Αθήνα, 01-12-2017 Αριθ. Πρωτ.: Γ/ΕΞ/579-6/01-12-2017 ΕΛΛΗΝΙΚΗ ΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ Ε ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΑΠΟΦΑΣΗ ΑΡ. 140 / 2017 (Τµήµα) Η Αρχή Προστασ ας ∆εδοµένων Προσωπικού Χαρακτήρα συνεδρ ασε σε σύνθεση Τµήµατος µετά από πρόσκληση του Προέδρου της στην έδρα της την Τετάρτη 20-09-2017 µετά από πρόσκληση του Προέδρου της, σε συνέχεια των από 14-06-2017 και 05-07-2017 συνεδριάσεων, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Αναπληρωτής Πρόεδρος, Γεώργιος Μπατζαλέξης, κωλυοµένου του Προέδρου της Αρχής, Κωνσταντ νου Μενουδάκου, και τα αναπληρωµατικά µέλη Παναγιώτης Ροντογιάννης, ως εισηγητής, Χαράλαµπος Τσιλιώτης, σε αναπλήρωση των τακτικών µελών Αντων ου Συµβώνη, Σπυρ δωνα Βλαχόπουλου αντ στοιχα, οι οπο οι, αν και εκλήθησαν νοµ µως εγγράφως, δεν παρέστησαν λόγω κωλύµατος. Επ σης, δεν παρέστησαν λόγω κωλύµατος αν και εκλήθησαν νοµ µως εγγράφως το τακτικό µέλος Χαράλαµπος Ανθόπουλος και το αναπληρωµατικό µέλος αυτού Γρηγόριος Τσόλιας. Στη συνεδρ αση παρέστη, µε εντολή του Προέδρου, η Γεωργ α Παναγοπούλου ειδική επιστήµονας – ελέγκτρια, ως βοηθός εισηγητή. Επ σης, παρέστη, µε εντολή του Προέδρου, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του ∆ιοικητικού – Οικονοµικού Τµήµατος της Αρχής, ως γραµµατέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Η Αρχή έλαβε την µε αρ. πρωτ. Γ/ΕΙΣ/579/25-01-2017 καταγγελ α του Α (εφεξής «καταγγέλλων») κατά της «Vodafone - Πάναφον» (εφεξής «υπεύθυνος επεξεργασ ας») σχετικά µε µεταφορά του τηλεφωνικού του αριθµού σε τρ το κατόπιν λανθασµένης ταυτοπο ησης του συνδροµητή. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr Σύµφωνα µε τον καταγγέλλοντα, τρ τος, φέρον το διο όνοµα και επώνυµο αλλά διαφορετικό πατρώνυµο προσήλθε σε κατάστηµα του υπευθύνου επεξεργασ ας και προµηθεύτηκε κάρτα sim µε τον τηλεφωνικό αριθµό του καταγγέλλοντος. Την χρησιµοπο ησε για περ που δέκα ηµέρες, κατά τις οπο ες ελάµβανε τις κλήσεις που προορ ζονταν για τον καταγγέλλοντα από συγγενικά του πρόσωπα. Μετά από επ σκεψη του καταγγέλλοντος σε κατάστηµα του υπευθύνου του επεστράφη ο τηλεφωνικός του αριθµός. Ο υπεύθυνος επεξεργασ ας δήλωσε ότι η ταυτοπο ηση του τρ του κατά τον καταγγέλλοντα έγινε µε επ δειξη του δελτ ου αστυνοµικής ταυτότητας. Τηρούσε στο σύστηµά του τον Α∆Τ του καταγγέλλοντος ο οπο ος όµως ε χε αλλάξει από το 2014, χωρ ς ο καταγγέλλων να ενηµερώσει, ως όφειλε, τον υπεύθυνο επεξεργασ ας για την αλλαγή αυτή. Η Αρχή απέστειλε σχετικά το µε αρ. πρωτ. Γ/ΕΞ/579-1/04-04-2017 έγγραφο µε το οπο ο ζητήθηκαν απόψεις του υπευθύνου επεξεργασ ας όσον αφορά τον τρόπο ταυτοπο ησης του συνδροµητή, τη διαβ βαση δεδοµένων του σε τρ το, την ακρ βεια των δεδοµένων που τηρούνται για το συγκεκριµένο συνδροµητή, καθώς και τις επιπτώσεις στην ιδιωτική ζωή των εµπλεκοµένων. Ο υπεύθυνος επεξεργασ ας απάντησε µε το µε αρ. πρωτ. Γ/ΕΙΣ/3281/2104-2017 υπόµνηµα µέσω του οπο ου επαναλαµβάνει τις απόψεις που περιλαµβάνονται στην καταγγελ α, δηλαδή αρνε ται ότι υπήρξε το περιστατικό λάθους ταυτοπο ησης. Ακολούθως, ο υπεύθυνος επεξεργασ ας κλήθηκε νοµ µως, µε το µε αρ. πρωτ. Γ/ΕΞ/579-2/01-06-2017 έγγραφο, σε ακρόαση ενώπιον της Αρχής στη συνεδρ αση στις 1406-2017 για να δώσει περαιτέρω διευκριν σεις και να εκθέσει τις απόψεις του επ της καταγγελ ας. Στη συνεδρ αση της 14-06-2017 προσήλθαν εκ µέρους του υπευθύνου επεξεργασ ας o Εµµανουήλ Χαλκιαδάκης µε ΑΜ∆ΣΑ … και ο Β, υπάλληλος της Υπηρεσ ας Ασφαλε ας Πληροφοριών της εταιρε ας. Κατά τη συνεδρ αση αποφασ στηκε η εκ νέου κλήση του υπευθύνου και του καταγγέλλοντα προκειµένου να δοθούν περαιτέρω απαρα τητες διευκριν σεις σχετικά µε τα ακριβή περιστατικά. Ακολούθως, ο υπεύθυνος επεξεργασ ας και ο καταγγέλλων εκλήθησαν νοµ µως µε τα µε αρ. πρωτ. Γ/ΕΞ/579-5/21-06-2017 και αρ. πρωτ. Γ/ΕΞ/579-4/21-06-2017 έγγραφα αντ στοιχα. Στη συνεδρ αση της 05-07-2017 προσήλθαν εκ µέρους του υπευθύνου επεξεργασ ας o Εµµανουήλ Χαλκιαδάκης µε ΑΜ∆ΣΑ … και ο Β, υπάλληλος της Υπηρεσ ας Ασφαλε ας Πληροφοριών της εταιρε ας και εκ µέρους του καταγγέλλοντος η κ. Γ. Κατά την συνεδρ αση ακούστηκαν οι απόψεις τόσο του καταγγέλλοντος όσο και των εκπροσώπων του υπευθύνου επεξεργασ ας και δόθηκε προθεσµ α για υποβολή υποµνηµάτων. Ο υπεύθυνος επεξεργασ ας κατέθεσε το µε αρ. πρωτ. Γ/ΕΙΣ/5286/11-07-2017 2 υπόµνηµα. Η Αρχή, µετά από εξέταση όλων των στοιχε ων του φακέλου και αναφορά στα διαµειφθέντα των συνεδριάσεων 14-06-2017 και 05-07-2017, αφού άκουσε τον εισηγητή και τις διευκριν σεις της βοηθού εισηγητή, η οπο α στη συνέχεια αποχώρησε πριν από τη διάσκεψη και τη λήψη απόφασης, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
- Στο άρθρο 2 στοιχ. α΄ και γ΄ του ν. 2472/1997 ορ ζονται οι έννοιες των απλών δεδοµένων και του υποκειµένου αυτών αντ στοιχα, ενώ στο στοιχ. δ΄ του διου άρθρου ορ ζεται και η έννοια της επεξεργασ ας, στην οπο α συµπεριλαµβάνονται «η συλλογ , …, η διατ ρηση αποθ κευση, …, η χρ ση, …, η διαγραφ , η καταστροφ .». Ακολούθως, στο άρθρο 4 του ν. 2472/1997 ορ ζονται οι βασικές αρχές της επεξεργασ ας, ενώ στο άρθρο 5 του διου νόµου ορ ζονται οι επιµέρους προϋποθέσεις για τη νοµιµότητά της.
- Επιπρόσθετα, στο άρθρο 10 του διου νόµου ορ ζονται οι υποχρεώσεις του υπεύθυνου επεξεργασ ας και του εκτελούντος την επεξεργασ α σχετικά µε το απόρρητο και την ασφάλεια της επεξεργασ ας, από όπου προκύπτει ρητά ότι ουσιώδες στοιχε ο της νόµιµης επεξεργασ ας ε ναι η λήψη των κατάλληλων µέτρων ασφάλειας και ο έλεγχος αυτών από τον υπεύθυνο επεξεργασ ας. Τα µέτρα ασφάλειας πρέπει α) να διασφαλ ζουν ότι τα δεδοµένα χρησιµοποιούνται µόνον για τον εκάστοτε επιδιωκόµενο σκοπό και β) να εξασφαλ ζουν επ πεδο ασφάλειας ανάλογο προς τους κινδύνους που συνεπάγεται η επεξεργασ α και η φύση των δεδοµένων που ε ναι αντικε µενο της επεξεργασ ας λαµβάνοντας υπόψη τις τεχνολογικές εξελ ξεις και το κόστος (βλ., ενδεικτικά, Απόφαση 1/2015 της Αρχής).
- Η διαδικασ α που ακολουθε ο υπεύθυνος επεξεργασ ας για την ταυτοπο ηση του συνδροµητή, ως οργανωτικό µέτρο ασφάλειας, πρέπει να ε ναι επαρκής και να εφαρµόζεται σωστά, ώστε να µην έχουν ως αποτέλεσµα κάποιο περιστατικό παραβ ασης προσωπικών δεδοµένων, όπως αυτό που περιγράφεται στην καταγγελ α. Επ σης, όταν ο υπεύθυνος επεξεργασ ας λάβει γνώση ενός τέτοιου περιστατικού θα πρέπει να το εξετάσει ενδελεχώς και να επικοινωνήσει µε το θύµα της άστοχης εφαρµογής της διαδικασ ας ταυτοπο ησης, ενηµερώνοντάς το για τις συνθήκες του περιστατικού, την έκτασή του και κάνοντας εκ των υστέρων ενέργειες προκειµένου να µειώσει τον όποιο αντ κτυπο από την παράνοµη επεξεργασ α αυτή στην ιδιωτικότητα και την προσωπικότητά του. 3
- Στη συγκεκριµένη περ πτωση ο υπεύθυνος επεξεργασ ας µε τα υποµνήµατά του ισχυρ ζεται ότι δεν έχει συµβε λάθος στην ταυτοπο ηση του συνδροµητή, και ότι ο διος ο καταγγέλλων ζήτησε να του δοθε καινούρια κάρτα sim. Επισηµα νει επ σης ότι δεν υπάρχουν στοιχε α που να τεκµηριώνουν ότι πραγµατοποιήθηκε λάθος ταυτοπο ηση και ότι ακόµη και εάν υποτεθε ότι έγινε, η υπαιτιότητα ε ναι του καταγγέλλοντος, διότι δεν ενηµέρωσε εγκα ρως ως όφειλε σχετικά µε την αλλαγή της αστυνοµικής του ταυτότητας.
- Από το περιεχόµενο της καταγγελ ας, και λαµβάνοντας υπόψη τα όσα προφορικά αναφέρθηκαν εκ µέρους του καταγγέλλοντος κατά τη συνεδρ αση της 05-07-2017, προκύπτει ότι πράγµατι έγινε λάθος ταυτοπο ηση, διότι κατά το επ µαχο δεκαήµερο ο τρ τος στον οπο ο χορηγήθηκε λόγω πληµµελούς ταυτοπο ησης η κάρτα SIM και ο τηλεφωνικός αριθµός που ανήκε στον καταγγέλλοντα απαντούσε σε κλήσεις που έκαναν φιλικά ή συγγενικά πρόσωπα στον καταγγέλλοντα και µάλιστα τους έλεγε ότι ο αριθµός του ανήκει και κακώς ισχυρ ζεται ο καταγγέλλων ότι ε ναι δικός του. Αυτό καταδεικνύει ότι τον αριθµό προηγουµένως τον ε χε ο καταγγέλλων και από λάθος ταυτοπο ηση δόθηκε στον τρ το. Άλλωστε όταν υπέπεσε στην αντ ληψη του καταγγέλλοντος η παραχώρηση του αριθµού του σε τρ το πρόσωπο και διαµαρτυρήθηκε στον υπεύθυνο επεξεργασ ας, έσπευσαν και του έδωσαν τον αριθµό που του ανήκε, αναγνωρ ζοντας έτσι το σφάλµα τους. Όσον αφορά τον ισχυρισµό του υπευθύνου επεξεργασ ας ότι δεν ε χε ενηµερωθε ο Α∆Τ του καταγγέλλοντος στα συστήµατά της από δική του υπαιτιότητα, δε α ρεται η υπαιτιότητα του υπευθύνου επεξεργασ ας για τη µη ορθή ταυτοπο ηση του τρ του ατόµου στο οπο ο χορηγήθηκε κατά την αλλαγή της κάρτας ο τηλεφωνικός αριθµός του καταγγέλλοντος, ενόψει του ότι το ∆ελτ ο ταυτότητας που έφερε ο τρ τος οπωσδήποτε δεν ε χε τον αυτό αριθµό, αλλά και ούτε τα λοιπά στοιχε α, τα οπο α δεν ελεγχθήκαν, όπως το πατρώνυµο του ατόµου που τους επέδειξε το Α∆Τ, το οπο ο διέφερε µε τα στοιχε α που ε χαν καταχωρηµένα στο σύστηµα. Ενόψει του ότι πραγµατοποιήθηκε η παράδοση της κάρτας στο τρ το πρόσωπο η ταυτοπο ηση που διενεργήθηκε από τον υπεύθυνο επεξεργασ ας κρ νεται ως πληµµελής και ελλιπής. Κατ’ ακολουθ α των ανωτέρω πρέπει, κατ’ εφαρµογή της διατάξεως του άρθρου 21 παρ. 1 εδαφ. β΄ και ε΄ ν. 2472/1997, να επιβληθούν οι διοικητικές κυρώσεις που αναφέρονται στο διατακτικό, λαµβανοµένης υπόψη και της βαρύτητας της παράβασης, ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ 4 Η Αρχή λαµβάνοντας υπόψη τα ανωτέρω, α) Επιβάλλει στην εταιρε α «Vodafone-Πάναφον» διοικητικό πρόστιµο δύο χιλιάδων (2.000) ευρώ για παραβ αση του άρθρου 10 του ν. 2472/1997, αφού δεν εφαρµόστηκαν τα κατάλληλα οργανωτικά µέτρα ασφάλειας για την ταυτοπο ηση του συνδροµητή, µε αποτέλεσµα περιστατικό παραβ ασης προσωπικών δεδοµένων. β) Απευθύνει σύσταση για την προσαρµογή της διαδικασ ας ταυτοπο ησης των συνδροµητών όταν επισκέπτονται µε φυσική παρουσ α καταστήµατα του υπευθύνου επεξεργασ ας και τον αυστηρό έλεγχο τήρησής τους. Ο Αναπληρωτής Πρόεδρος Η Γραµµατέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 5