμνημα του καταγγελλόμενου, προκύπτει ότι υπεύθυνος επεξεργασίας είναι ο ίδιος, ο οποίος θεωρώντας ότι ενεργεί στο πλαίσιο των καθηκόντων του ως Δήμαρχος [περιοχής] Χ, έκρινε ότι είναι νόμιμη η χρήση των στοιχείων επικοινωνίας του καταγγέλλοντα για τον παραπάνω σκοπό και καθόρισε πλήρως τον τρόπο της επεξεργασίας.
17. Για την εξέταση της νομιμότητας μιας τέτοιας δραστηριότητας πρέπει να εξετάζεται το πλαίσιο αυτής (η φύση, η έκταση και ο σκοπός της σχετικής επεξεργασίας) και αν τηρούνται οι βασικές αρχές της επεξεργασίας, όπως περιγράφονται στο άρθρο 5 του ΓΚΠΔ. Από το φάκελο της υπόθεσης προκύπτει ότι ο καταγγέλλων, ως υποκείμενο των δεδομένων, δεν έλαβε με κανένα τρόπο ενημέρωση για τη χρήση των προσωπικών του δεδομένων για τον παραπάνω σκοπό. Και τούτο καθώς σε κανένα από τα μηνύματα που έλαβε δεν γίνεται αναφορά σε κάποια από τα στοιχεία ενημέρωσης που επιβάλει το άρθρο 14 του ΓΚΠΔ. Περαιτέρω, αν και ο καταγγελλόμενος αναφέρει ότι οι πολίτες ενημερώνονται για «[τ]ους σκοπούς της επικοινωνίας και κατ’ επέκταση της γνωστοποίησης των στοιχείων επικοινωνίας τους γνωρίζουν οι πολίτες που χρησιμοποιούν την εφαρμογή» και ότι η επικοινωνία και ο σκοπός «…ήταν δε σε γνώσει των πολιτών, οι οποίοι είχαν δεχθεί 9 ήδη επικοινωνία από τον Δήμο προηγουμένως, σε πολλές μάλιστα περιπτώσεις και τηλεφωνική και είχαν ενημερωθεί σχετικά» από κανένα στοιχείο δεν προκύπτει ότι οι δημότες που χρησιμοποίησαν την πλατφόρμα και ο καταγγέλλων ειδικά, ενημερώθηκαν για την περαιτέρω χρήση των στοιχείων επικοινωνίας τους για σκοπό διαφορετικό από αυτό της αρχικής συλλογής. Συγκεκριμένα, η εν λόγω πλατφόρμα στερείται ενημέρωσης για τα προσωπικά δεδομένα (παράλειψη για την οποία υπεύθυνος επεξεργασίας είναι ο Δήμος, ο οποίος δεν ελέγχεται στο πλαίσιο της καταγγελίας) ενώ περαιτέρω, ο καταγγελλόμενος δεν παρείχε στον καταγγέλλοντα τις πληροφορίες που επιβάλει το άρθρο 14 του ΓΚΠΔ. Συνεπώς, προκύπτει παράβαση του εν λόγω άρθρου του ΓΚΠΔ και κατ’ επέκταση και της αρχής της διαφάνειας (άρθρο 5 παρ. 1 εδαφ. α’ ΓΚΠΔ).
18. Ο καταγγελλόμενος δεν προσδιορίζει ρητά στην Αρχή ποια είναι η νομική βάση της επεξεργασίας και με ποιο τρόπο νομιμοποιείται να χρησιμοποιήσει δεδομένα που είχαν εξ αρχής συλλεγεί για άλλο σκοπό. Προκύπτει ότι το υποκείμενο των δεδομένων δεν έχει ενημερωθεί, σε κανένα στάδιο, για την περαιτέρω χρήση των δεδομένων του, η οποία δεν γίνεται μέσω της διαδικτυακής πλατφόρμας στην οποία καταχώρισε τα δεδομένα, αλλά κατόπιν εξαγωγής τους, για σκοπό που σχετίζεται με τις ευρύτερες δραστηριότητες οργάνου του Δήμου και μάλιστα μέσω της ιδιωτικής (και όχι υπηρεσιακής) διεύθυνσης ηλεκτρονικού ταχυδρομείου του Δημάρχου. Συνεπώς, ο συγκεκριμένος τρόπος χρήσης των δεδομένων δεν μπορεί να είναι αναμενόμενος από το υποκείμενο των δεδομένων. Συνεπώς, προκύπτει παράβαση της αρχής του περιορισμού του σκοπού (άρθρο 5 παρ. 1 εδαφ. β’ του ΓΚΠΔ).
19. Ο υπεύθυνος επεξεργασίας, ενώ ασκήθηκε δικαίωμα εναντίωσης μετά το πρώτο μήνυμα (στις 30-12-2019) δεν διέγραψε τη διεύθυνση ηλεκτρονικού ταχυδρομείου του καταγγέλλοντα, αλλά τη χρησιμοποίησε ξανά, για αποστολή ευχετήριου μηνύματος στις 16-4-
20. Σύμφωνα με το υπόμνημά του, αυτό οφείλεται σε ανθρώπινο σφάλμα του φυσικού προσώπου το οποίο είχε επιφορτιστεί με την διαδικασία διαγραφής. Γίνεται δεκτό ότι η μέθοδος διαγραφής, λόγω της φύσης της επεξεργασίας, του αριθμού των υποκείμενων των δεδομένων και των λίγων σχετικών αιτημάτων, μπορεί να γίνεται με μη αυτοματοποιημένο τρόπο, άρα η μη ικανοποίηση ενδέχεται να οφείλεται σε ανθρώπινο λάθος. Ο υπεύθυνος επεξεργασίας βέβαια δεν παρέχει στοιχεία, όπως οφείλει με βάση την αρχή της λογοδοσίας, από τα οποία να 10 προκύπτει ότι είχε δοθεί εντολή για τη διαγραφή των δεδομένων, ώστε να μπορεί να τεκμηριωθεί το ανθρώπινο λάθος, με βάση την αρχή της λογοδοσίας. Περαιτέρω, σε κάθε περίπτωση, ο υπεύθυνος επεξεργασίας όφειλε όχι μόνο να ενεργήσει αλλά και να ενημερώσει το υποκείμενο των δεδομένων εντός της προθεσμίας που ορίζεται στο άρθρο 12 παρ. 3 του ΓΚΠΔ, συνεπώς προκύπτει ότι παραβίασε την εν λόγω διάταξη.
21. Η Αρχή λαμβάνει επίσης υπόψη ότι η βαρύτητα της παράβασης είναι μικρή καθώς οι διαπιστωθείσες παραβάσεις περιλαμβάνονται στο άρθρο 83 παρ. 5 (παραβάσεις με μέγιστο ύψος 20.000.000 ευρώ) και η παράβαση ήταν εσκεμμένη ενέργεια, αλλά η δραστηριότητα είχε μικρό εύρος, καθώς αφορούσε μικρό τμήμα δημοτών, δε σχετίζεται με τις κύριες δραστηριότητες του υπεύθυνου επεξεργασίας, ο οποίος είναι φυσικό πρόσωπο και δεν ενεργούσε στο πλαίσιο επιχειρηματικής δραστηριότητας, δεν προκύπτει βλάβη για το υποκείμενο των δεδομένων και η επεξεργασία αφορά προσωπικά δεδομένα (διεύθυνση ηλεκτρονικού ταχυδρομείου) τα οποία δεν εντάσσονται στις ειδικές κατηγορίες του άρθρου 9 ή στα δεδομένα του άρθρου 10 του ΓΚΠΔ. Ως επιβαρυντικός παράγοντας λαμβάνεται υπόψη ότι ο υπεύθυνος επεξεργασίας επέδειξε δυσχέρεια στη συνεργασία με την Αρχή, μη παρέχοντας τις πληροφορίες που ζητήθηκαν και εν τέλει διαφοροποιώντας τα επιχειρήματά μετά την ακρόαση στην Αρχή, όταν και αποδέχθηκε την προέλευση των δεδομένων και προσπάθησε να τεκμηριώσει τη νομιμότητα χρήσης αυτών.
22. Βάσει των ανωτέρω, η Αρχή κρίνει ομόφωνα ότι, εν όψει των παραβάσεων που διαπιστώθηκαν και λαμβάνοντας υπόψη τα παραπάνω στοιχεία, συντρέχουν οι προϋποθέσεις επιβολής σε βάρος του υπεύθυνου επεξεργασίας της διοικητικής κύρωσης του προστίμου, με βάση το άρθρο 58 παρ. 2 εδαφ. θ’, που αναφέρεται στο διατακτικό της παρούσας, η οποία κρίνεται αποτελεσματική, αναλογική και αποτρεπτική. Για την επιμέτρηση έχουν ληφθεί υπόψη τα κριτήρια του άρθρου 83 παρ. 2 του ΓΚΠΔ όπως προσδιορίζονται στην προηγούμενη σκέψη, με βάση τις κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679 που εκδόθηκαν από την Ο.Ε. του άρθρου 29 και έχουν υιοθετηθεί από το ΕΣΠΔ. 11 ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή επιβάλλει, στον Β, Δήμαρχο [περιοχής] Χ, το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους δύο χιλιάδων ευρώ (2.000,00) ευρώ, για τις ως άνω διαπιστωθείσες παραβιάσεις του άρθρου 14 σε συνδυασμό με το άρθρο 5 παρ. 1 εδαφ. α’ του ΓΚΠΔ, του άρθρου 5 παρ. 1 εδαφ. β’ του ΓΚΠΔ και του άρθρου 12 παρ. 3 του ΓΚΠΔ, με βάση το άρθρο 58 παρ. 2 εδαφ. θ’ του ΓΚΠΔ. Ο Αναπληρωτής Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 12