Αθήνα, 08-08-2014 Αριθ. Πρωτ.: Γ/ΕΞ/4932/08-08-2014 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΕΟΜΕΝΝ ΠΡΟΣΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Α Π Ο Φ Α Σ Η 112/2014 Η Αρχή Προστασ ας εδο&ένων Προσωπικού Χαρακτήρα συνήλθε &ετά από πρόσκληση του Προέδρου της σε τακτική συνεδρ αση στην έδρα της την 09-04-2014, σε συνέχεια της από 19-02-2014 συνεδρ ασής της, προκει&ένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Π. Χριστόφορος, Πρόεδρος της Αρχής, Λ. Κοτσαλής, Α.-Ι. Μεταξάς, . Μπριόλας, Α. Συ&βώνης, ως εισηγητής, Π. Τσαντ λας και Κ. Χριστοδούλου, τακτικά &έλη. Στη συνεδρ αση, χωρ ς δικα ω&α ψήφου, παρέστησαν οι ειδικο επιστή&ονες-υπάλληλοι του Τ&ή&ατος Ελεγκτών Ι. Λυκοτραφ της, Γ. Ρουσόπουλος και Αν. Χρυσάνθου, ως βοηθο εισηγητή, και η Ε. Παπαγεωργοπούλου, υπάλληλος του Τ&ή&ατος ιοικητικού-Οικονο&ικού, ως γρα&&ατέας, &ετά από εντολή του Προέδρου. Στη συνεδρ αση της 19-02-2014 και &ετά από κλήση της Αρχής (Γ/ΕΞ/8163/24-122013) παρέστη ο Α και εξέφρασε τις απόψεις του. Η Αρχή έλαβε υπόψη τα παρακάτω: H Αρχή πραγ&ατοπο ησε στις 19 και 22 Οκτωβρ ου 2012 επιτόπιο διοικητικό έλεγχο στις εγκαταστάσεις που διατηρούν από κοινού οι εταιρε ες «ΡΑΝΝΕΡ ΕΤΑΙΡΕΙΑ ΣΥΛΛΟΓΗΣ ΚΑΙ ΙΑΧΕΙΡΙΣΗΣ ΠΛΗΡΟΦΟΡΙΝ Ε.Π.Ε.» (εφεξής «Runner») και «ADD ΟΝΕ ΕΜΠΟΡΙΚΗ – ΕΙΣΑΓΓΙΚΗ ΕΤΑΙΡΕΙΑ ΠΕΡΙΟΡΙΣΜΕΝΗΣ Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -2ΕΥΘΥΝΗΣ», σύ&φωνα &ε το άρθρο 19 στοιχ. η) του ν. 2472/
- Μετά από την ολοκλήρωση του ελέγχου, η ο&άδα ελέγχου συνέταξε το υπ’ αρ. πρωτ. Γ/ΕΙΣ/8024/1712-2013 πόρισ&α. Κατά τον έλεγχο, και &ετά από ανάλυση των πειστηρ ων προέκυψαν στοιχε α για τον Α (εφεξής Α και υπεύθυνος επεξεργασ ας), όσον αφορά σε αποστολή διαφη&ιστικών γραπτών &ηνυ&άτων &έσω κινητού τηλεφώνου (SMS), τα οπο α διαφή&ιζαν την σχολή του (Technokids – Technoplus [περιοχής Χ]). Με την υπ’ αριθ&. πρωτ. Γ/ΕΞ/8163/24-12-2013 κλήση της Αρχής εστάλη στον υπεύθυνο επεξεργασ ας περιγραφή των πειστηρ ων που συνελέγησαν και άπτονται του αντικει&ένου των δραστηριοτήτων του. Στο υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/8024/17-12-2013 πόρισ&α ελέγχου των δύο εταιρειών που αναφέρθηκαν παραπάνω αναφέρεται ότι βρέθηκαν στοιχε α από τα οπο α προκύπτει &ε βεβαιότητα ότι ο Α χρησι&οπο ησε υπηρεσ ες αποστολής διαφη&ιστικών &ηνυ&άτων &έσω κινητού τηλεφώνου (SMS), τις οπο ες παρε χε η εταιρε α Daimad Trading LTD, εταιρε α που εξέδιδε παραστατικά για δραστηριότητα της «ΡΑΝΝΕΡ ΕΤΑΙΡΕΙΑ ΣΥΛΛΟΓΗΣ ΚΑΙ ΙΑΧΕΙΡΙΣΗΣ ΠΛΗΡΟΦΟΡΙΝ Ε.Π.Ε.». Βρέθηκε δε και ένα παραστατικό για αγορά αρχε ου ε&πορικού ενδιαφέροντος, αξ ας €75 (στις 12-09-2012). Ο Α ερωτήθηκε &ε το υπ’ αριθ&. πρωτ. Γ/ΕΞ/1637/4-3-2013 έγγραφο, για τη συνεργασ α του &ε την Daimad και το τι&ολόγιο που βρέθηκε &ε τα στοιχε α του, απαντώντας ότι η συνεργασ α αυτή αφορούσε έρευνα αρχε ου Α.Ε. και Ε.Π.Ε. σε &ορφή εκτυπω&ένων ετικετών (σχετ. υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/3242/13-5-2013 έγγραφο προς την Αρχή). Αυτό δεν επιβεβαιώθηκε από τα αποτελέσ&ατα της ανάλυσης των ψηφιακών πειστηρ ων του ελέγχου, όπως αυτά καταγράφονται στο σχετικό πόρισ&α. Από τα ευρή&ατα του πορ σ&ατος επιση&α νονται ιδια τερα τα παρακάτω: Βρέθηκε στο φακέλο ιαγρα&&ένα.dbx του σκληρού δ σκου του Β επικοινων α στις 8/10/2012 &έσω ηλ. ταχυδρο&ε ου &εταξύ Α (Α@otenet.gr) και runner@otenet.gr, όπου (α) ο κύριος Α «αποστέλλει το περιεχό&ενο του &ηνύ&ατος που θα ήθελε να στε λει εντός [περιοχής Χ], ΑΠΟ ‘-&η ανακτήσι&ο τ&ή&α-’ ΥΡΙΟ ΤΡΙΤΗ ΠΡΪ !!!!!! - ΑΠΟ 15 ΟΚΤΒΡΙΟΥ ΜΑΘΕΤΕ ΚΟΜΠΙΟΥΤΕΡ,ΓΡΗΓΟΡΑ ΣΤΑ TECHNOPLUS, [περιοχής Χ],τ.210… . ΠΡΪΝΑ Ή ΑΠΟΓΕΥΜΑΤΙΝΑ ΤΜΗΜΑΤΑ.ΕΙΙΚΕΣ ΤΙΜΕΣ ΓΙΑ ΑΝΕΡΓΟΥΣ/ΠΟΛΥΤΕΚΝΟΥΣ», (β) ο Β στέλνει αριθ&ούς τραπεζικών λογαριασ&ών σε Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -3Αλφα Τράπεζα, Εθνική Τράπεζα και Πειραιώς για να γ νει η σχετική κατάθεση και (γ) ο Α στέλνει στοιχε α τι&ολόγησης και ενη&ερώνει ότι η κατάθεση θα γ νει το πρω της 9/10/
- Η εν λόγω επικοινων α πιθανώς αφορά αποστολή sms για λογαριασ&ό της Technokids. Κατά την εξέταση των δεδο&ένων πτητικής &νή&ης (volatile data), και συγκεκρι&ένα από την ανάλυση των αντικει&ένων περιηγητή διαδικτύου (Internet artifacts) του υπολογιστή του Β βρέθηκαν αποθηκευ&ένα συνθη&ατικά για το www.daimadsms.gr για τους χρήστες admin, Χ@technokids.com. Ο χρήστης Χ@technokids.com ονο&άζεται Α. Στην οθόνη &ε τα απεσταλ&ένα SMS του εν (www.daimadsms.gr/sms_campaigns) φα νεται να έχει σταλε λόγω χρήστη &ια κα&πάνια στις 9/10/2012, σε 2.002 παραλήπτες &ε &ήνυ&α «ΑΠΟ 15 ΟΚΤΒΡΙΟΥ ΜΑΘΕΤΕ ΚΟΜΠΙΟΥΤΕΡ ΓΡΗΓΟΡΑ ΣΤΑ TECHNOPLUS [περιοχής Χ] τ.210… ΠΡΪΝΑ Ή ΑΠΟΓΕΥΜΑΤΙΝΑ ΤΜΗΜΑΤΑ ΠΟΛΥΤΕΚΝΟΥΣ». Στο βιβλ ο ΕΙΙΚΕΣ επαφών ΤΙΜΕΣ ΓΙΑ ΑΝΕΡΓΟΥΣ- (http://www.daimadsms.gr/phonebook) υπάρχουν 2.003 κινητά τηλέφωνα. Η λ στα του βιβλ ου επαφών ονο&άζεται «sms [περιοχής Χ]
(2003)». Με το υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/1237/24-02-2014 απαντητικό του υπό&νη&α ο Α παραδέχεται ότι πραγ&ατοπο ησε αποστολή 2.002 διαφη&ιστικών &ηνυ&άτων &έσω κινητού τηλεφώνου (SMS) &έσω υποδο&ής της εταιρε ας Daimad. Η επιλογή των τηλεφώνων των παραληπτών έγινε από την εταιρε α Daimad χωρ ς ο Α να γνωρ ζει τους κατόχους τους. Η αποστολή αφορούσε 2000 ενήλικες-κατο κους [περιοχής Χ], &ε βάση το σχετικό α τη&ά του. Ο Α αναφέρει επ σης ότι δεν ήρθε σε απευθε ας επαφή &ε κανέναν υποψήφιο πελάτη και δεν έχει στην κατοχή του κανένα τηλεφωνικό αριθ&ό και κανένα όνο&α, ενώ ήταν η &όνη φορά που έκανε χρήση τέτοιων υπηρεσιών. Όσον αφορά το υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/3242/13-5-2013 έγγραφό του προς την Αρχή ο Α ανακάλεσε το ότι η συνεργασ α του &ε τη Daimad αφορούσε έρευνα αρχε ου Α.Ε. και Ε.Π.Ε. σε &ορφή εκτυπω&ένων ετικετών. Ανέφερε δε ότι η αναληθής αυτή απάντηση έγινε καθ’ υπόδειξη του κ. Β, εκπροσώπου της Daimad, ο όποιος του υπόδειξε να απαντήσει ότι η συνεργασ α τους αφορούσε δήθεν αποστολή ετικετών και όχι SMS, όταν ο Α τον ενη&έρωσε για την επιστολή που έλαβε από την Αρχή. Ο Α αναφέρει δε ότι Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -4ακολούθησε την υπόδειξη του κ. Β, καθώς π στεψε ότι ο κ. Β γνώριζε τις διαδικασ ες καλύτερα από εκε νον και πως δεν υπήρχε τ ποτα &ε&πτό, όπως τον ε χε διαβεβαιώσει ρητώς ο κ. Β. Η Αρχή, &ετά από εξέταση των προαναφερθέντων στοιχε ων του φακέλου της υπόθεσης και αναφορά στα δια&ειφθέντα της συνεδρ ασης της 19-02-2014, άκουσε τον εισηγητή και τους βοηθούς εισηγητή, οι οπο οι στη συνέχεια αποχώρησαν, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΘΗΚΕ ΣΥΜΦΝΑ ΜΕ ΤΟ ΝΟΜΟ
- Σύ&φωνα &ε το άρθρο 4, παρ. 1 του ν. 2472/1997, τα δεδο&ένα προσωπικού χαρακτήρα για να τύχουν νό&ι&ης επεξεργασ ας πρέπει να συλλέγονται κατά τρόπο θε&ιτό και νό&ι&ο για καθορισ&ένους, σαφε ς και νό&ι&ους σκοπούς και να υφ στανται θε&ιτή και νό&ι&η επεξεργασ α ενόψει των σκοπών αυτών. Επ σης, στο διο άρθρο αναφέρεται ότι τα δεδο&ένα θα πρέπει να ε ναι συναφή, πρόσφορα, και όχι περισσότερα από όσα κάθε φορά απαιτε ται εν όψει των σκοπών επεξεργασ ας (αρχή της αναλογικότητας).
- Περαιτέρω, σύ&φωνα &ε το άρθρο 5 παρ. 1 του ν. 2472/1997, η επεξεργασ α δεδο&ένων προσωπικού χαρακτήρα επιτρέπεται &όνο όταν το υποκε &ενο έχει δώσει τη συγκατάθεσή του, εκτός εάν συντρέχει & α από τις προβλεπό&ενες από την παράγραφο 2 του ιδ ου άρθρου εξαιρέσεις, οπότε ε ναι νό&ι&η η επεξεργασ α και χωρ ς τη συγκατάθεση του υποκει&ένου. Ση&ειώνεται ότι, σύ&φωνα &ε το αρ. 2 του ν. 2472/1997, ως συγκατάθεση νοε ται «κάθε ελεύθερη, ρητή και ειδική δήλωση βουλήσεως που εκφράζεται &ε τρόπο σαφή, και εν πλήρη επιγνώσει, και &ε την οπο α, το υποκε &ενο των δεδο&ένων, αφού προηγου&ένως ενη&ερωθε , δέχεται να αποτελέσουν αντικε &ενο της επεξεργασ ας τα δεδο&ένα προσωπικού χαρακτήρα που το αφορούν». Για τη συγκεκρι&ένη επεξεργασ α, το σύννο&ο της επεξεργασ ας χωρ ς συγκατάθεση κρ νεται &ε βάση τη διάταξη του άρθρου 5 παρ. 2 στοιχ. ε) του ν. 2472/1997, αφού δεν συντρέχει άλλος λόγος επεξεργασ ας από όσους αναφέρονται στο διο άρθρο. Σύ&φωνα Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -5&ε την εν λόγω διάταξη, κατ’ εξα ρεση επιτρέπεται η επεξεργασ α και χωρ ς συγκατάθεση όταν «η επεξεργασ α ε ναι απολύτως αναγκα α για την ικανοπο ηση του έννο&ου συ&φέροντος που επιδιώκει ο υπεύθυνος επεξεργασ ας (…), και υπό τον όρο ότι τούτο υπερέχει προφανώς των δικαιω&άτων και συ&φερόντων των προσώπων στα οπο α αναφέρονται τα δεδο&ένα και δεν θ γονται οι θε&ελιώδεις ελευθερ ες αυτών».
- Ειδικότερα, αναφορικά &ε τους όρους για την νό&ι&η επεξεργασ α δεδο&ένων προσωπικού χαρακτήρα για σκοπούς της ά&εσης ε&πορ ας ή διαφή&ισης, η Αρχή στη &ε αρ. 26/2004 Απόφαση-Οδηγ α για τη «νό&ι&η επεξεργασ α δεδο&ένων προσωπικού χαρακτήρα για τους σκοπούς της ά&εσης ε&πορ ας ή διαφή&ισης και της διαπ στωσης πιστοληπτικής ικανότητας» ρύθ&ισε το σχετικό ζήτη&α. Η Αρχή αναγνωρ ζει την απευθε ας προώθηση ως νό&ι&η δραστηριότητα στο πλα σιο του δικαιώ&ατος της ελεύθερης ανάπτυξης οικονο&ικών δραστηριοτήτων και γενικότερα του δικαιώ&ατος της ελεύθερης ανάπτυξης της προσωπικότητας. Αυτό θε&ελιώνεται από την επιλογή τόσο του ενωσιακού όσο και του εθνικού νο&οθέτη να προβλέπει το δικα ω&α αντ ρρησης σε τέτοιες δραστηριότητες και όχι να τις απαγορεύει. στόσο, στη βάση της γενικής θεωρ ας της ορθής ισορροπ ας των αντικρουό&ενων ατο&ικών δικαιω&άτων (δικα ω&α της προσωπικότητας και δικα ω&α προστασ ας προσωπικών δεδο&ένων) καθορ ζονται οι κανόνες για τη νό&ι&η συλλογή και χρήση των προσωπικών δεδο&ένων. Σε αυτό το πλα σιο, η συλλογή και χρήση προσωπικών δεδο&ένων για το σκοπό της απευθε ας προώθησης επιτρέπεται: α) &ε τη συγκατάθεση του υποκει&ένου των δεδο&ένων) ή β) χωρ ς τη συγκατάθεση του υποκει&ένου όταν τα δεδο&ένα συλλέγονται από αα) δη&όσιους καταλόγους (π.χ. τηλεφωνικούς καταλόγους συνδρο&ητών, επαγγελ&ατικούς καταλόγους όπως ο Χρυσός Οδηγός, καταλόγους ε&πορικών εκθέσεων ή το νέο γενικό ε&πορικό &ητρώο για εταιρε ες και ε&πόρους), ή ββ) όταν το διο το υποκε &ενο των δεδο&ένων δη&οσιοπο ησε τα δεδο&ένα του για συναφε ς σκοπούς ή γγ) βάσει της πελατειακής σχέσης ή συναλλακτικής επαφής. Τα δεδο&ένα που συλλέγονται για τους προαναφερθέντες σκοπούς &πορούν να περιλα&βάνουν &όνο όνο&α, ταχυδρο&ική διεύθυνση και επάγγελ&α. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -
- Το άρθρο 11 παρ. 1 του ν. 3471/2006 για την προστασ α προσωπικών δεδο&ένων στον το&έα των ηλεκτρονικών επικοινωνιών, ορ ζει ότι η πραγ&ατοπο ηση &η ζητηθεισών επικοινωνιών &ε οποιοδήποτε &έσο ηλεκτρονικής επικοινων ας, &ε ή χωρ ς ανθρώπινη παρέ&βαση, για σκοπούς απευθε ας ε&πορικής προώθησης προϊόντων ή υπηρεσιών και για κάθε ε δους διαφη&ιστικούς σκοπούς, επιτρέπεται &όνο εφόσον ο συνδρο&ητής συγκατατεθε εκ των προτέρων ρητώς. Μοναδική εξα ρεση αποτελε η αποστολή &ηνυ&άτων που ε&π πτει στην περ πτωση της παρ. 3 του ανωτέρω άρθρου, δηλαδή όταν τα στοιχε α επαφής του παραλήπτη αποκτήθηκαν νο& &ως, στο πλα σιο της πώλησης προϊόντων ή υπηρεσιών ή άλλης συναλλαγής και το &ήνυ&α αφορά στη διαφή&ιση παρό&οιων προϊόντων ή υπηρεσιών.
- Στην υπό κρ ση περ πτωση, από την εξέταση των στοιχε ων του φακέλου προκύπτει ότι ο Α ε χε συνεργασ α &ε την εταιρε α Runner &έσω της εταιρε ας Daimad η οπο α εξέδωσε το σχετικό τι&ολόγιο. Ο Α, όπως προκύπτει από το φάκελο της υπόθεσης διαφή&ισε τη σχολή του (Technokids – Technoplus [περιοχής Χ]) σε 2002 παραλήπτες &έσω κινητού τηλεφώνου (SMS), χρησι&οποιώντας τις υπηρεσ ες που του παρε χε η Daimad Ltd. Οι παραλήπτες επιλέχτηκαν &ε κριτήρια ηλικ ας (ενήλικες) και περιοχής (κάτοικοι [περιοχής Χ]). Ο Α αποτελε υπεύθυνο επεξεργασ ας καθώς καθορ ζει το σκοπό της επεξεργασ ας και ορ ζει, ως ένα στάδιο, τα &έσα, ζητώντας την αποστολή &ηνυ&άτων ηλεκτρονικού ταχυδρο&ε ου (SMS) σε λ στα που κατέχει η συνεργαζό&ενη εταιρε α. Η εν λόγω περ πτωση δεν ε&π πτει στην εξα ρεση της παραγράφου 3 άρθρου 11 ν. 3471/2006, επειδή δεν πρόκειται περ πελατών του διαφη&ιζο&ένου, και συνεπώς η πραγ&ατοποιού&ενη επεξεργασ α συνιστά αζήτητη ηλεκτρονική επικοινων α χωρ ς τη συγκατάθεση των παραληπτών (spam) και παραβιάζει την παράγραφο 1 άρθρου 11 του διου νό&ου. Επιπλέον, η αποστολή των διαφη&ιστικών &ηνυ&άτων έγινε, όπως προκύπτει από τα ευρή&ατα του ελέγχου, &ε βάση συγκεκρι&ένα κριτήρια ως προς τα πρόσωπα που θα περιέχονται σε αυτές –όπως, η ηλικ α των παραληπτών– για τα οπο α οι σχετικές πληροφορ ες δεν &πορούν να προκύψουν από δη&όσια προσβάσι&ες πηγές και δεν περιορ ζονται σε όσα η Αρχή έχει ορ σει. ς εκ τούτου, βάσει των ανωτέρω, ο Α παραβ ασε τις θε&ελιώδεις επιταγές που οι διατάξεις του άρθρων 4 και 5 του ν. 2472/1997 θέτουν για τη νο&ι&ότητα κάθε συλλογής δεδο&ένων προσωπικού χαρακτήρα. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr -
- Ενόψει της βαρύτητας της παράβασης που διαπιστώθηκε, του ε δους των προσωπικών δεδο&ένων, του γεγονότος ότι ήταν &ε&ονω&ένο περιστατικό, καθώς και ότι ο υπεύθυνος επεξεργασ ας σκοπούσε &ε τις ανωτέρω ενέργειες οπωσδήποτε να αποκο& σει κέρδος, η Αρχή κρ νει ο&όφωνα ότι πρέπει να επιβληθε στον υπεύθυνο επεξεργασ ας η προβλεπό&ενη στο άρθρο 21 παρ. 1 στοιχ. β΄ του ν. 2472/1997 κύρωση που αναφέρεται στο διατακτικό της παρούσας και η οπο α κρ νεται ανάλογη &ε τη βαρύτητα της παράβασης. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή: Επιβάλλει, &ε βάση τα άρθρα 19 παρ. 1 στοιχ. στ΄ και 21 του ν. 2472/1997, στον Α πρόστι&ο 1.000 Ευρώ για τις ως άνω διαπιστωθε σες παραβιάσεις των διατάξεων του άρθρου 11 παρ. 1 του ν. 3471/2006 και των άρθρων 4 και 5 του ν. 2472/
- Ο Πρόεδρος Η Γρα&&ατέας Πέτρος Χριστόφορος Ειρήνη Παπαγεωργοπούλου Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr