Επίπληξη σε πρακτορείο ΟΠΑΠ για περιστατικό κλοπής ταυτότητας

(7)μήνες νωρίτερα». Ο ΟΠΑΠ αναφέρει ότι από την απάντηση του 5 Πρακτορείου δεν έλαβε περισσότερες πληροφορίες, παρά μόνο τη ρητή επιβεβαίωση του Πράκτορα ότι τηρήθηκαν οι διαδικασίες ταυτοποίησης (όπως προκύπτει άλλωστε και από την απάντηση του Πράκτορα στην Αρχή) και ότι το εν λόγω διάστημα έγιναν πολλές εγγραφές, λόγω προωθητικής ενέργειας, ήτοι παροχή bonus 5 € στους παίκτες που ολοκλήρωναν την ταυτοποίηση, με τη μορφή διαθέσιμου υπολοίπου, για χρήση σε παίγνια, πράγμα που δεν συνέβη με τον επίμαχο ύποπτο λογαριασμό. Συναφώς, ο ΟΠΑΠ επικαλείται την Πολιτική Επεξεργασίας Προσωπικών Δεδομένων από Πράκτορες (σχετ. 7), η οποία έχει σταλεί από το 2018 σε όλα τα καταστήματα, βρίσκεται αναρτημένη στο portal …, την πλατφόρμα επικοινωνίας των πρακτορείων με την εταιρεία, την οποία επισκέπτονται καθημερινά όλοι οι Πράκτορες, και, όπως προκύπτει από το άρθρο 3 της σύμβασης Πρακτόρευσης (σχετ. 8), αποτελεί νομικά δεσμευτικό μέρος της σύμβασης των Πρακτόρων με την εταιρεία. Ο ΟΠΑΠ σημειώνει ακόμα ότι ο αριθμός κινητού τηλεφώνου που είχε δηλωθεί δεν ήταν ενεργός, ούτε η αναζήτησή του σε δημόσια προσβάσιμους τηλεφωνικούς καταλόγους απέφερε αποτελέσματα. Επί του τρίτου ερωτήματος, (ποια είναι η πολιτική της εταιρείας για την ταυτοποίηση των παικτών καθώς και εάν προβλέπεται η τήρηση ορισμένης διαδικασίας σε περίπτωση που αναφερθεί κάποιο περιστατικό που εγείρει υποψίες υποκλοπής ταυτότητας, απάτης, λανθασμένης ταυτοποίησης παίκτη, προσκόμισης παραποιημένων πιστοποιητικών ταυτοπροσωπίας, κλπ.) ο ΟΠΑΠ, εστιάζοντας στη διαδικασία ταυτοποίησης παικτών μέσω καταστήματος, επισυνάπτει και επικαλείται εσωτερικά έγγραφα που περιγράφουν τις σχετικές διαδικασίες, οι οποίες υποστηρίζει ότι ακολουθήθηκαν και εν προκειμένω. Συγκεκριμένα, ο ΟΠΑΠ προσκομίζει την περιγραφή της διαδικασίας “Online Player Verification Process – Verification through Retailer” (σχετ. 9 – στα αγγλικά), τις Οδηγίες προς τα Πρακτορεία για την Ταυτοποίηση νέου παίκτη Βήμα Βήμα (σχετ. 10) και τη διαδικασία τακτικού ελέγχου από το τμήμα Antifraud (ήτοι αποφυγής απάτης, σχετ. 11 – στα αγγλικά) και αναφέρει ότι «το Γραφείο Προστασίας Δεδομένων διαχειρίστηκε άμεσα το αίτημα πρόσβασης της καταγγέλλουσας, ολοκληρώνοντας τον έλεγχο ταυτοπροσωπίας, απαντώντας εγκαίρως στην αιτούσα και αποστέλλοντας με ασφάλεια όλα τα στοιχεία και τις πληροφορίες που ζήτησε. Το Τμήμα Υποστήριξης Πρακτορείων, σε συνεργασία με τη Διεύθυνση Κανονιστικής Συμμόρφωσης και τη Διεύθυνση Προστασίας Δεδομένων προώθησε την καταγγελία, ζητώντας την παροχή εξηγήσεων από το Πρακτορείο. Η απάντηση του πρακτορείου, σε συνδυασμό με τα διαθέσιμα στοιχεία, εξετάστηκε από τη Διεύθυνση Κανονιστικής Συμμόρφωσης, η οποία απάντησε απευθύνοντας αυστηρή σύσταση για τη συμμόρφωση με τους κανόνες της ταυτοποίησης». Σημειώνεται ότι σε άλλο σημείο ο ΟΠΑΠ 6 αναφέρει ότι «διαθέτει διαδικασίες ελέγχου συμμόρφωσης των πρακτόρων της, οι οποίες δύνανται να καταλήξουν σε συστάσεις, επιβολή κυρώσεων ή και σε καταγγελία σύμβασης, εφόσον διαπιστώνεται η μη συμμόρφωσή τους». Καταλήγοντας, ο ΟΠΑΠ επισημαίνει ότι «ουδεμία ζημία επήλθε στην Α, δεδομένου ότι ακόμη και εάν κάποιο τρίτο πρόσωπο απέκτησε πρόσβαση στα στοιχεία της (το οποίο από πουθενά δε συνάγεται ότι μπορεί να σχετίζεται με ή να οφείλεται στην εταιρεία ή στο Πρακτορείο) σε κάθε περίπτωση ουδεμία συναλλαγή πραγματοποιήθηκε μέσω του παικτικού λογαριασμού που δημιουργήθηκε με την ανωτέρω διαδικασία». Ακολούθως η Αρχή, με το υπ’ αρ. πρωτ. Γ/ΕΞ/4720-2/28-12-2021 έγγραφό της ζήτησε αφ’ ενός μεν από τον ΟΠΑΠ να διευκρινίσει, με ποιον τρόπο κοινοποιούνται τα έγγραφα που προσκομίζει ως σχετ. 9-11 (οδηγίες, διαδικασίες και πολιτικές) στους Πράκτορες και εάν επιβεβαιώνεται ότι έχουν λάβει γνώση τους, καθώς και εάν εν προκειμένω διαπίστωσε μη συμμόρφωση του Πρακτορείου – εκτελούντος την επεξεργασία, αφ’ ετέρου δε από τον Β (Πράκτορα) να διευκρινίσει εάν η … ενέργεια που επικαλείται κάλυπτε και την ημερομηνία … κατά την οποία φέρεται να έλαβε χώρα η κρίσιμη εγγραφή και εάν η ταυτοποίηση εν προκειμένω στο Πρακτορείο έγινε με φυσική παρουσία προσώπου που έφερε την ταυτότητα της καταγγέλλουσας. Με το από … απαντητικό του έγγραφο, ο Πράκτορας έδωσε καταφατική απάντηση και στις δύο ανωτέρω απαντήσεις, επισημαίνοντας ότι λόγω παρέλευσης μεγάλου χρονικού διαστήματος και λόγω του μεγάλου αριθμού ταυτοποιήσεων εκείνη την περίοδο, δεν είναι σε θέση να θυμάται ειδικά τη συγκεκριμένη υπόθεση ταυτοποίησης της καταγγέλλουσας, δηλώνοντας ωστόσο ότι ανεξαιρέτως η ταυτοποίηση πελατών γινόταν με τη φυσική παρουσία και την επίδειξη ταυτότητας. Με το από … έγγραφό του ο ΟΠΑΠ απάντησε ότι στους Πράκτορες κοινοποιείται μόνο το έγγραφο που υπεβλήθη ως Σχετικό 10 (Οδηγίες για την Ταυτοποίηση Νέου Παίκτη Βήμα Βήμα) με ανάρτηση στην πλατφόρμα εκπαίδευσής τους …, ότι δεν ζητείται επιβεβαίωση από τους Πράκτορες ότι έχουν λάβει γνώση του υλικού που αναρτάται, ωστόσο όταν δημιουργείται νέο εκπαιδευτικό υλικό ή νέες διαδικασίες, οι Πράκτορες ενημερώνονται με ανακοίνωση μέσω της πλατφόρμας, τυχόν δε παράλειψη του Πράκτορα να ενημερωθεί θα συνιστούσε παραβίαση των συμβατικών του υποχρεώσεων και θα καθιστούσε δυσχερή τη λειτουργία του Πρακτορείου και αδύνατη την ολοκλήρωση της διαδικασίας ταυτοποίησης μέσω διαδικτύου. Ο ΟΠΑΠ υποστηρίζει ότι εν προκειμένω ο Πράκτορας υπέβαλε στο σύστημα τα έγγραφα με τον τρόπο που ορίζεται στις ως άνω Οδηγίες, γεγονός που επιβεβαιώνει ότι έχει λάβει γνώση τους. Τέλος, ο ΟΠΑΠ αναφέρει ότι από τον έλεγχο του 7 Πρακτορείου που διενήργησε στο πλαίσιο εξέτασης της υπό κρίση καταγγελίας, δεν διαπίστωσε ελλιπή συμμόρφωσή του, ωστόσο λαμβάνοντας υπόψη τους ισχυρισμούς της καταγγέλλουσας δεν μπορεί να αποκλείσει το ενδεχόμενο να μην ήταν επαρκώς επιμελής ο έλεγχος της ομοιότητας του προσώπου που προσκόμισε την ταυτότητα με τη φωτογραφία της καταγγέλλουσας στην ταυτότητα. Ελλείψει δε περισσότερων στοιχείων, ο ΟΠΑΠ υποστηρίζει ότι δεν είναι σε θέση να αξιολογήσει αν πράγματι ο έλεγχος ήταν πλημμελής ή αν επρόκειτο για τρίτο πρόσωπο που λόγω ομοιότητας θα μπορούσε ευλόγως να θεωρηθεί ότι απεικονίζεται στην ταυτότητα, παρ’ όλα αυτά έκρινε ότι όφειλε να επισημάνει στον Πράκτορα την ανάγκη συμμόρφωσης με τους κανόνες της ταυτοποίησης μέσω αυστηρής σύστασης, χωρίς αυτή να έχει το νόημα της κύρωσης, αλλά ως προειδοποίηση και υπενθύμιση των κανόνων που ισχύουν. Ακολούθως η Αρχή, με τις υπ’ αριθ. πρωτ Γ/ΕΞΕ/966/31-03-2021 και Γ/ΕΞΕ/967/31-032021 κλήσεις σε ακρόαση με τηλεδιάσκεψη προς την καταγγέλλουσα και τους καταγγελλόμενους (ΟΠΑΠ Α.Ε. και Β) αντίστοιχα, κάλεσε τα εμπλεκόμενα μέρη σε ακρόαση στη συνεδρίαση του Τμήματος της Αρχής στις 07/04/2021, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση. Κατά την ακρόαση τα μέρη ανέπτυξαν τις απόψεις τους και τους ορίσθηκε προθεσμία 10 ημερών για την υποβολή υπομνημάτων. Κατά την ακρόαση της 07/04/2021 παρέστησαν η καταγγέλλουσα, οι πληρεξούσιοι δικηγόροι της ελεγχόμενης εταιρείας ΟΠΑΠ Α.Ε., Απόστολος Βόρρας (…) και Κωνσταντίνα Καροπούλου (…), και ο πληρεξούσιος δικηγόρος του καταγγελλόμενου Β, κ. Βασίλειος Τσιάτης (…). Παρέστησαν επίσης η Γ, ΥΠΔ της ΟΠΑΠ Α.Ε. και η Δ, υπάλληλος του γραφείου Προστασίας Δεδομένων του ΟΠΑΠ, οι οποίες δεν έλαβαν το λόγο. Τα εμπλεκόμενα μέρη έλαβαν, κατά τη συνεδρίαση αυτή, προθεσμία και υπέβαλαν εμπροθέσμως, ο μεν καταγγελλόμενος Β το με αριθ. πρωτ. Γ/ΕΙΣ/2651/19-04-2021 υπόμνημα, ο δε ελεγχόμενος ΟΠΑΠ το με αριθ. πρωτ. Γ/ΕΙΣ/2652/19-04-2021 υπόμνημα, ενώ η καταγγέλλουσα δεν κατέθεσε υπόμνημα. Η καταγγέλλουσα κατά τη συνεδρίαση αναφέρθηκε στην καταγγελία της. Ο καταγγελλόμενος Πράκτορας ΟΠΑΠ Β, τόσο κατά τη συνεδρίαση της 07/04/2021 όσο και με το υπόμνημά του, υποστήριξε ότι το Πρακτορείο του, που βρίσκεται σε πολύ κεντρικό σημείο [περιοχής Χ] και δέχεται καθημερινά περί τους 200 επισκέπτες, αποτελεί μια ταχέως αναπτυσσόμενη επιχείρηση, που φροντίζει για τη διαρκή επιμόρφωση των υπαλλήλων της ώστε να τηρούνται όλες οι προϋποθέσεις για τη νόμιμη λειτουργία του. Παράλληλα το Πρακτορείο συμμετέχει ενεργά … . Η ολοκλήρωση της διαδικασίας δημιουργίας του 8 λογαριασμού απαιτούσε την ταυτοποίηση του πελάτη μέσω αυτοπρόσωπης παρουσίας του σε Πρακτορείο και επίδειξης της πρωτότυπης αστυνομικής του ταυτότητας, η οποία ακολούθως σκανάρεται στον ειδικό υπολογιστή του ΟΠΑΠ από τον εκάστοτε πράκτορα. Στο σημείο αυτό αξίζει να σημειωθεί ότι ο καταγγελλόμενος αναφέρει στο υπόμνημά του επί λέξει τα εξής: «Η διαδικασία ταυτοποίησης των χρηστών που προσέρχονταν στην επιχείρησή μου αποτελείτο από δύο αναγκαία στάδια άνευ απαρέγκλιτης τήρησης των οποίων δεν μπορούσε να αποπερατωθεί. Απαιτείτο συγκεκριμένα ι) να προσέλθει στο πρακτορείο αυτοπροσώπως ο ενδιαφερόμενος και να υποδείξει τα στοιχεία πρόσβασής του (username και password) ώστε να αποκτήσουμε πρόσβαση στον λογαριασμό του όπου υπήρχαν τα προσωπικά του στοιχεία (όπως τηλέφωνο και διεύθυνση επικοινωνίας) και ιι) να επιδείξει στον πράκτορα την πρωτότυπη αστυνομική του ταυτότητα. Ο πράκτορας εν συνεχεία έθετε την ταυτότητα έμπροσθεν του ειδικού υπολογιστή της ΟΠΑΠ εντός του πρακτορείου ώστε δια της ενσωματωμένης σε αυτό κάμερας να ληφθεί ψηφιακό αντίγραφο αυτής (scan)». Περαιτέρω, σύμφωνα με τον καταγγελλόμενο, η ταυτοποίηση της καταγγέλλουσας έγινε στο Πρακτορείο του στις …, σε μια περίοδο με ιδιαίτερα αυξημένη κινητικότητα και πελατεία λόγω της τοπικής λαϊκής αγοράς που λάμβανε χώρα την ίδια ημέρα ακριβώς δίπλα, αλλά και λόγω των διαδοχικών jackpot του ΤΖΟΚΕΡ που είχαν ως αποτέλεσμα τα πιθανά κέρδη να ανέρχονται σε 4 εκ. ευρώ. Έτσι, όπως ανέφερε ο καταγγελλόμενος, η διαδικασία ταυτοποίησης από τους υπαλλήλους του Πρακτορείου δεν μπορούσε να είναι εξαιρετικά λεπτομερής, αλλά περιοριζόταν στην τυπική αντιπαραβολή του προσώπου που εμφανιζόταν ενώπιόν τους και της πρωτότυπης αστυνομικής ταυτότητας που τους επεδείκνυε, με την οποία αρκετά συχνά παρατηρούνταν αναντιστοιχίες λόγω παλαιότητας της φωτογραφίας ή λόγω εκδορών στην ταυτότητα. Κατά συνέπεια, ο καταγγελλόμενος Πράκτορας υποστήριξε ότι δεν θα μπορούσε να ελέγξει αλλά και να αντιληφθεί αν κάποιο τρίτο πρόσωπο έκανε χρήση της ταυτότητας της καταγγέλλουσας για να ταυτοποιήσει το λογαριασμό ΟΠΑΠ που είχε δημιουργηθεί στο όνομά της. Περαιτέρω, ο καταγγελλόμενος δήλωσε ότι, για λόγους προστασίας προσωπικών δεδομένων και μετά την πάροδο πλέον του 1,5 έτους, δεν έχει κρατήσει αρχεία των προσώπων που διενήργησαν μέσω του Πρακτορείου του ταυτοποίηση των ηλεκτρονικών λογαριασμών τους στην πλατφόρμα του ΟΠΑΠ για το ΤΖΟΚΕΡ, και έτσι δεν είναι σε θέση να έχει ακριβή εικόνα του αριθμού των ταυτοποιήσεων που διενεργήθηκαν από το Πρακτορείο του, ωστόσο κατά προσέγγιση αναφέρει ότι ο αριθμός αυτός δεν υπερέβη τα 95 άτομα και είναι πολύ μικρός σε σύγκριση με τη δυναμικότητα της επιχείρησής του. …, δεν είχε λόγο να ρισκάρει την επαγγελματική του αξιοπιστία και τη σύμβασή του με τον ΟΠΑΠ, παραβιάζοντας τα προσωπικά δεδομένα πελατών. Τέλος, σύμφωνα με τον 9 καταγγελλόμενο Πράκτορα, ο λογαριασμός της καταγγέλλουσας ουδέποτε χρησιμοποιήθηκε, ώστε να προκύψει οποιαδήποτε οικονομική της επιβάρυνση, ενώ έξι μήνες μετά το άνοιγμά του απενεργοποιήθηκε. Προς απόδειξη των ισχυρισμών του ο καταγγελλόμενος προσκόμισε το εκκαθαριστικό σημείωμά του για το φορολογικό έτος 2019, από το οποίο προκύπτει το μέγεθος της επιχείρησής του (περίπου … ακαθάριστα έσοδα και … κέρδη) και ζητεί την απόρριψη της καταγγελίας. Ο ΟΠΑΠ κατά τη συνεδρίαση της 07/04/2021, μέσω του εκπροσώπου του, αφού αναφέρθηκε σύντομα στο ιστορικό της υπόθεσης, υποστήριξε ότι πρόκειται για περίπτωση κλοπής ταυτότητας (identity theft), η οποία ωστόσο δεν προκάλεσε ζημία στην καταγγέλλουσα χάρη στις δικλείδες ασφαλείας του συστήματος ταυτοποίησης του ΟΠΑΠ. Απαντώντας σε σχετικές ερωτήσεις εκ μέρους της Αρχής, ο εκπρόσωπος του ΟΠΑΠ ανέφερε ότι η ταυτοποίηση παίκτη σε Πρακτορείο επιτρέπεται μόνο με αυτούσια την αστυνομική ταυτότητα του εμφανιζόμενου και όχι με φωτοαντίγραφο, ενώ πιθανολόγησε ότι ο τρίτος που θα μπορούσε να προβεί σε τέτοια ενέργεια θα μπορούσε να είναι είτε κάποιος ανήλικος είτε κάποιος παίκτης που έχει αποκλειστεί από τα τυχερά παίγνια. Ακολούθως με το από 19/04/2021 υπόμνημά του, ο ΟΠΑΠ κατ’ αρχήν παρέπεμψε στα δύο έγγραφα με τα οποία παρείχε τις απόψεις του (Γ/ΕΙΣ/5824/28-08-2020 και Γ/ΕΙΣ/252/13-01-2021) έπειτα από τα αντίστοιχα αιτήματα της Αρχής. Προσκομίζοντας το πλήρες κείμενο της σύμβασης των Πρακτόρων, που εφαρμόζεται ενιαία σε όλη την επικράτεια, ο ΟΠΑΠ ανέφερε ότι μετά τη θέση σε εφαρμογή του ΓΚΠΔ οι όροι προστασίας προσωπικών δεδομένων τροποποιήθηκαν και η επεξεργασία τους διέπεται πλέον από την Πολιτική Επεξεργασίας Προσωπικών Δεδομένων από Πράκτορες Καταστημάτων ΟΠΑΠ, η οποία έχει υποβληθεί στην Αρχή ως Σχετ. 7 της από 27.08.2020 επιστολής του ΟΠΑΠ, επισημαίνοντας ότι τον … τροποποιήθηκε ένας βασικός όρος της εν λόγω σύμβασης, … . Απαντώντας σε σχετικό ερώτημα της Αρχής, ο ΟΠΑΠ σημείωσε ότι κατόπιν διερεύνησης διαπιστώθηκε μία ακόμα περίπτωση κατά την οποία παίκτης ξεκίνησε την εγγραφή του τον … του 2021 μέσω διαδικτύου και δεν μπόρεσε να την ολοκληρώσει λόγω ύπαρξης λογαριασμού στο όνομά του και με τα στοιχεία ταυτότητάς του, ο οποίος είχε δημιουργηθεί επίσης στο Πρακτορείο [περιοχής Χ] με αρ. … . Παρότι ζητήθηκε από τον παίκτη να αποστείλει κάποιο στοιχείο επικοινωνίας για επιβεβαίωση του περιστατικού, αυτός δεν ανταποκρίθηκε ούτε επανήλθε. Ωστόσο ο ΟΠΑΠ απέστειλε εκ νέου επιστολή απευθύνοντας αυστηρή σύσταση στο Πρακτορείο, με την προειδοποίηση επιβολής κυρώσεων σε περίπτωση νέας καταγγελίας ή διαπιστωμένης παράβασης. Περαιτέρω, ο ΟΠΑΠ με το υπόμνημά του διευκρινίζει την έννοια του ψεύτικου λογαριασμού (fake account), όπως του είχε ζητηθεί στο πλαίσιο της ακρόασης, αναφέροντας συγκεκριμένα 10 παραδείγματα. Στη συνέχεια ο ΟΠΑΠ παραθέτει κάποια στοιχεία καλυπτόμενα από το επιχειρηματικό απόρρητο, με το αίτημα να μην κοινοποιηθούν, … . Ταυτόχρονα υπήρχε προσφορά 5 € για κάθε παίκτη που θα προχωρούσε σε εγγραφή στο Πρακτορείο, είτε μέσω της εφαρμογής του ΟΠΑΠ είτε μέσω του tzoker.gr. Ο ΟΠΑΠ επισημαίνει ξανά ότι έχει λάβει όλα τα αναγκαία τεχνικά και οργανωτικά μέτρα προστασίας των παικτών, αφού ακόμα και αν υπάρξει κακόβουλη ενέργεια, δεν είναι δυνατή η χρήση του λογαριασμού και η ανάληψη ποσών εάν δεν ακολουθήσει ταυτοποίηση μέσω τράπεζας, αναφέροντας προς επίρρωση του ισχυρισμού της ότι παρότι έχουν εγγραφεί διαδικτυακά περίπου … παίκτες καταχωρώντας τα στοιχεία τους, και οι παίκτες που έχουν ολοκληρώσει την ταυτοποίησή τους ανέρχονται σε …, εντούτοις, η μοναδική καταγγελία που έχει λάβει χώρα σε σύνολο τόσων χιλιάδων παικτών είναι η συγκεκριμένη που εξετάζεται από την Αρχή, γεγονός που καταδεικνύει την ασφάλεια και αποτελεσματικότητα των διαδικασιών του. Τέλος, ο ΟΠΑΠ αναφέρει ότι η δημιουργία ψευδών διαδικτυακών λογαριασμών από τρίτο πρόσωπο προκαλεί ζημία στον ΟΠΑΠ, αφού αφ’ ενός καταβάλλει αμοιβές στους Πράκτορες για παίκτες που δεν αποφέρουν έσοδα, αφ’ ετέρου σε περίπτωση που ο υποψήφιος παίκτης διαπιστώσει ότι έχουν ήδη χρησιμοποιηθεί τα στοιχεία του, αυτό τελικά δρα αποτρεπτικά και έτσι δεν προχωρά σε εγγραφή και διαδικτυακή συμμετοχή του στα τυχερά παίγνια, όπως συνέβη και στην περίπτωση της καταγγέλλουσας καθώς και ότι η εν λόγω καταγγελία δεν στρέφεται σε βάρος του ΟΠΑΠ. Η Αρχή, από την ακροαματική διαδικασία, από τα στοιχεία του φακέλου της υπόθεσης, καθώς και από τα υπομνήματα που υποβλήθηκαν στην Αρχή και αφού άκουσε τον εισηγητή και τη βοηθό εισηγήτρια, η οποία αποχώρησε μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ

1. Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
2. Σύμφωνα με τον ορισμό του άρθρου 4 αρ. 2’ ΓΚΠΔ ως «επεξεργασία» νοείται «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων 11 μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή». Περαιτέρω, όπως ορίζεται στο άρθρο 5 παρ. 1 στ’ ΓΚΠΔ («Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα») «τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)».
3. Περαιτέρω, σύμφωνα με το άρθρο 6 ΓΚΠΔ, «η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ' αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης, γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας, δ) η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου, ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί». Σύμφωνα, εξάλλου, με την Αιτιολογική Σκέψη 40 του ΓΚΠΔ, «Για να είναι η επεξεργασία σύννομη, τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να υποβάλλονται σε επεξεργασία με βάση τη συγκατάθεση του ενδιαφερόμενου υποκειμένου των δεδομένων ή με άλλη βάση, προβλεπόμενη από τον νόμο, είτε στον παρόντα Κανονισμό είτε σε άλλη νομοθεσία της Ένωσης ή κράτους μέλους όπως αναφέρεται στον παρόντα κανονισμό, περιλαμβανομένης της ανάγκης συμμόρφωσης προς την εκ του νόμου υποχρέωση στην 12 οποία υπόκειται ο υπεύθυνος επεξεργασίας ή της ανάγκης να εκτελεστεί σύμβαση στην οποία το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατόπιν αίτησης του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης».
4. Ο ΓΚΠΔ επιτάσσει την υποβολή των δεδομένων προσωπικού χαρακτήρα σε επεξεργασία «κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια …μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων» (άρθρο 5 παρ. 1 εδ. στ’ και 32 παρ. 2) ώστε σε περίπτωση κατά την οποία πληρούνται οι λοιπές αρχές πλην εκείνης της ασφάλειας, να καθίσταται εν τέλει παράνομη η επεξεργασία. Η λήψη των απαιτούμενων μέτρων ασφαλείας πρέπει να λαμβάνει υπόψη μια σειρά παραμέτρων (βλ. άρθρο 32 ΓΚΠΔ) ενώ όπως επιτάσσει η αρχή της λογοδοσίας και προσδιορίζεται από τις διατάξεις του άρθρου 24 παρ. 2 ΓΚΠΔ, πρέπει να εφαρμόζονται κατάλληλες πολιτικές, ανάλογα με τις δραστηριότητες επεξεργασίας (βλ. ΑΠΔΠΧ 67/2018). Επιπλέον, σύμφωνα με το άρθρο 28 παρ. 1 ΓΚΠΔ, «Όταν η επεξεργασία πρόκειται να διενεργηθεί για λογαριασμό υπευθύνου επεξεργασίας, ο υπεύθυνος επεξεργασίας χρησιμοποιεί μόνο εκτελούντες την επεξεργασία που παρέχουν επαρκείς διαβεβαιώσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων, κατά τρόπο ώστε η επεξεργασία να πληροί τις απαιτήσεις του παρόντος κανονισμού και να διασφαλίζεται η προστασία των δικαιωμάτων του υποκειμένου των δεδομένων.» Η παρ. 3 του ιδίου άρθρου διευκρινίζει ότι η επεξεργασία από τον εκτελούντα την επεξεργασία διέπεται από σύμβαση ή άλλη νομική πράξη, υπαγόμενη στο δίκαιο της Ένωσης ή του κράτους μέλους, που δεσμεύει τον εκτελούντα την επεξεργασία σε σχέση με τον υπεύθυνο επεξεργασίας και καθορίζει το αντικείμενο και τη διάρκεια της επεξεργασίας, τη φύση και τον σκοπό της επεξεργασίας, το είδος των δεδομένων προσωπικού χαρακτήρα και τις κατηγορίες των υποκειμένων των δεδομένων και τις υποχρεώσεις και τα δικαιώματα του υπευθύνου επεξεργασίας. Η εν λόγω σύμβαση ή άλλη νομική πράξη προβλέπει ειδικότερα ότι ο εκτελών την επεξεργασία επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα μόνο βάσει καταγεγραμμένων εντολών του υπευθύνου επεξεργασίας, λαμβάνει όλα τα απαιτούμενα μέτρα δυνάμει του άρθρου 32 ΓΚΠΔ.
5. Σύμφωνα με το άρθρο 32 παρ. 1 ΓΚΠΔ «Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο 13 υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων […]». Σύμφωνα με την σκέψη υπ’ αρ. 127 των Κατευθυντήριων Γραμμών υπ’ άρ. 07/2020 του ΕΣΠΔ σχετικά με τις έννοιες του υπευθύνου και του εκτελούντα την επεξεργασία στον ΓΚΠΔ, «[…] το επίπεδο των οδηγιών που παρέχει ο υπεύθυνος επεξεργασίας στον εκτελούντα ως προς τα μέτρα που πρέπει να ληφθούν εξαρτάται από τις συγκεκριμένες συνθήκες. Σε ορισμένες περιπτώσεις, ο υπεύθυνος επεξεργασίας μπορεί να παρέχει σαφή και λεπτομερή περιγραφή των μέτρων ασφαλείας που πρέπει να εφαρμοστούν ή, σε άλλες περιπτώσεις, μπορεί να περιγράψει τους ελάχιστους στόχους ασφαλείας που πρέπει να επιτευχθούν, ζητώντας ταυτόχρονα από τον εκτελούντα την επεξεργασία να προτείνει την εφαρμογή συγκεκριμένων μέτρων ασφαλείας. Σε κάθε περίπτωση, ο υπεύθυνος επεξεργασίας πρέπει να παρέχει στον εκτελούντα μια περιγραφή των δραστηριοτήτων επεξεργασίας και των στόχων ασφαλείας (με βάση την εκτίμηση κινδύνου του υπεύθυνου επεξεργασίας), καθώς και την έγκριση των μέτρων που προτείνει ο εκτελών την επεξεργασία».
6. Στην προκειμένη περίπτωση από τα στοιχεία του φακέλου και από την ακροαματική διαδικασία, προέκυψαν τα εξής: Στις … δημιουργήθηκε στην ιστοσελίδα https://joker.opap.gr από άγνωστο πρόσωπο προσωρινός διαδικτυακός λογαριασμός με τα στοιχεία ταυτότητας της καταγγέλλουσας (ονοματεπώνυμο και ΑΔΤ), εν αγνοία της, με όνομα χρήστη “ψ” και με χρήση διεύθυνσης email και αριθμού τηλεφώνου, οι οποίοι ουδεμία σχέση έχουν με τη καταγγέλλουσα. Με δεδομένο ότι η ολοκλήρωση (οριστικοποίηση) της δημιουργίας λογαριασμού μέσω διαδικτύου απαιτεί την ταυτοποίηση του πελάτη μέσω αυτοπρόσωπης παρουσίας του σε Πρακτορείο και επίδειξης της πρωτότυπης αστυνομικής του ταυτότητας, η οποία ακολούθως τυγχάνει ψηφιακής φωτογραφικής επεξεργασίας (scanning) μέσω του ειδικού υπολογιστή του ΟΠΑΠ από τον εκάστοτε πράκτορα, προέκυψε ότι την ίδια ημέρα ακολουθήθηκε η ως άνω διαδικασία στο καταγγελλόμενο Πρακτορείο [περιοχής Χ]. Ο ιδιοκτήτης του Πρακτορείου, Β, και εκτελών την επεξεργασία για λογαριασμό του ΟΠΑΠ, στην από … απάντησή του προς την Αρχή (με αρ. πρωτ. Αρχής Γ/ΕΙΣ/5769/25-08-2020) αναφέρει ότι στην υπό κρίση περίπτωση «τηρήθηκαν επακριβώς τα διαλαμβανόμενα επί της Διαδικασίας εγγραφής των πελατών στο Πρακτορείο του, όπου απαιτείτο η φυσική παρουσία του πελάτη στο Πρακτορείο και η επίδειξη αστυνομικού δελτίου ταυτότητας». Δηλώνει δε ότι τα ίδια ακριβώς ανέφερε και στην ΟΠΑΠ Α.Ε., στην από … επιστολή του. Η δε σχετική διαδικασία περιγράφεται στο Έντυπο Οδηγιών προς τα Πρακτορεία για την Ταυτοποίηση νέου παίκτη 14 Βήμα Βήμα, το οποίο προσκόμισε ο ΟΠΑΠ ως Σχετικό 10 με το από … έγγραφο απόψεών του (αρ. πρωτ. Γ/ΕΙΣ/5824/28-08-2020 και Γ/ΕΙΣ/5852/28-08-2020), απαντώντας σε σχετικό ερώτημα της Αρχής ως προς την πολιτική της εταιρείας για την ταυτοποίηση των παικτών, ισχυριζόμενος ότι η διαδικασία αυτή ακολουθήθηκε και στην περίπτωση της καταγγέλλουσας. Στο έντυπο αυτό περιλαμβάνονται τα ακόλουθα Βήματα Ταυτοποίησης νέου Παίκτη: • … Περαιτέρω, όπως αναφέρεται στην Πολιτική Προστασίας Δεδομένων από Πράκτορες Καταστημάτων ΟΠΑΠ (Σχετ. 7, συνημμένο στο Γ/ΕΙΣ/5824/28-08-2020 έγγραφο απόψεων ΟΠΑΠ), «3.3 Ο Πράκτορας θα πρέπει σε κάθε περίπτωση να επεξεργάζεται τα Προσωπικά Δεδομένα μόνο σύμφωνα με τις καταγεγραμμένες οδηγίες του ΟΠΑΠ (όπως περιλαμβάνονται στην παρούσα Πολιτική ή όπως κατά καιρούς αποστέλλονται από τον ΟΠΑΠ) και μόνο για τους σκοπούς της Σύμβασης Πρακτορείας ή όπως ορίζεται ειδικά στις εν λόγω οδηγίες […], 3.4 […] γ) Ο Πράκτορας, λαμβάνοντας υπ’ όψιν το είδος της Επεξεργασίας που εκτελεί και τις πληροφορίες που διαθέτει, θα βοηθά στη συμμόρφωση του ΟΠΑΠ με τις υποχρεώσεις που προκύπτουν από την Εφαρμοστέα Νομοθεσία, όπως οι υποχρεώσεις που αφορούν: - Την ασφάλεια της Επεξεργασίας, σύμφωνα με το άρθρο 32 του GDPR». Όπως προκύπτει, επομένως, ο ΟΠΑΠ υπό την ιδιότητά του υπευθύνου επεξεργασίας, αναθέτει μέσω σύμβασης στους Πράκτορες, υπό την ιδιότητα των εκτελούντων την επεξεργασία, τη διενέργεια της διαδικασίας ταυτοποίησης παικτών που δημιουργούν λογαριασμό στη σελίδα joker.opap.gr, παρέχοντας συγκεκριμένες και καταγεγραμμένες οδηγίες «βήμα- βήμα» που πρέπει να ακολουθούνται από τους Πράκτορες για την εν λόγω επεξεργασία.
7. Ο καταγγελλόμενος Πράκτορας με τις απόψεις που υπέβαλε στην Αρχή (Γ/ΕΙΣ/135/08-01-2021) υποστήριξε, ανάμεσα σε άλλα, ότι για την ταυτοποίηση όλων των πελατών, τήρησε τη Διαδικασία σχετικά με τη φυσική παρουσία και την επίδειξη της αστυνομικής τους ταυτότητας, ενώ με το μετ’ ακρόαση υπόμνημά του (Γ/ΕΙΣ/2651/19-042021) ανέφερε ότι επρόκειτο «για μια χρονική στιγμή με ιδιαίτερα αυξημένη κινητικότητα και πελατεία που επισκεπτόταν το Πρακτορείο του» λόγω της τοπικής λαϊκής αγοράς [περιοχής Χ] που λάμβανε χώρα την ίδια ημέρα ακριβώς δίπλα από την επιχείρησή του, αλλά και λόγω των διαδοχικών jackpot του ΤΖΟΚΕΡ που είχαν ως αποτέλεσμα τα πιθανά κέρδη να ανέρχονται σε 4 εκ. ευρώ. Έτσι, όπως ο ίδιος ανέφερε, «υπό τις δεδομένες συνθήκες της αθρόας προσέλευσης πελατών στο πρακτορείο μου, η διαδικασία ταυτοποίησης που λάμβανε [χώρα] στα πλαίσια της … (τόσο από εμέ ως διαχειριστή αλλά και από τους 15 υπαλλήλους μου) δεν μπορούσε να είναι εξαιρετικά λεπτομερής – αφού δεν είμαστε δημόσια αρχή – αλλά περιοριζόταν στην τυπική αντιπαραβολή του προσώπου που παρουσιαζόταν ενώπιόν μας και της πρωτότυπης αστυνομικής ταυτότητας που μας επεδείκνυε. Η εν λόγω αντιπαραβολή δεν αποτελεί όμως μια εύκολη διαδικασία, ιδίως υπό συνθήκες έντονης κινητικότητας στο πρακτορείο μου…», ενώ κατά τον ίδιο, αρκετά συχνά παρατηρούνταν αναντιστοιχίες λόγω παλαιότητας της φωτογραφίας ή η αντιπαραβολή ήταν δύσκολη, λόγω σκισιμάτων ή εκδορών στην ταυτότητα, επισημαίνοντας ότι η εν λόγω ταυτότητα στην περίπτωση της καταγγελίας είχε εκδοθεί το έτος
8. Κατά συνέπεια, ο καταγγελλόμενος Πράκτορας υποστήριξε ότι «δεν θα μπορούσε ούτε ο ίδιος προσωπικά ούτε και το προσωπικό του πρακτορείου του να ελέγξουν αλλά και να αντιληφθούν αν κάποιο τρίτο πρόσωπο προσήλθε στο πρακτορείο και προέβη, αντί της καταγγέλλουσας σε ταυτοποίηση του αντίστοιχου λογαριασμού (με τα στοιχεία της καταγγέλλουσας) στον ΟΠΑΠ κάνοντας χρήση της πρωτότυπης ταυτότητας της καταγγέλλουσας».
9. Εν προκειμένω, η ψηφιακή φωτογράφιση του δελτίου ταυτότητας που προσκομίστηκε στο καταγγελλόμενο Πρακτορείο και ταυτίζεται με το δελτίο ταυτότητας της καταγγέλλουσας καθώς και η καταχώριση του ηλεκτρονικού ψηφιακού αντιγράφου της στο σύστημα του ΟΠΑΠ συνιστά επεξεργασία (συλλογή και καταχώριση) των δεδομένων προσωπικού χαρακτήρα της καταγγέλλουσας που πραγματοποιήθηκε με αυτοματοποιημένα μέσα, σύμφωνα με τον ορισμό του άρθρου 4 αρ. 2’ ΓΚΠΔ. Μια τέτοια επεξεργασία λαμβάνει χώρα μόνο υπό την προϋπόθεση συνδρομής μιας από τις νομικές βάσεις του άρθρου 6 παρ. 1 ΓΚΠΔ, τηρουμένων των αρχών επεξεργασίας του άρθρου 5 παρ. 1 ΓΚΠΔ. Για την ορθή εφαρμογή της απαιτούμενης νομικής βάσης και για τη νόμιμη επεξεργασία των προσωπικών δεδομένων κατ’ αρ. 5 παρ. 1 εδ. α’ ΓΚΠΔ στην προκειμένη περίπτωση προϋποτίθεται η επιβεβαίωση της ταυτοπροσωπίας του εμφανιζομένου προσώπου στο Πρακτορείο όπου πρέπει να προσκομίζει το δελτίο ταυτότητάς του προκειμένου να δημιουργήσει λογαριασμό. Η νομική βάση της επεξεργασίας καθορίζεται από τον ΟΠΑΠ, υπό την ιδιότητα του υπευθύνου επεξεργασίας, ενώ ο έλεγχος της ταυτοπροσωπίας, ανατίθεται στον Πράκτορα, υπό την ιδιότητα του εκτελούντος την επεξεργασία με βάση τις ρητές και καταγεγραμμένες εντολές κατ’ αρ. 28 ΓΚΠΔ, τηρουμένων των Πολιτικών που έχει θεσπίσει κατ’ αρ. 24 και 32 ΓΚΠΔ ο ΟΠΑΠ. Εφόσον ο υποψήφιος προς δημιουργία λογαριασμού πελάτης-παίκτης προσκομίζει στο Πρακτορείο ΟΠΑΠ δελτίο με αναγνωριστικά-νομιμοποιητικά στοιχεία ταυτότητας έτερου υποκειμένου των δεδομένων και προσποιείται ότι αυτός απεικονίζεται στο δελτίο ταυτότητας κάνοντας χρήση των στοιχείων αναγνώρισης – ταυτοποίησης, τότε η επεξεργασία των προσωπικών δεδομένων 16 διενεργείται χωρίς την ύπαρξη νομικής βάσης κατ’ αρ. 6 παρ. 1 ΓΚΠΔ και συνακόλουθα κατά παραβίαση της αρχής της νομιμότητας κατ’ αρ. 5 παρ. 1 εδ. α’ ΓΚΠΔ, ανεξαρτήτως του γεγονότος ότι ο Πράκτορας τελούσε σε άγνοια του γεγονότος ότι ο εμφανιζόμενος ενώπιον του δεν ήταν το πρόσωπο που απεικονιζόταν στο δελτίο ταυτότητας εξαιτίας του ότι προέβη σε πλημμελή έλεγχο ταυτοπροσωπίας, όπως θα καταδειχθεί κατωτέρω.
10. Στην περίπτωση της υπό κρίση καταγγελίας, προέκυψε ότι η εσφαλμένη ταυτοποίηση του εμφανιζομένου προσώπου ενώπιον του Πράκτορα του ΟΠΑΠ οφείλεται κατ’ αρχήν στον πλημμελή έλεγχο που παραδέχεται στην προκειμένη περίπτωση ότι εφάρμοσε ως εκτελών την επεξεργασία, λόγω των συνθηκών της μεγάλης κινητικότητας πελατών στο Πρακτορείο του τις ημέρες εκείνες, καθώς … . Ειδικότερα, όπως ο ίδιος ο Πράκτορας ανέφερε συγκεκριμένα «[…]«υπό τις δεδομένες συνθήκες της αθρόας προσέλευσης πελατών στο πρακτορείο μου, η διαδικασία ταυτοποίησης που λάμβανε [χώρα] στα πλαίσια … δεν μπορούσε να είναι εξαιρετικά λεπτομερής – αφού δεν είμαστε δημόσια αρχή – αλλά περιοριζόταν στην τυπική αντιπαραβολή του προσώπου που παρουσιαζόταν ενώπιόν μας και της πρωτότυπης αστυνομικής ταυτότητας που μας επεδείκνυε»… Η εν λόγω αντιπαραβολή δεν αποτελεί όμως μια εύκολη διαδικασία (ιδίως υπό συνθήκες έντονης κινητικότητας στο πρακτορείο μου…». Εν όψει των ανωτέρω, η Αρχή διαπιστώνει κατ’ αρχήν ότι ο μεγάλος αριθμός των εισερχομένων πελατών προς διεξαγωγή εγγραφών («μαζικών» κατά τον πράκτορα) είχε ως αποτέλεσμα ο εν λόγω έλεγχος ταυτοπροσωπίας να γίνεται χωρίς την ενδεδειγμένη και απαιτούμενη υπομονή, προσοχή και επιμέλεια, αλλά αντιθέτως με τη μέγιστη δυνατή ταχύτητα προκειμένου να εξυπηρετηθεί το σύνολο των πελατών όσο το δυνατόν γρηγορότερα. Ο πλημμελής αυτός έλεγχος από το Πρακτορείο είχε ως αποτέλεσμα να μην διαπιστωθεί η έλλειψη ταυτοπροσωπίας και να λάβει χώρα η επεξεργασία των προσωπικών δεδομένων της καταγγέλλουσας δια της ψηφιοποίησης αντιγράφου της αστυνομικής της ταυτότητας και της δημιουργίας αρχικού λογαριασμού στον ΟΠΑΠ, εν αγνοία της καταγγέλλουσας και χωρίς να συντρέχει ουδεμία από τις νομικές βάσεις του άρθρου 6 παρ. 1 ΓΚΠΔ. Ο εν λόγω πλημμελής έλεγχος συνιστά παραβίαση των εκ των άρθρων 24 και 32 ΓΚΠΔ υποχρεώσεων του καταγγελλόμενου ως εκτελούντος την επεξεργασία για την τήρηση των εντολών του υπευθύνου επεξεργασίας προς εφαρμογή των κατάλληλων τεχνικών και οργανωτικών μέτρων κατά τη διαδικασία ταυτοποίησης (πρβλ. ΑΠΔ 140/2017 για την περίπτωση εσφαλμένης ταυτοποίησης και παραβίασης προσωπικών δεδομένων), αφού όπως διαπιστώνεται, δεν τηρήθηκε η αναφερόμενη με αριθμό 3 έγγραφη Οδηγία του Βήματος 2 που περιλαμβάνεται στο έντυπο Οδηγιών προς τα Πρακτορεία για την 17 Ταυτοποίηση νέου παίκτη Βήμα Βήμα, το οποίο προσκόμισε ο ΟΠΑΠ ως Σχετικό 10 με το από 26-08-2020 έγγραφο απόψεών του (αρ. πρωτ. Γ/ΕΙΣ/5824/28-08-2020 και Γ/ΕΙΣ/5852/28-082020), σύμφωνα με την οποία ο Πράκτορας οφείλει να «βεβαιωθεί ότι το έγγραφο αντιστοιχεί με το φυσικό πρόσωπο και το προσκομισμένο έγγραφο που φέρει ο πελάτης». Εξάλλου, παρατηρείται μία ακόμα ανακολουθία των ενεργειών που ο καταγγελλόμενος Πράκτορας δήλωσε ότι εφαρμόζει κατά τη διαδικασία ταυτοποίησης παικτών στο κατάστημά του σε σχέση με τις ρητές Οδηγίες του υπευθύνου επεξεργασίας ΟΠΑΠ. Ειδικότερα, όπως επί λέξει αναφέρεται στο υπόμνημα του καταγγελλόμενου (Γ/ΕΙΣ/2651/19-04-2021, σελ. 4): «Η διαδικασία ταυτοποίησης των χρηστών που προσέρχονταν στην επιχείρησή μου αποτελείτο από δύο αναγκαία στάδια άνευ απαρέγκλιτης τήρησης των οποίων δεν μπορούσε να αποπερατωθεί. Απαιτείτο συγκεκριμένα ι) να προσέλθει στο πρακτορείο αυτοπροσώπως ο ενδιαφερόμενος και να υποδείξει τα στοιχεία πρόσβασής του (username και password) ώστε να αποκτήσουμε πρόσβαση στον λογαριασμό του όπου υπήρχαν τα προσωπικά του στοιχεία (όπως τηλέφωνο και διεύθυνση επικοινωνίας) και ιι) να επιδείξει στον πράκτορα την πρωτότυπη αστυνομική του ταυτότητα. Ο πράκτορας εν συνεχεία έθετε την ταυτότητα έμπροσθεν του ειδικού υπολογιστή της ΟΠΑΠ εντός του πρακτορείου ώστε δια της ενσωματωμένης σε αυτό κάμερας να ληφθεί ψηφιακό αντίγραφο αυτής (scan)». Η υπόδειξη των διαπιστευτηρίων του παίκτη (username και password) στον Πράκτορα δεν περιλαμβάνεται όμως στις «Οδηγίες Βήμα-Βήμα» που έχει λάβει ο εκτελών την επεξεργασία Πράκτορας για την ταυτοποίηση των παικτών σε κατάστημα (σχετ. 10 στο υπ’ αρ. Γ/ΕΙΣ/5824/28-08-2020 έγγραφο απόψεων) ενώ εμφανίζεται ιδιαιτέρως προβληματική από άποψη ασφάλειας (κίνδυνος απώλειας της εμπιστευτικότητας των δεδομένων). Τέλος, από τα έγγραφα του φακέλου διαπιστώθηκε στην προκειμένη περίπτωση ότι ο ΟΠΑΠ αγνοούσε ότι ο Πράκτορας εφάρμοζε διαδικασία ταυτοποίησης διαφορετική από εκείνη που περιλαμβάνεται στις οδηγίες που ο ίδιος παρείχε ως υπεύθυνος επεξεργασίας καθώς και ότι δεν έχει διενεργηθεί σε ανύποπτο χρονικό διάστημα επαρκής έλεγχος της εφαρμογής των παρεχόμενων οδηγιών ταυτοποίησης.
11. Με βάση τα ανωτέρω η Αρχή διαπιστώνει ότι ο εκτελών την επεξεργασία Πράκτορας του ΟΠΑΠ, εφάρμοσε πλημμελώς τη διαδικασία ταυτοποίησης που ορίσθηκε από τον υπεύθυνο επεξεργασίας ΟΠΑΠ, ενώ ο υπεύθυνος επεξεργασίας ΟΠΑΠ δεν προέβη στους αναγκαίους ελέγχους για την διασφάλιση της ορθής εφαρμογής ταυτοποίησης των υποκειμένων των δεδομένων σύμφωνα με τις οδηγίες που ο ίδιος παρείχε. 18 Κατόπιν των ανωτέρω η Αρχή διαπιστώνει : α) παραβίαση του άρθρου 6 παρ. 1 ΓΚΠΔ και της κατ’ αρ. 5 παρ. 1 εδ. α’ ΓΚΠΔ αρχής της νομιμότητας, λόγω έλλειψης νομικής βάσης για την επεξεργασία των προσωπικών δεδομένων της καταγγέλλουσας, λόγω του πλημμελούς ελέγχου ταυτοπροσωπίας που διενήργησε ο καταγγελλόμενος Πράκτορας ως εκτελών την επεξεργασία για λογαριασμό του υπευθύνου επεξεργασίας ΟΠΑΠ και β) παραβίαση των άρθρων 5 παρ. 1 εδ. α’ συνδ. στ’, 24 και 32 ΓΚΠΔ που επιβάλλουν την εφαρμογή των κατάλληλων τεχνικών και οργανωτικών μέτρων για την ορθή ταυτοποίηση – αυθεντικοποίηση του υποκειμένου των δεδομένων από τον εκτελούντα την επεξεργασία βάσει των εντολών του υπευθύνου επεξεργασίας.
12. Σύμφωνα με τον ΓΚΠΔ (βλ. αιτ. σκ. 148) προκειμένου να ενισχυθεί η επιβολή των κανόνων του παρόντος Κανονισμού, κυρώσεις, συμπεριλαμβανομένων των διοικητικών προστίμων, θα πρέπει να επιβάλλονται για κάθε παράβαση του παρόντος Κανονισμού, επιπρόσθετα ή αντί των κατάλληλων μέτρων που επιβάλλονται από την εποπτική αρχή σύμφωνα με τον παρόντα Κανονισμό. Σε περιπτώσεις δε παράβασης ελάσσονος σημασίας ή αν το πρόστιμο που ενδέχεται να επιβληθεί θα αποτελούσε δυσανάλογη επιβάρυνση σε φυσικό πρόσωπο, θα μπορούσε να επιβληθεί επίπληξη αντί προστίμου. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις, χωρίς να χρειάζεται να επιβάλει κατ’ αρ. 83 ΓΚΠΔ διοικητικό πρόστιμο για την αποκατάσταση της συμμόρφωσης προς τις απαιτήσεις του ΓΚΠΔ, λαμβάνοντας υπόψη τις περιστάσεις της συγκεκριμένης περίπτωσης, το γεγονός ότι ο υπεύθυνος επεξεργασίας είχε λάβει τα αναγκαία μέτρα ώστε να μην ολοκληρωθεί η διαδικασία ανοίγματος του λογαριασμού και να μην διενεργηθούν εν συνεχεία επιπλέον πράξεις επεξεργασίας προσωπικών δεδομένων αλλά ούτε να διακινηθούν χρήματα στο πλαίσιο του διαδικτυακού παιγνίου. Θα πρέπει επομένως κατά τα ανωτέρω: i. Να απευθυνθεί προειδοποίηση κατ’ αρ. 58 παρ. 2 εδ. α’ ΓΚΠΔ στον υπεύθυνο επεξεργασίας ΟΠΑΠ ώστε να διενεργεί ελέγχους και δη αποτελεσματικότερους στους εκτελούντες την επεξεργασία Πράκτορες προκειμένου να διασφαλίζει την από μέρους τους τήρηση των οδηγιών ταυτοποίησης υποψήφιων πελατών – παικτών. 19 ii. Να απευθυνθεί στον εκτελούντα την επεξεργασία Πράκτορα Β επίπληξη κατ’ άρ. 58 παρ. 2 εδ. β’ ΓΚΠΔ για παραβίαση των άρθρων 6 παρ. 1, 5 παρ. 1 εδ. α’ συνδ. στ’, 24 και 32 ΓΚΠΔ λόγω επεξεργασίας των προσωπικών δεδομένων της καταγγέλλουσας χωρίς την ύπαρξη νομικής βάσης και κατά πλημμελή τήρηση της διαδικασίας ταυτοποίησης. Βάσει των ανωτέρω, η Αρχή κρίνει ομόφωνα ότι πρέπει να επιβληθεί στον ΟΠΑΠ ως υπεύθυνο επεξεργασίας και στο καταγγελλόμενο Πρακτορείο ως εκτελούντα την επεξεργασία η αναφερόμενη αντίστοιχα στο διατακτικό διοικητική κύρωση, η οποία κρίνεται ανάλογη με τη βαρύτητα της παράβασης. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ Απευθύνει στον υπεύθυνο επεξεργασίας ΟΠΑΠ προειδοποίηση κατ’ αρ. 58 παρ. 2 εδ. α’ ΓΚΠΔ ώστε να διενεργεί ελέγχους και δη αποτελεσματικότερους στους εκτελούντες την επεξεργασία Πράκτορες προκειμένου να διασφαλίζει την από μέρους τους τήρηση των οδηγιών ταυτοποίησης υποψήφιων πελατών – παικτών. Απευθύνει στον εκτελούντα την επεξεργασία Πράκτορα Β επίπληξη κατ’ άρ. 58 παρ. 2 εδ. β’ ΓΚΠΔ για παραβίαση των άρθρων 6 παρ. 1, 5 παρ. 1 εδ. α’ συνδ. στ’, 24 και 32 ΓΚΠΔ λόγω επεξεργασίας των προσωπικών δεδομένων της καταγγέλλουσας χωρίς την ύπαρξη νομικής βάσης και κατά πλημμελή τήρηση της διαδικασίας ταυτοποίησης. Ο Αναπληρωτής Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 20