Επιβολή προστίμου σε εταιρεία για περιστατικό παραβίασης δεδομένων και παράβαση δικαιωμάτων πρόσβασης και διαγραφής

(5)ευρώ για την ταλαιπωρία της. Στη συνέχεια, σύμφωνα με την καταγγελία, την … η καταγγέλλουσα έλαβε στον προσωπικό της αριθμό κλήση στην οποία δεν απάντησε και ακολούθως μήνυμα από άγνωστο αριθμό, στο οποίο αναφερόταν ότι ήταν ο μεταφορέας της καθ’ ης και κατηγόρησε την καταγγέλλουσα για την απόλυσή του, δίνοντάς της ειρωνικά «συγχαρητήρια» για την εξέλιξη αυτή. Από το γεγονός αυτό η καταγγέλλουσα αναφέρει ότι υπέστη ταραχή και άγχος, που είχε ως συνέπεια να διακομισθεί στα επείγοντα του Νοσοκομείου «Έλενα Βενιζέλου», να εισαχθεί λόγω συσπάσεων και να διανυκτερεύσει, φοβούμενη ότι διατρέχει κίνδυνο η εγκυμοσύνη της. Σε συνέχεια των ανωτέρω, η καταγγέλλουσα με την από … εξώδικη 2 δήλωση διαμαρτυρήθηκε προς την καταγγελλόμενη εταιρεία για την κατά τα ανωτέρω παράνομη χρήση των προσωπικών της δεδομένων (αριθμού κινητού της τηλεφώνου) από τον πρώην υπάλληλο της καταγγελλόμενης, μετά το τέλος της εργασιακής του σχέσης με την εταιρεία και παράλληλα ζήτησε να ενημερωθεί για τα προσωπικά της δεδομένα, τα οποία η εταιρεία τηρεί και επεξεργάζεται, και ζήτησε τη διαγραφή τους. Με την από … εξώδικη απάντησή της, η καταγγελλόμενη ισχυρίστηκε ότι ο πρώην εργαζόμενος πιθανότατα διατήρησε στην κατοχή του τον προσωπικό αριθμό της καταγγέλλουσας, ο οποίος αναφερόταν στο δελτίο αποστολής της παραγγελίας της, καθώς και ότι η απόλυσή του δεν σχετίζεται με το συμβάν που η καταγγέλλουσα είχε αναφέρει, αλλά έλαβε χώρα διότι η καταγγελλόμενη δεν ήταν ικανοποιημένη από τις υπηρεσίες του. Με την καταγγελία, η καταγγέλλουσα αμφισβητεί την εν λόγω απάντηση και υποστηρίζει ότι προφανώς η καταγγελλόμενη όχι μόνο την κατονόμασε ως υπαίτια για την απόλυση του μεταφορέα αλλά επιπλέον του διαβίβασε παράνομα τον αριθμό του κινητού της τηλεφώνου μετά την απόλυσή του, αφού είναι αδύνατον ο ίδιος να τον απομνημόνευσε ανάμεσα σε τόσους αριθμούς πελατών που εξυπηρετεί καθημερινά, δεδομένου και ότι ο εν λόγω μεταφορέας δεν χρειάστηκε να την καλέσει κατά την παράδοση των παραγγελιών, αλλά επικοινώνησαν μέσω θυροτηλεφώνου. Περαιτέρω, η καταγγέλλουσα αναφέρει ότι η εταιρεία αρνήθηκε να ικανοποιήσει τα δικαιώματα πρόσβασης και διαγραφής δεδομένων που είχε ασκήσει, διατεινόμενη ότι ο επίμαχος αριθμός κινητής τηλεφωνίας ενδέχεται να ανήκει στον σύζυγο της καταγγέλλουσας, Γ, τον οποίο μόνο αναγνωρίζει ως πελάτη της, παρά το γεγονός ότι οι παραγγελίες είχαν πραγματοποιηθεί μέσω του λογαριασμού χρήστη που η καταγγέλλουσα είχε δημιουργήσει με όνομα “Β” και διεύθυνση e-mail ..., επομένως η εταιρεία, σε κάθε περίπτωση έχει συλλέξει και επεξεργάζεται και δικά της προσωπικά δεδομένα, ενώ το όνομα του συζύγου της αναφέρθηκε στις παραγγελίες μόνο διότι αυτό εμφανίζεται στο κουδούνι. Επιπλέον η καταγγέλλουσα προσκομίζει στην Αρχή την από … βεβαίωση του παρόχου κινητής τηλεφωνίας από την οποία προκύπτει ότι ο αναφερόμενος στις παραγγελίες αριθμός κινητού σε … τής ανήκει. Κατόπιν των ανωτέρω, η καταγγέλλουσα παραπονείται για την παράνομη επεξεργασία των δεδομένων της εκ μέρους της καταγγελλόμενης εταιρείας, η οποία οφείλεται, κατά την άποψή της, στην απουσία κατάλληλων τεχνικών και οργανωτικών μέτρων 3 ασφαλείας έναντι του κινδύνου της άνευ άδειας πρόσβασης στα δεδομένα της από εργαζόμενο και η οποία της προξένησε ηθική βλάβη, για τη μη γνωστοποίηση του περιστατικού στην Αρχή κατά το άρθρο 33 ΓΚΠΔ, καθώς και για τη μη ικανοποίηση των δικαιωμάτων ενημέρωσης, πρόσβασης και διαγραφής που η καταγγέλλουσα άσκησε σύμφωνα με τον ΓΚΠΔ. Στο πλαίσιο διερεύνησης της ως άνω καταγγελίας, η Αρχή με το Γ/ΕΞΕ/2949/2012-2021 έγγραφο διαβίβασε στην καταγγελλόμενη την καταγγελία και τα σχετικά έγγραφα και την κάλεσε να εκθέσει τις απόψεις της επί των καταγγελλομένων. Με την υπ’ αρ. πρωτ. Γ/ΕΙΣ/ΕΙΣ/202/12-01-2022 απάντησή της, η καταγγελλόμενη εταιρεία απάντησε τα εξής: - ότι την … και την … μέσω του ηλεκτρονικού καταστήματος www.ehop.mymarket.gr που διατηρεί, πραγματοποιήθηκαν δύο παραγγελίες με αριθμούς … και … αντίστοιχα, στο όνομα Γ και με αναφορά κινητού τηλεφώνου που λήγει σε …. - Ότι η εταιρεία είναι πλήρως συμμορφωμένη με τη νομοθεσία για την προστασία προσωπικών δεδομένων και κάθε χρήστης κατά την εγγραφή του και κατά την υποβολή παραγγελίας λαμβάνει γνώση των Όρων Χρήσης (http://eshop.mymarket.gr/terms) και της πολιτικής προστασίας προσωπικών δεδομένων (http://eshop.mymarket.gr/privacy) που τηρεί η εταιρεία, την οποία και πρέπει να αποδεχτεί προκειμένου να προχωρήσει σε οποιαδήποτε ενέργεια στο εν λόγω ηλεκτρονικό κατάστημα. - Ότι εν προκειμένω, η εταιρεία για το σκοπό της παράδοσης των παραγγελιών, παρέδωσε, ως όφειλε, εξ αρχής, στον αρμόδιο υπάλληλό της, τα απαραίτητα παραστατικά της κάθε παραγγελίας που περιλάμβαναν προσωπικά δεδομένα του πελάτη, όπως τα είχε δηλώσει. - Ότι η εταιρεία ζητά από όλους τους εργαζομένους της τη δέσμευσή τους δια της υπογραφής δήλωσης εμπιστευτικότητας, της οποίας προσκομίζεται υπόδειγμα, σύμφωνα με την οποία οι εργαζόμενοι οφείλουν να μην χρησιμοποιούν τα δεδομένα προσωπικού χαρακτήρα που περιέρχονται σε γνώση τους στο πλαίσιο της εργασίας τους, για οποιονδήποτε άλλο σκοπό παρά μόνο για την εκπλήρωση των καθηκόντων τους, και δεσμεύονται ότι δεν θα τα αναπαράγουν ή αποθηκεύουν, δεν θα τα εκμεταλλεύονται, ενώ σε περίπτωση λύσης της συνεργασίας τους με την εταιρεία θα 4 σταματήσουν αμέσως να κάνουν χρήση αυτών, θα τα διαγράψουν ή παραδώσουν στην εταιρεία και σε περίπτωση παραβίασης των ως άνω υποχρεώσεων, αναλαμβάνουν την αποκατάσταση της τυχόν ζημίας που θα υποστεί η εταιρεία. - Ότι τα καταγγελλόμενα περιστατικά δεν οφείλονται σε πράξη ή παράλειψη της εταιρείας και ουδεμία ανάμειξη είχε σε αυτά, ούτε η απόλυση του εργαζομένου της είχε οποιαδήποτε σχέση με τα γεγονότα αυτά, πράγμα που η εταιρεία δήλωσε εξ αρχής στην καταγγέλλουσα, ενώ λυπάται για την ταλαιπωρία που η καταγγέλλουσα αναφέρει ότι υπέστη. Η εταιρεία απαριθμεί ορισμένα τεχνικά και οργανωτικά μέτρα που έχει λάβει και εφαρμόζει για τη διασφάλιση του απορρήτου των προσωπικών δεδομένων που τηρεί και επεξεργάζεται (σελ. 4-6 της απάντησής της), ενώ, αναφορικά με την ικανοποίηση των δικαιωμάτων που άσκησε η καταγγέλλουσα με την από … εξώδικη δήλωση, υποστηρίζει ότι, όπως επεσήμανε και με την από … εξώδικη απάντηση προς την καταγγέλλουσα, το αίτημα πρέπει να γίνει από τον κύριο Γ, καθότι τα προσωπικά δεδομένα που τηρούνται στη βάση δεδομένων της εταιρείας, δυνάμει των δύο προαναφερόμενων παραγγελιών που πραγματοποιήθηκαν ηλεκτρονικά, υποδεικνύουν τον τελευταίο ως υποκείμενο των δεδομένων, ενώ η εταιρεία δεν είναι υπόχρεη να γνωρίζει ή να ελέγχει αν τα στοιχεία που καταχωρούνται είναι αληθή ή ανήκουν σε κάποιο άλλο φυσικό πρόσωπο, και ζητεί την απόρριψη της καταγγελίας. Σε συνέχεια του ανωτέρω εγγράφου, η Αρχή με το Γ/ΕΞΕ/189/20-01-2022 διαβιβαστικό έγγραφο διαβίβασε στην καταγγέλλουσα την απάντηση της καταγγελλόμενης και ακολούθως, με το Γ/ΕΙΣ/1949/08-02-2022 συμπληρωματικό της έγγραφο, η καταγγέλλουσα ενέμεινε στην καταγγελία της, τονίζοντας ότι παρά την άσκηση του δικαιώματος διαγραφής των δεδομένων της, εξακολουθεί να λαμβάνει το newsletter της εταιρείας (βλ. προσκομιζόμενο e-mail από … προς τη διεύθυνση ...), ότι παρανόμως η εταιρεία αρνήθηκε να εξετάσει το περιστατικό παραβίασης των δεδομένων της και να το γνωστοποιήσει στην Αρχή, ότι η καταγγελλόμενη δεν μεριμνά για την επιστροφή ή καταστροφή των δελτίων αποστολής με αποτέλεσμα αυτά να παραμένουν στην κατοχή των υπαλλήλων της για άγνωστο χρονικό διάστημα και εν προκειμένω, μετά τη λήξη της εργασιακής σχέσης του μεταφορέα, ώστε να είναι δυνατή η περαιτέρω χρήση των προσωπικών δεδομένων των πελατών για σκοπό άλλο από αυτόν της αρχικής συλλογής τους. Η καταγγέλλουσα επαναλαμβάνει 5 τον ισχυρισμό ότι η καταγγελλόμενη την κατονόμασε στον υπάλληλό της ως τη δήθεν υπεύθυνη για την απόλυσή του, ενώ αναφορικά με τη μη ικανοποίηση των δικαιωμάτων της για πρόσβαση και διαγραφή των δεδομένων της, αναφέρει ότι η εταιρεία προσχηματικά εξακολουθεί να υποστηρίζει ότι πελάτης της είναι ο Γ, παραβλέποντας το γεγονός ότι ο λογαριασμός χρήστη φέρει το όνομα “Β” και τη διεύθυνση e-mail ..., και ότι τα στοιχεία αποστολής της παραγγελίας (όπως το ονοματεπώνυμο και το όνομα στο κουδούνι) μπορούν να τροποποιούνται σε κάθε παραγγελία από τον χρήστη του λογαριασμού ανάλογα με το πού επιθυμεί να παραδοθεί αυτή, συνεπώς η ίδια, ως χρήστης του λογαριασμού είναι η συναλλασσόμενη με την εταιρεία και το υποκείμενο των δεδομένων. Ακολούθως, με το Γ/ΕΞΕ/696/17-03-2023 έγγραφο, η Αρχή κοινοποίησε στην καταγγελλόμενη τις ανωτέρω απόψεις της καταγγέλλουσας και την κάλεσε, εντός προθεσμίας 15 ημερών, να παράσχει στην Αρχή τις ακόλουθες πληροφορίες και διευκρινίσεις, επισυνάπτοντας πλήρη στοιχεία τεκμηρίωσης. Συγκεκριμένα, λαμβάνοντας ιδίως υπόψη τους ακόλουθους -περιλαμβανόμενους στο Γ/ΕΙΣ/202/1201-2022 απαντητικό έγγραφο ισχυρισμούς της εταιρείας:

1. i)ότι οι παραγγελίες … και … έγιναν από τον πελάτη Γ, με αριθμό κινητού τηλεφώνου …, όπως δε προκύπτει από την επισυναπτόμενη αλληλογραφία, ηλεκτρονική επιβεβαίωση των παραγγελιών από τη διεύθυνση info@eshopmymarket.gr εστάλη στη διεύθυνση ...,
2. ii)ότι όλοι οι εργαζόμενοι στην καταγγελλόμενη εταιρεία δεσμεύονται διά της υπογραφής σχετικής δηλώσεως εμπιστευτικότητας, υπόδειγμα της οποίας επισυνάπτεται στην ως άνω απάντηση, και iii) ότι μετά την άσκηση δικαιωμάτων που αναφέρονται στον ΓΚΠΔ εκ μέρους της καταγγέλλουσας, η εταιρεία της επεσήμανε ότι αυτά έπρεπε να υποβληθούν από τον κ. Γ, η Αρχή ζήτησε από την καταγγελλόμενη: 1. Να παράσχει στην Αρχή τα πλήρη στοιχεία του λογαριασμού χρήστη της ιστοσελίδας https://eshop.mymarket.gr από τον οποίο πραγματοποιήθηκαν οι παραγγελίες … και … (όνομα χρήστη, στοιχεία επικοινωνίας και όποιες άλλες πληροφορίες διαθέτετε για τον εν λόγω λογαριασμό), 2. Να διευκρινίσει σε ποιες ενέργειες προέβη η καταγγελλόμενη εταιρεία μετά την άσκηση των δικαιωμάτων ενημέρωσης, πρόσβασης και διαγραφής εκ μέρους της καταγγέλλουσας διά της από … εξώδικης όχλησής της, αναφέροντας, ιδίως, εάν η εταιρεία είχε αμφιβολίες ως προς την ταυτότητα του υποκειμένου και εάν στην περίπτωση αυτή ζήτησε την παροχή 6 πρόσθετων πληροφοριών σύμφωνα με το άρθρο 12 παρ. 6 ΓΚΠΔ. 3. Να παράσχει εξηγήσεις σε σχέση με το γεγονός ότι, όπως προκύπτει από το Γ/ΕΙΣ/1949/08-02-2022 συμπληρωματικό έγγραφο της καταγγέλλουσας, παρά την κατά τα ανωτέρω άσκηση εκ μέρους της του δικαιώματος διαγραφής των δεδομένων της, εξακολούθησε να λαμβάνει ενημερωτικά μηνύματα (newsletter) από την ιστοσελίδα eshop.mymarket.gr στην ηλεκτρονική της διεύθυνση ..., 4. Να διευκρινίσει εάν, μετά την από … εξώδικη όχληση εκ μέρους της καταγγέλλουσας, η εταιρεία χειρίστηκε το αναφερόμενο συμβάν ως περιστατικό παραβίασης προσωπικών δεδομένων και σε ποιες ενέργειες προέβη σχετικά, 5. Να προσκομίσει την αναφερόμενη στην αρχική απάντησή της δήλωση εμπιστευτικότητας των εργαζομένων της, υπογεγραμμένη από τον συγκεκριμένο υπάλληλο, τον οποίο αφορούν τα καταγγελλόμενα πραγματικά περιστατικά και 6. Να προσκομίσει την Πολιτική διαχείρισης αιτημάτων των υποκειμένων των δεδομένων και την Πολιτική διαχείρισης περιστατικών παραβίασης προσωπικών δεδομένων της εταιρείας. Ακολούθως, η καταγγελλόμενη, αφού ενημέρωσε την Αρχή για την ανάγκη παράτασης της προθεσμίας απάντησης (βλ. Γ/ΕΙΣ/2366/30-03-2023 ενημερωτικό έγγραφο), με το Γ/ΕΙΣ/3384/08-05-2023 απαντητικό της έγγραφο, απάντησε κατ’ αρχάς ότι εμμένει στην αρχική της από … απάντηση, στην οποία περιέχονται τα πλήρη στοιχεία χρήστη από τον οποίον πραγματοποιήθηκαν οι παραγγελίες, ήτοι στο όνομα Γ, με το κινητό τηλέφωνο σε … και υποστήριξε και πάλι ότι ο μόνος που δικαιούται να ασκήσει τα δικαιώματα ενημέρωσης, πρόσβασης και διαγραφής των στοιχείων που σχετίζονται με τις ανωτέρω παραγγελίες είναι ο κ. Γ, στον οποίο κοινοποιήθηκε η από … εξώδικη όχλησή της προς την καταγγέλλουσα (όπου αναφέρονται τα εξής: «Με την παρούσα επιστολή μας σας γνωρίζουμε ότι τα προσωπικά δεδομένα που τηρεί η εταιρεία μας δυνάμει των ως άνω παραγγελιών ανήκουν στον κο. Γ, ο οποίος είναι και το μοναδικό άτομο που δικαιούται να ασκήσει τα ως άνω δικαιώματά του ενημερώνοντας σχετικά την εταιρεία μας, η οποία αμέσως θα συμμορφωθεί στις απαιτήσεις του»). Η εταιρεία αναφέρει επίσης ότι, όπως η εν λόγω όχληση διατυπώθηκε «είχε προφανώς και τον χαρακτήρα παροχής πρόσθετων πληροφοριών, σύμφωνα με το άρ. 12 παρ. 6 ΓΚΠΔ» και τονίζει ότι παρ’ όλα αυτά ο κ. Γ δεν άσκησε οποιοδήποτε σχετικό δικαίωμα. Περαιτέρω, η εταιρεία αναφέρει ότι, «επειδή δια της 7 επιστολής της Αρχής, ευλόγως συνάγεται σήμερα ότι η διεύθυνση ηλεκτρονικού ταχυδρομείου ανήκει στην καταγγέλλουσα, γεγονός που δεν ήταν σε θέση να γνωρίζει (προηγουμένως), έχει πλέον προβεί στη διαγραφή της». Η εταιρεία υποστηρίζει ότι δεν χειρίστηκε το συμβάν ως περιστατικό παραβίασης δεδομένων, διότι αφ’ ενός απάντησε στην από … εξώδικη όχληση της καταγγέλλουσας με την από … εξώδικη απάντηση, αφ’ ετέρου, ο αρμόδιος τέως υπάλληλος της εταιρείας γνώριζε ήδη, μεταξύ άλλων, τον αριθμό κινητού τηλεφώνου σε …, τον οποίο ο ίδιος ο πελάτης είχε καταχωρήσει, με σκοπό να αποσταλεί η παραγγελία στη διεύθυνση που είχε υποδείξει, η δε εταιρεία παρέδωσε, ως όφειλε, στον αρμόδιο υπάλληλο τα νόμιμα παραστατικά στα οποία περιέχονται τα στοιχεία του πελάτη, προκειμένου να ολοκληρώσει ως όφειλε την παράδοση των παραγγελιών. Με την ίδια απάντηση προσκομίζεται η από … δήλωση εμπιστευτικότητας υπογεγραμμένη από τον εν λόγω υπάλληλο κατά την πρόσληψή του, ενώ τονίζεται ότι τα γεγονότα που καταγγέλλονται δεν οφείλονται σε πράξη ή παράλειψη της εταιρείας και ουδεμία ανάμειξη είχε σε αυτά. Τέλος, προσκομίζεται η πολιτική διαχείρισης αιτημάτων των υποκειμένων δεδομένων και η πολιτική διαχείρισης περιστατικών παραβίασης της εταιρείας. Στο πρώτο από τα παραπάνω κείμενα, με τίτλο «Διαδικασίες Ανταπόκρισης σε Αιτήματα των Υποκειμένων» αναφορικά με τα αιτήματα πρόσβασης προβλέπονται τα εξής: 3.1 Τα υποκείμενα των δεδομένων έχουν το δικαίωμα να ζητήσουν πρόσβαση στα προσωπικά τους δεδομένα που επεξεργάζονται. Αυτά τα αιτήματα ονομάζονται αιτήματα πρόσβασης. Όταν ένα υποκείμενο δεδομένων υποβάλλει σχετικό αίτημα, θα λάβουμε τα ακόλουθα βήματα: 3.1.1 Καταγράφεται η ημερομηνία παραλαβής της αίτησης (προκειμένου να διασφαλιστεί ότι τηρείται το σχετικό χρονοδιάγραμμα ενός μηνός για την απάντηση στο αίτημα)· 3.1.2 να επιβεβαιωθεί η ταυτότητα του υποκειμένου των δεδομένων που αποτελεί το αντικείμενο των προσωπικών δεδομένων. Για παράδειγμα, μπορούμε να ζητήσουμε πρόσθετες πληροφορίες από το υποκείμενο των δεδομένων για να επιβεβαιώσουμε την ταυτότητά του· 8 3.1.3 αναζήτηση βάσεων δεδομένων, συστημάτων, εφαρμογών και άλλων τόπων όπου τα προσωπικά δεδομένα που αποτελούν το αντικείμενο της αίτησης μπορούν να διεξαχθούν· και 3.1.4 παροχή επιβεβαίωσης στο υποκείμενο των δεδομένων εάν τα προσωπικά δεδομένα του υποκειμένου των δεδομένων που απαρτίζουν το αίτημά του υποβάλλονται σε επεξεργασία ή όχι. Ανάλογες είναι και οι προβλέψεις αναφορικά με το αίτημα διαγραφής (σημείο 5.2). Στο δεύτερο από τα εν λόγω κείμενα, με τίτλο «Διαδικασία Διαχείρισης Παραβίασης Δεδομένων Προσωπικού Χαρακτήρα», ορίζονται τα εξής: 7.1 Αναγνώριση & Αρχική Διαβούλευση (Βήμα 1) Η επιτυχής αντιμετώπιση πιθανών περιστατικών εξαρτάται από την έγκαιρη ανίχνευση και γνωστοποίηση των γεγονότων. Για το σκοπό αυτό, το e-mail της DPO θα λειτουργεί ως κεντρικό κανάλι αναφοράς για όλα τα περιστατικά παραβίασης δεδομένων προσωπικού χαρακτήρα, το οποίο θα παρέχει έναν μηχανισμό αναφοράς περιστατικών 24 ώρες την ημέρα, 7 μέρες την εβδομάδα. […] Μόλις γίνει αντιληπτή μία παραβίαση δεδομένων προσωπικού χαρακτήρα θα πρέπει να ενημερώνεται αμέσως η DPO της Εταιρείας, προκειμένου να εξακριβώσει εάν εξακολουθεί να υφίσταται η παραβίαση. Εάν ναι, πρέπει να ληφθούν αμέσως μέτρα για την ελαχιστοποίηση της επίδρασης αυτής στα υποκείμενα. […] Είναι υψίστης σημασίας όλοι οι εργαζόμενοι, οι εξωτερικοί συνεργάτες, οι εκπρόσωποι, οι εταίροι, οι εκτελούντες την επεξεργασία δεδομένων προσωπικού χαρακτήρα να κατανοούν σαφώς τι συνιστά ένα περιστατικό και σε ποιους πρέπει να αναφέρεται. Μόλις ένα άτομο αντιληφθεί ότι ένα περιστατικό έχει λάβει ή λαμβάνει χώρα, θα πρέπει να αναφέρει αμέσως και χωρίς καθυστέρηση το συμβάν στην προαναφερόμενη Τηλεφωνική Γραμμή και στο Νομικό Τμήμα της Εταιρείας (βλ. στοιχεία επικοινωνίας παραπάνω). Μετά τη λήψη γνωστοποίησης περί παραβίασης δεδομένων προσωπικού χαρακτήρα, η DPO, με τη συνδρομή του τμήματος IT, της ΝΥ και των επιχειρησιακών ομάδων εφόσον απαιτείται, πρέπει να επικοινωνήσει με το άτομο που εκκίνησε την αναφορά και να προβεί σε αρχική εκτίμηση για το κατά πόσον συνέβη ή ενδέχεται να 9 συμβαίνει κάποιο περιστατικό. Σε καταφατική περίπτωση, η DPO της Εταιρείας θα πρέπει: • Να συγκεντρώσει πληροφορίες σχετικά με τη φύση και την έκταση του συμβάντος, • Να καθορίσει σε αρχικό επίπεδο αν υπάρχει κάποια εύλογη πιθανότητα τα δεδομένα να έχουν κοινολογηθεί χωρίς αδείας ή εξ’ αιτίας μη ορθής χρήσης, […] Οι εν λόγω ενέργειες πρέπει να ολοκληρωθούν εντός 24 ωρών από τη γνωστοποίηση παραβίασης δεδομένων προσωπικού χαρακτήρα. Σε συνέχεια των ανωτέρω, η Αρχή με τις Γ/ΕΞΕ/530/12-02-2024 και Γ/ΕΞΕ/529/1202-2024 κλήσεις της κάλεσε την καταγγέλλουσα και την καταγγελλόμενη, αντίστοιχα, σε ακρόαση ενώπιον του Τμήματος της Αρχής στις 21/2/2024, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση. Κατά τη συνεδρίαση της 21/2/2024 ζητήθηκε αναβολή εκ μέρους της καταγγελλόμενης εταιρείας, το αίτημα έγινε δεκτό και η συζήτηση αναβλήθηκε για τις 6/3/2024. Κατά τη συνεδρίαση της 6/3/2024 παρέστησαν, μέσω τηλεδιάσκεψης, η καταγγέλλουσα δια του πληρεξουσίου δικηγόρου της, Κωνσταντίνου Μερσινιά (Α.Μ. ΔΣΑ …) και για λογαριασμό της καταγγελλόμενης εταιρείας οι πληρεξούσιοι δικηγόροι Δημήτριος Σμυρνής (Α.Μ. ΔΣΑ …) και Αικατερίνη Δερμιτζάκη (Α.Μ. ΔΣΑ …), έλαβαν δε προθεσμία και υπέβαλαν εμπρόθεσμα η μεν καταγγέλλουσα το με αρ. πρωτ. Γ/ΕΙΣ/2862/27-03-2024 υπόμνημα, η δε καταγγελλόμενη το με αρ. πρωτ. Γ/ΕΙΣ/2883/28-03-2024 υπόμνημα. Κατά την ακρόαση, ο εκπρόσωπος της καταγγέλλουσας επανέλαβε τους αναφερόμενους στην καταγγελία και τα συμπληρωματικά της έγγραφα ισχυρισμούς, υποστηρίζοντας ότι εν προκειμένω παρατηρούνται περισσότερες παραβάσεις και συγκεκριμένα α) το γεγονός ότι ο πρώην υπάλληλος της καταγγελλόμενης είχε πρόσβαση στο αρχείο της εταιρείας … μέρες μετά την παράδοση της παραγγελίας και μάλιστα σε χρόνο μετά τη λήξη της σύμβασης εργασίας του, αφού προφανώς ενημερώθηκε για τα στοιχεία της καταγγέλλουσας από την καταγγελλόμενη εταιρεία, η οποία φαίνεται ότι κατονόμασε την καταγγέλλουσα ως υπαίτια για την απόλυσή του, και β) η παραβίαση του δικαιώματος πρόσβασής της στα προσωπικά της δεδομένα και του δικαιώματος διαγραφής της, με το πρόσχημα ότι δεν είναι η ίδια υποκείμενο των δεδομένων, αλλά ο σύζυγός της. Περαιτέρω, με το υπόμνημά της η καταγγέλλουσα τόνισε τις συνέπειες της παραβίασης των δεδομένων της στην υγεία 10 της καθώς και το γεγονός ότι η καταγγελλόμενη αδιαφόρησε για τη διερεύνηση των συνθηκών υπό τις οποίες η παραβίαση έλαβε χώρα. Η καταγγέλλουσα επανέλαβε ότι δεν υπήρξε προσωπικός διαπληκτισμός της με τον υπάλληλο - διανομέα και ότι ο διανομέας δεν είχε λόγο να έχει αποθηκευμένο στην προσωπική του συσκευή τον αριθμό τηλεφώνου της αφού δεν έκανε χρήση του για το σκοπό της παράδοσης, πολύ δε περισσότερο … ημέρες μετά την ολοκλήρωση του σκοπού αυτού, ενώ η απόδειξη λιανικής όπου αναγραφόταν το τηλέφωνο αυτό, την οποία επικαλείται η καταγγελλόμενη, παραδόθηκε στην καταγγέλλουσα κατά την παράδοση και δεν μπορεί να βρισκόταν στην κατοχή του υπαλλήλου μετά την απόλυσή του, αλλά από τα πραγματικά περιστατικά προκύπτει ότι το γεγονός ότι ο υπάλληλος απέκτησε πρόσβαση στα στοιχεία της σε χρόνο μετά τη λήξη της σύμβασής του αποτελεί περιστατικό παραβίασης. Αναφορικά με τον ισχυρισμό ότι υποκείμενο των δεδομένων δεν είναι η ίδια αλλά ο σύζυγός της, η καταγγέλλουσα επαναλαμβάνει ότι η ίδια αποτελεί υποκείμενο των δεδομένων ως δημιουργός και κάτοχος του λογαριασμού με όνομα χρήστη «Β» στο ηλεκτρονικό κατάστημα της καταγγελλόμενης, η οποία, παρά τα όσα υποστήριξε, δεν προσκόμισε κανένα στοιχείο προς απόδειξη του ότι ο λογαριασμός ανήκε στον σύζυγό της. Τέλος, η καταγγέλλουσα αναφέρει ότι το γεγονός ότι δεν ήθελε να προβεί σε έναρξη δικαστικής διαμάχης με την καταγγελλόμενη, αλλά προσπάθησε να λύσει εξωδικαστικά το ζήτημα, δεν θα πρέπει να εκλαμβάνεται ως «προσπάθεια εκβιασμού» της εταιρείας εκ μέρους της και ζητά από την Αρχή να προβεί σε όλες τις δέουσες ενέργειες ώστε η καταγγελλόμενη να απέχει από παρόμοια περιστατικά παραβίασης δεδομένων στο μέλλον και να ικανοποιηθεί πλήρως το δικαίωμα διαγραφής του αρχείου των προσωπικών της δεδομένων. Η καταγγελλόμενη εταιρεία, τόσο κατά την ακρόαση όσο και με το υπόμνημά της ισχυρίσθηκε ότι ο λογαριασμός χρήστη έφερε το ονοματεπώνυμο «Γ», επικαλέστηκε όμως το γεγονός ότι προς ικανοποίηση του δικαιώματος διαγραφής πλέον ο εν λόγω λογαριασμός έχει διαγραφεί πλήρως, επομένως δεν είναι δυνατή η προσπέλασή του και η προσκόμιση σχετικών αποδεικτικών στοιχείων στην Αρχή. Ανέφερε ότι δεν έχει ασκηθεί οποιοδήποτε δικαίωμα από τον κ. Γ, ενώ η ίδια ως υπεύθυνος επεξεργασίας δεν μπορεί να γνωρίζει αν το πρόσωπο που βρίσκεται πίσω από την οθόνη και 11 πληκτρολογεί προσωπικά δεδομένα είναι το υποκείμενο ή τρίτος. Επιπλέον υποστήριξε ότι η καταγγέλλουσα έχει ως μοναδικό σκοπό την παρέμβαση της Αρχής προκειμένου στη συνέχεια να αξιώσει αποζημίωση ύψους 20.000 ευρώ, όπως προκύπτει από την από … εξώδικη επιστολή της. Αναφορικά με τον χειρισμό του περιστατικού, η καταγγελλόμενη αναφέρει ότι δεν το χειρίστηκε ως περιστατικό παραβίασης, διότι ο πρώην υπάλληλος και διανομέας της γνώριζε ήδη, μεταξύ άλλων, τον αριθμό κινητού τηλεφώνου σε … τον οποίο ο ίδιος ο πελάτης είχε καταχωρήσει, με σκοπό την άμεση αποστολή και προσήκουσα παράδοση της παραγγελίας, είχε στη διάθεσή του τα νόμιμα φορολογικά παραστατικά της (απόδειξη λιανικής και δελτίο αποστολής) όπου περιλαμβάνονται τα πλήρη στοιχεία του πελάτη, επιπλέον δε ο διανομέας είχε δεσμευτεί με δήλωση εμπιστευτικότητας, την οποία η εταιρεία έχει ήδη προσκομίσει στην Αρχή και δια της οποίας έχει αναλάβει να μη χρησιμοποιεί τα δεδομένα που περιέρχονται σε γνώση του κατά την εργασία του, για οποιονδήποτε άλλο σκοπό, παρά μόνο για την εκπλήρωση των καθηκόντων του, δεν θα τα αναπαράγει ούτε αποθηκεύει και σε περίπτωση λύσης της συνεργασίας του με την εταιρεία, υποχρεούται να σταματήσει αμέσως να κάνει χρήση αυτών και να παραδώσει αμέσως έγγραφα ή άλλα μέσα που περιλαμβάνουν προσωπικά δεδομένα, ενώ σε περίπτωση παραβίασης των υποχρεώσεών του αναλαμβάνει την αποκατάσταση οποιασδήποτε ζημίας της εταιρείας. Η εταιρεία ανέφερε ότι η σύμβαση του εν λόγω υπαλλήλου, ως αορίστου χρόνου, καταγγέλθηκε αναίτια, χωρίς να συνδεθεί με το υπό κρίση περιστατικό, το οποίο ο ίδιος αυθαίρετα θεώρησε ότι συνδέεται με την απόλυσή του. Επιπλέον, η καταγγελλόμενη επεσήμανε ότι ο υπάλληλος, κατά την αποχώρησή του, την διαβεβαίωσε ότι δεν είχε στην κατοχή του οποιοδήποτε δεδομένο προσωπικού χαρακτήρα, επομένως ήταν αδύνατο για την εταιρεία να γνωρίζει ότι σε αντίθεση με την παραπάνω δήλωση, ο υπάλληλος είχε αποφασίσει να κρατήσει τον αριθμό τηλεφώνου που αναγραφόταν στα φορολογικά παραστατικά, λόγω του διαπληκτισμού του με την καταγγέλλουσα, που, κατά την καταγγελλόμενη, είχε λάβει χώρα κατά την παράδοση. Οι εκπρόσωποι της καταγγελλόμενης, απαντώντας σε σχετική ερώτηση που έγινε στη συνεδρίαση, ανέφεραν ότι μετά την ενημέρωσή τους για το περιστατικό και τη διαπίστωση ότι ο πρώην υπάλληλος είχε παραβιάσει τις ανωτέρω υποχρεώσεις του, τον αναζήτησαν αλλά δεν κατέστη εφικτό να τον βρουν, διότι στη μεν προσπάθεια τηλεφωνικής 12 επικοινωνίας τούς έκλεισε το τηλέφωνο, στη δε προσπάθεια να του κοινοποιηθεί εξώδικη επιστολή με την οποία τον καλούσαν σε εξηγήσεις, διαπιστώθηκε ότι είχε αλλάξει τόπο κατοικίας, με αποτέλεσμα να είναι αδύνατη η επίδοση. Αναφορικά με τον τρόπο χειρισμού του περιστατικού, διευκρίνισαν ότι ελήφθη υπόψη η γνώμη του ΥΠΔ, η οποία ήταν σύμφωνη με την άποψη της εταιρείας, ότι δηλαδή δεν πρόκειται για περιστατικό παραβίασης και απαντώντας σε ερώτηση σχετικά με το αν ελήφθησαν περαιτέρω μέτρα για την αποφυγή παρόμοιων περιστατικών στο μέλλον, η εταιρεία ανέφερε ότι δεν έχει γίνει κάποια ενέργεια, όμως επιφυλάσσεται να συμμορφωθεί σε τυχόν υποδείξεις της Αρχής. Παράλληλα, η εταιρεία τόνισε ότι στο ηλεκτρονικό της κατάστημα έχουν εγγραφεί 400.000 πελάτες και ποτέ δεν είχαν οποιοδήποτε παράπονο αναφορικά με την επεξεργασία των προσωπικών τους δεδομένων και ζήτησε την απόρριψη της καταγγελίας. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ 1. Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας της Α κατά της «ΜΕΤΡΟ ΑΕΒΕ» και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/2019. 2. Με το άρθρο 5 παρ. 1 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (εφεξής ΓΚΠΔ) τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία. 13 Σύμφωνα με το άρθρο 5 παρ. 1 α), δ) και στ) ΓΚΠΔ «1. Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), […] στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)». Σύμφωνα με την Αιτιολογική Σκέψη 39 του ΓΚΠΔ «Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να υφίστανται επεξεργασία κατά τρόπο που να διασφαλίζει την ενδεδειγμένη προστασία και εμπιστευτικότητα των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων και για να αποτρέπεται κάθε ανεξουσιοδότητη πρόσβαση σε αυτά τα δεδομένα προσωπικού χαρακτήρα (…)». Περαιτέρω, σύμφωνα με την αρχή της λογοδοσίας που ορίζεται ρητώς στην δεύτερη παράγραφο του ιδίου άρθρου και συνιστά ακρογωνιαίο λίθο του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Η αρχή αυτή συνεπάγεται την υποχρέωση του υπευθύνου επεξεργασίας να δύναται να αποδείξει συμμόρφωση με τις αρχές του άρθ. 5 παρ. 1. 3. Σύμφωνα με τη διάταξη του άρθρου 24 παρ. 1 ΓΚΠΔ: «1. Λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με τον παρόντα κανονισμό. Τα εν λόγω μέτρα επανεξετάζονται και επικαιροποιούνται όταν κρίνεται απαραίτητο», ενώ σύμφωνα με τις διατάξεις των παρ. 1 και 2 του άρθρου 32 ΓΚΠΔ για την ασφάλεια της επεξεργασίας, «1. Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο 14 ασφάλειας έναντι των κινδύνων, […] 2. Κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία». 4. Ως παραβίαση δεδομένων προσωπικού χαρακτήρα (άρθρο 4 στοιχ. 12 ΓΚΠΔ) νοείται «η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάσθηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία». Σύμφωνα με τις από 06-02-2018 Κατευθυντήριες Γραμμές 18/2018 της Ομάδας Εργασίας του άρθρου 29 της Οδηγίας 95/46/ΕΚ (νυν Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων) για την Γνωστοποίηση παραβίασης προσωπικών δεδομένων (“Guidelines on Personal data breach notification under Regulation 2016/679” WP 250 rev. 1) ένας από τους τύπους παραβίασης προσωπικών δεδομένων είναι αυτός που κατηγοριοποιείται με βάση την αρχή ασφαλείας της «εμπιστευτικότητας», όταν διαπιστώνεται πρόσβαση άνευ δικαιώματος σε προσωπικά δεδομένα (“confidentiality breach”). Μια παραβίαση μπορεί δυνητικά να έχει διάφορες σημαντικές δυσμενείς συνέπειες στα πρόσωπα, οι οποίες μπορούν να οδηγήσουν σε σωματική, υλική ή ηθική βλάβη. Στον ΓΚΠΔ επεξηγείται ότι αυτή η βλάβη μπορεί να περιλαμβάνει απώλεια του ελέγχου επί των δεδομένων προσωπικού χαρακτήρα τους, περιορισμό των δικαιωμάτων τους, διακρίσεις, κατάχρηση ή υποκλοπή ταυτότητας, οικονομική απώλεια, παράνομη άρση της ψευδωνυμοποίησης, βλάβη της φήμης και απώλεια της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα που προστατεύονται από επαγγελματικό απόρρητο κλπ. (βλ. και αιτ. σκέψεις 85 και 75). Τα περιστατικά παραβίασης δεδομένων πρέπει να γνωστοποιούνται στην Αρχή εντός 72 ωρών από τη στιγμή που έλαβε γνώση τους ο υπεύθυνος επεξεργασίας, σύμφωνα με το άρθρο 33 παρ. 1 ΓΚΠΔ: «1. Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας γνωστοποιεί αμελλητί και, αν είναι δυνατό, εντός 72 ωρών από τη στιγμή που αποκτά γνώση του γεγονότος την παραβίαση των δεδομένων προσωπικού χαρακτήρα στην εποπτική αρχή που είναι αρμόδια σύμφωνα με το άρθρο 55, εκτός εάν η παραβίαση δεδομένων προσωπικού χαρακτήρα δεν ενδέχεται να προκαλέσει 15 κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Όταν η γνωστοποίηση στην εποπτική αρχή δεν πραγματοποιείται εντός 72 ωρών, συνοδεύεται από αιτιολόγηση για την καθυστέρηση». Η γνωστοποίηση πρέπει να έχει το ελάχιστο περιεχόμενο που αναφέρεται στην παρ. 3 του άρθρου 33 ΓΚΠΔ, ενώ σύμφωνα με την παρ. 5 του ιδίου άρθρου «Ο υπεύθυνος επεξεργασίας τεκμηριώνει κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα, που συνίστανται στα πραγματικά περιστατικά που αφορούν την παραβίαση δεδομένων προσωπικού χαρακτήρα, τις συνέπειες και τα ληφθέντα διορθωτικά μέτρα. Η εν λόγω τεκμηρίωση επιτρέπει στην εποπτική αρχή να επαληθεύει τη συμμόρφωση προς το παρόν άρθρο». 5. Επιπλέον η παραβίαση πρέπει να ανακοινώνεται και στο υποκείμενο των δεδομένων, κατά περίπτωση και σύμφωνα με τα οριζόμενα στο άρθρο 34 παρ. 1 και 2 ΓΚΠΔ: «1. Όταν η παραβίαση δεδομένων προσωπικού χαρακτήρα ενδέχεται να θέσει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας ανακοινώνει αμελλητί την παραβίαση των δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων. 2. Στην ανακοίνωση στο υποκείμενο των δεδομένων η οποία αναφέρεται στην παράγραφο 1 του παρόντος άρθρου περιγράφεται με σαφήνεια η φύση της παραβίασης των δεδομένων προσωπικού χαρακτήρα και περιέχονται τουλάχιστον οι πληροφορίες και τα μέτρα που αναφέρονται στο άρθρο 33 παράγραφος 3 στοιχεία β), γ) και δ)». Κατά την αξιολόγηση του κινδύνου, θα πρέπει, σύμφωνα με τις αιτιολογικές σκέψεις 75 και 76 ΓΚΠΔ να λαμβάνεται υπόψη η πιθανότητα και η σοβαρότητα για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων και ο κίνδυνος να αξιολογείται βάσει αντικειμενικής εκτίμησης. Σύμφωνα με τις Κατευθυντήριες Γραμμές 18/2018 της ΟΕ 29, κατά την αξιολόγηση του κινδύνου για τα πρόσωπα ως αποτέλεσμα μιας παραβίασης, ο υπεύθυνος επεξεργασίας θα πρέπει να εξετάζει τις ειδικές περιστάσεις της παραβίασης, συμπεριλαμβανομένων της σοβαρότητας του πιθανού αντικτύπου και της πιθανότητας να προκύψει, λαμβάνοντας υπόψη μια σειρά από κριτήρια: το είδος της παραβίασης, τη φύση, την ευαισθησία και τον όγκο των δεδομένων, την ευκολία ταυτοποίησης των προσώπων, τη σοβαρότητα των συνεπειών για τα πρόσωπα, τα ειδικά χαρακτηριστικά του προσώπου, τα ειδικά 16 χαρακτηριστικά του υπευθύνου επεξεργασίας και τον αριθμό των επηρεαζόμενων προσώπων (wp 250 rev.01, σελ.28-31). 6. Ο υπεύθυνος επεξεργασίας οφείλει να διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων που προβλέπονται στα άρθρα 15 έως 22 (άρθρο 12 παρ. 2 ΓΚΠΔ), μεταξύ των οποίων περιλαμβάνονται το κατ’ άρθρο 15 ΓΚΠΔ δικαίωμα πρόσβασης και το κατ’ άρθρο 17 ΓΚΠΔ δικαίωμα διαγραφής, καθώς και να ενεργεί σε κάθε περίπτωση κατόπιν αιτήματος του υποκειμένου βάσει των άρθρων 15-22 ΓΚΠΔ, ενημερώνοντας το υποκείμενο εντός μηνός από την υποβολή του αιτήματος (άρθρο 12 παρ. 3 ΓΚΠΔ), ενώ εάν έχει εύλογες αμφιβολίες σχετικά με την ταυτότητα του φυσικού προσώπου που υποβάλλει το αίτημα που αναφέρεται στα άρθρα 15 έως 21, ο υπεύθυνος επεξεργασίας μπορεί να ζητήσει την παροχή πρόσθετων πληροφοριών αναγκαίων για την επιβεβαίωση της ταυτότητας του υποκειμένου των δεδομένων (άρθρο 12 παρ. 6 ΓΚΠΔ). 7. Περαιτέρω, σύμφωνα με το άρθρο 29 ΓΚΠΔ «Ο εκτελών την επεξεργασία και κάθε πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, το οποίο έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα, επεξεργάζεται τα εν λόγω δεδομένα μόνον κατ' εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους». 8. Στην προκειμένη περίπτωση, από τα στοιχεία του φακέλου και κατόπιν όσων προέκυψαν κατά την ακροαματική διαδικασία, διαπιστώνονται τα εξής: Με την από … εξώδικη δήλωση της καταγγέλλουσας έγινε γνωστό στην καταγγελλόμενη εταιρεία ότι ο πρώην υπάλληλός της είχε κάνει χρήση προσωπικών δεδομένων (αριθμού κινητού τηλεφώνου πελάτη της εταιρείας) τα οποία είχαν περιέλθει σε γνώση του στο πλαίσιο άσκησης των καθηκόντων του, για σκοπό άλλο από την εκτέλεση της εργασίας του και σε χρόνο κατά τον οποίο, σύμφωνα με τη σύμβαση εμπιστευτικότητας που είχε υπογράψει, όφειλε σε κάθε περίπτωση να τα έχει διαγράψει. Παράλληλα, ζήτησε α) να την ενημερώσει η καταγγελλόμενη για την επεξεργασία των δεδομένων της και β) να διαγράψει το αρχείο προσωπικών δεδομένων της. Η καταγγελλόμενη εταιρεία, παρότι διαθέτει Πολιτική διαχείρισης περιστατικών παραβίασης προσωπικών δεδομένων ως υπεύθυνος επεξεργασίας, δεν 17 προχώρησε στις κατάλληλες ενέργειες προς διερεύνηση και αξιολόγηση του εν λόγω περιστατικού, θεωρώντας εσφαλμένα ότι δεν πρόκειται για περιστατικό παραβίασης, διότι «ο υπάλληλος νομίμως είχε στην κατοχή του τα φορολογικά παραστατικά», όπως αναφέρει, παραβλέποντας το γεγονός ότι τα εν λόγω παραστατικά είχαν παραδοθεί στον πελάτη κατά την παράδοση της παραγγελίας, η δε διατήρηση του αριθμού κινητού τηλεφώνου σε προσωπικό μέσο του υπαλλήλου και η χρήση του για άλλους σκοπούς μετά τη λύση της συνεργασίας του με την εταιρεία, αποτελεί παραβίαση της εμπιστευτικότητας των δεδομένων, επομένως συνιστά περιστατικό παραβίασης με την έννοια του άρθρου 4 στοιχ. 12 ΓΚΠΔ. Το γεγονός ότι βάσει της σχετικής μεταξύ τους σύμβασης εμπιστευτικότητας, ο εν λόγω υπάλληλος έχει αναλάβει την αποκατάσταση τυχόν ζημίας της εταιρείας, δεν επηρεάζει την υποχρέωσή της, ως υπεύθυνου επεξεργασίας, αφ’ ενός μεν να γνωστοποιήσει το περιστατικό στην Αρχή σύμφωνα με το άρθρο 33 παρ. 1 ΓΚΠΔ, αφ’ ετέρου δε να προβεί στις κατάλληλες ενέργειες προκειμένου να χειριστεί το περιστατικό σύμφωνα με τα αναφερόμενα στην παρ. 3 του άρθρου 33 ΓΚΠΔ και συγκεκριμένα: να διερευνήσει τη φύση του περιστατικού και τις συνθήκες υπό τις οποίες συνέβη, να προσδιορίσει τις ενδεχόμενες συνέπειές του στα υποκείμενα, να εξετάσει την πιθανότητα λήψης μέτρων προς άμβλυνση των εν λόγω συνεπειών και να επανεξετάσει τα τεχνικά και οργανωτικά μέτρα ασφαλείας που εφαρμόζει ώστε να αποφευχθούν παρόμοια περιστατικά στο μέλλον, σύμφωνα με τα άρθρα 24 και 32 ΓΚΠΔ, αφού τα υπάρχοντα μέτρα δεν αποδείχθηκαν επαρκή. Περαιτέρω, διαπιστώνεται ότι η καταγγελλόμενη παραβίασε το δικαίωμα πρόσβασης της καταγγέλλουσας στα προσωπικά της δεδομένα σύμφωνα με το άρθρο 15 ΓΚΠΔ, ως υποκειμένου των δεδομένων που τηρούσε η εταιρεία σε σχέση με τον λογαριασμό χρήστη με όνομα “Β” στο ηλεκτρονικό της κατάστημα eshop.mymarket.gr. Συγκεκριμένα, μετά την από … εξώδικη δήλωση της καταγγέλλουσας, η εταιρεία δεν έλεγξε εάν τηρεί προσωπικά δεδομένα της καταγγέλλουσας (λογαριασμό χρήστη στο ηλεκτρονικό της κατάστημα, username, email εγγραφής, ιστορικό παραγγελιών κλπ) σύμφωνα με τα αναφερόμενα στα σημεία 3.1.2 και 3.1.3 της προσκομισθείσας Πολιτικής διαχείρισης αιτημάτων των υποκειμένων δεδομένων των, ούτε ζήτησε περαιτέρω συμπληρωματικές πληροφορίες για να ταυτοποιήσει την καταγγέλλουσα ως υποκείμενο, εάν είχε 18 εύλογες αμφιβολίες, σύμφωνα με το άρθρο 12 παρ. 6 ΓΚΠΔ, αλλά περιορίστηκε στην αναφορά ότι οι δύο επίμαχες παραγγελίες ανέφεραν στα στοιχεία αποστολής το ονοματεπώνυμο του συζύγου της καταγγέλλουσας, Γ. Η εταιρεία δεν απέδειξε τον ισχυρισμό ότι ο λογαριασμός αυτός είχε ανοιχθεί με τα στοιχεία «Γ», υποστηρίζοντας ότι δεν είχε πλέον πρόσβαση σε αυτόν, καθότι τον είχε διαγράψει σε ικανοποίηση του δικαιώματος διαγραφής, μετά το Γ/ΕΞΕ/696/17-03-2023 έγγραφο της Αρχής για παροχή διευκρινίσεων, αφού πλέον είχε διαπιστώσει ότι ο λογαριασμός ανήκε στην καταγγέλλουσα. Ωστόσο, η εταιρεία δεν εξήγησε για ποιο λόγο ικανοποίησε μόνο το δικαίωμα διαγραφής και όχι (προηγουμένως) το δικαίωμα πρόσβασης που επίσης είχε ασκηθεί από την καταγγέλλουσα. Παράλληλα, διαπιστώνεται ότι η καταγγελλόμενη δεν ικανοποίησε το δικαίωμα διαγραφής προσωπικών δεδομένων της καταγγέλλουσας σύμφωνα με το άρθρο 17 ΓΚΠΔ, παρά μόνο μετά το ανωτέρω έγγραφο της Αρχής για παροχή διευκρινίσεων, πράγμα που αποδεικνύεται από το γεγονός ότι η καταγγέλλουσα εξακολούθησε να λαμβάνει newsletter από την καταγγελλόμενη εταιρεία μέχρι και τις αρχές του έτους … . Εν προκειμένω φαίνεται επίσης ότι παραβιάστηκαν οι διαδικασίες της καταγγελλόμενης εταιρείας για την ανταπόκριση σε αιτήματα των υποκειμένων, διότι, παρά την υποβολή αιτήματος διαγραφής εκ μέρους της καταγγέλλουσας, η εταιρεία, ως υπεύθυνος επεξεργασίας δεν ακολούθησε τα προβλεπόμενα στα σημεία 5.2.2 και 5.2.3 της ως άνω Διαδικασίας προκειμένου να ταυτοποιήσει την καταγγέλλουσα ως υποκείμενο του λογαριασμού χρήστη με όνομα “Β” στο ηλεκτρονικό της κατάστημα και με διεύθυνση e-mail ..., ώστε να τη διαγράψει από τη λίστα αποδεκτών του newsletter της. 9. Ως εκ τούτου, η Αρχή διαπιστώνει τις εξής παραβάσεις εκ μέρους της καταγγελλόμενης εταιρείας, ως υπευθύνου επεξεργασίας: α) παράβαση των κατά τα άρθρα 24, 32 και 33 ΓΚΠΔ υποχρεώσεών της, αφού παρότι έλαβε γνώση του καταγγελλόμενου περιστατικού παραβίασης δεν προχώρησε στη διερεύνησή του σύμφωνα με την Πολιτική που έχει θεσπίσει και στη γνωστοποίησή του στην Αρχή, ούτε στην επανεξέταση και επικαιροποίηση των τεχνικών και οργανωτικών μέτρων που εφαρμόζει προκειμένου να αποφευχθεί παρόμοιο περιστατικό στο μέλλον, 19 β) παράβαση του κατά το άρθρο 15 ΓΚΠΔ δικαιώματος πρόσβασης της καταγγέλλουσας, ως υποκειμένου των δεδομένων, στα προσωπικά δεδομένα της που τηρεί η καταγγελλόμενη για τον λογαριασμό χρήστη με το όνομα «Β» στο ηλεκτρονικό της κατάστημα (eshop.mymarket.gr), το οποίο άσκησε (ως πρώτο αίτημα) μέσω της από … εξώδικης δήλωσης, γ) παράβαση του κατά το άρθρο 17 ΓΚΠΔ δικαιώματος διαγραφής των δεδομένων της καταγγέλλουσας, το οποίο άσκησε μέσω της από … εξώδικης δήλωσης (ως δεύτερο αίτημα), με αποτέλεσμα η τελευταία να συνεχίσει να λαμβάνει το ενημερωτικό δελτίο (newsletter) μέχρι τις αρχές του έτους … οπότε γνωστοποιήθηκε η καταγγελία στην καταγγελλόμενη εταιρεία. 10. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις και ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ, τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς. Περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, τις παραγράφους 4 εδ. α) και 5 εδ. β) του ίδιου άρθρου που έχουν εφαρμογή στην παρούσα υπόθεση, τις Κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679 που εκδόθηκαν στις 03-10-2017 από την Ομάδα Εργασίας του άρθρου 29 (WP 253) και τις Κατευθυντήριες γραμμές 04/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων για τον υπολογισμό των διοικητικών προστίμων στο πλαίσιο του Γενικού Κανονισμού, καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως τα κριτήρια που παρατίθενται στη συνέχεια, ανά παράβαση. Α. Αναφορικά με την πρώτη ως άνω διαπιστωθείσα παράβαση (βλ. σκέψη 9 α), λαμβάνονται ιδιαιτέρως υπόψη οι εξής ειδικές περιστάσεις: • ότι η παράβαση των συναφών υποχρεώσεων του υπευθύνου επεξεργασίας εμπίπτει στη διάταξη της παρ. 4 του άρθρου 83 ΓΚΠΔ 20 • ότι η παράβαση είχε ως συνέπεια την πρόκληση αναστάτωσης και την επιβάρυνση της υγείας της καταγγέλλουσας, η οποία διένυε τον …μήνα της εγκυμοσύνης της • το γεγονός ότι η εταιρεία δεν προέβη σε καμία ενέργεια για διερεύνηση του περιστατικού και μετριασμό των συνεπειών του, με το επιχείρημα ότι δεν αναγνωρίζει την καταγγέλλουσα ως υποκείμενο, διότι η παραγγελία είχε γίνει στα στοιχεία του συζύγου της, πράγμα ασύνδετο εν προκειμένω αναφορικά με τη διαρροή του αριθμού του κινητού της τηλεφώνου • το γεγονός ότι παρότι η εταιρεία έχει λάβει κατάλληλα οργανωτικά μέτρα (σύμβαση εμπιστευτικότητας με υπαλλήλους, Πολιτική διαχείρισης περιστατικών παραβίασης), φαίνεται ότι δεν τα εφαρμόζει στην πράξη. Ειδικότερα προέκυψε ότι δεν τηρήθηκε στην υπό κρίση περίπτωση η προβλεπόμενη διαδικασία επιστροφής ή καταστροφής δεδομένων μετά την αποχώρηση του υπαλλήλου αλλά η εταιρεία αρκέστηκε στην προφορική του διαβεβαίωση ότι δεν έχει διατηρήσει προσωπικά δεδομένα πελατών, ενώ ακολούθως, παρά την φερόμενη παράβαση των συμβατικών υποχρεώσεων του πρώην υπαλλήλου, η εταιρεία δεν προχώρησε σε καμία νομική ενέργεια προς επιβολή τους ούτε καν αξιολόγησε το συμβάν ως περιστατικό παραβίασης. Συνεπώς, τα σχετικά οργανωτικά μέτρα φαίνεται να έχουν ληφθεί προς κάλυψη της σχετικής τυπικής υποχρέωσης της εταιρείας, χωρίς να τηρούνται πραγματικά • το γεγονός ότι ο τζίρος (ακαθάριστος κύκλος εργασιών) της εταιρείας για το τελευταίο διαθέσιμο οικονομικό έτος

(2022)ανήλθε σε 1,5 δις ευρώ 1. Β. Αναφορικά με τη δεύτερη ως άνω διαπιστωθείσα παράβαση (βλ. σκέψη 9 β), λαμβάνονται ιδιαιτέρως υπόψη τα εξής: https://www.metro.com.gr/getattachment/Etaireia/Oikonomikastoixeia/%CE%95%CE%9D%CE%9F%CE%A0%CE%9F%CE%99%CE%97%CE%9C%CE%95%CE%9D%CE%9 F%CE%A3%CE%99%CE%A3%CE%9F%CE%9B%CE%9F%CE%93%CE%99%CE%A3%CE%9C%CE%9F%CE%A3%CE%9C%CE%95%CE%A4%CE%A1%CE%9F-2022.pdf.aspx 1 21 • ότι η παράβαση των δικαιωμάτων των υποκειμένων των δεδομένων εμπίπτει στη διάταξη της παρ. 5 του άρθρου 83 ΓΚΠΔ • το γεγονός ότι η καταγγελλόμενη προέβαλε αντιφατικούς ισχυρισμούς όσον αφορά την άσκηση δικαιωμάτων από την καταγγέλλουσα, αφού τελικά παρότι αναγνώρισε την καταγγέλλουσα ως υποκείμενο, ικανοποίησε «επιλεκτικά» μόνο το δεύτερο ασκηθέν αίτημα διαγραφής και όχι το πρώτο αίτημα για πρόσβαση στα δεδομένα αυτά • ο βαθμός ευθύνης της καταγγελλόμενης, η οποία παρότι έχει θεσπίσει πολιτική διαχείρισης δικαιωμάτων των υποκειμένων δεν την εφάρμοσε εν προκειμένω, ώστε να ζητήσει συμπληρωματικά στοιχεία για ταυτοποίηση της καταγγέλλουσας, εάν το έκρινε απαραίτητο • το γεγονός ότι από ενέργειες της εταιρείας, ως υπεύθυνου επεξεργασίας, κατέστη ανέφικτη η ικανοποίηση του δικαιώματος, με συνέπεια η καταγγέλλουσα να βρίσκεται σε δυσμενέστερη αποδεικτική θέση και να μην είναι σε θέση να ασκήσει περαιτέρω δικαιώματά της Γ. Αναφορικά με την τρίτη ως άνω διαπιστωθείσα παράβαση (βλ. σκέψη 9 γ), λαμβάνεται ιδιαιτέρως υπόψη το γεγονός ότι το δικαίωμα φαίνεται να ικανοποιήθηκε στο πλαίσιο εξέτασης της υπόθεσης, ενώ η παράβαση είναι ήσσονος σημασίας και μικρής βαρύτητας, με μειωμένες συνέπειες για το υποκείμενο. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ Α. Επιβάλλει στην εταιρεία ΜΕΤΡΟ ΑΕΒΕ, ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, διοικητικό πρόστιμο ύψους τριάντα πέντε χιλιάδων (35.000€) ευρώ, για τη διαπιστωθείσα παράβαση των κατά τα άρθρα 24, 32 και 33 ΓΚΠΔ υποχρεώσεών της. Β. Επιβάλλει στην εταιρεία ΜΕΤΡΟ ΑΕΒΕ, ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, διοικητικό πρόστιμο ύψους δέκα χιλιάδων (10.000€) 22 ευρώ, για τη διαπιστωθείσα παράβαση του κατά το άρθρο 15 ΓΚΠΔ δικαιώματος πρόσβασης της καταγγέλλουσας. Γ. Επιβάλλει στην εταιρεία ΜΕΤΡΟ ΑΕΒΕ, ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, διοικητικό πρόστιμο ύψους πέντε χιλιάδων (5.000€) ευρώ, για τη διαπιστωθείσα παράβαση του κατά το άρθρο 17 ΓΚΠΔ δικαιώματος διαγραφής των δεδομένων της καταγγέλλουσας. Ο Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 23