Παραβίαση δικαιώματος πρόσβασης από εταιρεία δημοσκοπήσεων

Αθήνα, 20-12-

1. Αριθ. Πρωτ.:
2. ΑΠΟΦΑΣΗ 65/2022 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος μέσω τηλεδιασκέψεως την 14-12-2022 μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει τις υποθέσεις που αναφέρονται στο ιστορικό της παρούσας. Παρέστησαν ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής, Κωνσταντίνου Μενουδάκου, το αναπληρωματικό μέλος, Μαρία Ψάλλα ως εισηγήτρια, σε αναπλήρωση του τακτικού μέλους, Γρηγορίου Τσόλια, ο οποίος αν και είχε προσκληθεί νομίμως εγγράφως, απουσίασε λόγω κωλύματος και το επίσης αναπληρωματικό μέλος, Δημοσθένης Βουγιούκας, σε αναπλήρωση του τακτικού μέλους, Κωνσταντίνου Λαμπρινουδάκη, ο οποίος, αν και είχε προσκληθεί νομίμως εγγράφως, απουσίασε λόγω κωλύματος. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, η Κυριακή Καρακάση, νομική ελέγκτρια – δικηγόρος, ως βοηθός εισηγήτρια και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπ’ όψιν της τα παρακάτω: Υποβλήθηκαν ενώπιον της Αρχής Προστασίας Δεδομένων δύο αυτοτελείς καταγγελίες για παραβίαση δικαιώματος πρόσβασης σε ηχογραφημένες συνομιλίες κατά της αυτής καταγγελλόμενης μονοπρόσωπης εταιρείας περιορισμένης ευθύνης με την επωνυμία «Οpinion Poll Έρευνες – Δημοσκοπήσεις», οι οποίες συνεξετάστηκαν λόγω συνάφειας. Το εν λόγω δικαίωμα άσκησαν οι καταγγέλλοντες, ως συμμετέχοντες σε διενεργηθείσα από την ως άνω εταιρεία δημοσκοπική έρευνα. Ειδικότερα, επρόκειτο περί Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr της με αριθ. πρωτ. Γ/ΕΙΣ/8359/23-12-2021 πρώτης καταγγελίας και της με αριθ. πρωτ. Γ/ΕΙΣ/5804/11-04-2022 δεύτερης. Στο πλαίσιο δε εξέτασης της πρώτης εξ αυτών η Αρχή με το με αριθ. πρωτ. Γ/ΕΞ/726/18-03-2022 έγγραφό της, διαβίβασε στην καταγγελλόμενη εταιρεία δημοσκοπήσεων την επίμαχη καταγγελία ζητώντας διευκρινίσεις. Κατόπιν δε αυτού, η καταγγελλόμενη απέστειλε το με αριθ. πρωτ. Γ/ΕΙΣ/5393/31-03-2022 υπόμνημα. Ακολούθως η Αρχή κάλεσε με τις με αριθ. Πρωτ. Γ/ΕΞΕ/2408/28-09-2022 καθώς επίσης και Γ/ΕΞΕ/2407 & 2406/28-09-2022 κλήσεις τόσο την καταγγελλόμενη όσο και τους δύο καταγγέλλοντες αντιστοίχως, σε ακρόαση, ώστε να ακουστούν στην από 05-10-2022 συνεδρίαση του αρμόδιου Τμήματος. Στο πλαίσιο της ως άνω συνεδρίασης, η καταγγελλόμενη εταιρεία υπέβαλε, διά του δικηγόρου, Νικολάου Νικολακόπουλου (με ΑΜ …), αίτημα αναβολής, όπως επίσης και η δεύτερη από τους καταγγέλλοντες, τα οποία η Αρχή, κατόπιν ακρόασης των ενδιαφερόμενων μερών, ιδίως δε των πληρεξούσιων δικηγόρων του υποβάλλοντος την ως άνω με αριθ. πρωτ. Γ/ΕΙΣ/8359/23-12-2021 καταγγελία, Εμμανουήλ Χαλκιαδάκη (με ΑΜ …) και Εμμανουήλ Δημογεροντάκη (με ΑΜ …), έκανε δεκτά, αναβάλλοντας τη συζήτηση αμφοτέρων των υποθέσεων για τη συνεδρίαση του Τμήματος στις 12-10-2022 στις 10:00 π.μ., στην έδρα της Αρχής άνευ περαιτέρω κλητεύσεως των μερών. Η τελευταία ως άνω συνεδρίαση αναβλήθηκε για τις 19-10-2022, εξαιτίας κωλύματος του Προέδρου του Τμήματος, οπότε και έλαβε χώρα διαδικτυακά. Στο πλαίσιο της ως άνω συνεδρίασης η καταγγελλόμενη εταιρεία παρέστη διά του πληρεξουσίου δικηγόρου της, Ηλία Σιδέρη (με ΑΜ …), ενώ παρών ήταν και ο Υπεύθυνος Προστασίας Δεδομένων της εταιρείας, Α, σε περίπτωση που παρίστατο ανάγκη παροχής κάποιας επεξήγησης. Ο ανωτέρω δε καταγγέλλων παρέστη μετά του ως άνω δικηγόρου του, Εμμανουήλ Χαλκιαδάκη, και δήλωσε ότι ο εντολέας του έχει επιλύσει τη διαφορά του με την καταγγελλόμενη εταιρεία και ως εκ τούτου ανακαλεί τη σχετική ως άνω καταγγελία παραβίασης δικαιώματος πρόσβασης που εκκρεμεί ενώπιον του Τμήματος της Αρχής. Κατόπιν τούτων, στην ως άνω συνεδρίαση του Τμήματος κρατήθηκε και εξετάστηκε η δεύτερη συναφής με την πρώτη υποβληθείσα καταγγελία, ήτοι η με αριθ. πρωτ. Γ/ΕΙΣ/5804/11-04-2022 τοιαύτη της Β. Η τελευταία δε, αναφέρει στο πλαίσιο της εν λόγω καταγγελίας, ότι στις 19-02-2022 ζήτησε από την καταγγελλόμενη εταιρεία, με μήνυμα ηλεκτρονικού ταχυδρομείου που απέστειλε στην ηλεκτρονική διεύθυνση info@opinionpoll.gr, αντίγραφο της ηχογραφημένης συνομιλίας που είχε με εκπρόσωπο της 2 εταιρείας στις … και ώρα …, κατόπιν τηλεφωνικής κλήσης που δέχτηκε, όπως αναφέρει, από τον τηλεφωνικό αριθμό 2155605100 προς το κινητό της τηλέφωνο … . Ωστόσο, το εν λόγω αίτημα, κατά τους ισχυρισμούς της καταγγέλλουσας, δεν ικανοποιήθηκε. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, με το με αριθ. πρωτ. Γ/ΕΞ/1236/24-05-2022 έγγραφό της, διαβίβασε στην εν λόγω εταιρεία δημοσκοπήσεων και την ως άνω καταγγελία, ζητώντας διευκρινίσεις σχετικά με το εάν η καταγγέλλουσα υπέβαλε δικαίωμα πρόσβασης σε δεδομένα που την αφορούν και σε ποια συγκεκριμένα, καθώς και εάν και με ποιον τρόπο ανταποκρίθηκε η καταγγελλομένη στο ως άνω αίτημα της καταγγέλλουσας ή/και εάν αιτιολόγησε στην τελευταία τυχόν καθυστέρησή της αναφορικά με την ανταπόκριση στο ως άνω αίτημα ζητώντας, άλλως, να διευκρινίσει η καταγγελλόμενη τους λόγους για τους οποίους δεν ανταποκρίθηκε τυχόν στο σχετικό αίτημα πρόσβασης, παρέχοντας σχετική τεκμηρίωση. Η καταγγελλόμενη εταιρεία απέστειλε στην Αρχή το με αριθ. πρωτ. Γ/ΕΙΣ/7838/0906-2022 Υπόμνημά της, με το οποίο, ισχυρίστηκε, μεταξύ άλλων, τα ακόλουθα: Ανέφερε καταρχάς ότι κατά την έναρξη των τηλεφωνικών κλήσεων, ο αρμόδιος εκπρόσωπος της εταιρείας ρωτά τον τυχαία επιλεγέντα πολίτη εάν επιθυμεί να συμμετέχει στη διενέργεια δημοσκόπησης, ενώ παραπέμπει στην ενότητα «Προσωπικά Δεδομένα» της ιστοσελίδας της, όπου αναφέρεται, μεταξύ άλλων, ότι τα προσωπικά δεδομένα που έχουν συλλεγεί καταστρέφονται σε κάθε περίπτωση τρεις μήνες μετά την ολοκλήρωση της έρευνας. Μετά δε το πέρας της ως άνω προθεσμίας και την καταστροφή των δεδομένων, δεν είναι δυνατή η άσκηση των σχετικών δικαιωμάτων των υποκειμένων των δεδομένων. Κατόπιν τούτων, η Αρχή κάλεσε με τις με αριθ. Πρωτ. Γ/ΕΞΕ/2408/28-09-2022 καθώς επίσης και Γ/ΕΞΕ/2406/28-09-2022 κλήσεις τόσο την καταγγελλόμενη όσο και την καταγγέλλουσα, όπως ανωτέρω αναλυτικά εξετέθη, σε ακρόαση, οπότε και στη μετ’ αναβολή ως άνω συνεδρίαση της 19ης-10-2022, η Β παρέστη αυτοπροσώπως και ανέπτυξε προφορικά τους ισχυρισμούς της δηλώνοντας ότι υπέστη μεγάλη ταλαιπωρία και τονίζοντας το γεγονός ότι ουδέποτε ενημερώθηκε από την καταγγελλόμενη εταιρεία έστω και για το γεγονός ότι δεν διαθέτουν κάποιο ηχητικό αρχείο με τη συνομιλία που την αφορά. Περαιτέρω, μετά την εν λόγω ακρόαση δόθηκε σε αμφότερα τα μέρη προθεσμία προσκομίσεως τυχόν υπομνημάτων προς περαιτέρω υποστήριξη των ισχυρισμών τους μέχρι τις 31-10-
3. 3 Ακολούθως, η μεν καταγγέλλουσα δεν υπέβαλε κάποιο υπόμνημα, η δε καταγγελλόμενη υπέβαλε εμπροθέσμως το με αριθ. πρωτ. Γ/ΕΙΣ/11415/31-10-2022 υπόμνημά της, στο οποίο αναφέρει συνοπτικά μεταξύ άλλων τα ακόλουθα: Καταρχάς αναφέρει ότι δεν αποτελεί εμπορική εταιρεία πωλήσεων και ως εκ τούτου δεν καταγράφει τις συνομιλίες ούτε συλλέγει καθ’ οιονδήποτε τρόπο προσωπικά δεδομένα, ούτε προωθεί προϊόντα, ενώ επίσης δεν πραγματοποιεί πωλήσεις εξ αποστάσεως. Αναφέρει δε η καταγγελλόμενη ότι δεν γνωρίζουν τους καλούμενους ούτε μπορούν να τους ταυτοποιήσουν, ενώ διαβεβαιώνει ότι τηρείται η εκ του νόμου προβλεπόμενη διαδικασία σχετικά με τη διενέργεια των δημοσκοπήσεων. Σημειώνει περαιτέρω ότι οι τηλεφωνικοί αριθμοί που καλούνται προκύπτουν τυχαία από το πληροφοριακό τους σύστημα και σε περίπτωση που ο εκάστοτε καλούμενος δεχτεί να συμμετέχει στη δημοσκόπηση, καταγράφεται ως ηλεκτρονική σημείωση, η απάντησή του, ώστε μετέπειτα να εξαχθούν επιστημονικά συμπεράσματα για λογαριασμό του εντολέα της έρευνας. Επιμένει δε η καταγγελλόμενη ότι στο πλαίσιο της επίμαχης έρευνας τηρήθηκαν όλοι οι σχετικοί κανόνες και δεν παραβιάστηκε καμία διάταξη σχετική με την προστασία των προσωπικών δεδομένων. Αναφορικά με το επίμαχο μήνυμα της καταγγέλλουσας, πιθανολογεί ότι το τελευταίο θα κατέληξε στο φάκελο της ανεπιθύμητης εταιρικής αλληλογραφίας, ενώ αμφισβητεί τους περί ταλαιπωρίας ισχυρισμούς της καταγγέλλουσας. Η Αρχή, αφού έκανε δεκτό το αίτημα ανάκλησης της πρώτης συνεξεταζόμενης καταγγελίας κράτησε και εξέτασε τη δεύτερη τοιαύτη, οπότε και κατόπιν εξέτασης των στοιχείων του φακέλου, αφού άκουσε την εισηγήτρια και τις διευκρινίσεις της βοηθού εισηγήτριας, και κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
4. Επειδή από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Με το άρθρο 5 παρ. 1 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι 4 της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (εφεξής ΓΚΠΔ) τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία. Σύμφωνα με την αρχή της λογοδοσίας που εισάγεται με το εν λόγω άρθρο ορίζεται ρητώς στην δεύτερη παράγραφο αυτού, ότι ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Η αρχή αυτή, η οποία συνιστά ακρογωνιαίο λίθο του ΓΚΠΔ, συνεπάγεται την υποχρέωση του υπευθύνου επεξεργασίας να δύναται όπως αποδείξει συμμόρφωση. Επιπλέον, δίδει τη δυνατότητα στον υπεύθυνο επεξεργασίας να δύναται να ελέγξει και να τεκμηριώσει νομικά μια επεξεργασία που διενεργεί σύμφωνα με τις νομικές βάσεις που του παρέχει ο ΓΚΠΔ και το εθνικό δίκαιο προστασίας δεδομένων.
5. Επειδή σύμφωνα με το άρθρο 15 παρ. 1, 3 και 4 του ΓΚΠΔ «
6. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες: α) τους σκοπούς της επεξεργασίας, β) τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, γ) τους αποδέκτες ή τις κατηγορίες αποδεκτών στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα, ιδίως τους αποδέκτες σε τρίτες χώρες ή διεθνείς οργανισμούς, δ) εάν είναι δυνατόν, το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, ε) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για διόρθωση ή διαγραφή δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που αφορά το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην εν λόγω επεξεργασία, στ) το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, ζ) όταν τα δεδομένα προσωπικού χαρακτήρα δεν συλλέγονται από το υποκείμενο των δεδομένων, κάθε διαθέσιμη πληροφορία σχετικά με την προέλευσή τους, η) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που προβλέπεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων.
7. […]
8. Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. […] Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το 5 υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως.
9. Το δικαίωμα να λαμβάνεται αντίγραφο που αναφέρεται στην παράγραφο 3 δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων.». Στο πλαίσιο του ως άνω δικαιώματος επισημαίνεται πως το υποκείμενο των δεδομένων θα πρέπει να έχει δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα τα οποία συλλέχθηκαν και το αφορούν και να μπορεί να ασκεί το εν λόγω δικαίωμα ευχερώς και σε εύλογα τακτά διαστήματα, προκειμένου να έχει επίγνωση και να επαληθεύει τη νομιμότητα της επεξεργασίας
10. Εξάλλου η Αρχή δέχεται παγίως ότι το υποκείμενο των δεδομένων έχει δικαίωμα να γνωρίζει αν δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία, καθώς και να λαμβάνει γνώση αυτών, χωρίς να απαιτείται προς τούτο η επίκληση εννόμου συμφέροντος
11. Επομένως, ενόψει των ανωτέρω προκύπτει ότι καθιερώνεται το δικαίωµα πρόσβασης του υποκειµένου στα προσωπικά δεδοµένα που το αφορούν µε κύριο σκοπό να βεβαιώνεται το υποκείµενο για την ακρίβεια και τον σύννοµο χαρακτήρα της επεξεργασίας των δεδοµένων του
12. Ως εκ τούτου, για την ικανοποίηση του δικαιώµατος πρόσβασης δεν απαιτείται, όπως προαναφερθηκε, η επίκληση εννόµου συµφέροντος, αφού αυτό ενυπάρχει και αποτελεί βάση του δικαιώµατος πρόσβασης του υποκειµένου να λάβει γνώση πληροφοριών που το αφορούν και οι οποίες έχουν καταχωρηθεί σε αρχείο που τηρεί ο υπεύθυνος επεξεργασίας, έτσι ώστε να πραγµατώνεται η βασική αρχή του δικαίου για την προστασία των προσωπικών δεδοµένων, που συνίσταται στη διαφάνεια της επεξεργασίας ως προϋπόθεση κάθε περαιτέρω ελέγχου της νοµιµότητάς της εκ µέρους του υποκειµένου των δεδοµένων
13. Οµοίως, δεν απαιτείται η επίκληση των λόγων για τους οποίους το υποκείµενο των δεδοµένων επιθυµεί την άσκηση του δικαιώµατος πρόσβασης. Εξάλλου, θα πρέπει να επισηµανθεί ότι η ικανοποίηση του δικαιώµατος πρόσβασης είναι καθολική, αφορά δηλαδή σε όλες τις πληροφορίες που αφορούν στο υποκείµενο των δεδοµένων και επιπλέον, δεν προϋποθέτει όχι μόνο επίκληση των λόγων για τους οποίους το υποκείµενο Βλ. αιτιολογική σκέψη 63 του ΓΚΠΔ και Απόφαση της Αρχής 23/2020, σκ.
14. Bλ. ιδίως, αποφάσεις της Αρχής 32/2019, 144/2017 195/2014 193/2014 και 75/2011, διαθέσιμες στην ιστοσελίδα της Αρχής. 3 Βλ. ωσαύτως αιτιολογική σκέψη 63 του ΓΚΠΔ. 4 Βλ. ενδεικτικά ΑΠΔ 2/2020, 23/2020, 16/2017, 98/2014, 149/2014, 72/2013 και 71/
15. 1 2 6 των δεδοµένων επιθυµεί την άσκηση του εν λόγω δικαιώµατος, κατά τα ανωτέρω, αλλά ούτε και διαμεσολάβηση
17. Επειδή σύμφωνα με το άρθρο 12 ΓΚΠΔ «
18. Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 […] σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση […].
19. Ο υπεύθυνος επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων που προβλέπονται στα άρθρα 15 […]
20. Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. […]
21. Εάν ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων, χωρίς καθυστέρηση και το αργότερο εντός μηνός από την παραλαβή του αιτήματος, για τους λόγους, για τους οποίους δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής.».
22. Επειδή σύμφωνα με το άρθρο 13 του ΓΚΠΔ προβλέπονται τα εξής: «
23. Όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες: α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας, β) τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων, κατά περίπτωση, γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, δ) εάν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο στ), τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο 5 Βλ. ΑΠΔ 16/
24. 7 επεξεργασίας ή από τρίτο, ε) τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, εάν υπάρχουν, στ) κατά περίπτωση, την πρόθεση του υπευθύνου επεξεργασίας να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε τρίτη χώρα ή διεθνή οργανισμό και την ύπαρξη ή την απουσία απόφασης επάρκειας της Επιτροπής ή, όταν πρόκειται για τις διαβιβάσεις που αναφέρονται στο άρθρο 46 ή 47 ή στο άρθρο 49 παράγραφος 1 δεύτερο εδάφιο, αναφορά στις ενδεδειγμένες ή κατάλληλες εγγυήσεις και τα μέσα για να αποκτηθεί αντίγραφό τους ή στο πού διατέθηκαν.
25. Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων τις εξής επιπλέον πληροφορίες που είναι αναγκαίες για την εξασφάλιση θεμιτής και διαφανούς επεξεργασίας: α) το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, β) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για πρόσβαση και διόρθωση ή διαγραφή των δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας που αφορούν το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην επεξεργασία, καθώς και δικαιώματος στη φορητότητα των δεδομένων [...]».
26. Επειδή η πρώτη ως άνω εξεταζόμενη καταγγελία, ανακλήθηκε, κατά τα αναλυτικώς ως άνω λεχθέντα, δεν συντρέχει λόγος περαιτέρω εξέτασης αυτής.
27. Επειδή στη δεύτερη ως άνω συνεξεταζόμενη υπόθεση, η καταγγέλλουσα άσκησε στις 1902-2022 το δικαίωμα πρόσβασης σε ηχογραφημένη συνομιλία που είχε με εκπρόσωπο της καταγγελλόμενης εταιρείας απευθύνοντας στην τελευταία σχετικό μήνυμα ηλεκτρονικού ταχυδρομείου. Ωστόσο, από το ως άνω με αριθ. πρωτ. Γ/ΕΙΣ/7838/09-06-2022 αρχικό υπόμνημα της καταγγελλόμενης εταιρείας δεν προκύπτει αφενός εάν έλαβε χώρα η ηχογράφηση της επίμαχης συνομιλίας που αφορά στην καταγγέλλουσα, αφετέρου εάν και με ποιον τρόπο ανταποκρίθηκε η καταγγελλόμενη στο ανωτέρω ασκηθέν δικαίωμα πρόσβασης. Μάλιστα, η ως άνω απάντηση της καταγγελλόμενης δομείται στον ισχυρισμό περί του ότι δεν είναι δυνατή η ικανοποίηση του επίμαχου δικαιώματος πρόσβασης λόγω παρόδου του τριμήνου για το οποίο και μόνον κρατά στα αρχεία της προσωπικά δεδομένα σύμφωνα με την πολιτική της. Σημειώνεται δε περαιτέρω ότι η καταγγελλόμενη για πρώτη φορά κατά την ακρόαση καθώς και στο μετ’ ακρόαση υποβληθέν με αριθ. πρωτ. Γ/ΕΙΣ/11415/31-10-2022 υπόμνημά της αναφέρει ότι δεν προβαίνει σε ηχογράφηση των συνομιλιών εκπροσώπων της με τους πολίτες κατά τη διενέργεια δημοσκοπικών ερευνών. 8 Κατόπιν των ανωτέρω σημειώνεται ότι εφόσον το επίμαχο δικαίωμα πρόσβασης ασκήθηκε ρητά από την καταγγέλλουσα, η καταγγελλόμενη εταιρεία όφειλε να ανταποκριθεί. Σημειώνεται δε συναφώς ότι και ο σχετικός Διεθνής Κώδικας Δεοντολογίας (ESOMAR/Διεθνές Εμπορικό Επιμελητήριο), ο οποίος δεσμεύει την καταγγελλόμενη εταιρεία δημοσκοπήσεων ως τέτοια, αναφέρει ρητά την υποχρέωση των ερευνητών να αποδέχονται αιτήματα πρόσβασης, μεταξύ άλλων, των υποκειμένων των δεδομένων
28. Επιπλέον, επισημαίνεται ότι κατ’ ορθή ερμηνεία και εφαρμογή της παρ. 1 του άρθρου 15 ΓΚΠΔ ο υπεύθυνος επεξεργασίας δεν απαλλάσσεται από την περί ενημερώσεως υποχρέωσή του έναντι του υποκειμένου των δεδομένων εκ μόνου του λόγου ότι το εκάστοτε επίμαχο δεδομένο δεν υπάρχει σε τηρούμενο από αυτόν αρχείο
29. Επομένως, η καταγγελλόμενη εταιρεία όφειλε να απαντήσει ενημερώνοντας την καταγγέλλουσα είτε έστω και μόνον για το γεγονός ότι δεν διατηρεί πλέον στο αρχείο της αντίγραφο της ζητηθείσας ηχογραφημένης συνομιλίας που την αφορούσε, καθώς, όπως αναφέρει στο πρώτο υπόμνημά της και σύμφωνα με την επικαλούμενη από αυτή πολιτική, «τα προσωπικά δεδομένα καταστρέφονται σε κάθε περίπτωση τρεις μήνες μετά την ολοκλήρωση της έρευνας», ήτοι μετά τις 06-10-2021, είτε για το ότι δεν καταγράφει καμία συνομιλία στο πλαίσιο δημοσκοπικών ερευνών, όπως αναφέρει το πρώτον στο ως άνω μετ’ ακρόαση υπόμνημά της. Ο δε ισχυρισμός της καταγγελλομένης με τον οποίο απλώς πιθανολογείται η κατάληξη του ηλεκτρονικού μηνύματος της καταγγέλλουσας, με το οποίο άσκησε το επίμαχο δικαίωμα πρόσβασης, στο φάκελο της ανεπιθύμητης εταιρικής αλληλογραφίας, ως αιτία για την οποία ουδέποτε έλαβαν γνώση αυτού, δεν την απαλλάσσει από την ως άνω υποχρέωσή της να απαντήσει στην καταγγέλλουσα επί του ως άνω αιτήματός της, με το οποίο άσκησε το δικαίωμα πρόσβασης. Σημειώνεται, επίσης, ότι από τη διαθέσιμη στην ιστοσελίδα της καταγγελλομένης πολιτική της περί της ασφαλούς επεξεργασίας των προσωπικών δεδομένων, δεν προκύπτει με σαφήνεια για τα υποκείμενα των δεδομένων με ποιον τρόπο δύνανται να ασκούν ως τέτοια τα δικαιώματά τους ενώπιον της καταγγελλομένης, ενώ δεν προκύπτει κατά τρόπο αναλυτικό και ακριβή ποια προσωπικά δεδομένα συλλέγονται από τα υποκείμενα των δεδομένων και σε ποιες περιπτώσεις. Στη συγκεκριμένη δε περίπτωση, δεν Βλ. ESOMAR/International Chamber of Commerce, International Code on Market, Opinion and Social Research and Data Analytics, article 4 (b), διαθέσιμο: https://iccwbo.org/content/uploads/sites/3/2016/12/ICC-ESOMARInternational-Code-on-Market-Opinion-Social-Research-and-Data-Analytics.pdf) . 7 Βλ. ΣτΕ 2627/2017, σκ.
30. Βλ. συναφώς και τις με αριθ. 61/2021, 2/2020, σκ. 1 και 43/2019 Αποφάσεις της Αρχής. 6 9 προκύπτει ότι η καταγγελλόμενη ανταποκρίθηκε καθ’ οιονδήποτε τρόπο επί του ως άνω ασκηθέντος δικαιώματος πρόσβασης και δη εντός της προβλεπόμενης στο άρθρο 12 παρ. 3 του ΓΚΠΔ προθεσμίας, ενώ δεν φαίνεται να αιτιολόγησε στην καταγγέλλουσα εντός της προθεσμίας του άρθρου 12 παρ. 4 του ΓΚΠΔ, ήτοι εντός ενός μήνα από την παραλαβή του σχετικού αιτήματος, για τους λόγους για τους οποίους δεν ενήργησε. Επιπλέον, δεν προκύπτει ότι έχει λάβει τα κατάλληλα μέτρα, ώστε να επεξεργάζεται και να ικανοποιεί τα σχετικά αιτήματα των υποκειμένων των δεδομένων με τον προσήκοντα τρόπο και εντός των προβλεπόμενων στο άρθρο 12 παρ. 3 ΓΚΠΔ προθεσμιών. Επομένως, στοιχειοθετείται παραβίαση των διατάξεων των άρθρων 15 και 12 παρ. 1, 3 και 4 του ΓΚΠΔ, ιδίως δε ενόψει του ότι δεν προκύπτει εκ των στοιχείων του φακέλου να συντρέχουν οι εξαιρέσεις από την ικανοποίηση του δικαιώματος πρόσβασης, όπως αυτές αναφέρονται στο άρθρο 33 του ν. 4624/
32. Επειδή διαπιστώνεται η μη ικανοποίηση του δικαιώματος πρόσβασης και πάντως δεν προκύπτει η δικαιολογημένη, κατά τα προδιαλαμβανόμενα, μη ικανοποίηση αυτού, ή καθυστερημένη εκπλήρωση αυτού και δη εντός των εκ του ΓΚΠΔ προβλεπόμενων προθεσμιών, και ως εκ τούτου παρέπεται ότι έχει παραβιαστεί το άρθρο 15 του ΓΚΠΔ σε συνδυασμό με τη διάταξη του άρθρου 12 παρ. 1, 3 και 4 ΓΚΠΔ. Παρά δε την παρέμβαση της Αρχής που επελήφθη της επίμαχης καταγγελίας και δη περί τους πέντε μήνες αργότερα, η καταγγελλόμενη εταιρεία δεν μερίμνησε όπως ενημερώσει συναφώς την καταγγέλλουσα, έστω και μετά την το πρώτον διαβίβαση της υπό εξέταση καταγγελίας σε αυτή με το με αριθ. πρωτ. Γ/ΕΞΕ/1236/24-05-2022 έγγραφο της Αρχής
33. Περαιτέρω, διαπιστώνεται ότι η καταγγελλόμενη εταιρεία δεν έχει καταστρώσει με τρόπο σαφή για τα υποκείμενα των δεδομένων κάποια συγκεκριμένη διαδικασία για τον τρόπο άσκησης των δικαιωμάτων τους, ούτε όμως και συγκεκριμένη διαδικασία για την εκ μέρους της ίδιας της εταιρείας αποτελεσματική και έγκαιρη διαχείριση των δικαιωμάτων των υποκειμένων των δεδομένων με τη λήψη των κατάλληλων οργανωτικών και τεχνικών μέτρων ασφαλείας, όπου καθίσταται απαραίτητο.
34. Σύμφωνα με τον ΓΚΠΔ (Αιτ. Σκ. 148) προκειμένου να ενισχυθεί η επιβολή των κανόνων του παρόντος Κανονισμού, κυρώσεις, συμπεριλαμβανομένων των διοικητικών προστίμων, θα πρέπει να επιβάλλονται για κάθε παράβαση του παρόντος Κανονισμού, επιπρόσθετα ή αντί 8 Πρβλ. ΑΠΔ 37/2015 και 71/2015, ιδίως σκ.
35. Βλ. και ΑΠΔ 26/
36. 10 των κατάλληλων μέτρων που επιβάλλονται από την εποπτική αρχή σύμφωνα με τον παρόντα Κανονισμό.
37. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ και 15 παρ. 4 του ν. 4624/2019 διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις.
38. Η Αρχή λαμβάνει υπόψη ότι οι επιπτώσεις από την παραβίαση των ως άνω διατάξεων των άρθρων 12 και 15 του ΓΚΠΔ είναι ήσσονος σημασίας, ότι η καταγγελλόμενη εταιρεία δεν αποκόμισε κάποιο όφελος από αυτή, ότι δεν διαπιστώθηκε η τέλεση σχετικής προηγούμενης παράβασης από την αυτή καταγγελλόμενη ως υπεύθυνη επεξεργασίας.
39. Βάσει των ανωτέρω, η Αρχή κρίνει ομόφωνα ότι, σύμφωνα με το άρθρο 15 σε συνδυασμό με το άρθρο 12 παρ. 1, 3 και 4 του ΓΚΠΔ, συντρέχουν οι προϋποθέσεις άσκησης προς τον υπεύθυνο επεξεργασίας των διορθωτικών εξουσιών του άρθρου 58 παρ. 2 β΄ του ΓΚΠΔ και του άρθρου 15 παρ. 4 περ. β’ του ν. 4624/2019, οι οποίες κρίνονται ανάλογες με τη βαρύτητα της παράβασης. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή 1) Θέτει στο αρχείο την πρώτη καταγγελία λόγω ανάκλησης αυτής από τον καταγγέλλοντα. 2) Στο πλαίσιο διερεύνησης της δεύτερης καταγγελίας, διαπιστώνει ότι η καταγγελλόμενη μονοπρόσωπη εταιρεία περιορισμένης ευθύνης με την επωνυμία «Οpinion Poll Έρευνες – Δημοσκοπήσεις» παραβίασε το δικαίωμα πρόσβασης της καταγγέλλουσας και της απευθύνει επίπληξη για την ως άνω διαπιστωθείσα παράβαση των άρθρων 15 σε συνδυασμό με το άρθρο 12 παρ. 1, 3 και 4 του ΓΚΠΔ. 3) Δίνει εντολή στην καταγγελλόμενη εταιρεία να ενεργήσει για τη διαμόρφωση, εντός δύο