Εξέταση καταγγελιών σχετικά με αζήτητες τηλεφωνικές κλήσεις για σκοπό προώθησης προϊόντων και υπηρεσιών – επιβολή κυρώσεων

(17)καταγγελίες, με χρήση της ειδικής φόρμας της Αρχής, που αφορούν τη διενέργεια παράνομων τηλεφωνικών κλήσεων με σκοπό την προώθηση προϊόντων ή υπηρεσιών της εταιρείας ΖΕΝΙΘ - Εταιρεία Προμήθειας Αερίου Θεσσαλονίκης Θεσσαλίας Α.Ε.. Η Αρχή ενημέρωσε σχετικά την εταιρεία ΖΕΝΙΘ και έλαβε τις απαντήσεις της, ως ακολούθως: Σχετικά με την καταγγελία με αρ. πρωτ. Γ/ΕΙΣ/7278/22-10-2020 την απάντηση με αρ. πρωτ Γ/ΕΙΣ/8799/22-12-2020, σχετικά με την καταγγελία με αρ. πρωτ. Γ/ΕΙΣ/7685/10-11-2020 την απάντηση με αρ. πρωτ. Γ/ΕΙΣ/8864/28-12-2020, σχετικά με την καταγγελία με αρ. πρωτ. Γ/ΕΙΣ/7758/11-11-2020 την απάντηση με αρ. πρωτ. Γ/ΕΙΣ/8825/23-12-2020, σχετικά με την καταγγελία με αρ. πρωτ. Γ/ΕΙΣ/7522/3-112020 την απάντηση με αρ. πρωτ. Γ/ΕΙΣ/8824/23-12-2020, σχετικά με την καταγγελία με αρ. πρωτ. Γ/ΕΙΣ/6788/7-10-2020 την απάντηση με αρ. πρωτ. Γ/ΕΙΣ/8823/23-122020, σχετικά με την καταγγελία με αρ. πρωτ. Γ/ΕΙΣ/503/19-01-2021 και την καταγγελία με αρ. πρωτ. Γ/ΕΙΣ/505/20-01-2021 την απάντηση με αρ. πρωτ. Γ/ΕΙΣ/1728/10-03-2021, σχετικά με την καταγγελία με αρ. πρωτ. Γ/ΕΙΣ/601/25-012021 την απάντηση με αρ. πρωτ. Γ/ΕΙΣ/1749/11-03-2021, σχετικά με την καταγγελία με αρ. πρωτ. Γ/ΕΙΣ/646/25-01-2021 την απάντηση με αρ. πρωτ. Γ/ΕΙΣ/1747/11-032021, σχετικά με την καταγγελία με αρ. πρωτ. Γ/ΕΙΣ/692/27-01-2021 την απάντηση με αρ. πρωτ. Γ/ΕΙΣ/1751/11-03-2021, σχετικά με την καταγγελία με αρ. πρωτ. Γ/ΕΙΣ/131/08-01-2021 την απάντηση με αρ. πρωτ. Γ/ΕΙΣ/1721/10-03-2021, σχετικά με την καταγγελία με αρ. πρωτ. Γ/ΕΙΣ/1015/10-02-2021 και την καταγγελία με αρ. πρωτ. Γ/ΕΙΣ/1391/26-02-2021 την απάντηση με αρ. πρωτ. Γ/ΕΙΣ/1890/17-03-2021, σχετικά με την καταγγελία με αρ. πρωτ. Γ/ΕΙΣ/752/29-01-2021 την απάντηση με αρ. πρωτ. Γ/ΕΙΣ/1753/17-03-2021 και σχετικά με τις καταγγελίες με αρ. πρωτ. Γ/ΕΙΣ/1340/2402-2021, Γ/ΕΙΣ/244/13-01-2021, Γ/ΕΙΣ/998/09-02-2021 την απάντηση με αρ. πρωτ. Γ/ΕΙΣ/1951/19-3-

1. Για τις ανωτέρω καταγγελίες, τα κύρια σημεία που περιλαμβάνονται στις απαντήσεις της ΖΕΝΙΘ συνοψίζονται ως εξής: Η ΖΕΝΙΘ πραγματοποιεί, τόσο η ίδια, όσο και μέσω εξωτερικών συνεργατών, τηλεφωνικές κλήσεις προς υποψήφιους πελάτες, προκειμένου να τους ενημερώσει για νέα προϊόντα της, τυχόν εκπτώσεις και προνόμια. Η ΖΕΝΙΘ επέχει θέση υπεύθυνου επεξεργασίας, οι δε εξωτερικοί συνεργάτες (call centers) επέχουν θέση εκτελούντων την επεξεργασία των προσωπικών δεδομένων των υποκειμένων για λογαριασμό της ΖΕΝΙΘ κατά την άσκηση της ως άνω δραστηριότητας. Στο πλαίσιο αυτό εντάσσεται και η επικοινωνία της ΖΕΝΙΘ με τους καταγγέλλοντες μέσω της εταιρείας One Way Private Company, υπό την ιδιότητα αυτής ως εκτελούσας την επεξεργασία. Η ΖΕΝΙΘ κατά την επιλογή των συνεργατών της, οι οποίοι τη συνδράμουν σε ενέργειες προώθησης προϊόντων και υπηρεσιών χρησιμοποιεί αυστηρά κριτήρια, δεσμεύει τον εκτελούντα την επεξεργασία με ιδιαίτερη σύμβαση, όπως απαιτείται από ελέγχους/επιθεωρήσεις, το άρθρο προκειμένου 28 να του ΓΚΠΔ, διενεργεί διαπιστώσει εάν δε τακτικά τηρούνται οι προϋποθέσεις της σχετικής νομοθεσίας. Η ΖΕΝΙΘ έχει συμβληθεί με την One Way 2 Private Company και, επιπροσθέτως, έχει υπογράψει με την εταιρεία, ως εκτελούσα την επεξεργασία, ιδιωτικό συμφωνητικό επεξεργασίας δεδομένων προσωπικού χαρακτήρα στο οποίο περιγράφεται το πλαίσιο της επεξεργασίας των προσωπικών δεδομένων των υποκειμένων και οι υποχρεώσεις αυτής σε σχέση με θέματα συμμόρφωσης με το σχετικό νομοθετικό πλαίσιο. Επιπρόσθετα, η ΖΕΝΙΘ ακολουθεί συστηματικά διαδικασίες για τον περιοδικό έλεγχο των εκτελούντων, για λογαριασμό της, την επεξεργασία εταιρειών (call centers), όπως η εν λόγω συνεργάτιδα, στο πλαίσιο των σχετικών διατάξεων του άρθρου 28 του ΓΚΠΔ, ο οποίος έλεγχος εστιάζει στην τήρηση των υποχρεώσεών τους που απορρέουν τόσο από την κείμενη νομοθεσία προστασίας προσωπικών δεδομένων όσο και από την υπογεγραμμένη με την εταιρεία σύμβαση. Περαιτέρω, κλιμάκιο της ΖΕΝΙΘ, με τη συνδρομή του υπευθύνου προστασίας δεδομένων αυτής, μετέβη στις εγκαταστάσεις της συνεργάτιδας εταιρείας την 13-02-2020 και διεξήγαγε επιτόπιο έλεγχο συμμόρφωσης με την κείμενη νομοθεσία και τη σύμβαση, τα αποτελέσματα του οποίου ήταν θετικά. Έχει δώσει ρητές κατευθυντήριες οδηγίες στους υπαλλήλους της για τον τρόπο χειρισμού αιτημάτων που σχετίζονται με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα τόσο των πελατών της όσο και των υποψήφιων πελατών, έχει ήδη πραγματοποιήσει και εξακολουθεί ανά τακτά χρονικά διαστήματα να οργανώνει σεμινάρια επιμόρφωσης των υπαλλήλων αυτής και των εργαζομένων των συνεργατών της με σκοπό την εξοικείωσή τους με το νέο νομοθετικό πλαίσιο περί προστασίας προσωπικών δεδομένων, παρέχει δε τα κατάλληλα εργαλεία, αρχεία και οδηγίες ώστε να αποτρέπονται η μη νόμιμες κλήσεις. Η ΖΕΝΙΘ διαβίβασε τις καταγγελίες στην One Way Private Company και συμπεριέλαβε τις έγγραφες εξηγήσεις της στα απαντητικά της έγγραφα. Για τις ανωτέρω καταγγελίες, τα κύρια σημεία των έγγραφων εξηγήσεων της One Way Private Company είναι τα παρακάτω: Η One Way Private Company τηρεί απαρέγκλιτα την κείμενη νομοθεσία, και εν προκειμένω την ορθή παρακολούθηση των εγγεγραμμένων στο μητρώο του άρθρου 11 του ν. 3471/2006 τηλεφωνικών αριθμών, καταβάλλει δε διαρκώς κάθε δυνατή προσπάθεια να συμμορφώνεται προς τις υποχρεώσεις της λαμβανομένου υπόψη ότι έχει λάβει οργανωτικά μέτρα προς το σκοπό της διασφάλισης των 3 εγγυήσεων που απαιτούνται για τη συμμόρφωσή της με τις προϋποθέσεις νομιμότητας κατά την εκτέλεση προωθητικών και άλλων ενεργειών, διαθέτοντας όχι μόνο κατάλληλες και τεκμηριωμένες διαδικασίες σύμφωνα με διεθνή πρότυπα (ISO), αλλά επίσης έχοντας δώσει έγγραφες και λεπτομερείς οδηγίες στο προσωπικό της για την απαρέγκλιτη τήρηση της διαδικασίας τήρησης του μητρώου του άρθρου 11 του ν. 3471/
2. Η τελική λίστα (ηλεκτρονικό αρχείο) τηλεφωνικών αριθμών στους οποίους πρόκειται να πραγματοποιηθούν κλήσεις στο όνομα και για λογαριασμό του παρόχου δημιουργείται αφού πρώτα εξαιρεθούν με αυτοματοποιημένη διαδικασία οι τηλεφωνικοί αριθμοί στους οποίους δεν επιτρέπεται, σύμφωνα με την κείμενη νομοθεσία, να πραγματοποιηθούν κλήσεις εντός του καθορισμένου ως άνω φάσματος. Η εξαίρεση αυτή γίνεται με τη χρήση δύο

(2)ακόμα αρχείων ως εξής: (I) Ηλεκτρονικό αρχείο με τους τηλεφωνικούς αριθμούς που είναι εγγεγραμμένοι στο μητρώο του άρθρου 11 του ν. 3471/

1. Το αρχείο αυτό λαμβάνεται ηλεκτρονικά από όλους τους βασικούς τηλεπικοινωνιακούς παρόχους σε μηνιαία βάση. (II) Ηλεκτρονικό αρχείο με τους τηλεφωνικούς αριθμούς που είναι εγγεγραμμένοι στο μητρώο αντιρρήσεων που τηρεί η One Way Private Company. Αφού εξαιρεθούν με αυτοματοποιημένη διαδικασία από το καθορισμένο εκ του παρόχου αριθμοδοτικό φάσμα οι τηλεφωνικοί αριθμοί που είναι αποθηκευμένοι στα ως άνω δύο αρχεία, το ηλεκτρονικό αρχείο με τους εναπομείναντες εκ του καθορισμένου κατά τα ανωτέρω αριθμοδοτικού φάσματος τηλεφωνικούς αριθμούς εισάγεται στον dialer ο οποίος αρχίζει εν συνεχεία να καλεί τους αριθμούς αυτούς. O dialer διαβιβάζει τις κλήσεις που πραγματοποιούνται με τον τρόπο αυτό στους επιφορτισμένους για την προωθητική ενέργεια (πώληση) υπαλλήλους της εταιρείας, και έτσι αρχίζει στην πράξη η διαδικασία προώθησης προϊόντων/υπηρεσιών. Η One Way Private Company εντόπισε στα αρχεία καταγραφής που τηρεί, τις κλήσεις από το τηλεφωνικό της κέντρο προς τους καταγγέλλοντος (αναπάντητες και απαντημένες). Από περαιτέρω έλεγχο που πραγματοποίησε, κατά τις ημερομηνίες που πραγματοποιήθηκαν οι ως άνω τηλεφωνικές κλήσεις, πράγματι οι τηλεφωνικοί αριθμοί που αναφέρονται στις καταγγελίες ήταν εγγεγραμμένοι στο μητρώο του άρθρου
2. Εντούτοις, η πραγματοποίηση των μεμονωμένων κλήσεων σε καμία περίπτωση δεν οφείλεται σε δόλο, κακή πρόθεση ή συνειδητή μη τήρηση των εκ του νόμου υποχρεώσεων της One Way Private Company, αλλά σε αποκλειστικά συστημικό σφάλμα. Ήδη η εταιρεία 4 προχώρησε άμεσα στις απαιτούμενες ενέργειες θεραπείας για την αποφυγή οιασδήποτε εφεξής όχλησης των καταγγελλόντων με σκοπό διαφημιστικές, προωθητικές ή άλλες ενέργειες και επιπλέον έχει εντάξει τους τηλεφωνικούς τους αριθμούς και στο μητρώο αντιρρήσεων που τηρεί, και ουδεμία κλήση έχει πραγματοποιηθεί εφεξής στους τηλεφωνικούς αυτούς αριθμούς. Η Αρχή στη συνέχεια κάλεσε τη ΖΕΝΙΘ και την One Way Private Company με τις με αρ. πρωτ. Γ/ΕΞΕ/874/18-03-2021, Γ/ΕΞΕ/873/18-03-2021 κλήσεις στην συνεδρίαση της Ολομέλειας στις 31/3/
3. Παρέστησαν εκ μέρους της ΖΕΝΙΘ οι: A, Διευθυντής …, Αντώνιος Μπρούμας με ΑΜΔΣΑ ….. και Κωνσταντίνος Πανάγος με ΑΜΔΣΑ ….. Την One Way Private Company εκπροσώπησαν οι B, υπεύθυνος λειτουργίας της συγκεκριμένης διαφημιστικής καμπάνιας και Γ, Υπεύθυνος …. Στη συνεδρίαση ήταν επίσης παρών και ο Δ, Υπεύθυνος Προστασίας Δεδομένων της εταιρείας, προκειμένου να παράσχει διευκρινίσεις. Μετά τη συνεδρίαση κατατέθηκαν τα με αρ. πρωτ. Γ/ΕΙΣ/2637/19-04-2021 , Γ/ΕΙΣ/2653/19-04-2021 υπομνήματα από την ΖΕΝΙΘ και την One Way Private Company αντίστοιχα. Στο με αρ. πρωτ. Γ/ΕΙΣ/2637/19-04-2021 υπόμνημα η ΖΕΝΙΘ προσθέτει ότι λόγω ανθρωπίνου λάθους από υπαλλήλους της One Way Private Company προκλήθηκε το πρόβλημα της μη εξαίρεσης των συνδρομητών που έχουν ενταχθεί στο μητρώο του άρθρου 11 από τις «κρύες λίστες» τηλεφωνικών αριθμών. Δεν έχει υπαιτιότητα η εταιρεία αφού και συμβατικά αλλά και ενεργώντας κατάλληλα μετά τη λήψη των επιστολών της Αρχής, έπραξε ως όφειλε ως υπεύθυνος επεξεργασίας. Στο με αρ. πρωτ. Γ/ΕΙΣ/2653/19-04-2021 υπόμνημα η One Way Private Company προσδιορίζει το συστημικό λάθος, δηλαδή ότι από παράλειψη υπαλλήλου δεν πραγματοποιήθηκε η διαδικασία εξαίρεσης των συνδρομητών που έχουν ενταχθεί στο μητρώο του άρθρου 11 από τις «κρύες λίστες» τηλεφωνικών αριθμών που καλούσε ο dialer. Το ζήτημα δεν αφορούσε όλες τις λίστες αλλά ένα μικρό αριθμό αυτών. Το χρονικό διάστημα κατά το οποίο υπήρξε αυτή η παράλειψη είναι 28/11/2020 μέχρι 18/12/2020 και 20/12/2020 μέχρι 3/2/
4. Το πλήθος των αριθμών οι οποίοι κλήθηκαν από την One Way Private Company για λογαριασμό της 5 ΖΕΝΙΘ κατά τους μήνες Νοέμβριο και Δεκέμβριο ήταν 851.972 και 732.322 αντίστοιχα. Οι κλήσεις που απαντήθηκαν ήταν 408.041 και 343.303 αντίστοιχα. Γρήγορα μετά τον εντοπισμό του λάθος αυτοματοποιήθηκε η διαδικασία εξαίρεσης από τις λίστες των ενταγμένων στο μητρώο του άρθρου 11 αριθμών, έτσι ώστε να μην είναι εφεξής δυνατό να προκύψει παρόμοιο σφάλμα. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου και αποχώρησε μετά από τη συζήτηση της υποθέσεως και πριν από τη διάσκεψη και τη λήψη αποφάσεως, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
5. Το ζήτημα των τηλεφωνικών κλήσεων, για σκοπούς απευθείας προώθησης προϊόντων ή υπηρεσιών και για κάθε είδους διαφημιστικούς σκοπούς, ρυθμίζεται στο άρθρο 11 του ν. 3471/2006, με το οποίο εισάγονται ρυθμίσεις σχετικά με τις μη ζητηθείσες επικοινωνίες (βλ. παρ. 1 και 2). Συγκεκριμένα, στο άρθρο 11 παρ. 1 του ν. 3471/2006 ορίζεται ότι: «Η χρησιμοποίηση αυτόματων συστημάτων κλήσης, ιδίως με χρήση συσκευών τηλεομοιοτυπίας (φαξ) ή ηλεκτρονικού ταχυδρομείου, και γενικότερα η πραγματοποίηση μη ζητηθεισών επικοινωνιών με οποιοδήποτε μέσο ηλεκτρονικής επικοινωνίας, χωρίς ανθρώπινη παρέμβαση, για σκοπούς απευθείας εμπορικής προώθησης προϊόντων ή υπηρεσιών και για κάθε είδους διαφημιστικούς σκοπούς, επιτρέπεται μόνο αν ο συνδρομητής συγκατατεθεί εκ των προτέρων ρητώς», ενώ με την παράγραφο 2 του ιδίου άρθρου ορίζεται ότι: «Δεν επιτρέπεται η πραγματοποίηση μη ζητηθεισών επικοινωνιών με ανθρώπινη παρέμβαση (κλήσεων) για τους ανωτέρω σκοπούς, εφόσον ο συνδρομητής έχει δηλώσει προς τον φορέα παροχής της διαθέσιμης στο κοινό υπηρεσίας, ότι δεν επιθυμεί γενικώς να δέχεται τέτοιες κλήσεις. Ο φορέας υποχρεούται να καταχωρίζει δωρεάν τις δηλώσεις αυτές σε ειδικό κατάλογο συνδρομητών, ο οποίος είναι στη διάθεση κάθε ενδιαφερομένου». Κατά συνέπεια, οι τηλεφωνικές κλήσεις με ανθρώπινη παρέμβαση, ενόψει των ανωτέρω σκοπών, επιτρέπονται, εκτός αν ο καλούμενος έχει δηλώσει ότι δεν τις επιθυμεί (σύστημα «opt-out»). Οι 6 διαφημιζόμενοι, εφόσον πραγματοποιούν τηλεφωνικές προωθητικές ενέργειες με ανθρώπινη παρέμβαση, οφείλουν να λαμβάνουν από όλους τους παρόχους επικαιροποιημένα αντίγραφα των μητρώων του άρθρου 11 του ν. 3471/2006 και να εξασφαλίζουν ότι έχουν διαθέσιμες τις δηλώσεις των συνδρομητών που έχουν πραγματοποιηθεί έως τριάντα ημέρες πριν από την πραγματοποίηση της τηλεφωνικής κλήσης (βλ. και τις υπ’ αριθμ. 62-67/2016 Αποφάσεις της Αρχής).
6. Περαιτέρω, ο αριθμός τηλεφώνου ενός φυσικού προσώπου αποτελεί προσωπικό δεδομένο, αφού μπορεί να λειτουργήσει ως στοιχείο έμμεσης αναγνώρισης του κατόχου του (πρβλ. άρθρο 4 παρ. 1 Κανονισμού (ΕΕ) 2016/679, εφεξής ΓΚΠΔ), επιτρέποντας την επικοινωνία με αυτόν. Σύμφωνα δε με τη Γνώμη 4/2007 της ομάδας εργασίας του άρθρου 29 της Ε.Ε. σχετικά με την έννοια των προσωπικών δεδομένων, ειδικά κατά τη λειτουργία ηλεκτρονικών υπηρεσιών, στοιχεία έμμεσης αναγνώρισης, μπορούν επαρκώς σε ορισμένες περιπτώσεις να διακρίνουν ένα άτομο από άλλα στο πλαίσιο ενός συγκεκριμένου συνόλου, ακόμα και αν δεν έχει γίνει η εξακρίβωση του ονόματός του.
7. Η διενέργεια τηλεφωνικών κλήσεων με σκοπό την προώθηση προϊόντων και υπηρεσιών, ρυθμίζεται κατ΄ αρχήν από το άρθρο 11 του ν. 3471/
8. Επισημαίνεται όμως ότι, στο άρθρο 3 παρ. 2 του νόμου αυτού διευκρινίζεται ότι «Ο ν. 2472/1997, όπως ισχύει, και οι εκτελεστικοί του άρθρου 19 του Συντάγματος νόμοι, όπως ισχύουν, εφαρμόζονται για κάθε ζήτημα σχετικό με την παροχή υπηρεσιών ηλεκτρονικών επικοινωνιών, που δεν ρυθμίζεται ειδικότερα από τον παρόντα νόμο». Πλέον, μετά τη θέση σε εφαρμογή του ΓΚΠΔ, κάθε παραπομπή στο ν. 2472/1997, ο οποίος είχε εκδοθεί σε συμμόρφωση με την οδηγία 95/46/ΕΚ, νοείται ως παραπομπή στο ΓΚΠΔ (βλ. και άρθρο 94 παρ. 1 ΓΚΠΔ). Συνεπώς, για κάθε ζήτημα σχετικό με την παροχή υπηρεσιών ηλεκτρονικών επικοινωνιών σε συνδρομητές ή χρήστες που είναι φυσικά πρόσωπα και το οποίο δεν ρυθμίζεται ειδικότερα στο ν. 3471/2006 εφαρμόζεται ο ΓΚΠΔ (βλ. επίσης και άρθρο 95 ΓΚΠΔ όπως και την αιτιολογική σκέψη υπ’ αριθμ. 173).
9. Στο άρθρο 4 παρ. 7 του ΓΚΠΔ ορίζεται ως υπεύθυνος επεξεργασίας «…το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα…». Ο εκτελών την επεξεργασία ορίζεται στην 7 επόμενη παράγραφο του ιδίου άρθρου ως «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου της επεξεργασίας».
10. Στο άρθρο 28 του ΓΚΠΔ, με το οποίο ρυθμίζονται τα θέματα που αφορούν τον εκτελούντα την επεξεργασία, προβλέπεται στην παρ. 1 ότι όταν η επεξεργασία πρόκειται να διενεργηθεί για λογαριασμό υπευθύνου επεξεργασίας, ο υπεύθυνος επεξεργασίας χρησιμοποιεί μόνο εκτελούντες την επεξεργασία που παρέχουν επαρκείς διαβεβαιώσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων, κατά τρόπο ώστε η επεξεργασία να πληροί τις απαιτήσεις του παρόντος κανονισμού και να διασφαλίζεται η προστασία των δικαιωμάτων του υποκειμένου των δεδομένων, ενώ στην παρ. 3 ορίζεται ότι επεξεργασία από τον εκτελούντα την επεξεργασία διέπεται από σύμβαση ή άλλη νομική πράξη υπαγόμενη στο δίκαιο της Ένωσης ή του κράτους μέλους, που δεσμεύει τον εκτελούντα την επεξεργασία σε σχέση με τον υπεύθυνο επεξεργασίας και καθορίζει το αντικείμενο και τη διάρκεια της επεξεργασίας, τη φύση και τον σκοπό της επεξεργασίας, το είδος των δεδομένων προσωπικού χαρακτήρα και τις κατηγορίες των υποκειμένων των δεδομένων και τις υποχρεώσεις και τα δικαιώματα του υπευθύνου επεξεργασίας. Η εν λόγω σύμβαση ή άλλη νομική πράξη προβλέπει ειδικότερα ότι ο εκτελών την επεξεργασία επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα μόνο βάσει καταγεγραμμένων εντολών του υπευθύνου επεξεργασίας, λαμβάνει όλα τα απαιτούμενα μέτρα δυνάμει του άρθρου
12. Στο άρθρο 32 του ΓΚΠΔ ορίζεται, μεταξύ άλλων, ότι τόσο ο υπεύθυνος επεξεργασίας όσο και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία λαμβάνουν μέτρα ώστε να διασφαλίζεται ότι κάθε φυσικό πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την 8 επεξεργασία το οποίο έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα τα επεξεργάζεται μόνο κατ’ εντολή του υπευθύνου επεξεργασίας. Από τις διατάξεις αυτές συνάγεται ότι η ευθύνη για την τήρηση των κατάλληλων μέτρων ασφάλειας βαρύνει τόσο τον υπεύθυνο επεξεργασίας όσο και τον εκτελούντα την επεξεργασία και, συνεπώς, η ευθύνη για μια παραβίαση μέτρων ασφάλειας θα πρέπει να επιμερίζεται και να αποδίδεται κατάλληλα.
13. Σύμφωνα με τις Κατευθυντήριες γραμμές του ΕΣΠΔ Οδηγίες 07/2020 σχετικά με τις έννοιες του υπευθύνου και του εκτελούντα στο ΓΚΠΔ στη σκέψη

(127)αναφέρεται ότι το επίπεδο των οδηγιών που παρέχει ο υπεύθυνος επεξεργασίας στον εκτελούντα ως προς τα μέτρα που πρέπει να ληφθούν εξαρτάται από τις συγκεκριμένες συνθήκες. Σε ορισμένες περιπτώσεις, ο υπεύθυνος επεξεργασίας μπορεί να παρέχει σαφή και λεπτομερή περιγραφή των μέτρων ασφαλείας που πρέπει να εφαρμοστούν. Σε άλλες περιπτώσεις, ο υπεύθυνος επεξεργασίας μπορεί να περιγράψει τους ελάχιστους στόχους ασφαλείας που πρέπει να επιτευχθούν, ζητώντας ταυτόχρονα από τον εκτελούντα την επεξεργασία να προτείνει την εφαρμογή συγκεκριμένων μέτρων ασφαλείας. Σε κάθε περίπτωση, ο υπεύθυνος επεξεργασίας πρέπει να παρέχει στον εκτελούντα μια περιγραφή των δραστηριοτήτων επεξεργασίας και των στόχων ασφαλείας (με βάση την εκτίμηση κινδύνου του υπεύθυνου επεξεργασίας), καθώς και την έγκριση των μέτρων που προτείνει ο εκτελών την επεξεργασία.

1. Όπως προκύπτει από τα στοιχεία του φακέλου της υπόθεσης, η ΖΕΝΙΘ, μέσω σύμβασης, αναθέτει στην One Way Private Company τη διενέργεια διαφημιστικών κλήσεων για προώθηση των δικών της προϊόντων και υπηρεσιών. Με τη σύμβαση, τις έντυπες οδηγίες και τις λοιπές εντολές που παρέχει στην One Way Private Company, η ΖΕΝΙΘ θέτει μια σειρά από προδιαγραφές, με τις οποίες καθορίζεται το πλαίσιο δραστηριοποίησης του συνεργάτη της με στόχο την ικανοποίηση των απαιτήσεων του ΓΚΠΔ που περιγράφονται στην σκέψη
2. Η ΖΕΝΙΘ καθορίζει πλήρως το στόχο της επεξεργασίας, άρα και το σκοπό αυτής, ενώ καθορίζει και τα βασικά χαρακτηριστικά για τα μέσα της επεξεργασίας.
3. Σύμφωνα με τις σκέψεις 5 και 6 ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία αναλαμβάνουν την εφαρμογή των κατάλληλων μέτρων προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων . Το 9 σφάλμα στην εφαρμογή της εκτελούσας την επεξεργασία One Way Private Company που οδήγησε σε τηλεφωνικές κλήσεις σε συνδρομητές που είχαν ενταχθεί στο μητρώο 11, κατά παράβαση του άρθρου 11 του ν. 3471/2006 (βλ. σκέψη 1), προέκυψε από παράλειψη υπαλλήλου της και είναι αποτέλεσμα της έλλειψης αυτόματης διαδικασίας εξαίρεσης των συνδρομητών που έχουν ενταχθεί στο μητρώο
5. Η ευθύνη για τη μη εφαρμογή των κατάλληλων μέτρων, κατά παράβαση των άρθρων 28 και 32 του ΓΚΠΔ (βλ. σκέψεις 6,7) θα πρέπει να επιμεριστεί στον εκτελούντα την επεξεργασία και στον υπεύθυνο την επεξεργασία. Από τα στοιχεία του φακέλου προκύπτει ότι η One Way Private Company ήταν υπεύθυνη για την ειδική εφαρμογή μέσω της οποίας εξαιρούνται από τον dialer οι ενταγμένοι στο μητρώο τηλεφωνικοί αριθμοί των οποίων η υποχρέωση εξαίρεσης προβλεπόταν ρητά συμβατικά. Επίσης, ο μη αυτοματοποιημένος τρόπος ενεργοποίησης του μηχανισμού εξαίρεσης καθώς και η ευθύνη για την παράλειψη του υπαλλήλου να την ενεργοποιήσει και το μη έλεγχο αυτής ανήκει αποκλειστικά στην One Way Private Company.
6. Η ευθύνη της ΖΕΝΙΘ, ως υπευθύνου επεξεργασίας είναι να παράσχει κατάλληλα εργαλεία, αρχές και οδηγίες ώστε να αποτραπούν οι μη νόμιμες κλήσεις. Η ευθύνη της ΖΕΝΙΘ επίσης αφορά και την επάρκεια του ελέγχου και της εποπτείας της One Way Private Company αλλά και τις ενέργειες στις οποίες προέβη η ΖΕΝΙΘ μόλις έλαβε γνώση των καταγγελιών. Οι ενέργειες αυτές της ZENIΘ δεν ήταν επαρκείς ώστε κατά τον έλεγχο που διενήργησε να προσδιοριστεί η αιτία της παράβασης και να δοθούν οι κατάλληλες ειδικές οδηγίες στην One Way Private Company, αλλά είχαν μόνο γενικό χαρακτήρα.
7. Ο αριθμός των τηλεφωνικών κλήσεων που πραγματοποιήθηκαν σε αριθμούς ενταγμένους στο μητρώο του άρθρου 11 δεν μπορεί να προσδιοριστεί επακριβώς καθώς δεν αναφέρεται στο υπόμνημα της One Way Private Company, αν και είχε ζητηθεί από την Αρχή. Το ποσοτικό στοιχείο που περιλαμβάνεται στο υπόμνημα είναι ο αριθμός των τηλεφωνικών αριθμών οι οποίοι κλήθηκαν από την One Way Private Company για λογαριασμό της ΖΕΝΙΘ κατά τους μήνες Νοέμβριο και Δεκέμβριο, οι οποίοι ήταν 851.972 και 732.322 αντίστοιχα.
8. Όσον αφορά στις δεκαεπτά καταγγελίες φυσικών προσώπων που αναφέρονται 10 στην αρχή της παρούσης για τη διενέργεια παράνομων τηλεφωνικών κλήσεων με σκοπό την προώθηση προϊόντων ή υπηρεσιών, την οποία αποδέχονται ο υπεύθυνος και ο εκτελών την επεξεργασία, η Αρχή διαπιστώνει ότι οι καταγγελίες αυτές είναι βάσιμες.
9. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις και ότι, με βάση τις περιστάσεις που διαπιστώθηκαν, πρέπει να επιβληθεί, κατ’ εφαρμογή της διάταξης της παρ. 2 εδ. θ’ του άρθρου αυτού, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ τόσο προς αποκατάσταση της συμμόρφωσης, όσο και ως κύρωση για την παράνομη συμπεριφορά.
10. Περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, την παράγραφο 5 στοιχ. α’ και β’ του ίδιου άρθρου που έχουν εφαρμογή στην παρούσα υπόθεση και τις Κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του ΓΚΠΔ, καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως: α) τη φύση της βλάβης στον καλούμενο συνδρομητή ή χρήστη, ο οποίος ενώ έχει δηλώσει την αντίθεσή του στο να δέχεται τηλεφωνικές κλήσεις διαφημιστικού χαρακτήρα, γίνεται δέκτης τηλεφωνικών οχλήσεων χωρίς να γίνεται σεβαστό το δικαίωμα αντίρρησης που έχει εκφράσει β) τον αριθμό των επηρεαζόμενων προσώπων, που δεν προσδιορίστηκε επακριβώς από την One Way Private Company, αν και ζητήθηκε, και τεκμαίρεται ότι είναι σημαντικός, αφού ο αριθμός των κλήσεων που πραγματοποιήθηκαν για λογαριασμό της ΖΕΝΙΘ κατά το χρονικό διάστημα στο οποίο υπήρχε το συστημικό σφάλμα είναι πάνω από 1,5 εκατομμύριο γ) ότι δεν πρόκειται για δεδομένα προσωπικού χαρακτήρα ειδικών κατηγοριών των άρθρων 9 και 10 του ΓΚΠΔ δ) ότι υποβλήθηκαν σχετικά στην Αρχή δεκαεπτά καταγγελίες ε) ότι δεν έχει επιβληθεί στο παρελθόν διοικητική κύρωση από την Αρχή στον υπεύθυνο επεξεργασίας ούτε στον εκτελούντα την επεξεργασία στ) Το γεγονός ότι οι ως άνω στοιχειοθετούμενες παραβάσεις του ΓΚΠΔ δεν 11 αποδεικνύεται άνευ αμφιβολίας ότι αποδίδονται σε δόλο του υπευθύνου επεξεργασίας ή του εκτελούντα την επεξεργασία ζ) Σύμφωνα με τα στοιχεία που είναι δημόσια διαθέσιμα στο Γ.Ε.Μ.Η., τα έσοδα της One Way Private Company για το έτος 2019 ήταν 9.055.814,
12. Το διορθωτικό μέτρο του διοικητικού προστίμου, όπως αυτό αναλύθηκε στην προηγούμενη σκέψη, επιβάλλεται για το σύνολο της παράβασης, στην οποία περιλαμβάνονται και οι περιπτώσεις των καταγγελλόντων οι οποίοι αποτελούν αποδέκτες της απόφασης. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή επιβάλλει στον εκτελούντα την επεξεργασία One Way Private Company με βάση τα άρθρα 58 παρ. 2 στοιχ. θ΄ και 83 παρ. 4 στοιχ. α’ και β΄ ΓΚΠΔ, το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση, σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους τριάντα χιλιάδων (30.000) ευρώ για παραβίαση του άρθρου 32 παρ. 2 και 4 του ΓΚΠΔ σε συνδυασμό με το άρθρο 28 παρ. 3, περ. γ του ΓΚΠΔ, σε σχέση με τα αναφερόμενα στις σκέψεις 9 και
13. Επιβάλλει στον υπεύθυνο επεξεργασίας ZENΙΘ, την κύρωση της επίπληξης, σύμφωνα με το άρθρο 58 παρ.2 του ΓΚΠΔ, για παράβαση του άρθρου 28 παρ. 3 περ. γ του ΓΚΠΔ, σε σχέση με τα αναφερόμενα στη σκέψη
14. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 12