Eπίπληξη για παράβαση της αρχής της ακρίβειας και προθεσμίας για την ικανοποίηση δικαιώματος υποκειμένου

Αθήνα, 21-03-2023 Αριθ. Πρωτ.: 720 Α Π Ο Φ Α Σ Η 11/2023 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος μέσω τηλεδιάσκεψης την 15-03-2023 και ώρα 10:30 π.μ., μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, και τα αναπληρωματικά μέλη Δημοσθένης Βουγιούκας, ως εισηγητής, και Μαρία Ψάλλα σε αντικατάσταση των τακτικών μελών Κωνσταντίνου Λαμπρινουδάκη και Γρηγόριου Τσόλια αντίστοιχα, οι οποίοι δεν παρέστησαν λόγω κωλύματος αν και κλήθηκαν νομίμως εγγράφως. Παρούσα χωρίς δικαίωμα ψήφου, ήταν η ελέγκτρια Γεωργία Παναγοπούλου, ειδική επιστήμονας πληροφορικής, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα ακόλουθα: Υπεβλήθη στην Αρχή η με αρ. πρωτ. Γ/ΕΙΣ/7157/18-05-2022 της Α (εφεξής «καταγγέλλουσα») κατά Cosmote (εφεξής «καταγγελλομένη») μη συνδρομητή Cosmote, για λήψη μηνυμάτων SMS με πληροφορίες σχετικά με συνδρομητή Cosmote. Συγκεκριμένα, η καταγγέλλουσα αναφέρει ότι από τον … του … άρχισε να λαμβάνει sms στο κινητό της με αποστολέα την εταιρεία OTE / Cosmote και περιεχόμενο σχετικό με Προσωρινό Κωδικό, χωρίς η ίδια να διατηρεί συμβατική 1 σχέση με την εταιρεία. Την ίδια περίοδο δέχτηκε και κλήση στο κινητό της από τεχνικό του ΟΤΕ για βλάβη σε σύνδεση σταθερής τηλεφωνίας. Στις …, … και … έλαβε sms με αποστολέα ‘ΟΤΕ’ και περιεχόμενο ‘Προσωρινός Κωδικός e-λογαριασμού σταθερής’. Στις … καθώς και στις … υπέβαλε σχετικά με το θέμα αιτήματα και επίσης στις … υπέβαλε τηλεφωνικό αίτημα στο

1. H Αρχή απέστειλε στην καταγγελλόμενη το με αρ. πρωτ Γ/ΕΞΕ/1285/26-052022 έγγραφο με το οποίο ενημέρωσε για το περιεχόμενο της υποβληθείσας καταγγελίας και την κάλεσε να υποβάλει εγγράφως τις απόψεις της σχετικά με την καταγγελία. Στη συνέχεια η καταγγέλλουσα απέστειλε το με αρ. πρωτ. Γ/ΕΙΣ/9274/01-082022 συμπληρωματικό έγγραφο στο οποίο επισημαίνει ότι συνεχίζει να λαμβάνει SMS στο κινητό της με αποστολέα την εταιρεία Cosmote και περιεχόμενο σχετικό με Προσωρινό Κωδικό. H Αρχή απέστειλε στην καταγγελλόμενη το με αρ. πρωτ Γ/ΕΞΕ/2150/31-082022 έγγραφο με το οποίο ενημέρωσε για το περιεχόμενο του συμπληρωματικού εγγράφου και την κάλεσε εκ νέου να υποβάλει εγγράφως τις απόψεις της σχετικά με την καταγγελία. Η εταιρεία απάντησε με το Γ/ΕΙΣ/10962/12-10-2022, στο οποίο ανέφερε ότι από τον έλεγχο που διενεργήθηκε προέκυψε ότι κατά την ενεργοποίηση της υπηρεσίας ηλεκτρονικής λήψης λογαριασμού σταθερής τηλεφωνίας (e-Λογαριασμός) από συνδρομητή της στις …, ο τελευταίος δήλωσε ως στοιχεία επικοινωνίας τον αριθμό κινητής τηλεφωνίας και τη διεύθυνση ηλεκτρονικού ταχυδρομείου της καταγγέλλουσας. Για την παροχή της ως άνω υπηρεσίας, δημιουργήθηκε στα συστήματα η επαφή με τα στοιχεία επικοινωνίας της καταγγέλλουσας, η οποία για τον λόγο αυτό ελάμβανε τα SMS με προσωρινό κωδικό. Σημειώνεται ότι ο προσωρινός κωδικός αφορούσε την επιβεβαίωση υποβολής αιτήματος αλλαγής email επικοινωνίας, που υπέβαλλε ο συνδρομητής και ελάμβανε η καταγγέλλουσα στην δική της σύνδεση, λόγω του ότι αυτή είχε δηλωθεί ως σύνδεση επικοινωνίας. Σε κάθε περίπτωση μέσω του προσωρινού κωδικού δεν αποκτάται πρόσβαση ούτε στον λογαριασμό του 2 συνδρομητή ούτε στην αναλυτική κατάσταση εξερχομένων κλήσεων του. Στις … η COSMOTE προέβη σε διαγραφή των στοιχείων επικοινωνίας της καταγγέλλουσας από τα συστήματά της οπότε και σταμάτησαν οι αποστολές SMS προς την τηλεφωνική σύνδεση της καταγγέλλουσας, διότι διαπιστώθηκε πως αυτά είχαν παραμείνει στην λειτουργικότητα του portal, που αφορά τις υπηρεσίες μέσω του MyCosmote. » Στη συνέχεια η Αρχή, προκειμένου να ολοκληρώσει την εξέταση της υπόθεσης, κάλεσε με τo με αρ. πρωτ. Γ/ΕΞΕ/2821/09-11-2022 την καταγγελλόμενη εταιρεία, στη συνεδρίαση του Τμήματος στις 16-11-
2. Στην συνεδρίαση αυτή παρέστησαν εκ μέρους της Cosmote οι Β, Υποδιευθυντής Digital Experience Transformation, Γ Υποδιευθύντρια Customer Service Excellence, και Ελένη Γερούτση, δικηγόρος … καθώς και η Δ, υπεύθυνη προστασίας δεδομένων του Ομίλου ΟΤE. Μετά τη συνεδρίαση η καταγγελλόμενη εταιρεία υπέβαλε το με αρ. πρωτ. Γ/ΕΙΣ/12193/30-11-2022 υπόμνημα, στο οποίο συνόψισε τα όσα είχε ήδη αναφέρει σχετικά με την καταγγελία και επισήμανε ότι από τον … του … έχει υλοποιηθεί μηχανισμός ασφάλειας, σύμφωνα με τον οποίο αποστέλλεται μήνυμα OTP (one time password) όταν δηλώνεται αριθμός κινητού τηλεφώνου ως επαφή επικοινωνίας σε σταθερό, που ανήκει σε άλλο συνδρομητή, με σκοπό την επιβεβαίωση της εν λόγω επιλογής από το χρήστη της σύνδεσης. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
3. Σύμφωνα με το άρθρο 5, παρ. 1 δ’ του ΓΚΠΔ, για να είναι νόμιμη η επεξεργασία προσωπικών δεδομένων (απλών και ειδικών κατηγοριών), πρέπει η επεξεργασία να διέπεται από την αρχή της ακρίβειας των δεδομένων, σύμφωνα με την οποία τα δεδομένα θα πρέπει να είναι ακριβή και, όταν είναι αναγκαίο, να επικαιροποιούνται. Θα πρέπει να λαμβάνονται όλα τα εύλογα μέτρα για την άμεση 3 διαγραφή ή διόρθωση δεδομένων προσωπικού χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς της επεξεργασίας («ακρίβεια»),
4. Σύμφωνα με το άρθρο 17 ΓΚΠΔ, εδ. 1, δ’ το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει τη διαγραφή των προσωπικών δεδομένων που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα εάν τα δεδομένα προσωπικού χαρακτήρα υποβλήθηκαν σε επεξεργασία παράνομα.
5. Σύμφωνα με το άρθρο 12, παρ. 3 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος.
6. Στη συγκεκριμένη περίπτωση προκύπτει ότι λανθασμένα στοιχεία επικοινωνίας είχαν δηλωθεί ελεύθερα από κάτοχο σύνδεσης της Cosmote χωρίς να έχει ζητηθεί απόδειξη ή στοιχείο ταυτοποίησης για το ότι του ανήκουν. Μετά την άσκηση των δικαιωμάτων της καταγγέλλουσας τα στοιχεία της τηλεφωνικής σύνδεσης και του email της καταγγέλλουσας αποδεσμεύτηκαν από τη σύμβαση του συνδρομητή. Διαπιστώθηκε ωστόσο πως παρέμειναν στην λειτουργικότητα στην υπηρεσία MyCosmote του συνδρομητή. Η διόρθωση των στοιχείων επικοινωνίας στην εν λόγω υπηρεσία ολοκληρώθηκε αργότερα, αφού επανεξετάστηκαν τα στοιχεία που προσκομίστηκαν μέσω της καταγγελίας.
7. Η καταγγελλόμενη ανέφερε στο υπόμνημά της ότι από τον … του … έχει υλοποιηθεί μηχανισμός ασφάλειας, σύμφωνα με τον οποίο αποστέλλεται μήνυμα OTP (one time password) όταν δηλώνεται αριθμός κινητού τηλεφώνου ως επαφή επικοινωνίας σε σταθερό, που ανήκει σε άλλο συνδρομητή, με σκοπό την επιβεβαίωση της εν λόγω επιλογής από το χρήστη της σύνδεσης. Βάσει των ανωτέρω, η Αρχή κρίνει ομόφωνα ότι πρέπει να επιβληθεί στην καταγγελλόμενη εταιρεία ως υπεύθυνο επεξεργασίας η αναφερόμενη στο διατακτικό διοικητική κύρωση, η οποία κρίνεται ανάλογη με τη βαρύτητα της παράβασης. 4 ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή απευθύνει στην καταγγελλόμενη εταιρεία COSMOTE ΚΙΝΗΤΕΣ ΤΗΛΕΠΙΚΟΙΝΩΝΙΕΣ Α.Ε. κατ’ άρθρο 57 παρ. 2 β) ΓΚΠΔ επίπληξη για την διαπιστωθείσα παράβαση της αρχής της ακρίβειας των προσωπικών δεδομένων (άρθρο 5 παρ. 1 δ’ του ΓΚΔΠ) καθώς και για τη διαπιστωθείσα παράβαση προθεσμίας για την ικανοποίηση του δικαιώματος διαγραφής (άρθρο 12 παρ. 3 του ΓΚΠΔ). Ο Αναπληρωτής Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 5