Η Αρχή απευθύνει σύσταση σε εταιρεία για την τήρηση των διατάξεων για τη νομιμότητα συλλογής δεδομένων προσωπικού χαρακτήρα

Αθήνα, 08-08-2014 Αριθ. Πρωτ.: Γ/ΕΞ/4922/08-08-2014 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΕΟΜΕΝΝ ΠΡΟΣΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Α Π Ο Φ Α Σ Η 102/2014 Η Αρχή Προστασ ας εδο&ένων Προσωπικού Χαρακτήρα συνήλθε &ετά από πρόσκληση του Προέδρου της σε τακτική συνεδρ αση στην έδρα της την 09-04-2014, σε συνέχεια της από 19-03-2014 συνεδρ ασής της, προκει&ένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Π. Χριστόφορος, Πρόεδρος της Αρχής, Λ. Κοτσαλής, Α.-Ι. Μεταξάς, . Μπριόλας, Α. Συ&βώνης, ως εισηγητής, Π. Τσαντ λας και Κ. Χριστοδούλου, τακτικά &έλη. Στη συνεδρ αση, χωρ ς δικα ω&α ψήφου, παρέστησαν οι ειδικο επιστή&ονες-υπάλληλοι του Τ&ή&ατος Ελεγκτών Ι. Λυκοτραφ της, Γ. Ρουσόπουλος και Αν. Χρυσάνθου, ως βοηθο εισηγητή, και η Ε. Παπαγεωργοπούλου, υπάλληλος του Τ&ή&ατος ιοικητικού-Οικονο&ικού, ως γρα&&ατέας, &ετά από εντολή του Προέδρου. Στη συνεδρ αση της 19-03-2014 και &ετά από κλήση της Αρχής (Γ/ΕΞ/1518/07-032014) παρέστη ως εκπρόσωπος της εταιρε ας &ε την επωνυ& α «Chevellas Ανώνυ&η Ε&πορική και Βιο&ηχανική Εταιρε α Αυτοκινήτων και Μηχανη&άτων» και το διακριτικό τ τλο «Chevellas Α.Ε.» (εφεξής Chevellas) ο Κερα&άρης Βασ λης, δικηγόρος, ο οπο ος εξέφρασε τις απόψεις της ως άνω εταιρε ας και έλαβε προθεσ& α &έχρι της 28-03-2014 προκει&ένου να υποβάλει σχετικό υπό&νη&α. Η Αρχή έλαβε υπόψη τα παρακάτω: H Αρχή πραγ&ατοπο ησε στις 19 και 22 Οκτωβρ ου 2012 επιτόπιο διοικητικό έλεγχο Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -2στις εγκαταστάσεις που διατηρούν από κοινού οι εταιρε ες «ΡΑΝΝΕΡ ΕΤΑΙΡΕΙΑ ΣΥΛΛΟΓΗΣ ΚΑΙ ΙΑΧΕΙΡΙΣΗΣ ΠΛΗΡΟΦΟΡΙΝ Ε.Π.Ε.» (εφεξής ΡΑΝΝΕΡ) και «ADD ΟΝΕ ΕΜΠΟΡΙΚΗ – ΕΙΣΑΓΓΙΚΗ ΕΤΑΙΡΕΙΑ ΠΕΡΙΟΡΙΣΜΕΝΗΣ ΕΥΘΥΝΗΣ» (εφεξής ADD ONE), σύ&φωνα &ε το άρθρο 19 στοιχ. η) του ν. 2472/

1. Μετά από την ολοκλήρωση του ελέγχου, η ο&άδα ελέγχου συνέταξε το υπ’ αρ. πρωτ. Γ/ΕΙΣ/8024/1712-2013 πόρισ&α. Κατά τον έλεγχο, και &ετά από ανάλυση των πειστηρ ων προέκυψαν στοιχε α για την Chevellas, όσον αφορά σε επεξεργασ α &η δη&όσια διαθέσι&ων δεδο&ένων προσωπικού χαρακτήρα χωρ ς συγκατάθεση των υποκει&ένων. Με την υπ’ αριθ&. πρωτ. Γ/ΕΞ/1518/07-03-2014 κλήση της Αρχής εστάλη στον υπεύθυνο επεξεργασ ας περιγραφή των πειστηρ ων που συνελέγησαν και άπτονται του αντικει&ένου των δραστηριοτήτων του. Από τα ευρή&ατα του υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/8024/17-12-2013 πορ σ&ατος ελέγχου των δύο εταιρειών που αναφέρθηκαν παραπάνω επιση&α νονται ιδια τερα τα εξής: ε) Βρέθηκε συνο&ιλ α &έσω ηλ. αλληλογραφ ας όπου ο Α σε &ήνυ&α ηλ. ταχυδρο&ε ου &ε θέ&α "Re: πελατολογιο Chevellas" στις 28/6/2012 απαντά στην Β1, η οπο α του κοινοποιε πληροφόρηση από Chevellas, ότι: «1φόσον έχου&ε ΑΦΜ τότε θα &πορέσου&ε να βρου&ε και να συ&πληρώσου&ε τα στοιχε α τους στο &εγα -&η ανακτήσι&ο τ&ή&α- τερο ποσοστό των πελατών τους Οσο για τα DAEWOO έχου&ε 20500 στην Αττική και 35000 στην επαρχ -&η ανακτήσι&ο τ&ή&απωλήσεις από το 1997 και &ετά απο τα από τα οπο α εκτι&ώ οτι το 40% περιπου ε ναι ακό&α σε κ -&η ανακτήσι&ο τ&ή&α- λοφορ α Το κόστος το κανονικό ε ναι 0,07€/ ονο&α για την συ&πλήρωση των στοιχε ω -&η ανακτήσι&ο τ&ή&α- και 0,14€ για το αρχε ο DAEWOO από εκε και πέρα εσε ς τις δια&ορφώνετε όπως θέλετε Α Υγ.Η α&οιβή &ας ε ναι στα ονό&ατα που θα βρού&ε ή που θα , -&η ανακτήσι&ο τ&ή&α- υ&πληρώσου&ε» Η πληροφόρηση από Chevellas, η οπο α προέρχεται από τον Γ (Γ@chevellas.gr) αναφέρει «1 Τι ποσοστό ονο&άτω -&η ανακτήσι&ο τ&ή&α- του πελατολογ ου έχουν ΑΦΜ 1 Στο πόρισ&α ελέγχου αναφέρεται εν οτε ως ΒΒ, εκ παραδρο&ής, αντ του ορθού Β. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -3ΟΛΑ 2 Τι ποσοστό ονο&άτων του πελατολογ ου έχουν Αρι -&η ανακτήσι&ο τ&ή&α- &ό Κυκλοφορ ας. ΘΑ ΞΕΡ ΑΥΡΙΟ». Στο υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/1983/28-03-2014 υπό&νη&ά της η Chevellas υποστηρ ζει ότι το ως άνω στοιχε ο (ε) –στοιχε ο Β.21.5ε του Πορ σ&ατος– αποτελε &ήνυ&α ηλεκτρονικού ταχυδρο&ε ου, το οπο ο εστάλη για να διερευνηθε η πιθανότητα συνεργασ ας &εταξύ ΡΑΝΝΕΡ και Chevellas στο πλα σιο ενη&ερωτικών-προωθητικών ενεργειών της Chevellas προς το πελατολόγιο της. Για τη συνεργασ α αυτή &εσολάβησε η Β, η οπο α διατηρε φιλικές σχέσεις &ε το [στέλεχος] της Chevellas Γ. Η συνεργασ α τελικώς δεν προχώρησε και δεν υπήρξε κα& α άλλη επαφή του Γ &ε τη ΡΑΝΝΕΡ ή την Β. Η Chevellas κλε νει το υπό&νη&ά της αναφέροντας πως ουδε ς της παρέδωσε κάποιο αρχε ο ή στοιχε ο που να αφορά σε επεξεργασ α δη&όσιων και –πολύ περισσότερο– &η δη&όσιων διαθέσι&ων δεδο&ένων προσωπικού χαρακτήρα. Σύ&φωνα &ε το υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/2000/28-03-201 υπό&νη&α, το οπο ο υπέβαλλε η Β, σε συνέχεια της υπ’ αριθ&. πρωτ. Γ/ΕΞ/1520/07-03-2014 κλήσης και της σχετικής συνεδρ ασης της Αρχής στις 19-03-2014, η Β, επικοινώνησε &ε τον Γ από τη Chevellas. Ο τελευτα ος την ενη&έρωσε ότι ενδιαφέρεται να πραγ&ατοποιήσει εκκαθάριση του πελατολογ ου της Chevellas και ειδικά του αρχε ου πελατών αυτοκινήτου DAEWOO. Η Β &εσολάβησε &εταξύ ΡΑΝΝΕΡ και Γ και πραγ&ατοποιήθηκε συνάντηση των τριών &ερών (Β, Γ, ΡΑΝΝΕΡ δια του Α). Ο Α ενη&έρωσε τον Γ ότι &πορε να τον βοηθήσει στην εκκαθάριση του πελατολογ ου της Chevellas εάν διαθέτει το ΑΦΜ των πελατών και τον αριθ&ό κυκλοφορ ας των οχη&άτων. Σε συνέχεια της συνάντησης και προς διερεύνηση κατάρτισης συ&φων ας &ε τη ΡΑΝΝΕΡ ο Γ έστειλε στη Β &έσω ηλ. ταχυδρο&ε ου την πληροφόρηση από τη Chevellas, η οπο α αναφέρεται στα ευρή&ατα του ελέγχου, ήτοι πως για κάθε πελάτη της Chevellas υπάρχει ΑΦΜ, ενώ για τους αριθ&ούς κυκλοφορ ας θα γνωρ ζει την επό&ενη &έρα αποστολής του &ηνύ&ατος. Το &ήνυ&α του Α, το οπο ο περιλα&βάνεται στα ευρή&ατα του ελέγχου, αποτελε την προσφορά της ΡΑΝΝΕΡ προς τη Chevellas και, επ της ουσ ας, την απάντησή του στο &ήνυ&α του Γ. Το &ήνυ&α αυτό εστάλη στη Β ως &εσολαβητή &εταξύ ΡΑΝΝΕΡ και Γ. Η Β αναφέρει επ σης στο υπό&νη&ά της πως, από Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -4όσο γνωρ ζει, δεν υπήρξε κα& α συνεργασ α &εταξύ ΡΑΝΝΕΡ και Chevellas αναφορικά &ε την εκκαθάριση του πελατολογ ου της τελευτα ας. Η Αρχή, &ετά από εξέταση των προαναφερθέντων στοιχε ων του φακέλου της υπόθεσης και αναφορά στα δια&ειφθέντα της συνεδρ ασης της 19-03-2014, άκουσε τον εισηγητή και τους βοηθούς εισηγητή, οι οπο οι στη συνέχεια αποχώρησαν, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΘΗΚΕ ΣΥΜΦΝΑ ΜΕ ΤΟ ΝΟΜΟ
2. Σύ&φωνα &ε το άρθρο 2 στοιχ. ζ) ν. 2472/1997, ως υπεύθυνος επεξεργασ ας ορ ζεται όποιος «…καθορί ει το σκοπό και τον τρόπο της επεξεργασίας, όπως φυσικό ή νοικό πρόσωπο, δηόσια αρχή ή υπηρεσία ή οποιοσδήποτε άλλος οργανισός…». Η Οδηγ α 95/46/ΕΚ περιέχει αντ στοιχο ορισ&ό στο άρθρο 2 στοιχ. δ) &ε &όνη διευκρινιστική προσθήκη -την οπο α δεν αποκλε ει το γρά&&α και το πνεύ&α του ελληνικού νό&ου- ότι ο υπεύθυνος επεξεργασ ας καθορ ζει από όνος του ή από κοινού ε άλλους το σκοπό και τον τρόπο της επεξεργασ ας, προβλέποντας έτσι ότι η πολυπλοκότητα των εννό&ων σχέσεων, των συναλλακτικών και τεχνολογικών αναγκών &πορε να οδηγε σε περισσότερους υπευθύνους επεξεργασ ας για την δια ή διαφορετική, επι&έρους εργασ α στο ευρύτερο πλα σιο της επεξεργασ ας των προσωπικών δεδο&ένων κατά την έννοια του άρθρου 2 στοιχ. δ) ν. 2472/
3. Όπως διευκριν ζει στη Γνώ&η υπ’ αριθ&. 1/2010 για τις έννοιες του «υπευθύνου επεξεργασ ας» και του «εκτελούντος την επεξεργασ α» η Ο&άδα Εργασ ας του άρθρου 29 της Οδηγ ας 95/46, η έννοια του υπευθύνου επεξεργασ ας αποτελε αυτόνο&η έννοια του ενωσιακού δικα ου. Για το χαρακτηρισ&ό δε κάποιου ως υπευθύνου επεξεργασ ας, βαρύτητα δ δεται στο λειτουργικό κριτήριο, δηλαδή υπεύθυνος επεξεργασ ας ε ναι αυτός που καθορ ζει το σκοπό ή/και τα ουσιώδη, τουλάχιστον, στοιχε α του τρόπου της επεξεργασ ας.
4. Σύ&φωνα &ε το άρθρο 4, παρ. 1 του ν. 2472/1997, τα δεδο&ένα προσωπικού χαρακτήρα για να τύχουν νό&ι&ης επεξεργασ ας πρέπει να συλλέγονται κατά τρόπο θε&ιτό και νό&ι&ο για καθορισ&ένους, σαφε ς και νό&ι&ους σκοπούς και να υφ στανται Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -5θε&ιτή και νό&ι&η επεξεργασ α ενόψει των σκοπών αυτών. Επ σης, στο διο άρθρο αναφέρεται ότι τα δεδο&ένα θα πρέπει να ε ναι συναφή, πρόσφορα, και όχι περισσότερα από όσα κάθε φορά απαιτε ται εν όψει των σκοπών επεξεργασ ας (αρχή της αναλογικότητας).
5. Περαιτέρω, σύ&φωνα &ε το άρθρο 5 παρ. 1 του ν. 2472/1997, η επεξεργασ α δεδο&ένων προσωπικού χαρακτήρα επιτρέπεται &όνο όταν το υποκε &ενο έχει δώσει τη συγκατάθεσή του, εκτός εάν συντρέχει & α από τις προβλεπό&ενες από την παράγραφο 2 του ιδ ου άρθρου εξαιρέσεις, οπότε ε ναι νό&ι&η η επεξεργασ α και χωρ ς τη συγκατάθεση του υποκει&ένου. Ση&ειώνεται ότι, σύ&φωνα &ε το άρ. 2 του ν. 2472/1997, ως συγκατάθεση νοε ται «κάθε ελεύθερη, ρητή και ειδική δήλωση βουλήσεως που εκφράζεται &ε τρόπο σαφή, και εν πλήρη επιγνώσει, και &ε την οπο α, το υποκε &ενο των δεδο&ένων, αφού προηγου&ένως ενη&ερωθε , δέχεται να αποτελέσουν αντικε &ενο της επεξεργασ ας τα δεδο&ένα προσωπικού χαρακτήρα που το αφορούν». Για τη συγκεκρι&ένη επεξεργασ α, το σύννο&ο της επεξεργασ ας χωρ ς συγκατάθεση κρ νεται &ε βάση τη διάταξη του άρθρου 5 παρ. 2 στοιχ. ε) του ν. 2472/1997, αφού δεν συντρέχει άλλος λόγος επεξεργασ ας από όσους αναφέρονται στο διο άρθρο. Σύ&φωνα &ε την εν λόγω διάταξη, κατ’ εξα ρεση επιτρέπεται η επεξεργασ α και χωρ ς συγκατάθεση όταν «η επεξεργασ α ε ναι απολύτως αναγκα α για την ικανοπο ηση του έννο&ου συ&φέροντος που επιδιώκει ο υπεύθυνος επεξεργασ ας (…), και υπό τον όρο ότι τούτο υπερέχει προφανώς των δικαιω&άτων και συ&φερόντων των προσώπων στα οπο α αναφέρονται τα δεδο&ένα και δεν θ γονται οι θε&ελιώδεις ελευθερ ες αυτών».
6. Από την εξέταση του φακέλου της υπόθεσης προκύπτει ότι η εταιρε α Chevellas πραγ&ατοπο ησε διερευνητική επαφή &ε την εταιρε α ΡΑΝΝΕΡ για να εξετάσει το ενδεχό&ενο χρήσης των υπηρεσιών που η τελευτα α παρέχει για το σκοπό επικαιροπο ησης του αρχε ου των πελατών της. Η επεξεργασ α δεδο&ένων για την επικαιροπο ηση των στοιχε ων του πελατολογ ου της Chevellas, &ε βάση την προσφορά της ΡΑΝΝΕΡ, θα γινόταν &ε χρήση του ΑΦΜ των πελατών της Chevellas και του αριθ&ού κυκλοφορ ας αυτοκινήτου ως πεδ ων αναφοράς. στόσο, σε περ πτωση που πραγ&ατοποιε το επεξεργασ α προσωπικών δεδο&ένων κατά τον προαναφερό&ενο τρόπο, δηλαδή &ε διασταύρωση των στοιχε ων του Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -6πελατολογ ου της Chevellas &ε χρήση πληροφοριών όπως οι παραπάνω (Α.Φ.Μ., αριθ&ο κυκλοφορ ας αυτοκινήτου), η εν λόγω επεξεργασ α θα γινόταν &ε παράνο&ο τρόπο, καθόσον το Α.Φ.Μ. και ο αριθ&ός κυκλοφορ ας αυτοκινήτου δεν &πορούν να προκύψουν από δη&όσια προσβάσι&η πηγή. Σε κάθε περ πτωση, δεν προκύπτει &ε βεβαιότητα από τα στοιχε α του φακέλου ότι η εν λόγω επεξεργασ α τελικώς πραγ&ατοποιήθηκε. Με βάση τα προαναφερό&ενα, προκύπτει ότι η Chevellas πραγ&ατοπο ησε προπαρασκευαστικές ενέργειες για επεξεργασ α προσωπικών δεδο&ένων για το σκοπό της επεξεργασ ας του πελατολογ ου της, η οπο α, σε περ πτωση πραγ&ατοπο ησής της, θα παραβ αζε τις θε&ελιώδεις επιταγές που οι διατάξεις του άρθρων 4 και 5 του ν. 2472/1997 θέτουν για τη νο&ι&ότητα κάθε συλλογής απλών δεδο&ένων προσωπικού χαρακτήρα.
7. εδο&ένου ότι διαπιστώθηκαν &όνο προπαρασκευαστικές ενέργειες οι οπο ες δεν οδήγησαν, εν τέλει, σε επεξεργασ α δεδο&ένων προσωπικού χαρακτήρα για την οπο α υπεύθυνη &πορε να χαρακτηριστε η Chevellas, η Αρχή κρ νει ο&όφωνα ότι δεν υφ σταται παραβ αση του ν. 2472/1997, αλλά πρέπει, &ε βάση το άρ. 19 παρ. 1, εδ. γ του νό&ου αυτού να απευθυνθε σύσταση στην εταιρε α αυτή ώστε να τηρε &ε επι&έλεια τις διατάξεις για την προστασ α των δεδο&ένων προσωπικού χαρακτήρα, ιδ ως όσον αφορά τη διασταύρωση στοιχε ων του πελατολογ ου της. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή: Απευθύνει σύσταση στην εταιρε α &ε την επωνυ& α «Chevellas Ανώνυ&η Ε&πορική και Βιο&ηχανική Εταιρε α Αυτοκινήτων και Μηχανη&άτων» &ε το διακριτικό τ τλο «Chevellas Α.Ε.», όπως στο &έλλον εφαρ&όζει &ε επι&έλεια τις διατάξεις του ν. 2472/1997 για τα ζητή&ατα που περιγράφονται στο σκεπτικό της παρούσης. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -7Ο Πρόεδρος Η Γρα&&ατέας Πέτρος Χριστόφορος Ειρήνη Παπαγεωργοπούλου Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr