Αθήνα, 21-03-2023 Αριθ. Πρωτ.: 721 Α Π Ο Φ Α Σ Η 12/2023 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος μέσω τηλεδιάσκεψης την 15-03-2023 και ώρα 10:30 π.μ., μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, και τα αναπληρωματικά μέλη Δημοσθένης Βουγιούκας, ως εισηγητής, και Μαρία Ψάλλα σε αντικατάσταση των τακτικών μελών Κωνσταντίνου Λαμπρινουδάκη και Γρηγόριου Τσόλια αντίστοιχα, οι οποίοι δεν παρέστησαν λόγω κωλύματος αν και κλήθηκαν νομίμως εγγράφως. Παρούσα χωρίς δικαίωμα ψήφου, ήταν η ελέγκτρια Γεωργία Παναγοπούλου, ειδική επιστήμονας πληροφορικής, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα ακόλουθα: Υπεβλήθη στην Αρχή η με αρ. πρωτ. Γ/ΕΙΣ/1890/07-02-2022 της Α (εφεξής «καταγγέλλουσα») κατά Cosmote (εφεξής «καταγγελλομένη») για λήψη ηλεκτρονικών μηνυμάτων SMS με στοιχεία λογαριασμού άλλου συνδρομητή. Συγκεκριμένα, η καταγγέλλουσα αναφέρει ότι «Εδώ και 3 μήνες περίπου λαμβάνω ενημερωτικά μηνύματα στο κινητό μου, που αφορούν έκδοση λογαριασμού σταθερής τηλεφωνίας άλλου συνδρομητή, ενημερωτικά μηνύματα σχετικά με 1 προσφοράς και έλλειψη δωρεάν χρόνου ομιλίας ή MB που αφορούν άλλους συνδρομητές, και γενικώς λαμβάνω μηνύματα που δεν έχουν σχέση με εμένα.». H Αρχή απέστειλε στην καταγγελλόμενη το με αρ. πρωτ. Γ/ΕΞΕ/416/15-022022 έγγραφο, με το οποίο ενημέρωσε για το περιεχόμενο της υποβληθείσας καταγγελίας και την κάλεσε να υποβάλει εγγράφως τις απόψεις της σχετικά με την καταγγελία. Η εταιρεία απάντησε με το Γ/ΕΙΣ/6225/20-04-2022 έγγραφο, στο οποίο ανέφερε ότι η λανθασμένη αντιστοίχιση του τηλεφωνικού αριθμού της καταγγέλλουσας σε στοιχεία επικοινωνίας άλλου συνδρομητή οφείλεται σε μεμονωμένο ανθρώπινο λάθος, και το θέμα λύθηκε. Στη συνέχεια η Αρχή με το με αρ. πρωτ. Γ/ΕΞΕ/1653/30-06-2022 έγγραφο επέστησε την προσοχή στην Cosmote σχετικά με την τήρηση της αρχής της ακρίβειας κατά την επεξεργασία προσωπικών δεδομένων (άρθρο 5 του ΓΚΠΔ), και την ενημέρωσε ότι σε περίπτωση νέων περιστατικών μη τήρησης των όρων του άρθρου αυτού ενδέχεται να επιβληθούν οι προβλεπόμενες διοικητικές κυρώσεις. Όμως η καταγγέλλουσα επανήλθε με το με αρ. πρωτ. Γ/ΕΙΣ/9739/28-09-2022 έγγραφο, στο οποίο αναφέρει ότι εξακολουθεί η λανθασμένη αποστολή μηνυμάτων SMS. Στη συνέχεια η Αρχή, προκειμένου να ολοκληρώσει την εξέταση της υπόθεσης, κάλεσε με τo με αρ. πρωτ. Γ/ΕΞΕ/2741/31-10-2022 έγγραφο, την καταγγελλόμενη εταιρεία, στη συνεδρίαση του Τμήματος στις 16-11-2022, επισυνάπτοντας το με αρ. πρωτ. Γ/ΕΙΣ/9739/28-09-2022 νέο έγγραφο της καταγγέλλουσας. Στη συνέχεια η Αρχή, προκειμένου να ολοκληρώσει την εξέταση της υπόθεσης, κάλεσε με τo με αρ. πρωτ. Γ/ΕΞΕ/2821/09-11-2022 την καταγγελλόμενη εταιρεία, στη συνεδρίαση του Τμήματος στις 16-11-
- Στην συνεδρίαση αυτή παρέστησαν εκ μέρους της Cosmote οι Β, Υποδιευθυντής Digital Experience Transformation, Γ Υποδιευθύντρια Customer 2 Service Excellence, και Ελένη Γερούτση, δικηγόρος … καθώς και η Δ, υπεύθυνη προστασίας δεδομένων του Ομίλου ΟΤE. Μετά τη συνεδρίαση η καταγγελλόμενη εταιρεία υπέβαλε το με αρ. πρωτ. Γ/ΕΙΣ/12193/30-11-2022 υπόμνημα, στο οποίο συνόψισε τα όσα είχε ήδη αναφέρει σχετικά με την καταγγελία και επισήμανε ότι από τον Απρίλιο του 2022 έχει υλοποιηθεί μηχανισμός ασφάλειας, σύμφωνα με τον οποίο αποστέλλεται μήνυμα OTP (one time password) όταν δηλώνεται αριθμός κινητού τηλεφώνου ως επαφή επικοινωνίας σε σταθερό, που ανήκει σε άλλο συνδρομητή, με σκοπό την επιβεβαίωση της εν λόγω επιλογής από το χρήστη της σύνδεσης. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
- Σύμφωνα με το άρθρο 5, παρ. 1 δ’ του ΓΚΠΔ, για να είναι νόμιμη η επεξεργασία προσωπικών δεδομένων (απλών και ειδικών κατηγοριών), πρέπει η επεξεργασία να διέπεται από την αρχή της ακρίβειας των δεδομένων, σύμφωνα με την οποία τα δεδομένα θα πρέπει να είναι ακριβή και, όταν είναι αναγκαίο, να επικαιροποιούνται. Θα πρέπει να λαμβάνονται όλα τα εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση δεδομένων προσωπικού χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς της επεξεργασίας («ακρίβεια»),
- Σύμφωνα με το άρθρο 17 ΓΚΠΔ, εδ. 1, δ το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει τη διαγραφή των προσωπικών δεδομένων που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα εάν τα δεδομένα προσωπικού χαρακτήρα υποβλήθηκαν σε επεξεργασία παράνομα.
- Σύμφωνα με το άρθρο 12, παρ. 3 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς 3 καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος.
- Στη συγκεκριμένη περίπτωση προκύπτει ότι λανθασμένα στοιχεία επικοινωνίας είχαν δηλωθεί ελεύθερα από κάτοχο σύνδεσης της Cosmote χωρίς να έχει ζητηθεί απόδειξη ή στοιχείο ταυτοποίησης για το ότι του ανήκουν. Μετά την άσκηση των δικαιωμάτων της καταγγέλλουσας τα στοιχεία της τηλεφωνικής σύνδεσης και του email της καταγγέλλουσας αποδεσμεύτηκαν από τη σύμβαση του συνδρομητή. Διαπιστώθηκε ωστόσο πως παρέμειναν στην λειτουργικότητα στην υπηρεσία MyCosmote του συνδρομητή. Η διόρθωση των στοιχείων επικοινωνίας στην εν λόγω υπηρεσία ολοκληρώθηκε στις 03/11/2022, αφού επανεξετάστηκαν τα στοιχεία που προσκομίστηκαν μέσω της καταγγελίας.
- Η καταγγελλόμενη ανέφερε στο υπόμνημά της ότι από τον Απρίλιο του 2022 έχει υλοποιηθεί μηχανισμός ασφάλειας, σύμφωνα με τον οποίο αποστέλλεται μήνυμα OTP (one time password) όταν δηλώνεται αριθμός κινητού τηλεφώνου ως επαφή επικοινωνίας σε σταθερό, που ανήκει σε άλλο συνδρομητή, με σκοπό την επιβεβαίωση της εν λόγω επιλογής από το χρήστη της σύνδεσης. Βάσει των ανωτέρω, η Αρχή κρίνει ομόφωνα ότι πρέπει να επιβληθεί στην καταγγελλόμενη εταιρεία ως υπεύθυνο επεξεργασίας η αναφερόμενη στο διατακτικό διοικητική κύρωση, η οποία κρίνεται ανάλογη με τη βαρύτητα της παράβασης. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή απευθύνει στην καταγγελλόμενη εταιρεία COSMOTE ΚΙΝΗΤΕΣ ΤΗΛΕΠΙΚΟΙΝΩΝΙΕΣ Α.Ε. κατ’ άρθρο 57 παρ. 2 β) ΓΚΠΔ επίπληξη για την διαπιστωθείσα παράβαση της αρχής της ακρίβειας των προσωπικών δεδομένων (άρθρο 5 παρ. 1 δ’ του ΓΚΔΠ) καθώς και για τη διαπιστωθείσα παράβαση προθεσμίας για την ικανοποίηση του δικαιώματος διαγραφής (άρθρο 12 παρ. 3 του ΓΚΠΔ). 4 Ο Αναπληρωτής Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 5