Επιβολή προστίμου στη Vodafone και σε εκτελούσα την επεξεργασία για περιστατικό παραβίασης και ανεπαρκή μέτρα ασφάλειας

(28)αριθμοί τηλεφώνων στα στοιχεία της καταγγέλλουσας ως φυσικού προσώπου. Περαιτέρω, σύμφωνα με την από 13/2/2023 απάντηση της Vodafone προς την καταγγέλλουσα, «τα απαιτούμενα έγγραφα προς ενεργοποίηση των πιο πάνω συνδέσεων «ανέβηκαν»/επισυνάφθηκαν και υποβλήθηκαν στο ανωτέρω Σύστημα της Εταιρείας ως προβλέπεται από την σχετική διαδικασία» από τον εν λόγω συνεργάτη/franchisee, ο οποίος, σύμφωνα με την ίδια απάντηση, «ομολόγησε περί εσφαλμένης από μέρους του – εκ παραδρομής όπως ισχυρίστηκε – ταυτοποίηση των εν λόγω συνδέσεων», κατόπιν της οποίας η Vodafone προχώρησε σε αποσύνδεση του συνόλου των εν λόγω συνδέσεων. Όπως αναφέρει η καταγγέλλουσα, στην επιστολή αυτή επισυνάφθηκε φωτοτυπία των δύο όψεων της ταυτότητάς της (Σχετ. 3), η οποία δεν γνωρίζει με ποιον τρόπο βρέθηκε στην κατοχή της δεύτερης καταγγελλόμενης εταιρείας, χωρίς τη συναίνεσή της, Υπεύθυνη Δήλωση του Ν. 1599/1986 προς την ΕΕΤΤ (σχετ. 4), με τα στοιχεία της, η οποία φέρει πλαστογραφημένη, κατά την ίδια, υπογραφή της και εμπεριέχει ψευδή δήλωση ως προς τον τόπο κατοικίας και τον αριθμό ταχυδρομικού κώδικα 2 (αναφέρεται ως διεύθυνση ο Δήμος Υ και ο Τ.Κ. …, ενώ η καταγγέλλουσα είναι κάτοικος Τ), καθώς και έγγραφο με τον τίτλο ΧΡΗΣΗ ΠΡΟΣΩΠΙΚΩΝ ΔΕΔΟΜΕΝΩΝ ΣΥΝΔΡΟΜΗΤΗ (σχετ. 5) που επίσης, σύμφωνα με την καταγγελία, φέρει πλαστογραφημένη υπογραφή συνδρομητή. Στο πλαίσιο διερεύνησης της ως άνω καταγγελίας, η Αρχή με το Γ/ΕΞΕ/1151/0505-2023 έγγραφο διαβίβασε στις καταγγελλόμενες εταιρείες την καταγγελία και τα σχετικά έγγραφα και τις κάλεσε να εκθέσουν τις απόψεις τους επί των καταγγελλομένων, διευκρινίζοντας ιδίως α) ποια είναι η πολιτική και διαδικασία της Vodafone για την ταυτοποίηση συνδρομητών σε κατάστημα, ειδικότερα δε στην περίπτωση αίτησης έκδοσης νέων αριθμών καρτοκινητής από φυσικό πρόσωπο που είναι ήδη συνδρομητής, β) σε ποιες ενέργειες διερεύνησης των καταγγελλόμενων περιστατικών προέβη η Vodafone μετά την ενημέρωσή της εκ μέρους της καταγγέλλουσας ότι η ίδια δεν έχει ζητήσει ή και δεν έχει στην κατοχή της τους εν λόγω αριθμούς κινητής τηλεφωνίας και ποιο ήταν το αποτέλεσμα της εν λόγω διερεύνησης, διευκρινίζοντας εάν τηρήθηκε η ανωτέρω πολιτική και διαδικασία ταυτοποίησης του αιτούντος εν προκειμένω, γ) εάν εντοπίστηκαν πλημμέλειες κατά τη διαδικασία ταυτοποίησης, ποιες συγκεκριμένα ήταν αυτές και σε τι συνίσταται ειδικότερα η αναφερόμενη «εσφαλμένη ταυτοποίηση εκ παραδρομής» εκ μέρους της DS Phone και δ) ποια μέτρα έλαβαν οι καταγγελλόμενες εταιρείες σε συνέχεια των καταγγελλομένων για την αποτροπή παρόμοιων περιστατικών στο μέλλον. Επιπλέον, με το ίδιο έγγραφο οι δυο εταιρείες κλήθηκαν να προσκομίσουν την κατά το άρθρο 28 παρ. 3 ΓΚΠΔ μεταξύ τους σύμβαση ανάθεσης επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Με τα υπ’ αρ. πρωτ. Γ/ΕΙΣ/4013 και 4018/26-5-2023 απαντητικά έγγραφα, η DS Phone προσκόμισε το από 20/03/2023 απαντητικό υπόμνημα του εταίρου και διαχειριστή της εταιρείας Β στην Πταισματοδίκη του … Προανακριτικού Τμήματος Αθηνών, στο οποίο εκτίθενται αναλυτικά τα πραγματικά περιστατικά της υπόθεσης. Σύμφωνα με το εν λόγω υπόμνημα, η DS Phone διατηρεί επιχείρηση κινητής και σταθερής τηλεφωνίας στο Φ, επί της οδού … αρ. …, το οποίο συνεργάζεται με το κατάστημα Vodafone Χ σε επίπεδο βοηθητικού προσωπικού (Back office), όπως επίσης και με εξωτερικούς πωλητές καρτοκινητών (hunters). Στις 27/10/2022 το 3 κατάστημα πραγματοποίησε μια αίτηση σύνδεσης 14 γραμμών καρτοκινητής τηλεφωνίας για λογαριασμό ενός γκρουπ τουριστών, με σκοπό να χρησιμοποιήσουν τις γραμμές αυτές κατά την παραμονή τους στην Ελλάδα. Οι γραμμές αυτές (συνδέσεις καρτοκινητής) ήταν προγραμματισμένες να δηλωθούν σε ένα φυσικό πρόσωπο, την υπεύθυνη του τουριστικού γκρουπ, όπως είθισται σε αυτές τις περιπτώσεις, όπως υποστηρίζει, αφενός μεν προς εξοικονόμηση χρόνου (καθώς η καταχώριση 14 διαφορετικών συνδέσεων σε διαφορετικά φυσικά πρόσωπα αποτελεί χρονοβόρα διαδικασία), αφετέρου δε διότι πρόκειται για γραμμές που χρησιμοποιούνται συνήθως εφάπαξ, για μικρό χρονικό διάστημα και δη μόνο κατά την παραμονή των τουριστών στη χώρα μας, όπως αναφέρει. Όπως εκ των υστέρων διαπίστωσε η εταιρεία, κατά την πραγματοποίηση της συναλλαγής αυτής, η υπάλληλος στην οποία είχε ανατεθεί η καταχώριση των στοιχείων επισύναψε λάθος αρχείο και εκ παραδρομής καταχώρισε τα στοιχεία ταυτότητας της Α (της καταγγέλλουσας) στις προαναφερθείσες 14 γραμμές. Σύμφωνα με το ίδιο υπόμνημα, αρχείο με τα στοιχεία της καταγγέλλουσας ήταν καταχωρημένο στο σύστημα του καταστήματος της εταιρείας διότι, όπως σε συνέχεια της υποβληθείσας έγκλησης διαπιστώθηκε, τον Φεβρουάριο του 2021 η καταγγέλλουσα επισκέφθηκε το συνεργαζόμενο κατάστημα Χ με σκοπό την αντικατάσταση κάρτας SIM. Συνεπώς, η καταχώριση των στοιχείων της ως κατόχου των επίμαχων δεκατεσσάρων

(14)γραμμών καρτοκινητής οφείλετο, σύμφωνα με την DS Phone, σε εσφαλμένο χειρισμό της αρμόδιας υπαλλήλου του καταστήματος, γεγονός το οποίο κατά τους ισχυρισμούς της δύναται και η ίδια η υπάλληλος να επιβεβαιώσει, εκ παραδρομής και χωρίς πρόθεση βλάβης της καταγγέλλουσας. Στο εν λόγω υπόμνημα αναφέρεται ότι ως συνέπεια του εν λόγω σφάλματος διεκόπη η συνεργασία της εταιρείας με τη Vodafone όσον αφορά την πώληση καρτοκινητών συνδέσεων μέσω εξωτερικών πωλητών (hunters) και η εταιρεία προέβη σε απόλυση πέντε

(5)πωλητών, οι οποίοι απασχολούνταν στο συγκεκριμένο τμήμα. Περαιτέρω, με την απάντησή του προς την Αρχή, ο διαχειριστής της DS Phone ανέφερε ότι δραστηριοποιείται στον χώρο των τηλεπικοινωνιών από το έτος 2004 ως πωλητής και από το 2013 ως επιχειρηματίας και ουδέποτε έχει συμβεί παρόμοιο περιστατικό, δήλωσε δε ότι η εσφαλμένη ταυτοποίηση έγινε εκ παραδρομής. Τέλος, ανέφερε ότι σε συνέχεια του περιστατικού έγινε ενδελεχής έλεγχος όλων των ηλεκτρονικών υπολογιστών και διαγραφή τυχόν 4 υπολειπόμενων εγγράφων και διακοπή συνεργασίας με τους εξωτερικούς πωλητές καρτοκινητών (Hunters) σε συνεννόηση με την Vodafone, απευθύνθηκε αυστηρή σύσταση στην υπάλληλο που διαχειρίστηκε την συγκεκριμένη αίτηση σύνδεσης των δεκατεσσάρων

(14)γραμμών καρτοκινητής και υπενθύμιση σε όλο το προσωπικό της εταιρείας των διαδικασιών ταυτοποίησης που έχει στείλει η Vodafone και για τις οποίες το έχει εκπαιδεύσει σχετικά, ούτως ώστε να μην επαναληφθεί παρόμοιο περιστατικό στο μέλλον. Παράλληλα, με την υπ’ αρ. πρωτ. Γ/ΕΙΣ/4204/02-06-2023 απάντησή της, η καταγγελλόμενη εταιρεία Vodafone ανέφερε ότι αφότου έλαβε γνώση της αίτησης – δήλωσης της καταγγέλλουσας προς την εταιρεία, προέβη άμεσα σε έρευνα στο πληροφοριακό της σύστημα προκειμένου να διαπιστώσει πόσες συνδέσεις καρτοκινητής είχαν ενεργοποιηθεί στα στοιχεία της καταγγέλλουσας και από ποιο κατάστημα έγιναν οι σχετικές ενέργειες, ήτοι «ανέβηκαν»/επισυνάφθηκαν και υποβλήθηκαν στο ανωτέρω σύστημα τα απαιτούμενα δικαιολογητικά ταυτοπροσωπίας και διαπίστωσε ότι οι δεκατέσσερις

(14)συνδέσεις καρτοκινητής που είχαν ενεργοποιηθεί στα στοιχεία της καταγγέλλουσας έγιναν από την συνεργαζόμενη εταιρεία/franchisee με την επωνυμία «ΚΑΡΑΜΠΕΛΑΣ ΚΩΝΣΤΑΝΤΙΝΟΣ & ΣΙΑ Ε.Ε.» και τον διακριτικό τίτλο «D.S.PHONE E.E.». Η εν λόγω εταιρεία, με την οποία η Vodafone έχει συνάψει Ιδιωτικό Συμφωνητικό Εμπορικής Συνεργασίας, λειτουργούσε ως Εκτελών την Επεξεργασία για λογαριασμό της Vodafone. Σύμφωνα με την Vodafone, την 09/02/2023 ζήτησε εξηγήσεις από την ανωτέρω εταιρεία σε σχέση με τους ισχυρισμούς της καταγγέλλουσας, όταν δε ενημερώθηκε από την απάντησή της ότι η καταχώριση των στοιχείων της καταγγέλλουσας σε δεκατέσσερις

(14)γραμμές καρτοκινητής έγινε εκ παραδρομής και ότι η λανθασμένη ταυτοποίηση που έλαβε χώρα οφειλόταν σε εσφαλμένο χειρισμό υπαλλήλου της DS Phone λόγω του αυξημένου φόρτου εργασίας και, αφού διαπίστωσε ότι η τελευταία αυτή εταιρεία ομολόγησε ότι δεν είχε τηρήσει τη διαδικασία ταυτοποίησης, η Vodafone προέβη άμεσα στην αποσύνδεση των εν λόγω συνδέσεων που είχαν ενεργοποιηθεί στα στοιχεία της καταγγέλλουσας. Στην απάντηση προς την Αρχή επισυνάπτεται ως Σχετικό 1 η μεταξύ τους Σύμβαση Ανάθεσης Επεξεργασίας Προσωπικών Δεδομένων, σύμφωνα με το άρθρο 28 ΓΚΠΔ, η οποία φέρει ημερομηνία υπογραφής την 12/02/2023 και αναφέρει ως Κύρια 5 Σύμβαση την από 1/3/2013 σύμβαση εμπορικής συνεργασίας – δικαιόχρησης (franchise). Σε συνέχεια του καταγγελλόμενου περιστατικού η Vodafone ανέφερε ότι υπέβαλε την από 16/02/2023 γνωστοποίηση περιστατικού παραβίασης προσωπικών δεδομένων στην Αρχή σε συμμόρφωση με τις απαιτήσεις του άρθρου 33 ΓΚΠΔ (σημ.: Γ/ΕΙΣ/1238/16-02-2023), απέστειλε την από 02-05-2023 γραπτή σύσταση προς τον ανωτέρω συνεργάτη για τη συμμόρφωση με τη διαδικασία ταυτοποίησης και τις σχετικές οδηγίες, ενώ παράλληλα κίνησε διαδικασία αξιολόγησης της συνεργασίας της με τον συγκεκριμένο συνεργάτη, και τέλος, ανάρτησε εκ νέου το σχετικό ενημερωτικό υλικό στην εσωτερική ιστοσελίδα των καταστημάτων Vodafone με σαφή επισήμανση της προσοχής που πρέπει να επιδεικνύουν στη διαδικασία ταυτοποίησης κατά την ενεργοποίηση νέων συνδέσεων κινητής τηλεφωνίας καθώς και στην ανάγκη πλήρους συμμόρφωσης και εφαρμογής των διαδικασιών. Με την ίδια απάντηση, η Vodafone προσκομίζει (Παράρτημα 1) τις σχετικές Οδηγίες που αφορούν στη διαδικασία ταυτοποίησης συνδρομητών καρτοκινητής σε κατάστημα στην περίπτωση αίτησης έκδοσης νέων αριθμών καρτοκινητής, όπως προκύπτουν από το εσωτερικό κανάλι ενημέρωσης των υπαλλήλων των καταστημάτων [Vodafone Shops Portal]. Σε συνέχεια των ανωτέρω, με τα Γ/ΕΙΣ/146 και 149/09-01-2024 συμπληρωματικά έγγραφά της, η καταγγέλλουσα κοινοποίησε στην Αρχή την επιδοθείσα σε αυτήν στις 17/11/2023 Κλήση στο πλαίσιο Προκαταρκτικής Εξέτασης που διετάχθη στις 7/8/2023 από την Εισαγγελία Πρωτοδικών Ψ, και αφορούσε την τέλεση του αδικήματος της απάτης με υπολογιστή (άρ. 26α, 386 Α ΠΚ) μέσω του αριθμού …, ο οποίος συγκαταλέγεται στους αριθμούς που είχαν ενεργοποιηθεί παρανόμως, σύμφωνα με τα ανωτέρω. Με την από 27/12/2023 αίτηση – δήλωσή της, η καταγγέλλουσα ενημέρωσε την Vodafone για τα παραπάνω, διαμαρτυρόμενη ιδιαιτέρως για το γεγονός ότι η Vodafone, απαντώντας σε σχετικό έγγραφο της Εισαγγελίας, την ενημέρωσε ότι βάσει των στοιχείων που προκύπτουν από το πληροφοριακό της σύστημα, ο αριθμός … είναι καταχωρημένος στα στοιχεία της καταγγέλλουσας, χωρίς όμως να διευκρινίζει ότι ο αριθμός αυτός είχε ενεργοποιηθεί παρανόμως, πράγμα που γνωρίζει από τον Φεβρουάριο του 2023, κατά τρόπο ώστε η Vodafone να υποδεικνύει ευθέως την καταγγέλλουσα ως δράστη της διερευνώμενης απάτης με υπολογιστή, παρότι γνωρίζει το πρόσωπο που προέβη 6 στην παράνομη ενεργοποίηση των ανωτέρω συνδέσεων στο όνομά της. Με το ίδιο έγγραφο, η καταγγέλλουσα αιτήθηκε αντίγραφο της σύμβασης που αφορά τον εν λόγω αριθμό, κάθε εγγράφου που τη συνοδεύει και το σύνολο των πληροφοριών που η Vodafone έχει στο αρχείο της για τον συγκεκριμένο αριθμό. Σε συνέχεια του ανωτέρω εγγράφου, η Αρχή με το Γ/ΕΞΕ/442/31-01-2024 διαβιβαστικό έγγραφο διαβίβασε στην εταιρεία Vodafone την ανωτέρω απάντηση της DS Phone και τα συμπληρωματικά έγγραφα της καταγγέλλουσας και την κάλεσε να παράσχει συμπληρωματικά τις εξής πληροφορίες και διευκρινίσεις: 1) εάν είναι σε γνώση της εταιρείας Vodafone η διαδικασία χορήγησης πολλαπλών αριθμών καρτοκινητού σε γκρουπ τουριστών με καταχώριση στοιχείων ταυτότητας μόνο ενός φυσικού προσώπου, όπως αναφέρεται στο έγγραφο της DS Phone ότι «είθισται σε αυτές τις περιπτώσεις», 2) για ποιο λόγο τα αρχεία αστυνομικής ταυτότητας της καταγγέλλουσας που είχαν καταχωρηθεί στο Κατάστημα Χ ήταν προσβάσιμα από το κατάστημα Φ εν προκειμένω και αν η εν λόγω δυνατότητα πρόσβασης στα αρχεία συνεργαζόμενων καταστημάτων αποτελεί γενικά πρακτική της Vodafone, 3) δεδομένου ότι η Vodafone έχει γνωστοποιήσει στην Αρχή τουλάχιστον ένα ακόμα περιστατικό παραβίασης με τα ίδια χαρακτηριστικά που συνέβη επίσης στο συγκεκριμένο κατάστημα (Γ/ΕΙΣ/9110/21-12-2023), σε ποιες ενέργειες έχει προβεί η Vodafone σχετικά, και 4) να διευκρινίσει σε ποια χρονική στιγμή παρείχε στην Εισαγγελία Πρωτοδικών Ψ την πληροφορία ότι ο 2ος ως άνω αριθμός (…) ανήκει στην καταγγέλλουσα. Ακολούθως η Vodafone, με το Γ/ΕΙΣ/2763/26-03-2024 απαντητικό της έγγραφο προς την Αρχή, ανέφερε τα εξής: 1) Ότι η ενεργοποίηση πολλαπλών γραμμών καρτοκινητής για λογαριασμό γκρουπ τουριστών στα στοιχεία ενός φυσικού προσώπου ήταν μία πρακτική που όλως εσφαλμένα και κατά παράβαση των διαδικασιών της φαίνεται ότι ακολουθούσε το συγκεκριμένο κατάστημα, σύμφωνα με όσα δήλωσε στο απολογητικό του υπόμνημα ο διαχειριστής της DS Phone, η δε Vodafone έχει προβεί σε νομικές ενέργειες και έχει καταγγείλει τη σύμβαση εμπορικής συνεργασίας (σύμβαση δικαιόχρησης - franchising) με την DS Phone, διευκρινίζοντας ότι ουδέποτε έχει δώσει τέτοιες οδηγίες ή εντολές στους συνεργάτες / franchisees με τους οποίους συνεργάζεται. 2) Ότι σύμφωνα με τις διαδικασίες της Vodafone, κάθε κατάστημα έχει περιορισμένα δικαιώματα πρόσβασης (access rights) 7 σε προσωπικά δεδομένα συνδρομητών που αποθηκεύονται στα συστήματά της. Συγκεκριμένα, κάθε κατάστημα έχει πρόσβαση στην αναλυτική καρτέλα πελάτη (στοιχεία μητρώου/στοιχεία σύνδεσης) και στα συνοδευτικά έγγραφα (αίτηση, δικαιολογητικά ταυτοπροσωπίας) μόνο των δικών του πελατών. Στην υπό κρίση περίπτωση, ο Β διατηρούσε κατάστημα τόσο στο Φ όσο και στην Χ. Σύμφωνα δε με όσα δήλωσε ο ίδιος στην Vodafone στο πλαίσιο της διερεύνησης της υπό κρίση καταγγελίας, υπάλληλός του χρησιμοποίησε εκ παραδρομής το δικαιολογητικό ταυτοπροσωπίας της καταγγέλλουσας, κάτι που σε καμία περίπτωση δεν αποτελεί πρακτική της Vodafone και δεν έχουν δοθεί τέτοιου είδους οδηγίες στα καταστήματα. Οι διαδικασίες της Vodafone προβλέπουν ότι όλα τα έγγραφα πρέπει να αναρτώνται σε ψηφιακή μορφή στο σχετικό πληροφοριακό σύστημα της από το οποίο διαγράφονται μετά το πέρας της εκάστοτε περιόδου διακράτησης. 3) Ότι η Vodafone μεριμνά για τη λήψη των κατάλληλων οργανωτικών και τεχνικών μέτρων για την ασφάλεια των προσωπικών δεδομένων των συνδρομητών και την προστασία τους από τυχαία ή αθέμιτη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευμένη διάδοση ή πρόσβαση και κάθε άλλη μορφή αθέμιτης επεξεργασίας. Σε σχέση με τον τρόπο αντιμετώπισης του συγκεκριμένου καταστήματος, αναφέρει ότι μετά τη διαπίστωση του υπό εξέταση περιστατικού και πριν ακόμη λάβει γνώση του δεύτερου περιστατικού, το οποίο αυτοβούλως γνωστοποίησε στην Αρχή, η Vodafone προέβη στην άμεση λύση της συνεργασίας με την DS Phone, γεγονός που αποδεικνύει, όπως αναφέρει, τη μηδενική ανοχή της σε πρακτικές συνεργατών που ενεργούν ως Εκτελούντες την Επεξεργασία και παραβιάζουν τις πολιτικές, διαδικασίες και οδηγίες που έχουν δοθεί από την ίδια, ιδίως ως προς τα θέματα της ταυτοποίησης των συνδρομητών. Περαιτέρω, ως προς τη διαδικασία ταυτοποίησης υφιστάμενων ή/και νέων πελατών, η Vodafone ανέφερε ότι τα καταστήματά της είτε ανήκουν σε τρίτους συνεργάτες/franchisees είτε ανήκουν στην εταιρεία (VF owned) οφείλουν να διενεργούν ενδελεχή έλεγχο ταυτοπροσωπίας και να καταχωρίζουν τα σχετικά έγγραφα ταυτοποίησης στα πληροφοριακά συστήματά της κατά τα οριζόμενα στην κείμενη νομοθεσία, ενώ, επιπλέον, προς ενίσχυση των τεχνικών και οργανωτικών μέτρων ασφαλείας, η εταιρεία διεξάγει ex post ελέγχους επί των αιτήσεων και των δικαιολογητικών ταυτοποίησης που αφορούν σε: • αίτηση νέου καρτοκινητού, 8 • αλλαγή κατόχου καρτοκινητού, και • αίτηση φορητότητας καρτοκινητού. Σύμφωνα με την απάντηση της εταιρείας, κατόπιν του υπό κρίση περιστατικού, το αρμόδιο τμήμα της τριπλασίασε τους ως άνω ελέγχους εστιάζοντας ιδίως σε franchise καταστήματα Vodafone, ενώ στο πλαίσιο της κινδυνοκεντρικής προσέγγισης ως προς τον καθορισμό των τεχνικών και οργανωτικών μέτρων ασφαλείας, στις περιπτώσεις αιτήσεων ενεργοποίησης περισσότερων από πέντε

(5)αριθμών κινητής τηλεφωνίας στα στοιχεία του ίδιου κατόχου, το αρμόδιο τμήμα της εταιρείας προβαίνει σε ex post έλεγχο του συνόλου των εν λόγω περιπτώσεων. 4) Τέλος, όσον αφορά τον χρόνο παροχής της πληροφορίας ότι ο αριθμός … ανήκε στην καταγγέλλουσα, η Vodafone απάντησε ότι το τμήμα Ειδικών Υποθέσεων παρείχε στην Εισαγγελία Πρωτοδικών Ψ τις ζητηθείσες πληροφορίες σχετικά με τον αριθμό αυτό με την από 12/10/2023 επιστολή του. Ακολούθως, σε συνέχεια του Γ/ΕΙΣ/3613/18-04-2024 συμπληρωματικού εγγράφου (κλήση Πταισματοδίκη για κατάθεση στο πλαίσιο της έγκλησης) που υπέβαλε η καταγγέλλουσα και αιτήματός της για ενημέρωση, η Αρχή με το Γ/ΕΞΕ/1190/18-04-2024 έγγραφο, διαβίβασε στην καταγγέλλουσα την ανωτέρω απάντηση της Vodafone και την ενημέρωσε ότι η υπόθεση βρίσκεται υπό εξέταση. Με τα Γ/ΕΙΣ/4774, 4776 και 4777/31-05-2024 συμπληρωματικά έγγραφά της η καταγγέλλουσα προσκόμισε στην Αρχή την από 4/4/2024 απάντηση της Vodafone στην από 27-12-2023 αίτηση-δήλωσή της (βλ. ανωτέρω), επισημαίνοντας ότι ενώ στο από 22/3/2024 έγγραφο της Vodafone προς την Αρχή, η Vodafone είχε δηλώσει ότι «Το τμήμα ειδικών υποθέσεων της εταιρείας μας με την από 12/10/2023 επιστολή του παρείχε στην Εισαγγελία Πρωτοδικών Ψ τις ζητηθείσες πληροφορίες, σχετικά με τον αριθμό …», ωστόσο στην απάντησή της προς την καταγγέλλουσα η Vodafone ανέφερε ότι: «Τέλος, ο λόγος που η εταιρεία μας δεν είχε ενημερώσει την Εισαγγελία Ψ ήταν επειδή ουδεμία γνώση είχε δεδομένου ότι ουδέποτε μέχρι σήμερα της έχει γνωστοποιηθεί οτιδήποτε σχετικά με την εν λόγω δικογραφία και ουδέποτε μέχρι σήμερα (4/4/2024) της είχε ζητηθεί να παράσχει κάποια πληροφορία. Από εσάς λάβαμε για πρώτη φορά γνώση με την πιο πάνω επιστολή σας […] Για το λόγο τούτο παρακαλούμε όπως θέσετε υπόψη της εταιρείας μας τα απαιτούμενα στοιχεία περί 9 της εν λόγω δικογραφίας που έχει σχηματισθεί από την Εισαγγελία Ψ, προκειμένου να αποστείλουμε το σύνολο των απαιτούμενων πληροφοριών». Τέλος, με το Γ/ΕΙΣ/7562/02-10-2024 συμπληρωματικό έγγραφό της, η καταγγέλλουσα προσκόμισε στην Αρχή και τρίτη κλήση της για παροχή ανωμοτί εξηγήσεων στο πλαίσιο της από 13-02-2024 Προκαταρκτικής Εξέτασης της Εισαγγελίας Πρωτοδικών Ω για το αδίκημα της απάτης με υπολογιστή, από τον ανωτέρω 2ο αριθμό …, κατόπιν εγγράφου της Vodafone από το οποίο προέκυψαν τα στοιχεία της καταγγέλλουσας ως κατόχου της εν λόγω τηλεφωνικής σύνδεσης, έπειτα από το από 13-09-2023 έγγραφο της Υποδιεύθυνσης Ασφαλείας Ω. Σε συνέχεια των ανωτέρω, η Αρχή με τις Γ/ΕΞΕ/3033/04-11-2024, Γ/ΕΞΕ/3035/0411-2024 και Γ/ΕΞΕ/3034/04-11-2024 κλήσεις της κάλεσε την καταγγέλλουσα και τις καταγγελλόμενες εταιρείες Vodafone και «ΚΑΡΑΜΠΕΛΑΣ ΚΩΝ/ΝΟΣ ΚΑΙ ΣΙΑ Ε.Ε.» (DS Phone), αντίστοιχα, σε ακρόαση ενώπιον της Ολομέλειας της Αρχής στις 12/11/2024, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση, κοινοποιώντας τους ταυτόχρονα το σύνολο των συμπληρωματικών εγγράφων που είχαν προστεθεί στον φάκελο της υπόθεσης και δεν ήταν ήδη σε γνώση τους. Κατά τη συνεδρίαση της 12/11/2024, η Vodafone ζήτησε την αναβολή της εξέτασης της υπόθεσης, το αίτημα έγινε δεκτό και η συζήτηση αναβλήθηκε για την 26/11/

1. Με τα Γ/ΕΞΕ/3285, 3286 και 3287/22-11-2024 έγγραφα η Αρχή ενημέρωσε τους κληθέντες ότι η συζήτηση της υπόθεσης που είχε προσδιοριστεί για τις 26/11/2024 επρόκειτο να αναβληθεί οίκοθεν και με τις Γ/ΕΞΕ/3428/03-12-2024, Γ/ΕΞΕ/3427/03-12-2024 και Γ/ΕΞΕ/3426/03-12-2024 νέες κλήσεις, η Αρχή κάλεσε εκ νέου την καταγγέλλουσα και τις καταγγελλόμενες εταιρείες Vodafone και DS Phone αντίστοιχα, σε ακρόαση την 17/12/
2. Κατά τη συνεδρίαση παρέστησαν η καταγγέλλουσα με τον πληρεξούσιο δικηγόρο της, Αθανάσιο Χουλιάρα (ΑΜΔΣΑ …), ο Β, διαχειριστής και νόμιμος εκπρόσωπος της καταγγελλόμενης εταιρείας Καράμπελας Κωνσταντίνος και ΣΙΑ Ε.Ε. και εκ μέρους της Vodafone οι πληρεξούσιοι δικηγόροι Εμμανουήλ Δημογεροντάκης (ΑΜ ΔΣΑ …), Ξενοφών Κρητικός (ΑΜ ΔΣΑ …), Κωνσταντίνα Καροπούλου (ΑΜ ΔΣΑ …) ενώ παρέστη και ο Γ, Υπεύθυνος Προστασίας Δεδομένων της εταιρείας, για την παροχή διευκρινίσεων. Κατά τη συνεδρίαση χορηγήθηκε από την Αρχή προθεσμία μέχρι την 10 20/1/2025 για την κατάθεση υπομνημάτων και ακολούθως υπέβαλαν εμπρόθεσμα, η καταγγέλλουσα το Γ/ΕΙΣ/524/21-01-2025 υπόμνημα, η εταιρεία DS Phone το Γ/ΕΙΣ/512/20-01-2025 υπόμνημα και η Vodafone το Γ/ΕΙΣ/529/21-01-2025 υπόμνημα. Τόσο προφορικά κατά την ακρόαση όσο και με το υπόμνημά της, η καταγγέλλουσα επανέλαβε τα αναφερόμενα στην καταγγελία της, τονίζοντας ότι έχει κληθεί ήδη τρεις φορές ως ύποπτη διάπραξης αξιόποινων πράξεων, αλλά και ότι η ΕΕΤΤ διενήργησε κατόπιν καταγγελίας της επιτόπιο έλεγχο στα γραφεία της Vodafone και διαπίστωσε παραβάσεις της νομοθεσίας περί ηλεκτρονικών επικοινωνιών. Όσον αφορά τα πραγματικά περιστατικά, η καταγγέλλουσα ανέφερε ότι για τη σύναψη της αρχικής από 3/12/2020 σύμβασής της, η Vodafone έστειλε κούριερ στην οικία της με τη σύμβαση προκειμένου να την υπογράψει και να επισυνάψει σε αυτή αντίγραφο της ταυτότητάς της, το οποίο στη συνέχεια βρέθηκε ως δικαιολογητικό στις νέες συνδέσεις, επομένως δεν θα μπορούσε να έχει αντληθεί από πουθενά αλλού παρά από τα συστήματα της Vodafone. Η καταγγέλλουσα τόνισε ότι η DS Phone, σύμφωνα με όσα ανέφερε, τηρούσε μια παράνομη πρακτική αναφορικά με τη χορήγηση τηλεφωνικών αριθμών σε γκρουπ τουριστών, αντίθετη στις οδηγίες της Vodafone, για την οποία όμως, όπως δήλωσε ο Β, η Vodafone ήταν απολύτως ενήμερη. Η καταγγέλλουσα επεσήμανε ότι στις 27/10/2022 είχαν αρθεί τα περιοριστικά μέτρα λόγω κορωνοϊού και ότι σε κάθε περίπτωση, η DS Phone δεν έχει δώσει μέχρι στιγμής τα στοιχεία της «υπεύθυνης του γκρουπ τουριστών», η οποία μάλιστα φαίνεται να μην πρόσεξε τα στοιχεία της καταγγέλλουσας που αναφέρονταν στα έγγραφα που υπέγραψε, μεταξύ των οποίων και μία υπεύθυνη δήλωση. Η καταγγέλλουσα αμφισβητεί ότι επισκέφθηκε οποιοδήποτε κατάστημα Vodafone στην Χ και επισημαίνει ότι, όπως η Vodafone ανέφερε, σε κάθε περίπτωση αντίκειται στην πολιτική της η ανταλλαγή εγγράφων μεταξύ καταστημάτων. Αναφορικά με τον ρόλο της Vodafone, η καταγγέλλουσα τονίζει ότι της έδωσε την αναξιόπιστη πληροφορία ότι δεν είχαν πραγματοποιηθεί κλήσεις (εισερχόμενες/εξερχόμενες) ούτε μηνύματα (SMS) από τον αριθμό για τον οποίο κλήθηκε από την Εισαγγελία Ψ, παρ’ όλο που είχε πραγματοποιηθεί τουλάχιστον απόπειρα απάτης με αυτό τον αριθμό. Επιπλέον επισημαίνει ότι δόθηκε εσφαλμένη πληροφόρηση στην Εισαγγελία από λάθος της Vodafone και επαναλαμβάνει ότι τα μέτρα ασφαλείας της εταιρείας ήταν ανεπαρκή, 11 πράγμα που διαπίστωσε και η από 7/8/2023 Έκθεση Ελέγχου της ΕΕΤΤ, σε συνέχεια συναφούς καταγγελίας της καταγγέλλουσας για το ίδιο θέμα. Η καταγγελλόμενη DS Phone, κατά τη συνεδρίαση διά του νομίμου εκπροσώπου της αλλά και με το υπόμνημά της επανέλαβε ότι παρείχε υπηρεσίες κινητής και σταθερής τηλεφωνίας για 10 χρόνια με επαγγελματισμό και ευσυνειδησία, χωρίς προβλήματα, αναφέροντας μάλιστα ότι στο παρελθόν έχει λάβει θετικά σχόλια από την ΕΕΤΤ στο πλαίσιο αιφνιδιαστικών ελέγχων, για τα οποία προσκομίζει σχετικό φύλλο ελέγχου από το έτος 2017, καθώς και ότι η επισύναψη του λάθος αρχείου και η καταχώρηση των στοιχείων της καταγγέλλουσας στο γκρουπ τουριστών τον Οκτώβριο του 2022 αποδίδεται σε εσφαλμένο χειρισμό εκ παραδρομής υπαλλήλου της, λόγω των ιδιαίτερων συνθηκών που επικρατούσαν τότε στην αγορά λόγω των μέτρων αντιμετώπισης της πανδημίας και λόγω του ότι το κατάστημα λειτουργούσε με μειωμένο προσωπικό. Επεσήμανε ότι οι συνθήκες εξυπηρέτησης πελατών που ακολουθούσε ήταν σε γνώση της Vodafone. Δήλωσε επίσης ότι η καταγγέλλουσα είχε επισκεφθεί το συνεργαζόμενο κατάστημα στην Χ στις 25/2/2021 για αντικατάσταση κάρτας SIM, όπως προκύπτει από τα συστήματα της Vodafone, και στο πλαίσιο αυτής της επίσκεψης έδωσε το ΑΔΤ της στους πωλητές, από όπου και αντλήθηκε εκ παραδρομής από την ανωτέρω υπάλληλο. Τέλος, ο Β τόνισε ότι έχει υποστεί οικονομική ζημία από τη λύση της συνεργασίας του με τη Vodafone και το κλείσιμο των καταστημάτων του, αναφέροντας ότι κατανοεί τη δυσμενή θέση στην οποία έχει περιέλθει η καταγγέλλουσα και ότι καταθέτει τα ανωτέρω στο πλαίσιο προανάκρισης όπου έχει κληθεί και όπου αλλού κριθεί αναγκαίο, ώστε η καταγγέλλουσα να απαλλαγεί από οποιαδήποτε ευθύνη. Με το Γ/ΕΙΣ/2614/31-03-2025 συμπληρωματικό έγγραφο, ο Β προσκόμισε, κατόπιν αιτήματος της Αρχής, την τελευταία διαθέσιμη δήλωση Ε3 της επιχείρησής του, από την οποία προκύπτει ότι τα ακαθάριστα έσοδα της εταιρείας ανήλθαν το έτος 2023 σε 454.333,50 ευρώ. Από την πλευρά της, η καταγγελλόμενη Vodafone, τόσο κατά την ακρόαση όσο και με το υπόμνημά της ανέφερε κατ’ αρχάς ότι για την έκδοση νέων αριθμών, είτε σε υπάρχοντα είτε σε νέο συνδρομητή, απαιτείται πάντα να ακολουθείται η διαδικασία ταυτοποίησης του αιτούντος με φυσική παρουσία σε κατάστημα και η προσκόμιση δικαιολογητικού ταυτοπροσωπίας, το οποίο στη συνέχεια σαρώνεται και μεταφορτώνεται στο σύστημα της Vodafone, ενώ τα φυσικά αντίγραφα 12 καταστρέφονται το αργότερο εντός δύο μηνών, η ως άνω δε διαδικασία, για την οποία προσκομίζει το σχετικό αρχείο (Διαδικασία ταυτοποίησης συνδρομητών καρτοκινητής σε κατάστημα») είναι γνωστή σε όλους τους συνεργάτες της. Η Vodafone επιβεβαίωσε την επίσκεψη της καταγγέλλουσας στο κατάστημα Χ το έτος 2021 παραθέτοντας απόσπασμα στιγμιοτύπου οθόνης (screenshot) από το πληροφοριακό της σύστημα, όπου αποτυπώνονται οι πληροφορίες της εν λόγω επίσκεψης. Η Vodafone επισημαίνει ότι η ενεργοποίηση πολλαπλών γραμμών καρτοκινητής στα στοιχεία ενός φυσικού προσώπου για λογαριασμό γκρουπ τουριστών δεν αποτελεί πρακτική της εταιρείας και το συγκεκριμένο κατάστημα την ακολουθούσε εσφαλμένα, κατά παράβαση των διαδικασιών της Vodafone. Επιπλέον η Vodafone τονίζει ότι δεν αποτελεί πρακτική της η ανταλλαγή εγγράφων και δη δικαιολογητικών ταυτοπροσωπίας μεταξύ καταστημάτων, ότι μάλιστα έχει καταστήσει συστημικά αδύνατη την πρόσβαση από ένα κατάστημα στα συνοδευτικά έγγραφα (αίτηση, δικαιολογητικά ταυτοπροσωπίας) πελατών άλλου καταστήματος και ότι εν προκειμένω ο συνεργάτης της, Β, διατηρούσε κατάστημα τόσο στο Φ όσο και στην Χ, με αποτέλεσμα η υπάλληλός του να χρησιμοποιήσει το δικαιολογητικό ταυτοπροσωπίας της καταγγέλλουσας, υπογραμμίζοντας ότι ο εν λόγω εκτελών την επεξεργασία ακολουθούσε πρακτικές που η εταιρεία δεν είχε εγκρίνει. Επισημαίνει ότι αμέσως μετά τη διαπίστωση των ανωτέρω η Vodafone προχώρησε στην άμεση αποσύνδεση των επίμαχων συνδέσεων και στην υποβολή γνωστοποίησης στην Αρχή σύμφωνα με το άρθρο 33 ΓΚΠΔ, καθώς και συστάσεων προς τον συνεργάτη, ενώ κίνησε διαδικασία αξιολόγησης της συνεργασίας της με αυτόν, μετά το πέρας της οποίας η Vodafone προχώρησε στη λύση της συνεργασίας. Όσον αφορά τα τεχνικά και οργανωτικά μέτρα ασφάλειας που έχει λάβει για την ταυτοποίηση συνδρομητών, η Vodafone αναφέρει ότι εξειδικευμένο τμήμα της εταιρείας έχει εκπονήσει μέσω της πλατφόρμας OneTrust αναλυτική μελέτη εκτίμησης αντικτύπου, την οποία και προσκομίζει, με ημερομηνία δημιουργίας 30/01/2023, ημερομηνία υποβολής 26/04/2023, τελευταία ενημέρωση 14/10/2024 και τίτλο “4.2.7 KYC Registration Processes”, με στόχο να προσδιοριστούν και να καταγραφούν οι κίνδυνοι για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων, οι οποίοι απορρέουν από την επεξεργασία προσωπικών δεδομένων στο πλαίσιο της διαδικασίας ταυτοποίησης των νέων/υφιστάμενων συνδρομητών, 13 επισημαίνοντας ότι η μελέτη εξετάζει την ένταξη νέου πελάτη (customer οnboarding) και την ταυτοποίησή του από όλα τα κανάλια της εταιρείας, ενώ το τμήμα της που αφορά στην ταυτοποίηση συνδρομητών μέσω των ψηφιακών καναλιών (digital onboarding) είναι υπό αναθεώρηση, καθώς εξετάζονται ορισμένες νέες λειτουργικότητες που έχουν προστεθεί πρόσφατα στα ψηφιακά κανάλια της εταιρείας. Σύμφωνα με όσα αναφέρει η Vodafone, η μελέτη εστιάζει σε 4 πυλώνες και συγκεκριμένα: 1) στην εξουσιοδοτημένη πρόσβαση (access control) στα συστήματα της εταιρείας μέσω μοναδικών διαπιστευτηρίων, περιορισμένων δικαιωμάτων πρόσβασης ανά κατάστημα και καταγραφής ενεργειών χρήστη, 2) στην ενημέρωση/εκπαίδευση των εργαζομένων και των συνεργατών της, μέσω εσωτερικού καναλιού (Ψηφιακής Πύλης), στην οποία αναρτώνται αναλυτικές οδηγίες για όλα τα θέματα και από την οποία προσκομίζει στιγμιότυπα οθόνης (screenshots), και μέσω ειδικού προγράμματος εξ αποστάσεως εκπαίδευσης (e-learning) με αντικείμενο τις διαδικασίες εγγραφής συνδρομητών εντός του έτους 2023, το οποίο ήταν υποχρεωτικό για το σύνολο των σχετιζόμενων εργαζομένων, ολοκληρώθηκε και έχει προγραμματιστεί να επαναλαμβάνεται ετησίως, 3) στους ελέγχους από τα τμήματα της εταιρείας που παρακολουθούν τη συμμόρφωση και τη διαχείριση κινδύνου και διενεργούν επιπλέον ελέγχους ex post επί των αιτήσεων και δικαιολογητικών που αφορούν τις νέες συνδέσεις ή την αλλαγή κατόχου καρτοκινητού. Σύμφωνα με τη Vodafone, κατόπιν του υπό κρίση περιστατικού, το αρμόδιο τμήμα της εταιρείας τριπλασίασε τους ως άνω ελέγχους εστιάζοντας ιδίως σε franchise καταστήματα Vodafone, ενώ στο πλαίσιο της κινδυνοκεντρικής προσέγγισης ως προς τον καθορισμό των τεχνικών και οργανωτικών μέτρων ασφαλείας, στις περιπτώσεις αιτήσεων ενεργοποίησης περισσότερων από πέντε

(5)αριθμών κινητής τηλεφωνίας στα στοιχεία του ίδιου κατόχου, το αρμόδιο τμήμα της εταιρείας προβαίνει σε ex post έλεγχο του συνόλου των εν λόγω περιπτώσεων, και, 4) στις κυρώσεις σε συνεργάτες σε περίπτωση μη συμμόρφωσης με τις πολιτικές και διαδικασίες της. Τέλος, ως προς την επιστολή της Vodafone στην Εισαγγελία Πρωτοδικών Ψ, η εταιρεία σημειώνει ότι το τμήμα Ειδικών Υποθέσεων συνέταξε και απέστειλε την από 12/10/2023 επιστολή, με την οποία χορήγησε τις ζητηθείσες πληροφορίες σχετικά με τον αριθμό …, χωρίς η υπάλληλος του εν λόγω τμήματος να προβεί σε έλεγχο της 14 καρτέλας της φερόμενης ως κατόχου της γραμμής στο έτερο πληροφοριακό σύστημα της εταιρείας, στο οποίο είχε καταχωριστεί ειδική επισήμανση αναφορικά με την αμφισβήτηση των γραμμών από την καταγγέλλουσα. Καταλήγοντας, η Vodafone υποστηρίζει ότι ο εκτελών την επεξεργασία εν προκειμένω ενήργησε κατά παράβαση των καταγεγραμμένων εντολών της, ως υπεύθυνου επεξεργασίας και της ισχύουσας διαδικασίας ταυτοποίησης συνδρομητών, ενώ η Vodafone μόλις έλαβε γνώση του περιστατικού κατέβαλε κάθε δυνατή προσπάθεια διαχείρισής του, και ζητά τη μη επιβολή κυρώσεων από την Αρχή, άλλως τη λήψη υπόψη των οριζόμενων στο άρθρο 83 ΓΚΠΔ ελαφρυντικών παραγόντων. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τoυς βοηθούς εισηγητή, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

1. Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ), του άρθρου 13 του Ν. 3471/2006 (ΦΕΚ Α’ 133) και του άρθρου 9 του Ν. 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, των παραπάνω νόμων και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ, 13 παρ. 1 και 4 του Ν. 3471/2006 και 13 παρ. 1 στοιχ. ζ΄ του Ν. 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας της Α κατά των εταιρειών VODAFONE και DS Phone και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 13 παρ. 4 του Ν. 3471/2006, 58 του ΓΚΠΔ και 15 του Ν. 4624/
3. Με το άρθρο 5 παρ. 1 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (εφεξής ΓΚΠΔ) τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία. Σύμφωνα με το άρθρο 5 παρ. 1 α), δ) και στ) ΓΚΠΔ «
4. Τα δεδομένα προσωπικού 15 χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), […] δ) είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται· πρέπει να λαμβάνονται όλα τα εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση δεδομένων προσωπικού χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς της επεξεργασίας («ακρίβεια»), […] στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)». Σύμφωνα με την Αιτιολογική Σκέψη 39 του ΓΚΠΔ «Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να υφίστανται επεξεργασία κατά τρόπο που να διασφαλίζει την ενδεδειγμένη προστασία και εμπιστευτικότητα των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων και για να αποτρέπεται κάθε ανεξουσιοδότητη πρόσβαση σε αυτά τα δεδομένα προσωπικού χαρακτήρα (…)». Περαιτέρω, σύμφωνα με την αρχή της λογοδοσίας που εισάγεται ρητώς με την δεύτερη παράγραφο του ιδίου άρθρου και συνιστά ακρογωνιαίο λίθο του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Η αρχή αυτή συνεπάγεται την υποχρέωση του υπευθύνου επεξεργασίας να δύναται να αποδείξει συμμόρφωση με τις αρχές του άρθ. 5 παρ.
6. Σύμφωνα με τη διάταξη του άρθρου 24 παρ. 1 ΓΚΠΔ: «
7. Λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με τον παρόντα κανονισμό. Τα εν λόγω μέτρα επανεξετάζονται και επικαιροποιούνται όταν κρίνεται απαραίτητο», ενώ σύμφωνα με τις διατάξεις των παρ. 1 και 2 του άρθρου 32 ΓΚΠΔ για την ασφάλεια της επεξεργασίας, «
8. Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς 16 της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, […]
9. Κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία».
10. Σύμφωνα με το άρθρο 35 του ΓΚΠΔ, «όταν ένα είδος επεξεργασίας, ιδίως με χρήση νέων τεχνολογιών και συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας διενεργεί, πριν από την επεξεργασία, εκτίμηση των επιπτώσεων των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία δεδομένων προσωπικού χαρακτήρα».
11. Ως παραβίαση δεδομένων προσωπικού χαρακτήρα (άρθρο 4 στοιχ. 12 ΓΚΠΔ) νοείται «η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάσθηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία». Σύμφωνα με τις από 06-02-2018 Κατευθυντήριες Γραμμές 18/2018 της Ομάδας Εργασίας του άρθρου 29 της Οδηγίας 95/46/ΕΚ (νυν Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων) για την Γνωστοποίηση παραβίασης προσωπικών δεδομένων (“Guidelines on Personal data breach notification under Regulation 2016/679” WP 250 rev. 1) ένας από τους τύπους παραβίασης προσωπικών δεδομένων είναι αυτός που κατηγοριοποιείται με βάση την αρχή ασφαλείας της «εμπιστευτικότητας», όταν διαπιστώνεται πρόσβαση άνευ δικαιώματος σε προσωπικά δεδομένα (“confidentiality breach”). Μια παραβίαση μπορεί δυνητικά να έχει διάφορες σημαντικές δυσμενείς συνέπειες στα πρόσωπα, οι οποίες μπορούν να οδηγήσουν σε σωματική, υλική ή ηθική βλάβη. Στον ΓΚΠΔ επεξηγείται ότι αυτή η βλάβη μπορεί να περιλαμβάνει απώλεια του ελέγχου επί των δεδομένων προσωπικού χαρακτήρα τους, περιορισμό των δικαιωμάτων τους, διακρίσεις, 17 κατάχρηση ή υποκλοπή ταυτότητας, οικονομική απώλεια, παράνομη άρση της ψευδωνυμοποίησης, βλάβη της φήμης και απώλεια της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα που προστατεύονται από επαγγελματικό απόρρητο κλπ. (βλ. και αιτ. σκέψεις 85 και 75). Τα περιστατικά παραβίασης δεδομένων πρέπει να γνωστοποιούνται στην Αρχή εντός 72 ωρών από τη στιγμή που έλαβε γνώση τους ο υπεύθυνος επεξεργασίας, σύμφωνα με το άρθρο 33 παρ. 1 ΓΚΠΔ. H γνωστοποίηση πρέπει να έχει το ελάχιστο περιεχόμενο που αναφέρεται στην παρ. 3 του άρθρου 33 ΓΚΠΔ, ενώ σύμφωνα με την παρ. 5 του ιδίου άρθρου «Ο υπεύθυνος επεξεργασίας τεκμηριώνει κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα, που συνίστανται στα πραγματικά περιστατικά που αφορούν την παραβίαση δεδομένων προσωπικού χαρακτήρα, τις συνέπειες και τα ληφθέντα διορθωτικά μέτρα. Η εν λόγω τεκμηρίωση επιτρέπει στην εποπτική αρχή να επαληθεύει τη συμμόρφωση προς το παρόν άρθρο».
12. Επιπλέον η παραβίαση πρέπει να ανακοινώνεται και στο υποκείμενο των δεδομένων, κατά περίπτωση και σύμφωνα με τα οριζόμενα στο άρθρο 34 παρ. 1 και 2 ΓΚΠΔ: «
13. Όταν η παραβίαση δεδομένων προσωπικού χαρακτήρα ενδέχεται να θέσει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας ανακοινώνει αμελλητί την παραβίαση των δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων.
14. Στην ανακοίνωση στο υποκείμενο των δεδομένων η οποία αναφέρεται στην παράγραφο 1 του παρόντος άρθρου περιγράφεται με σαφήνεια η φύση της παραβίασης των δεδομένων προσωπικού χαρακτήρα και περιέχονται τουλάχιστον οι πληροφορίες και τα μέτρα που αναφέρονται στο άρθρο 33 παράγραφος 3 στοιχεία β), γ) και δ)». Κατά την αξιολόγηση του κινδύνου, θα πρέπει, σύμφωνα με τις αιτιολογικές σκέψεις 75 και 76 ΓΚΠΔ να λαμβάνεται υπόψη η πιθανότητα και η σοβαρότητα για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων και ο κίνδυνος να αξιολογείται βάσει αντικειμενικής εκτίμησης. Σύμφωνα με τις Κατευθυντήριες Γραμμές 18/2018 της ΟΕ 29, κατά την αξιολόγηση του κινδύνου για τα πρόσωπα που απορρέει από μία παραβίαση, ο υπεύθυνος επεξεργασίας θα πρέπει να εξετάζει τις ειδικές περιστάσεις της παραβίασης, συμπεριλαμβανομένων της σοβαρότητας του πιθανού αντικτύπου και της πιθανότητας να προκύψει, λαμβάνοντας υπόψη μια σειρά από κριτήρια: το 18 είδος της παραβίασης, τη φύση, την ευαισθησία και τον όγκο των δεδομένων, την ευκολία ταυτοποίησης των προσώπων, τη σοβαρότητα των συνεπειών για τα πρόσωπα, τα ειδικά χαρακτηριστικά του προσώπου, τα ειδικά χαρακτηριστικά του υπευθύνου επεξεργασίας και τον αριθμό των επηρεαζόμενων προσώπων (wp 250 rev.01, σελ.28-31).
15. Εξάλλου, στους παρόχους, διαθέσιμων στο κοινό, τηλεπικοινωνιακών υπηρεσιών έχουν εφαρμογή οι διατάξεις του Ν. 3471/
16. Σύμφωνα με το άρθρο 5 παρ. 2 του νόμου αυτού: «Η επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται μόνον εφόσον: α) ο συνδρομητής ή ο χρήστης μετά από ενημέρωση για το είδος των δεδομένων, το σκοπό και την έκταση της επεξεργασίας, τους αποδέκτες ή τις κατηγορίες αποδεκτών έχει συγκατατεθεί, ή β) η επεξεργασία είναι αναγκαία για την εκτέλεση σύμβασης, στην οποία ο συνδρομητής ή ο χρήστης είναι συμβαλλόμενο μέρος, ή για τη λήψη μέτρων κατά το προσυμβατικό στάδιο, μετά από αίτηση του συνδρομητή». Περαιτέρω, το άρθρο 12 του Ν. 3471/2006 προβλέπει τα εξής: «
17. Ο φορέας παροχής διαθεσίμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών οφείλει να λαμβάνει τα ενδεδειγμένα τεχνικά και οργανωτικά μέτρα, προκειμένου να προστατεύεται η ασφάλεια των υπηρεσιών του, καθώς και η ασφάλεια του δημοσίου δικτύου ηλεκτρονικών επικοινωνιών. Τα μέτρα αυτά, εφόσον είναι αναγκαίο, λαμβάνονται από κοινού με τον φορέα παροχής του δημοσίου δικτύου ηλεκτρονικών επικοινωνιών, πρέπει δε να εγγυώνται επίπεδο ασφαλείας ανάλογο προς τον υπάρχοντα κίνδυνο, λαμβανομένων υπόψη αφενός των πλέον προσφάτων τεχνικών δυνατοτήτων αφετέρου δε του κόστους εφαρμογής τους. […]
18. Με την επιφύλαξη του άρθρου 10 του ν. 2472/1997, όπως ισχύει, με τα μέτρα του παρόντος άρθρου κατ` ελάχιστον: α) εξασφαλίζεται ότι πρόσβαση σε δεδομένα προσωπικού χαρακτήρα μπορεί να έχει μόνον εξουσιοδοτημένο προσωπικό για νομίμως εγκεκριμένους σκοπούς, β) προστατεύονται τα αποθηκευμένα ή διαβιβασθέντα δεδομένα προσωπικού χαρακτήρα από τυχαία ή παράνομη καταστροφή, τυχαία απώλεια ή αλλοίωση και από μη εξουσιοδοτημένη ή παράνομη επεξεργασία, συμπεριλαμβανομένης της αποθήκευσης, πρόσβασης ή αποκάλυψης και γ) διασφαλίζεται η εφαρμογή πολιτικής ασφάλειας σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συναφείς ειδικές διατάξεις, καθώς και 19 Κανονισμοί Ανεξαρτήτων Αρχών, εξακολουθούν να ισχύουν. […]
19. Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ο φορέας παροχής διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών γνωστοποιεί αμελλητί την παραβίαση στην Α.Π.Δ.Π.Χ. και στην Α.Δ.Α.Ε. Η γνωστοποίηση προς τις αρμόδιες αρχές περιλαμβάνει κατ` ελάχιστον περιγραφή της φύσης της παραβίασης δεδομένων προσωπικού χαρακτήρα και των σημείων επαφής από τα οποία μπορούν να αποκτηθούν περισσότερες πληροφορίες. Περιγράφονται επίσης οι συνέπειες της παραβίασης και τα μέτρα που προτάθηκαν ή λήφθηκαν από τον φορέα για την αντιμετώπιση της παραβίασης.
20. Όταν η παραβίαση δεδομένων προσωπικού χαρακτήρα ενδέχεται να έχει δυσμενείς επιπτώσεις στα δεδομένα προσωπικού χαρακτήρα ή την ιδιωτική ζωή του συνδρομητή ή άλλου ατόμου, ο φορέας ενημερώνει αμελλητί για την παραβίαση αυτή και τον θιγόμενο συνδρομητή ή το θιγόμενο άτομο. Η ενημέρωση του προηγούμενου εδαφίου περιλαμβάνει κατ` ελάχιστον περιγραφή της φύσης της παραβίασης δεδομένων προσωπικού χαρακτήρα και των σημείων επαφής από τα οποία μπορούν να αποκτηθούν περισσότερες πληροφορίες, καθώς και συστάσεις που δύνανται να περιορίσουν ενδεχόμενα δυσμενή αποτελέσματα της παραβίασης δεδομένων προσωπικού χαρακτήρα».
21. Σύμφωνα με το άρθρο 28 παρ. 1 ΓΚΠΔ, «Όταν η επεξεργασία πρόκειται να διενεργηθεί για λογαριασμό υπευθύνου επεξεργασίας, ο υπεύθυνος επεξεργασίας χρησιμοποιεί μόνο εκτελούντες την επεξεργασία που παρέχουν επαρκείς διαβεβαιώσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων, κατά τρόπο ώστε η επεξεργασία να πληροί τις απαιτήσεις του παρόντος κανονισμού και να διασφαλίζεται η προστασία των δικαιωμάτων του υποκειμένου των δεδομένων», ενώ σύμφωνα με την παρ. 3 του ιδίου άρθρου, «η επεξεργασία από τον εκτελούντα την επεξεργασία διέπεται από σύμβαση ή άλλη νομική πράξη υπαγόμενη στο δίκαιο της Ένωσης ή του κράτους μέλους, που δεσμεύει τον εκτελούντα την επεξεργασία σε σχέση με τον υπεύθυνο επεξεργασίας και καθορίζει το αντικείμενο και τη διάρκεια της επεξεργασίας, τη φύση και τον σκοπό της επεξεργασίας, το είδος των δεδομένων προσωπικού χαρακτήρα και τις κατηγορίες των υποκειμένων των δεδομένων και τις υποχρεώσεις και τα δικαιώματα του υπευθύνου επεξεργασίας». Το περιεχόμενο της εν λόγω σύμβασης ή άλλης νομικής πράξης πρέπει να 20 περιλαμβάνει τα ειδικότερα στοιχεία που αναφέρονται στην παράγραφο 3 του άρθρου αυτού. Μεταξύ άλλων, σύμφωνα με το άρθρο 28 παρ. 3 στοιχ. η) του ΓΚΠΔ, ο εκτελών την επεξεργασία δεδομένων πρέπει να θέτει στη διάθεση του υπευθύνου επεξεργασίας δεδομένων κάθε απαραίτητη πληροφορία προς απόδειξη της συμμόρφωσης προς τις υποχρεώσεις που θεσπίζονται στο άρθρο 28 και επιτρέπει και διευκολύνει τους ελέγχους, περιλαμβανομένων των επιθεωρήσεων, που διενεργούνται από τον υπεύθυνο επεξεργασίας ή από άλλον ελεγκτή εντεταλμένο από τον υπεύθυνο επεξεργασίας. Ως εκ τούτου στις υποχρεώσεις του υπευθύνου επεξεργασίας περιλαμβάνονται, μεταξύ άλλων, η υποχρέωση να παρέχει και να τεκμηριώνει οποιαδήποτε εντολή αφορά την επεξεργασία δεδομένων από τον εκτελούντα την επεξεργασία, η υποχρέωση να διασφαλίζει, πριν και κατά τη διάρκεια της επεξεργασίας, τη συμμόρφωση προς τις υποχρεώσεις που καθορίζει ο ΓΚΠΔ αναφορικά με τον εκτελούντα την επεξεργασία, καθώς και η υποχρέωση να εποπτεύει την επεξεργασία διενεργώντας ελέγχους και επιθεωρήσεις με τον εκτελούντα την επεξεργασία
23. Περαιτέρω, σύμφωνα με το άρθρο 29 ΓΚΠΔ «Ο εκτελών την επεξεργασία και κάθε πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, το οποίο έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα, επεξεργάζεται τα εν λόγω δεδομένα μόνον κατ' εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους».
24. Στην προκειμένη περίπτωση, από την εξέταση του φακέλου της υπόθεσης προέκυψαν τα εξής πραγματικά περιστατικά: Στις 27/10/2022, στο κατάστημα Φ που διατηρούσε η εκτελούσα την επεξεργασία για λογαριασμό της Vodafone εταιρεία DS Phone, ενεργοποιήθηκαν 14 γραμμές καρτοκινητής τηλεφωνίας στα στοιχεία ενός φυσικού προσώπου, σε αντίθεση με τις επίσημες οδηγίες και διαδικασίες της Vodafone. Σύμφωνα με την DS Phone, η καταχώριση πολλαπλών αριθμών σε γκρουπ τουριστών στα στοιχεία ενός φυσικού προσώπου αποτελούσε πρακτική που 1 Βλ. και τις Κατευθυντήριες γραμμές 07/2020 του ΕΣΠΔ σχετικά με τις έννοιες του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία στον ΓΚΠΔ, Έκδοση 2.0 (7 Ιουλίου 2021), §114 και §143 επ., διαθέσιμες στη διεύθυνση https://www.edpb.europa.eu/our-work-tools/ourdocuments/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en 21 ακολουθούσε εν γνώσει των εκπροσώπων της Vodafone, ενώ εν προκειμένω η ενεργοποίηση 14 αριθμών καρτοκινητού στα στοιχεία της καταγγέλλουσας οφείλεται, κατά την άποψη της εκτελούσας την επεξεργασία, σε λάθος υπαλλήλου που συνέβη εκ παραδρομής, λόγω των ιδιαίτερων συνθηκών και των μέτρων αντιμετώπισης της πανδημίας που ίσχυαν τότε. Συγκεκριμένα, οι αριθμοί αυτοί καταχωρήθηκαν εσφαλμένα στα στοιχεία της καταγγέλλουσας, με επισύναψη στην αίτηση αντιγράφου της αστυνομικής ταυτότητάς της, το οποίο ήταν καταχωρημένο στο σύστημα του συνεργαζόμενου καταστήματος Χ, όπου η καταγγέλλουσα είχε πραγματοποιήσει στο παρελθόν αλλαγή κάρτας SIM. Από τα προσκομιζόμενα στοιχεία και ιδίως την από 12/02/2023 σύμβαση επεξεργασίας προσωπικών δεδομένων, η οποία προσκομίστηκε από τη Vodafone με το Γ/ΕΙΣ/4204/02-06-2023 απαντητικό έγγραφο, προκύπτει ότι κατά τον χρόνο του περιστατικού (Οκτώβριος 2022) δεν είχε συναφθεί με την εκτελούσα την επεξεργασία κατάλληλη σύμβαση σύμφωνα με το άρθρο 28 παρ. 3 ΓΚΠΔ, παρά το γεγονός ότι η κύρια σύμβαση δικαιόχρησης με την DS Phone υπογράφηκε το έτος
25. Πάντως οι οδηγίες της Vodafone για τη διαδικασία ταυτοποίησης συνδρομητών σε κατάστημα, συμπεριλαμβανομένης της ρητής οδηγίας για έλεγχο των αποδεικτικών ταυτοπροσωπίας, κοινοποιούνταν μέσω του εσωτερικού καναλιού ενημέρωσης (Vodafone Shops Portal), χωρίς η DS Phone να αμφισβητήσει ότι οι οδηγίες αυτές ήταν σε γνώση της. Επιπλέον, παρότι η Vodafone υποστηρίζει ότι η πρόσβαση από ένα κατάστημα στα αποθηκευμένα έγγραφα ταυτοποίησης άλλου καταστήματος δεν επιτρέπεται και την έχει καταστήσει συστημικά αδύνατη, εν προκειμένω η πρόσβαση αυτή ήταν εφικτή, κατά τρόπο που επέτρεψε την παράνομη επεξεργασία του δελτίου ταυτότητας της καταγγέλλουσας. Εξάλλου, παρότι η Vodafone ανέφερε ότι δεν είχε εγκρίνει τις πρακτικές που ακολουθούσε η εκτελούσα την επεξεργασία DS Phone (απόδοση αριθμών καρτοκινητού σε γκρουπ τουριστών με καταχώρηση στοιχείων ενός φυσικού προσώπου και πρόσβαση στα έγγραφα του συνεργαζόμενου καταστήματος Χ), διαπιστώνεται ότι, ως υπεύθυνος επεξεργασίας, όχι μόνο δεν είχε φροντίσει για τη συμβατική δέσμευση της εκτελούσας την επεξεργασία για την τήρηση των διαδικασιών της, αλλά και πρακτικά δεν είχε εντοπίσει την κατά τα ανωτέρω παραβίαση των οδηγιών της από την DS Phone, μέσω ελέγχων ή επιθεωρήσεων των καταστημάτων της. Οι κατά τα ανωτέρω ελλείψεις συμβατικής 22 δέσμευσης και αποτελεσματικής εποπτείας της εκτελούσας την επεξεργασία από τη Vodafone είχαν ως αποτέλεσμα να σημειωθούν δύο περιστατικά παραβίασης με παρόμοια χαρακτηριστικά την ίδια περίοδο στο κατάστημα Φ, για τα οποία η Vodafone υπέβαλε στην Αρχή γνωστοποίηση περιστατικού παραβίασης (με τις υπ’ αρ. πρωτ. Γ/ΕΙΣ/1238/16-02-2023 και Γ/ΕΙΣ/9110/21-12-2023 δηλώσεις γνωστοποίησης) με επίκληση του άρθρου 33 του ΓΚΠΔ, και οδήγησαν τελικά στη διακοπή της συνεργασίας της Vodafone με την DS Phone. Η καταγγέλλουσα διαπίστωσε την καταχώριση στα στοιχεία της των ανωτέρω τηλεφωνικών αριθμών, τους οποίους δεν είχε αιτηθεί και δεν χρησιμοποιούσε, όταν κλήθηκε σε προκαταρκτική εξέταση για τέλεση αδικημάτων μέσω ενός εξ αυτών και αφού απευθύνθηκε στη Vodafone στις 2/2/2023 ζητώντας να της χορηγηθούν αντίγραφα κάθε εγγράφου σχετικά με την ενεργοποίηση του εν λόγω αριθμού. Ωστόσο παρ’ όλο που η Vodafone έλαβε γνώση του περιστατικού τον Φεβρουάριο του 2023 και καταχώρησε την πληροφορία περί αμφισβήτησης των τηλεφωνικών γραμμών από την καταγγέλλουσα, παρείχε δύο φορές εσφαλμένη πληροφόρηση σχετικά με τον κάτοχο των γραμμών και συγκεκριμένα στην Εισαγγελία Πρωτοδικών Ψ (με την από 12/10/2023 επιστολή) και στην Εισαγγελία Πρωτοδικών Ω (με την από 15/09/2023 επιστολή), με αποτέλεσμα η καταγγέλλουσα να κληθεί εκ νέου δύο φορές σε προκαταρκτική εξέταση για την τέλεση συναφών αδικημάτων από τους ανωτέρω άγνωστους στην ίδια αριθμούς. Σύμφωνα με τη Vodafone, η εσφαλμένη αυτή πληροφόρηση οφείλεται στο ότι το Τμήμα Ειδικών Υποθέσεων δεν έλεγξε την καρτέλα της κατόχου της γραμμής στο έτερο πληροφοριακό σύστημα της εταιρείας, που περιλάμβανε ειδική επισήμανση σχετικά με την αμφισβήτηση των αριθμών από την καταγγέλλουσα. Ως εκ τούτου διαπιστώνεται ότι η Vodafone τηρεί δύο τουλάχιστον πληροφοριακά συστήματα με δεδομένα πελατών, στο ένα εκ των οποίων δεν διασφαλίζεται η τήρηση της αρχής της ακρίβειας των δεδομένων σύμφωνα με το άρθρο 5 παρ. 1 δ) ΓΚΠΔ.
26. Βάσει των ανωτέρω διαπιστώνονται οι εξής παραβάσεις: Α. Η εκτελούσα την επεξεργασία εταιρεία DS Phone παραβίασε την υποχρέωσή της να εφαρμόζει τα κατάλληλα τεχνικά και οργανωτικά μέτρα ασφάλειας σύμφωνα με το άρθρο 32 ΓΚΠΔ και να συμμορφώνεται, σύμφωνα με το άρθρο 29 ΓΚΠΔ, με τις 23 οδηγίες που της είχαν δοθεί από τη Vodafone ως υπεύθυνο επεξεργασίας αναφορικά με τη διαδικασία ταυτοποίησης συνδρομητών σε κατάστημα. Ειδικότερα, η καταχώρηση πολλαπλών αριθμών που προορίζονταν για πολλά φυσικά πρόσωπα στα στοιχεία ενός φυσικού προσώπου, η πλημμελής ταυτοποίηση χωρίς επαρκή έλεγχο εγγράφων ταυτοπροσωπίας και η πρόσβαση στα καταχωρημένα έγγραφα διαφορετικού καταστήματος (Χ) εκ μέρους της DS Phone αποτελεί παραβίαση των οδηγιών του υπευθύνου επεξεργασίας και συνιστά παράβαση των άρθρων 32 και 29 ΓΚΠΔ. Β. Η Vodafone, ως υπεύθυνος επεξεργασίας: i) Παραβίασε την υποχρέωσή της βάσει του άρθρου 28 παρ. 1 ΓΚΠΔ να χρησιμοποιεί μόνο εκτελούντες την επεξεργασία που παρέχουν επαρκείς διαβεβαιώσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων, να φροντίζει ώστε η επεξεργασία να διέπεται από σύμβαση σύμφωνα με τη διάταξη του άρθρου 28 παρ. 3 ΓΚΠΔ και να ασκεί αποτελεσματική εποπτεία μέσω ελέγχων και επιθεωρήσεων στα καταστήματα της εκτελούσας την επεξεργασία DS Phone, με την οποία είχε συνάψει σύμβαση δικαιόχρησης από το έτος 2013, με αποτέλεσμα, τουλάχιστον μέχρι την υπογραφή της από 12/2/2023 σύμβασης να μη διασφαλίζει, ως υπεύθυνος επεξεργασίας, την τήρηση των οδηγιών και διαδικασιών της από την ανωτέρω εκτελούσα την επεξεργασία (βλ. εξάλλου και διαπίστωση στη σελ. 30 της μελέτης αντικτύπου που προσκομίσθηκε με το υπόμνημα, ότι οι υπάρχοντες έλεγχοι είναι ανεπαρκείς). Η εν λόγω παράβαση είχε ως συνέπεια να επέλθουν δύο περιστατικά παραβίασης τον Οκτώβριο 2022 σε κατάστημα της ίδιας εκτελούσας την επεξεργασία DS Phone, από τα οποία επηρεάστηκαν δύο τουλάχιστον συνδρομητές της Vodafone, ως υποκείμενα των δεδομένων, από την καταχώρηση 14 αριθμών καρτοκινητού εσφαλμένα στα στοιχεία τους, και περαιτέρω άγνωστος αριθμός προσώπων από τη χρήση των εν λόγω αριθμών για τη διάπραξη αδικημάτων. ii) Τηρούσε ανακριβή στοιχεία για την καταγγέλλουσα σε πληροφοριακό της σύστημα, με αποτέλεσμα να παράσχει ελλιπή και εσφαλμένη πληροφόρηση δύο φορές στις κατά τόπους Εισαγγελίες αναφορικά με τον κάτοχο ενός εκ των επίμαχων τηλεφωνικών αριθμών. Ως εκ τούτου παραβίασε την αρχή ακρίβειας (άρθρο 5 παρ.1 24 στοιχ. δ ΓΚΠΔ) και δη σε συνέχεια περιστατικού παραβίασης με σημαντικές συνέπειες για το υποκείμενο. iii) Περαιτέρω, στο πλαίσιο του αυτεπάγγελτου ελέγχου των μέτρων ασφάλειας της Vodafone, επισημαίνονται τα εξής: Η Vodafone δεν είχε εκπονήσει εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (ΕΑΠΔ) πριν το περιστατικό, αλλά μετά από αυτό (εντός του έτους 2023) και στη συνέχεια πήρε επιπλέον μέτρα. Συγκεκριμένα παρατηρούνται οι εξής ελλείψεις και ανεπάρκειες: Η επαλήθευση της ταυτότητας των πελατών πραγματοποιείται μέσω της φυσικής τους παρουσίας στο κατάστημα και της παροχής των απαιτούμενων εγγράφων ταυτοποίησης. Συνεπώς, η επιβεβαίωση της ταυτότητας (αυθεντικοποίηση) και η επικαιροποίηση των δεδομένων κατά τη συλλογή τους εναπόκεινται αποκλειστικά στον έλεγχο των εργαζομένων του καταστήματος, χωρίς επιπρόσθετα μέτρα ασφάλειας για τη διασφάλιση της ακρίβειας των δεδομένων που θα αντιστάθμιζαν τον κίνδυνο σφάλματος ή κακόβουλης ενέργειας που ενέχει ο ανθρώπινος παράγοντας. Επιπλέον, διαπιστώθηκε ότι δεν υφίστανται επαρκή μέτρα ασφάλειας για τη διασφάλιση ότι δεν δημιουργούνται ή δεν διατηρούνται περιττά αντίγραφα προσωπικών δεδομένων. Ως αποτέλεσμα, έγγραφα των πελατών (όπως έγγραφα ταυτοποίησης ή φωτογραφίες που λαμβάνονται από υπαλλήλους του καταστήματος) διατηρούνται για περαιτέρω επεξεργασία. Το γεγονός αυτό αντίκειται στην ισχύουσα πολιτική, η οποία απαγορεύει αυστηρά τέτοιου είδους επεξεργασίες. Συνεπώς, διαπιστώνεται ότι μέχρι το χρόνο, κατά τον οποίο έλαβε χώρα το εξεταζόμενο περιστατικό, τα μέτρα που είχαν ληφθεί τόσο για την ταυτοποίηση των πελατών όσο και για την αποφυγή της επαναχρησιμοποίησης των εγγράφων τους ήταν ελλιπή. Παράλληλα, στη μελέτη εκτίμησης αντικτύπου σχετικά με την προστασία δεδομένων (ΕΑΠΔ) δεν φαίνεται ότι εξετάστηκε ο κίνδυνος μαζικής χορήγησης αριθμών από κακόβουλους συνεργάτες ή τρίτους, με αποτέλεσμα τα υφιστάμενα μέτρα ασφάλειας να κρίνονται ανεπαρκή, ιδίως αν ληφθούν υπόψη και τα περιστατικά ασφάλειας που έχουν προκύψει. Δεδομένων των ανωτέρω, διαπιστώνεται παραβίαση της υποχρέωσης τήρησης κατάλληλων τεχνικών και οργανωτικών μέτρων (άρθρο 12 παρ. 1 και παρ. 3 Ν. 3471/2006) σε διαδικασίες που είναι κρίσιμες για την απόδοση αριθμού 25 καρτοκινητής σε υφιστάμενο συνδρομητή, όπως η ταυτοποίηση των πελατών και η μη εξουσιοδοτημένη επεξεργασία των εγγράφων τους. Σημειώνεται ότι η ΕΑΠΔ που εκτελέστηκε, με μεγάλη καθυστέρηση και μόνο όταν άρχισε η διερεύνηση της υπόθεσης από την Αρχή, κρίνεται ελλιπής καθώς οι ανωτέρω αναφερόμενοι σημαντικοί κίνδυνοι δεν αξιολογήθηκαν. Συνεπώς, διαπιστώνεται παραβίαση του άρθρου 12 του Ν. 3471/2006, λόγω της εφαρμογής ελλιπών μέτρων ασφάλειας στο πλαίσιο της διαδικασίας απόδοσης αριθμών καρτοκινητής τηλεφωνίας σε υφιστάμενο συνδρομητή από τη Vodafone.
27. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά τα άρθρα 58 παρ. 2 του ΓΚΠΔ και 13 παρ. 4 του Ν. 3471/2006 διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις. i. Αναφορικά με τη διαπιστωθείσα παραβίαση από την εταιρεία DS Phone της διάταξης των άρθρων 32 και 29 ΓΚΠΔ (σκέψη 11.Α), η Αρχή κρίνει ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο, όπως αναφέρεται στο διατακτικό της παρούσας απόφασης. Για την επιμέτρηση του προστίμου ελήφθησαν υπόψη τα προβλεπόμενα από το άρθρο 83 παρ. 2 ΓΚΠΔ κριτήρια και ειδικότερα τα εξής: Ότι πρόκειται για παράβαση που εμπίπτει στο άρθρο 83 παρ. 4 ΓΚΠΔ· ότι η παραβίαση επηρέασε δύο τουλάχιστον φυσικά πρόσωπα· ότι είχε ως συνέπεια την κλήση της καταγγέλλουσας ως ύποπτης για τη διάπραξη αδικημάτων και τη συνακόλουθη ηθική και περιουσιακή της βλάβη· ότι η εταιρεία φέρει σημαντική ευθύνη ως εκτελούσα την επεξεργασία προσωπικών δεδομένων συνδρομητών παρόχου τηλεπικοινωνιών του μεγέθους της Vodafone· ότι δεν παρασχέθηκαν ικανοποιητικές εξηγήσεις για τον τρόπο με τον οποίο συνέβη το περιστατικό, η δε επανάληψή του καταδεικνύει σοβαρή αμέλεια · και ότι το έτος 2023 ο κύκλος εργασιών της DS Phone ανήλθε σε 454.333,50 €. ii. Αναφορικά με τη διαπιστωθείσα παραβίαση από τη Vodafone της διάταξης του άρθρου 28 παρ. 1 και 3 ΓΚΠΔ (Σκέψη 11.Β.i) η Αρχή κρίνει ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό 26 διοικητικό χρηματικό πρόστιμο, όπως αναφέρεται στο διατακτικό της παρούσας απόφασης. Για την επιμέτρηση του προστίμου ελήφθησαν υπόψη τα προβλεπόμενα από το άρθρο 83 παρ. 2 ΓΚΠΔ κριτήρια και ειδικότερα τα εξής: Ότι πρόκειται για παράβαση που εμπίπτει στην παράγραφο 4 του άρθρου 83 ΓΚΠΔ, στην οποία δεν περιλαμβάνονται οι βαρύτερες με βάση το καθοριζόμενο ανώτατο όριο χρηματικού προστίμου παραβάσεις· ότι δεδομένης της φύσης της επεξεργασίας των δεδομένων που διεξάγεται για λογαριασμό της Vodafone μέσω των καταστημάτων της, των δυνητικών συνεπειών από τη χρήση κινητού τηλεφώνου ως στοιχείου ταυτοποίησης σε μια σειρά από διαδικασίες (π.χ. τραπεζικές ή σχέσεις με το Δημόσιο μέσω gov.gr κλπ.), της διάρκειας της παράβασης (τουλάχιστον από τη θέση σε ισχύ του ΓΚΠΔ τον Μάιο του 2018 μέχρι τον Φεβρουάριο του 2023) αλλά και του μεγάλου αριθμού εκτελούντων την επεξεργασία που η Vodafone χρησιμοποιεί σε όλη τη χώρα, η παραβίαση κρίνεται ως μεγάλης βαρύτητας· ότι η Vodafone φέρει αυξημένη ευθύνη ως ένας από τους μεγαλύτερους παρόχους κινητής τηλεφωνίας στην Ελλάδα· ότι η παραβίαση επηρέασε εν προκειμένω δύο τουλάχιστον φυσικά πρόσωπα και είχε ως συνέπεια την κλήση της καταγγέλλουσας ως ύποπτης για τη διάπραξη αδικημάτων και τη συνακόλουθη ηθική και περιουσιακή της βλάβη, ωστόσο η ελλιπής εποπτεία των εκτελούντων την επεξεργασία μπορεί να επηρεάσει δυνητικά όλους τους συνδρομητές της Vodafone· ότι ο κύκλος εργασιών της Vodafone ανήλθε, σύμφωνα με τον τελευταίο δημοσιευμένο στο ΓΕΜΗ ισολογισμό της2, σε 942.600.000,00 €. iii. Αναφορικά με τη διαπιστωθείσα παραβίαση από τη Vodafone της διάταξης του άρθρου 5 παρ. 1 δ) ΓΚΠΔ (Σκέψη 11.Β.ii) η Αρχή κρίνει ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο, όπως αναφέρεται στο διατακτικό της παρούσας απόφασης. Για την επιμέτρηση του προστίμου ελήφθησαν υπόψη τα προβλεπόμενα από το άρθρο 83 παρ. 2 ΓΚΠΔ κριτήρια και ειδικότερα τα εξής: Ότι πρόκειται για παράβαση βασικής αρχής επεξεργασίας, που εμπίπτει στην παράγραφο 5 του άρθρου 83 ΓΚΠΔ, στην οποία περιλαμβάνονται οι βαρύτερες με βάση το καθοριζόμενο ανώτατο όριο χρηματικού προστίμου παραβάσεις· ότι δεδομένης της 2 https://publicity.businessportal.gr/company/828201000 27 φύσης των δεδομένων και των δυνητικών συνεπειών της επεξεργασίας, η τήρηση ανακριβών στοιχείων στο σύστημα της Vodafone μέσω του οποίου το αρμόδιο τμήμα ενημερώνει τις αρμόδιες αστυνομικές και εισαγγελικές αρχές αποτελεί παράβαση μεγάλης βαρύτητας· ότι η Vodafone δεν προέβη σε μέτρα προς επανόρθωση της συγκεκριμένης αστοχίας, ενώ φέρει μεγάλη ευθύνη ως πάροχος τηλεπικοινωνιών του μεγέθους της· ότι ο κύκλος εργασιών της Vodafone ανήλθε, σύμφωνα με τον τελευταίο δημοσιευμένο στο ΓΕΜΗ ισολογισμό της, σε 942.600.000,00 €. iv. Αναφορικά με τη διαπιστωθείσα παράβαση του άρθρου 12 παρ. 1 και 3 του Ν. 3471/2006 που αφορά την απουσία επαρκών τεχνικών και οργανωτικών μέτρων ασφάλειας της επεξεργασίας (Σκέψη 11.Β.iii) η Αρχή κρίνει ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί κατ’ εφαρμογή της διάταξης του άρθρου 13 παρ. 4 Ν. 3471/2006, σε συνδυασμό με το άρθρο 21 του ν. 2472/1997, το οποίο δυνάμει του άρθρου 84 του ν. 4624/2019 διατηρήθηκε σε ισχύ κατά το μέρος που αφορά στην επιβολή διοικητικών κυρώσεων κατ΄ εφαρμογή της εν λόγω διάταξης του ν. 3471/2006, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο. Για την επιμέτρηση του προστίμου, η Αρχή έλαβε υπόψη ότι η εταιρεία ως πάροχος τηλεπικοινωνιών του μεγέθους της φέρει αυξημένη ευθύνη λήψης κατάλληλων μέτρων προς αποτροπή περιστατικών παραβίασης που σχετίζονται με τις διαδικασίες απόδοσης αριθμών σε συνδρομητές, ενώ της έχει ήδη επιβληθεί κύρωση για σχετική παρόμοια παράβαση (πλημμέλειες στη διαδικασία απόδοσης κάρτας sim) με την απόφαση 38/2022 της Αρχής και ότι η παράβαση έχει μεγάλη βαρύτητα και η φύση της είναι ιδιαίτερα επικίνδυνη λόγω των πιθανών συνεπειών της, καθώς και τον μεγάλο αριθμό των επηρεαζόμενων υποκειμένων (δυνητικά όλοι οι συνδρομητές της καταγγελλόμενης) και το οριζόμενο από τη διάταξη του άρθρου 13 παρ. 4 Ν. 3471/2006 σε συνδυασμό με το άρθρο 21 παρ. 1 β) του Ν. 2472/1997 μέγιστο όριο χρηματικού προστίμου. Περαιτέρω, ακόμα και μετά την εκπόνηση της μελέτης εκτίμησης αντικτύπου μέσω της πλατφόρμας OneTrust, δεν προκύπτει με σαφήνεια ότι η Vodafone έχει λάβει επαρκή και αποτελεσματικά μέτρα για την αποτροπή παρόμοιων περιστατικών στο μέλλον, αφού περιορίζεται σε ελέγχους μετά την απόδοση αριθμών σε συνδρομητές 28 (“ex post”) με τον κίνδυνο χρήσης των αριθμών, μέχρι τον εντοπισμό πιθανής παραβίασης, να παραμένει. Για τον λόγο αυτό κρίνεται σκόπιμο να απευθυνθεί προειδοποίηση προς την εταιρεία για λήψη κατάλληλων τεχνικών μέτρων που θα ενισχύσουν την ασφάλεια της διαδικασίας απόδοσης αριθμών καρτοκινητής, όπως, ενδεικτικά, η ενημέρωση του συνδρομητή σε περίπτωση απόδοσης νέου αριθμού στα στοιχεία του, μέσω αποστολής σύντομου μηνύματος (SMS). ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ
28. Επιβάλλει στην εταιρεία ΚΑΡΑΜΠΕΛΑΣ ΚΩΝΣΤΑΝΤΙΝΟΣ & ΣΙΑ Ε.Ε. (“DS Phone”), ως εκτελούσα την επεξεργασία, με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, διοικητικό πρόστιμο ύψους σαράντα χιλιάδων (40.000 €) ευρώ, για τη διαπιστωθείσα παράβαση των διατάξεων των άρθρων 32 και 29 ΓΚΠΔ, σύμφωνα με όσα αναφέρονται στο σημείο i. της σκέψης 12 ανωτέρω.
29. Επιβάλλει στην Vodafone – ΠΑΝΑΦΟΝ Α.Ε.Ε.Τ., ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, διοικητικό πρόστιμο ύψους τριακοσίων πενήντα χιλιάδων (350.000 €) ευρώ, για τη διαπιστωθείσα παράβαση των διατάξεων του άρθρου 28 παρ. 1 και 3 ΓΚΠΔ, σύμφωνα με όσα αναφέρονται στο σημείο ii. της σκέψης 12 ανωτέρω.
30. Επιβάλλει στην Vodafone – ΠΑΝΑΦΟΝ Α.Ε.Ε.Τ., ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, διοικητικό πρόστιμο ύψους διακοσίων χιλιάδων (200.000 €) ευρώ, για τη διαπιστωθείσα παράβαση της διάταξης του άρθρου 5 παρ. 1 στοιχ. δ) ΓΚΠΔ, σύμφωνα με όσα αναφέρονται στο σημείο iii. της σκέψης 12 ανωτέρω.
31. α) Επιβάλλει στην Vodafone – ΠΑΝΑΦΟΝ Α.Ε.Ε.Τ., ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 13 παρ. 4 Ν. 3471/2006 σε συνδυασμό με το άρθρο 21 παρ. 1 β) Ν. 2472/1997, διοικητικό πρόστιμο ύψους 150.000 ευρώ για τη διαπιστωθείσα παράβαση των διατάξεων του άρθρου 12 παρ. 1 και 3 του Ν. 3471/2006, και β) Απευθύνει στην Vodafone – ΠΑΝΑΦΟΝ Α.Ε.Ε.Τ., ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 13 παρ. 4 Ν. 3471/2006 σε συνδυασμό με το 29 άρθρο 21 παρ. 1 α) Ν. 2472/1997 προειδοποίηση όπως εντός αποκλειστικής προθεσμίας τριών

(3)μηνών από την κοινοποίηση της παρούσας απόφασης, λάβει κατάλληλα τεχνικά μέτρα προς ενίσχυση της ασφάλειας της διαδικασίας ενεργοποίησης νέων αριθμών κινητής τηλεφωνίας στα στοιχεία υπάρχοντα συνδρομητή, όπως, ενδεικτικά, ο εν λόγω συνδρομητής να ενημερώνεται μέσω σύντομου μηνύματος (sms ή άλλου ισοδύναμου), ενημερώνοντας σχετικά την Αρχή. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 30