Εξέταση καταγγελίας για πλημμελή ικανοποίηση δικαιώματος πρόσβασης

Αθήνα, 2 Δεκεμβρίου 2024 Αριθ. Πρωτ.: 3388 ΑΠΟΦΑΣΗ 19/2024 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (εφεξής «Αρχή») συνήλθε, μετά από πρόσκληση του Προέδρου της σε συνεδρίαση, μέσω τηλεδιάσκεψης, την Τρίτη 30-04-2024, σε συνέχεια της από 14-11-2023 συνεδρίασης, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, Χαράλαμπος Ανθόπουλος και Αικατερίνη Ηλιάδου. Παρέστησαν επίσης τα αναπληρωματικά μέλη Γεώργιος Κόντης και Μαρία Ψάλλα, σε αναπλήρωση των τακτικών μελών Χρήστου Καλλονιάτη και Γρηγορίου Τσόλια, οι οποίοι δεν παρέστησαν, αν και εκλήθησαν νομίμως εγγράφως, καθώς και το αναπληρωματικό μέλος Νικόλαος Λίβος ως εισηγητής χωρίς δικαίωμα ψήφου βάσει του άρθρου 8 παρ. 2 του Κανονισμού Λειτουργίας της Αρχής. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν η Φωτεινή Καρβέλα, ειδική επιστήμονας δικηγόρος, ως βοηθός εισηγητή, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα κατωτέρω: Με τη με αριθ. πρωτ. Γ/ΕΙΣ/5921/30-08-2019 καταγγελία του ο Α (…, στο εξής καταγγέλλων), προσέφυγε κατά της εταιρείας Vodafone – ΠΑΝΑΦΟΝ Α.Ε.Ε.Τ. (στο εξής καθ’ ης), παραπονούμενος για πλημμελή ικανοποίηση του δικαιώματος πρόσβασης που άσκησε έναντι της καθ’ ης. Ειδικότερα, σύμφωνα με την καταγγελία, 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr στις …, ο καταγγέλλων, ο οποίος τυγχάνει συνδρομητής της καθ’ ης, υπέβαλε αίτημα πρόσβασης, κατ’ άρθρο 15 Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (στο εξής: ΓΚΠΔ), στα προσωπικά δεδομένα του τα οποία επεξεργάζεται η καθ’ ης και ειδικότερα στις πληροφορίες που περιγράφονται στο άρθρο 15 παρ. 1 στοιχ. α’, β’, γ’, δ’, ζ’, η’ και 15 παρ. 2 ΓΚΠΔ. Ζήτησε επίσης, κατ’ άρθρο 15 παρ. 3 ΓΚΠΔ, την παροχή αντιγράφου των ως άνω δεδομένων του. Το χρονικό διάστημα για το οποίο ο καταγγέλλων αιτήθηκε πρόσβαση, είναι ένα έτος και συγκεκριμένα το χρονικό διάστημα από … έως … . Η καθ’ ης απάντησε στο αίτημα του καταγγέλλοντος εμπρόθεσμα –στις …– ωστόσο ο τελευταίος, θεωρώντας την απάντησή της ανεπαρκή, απευθύνθηκε εκ νέου εγγράφως την ίδια μέρα στην καθ’ ης διαμαρτυρόμενος για την παράλειψή της να του παράσχει πληροφορίες για τα δεδομένα που αυτή τηρεί ως πάροχος διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών σύμφωνα με το άρθρο 5 ν. 3917/2011, καθώς και για τα δεδομένα που αυτή πιθανώς συλλέγει κατά τη χρήση της εφαρμογής «My Vodafone», την οποία ο καταγγέλλων έχει εγκαταστήσει στην τηλεφωνική συσκευή του και έχει συνδέσει με τον αριθμό τηλεφώνου του. Με το τελευταίο αυτό έγγραφό του, ο καταγγέλλων ζήτησε επίσης από την καθ’ ης να επανεξετάσει το πρώτο αίτημά του και να του απαντήσει πληρέστερα. Η καθ’ ης, με το από … έγγραφό της, απάντησε στον καταγγέλλοντα ότι οι πληροφορίες που του παρέσχε στο πρώτο του αίτημα, είχαν τελικό χαρακτήρα και ότι για περαιτέρω πληροφορίες αυτός μπορεί να ανατρέξει στην ιστοσελίδα της εταιρείας και συγκεκριμένα στους συνδέσμους που περιέχουν την πολιτική ιδιωτικότητας και την πολιτική cookies της εταιρείας. Επιπλέον, τον ενημέρωσε ότι μπορεί να αποκτήσει αναλυτικά στοιχεία για τους λογαριασμούς του μέσω του My Account και του My Vodafone app, ενώ στους μηνιαίους λογαριασμούς του μπορεί, μέσω της αναλυτικής κατάστασης, να ενημερωθεί για το συνολικό αριθμό των κλήσεών του, για τυχόν χρεώσεις εκτός παγίου και για τη συνολική διάρκεια των κλήσεων. Όσον αφορά οποιαδήποτε περαιτέρω πληροφορία αναφορικά με προσωπικά δεδομένα πελατών, τα οποία υπόκεινται σε επεξεργασία και απεικονίζονται στα 2 εσωτερικά πληροφοριακά συστήματά της, η καθ’ ης ενημέρωσε τον καταγγέλλοντα ότι δύναται να παράσχει τις εν λόγω πληροφορίες μόνο στις αρμόδιες Αρχές, κατόπιν σχετικού αιτήματος. Επιπλέον, σύμφωνα με την υπό κρίση καταγγελία, η καθ’ ης δεν ικανοποίησε το δικαίωμα πρόσβασης του καταγγέλλοντος σε σχέση με τους αποδέκτες στους οποίους κοινοποιήθηκαν τα δεδομένα του, τους σκοπούς για τους οποίους υποβλήθηκαν σε επεξεργασία, καθώς και περισσότερες πληροφορίες αναφορικά με την επεξεργασία στην οποία υπόκεινται τα δεδομένα του κατά τη χρήση της εφαρμογής «My Vodafone», την οποία αυτός έχει εγκαταστήσει και συνδέσει με τον αριθμό τηλεφώνου του. Αντιθέτως, σύμφωνα με τους ισχυρισμούς του καταγγέλλοντος, η καθ’ ης τον παρέπεμψε στην πολιτική ιδιωτικότητας και την πολιτική cookies που έχει δημοσιευμένες στην ιστοσελίδα της, γεγονός που, κατά την άποψή του, δεν συνιστά μια εξατομικευμένη απάντηση στο δικαίωμα πρόσβασής του ως υποκειμένου των δεδομένων. Περαιτέρω, με την υπό εξέταση καταγγελία, ο καταγγέλλων προβάλλει τον ισχυρισμό ότι η διατήρηση των δεδομένων ηλεκτρονικών επικοινωνιών παρέχει τη δυνατότητα εξαγωγής ιδιαιτέρως ακριβών συμπερασμάτων σε σχέση με την ιδιωτική ζωή των υποκειμένων, γι’ αυτό, κατά την άποψή του, όταν ένα υποκείμενο ασκεί το δικαίωμα πρόσβασής του έναντι ενός παρόχου ηλεκτρονικών επικοινωνιών, πρέπει να ενημερώνεται επαρκώς για τη διατήρηση των δεδομένων αυτών και για τη νομική βάση της επεξεργασίας αυτής, λαμβανομένου ιδίως υπόψη ότι η ισχύουσα ελληνική νομοθεσία, δηλαδή ο ν. 3917/2011, ο οποίος, όπως σημειώνει ο καταγγέλλων, δεν έχει ακόμη τροποποιηθεί, βασίζεται στις διατάξεις της Οδηγίας 2006/24/ΕΚ, η οποία έχει κηρυχθεί ανίσχυρη από το ΔΕΕ1, καθώς υπερβαίνει τα όρια που επιβάλλει η τήρηση της αρχής της αναλογικότητας υπό το πρίσμα των άρθρων 7, 8 και 52 παρ. 1 του Χάρτη Θεμελιωδών Δικαιωμάτων της ΕΕ (στο εξής Χάρτη). Επίσης, κατά τον καταγγέλλοντα, η απαγόρευση πρόσβασης στα μεταδεδομένα ηλεκτρονικών επικοινωνιών του δεν μπορεί να διαρκεί στο διηνεκές, διότι ένας τέτοιος γενικός, πλήρης και χωρίς χρονικά περιθώρια περιορισμός του δικαιώματος 1 Βλ. ΔΕΕ, συνεκδικασθείσες υποθέσεις C-293/12 και C-594-12 3 πρόσβασης δεν είναι σύμφωνος με το άρθρο 9Α του Συντάγματος, το άρθρο 8 του Χάρτη και το άρθρο 8 της Ευρωπαϊκής Σύμβασης για τα Δικαιώματα του Ανθρώπου. Στο ίδιο πνεύμα, ο καταγγέλλων αναφέρει ότι η διάταξη του άρθρου 33 παρ. 1 στοιχ. β’ περ. αα’ του ν. 4624/2019, σύμφωνα με την οποία το δικαίωμα πρόσβασης του υποκειμένου των δεδομένων δεν ισχύει όταν τα δεδομένα καταγράφηκαν μόνο επειδή δεν μπορούν να διαγραφούν λόγω νομικών ή κανονιστικών διατάξεων υποχρέωσης διατήρησής τους, περιορίζει υπερβολικά το δικαίωμα πρόσβασής του και γι’ αυτό συνιστά παραβίαση του ενωσιακού δικαίου. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, με το υπ’ αριθ. πρωτ. Γ/ΕΞ/5921-1/28-11-2019 έγγραφό της, κάλεσε την καθ’ ης να εκθέσει τις απόψεις της επί των καταγγελλομένων. Η καθ’ ης παρέσχε διευκρινίσεις επί των καταγγελλομένων με το υπ’ αρ. πρωτ. Αρχής Γ/ΕΙΣ/9059/24-12-2019 έγγραφο, στο οποίο υποστηρίζει τα εξής: Α) κληθείσα να ικανοποιήσει το αίτημα πρόσβασης του καταγγέλλοντος, παρέσχε εμπρόθεσμα σε αυτόν όλες τις πληροφορίες που αφορούν στα αναφερόμενα στο άρθρο 15 παρ. 1 στοιχ. α’, β’, γ’, δ’, ζ’ και η’ ΓΚΠΔ στοιχεία. Περαιτέρω δε πληροφορίες που εμπίπτουν στην ως άνω διάταξη, παρασχέθηκαν στον καταγγέλλοντα μέσω παραπομπής αυτού στην Πολιτική Ιδιωτικότητας και Cookies της εταιρείας, σύμφωνα με την αρχή της διαφάνειας, η οποία επιτάσσει οποιαδήποτε ενημέρωση του υποκειμένου να είναι συνοπτική, εύκολα προσβάσιμη και κατανοητή, με σαφή και απλή διατύπωση, χωρίς άσκοπη υπερπληροφόρηση, ενώ μπορεί επίσης να παρέχεται σε ηλεκτρονική μορφή μέσω ιστοσελίδας. Β) Όσον αφορά τα δεδομένα του άρθρου 15 παρ. 1 στοιχ. ζ’ ΓΚΠΔ, η καθ’ ης δήλωσε ότι «δεδομένα που δεν συλλέγονται από το υποκείμενο των δεδομένων, δεν προκύπτουν από τρίτες πηγές», ενώ σε σχέση με τις πληροφορίες που εμπίπτουν στο άρθρο 15 παρ. 1 στοιχ. στ’ ΓΚΠΔ, επίσης δεν υφίσταται αυτοματοποιημένη απόφαση, συμπεριλαμβανομένης της κατάρτισης προφίλ που να παράγει έννομα αποτελέσματα που αφορούν τον καταγγέλλοντα ή τον επηρεάζουν σημαντικά με παρόμοιο τρόπο. H επεξεργασία που γίνεται με βάση τις συγκαταθέσεις που παρέχει ο καταγγέλλων, αφορά σε στοιχεία προσδιοριστικά της ταυτότητάς του και πληροφορίες για τις υπηρεσίες της καθ’ ης, τις οποίες αυτός χρησιμοποιεί, με σκοπό την παροχή προσωποποιημένης εξυπηρέτησης και την 4 εμπορική προώθηση προϊόντων/υπηρεσιών της καθ’ ης (λήξη χρόνου ομιλίας – δεδομένων, ενημέρωση για νέα προϊόντα της καθ’ ης), χωρίς σε καμία περίπτωση να γίνεται επεξεργασία η οποία υποδεικνύει λεπτομέρειες σχετικά με την προσωπική ζωή του καταγγέλλοντος. Γ) Όσον αφορά στα δεδομένα λογαριασμών του καταγγέλλοντος, η καθ’ ης παρέχει στους συνδρομητές της πλήρη έλεγχο στην πρόσβαση σε αυτά μέσω της εφαρμογής My Vodafone/My Account, αποσκοπώντας στην πλήρη και διαφανή ενημέρωσή τους μέσω της καλύτερης τήρησης των αρχών της ελαχιστοποίησης και της προστασίας των δεδομένων από το σχεδιασμό. Δ) Σχετικά με το αίτημα του καταγγέλλοντος για πρόσβαση στα δεδομένα που εμπίπτουν στις διατάξεις του ν. 3917/2011, η καθ’ ης θεωρεί ότι αυτή δεν προβλέπεται από την ισχύουσα νομοθεσία, δεδομένου ότι η ίδια μπορεί να παρέχει τις πληροφορίες αυτές μόνο στις αρμόδιες Αρχές κατόπιν σχετικού αιτήματος, διότι αφορά σε άρση απορρήτου και απαιτείται η έκδοση και κοινοποίηση βουλεύματος από το αρμόδιο Δικαστικό Συμβούλιο. Ειδικότερα, επισημαίνει ότι, δυνάμει του άρθρου 1 του ν. 3917/2011 ο οποίος μετέφερε στην ελληνική έννομη τάξη την Οδηγία 2006/24/ΕΚ, οι πάροχοι διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών ή δημόσιου δικτύου επικοινωνιών υποχρεούνται να τηρούν ορισμένα τηλεπικοινωνιακά δεδομένα που παράγονται ή υποβάλλονται σε επεξεργασία από αυτούς, προκειμένου να είναι διαθέσιμα στις αρμόδιες Αρχές για τη διακρίβωση ιδιαίτερα σοβαρών εγκλημάτων όπως αυτά ορίζονται στο άρθρο 4 ν. 2225/

1. Τα τηρούμενα δεδομένα παρέχονται, κατ’ άρθρο 4 του ν. 3917/2011, μόνο στις αρμόδιες Αρχές, σύμφωνα με τη διαδικασία, τις προϋποθέσεις και τους όρους πρόσβασης που προβλέπονται στο ν. 2225/1994 (όπως αυτός ίσχυε κατά το χρόνο υποβολής των απόψεων της καθ’ ης). Περαιτέρω, η καθ’ ης υποστηρίζει ότι, σύμφωνα με το ν. 2225/1994, η άρση του απορρήτου της επικοινωνίας είναι επιτρεπτή για τη διακρίβωση συγκεκριμένων και περιοριστικά απαριθμούμενων κακουργημάτων, εφόσον το αρμόδιο δικαστικό συμβούλιο διαπιστώσει αιτιολογημένα ότι η διερεύνηση της υπόθεσης ή η εξακρίβωση του τόπου διαμονής του κατηγορουμένου είναι αδύνατη ή ουσιωδώς δυσχερής χωρίς αυτήν. Ειδικότερα, η άρση επιβάλλεται με διάταξη του συμβουλίου Εφετών ή Πλημμελειοδικών ύστερα από αίτηση του αρμόδιου Εισαγγελέα ή σε 5 εξαιρετικά επείγουσες περιπτώσεις με διάταξη του Εισαγγελέα που διενεργεί την προανάκριση ή προκαταρκτική εξέταση και του ανακριτή που διεξάγει την κύρια ανάκριση. Εκτός αυτού, κατά την άποψη της καθ’ ης, η εξαγωγή τέτοιων πληροφοριών αφενός απαιτεί δυσανάλογη προσπάθεια σε σχέση με το τι είναι πρόσφορο και αναγκαίο για την επίτευξη των στόχων που επιδιώκει η υφιστάμενη νομοθεσία, αφετέρου προϋποθέτει επεξεργασία δεδομένων τρίτων, προκειμένου να απομονωθούν οι πληροφορίες που αφορούν μόνο τον καταγγέλλοντα –επεξεργασία η οποία δεν προβλέπεται ούτε τεκμηριώνεται στους σκοπούς επεξεργασίας τους οποίους επιδιώκει η καθ’ ης ούτε στις επιμέρους σχετικές διαδικασίες της. Δεδομένων των ανωτέρω, η Αρχή, με τις υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/2735/30-10-2023 και Γ/ΕΞΕ/2650/23-10-2023 κλήσεις κάλεσε τους εμπλεκόμενους στη συνεδρίαση της Ολομέλειας της Αρχής στις 14-11-2023, προκειμένου να λάβει χώρα ακρόαση επί του ενδεχόμενου παραβίασης της κείμενης νομοθεσίας για την προστασία των προσωπικών δεδομένων. Στην εν λόγω συνεδρίαση, παρέστη ο καταγγέλλων αυτοπροσώπως, εκ μέρους δε της καθ’ ης οι κ. Εμμανουήλ Δημογεροντάκης (δικηγόρος Αθηνών με ΑΜΔΣΑ …), η Κωνσταντίνα Μαρία Καροπούλου (δικηγόρος Αθηνών, με ΑΜΔΣΑ …) και ο Β, Υπεύθυνος Προστασίας Δεδομένων της καθ’ ης. Αμφότερα τα μέρη ανέπτυξαν προφορικά τις απόψεις τους. Ειδικότερα, ο καταγγέλλων υποστήριξε ότι η απάντηση της καθ’ ης στο υποβληθέν από αυτόν αίτημα πρόσβασης δεν ήταν πλήρης ούτε επαρκής, διότι τον παρέπεμψε στους γενικούς της όρους, ενώ, όσον αφορά στην τήρηση των μεταδεδομένων του, η καθ΄ ης δεν τον ενημέρωσε καθόλου, αρνήθηκε δε να του παραχωρήσει πρόσβαση σε αυτά. Η καθ’ ης ανέπτυξε επίσης προφορικά τις απόψεις της, έλαβε δε κατά τη συνεδρίαση αυτή προθεσμία προσκομίσεως υπομνήματος προς περαιτέρω υποστήριξη των ισχυρισμών της και υπέβαλε εμπροθέσμως το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/8768/11-12-2023 υπόμνημά της, με το οποίο προέβαλε, μεταξύ άλλων, τα ακόλουθα, συνοπτικώς αναφερόμενα: Αφού παραθέτει ένα σύντομο ιστορικό, η καθ’ ης επαναλαμβάνει όσα είχε αναφέρει στις έγγραφες εξηγήσεις της προς την Αρχή, σε απάντηση του υπ’ αριθμ. πρωτ. Αρχής Γ/ΕΞ/5921-1/28-11-2019 εγγράφου για παροχή εξηγήσεων (με τις οποίες υπεστήριξε 6 ότι η εταιρεία απάντησε εγκαίρως, επαρκώς και πλήρως αιτιολογημένα προς τον καταγγέλλοντα, ενημερώνοντάς τον για τα προσωπικά δεδομένα του τα οποία τηρεί και καθιστώντας του σαφές ότι, όσον αφορά στα μεταδεδομένα ηλεκτρονικών επικοινωνιών του, η καθ’ ης δύναται να παρέχει αυτά μόνο στις αρμόδιες αρχές, κατόπιν σχετικού αιτήματος), και προβάλλει περαιτέρω ότι: Α) το αίτημα του καταγγέλλοντος ήταν γενικό και αόριστο, καθόσον αναφερόταν στο σύνολο των τηρουμένων από την καθ’ ης προσωπικών του δεδομένων, χωρίς αυτά να εξειδικεύονται ρητά από τον καταγγέλλοντα, Β) η καθ’ ης ενημέρωσε τον καταγγέλλοντα σχετικά με τα τηρούμενα από αυτήν δεδομένα ταυτοπροσωπίας του, στοιχεία μητρώου του, στοιχεία αναφορικά με τη σύνδεση κινητής τηλεφωνίας του, δεδομένα συσκευής του και στοιχεία σχετικά με τις παρασχεθείσες από αυτόν συγκαταθέσεις για τη χρήση των προσωπικών του δεδομένων για προωθητικούς σκοπούς. Για δε αναλυτικότερες πληροφορίες ως προς τους σκοπούς επεξεργασίας και συγκεκριμένες κατηγορίες τηρουμένων δεδομένων, τον παρέπεμψε στην αναρτημένη στην ιστοσελίδα της Πολιτική Προστασίας Ιδιωτικότητας και Προσωπικών Δεδομένων, πληρουμένων, κατ’ αυτόν τον τρόπο, κατά την άποψή της, των απαιτήσεων των άρθρων 13 και 14 του ΓΚΠΔ περί ενημέρωσης σύμφωνα με την αρχή της διαφάνειας, Γ) όσον αφορά στα δεδομένα του άρθρου 5 του ν. 3917/2011, η καθ’ ης επανέλαβε τον ισχυρισμό ότι αυτά τηρούνται αποκλειστικά προκειμένου να καθίστανται διαθέσιμα στις αρμόδιες αρχές για τη διακρίβωση ιδιαίτερα σοβαρών εγκλημάτων, όπως αυτά προσδιορίζονται στο άρθρο 4 ν. 2225/1994, και, ως εκ τούτου, οι συνδρομητές όχι μόνο δεν νομιμοποιούνται αλλά ρητώς απαγορεύεται να αποκτούν πρόσβαση σε αυτά. Ωστόσο, κατά την καθ’ ης, στην Πολιτική Προστασίας Ιδιωτικότητας και Προσωπικών Δεδομένων γίνεται ρητή αναφορά στη συλλογή και επεξεργασία της ως άνω κατηγορίας προσωπικών δεδομένων (κίνησης και θέσης) για σκοπούς χρέωσης των συνδρομητών και σε συμμόρφωση της καθ’ ης με τις έννομες υποχρεώσεις της, Δ) αναφορικά με τα αναλυτικά στοιχεία των λογαριασμών του καταγγέλλοντος, δηλαδή εξερχόμενες κλήσεις, χρεώσεις και διάρκεια κλήσεων, που υπάγονται στην έννοια των δεδομένων κίνησης του Ν. 3471/2006, ο καταγγέλλων μπορεί να αποκτήσει πρόσβαση σε αυτά μέσω των εφαρμογών My Account και του My Vodafone App. 7 Στο υπόμνημά της η καθ’ ης αναφέρεται επίσης στην επεξεργασία των μεταδεδομένων επικοινωνίας υπό το Ν. 3917/2011, αλλά και το Ν. 3471/
2. Αναλυτικότερα, η καθ’ ης περιγράφει την τήρηση αυτών σύμφωνα με τα άρθρα 4 και 5 του Ν. 3917/2011 και επισημαίνει ότι τα διατηρεί για δώδεκα μήνες από την ημερομηνία της επικοινωνίας, προκειμένου να μπορεί να τα διαβιβάσει στις αρμόδιες αρχές, σύμφωνα με τη διαδικασία του Ν. 5002/2022, ο οποίος αντικατέστησε το Ν. 2225/1994, ο οποίος ίσχυε κατά το χρόνο υποβολής της υπό κρίση καταγγελίας. Τα εν λόγω δεδομένα τηρούνται, σύμφωνα με το υπόμνημα της καθ’ ης, σε Ειδικό Σύστημα Διατήρησης Δεδομένων, το οποίο προβλέπεται στην Κοινή Πράξη 1/2013 της Αρχής και της Α.Δ.Α.Ε. ως προς τις υποχρεώσεις των παρόχων για την προστασία και ασφάλεια των δεδομένων, σύμφωνα με τις διατάξεις του άρθρου 7 του Ν. 3917/
3. Επιπλέον, η καθ’ ης αναφέρει ότι τηρεί όλα τα απαραίτητα τεχνικά και οργανωτικά μέτρα, πολιτικές και διαδικασίες για την προστασία του απορρήτου και της ασφάλειας των μεταδεδομένων επικοινωνίας, ενώ σε σχέση με τη διαδικασία άρσης απορρήτου και εντοπισμού κακόβουλων και ενοχλητικών κλήσεων (άρθρα 8 παρ. 7α Ν. 3471/2006) εφαρμόζει την ειδική Πολιτική Άρσης Απορρήτου PL-
4. Mε το κατατεθέν ενώπιον της Αρχής υπόμνημά της η καθ’ ης αναφέρεται περαιτέρω στην τήρηση μεταδεδομένων σε συμμόρφωση με τις επιταγές του ν. 3471/2006, ο οποίος ενσωματώνει στην ελληνική έννομη τάξη την Οδηγία 2002/58/ΕΚ (γνωστή ως Οδηγία e-privacy). Πιο συγκεκριμένα, η καθ’ ης αναφέρει ότι, σύμφωνα με το άρθρο 6 Ν. 3471/2006, με τη λήξη της επικοινωνίας όλα τα δεδομένα κίνησης (άρθρο 2 παρ. 3 Ν. 3471/2006) καταστρέφονται ή καθίστανται ανώνυμα, με την επιφύλαξη του Ν. 3917/
5. Περαιτέρω, όπως ορίζει το ίδιο άρθρο στην παρ. 2 αυτού, για τους σκοπούς χρέωσης/τιμολόγησης των συνδρομητών της σύμφωνα με το Ν. 3471/2006, η καθ’ ης επεξεργάζεται ένα περιορισμένο υποσύνολο μεταδεδομένων για δώδεκα μήνες από την ημερομηνία της επικοινωνίας, εκτός αν ο λογαριασμός αμφισβητήθηκε ή δεν εξοφλήθηκε. Στη συνέχεια του υπομνήματός της η καθ’ ης τονίζει επίσης ότι, σύμφωνα με την ελληνική και ευρωπαϊκή νομοθεσία και νομολογία, γίνεται παγίως δεκτό ότι στην έννοια του απολύτως απαραβίαστου του απορρήτου της επικοινωνίας υπάγεται το 8 σύνολο του επικοινωνιακού γεγονότος, ήτοι όχι μόνο το περιεχόμενο της επικοινωνίας, αλλά και τα συναφώς παραγόμενα εξωτερικά στοιχεία της επικοινωνίας, δηλαδή τα δεδομένα κίνησης και θέσης. Κατά την καθ’ ης, η ως άνω υπαγωγή των εξωτερικών στοιχείων της επικοινωνίας στην έννοια του απορρήτου της επικοινωνίας, έχει ως αποτέλεσμα αφενός τη δυνατότητα πρόσβασης σε αυτά μόνο υπό τις εγγυήσεις της διαδικασίας άρσης του απορρήτου που προβλέπει ο εκτελεστικός νόμος του άρθρου 19 του Συντάγματος (ο Ν. 2225/1994 κατά το χρόνο άσκησης της υπό εξέταση καταγγελίας, ο οποίος πλέον έχει αντικατασταθεί από το ν. 5002/2022), αφετέρου τον περιορισμό του δικαιώματος πρόσβασης σε αυτά. Πιο συγκεκριμένα, σύμφωνα με την καθ’ ης, το δικαίωμα πρόσβασης που κατοχυρώνει ο ΓΚΠΔ, δεν είναι απόλυτο και μπορεί να υπόκειται σε περιορισμούς, εφόσον αυτοί ικανοποιούν τα κριτήρια που τίθενται από το άρθρο 23 του ΓΚΠΔ. Τέτοιος περιορισμός, σύμφωνα με το υπόμνημα της καθ’ ης, τίθεται με τη διάταξη του άρθρου 33 του Ν. 4624/2019, η οποία στην παρ. 1 περ. α’ στοιχ. αα’ και ββ’ προβλέπει ότι «[…]δεν ισχύει το δικαίωμα πρόσβασης του υποκειμένου των δεδομένων, σύμφωνα με το άρθρο 15 του ΓΚΠΔ, όταν τα δεδομένα καταγράφηκαν μόνο επειδή δεν μπορούν να διαγραφούν λόγω νομικών ή κανονιστικών διατάξεων υποχρέωσης διατήρησής τους.» ή «εξυπηρετούν αποκλειστικά σκοπούς προστασίας ή ελέγχου των δεδομένων και η παροχή πληροφοριών θα απαιτούσε δυσανάλογη προσπάθεια και τα απαραίτητα τεχνικά και οργανωτικά μέτρα καθιστούν αδύνατη την επεξεργασία για άλλους σκοπούς». Με βάση τα ανωτέρω, η καθ’ ης καταλήγει ότι, σε περίπτωση αιτήματος συνδρομητή για πρόσβαση σε μεταδεδομένα επικοινωνίας του, η ίδια δεν εξάγει αυτά από το Ειδικό Σύστημα Διατήρησης Δεδομένων, το οποίο χρησιμοποιείται αποκλειστικά για τους σκοπούς του Ν. 3917/2011, διότι παρέχονται μόνο στις αρμόδιες αρχές με τη διαδικασία άρσης του απορρήτου. Ωστόσο, η καθ’ ης παρέχει πρόσβαση δεδομένα κίνησης συνδρομητή τα οποία αυτή τηρεί για σε σκοπούς χρέωσης/τιμολόγησης των συνδρομητών, στο πληροφοριακό σύστημα τιμολόγησης, το οποίο αποτελεί υποσύνολο των δεδομένων που τηρούνται στο Ειδικό Σύστημα Διατήρησης Δεδομένων. 9 Ειδικότερα, η καθ’ ης διευκρινίζει στο υπόμνημά της ότι σε περίπτωση υποβολής αιτήματος πρόσβασης σε εξερχόμενες κλήσεις και σε δεδομένα λογαριασμών, παρέχει στον αιτούμενο συνδρομητή πρόσβαση στα δεδομένα του μέσω της εφαρμογής My Vodafone/My Account. Σε περίπτωση αιτήματος πρόσβασης σε εισερχόμενα SMS, η καθ’ ης τονίζει ότι, εφόσον είναι συστημικά εφικτή η εξαγωγή των ζητηθεισών πληροφοριών με ακρίβεια, αυτή χορηγεί στον αιτούντα λίστα εισερχομένων SMS τα οποία εστάλησαν προς την τηλεφωνική γραμμή του αιτούντος. Επί αιτήματος πρόσβασης σε εισερχόμενες κλήσεις, η καθ’ ης αναφέρει στο υπόμνημά της ότι παρέχει στο αιτούμενο υποκείμενο πρόσβαση στις εισερχόμενες κλήσεις που αυτό έχει δεχθεί, εφόσον στο πληροφοριακό σύστημα της καθ’ ης είναι τεχνικά εφικτός ο διαχωρισμός μεταξύ των κλήσεων που έχουν πραγματοποιηθεί με απόκρυψη καλούσας γραμμής και των κλήσεων που έχουν πραγματοποιηθεί με ένδειξη της ταυτότητας της καλούσας γραμμής, σύμφωνα με την υπ’ αριθμ. 24/2009 Απόφαση της ΑΔΑΕ2, χωρίς να διευκρινίζει αν είναι πράγματι τεχνικά εφικτός ο διαχωρισμός αυτός. Ωστόσο, κατά τη συνεδρίαση της Ολομέλειας της Αρχής στις 1411-2023, η καθ’ ης υποστήριξε προφορικά ότι τέτοιος διαχωρισμός δεν είναι τεχνικά εφικτός, γι’ αυτό και δεν ικανοποιεί τα παραπάνω αιτήματα, προκειμένου να μην παραβιάσει το άρθρο 15 παρ. 4 ΓΚΠΔ, το οποίο προβλέπει ότι «το δικαίωμα να λαμβάνεται αντίγραφο που αναφέρεται στην παράγραφο 3 δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων». Η Αρχή, έπειτα από εξέταση των στοιχείων του φακέλου και όσων προέκυψαν από την ενώπιόν της ακροαματική διαδικασία και το υπόμνημα της καθ’ ης, αφού άκουσε 2 Η υπ’ αριθμ. 24/2009 Απόφαση της ΑΔΑΕ προβλέπει ότι, υπό την επιφύλαξη της νομοθεσίας περί προστασίας προσωπικών δεδομένων, η άρση του απορρήτου των επικοινωνιών κατά τη διαδικασία του εκτελεστικού του άρθρου 19 του Συντάγματος νόμου (ν. 2225/1994 κατά το χρόνο υποβολής της καταγγελίας) διακρίνεται από την περίπτωση κατά την οποία το ένα από τα μέρη της επικοινωνίας επιθυμεί να λάβει συγκεντρωτική λίστα των εισερχόμενων κλήσεων που δέχθηκε, εφόσον πρόκειται για κλήσεις για τις οποίες οι καλούντες συνδρομητές δεν είχαν εμποδίσει την ένδειξη της ταυτότητας της καλούσας γραμμής. 10 τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
6. Από τις διατάξεις των άρθρων 51 και 55 ΓΚΠΔ και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 1374624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου 4624/2019 και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
7. Σύμφωνα με το άρθρο 15 παρ. 1 και 3 ΓΚΠΔ «
8. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες: α) τους σκοπούς της επεξεργασίας, β) τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, γ) τους αποδέκτες ή τις κατηγορίες αποδεκτών στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα, ιδίως τους αποδέκτες σε τρίτες χώρες ή διεθνείς οργανισμούς, δ) εάν είναι δυνατόν, το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, [..], ζ) όταν τα δεδομένα προσωπικού χαρακτήρα δεν συλλέγονται από το υποκείμενο των δεδομένων, κάθε διαθέσιμη πληροφορία σχετικά με την προέλευσή τους, η) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που προβλέπεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων.
9. Όταν δεδομένα προσωπικού χαρακτήρα διαβιβάζονται σε τρίτη χώρα ή σε διεθνή οργανισμό, το υποκείμενο των δεδομένων έχει το δικαίωμα να ενημερώνεται για τις κατάλληλες εγγυήσεις σύμφωνα με το 11 άρθρο 46 σχετικά με τη διαβίβαση.
10. Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. […] Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως.».
11. Το δικαίωμα να λαμβάνεται αντίγραφο που αναφέρεται στην παράγραφο 3 δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων.». Επιπλέον, σύμφωνα με το άρθρο 12 ΓΚΠΔ «
12. Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων […] κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 […]
13. Ο υπεύθυνος επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων που προβλέπονται στα άρθρα 15 […]. Σύμφωνα με τις Κατευθυντήριες Γραμμές 1/2022 του ΕΣΠΔ για το Δικαίωμα πρόσβασης3, στο πλαίσιο ενός αιτήματος πρόσβασης κατ’ άρθρο 15 ΓΚΠΔ, οποιαδήποτε πληροφορία σχετική με τη διενεργούμενη επεξεργασία είναι στη διάθεση του υπευθύνου επεξεργασίας μπορεί να χρειαστεί να προσαρμοστεί και εξατομικευτεί σε σχέση με τις συγκεκριμένες πράξεις επεξεργασίας που διενεργούνται αναφορικά με το υποκείμενο των δεδομένων που κάθε φορά ασκεί το δικαίωμα πρόσβασης. Ως εκ τούτου, η παραπομπή στη διατύπωση της Πολιτικής για την προστασία της ιδιωτικής ζωής δεν αποτελεί πάντοτε και άνευ ετέρου έναν επαρκή τρόπο παροχής πληροφοριών σύμφωνο με τις επιταγές του άρθρου 15 παρ. 1 στοιχ. α’ έως η’ και παρ. 2 ΓΚΠΔ. Στο ίδιο συμπέρασμα κατέληξε πρόσφατα και το ΔΕΕ το οποίο έκρινε ότι, σε αντίθεση με τα άρθρα 13 και 14 ΓΚΠΔ, τα οποία θεσπίζουν υποχρέωση του υπευθύνου επεξεργασίας να παρέχει στο υποκείμενο των δεδομένων πληροφορίες σχετικές με τις κατηγορίες αποδεκτών ή τους συγκεκριμένους αποδέκτες των δεδομένων που το αφορούν, οσάκις τα δεδομένα αυτά συλλέγονται από το υποκείμενο ή δεν συλλέγονται από αυτό, το άρθρο 15 ΓΚΠΔ καθιερώνει γνήσιο δικαίωμα πρόσβασης 3 Βλ. EDPB, Guidelines 01/2022 on data subjects’ rights – Right of access, Version 2.0, adopted on 28 March 2023, παρ. 113, https://edpb.europa.eu/system/files/202304/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf 12 υπέρ του υποκειμένου, με αποτέλεσμα το τελευταίο να πρέπει να έχει τη δυνατότητα να λάβει από τον υπεύθυνο επεξεργασίας πληροφορίες σχετικά με τους συγκεκριμένους αποδέκτες στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα ή, εναλλακτικά, να επιλέξει να ζητήσει πληροφορίες μόνο σχετικά με τις κατηγορίες αποδεκτών
14. Λαμβάνοντας υπόψη τα ανωτέρω, προκύπτει ότι καθιερώνεται το δικαίωμα πρόσβασης του υποκειμένου στα προσωπικά δεδομένα που το αφορούν, µε κύριο σκοπό να βεβαιώνεται το υποκείμενο για την ακρίβεια και τον σύννομο χαρακτήρα της επεξεργασίας των δεδομένων του και να μπορεί να ασκήσει τα υπόλοιπα δικαιώματα που κατοχυρώνει ο ΓΚΠΔ προς όφελος των υποκειμένων (άρ. 16 έως 19, 21, 79 και 82 ΓΚΠΔ)
15. Ως εκ τούτου, οι πληροφορίες που παρέχονται στο υποκείμενο βάσει του δικαιώματος πρόσβασης πρέπει να είναι όσο το δυνατόν πιο ακριβείς
16. Στην υπό εξέταση περίπτωση, σε σχέση με τα προσωπικά δεδομένα που τηρεί η καθ’ ης και αποτέλεσαν αντικείμενο του ασκηθέντος δικαιώματος πρόσβασης η καθ’ ης ενημέρωσε τον καταγγέλλοντα σχετικά με τα τηρούμενα δεδομένα ταυτοπροσωπίας του, στοιχεία μητρώου του, στοιχεία αναφορικά με τη σύνδεση κινητής τηλεφωνίας του, δεδομένα συσκευής του και στοιχεία σχετικά με τις παρασχεθείσες από αυτόν συγκαταθέσεις για τη χρήση των προσωπικών του δεδομένων για προωθητικούς σκοπούς. Για δε αναλυτικότερες πληροφορίες ως προς τους σκοπούς επεξεργασίας, τους αποδέκτες των προσωπικών του δεδομένων, συγκεκριμένες κατηγορίες τηρουμένων δεδομένων και προσωπικά του δεδομένα συλλεγόμενα κατά τη χρήση της εφαρμογής "My Vodafone", τον παρέπεμψε στην αναρτημένη στην ιστοσελίδα της Πολιτική Προστασίας Ιδιωτικότητας και Προσωπικών Δεδομένων και στην εφαρμογή "My Vodafone", όπου όμως δεν παρέχονται με την απαιτούμενη εξειδίκευση οι αναλυτικές πληροφορίες που ζήτησε ο καταγγέλλων. Συνεπώς, με βάση τα ανωτέρω, προκύπτει ότι ως προς τις εν λόγω πληροφορίες, η καθ’ ης δεν ικανοποίησε προσηκόντως το δικαίωμα πρόσβασης του καταγγέλλοντος κατ’ άρθρο 15, παρ. 1, 3 σε συνδυασμό προς το άρθρο 12 παρ. 2 ΓΚΠΔ. 4 Βλ. ΔΕΕ, RW κατά Österreichische Post AG, C-154/21, σκ. 36.. Βλ. ΔΕΕ C-141/12, C-434/16, C-154/
17. 6 Βλ. ΔΕΕ, RW κατά Österreichische Post AG, C-154/21, σκ.
18. 5 13
19. Το Σύνταγμα ορίζει στο άρθρο 19 παρ. 1 ότι «το απόρρητο των επιστολών και της ελεύθερης ανταπόκρισης ή επικοινωνίας με οποιονδήποτε άλλο τρόπο είναι απόλυτα απαραβίαστο. Νόμος ορίζει τις εγγυήσεις υπό τις οποίες η δικαστική αρχή δεν δεσμεύεται από το απόρρητο για λόγους εθνικής ασφάλειας ή για διακρίβωση ιδιαίτερα σοβαρών εγκλημάτων.». Σχετικά γίνεται παγίως δεκτό από τη νομολογία του ΔΕΕ7, του ΕΔΔΑ8 και του Συμβουλίου της Επικρατείας9, ότι στην έννοια του απορρήτου εμπίπτει το σύνολο του επικοινωνιακού γεγονότος, δηλαδή τόσο το περιεχόμενο όσο και τα εξωτερικά στοιχεία της επικοινωνίας, ήτοι, σε σχέση με τις ηλεκτρονικές επικοινωνίες, και τα συναφώς παραγόμενα δεδομένα κίνησης και θέσης ή μεταδεδομένα
20. Την προστασία των εξωτερικών στοιχείων της επικοινωνίας προβλέπουν επίσης η Οδηγία 2002/58/ΕΚ και η κηρυχθείσα ανίσχυρη από το ΔΕΕ Οδηγία 2006/2411 που έχουν ενσωματωθεί στο ελληνικό δίκαιο (με τους ν. 3471/2006 και ν. 3917/2011 αντίστοιχα). Εξάλλου, δεν νοείται παραβίαση του απορρήτου της επικοινωνίας από επικοινωνούντα, δεδομένου ότι το απόρρητο δεν υφίσταται έναντι του φορέα του, τον οποίο προστατεύει, αντιθέτως η απαγόρευση παραβιάσεων απευθύνεται στους τρίτους. Συνεπώς, δεν κωλύεται, με βάση το άρθρο 19 του Συντάγματος, ο καλούμενος να ζητήσει την αποκάλυψη των εξωτερικών στοιχείων της επικοινωνίας της οποίας ο ίδιος αποτελεί μέρος
22. Η καθ’ ης επικαλείται τις διατάξεις του ν. 3917/2011 για να δικαιολογήσει την άρνησή της να ικανοποιήσει το αίτημα του καταγγέλλοντος να αποκτήσει πρόσβαση στα δεδομένα ηλεκτρονικών επικοινωνιών του τα οποία αυτή τηρεί. Ειδικότερα, επικαλείται το άρθρο 1 του ν. 3917/2011, σύμφωνα με το οποίο οι πάροχοι διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών ή δημόσιου δικτύου επικοινωνιών υποχρεούνται να τηρούν ορισμένα τηλεπικοινωνιακά δεδομένα που παράγονται ή υποβάλλονται σε επεξεργασία από αυτούς, προκειμένου να είναι διαθέσιμα στις αρμόδιες Αρχές για τη διακρίβωση ιδιαίτερα σοβαρών εγκλημάτων, 7 Βλ. ΔΕΕ συνεκδικαθείσες υποθέσεις C-293/12 και C-594/12 Βλ. ΕΔΔΑ, Malone v. UK, P.G. and J.H. v.UK, Heglas c. Republique Tcheque. 9 Βλ. ΣτΕ 1593/2016 10 Βλ. άρ. 4 του σχεδίου Κανονισμού e-privacy 11 Βλ. ΔΕΕ, συνεκδικασθείσες υποθέσεις C-293/12 και C-594/
23. 12 Βλ. Δαγτόγλου, Ατομικά δικαιώματα, εκδ. Αντ. Ν. Σάκκουλα, σελ. 421, Σπυρόπουλος/Κοντιάδης/Ανθόπουλος/Γεραπετρίτης, ΕρμΣυντ