Αθήνα, 09-02-2026 Αριθ. Πρωτ.: 727 ΑΠΟΦΑΣΗ 03/2026 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε σε σύνθεση Τμήματος μετά από πρόσκληση του Προέδρου της, σε συνεδρίαση μέσω τηλεδιασκέψεως την Τετάρτη 19-07-2023, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Στη συνεδρίαση παρέστησαν ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, και οι Δημοσθένης Βουγιούκας και Μαρία Ψάλλα, αναπληρωματικά μέλη της Αρχής, σε αντικατάσταση των Κωνσταντίνου Λαμπρινουδάκη και Γρηγορίου Τσόλια, αντίστοιχα, οι οποίοι αν και εκλήθησαν νομίμως εγγράφως, δεν παρέστησαν λόγω κωλύματος. Στη συνεδρίαση παρέστη επίσης ο Γεώργιος Κόντης, ως εισηγητής. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν η Ελένη Καπράλου ειδική επιστήμονας νομικός, ως βοηθός εισηγητή, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Τμήματος Διοικητικών Υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη τα παρακάτω: Η Α (εφεξής «καταγγέλλουσα») με την υπ’ αριθ. πρωτ. Γ/ΕΙΣ/5551/02-09-2021 καταγγελία της στην Αρχή, όπως αυτή συμπληρώθηκε, στις 24-09-2021 με τα υποβληθέντα -κατόπιν του από 23-09-2021 μηνύματος της Αρχής- μέσω portal συμπληρωματικά στοιχεία, (και συγκεκριμένα τα μηνύματα ηλεκτρονικού ταχυδρομείου που η καταγγέλλουσα απέστειλε προς το 1520@efpolis.gr), καταγγέλλει το Υπουργείο Ανάπτυξης και Επενδύσεων (εφεξής «καταγγελλόμενο» ή «καταγγελλόμενο Υπουργείο») για την διαρροή του αριθμού του κινητού της τηλεφώνου. Ειδικότερα, όπως ισχυρίζεται η καταγγέλλουσα, την 01-07-2021 η ίδια 1 προέβη σε τηλεφωνική καταγγελία για μη τήρηση των μέτρων προστασίας από την νόσο COVID-19, σε πλοίο με δρομολόγιο από το Χ προς Ψ, αφού είχε προηγουμένως υποβάλει σχετική καταγγελία και μέσω μηνύματος ηλεκτρονικού ταχυδρομείου στην διεύθυνση ηλεκτρονικού ταχυδρομείου 1520@efpolis.gr. Κατά την διάρκεια αυτής της τηλεφωνικής συνομιλίας, σύμφωνα με την καταγγέλλουσα, η υπάλληλος που απάντησε στην κλήση και κατέγραψε την καταγγελία της, ενημέρωσε την καταγγέλλουσα ότι τα στοιχεία της, και συγκεκριμένα το ονοματεπώνυμο και ο αριθμός του κινητού τηλεφώνου της, θα χρησιμοποιούνταν μόνο από την υπηρεσία καταγγελιών σε περίπτωση που κρινόταν αναγκαία η παροχή διευκρινίσεων από πλευράς της. Εν συνεχεία, και σύμφωνα με τα καταγγελλόμενα, στις 06-07-2021 η καταγγέλλουσα δέχθηκε κλήση στο κινητό της τηλέφωνο από τον Πλοίαρχο του ως άνω πλοίου, ο οποίος της ζήτησε διευκρινίσεις για την εν λόγω καταγγελία, αναφέροντάς της ότι του έδωσαν τα στοιχεία της από το καταγγελλόμενο Υπουργείο, προκειμένου να επικοινωνήσει μαζί της και να ζητήσει διευκρινίσεις. Τέλος, η καταγγέλλουσα επικαλείται ότι ακολούθως με το από 08-07-2021 μήνυμα ηλεκτρονικού ταχυδρομείου, που απέστειλε προς τη διεύθυνση ηλεκτρονικού ταχυδρομείου 1520@efpolis.gr , ζήτησε να ενημερωθεί για το εν λόγω περιστατικό διαρροής των προσωπικών της δεδομένων (αποστέλλοντας και σχετικό υπομνηστικό μήνυμα ηλεκτρονικού ταχυδρομείου στις 13-07-2021), ωστόσο δεν έλαβε απάντηση. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, με το υπ’ αριθ. πρωτ. Γ/ΕΞΕ/2149/28-09-2021 έγγραφό της κάλεσε το καταγγελλόμενο Υπουργείο να εκθέσει τις απόψεις του επί αυτής και συγκεκριμένα να διευκρινίσει εάν η καταγγέλλουσα άσκησε το επικαλούμενο δικαίωμα για τα δεδομένα που την αφορούν και σε καταφατική περίπτωση για ποια δεδομένα και με ποιον τρόπο απάντησε το καταγγελλόμενο Υπουργείο στην καταγγέλλουσα, ποια διαδικασία ακολουθείται από την υπηρεσία καταγγελιών του καταγγελλόμενου Υπουργείου για την διαχείριση των τηλεφωνικών καταγγελιών, και ποια διαδικασία ακολουθήθηκε στην περίπτωση της καταγγέλλουσας, εάν τα προσωπικά δεδομένα των καταγγελλόντων κοινολογούνται με οποιονδήποτε τρόπο σε τρίτους και, σε καταφατική περίπτωση, ποιοι είναι οι τυχόν αποδέκτες τους και τέλος εάν έχει οριστεί Υπεύθυνος Προστασίας Δεδομένων (εφεξής «ΥΠΔ»). Το έγγραφο αυτό εστάλη στην ηλεκτρονική διεύθυνση 2 protokollo@mnec.gr, καθώς επίσης κοινοποιήθηκε και στην ηλεκτρονική διεύθυνση της Γενικής Γραμματείας Εμπορίου και Προστασίας Καταναλωτή 1520@efpolis.gr. Επειδή η Αρχή δεν έλαβε απάντηση στα ανωτέρω ερωτήματα εντός της προθεσμίας των 15 ημερών, απέστειλε εκ νέου το ίδιο ως άνω έγγραφο για παροχή απόψεων και με συστημένη επιστολή, η οποία παρελήφθη από το καταγγελλόμενο Υπουργείο στις 16-11-2021 και από την Γενική Διεύθυνση Προστασίας Καταναλωτή (ΓΔΠΚ) στις 15-11-2021. Ακολούθως, το καταγγελλόμενο Υπουργείο απάντησε με καθυστέρηση περίπου δυο μηνών στα ανωτέρω με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/8134/1312-2021 έγγραφό του, και συγκεκριμένα υποστήριξε ότι «Η ΓΔΠΚ διαχειρίζεται την αλληλογραφία που αποστέλλεται στην ηλεκτρονική διεύθυνση 1520@efpolis.gr. Σε αυτήν την ηλεκτρονική διεύθυνση εστάλησαν από την Α (…@gmail.com) τα από 8/7, 13/7 και 26/8/2021 ηλεκτρονικά μηνύματα, με τα οποία τέθηκε θέμα διαρροής των προσωπικών της δεδομένων. Η Υπηρεσία μας δεν δέχθηκε την 1.7.2021 καμία τηλεφωνική καταγγελία από την Α. Εξάλλου, κατά πάγια διοικητική πρακτική, το τηλεφωνικό κέντρο, που λειτουργεί στην ΓΔΠΚ, δεν καταγράφει τηλεφωνικές καταγγελίες, εκτός των περιπτώσεων όπου κατά δήλωση του ενδιαφερομένου (καλούντος) υπάρχει αδυναμία χρήσης των ηλεκτρονικών μέσων. Η πρακτική αυτή θεσμοθετήθηκε με την υπ’ αρ. 74784/5.7.2021 υ.α. (ΦΕΚ Β΄3114). (…) Επισημαίνεται δε, ότι κατά την περίοδο της κρίσιμης κατάστασης, που διαμορφώθηκε λόγω της ραγδαίας διασποράς της νόσου COVID-19, η τηλεφωνική γραμμή 1520 ενεργοποιήθηκε από την Κυβέρνηση για την αντιμετώπιση των συνεπειών της κρίσης αναθέτοντας, ως προς τα εν λόγω θέματα της πανδημίας, το έργο της παροχής υποστήριξης της γραμμής 1520 σε ιδιωτική επιχείρηση. (…) Επιπλέον, σας γνωρίζουμε ότι οι καταγγελίες, που δεν αφορούν τη ΓΔΠΚ, προωθούνται αυτούσιες στους αρμόδιους ελεγκτικούς φορείς, όπως αυτό συνέβη και στην περίπτωση του από 30.06.2021 μηνύματος της Α, το οποίο προωθήθηκε στην Ελληνική Αστυνομία (kepik@astynomia.gr). Τέλος, δεν έχει περιέλθει σε γνώση της Υπηρεσίας μας απόφαση για τον ορισμό Υπεύθυνου Προστασίας Δεδομένων». Ωστόσο, η ως άνω απάντηση του καταγγελλόμενου Υπουργείου κρίθηκε ελλιπής και αόριστη, καθώς δεν απαντούσε κατ’ ουσίαν στο ερώτημα σχετικά με τη διαδικασία που ακολουθείται από την υπηρεσία καταγγελιών του καταγγελλόμενου Υπουργείου για την διαχείριση των τηλεφωνικών καταγγελιών και ποια διαδικασία 3 ακολουθήθηκε στην περίπτωση της καταγγέλλουσας, σε σχέση με την προστασία των δεδομένων προσωπικού χαρακτήρα, ενώ δεν απαντούσε καθόλου στο ερώτημα εάν τα προσωπικά δεδομένα των καταγγελλόντων κοινολογούνται με οποιονδήποτε τρόπο σε τρίτους και σε καταφατική περίπτωση ποιοι είναι οι τυχόν αποδέκτες τους. Ακολούθως, εστάλη από την Αρχή και δεύτερο έγγραφο διευκρινίσεων με αρ. πρωτ. Γ/ΕΞΕ/558/01-03-2022 προς την ηλεκτρονική διεύθυνση protokollo@mnec.gr (ημερομηνία ανάγνωσης: 01.03.2022), με το οποίο ζητήθηκε να χορηγηθούν στην Αρχή τα πλήρη στοιχεία της αναφερόμενης ιδιωτικής επιχείρησης που, κατά το κρίσιμο χρονικό διάστημα, είχε αναλάβει την υποστήριξη του τηλεφωνικού κέντρου της γραμμής 1520 σχετικά με τα θέματα της πανδημίας, καθώς και όπως προσκομισθεί η σχετική σύμβαση. Επίσης, το καταγγελλόμενο Υπουργείο εκλήθη να απαντήσει στην Αρχή σχετικά με το αίτημα της καταγγέλλουσας για ενημέρωση σχετικά με τη διαρροή των προσωπικών της δεδομένων και την πολιτική που ακολουθεί γενικά σε σχέση με την ικανοποίηση αιτημάτων των υποκειμένων των δεδομένων. Η απάντηση του καταγγελλόμενου στο δεύτερο αυτό έγγραφο εστάλη ωστόσο προς την Αρχή με καθυστέρηση περίπου τεσσάρων
(4)μηνών, και μετά την αποστολή συστημένης επιστολής, αφού στο ως άνω μήνυμα ηλεκτρονικού ταχυδρομείου που είχε αποστείλει η Αρχή δεν υπήρξε η οποιαδήποτε ανταπόκριση του καταγγελλομένου. Στην απάντησή του με αρ. πρωτ. Γ/ΕΙΣ/8734/12-07-2022, το καταγγελλόμενο Υπουργείο κάνει απλώς μνεία στις δυο αποφάσεις του Γενικού Γραμματέα Εμπορίου και Προστασίας Καταναλωτή για την απευθείας ανάθεση της παροχής υπηρεσιών υποστήριξης του τηλεφωνικού κέντρου της γραμμής 1520 για την αντιμετώπιση των συνεπειών της κατεπείγουσας και απρόβλεπτης κρίσιμης κατάστασης, που διαμορφώθηκε λόγω της διασποράς της λοιμώδους νόσου COVID19, στην ανώνυμη εταιρεία με την επωνυμία «Cosmote e-value Υπηρεσίες Contact Center Α.Ε.» (εφεξής «COSMOTE EVALUE»), σε εκτέλεση των οποίων, όπως αναφέρει υπεγράφησαν οι σχετικές συμβάσεις με την εν λόγω εταιρεία, προσκομίζοντας και τα σχετικά έγγραφα (ειδικότερα προσκομίζει τις αποφάσεις του Γενικού Γραμματέα Εμπορίου και Προστασίας Καταναλωτή με αρ. … και …, δυνάμει των οποίων υπογράφηκαν μεταξύ του Υπουργείου και της εταιρίας COSMOTE EVALUE οι από 1410-2020 και 19-07-2021 συμβάσεις αντίστοιχα, και τις συμβάσεις αυτές). Εμμένει δε, ότι «Η Γενική Διεύθυνση Προστασίας Καταναλωτή (ήδη Γενική Διεύθυνση Αγοράς και 4 Προστασίας Καταναλωτή) δεν δέχθηκε στο τηλεφωνικό της κέντρο καταγγελία της αναφερόμενης», καθώς επίσης προσθέτει ότι «(…) τα ηλεκτρονικά μηνύματα (emails) της αναφερόμενης περί διαρροής των προσωπικών δεδομένων της προωθήθηκαν στο Γραφείο του Γενικού Γραμματέα Εμπορίου προς ενημέρωση». Στη συνέχεια, η Αρχή απέστειλε το με αρ. πρωτ. Γ/ΕΙΣ/1864/19-07-2022 έγγραφο παροχής διευκρινίσεων προς την εταιρία COSMOTE EVALUE, τάσσοντας προθεσμία 15 ημερών. Η εν λόγω εταιρία απάντησε στις 02-08-2022, με το με αρ. πρωτ. Γ/ΕΙΣ/9304/03-08-2022 έγγραφο, στο οποίο αναφέρει ότι «Η COSMOTE EVALUE, στο πλαίσιο σχετικής σύμβασης με την Γενική Γραμματεία Εμπορίου και Προστασίας Καταναλωτή, ανέλαβε την λειτουργία του τηλεφωνικού κέντρου της Γραμμής Καταναλωτή 1520 για την αντιμετώπιση των συνεπειών της κατεπείγουσας και απρόβλεπτης κρίσιμης κατάστασης που διαμορφώθηκε λόγω της διασποράς της νόσου COVID-
- Όπως προκύπτει από τα σενάρια επικοινωνίας, που αναπτύχθηκαν στο πλαίσιο της προαναφερόμενης συνεργασίας (ΣΥΝ. 1), οι παρεχόμενες υπηρεσίες δεν περιελάμβαναν την υποβολή καταγγελιών μέσω του τηλεφωνικού κέντρου για θέματα πρόληψης της διασποράς του κορωνοϊού. Συγκεκριμένα, όπως προκύπτει και από το Συν. 1, μέσω της επιλογής 4, ο καλών που επιθυμούσε την υποβολή καταγγελίας, άκουγε ηχογραφημένο μήνυμα που τον κατηύθυνε είτε στην ιστοσελίδα του Υπουργείου Ανάπτυξης και Επενδύσεων είτε στην αποστολή email προς την ηλεκτρονική διεύθυνση dimea@mnec.gr. Σε έρευνα που διενεργήθηκε από την COSMOTE EVALUE, η κλήση της καταγγέλλουσας δε βρέθηκε, καθώς είχε παρέλθει το ένα έτος που είχε ορισθεί ως χρόνος διατήρησης με τον Υπεύθυνο Επεξεργασίας. Τέλος, όπως αναφέρει και η καταγγέλλουσα, η κλήση προς τη γραμμή 1520 διαδέχθηκε την καταγγελία της προς την προαναφερθείσα ηλεκτρονική διεύθυνση». Σε συνέχεια των ανωτέρω, η Αρχή απέστειλε τις υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/3137/06-12-2022, Γ/ΕΞΕ/3138/06-12-2022 και Γ/ΕΞΕ/3139/06-12-2022 κλήσεις της προς την COSMOTE EVALUE, την καταγγέλλουσα και το καταγγελλόμενο Υπουργείο αντίστοιχα, προκειμένου να παραστούν μέσω τηλεδιασκέψεως στη συζήτηση της υπόθεσης στο Τμήμα της Αρχής την 14-12-
- Στο σημείο αυτό επισημαίνεται ότι με την ως άνω κλήση της Αρχής (υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/3139/0612-2022), το καταγγελλόμενο Υπουργείο κλήθηκε να διευκρινίσει επιπλέον και εάν έχει προβεί στον ορισμό Υπευθύνου Προστασίας Δεδομένων, καθώς και στη σχετική 5 ανακοίνωση των στοιχείων επικοινωνίας του προς την Αρχή (άρθρο 37 ΓΚΠΔ). Κατά την ημερομηνία της 14-12-2022, υποβλήθηκε αίτημα αναβολής εκ μέρους του καταγγελλόμενου Υπουργείου (με αριθμό πρωτ. Γ/ΕΙΣ/12523/12-12-2022), προκειμένου -όπως ανέφερε- να προσκομισθούν νέα συμπληρωματικά στοιχεία, το οποίο έγινε δεκτό, και ορίσθηκε νέα ημερομηνία συζήτησης η 11-01-
- Ακολούθως, το Υπουργείο Ανάπτυξης και Επενδύσεων προσκόμισε το με αριθμ. πρωτ. Γ/ΕΙΣ/12865/19-12-2022 συμπληρωματικό στοιχείο, του οποίου έλαβε γνώση μετά από αίτημά της (με αριθμό πρωτ. Γ/ΕΙΣ/12628/16-12-2022) και η COSMOTE EVALUE (με το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/3392/22-12-2022 έγγραφο της Αρχής) και από το οποίο προκύπτουν τα ακόλουθα: Την 01-07-2021 έλαβε χώρα η καταγγελία της Α στην τηλεφωνική γραμμή καταναλωτή 1520 του Υπουργείου Ανάπτυξης και Επενδύσεων με αριθμό πρωτ. … και την ίδια ημέρα απεστάλη στο καταγγελλόμενο (και συγκεκριμένα στην Διϋπηρεσιακή Μονάδα Ελέγχου Αγοράς- εφεξής «ΔΙ.Μ.Ε.Α.») αυτοματοποιημένο μήνυμα από την COSMOTE EVALUE (από την ηλεκτρονική διεύθυνση robotmail@cosmote-evalue.gr), στο οποίο αναφερόταν περιληπτικά η καταγγελία της καταγγέλλουσας για παραβίαση των μέτρων αντιμετώπισης της νόσου COVID στο πλοίο με δρομολόγιο Χ-Ψ, με το ονοματεπώνυμό της και τον αριθμό του κινητού της τηλεφώνου. Εν συνεχεία η ΔΙ.Μ.Ε.Α. διαβίβασε το μήνυμα αυτό αυτούσιο στο Κεντρικό Λιμεναρχείο Χ, ως αρμόδιο ελεγκτικό όργανο για τα καταγγελλόμενα (με το με αριθμ. πρωτ. … έγγραφό της), το οποίο με τη σειρά του απάντησε προς τη ΔΙ.Μ.Ε.Α. με το υπ’ αριθμ. πρωτ. … έγγραφό του, επισυνάπτοντας, μεταξύ άλλων και τις από 12-07-2021 απόψεις του Πλοιάρχου Β. Σύμφωνα με τον τελευταίο τηρήθηκαν όλα τα μέτρα προστασίας κατά της νόσου COVID 19 στο πλοίο, επισυνάπτει μάλιστα σε συνεννόηση με την πλοιοκτήτρια εταιρεία «…», κατάσταση επιβατών, στους οποίους συμπεριλαμβάνεται και η καταγγέλλουσα, καθώς και το συμπληρωμένο έντυπο-ερωτηματολόγιο δήλωσης υγείας της, συμπληρωμένο από την ίδια πριν την επιβίβασή της στο εν λόγω πλοίο. Επιπλέον, στο υπ’ αριθμ. πρωτ. … έγγραφο του Υπουργείου Ανάπτυξης και Επενδύσεων αναφέρεται ότι την 29 Ιουλίου 2022 το Υπουργείο ανέθεσε τα καθήκοντα του Υπευθύνου Προστασίας Δεδομένων (ΥΠΔ) σε εξωτερικό συνεργάτη, τα στοιχεία του οποίου έχουν ανακοινωθεί κανονικά στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, καλεί δε με το εν λόγω έγγραφο τις υπηρεσίες του Υπουργείου να εκδηλώσουν τις κατά την κρίση τους 6 ενέργειες ώστε να προγραμματίσουν συναντήσεις εργασίας με τον Υπεύθυνο Προστασίας Δεδομένων, προκειμένου έγκαιρα να ολοκληρωθεί το μέρος του φυσικού αντικειμένου της σύμβασης με τον ΥΠΔ και να κάνουν χρήση των συμβουλευτικών υπηρεσιών σε ειδικότερα θέματα που άπτονται της αρμοδιότητάς τους (συμβάσεις, αιτήματα πολιτών, διοικητικά θέματα κτλ). Περαιτέρω, ενόψει της συνεδρίασης της 11-01-2023 της Αρχής, το καταγγελλόμενο Υπουργείο προσκόμισε με το με αριθμ. πρωτ. Γ/ΕΙΣ/173/11-01-2023 έγγραφο τις απόψεις του Υπευθύνου Προστασίας Δεδομένων Γ επί του θέματος, ο οποίος υποστήριξε ότι ναι μεν η καταγγέλλουσα ζήτησε να ενημερωθεί για την επικαλούμενη διαρροή των στοιχείων της με τα από 08-07-2021 και 13-07-2021 αιτήματά της, πλην όμως, ουδέποτε έλαβε χώρα τέτοια διαρροή από υπηρεσία του Υπουργείου προς την ναυτική εταιρεία ή τον Πλοίαρχο του συγκεκριμένου πλοίου, ενώ σχετικά με την παράλειψη απάντησης στα αιτήματα αυτά αναφέρει ότι «ο αρμόδιος τότε υπάλληλος δεν θεώρησε ότι όφειλε να απαντήσει εντός συγκεκριμένης προθεσμίας στην καταγγέλλουσα». Επιπλέον, ισχυρίζεται ότι η καταγγελία της καταγγέλλουσας για μη τήρηση των μέτρων προστασίας από τη νόσο COVID διαβιβάστηκε στο αρμόδιο Λιμεναρχείο, με την ένδειξη «εμπιστευτικό», προκειμένου να γίνουν οι περαιτέρω ενέργειες, αλλά συγχρόνως να προστατευθούν και τα προσωπικά δεδομένα της καταγγέλλουσας από τυχόν τρίτο αποδέκτη της καταγγελίας της. Στο πλαίσιο του ελέγχου αυτής της καταγγελίας, ζητήθηκαν από τις αρμόδιες αρχές από την πλοιοκτήτρια εταιρία (… Ναυτική Εταιρία) οι απόψεις του πλοιάρχου επί των καταγγελλομένων, όπως προκύπτει από το με αρ. πρωτ. … έγγραφο. Το καταγγελλόμενο περαιτέρω ισχυρίζεται -διά του ΥΠΔ- ότι η τηλεφωνική επικοινωνία εκ μέρους του πλοιάρχου προς την καταγγέλλουσα, την οποία η τελευταία επικαλείται και κατά τους ισχυρισμούς της πραγματοποιήθηκε στις 06-072021, δηλαδή μία ημέρα μετά την εν λόγω διαβίβαση της καταγγελίας, δεν ήταν αποτέλεσμα διαρροής των στοιχείων της από το καταγγελλόμενο Υπουργείο, αλλά αυτός έλαβε γνώση αυτών μετά την διαβίβαση της καταγγελίας από το γραφείο της Γενικής Αστυνομίας του Κεντρικού Λιμεναρχείου Χ, καθώς επίσης ο πλοίαρχος είχε ήδη γνώση των στοιχείων αυτών από το έντυπο που είχε συμπληρώσει η ίδια η καταγγέλλουσα πριν την επιβίβασή της στο πλοίο. Συνεχίζει δε, αναφέροντας ότι πράγματι τα αιτήματα της καταγγέλλουσας για ενημέρωση σχετικά με την διαρροή 7 των προσωπικών της δεδομένων, έπρεπε να είχαν εκληφθεί από την υπηρεσία του Υπουργείου ως άσκηση δικαιώματος πρόσβασης, αφού αυτή ζήτησε ενημέρωση σχετικά με κοινολόγηση των προσωπικών της δεδομένων σε τρίτους αποδέκτες, και ο αρμόδιος υπάλληλος όφειλε να είχε απαντήσει χωρίς καθυστέρηση και πάντως εντός μηνός από την παραλαβή τους. Τέλος, απαριθμεί σειρά ενεργειών, που έχουν γίνει από την ημέρα που ανέλαβε καθήκοντα ΥΠΔ (29-07-2022), όπως ενδεικτικά συναντήσεις εργασίας με τις υπηρεσίες του Υπουργείου, διεξαγωγή οκτώ 2ωρων επιμορφωτικών συναντήσεων μέσω zoom με τις υπηρεσίες του Υπουργείου, επικαιροποίηση του πλαισίου συμμόρφωσης του Υπουργείου, εφαρμογή πολιτικής προστασίας προσωπικών δεδομένων, διαδικασίας ανταπόκρισης σε αιτήματα πρόσβασης σε προσωπικά δεδομένα, διαδικασίας ανταπόκρισης σε αιτήματα για πληροφορίες, διαδικασίας καταγραφής παραπόνων σχετικά με την προστασία των προσωπικών δεδομένων, καθώς και προγραμματισμός για εκπαίδευση του προσωπικού σε ζητήματα χειρισμού αιτημάτων υποκειμένων των δεδομένων, λαμβάνοντας υπόψη και την ενώπιον της Αρχής υπό εξέταση υπόθεση. Σε συνέχεια των ανωτέρω, στην μετ’ αναβολή δικάσιμο της 11-01-2023 η συζήτηση της υπόθεσης διεξήχθη κανονικά, αφού προηγουμένως είχε σταλεί και η υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/8/3-1-2023 κλήση προς την καταγγέλλουσα, η οποία είχε παραστεί κατά την αρχική ημερομηνία συζήτησης με υπόμνημα. Κατά τη συνεδρίαση της 11-01-2023 του Τμήματος της Αρχής παρέστησαν μέσω τηλεδιάσκεψης για λογαριασμό του Υπουργείου Ανάπτυξης και Επενδύσεων ο Δ Προϊστάμενος Διεύθυνσης Πολιτικής και Γενικής Διεύθυνσης Αγοράς και Προστασίας Καταναλωτή της Γενικής Γραμματείας Εμπορίου, ο Ε, Προϊστάμενος Τμήματος Επικοινωνίας και Εξωστρέφειας της Διεύθυνσης Πολιτικής και Ενημέρωσης Καταναλωτή και ο Γ, πρόσωπο επαφής Υπευθύνου Προστασίας Δεδομένων του καταγγελλόμενου Υπουργείου, καθώς και η Ελένη Γερούτση, δικηγόρος (ΑΜΔΣ…), η οποία εκπροσώπησε την εταιρεία με την επωνυμία COSMOTE EVALUE, ενώ η καταγγέλλουσα, με το από 09-01-2023 μήνυμα ηλεκτρονικού ταχυδρομείου προς την Αρχή, ενημέρωσε παραδεκτώς ότι παρίσταται με το υπόμνημα που είχε ήδη υποβάλει στις 08-12-2022 κατά την αρχική ημερομηνία συζήτησης της υπόθεσης. Κατά την ακρόαση τα μέρη ανέπτυξαν τις απόψεις τους και στη συνέχεια, έλαβαν προθεσμία κατάθεσης υπομνήματος μέχρι 20-01-2023 και κατέθεσαν 8 εμπρόθεσμα, το μεν καταγγελλόμενο Υπουργείο το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/451/23-012023 υπόμνημα, η δε εταιρεία COSMOTE EVALUE το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/428/2001-2023 υπόμνημα. Η δε καταγγέλλουσα επανέφερε, όπως προαναφέρεται, το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/12407/8-12-2022 υπόμνημά της, με το οποίο αναφέρθηκε στην καταγγελία της και συμπλήρωσε ότι η ανάθεση της διαχείρισης των καταγγελιών για τα μέτρα τήρησης κατά της COVID-19 σε ιδιωτική εταιρεία από το καταγγελλόμενο Υπουργείο δεν έγινε με τον ενδεδειγμένο τρόπο, με αποτέλεσμα να μην προστατεύονται τα προσωπικά της δεδομένα. Το καταγγελλόμενο Υπουργείο επανέλαβε στο με αριθμ. πρωτ. Γ/ΕΙΣ/451/2301-2023 υπόμνημα τους ισχυρισμούς, που ανέπτυξε στο με αριθμ. πρωτ. Γ/ΕΙΣ/173/11-01-2023 έγγραφό του (απόψεις ΥΠΔ), περαιτέρω δε επεσήμανε ότι διαβίβαση δεδομένων της καταγγέλλουσας, από οποιαδήποτε υπηρεσία του Υπουργείου απευθείας προς τον πλοίαρχο (ή τη ναυτική εταιρεία στην οποία εκείνος λειτουργεί), ουδέποτε συνέβη ούτε διαμαρτύρεται η καταγγέλλουσα για τη διαβίβαση της καταγγελίας στον αρμόδιο φορέα εποπτείας και γι’ αυτό η εν λόγω καταγγελία τυγχάνει ουσία αβάσιμη και πρέπει γι’ αυτό να τεθεί στο αρχείο. Περαιτέρω, το καταγγελλόμενο Υπουργείο αποδέχθηκε ότι πράγματι υπήρξε καθυστέρηση ανταπόκρισης στις κλήσεις της Αρχής, αναφέροντας ότι λόγω του ότι η Γενική Διεύθυνση Αγοράς και Προστασίας Καταναλωτή (ΓΔΑΠΚ) δεν δέχθηκε τηλεφωνική κλήση την 01-07-2021 στο τηλεφωνικό της κέντρο, και συγχρόνως ήταν αναρμόδια να επικοινωνήσει με την ανάδοχο εταιρεία COSMOTE EVALUE, στην οποία είχε ανατεθεί η παροχή τηλεφωνικής υποστήριξης κατά τον κρίσιμο χρόνο, επήλθε καθυστέρηση στην ανταπόκριση του Υπουργείου, καθώς χρειάστηκε να γίνουν διαβουλεύσεις σχετικά με το ποια υπηρεσία όφειλε να απαντήσει στην Αρχή, ενώ επιπροσθέτως αναφέρει ότι η καθυστέρηση αυτή οφειλόταν και στην έλλειψη εμπειρίας στη διαχείριση καταγγελιών περί παραβίασης προσωπικών δεδομένων, αλλά και στην πεποίθηση ότι ουδεμία διαρροή υπήρξε από το καταγγελλόμενο Υπουργείο. Έκτοτε, όπως επισημαίνει το καταγγελλόμενο, όλα τα ερωτήματα της Αρχής απαντήθηκαν εμπροθέσμως, τηρήθηκαν οι ταχθείσες από την Αρχή προθεσμίες και συμμετείχε και στην συνεδρίαση της Αρχής. Προσκομίζονται μάλιστα εκ νέου η Πολιτική Προστασίας Προσωπικών Δεδομένων, η διαδικασία ανταπόκρισης σε αιτήματα πρόσβασης προσωπικών δεδομένων, η διαδικασία ανταπόκρισης σε 9 αιτήματα για πληροφορίες προσωπικών δεδομένων, καθώς και η διαδικασία καταγραφής παραπόνων σχετικά με την προστασία των προσωπικών δεδομένων. Ωστόσο, το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/654/27-01-2023 συμπληρωματικό ως προς το ως άνω υπόμνημα του καταγγελλόμενου Υπουργείου δεν λαμβάνεται υπόψιν από την Αρχή, καθώς εστάλη εκπρόθεσμα στις 26-01-
- Τέλος, η εταιρεία COSMOTE EVALUE ισχυρίσθηκε στο με αριθμ. πρωτ. Γ/ΕΙΣ/428/20-01-2023 υπόμνημά της ότι, με βάση τα νέα στοιχεία που προσκομίστηκαν από το καταγγελλόμενο Υπουργείο, προέκυψε αδιαμφισβήτητα ότι η εν λόγω εταιρεία ουδεμία σχέση έχει με την υπό κρίση περίπτωση. Συμπληρώνει δε, την με αριθμ. πρωτ. Γ/ΕΙΣ/9304/03-08-2022 επιστολή της προς την Αρχή, αναφέροντας ότι «στο πλαίσιο της συνεργασίας της COSMOTE EVALUE με την Γενική Γραμματεία Εμπορίου και Προστασίας Καταναλωτή, για τη λειτουργία του τηλεφωνικού κέντρου της Γραμμής Καταναλωτή 1520 για την υποβολή καταγγελιών των πολιτών για την μη τήρηση των υγειονομικών μέτρων για την αντιμετώπιση του κορονοϊού, ο καλών στο 1520 είχε τη δυνατότητα: α) να αποστείλει email απευθείας στην ηλεκτρονική διεύθυνση dimea@mnec.grσύμφωνα με τις οδηγίες που δίνονταν με ηχογραφημένο μήνυμα μέσω ivr μέσω της επιλογής 4 ή β) να περιγράψει το καταγγελλόμενο από αυτόν περιστατικό στον agent του τηλεφωνικού κέντρου 1520, ο οποίος έκανε καταγραφή των βασικών προσωπικών στοιχείων του καταγγέλλοντος, καθώς και μιας σύντομης περιγραφής της καταγγελίας. Τα εν λόγω στοιχεία αποστέλλονταν αυτοματοποιημένα στον ΔΙ.Μ.Ε.Α., προκειμένου να λάβουν γνώση και να διαχειριστούν την καταγγελία οι αρμόδιες υπηρεσίες. Αυτό φαίνεται να συνέβη και στην περίπτωση της καταγγέλλουσας, όπως προκύπτει από το αυτοματοποιημένο από 1.7.2021 email, που προσκομίστηκε από το Υπουργείο στην Αρχή». Τέλος, αναφέρει ότι ο χρόνος τήρησης των δεδομένων υπό την ιδιότητά της ως εκτελούσα την επεξεργασία για λογαριασμό του Υπουργείου είναι ένα έτος, το οποίο εκκινεί από την ημερομηνία δημιουργίας των προσωπικών δεδομένων (για τα emails από την ημερομηνία αποστολής τους). Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου και όσων προέκυψαν από την ενώπιόν της ακροαματική διαδικασία, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου, μετά από διεξοδική συζήτηση 10 ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
- Επειδή σύμφωνα με τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (EE) 2016/679 (εφεξής, ΓΚΠΔ) και του άρθρου 9 του Ν. 4624/2019 (ΦΕΚ Α ́ 137), η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της εν λόγω καταγγελίας, καθόσον τα κύρια παράπονα της καταγγέλλουσας περί διαρροής των προσωπικών της δεδομένων και μη ικανοποίησης δικαιώματος πρόσβασης, ερείδονται επί καταγγέλλουσας επεξεργασίας που λαμβάνει δεδομένων χώρα με προσωπικού χαρακτήρα αυτοματοποιημένα και της μη αυτοματοποιημένα μέσα και ως εκ τούτου ιδρύεται αρμοδιότητα της Αρχής (άρθρα 2 παρ. 1 ΓΚΠΔ και 2 Ν. 4624/2019).
- Επειδή ειδικότερα, σύμφωνα με το άρθρο 4 στοιχ. 1 του ΓΚΠΔ «δεδομένα προσωπικού χαρακτήρα είναι κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου».
- Επειδή περαιτέρω, σύμφωνα με το άρθρο 4 στοιχ. 2 του ΓΚΠΔ επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με 11 διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή».
- Επειδή σύμφωνα με το άρθρο 4 περ. 7 ΓΚΠΔ υπεύθυνος επεξεργασίας είναι «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους».
- Επειδή σύμφωνα με το άρθρο 4 περ. 8 ΓΚΠΔ εκτελών την επεξεργασία είναι «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου της επεξεργασίας».
- Επειδή σύμφωνα με το άρθρο 4 περ. 12 παραβίαση δεδομένων προσωπικού χαρακτήρα είναι «η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία».
- Επειδή επιπλέον, σύμφωνα με το άρθρο 31 ΓΚΠΔ «Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία, και κατά περίπτωση, οι εκπρόσωποί τους συνεργάζονται, κατόπιν αιτήματος, με την εποπτική αρχή για την άσκηση των καθηκόντων της».
- Επειδή, στο άρθρο 37 ορίζεται ότι «Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία ορίζουν υπεύθυνο προστασίας δεδομένων σε κάθε περίπτωση στην οποία: α) η επεξεργασία διενεργείται από δημόσια αρχή ή φορέα, εκτός από τα δικαστήρια που ενεργούν στο πλαίσιο της δικαιοδοτικής τους αρμοδιότητας (…)».
- Επειδή, σύμφωνα με το άρθρο 12 παρ. 1 και 3 ΓΚΠΔ «
- Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 και του άρθρου 34 σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, ιδίως όταν πρόκειται για πληροφορία απευθυνόμενη ειδικά σε παιδιά. Οι πληροφορίες παρέχονται γραπτώς ή με άλλα μέσα, μεταξύ άλλων, εφόσον 12 ενδείκνυται, ηλεκτρονικώς. (…)
- Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα, η ενημέρωση παρέχεται, εάν είναι δυνατόν, με ηλεκτρονικά μέσα, εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό».
- Επειδή περαιτέρω, σύμφωνα με το άρθρο 15 ΓΚΠΔ «
- Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες: α) τους σκοπούς της επεξεργασίας, β) τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, γ) τους αποδέκτες ή τις κατηγορίες αποδεκτών στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα, ιδίως τους αποδέκτες σε τρίτες χώρες ή διεθνείς οργανισμούς, δ) εάν είναι δυνατόν, το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, ε) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για διόρθωση ή διαγραφή δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που αφορά το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην εν λόγω επεξεργασία, στ) το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, ζ) όταν τα δεδομένα προσωπικού χαρακτήρα δεν συλλέγονται από το υποκείμενο των δεδομένων, κάθε διαθέσιμη πληροφορία σχετικά με την προέλευσή τους, η) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που προβλέπεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, 13 καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων. (…)».
- Επειδή επιπλέον, σύμφωνα με το άρθρο 58 παράγραφος 2 (β) ΓΚΠΔ «(…)
- Κάθε αρχή ελέγχου διαθέτει όλες τις ακόλουθες διορθωτικές εξουσίες: (…) β) να απευθύνει επιπλήξεις στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία όταν πράξεις επεξεργασίας έχουν παραβεί διατάξεις του παρόντος κανονισμού (…)».
- Επειδή τέλος, στην ΚΥΑ με αρ. Δ1α/ΓΠ.οικ.39842 (ΦΕΚ Β/2744/26-06-2021), που ίσχυε για το χρονικό διάστημα από 28.06.2021 έως 05.07.2021, που είναι και το κρίσιμο στη συγκεκριμένη περίπτωση, και στο άρθρο 3 παρ. 1 περ. 7 αυτής, ορίζεται ότι «
- Σε περίπτωση μη τήρησης των μέτρων των άρθρων 1 και 2, επιβάλλονται, ανάλογα με τον βαθμό διακινδύνευσης της δημόσιας υγείας, για κάθε παράβαση, με πράξη της αρμόδιας αρχής, κυρώσεις σύμφωνα με τον πίνακα που ακολουθεί: (…)
- Μη τήρηση υγειονομικών μέτρων που αφορούν σε επιβατηγά-οχηματαγωγά πλοία που εκτελούν θαλάσσιες ενδομεταφορές, θαλάσσια ταξί και λάτζες: α ) στους επιβάτες, τους ναυτικούς πράκτορες και τα μέλη πληρώματος, διοικητικό πρόστιμο εκατόν πενήντα
(150)ευρώ β) στον πλοιοκτήτη, τον διαχειριστή, τους πλοιάρχους και τους φορείς κυβερνητικής πιστοποίησης διοικητικό πρόστιμο χιλίων (1.000) ευρώ», ενώ στο άρθρο 5 ορίζονται ως αρμόδιες αρχές ελέγχου και επιβολής κυρώσεων η Γενική Γραμματεία Εμπορίου και Προστασίας Καταναλωτή, η Ελληνική Αστυνομία, οι Λιμενικές Αρχές στην περιοχή ευθύνης τους, και ως αρμόδια όργανα ελέγχου οι ελεγκτές της Διϋπηρεσιακής Μονάδας Ελέγχου Αγοράς, το ένστολο προσωπικό της Ελληνικής Αστυνομίας και το ένστολο προσωπικό των Λιμενικών Αρχών. Τέλος, στο άρθρο 10 ορίζεται ότι «Αρμόδια για την ενημέρωση του κοινού ως προς την εφαρμογή της παρούσας ορίζεται η Γενική Γραμματεία Εμπορίου και προστασίας Καταναλωτή του Υπουργείου Ανάπτυξης και Επενδύσεων, μέσω του τετραψήφιου τηλεφωνικού αριθμού 1520».
- Επειδή εν προκειμένω, εφαρμόζεται ο Γενικός Κανονισμός Προστασίας των Δεδομένων (ΕΕ) 679/2016, καθώς υπήρξε επεξεργασία των προσωπικών δεδομένων της καταγγέλλουσας, και συγκεκριμένα του ονόματος, επωνύμου, αριθμού κινητού τηλεφώνου, και λοιπών πληροφοριών που αφορούν την ιδιωτική της ζωή, όπως το πλοίο στο οποίο επέβαινε και ο προορισμός του ταξιδιού της, και μάλιστα τόσο αυτοματοποιημένη (ήτοι με το αυτοματοποιημένο 14 μήνυμα ηλεκτρονικού ταχυδρομείου της εκτελούσας την επεξεργασία προς την ΔΙ.Μ.Ε.Α.-Γ/ΕΙΣ/12865/1912-2022), όσο και μη αυτοματοποιημένη επεξεργασία των δεδομένων αυτών, τα οποία περιλαμβάνονται σε σύστημα αρχειοθέτησης (ήτοι στην κατάσταση με τα στοιχεία των επιβαινόντων στο πλοίο). Τα δεδομένα αυτά εμπίπτουν στον ορισμό του άρθρου 4 ΓΚΠΔ σε σχέση με τα προσωπικά δεδομένα, διότι αφορούν ατομικά την καταγγέλλουσα και αποτελούν πληροφορίες μέσω των οποίων μπορεί να εξακριβωθεί η ταυτότητά της. Η επεξεργασία της οποίας διήλθαν τα δεδομένα αυτά διενεργήθηκε από το καταγγελλόμενο Υπουργείο ως υπεύθυνο επεξεργασίας, καθώς αυτό καθόρισε αποκλειστικά τον σκοπό και τους τρόπους της επεξεργασίας τους, που αφορούσε την καταχώριση των δεδομένων αυτών σε αρχείο, την αποθήκευσή τους και την κοινολόγησή τους με διαβίβαση σε τρίτα πρόσωπα. Στο σημείο αυτό επισημαίνεται ότι ανεξάρτητα από τα αρμόδια όργανα ελέγχου και επιβολής κυρώσεων, στα οποία όφειλε το καταγγελλόμενο Υπουργείο να διαβιβάσει την καταγγελία, αυτό εξακολουθεί να είναι υπεύθυνος επεξεργασίας και δεσμεύεται από τις υποχρεώσεις που επιβάλει ο ΓΚΠΔ, μεταξύ των οποίων και η υποχρέωση να ικανοποιεί τα δικαιώματα που ασκούν τα υποκείμενα των δεδομένων. Μάλιστα η καταγγέλλουσα παραπονείται ότι τα προσωπικά της δεδομένα διέρρευσαν παρανόμως σε τρίτα πρόσωπα και συγκεκριμένα στον πλοίαρχο του πλοίου, στο οποίο επέβαινε, ο οποίος στις 06-07-2021 της τηλεφώνησε ζητώντας της διευκρινίσεις για την καταγγελία της, γεγονός για το οποίο η καταγγέλλουσα ακολούθως ζήτησε ενημέρωση από το καταγγελλόμενο Υπουργείο, ασκώντας το δικαίωμα πρόσβασης (άρθρο 15 ΓΚΠΔ), στο οποίο όμως, δεν έλαβε την οποιαδήποτε απάντηση (άρθρο 12 παρ. 1 ΓΚΠΔ). Τέλος, το καταγγελλόμενο Υπουργείο ανέθεσε μέρος της επεξεργασίας και δη την διαχείριση των κλήσεων των πολιτών που επιθυμούσαν να υποβάλουν καταγγελία σχετικά με την μη τήρηση των μέτρων κατά της COVID-19, σε ιδιωτική εταιρία (COSMOTE EVALUE), η οποία προέβη σε επεξεργασία των προσωπικών δεδομένων της καταγγέλλουσας για λογαριασμό του, δυνάμει των σχετικών συμβάσεων που είχε υπογράψει με το καταγγελλόμενο, καθιστάμενη κατά τον τρόπο αυτό εκτελούσα την επεξεργασία.
- Επειδή, και σε σχέση με το ανωτέρω αναφερόμενο δικαίωμα πρόσβασης της καταγγέλλουσας, στις πρόσφατες Κατευθυντήριες Γραμμές 1/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (εφεξής «ΚΓ 1/2022 ΕΣΠΔ») αναφορικά με τα 15 δικαιώματα των υποκειμένων των δεδομένων – δικαίωμα πρόσβασης, επεξηγείται ότι το δικαίωμα πρόσβασης αποτελείται από τρία συστατικά στοιχεία: α) την επιβεβαίωση για το κατά πόσον ή όχι δεδομένα προσωπικού χαρακτήρα υφίστανται επεξεργασία, β) την πρόσβαση σε αυτά και γ) την παροχή πληροφοριών σχετικά με την επεξεργασία
- Επειδή, έτι περαιτέρω, στην Αιτιολογική Σκέψη 63 του ΓΚΠΔ αναφέρεται ότι «Ένα υποκείμενο των δεδομένων θα πρέπει να έχει δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα τα οποία συλλέχθηκαν και το αφορούν και να μπορεί να ασκεί το εν λόγω δικαίωμα ευχερώς και σε εύλογα τακτά διαστήματα, προκειμένου να έχει επίγνωση και να επαληθεύει τη νομιμότητα της επεξεργασίας. (…) Επομένως, κάθε υποκείμενο των δεδομένων θα πρέπει να έχει το δικαίωμα να γνωρίζει και να του ανακοινώνεται ιδίως για ποιους σκοπούς γίνεται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα, εφόσον είναι δυνατόν για πόσο διάστημα γίνεται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα, ποιοι αποδέκτες λαμβάνουν τα δεδομένα προσωπικού χαρακτήρα, ποια λογική ακολουθείται στην τυχόν αυτόματη επεξεργασία δεδομένων προσωπικού χαρακτήρα και ποιες θα μπορούσαν να είναι οι συνέπειες της εν λόγω επεξεργασίας, τουλάχιστον όταν αυτή βασίζεται σε κατάρτιση προφίλ».
- Επειδή εν προκειμένω, από το εν γένει προσκομιζόμενο αποδεικτικό υλικό, αλλά και τους εκατέρωθεν ισχυρισμούς των εμπλεκομένων μερών αποδείχθηκε ότι η καταγγέλλουσα υπέβαλε την 01η-07-2021 με τηλεφωνική κλήση στη γραμμή 1520 του καταγγελλόμενου Υπουργείου καταγγελία για παραβίαση των μέτρων κατά της νόσου COVID-19, κατά τη διάρκεια της οποίας περιέγραψε στον υπάλληλο του τηλεφωνικού κέντρου 1520 που διαχειριζόταν η εκτελούσα την επεξεργασία COSMOTE EVALUE το καταγγελλόμενο περιστατικό, η δε υπάλληλος έκανε καταγραφή των βασικών προσωπικών στοιχείων της καταγγέλλουσας, καθώς και μιας σύντομης περιγραφής της καταγγελίας. Ακολούθως, τα εν λόγω στοιχεία εστάλησαν αυτοματοποιημένα στον ΔΙ.Μ.Ε.Α., προκειμένου να λάβουν γνώση και να 1 Βλ. Κατευθυντήριες Γραμμές 1/2022 του ΕΣΠΔ σχετικά με τα δικαιώματα των υποκειμένων των δεδομένων – Δικαίωμα πρόσβασης (28 Μαρτίου 2023), σκ. 3, διαθέσιμες στην ιστοσελίδα https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-datasubject-rights-right-access_el (εφεξής «ΚΓ 1/2022»). 16 διαχειριστούν την καταγγελία οι αρμόδιες υπηρεσίες. Αποδεικνύεται επίσης ότι ο αριθμός του κινητού τηλεφώνου της καταγγέλλουσας δεν διέρρευσε από το καταγγελλόμενο Υπουργείο, καθώς προέκυψε ότι το τελευταίο διαβίβασε στις 05-072021, ως όφειλε, την καταγγελία της -χαρακτηρίζοντας τα έγγραφα αυτά ως εμπιστευτικά- προς το Κεντρικό Λιμεναρχείο Χ, το οποίο, μέσω του Γραφείου Γενικής Αστυνομίας διαβίβασε την καταγγελία στην πλοιοκτήτρια εταιρία, ζητώντας τις απόψεις της για το καταγγελλόμενο συμβάν, η οποία και ενημέρωσε τον πλοίαρχο Β. Στη συνέχεια, μια ημέρα αργότερα, στις 06-07-2021, και αφού ο πλοίαρχος είχε ενημερωθεί για την καταγγελία από την πλοιοκτήτρια εταιρεία, τηλεφώνησε στην καταγγέλλουσα, το τηλέφωνο της οποίας βρισκόταν στο διαβιβαστικό έγγραφο της καταγγελίας που είχε λάβει η πλοιοκτήτρια εταιρεία, με όλα τα υπόλοιπα στοιχεία της, και της ζήτησε διευκρινίσεις. Ακολούθως, στις 08-07-2021 η καταγγέλλουσα άσκησε δικαίωμα πρόσβασης του άρθρου 15 ΓΚΠΔ (το οποίο επανέλαβε στις 13-072021), το οποίο αφορούσε την ενημέρωσή της σχετικά με τη διαβίβαση του αριθμού του κινητού της τηλεφώνου, χωρίς ωστόσο ανταπόκριση του καταγγελλόμενου. Περαιτέρω δε, αποδείχθηκε ότι τα προσωπικά δεδομένα της καταγγέλλουσας δεν διέρρευσαν από την εκτελούσα την επεξεργασία COSMOTE EVALUE, καθώς η εμπλοκή της εν λόγω εταιρείας στην υπό κρίση υπόθεση έγκειται στη διαβίβαση με αυτοματοποιημένο μήνυμα ηλεκτρονικού ταχυδρομείου των στοιχείων της καταγγελίας προς την αρμόδια υπηρεσία του καταγγελλόμενου Υπουργείου και δεν προέκυψε παράνομη από πλευράς της επεξεργασία των προσωπικών δεδομένων της καταγγέλλουσας. Ενόψει των ανωτέρω, η καταγγελία κρίνεται ως αβάσιμη ως προς το ζήτημα της διαρροής του κινητού τηλεφώνου της καταγγέλλουσας για αμφότερους τους ελεγχόμενους (καταγγελλόμενο Υπουργείο και COSMOTE EVALUE).
- Επειδή επιπλέον, το Υπουργείο Οικονομίας και Ανάπτυξης μετονομάστηκε σε Υπουργείο Ανάπτυξης και Επενδύσεων, δυνάμει του υπ’ αριθμ. 81/2019 Προεδρικού Διατάγματος (άρθρο 4 αυτού) δημοσιευθέντος στο ΦΕΚ 119/08-07-2019, Τ. Α΄. Μάλιστα, το καταγγελλόμενο, ως Υπουργείο Οικονομίας και Ανάπτυξης είχε ορίσει ΥΠΔ τον ΣΤ (βλ. το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/4220/12-06-2019), και εν συνεχεία στις 0310-2022 δηλώθηκε ενώπιον της Αρχής ο ορισμός νέου ΥΠΔ (Γ, βλ. το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/10653/03-10-2022), μετά από αίτηση του Υπουργείου Εθνικής Οικονομίας με ΑΦΜ ίδιο με αυτό του Υπουργείου Οικονομίας και Ανάπτυξης, και νυν Υπουργείου 17 Ανάπτυξης και Επενδύσεων. Σημειωτέον ότι μετά από σχετικό έλεγχο της Αρχής το Υπουργείο Οικονομικών έχει ορίσει έτερο πρόσωπο ως ΥΠΔ, επομένως, το καταγγελλόμενο είχε ορίσει προσηκόντως ΥΠΔ, με σχετική ανακοίνωση των στοιχείων του στην Αρχή. Ωστόσο, παρότι δεν θεμελιώνεται παραβίαση της διάταξης του άρθρου 37 ΓΚΠΔ, η δήλωση του καταγγελλόμενου Υπουργείου περί άγνοιας ως προς τον ορισμό ΥΠΔ, είναι δηλωτική της γενικότερης έλλειψης οργάνωσης και εκπαίδευσης του προσωπικού του καταγγελλόμενου σε σχέση με τα ζητήματα προστασίας προσωπικών δεδομένων.
- Επειδή επιπροσθέτως, και σχετικά με την καθυστερημένη ανταπόκριση στις κλήσεις της Αρχής προς παροχή εξηγήσεων, το καταγγελλόμενο Υπουργείο απάντησε με καθυστέρηση περίπου δυο μηνών με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/8134/13-12-2021 έγγραφό του στο αρχικό έγγραφο της Αρχής, και με καθυστέρηση περίπου τεσσάρων μηνών στο δεύτερο έγγραφο παροχής διευκρινίσεων που απέστειλε η Αρχή, υπήρξε δηλαδή συνεχιζόμενη επί μήνες ολιγωρία του καταγγελλόμενου, η οποία ως συμπεριφορά, λόγω του διαρκούς χαρακτήρα της δεν εμπίπτει στην έννοια της συνεργασίας που υποχρεούνται να επιδεικνύουν με την εποπτική αρχή οι υπεύθυνοι επεξεργασίας (άρθρο 31 ΓΚΠΔ). Η ολιγωρία αυτή προκύπτει ότι οφείλεται στις εσωτερικές ελλείψεις και αστοχίες των υπηρεσιών του καταγγελλομένου, στην έλλειψη εμπειρίας και εκπαίδευσης, καθώς και στην άγνοια του προσωπικού του ως προς τα ζητήματα που σχετίζονται με την προστασία των προσωπικών δεδομένων. Μάλιστα ο μη καθορισμός αρμοδίου να απαντήσει στην καταγγέλλουσα τμήματος, όπως ισχυρίζεται και το καταγγελλόμενο, είχε ως αποτέλεσμα την παρακώλυση του έργου της Αρχής και την παρεμπόδιση στην άσκηση των αρμοδιοτήτων της. Ειδικότερα, δέον όπως αναφερθεί ότι ακόμα και όταν το καταγγελλόμενο παρείχε στην Αρχή κάποια απάντηση, αυτή ήταν ελλιπής και ασαφής, ενδεικτικά δεν κατονόμασε εξαρχής την εκτελούσα την επεξεργασία εταιρεία και δεν προσκόμισε αντίγραφα των μεταξύ τους συμβάσεων, παρά μόνο μετά από ειδικό ερώτημα της Αρχής, η οποία επανήλθε με έγγραφο παροχής διευκρινίσεων, ενώ συγχρόνως, το καταγγελλόμενο Υπουργείο ουδέποτε ζήτησε διευκρινίσεις από την εκτελούσα την επεξεργασία, στο πλαίσιο εξέτασης της καταγγελλόμενης διαρροής. Η έλλειψη εμπειρίας, οργάνωσης και εκπαίδευσης του προσωπικού αποδεικνύεται έτι περισσότερο και από την απάντηση του καταγγελλόμενου με αριθμό πρωτ. 18 Γ/ΕΙΣ/8734/12-07-2022, στην οποία αναφέρει ότι «Η Γενική Διεύθυνση Προστασίας Καταναλωτή (ήδη Γενική Διεύθυνση Αγοράς και Προστασίας Καταναλωτή) δεν δέχθηκε στο τηλεφωνικό της κέντρο καταγγελία της αναφερόμενης», ενώ στη συνέχεια με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/12685/19-12-2022 έγγραφό του προσκομίζει το αυτοματοποιημένο μήνυμα της COSMOTE EVALUE (από την ηλεκτρονική διεύθυνση robotmail@cosmote-evalue.gr) προς το καταγγελλόμενο και συγκεκριμένα στην Διϋπηρεσιακή Μονάδα Ελέγχου Αγοράς- εφεξής «ΔΙ.Μ.Ε.Α.»), από το οποίο προκύπτει ότι την 01-07-2021 πράγματι έλαβε χώρα η καταγγελία της Α στην τηλεφωνική γραμμή καταναλωτή 1520 του Υπουργείου Ανάπτυξης και Επενδύσεων με αριθμό πρωτ. … . Τα ανωτέρω καταδεικνύουν την έλλειψη οργάνωσης και την αδυναμία εύκολης και γρήγορης εύρεσης/ανάκτησης κρίσιμων για την ενημέρωση του υποκειμένου των δεδομένων στοιχείων. Επιπροσθέτως, από την ίδια μάλιστα ως άνω απάντηση (με αριθμό πρωτ. Γ/ΕΙΣ/8734/12-07-2022), σε άλλο σημείο της οποίας αναφέρεται ότι «Ως εκ τούτου τα ηλεκτρονικά μηνύματα (emails) της αναφερόμενης περί διαρροής των προσωπικών δεδομένων της προωθήθηκαν στο Γραφείο του Γενικού Γραμματέα Εμπορίου προς ενημέρωση», προκύπτει η έλλειψη εκπαίδευσης και εμπειρίας του προσωπικού, καθώς εάν ο υπάλληλος που χειρίστηκε το αίτημα της καταγγέλλουσας είχε εκπαιδευτεί κατάλληλα και επαρκώς, θα γνώριζε ότι το αίτημα αυτό θα έπρεπε να προωθηθεί στον Υπεύθυνο Προστασίας Δεδομένων του καταγγελλόμενου ως το αρμόδιο για να το χειριστεί και απαντήσει πρόσωπο, και όχι απλώς προς ενημέρωση του Γενικού Γραμματέα. Η έλλειψη αυτή είχε ως αποτέλεσμα την εμπλοκή του Υπευθύνου Προστασίας Δεδομένων πολύ αργά στη διαδικασία ικανοποίησης του δικαιώματος πρόσβασης της καταγγέλλουσας και όχι ήδη από την υποβολή του αιτήματός της
- Στο δε υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/173/11-01-2023 έγγραφό του το καταγγελλόμενο αναφέρει ότι «ο αρμόδιος τότε υπάλληλος δεν θεώρησε ότι όφειλε να απαντήσει εντός συγκεκριμένης προθεσμίας στην καταγγέλλουσα», παράλειψη που οφείλεται 2 Βλ. και WP243 rev.01 “Κατευθυντήριες γραμμές σχετικά με τους υπεύθυνους προστασίας δεδομένων”, 05 Απριλίου 2017, σελ. 18: «Σύμφωνα με το άρθρο 38 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία διασφαλίζουν ότι ο υπεύθυνος προστασίας δεδομένων «συμμετέχει, δεόντως και εγκαίρως, σε όλα τα ζητήματα τα οποία σχετίζονται με την προστασία δεδομένων προσωπικού χαρακτήρα». Η όσο το δυνατόν νωρίτερη συμμετοχή του υπευθύνου προστασίας δεδομένων, ή της ομάδας του, σε όλα τα ζητήματα που σχετίζονται με την προστασία των δεδομένων είναι καίριας σημασίας(…)». 19 και αυτή σε έλλειψη εκπαίδευσης του προσωπικού και συνιστά παραβίαση του άρθρου 12 παρ. 1 και 3 σε συνδυασμό με το άρθρο 15 παρ. 1 ΓΚΠΔ.
- Επειδή τέλος, διεφάνη, και θα πρέπει να ληφθεί υπόψιν ότι μετά την εξέταση της υπό κρίση περίπτωσης, πράγματι το καταγγελλόμενο προέβη σε ενέργειες προς άρση των εσωτερικών αστοχιών και προβλημάτων σε σχέση με τη διαχείριση των αιτημάτων των υποκειμένων των δεδομένων, αλλά και γενικότερα σχετικά με την τήρηση της νομοθεσίας των προσωπικών δεδομένων, και ενδεικτικά, όπως προαναφέρεται, ολοκλήρωσε εκπαιδεύσεις του προσωπικού του και προγραμμάτισε εκ νέου εκπαιδεύσεις στο μέλλον, οργάνωσε συναντήσεις εργασίας με τις υπηρεσίες του Υπουργείου, επικαιροποίησε το πλαίσιο συμμόρφωσης του Υπουργείου, θέσπισε την εφαρμογή πολιτικής προστασίας προσωπικών δεδομένων, διαδικασίας ανταπόκρισης σε αιτήματα πρόσβασης σε προσωπικά δεδομένα, διαδικασίας ανταπόκρισης σε αιτήματα για πληροφορίες, και διαδικασίας καταγραφής παραπόνων σχετικά με την προστασία των προσωπικών δεδομένων.
- Επειδή ενόψει των ανωτέρω προκύπτει ότι το καταγγελλόμενο Υπουργείο, ως υπεύθυνος επεξεργασίας, δεν ανταποκρίθηκε στην υποχρέωσή του για συνεργασία με την Αρχή κατά παράβαση του άρθρου 31 ΓΚΠΔ, καθώς και ότι δεν ανταποκρίθηκε στην εκ του άρθρου 12 παρ. 1 και 3 ΓΚΠΔ υποχρέωσή του για απάντηση στο αίτημα πρόσβασης της καταγγέλλουσας (άρθρο 15 παρ. 1 του ΓΚΠΔ).
- Επειδή η Αρχή με βάση τα ανωτέρω, και σε σχέση με τις διαπιστωθείσες παραβάσεις των άρθρων 12 παρ. 1 και 3, 15 παρ. 1 και 31 ΓΚΠΔ, αποφασίζει ότι συντρέχει περίπτωση να ασκήσει τις εκ του άρθρου 58 παρ. 2 ΓΚΠΔ διορθωτικές εξουσίες της. Ειδικότερα, η Αρχή ομόφωνα λαμβάνοντας υπόψιν κατά την αιτιολογική σκέψη 148 ΓΚΠΔ τον μη εσκεμμένο χαρακτήρα της παράβασης καθώς και το γεγονός ότι το καταγγελλόμενο Υπουργείο προέβη σε μέτρα βελτίωσης και εφαρμογής των διαδικασιών, που αφορούν το χειρισμό αιτημάτων πρόσβασης των υποκειμένων των δεδομένων, απευθύνει επίπληξη, κατ’ άρθρο 58 παρ. 2 στοιχ. β΄ ΓΚΠΔ στο Υπουργείο Ανάπτυξης και Επενδύσεων ως υπεύθυνο επεξεργασίας για τη μη συνεργασία του με την Αρχή και τη μη ανταπόκριση στο αίτημα πρόσβασης της καταγγέλλουσας. 20 ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή α) Διαπιστώνει ότι το καταγγελλόμενο Υπουργείο Ανάπτυξης και Επενδύσεων ως υπεύθυνος επεξεργασίας προέβη σε παραβίαση του δικαιώματος πρόσβασης της καταγγέλλουσας, κατά παράβαση των διατάξεων του άρθρου 12 παρ. 1, 3 σε συνδυασμό με τις διατάξεις του άρθρου 15, παρ. 1 ΓΚΠΔ, καθώς και σε παραβίαση της υποχρέωσης για συνεργασία με την Αρχή, κατά παράβαση του άρθρου 31 ΓΚΠΔ. β) Απευθύνει επίπληξη κατ’ άρθρο 58 παρ. 2 στοιχ. β΄ στο καταγγελλόμενο Υπουργείο Ανάπτυξης και Επενδύσεων, για τους λόγους που εκτενώς αναλύονται στο σκεπτικό της παρούσης. Ο Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 21