Μη ικανοποίηση δικαιώματος διαγραφής και παράνομη διατήρηση και επεξεργασία προσωπικών δεδομένων σε ιστοσελίδα

Αθήνα, 26-08-2021 Αριθ. Πρωτ.: 1948 ΑΠΟΦΑΣΗ 37/2021 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε, μετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση σε σύνθεση Τμήματος στην έδρα της την 7/4/2020 και ώρα 10.00, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Στη συνεδρίαση μετείχε μέσω τηλεδιάσκεψης ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής, Κωνσταντίνου Μενουδάκου, και παρέστησαν το τακτικό μέλος Κωνσταντίνος Λαμπρινουδάκης και το αναπληρωματικό μέλος Γρηγόριος Τσόλιας, ως εισηγητής. Δεν παρέστη λόγω κωλύματος, παρόλο που εκλήθη νομίμως εγγράφως το τακτικό μέλος Χαράλαμπος Ανθόπουλος. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου χωρίς δικαίωμα ψήφου, η Χάρις Συμεωνίδου, ειδική επιστήμονας – ελέγκτρια ως βοηθός εισηγήτρια και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Διοικητικού Τμήματος της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα ακόλουθα: Με την υπ’ αριθ. πρωτ. Γ/ΕΙΣ/5247/27-07-2020 καταγγελία της στην Αρχή η A καταγγέλλει ότι η εταιρία «NOW DOCTOR – Εταιρία Παροχής Ηλεκτρονικών Υπηρεσιών Αναζήτησης και Προβολής Ιατρών Ε.Π.Ε.», που διαχειρίζεται τον ιστότοπο www.nowdoctor.gr (ηλεκτρονικός κατάλογος ιατρών και υπηρεσία διαδικτυακού κλεισίματος ραντεβού) δεν ικανοποιεί το δικαίωμα διαγραφής των δεδομένων της. Ειδικότερα, σύμφωνα με την καταγγελία, αν και η καταγγέλλουσα ιατρός είχε δηλώσει ότι δεν επιθυμεί πλέον οποιαδήποτε συνεργασία με την καταγγελλόμενη εταιρία και της ζήτησε επανειλημμένως τη διαγραφή των δεδομένων της από την ηλεκτρονική πλατφόρμα, που η εταιρία διαχειρίζεται (www.nowdoctor.gr), μέσω της οποίας φαίνεται ότι παρέχεται 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr υπηρεσία διαδικτυακού (online) κλεισίματος ραντεβού με ιατρούς, δεν είχε λάβει καμία απάντηση και το αίτημά της δεν είχε ικανοποιηθεί. Συγκεκριμένα, η καταγγέλλουσα παραπονείτο επειδή η προβολή των στοιχείων της στην εν λόγω ηλεκτρονική πλατφόρμα δημιουργούσε πρόβλημα στη λειτουργία του ιατρείου της και στην επικοινωνία με τους ασθενείς της, στους οποίους δημιουργείται ψευδής εντύπωση σχετικά με τον τρόπο με τον οποίο μπορούν να κλείσουν ραντεβού και δυσανασχετούν. Σύμφωνα με την καταγγελία, η καταγγέλλουσα ιατρός άσκησε το δικαίωμα διαγραφής της με τον τρόπο που αναφέρεται στην ιστοσελίδα, δηλαδή με αίτημα μέσω email στις 2/7/2019 στη διεύθυνση contact@nowdoctor.gr καταγγελλόμενης (η οποία επιχείρησης εμφανίζεται δημοσίως στην ιστοσελίδα https://www.nowdoctor.gr/contact-us), της δηλώνοντας ταυτόχρονα ότι δεν επιθυμεί καμία συνεργασία μαζί της, και επανέλαβε το αίτημά της στις 28/5/

1. Προς υποστήριξη του αιτήματος διαγραφής της καταγγέλλουσας μεσολάβησε και ο Ιατρικός Σύλλογος [περιοχής] Χ με έγγραφό του στις 17/1/2020 προς την εταιρία Now Doctor EΠE, το οποίο φαίνεται να κοινοποιήθηκε στην ίδια διεύθυνση ηλεκτρονικού ταχυδρομείου. Στο πλαίσιο διερεύνησης της καταγγελίας η Αρχή απέστειλε το υπ’ αρ. πρωτ. Γ/ΕΞ/5247-1/11-08-2020 έγγραφο προς παροχή διευκρινίσεων στην εταιρία Now Doctor ΕΠΕ, ζητώντας συγκεκριμένα τις απόψεις της για τα καταγγελλόμενα πραγματικά περιστατικά, αλλά και πληροφορίες σχετικά με τη γενικότερη πολιτική που ακολουθεί η εν λόγω εταιρία για το δικαίωμα διαγραφής των χρηστών της πλατφόρμας www.nowdoctor.gr δηλαδή εάν και με ποιον τρόπο παρέχεται στους ιατρούς/υποκείμενα των δεδομένων δικαίωμα διαγραφής των δεδομένων τους. Δεδομένου ότι η Αρχή δεν έλαβε καμία απάντηση της εταιρίας, με το υπ’ αρ. πρωτ. Γ/ΕΞ/5247-2/28-09-2020 υπενθυμιστικό έγγραφο, την κάλεσε εκ νέου να απαντήσει άμεσα εγγράφως επί των καταγγελλομένων. Ωστόσο ούτε στο τελευταίο έγγραφο απάντησε η καταγγελλόμενη εταιρία, ενώ όπως μπορούσε να διαπιστωθεί εύκολα από την αναζήτηση του ονόματος της καταγγέλλουσας στην ως άνω πλατφόρμα, μέχρι τα τέλη Ιανουαρίου 2021, ήτοι για διάστημα πλέον του έτους από την αρχική άσκηση του δικαιώματος διαγραφής της, τα στοιχεία της παρέμεναν καταχωρημένα και ανηρτημένα δημοσίως στη διεύθυνση https://www.nowdoctor.gr/.... Ακολούθως η Αρχή, με τις υπ’ αριθ. πρωτ. Γ/ΕΞΕ/500/27-01-2021 και Γ/ΕΞΕ/518/28-012021 Κλήσεις της σε ακρόαση με τηλεδιάσκεψη, προς την καταγγέλλουσα και τον νόμιμο εκπρόσωπο της καταγγελλόμενης αντίστοιχα, κάλεσε τα εμπλεκόμενα μέρη σε ακρόαση στη συνεδρίαση του τμήματός της στις 03/02/2021, προκειμένου να εκθέσουν τις απόψεις τους 2 για την υπόθεση. Στη συνέχεια, με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/750/29-01-2021 έγγραφό της προς την Αρχή, η καταγγέλλουσα ανακάλεσε την καταγγελία της λόγω μεταγενέστερης ικανοποίησης του δικαιώματός της με τη «σημερινή διαγραφή των στοιχείων μου από το nowdoctor.gr», όπως ανέφερε, ζητώντας παράλληλα «να μην εκδοθεί απόφαση και η υπόθεση να μπει στο αρχείο». Κατόπιν αυτού, η υπόθεση δεν συζητήθηκε στις 3/2/2020 και η Αρχή με την υπ’ αρ. πρωτ. Γ/ΕΞΕ/616/11-02-2021 κλήση της κάλεσε την καταγγελλόμενη εταιρία στη συνεδρίαση του Τμήματος της Αρχής στις 24/2/2021, προκειμένου να εκθέσει τις απόψεις της, στο πλαίσιο άσκησης της κατά το άρθρο 13 παρ. 1 η) Ν. 4624/2019 εξουσίας της για αυτεπάγγελτο έλεγχο της εφαρμογής του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ), ανεξαρτήτως της ανάκλησης της εν λόγω καταγγελίας για μη ικανοποίηση του δικαιώματος διαγραφής και επιπλέον αναφορικά με α) την καθυστερημένη ικανοποίηση του δικαιώματος διαγραφής των δεδομένων της κ. Α στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας της και β) την φερόμενη ως ελλιπή συμμόρφωση της εν λόγω εταιρίας προς τις απαιτήσεις του ΓΚΠΔ και της οικείας εθνικής νομοθεσίας για την προστασία των δεδομένων προσωπικού χαρακτήρα περιλαμβανομένης ειδικότερα της δυνατότητας ικανοποίησης των δικαιωμάτων των υποκειμένων. Στη συνεδρίαση, η οποία πραγματοποιήθηκε στις 24/02/2021, παρέστη ο διαχειριστής και νόμιμος εκπρόσωπος της ελεγχόμενης εταιρίας, …, και η πληρεξούσια δικηγόρος της εταιρίας, Αντιγόνη Λογοθέτη. Κατά την ακρόαση η καταγγελλόμενη, διά του νομίμου εκπροσώπου της, υποστήριξε ότι, παρότι δεν αμφισβητεί ότι η εταιρία δεν εκπλήρωσε αμέσως τις εκ του νόμου υποχρεώσεις της στη συγκεκριμένη περίπτωση, αυτό συνέβη διότι έλαβε γνώση του αιτήματος της καταγγέλλουσας το πρώτον με την κοινοποίηση της καταγγελίας εκ μέρους της Αρχής, μόλις ένα μήνα πριν την ακρόαση, καθώς όλα τα σχετικά μηνύματα είχαν αποθηκευτεί αυτομάτως στον φάκελο «ανεπιθύμητης» αλληλογραφίας (spam), γεγονός που οφείλεται σε σφάλμα του παρόχου υπηρεσίας ηλεκτρονικής αλληλογραφίας Google. Ωστόσο, όπως δήλωσε ο νόμιμος εκπρόσωπος της εταιρίας, αμέσως μόλις η εταιρία έλαβε γνώση του αιτήματος της καταγγέλλουσας, απολογήθηκε προς την ίδια και το ικανοποίησε, με αποτέλεσμα η καταγγελία να ανακληθεί. Ισχυρίστηκε επίσης ότι η εταιρία είναι ουσιαστικά ανενεργή από το έτος 2017, όταν ο ίδιος αποχώρησε καθώς ανέλαβε καθήκοντα σε άλλη θέση, ενώ ακόμη δεν έχει διευκρινιστεί τι θα γίνει με την ιστοσελίδα της. Ο λόγος για τον οποίο δεν βρέθηκε κανείς στα γραφεία της εταιρίας όταν επιχειρήθηκε αρχικά η επίδοση της κλήσης σε ακρόαση ενώπιον της Αρχής, ήταν, κατά τον εκπρόσωπο της καταγγελλόμενης, το γεγονός ότι οι εργαζόμενοι των γραφείων της βρίσκονται σε τηλεργασία λόγω των μέτρων αντιμετώπισης της πανδημίας του κορωνοϊού. 3 Περαιτέρω, υποστήριξε ότι η καταγγέλλουσα δεν υπέστη καμία ζημία επί της ουσίας, δεν υπήρξε καμία διαρροή δεδομένων, τα οποία σε κάθε περίπτωση καταχωρούνται κατόπιν αιτήματος των υποκειμένων και με τη συναίνεσή τους, ενώ σε σχετικό ερώτημα εκ μέρους της Αρχής απάντησε ότι δεν εντοπίστηκαν άλλα αιτήματα υποκειμένων βάσει του ΓΚΠΔ. Τέλος, ο εκπρόσωπος της καταγγελλόμενης ζήτησε την κατανόηση της Αρχής, δηλώνοντας ότι ναι μεν η εταιρία δεν έχει συμμορφωθεί με τον ΓΚΠΔ, αλλά έχει ήδη δρομολογηθεί η συμμόρφωσή της. Η καταγγελλόμενη, έλαβε, κατά τη συνεδρίαση αυτή, προθεσμία και υπέβαλε εμπροθέσμως το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/1665/09-03-2021 υπόμνημα, στο οποίο, επιπλέον των όσων ισχυρίστηκε κατά τη συνεδρίαση, ανέφερε και τα εξής: α) Η εταιρία, που συστάθηκε το 2012, βρίσκεται σε εκκαθάριση από το έτος 2018 και είναι σε μεγάλο βαθμό ανενεργή. β) Η καθυστέρηση στην ικανοποίηση του αιτήματος διαγραφής της καταγγέλλουσας εν προκειμένω οφείλεται σε «ατυχείς συμπτώσεις, λόγω της μη ορθής ή καθυστερημένης διαβίβασης του αιτήματος στα αρμόδια εντός της εταιρίας πρόσωπα για τη διαχείριση του αιτήματος». γ) Η εταιρία αναγνωρίζει την αντικειμενική ευθύνη της στην καθυστερημένη ικανοποίηση του δικαιώματος διαγραφής και την ελλιπή της συμμόρφωση με το ισχύον νομοθετικό πλαίσιο προστασίας δεδομένων προσωπικού χαρακτήρα. δ) Υποστηρίζει ότι κατά τη δημιουργία της ιστοσελίδας της (www.nowdoctor.gr), ανατέθηκε σε εξωτερικό συνεργάτη η διαμόρφωση και ανάρτηση πολιτικής απορρήτου και όρων χρήσης, με αποτέλεσμα οι διαχειριστές της εταιρίας να έχουν την «εύλογη πεποίθηση ότι έχει ληφθεί η αναγκαία μέριμνα για τις βασικές απαιτήσεις που πρέπει να πληροί η ιστοσελίδα σύμφωνα με τις επιταγές του εκάστοτε ισχύοντος σχετικού νομοθετικού πλαισίου». ε) Λόγω της υπολειτουργίας της επιχείρησης, δεν υφίσταται τα τελευταία χρόνια προσωπικό για τη διεκπεραίωση καθημερινών εργασιών, όπως ο έλεγχος της ηλεκτρονικής αλληλογραφίας της ή η ενημέρωση της ιστοσελίδας. στ) Σε κάθε περίπτωση αναγνωρίζεται από την ίδια την ελεγχόμενη εταιρία η έλλειψη εσωτερικών διαδικασιών συμμόρφωσης με τον ΓΚΠΔ και δηλώνεται ότι στο πλαίσιο των εργασιών της εκκαθάρισης, η εταιρία έχει ήδη δρομολογήσει τη συμμόρφωσή της «τόσο σε επίπεδο εσωτερικών διαδικασιών της εταιρίας (διαμόρφωση και υιοθέτηση πολιτικών και διαδικασιών) όσο και σε επίπεδο ιστοσελίδας (επικαιροποίηση πολτιικής απορρήτου, όρων χρήσης και ανάρτηση πολιτικής για cookies) (…) χωρίς καθυστέρηση και το αργότερο εντός διμήνου», ενώ, τέλος, τονίζεται η έλλειψη δόλου της ως προς την καθυστέρηση. Περαιτέρω, από τον αυτεπάγγελτο έλεγχο της ιστοσελίδας της καταγγελλόμενης, διαπιστώθηκε ότι, όπως δηλώνεται δημοσίως, σε αυτήν περιλαμβάνεται κατάλογος 2.969 4 ιατρών από 65 ειδικότητες και σε 148 πόλεις. Τα στοιχεία των ιατρών (ονοματεπώνυμο, ειδικότητα, διεύθυνση, τηλέφωνο) ευρίσκονται με αναζήτηση βάσει ειδικότητας ή/και τοποθεσίας, ενώ απεικονίζονται και σε διαδραστικό χάρτη. Με την επιλογή ορισμένου ιατρού, εμφανίζεται ημερολόγιο με τις διαθέσιμες ημέρες και ώρες για ραντεβού, παρέχοντας στον επισκέπτη τη δυνατότητα να κλείσει ραντεβού με τον εν λόγω ιατρό. Στην ιστοσελίδα υπάρχει ένα κείμενο με τίτλο «Πολιτική Προστασίας Προσωπικών Δεδομένων» και τελευταία ενημέρωση τον Ιούλιο
2. Η εν λόγω Πολιτική, αφ’ ενός μεν φαίνεται ότι συγγράφηκε υπό την ισχύ του Ν. 2472/1997, αφ’ ετέρου αναφέρεται στην επεξεργασία προσωπικών δεδομένων των επισκεπτών/χρηστών της ιστοσελίδας που επιθυμούν να κλείσουν ραντεβού με τους καταχωρημένους ιατρούς και όχι στην επεξεργασία δεδομένων των ιατρών ως υποκειμένων. Η μόνη αναφορά στο σκοπό επεξεργασίας των δεδομένων των ιατρών εντοπίζεται στο σημείο όπου παρέχουν τα στοιχεία τους ώστε να εκδηλώσουν ενδιαφέρον για να καταχωρηθούν (https://www.nowdoctor.gr/parousiasi) όπου υπάρχει το εξής κείμενο, με τη μορφή υπεύθυνης δήλωσης: «Με ατομική μου ευθύνη και γνωρίζοντας τις κυρώσεις που προβλέπονται από τις διατάξεις της παρ. 6 του άρθρου 22 του Ν. 1599/1986, δηλώνω υπεύθυνα ότι όλες οι πληροφορίες που παρέχονται στην παρούσα δήλωση είναι νόμιμες, αληθείς και ακριβείς. Κατανοώ ότι το NowDoctor.gr, βασίζεται στη νομιμότητα, την ακρίβεια και την ορθότητα των πληροφοριών που παρέχονται στην παρούσα δήλωση. Υπογράφοντας παρακάτω [ηλεκτρονική υπογραφή κάνοντας "τικ" στο κουτάκι παρακάτω], δηλώνω υπεύθυνα ότι η παρούσα αίτηση δεν αντίκεινται στον Κώδικα Ιατρικής Δεοντολογίας και γενικότερα στην ιατρική νομοθεσία και δίδω στο NowDoctor.gr την έγκρισή μου, η οποία είναι έγκυρη εκτός και αν ανακληθεί εγγράφως από εμένα, να χρησιμοποιεί και να επεξεργάζεται όλα τα καταχωρημένα στην παρούσα αίτηση δεδομένα και πληροφορίες που με αφορούν, για σκοπούς προώθησης του ιατρείου μου και εύρεσης νέων ασθενών». Η Αρχή, από την ακροαματική διαδικασία, από τα στοιχεία του φακέλου της υπόθεσης, καθώς και από το υπόμνημα που υποβλήθηκε στην Αρχή και αφού άκουσε τον εισηγητή και τη βοηθό εισηγήτρια, η οποία αποχώρησε μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
3. Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (ΕΕ) 2016/679 (εφεξής «ΓΚΠΔ») και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 5 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Περαιτέρω, σύμφωνα με τα άρθρα 57 παρ. 1 στοιχ. α), η) ΓΚΠΔ και 13 παρ. 1 η) Ν. 4624/2019, η Αρχή έχει το καθήκον να παρακολουθεί και επιβάλλει την εφαρμογή του Κανονισμού και να διενεργεί, αυτεπαγγέλτως ή κατόπιν καταγγελίας, έρευνες ή ελέγχους σχετικά με την εφαρμογή των ρυθμίσεων που αφορούν την προστασία του ατόμου έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα.
4. Σύμφωνα με το άρθρο 5 παρ. 1 ΓΚΠΔ «
5. Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), […] ε) διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα·» ενώ κατά την παρ. 2 του ίδιου άρθρου: «
6. Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»).»
7. Σύμφωνα με το άρθρο 17 παρ. 1 ΓΚΠΔ «Το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, εάν ισχύει ένας από τους ακόλουθους λόγους: α) τα δεδομένα προσωπικού χαρακτήρα δεν είναι πλέον απαραίτητα σε σχέση με τους σκοπούς για τους οποίους συλλέχθηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία, β) το υποκείμενο των δεδομένων ανακαλεί τη συγκατάθεση επί της οποίας βασίζεται η επεξεργασία σύμφωνα με το άρθρο 6 παράγραφος 1 στοιχείο α) ή το άρθρο 9 παράγραφος 2 στοιχείο α) και δεν υπάρχει άλλη νομική βάση για την επεξεργασία, […]».
8. Περαιτέρω, σύμφωνα με τη διάταξη του άρθρου 12 παρ. 2 και 3 ΓΚΠΔ: «
9. Ο υπεύθυνος επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων που προβλέπονται στα άρθρα 15 έως
10. Στις περιπτώσεις που προβλέπονται στο άρθρο 11 παράγραφος 2, ο υπεύθυνος επεξεργασίας δεν αρνείται να ενεργήσει κατόπιν αιτήσεως του υποκειμένου των δεδομένων για να ασκήσει τα δικαιώματά του βάσει των άρθρων 15 έως 22, εκτός αν ο υπεύθυνος επεξεργασίας αποδείξει ότι δεν είναι σε θέση να εξακριβώσει την ταυτότητα του υποκειμένου των δεδομένων.
11. Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που 6 πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα, η ενημέρωση παρέχεται, εάν είναι δυνατόν, με ηλεκτρονικά μέσα, εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό».
12. Τέλος, σύμφωνα με τις Κατευθυντήριες Γραμμές 5/2020 του ΕΣΠΔ σχετικά με τη συγκατάθεση: «
13. Κατά γενικό κανόνα, σε περίπτωση ανάκλησης της συγκατάθεσης, όλες οι πράξεις επεξεργασίας δεδομένων που βασίζονταν στη συγκατάθεση και πραγματοποιήθηκαν πριν από την ανάκληση της συγκατάθεσης –και σύμφωνα με τον ΓΚΠΔ– εξακολουθούν να είναι νόμιμες, αλλά ο υπεύθυνος επεξεργασίας οφείλει να παύσει τις σχετικές πράξεις επεξεργασίας. Εάν δεν υπάρχει άλλη νόμιμη βάση η οποία να δικαιολογεί την επεξεργασία (π.χ. περαιτέρω αποθήκευση) των δεδομένων, ο υπεύθυνος επεξεργασίας θα πρέπει να διαγράψει τα δεδομένα. […]
14. Οι υπεύθυνοι επεξεργασίας υποχρεούνται να διαγράφουν τα δεδομένα τα οποία υποβλήθηκαν σε επεξεργασία βάσει συγκατάθεσης όταν η συγκατάθεση αυτή ανακαλείται, εφόσον δεν υπάρχει άλλος σκοπός ο οποίος να δικαιολογεί τη συνέχιση της διατήρησής τους. (Στην περίπτωση αυτή, ο άλλος σκοπός που δικαιολογεί την επεξεργασία πρέπει να στηρίζεται σε χωριστή νομική βάση. Αυτό δεν σημαίνει ότι ο υπεύθυνος επεξεργασίας μπορεί να μεταπηδήσει από τη συγκατάθεση σε άλλη νόμιμη βάση, βλ. ενότητα 6 κατωτέρω.) Πέραν της περίπτωσης αυτής, η οποία καλύπτεται στο άρθρο 17 παράγραφος 1 στοιχείο β), το υποκείμενο των δεδομένων μπορεί να ζητήσει τη διαγραφή άλλων δεδομένων που το αφορούν και τα οποία υποβάλλονται σε επεξεργασία σύμφωνα με άλλη νόμιμη βάση, π.χ. βάσει του άρθρου 6 παράγραφος 1 στοιχείο β). Οι υπεύθυνοι επεξεργασίας υποχρεούνται να εξετάζουν αν η συνέχιση της επεξεργασίας των επίμαχων δεδομένων είναι ενδεδειγμένη, ακόμη και απουσία αιτήματος διαγραφής από το υποκείμενο των δεδομένων».
15. Στην προκειμένη περίπτωση, προέκυψε ότι η ελεγχόμενη εταιρία Now Doctor ΕΠΕ δεν ικανοποίησε αρχικά και εμπρόθεσμα το αίτημα διαγραφής των προσωπικών δεδομένων της καταγγέλλουσας, παρά τις επανειλημμένες της αιτήσεις μέσω ηλεκτρονικού μηνύματος στην δημοσιευμένη ηλεκτρονική διεύθυνση της εταιρίας contact@nowdoctor.gr αρχικά στις 2/7/2019 και στη συνέχεια στις 28/5/2020 και παρά την παρέμβαση του Ιατρικού Συλλόγου 7 [περιοχής] Χ στις 17/1/2020, ενώ δεν απάντησε στα δύο έγγραφα της Αρχής (11/8/2020 και 28/9/2020) για παροχή εξηγήσεων. Το δικαίωμα διαγραφής των δεδομένων της καταγγέλλουσας από την ιστοσελίδα www.nowdoctor.gr της καταγγελλόμενης εταιρίας τελικά ικανοποιήθηκε στις 29-1-2021 μετά την κοινοποίηση της κλήσης σε ακρόαση ενώπιον της Αρχής, στον διαχειριστή και νόμιμο εκπρόσωπο της καταγγελλόμενης εταιρίας, όπως προκύπτει από την Γ/ΕΙΣ/750/29-1-2021 δήλωση ανάκλησης της καταγγελίας, με την οποία η καταγγέλλουσα ζήτησε να μην εκδοθεί απόφαση και η υπόθεση να τεθεί στο αρχείο. Το δικαίωμα διαγραφής της καταγγέλλουσας, ικανοποιήθηκε επομένως εκπρόθεσμα και μάλιστα με μεγάλη καθυστέρηση, ήτοι περίπου 18 μηνών από την αρχική του άσκηση, στις 2/7/2019 και μόνον εφόσον παρενέβη η Αρχή.
16. Η από μέρους της καταγγέλλουσας άσκηση του δικαιώματος διαγραφής των προσωπικών δεδομένων της βασίζεται στην προκειμένη περίπτωση, σύμφωνα με τα στοιχεία που έχει η Αρχή στη διάθεσή της, στην ανάκληση της αρχικής δήλωσης της προς την ιστοσελίδα της καταγγελλόμενης με την οποία της παρείχε έγκριση να καταχωρηθούν τα προσωπικά δεδομένα της, η οποία ερμηνεύεται ως παροχή συγκατάθεσης. Με το αίτημά της για την διαγραφή των προσωπικών της δεδομένων από την ιστοσελίδα, η καταγγέλλουσα άσκησε το προβλεπόμενο από τις διατάξεις του άρθρου 17 παρ. 1 εδ. β’ ΓΚΠΔ δικαίωμα λόγω ανάκλησης της συγκατάθεσης, ενώ δεν διαπιστώθηκε η δυνατότητα διατήρησης των δεδομένων δυνάμει άλλης νομικής βάσης. Ειδικότερα, έπειτα από την από 2/7/2019 δήλωση της καταγγέλλουσας μέσω e-mail ότι δεν επιθυμεί καμία συνεργασία με την καταγγελλόμενη, με την οποία ανακάλεσε την αρχική δήλωση και συγκατάθεσή της, εξέλιπε η νομική βάση για την επεξεργασία των δεδομένων της καταγγέλλουσας και συνεπώς η καταγγελλόμενη όφειλε να διακόψει τη σχετική επεξεργασία, ανεξαρτήτως της τυχόν υποβολής αιτήματος διαγραφής, κατ’ εφαρμογή της αρχής του περιορισμού της περιόδου αποθήκευσης του άρ. 5 παρ. 1 εδ. ε’ ΓΚΠΔ. Πολλώ δε μάλλον, η καταγγελλόμενη όφειλε να ικανοποιήσει χωρίς αδικαιολόγητη καθυστέρηση το δικαίωμα διαγραφής σύμφωνα με το άρθρο 17 παρ. 1 ΓΚΠΔ, μετά την άσκησή του. Η εφεξής διατήρηση και επεξεργασία των προσωπικών δεδομένων της καταγγέλλουσας στην ιστοσελίδα παρά και μετά τη δήλωσή της ότι δεν επιθυμεί καμία συνεργασία με την καταγγελλόμενη και το υποβληθέν αίτημα διαγραφής λόγω ανάκλησης της συγκατάθεσής της, καθίσταται παράνομη καθώς πλέον ελλείπει η νόμιμη βάση επεξεργασίας των προσωπικών δεδομένων κατ’ αρ. 6 παρ. 1 ΓΚΠΔ με συνέπεια να επέλθει παραβίαση του άρθρου 5 παρ. 1 εδ. α’ ΓΚΠΔ και ιδίως της αρχής της νομιμότητας. 8 Επιπλέον, η διατήρηση των προσωπικών δεδομένων της καταγγέλλουσας για χρόνο μεγαλύτερο αυτού που απαιτείται για τους σκοπούς της νόμιμης επεξεργασίας, δηλαδή για την παροχή υπηρεσιών διαδικτυακής προβολής, σκοπός ο οποίος έπαυσε σε κάθε περίπτωση με την από 2/7/2019 δήλωση της καταγγέλλουσας, αντίκειται επιπλέον στην αρχή του περιορισμού της περιόδου αποθήκευσης, του άρθρου 5 παρ. 1 εδ. ε’ ΓΚΠΔ. Συνακόλουθα, η ελεγχόμενη εταιρία απέτυχε στο πλαίσιο της υποχρέωσης λογοδοσίας κατ’ αρ. 5 παρ. 2 ΓΚΠΔ να αποδείξει εν προκειμένω τη συμμόρφωσή της με την τήρηση της αρχής της νομιμότητας κατ’ αρ. 5 παρ. 1 εδ. α’ και 6 παρ. 1 εδ. α’ ΓΚΠΔ καθώς και της αρχής του περιορισμού του χρόνου αποθήκευσης κατ’ άρ. 5 παρ. 1 εδ. ε’ ΓΚΠΔ, παραδεχόμενη όπως θα καταδειχθεί κατωτέρω ότι δεν έχει συμμορφωθεί με τις απαιτήσεις προς τις αρχές του άρθρου 5 παρ. 1 και 2 ΓΚΠΔ.
17. Επιπλέον, η καταγγελλόμενη εταιρία, όπως παραδέχθηκε τόσο κατά την ακρόαση όσο και με το υπόμνημα της, δεν έχει λάβει κανένα μέτρο συμμόρφωσης προς τις απαιτήσεις του ΓΚΠΔ και ειδικότερα σε σχέση προς την απαίτηση του άρθρου 12 παρ. 2 ΓΚΠΔ για την διευκόλυνση της άσκησης των δικαιωμάτων των υποκειμένων, δεδομένου ότι η αλληλογραφία με τη διεύθυνση ηλεκτρονικού ταχυδρομείου contact@nowdoctor.gr, που η εταιρία δηλώνει δημοσίως στην ιστοσελίδα της (https://www.nowdoctor.gr/contact-us) ως μέσο επικοινωνίας με το κοινό επί της ουσίας δεν λειτουργεί και δεν ανταποκρίνεται στα αιτήματα και την αλληλογραφία τόσο των υποκειμένων των δεδομένων αλλά ακόμη και της Αρχής, καθώς όπως δήλωσε η καταγγελλόμενη δεν υπάρχει διαθέσιμο προσωπικό για να ελέγχει τη σχετική αλληλογραφία, γεγονός που αποδείχθηκε, άλλωστε, από τη μη ανταπόκρισή της στα μηνύματα που εστάλησαν στην εν λόγω διεύθυνση από την καταγγέλλουσα, από τον Ιατρικό Σύλλογο [περιοχής] Χ και από την Αρχή.
18. Ο ισχυρισμός της καταγγελλόμενης ότι η παράλειψη αυτή οφείλεται στο γεγονός ότι βρίσκεται υπό εκκαθάριση από το έτος 2018 δεν ασκεί έννομη επιρροή εν όψει των υποχρεώσεων που την βαρύνουν από τον ΓΚΠΔ ως υπεύθυνης επεξεργασίας. Επιπλέον, αφ’ ενός δεν τεκμηριώνεται από κανένα έγγραφο ο εν λόγω ισχυρισμός, αφ’ ετέρου αποδεικνύεται το ακριβώς αντίθετο δεδομένου ότι α) η κατάστασή της φαίνεται «ενεργή» και όχι «υπό εκκαθάριση» στον ιστότοπο του ΓΕ.ΜΗ. (https://www.businessregistry.gr/publicity/index), ακόμη και εάν αυτή είναι τυπική β) η ιστοσελίδα της, έστω και αν δεν επικαιροποιείται τα τελευταία έτη, παραμένει αναρτημένη, λειτουργική και με πλήρες περιεχόμενο –αποτελούμενο από προσωπικά δεδομένα εκατοντάδων υποκειμένων – γεγονός που καταδεικνύει ότι τα τελευταία 3 έτη έλαβε χώρα 9 τουλάχιστον ανανέωση του ονόματος χώρου (domain name) και καταβλήθηκαν τα σχετικά έξοδα φιλοξενίας, και γ) ο ισχυρισμός αυτός φαίνεται να αντιφάσκει με τη δηλωμένη πρόθεση της εταιρίας να ολοκληρώσει τη διαδικασία συμμόρφωσης με τον ΓΚΠΔ εντός διμήνου, διαμορφώνοντας μάλιστα και «υιοθετώντας εσωτερικές πολιτικές και διαδικασίες», σύμφωνα με το υπόμνημά της. Στην αντίθετη περίπτωση της τυχόν παύσης των εργασιών της, η οποία όμως δεν προέκυψε, η ελεγχόμενη εταιρία όφειλε αντίστοιχα να παύσει και την επεξεργασία των προσωπικών δεδομένων που διατηρεί καθώς τότε θα εξέλιπε και ο σκοπός διατήρησης και επεξεργασίας τους.
19. Βάσει των ανωτέρω, η Αρχή διαπιστώνει ότι η καταγγελλόμενη και ελεγχόμενη εταιρία παραβίασε τις διατάξεις των άρθρων 5 παρ. 1 εδ. α’ και ε’, παρ. 2, 6 παρ. 1, 12 παρ. 2, 3 και 17 ΓΚΠΔ.
20. Σύμφωνα με τον ΓΚΠΔ (Αιτ. Σκ. 148) προκειμένου να ενισχυθεί η επιβολή των κανόνων του παρόντος Κανονισμού, κυρώσεις, συμπεριλαμβανομένων των διοικητικών προστίμων, θα πρέπει να επιβάλλονται για κάθε παράβαση του παρόντος Κανονισμού, επιπρόσθετα ή αντί των κατάλληλων μέτρων που επιβάλλονται από την εποπτική αρχή σύμφωνα με τον παρόντα Κανονισμό. Σε περιπτώσεις δε παράβασης ελάσσονος σημασίας ή αν το πρόστιμο που ενδέχεται να επιβληθεί θα αποτελούσε δυσανάλογη επιβάρυνση σε φυσικό πρόσωπο, θα μπορούσε να επιβληθεί επίπληξη αντί προστίμου.
21. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις και να δώσει εντολή στην καταγγελλόμενη εταιρία να καταστήσει τις πράξεις επεξεργασίας που λαμβάνουν χώρα μέσω της ιστοσελίδας που διατηρεί σύμφωνες προς τις διατάξεις του ΓΚΠΔ καθώς και να λάβει τα κατάλληλα τεχνικά και οργανωτικά μέτρα για την διευκόλυνση της άσκησης των δικαιωμάτων των υποκειμένων σύμφωνα με το άρθρο 12 ΓΚΠΔ κατά τα οριζόμενα στο διατακτικό της παρούσας εντός ενός