Αθήνα, 20-02-2023 Αριθ. Πρωτ.: 435 ΑΠΟΦΑΣΗ 7/2023 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση σε σύνθεση Τμήματος στην έδρα της την 25/01/2023, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Στη συνεδρίαση μετείχε μέσω τηλεδιάσκεψης ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής, Κωνσταντίνου Μενουδάκου, και παρέστησαν το αναπληρωματικό μέλος Χρήστος Παπαθεοδώρου, ως εισηγητής, καθώς και τα αναπληρωματικά μέλη Δημοσθένης Βουγιούκας και Μαρία Ψάλλα, σε αντικατάσταση των τακτικών μελών Κωνσταντίνου Λαμπρινουδάκη και Γρηγόριου Τσόλια οι οποίοι δεν παρέστησαν λόγω κωλύματος αν και κλήθηκαν νομίμως εγγράφως. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου χωρίς δικαίωμα ψήφου, οι ειδικοί επιστήμονες Χάρις Συμεωνίδου, νομική ελέγκτρια και Γεώργιος Ρουσόπουλος, πληροφορικός ελεγκτής, ως βοηθοί εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. H Αρχή έλαβε υπόψη τα παρακάτω: Με τη με αριθ. πρωτ. Γ/ΕΙΣ/7558/18-11-2021 καταγγελία της η Α (στο εξής καταγγέλλουσα), στρέφεται κατά της εταιρείας Vodafone – ΠΑΝΑΦΟΝ Α.Ε.Ε.Τ. (στο εξής καταγγελλόμενη), παραπονούμενη για μη ικανοποίηση δικαιώματος πρόσβασης σε ηχογραφημένες συνομιλίες, καθώς και περιστατικό παραβίασης δεδομένων. Συγκεκριμένα, σύμφωνα με την καταγγελία και τα συμπληρωματικά της έγγραφα, κατόπιν αιτήματος πρόσβασης της καταγγέλλουσας στις ηχογραφημένες Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr τηλεφωνικές συνομιλίες της με εκπροσώπους της καταγγελλόμενης εταιρείας, το οποίο, όπως αναφέρεται, υποβλήθηκε με τον τρόπο που της υποδείχθηκε από το κέντρο τηλεφωνικής εξυπηρέτησης της καταγγελλόμενης και στο πλαίσιο αμφισβήτησης του συνδρομητικού προγράμματος που πωλήθηκε στην καταγγέλλουσα τηλεφωνικά (μετατροπή του αριθμού … από καρτοκινητό σε καρτοπρόγραμμα), εστάλη από την εταιρεία I-CALL SUPPORT & GROWTH IKE στη διεύθυνση κατοικίας της καταγγέλλουσας και της παραδόθηκε στις …, κατόπιν επίδειξης της αστυνομικής της ταυτότητας για λόγους ταυτοποίησης, ένας φάκελος που περιείχε CD με καταγεγραμμένες συνομιλίες τρίτου προσώπου με την καταγγελλόμενη και όχι τις συνομιλίες της καταγγέλλουσας. Όπως αναφέρει η καταγγέλλουσα, στη συνομιλία περιλαμβάνονται πλήθος προσωπικών δεδομένων του εν λόγω τρίτου προσώπου (ονοματεπώνυμο, ΑΦΜ, αριθμός ταυτότητας, ημερομηνία γέννησης, διεύθυνσή κατοικίας κλπ). Περαιτέρω, σύμφωνα με την καταγγελία, η καταγγέλλουσα ενημέρωσε τηλεφωνικά την καταγγελλόμενη για την λανθασμένη αποστολή αμέσως μόλις άκουσε το CD, ζητώντας να λάβει τη διαβεβαίωση της τελευταίας ότι τα δικά της προσωπικά δεδομένα δεν έχουν σταλεί σε άλλο πελάτη. Ωστόσο, όπως αναφέρει, δεν έλαβε καμία απάντηση σχετικά. Σύμφωνα δε με την από … επιστολή της καταγγελλόμενης στον Συνήγορο του Καταναλωτή, στον οποίο η καταγγέλλουσα επίσης προσέφυγε (βλ. Γ/ΕΙΣ/1532/01-022022 συμπληρωματικό έγγραφο), η καταγγελλόμενη, μεταξύ των άλλων, εξέφραζε τις απόψεις της επί του ως άνω καταγγελλόμενου περιστατικού (λανθασμένης αποστολής CD). Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, με το με αριθ. πρωτ. Γ/ΕΞ/441/16-02-2022 έγγραφό της, κάλεσε την καταγγελλόμενη να εκθέσει τις απόψεις της επί των καταγγελλομένων, διευκρινίζοντας ιδίως, α) εάν, με ποιο τρόπο και σε ποιο χρόνο η καταγγέλλουσα άσκησε προς αυτήν δικαίωμα πρόσβασης στις ηχογραφημένες συνομιλίες της, καθώς και εάν, με ποιο τρόπο και σε ποιο χρόνο η καταγγελλόμενη ανταποκρίθηκε στο αίτημα αυτό, β) εάν η καταγγελλόμενη ενημερώθηκε από την καταγγέλλουσα, αμέσως μετά την παραλαβή του επίμαχου CD εκ μέρους της, για το ότι, όπως αναφέρει, της εστάλησαν συνομιλίες τρίτου, καθώς και εάν η καταγγελλόμενη διερεύνησε εάν συνέβη το καταγγελλόμενο περιστατικό και ποιο το αποτέλεσμα των τυχόν ενεργειών της επ΄ αυτού, γ) εάν η καταγγελλόμενη προέβη σε γνωστοποίηση του περιστατικού στην Αρχή σύμφωνα με το άρθρο 33 ΓΚΠΔ και σε ανακοίνωσή του στο ενδιαφερόμενο υποκείμενο των δεδομένων σύμφωνα με το άρθρο 34 ΓΚΠΔ, αιτιολογώντας σε κάθε περίπτωση την απάντησή της και δ) ποια είναι η σχέση της με την εταιρεία I-CALL SUPPORT & GROWTH IKE και ποιος ο ρόλος καθεμίας εκ των δύο σε σχέση με την επεξεργασία προσωπικών δεδομένων συνδρομητών. Η καταγγελλόμενη στην από … απάντησή της (με αρ. πρωτ. Αρχής Γ/ΕΙΣ/3253/0403-2022) υποστηρίζει τα εξής: Ότι η καταγγέλλουσα υπέβαλε την από … αίτηση κοινοποίησης ηχογραφημένης κλήσης, σύμφωνα δε με την πρακτική που ακολουθεί η καταγγελλόμενη αναφορικά με την ικανοποίηση του δικαιώματος πρόσβασης σε ηχογραφημένες κλήσεις που έχουν πραγματοποιηθεί από συνεργαζόμενες εταιρείες, αρμόδια εν προκειμένω για την ανάκτηση και αποστολή της ηχογραφημένης κλήσης στο υποκείμενο των δεδομένων ήταν η εταιρεία «I-CALL SUPPORT & GROWTH ΙΚΕ» (εφεξής «I-CALL»), στην οποία και προωθήθηκε το αίτημα προς διεκπεραίωση. Ότι στη συνέχεια, όπως από σχετική υπεύθυνη δήλωση της καταγγέλλουσας (την οποία προσκομίζει ως Σχετ. 2), η Ι-CALL παρέδωσε στην καταγγέλλουσα την ηχογραφημένη κλήση σε CD μέσω συστημένης επιστολής (courier) την …, επομένως προκύπτει ότι το αίτημα της καταγγέλλουσας ικανοποιήθηκε, νόμιμα και εντός της προβλεπόμενης προθεσμίας. Ότι μετά την παραλαβή της ηχογραφημένης κλήσης, η καταγγέλλουσα απευθύνθηκε στην καταγγελλόμενη ισχυριζόμενη ότι δεν παρέλαβε την κλήση που αφορούσε την ίδια, αλλά την κλήση τρίτου συνδρομητή και ότι ακολούθως η καταγγελλόμενη επικοινώνησε άμεσα με την I-CALL, προκειμένου να διερευνήσει τον ισχυρισμό αυτό της καταγγέλλουσας. Ότι στη συνέχεια η I-CALL, με την από … απάντησή της, κατέστησε γνωστό στην καταγγελλόμενη ότι «προσπάθησε να επικοινωνήσει με την καταγγέλλουσα, γεγονός το οποίο δεν κατέστη εφικτό», ενώ και στο πλαίσιο αναφοράς της καταγγέλλουσας στον Συνήγορο του Καταναλωτή η καταγγελλόμενη έλαβε την ίδια απάντηση από την I-CALL, ότι δηλαδή δεν είχε καταφέρει να εντοπίσει την καταγγέλλουσα, γι’ αυτό και δεν είχε προχωρήσει σε περαιτέρω ενέργειες. Η καταγγελλόμενη υπογραμμίζει την ισχυρή της πεποίθηση πως δεν ευσταθεί ο ισχυρισμός της καταγγέλλουσας περί αποστολής ηχογραφημένης κλήσης τρίτου συνδρομητή, την οποία στηρίζει στα εξής στοιχεία: Α) ότι η I-CALL που είχε την ευθύνη της ηχογράφησης, της ανάκτησης και αποστολής της ηχογραφημένης κλήσης στην καταγγέλλουσα επιμένει πως δεν υφίσταται καμία ένδειξη περί λανθασμένης αποστολής ηχογραφημένου υλικού, Β) ότι ήδη κατά την παραλαβή της ηχογραφημένης κλήσης, η καταγγέλλουσα επιφυλάχθηκε για κάθε νόμιμη χρήση, γεγονός το οποίο αποδεικνύει την εκ των προτέρων βούλησή της να εμπλακεί εν γένει σε δικαστική διαμάχη με την καταγγελλόμενη, Γ) ότι σύμφωνα με την ενημέρωση που η καταγγελλόμενη έχει λάβει από την I-CALL, η τελευταία έχει προσπαθήσει επανειλημμένως να έρθει σε επαφή με την καταγγέλλουσα για τη διερεύνηση του περιστατικού χωρίς αποτέλεσμα και Δ) ότι με την από … απαντητική επιστολή της καταγγελλόμενης προς τον Συνήγορο του Καταναλωτή (την οποία επισυνάπτει ως Σχετ. 3) ζήτησε μετ' επιτάσεως από την καταγγέλλουσα, σε περίπτωση που ευσταθεί ο ισχυρισμός της, να επιστρέψει το ηχογραφημένο υλικό, ώστε η καταγγελλόμενη να λάβει γνώση και να είναι σε θέση να προβεί σε όλες τις απαραίτητες ενέργειες βάσει των υποχρεώσεών της από την ισχύουσα νομοθεσία περί προσωπικών δεδομένων, ενώ η καταγγέλλουσα μέχρι και την ημέρα της απάντησης δεν είχε ανταποκριθεί στο αίτημα αυτό περί προσκόμισης του CD. Όσον αφορά τις υποχρεώσεις εκ των άρθρων 33 και 34 ΓΚΠΔ, η καταγγελλόμενη υποστηρίζει ότι για την αξιολόγηση και διαχείριση περιστατικών παραβίασης ασφαλείας από τον Υπεύθυνο Επεξεργασίας προαπαιτείται η λήψη γνώση των πραγματικών περιστατικών που ενδέχεται να συνιστούν περιστατικό ασφαλείας από τον υπεύθυνο επεξεργασίας, καθώς και η αξιολόγηση των πραγματικών περιστατικών, ώστε αρχικά να διαπιστωθεί αν υφίσταται περιστατικό ασφαλείας και σε περίπτωση που υφίσταται, να αξιολογηθεί αν συντρέχουν οι προϋποθέσεις γνωστοποίησής του στην αρμόδια εποπτική αρχή και στο υποκείμενο, καθώς και να ληφθούν τα απαραίτητα μέτρα μετριασμού του κινδύνου για τα υποκείμενα των δεδομένων. Επικαλούμενη τις υπ’ αρ. 18/2018 κατευθυντήριες γραμμές της ΟΕ29, σύμφωνα με τις οποίες «…ένας υπεύθυνος επεξεργασίας θα πρέπει να θεωρείται ότι έχει αποκτήσει «γνώση» όταν ο εν λόγω υπεύθυνος επεξεργασίας έχει εύλογο βαθμό βεβαιότητας ότι έχει προκύψει περιστατικό ασφάλειας το οποίο έχει ως αποτέλεσμα να τεθούν σε κίνδυνο τα δεδομένα προσωπικού χαρακτήρα», η καταγγελλόμενη υποστηρίζει ότι εν προκειμένω, εξαιτίας της φύσης του περιστατικού, απαραίτητη προϋπόθεση για τη σχετική αξιολόγηση αποτελεί η προηγούμενη προσκόμιση από την καταγγέλλουσα του CD που της απεστάλη με την ηχογραφημένη συνομιλία, πράγμα που δεν έχει συμβεί, διότι η καταγγέλλουσα, όπως αναφέρεται, δεν έχει ανταποκριθεί μέχρι και σήμερα στις αλλεπάλληλες προσπάθειες της καταγγελλόμενης να διερευνήσει το περιστατικό, με αποτέλεσμα να μην είναι σε θέση να αξιολογήσει την ύπαρξη ή μη περιστατικού ασφαλείας κατά την έννοια των άρθρων 33 και 34 ΓΚΠΔ, καθώς και αν συντρέχουν οι προϋποθέσεις για υποβολή γνωστοποίησης στην Αρχή και στο τυχόν θιγόμενο υποκείμενο των δεδομένων. Τέλος, αναφορικά με τη σχέση της με την εταιρεία I-CALL, η καταγγελλόμενη ανέφερε ότι έχει συνάψει μαζί της σύμβαση εμπορικής συνεργασίας με αντικείμενο την πώληση και εν γένει προώθηση των τηλεπικοινωνιακών προϊόντων και υπηρεσιών της, και δεδομένου ότι ενεργεί ως Εκτελούσα την Επεξεργασία για λογαριασμό της, έχει υπογραφεί μεταξύ τους η από 23-03-2018 σύμβαση ανάθεσης επεξεργασίας προσωπικών δεδομένων, η οποία, όπως αναφέρει, περιλαμβάνει όλους τους όρους του άρθρου 28 ΓΚΠΔ. Ακολούθως, η καταγγέλλουσα με το Γ/ΕΙΣ/3645/09-03-2022 συμπληρωματικό της έγγραφο κοινοποίησε στην Αρχή το από … καταγεγραμμένο ιστορικό της συνομιλίας της με εκπρόσωπο της καταγγελλόμενης εταιρείας, το οποίο έλαβε στη συνέχεια στο ηλεκτρονικό της ταχυδρομείο. Παρατίθεται σχετικό απόσπασμα: Χ : Καλησπέρα σας ! Ονομάζομαι Χ κι έχετε συνδεθεί στην ομάδα Καρτοπρογράμματος/Καρτοκινητής! Χ : Έχω διαβάσει την συνομιλία που είχατε με τον Τobi τον ψηφιακό μας βοηθό. Χ : ημα σασ να υποβαλω αιτημα. Το εκανα και ζητησα ολες τις συνομιλιες με λεπτομερειες. Το καταστημα με ενημερωσε οτι επειδη ειμαι σε αμφισβητηση δεν χρεωνομαι. Μετα απο 10 μερες μςε καλεσαν για να με ενημερωσουν οτι το cd ειναι ετοιμο. να κανονισουμε ραντεβου να το παραλαβω στο σπιτι μου. Μετα απο 20 Χ : Ελέγχω αμέσως την αίτηση για την ηχογραφημένη κλήση μην σας ανησυχεί καθόλου. : μερες + αφου σας ξανακάλεσα καθως δεν ειχα λαβει το cd. Μου στειλατε το cd. Τα στοιχεια (ονομα μου και αριθμος τηλεφωνου) στον φακελο ηταν σωστα αλλα μου στειλατε αρχειο αλλου ανθρωπου. Με κανατε άθελα μου κοινωνο των προσωπικου δεδομενοων : ονομα, διευθυνση, ταυτοτητα, αφμ. Χ : Mετά από έλεγχο που πραγματοποίησα στην καρτέλα σας φαίνεται ότι στις … δρομολογήθηκε η ηχογραφημένη επικοινωνία όπως σωστά μου είπατε αλλά στο περιεχόμενο είναι διαφορετικού κατόχου; Χ : Αυτό που μπορώ να κάνω για εσάς για να σας εξυπηρετήσω άμεσα και σε πρώτο χρόνο θα προωθήσω αμέσως και σε πρώτο χρόνο στο τμήμα των προσφορών μας να την ελέγξει και να σας ενημερώσει για να λάβετε την σωστή. Χ : Μέσα σε 1 ημέρα θα την έχετε παραλάβει. Χ : Μας συγχωρείτε για το λάθος της αποστολής έχω αναλάβει εγώ να λάβετε την σωστή. : Αναρωτιεμαι αν κοινοποιησατε και τα δικα μου στοιχεια σε τριτο!!!Παραλληλα μου στειλατε μνμ οτι εχει εκδοθει λογαριασμος αξιας …!! Καλεσα ξανα και ζήτησα αμεση ακυρωση του καρτοσυμβολαιου, την απομαγνητοφωνηση μου, να διαγραφει η οφειλη μου αμεσα Χ : Αντιλαμβάνομαι πλήρως την δυσαρέσκεια σας και σίγουρα θα μεταφέρω τα σχόλια σας εσωτερικά καθώς είναι πολύ σημαντικά και μας βοηθούννα γινόμαστε καλύτεροι, ωστόσο τα προσωπικά σας στοιχεία δεν έχουν δοθεί σε τρίτο. Χ : Ονομάζομαι Χ οτιδήποτε χρειαστείτε μπορείτε να με ζητήσετε μέσω του Live Chat. : πως μπορειτε αν εισαστε βεβαιωσ οτι τα στοιχεια μου δεν εχυν δοθει σε αλον? : αλλον? Χ : Φαίνεται στην αποστολή του αιτήματος. : ειμαι σιγουρη καλε μου κ. Χ ότι είσαστε αριστος στη δουλεια σας. Χ : Συνοψίζοντας, θα ήθελα να σας ενημερώσω, ότι έχω προωθήσει για έλεγχο το αίτημα που έγινε, ώστε να ολοκληρωθεί άμεσα και σε πρώτο χρόνο! Χ : Μείνετε ήσυχη ότι θα λυθεί άμεσα το ζήτημα σας. : θα ηθελα να ενημερωθει η κυρια που εχω λαβει τα στοιχεια τηε οτι απο δικη σας αμελεια Χ : Το συντομότερο δυνατό. Χ : Την έχω ήδη ενημερώσει εγώ από εδώ. : Εδω και ενα μηνα δεν εχει λυθει. Και εχω ακλεσει αρκετες φορεσ, και εχω παει 4 φορεσ σε καταστημα σας. : παρακαλω όπως λαβω αντιγραφο τηε συνομιλιας μας Χ : Δεν χρειάζεται κάποια άλλη ενέργεια από εσάς, σας εγγυώμαι ότι θα λάβετε την σωστή ηχογράφηση και θα λυθεί το ζήτημα σας. Δεδομένων των ανωτέρω, η Αρχή, με σχετικές κλήσεις κάλεσε τους εμπλεκόμενους στο συμβούλιο του Τμήματος της Αρχής στις 02-11-2022, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση. Κατά τη συνεδρίαση παρέστη η καταγγέλλουσα και εκ μέρους της καταγγελλόμενης εταιρείας οι πληρεξούσιοι δικηγόροι της Εμμανουήλ Χαλκιαδάκης (…), Απόστολος Βόρρας (…), Εμμανουήλ Δημογεροντάκης (…) και Κωνσταντίνα – Μαρία Καροπούλου (…) και ο Β, Υπεύθυνος Προστασίας Δεδομένων της εταιρείας. Κατά τη συνεδρίαση οι κληθέντες έλαβαν προθεσμία και στη συνέχεια η καταγγελλόμενη κατέθεσε εμπροθέσμως το υπ’ αρ. πρωτ. Γ/ΕΙΣ/11924/21-11-2022 έγγραφο υπόμνημά της, ενώ η καταγγέλλουσα δεν κατέθεσε υπόμνημα. Κατά την ακρόαση, η καταγγέλλουσα επανέλαβε τα αναφερόμενα στην καταγγελία της, τονίζοντας ότι κανείς δεν επικοινώνησε μαζί της εκ μέρους της καταγγελλόμενης εταιρείας για να παραλάβει το CD που της είχε παραδοθεί από την Ι-Call, ότι πρώτη φορά της ζητήθηκε αυτό μέσω της από … επιστολής της καταγγελλόμενης προς τον Συνήγορο του Καταναλωτή (βλ. Γ/ΕΙΣ/1532/01-02-2022 συμπληρωματικό έγγραφο), το οποίο όμως δεν διευκρίνιζε σε ποιο κατάστημα ή σε ποια διεύθυνση όφειλε να παραδώσει το CD. Η καταγγελλόμενη τόσο κατά την ακρόαση όσο και με το υπόμνημά της υποστήριξε ότι από την εκτελούσα την επεξεργασία I-Call έχει λάβει την κατηγορηματική διαβεβαίωση ότι στην καταγγέλλουσα εστάλη η σωστή ηχογράφηση καθώς και ότι μετά την αναφορά της ότι έχει λάβει τις συνομιλίες άλλης πελάτισσας, έγιναν επανειλημμένες προσπάθειες τηλεφωνικής επικοινωνίας με την καταγγέλλουσα, στις οποίες όμως δεν απάντησε και έτσι δεν κατέστη εφικτό να επιβεβαιωθεί η ακρίβεια του ισχυρισμού της. Η καταγγελλόμενη επιπλέον τονίζει ότι η καταγγέλλουσα δεν προσκόμισε ούτε στην ίδια ούτε στην I-CALL αλλά ούτε σε οποιαδήποτε από τις Αρχές στις οποίες προσέφυγε, το επίμαχο CD, παρά το γεγονός ότι ένα άτομο με την ιδιότητα, τις γνώσεις και την ηλικία της θα μπορούσε εύκολα να το πράξει, βρίσκοντας για παράδειγμα τη διεύθυνση της εταιρείας από την ιστοσελίδα της. Σύμφωνα με την καταγγελλόμενη Vodafone, από τα ως άνω εκτιθέμενα πραγματικά περιστατικά προκύπτει ότι αφ’ ενός μεν το δικαίωμα πρόσβασης της καταγγέλλουσας στην ηχογραφημένη κλήση της έχει ικανοποιηθεί, καθώς δεν έχουν προσκομιστεί στοιχεία για το αντίθετο, αφ’ ετέρου δε η καταγγελλόμενη δεν έχει λάβει γνώση περιστατικού παραβίασης δεδομένων με επαρκή βαθμό βεβαιότητας, ώστε να το αξιολογήσει με βάση τα άρθρα 33 και 34 ΓΚΠΔ. Πρέπει να σημειωθεί ότι στο πλαίσιο της ακρόασης οι εκπρόσωποι της καταγγελλόμενης ερωτήθηκαν από τον εισηγητή για ποιο λόγο δεν ενήργησαν οι ίδιοι στέλνοντας ένα courier στο σπίτι της καταγγέλλουσας για να παραλάβουν και να ελέγξουν το CD. Η καταγγελλόμενη απάντησε ότι για το λόγο αυτό απευθύνθηκαν στην καταγγέλλουσα τόσο τηλεφωνικά όσο και εγγράφως. Τέλος, στο πλαίσιο της ακρόασης ζητήθηκε από την καταγγελλόμενη να προσκομίσει τη σχετική Πολιτική που διαθέτει για τη διαχείριση περιστατικών παραβίασης προσωπικών δεδομένων καθώς και να διευκρινίσει σε ποιες ενέργειες προέβη από τη στιγμή που έλαβε γνώση του ισχυρισμού της καταγγέλλουσας. Η καταγγελλόμενη με το υπόμνημά της προσκόμισε, μεταξύ άλλων, (Σχετ. 7) τη Διαδικασία Διαχείρισης Περιστατικών Παραβίασης Δεδομένων (έγγραφο “P-047 Manage Information & Cyber Security, Data Privacy, Fraud & Service Affecting Network Unavailability Incidents”), στην οποία περιγράφεται ο τρόπος διαχείρισης περιστατικών ασφαλείας. Η ανάλυση των ενδεδειγμένων ενεργειών μετά τη λήψη ειδοποίησης για περιστατικό, περιλαμβάνει (βήμα 1)1 την άμεση προώθηση των ειδοποιήσεων (alerts) που λαμβάνονται προς το αρμόδιο τμήμα (Incidents Management Dept. Lead – IMDL) και την έγκαιρη αξιολόγησή τους, με σκοπό την επιβεβαίωση ή μη της ύπαρξης περιστατικού παραβίασης (βήμα 3)
- Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
- Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας της Α κατά της Vodafone – ΠΑΝΑΦΟΝ Α.Ε.Ε.Τ. και να ασκήσει, “An incoming alert is identified by a monitoring system and forwarded accordingly (i.e. via e-mail). Incidents Management Dept. Leads (IMDL) receive the alert from system monitoring sources (i.e. Vodafone Group, GSM Association, local/ Group SIEM system, DLP, Fraud system, etc.) and are responsible to timely pick it up. The Security Incident Lead (SIL) should be informed, supervise, and ensure that all alerts are timely picked-up. Go to step 3” (Σχετ. 7: 3 Flowchart Analysis, σελ. 16). 2 A competent Incidents Management Dept. Lead (IMDL) conducts a fist-level evaluation of the alert/ event received, following the defined incident types reference table (Section 1.8 – Incident Types), the classification levels (Annex A) and considering if the alert/ event relates to Vodafone Greece systems or network, or if the required countermeasures are already in place. In order to ensure that countermeasures are in place Subject Matter Experts (SME) may be consulted. In case the alert is received on the Security_Incidents.gr@vodafone.com, all the Incidents Management Dept. Leads (IMDL) in coordination with the other recipients of this email address (i.e. Subject Matter Experts) will make all the above-mentioned actions/ decisions. In case of non-working hours, this process will be conducted by NOC/ NITO working on shift. The Security Incident Lead (SIL) should be informed, supervise, and ensure that all alerts/ events are being timely evaluated. - If the alert is evaluated as “Not-Applicable” or “False Positive” then go to step 4 - If the alert is evaluated as “Applicable” or “True Positive” then go to step 16” (Σχετ. 7: 3 Flowchart Analysis, σελ. 16-17). 1 αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/
- Με το άρθρο 5 παρ. 1 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (εφεξής ΓΚΠΔ) τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία. Σύμφωνα με το άρθρο 5 παρ. 1 α) και στ) ΓΚΠΔ «
- Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), […] στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)», ενώ όπως επισημαίνεται στο Προοίμιο του Κανονισμού, «Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να υφίστανται επεξεργασία κατά τρόπο που να διασφαλίζει την ενδεδειγμένη προστασία και εμπιστευτικότητα των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων και για να αποτρέπεται κάθε ανεξουσιοδότητη πρόσβαση σε αυτά τα δεδομένα προσωπικού χαρακτήρα και στον εξοπλισμό που χρησιμοποιείται για την επεξεργασία τους ή η χρήση αυτών των δεδομένων προσωπικού χαρακτήρα και του εν λόγω εξοπλισμού» (Αιτ. Σκ. 39 in fine). Περαιτέρω, σύμφωνα με την αρχή της λογοδοσίας που ορίζεται ρητώς στην δεύτερη παράγραφο του ιδίου άρθρου και συνιστά ακρογωνιαίο λίθο του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Η αρχή αυτή συνεπάγεται την υποχρέωση του υπευθύνου επεξεργασίας να δύναται να αποδείξει συμμόρφωση με τις αρχές του άρθ. 5 παρ.
- Σύμφωνα με το άρθρο 15 παρ. 1 και 3 ΓΚΠΔ «
- Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες: […]
- Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. […] Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως.» Επιπλέον, σύμφωνα με το άρθρο 12 ΓΚΠΔ «
- Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων […] κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 […]
- Ο υπεύθυνος επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων που προβλέπονται στα άρθρα 15 […]
- Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. […]
- Εάν ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων, χωρίς καθυστέρηση και το αργότερο εντός μηνός από την παραλαβή του αιτήματος, για τους λόγους, για τους οποίους δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής». Δεδομένων των ανωτέρω προκύπτει ότι καθιερώνεται το δικαίωμα πρόσβασης του υποκειμένου στα προσωπικά δεδομένα που το αφορούν µε κύριο σκοπό να βεβαιώνεται το υποκείµενο για την ακρίβεια και τον σύννοµο χαρακτήρα της επεξεργασίας των δεδοµένων του. Ως εκ τούτου, για την ικανοποίηση του δικαιώµατος πρόσβασης δεν απαιτείται η επίκληση εννόµου συµφέροντος, αφού αυτό ενυπάρχει και αποτελεί βάση του δικαιώµατος πρόσβασης του υποκειµένου να λάβει γνώση πληροφοριών που το αφορούν και οι οποίες έχουν καταχωρηθεί σε αρχείο που τηρεί ο υπεύθυνος επεξεργασίας, έτσι ώστε να πραγµατώνεται η βασική αρχή του δικαίου για την προστασία των προσωπικών δεδοµένων, που συνίσταται στη διαφάνεια της επεξεργασίας ως προϋπόθεση κάθε περαιτέρω ελέγχου της νοµιµότητάς της εκ µέρους του υποκειµένου των δεδοµένων
- Σύμφωνα με τη διάταξη του άρθρου 24 παρ. 1 ΓΚΠΔ: «
- Λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με τον παρόντα κανονισμό. Τα εν λόγω μέτρα επανεξετάζονται και επικαιροποιούνται όταν κρίνεται απαραίτητο», ενώ σύμφωνα με τις διατάξεις των παρ. 1 και 2 του άρθρου 32 ΓΚΠΔ για την ασφάλεια της επεξεργασίας, «
- Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, περιλαμβανομένων, μεταξύ άλλων, κατά περίπτωση: α) της ψευδωνυμοποίησης και της κρυπτογράφησης δεδομένων προσωπικού χαρακτήρα, β) της δυνατότητας διασφάλισης του απορρήτου, της ακεραιότητας, της διαθεσιμότητας και της αξιοπιστίας των συστημάτων και των υπηρεσιών επεξεργασίας σε συνεχή βάση, γ) της δυνατότητας αποκατάστασης της διαθεσιμότητας και της πρόσβασης σε δεδομένα προσωπικού χαρακτήρα σε εύθετο χρόνο σε περίπτωση φυσικού ή τεχνικού συμβάντος, δ) διαδικασίας για την τακτική δοκιμή, εκτίμηση και αξιολόγηση της αποτελεσματικότητας των τεχνικών και των οργανωτικών μέτρων για τη διασφάλιση της ασφάλειας της επεξεργασίας.
- Κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία». 3 Βλ. ενδεικτικά ΑΠΔ 2/2020, 23/2020, 16/2017, 98/2014, 149/2014, 72/2013 και 71/2013, ομοίως.
- Σύμφωνα με το άρθρο 4 αρ. 12 ΓΚΠΔ ως παραβίαση δεδομένων προσωπικού χαρακτήρα νοείται «η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάσθηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία». Σύμφωνα με τις από 06-02-2018 Κατευθυντήριες Γραμμές της Ομάδας Εργασίας του άρθρου 29 της Οδηγίας 95/46/ΕΚ (νυν Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων –EDPB) για την Γνωστοποίηση παραβίασης προσωπικών δεδομένων (“Guidelines on Personal data breach notification under Regulation 2016/679” WP 250 rev. 1) ένας από τους τύπους παραβίασης προσωπικών δεδομένων είναι αυτός που κατηγοριοποιείται με βάση την αρχή ασφαλείας της «εμπιστευτικότητας», όταν διαπιστώνεται πρόσβαση άνευ δικαιώματος σε προσωπικά δεδομένα (“confidentiality breach”). Μια παραβίαση μπορεί δυνητικά να έχει διάφορες σημαντικές δυσμενείς συνέπειες στα πρόσωπα, οι οποίες μπορούν να οδηγήσουν σε σωματική, υλική ή ηθική βλάβη. Στον ΓΚΠΔ επεξηγείται ότι αυτή η βλάβη μπορεί να περιλαμβάνει απώλεια του ελέγχου επί των δεδομένων προσωπικού χαρακτήρα τους, περιορισμό των δικαιωμάτων τους, διακρίσεις, κατάχρηση ή υποκλοπή ταυτότητας, οικονομική απώλεια, παράνομη άρση της ψευδωνυμοποίησης, βλάβη της φήμης και απώλεια της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα που προστατεύονται από επαγγελματικό απόρρητο κλπ. (βλ. και αιτ. σκέψεις 85 και 75).
- Τα περιστατικά παραβίασης δεδομένων πρέπει να γνωστοποιούνται στην Αρχή εντός 72 ωρών από τη στιγμή που έλαβε γνώση τους ο υπεύθυνος επεξεργασίας, σύμφωνα με το άρθρο 33 παρ. 1 ΓΚΠΔ: «
- Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας γνωστοποιεί αμελλητί και, αν είναι δυνατό, εντός 72 ωρών από τη στιγμή που αποκτά γνώση του γεγονότος την παραβίαση των δεδομένων προσωπικού χαρακτήρα στην εποπτική αρχή που είναι αρμόδια σύμφωνα με το άρθρο 55, εκτός εάν η παραβίαση δεδομένων προσωπικού χαρακτήρα δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Όταν η γνωστοποίηση στην εποπτική αρχή δεν πραγματοποιείται εντός 72 ωρών, συνοδεύεται από αιτιολόγηση για την καθυστέρηση.». Η γνωστοποίηση πρέπει να έχει το ελάχιστο περιεχόμενο που αναφέρεται στην παρ. 3 του άρθρου 33 ΓΚΠΔ, ενώ σύμφωνα με την παρ. 5 του ιδίου άρθρου «Ο υπεύθυνος επεξεργασίας τεκμηριώνει κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα, που συνίστανται στα πραγματικά περιστατικά που αφορούν την παραβίαση δεδομένων προσωπικού χαρακτήρα, τις συνέπειες και τα ληφθέντα διορθωτικά μέτρα. Η εν λόγω τεκμηρίωση επιτρέπει στην εποπτική αρχή να επαληθεύει τη συμμόρφωση προς το παρόν άρθρο». Όσον αφορά το χρόνο λήψης γνώσης του περιστατικού από τον Υπεύθυνο Επεξεργασίας, στις ως άνω ΚΓ της ΟΕ29 (wp 250) αναφέρονται τα εξής: «Όπως αναφέρεται λεπτομερώς παραπάνω, ο ΓΚΠΔ απαιτεί, σε περίπτωση παραβίασης, ο υπεύθυνος επεξεργασίας να γνωστοποιεί την παραβίαση αμελλητί και, αν είναι δυνατό, εντός 72 ωρών από τη στιγμή που αποκτά γνώση του γεγονότος. Αυτό μπορεί να εγείρει το ερώτημα πότε ένας υπεύθυνος επεξεργασίας μπορεί να θεωρείται ότι αποκτά «γνώση» μιας παραβίασης. Η ΟΕ29 θεωρεί ότι ένας υπεύθυνος επεξεργασίας θα πρέπει να θεωρείται ότι έχει αποκτ[ήσει] «γνώση» όταν ο εν λόγω υπεύθυνος επεξεργασίας έχει εύλογο βαθμό βεβαιότητας ότι έχει προκύψει περιστατικό ασφάλειας το οποίο έχει ως αποτέλεσμα να τεθούν σε κίνδυνο τα δεδομένα προσωπικού χαρακτήρα. Ωστόσο, όπως προαναφέρθηκε, ο ΓΚΠΔ απαιτεί από τον υπεύθυνο επεξεργασίας να εφαρμόζει όλα τα κατάλληλα μέτρα τεχνικής προστασίας και οργανωτικά μέτρα για τον άμεσο εντοπισμό κάθε παραβίασης και την άμεση ενημέρωση της εποπτικής αρχής και των υποκειμένων των δεδομένων. Αναφέρει επίσης ότι θα πρέπει να διαπιστώνεται ότι η γνωστοποίηση πραγματοποιήθηκε χωρίς αδικαιολόγητη καθυστέρηση, λαμβανομένων υπόψη ιδίως της φύσης και της σοβαρότητας της παραβίασης δεδομένων, καθώς και των συνεπειών και των δυσμενών αποτελεσμάτων της για το υποκείμενο των δεδομένων. Κατ’ αυτόν τον τρόπο, ο υπεύθυνος επεξεργασίας υπόκειται στην υποχρέωση να εξασφαλίζει ότι θα αποκτά «γνώση» οποιωνδήποτε παραβιάσεων εγκαίρως ώστε να μπορεί να προβεί στις κατάλληλες ενέργειες. Το ακριβές χρονικό σημείο όπου ένας υπεύθυνος επεξεργασίας μπορεί να θεωρείται ότι αποκτά «γνώση» μιας συγκεκριμένης παραβίασης θα εξαρτάται από τις περιστάσεις της συγκεκριμένης παραβίασης. Σε ορισμένες περιπτώσεις, θα προκύπτει με σχετική σαφήνεια από την αρχή ότι έχει διαπραχθεί παραβίαση, ενώ, σε άλλες, ενδέχεται να χρειάζεται κάποιος χρόνος για να διαπιστωθεί εάν τα δεδομένα προσωπικού χαρακτήρα έχουν τεθεί σε κίνδυνο. Ωστόσο, η έμφαση θα πρέπει να δίνεται στην έγκαιρη ανάληψη δράσης για τη διερεύνηση ενός περιστατικού, ώστε να διαπιστωθεί κατά πόσο τα δεδομένα προσωπικού χαρακτήρα έχουν παραβιαστεί και, σε τέτοια περίπτωση, να λαμβάνονται διορθωτικά μέτρα και να γίνεται γνωστοποίηση, εάν απαιτείται».
- Επιπλέον η παραβίαση πρέπει να ανακοινώνεται και στο υποκείμενο των δεδομένων, κατά περίπτωση και σύμφωνα με τα οριζόμενα στο άρθρο 34 παρ. 1 και 2 ΓΚΠΔ: «
- Όταν η παραβίαση δεδομένων προσωπικού χαρακτήρα ενδέχεται να θέσει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας ανακοινώνει αμελλητί την παραβίαση των δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων.
- Στην ανακοίνωση στο υποκείμενο των δεδομένων η οποία αναφέρεται στην παράγραφο 1 του παρόντος άρθρου περιγράφεται με σαφήνεια η φύση της παραβίασης των δεδομένων προσωπικού χαρακτήρα και περιέχονται τουλάχιστον οι πληροφορίες και τα μέτρα που αναφέρονται στο άρθρο 33 παράγραφος 3 στοιχεία β), γ) και δ)».
- Στην υπό εξέταση περίπτωση, από τα στοιχεία του φακέλου και μετά την ακροαματική διαδικασία προέκυψαν τα εξής: Σε ικανοποίηση του από … αιτήματος πρόσβασής της σε ηχογραφημένες συνομιλίες της με το τηλεφωνικό κέντρο της καταγγελλόμενης εταιρείας, η καταγγέλλουσα παρέλαβε στις … μέσω courier που εστάλη από την εκτελούσα την επεξεργασία ICALL ένα CD το οποίο παρότι εξωτερικά ανέφερε τα δικά της στοιχεία, περιείχε τις ηχογραφημένες συνομιλίες άλλου προσώπου. Για το εν λόγω περιστατικό η καταγγελλόμενη ενημερώθηκε, ως υπεύθυνος επεξεργασίας, αρχικά στις … από την καταγγέλλουσα μέσω της εφαρμογής Live Chat, στη συνέχεια στο πλαίσιο της από … αναφοράς της τελευταίας στο Συνήγορο του Καταναλωτή και τέλος, στο πλαίσιο της υπό κρίση καταγγελίας στην Αρχή, η οποία της κοινοποιήθηκε στις …. Παρ’ όλα αυτά η αντίδρασή της περιορίστηκε α) στην επικοινωνία της μέσω ηλεκτρονικού ταχυδρομείου με την εκτελούσα την επεξεργασία I-CALL στις … («Έχει επανέλθει η συνδρομήτρια και υποστηρίζει ότι της στάλθηκε ηχογράφηση άλλου συνδρομητή. Μπορείτε παρακαλώ να το διερευνήσετε ώστε να ενημερωθεί ο συνδρομητής;»), από την οποία πληροφορήθηκε στις … ότι «έχουμε καλέσει τη συνδρομήτρια … ώστε να μας ενημερώσει σχετικά και να της δοθούν οι απαραίτητες διευκρινίσεις αλλά η ίδια δε μας απάντησε» (σημειωτέον ότι η εν λόγω απάντηση της I-CALL διαφέρει από τον επικαλούμενο με το υπόμνημα ισχυρισμό της Vodafone ότι στις … η I-CALL «παρέθεσε ότι δεν υφίσταται καμία ένδειξη περί λανθασμένης αποστολής ηχογραφημένου υλικού», ενώ δεν παρέχεται καμία τεκμηρίωση σε σχέση με τις επικαλούμενες προσπάθειες κλήσεων προς την καταγγέλλουσα) και β) στην από … έγγραφη επιστολή προς την καταγγέλλουσα με την οποία την καλούσε να επιστρέψει το υλικό. Από τα παραπάνω πραγματικά περιστατικά προκύπτει ότι η καταγγελλόμενη δεν διερεύνησε ενεργά το πιθανό περιστατικό που τέθηκε εις γνώση της, αλλά μετέθεσε το βάρος της ευθύνης για τη συγκέντρωση των σχετικών πληροφοριών στην καταγγέλλουσα. Η καταγγελλόμενη, ως υπεύθυνος επεξεργασίας θα μπορούσε εύκολα να διαπιστώσει εάν πράγματι είχε σταλεί στην καταγγέλλουσα συνομιλία έτερου προσώπου (και ποιου), αντί να περιμένει παθητικά να παραδοθεί το εν λόγω CD από την καταγγέλλουσα, με δική της πρωτοβουλία και χρέωση, σε κάποιο κατάστημα Vodafone ή στην έδρα της. Εξάλλου, στην καταγγέλλουσα είχε δοθεί η ενημέρωση ότι «δεν χρειάζεται οποιαδήποτε άλλη ενέργεια» από την ίδια και να «μείνει ήσυχη», όπως προκύπτει από την καταγεγραμμένη συνομιλία της μέσω Live Chat στις …, την οποία προσκόμισε. Επιπλέον, στην εκτελούσα την επεξεργασία, η καταγγελλόμενη απευθύνθηκε μετά την πάροδο αρκετών ημερών (…), όπως προέκυψε από την ηλεκτρονική αλληλογραφία που προσκόμισε, και όχι αμέσως μόλις έλαβε την αρχική πληροφορία για πιθανό περιστατικό (…), παρά το γεγονός ότι στη σχετική Διαδικασία Διαχείρισης Περιστατικών Παραβίασης Δεδομένων που προσκόμισε με το υπόμνημά της (Σχετ. 7) περιλαμβάνεται η υποχρέωση άμεσης προώθησης και αξιολόγησης των ειδοποιήσεων (alerts) που λαμβάνονται, από το αρμόδιο τμήμα (Incidents Management Dept. Lead – IMDL), με σκοπό την επιβεβαίωση ύπαρξης ή μη περιστατικού παραβίασης και τη συνακόλουθη τήρηση των υποχρεώσεών της ως υπεύθυνου επεξεργασίας, απέναντι στην Αρχή και στα υποκείμενα των δεδομένων. Περαιτέρω, η καταγγελλόμενη δεν προέβη σε αποστολή του σωστού αρχείου προς την καταγγέλλουσα, με σκοπό την ικανοποίηση του δικαιώματος πρόσβασής της στις ηχογραφημένες συνομιλίες της, παρά την αντίθετη διαβεβαίωση μέσω Live Chat στις … («μέσα σε 1 ημέρα θα την έχετε παραλάβει. Μας συγχωρείτε για το λάθος της αποστολής, έχω αναλάβει εγώ να λάβετε την σωστή»).
- Κατόπιν των ανωτέρω, από τα στοιχεία του φακέλου και κατόπιν της ακροαματικής διαδικασίας, η Αρχή διαπιστώνει εκ μέρους της καταγγελλόμενης Vodafone, ως υπεύθυνου επεξεργασίας: α) παράβαση του άρθρου 15 ΓΚΠΔ, καθώς δεν απέδειξε (σύμφωνα με την αρχή της λογοδοσίας) ότι ικανοποίησε το δικαίωμα πρόσβασης της καταγγέλλουσας στη ζητηθείσα ηχογραφημένη κλήση, δεδομένου ότι η τελευταία αμφισβήτησε το περιεχόμενο του CD που παρέλαβε και η Vodafone δεν προχώρησε σε οποιαδήποτε ενέργεια σχετικά (π.χ. επανάληψη της αποστολής του ορθού αρχείου). β) παράβαση του άρθρου 33 ΓΚΠΔ, διότι παρότι είχε ένδειξη για περιστατικό παραβίασης δεδομένων, η Vodafone δεν διερεύνησε ενεργά το συμβάν και δεν το γνωστοποίησε στην Αρχή, αλλά αφ’ ενός μεν αρκέστηκε στην απάντηση της εκτελούσας την επεξεργασία I-CALL ότι δεν βρήκε την καταγγέλλουσα στο τηλέφωνο, αφ’ ετέρου δε, μετά την πάροδο αρκετών μηνών και μετά την προσφυγή της καταγγέλλουσας στο Συνήγορο του Καταναλωτή, με έγγραφο που κοινοποιήθηκε στην καταγγέλλουσα την κάλεσε να επιστρέψει το CD, αναμένοντας με τον παθητικό τρόπο αυτό να επιβεβαιώσει εάν συνέβη ή όχι περιστατικό παραβίασης. Δεδομένου του μικρού πιθανολογούμενου κινδύνου για τα δικαιώματα και τις ελευθερίες του τρίτου θιγόμενου υποκειμένου, η Αρχή δεν διαπιστώνει παράβαση του άρθρου 34 ΓΚΠΔ.
- Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 γ) ΓΚΠΔ (εντολή ικανοποίησης δικαιώματος) και 58 παρ. 2 θ) και 83 ΓΚΠΔ (επιβολή προστίμου) διορθωτικές εξουσίες της όσον αφορά τις ανωτέρω διαπιστωθείσες παραβάσεις. Για τον καθορισμό της κύρωσης η Αρχή λαμβάνει υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ που έχουν εφαρμογή στην παρούσα υπόθεση. Ειδικότερα, λαμβάνονται ιδιαιτέρως υπόψη: α) Η φύση, η βαρύτητα και η διάρκεια της παράβασης: Λαμβάνεται υπόψη ότι η παράβαση δικαιώματος του υποκειμένου εμπίπτει στη διάταξη του άρθρου 83 παρ. 5 ΓΠΚΔ, συνεπώς επισύρει ως μέγιστη κύρωση το ποσό των 20 εκ. ευρώ ή του 4% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, ανάλογα με το ποιο είναι υψηλότερο. Η επεξεργασία που αφορά η εν λόγω παράβαση δεν σχετίζεται άμεσα με τη βασική δραστηριότητα της καταγγελλόμενης επιχείρησης (παροχή τηλεπικοινωνιακών υπηρεσιών). β) Το γεγονός ότι εν προκειμένω οι παραβάσεις επηρεάζουν δύο υποκείμενα δεδομένων. γ) Ο βαθμός ευθύνης της καταγγελλόμενης, η οποία παρότι έχει λάβει κατάλληλα οργανωτικά μέτρα και έχει θεσπίσει σχετικές πολιτικές για τη διαχείριση περιστατικών παραβίασης δεδομένων, δεν προέκυψε ότι τα εφάρμοσε στην πράξη στην προκειμένη περίπτωση. δ) Το γεγονός ότι στην καταγγέλλουσα δόθηκε εκ μέρους της καταγγελλόμενης εσφαλμένη πληροφόρηση στις … αναφορικά με την ικανοποίηση του δικαιώματος πρόσβασής της («μέσα σε 1 ημέρα θα έχετε παραλάβει τη σωστή ηχογράφηση») αλλά και αναφορικά με τις απαιτούμενες ενέργειες εκ μέρους της ως προς τη διερεύνηση του πιθανού περιστατικού παραβίασης («δεν χρειάζεται οποιαδήποτε άλλη ενέργεια από εσάς»), ωστόσο, στο πλαίσιο της ακρόασης, η καταγγελλόμενη μετέθεσε την ευθύνη για τη διερεύνηση του πιθανού περιστατικού στην καταγγέλλουσα. ε) Το γεγονός ότι η καταγγελλόμενη δεν προέβη σε ενέργειες για διερεύνηση του περιστατικού και ικανοποίηση του δικαιώματος της καταγγέλλουσας ούτε κατά τη διάρκεια της εξέτασης της υπόθεσης από την Αρχή. στ) Το γεγονός ότι στην καταγγελλόμενη ως υπεύθυνο επεξεργασίας η Αρχή έχει απευθύνει στο παρελθόν επίπληξη για μη ικανοποίηση δικαιώματος πρόσβασης σε δύο ακόμα περιπτώσεις (αποφάσεις 46/2022 και 19/2022). ζ) Το γεγονός ότι η καταγγελλόμενη είχε τζίρο ύψους 907.300.000 ευρώ το έτος 2021, σύμφωνα με το δημοσιευμένο στην ιστοσελίδα της ισολογισμό της. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ Α. Δίνει εντολή στην εταιρεία Vodafone – ΠΑΝΑΦΟΝ Α.Ε.Ε.Τ. ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδ. γ) ΓΚΠΔ, να ικανοποιήσει άμεσα το ασκηθέν στις … δικαίωμα πρόσβασης της καταγγέλλουσας σε ηχογραφημένες συνομιλίες της, μέσω της αποστολής των ορθών αρχείων. Β. Επιβάλλει, στην εταιρεία Vodafone – ΠΑΝΑΦΟΝ Α.Ε.Ε.Τ. ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδ. θ) του ΓΚΠΔ, διοικητικό πρόστιμο ύψους σαράντα χιλιάδων (40.000€) ευρώ, για τις διαπιστωθείσες παραβάσεις του δικαιώματος πρόσβασης της καταγγέλλουσας κατ’ άρθρο 15 ΓΚΠΔ και της υποχρέωσης γνωστοποίησης περιστατικού παραβίασης βάσει του άρθρου 33 ΓΚΠΔ. Ο Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου