Επίπληξη και εντολή συμμόρφωσης στην Cosmote για παραβάσεις της αρχής της λογοδοσίας και της αρχής της διαφάνειας σε επεξεργασία βιομετρικών δεδομένων

Αθήνα, 26-10-2022 Αριθ. Πρωτ.: 2713 ΑΠΟΦΑΣΗ 57/2022 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση σε σύνθεση Τμήματος στην έδρα της την 28/07/2022, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Στη συνεδρίαση μετείχε μέσω τηλεδιάσκεψης ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής, Κωνσταντίνου Μενουδάκου, και παρέστη ο Κωνσταντίνος Λαμπρινουδάκης, τακτικό μέλος, ως εισηγητής, ο Δημοσθένης Βουγιούκας, αναπληρωματικό μέλος, και η Μαρία Ψάλλα, αναπληρωματικό μέλος σε αντικατάσταση του τακτικού μέλους Γρηγόριου Τσόλια, ο οποίος δεν παρέστη λόγω κωλύματος αν και κλήθηκε νομίμως εγγράφως. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου χωρίς δικαίωμα ψήφου, η Χάρις Συμεωνίδου και η Γεωργία Παναγοπούλου, ειδικές επιστήμονες – ελέγκτριες ως βοηθοί εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. H Αρχή έλαβε υπόψη τα παρακάτω: Με τη με αριθ. πρωτ. Γ/ΕΙΣ/4872/21-07-2022 καταγγελία της, η Α καταγγέλλει παράνομη και αδιαφανή συλλογή προσωπικών δεδομένων (φωτογραφίας προσώπου) από την εταιρεία Cosmote. Ειδικότερα, σύμφωνα με την ως άνω σχετική καταγγελία, κατά την επικοινωνία της καταγγέλλουσας με την καταγγελλόμενη εταιρεία, προς το σκοπό της σύναψης συμβολαίου, της προτάθηκε η επιλογή καταχώρησης των στοιχείων της Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr μέσω της ηλεκτρονικής διεύθυνσης https://onboarding.cosmote.gr/ έτσι ώστε να είναι πιο εύκολη και σύντομη η διαδικασία πιστοποίησής της ως νέου πελάτη. Σύμφωνα με την καταγγέλλουσα, της ζητήθηκε να φωτογραφίσει το πρόσωπό της επιτόπου, ώστε να καταχωρηθεί η φωτογραφία της, χωρίς να της έχει δοθεί προηγουμένως η δυνατότητα να ενημερωθεί για τη σχετική επεξεργασία. Η καταγγέλλουσα αναφέρει ότι αρνήθηκε να προχωρήσει στη σχετική διαδικασία και ζήτησε να αποστείλει φωτοαντίγραφο της ταυτότητάς της, ενώ ακολούθως ανέτρεξε στο κείμενο «ΕΝΗΜΕΡΩΣΗ ΑΝΑΦΟΡΙΚΑ ΜΕ ΤΗΝ ΕΠΕΞΕΡΓΑΣΙΑ ΤΩΝ ΠΡΟΣΩΠΙΚΩΝ ΣΑΣ ΔΕΔΟΜΕΝΩΝ ΜΕΣΩ ΤΗΣ ΙΣΤΟΣΕΛΙΔΑΣ (https://onboarding.cosmote.gr)», το οποίο επισυνάπτει στην καταγγελία της, στο οποίο ωστόσο δεν αναφέρεται η φωτογραφία προσώπου στα είδη δεδομένων που συλλέγει και επεξεργάζεται η Cosmote, ούτε και ο σκοπός της σχετικής επεξεργασίας. Στην καταγγελία επισυνάπτεται αποτύπωση στιγμιοτύπου οθόνης κινητής συσκευής (screenshot) από την εν λόγω διεύθυνση, όπου απεικονίζονται οι εξής οδηγίες προς τον χρήστη για τη λήψη φωτογραφίας του εαυτού του: «(…) τοποθέτησε το πρόσωπό σου στο κέντρο της οθόνης του κινητού σε απόσταση 25-30 εκ. χωρίς γυαλιά, κράτησε σταθερή την κάμερα και βγάλε φωτογραφία (selfie)». Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, με το με αριθ. πρωτ. Γ/ΕΞΕ/2190/01-10-2021 έγγραφό της, κάλεσε την καταγγελλόμενη εταιρεία να εκθέσει τις απόψεις της επί των καταγγελλομένων εντός 15 ημερών. Στην απάντησή της η Cosmote κλήθηκε να διευκρινίσει ιδίως: α) εάν έχει συλλέξει δεδομένα εικόνας του προσώπου πελατών της με την ως άνω περιγραφόμενη διαδικασία, μέσω της διεύθυνσης (https://onboarding.cosmote.gr/) και πόσα υποκείμενα αφορά η εν λόγω επεξεργασία, β) ποιος είναι ο σκοπός και η νομική βάση της ως άνω περιγραφόμενης επεξεργασίας προσωπικών δεδομένων και με ποιο τρόπο ενημερώνονται τα υποκείμενα για τη συγκεκριμένη επεξεργασία, σύμφωνα με το άρθρο 13 ΓΚΠΔ, γ) εάν γίνεται χρήση τεχνικών αναγνώρισης προσώπου να περιγραφούν οι τεχνικές αυτές και τυχόν εκτελούντες την επεξεργασία. Με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/7613/19-11-2021 απαντητικό της έγγραφο, η καταγγελλόμενη απάντησε στην Αρχή ότι πράγματι, κατά την επικοινωνία της καταγγέλλουσας με τον ΟΤΕ με σκοπό την σύναψη συμβολαίου, της προτάθηκε η επιλογή της ταυτοποίησης και αποστολής των απαραίτητων δικαιολογητικών εγγράφων μέσω της πλατφόρμας https://onboarding.cosmote.gr και μέσω της ακόλουθης διαδικασίας (“digital on-boarding”): α) αποστολή μέσω sms μοναδικού κωδικού αριθμού PIN για την πρόσβαση του υποψήφιου συνδρομητή στην digital onboarding, β) άνοιγμα του υπερσυνδέσμου του https://onboarding.cosmote.gr με εισαγωγή του PIN από τον υποψήφιο πελάτη, γ) εμφάνιση κειμένου αναφορικά με την επιλογή του υποψήφιου συνδρομητή να συναινέσει στην λήψη της φωτογραφίας του (selfie) και στην αποστολή των απαραίτητων εγγράφων με σκοπό την εξακρίβωση και επαλήθευση της ταυτότητας του, δ) εφόσον δηλώσει τη συναίνεσή του, λήψη φωτογραφίας, ε) αποστολή δικαιολογητικών, στ) ανάγνωση, αποθήκευση και ψηφιακή υπογραφή της αίτησης, ζ) έλεγχος ταυτότητας και δικαιολογητικών. Αναφορικά με τη χρήση της φωτογραφίας του υποψήφιου συνδρομητή με σκοπό την ταυτοποίησή του, η καταγγελλόμενη σημειώνει ότι παρεμβάλλεται ξεχωριστή οθόνη (επισυνάπτεται ως ΣΥΝ.1) με την οποία ο χρήστης ενημερώνεται για το σκοπό επεξεργασίας των ανωτέρω δεδομένων, ο οποίος είναι η εξακρίβωση και επαλήθευση της ταυτότητας και ζητείται η συναίνεσή του με μη προεπιλεγμένο check-box. Κατά την καταγγελλόμενη, το ενημερωτικό κείμενο που συνοδεύει την επιλογή της συναίνεσης («κείμενο συγκατάθεσης») δίνει στον υποψήφιο συνδρομητή με συνοπτικό τρόπο τις απαραίτητες πληροφορίες. Σημειώνεται ότι, σύμφωνα με την εικόνα που προσκομίζεται, δίπλα στο check-box αναφέρονται τα εξής: «Η φωτογραφία θα χρησιμοποιηθεί για την εξακρίβωση και επαλήθευση της ταυτότητας. Περισσότερες πληροφορίες εδώ. Ενημερώθηκα και συναινώ στη χρήση των βιομετρικών δεδομένων μου, που αφορούν στην εικόνα του προσώπου μου με σκοπό την εξακρίβωση και επαλήθευση της ταυτότητας μου». Σύμφωνα με την καταγγελλόμενη, στο σημείο αυτό ο υποψήφιος συνδρομητής οδηγείται σε αναλυτικότερο κείμενο αναφορικά με την χρήση δεδομένων, που προκύπτουν από την λήψη της φωτογραφίας σε πραγματικό χρόνο (το οποίο επισυνάπτεται ως ΣΥΝ.2). Στο κείμενο αυτό, στο οποίο εμφανίζονται τόσο η Cosmote όσο και ο ΟΤΕ ως υπεύθυνοι επεξεργασίας, αναφέρεται ότι «εάν δεν συναινέσετε στην επεξεργασία των βιομετρικών σας δεδομένων σύμφωνα με την παρούσα παράγραφο δεν θα είναι εφικτή η ολοκλήρωση της συναλλαγής μας ηλεκτρονικά και θα πρέπει να απευθυνθείτε σε κάποιο άλλο κανάλι του Ομίλου ΟΤΕ (π.χ. κατάστημα) προσκομίζοντας τα κατάλληλα δικαιολογητικά», καθώς, επίσης, ότι «Εάν παρόλα αυτά αλλάξετε γνώμη πριν την ολοκλήρωση της αίτησής σας, μπορούμε να διακόψουμε την όλη διαδικασία και να σας υποδείξουμε τους εναλλακτικούς τρόπους ολοκλήρωσης του αιτήματός σας». Κατά την απάντηση αυτή, ο ΟΤΕ διατηρεί στο αρχείο του ως αποδεικτικό ταυτοποίησης μόνο το αποτέλεσμα της επεξεργασίας και όχι την ίδια την φωτογραφία ή το βίντεο, από το οποίο προέκυψε η ταυτοποίηση. Σύμφωνα με την καταγγελλόμενη, για να πατήσει ο χρήστης το κουμπί «Συνέχεια» και να προχωρήσει στα επόμενα βήματα, τα οποία είναι η λήψη φωτογραφίας (selfie) και αποστολή των εγγράφων ταυτοποίησης, είναι απαραίτητη η λήψη συναίνεσης και η επιλογή του σχετικού check-box. Εν προκειμένω, κατά την απάντηση της καταγγελλόμενης, η καταγγέλλουσα Α έδωσε τη συναίνεσή της σύμφωνα με τα ανωτέρω, το αποδεικτικό της οποίας επισυνάπτεται (ως ΣΥΝ.3), ωστόσο επέλεξε στην πορεία να διακόψει τη διαδικασία. Αναφορικά με τα ειδικότερα ερωτήματα της Αρχής, ο ΟΤΕ απάντησε ότι έχει ταυτοποιήσει συνολικά 1.532 συνδρομητές μέσω της προαναφερόμενης διαδικασίας digital onboarding. Σκοπός της ανωτέρω περιγραφόμενης επεξεργασίας είναι η ηλεκτρονική ταυτοποίηση των υποψήφιων συνδρομητών, νομική βάση είναι η συναίνεση των υποκειμένων, ενώ τα υποκείμενα των δεδομένων ενημερώνονται μέσω του συνοπτικού κειμένου της συναίνεσης στο σχετικό check-box (ΣΥΝ.1), καθώς και αναλυτικότερα μέσω του κειμένου που είναι διαθέσιμο στον υπερσύνδεσμο (ΣΥΝ.2). Τα εν λόγω κείμενα αποτελούν ειδικότερες ενημερώσεις αναφορικά με την επεξεργασία βιομετρικών δεδομένων των υποψήφιων συνδρομητών με σκοπό την συναίνεσή τους και εν τέλει την ασφαλή εξ αποστάσεως ταυτοποίησή τους. Για τη διαδικασία της ηλεκτρονικής ταυτοποίησης, γίνεται χρήση βιομετρικών δεδομένων, που προκύπτουν από την λήψη φωτογραφίας σε πραγματικό χρόνο (real time selfie) και χαρακτηριστικών προσώπου με σκοπό την επιβεβαίωση της αυθεντικότητας της φωτογραφίας και την ταυτοποίηση του φυσικού προσώπου. Η χρήση της φωτογραφίας σε πραγματικό χρόνο παρέχει τη δυνατότητα να επαληθεύεται εάν το πρόσωπο που αιτείται μια συναλλαγή είναι όντως το ίδιο με το πρόσωπο που εμφανίζεται στο προσκομιζόμενο έγγραφο ταυτοποίησης (δελτίο αστυνομικής ταυτότητας ή διαβατήριο κτλ) παρέχοντας ασφάλεια στις συναλλαγές της. Ειδικότερα, κατά την εταιρεία, για την ηλεκτρονική ταυτοποίηση ακολουθείται η παρακάτω διαδικασία: • Λήψη Στιγμιότυπου Προσώπου του ταυτοποιούμενου χρήστη (selfie) • Λήψη εγγράφου ταυτοποίησης • Επιβεβαίωση ταυτοποίησης του Στιγμιότυπου Προσώπου χρήστη (selfie) με το πρόσωπο που απεικονίζεται στο έγγραφο ταυτοποίησης • Επαλήθευση ότι το έγγραφο ταυτοποίησης ανήκει στα αποδεκτά κι έγκυρα έγγραφα ταυτοποίησης • Έλεγχος αυθεντικότητας με χρήση τεχνολογιών, όπως η επεξεργασία εικόνας (image processing), ανίχνευση οπτικών χαρακτηριστικών (visual characteristics detection), αντιστοίχιση εικόνας τύπου εγγράφου (document type image matching), επαλήθευση του εγγράφου ταυτοποίησης (ID verification). Η εν λόγω διαδικασία περιγράφεται σε σχετική παρουσίαση, την οποία επισυνάπτει η καταγγελλόμενη (ΣΥΝ.4) και, όπως αναφέρει, υλοποιήθηκε για λογαριασμό των εταιρειών ΟΤΕ και COSMOTE από την εταιρεία IntelliSolutions Information Services S.A, η οποία εδρεύει στην Καλλιθέα και αποτελεί την Εκτελούσα την Επεξεργασία για λογαριασμό των δύο εταιρειών. Τέλος, η καταγγελλόμενη αναφέρει ότι στο (γενικό) ενημερωτικό κείμενο που αφορά την επεξεργασία προσωπικών δεδομένων κατά την χρήση της ιστοσελίδας https://onboarding.cosmote.gr (privacy notice) και το οποίο επισύναψε η Α στην καταγγελία της, προστέθηκε (μετά την κοινοποίηση της καταγγελίας στην εταιρεία) η ειδικότερη ενημέρωση που αφορά την διαδικασία λήψης συναίνεσης για την επεξεργασία των βιομετρικών δεδομένων (η οποία επισυνάπτεται ως ΣΥΝ.5). Ακολούθως, η Αρχή με τις υπ’ αριθ. πρωτ. Γ/ΕΞΕ/809/30-03-2022 και Γ/ΕΞΕ/810/30-3-2022 κλήσεις της κάλεσε τα εμπλεκόμενα μέρη σε ακρόαση ενώπιον του Τμήματος της Αρχής μέσω τηλεδιάσκεψης στις 6/4/2022, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση. Επειδή η καταγγελλόμενη αρχικά δεν προσκόμισε οποιαδήποτε σύμβαση μεταξύ της Cosmote ή του ΟΤΕ και της ως άνω εταιρείας IntelliSolutions Information Services S.A, την οποία χαρακτηρίζει ως εκτελούσα την επεξεργασία, με την υπ’ αρ. πρωτ. Γ/ΕΞΕ/809/30-03-2022 Κλήση ζητήθηκε από την κληθείσα εταιρεία να προσκομίσει πριν την ακρόαση τα έγγραφα που είναι απαραίτητα για την τεκμηρίωση της νομιμότητας με βάση την αρχή της λογοδοσίας (σύμβαση κατά το άρθρο 28 παρ. 3 ΓΚΠΔ, ΕΑΠΔ κατά το άρθρο 35 ΓΚΠΔ, αρχείο δραστηριοτήτων κατά το άρθρο 30 ΓΚΠΔ κλπ). Κατά τη συνεδρίαση της 6/4/2022 η καταγγελλόμενη αιτήθηκε την αναβολή της συζήτησης, αίτημα που έγινε δεκτό και η συζήτηση αναβλήθηκε για τις 11/5/2022, με την υποχρέωση να προσκομίσει τα ανωτέρω ζητηθέντα έγγραφα μέχρι την 12/4/

1. Με το Γ/ΕΙΣ/6066/15-04-2022 έγγραφό της, η καταγγελλόμενη απέστειλε στην Αρχή τα εξής έγγραφα: 1) Απόσπασμα του αρχείου δραστηριοτήτων (ΣΥΝ.1) 2) Μελέτη Εκτίμησης Αντικτύπου, η οποία αποτελείται από τα εξής αρχεία: a. Ερωτηματολόγιο κατηγοριοποίησης του Συστήματος ως προς την ασφάλεια και την προστασία δεδομένων (ΣΥΝ.2). b. Ερωτηματολόγιο αρχικής αξιολόγησης θεμάτων προστασίας δεδομένων (Initial Consultation Guide), το οποίο απαντάται κατά τη φάση του σχεδιασμού αλλαγών σε πληροφοριακά συστήματα (ΣΥΝ.3). c. Τεκμηρίωση ασφάλειας και προστασίας δεδομένων του συστήματος (ΣΥΝ.4). d. Συμμόρφωση (Statement of Compliance) του Συστήματος (ΣΥΝ.5) με τις απαιτήσεις και τα μέτρα προστασίας δεδομένων και ασφάλειας. 3) Σύμβαση ανάθεσης επεξεργασίας προσωπικών δεδομένων με τον Εκτελούντα την Επεξεργασία (ΣΥΝ. 7) Κατά τη συνεδρίαση της 11/5/2022 παρέστησαν μέσω τηλεδιάσκεψης η καταγγέλλουσα Α και για λογαριασμό της καταγγελλόμενης εταιρείας, η Β, Customer onboarding digital Transformation Manager, η Ελένη Γερούτση, πληρεξούσια δικηγόρος (…) και η Γ, Υπεύθυνη Προστασίας Δεδομένων του Ομίλου ΟΤΕ. Κατά την ακρόαση τα μέρη ανέπτυξαν τις απόψεις τους, έλαβαν προθεσμία και κατέθεσαν εμπρόθεσμα, η μεν εταιρεία ΟΤΕ ΑΕ το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/7733/06-06-2022 υπόμνημα, η δε καταγγέλλουσα το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/7749/06-06-2022 υπόμνημα. Η καταγγέλλουσα τόσο κατά την ακρόαση όσο και με το υπόμνημά της υποστήριξε ότι δεν έλαβε επαρκή και αναλυτική ενημέρωση πριν προχωρήσει στο στάδιο της φωτογράφισης του προσώπου της, στο οποίο και διέκοψε τη διαδικασία, καθώς και ότι αν πράγματι είχε προχωρήσει σε φωτογράφιση του προσώπου της έχοντας διαβάσει «παραπλανόμενη», όπως αναφέρει, τους ελλιπείς όρους διαχείρισης προσωπικών δεδομένων της καταγγελλόμενης, θα είχε υποβάλει μήνυση, διότι, όπως υποστηρίζει, δεν έλαβε διάφανη και ξεκάθαρη ενημέρωση για τη συλλογή και επεξεργασία των προσωπικών της δεδομένων σε ένα πλήρες κείμενο και όχι «αποσπασματικά σε διάφορους υπερσυνδέσμους που συμπληρώνουν ο ένας τον άλλον όπως έγινε στην προκειμένη περίπτωση». Επιπλέον, η καταγγέλλουσα ανέφερε ότι, παρότι η καταγγελλόμενη δήλωσε ότι διατηρεί μόνο το αποτέλεσμα της ταυτοποίησης του συναλλασσόμενου προσώπου, δεν διατυπώνεται πουθενά σαφώς ότι η τρίτη συνεργαζόμενη εταιρεία IntelliSolutions δεν αποθηκεύει / διαχειρίζεται / διαμοιράζεται ή πωλεί το αποτέλεσμα της επεξεργασίας που περιλαμβάνει αναγνώριση των χαρακτηριστικών του προσώπου που είναι μοναδικά για κάθε άτομο όπως τα δακτυλικά αποτυπώματα, δηλαδή τα βιομετρικά δεδομένα των συνδρομητών. Η καταγγελλόμενη τόσο κατά την ακρόαση όσο και με το υπόμνημά της δήλωσε κατ’ αρχάς ότι υπεύθυνη για την καταγγελλόμενη επεξεργασία είναι η εταιρεία ΟΤΕ ΑΕ, διότι η καταγγελία αφορά αίτημα φορητότητας γραμμής σταθερής τηλεφωνίας μέσω της διαδικασίας digital onboarding και για το λόγο αυτό η εταιρεία ΟΤΕ ΑΕ (στο εξής «εταιρεία») παρείχε τις υπ’ αρ. πρωτ. Γ/ΕΙΣ/7613/19-11-2021 και Γ/ΕΙΣ/6066/1504-2022 απόψεις της και υπέβαλε το Γ/ΕΙΣ/7733/06-06-2022 υπόμνημα. Σύμφωνα με όσα αναφέρει η εταιρεία, στην προσπάθεια εκσυγχρονισμού και βελτίωσης των υπηρεσιών της αποφάσισε να λανσάρει τον Ιούνιο 2020 τη δυνατότητα “Digital onboarding”, η οποία αφορά την εξ αποστάσεως ηλεκτρονική ταυτοποίηση των υποψήφιων συνδρομητών της με σύγχρονο και ασφαλή τρόπο και με χρήση τεχνολογίας Τεχνητής Νοημοσύνης (Artificial Intelligence – AI) και ανάλυση βιομετρικών δεδομένων, η οποία προς το παρόν είναι διαθέσιμη στη σταθερή τηλεφωνία και μόνο για την εξυπηρέτηση αιτημάτων φορητότητας. Όπως ανέφεραν οι εκπρόσωποι της εταιρείας, πρόκειται για μια ψηφιακή διαδικασία που στοχεύει στη συντομότερη ικανοποίηση του αιτήματος ενός συνδρομητή να μεταφέρει τη σύνδεσή του στον ΟΤΕ, κατόπιν τηλεφωνικής επικοινωνίας. Ειδικότερα, πριν υιοθετηθεί η εν λόγω διαδικασία, έπειτα από την τηλεφωνική αίτηση φορητότητας σταθερού, έπρεπε να σταλεί με courier στην εταιρεία ένας φάκελος με τα δικαιολογητικά (έγγραφο ταυτοποίησης και υπογεγραμμένη σύμβαση), ενώ με τον τρόπο αυτό τα έγγραφα υποβάλλονται εξ ολοκλήρου ηλεκτρονικά, ώστε να μη χάνεται χρόνος. Η χρήση βιομετρικών μεθόδων χρησιμοποιείται για να συγκριθεί αυτοματοποιημένα η φωτογραφία του αιτούντος σε πραγματικό χρόνο (selfie) με τη φωτογραφία του εγγράφου ταυτοποίησης, ενώ διατηρείται μόνο το αποτέλεσμα της σύγκρισης και όχι η φωτογραφία του αιτούντος. Η εταιρεία υποστηρίζει ότι κατά τον σχεδιασμό της δυνατότητας ταυτοποίησης μέσω του digital onboarding, αναγνώρισε την ανάγκη εκπόνησης Μελέτης Εκτίμησης Αντικτύπου σχετικά με την προστασία προσωπικών δεδομένων κατά το άρθρο 35 παρ. 1 ΓΚΠΔ, την οποία και προσκόμισε με το Γ/ΕΙΣ/6066/15-04-2022 έγγραφό της, ενώ προς το σκοπό της ενημέρωσης των υποκειμένων αναρτήθηκε αναλυτικό κείμενο ενημέρωσης αναφορικά με την επεξεργασία προσωπικών δεδομένων μέσω της πλατφόρμας https://onboarding.cosmote.gr, καθώς και κείμενο ενημέρωσης και συγκατάθεσης αναφορικά με τη χρήση βιομετρικών δεδομένων, τα οποία επισυνάφθηκαν στο Γ/ΕΙΣ/7613/19-11-2021 έγγραφο απόψεών της. Η εταιρεία περιγράφει τη διαδικασία ηλεκτρονικής ταυτοποίησης, αποστολής δικαιολογητικών και υπογραφής των απαραίτητων εγγράφων στο πλαίσιο εξυπηρέτησης αιτήματος φορητότητας μέσω του digital onboarding, η οποία περιλαμβάνει την αποστολή κωδικού PIN μέσω sms τον οποίο ο συνδρομητής συμπληρώνει στη σελίδα onboarding.cosmote.gr όπου και εμφανίζεται υπερσύνδεσμος (link) με τίτλο «Προστασία Δεδομένων» που οδηγεί στο ενημερωτικό κείμενο για την επεξεργασία προσωπικών δεδομένων μέσω της εν λόγω πλατφόρμας. Ακολούθως, μετά τη συμπλήρωση του κωδικού, εμφανίζεται στην οθόνη το μήνυμα «Καλώς ήρθες στην Ψηφιακή Διαχείριση Εγγράφων», και αναφέρονται τα εξής: «Για την ολοκλήρωση του αιτήματός σου θα χρειαστεί σε επόμενα βήματα να ακολουθήσεις την παρακάτω διαδικασία: - Ενέργειες λήψης και αποστολής φωτογραφίας (selfie) - Ενέργειες αποστολής εγγράφων (π.χ. αποδεικτικό ταυτοπροσωπίας). Η φωτογραφία θα χρησιμοποιηθεί για την εξακρίβωση και επαλήθευση της ταυτότητας. Περισσότερες πληροφορίες εδώ. □ Ενημερώθηκα και συναινώ στη χρήση των βιομετρικών δεδομένων μου, που αφορούν στην εικόνα του προσώπου μου, με σκοπό την εξακρίβωση και επαλήθευση της ταυτότητάς μου.» Σύμφωνα με την εταιρεία, ο συνδρομητής καλείται να ενημερωθεί για την επεξεργασία των βιομετρικών δεδομένων του μέσω του κειμένου που είναι διαθέσιμο μέσω υπερσυνδέσμου (link) πατώντας στη λέξη «εδώ»). Αναφέρει, ωστόσο, ότι μετά την υποβολή της υπό κρίση καταγγελίας, διαπίστωσε ότι δεν είχε γίνει πλήρως κατανοητό από την καταγγέλλουσα ότι υπήρχαν δύο κείμενα ενημέρωσης, δηλαδή α) ένα κείμενο ενημέρωσης για την επεξεργασία προσωπικών δεδομένων αναφορικά με όλη τη διαδικασία μέσω της ιστοσελίδας digital onboarding και β) ένα κείμενο συγκατάθεσης αναφορικά με τη χρήση ειδικά των βιομετρικών δεδομένων. Για το λόγο αυτό, η εταιρεία δηλώνει ότι προχώρησε σε αλλαγές στο κείμενο της (γενικής) ενημέρωσης (επισυναπτόμενο ως Συν. 5 στο Γ/ΕΙΣ/7613/19-112021 έγγραφό της), ώστε να περιέχει ρητή παραπομπή στο κείμενο της συγκατάθεσης. Στο κείμενο αυτό αναφέρεται, μεταξύ άλλων, ότι «με τη χρήση της φωτογραφίας σε πραγματικό χρόνο παρέχεται η δυνατότητα μέσω τεχνολογιών όπως η εκμάθηση μηχανής (machine learning), η τεχνητή νοημοσύνη (ΑΙ) και τα βιομετρικά στοιχεία (biometrics), σε συνδυασμό με την ανθρώπινη κριτική να επαληθευτεί εάν το πρόσωπο που αιτείται μια συναλλαγή είναι όντως το ίδιο με το πρόσωπο που εμφανίζεται στο προσκομιζόμενο έγγραφο ταυτοποίησης (δελτίο αστυνομικής ταυτότητας ή διαβατήριο κτλ) παρέχοντας ασφάλεια στις συναλλαγές μας. […] Για την επιβεβαίωση των ελέγχων του αποτελέσματος με χρήση των παραπάνω τεχνολογιών, η COSMOTE και/ή ο ΟΤΕ δύναται επιπρόσθετα να αξιοποιήσει εξειδικευμένο εκπρόσωπο για τον έλεγχο των στοιχείων της ψηφιακής ανάλυσης και την τελική ταυτοποίηση». Όπως, όμως, εξήγησαν οι εκπρόσωποι της εταιρείας κατά την ακρόαση, η ανθρώπινη παρέμβαση αναφέρεται μόνο στον έλεγχο των εγγράφων ταυτοποίησης και λοιπών εγγράφων που επισυνάπτονται στην αίτηση και όχι στη διαδικασία αντιστοίχισης του προσώπου που απεικονίζεται στη φωτογραφία (selfie) με το πρόσωπο που εμφανίζεται στο έγγραφο ταυτοποίησης, η οποία (αντιστοίχιση) λαμβάνει χώρα εξ ολοκλήρου αυτοματοποιημένα, με χρήση τεχνολογίας τεχνητής νοημοσύνης. Σύμφωνα με την εταιρεία, η διαδικασία δεν μπορεί να προχωρήσει αν ο χρήστης δεν επιλέξει («τικάρει») το εικονίδιο με το οποίο δηλώνει τη συγκατάθεσή του στην επεξεργασία των βιομετρικών του δεδομένων. Σε περίπτωση δε που η ηλεκτρονική διαδικασία διακοπεί, στον συνδρομητή υποδεικνύονται εναλλακτικοί τρόποι ολοκλήρωσης του αιτήματός του, όπως έγινε στην περίπτωση της καταγγέλλουσας. Περαιτέρω, η εταιρεία υποστηρίζει ότι διατηρεί στο αρχείο της ως αποδεικτικό ταυτοποίησης μόνο το αποτέλεσμα της επεξεργασίας, αν δηλαδή τελικά ο υποψήφιος συνδρομητής ταυτοποιήθηκε ή όχι, και όχι την ίδια τη φωτογραφία από την οποία προέκυψε η ταυτοποίηση, αναφέροντας ταυτόχρονα ότι «η φωτογραφία διαγράφεται χωρίς δυνατότητα επανάκτησης μετά από 30 ημέρες από την υποβολή του αιτήματος» (σελ. 11 υπομνήματος). Επιπλέον υποστηρίζει ότι η ενημέρωση του συνδρομητή ήταν «εξ αρχής πλήρης και εύκολα προσβάσιμη για τον συνδρομητή, δεδομένου ότι κατά το πρώτο στάδιο της διαδικασίας υπήρχε σε εμφανές σημείο link με την ένδειξη Προστασία Δεδομένων, μέσω του οποίου ο υποψήφιος συνδρομητής μπορούσε να αποκτήσει εύκολη πρόσβαση στο σύνολο των πληροφοριών», ενώ αμέσως μετά επισημαίνει ότι «αναφορικά με την επεξεργασία βιομετρικών δεδομένων, το σχετικό πεδίο μέσω του οποίου ζητείτο η συγκατάθεση του συνδρομητή, περιείχε υπερσύνδεσμο («Περισσότερες πληροφορίες εδώ»), μέσω του οποίου ο υποψήφιος συνδρομητής οδηγείται σε αναλυτικό κείμενο ενημέρωσης αναφορικά με την επεξεργασία βιομετρικών του δεδομένων με σκοπό την παροχή ελεύθερης και εν πλήρη επιγνώσει συγκατάθεσης, […] με αφορμή την καταγγελία της Α προστέθηκε από 19/11/2021 και στο κείμενο ενημέρωσης αναφορικά με την επεξεργασία προσωπικών δεδομένων μέσω της ιστοσελίδας (https://onboarding.cosmote.gr), παράγραφος αναφορικά με την επεξεργασία βιομετρικών δεδομένων». Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τις βοηθούς εισηγητή, οι οποίες παρέστησαν χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
2. Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας της Α και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/
4. Σύμφωνα με το άρθρο 5 παρ. 1 α) ΓΚΠΔ «
5. Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»). Επιπλέον, σύμφωνα με τη θεμελιώδη αρχή της λογοδοσίας (άρ. 5 παρ. 2 ΓΚΠΔ) ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο
7. Ως «βιομετρικά δεδομένα», ορίζονται από το άρθρο 4 αρ. 14 ΓΚΠΔ, τα «δεδομένα προσωπικού χαρακτήρα τα οποία προκύπτουν από ειδική τεχνική επεξεργασία συνδεόμενη με φυσικά, βιολογικά ή συμπεριφορικά χαρακτηριστικά φυσικού προσώπου και τα οποία επιτρέπουν ή επιβεβαιώνουν την αδιαμφισβήτητη ταυτοποίηση του εν λόγω φυσικού προσώπου, όπως εικόνες προσώπου ή δακτυλοσκοπικά δεδομένα». Ως βιομετρικές μέθοδοι νοούνται οι τεχνικές πιστοποίησης της ταυτότητας των φυσικών προσώπων μέσω ανάλυσης σταθερών χαρακτηριστικών τους. Οι βιομετρικές μέθοδοι μπορούν να ταξινομηθούν σε δύο κατηγορίες: i. στις τεχνικές που στηρίζονται στην ανάλυση φυσικών ή γενετικών χαρακτηριστικών (όπως δακτυλικών αποτυπωμάτων, γεωμετρίας της παλάμης, ανάλυσης της κόρης του ματιού, των χαρακτηριστικών του προσώπου, του DNA) και ii. στις τεχνικές που στηρίζονται στην ανάλυση συμπεριφοράς (όπως υπογραφής, φωνής, τρόπου πληκτρολόγησης). Τα βιομετρικά δεδομένα εντάσσονται στις ειδικές κατηγορίες προσωπικών δεδομένων, τα οποία κατ’ αρχήν απαγορεύεται να υπόκεινται σε επεξεργασία, σύμφωνα με το άρθρο 9 παρ. 1 ΓΚΠΔ. Η παρ. 2 του ιδίου άρθρου προβλέπει τις εξαιρέσεις από την ως άνω απαγόρευση (παρέχοντας έτσι τις επιτρεπόμενες νομικές βάσεις για την επεξεργασία ειδικών κατηγοριών δεδομένων), πρώτη εκ των οποίων είναι η ρητή συγκατάθεση του υποκειμένου: «Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις: α) το υποκείμενο των δεδομένων έχει παράσχει ρητή συγκατάθεση για την επεξεργασία αυτών των δεδομένων προσωπικού χαρακτήρα για έναν ή περισσότερους συγκεκριμένους σκοπούς, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους προβλέπει ότι η απαγόρευση που αναφέρεται στην παράγραφο 1 δεν μπορεί να αρθεί από το υποκείμενο των δεδομένων, […]».
8. Μια έγκυρη συγκατάθεση κατά τον ΓΚΠΔ πρέπει να πληροί αφ’ ενός μεν τις προϋποθέσεις του ορισμού της έννοιας της συγκατάθεσης (άρθρο 4 άρ. 11 ΓΚΠΔ) αφ’ ετέρου δε τους πρόσθετους όρους του άρθρου 7 ΓΚΠΔ, σύμφωνα με το οποίο: «
9. Όταν η επεξεργασία βασίζεται σε συγκατάθεση, ο υπεύθυνος επεξεργασίας είναι σε θέση να αποδείξει ότι το υποκείμενο των δεδομένων συγκατατέθηκε για την επεξεργασία των δεδομένων του προσωπικού χαρακτήρα. […]
10. Το υποκείμενο των δεδομένων έχει δικαίωμα να ανακαλέσει τη συγκατάθεσή του ανά πάσα στιγμή. Η ανάκληση της συγκατάθεσης δεν θίγει τη νομιμότητα της επεξεργασίας που βασίστηκε στη συγκατάθεση προ της ανάκλησής της. Πριν την παροχή της συγκατάθεσης, το υποκείμενο των δεδομένων ενημερώνεται σχετικά. Η ανάκληση της συγκατάθεσης είναι εξίσου εύκολη με την παροχή της. […]».
11. Περαιτέρω, προς διασφάλιση της αρχής της διαφάνειας της επεξεργασίας, το άρθρο 12 παρ. 1 ΓΚΠΔ ορίζει ότι: «Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 και του άρθρου 34 σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, ιδίως όταν πρόκειται για πληροφορία απευθυνόμενη ειδικά σε παιδιά.». Οι υποχρεωτικά παρεχόμενες πληροφορίες προβλέπονται στο άρθρο 13 ΓΚΠΔ για την περίπτωση που τα δεδομένα συλλέγονται από το υποκείμενο και στο άρθρο 14 ΓΚΠΔ για την περίπτωση που τα δεδομένα δεν έχουν συλλεγεί από το υποκείμενο. Οι πληροφορίες, σύμφωνα με το ίδιο άρθρο, παρέχονται κατά τη συλλογή των δεδομένων.
12. Σύμφωνα με το άρθρο 28 ΓΚΠΔ, «Όταν η επεξεργασία πρόκειται να διενεργηθεί για λογαριασμό υπευθύνου επεξεργασίας, ο υπεύθυνος επεξεργασίας χρησιμοποιεί μόνο εκτελούντες την επεξεργασία που παρέχουν επαρκείς διαβεβαιώσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων, κατά τρόπο ώστε η επεξεργασία να πληροί τις απαιτήσεις του παρόντος κανονισμού και να διασφαλίζεται η προστασία των δικαιωμάτων του υποκειμένου των δεδομένων», στη δε παρ. 3 του ιδίου άρθρου προβλέπεται το ελάχιστο περιεχόμενο της σύμβασης ή άλλης νομικής πράξης, η οποία πρέπει να δεσμεύει τον εκτελούντα την επεξεργασία σε σχέση με τον υπεύθυνο επεξεργασίας. Σύμφωνα με τις Κατευθυντήριες γραμμές 07/2020 του ΕΣΠΔ σχετικά με τις έννοιες του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία στον ΓΚΠΔ, ο υπεύθυνος επεξεργασίας καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας, ήτοι τον λόγο και τον τρόπο της επεξεργασίας. Ο υπεύθυνος επεξεργασίας πρέπει να λαμβάνει τις αποφάσεις που αφορούν τόσο τους σκοπούς όσο και τα μέσα. Ωστόσο, οι αποφάσεις που αφορούν ορισμένες πιο πρακτικές πτυχές της εφαρμογής («μέσα επουσιώδους σημασίας») είναι δυνατόν να λαμβάνονται από τον εκτελούντα την επεξεργασία. Ο υπεύθυνος επεξεργασίας δεν είναι αναγκαίο να έχει πράγματι πρόσβαση στα δεδομένα που υποβάλλονται σε επεξεργασία για να θεωρηθεί υπεύθυνος επεξεργασίας. Ο εκτελών την επεξεργασία είναι το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου επεξεργασίας. Για την αναγνώριση κάποιου φορέα ως εκτελούντος την επεξεργασία ισχύουν δύο βασικές προϋποθέσεις: ότι είναι χωριστή οντότητα σε σχέση με τον υπεύθυνο επεξεργασίας και ότι επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου επεξεργασίας. Ο εκτελών την επεξεργασία δεν πρέπει να επεξεργάζεται τα δεδομένα με άλλον τρόπο, παρά μόνο σύμφωνα με τις εντολές του υπευθύνου επεξεργασίας. Οι εντολές του υπευθύνου επεξεργασίας είναι δυνατόν να παρέχουν κάποιο περιθώριο διακριτικής ευχέρειας σχετικά με τον βέλτιστο τρόπο εξυπηρέτησης των συμφερόντων του υπευθύνου επεξεργασίας, επιτρέποντας στον εκτελούντα την επεξεργασία να επιλέγει τα πλέον κατάλληλα τεχνικά και οργανωτικά μέσα. Ωστόσο, ο εκτελών την επεξεργασία παραβαίνει τον ΓΚΠΔ εάν υπερβαίνει τις εντολές του υπευθύνου επεξεργασίας και αρχίζει να καθορίζει ίδιους σκοπούς και μέσα επεξεργασίας. Σε μια τέτοια περίπτωση ο εκτελών την επεξεργασία θα θεωρηθεί υπεύθυνος επεξεργασίας ως προς την επίμαχη επεξεργασία και ενδέχεται να υποστεί κυρώσεις για υπέρβαση των εντολών του υπευθύνου επεξεργασίας (βλ. σύνοψη ΚΓ 7/2020 ΕΣΠΔ, σελ. 3-4).
13. Σύμφωνα με το άρθρο 35 παρ. 1 ΓΚΠΔ, όταν ένα είδος επεξεργασίας, ιδίως με χρήση νέων τεχνολογιών και συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας διενεργεί, πριν από την επεξεργασία, εκτίμηση των επιπτώσεων των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία δεδομένων προσωπικού χαρακτήρα. Η Αρχή, κατ’ εφαρμογή της παρ. 4 του άρθρου 35 ΓΚΠΔ, έχει καταρτίσει και δημοσιοποιήσει κατάλογο με τα είδη των πράξεων επεξεργασίας που υπόκεινται στην απαίτηση για διενέργεια εκτίμησης αντικτύπου σχετικά με την προστασία των δεδομένων δυνάμει της παραγράφου 1 (απόφαση ΑΠΔ 65/2018). Μεταξύ των πράξεων αυτών περιλαμβάνονται οι ακόλουθες: 1.2 Συστηµατική επεξεργασία δεδοµένων που αποσκοπεί στη λήψη αυτοµατοποιηµένων αποφάσεων, οι οποίες παράγουν έννοµα αποτελέσµατα σχετικά µε τα υποκείµενα των δεδοµένων ή επηρεάζουν σηµαντικά τα υποκείµενα των δεδοµένων κατά ανάλογο τρόπο και µπορούν να οδηγήσουν σε αποκλεισµό ή διακρίσεις σε βάρος του φυσικού προσώπου. Σχετικά παραδείγµατα είναι η αυτόµατη άρνηση επιγραµµικής αίτησης πίστωσης ή πρακτικές ηλεκτρονικών προσλήψεων χωρίς ανθρώπινη παρέµβαση (αιτ. 71 του ΓΚΠ∆) ή η αυτόµατη άρνηση ασφαλιστικής παροχής. 1.3 Συστηµατική επεξεργασία δεδοµένων που ενδέχεται να εµποδίζει το υποκείµενο να ασκήσει τα δικαιώµατά του ή να χρησιµοποιήσει µια υπηρεσία ή σύµβαση, ιδίως όταν λαµβάνονται υπόψη δεδοµένα που συλλέγονται από τρίτους. Σχετικά παραδείγµατα είναι η περίπτωση, κατά την οποία τράπεζα ελέγχει τους πελάτες της χρησιµοποιώντας µια βάση δεδοµένων πιστοληπτικής ικανότητας για να αποφασίσει αν θα τους χορηγήσει δάνειο ή όχι, η καταχώρηση του υποκειµένου σε «µαύρη» λίστα, όπως η λίστα των παρόχων κινητής τηλεφωνίας (τηλέγνους), η καταχώριση του υποκειµένου σε whistleblowing συστήµατα. 2.1 Μεγάλης κλίµακας επεξεργασία των ειδικών κατηγοριών δεδοµένων (περιλαµβανοµένων των γενετικών και των βιοµετρικών µε σκοπό την αδιαµφισβήτητη ταυτοποίηση προσώπου) που αναφέρονται στο άρθρο 9 παρ. 1 και των δεδοµένων που αναφέρονται στο άρθρο 10 του ΓΚΠ∆. 3.1 Καινοτόµος χρήση ή εφαρµογή νέων τεχνολογιών ή οργανωτικών λύσεων, οι οποίες µπορεί να περιλαµβάνουν νέες µορφές συλλογής και χρήσης δεδοµένων, µε ενδεχόµενο υψηλό κίνδυνο για τα δικαιώµατα και τις ελευθερίες των φυσικών προσώπων όπως η συνδυασµένη χρήση των δακτυλικών αποτυπωµάτων και η αναγνώριση προσώπου για βελτιωµένο φυσικό έλεγχο πρόσβασης, ή εφαρµογές mhealth ή άλλες «έξυπνες» εφαρµογές, από τις οποίες δηµιουργείται προφίλ των χρηστών (π.χ. καθηµερινές συνήθειες), ή εφαρµογές τεχνητής νοηµοσύνης ή τεχνολογίες δηµόσια προσπελάσιµων blockchain που περιλαµβάνουν προσωπικά δεδοµένα.
14. Στην υπό εξέταση περίπτωση, από τα στοιχεία του φακέλου προέκυψαν τα εξής: Η εταιρεία ΟΤΕ Α.Ε. υλοποίησε και έθεσε στη διάθεση των συνδρομητών της την υπηρεσία digital onboarding τον Ιούνιο του
15. Σκοπός της υπηρεσίας είναι η ηλεκτρονική ταυτοποίηση των υποψήφιων συνδρομητών της και στην παρούσα φάση εξυπηρετούνται μέσω αυτής μόνο αιτήματα μεταφοράς σταθερής τηλεφωνίας. Για την ηλεκτρονική ταυτοποίηση του συνδρομητή γίνεται επεξεργασία βιομετρικών δεδομένων του, τα οποία προκύπτουν από τη φωτογραφία (real time selfie). Η επιβεβαίωση της αυθεντικότητας της φωτογραφίας και η αντιστοίχισή της με τη φωτογραφία του προσώπου του αιτούντος λαμβάνει χώρα αποκλειστικά αυτοματοποιημένα, με χρήση τεχνολογίας τεχνητής νοημοσύνης (ΑΙ). Νομική βάση για την κατά τα ανωτέρω επεξεργασία βιομετρικών δεδομένων είναι η συναίνεση του συνδρομητή, η οποία παρέχεται με την ανωτέρω περιγραφόμενη διαδικασία. Για την επεξεργασία βιομετρικών δεδομένων, σύμφωνα με το άρθρο 9 παρ. 2 α) ΓΚΠΔ θα πρέπει να εξασφαλίζεται σε κάθε περίπτωση η παροχή έγκυρης ρητής συγκατάθεσης, εν πλήρει επιγνώσει, κατόπιν πλήρους και ορθής ενημέρωσης και παρεχόμενη με αδιαμφισβήτητα μέσα. Από την εξέταση της υπόθεσης προέκυψε ότι κατά το χρόνο υποβολής της καταγγελίας και μέχρι την 19/11/2021, το γενικό κείμενο ενημέρωσης σχετικά με την επεξεργασία δεδομένων μέσω της ιστοσελίδας https://onboarding.cosmote.gr δεν περιλάμβανε πληροφορίες σχετικά με την επεξεργασία βιομετρικών δεδομένων. Η σχετική ενημέρωση των υποκειμένων παρεχόταν μέχρι τις 19/11/2021 μόνο μέσω υπερσυνδέσμου στο στάδιο ακριβώς πριν την παροχή της συναίνεσης του υποκειμένου. Με τον τρόπο αυτό η ενημέρωση ήταν ελλιπής, στο βαθμό που δεν ήταν εύκολα προσβάσιμη, όπως απαιτείται από το άρθρο 12 παρ. 1 ΓΚΠΔ, ενώ η γενική ενημέρωση για την επεξεργασία δεδομένων στην πλατφόρμα digital onboarding δεν ήταν πλήρης. Η έλλειψη αυτή προκάλεσε και την ανησυχία της καταγγέλλουσας και στάθηκε η αφορμή να υποβληθεί η υπό κρίση καταγγελία. Άλλωστε και η εταιρεία αναγνωρίζει ότι στην περίπτωση της καταγγελίας η καταγγέλλουσα δεν αντιλήφθηκε ότι υπήρχε και δεύτερο κείμενο ενημέρωσης, το λεγόμενο «κείμενο συγκατάθεσης», στο οποίο περιλαμβάνονταν οι πληροφορίες σχετικά με την εν λόγω επεξεργασία, γεγονός που καταδεικνύει έλλειμμα διαφάνειας (η ενημέρωση δεν ήταν εμφανής και εύκολα προσβάσιμη, πιθανώς και για άλλα υποκείμενα, τα οποία μπορεί να παρείχαν συγκατάθεση χωρίς «πλήρη επίγνωση»), τουλάχιστον μέχρι τις 19/11/
16. Με αφορμή την καταγγελία, από τις 19/11/2021 προστέθηκε παράγραφος σχετικά με την επεξεργασία βιομετρικών δεδομένων και στη γενική ενημέρωση, επομένως η συγκεκριμένη έλλειψη διορθώθηκε.
17. Στην ειδική ενημέρωση για την επεξεργασία βιομετρικών δεδομένων, η οποία πλέον, με αφορμή την καταγγελία, έχει προστεθεί στη γενική ενημέρωση της ιστοσελίδας (https://onboarding.cosmote.gr), αναφέρεται, μεταξύ άλλων, ότι υπεύθυνος επεξεργασίας είναι «η εταιρεία COSMOTE ή η εταιρεία ΟΤΕ». Η παρεχόμενη στα υποκείμενα, κατά το χρόνο της καταγγελίας, γενική ενημέρωση για την επεξεργασία προσωπικών δεδομένων μέσω της ιστοσελίδας https://onboarding.cosmote.gr, όπως επισυνάπτεται στην καταγγελία, ανέφερε ότι «Υπεύθυνος επεξεργασίας δεδομένων προσωπικού χαρακτήρα είναι η εταιρεία COSMOTE ΚΙΝΗΤΕΣ ΤΗΛΕΠΙΚΟΙΝΩΝΙΕΣ ΑΕ (“COSMOTE”), με έδρα το Μαρούσι Αττικής (Λεωφόρος Κηφισίας αρ.99) με τηλέφωνο επικοινωνίας 13888 για οικιακούς πελάτες ή 13818 για εταιρικούς πελάτες». Ωστόσο, σύμφωνα με το υπόμνημα της εταιρείας μετά την ακρόαση, η διαδικασία του digital onboarding αρχικά και μέχρι σήμερα, αφορά προς το παρόν μόνο τα αιτήματα φορητότητας γραμμών σταθερής τηλεφωνίας και επομένως υπεύθυνος επεξεργασίας είναι η ΟΤΕ Α.Ε. και όχι η Cosmote. Συνεπώς η ενημέρωση στο σημείο αυτό ως προς τον υπεύθυνο επεξεργασίας ήταν εσφαλμένη. Μετά την καταγγελία, ως υπεύθυνος επεξεργασίας αναφέρεται «η εταιρεία COSMOTE ή η εταιρεία ΟΤΕ». Δεδομένου ότι οι παρεχόμενες πληροφορίες πρέπει να είναι σαφείς και οριστικές, θα πρέπει στο σημείο αυτό να διευκρινίζεται ποια από τις ανωτέρω εταιρείες είναι υπεύθυνος επεξεργασίας σε κάθε περίπτωση. Περαιτέρω, στην ειδική ενημέρωση για την επεξεργασία βιομετρικών δεδομένων που αρχικά παρεχόταν μόνο στο στάδιο πριν τη λήψη συγκατάθεσης και πλέον έχει συμπληρωθεί και στο γενικό κείμενο ενημέρωσης, αναφέρεται ότι «με τη χρήση της φωτογραφίας σε πραγματικό χρόνο παρέχεται η δυνατότητα μέσω τεχνολογιών όπως η εκμάθηση μηχανής (machine learning), η τεχνητή νοημοσύνη (ΑΙ) και τα βιομετρικά στοιχεία (biometrics), σε συνδυασμό με την ανθρώπινη κριτική να επαληθευτεί εάν το πρόσωπο που αιτείται μια συναλλαγή είναι όντως το ίδιο με το πρόσωπο που εμφανίζεται στο προσκομιζόμενο έγγραφο ταυτοποίησης (δελτίο αστυνομικής ταυτότητας ή διαβατήριο κτλ) παρέχοντας ασφάλεια στις συναλλαγές μας. […] Για την επιβεβαίωση των ελέγχων του αποτελέσματος με χρήση των παραπάνω τεχνολογιών, η COSMOTE και/ή ο ΟΤΕ δύναται επιπρόσθετα να αξιοποιήσει εξειδικευμένο εκπρόσωπο για τον έλεγχο των στοιχείων της ψηφιακής ανάλυσης και την τελική ταυτοποίηση». Όπως, όμως, εξήγησαν οι εκπρόσωποι της εταιρείας κατά την ακρόαση, αυτό δεν συμβαίνει σε σχέση με την επαλήθευση της ταυτότητας του προσώπου: η ανθρώπινη κριτική παρεμβαίνει μόνο σε σχέση με την εγκυρότητα των εγγράφων, ενώ η διαπίστωση της ταυτοπροσωπίας μέσω της ελεγχόμενης επεξεργασίας λαμβάνει χώρα εξ ολοκλήρου αυτοματοποιημένα. Κατά το σημείο αυτό η ενημέρωση είναι ασαφής και θα πρέπει να διορθωθεί προς αποφυγή παρερμηνείας. Όσον αφορά τους αποδέκτες των δεδομένων, η γενική ενημέρωση αρχικά παρείχε τις εξής πληροφορίες: «Αποδέκτες των προσωπικών σας δεδομένων ενδέχεται να είναι τρίτες εταιρίες με τις οποίες συνεργαζόμαστε για τις απομακρυσμένες Online συναλλαγές με χρήση ηλεκτρονικής υπογραφής, μεταξύ της COSMOTE και των πελατών της και συγκεκριμένα η εταιρία IntelliSolutions Information Services S.A, η οποία εδρεύει στη Ελ. Βενιζέλου 46, 176 76, Καλλιθέα. Στις περιπτώσεις αυτές οι τρίτες εταιρίες είναι εκτελούντες την επεξεργασία για λογαριασμό του ΟΤΕ, δηλαδή συνεργάτες του ΟΤΕ, οι οποίοι αναλαμβάνουν την εκτέλεση ενός συγκεκριμένου έργου ακολουθώντας τις οδηγίες μας και εφαρμόζοντας τις αυστηρές διαδικασίες του Ομίλου ΟΤΕ αναφορικά με την επεξεργασία των προσωπικών σας δεδομένων». Στο συμπληρωμένο κείμενο ενημέρωσης πλέον αναφέρεται ότι «Συγκεκριμένα για την ταυτοποίησή σας μέσω της χρήσης βιομετρικών δεδομένων συνεργαζόμαστε με την εταιρία IntelliSolutions Information Services SA…». Παρ’ όλα αυτά, από την ακρόαση και τα προσκομισθέντα εκ μέρους της εταιρείας έγγραφα δεν προέκυψε ότι η εταιρεία IntelliSolutions είναι αποδέκτης των βιομετρικών δεδομένων, ενώ δεν κατέστη σαφές ποιες πράξεις επεξεργασίας (απλών προσωπικών δεδομένων) διενεργούνται από την εταιρεία αυτή για λογαριασμό του ΟΤΕ: Με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/6066/15-04-2022 έγγραφο του ΟΤΕ προσκομίστηκε ένα συμφωνητικό επεξεργασίας προσωπικών δεδομένων με τίτλο Agreement on Processing of Personal Data on Behalf of a Controller, μεταξύ της ΟΤΕ ΑΕ και της εταιρείας IntelliSolutions Information Services S.A., η οποία όμως δεν περιλαμβάνει την επεξεργασία βιομετρικών δεδομένων, αλλά μόνο υπηρεσίες τεχνικής υποστήριξης και υλοποίησης αλλαγών στην πλατφόρμα Digital Onboarding, αναφέροντας παράλληλα ότι η επεξεργασία λαμβάνει χώρα στις εγκαταστάσεις του υπευθύνου επεξεργασίας. Όπως υποστήριξε στη συνέχεια η εταιρεία με το υπόμνημά της, «εκτιμήθηκε ότι δεν ανατίθεται επεξεργασία βιομετρικών δεδομένων στην IntelliSolutions και για το λόγο αυτό τα βιομετρικά δεδομένα δεν συμπεριλήφθησαν στο σχετικό παράρτημα της σύμβασης», σημειώνοντας ότι επανεξετάζει το εν λόγω συμβατικό κείμενο. Θα πρέπει να επισημανθεί, ότι σύμφωνα με τη θεμελιώδη αρχή της λογοδοσίας (άρθρο 5 παρ. 2 ΓΚΠΔ), ο υπεύθυνος επεξεργασίας όφειλε να γνωρίζει τον ακριβή ρόλο των εμπλεκόμενων μερών και να είναι σε θέση να τεκμηριώσει τη νομιμότητα των ενεργειών που έχουν αναλάβει να πραγματοποιούν, πριν την έναρξη της επεξεργασίας. Για το λόγο αυτό διαπιστώνεται εκ μέρους της καταγγελλόμενης εταιρείας παράβαση της αρχής της λογοδοσίας όσον αφορά το ρόλο της τρίτης εταιρείας IntelliSolutions Information Services S.A., ενώ, προς το σκοπό της συμμόρφωσης με τις επιταγές του ΓΚΠΔ, θα πρέπει να διευκρινιστεί από τον υπεύθυνο επεξεργασίας, εάν η εν λόγω τρίτη εταιρεία εκτελεί επεξεργασία βιομετρικών δεδομένων για λογαριασμό του και, εφόσον χρειάζεται, να τροποποιηθεί κατάλληλα το κείμενο της μεταξύ τους σύμβασης ή/και το κείμενο ενημέρωσης των υποκειμένων. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ
18. Απευθύνει στην καταγγελλόμενη εταιρεία COSMOTE ΚΙΝΗΤΕΣ ΤΗΛΕΠΙΚΟΙΝΩΝΙΕΣ Α.Ε. κατ’ άρθρο 57 παρ. 2 β) ΓΚΠΔ επίπληξη για τις διαπιστωθείσες ελλείψεις και ασάφειες στην ενημέρωση των υποκειμένων (άρθρο 5 παρ. 1 α’ και 13 ΓΚΠΔ) και για τη διαπιστωθείσα παράβαση της αρχής της λογοδοσίας (άρθρο 5 παρ. 2 ΓΚΠΔ) σε σχέση με το ρόλο της εταιρείας IntelliSolutions Information Services Α.Ε. στην υπό κρίση επεξεργασία.
19. Απευθύνει στην καταγγελλόμενη εταιρεία COSMOTE ΚΙΝΗΤΕΣ ΤΗΛΕΠΙΚΟΙΝΩΝΙΕΣ Α.Ε. κατ’ άρθρο 57 παρ. 2 δ) ΓΚΠΔ εντολή, να τροποποιήσει και να συμπληρώσει κατάλληλα το κείμενο ενημέρωσης των υποκειμένων, σύμφωνα με τα εκτιθέμενα στη Σκέψη 9 της παρούσας απόφασης, προς το σκοπό της πλήρους συμμόρφωσής της με την αρχή της διαφάνειας της επεξεργασίας (άρθρο 5 παρ. 1 α’ ΓΚΠΔ), ενημερώνοντας σχετικά την Αρχή. Ο Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου