Επιβολή προστίμου στη Vodafone για περιστατικό παραβίασης και ανεπαρκή μέτρα ασφάλειας

(3)αριθμοί σύνδεσης οι οποίοι δεν του ανήκουν, ενώ επιπλέον η Vodafone διατηρεί με τα δικά του στοιχεία (ονοματεπώνυμο, πατρώνυμο και αριθμό ταυτότητας) τρεις διαφορετικούς αριθμούς μητρώου συνδρομητή με διαφορετικές διευθύνσεις κατοικίας. Όπως αναφέρεται στην καταγγελία, κατόπιν κλήσης του καταγγέλλοντος από την κ. Πταισματοδίκη του … Τμήματος Φ στο πλαίσιο προκαταρκτικής εξέτασης για την τέλεση του αδικήματος του άρθρου 370Β ΠΚ μέσω του τηλεφωνικού αριθμού …, ο οποίος βρέθηκε καταχωρημένος στα στοιχεία του χωρίς ο ίδιος να τον κατέχει και να τον χρησιμοποιεί, ο καταγγέλλων απευθύνθηκε στο κατάστημα Vodafone Χ το οποίο διατηρεί η εταιρεία με την επωνυμία «ΙΩΑΝΝΗΣ ΓΟΥΝΑΡΟΠΟΥΛΟΣ ΥΠΗΡΕΣΙΕΣ ΤΗΛΕΠΙΚΟΙΝΩΝΙΩΝ Μ.ΕΠΕ» και τον διακριτικό τίτλο «Mobitech ΕΠΕ» (αναφερόμενη στο εξής ως «Mobitech ΕΠΕ»), καθώς είχε ενημερωθεί τηλεφωνικά από την εξυπηρέτηση πελατών της Vodafone ότι από αυτό το κατάστημα έγινε η ως άνω σύνδεση, προκειμένου να διαπιστώσει αν πράγματι φαινόταν να του ανήκει αυτός ο αριθμός και – αν αυτό συνέβαινε – να ζητήσει να του χορηγηθούν αντίγραφα κάθε εγγράφου που συνόδευε την εν λόγω σύνδεση. Όπως υποστηρίζει ο καταγγέλλων, η Mobitech ΕΠΕ αρνήθηκε να του δώσει τις παραπάνω πληροφορίες που τον αφορούσαν και γι’ αυτό στις 14/10/2022 απευθύνθηκε στο κατάστημα Vodafone Ψ, απ’ όπου πληροφορήθηκε ότι εκτός από τις δύο συνδέσεις που γνώριζε ότι είχε στο όνομά του (τον δικό του και του αδελφού του), είχαν εκδοθεί στα στοιχεία του τρεις επιπλέον αριθμοί σύνδεσης, τους οποίους ουδέποτε αιτήθηκε ούτε έλαβε κάρτες SIM γι’ αυτούς. Επιπλέον, όπως διαπίστωσε από τα συνοδευτικά έγγραφα των συνδέσεων αυτών, φέρεται να υπάρχουν στην Vodafone τρεις αριθμοί μητρώου συνδρομητή αλλά και διαφορετικές διευθύνσεις κατοικίας του, παρά το γεγονός ότι αντιστοιχούν στο ίδιο ονοματεπώνυμο, πατρώνυμο και αριθμό ταυτότητας. Περαιτέρω, σύμφωνα με την καταγγελία, στις 24/10/2022 ο καταγγέλλων ενημερώθηκε ότι όφειλε να υποβάλει αίτηση αμφισβήτησης για τους αριθμούς που υπάρχουν στο όνομά του και τους οποίους δεν αναγνωρίζει ως δικούς του, πράγμα που έπραξε στις 27/10/2022 μέσω ηλεκτρονικού μηνύματος στη διεύθυνση …@vfshop.gr που του υποδείχθηκε και η οποία φέρεται να ανήκει στο κατάστημα Χ της Mobitech ΕΠΕ, ωστόσο, όπως αναφέρει, δεν έλαβε καμία απάντηση. Έτσι, απευθύνθηκε στις 2/11/2022 προς τον Υπεύθυνο Προστασίας Δεδομένων της Vodafone στη διεύθυνση data.privacy.gr@vofadone.com, ασκώντας το δικαίωμα 2 πρόσβασής του στα ανωτέρω έγγραφα, σύμφωνα με το άρθρο 15 ΓΚΠΔ, το οποίο ικανοποιήθηκε στις 2/2/2023. Από την απάντηση που έλαβε ο καταγγέλλων διαπίστωσε ότι και οι τρεις επίμαχες συνδέσεις ενεργοποιήθηκαν στο κατάστημα Χ, σε διαφορετικό χρόνο καθεμία εντός του έτους 2021, με έγγραφο ταυτοποίησης την αστυνομική ταυτότητα του καταγγέλλοντος, την οποία είχε φωτογραφίσει τον Ιούνιο του 2021 εκπρόσωπος της Vodafone κατά την ενεργοποίηση της πραγματικής του σύνδεσης με αριθμό … . Οι συνδέσεις περιλάμβαναν, σύμφωνα με την καταγγελία, διαφορετική κάθε φορά (πλαστή) υπογραφή, διαφορετικά στοιχεία ταχυδρομικής διεύθυνσης και διαφορετικούς αριθμούς επικοινωνίας, άγνωστους στον καταγγέλλοντα. Στο πλαίσιο διερεύνησης της ως άνω καταγγελίας, η Αρχή με το Γ/ΕΞΕ/1620/2306-2023 έγγραφο διαβίβασε την καταγγελία και τα σχετικά έγγραφα τόσο στην καταγγελλόμενη Vodafone όσο και στην εταιρεία Mobitech ΕΠΕ και τις κάλεσε να εκθέσουν τις απόψεις τους επί των καταγγελλομένων, διευκρινίζοντας ιδίως: α) σε ποιες ενέργειες έχουν προβεί μετά την ενημέρωσή τους εκ μέρους του καταγγέλλοντος ότι δεν αναγνωρίζει τους τρεις

(3)αριθμούς συνδέσεων που εκδόθηκαν στο όνομά του, β) εάν η δεύτερη έλαβε το ανωτέρω αίτημα του καταγγέλλοντος στη διεύθυνση …@vfshop.gr και σε περίπτωση καταφατικής απάντησης, εάν και με ποιο τρόπο ανταποκρίθηκε σε αυτό, γ) εάν διερευνήθηκε εκ μέρους της Vodafone στην προκειμένη περίπτωση η τήρηση ή μη των προβλεπόμενων διαδικασιών ταυτοποίησης συνδρομητή και ενεργοποίησης νέας σύνδεσης στο κατάστημα X και ποια είναι τα αποτελέσματα της εν λόγω διερεύνησης και δ) πώς αιτιολογείται η παράλληλη τήρηση τριών διαφορετικών αριθμών μητρώου συνδρομητή με διαφορετικά στοιχεία διεύθυνσης για τα ίδια στοιχεία ταυτότητας (ονοματεπώνυμο, πατρώνυμο και αριθμό ταυτότητας), όπως φέρεται να συνέβη εν προκειμένω. Οι εταιρείες κλήθηκαν επίσης να προσκομίσουν την κατά το άρθρο 28 παρ. 3 ΓΚΠΔ μεταξύ τους σύμβαση ανάθεσης επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/5322/18-07-2023 απαντητικό έγγραφο, η Vodafone ανέφερε ότι αφότου έλαβε γνώση του αιτήματος του καταγγέλλοντος, με το οποίο αμφισβητούσε τρεις

(3)αριθμούς συνδέσεων που εκδόθηκαν στο όνομά του, προέβη 3 στις ακόλουθες ενέργειες:

1. i)σε άμεση διερεύνηση του περιστατικού και εν συνεχεία σε αποσύνδεση των εν λόγω συνδέσεων (η γραμμή … αποσυνδέθηκε την 22/11/2022, η γραμμή … αποσυνδέθηκε την 16/12/2022, και η γραμμή … αποσυνδέθηκε την 19/12/2022),
2. ii)κατόπιν ενημέρωσης από την Vodafone του εξωτερικού συνεργάτη “Chapter Five Ltd” για τα ανωτέρω, η Chapter Five προχώρησε σε λύση της εργασιακής της σχέσης με την υπάλληλό της, η οποία είχε προβεί στην ενεργοποίηση των τριών

(3)συνδέσεων στο όνομα του καταγγέλλοντος, όπως αναφέρεται και στην από 05/08/2022 αρχική δήλωση γνωστοποίησης περιστατικού ασφαλείας που υπεβλήθη ενώπιον της Αρχής (Σημ.: Γ/ΕΙΣ/9385/05-08-2022). Με την απάντησή της, η Vodafone σημειώνει πως εκ παραδρομής είχε αναφερθεί εσφαλμένα στην από 02/02/2023 απαντητική επιστολή της προς τον καταγγέλλοντα, ότι η συγκεκριμένη υπάλληλος διατηρούσε εργασιακή σχέση με την εταιρεία Mobitech ΕΠΕ και προσκομίζει το από 23/05/2018 συμφωνητικό επεξεργασίας προσωπικών δεδομένων με την εν λόγω εταιρεία, η οποία λειτουργεί ως Εκτελών την Επεξεργασία, όπως αναφέρει. Όσον αφορά τα αιτήματα του καταγγέλλοντος από 27/10/2022 και 1/11/2022 που υποβλήθηκαν στο κατάστημα της Mobitech ΕΠΕ, το πρώτο μέσω ηλεκτρονικού μηνύματος και το δεύτερο διά ζώσης, και το από 2/11/2022 αίτημα προς τη διεύθυνση data.privacy.gr@vofadone.com, η Vodafone προσκομίζει τις σχετικές επικοινωνίες για τη διαχείρισή τους και την ανταπόκρισή της σε αυτά. Συγκεκριμένα, όπως προκύπτει από τα προσκομιζόμενα ηλεκτρονικά μηνύματα, την 7/11/2022 η Vodafone επιβεβαίωσε τη λήψη του αιτήματος, την 01/12/2022 έστειλε στον καταγγέλλοντα επιστολή παράτασης της προθεσμίας και με την 01/02/2023 απαντητική επιστολή απάντησε στον καταγγέλλοντα χορηγώντας του τις ζητηθείσες πληροφορίες και έγγραφα. Περαιτέρω, σύμφωνα με την απάντηση της Vodafone, «κατόπιν διερεύνησης της υπό κρίση υπόθεσης, διαπιστώθηκε ότι η διαδικασία ταυτοποίησης συνδρομητή και ενεργοποίησης νέας σύνδεσης δεν τηρήθηκε από την υπάλληλο, η οποία ενεργοποίησε τις τρεις

(3)συνδέσεις στο όνομα του καταγγέλλοντος. Η συγκεκριμένη παράβαση κρίθηκε ως εξαιρετικά σοβαρή και οδήγησε στη λύση της εργασιακής σχέσης της συγκεκριμένης υπαλλήλου». Τέλος, αναφορικά με την τήρηση τριών διαφορετικών αριθμών μητρώου συνδρομητή για τα ίδια στοιχεία ταυτότητας, η Vodafone ανέφερε ότι το μητρώο συνδρομητή αφορά σε έναν μοναδικό αναγνωριστικό κωδικό, ο οποίος εξυπηρετεί την εύκολη παραλαβή 4 και εξόφληση λογαριασμών, διευκρινίζοντας ότι παρέχει τη δυνατότητα σε κάθε συνδρομητή να επιλέξει, εάν επιθυμεί, να συμπεριλάβει το σύνολο των συνδέσεών του σε ένα μητρώο (ενοποίηση μητρώου) ή εάν επιθυμεί να διατηρεί ξεχωριστό μητρώο για κάθε σύνδεση (διαχωρισμός μητρώου), ενώ παράλληλα συστημικά παρέχεται η δυνατότητα να δηλώνεται διαφορετική διεύθυνση σε κάθε μητρώο συνδρομητή, προκειμένου να μπορεί ένας συνδρομητής να διαχειρίζεται ξεχωριστά τις συνδέσεις του (όπως γραμμή οικίας, γραμμή εταιρείας κτλ.). Εν προκειμένω, οι τρεις

(3)συνδέσεις στο όνομα του καταγγέλλοντος ενεργοποιήθηκαν σε διαφορετικές ημερομηνίες: η γραμμή … ενεργοποιήθηκε την 23/06/2021, η γραμμή … ενεργοποιήθηκε την 05/08/2021 και η γραμμή … ενεργοποιήθηκε την 30/10/2021, με αποτέλεσμα η κάθε γραμμή να ενεργοποιηθεί με διαφορετικό μητρώο συνδρομητή. Ακολούθως, με το Γ/ΕΞΕ/2699/26-10-2023 έγγραφο, η Αρχή κάλεσε τη Vodafone να διευκρινίσει α) πώς αιτιολογείται η αποσύνδεση των τριών

(3)τηλεφωνικών συνδέσεων τις οποίες αμφισβήτησε ο καταγγέλλων ταυτοχρόνως σε τρεις διαφορετικές ημερομηνίες (22/11/2022, 16/12/2022 και 19/12/2022), β) με ποια εταιρεία διατηρούσε εργασιακή σχέση η υπάλληλος εν προκειμένω, πότε και πώς πληροφορήθηκε η Vodafone για την ευθύνη της υπαλλήλου για το περιστατικό, εάν και πώς διορθώθηκε η εσφαλμένη πληροφόρηση που είχε παρασχεθεί στον καταγγέλλοντα, γ) ποιος είναι ο ρόλος της Chapter Five στην εξεταζόμενη επεξεργασία, προσκομίζοντας και τυχόν μεταξύ τους συμφωνητικό βάσει του άρθρου 29 παρ. 3 ΓΚΠΔ, και δ) εάν μετά το περιστατικό η Vodafone έλαβε περαιτέρω τεχνικά και οργανωτικά μέτρα ασφαλείας προς αποτροπή παρόμοιων στο μέλλον. Παράλληλα, κάλεσε εκ νέου την Mobitech ΕΠΕ να απαντήσει στο με αρ. πρωτ. Γ/ΕΞΕ/1620/23-06-2023 έγγραφο της Αρχής, ενώ επιπλέον κοινοποίησε τα σχετικά έγγραφα της υπόθεσης στην εταιρεία Chapter Five Α.Ε. και την κάλεσε να εκθέσει τις απόψεις της για τα καταγγελλόμενα περιστατικά, διευκρινίζοντας ιδίως τον ρόλο της στην καταγγελλόμενη επεξεργασία, και να αναφέρει τα μέτρα που εφαρμόζονταν για την τήρηση της διαδικασίας ταυτοποίησης από τους υπαλλήλους και τον τρόπο διαχείρισης του περιστατικού. 5 Με το Γ/ΕΙΣ/8926/15-12-2023 απαντητικό της έγγραφο, η Vodafone διευκρίνισε ότι αφού διενήργησε έλεγχο στα πληροφοριακά της συστήματα προκειμένου να εντοπίσει πιθανά περιστατικά ενεργοποίησης συνδέσεων καρτοκινητής σε εσφαλμένα στοιχεία ταυτοποίησης συνδρομητών, οι οποίες είχαν πραγματοποιηθεί από την εν λόγω υπάλληλο, το αρμόδιο τμήμα της Vodafone προέβη σε ανάλυση των περιπτώσεων, στις οποίες είχαν ενεργοποιηθεί περισσότερες από μία συνδέσεις καρτοκινητής στα στοιχεία του ίδιου συνδρομητή και εν συνεχεία, σε προσωρινή αποσύνδεση των συνδέσεων καρτοκινητής, που είχαν παραμείνει για μεγάλο χρονικό διάστημα ανενεργές. Ως εκ τούτου, η αποσύνδεση των συνδέσεων καρτοκινητής του καταγγέλλοντος έγινε τμηματικά στο πλαίσιο του ανωτέρω ελέγχου και των μέτρων που έλαβε η Vodafone, δεδομένου μάλιστα ότι είχαν ενεργοποιηθεί σε διαφορετικές ημερομηνίες. Επιπλέον ανέφερε ότι η υπάλληλος είχε προσληφθεί από την εταιρεία Chapter Five, με την οποία η Vodafone διατηρεί εμπορική συνεργασία, δηλαδή η εν λόγω εταιρεία της διαθέτει ανθρώπινο δυναμικό, το οποίο προβαίνει στη σύναψη συνδέσεων καρτοκινητής σε σημεία εκτός καταστημάτων Vodafone, προσκομίζεται δε και η μεταξύ τους από 17-7-2018 σύμβαση ανάθεσης επεξεργασίας προσωπικών δεδομένων. Όπως αναφέρει η Vodafone, η εν λόγω υπάλληλος είχε αναλάβει τη σύναψη νέων συνδέσεων καρτοκινητής σε πολυσύχναστους κοινόχρηστους χώρους, κατόπιν σχετικής ταυτοποίησης των συνδρομητών και καταχώρισης των δικαιολογητικών ταυτοπροσωπίας στη σχετική εφαρμογή που διαθέτει η συγκεκριμένη κατηγορία υπαλλήλων της Vodafone (“streetcats”). Η Vodafone διαπίστωσε την εμπλοκή της υπαλλήλου στο συγκεκριμένο περιστατικό τον Φεβρουάριο του 2023, στο πλαίσιο ικανοποίησης του δικαιώματος πρόσβασης του καταγγέλλοντος και των εσωτερικών ελέγχων που πραγματοποιήθηκαν, έστειλε εκ νέου απαντητική επιστολή στον καταγγέλλοντα στις 4/12/2023 προκειμένου να τον ενημερώσει ότι οι ενεργοποιήσεις δεν έγιναν από το κατάστημα της Mobitech ΕΠΕ αλλά από τη συγκεκριμένη υπάλληλο εξωτερικού συνεργάτη. Μετά το καταγγελλόμενο περιστατικό και την ολοκλήρωση των ενεργειών αποσύνδεσης των συνδέσεων καρτοκινητής που είχαν παραμείνει για μεγάλο χρονικό διάστημα ανενεργές, το αρμόδιο τμήμα της Vodafone ακολούθησε την ίδια διαδικασία για τις περιπτώσεις των συνδέσεων καρτοκινητής που εμφανίζονταν ενεργές στα συστήματά της: Στις περιπτώσεις αυτές απέστειλε μήνυμα SMS καλώντας τους 6 συνδρομητές να επικαιροποιήσουν τα στοιχεία ταυτοπροσωπίας τους, αποστέλλοντας αντίγραφο του δελτίου ταυτοπροσωπίας τους μέχρι την 20/01/2023. Στις περιπτώσεις των συνδρομητών που δεν ανταποκρίθηκαν στο ανωτέρω μήνυμα, η εταιρεία Vodafone προχώρησε σε τηλεφωνική επικοινωνία με τους συνδρομητές τάσσοντάς τους προθεσμία προκειμένου να αποστείλουν αντίγραφο του δελτίου ταυτοπροσωπίας τους. Δεδομένου ότι πολλοί συνδρομητές δεν ανταποκρίθηκαν ούτε στο αρχικό SMS, ούτε στην προσπάθεια τηλεφωνικής επικοινωνίας, εστάλη ακόμη ένα SMS που καλούσε τους συνδρομητές να επικαιροποιήσουν τα στοιχεία τους, με ταυτόχρονη προειδοποίηση για ενεργοποίηση φραγής εισερχομένων/εξερχομένων κλήσεων στη σύνδεση καρτοκινητής, σε περίπτωση που δεν ανταποκρίνονταν και ως αποτέλεσμα της ανωτέρω ενέργειας, η Vodafone προέβη σε επικαιροποίηση των στοιχείων ταυτοπροσωπίας των συνδρομητών που απέστειλαν τα σχετικά δικαιολογητικά έγγραφα και ταυτίζονταν με τα στοιχεία που ήταν καταχωρημένα στα συστήματα της Εταιρείας, ενώ προέβη σε φραγή εισερχόμενων/εξερχόμενων κλήσεων για όσους συνδρομητές δεν ανταποκρίθηκαν στο σχετικό αίτημα. Με το Γ/ΕΙΣ/8976/18-12-2023 απαντητικό έγγραφό της, η Mobitech ΕΠΕ ανέφερε ότι η πρώτη επικοινωνία του καταγγέλλοντος μέσω e-mail στο κατάστημά της έγινε στις 27/10/2022 και η δεύτερη στις 1/11/2022. Στην πρώτη επικοινωνία του δόθηκαν οδηγίες να στείλει εκ νέου χειρόγραφο κείμενο με υπογραφή, συνοδευόμενο από την ταυτότητά του, επικοινωνία η οποία προωθήθηκε στο αρμόδιο τμήμα της Vodafone, ενώ διευκρίνισε ότι η ταυτοποίηση του καταγγέλλοντος και η ενεργοποίηση των τριών

(3)συνδέσεων που αμφισβητεί δεν έγινε από το κατάστημά της (Χ). Σημειώνεται ότι ο καταγγέλλων προσκόμισε στην Αρχή (Γ/ΕΙΣ/9035/20-12-2023) την αρχική από 2/2/2023 επιστολή της Vodafone και τη νεότερη από 4/12/2023 επιστολή με την οποία διορθώθηκε η συναφής εσφαλμένη πληροφόρηση που του είχε παρασχεθεί, σχετικά με την ενεργοποίηση των τριών

(3)αμφισβητούμενων συνδέσεων. Με το Γ/ΕΙΣ/9190/28-12-2023 απαντητικό της έγγραφο, η Chapter Five Α.Ε. δήλωσε στην Αρχή ότι δεν έχει κανένα ρόλο στην καταγγελλόμενη επεξεργασία, καθώς είναι διαφημιστική εταιρεία που διατηρεί εμπορική συνεργασία με τη 7 Vodafone. Στο πλαίσιο αυτό, μεταξύ άλλων, προσλαμβάνει προσωπικό κατόπιν επιλογής και σχετικής εντολής από τη Vodafone προκειμένου αυτό να παρέχει υπηρεσίες της Vodafone και συγκεκριμένα να προβαίνει στη σύναψη συνδέσεων καρτοκινητής σε σημεία εκτός καταστημάτων Vodafone. H Chapter Five διευκρινίζει ότι δεν έχει καμία εμπλοκή στην καταγγελλόμενη επεξεργασία, καθώς δεν έχει καμία ανάμιξη ή εποπτεία στον τρόπο παροχής των υπηρεσιών του εν λόγω προσωπικού, δεν λαμβάνει γνώση και δεν εμπλέκεται στις διαδικασίες ταυτοποίησης συνδρομητών καρτοκινητής της Vodafone, δεν της διαβιβάζονται προσωπικά δεδομένα των συνδρομητών και για το λόγο αυτό δεν προέβη σε οποιαδήποτε ενέργεια εν προκειμένω, εκτός από τις απαιτούμενες εκ του νόμου για τη λύση της εργασιακής της σχέσης με την εν λόγω υπάλληλο στις .././2022, όταν αυτό ζητήθηκε από τη Vodafone, χωρίς όμως να της γνωστοποιηθεί ο λόγος της απόλυσης, όπως είναι και το συνήθως συμβαίνον, αφού η Vodafone είναι αυτή που αξιολογεί τους εργαζομένους. Με το ίδιο απαντητικό έγγραφο, η Chapter Five ανέφερε ότι έλαβε γνώση της καταγγελίας και των πραγματικών περιστατικών μόνο αφού ζητήθηκαν οι απόψεις της από την Αρχή, στο πλαίσιο της οποίας επικοινώνησε με τη Vodafone και πληροφορήθηκε ότι η τελευταία έχει αναρτήσει τη διαδικασία ταυτοποίησης συνδρομητών καρτοκινητής στο εσωτερικό της κανάλι, στο οποίο έχουν πρόσβαση τόσο οι δικοί της υπάλληλοι όσο και οι υπάλληλοι των εξωτερικών της συνεργατών συμπεριλαμβανομένων των υπαλλήλων της Chapter Five, όπως δε την ενημέρωσε η Vodafone, φροντίζει ανά τακτά χρονικά διαστήματα για την εκπαίδευση όλων των υπαλλήλων αναφορικά με τις διαδικασίες της, συμπεριλαμβανομένης της διαδικασίας ταυτοποίησης. Σε συνέχεια των ανωτέρω εγγράφων, η Αρχή με το Γ/ΕΞΕ/443/31-01-2024 έγγραφό της κάλεσε τη Vodafone να απαντήσει: α) Ποιες είναι οι ακριβείς οδηγίες που παρέχονται στους υπαλλήλους κατά τη διαδικασία σύναψης νέων συνδέσεων καρτοκινητής σε πολυσύχναστους δημόσιους χώρους και ποια είναι τα τεχνικά χαρακτηριστικά της εφαρμογής που διαθέτουν, διευκρινίζοντας αν οι υπάλληλοι φωτογραφίζουν τα δικαιολογητικά ταυτοπροσωπίας των νέων συνδρομητών με δική τους συσκευή ή με συσκευή της εταιρείας, αν έχει αξιολογηθεί ο κίνδυνος από την εν λόγω διαδικασία επεξεργασίας δεδομένων και ποια μέτρα έχουν ληφθεί βάσει του 8 κινδύνου, για την αποτροπή (εκούσιας ή ακούσιας) καταχώρησης εσφαλμένων στοιχείων ταυτότητας και β) αν μετά το καταγγελλόμενο περιστατικό η Vodafone έχει προβεί σε επανεκτίμηση των ανωτέρω μέτρων ασφαλείας και σε ποιες ενέργειες έχει προβεί προς αποφυγή παρόμοιων περιστατικών στο μέλλον. Επιπλέον, η εταιρεία κλήθηκε να προσκομίσει στοιχεία τεκμηρίωσης αναφορικά με την αξιολόγηση επικινδυνότητας που τυχόν διενήργησε για να διαπιστώσει την αποτελεσματικότητα των εν λόγω μέτρων, και να εξηγήσει αν βάσει της αξιολόγησης αυτής έλαβε πρόσθετα μέτρα (και ποια). Με την Γ/ΕΙΣ/3313/10-04-2024 απάντησή της, η Vodafone προσκόμισε στην Αρχή τη διαδικασία σύναψης νέων συνδέσεων καρτοκινητής «Δήλωση νέου prepay», η οποία βρίσκεται σε ισχύ από τον 03/2021, έχει κοινοποιηθεί σε όλους τους υπαλλήλους που προβαίνουν στη σύναψη νέων συνδέσεων καρτοκινητής, ενώ είναι αναρτημένη και στο εσωτερικό κανάλι της Vodafone (Ιnfoportal). Η εταιρεία υποστηρίζει ότι οι υπάλληλοι, οι οποίοι εργάζονται σε σημεία πώλησης εκτός καταστημάτων Vodafone, μετά την πρόσληψή τους, οφείλουν να παρακολουθήσουν εξειδικευμένο πρόγραμμα εκπαίδευσης διάρκειας τεσσάρων

(4)ημερών, το οποίο περιλαμβάνει: α) θεωρητική εκπαίδευση από τον εκάστοτε team leader σχετικά με τα προϊόντα/υπηρεσίες της εταιρείας, β) πρακτική εκπαίδευση, η οποία περιλαμβάνει, μεταξύ άλλων, έλεγχο κατανόησης των διαδικασιών πώλησης, συμπεριλαμβανομένης της διαδικασίας ταυτοποίησης. Ιδιαίτερη προσοχή δίνεται στα δικαιολογητικά ταυτοπροσωπίας, τα οποία γίνονται δεκτά σύμφωνα με την κείμενη νομοθεσία, και στον τρόπο συμπλήρωσης και καταχώρησης αιτήσεων στην εφαρμογή “Hunters App” γ) εκπαίδευση με έμπειρο υπάλληλο σε πραγματικές συνθήκες πώλησης, υπό την καθοδήγηση team leader και δ) πρακτική εξάσκηση του νέου υπαλλήλου σε σημείο εξωτερικής πώλησης, υπό την επίβλεψη team leader. Όπως αναφέρει η Vodafone, κατά τη διάρκεια της πρώτης εβδομάδας εργασίας, οι υπάλληλοι πρέπει να παρακολουθήσουν μέσω πλατφόρμας e-learning θεματικές ενότητες που αφορούν το “Hunters App”, τη διαδικασία Customer Registration, ζητήματα προστασίας προσωπικών δεδομένων και ιδιωτικότητας, αλλά και πρόληψης απατηλών ενεργειών (fraud) και κατά την εκπαίδευση αυτή καταγράφεται η επιτυχής ολοκλήρωσή της. Αναφορικά με το “Hunters App”, η Vodafone 9 επισημαίνει ότι η διαχείριση των πελατών διακρίνεται ανάλογα με το αν πρόκειται για νέο ή για υφιστάμενο πελάτη. Στην περίπτωση του νέου πελάτη, η παραγγελία καταχωρείται στο πληροφοριακό σύστημα της εταιρείας και περιλαμβάνει, μεταξύ άλλων, τον αριθμό κινητού τηλεφώνου, τα δικαιολογητικά ταυτοπροσωπίας του πελάτη, την υπεύθυνη δήλωση και το πακέτο που επιθυμεί. Στην περίπτωση υφιστάμενου πελάτη, αφού ο πελάτης επιδείξει τα απαιτούμενα δικαιολογητικά στον υπάλληλο, ο υπάλληλος προβαίνει σε σύγκριση/επιβεβαίωση με τα στοιχεία που υπάρχουν ήδη αποθηκευμένα στο πληροφοριακό σύστημα της εταιρείας και αν υπάρχει κάποια απόκλιση, ο υπάλληλος θα πρέπει να καταχωρίσει ένα ειδικό αίτημα (SR), ώστε ο πελάτης να ελεγχθεί από το αρμόδιο τμήμα, βάσει συγκεκριμένων καταγεγραμμένων κανόνων, που παρατίθενται. Η εταιρεία επισημαίνει ότι οι υπάλληλοι που συνάπτουν συμβάσεις καρτοκινητής σε σημεία εκτός καταστήματος χρησιμοποιούν αποκλειστικά εταιρικές συσκευές, οι οποίες διαθέτουν το “Hunters App” και πληρούν όλες τις απαιτήσεις ασφαλείας της Vodafone. Οι εν λόγω υπάλληλοι φωτογραφίζουν τα δικαιολογητικά ταυτοπροσωπίας μέσω του “Hunters App” και τα δικαιολογητικά δεν αποθηκεύονται στη συσκευή. Στη συνέχεια, το τμήμα εξυπηρέτησης πελατών της Vodafone προβαίνει σε έλεγχο της αίτησης και επιβεβαίωση της προσφοράς που έχει δοθεί από τους εν λόγω υπαλλήλους. Η Vodafone περαιτέρω αναφέρει ότι «κατόπιν εξώδικης δήλωσης που έλαβε από έτερο συνδρομητή της σχετικά με σύνδεση καρτοκινητής που ενεργοποιήθηκε εσφαλμένα στα στοιχεία του», εκκίνησε διαδικασία εσωτερικών ελέγχων, στο πλαίσιο των οποίων διαπίστωσε την εμπλοκή της συγκεκριμένου υπαλλήλου (“streetcat”). Εν συνεχεία, κατόπιν ολοκλήρωσης των ελέγχων, έλαβαν χώρα διορθωτικές ενέργειες, μεταξύ των οποίων και η λήξη της συνεργασίας με την συγκεκριμένη υπάλληλο, ενώ ελήφθησαν και επιπλέον μέτρα ασφαλείας. Μετά το καταγγελλόμενο περιστατικό και την ολοκλήρωση των ενεργειών αποσύνδεσης των συνδέσεων καρτοκινητής που είχαν παραμείνει για μεγάλο χρονικό διάστημα ανενεργές, το αρμόδιο τμήμα της ακολούθησε την ίδια διαδικασία για τις περιπτώσεις των συνδέσεων καρτοκινητής που εμφανίζονταν ενεργές στα συστήματά της, μέσω της αποστολής SMS, όπως προεκτέθηκε (βλ. Γ/ΕΙΣ/8926/15-12-2023). Περαιτέρω, και σε συνέχεια του ως άνω περιστατικού, η Vodafone αναφέρει ότι έλαβε επιπλέον τεχνικά και οργανωτικά μέτρα ασφαλείας για τον άμεσο εντοπισμό και την αποφυγή αντίστοιχων 10 περιστατικών από υπαλλήλους που προβαίνουν σε σύναψη νέων συνδέσεων καρτοκινητής εκτός καταστημάτων Vodafone. Ειδικότερα, προβλέπονται τα εξής: • η διενέργεια ex post ελέγχων από αρμόδιο τμήμα της εταιρείας σε περίπτωση που διαπιστώνονται: α) αιτήσεις ενεργοποίησης νέων συνδέσεων καρτοκινητής με τη χρήση του ίδιου ΑΔΤ από περισσότερους από έναν πωλητές, β) αιτήσεις ενεργοποίησης περισσότερων από πέντε

(5)συνδέσεων καρτοκινητής στα στοιχεία του ίδιου κατόχου, γ) αιτήσεις ενεργοποίησης πολλαπλών συνδέσεων καρτοκινητής από τον ίδιο υπάλληλο σε μία ημέρα. • η διενέργεια δειγματοληπτικών ex post ελέγχων από αρμόδιο τμήμα της εταιρείας, προκειμένου να διερευνηθεί η ορθότητα και πληρότητα των καταχωρημένων δεδομένων. Σε συνέχεια των ανωτέρω, η Αρχή με τις Γ/ΕΞΕ/3032/04-11-2024, Γ/ΕΞΕ/3030/0411-2024 και Γ/ΕΞΕ/3013/01-11-2024 κλήσεις της κάλεσε τον καταγγέλλοντα, την καταγγελλόμενη εταιρεία Vodafone και την Mobitech ΕΠΕ, αντίστοιχα, σε ακρόαση ενώπιον της Ολομέλειας της Αρχής στις 12/11/2024, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση, κοινοποιώντας τους ταυτόχρονα το σύνολο των συμπληρωματικών εγγράφων που είχαν προστεθεί στον φάκελο της υπόθεσης και δεν ήταν ήδη σε γνώση τους. Κατά τη συνεδρίαση της 12/11/2024, η Vodafone ζήτησε την αναβολή της εξέτασης της υπόθεσης, το αίτημα έγινε δεκτό και η συζήτηση αναβλήθηκε για την 26/11/

1. Με τα Γ/ΕΞΕ/3282, 3283 και 3284/22-11-2024 έγγραφα η Αρχή ενημέρωσε τους κληθέντες ότι η συζήτηση της υπόθεσης που είχε προσδιοριστεί για τις 26/11/2024 επρόκειτο να αναβληθεί οίκοθεν και με τις Γ/ΕΞΕ/3432/03-12-2024, Γ/ΕΞΕ/3429/03-12-2024 και Γ/ΕΞΕ/3431/03-12-2024 νέες κλήσεις, η Αρχή κάλεσε εκ νέου τον καταγγέλλοντα, την καταγγελλόμενη εταιρεία Vodafone και την Mobitech ΕΠΕ, αντίστοιχα, σε ακρόαση την 17/12/
2. Κατά τη συνεδρίαση παρέστησαν ο καταγγέλλων με την πληρεξούσια δικηγόρο του, Μελίνα Σκόνδρα με (ΑΜΔΣΘ …), ο Β, διαχειριστής και νόμιμος εκπρόσωπος της καταγγελλόμενης εταιρείας «Ιωάννης Γουναρόπουλος Μ. ΕΠΕ» και εκ μέρους της Vodafone οι πληρεξούσιοι δικηγόροι Εμμανουήλ Δημογεροντάκης (ΑΜ ΔΣΑ …), Ξενοφών Κρητικός (ΑΜ ΔΣΑ …), Κωνσταντίνα Καροπούλου (ΑΜ ΔΣΑ …) ενώ παρέστη 11 και ο Γ, Υπεύθυνος Προστασίας Δεδομένων της εταιρείας, για την παροχή διευκρινίσεων. Κατά τη συνεδρίαση χορηγήθηκε από την Αρχή προθεσμία μέχρι την 20/1/2025 για την κατάθεση υπομνημάτων και ακολούθως υπέβαλαν εμπρόθεσμα, ο μεν καταγγέλλων το Γ/ΕΙΣ/142/08-01-2025 υπόμνημα, η δε καταγγελλόμενη Vodafone το Γ/ΕΙΣ/530/21-01-2025 υπόμνημα, ενώ η «Ιωάννης Γουναρόπουλος Μ. ΕΠΕ» δεν υπέβαλε υπόμνημα. Τόσο προφορικά κατά την ακρόαση όσο και με το υπόμνημά του, ο καταγγέλλων επανέλαβε τα αναφερόμενα στην καταγγελία του, υπογραμμίζοντας ιδίως τα εξής σημεία: - Ότι η καταγγελλόμενη Vodafone συνομολόγησε ότι η υπάλληλος που πραγματοποίησε τις επίμαχες συνδέσεις επ’ ονόματί του έδρασε κατά παράβαση του νόμου και ότι στη συνέχεια η εταιρεία προέβη σε έλεγχο όλων των συνδέσεων που είχε πραγματοποιήσει η συγκεκριμένη υπάλληλος, με αποτέλεσμα να εντοπιστούν 7 περιπτώσεις ενεργών συνδέσεων με στοιχεία συνδρομητών που έχρηζαν διόρθωση, χωρίς όμως η Vodafone να προσδιορίζει πόσες από αυτές τις συνδέσεις ήταν ανενεργές, στοιχείο κρίσιμο προκειμένου να καταδειχθεί το εύρος της παράνομης δράσης της και συνακόλουθα η ευθύνη της εταιρείας. - Ότι η Vodafone, απαντώντας σε σχετική ερώτηση της Αρχής, δήλωσε ότι έχει πραγματοποιήσει μελέτη εκτίμησης κινδύνου (risk assessment) την οποία θα προσκομίσει, όχι όμως εκτίμηση αντικτύπου (ΕΑΠΔ). Όπως δε αποδείχθηκε από τα πράγματα, η εν λόγω συλλογή και περαιτέρω επεξεργασία δεδομένων, που μάλιστα διενεργείται από μη μόνιμους υπαλλήλους της, αλλά από μισθωμένο προσωπικό τρίτων εταιρειών, ενέχει ιδιαίτερα υψηλούς κινδύνους για τα προσωπικά δεδομένα των χρηστών, αλλά και της ασφάλειας των τηλεπικοινωνιών, τους οποίους η Vodafone δεν αντιμετωπίζει με κατάλληλα μέτρα. - Ότι σε αντίθεση με όσα ισχυρίστηκε η Vodafone ενώπιον της Αρχής, η συγκεκριμένη υπάλληλος κατά την επίμαχη στιγμή της συλλογής των στοιχείων του καταγγέλλοντος δεν είχε καμία άλλη συσκευή στα χέρια της πλην μίας και μόνο συσκευής κινητού, με την οποία πραγματοποίησε τη φωτογράφηση της ταυτότητάς του και στη συνέχεια τη χρησιμοποίησε κατά το δοκούν για να προβεί στις λοιπές 12 παράνομες συνδέσεις εν αγνοία του. Όπως δε αποδεικνύεται, εν τέλει η υπάλληλος είχε δυνατότητα ενεργοποίησης των περαιτέρω συνδέσεων, είτε αυτοτελώς είτε σε συνεργασία με άλλο υπάλληλο που διέθετε τέτοια δικαιώματα. - Ότι η μη αποθήκευση των εγγράφων τοπικά στη συσκευή, ακόμη κι αν ισχύει, δεν αποδεικνύεται επαρκές τεχνικό μέτρο, ενώ αντίθετα, το απλούστερο τεχνικό μέτρο του διπλού παράγοντα αυθεντικοποίησης που θα μπορούσε να εισάγει στις διαδικασίες της η Vodafone θα ήταν επαρκές για να απαλείψει τον κίνδυνο επαναχρησιμοποίησης των δεδομένων των συνδρομητών εν αγνοία τους. - Ότι εξαιτίας της έλλειψης κατάλληλων μέτρων της Vodafone βρέθηκε ο ίδιος κατηγορούμενος σε ηλικία 20 ετών για το αδίκημα της απόπειρας παράνομης πρόσβασης σε πληροφοριακό σύστημα, που τελέστηκε με χρήση μίας εκ των παράνομων συνδέσεων, ενώ υπέστη μεγάλη ταλαιπωρία επί 4 μήνες προκειμένου να λάβει, σε απάντηση του αιτήματος πρόσβασής του, τα έγγραφα των συνδέσεων αυτών. Μάλιστα, ο καταγγέλλων αναφέρει ότι ο Β τον απέπεμψε δύο φορές από το κατάστημα με προφάσεις και απαιτήσεις για γνήσιο της υπογραφής του ή αρνήσεις χορήγησης των εγγράφων «επειδή ήταν προσωπικά δεδομένα», ενώ ακόμα και το αίτημα πρόσβασης που απέστειλε πλέον διά δικηγόρου στον ΥΠΔ της εταιρείας απαντήθηκε με αδικαιολόγητη καθυστέρηση 3 μηνών και με ελλιπή και εσφαλμένα στοιχεία. Ακόμα και σήμερα, ο καταγγέλλων αναφέρει ότι δεν γνωρίζει από ποιον και πού έγιναν οι παράνομες συνδέσεις. - Ότι είναι χαρακτηριστική η αδιαφορία και έλλειψη ευαισθητοποίησης της Vodafone στα ζητήματα προστασίας δεδομένων, η οποία καταδείχθηκε στο πλαίσιο της ακροαματικής διαδικασίας, ενώ είναι αντικειμενική η ευθύνη της, ως υπεύθυνου επεξεργασίας, όσον αφορά τα ελλιπή έως ανύπαρκτα τεχνικά και οργανωτικά μέτρα που οδήγησαν στην πραγμάτωση του κινδύνου, αλλά και όσον αφορά τη δράση των εκτελούντων την επεξεργασία και υπαλλήλων της, καθώς η Vodafone ουδόλως προβαίνει σε ενδελεχή τακτικό αλλά και περιοδικό έλεγχο του επιπέδου συμμόρφωσης αυτών, ειδάλλως τέτοια περιστατικά δεν θα ήταν δυνατόν να συμβαίνουν. 13 Η καταγγελλόμενη Vodafone, διά των εκπροσώπων της κατά την ακρόαση αλλά και με το υπόμνημά της ανέφερε τα εξής: 1) Όσον αφορά την ικανοποίηση του δικαιώματος πρόσβασης του καταγγέλλοντος, η Vodafone υποστήριξε ότι σχετικό αίτημα αρχικά υποβλήθηκε στις 27/10/2022 μέσω e-mail στο κατάστημα της ΓΟΥΝΑΡΟΠΟΥΛΟΣ ΙΩΑΝΝΗΣ Μ. ΕΠΕ, δεδομένου δε ότι ο εν λόγω συνεργάτης της δεν ήταν βέβαιος ως προς την ταυτότητα του προσώπου που υπέβαλε το αίτημα, επικοινώνησε μαζί του χωρίς καθυστέρηση και του έδωσε οδηγίες να αποστείλει εκ νέου το αίτημά του, συνοδευόμενο από αντίγραφο της αστυνομικής του ταυτότητας, όταν δε έλαβε το νέο αίτημα στις 01/11/2022 το προώθησε στο αρμόδιο τμήμα της εταιρείας, ενώ την επόμενη ημέρα (02/11/2022) ο καταγγέλλων επικοινώνησε απευθείας με την εταιρεία μέσω e-mail στη διεύθυνση data.privacy.gr@vofadone.com αιτούμενος συγκεκριμένες πληροφορίες και έγγραφα σχετικά με τις συνδέσεις που είχαν ενεργοποιηθεί στο όνομά του. Η Vodafone υποστηρίζει ότι επιβεβαίωσε την επιτυχή λήψη του αιτήματος του καταγγέλλοντος και την 01/12/2022 τον ενημέρωσε για την παράταση της προθεσμίας ικανοποίησης του αιτήματος, οφειλόμενη στη φύση του αιτήματος και στις ενέργειες διερεύνησης των ισχυρισμών του καταγγέλλοντος, τις οποίες έπρεπε να ολοκληρώσει το αρμόδιο τμήμα και τελικά την 02/02/2023 απέστειλε στον καταγγέλλοντα απαντητική επιστολή σε κρυπτογραφημένο αρχείο και, επομένως, το αίτημα ικανοποιήθηκε νόμιμα και εμπρόθεσμα. Περαιτέρω, η Vodafone αναφέρει ότι στις 04/12/2023 απέστειλε διορθωτική επιστολή στον καταγγέλλοντα, για να τον ενημερώσει ότι οι ενεργοποιήσεις των συνδέσεων καρτοκινητής στα στοιχεία του δεν έγιναν από το κατάστημα του συνεργάτη, όπως εσφαλμένα είχε αναγραφεί αρχικά στην από 01/02/2023 επιστολή, αλλά από υπάλληλο τρίτης εταιρείας, η οποία είχε αναλάβει τη σύναψη νέων συνδέσεων καρτοκινητής σε εξωτερικά σημεία πώλησης (“streetcat”). 2) Αναφορικά με τη σύναψη συνδέσεων καρτοκινητής από υπαλλήλους, είτε της Vodafone είτε τρίτων εταιρειών για λογαριασμό της, σε εξωτερικά σημεία πώλησης, η εταιρεία ανέφερε ότι οι εν λόγω υπάλληλοι χρησιμοποιούν αποκλειστικά εταιρικές συσκευές που διαθέτουν την εφαρμογή “Hunters App” η οποία τους επιτρέπει, αφού συνδεθούν στο λογαριασμό τους, να υποβάλουν μία νέα παραγγελία για σύνδεση 14 καρτοκινητής, καταχωρώντας τα στοιχεία των υποψήφιων συνδρομητών (νέων ή υφιστάμενων) και αναρτώντας τα απαραίτητα δικαιολογητικά ταυτοποίησής τους. Η Vodafone τονίζει ότι οι φωτογραφίες των απαιτούμενων εγγράφων ταυτοποίησης λαμβάνονται μέσω της εφαρμογής και μεταφορτώνονται απευθείας στα συστήματα της εταιρείας, χωρίς να αποθηκεύονται στη συσκευή του χρήστη. Όσον αφορά την υπό κρίση υπόθεση, η εταιρεία πιθανολογεί ότι η εν λόγω υπάλληλος φωτογράφισε με δικό της μέσο (προσωπικό κινητό τηλέφωνο) και αποθήκευσε την ταυτότητα του καταγγέλλοντος, κατά παράβαση των οδηγιών που της είχαν δοθεί και της ισχύουσας διαδικασίας ταυτοποίησης συνδρομητών και στη συνέχεια φέρεται να χρησιμοποίησε τα στοιχεία του καταγγέλλοντος, εν αγνοία του, για την ενεργοποίηση των τριών συνδέσεων καρτοκινητής. 3) Όσον αφορά τα τεχνικά και οργανωτικά μέτρα ασφάλειας που έχει λάβει για την καταχώριση αιτήσεων καρτοκινητής για νέους/υφιστάμενους συνδρομητές και την ανάρτηση των σχετικών δικαιολογητικών ταυτοπροσωπίας μέσω της παραπάνω εφαρμογής, η Vodafone αναφέρει ότι εξειδικευμένο τμήμα της εταιρείας έχει εκπονήσει μέσω της πλατφόρμας One Trust αναλυτική μελέτη εκτίμησης αντικτύπου, την οποία και προσκομίζει, με ημερομηνία δημιουργίας 13/09/2024, ημερομηνία ολοκλήρωσης 17/10/2024 και τίτλο “Hunters Application”, με στόχο να περιοριστούν οι κίνδυνοι για τα υποκείμενα των δεδομένων και παραθέτει αναλυτικά τα τεχνικά και οργανωτικά μέτρα που έχει λάβει. Περαιτέρω, η Vodafone υποστηρίζει ότι σε συνέχεια του καταγγελλόμενου περιστατικού και αφότου διαπίστωσε την εμπλοκή συγκεκριμένης υπαλλήλου (“streetcat”), έληξε τη συνεργασία μαζί της και κατέθεσε ενώπιον του Εισαγγελέα Πλημμελειοδικών Φ δήλωση παράστασης προς υποστήριξη της εις βάρος της κατηγορίας, προχώρησε στην αποσύνδεση των συνδέσεων καρτοκινητής που είχαν ενεργοποιηθεί από την εν λόγω υπάλληλο και είχαν παραμείνει για μεγάλο χρονικό διάστημα ανενεργές, ενώ το αρμόδιο τμήμα της εταιρείας ακολούθησε την ίδια διαδικασία για τις περιπτώσεις των συνδέσεων καρτοκινητής που εμφανίζονταν ενεργές: συγκεκριμένα, αφού απέστειλε μήνυμα (sms) στους συνδρομητές για να επικαιροποιήσουν τα στοιχεία ταυτοπροσωπίας τους μέχρι την 20/01/2023, προχώρησε σε τηλεφωνική επικοινωνία με όσους δεν ανταποκρίθηκαν τάσσοντάς τους προθεσμία προκειμένου να αποστείλουν 15 αντίγραφο του δελτίου ταυτοπροσωπίας τους, ενώ μετά και από μια τρίτη προειδοποίηση μέσω sms, προέβη σε φραγή εισερχόμενων/εξερχόμενων κλήσεων σε όσους συνδρομητές τελικά δεν ανταποκρίθηκαν. Όπως εξηγεί η Vodafone, η αποσύνδεση των συνδέσεων καρτοκινητού του καταγγέλλοντος έγινε σύμφωνα με την ανωτέρω διαδικασία, τμηματικά, δεδομένου ότι είχαν ενεργοποιηθεί σε διαφορετικές ημερομηνίες. Περαιτέρω δε έλαβε επιπλέον μέτρα ασφαλείας για τον εντοπισμό και την αποφυγή αντίστοιχων περιστατικών στο μέλλον: Ειδικότερα, προβλέπεται η διενέργεια ex post ελέγχων από αρμόδιο τμήμα της σε περίπτωση που διαπιστώνονται: α) αιτήσεις ενεργοποίησης νέων συνδέσεων καρτοκινητής με τη χρήση του ίδιου ΑΔΤ από περισσότερους από έναν πωλητές, β) αιτήσεις ενεργοποίησης περισσότερων από πέντε

(5)συνδέσεων καρτοκινητής στα στοιχεία του ίδιου κατόχου, γ) αιτήσεις ενεργοποίησης πολλαπλών συνδέσεων καρτοκινητής από τον ίδιο υπάλληλο σε μία ημέρα, καθώς και δειγματοληπτικών ex post ελέγχων από αρμόδιο τμήμα, προκειμένου να διερευνηθεί η ορθότητα και πληρότητα των καταχωρημένων δεδομένων. Συμπερασματικά, η Vodafone ισχυρίζεται ότι κατέβαλε κάθε δυνατή προσπάθεια διαχείρισης του περιστατικού προβαίνοντας σε άμεσες ενέργειες ελαχιστοποίησης των συνεπειών για τα τυχόν επηρεαζόμενα υποκείμενα των δεδομένων, έληξε τη συνεργασία με την πρώην υπάλληλο και φερόμενη ως αυτουργό της ποινικώς κολάσιμης πράξης και υπέβαλε δήλωση παράστασης προς υποστήριξη κατηγορίας εις βάρος της και ζητά να μην της επιβληθεί οποιαδήποτε κύρωση, άλλως να αξιολογηθεί ως ελαφρυντικός παράγοντας η συνεργασία της με την Αρχή κατά την εξέταση της υπόθεσης και το γεγονός ότι δεν έδρασε δολίως ή αμελώς στην προκειμένη περίπτωση. Ο εκπρόσωπος της Mobitech ΕΠΕ, Β, επανέλαβε ότι ουδεμία σχέση έχει με τις επίμαχες συνδέσεις και ότι η εταιρεία του διαβίβασε άμεσα τα αιτήματα του καταγγέλλοντος στη Vodafone, ως όφειλε. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τoυς βοηθούς εισηγητή, μετά από διεξοδική συζήτηση 16 ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

1. Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ), του άρθρου 13 του Ν. 3471/2006 (ΦΕΚ Α’ 133) και του άρθρου 9 του Ν. 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, των παραπάνω νόμων και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ, 13 παρ. 1 και 4 του Ν. 3471/2006 και 13 παρ. 1 στοιχ. ζ΄ του Ν. 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του Α κατά της εταιρείας VODAFONE και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τη διάταξη του άρθρου 13 παρ. 4 του Ν. 3471/
3. Με το άρθρο 5 παρ. 1 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (εφεξής ΓΚΠΔ) τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία. Σύμφωνα με το άρθρο 5 παρ. 1 α), δ) και στ) ΓΚΠΔ «
4. Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), […] δ) είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται· πρέπει να λαμβάνονται όλα τα εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση δεδομένων προσωπικού χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς της επεξεργασίας («ακρίβεια»), […] στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)». Σύμφωνα με την Αιτιολογική Σκέψη 39 του ΓΚΠΔ «Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να υφίστανται επεξεργασία κατά τρόπο που να διασφαλίζει την ενδεδειγμένη προστασία και εμπιστευτικότητα των δεδομένων 17 προσωπικού χαρακτήρα, μεταξύ άλλων και για να αποτρέπεται κάθε ανεξουσιοδότητη πρόσβαση σε αυτά τα δεδομένα προσωπικού χαρακτήρα (…)». Περαιτέρω, σύμφωνα με την αρχή της λογοδοσίας που εισάγεται ρητώς με την δεύτερη παράγραφο του ιδίου άρθρου και συνιστά ακρογωνιαίο λίθο του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Η αρχή αυτή συνεπάγεται την υποχρέωση του υπευθύνου επεξεργασίας να δύναται να αποδείξει συμμόρφωση με τις αρχές του άρθ. 5 παρ.
6. Όσον αφορά την επεξεργασία προσωπικών δεδομένων συνδρομητών από παρόχους διαθέσιμων στο κοινό τηλεπικοινωνιακών υπηρεσιών, ως υπεύθυνους επεξεργασίας, εφαρμόζονται οι διατάξεις του Ν. 3471/2006 για κάθε ζήτημα που ρυθμίζεται από αυτές, ως ειδικότερες έναντι του ΓΚΠΔ
7. Σύμφωνα με το άρθρο 5 παρ. 2 του νόμου αυτού: «Η επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται μόνον εφόσον: α) ο συνδρομητής ή ο χρήστης μετά από ενημέρωση για το είδος των δεδομένων, το σκοπό και την έκταση της επεξεργασίας, τους αποδέκτες ή τις κατηγορίες αποδεκτών έχει συγκατατεθεί, ή β) η επεξεργασία είναι αναγκαία για την εκτέλεση σύμβασης, στην οποία ο συνδρομητής ή ο χρήστης είναι συμβαλλόμενο μέρος, ή για τη λήψη μέτρων κατά το προσυμβατικό στάδιο, μετά από αίτηση του συνδρομητή». Περαιτέρω, το άρθρο 12 του Ν. 3471/2006 προβλέπει τα εξής: «
8. Ο φορέας παροχής διαθεσίμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών οφείλει να λαμβάνει τα ενδεδειγμένα τεχνικά και οργανωτικά μέτρα, προκειμένου να προστατεύεται η ασφάλεια των υπηρεσιών του, καθώς και η ασφάλεια του δημοσίου δικτύου ηλεκτρονικών επικοινωνιών. Τα μέτρα αυτά, εφόσον είναι αναγκαίο, λαμβάνονται από κοινού με τον φορέα παροχής του δημοσίου δικτύου ηλεκτρονικών επικοινωνιών, πρέπει δε να εγγυώνται επίπεδο ασφαλείας ανάλογο προς τον υπάρχοντα κίνδυνο, λαμβανομένων υπόψη αφενός των πλέον προσφάτων τεχνικών δυνατοτήτων αφετέρου δε του κόστους εφαρμογής τους. […]
9. Με την επιφύλαξη του άρθρου 10 του ν. 2472/1997, όπως ισχύει , με τα μέτρα του παρόντος άρθρου κατ` ελάχιστον: α) εξασφαλίζεται ότι πρόσβαση σε δεδομένα προσωπικού χαρακτήρα 1 Βλ. συναφώς την απόφαση 4/2022 ΑΠΔ (σκέψεις 10-13) και την Γνώμη 5/2019 του ΕΣΠΔ σχετικά με την αλληλεπίδραση μεταξύ της Οδηγίας 2002/58/ΕΚ για την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών και του ΓΚΠΔ (12.03.2019). 18 μπορεί να έχει μόνον εξουσιοδοτημένο προσωπικό για νομίμως εγκεκριμένους σκοπούς, β) προστατεύονται τα αποθηκευμένα ή διαβιβασθέντα δεδομένα προσωπικού χαρακτήρα από τυχαία ή παράνομη καταστροφή, τυχαία απώλεια ή αλλοίωση και από μη εξουσιοδοτημένη ή παράνομη επεξεργασία, συμπεριλαμβανομένης της αποθήκευσης, πρόσβασης ή αποκάλυψης και γ) διασφαλίζεται η εφαρμογή πολιτικής ασφάλειας σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συναφείς ειδικές διατάξεις, καθώς και Κανονισμοί Ανεξαρτήτων Αρχών, εξακολουθούν να ισχύουν.» Για τον προσδιορισμό των ενδεδειγμένων μέτρων ασφάλειας πρέπει να ακολουθείται κατάλληλη τυποποιημένη διαδικασία, όπως, ενδεικτικά, η κατά το άρθρο 35 ΓΚΠΔ μελέτη εκτίμησης αντικτύπου σχετικά με την προστασία δεδομένων.
10. Οι διατάξεις των παραγράφων 5 και 6 του Ν. 3471/2006 ορίζουν τα εξής: «
11. Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ο φορέας παροχής διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών γνωστοποιεί αμελλητί την παραβίαση στην Α.Π.Δ.Π.Χ. και στην Α.Δ.Α.Ε. Η γνωστοποίηση προς τις αρμόδιες αρχές περιλαμβάνει κατ` ελάχιστον περιγραφή της φύσης της παραβίασης δεδομένων προσωπικού χαρακτήρα και των σημείων επαφής από τα οποία μπορούν να αποκτηθούν περισσότερες πληροφορίες. Περιγράφονται επίσης οι συνέπειες της παραβίασης και τα μέτρα που προτάθηκαν ή λήφθηκαν από τον φορέα για την αντιμετώπιση της παραβίασης.
12. Όταν η παραβίαση δεδομένων προσωπικού χαρακτήρα ενδέχεται να έχει δυσμενείς επιπτώσεις στα δεδομένα προσωπικού χαρακτήρα ή την ιδιωτική ζωή του συνδρομητή ή άλλου ατόμου, ο φορέας ενημερώνει αμελλητί για την παραβίαση αυτή και τον θιγόμενο συνδρομητή ή το θιγόμενο άτομο. Η ενημέρωση του προηγούμενου εδαφίου περιλαμβάνει κατ` ελάχιστον περιγραφή της φύσης της παραβίασης δεδομένων προσωπικού χαρακτήρα και των σημείων επαφής από τα οποία μπορούν να αποκτηθούν περισσότερες πληροφορίες, καθώς και συστάσεις που δύνανται να περιορίσουν ενδεχόμενα δυσμενή αποτελέσματα της παραβίασης δεδομένων προσωπικού χαρακτήρα».
13. Στην προκειμένη περίπτωση, από την εξέταση του φακέλου της υπόθεσης προέκυψαν τα εξής πραγματικά περιστατικά: Ο καταγγέλλων, κάτοχος καρτοκινητού Vodafone με αριθμό …, ο οποίος είχε ενεργοποιηθεί τον Ιούνιο του 2021 σε εξωτερικό 19 σημείο από υπάλληλο της Vodafone (“hunter”), η οποία για την ταυτοποίηση του καταγγέλλοντος ως συνδρομητή φωτογράφισε την αστυνομική του ταυτότητα με συσκευή που είχε στη διάθεσή της, τον Σεπτέμβριο του 2022 κλήθηκε ως ύποπτος σε προκαταρκτική εξέταση για τη διάπραξη αδικημάτων μέσω του αριθμού … της Vodafone, που ήταν καταχωρημένος στα στοιχεία του καταγγέλλοντος εν αγνοία του. Ακολούθως, έπειτα από επικοινωνία του με την τηλεφωνική εξυπηρέτηση της Vodafone, ο καταγγέλλων παραπέμφθηκε στο κατάστημα Χ (Mobitech ΕΠΕ) όπου είχε ενεργοποιηθεί ο ανωτέρω αριθμός, σύμφωνα με την ενημέρωση που ο καταγγέλλων έλαβε από τη Vodafone. Επειδή ωστόσο δεν έλαβε επαρκείς πληροφορίες από το κατάστημα Χ, ο καταγγέλλων στις 14/10/2022 απευθύνθηκε στο κατάστημα Vodafone Ψ, από όπου πληροφορήθηκε ότι στα στοιχεία του είχαν ενεργοποιηθεί συνολικά τρεις αριθμοί τους οποίους δεν αναγνώριζε. Έτσι, στις 27/10/2022 απευθύνθηκε εκ νέου στην Mobitech ΕΠΕ μέσω e-mail στη διεύθυνση του καταστήματος …@vfshop.gr). Έπειτα από σχετική καθοδήγηση από την εν λόγω εταιρεία, ο καταγγέλλων υπέβαλε νέο ενυπόγραφο αίτημα αμφισβήτησης των εν λόγω αριθμών συνοδευόμενο από την αστυνομική του ταυτότητα στις 1/11/2022 και το αίτημα αυτό προωθήθηκε από την Mobitech ΕΠΕ στο αρμόδιο τμήμα της Vodafone, ενώ την επόμενη ημέρα (2/11/2022) ο καταγγέλλων άσκησε δικαίωμα πρόσβασης απευθείας προς την Vodafone, ως υπεύθυνο επεξεργασίας, ζητώντας πληροφορίες και έγγραφα αναφορικά με τους τρεις άγνωστους αριθμούς καρτοκινητού που είχαν ενεργοποιηθεί στα στοιχεία του. Η Vodafone, αφού επιβεβαίωσε την παραλαβή του αιτήματος, την 1/12/2022 ενημέρωσε τον καταγγέλλοντα ότι θα παρατείνει την προθεσμία ικανοποίησης του δικαιώματος λόγω της ανάγκης διερεύνησης των ισχυρισμών του από το αρμόδιο τμήμα και τελικά την 2/2/2023 του απέστειλε τα ζητηθέντα έγγραφα που αφορούσαν τους ως άνω τρεις άγνωστους αριθμούς, αναφέροντας ότι οι αριθμοί είχαν ενεργοποιηθεί στο κατάστημα Χ (Mobitech ΕΠΕ). Στη συνέχεια και στο πλαίσιο διερεύνησης της υπόθεσης από την Αρχή, η εταιρεία διαπίστωσε ότι οι επίμαχες συνδέσεις δεν είχαν ενεργοποιηθεί στο κατάστημα Χ, αλλά από υπάλληλο που είχε προσληφθεί από την τρίτη εταιρεία Chapter Five A.E. για λογαριασμό της Vodafone και είχε διατεθεί στη Vodafone, έχοντας αναλάβει τη σύναψη συνδέσεων καρτοκινητής σε εξωτερικά σημεία πώλησης (ως “hunter” ή “streetcat”), γεγονός για το οποίο ενημέρωσε την 20 Αρχή στις 18/7/2023, αναφέροντας ότι εκ παραδρομής είχε υποδείξει εσφαλμένα στον καταγγέλλοντα το κατάστημα Χ ως το σημείο ενεργοποίησης των συνδέσεων. Η Vodafone διόρθωσε την ανωτέρω εσφαλμένη ενημέρωση του καταγγέλλοντος, ως υποκειμένου των δεδομένων, μόνο μετά την υποβολή σχετικού ερωτήματος από την Αρχή, στις 4/12/
14. Περαιτέρω, η Vodafone με το Γ/ΕΙΣ/5322/18-07-2023 έγγραφό της ανέφερε στην Αρχή ότι, αφού διαπίστωσε ότι η εν λόγω υπάλληλος είχε ενεργήσει αντίθετα στις οδηγίες και τις διαδικασίες της, προχώρησε στη διακοπή της συνεργασίας μαζί της και σε έλεγχο όλων των συνδέσεων που η ίδια είχε ενεργοποιήσει, με αποτέλεσμα οι τρεις επίμαχες συνδέσεις του καταγγέλλοντος να διακοπούν τμηματικά και σε διαφορετικό χρόνο καθεμία (στις 22/11/2022, στις 16/12/2022 και στις 18/12/2022 αντίστοιχα). Μάλιστα στην ως άνω απάντηση της Vodafone αναφέρεται επί λέξει ότι «Κατόπιν διερεύνησης της υπό κρίση υπόθεσης, διαπιστώθηκε ότι η διαδικασία ταυτοποίησης συνδρομητή και ενεργοποίησης νέας σύνδεσης δεν τηρήθηκε από την υπάλληλο, η οποία ενεργοποίησε τις τρεις

(3)συνδέσεις στο όνομα του καταγγέλλοντος. Η συγκεκριμένη παράβαση κρίθηκε ως εξαιρετικά σοβαρή και οδήγησε στη λύση της εργασιακής σχέσης της συγκεκριμένης υπαλλήλου». Όπως όμως προκύπτει από το Γ/ΕΙΣ/9190/28-12-2023 έγγραφο της Chapter Five Α.Ε., η απόλυση της συγκεκριμένης υπαλλήλου ζητήθηκε από τη Vodafone και πραγματοποιήθηκε στις .././2022, χωρίς να γνωστοποιηθεί ο λόγος της απόλυσης από την Vodafone στην Chapter Five. Εξάλλου, η επικαλούμενη με το Γ/ΕΙΣ/5322/18-07-2023 έγγραφο της Vodafone γνωστοποίηση περιστατικού παραβίασης (με αρ. πρωτ. Γ/ΕΙΣ/9385/05-08-2022) που σχετιζόταν με τη διαπιστωθείσα δράση της εν λόγω υπαλλήλου, υποβλήθηκε στην Αρχή στις 5/8/2022, ήτοι αρκετές ημέρες μετά την απόλυσή της, ενώ δεν αφορούσε τις 3 συνδέσεις που βρέθηκαν στα στοιχεία του καταγγέλλοντος, όταν ο καταγγέλλων κλήθηκε σε προκαταρκτική εξέταση στις 30/9/2022 και η Vodafone ειδοποιήθηκε σχετικά τον Νοέμβριο του

1. Η ως άνω γνωστοποίηση συμπληρώθηκε από τη Vodafone με νεότερες πληροφορίες που περιλάμβαναν αναφορά στην περίπτωση του καταγγέλλοντος με το με αρ. πρωτ. Γ/ΕΙΣ/1877/13-03-2023 έγγραφο, ήτοι πλέον των 4 μηνών μετά την ειδοποίησή της από τον καταγγέλλοντα για το περιστατικό. Εξάλλου, από τη Vodafone παρασχέθηκε εσφαλμένη πληροφόρηση τόσο στην Αρχή όσο και στον καταγγέλλοντα ως υποκείμενο, αναφορικά με τη θέση της υπαλλήλου 21 και τις συνθήκες τέλεσης του περιστατικού. Συγκεκριμένα, με την από 5/8/2022 γνωστοποίηση, η Vodafone δήλωσε ότι έλαβε γνώση του περιστατικού στις 4/8/2022 (ενώ η υπάλληλος είχε απολυθεί ήδη στις .././2022) και ότι επρόκειτο για υπάλληλο της Chapter Five, στο με αρ. πρωτ. Γ/ΕΙΣ/1877/13-3-2023 συμπληρωματικό υπόμνημα ανέφερε ότι επρόκειτο για υπάλληλο του καταστήματος Χ (Mobitech ΕΠΕ), πληροφορία που δόθηκε την ίδια περίοδο και στον καταγγέλλοντα, ενώ με τη με αρ. πρωτ. Γ/ΕΙΣ/5322/18-07-2022 απάντησή της προς την Αρχή επανέλαβε ότι επρόκειτο για υπάλληλο της Chapter Five. Επομένως δεν έγινε ορθή διερεύνηση του περιστατικού και των συνεπειών του. Περαιτέρω, δεν ελήφθησαν άμεσα μέτρα προς αποτροπή των συνεπειών του περιστατικού, αφού, παρότι η Vodafone είχε εντοπίσει την παράνομη δράση της υπαλλήλου ήδη από τον Ιούλιο του 2022 δεν προχώρησε στον έγκαιρο έλεγχο και εντοπισμό όλων των συνδέσεων που η εν λόγω υπάλληλος είχε ενεργοποιήσει, γεγονός που είχε ως αποτέλεσμα να μην ειδοποιήσει η ίδια, ως όφειλε, τον καταγγέλλοντα, ως επηρεαζόμενο από το περιστατικό υποκείμενο, σύμφωνα με το άρθρο 12 παρ. 6 του Ν. 3471/2006 και να μην απενεργοποιήσει τις συνδέσεις του πριν τον Νοέμβριο του
2. Ακόμα όμως και μετά την ειδοποίησή της από τον καταγγέλλοντα, η Vodafone δεν προχώρησε στην άμεση απενεργοποίηση των τριών συνδέσεών του, αλλά με καθυστέρηση, «τμηματικά» όπως αναφέρει και στο πλαίσιο του συνολικού ελέγχου σε όλες τις συνδέσεις της υπαλλήλου, εντός χρονικού διαστήματος σχεδόν ενός μήνα (από 22/11/2022 έως 19/12/2022) με κίνδυνο την περαιτέρω διάπραξη αδικημάτων με χρήση των αριθμών αυτών, οι οποίοι ήταν καταχωρημένοι στα στοιχεία του καταγγέλλοντος. Ως αιτία για την εσφαλμένη πληροφόρηση του καταγγέλλοντος αναφορικά με το πού και πώς ενεργοποιήθηκαν οι αριθμοί, η Vodafone στο πλαίσιο της ακρόασης επικαλέστηκε την ανακριβή καταχώριση της υπαλλήλου – “streetcat” ως εργαζόμενης στο συγκεκριμένο κατάστημα (χωρίς όμως να διευκρινίζεται από τη Vodafone, αν η συγκεκριμένη καταχώρηση ήταν εσφαλμένη ή αν συστηματικά τέτοιου είδους εργαζόμενοι καταχωρούνται ως εργαζόμενοι σε καταστήματα). Παρ’ όλο που η Vodafone είχε διαπιστώσει αυτή την «παραδρομή» το αργότερο στις 18/7/2023 (βλ. σχετ. 3 απάντηση προς την Αρχή), η εσφαλμένη πληροφόρηση προς το υποκείμενο δεν διορθώθηκε παρά μόνο στις 4/12/2023 και αφού η Αρχή της απηύθυνε σχετικό ερώτημα με το Γ/ΕΞΕ/2699/26-10-2023 έγγραφο. 22
3. Βάσει των ανωτέρω διαπιστώνονται οι εξής παραβάσεις από την Vodafone, ως υπεύθυνο επεξεργασίας: Α. Αναφορικά με τα πραγματικά περιστατικά της υπό κρίση υπόθεσης, διαπιστώνεται ότι η Vodafone παρέλειψε να υποβάλει αμελλητί γνωστοποίηση σύμφωνα με το άρθρο 12 παρ. 5 Ν. 3471/2006 τόσο τον Ιούλιο του 2022 (όταν εντόπισε την παράνομη δράση της υπαλλήλου της Chapter Five), όσο και τον Νοέμβριο του 2022 (όταν ειδοποιήθηκε από τον καταγγέλλοντα για το υπό εξέταση περιστατικό), παρέλειψε να διερευνήσει ορθά το περιστατικό και τις συνέπειές του, δεν έλαβε άμεσα μέτρα μετριασμού των συνεπειών αυτών, ενώ δεν ενημέρωσε τον καταγγέλλοντα, ως όφειλε, σύμφωνα με το άρθρο 12 παρ. 6 Ν. 3471/
4. Επομένως, διαπιστώνεται παραβίαση των άρθρων 12 παρ. 5 και 6 του Ν. 3471/2006 στο πλαίσιο του ανωτέρω περιστατικού. Β. Περαιτέρω, στο πλαίσιο του αυτεπάγγελτου ελέγχου των μέτρων ασφάλειας της Vodafone, επισημαίνονται τα εξής: Διαπιστώνεται ότι σε σχέση με τη διαδικασία απόδοσης αριθμών καρτοκινητού στο δρόμο από υπαλλήλους (hunters) δεν είχε αξιολογηθεί επαρκώς ο κίνδυνος πριν το περιστατικό, όπως, ενδεικτικά, με τη διενέργεια εκτίμησης αντικτύπου σχετικά με την προστασία δεδομένων (ΕΑΠΔ). Σε συνέχεια του περιστατικού, το έτος 2024 διενεργήθηκε μελέτη εκτίμησης κινδύνου μόνο σε σχέση με την εφαρμογή “Hunters App” αλλά όχι σε επίπεδο της συνολικής διαδικασίας απόδοσης αριθμών καρτοκινητού σε πολυσύχναστα σημεία στο δρόμο. Για παράδειγμα δεν φαίνεται να έχει ληφθεί υπόψη ο κίνδυνος από την ύπαρξη πολλών μητρώων συνδρομητή με διαφορετικές διευθύνσεις στο καθένα ή ο κίνδυνος από την πρόσληψη κακόβουλων υπαλλήλων μέσω τρίτης εταιρείας, που θα μπορούσε να οδηγήσει σε μέτρα περαιτέρω ελέγχου και εποπτείας τους για την επιβεβαίωση της τήρησης των διαδικασιών της Vodafone. Σύμφωνα με το υπόμνημα της εταιρείας, μετά το περιστατικό λήφθηκαν επιπλέον μέτρα για ex post ελέγχους στις περιπτώσεις α) αίτησης νέων συνδέσεων καρτοκινητής με ίδιο ΑΔΤ από περισσότερους πωλητές, β) αιτήσεων ενεργοποίησης περισσότερων από πέντε

(5)συνδέσεων καρτοκινητής στα στοιχεία του ίδιου κατόχου, γ) αιτήσεις ενεργοποίησης πολλαπλών συνδέσεων καρτοκινητής από τον ίδιο υπάλληλο σε μία ημέρα, χωρίς ωστόσο αναλυτική 23 αιτιολόγηση και τεκμηρίωση της αποτελεσματικότητας των μέτρων αυτών βάσει στοιχείων. Από τα παραπάνω προκύπτει ότι, όσον αφορά στη διαδικασία απόδοσης αριθμών καρτοκινητής τηλεφωνίας στον δρόμο, δεν έχει πραγματοποιηθεί αποτελεσματική μελέτη εκτίμησης κινδύνου, η οποία θα μπορούσε να οδηγήσει τόσο σε ολοκληρωμένη αξιολόγηση των σχετικών κινδύνων, όσο και στη λήψη και εφαρμογή επαρκών τεχνικών και οργανωτικών μέτρων ασφάλειας, ούτε πριν ούτε και μετά το περιστατικό. Επομένως, διαπιστώνεται ότι τα υπάρχοντα μέτρα ασφάλειας της Vodafone ήταν ελλιπή, ανεπαρκή και αμφιβόλου αποτελεσματικότητας καθώς δεν ελήφθησαν μέσω μιας καλώς ορισμένης διαδικασίας, κατά παράβαση του άρθρου 12 παρ. 1 και 3 Ν. 3471/

2. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 13 παρ. 4 του Ν. 3471/2006 διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις. i. Αναφορικά με την πρώτη ως άνω παραβίαση (Α) των διατάξεων του άρθρου 12 παρ. 5 και 6 Ν. 3471/2006 που διαπιστώθηκε στο πλαίσιο των καταγγελλόμενων πραγματικών περιστατικών, η Αρχή κρίνει ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί κατ’ εφαρμογή της διάταξης του άρθρου 13 παρ. 4 Ν. 3471/2006 σε συνδυασμό με το άρθρο 21 παρ. 1 β) Ν. 2472/1997, το οποίο δυνάμει του άρθρου 84 του ν. 4624/2019 διατηρήθηκε σε ισχύ κατά το μέρος που αφορά στην επιβολή διοικητικών κυρώσεων κατ΄ εφαρμογή της εν λόγω διάταξης του ν.3471/2006, αναλογικό διοικητικό χρηματικό πρόστιμο, όπως αναφέρεται στο διατακτικό της παρούσας απόφασης. Για την επιμέτρηση του προστίμου ελήφθη υπόψη η φύση της επεξεργασίας, η βαρύτητα της παράβασης λόγω των δυσμενών επιπτώσεών της στον καταγγέλλοντα και ιδίως λόγω της αδυναμίας αντιμετώπισης των συνεπειών της παραβίασης εκ μέρους του, η αυξημένη ευθύνη του υπευθύνου επεξεργασίας ως παρόχου τηλεπικοινωνιών του μεγέθους της καταγγελλόμενης εταιρείας, η εσφαλμένη πληροφόρηση της Αρχής για τα πραγματικά περιστατικά καθώς και το μέγιστο προβλεπόμενο από τον Ν. 3471/2006 ύψος διοικητικού προστίμου. 24 ii. Αναφορικά με τη διαπιστωθείσα παράβαση (B) του άρθρου 12 παρ. 1 και 3 του Ν. 3471/2006 που αφορά την απουσία επαρκών τεχνικών και οργανωτικών μέτρων ασφάλειας της επεξεργασίας η Αρχή κρίνει ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί αναλογικό διοικητικό χρηματικό πρόστιμο, κατ’ άρθρο 13 παρ. 4 του Ν. 3471/2006 σε συνδυασμό με το άρθρο 21 παρ. 1 β) του Ν. 2472/1997, το οποίο δυνάμει του άρθρου 84 του ν. 4624/2019 διατηρήθηκε σε ισχύ κατά το μέρος που αφορά στην επιβολή διοικητικών κυρώσεων κατ΄ εφαρμογή της εν λόγω διάταξης του ν.3471/
3. Για την επιμέτρηση του προστίμου, η Αρχή έλαβε υπόψη ότι η εταιρεία ως πάροχος τηλεπικοινωνιών του μεγέθους της φέρει αυξημένη ευθύνη λήψης κατάλληλων μέτρων προς αποτροπή περιστατικών παραβίασης που σχετίζονται με τις διαδικασίες απόδοσης αριθμών σε συνδρομητές, ότι σε βάρος της έχει επιβληθεί στο παρελθόν κύρωση για παρεμφερή παράβαση (περιστατικά SIM SWAP – απόφαση 38/2022), ότι η παράβαση έχει μεγάλη βαρύτητα και η φύση της είναι ιδιαίτερα επικίνδυνη λόγω των πιθανών συνεπειών της και ότι είναι μεγάλος ο αριθμός των επηρεαζόμενων υποκειμένων (δυνητικά όλοι οι συνδρομητές της καταγγελλόμενης), καθώς και το μέγιστο προβλεπόμενο από τον Ν. 3471/2006 ύψος διοικητικού προστίμου). ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ Α. Επιβάλλει στην Vodafone – ΠΑΝΑΦΟΝ Α.Ε.Ε.Τ ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 13 παρ. 4 Ν. 3471/2006 σε συνδυασμό με το άρθρο 21 παρ. 1 β) Ν. 2472/1997 διοικητικό πρόστιμο ύψους εκατό χιλιάδων (100.000€) ευρώ, για τη διαπιστωθείσα παράβαση των διατάξεων του άρθρου 12 παρ. 5 και 6 Ν. 3471/2006 σύμφωνα με όσα αναφέρονται στο σημείο i. της σκέψης 8 ανωτέρω. Β. Επιβάλλει στην Vodafone – ΠΑΝΑΦΟΝ Α.Ε.Ε.Τ ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 13 παρ. 4 Ν. 3471/2006 σε συνδυασμό με το άρθρο 21 παρ. 1 β) Ν. 2472/1997, διοικητικό πρόστιμο ύψους εκατόν πενήντα χιλιάδων (150.000€) ευρώ, για τη διαπιστωθείσα παράβαση των άρθρων 12 παρ. 1 και 3 του Ν. 3471/2006, σύμφωνα με όσα αναφέρονται στο σημείο ii. της σκέψης 8 ανωτέρω. 25 Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 26