Αθήνα, 11-03-2022 Αριθ. Πρωτ. 655 ΑΠΟΦΑΣΗ 14/2022 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος με τηλεδιάσκεψη την Τρίτη 08-02-2022, μετά από πρόσκληση του Προέδρου της, σε συνέχεια της από 01-12-2021 τακτικής συνεδρίασής της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος και τα τακτικά μέλη Σπυρίδων Βλαχόπουλος, ως εισηγητής, Χαράλαμπος Ανθόπουλος και Κωνσταντίνος Λαμπρινουδάκης. Στη συνεδρίαση παρέστη, με εντολή του Προέδρου, χωρίς δικαίωμα ψήφου, η Ελένη Καπράλου, ειδική επιστήμονας-ελέγκτρια, ως βοηθός εισηγητή. Ως γραμματέας παρέστη η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Διοικητικού Τμήματος. Η Αρχή έλαβε υπόψη τα παρακάτω: Ο Α, κάτοικος [περιοχής Χ], με το με αρ. πρωτ. της Αρχής Γ/ΕΙΣ/5975/20-09-2021 έγγραφό του υπέβαλε στην Αρχή καταγγελία κατά του Δήμου Χίου, για την αποστολή φακέλου αλληλογραφίας (που πιθανότατα αφορά σε δημοτική κλήση), στο εξωτερικό του οποίου αναγράφονται και καθίστανται ορατά από τρίτους περισσότερα προσωπικά δεδομένα, από όσα είναι κατά τους ισχυρισμούς του καταγγέλλοντα αναγκαία για την ταυτοποίησή του ως παραλήπτη και την αποστολή της αλληλογραφίας. Ειδικότερα, όπως προκύπτει από την εν λόγω καταγγελία και το συνημμένο σε αυτήν έγγραφο, ο καταγγέλλων διαμαρτύρεται για το γεγονός ότι έλαβε από τον καταγγελλόμενο αλληλογραφία στον κοινόχρηστο χώρο αλληλογραφίας της πολυκατοικίας όπου διαμένει και ότι στον φάκελο αποστολής εξωτερικά, αναγράφονται ο ΑΦΜ, η Δ.Ο.Υ και ο αριθμός δελτίου ταυτότητάς του, στοιχεία που όπως ισχυρίζεται έγιναν γνωστά σε τρίτους, και των οποίων η χρήση είναι δυνατή για την ταυτοποίησή του. Στα πλαίσια εξέτασης της εν λόγω καταγγελίας η Αρχή με το με αρ. πρωτ. Γ/ΕΞ/2147/2709-2021 έγγραφό της, διαβίβασε την καταγγελία με τα συνημμένα σχετικά έγγραφα προς τον καταγγελλόμενο Δήμο Χίου και την Υπεύθυνη Προστασίας Δεδομένων Β, τους οποίους και κάλεσε όπως εκθέσουν εγγράφως εντός δεκαπέντε
(15)ημερών από τη λήψη του εγγράφου τις απόψεις τους επί των καταγγελλομένων, επισυνάπτοντας στην απάντηση κάθε σχετικό με την υπόθεση στοιχείο και ειδικότερα, όπως κάνουν γνωστά στην Αρχή τα εξής: α) Ποια διαδικασία ακολουθείται από την … Υπηρεσία του Δήμου κατά την αποστολή επιστολών, σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα και ποια διαδικασία ακολουθήθηκε στην περίπτωση του καταγγέλλοντα και β) Ποια είναι τα τεχνικά και οργανωτικά μέτρα που ελήφθησαν εν προκειμένω για την ασφάλεια των δεδομένων από απαγορευμένη διάδοση ή πρόσβαση. Ο καταγγελλόμενος Δήμος απάντησε στο εν λόγω έγγραφο της Αρχής με το με αρ. πρωτ. Γ/ΕΙΣ/6598/13-10-2021 έγγραφό του με θέμα «Απάντηση σε καταγγελία του Α», στο οποίο και ανέφερε ότι κατά τη διαδικασία έκδοσης των ατομικών ειδοποιήσεων με τη χρήση οικονομικού προγράμματος, εκ παραδρομής χρησιμοποιήθηκε λάθος φόρμα εκτύπωσης με αποτέλεσμα την έκδοση και αποστολή της στον κ. Α, καθώς επίσης αποδέχθηκε ότι η εν λόγω ατομική ειδοποίηση αναγράφει στοιχεία όπως τον ΑΦΜ, τον αριθμό δελτίου ταυτότητας και την Δ.Ο.Υ. Περαιτέρω, στο ίδιο ως άνω έγγραφο ο καταγγελλόμενος ισχυρίζεται ότι προφανώς κατά την αποστολή των ειδοποιήσεων και λόγω του μεγάλου όγκου επιστολών αλλά και του μεγάλου φόρτου εργασίας δεν παρατηρήθηκε το λάθος στη συγκεκριμένη επιστολή και ότι πάγια τακτική της … Yπηρεσίας κατά την έκδοση των εν λόγω ειδοποιήσεων είναι να μην εκτυπώνονται τα στοιχεία αυτά, καθώς και ότι στο Δήμο Χίου, τηρούνται τα οργανωτικά και τεχνικά μέτρα που προβλέπονται στο άρθρο 11 του Π.Δ. 75/
- Με βάση τα προαναφερόμενα, οι Α και Δήμος Χίου κλήθηκαν νομίμως από την Αρχή, με τα υπ’ αριθμ. πρωτ. Γ/ΕΞ/2645/22-11-2021 και Γ/ΕΞ/2644/22-11-2021 έγγραφα, αντίστοιχα, σε ακρόαση ενώπιόν της στη συνεδρίαση του Τμήματος την 01-12-2021 , για να δώσουν περαιτέρω διευκρινίσεις και να εκθέσουν διεξοδικά τις απόψεις τους επί των ανωτέρω. Στη συνεδρίαση της 01-12-2021, παρέστησαν νομίμως ο Α αυτοπροσώπως και εκπροσώπησαν τον Δήμο Χίου η Ειρήνη Μονιού, δικηγόρος του Δήμου, με , ο Γ, Προϊστάμενος του του Δήμου Χίου, ο Δ, Προϊστάμενος του Τμήματος , καθώς και η Β, Υπεύθυνη Προστασίας Δεδομένων του Δήμου. Κατά την ακρόαση, οι ως άνω εξέθεσαν προφορικά τις απόψεις τους και ζήτησαν και έλαβαν προθεσμία υποβολής υπομνήματος. Ακολούθως, ο Α και ο Δήμος Χίου κατέθεσαν, εμπροθέσμως, σχετικά υπομνήματα με αριθμ. πρωτ. Αρχής Γ/ΕΙΣ/8180/15-12-2021 και Γ/ΕΙΣ/8139/13-12-2021, αντίστοιχα. Στα εν λόγω υπομνήματα σημειώνονται μεταξύ άλλων, τα ακόλουθα: Αφενός, ο Δήμος Χίου στο υπόμνημά του ισχυρίζεται ότι η εν λόγω εκτύπωση οφείλεται σε παραδρομή (σφάλμα στην εκτύπωση) και δεν είναι η συνήθης πρακτική, είναι δε, η μοναδική περίπτωση, δεδομένου ότι έχουν ληφθεί από τον Δήμο τα απαραίτητα οργανωτικά και τεχνικά μέτρα για την προστασία των προσωπικών δεδομένων των οφειλετών του Δήμου Χίου, καθώς και ότι το λογισμικό των υπολογιστών που φέρει τα στοιχεία αυτά, έχει υποστεί κρυπτογράφηση και έχει εξοπλιστεί με τα κατάλληλα συστήματα antivirus, ενώ πρόσβαση στο αρχείο έχει μόνο ειδικά εξουσιοδοτημένος υπάλληλος του …. Σύμφωνα μάλιστα, με τους ισχυρισμούς του Δήμου, δεν υπήρχε εξαρχής πρόθεση διαβίβασης των προσωπικών δεδομένων σε τρίτο. Ζητά τέλος, να αντιμετωπισθεί με επιείκεια η εν λόγω υπόθεση και να μην επιβληθεί κύρωση εις βάρος του Δήμου, λαμβανομένου υπόψιν ότι επρόκειτο για μια χαμηλού βαθμού παράβαση, που έλαβε χώρα εκ παραδρομής και έθιξε ένα άτομο, ήτοι τον καταγγέλλοντα, ότι η παράβαση δεν έλαβε χώρα από δόλο και δεν λαμβάνει χώρα στις λοιπές περιπτώσεις, όπου τηρείται το καθήκον επιμέλειας που απαιτείται εκ του νόμου, ότι ο βαθμός ευθύνης του υπευθύνου επεξεργασίας είναι ιδιαιτέρως χαμηλός, λαμβάνοντας υπόψη τα τεχνικά και οργανωτικά μέτρα που εφαρμόζει ο Δήμος Χίου δυνάμει των άρθρων 25 και 32, ότι δεν έχει επιβληθεί μέχρι σήμερα διοικητική κύρωση από την Αρχή σε βάρος του Δήμου Χίου, ότι υπήρξε εξαρχής αναγνώριση του σφάλματος και παραδοχή ότι οφείλεται σε παραδρομή, ότι οι κατηγορίες δεδομένων προσωπικού χαρακτήρα που επηρεάζει η παράβαση δεν αφορούν δεδομένα προσωπικού χαρακτήρα των άρθρων 9 και 10 ΓΚΠΔ, καθώς και ότι ο Δήμος ως υπεύθυνος επεξεργασίας δεν αποκόμισε οικονομικό όφελος, ούτε προκάλεσε υλική ζημία στο υποκείμενο των δεδομένων. Αφετέρου δε, ο καταγγέλλων Α αναφέρει στο υπόμνημά του ότι ο καταγγελλόμενος αναγνωρίζει ότι επήλθε παραβίαση, ότι το συγκεκριμένο συμβάν δεν είναι μεμονωμένο, και σχετικά με τα μέτρα πρόληψης που έλαβε ο Δήμος αναφέρει ότι ο σχεδιασμός για την προστασία δεδομένων προσωπικού χαρακτήρα επιβάλλει την ύπαρξη ξεχωριστής φόρμας, με απομονωμένα τα απολύτως απαραίτητα στοιχεία για όλες τις επιστολές που αποστέλλονται, μέτρο κατάλληλο και όχι υπερβολικά επαχθές για τον Δήμο. Τέλος, επικαλείται τη σοβαρότητα της εν λόγω παραβίασης, ισχυριζόμενος ότι τα στοιχεία που έγιναν ορατά σε τρίτους μπορούν να χρησιμοποιηθούν για την ταυτοποίησή του π.χ. σε συναλλαγές με τραπεζικά ιδρύματα, χωρίς ωστόσο, να επικαλείται ότι έχει πράγματι υποστεί ζημία ή βλάβη. Η Αρχή μετά από εξέταση της παραπάνω καταγγελίας, των λοιπών στοιχείων του φακέλου, την ακρόαση των εμπλεκομένων μερών, και αφού άκουσε την πρόταση του εισηγητή, μετά και από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ 1.Επειδή, κατά το ά. 2 παρ. 1 του ΓΚΠΔ «Ο παρών Κανονισμός εφαρμόζεται στην, εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης», ενώ, σύμφωνα με το άρθρο 4 παρ. 1 του ΓΚΠΔ ως επεξεργασία δεδομένων προσωπικού χαρακτήρα νοείται «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή». Περαιτέρω, στο ά. 5 παρ. 1 περ. β΄, γ΄ και στ΄ του ΓΚΠΔ ορίζεται ότι: «Τα δεδομένα προσωπικού χαρακτήρα: (…) β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς («περιορισμός του σκοπού») γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων») (…) στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)». Επειδή με τις διατάξεις αυτές καθιερώνονται ως θεμελιώδεις προϋποθέσεις για τη νομιμότητα κάθε επεξεργασίας δεδομένων προσωπικού χαρακτήρα, καθώς και για τη νομιμότητα της σύστασης και λειτουργίας κάθε αρχείου, οι αρχές του σκοπού της επεξεργασίας και της αναλογικότητας των δεδομένων σε σχέση πάντα με τον σκοπό της επεξεργασίας. Επειδή, κάθε επεξεργασία προσωπικών δεδομένων, που γίνεται πέραν του επιδιωκόμενου σκοπού ή η οποία δεν είναι πρόσφορη και αναγκαία για την επίτευξή του, δεν είναι νόμιμη. Επειδή, τα δεδομένα προσωπικού χαρακτήρα για να τύχουν νόμιμης επεξεργασίας θα πρέπει να είναι συναφή, πρόσφορα και όχι περισσότερα από όσα κάθε φορά απαιτείται ενόψει του σκοπού της επεξεργασίας. Επειδή, ο υπεύθυνος επεξεργασίας οφείλει να λαμβάνει τα οργανωτικά και τεχνικά μέτρα για την ασφάλεια των δεδομένων από απαγορευμένη διάδοση ή πρόσβαση (ά. 25 και 32 ΓΚΠΔ). Επειδή, σύμφωνα με το άρθρο 58 παρ. 2 του ΓΚΠΔ «Κάθε αρχή ελέγχου διαθέτει τις ακόλουθες διορθωτικές εξουσίες: (…) β) να απευθύνει επιπλήξεις στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία όταν πράξεις επεξεργασίας έχουν παραβεί διατάξεις του παρόντος κανονισμού (…)».
- Επειδή, στην προκειμένη περίπτωση προέκυψαν τα εξής: Η … Υπηρεσία του Δήμου Χίου απέστειλε στον καταγγέλλοντα επιστολή, που τηρεί ως υπεύθυνος επεξεργασίας στο αρχείο του, σε φάκελο αλληλογραφίας, κατά τρόπο που δεν πληροί τις προϋποθέσεις της νόμιμης επεξεργασίας που ορίζει ο ΓΚΠΔ. Ειδικότερα, στον φάκελο αποστολής εκτός από το ονοματεπώνυμο και τη διεύθυνση του καταγγέλλοντα-παραλήπτη αναγράφονται και ο ΑΦΜ, η Δ.Ο.Υ και ο αριθμός δελτίου ταυτότητάς του, με αποτέλεσμα να έχουν δυνατότητα πρόσβασης σε αυτά παρανόμως και τρίτοι (π.χ. ταχυδρόμος, γείτονες κ.λπ.). Επειδή τα ανωτέρω –πλην του ονοματεπωνύμου και της ταχυδρομικής διεύθυνσηςαναφερόμενα προσωπικά στοιχεία του καταγγέλλοντα που εμφανίζονται στον φάκελο αποστολής δεν είναι συναφή, πρόσφορα και ανάλογα του σκοπού που εξυπηρετεί η συγκεκριμένη επεξεργασία. Η … Υπηρεσία του Δήμου Χίου ως υπεύθυνος επεξεργασίας των προσωπικών στοιχείων του εκάστοτε οφειλέτη του, θα έπρεπε να αποστείλει σε αυτόν την … βεβαίωση σε φάκελο αλληλογραφίας, στο εξωτερικό του οποίου και στο διαφανές- ορατό σε όλους- παράθυρο, θα αναγράφονται μόνον τα στοιχεία που είναι απαραίτητα για την αποστολή του φακέλου στον παραλήπτη και ταυτοποίηση αυτού, ήτοι όνομα, επώνυμο και διεύθυνση. Περαιτέρω, επειδή, όπως προκύπτει από τα ανωτέρω και έχει ήδη κρίνει η Αρχή σε προηγούμενη απόφασή της (με αρ. 47/2009) επιτρεπτά στοιχεία για την αποστολή φακέλου είναι αναντίρρητα μόνο το ονοματεπώνυμο και η διεύθυνση του παραλήπτη. Επειδή, με τον συγκεκριμένο τρόπο αποστολής παραβιάζονται οι διατάξεις του άρθρου 5 παρ. 1, περ. β΄, γ΄ και στ΄ του ΓΚΠΔ περί υποχρεώσεως τηρήσεως της αρχής του περιορισμού του σκοπού, της ελαχιστοποίησης των δεδομένων και της ακεραιότητας και εμπιστευτικότητας, και γνωστοποιούνται με τον τρόπο αυτόν προσωπικά δεδομένα των οφειλετών σε τρίτα μη εξουσιοδοτημένα πρόσωπα.
- Επειδή, έτι περαιτέρω, οι εκπρόσωποι του Δήμου διαβεβαίωσαν την Αρχή ότι η εν λόγω παραβίαση συνιστά μεμονωμένη περίπτωση παραβίασης, και δεν είναι η συνήθης πρακτική να αποστέλλονται στους οφειλέτες οι … βεβαιώσεις κατά αυτό τον τρόπο, και μάλιστα ότι στους φακέλους αποστολής κατά πάγια τακτική του Δήμου αναγράφονται μόνον το όνομα, το επώνυμο και η ταχυδρομική διεύθυνση του οφειλέτη και κανένα άλλο στοιχείο. Επειδή μετά και από αυτεπάγγελτο έλεγχο της Αρχής, δεν έχει υποβληθεί άλλη καταγγελία κατά του Δήμου Χίου μέχρι σήμερα. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή απευθύνει στον καταγγελλόμενο υπεύθυνο επεξεργασίας Δήμο Χίου, επίπληξη για τις παραβάσεις του άρθρου 5 παρ. 1, περ. β΄, γ΄ και στ΄ του ΓΚΠΔ. Ο Αναπληρωτής Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου