Επίπληξη για την αποκάλυψη ηλεκτρονικών διευθύνσεων σε άλλους παραλήπτες

Αθήνα, 21-09-2021 Αριθ. Πρωτ.: 2104 ΑΠΟΦΑΣΗ 42/2021 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος μέσω τηλεδιάσκεψης την 21-04-2021 και ώρα 10:00, μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, τα μέλη Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης και το αναπληρωματικό μέλος Γρηγόριος Τσόλιας ως εισηγητής και σε αντικατάσταση του τακτικού μέλους Χαράλαμπου Ανθόπουλου, ο οποίος, παρόλο που εκλήθη νομίμως εγγράφως, δεν παρέστη λόγω κωλύματος. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, ο Γεώργιος Ρουσόπουλος, ειδικός επιστήμονας – ελεγκτής ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα ακόλουθα: Υποβλήθηκε στην Αρχή η υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/617/27-01-2020 καταγγελία της Α, σύμφωνα με την οποία η Β (εφεξής και υπεύθυνος επεξεργασίας), μέλος της Βουλής των Ελλήνων, απέστειλε δελτίο τύπου στην προσωπική της ηλεκτρονική διεύθυνση χωρίς η καταγγέλλουσα να έχει παράσχει τη συγκατάθεσή της. Περαιτέρω η καταγγέλλουσα παραπονείται καθώς η ηλεκτρονική διεύθυνσή της ήταν εμφανής στους άλλους παραλήπτες του μηνύματος. 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr Η Αρχή, με το Γ/ΕΞ/617-1/09-03-2020 έγγραφό της ενημέρωσε την υπεύθυνη επεξεργασίας σχετικά με την καταγγελία, ζητώντας τις απόψεις της επί αυτής. Η καταγγελλόμενη απάντησε με το Γ/ΕΙΣ/1895/11-03-2020 έγγραφό της, αναφέροντας ότι η διεύθυνση ηλεκτρονικής αλληλογραφίας της καταγγέλλουσας, περιελήφθη εκ παραδρομής στην λίστα αποδεκτών του συγκεκριμένου δελτίου τύπου του γραφείου της, ζητώντας συγγνώμη για την αναστάτωση που προκλήθηκε στην καταγγέλλουσα και διαβεβαιώνοντας ότι η ηλεκτρονική διεύθυνσή της έχει διαγραφεί από τους σχετικούς καταλόγους αλληλογραφίας. Σύμφωνα με την απάντηση αυτή, η διεύθυνση ηλεκτρονικής αλληλογραφίας της καταγγέλλουσας, ήταν εμφανής, διότι το συγκεκριμένο e-mail απευθυνόταν σε επαγγελματίες δημοσιογράφους πολιτικούς συντάκτες. Από τα στοιχεία της καταγγελίας προκύπτει ότι το περιεχόμενο του μηνύματος ήταν δελτίο τύπου σε σχέση με την πολιτική δράση μέλους της Βουλής και ότι οι εμφανιζόμενες διευθύνσεις ηλεκτρονικού ταχυδρομείου, οι οποίες, όπως προκύπτει από πολλά από τα ονόματα χώρου των ηλεκτρονικών διευθύνσεων των αποδεκτών, σχετίζονται σε μεγάλο βαθμό με δημοσιογράφους, είναι σε αρκετές περιπτώσεις άμεσα σχετιζόμενες με το ονοματεπώνυμό τους και είναι ορατές σε όλους τους αποδέκτες. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από το βοηθό εισηγητή, ο οποίος παρέστη χωρίς δικαίωμα ψήφου και αποχώρησε μετά από τη συζήτηση της υποθέσεως και πριν από τη διάσκεψη και τη λήψη αποφάσεως, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

1. Σύμφωνα με το άρθρο 4 στοιχ. 1 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (εφεξής ΓΚΠΔ ) δεδομένα προσωπικού χαρακτήρα είναι «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των 2 δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου». Στο πλαίσιο αυτό, η διεύθυνση ηλεκτρονικού ταχυδρομείου ενός φυσικού προσώπου αποτελεί δεδομένο προσωπικού χαρακτήρα, αφού μπορεί να λειτουργήσει ως στοιχείο έμμεσης αναγνώρισης του κατόχου της, επιτρέποντας την επικοινωνία με αυτόν, ενώ σε αρκετές περιπτώσεις φέρει ακόμα και στοιχεία του ονόματος του κατόχου ταυτοποιώντας τον άμεσα.
2. Στο άρθρο 4 στοιχ. 7 του ΓΚΠΔ, ως υπεύθυνος επεξεργασίας ορίζεται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα».
3. Στο άρθρο 5 παρ. 1 του ΓΚΠΔ ορίζονται οι Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Σε αυτές περιλαμβάνονται οι αρχές της ακρίβειας (εδαφ. δ’), σύμφωνα με την οποία τα δεδομένα πρέπει να είναι ακριβή σε σχέση με τους σκοπούς της επεξεργασίας και της ακεραιότητας και εμπιστευτικότητας (εδαφ. στ’), σύμφωνα την οποία τα δεδομένα υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων.
4. Με βάση το άρθρο 6 παρ. 1 του ΓΚΠΔ, «η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: (…) α) το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, (…) στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των 3 δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί.»
5. Στο άρθρο 32 παρ. 1 και 2 του ΓΚΠΔ ορίζεται ότι: «
6. Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων (…)
7. Κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία».
8. Όπως προκύπτει από τα στοιχεία του φακέλου της υπόθεσης, η επεξεργασία της ηλεκτρονικής διεύθυνσης της καταγγέλλουσας, η οποία υπήρξε εν μέρει αυτοματοποιημένη κατ’ αρ. 2 παρ. 1 ΓΚΠΔ, έγινε από την καταγγελλόμενη, ως υπεύθυνο επεξεργασίας, για σκοπό αποστολής δελτίου τύπου σε σχέση με πολιτική δράση μέλους της Βουλής των Ελλήνων. Από τους αποδέκτες του ηλεκτρονικού μηνύματος προκύπτει ότι αποδέκτες αυτού ήταν κυρίως δημοσιογράφοι. Η επεξεργασία στοιχείων επικοινωνίας δημοσιογράφων για το σκοπό αυτό μπορεί να είναι σύννομη, είτε με τη νομική βάση της συγκατάθεσης του υποκειμένου των δεδομένων (άρθρο 6 παρ. 1 α’ ΓΚΠΔ), είτε επί τη βάση του υπέρτερου εννόμου συμφέροντος (άρθρο 6 παρ. 1 στ’ ΓΚΠΔ). Η καταγγελλόμενη αποδέχεται ότι η αποστολή του δελτίου τύπου στη διεύθυνση ηλεκτρονικής αλληλογραφίας της καταγγέλλουσας, έγινε εκ παραδρομής, αλλά προκύπτει ότι θεωρούσε ότι η διεύθυνση αντιστοιχεί σε δημοσιογράφο. Συνεπώς στην προκειμένη περίπτωση, προκύπτει ότι η επεξεργασία της διεύθυνσης της καταγγέλλουσας βασίστηκε στο άρθρο 6 παρ. 1 στ’ ΓΚΠΔ και άρα ο ισχυρισμός της καταγγέλλουσας ότι δεν είχε παράσχει συγκατάθεση δεν ασκεί έννομη επιρροή ώστε να τεκμηριωθεί παραβίαση του άρθρου 6 παρ. 1 α’ ΓΚΠΔ.
9. Με βάση το άρθρο 32 του ΓΚΠΔ η χρήση των ηλεκτρονικών διευθύνσεων για 4 την ικανοποίηση του σκοπού της επεξεργασίας, πρέπει να γίνεται με τρόπο που εξασφαλίζει το μικρότερο δυνατό κίνδυνο σε σχέση με τα φυσικά πρόσωπα που είναι αποδέκτες των μηνυμάτων. Στην προκειμένη περίπτωση, η συμπερίληψη της διεύθυνσης ηλεκτρονικού ταχυδρομείου της καταγγέλλουσας στο πεδίο «Προς» του μηνύματος ηλεκτρονικού ταχυδρομείου κατέστησε γνωστή τη διεύθυνση αυτή σε όλους τους αποδέκτες του μηνύματος. Με δεδομένο ότι πολλές από τις διευθύνσεις παραληπτών αντιστοιχούν σε προσωπικές ηλεκτρονικές διευθύνσεις φυσικών προσώπων, οι οποίες δεν έχουν εκ του ονόματος χώρου αυτών σύνδεση με κάποιο μέσο επικοινωνίας (π.χ. του τύπου email@μέσοεπικοινωνίας.gr), ο υπεύθυνος επεξεργασίας όφειλε να αποτρέψει τον εν λόγω κίνδυνο, μέσω οργανωτικών μέτρων, όμως με την χρήση «κρυφής κοινοποίησης» ή με την αποστολή μεμονωμένων μηνυμάτων, εφόσον υπάρχει η δυνατότητα
10. Περαιτέρω, καθώς η συμπερίληψη της διεύθυνσης της καταγγέλλουσας έγινε, σύμφωνα με την καταγγελλόμενη, εκ παραδρομής, προκύπτει επίσης ότι δεν υπήρχαν τα κατάλληλα μέτρα για την διασφάλιση της αρχής της ακρίβειας (άρθρο 5 παρ. 1 δ’ ΓΚΠΔ) καθώς η καταγγελλόμενη βαρυνόταν με την υποχρέωση να έχει ελέγξει αν η διεύθυνση αντιστοιχεί σε δημοσιογράφο.
11. Η Αρχή λαμβάνει υπόψη ότι οι επιπτώσεις από την αποκάλυψη της ηλεκτρονικής διεύθυνσης της καταγγέλλουσας σε δημοσιογράφους είναι ήσσονος σημασίας, ότι η ενέργεια αυτή έχει γίνει χωρίς δόλο, καθώς ο υπεύθυνος επεξεργασίας θεωρούσε ότι η διεύθυνση αντιστοιχούσε σε δημοσιογράφο και ότι προέβη άμεσα σε ενέργεια αντιμετώπισης της παράβασης, διαγράφοντας τη διεύθυνση από τα αρχεία του αμέσως μόλις έλαβε γνώση της καταγγελίας. Βάσει των ανωτέρω, η Αρχή κρίνει ομόφωνα ότι σύμφωνα με το άρθρο 32 παρ. 1 σε συνδυασμό με το άρθρο 5 παρ. 1 στ’ του ΓΚΠΔ και το άρθρο 5 παρ. 1 δ’, συντρέχουν οι προϋποθέσεις άσκησης προς τον υπεύθυνο επεξεργασίας της διορθωτικής εξουσίας του άρθρου 58 παρ. 2 β΄ του ΓΚΠΔ, η οποία κρίνεται ανάλογη με τη βαρύτητα της παράβασης. Βλ. Guidelines 01/2021 on Examples regarding Data Breach Notification, έκδοση για δημόσια διαβούλευση, σελ. 28 και
12. 1 5 ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή απευθύνει στην Β επίπληξη για την παράβαση των άρθρων 32 παρ. 1 σε συνδυασμό με το άρθρο 5 παρ. 1 στ’ και του άρθρου 5 παρ. 1 δ’ του ΓΚΠΔ. Ο Αναπληρωτής Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 6