Προσωρινή διαταγή για αναστολή επεξεργασίας δεδομένων προσωπικού χαρακτήρα

Αθήνα, 14-11-2022 Αριθ. Πρωτ.: 2857 Απόφαση του Προέδρου της Αρχής αριθ. 3/2022 (Μονοπρόσωπο όργανο – Προσωρινή Διαταγή) Ο Πρόεδρος της Αρχής ως μονοπρόσωπο όργανο κατά τα άρθρα 17 παρ. 1 του ν. 4624/2019 (ΦΕΚ Α΄ 137), στο πλαίσιο των αρμοδιοτήτων που προβλέπονται στα άρθρα, 4 παρ. 3 περ. α΄ και 10 παρ. 4 του Κανονισμού Λειτουργίας της Αρχής (ΦΕΚ Β΄879/25.02.2022) και των εξουσιών που προβλέπονται στο άρθρο 15 παρ. 4 περ. γ’ και 8 του ν. 4624/2019 σε συνδυασμό με το άρθρο 58 παρ. 2 στ΄ του Κανονισμού (ΕΕ) 2016/679 (ΓΚΠΔ), εξέτασε την υπόθεση που αναφέρεται κατωτέρω στο ιστορικό της παρούσας απόφασης. Η Αρχή έλαβε υπ’ όψιν της τα παρακάτω:

1. Επειδή με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/11635/09-11-2022 ο Α (εφεξής αιτών) κατέθεσε στην Αρχή αίτηση κατεπείγουσας άσκησης των αρμοδιοτήτων της. Ο αιτών είχε ήδη ενημερώσει την Αρχή, με το υπ΄ αριθμ. πρωτ. Γ/ΕΙΣ/11097/18-10-2022 έγγραφό του κατόπιν του υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/2361/26-09-2022 εγγράφου της Αρχής, για το περιεχόμενο της μηνυτήριας αναφοράς που κατέθεσε στις … στον …, από την οποία προκύπτει ότι έλαβε στον αριθμό του κινητού του τηλεφώνου «…» (πάροχος Cosmote) δύο σύντομα γραπτά μηνύματα (SMS) τα οποία αποσκοπούσαν να τον παραπλανήσουν ώστε να ακολουθήσει υπερσυνδέσμους μέσω των οποίων γίνεται εγκατάσταση κατασκοπευτικού λογισμικού. Τα μηνύματα αυτά εστάλησαν α) τη … και ώρα …, με εμφανιζόμενο αποστολέα τον αριθμό «…» και β) την … και ώρα …, με 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr εμφανιζόμενο αποστολέα τον αριθμό «…». Η Αρχή εξετάζει τόσο την εν λόγω αίτηση όσο και αυτεπάγγελτα την εγκατάσταση λογισμικού σε τερματική συσκευή χρήστη χωρίς συγκατάθεση και τη σχετιζόμενη επεξεργασία δεδομένων προσωπικού χαρακτήρα.
2. Επειδή ο αιτών, στις …, άσκησε αίτημα άσκησης του δικαιώματος πρόσβασης κατά το άρθρο 15 ΓΚΠΔ και του δικαιώματος περιορισμού κατά το άρθρο 18 ΓΚΠΔ προς τους παρόχους υπηρεσιών κινητής τηλεφωνίας COSMOTE - ΚΙΝΗΤΕΣ ΤΗΛΕΠΙΚΟΙΝΩΝΙΕΣ ΜΟΝΟΠΡΟΣΩΠΗ ΑΝΩΝΥΜΟΣ ΕΤΑΙΡΙΑ (Cosmote), WIND ΕΛΛΑΣ ΤΗΛΕΠΙΚΟΙΝΩΝΙΕΣ ΜΟΝΟΠΡΟΣΩΠΗ Α.Ε.Β.Ε. (Wind) και VODAFONE ΠΑΝΑΦΟΝ Ανώνυμη Ελληνική Εταιρία Τηλεπικοινωνιών (Vodafone).
3. Επειδή η Cosmote, εταιρεία πάροχος του αιτούντα, απάντησε ενημερώνοντας ότι τα κρίσιμα δεδομένα έχουν ήδη εξαχθεί και παραδοθεί σε αρμόδιες αρχές και άρα δεν τίθεται θέμα καταστροφής τους, ενώ παρείχε αντίγραφο των δεδομένων που αφορούσαν τα εν λόγω μηνύματα. Ο αιτών αναφέρει ότι η Cosmote περιέλαβε στην απάντησή της μόνο δεδομένα που συγκαταλέγονται στο άρθρο 5 του ν. 3917/2011 και όχι το σύνολο των δεδομένων του και, περαιτέρω, ότι δεν χορηγήθηκε καμία πληροφορία σε σχέση με τον αριθμό του αποστολέα.
4. Επειδή η Wind, εταιρεία πάροχος του αριθμού που εμφανίζεται ως αποστολέας στο α’ μήνυμα απάντησε ενημερώνοντας ότι δεν ανευρέθηκε επικοινωνία από και προς τον αριθμό αυτό.
5. Επειδή η Vodafone, εταιρεία πάροχος του αριθμού που εμφανίζεται ως αποστολέας στο β’ μήνυμα απάντησε ενημερώνοντας ότι ο εν λόγω αριθμός ουδέποτε μέχρι σήμερα έχει ενεργοποιηθεί, και συνεπώς δεν έχουν τύχει επεξεργασίας από την εταιρεία προσωπικά δεδομένα του αιτούντα τα οποία προέρχονται από επικοινωνία με τον αριθμό αυτό.
6. Επειδή κατά την αποστολή και χρήση SMS παράγονται και τυγχάνουν επεξεργασίας δεδομένα κίνησης και θέσης τα οποία, εφόσον αναφέρονται σε φυσικό πρόσωπο, αποτελούν δεδομένα προσωπικού χαρακτήρα, υπό την έννοια του άρθρου 4 παρ. 7 του ΓΚΠΔ και τα οποία τυγχάνουν επεξεργασίας για διαφόρους σκοπούς, μεταξύ των 2 οποίων και η τήρηση για τους σκοπούς που περιγράφονται στο Κεφ. Α’ του ν. 3917/
8. Επειδή αποστολή SMS μπορεί να διενεργηθεί με τρόπο ο οποίος επιτρέπει την τροποποίηση της πληροφορίας του αποστολέα ενός μηνύματος (τεχνική “spoofing”), όπως ιδίως μέσω υπηρεσιών “Gateways”, ενώ μηνύματα SMS μπορεί να εισέλθουν στο δίκτυο ενός παρόχου υπηρεσίας κινητής τηλεφωνίας μέσω διασυνδεδεμένων διεθνών δικτύων. Κατά την εισαγωγή μηνυμάτων SMS στο δίκτυο ενός παρόχου υπηρεσίας κινητής τηλεφωνίας παράγονται επίσης δεδομένα προσωπικού χαρακτήρα τα οποία σχετίζονται με το δίκτυο ή την εφαρμογή προέλευσης του μηνύματος, όπως, ενδεικτικά, αυτά τα οποία είναι απαραίτητα για την πληρωμή διασυνδέσεων ή για την χρέωση υπηρεσιών. Στην προκειμένη περίπτωση, με βάση τις απαντήσεις των παρόχων στα αιτήματα του αιτούντος, είναι προφανές ότι έχει χρησιμοποιηθεί τεχνική “spoofing”, συνεπώς, για τον προσδιορισμό του αποστολέα των μηνυμάτων πρέπει να εξεταστούν, εφόσον τηρούνται, οι πληροφορίες σχετικά με την προέλευση των μηνυμάτων (ενδεικτικά, δίκτυο αποστολής, “Gateway” αποστολής) οι οποίες επίσης αποτελούν δεδομένα προσωπικού χαρακτήρα, καθώς σχετίζονται με τον αριθμό του αιτούντα.
9. Επειδή, σύμφωνα με το άρθρο 6 του ν. 3917/2011 τα τηρούμενα για τους σκοπούς του νόμου αυτού δεδομένα διατηρούνται για χρονικό διάστημα 12 μηνών από την ημερομηνία της επικοινωνίας και καταστρέφονται στο τέλος του χρονικού διαστήματος διατήρησης με αυτοματοποιημένη διαδικασία από τον πάροχο, εκτός από εκείνα στα οποία έχει αποκτηθεί νομίμως πρόσβαση. Συνεπώς, τα δεδομένα που έχουν παραχθεί κατά την αποστολή και τη λήψη των ανωτέρω αναφερόμενων σύντομων γραπτών μηνυμάτων στις … και στις … και τηρούνται για τους σκοπούς του νόμου αυτού, πρέπει να καταστραφούν μετά την πάροδο ενός έτους, μετά την … και την … αντίστοιχα.
10. Επειδή η Αρχή έχει με βάση το άρθρο 15 παρ. 4 περ. γ’ και 8 του ν. 4624/19 σε συνδυασμό με το άρθρο 58 παρ. 2 στ’ ΓΚΠΔ την αρμοδιότητα να εκδώσει 3 αυτεπαγγέλτως προσωρινή διαταγή για άμεσο ολικό ή μερικό, προσωρινό περιορισμό της επεξεργασίας.
11. Επειδή η διαγραφή ή η καταστροφή δεδομένων προσωπικού χαρακτήρα αποτελεί μορφή επεξεργασίας με βάση το άρθρο 4 περ. 2 του ΓΚΠΔ.
12. Επειδή προκειμένου η Αρχή να ασκήσει τις ελεγκτικές της αρμοδιότητες και να διασφαλιστεί η προστασία των δικαιωμάτων του υποκειμένου των δεδομένων παρίσταται αναγκαία η διατήρηση και μη διαγραφή των ανωτέρω δεδομένων προσωπικού χαρακτήρα (δεδομένων κίνησης και δεδομένων θέσης). ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ Διατάσσει τους παρόχους υπηρεσιών ηλεκτρονικής επικοινωνίας WIND ΕΛΛΑΣ ΤΗΛΕΠΙΚΟΙΝΩΝΙΕΣ ΜΟΝΟΠΡΟΣΩΠΗ Α.Ε.Β.Ε., VODAFONE ΠΑΝΑΦΟΝ Ανώνυμη Ελληνική Εταιρία Τηλεπικοινωνιών και COSMOTE - ΚΙΝΗΤΕΣ ΤΗΛΕΠΙΚΟΙΝΩΝΙΕΣ ΜΟΝΟΠΡΟΣΩΠΗ ΑΝΩΝΥΜΟΣ ΕΤΑΙΡΙΑ, όπως αναστείλουν την επεξεργασία της καταστροφής των δεδομένων προσωπικού χαρακτήρα τα οποία σχετίζονται με τους τηλεφωνικούς αριθμούς που αναφέρονται παραπάνω και έχουν παραχθεί ή καταστεί αντικείμενο επεξεργασίας κατά την αποστολή ή τη λήψη των προαναφερθέντων σύντομων γραπτών μηνυμάτων, μέχρι εκδόσεως νέας απόφασης της Αρχής. Ο Πρόεδρος Κωνσταντίνος Μενουδάκος 4