Τηλεφωνικές κλήσεις για προώθηση προϊόντων ενέργειας – Παραβάσεις της νομοθεσίας προστασίας δεδομένων

Αθήνα, 31-12-2025 Αριθ. Πρωτ.: 4644 ΑΠΟΦΑΣΗ 44/2025 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του Προέδρου της, σε συνεδρίαση μέσω τηλεδιάσκεψης την 03-06-2025. Παρέστησαν οι Κωνσταντίνος Μενουδάκος, Πρόεδρος της Αρχής και τα τακτικά μέλη Κωνσταντίνος Λαμπρινουδάκης, ως εισηγητής, Χαράλαμπος Ανθόπουλος, Χρήστος Καλλονιάτης, Γρηγόριος Τσόλιας, και το αναπληρωματικό μέλος Χρήστος Παπαθεοδώρου, σε αντικατάσταση του τακτικού μέλους Σπυρίδωνα Βλαχόπουλου οποίος, αν και εκλήθη νομίμως, δεν παρέστη λόγω κωλύματος. Δεν παρέστησαν επίσης το τακτικό μέλος Αικατερίνη Ηλιάδου καθώς και το αναπληρωματικό μέλος Νικόλαος Φαλδαμής, αν και εκλήθησαν νομίμως εγγράφως, λόγω κωλύματος. Στη συνεδρίαση, χωρίς δικαίωμα ψήφου, παρέστησαν, με εντολή του Προέδρου, οι ειδικοί επιστήμονες Γεωργία Παναγοπούλου και Γεώργιος Ρουσόπουλος, ως βοηθοί εισηγητή, και η Γεωργία Παλαιολόγου, υπάλληλος του Τμήματος Διοικητικών Υποθέσεων, ως γραμματέας. H Αρχή έλαβε υπόψη τα παρακάτω: Η Αρχή έχει δεχθεί πολυάριθμες καταγγελίες από συνδρομητές τηλεφωνίας οι οποίες σχετίζονται με λήψη τηλεφωνικών κλήσεων για σκοπούς προώθησης προϊόντων και υπηρεσιών της εταιρείας ΖΕΝΙΘ - Εταιρεία Προμήθειας Αερίου Θεσσαλονίκης Θεσσαλίας Α.Ε (εφεξής «ΖΕΝΙΘ»). Στις υποθέσεις αυτές, η Αρχή διαβιβάζει κάθε καταγγελία στην ΖΕΝΙΘ, εντός σύντομου χρονικού διαστήματος, ώστε η εταιρεία να διερευνήσει τα καταγγελλόμενα και να εκθέσει τις απόψεις της. Κατόπιν, η Αρχή εξετάζει τις απόψεις της ΖΕΝΙΘ. Στις περιπτώσεις που η καταγγελία δεν επιβεβαιώνεται (π.χ. όταν δεν υπάρχει εγγραφή στο Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 1 Μητρώο του άρθρου 11 παρ. 2 του ν. 3471/2006 -εφεξής και Μητρώο- ή δεν έχει ασκήσει ο καταγγέλλων εναντίωση με βάση το άρθρο 21 του ΓΚΠΔ ή δεν προκύπτει ότι εκλήθη για λογαριασμό της ΖΕΝΙΘ ή έχει δώσει συγκατάθεση), η Αρχή απορρίπτει την καταγγελία, απαντώντας στον καταγγέλλοντα. Περιπτώσεις ολιγάριθμων περιστατικών που αφορούν σε μεμονωμένες αστοχίες για λογαριασμό του εκτελούντα, επίσης ολοκληρώνονται με έγγραφο. Για το ίδιο αντικείμενο έχει εκδοθεί η απόφαση 52/2021. Η Αρχή με την απόφαση αυτή επέβαλε στην εκτελούσα την επεξεργασία One Way Private Company διοικητικό χρηματικό πρόστιμο 30.000 ευρώ για παραβίαση του άρθρου 32 παρ. 2 και 4 του ΓΚΠΔ σε συνδυασμό με το άρθρο 28 παρ. 3, περ. γ του ΓΚΠΔ και στον υπεύθυνο επεξεργασίας ZENΙΘ την κύρωση της επίπληξης για παραβίαση του άρθρου 28 παρ. 3 περ. γ του ΓΚΠΔ. Στην παρούσα υπόθεση συνεξετάζονται ζητήματα συμμόρφωσης που έχουν προκύψει μετά την εξέταση καταγγελιών που υπεβλήθησαν μεταγενέστερα της απόφασης 52/2021. Μετά τη συμπλήρωση των φακέλων των καταγγελιών, και αφού ελήφθησαν υπόψη οι απόψεις της ΖΕΝΙΘ και των εκτελούντων την επεξεργασία επί κάθε μιας από τις καταγγελίες, αυτές κατηγοριοποιήθηκαν όπως εμφανίζονται στο Παράρτημα της παρούσης. Στους πίνακες του Παραρτήματος, εκτός από τα σχετικά έγγραφα αναφέρεται κωδικοποιημένα το ζήτημα που εντοπίστηκε βάσει της απάντησης της εκτελούσας την επεξεργασία εταιρείας. Για τις καταγγελίες όλων των κατηγοριών, οι απαντήσεις της ΖΕΝΙΘ περιλαμβάνουν, μεταξύ άλλων, τα παρακάτω σημεία: Η ΖΕΝΙΘ πραγματοποιεί, τόσο η ίδια, όσο και μέσω εξωτερικών συνεργατών, τηλεφωνικές κλήσεις προς υποψήφιους πελάτες, προκειμένου να τους ενημερώσει για νέα προϊόντα της, τυχόν εκπτώσεις και προνόμια. Η ΖΕΝΙΘ επέχει θέση υπεύθυνου επεξεργασίας, οι δε εξωτερικοί συνεργάτες (call centers) επέχουν θέση εκτελούντων την επεξεργασία των προσωπικών δεδομένων των υποκειμένων για λογαριασμό της κατά την άσκηση της ως άνω δραστηριότητας. Η ΖΕΝΙΘ κατά την επιλογή των συνεργατών της, οι οποίοι τη συνδράμουν σε ενέργειες προώθησης προϊόντων και υπηρεσιών, χρησιμοποιεί αυστηρά κριτήρια, δεσμεύει τον Εκτελούντα την Επεξεργασία με ιδιαίτερη σύμβαση (DPA), όπως απαιτείται από το άρθρο 28 του ΓΚΠΔ, διενεργεί δε τακτικά ελέγχους/επιθεωρήσεις, προκειμένου να διαπιστώσει αν πράγματι τηρούνται οι προϋποθέσεις που προβλέπονται στη σχετική νομοθεσία. Επιπρόσθετα, η ΖΕΝΙΘ ακολουθεί συστηματικά διαδικασίες για τον Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 2 περιοδικό έλεγχο σε εκτελούσες επεξεργασία εταιρείες call center για λογαριασμό της, […] στα πλαίσια των σχετικών διατάξεων του άρθρου 28 του ΓΚΠΔ, ο οποίος έλεγχος εστιάζει στην τήρηση των υποχρεώσεών τους τόσο από την κείμενη νομοθεσία προστασίας προσωπικών δεδομένων όσο και από την υπογεγραμμένη με την Εταιρεία σύμβαση. Συγκεκριμένα, σχετικά με τους ελέγχους: Για την One Way Private Company, αναφέρεται στο με αρ. πρωτ. Γ/ΕΙΣ/1797/04-032025 έγγραφο της ΖΕΝΙΘ ότι «Ο νόμιμος εκπρόσωπος της συνεργάτιδας εταιρείας υπέγραψε την από 01-04-2019 λίστα ελέγχου συμμόρφωσης με τον Κανονισμό (ΕΕ) 2016/679 και με τον ν. 3471/06 («Call Centers Compliance Check List»). Περαιτέρω, κλιμάκιο της Εταιρείας μας, με τη συνδρομή του Υπευθύνου Προστασίας Δεδομένων αυτής, είχε μεταβεί στις εγκαταστάσεις της ως άνω εταιρείας την 13-02-2020, την 23-03-2021, την 17-06-2022, την 19-05-23 καθώς και την 05-04-2024 και διεξήγαγε επιτόπιο έλεγχο συμμόρφωσης με την κείμενη νομοθεσία και τη σύμβαση, τα αποτελέσματα του οποίου ήταν θετικά.» Για την Σ&Κ Εισαγωγική, αναφέρεται στο με αρ. πρωτ. Γ/ΕΙΣ/1797/04-03-2025 έγγραφο της ΖΕΝΙΘ ότι «Ο νόμιμος εκπρόσωπος της συνεργάτιδας εταιρείας υπέγραψε την από 06-03-2019 λίστα ελέγχου συμμόρφωσης με τον Κανονισμό (ΕΕ) 2016/679 και με τον ν. 3471/06 («Call Centers Compliance Check List»). Περαιτέρω, κλιμάκιο της Εταιρείας μας, με τη συνδρομή του Υπευθύνου Προστασίας Δεδομένων αυτής, μετέβη στις εγκαταστάσεις της συνεργάτιδας εταιρείας την 09-03-2020, 23-03-2021 καθώς και στις 05.10.23 και διεξήγαγε επιτόπιο έλεγχο συμμόρφωσης με την κείμενη νομοθεσία και τη σύμβαση, τα αποτελέσματα του οποίου ήταν θετικά.» Για την RevmaPlus, αναφέρεται στο με αρ. πρωτ. Γ/ΕΙΣ/2975/10-04-2025 έγγραφο της ΖΕΝΙΘ ότι «O νόμιμος εκπρόσωπος της συνεργάτιδας εταιρείας υπέγραψε την από 02-012019 λίστα ελέγχου συμμόρφωσης με τον Κανονισμό (ΕΕ) 2016/679 και με τον ν. 3471/06 («Call Centers Compliance Check List»). Περαιτέρω, κλιμάκιο της Εταιρείας μας, με τη συνδρομή του Υπευθύνου Προστασίας Δεδομένων αυτής, μετέβη στις εγκαταστάσεις της συνεργάτιδας εταιρείας την 28-02-2020, 10-05-2021 και 23-08-23 και διεξήγαγε επιτόπιο έλεγχο συμμόρφωσης με την κείμενη νομοθεσία και τη σύμβαση, τα αποτελέσματα του οποίου ήταν θετικά.» Σχετικά με λοιπά μέτρα συμμόρφωσης, αναφέρεται στα απαντητικά έγγραφα ότι η ΖΕΝΙΘ έχει προβεί σε εκτέλεση εκτίμησης αντικτύπου προστασίας προσωπικών δεδομένων για την ειδικότερη επεξεργασία της διαβίβασης δεδομένων πελατών της σε call center, με Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 3 σκοπό, μολονότι δεν πληρούνται τα κριτήρια υψηλού ρίσκου για την εν λόγω επεξεργασία, να σχεδιάσει και να υλοποιήσει τη διαβίβαση αυτή με τον πλέον κατάλληλο για τα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων τρόπο. Η ΖΕΝΙΘ έχει, μεταξύ άλλων, (α) ορίσει Υπεύθυνο Προστασίας Δεδομένων, (β) καθορίσει κατάλληλο οργανωτικό πλαίσιο και εταιρικές πολιτικές προστασίας προσωπικών δεδομένων, (γ) θέσει σε εφαρμογή τα προβλεπόμενα εργαλεία λογοδοσίας και διαχείρισης ρίσκου, όπως αρχείο δραστηριοτήτων επεξεργασίας του άρθρου 30 του ΓΚΠΔ και εκτιμήσεις αντικτύπου προστασίας προσωπικών δεδομένων, και (δ) καθορίσει συμβατικούς όρους και διαδικασίες ελέγχου για την εναρμόνιση τρίτων συνεργάτιδων εταιρειών (“call centers”) κατά την εκτέλεση επεξεργασίας για λογαριασμό της. Έχει δώσει ρητές κατευθυντήριες οδηγίες στους υπαλλήλους της για τον τρόπο χειρισμού αιτημάτων που σχετίζονται με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα τόσο των πελατών της όσο και των υποψήφιων πελατών, έχει ήδη πραγματοποιήσει και εξακολουθεί ανά τακτά χρονικά διαστήματα να οργανώνει σεμινάρια επιμόρφωσης των υπαλλήλων αυτής και των εργαζομένων των συνεργατών της με σκοπό την εξοικείωσή τους με το νέο νομοθετικό πλαίσιο περί προστασίας προσωπικών δεδομένων παράσχει δε τα κατάλληλα εργαλεία, αρχεία και οδηγίες ώστε να αποτρέπονται η μη νόμιμες κλήσεις. Αναφορικά με τα ζητήματα που ανακύπτουν, η κατηγοριοποίηση των οποίων έγινε από την Αρχή, με σκοπό την από κοινού εξέτασή τους: Α1. Στις απαντήσεις της προς τη ΖΕΝΙΘ, για τις περιπτώσεις που κωδικοποιούνται στον σχετικό πίνακα της Κατηγορίας Α ως «χειροκίνητες», όπως αυτές διαβιβάστηκαν στην Αρχή (βλ. ενδεικτικά έγγραφα με αρ. πρωτ. Γ/ΕΙΣ/5926/15-07-2024, Γ/ΕΙΣ/311/14-01-2025, Γ/ΕΙΣ/1797/04-03-2025), η εκτελούσα την επεξεργασία One Way Private Company αναφέρει ότι όντως εκλήθησαν αριθμοί που ήταν ενταγμένοι στο μητρώο 11, με την εξής αιτιολόγηση: «Οι κλήσεις πραγματοποιήθηκαν από τον επιφορτισμένο υπάλληλο χειροκίνητα και όχι μέσω του dialer της Εταιρείας μας προκειμένου να εξαιρεθεί πάραυτα ο τηλεφωνικός αριθμός του καταγγέλλοντα. Με δεδομένο ότι και οι υπάλληλοί μας ελέγχουν το Μητρώο του αρ. 11 και κατά την πραγματοποίηση χειροκίνητων τηλεφωνικών κλήσεων, πιθανολογείται σφόδρα ότι ο εν λόγω υπάλληλος έσφαλε κατ’ αρχήν κατά την πληκτρολόγηση του τηλεφωνικού αριθμού που επιθυμούσε να καλέσει με αποτέλεσμα να καλέσει εκ παραδρομής τον ως άνω αριθμό.» Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 4 Α2. Στις απαντήσεις της προς τη ΖΕΝΙΘ, για τις περιπτώσεις που κωδικοποιούνται στον σχετικό πίνακα της Κατηγορίας Α ως «Πρώην πελάτης, έρευνα αγοράς», όπως αυτές διαβιβάστηκαν στην Αρχή (βλ. ενδεικτικά έγγραφα με αρ. πρωτ. Γ/ΕΙΣ/3236/08-04-2024, Γ/ΕΙΣ/8828/12-12-2023, Γ/ΕΙΣ/4835/29-06-2023) η εκτελούσα την επεξεργασία One Way Private Company αναφέρει ότι εκλήθησαν αριθμοί που ήταν ενταγμένοι στο μητρώο 11, με την εξής αιτιολόγηση: «Ο καταγγέλλων ήταν πελάτης της εταιρείας ΖΕΝΙΘ που είχε αποχωρήσει από το δίκτυο της τελευταίας και είχε πάει σε άλλον πάροχο. Με το δεδομένο αυτό, η Εταιρεία μας προχώρησε στις προαναφερόμενες κλήσεις (η πλειονότητα των οποίων είναι αναπάντητες) στο πλαίσιο της έρευνας αγοράς προκειμένου να διαπιστωθεί για ποιον λόγο αποχώρησε ο συγκεκριμένος πελάτης από το δίκτυο της ΖΕΝΙΘ, και συγκεκριμένα προκειμένου να διαπιστωθεί εάν είχε κάποιο παράπονο από τη ΖΕΝΙΘ ή άλλο τί το οποίο τον δυσαρέστησε και προκειμένου να ενημερωθεί για τις νέες τιμές τις Εταιρείας οι οποίες κατά το χρονικό εκείνο διάστημα άλλαζαν σε μηνιαία βάση, χωρίς κατά την επικοινωνία αυτή να υποκρύπτεται έστω και στο ελάχιστο προωθητική ενέργεια από την πλευρά της Εταιρείας μας για λογαριασμό της εταιρείας ΖΕΝΙΘ. Αυτός ήταν και ο λόγος για τον οποίον πραγματοποιήθηκαν οι εν θέματι κλήσεις. Εξάλλου, σημειώνεται ότι ο ως άνω τηλεφωνικός αριθμός του καταγγέλλοντος (και άλλα στοιχεία του) περιλαμβάνεται σε «ζεστή λίστα» με αποχωρήσαντες πελάτες που μας διαβίβασε η εταιρεία ΖΕΝΙΘ προκειμένου να προβούμε στις προαναφερόμενες τηλεφωνικές κλήσεις.» Η άποψη της ΖΕΝΙΘ, ως προς την τεκμηρίωση της νομικής βάσης τέτοιων κλήσεων ήταν η ακόλουθη: «Η από μέρους μας επεξεργασία προσωπικών δεδομένων κατά την εκτέλεση της ερευνώμενης τηλεφωνικής κλήσης έλαβε χώρα για τον σκοπό της διερεύνησης της ικανοποίησης του πελάτη από τις υπηρεσίες μας, των λόγων καταγγελίας της Σύμβασης και, κατ’ επέκταση, της βελτίωσης των παρεχόμενων από την Εταιρεία μας υπηρεσιών. Συγκεκριμένα, μετά την καταγγελία του πελάτη μας και την μετάβαση σε έτερο Προμηθευτή προέκυψε η ανάγκη για τη διερεύνηση του βαθμού ικανοποίησης ή μη αυτού από τις υπηρεσίες μας και των αιτιών της καταγγελίας της μεταξύ μας Σύμβασης. Συνεπώς, ο εν λόγω σκοπός επεξεργασίας πληροί τους όρους του νόμιμου, ρητού και καθορισμένου, που προβλέπονται στο άρθρο 5 § 1 (β) του ΓΚΠΔ. Η ερευνώμενη επεξεργασία προσωπικών Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 5 δεδομένων στηρίχθηκε στην επιδίωξη του εννόμου συμφέροντος της Εταιρείας μας κατ’ άρθρο 6 § 1 (στ) του ΓΚΠΔ για την βελτίωση των παρεχόμενων υπηρεσιών μας προς τους πελάτες μας. Συγκεκριμένα, η εν λόγω τηλεφωνική κλήση ήταν αναγκαία, ώστε η Εταιρεία μας να λάβει γνώση της αιτίας για την οποία ο πελάτης αναζήτησε άλλον Προμηθευτή έναντι ημών και, κατόπιν, να προβεί σε άρση της αιτίας αυτής, βελτιώνοντας αντιστοίχως τις υπηρεσίες της. Λόγω της φύσης της υπηρεσίας μας ως υπηρεσίας κοινής ωφέλειας, πέρα από την εταιρεία μας, σημαντικό όφελος από την βελτίωση των υπηρεσιών μας μέσα από την υπό εξέταση επεξεργασία αντλούν τόσο οι υφιστάμενοι πελάτες μας όσο και ευρύτερα το κοινωνικό σύνολο. Τέλος, η τηλεφωνική κλήση προς τον αποχωρούντα πελάτη μας σχετίζεται άμεσα με την καταγγελθείσα Σύμβαση και, επομένως, η επεξεργασία των δεδομένων του με σκοπό την βελτίωση των υπηρεσιών μας περιλαμβάνεται στις εύλογες προσδοκίες αυτού. Ως προς την Ενημέρωση του Καταγγέλλοντος για την Ερευνώμενη Επεξεργασία για την επίμαχη δραστηριότητα επεξεργασίας προσωπικών δεδομένων, τον σκοπό αλλά και την έννομη βάση αυτής το Υποκείμενο των δεδομένων, και ήδη καταγγέλλουσα, είχε ενημερωθεί σχετικά δυνάμει της … (βλ. σχετ. …), καθώς και μέσω της Πολιτικής απορρήτου η οποία είναι αναρτημένη στο website της εταιρείας https://zenith.gr/el/privacy/. Συγκεκριμένα, η καταγγέλλουσα ενημερώθηκε ότι τα προσωπικά της δεδομένα ενδέχεται να τυγχάνουν επεξεργασίας για τον σκοπό της διεξαγωγής έρευνας σχετικά με την ποιότητα της παροχής των υπηρεσιών της εταιρείας, ενώ της παρασχέθηκαν οι προβλεπόμενες από τον νόμο κατηγορίες πληροφοριών για την επεξεργασία αυτή. Ως προς την Συνολική Πρακτική της Εταιρείας στο Θέμα, η Εταιρεία ενδέχεται να προβαίνει σε αντίστοιχες κλήσεις προς πελάτες της, που υποβάλλουν αιτήματα αλλαγής Προμηθευτή, σε επιλεκτικές περιπτώσεις ανάλογα με την κάθε φορά ισχύουσα εμπορική της πολιτική. Οι σχετικές κλήσεις διεξάγονται κατά το διάστημα από την ενημέρωση από τον ΔΕΔΔΗΕ περί αιτήματος Αλλαγής Προμηθευτή και μέχρι τη λήξη της σύμβασης του πελάτη με την εταιρεία μας. Υπενθυμίζεται ότι τα έννομα αποτελέσματα της καταγγελίας της Σύμβασης Προμήθειας επέρχονται σύμφωνα με την παράγραφο 2 του άρθρου 42 ΚΠΗΕ την προηγουμένη της ημέρας έναρξης ισχύος της Δήλωσης Εκπροσώπησης Μετρητή, όπως η ημέρα αυτή καθορίζεται από τον αρμόδιο Διαχειριστή και γνωστοποιείται στον παλαιό και το νέο Προμηθευτή, κατά τα οριζόμενα στους Κώδικες Διαχείρισης Δικτύων. Κατά το χρονικό διάστημα αυτό, το οποίο δεν δύναται να προσδιοριστεί επακριβώς εκ των προτέρων, η εταιρεία μας ενδέχεται να διεξάγει τις σχετικές κλήσεις. Σύμφωνα, μάλιστα, με σχετική οδηγία της Εταιρείας μας προς τους Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 6 παρόχους υπηρεσιών τηλεφωνικού κέντρου που διεξάγουν τις κλήσεις αυτές για λογαριασμό μας, οι κλήσεις με τον ως άνω σκοπό θα πρέπει να διεξάγονται άμεσα, από τη στιγμή της παραλαβής της σχετικής λίστας και σε κάθε περίπτωση εντός μηνός. Συμπερασματικά και με βάση όλα τα παραπάνω, η ερευνώμενη επεξεργασία προσωπικών δεδομένων εκτελέστηκε για νόμιμο, ρητό και καθορισμένο σκοπό, ενώ είναι νόμιμη κατ’ άρθρο 6 § 1 στοιχείο στ’ του ΓΚΠΔ.» Σε μία περίπτωση (όπως αναφέρεται στο με αρ. πρωτ. Γ/ΕΙΣ/4835/29-06-2023 έγγραφο), η ΖΕΝΙΘ αναφέρει ότι το τηλέφωνο του καταγγέλλοντος συμπεριλήφθηκε από ανθρώπινο λάθος στελέχους καθυστερημένα σε «ζεστή λίστα» καλούμενων πελατών και έτσι αυτός κλήθηκε όταν πια η σύμβασή του είχε λήξει. Αναφέρεται στο ίδιο έγγραφο ότι: «για την αποφυγή παρόμοιων λαθών στο μέλλον θα προβούν στις εξής ενέργειες: o Κατάρτιση, έγκριση και εφαρμογή διαδικασίας για την διεξαγωγή ερευνών ικανοποίησης αποχωρούντων πελατών. o Αποστολή οδηγίας προς τους παρόχους υπηρεσιών τηλεφωνικού κέντρου σχετικά με την εφαρμογή της διαδικασίας διεξαγωγής ερευνών ικανοποίησης αποχωρούντων πελατών. o Κατάρτιση και παροχή εκπαιδευτικού σεμιναρίου στα αρμόδια στελέχη της εταιρείας καθώς και σε επιλεγμένα στελέχη εκτελούντων επεξεργασία παρόχων υπηρεσιών τηλεφωνικού κέντρου για την προστασία των προσωπικών δεδομένων των πελατών μας κατά τη διεξαγωγή τέτοιων ερευνών.» Η ΖΕΝΙΘ στο έγγραφό της με αρ. πρωτ. Γ/ΕΙΣ/1797/04-03-2025, αναφέρει, ότι διέκοψε τη συνεργασία της με την εκτελούσα One Way Private Company. Β. Στις απαντήσεις της προς τη ΖΕΝΙΘ, για τις περιπτώσεις που κωδικοποιούνται στον σχετικό πίνακα της Κατηγορίας Β ως «χειροκίνητες», όπως αυτές διαβιβάστηκαν στην Αρχή (βλ. ενδεικτικά έγγραφα με αρ. πρωτ. Γ/ΕΙΣ/2729/02-04-2025, Γ/ΕΙΣ/2731/02-04-2025), η εκτελούσα την επεξεργασία Σ&Κ Εισαγωγική αναφέρει ότι εκλήθησαν αριθμοί που ήταν ενταγμένοι στο μητρώο 11, με την εξής αιτιολόγηση: «Ο τηλεφωνικός αριθμός έχει ενταχθεί στο μητρώο του αρ. 11, όμως δεν εκλήθη μέσω Dialer με τυχαία αριθμοσειρά, αλλά χειροκίνητα. Συγκεκριμένα, υπάλληλος προσπάθησε να καλέσει χειροκίνητα άλλον παραπλήσιο αριθμό με του καταγγέλλοντος, ο οποίος είχε εκφράσει ενδιαφέρον για τα Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 7 προϊόντα μας και είχε ζητήσει να τον καλέσουμε για ενημέρωση. Προφανώς, ο υπάλληλος δεν είχε σημειώσει ορθά τον αριθμό τηλεφώνου του ενδιαφερόμενου και εκ παραδρομής κάλεσε τον αριθμό του καταγγέλλοντος.» Γ1. Στις απαντήσεις της προς τη ΖΕΝΙΘ, για τις περιπτώσεις που κωδικοποιούνται στον σχετικό πίνακα της Κατηγορίας Γ ως «χειροκίνητες», όπως αυτές διαβιβάστηκαν στην Αρχή (βλ. ενδεικτικά έγγραφα με αρ. πρωτ. Γ/ΕΙΣ/7821/06-11-2023, Γ/ΕΙΣ/2930/09-04-2025, Γ/ΕΙΣ/2975/10-04-2025, Γ/ΕΙΣ/2931/09-04-2025, Γ/ΕΙΣ/2973/10-04-2025, Γ/ΕΙΣ/2975/10-042025), η εκτελούσα την επεξεργασία Revma Plus αναφέρει ότι εκλήθησαν αριθμοί που ήταν ενταγμένοι στο μητρώο 11, με την εξής αιτιολόγηση: «Η αιτία της αναφερόμενης ενέργειας είναι το ανθρώπινο λάθος εξαιτίας του οποίου προκλήθηκε το πρόβλημα, της μη εξαίρεσης των συνδρομητών που έχουν ενταχθεί στο μητρώο του άρθρου 11, από τις «κρύες λίστες» τηλεφωνικών αριθμών. Το εν λόγω ανθρώπινο λάθος συνίσταται στον τρόπο κλήσης των αριθμών. Στην συγκεκριμένη λίστα δεν πραγματοποιήθηκε η διαδικασία εξαίρεσης των συνδρομητών που έχουν ενταχθεί στο μητρώο του άρθρου 11 μέσω του dialer προκειμένου να εξαιρεθούν οι αριθμοί αυτοί.» Στα με αρ. πρωτ. Γ/ΕΙΣ/2930/09-04-2025, Γ/ΕΙΣ/2975/10-04-2025, Γ/ΕΙΣ/2931/09-042025, Γ/ΕΙΣ/2973/10-04-2025, Γ/ΕΙΣ/2975/10-04-2025 έγγραφα αναφέρεται ότι η Revma Plus προχώρησε σε λύση της συνεργασίας της με τον συγκεκριμένο εργαζόμενο που εντοπίστηκε ότι διέπραξε το συγκεκριμένο σφάλμα καθώς θεώρησε ότι είναι ανεπανόρθωτη η ζημία που προκλήθηκε στη φήμη της εταιρίας. Γ2. Στις απαντήσεις της προς τη ΖΕΝΙΘ, για τις περιπτώσεις που κωδικοποιούνται στον σχετικό πίνακα της Κατηγορίας Γ ως «Συστημικό λάθος, μεμονωμένο», όπως αυτές διαβιβάστηκαν στην Αρχή (βλ. ενδεικτικά έγγραφα με αρ. πρωτ. Γ/ΕΙΣ/7951/15-10-2024, Γ/ΕΙΣ/7952/15-10-2024, Γ/ΕΙΣ/7954/15-10-2024, Γ/ΕΙΣ/7953/15-10-2024), η εκτελούσα την επεξεργασία Revma Plus αναφέρει ότι εκλήθησαν αριθμοί που ήταν ενταγμένοι στο μητρώο 11, με την εξής αιτιολόγηση: «Η αιτία της αναφερόμενης ενέργειας είναι το συστημικό λάθος εξαιτίας του οποίου προκλήθηκε το πρόβλημα, της μη εξαίρεσης των συνδρομητών που έχουν ενταχθεί στο μητρώο του άρθρου 11, από τις «κρύες λίστες» τηλεφωνικών αριθμών. Το εν λόγω συστημικό λάθος συνίσταται σε καθαρά τεχνικό θέμα από το οποίο είχε σαν αποτέλεσμα να κολλήσει το σύστημα και να μην πραγματοποιηθεί η εξαίρεση των εν λόγω Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 8 αριθμών. Στη συγκεκριμένη λίστα πραγματοποιήθηκε κανονικά η διαδικασία εξαίρεσης των συνδρομητών που έχουν ενταχθεί στο μητρώο του άρθρου 11 μέσω του dialer προκειμένου να εξαιρεθούν οι αριθμοί αυτοί ωστόσο λόγω τεχνικού ζητήματος αυτό δεν έγινε. Επιπρόσθετα προχωρήσαμε στις απαραίτητες αναβαθμίσεις του λογισμικού και σε συστηματικούς δειγματοληπτικούς ελέγχους τους οποίους πραγματοποιούμε καθημερινά ώστε να αποφευχθεί η επανάληψη παρόμοιου τεχνικού θέματος.» Γ3. Στην απάντησή της προς τη ΖΕΝΙΘ, για την περίπτωση που κωδικοποιείται στον σχετικό πίνακα της Κατηγορίας Γ ως «Δεν υπάρχει τρόπος για υλοποίηση διαγραφής», όπως αυτή διαβιβάστηκε στην Αρχή (βλ. ενδεικτικά έγγραφο με αρ. πρωτ. Γ/ΕΙΣ/1212/10-02-2025) η εκτελούσα την επεξεργασία Revma Plus αναφέρει σχετικά ότι: «Ο τηλεφωνικός αριθμός που αναφέρεται στην καταγγελία δεν βρέθηκε να ήταν εγγεγραμμένος στο μητρώο του άρθρου 11 τη χρονική στιγμή που έλαβαν χώρα οι ως άνω κλήσεις. Στην καταγγελία γίνεται μνεία για αίτημα διαγραφής δεδομένων, κάτι το οποίο δεν μπορούσε να υλοποιηθεί, καθώς δεν διατηρήθηκαν τα εν λόγω δεδομένα ούτε από την ZENIΘ ούτε από τη Revma Plus Retail ΑΕ, καθώς οι κλήσεις είναι τυχαίες (τυχαίου αριθμοδοτικού φάσματος). Οι τηλεφωνικοί αριθμοί που καλούνται παράγονται τυχαία με τη μέθοδο Random Digit Dialing. Σε έγκυρους γεωγραφικούς κωδικούς (π.χ. για τη Θεσσαλονίκη: 2310) συμπληρώνονται με τυχαίο τρόπο τα υπόλοιπα ψηφία, ώστε να σχηματιστούν δεκαψήφιοι αριθμοί. Για τους αριθμούς που σχηματίζονται, στην καλούσα (Revma Plus Retail ΑΕ) δεν είναι τίποτα άλλο γνωστό πέραν του σε ποια γεωγραφική περιοχή ανήκουν. Οι καλούμενοι αριθμοί μπορεί να αποτελούν τηλεφωνική γραμμή κατοικίας, εργασίας, fax ή ακόμα και τηλεφωνικός αριθμός που δεν ανήκει σε συνδρομητή.» Κατόπιν των ανωτέρω, η Αρχή προχώρησε σε κλήση για ακρόαση στην ολομέλεια της 15-04-2025 των εξής:  της ΖΕΝΙΘ για το σύνολο των καταγγελιών και για τη γενικότερη πρακτική που ακολουθεί για τις τηλεφωνικές κλήσεις για προωθητικό σκοπό (αρ. πρωτ. κλήσης Γ/ΕΞΕ/1083/27-03-2025)  των εταιρειών One Way Private Company (αρ. πρωτ. κλήσης Γ/ΕΞΕ/1082/27-032025), Σ&Κ Εισαγωγική (αρ. πρωτ. κλήσης Γ/ΕΞΕ/1084/27-03-2025), Revma Plus Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 9 (αρ. πρωτ. κλήσης Γ/ΕΞΕ/1085/27-03-2025) για τις καταγγελίες των κατηγοριών Α, Β, και Γ, αντιστοίχως, και για τη γενικότερη πρακτική που ακολουθούν στο πλαίσιο της συνεργασίας τους με την ΖΕΝΙΘ. Κατά τη συνεδρίαση της 15-04-2025 παρέστησαν με τηλεδιάσκεψη οι εξής εκπρόσωποι των τεσσάρων εταιρειών: Εκ μέρους της ΖΕΝΙΘ οι Κωνσταντίνος Πανάγος του Θεοδώρου, δικηγόρος με ΑΜ ΔΣ …, Αντώνης Μπρούμας του Γεωργίου, δικηγόρος ΑΜ ΔΣ …, Α, Διευθυντής Λιανικών Πωλήσεων και Β, DPO της εταιρείας. Εκ μέρους της One Way Private Company οι Γ, Εμπορικός Διευθυντής της εταιρείας, Νικόλαος Μπουζαλάκος, Νομικός Σύμβουλος με ΑΜ ΔΣ … και Αλέξανδρος Κολιοθωμάς, Νομικός Σύμβουλος με ΑΜ ΔΣ … και DPO της εταιρείας. Εκ μέρους της εταιρείας ΣΙΓΜΑ ΚΑΙ ΚΑΠΑ ΕΙΣΑΓΩΓΙΚΗ, η Ελένη Νικολάκη του Θεοδώρου δικηγόρος με ΑΜ ΔΣ … και ο Δ DPO της εταιρείας. Εκ μέρους της REVMA PLUS RETAIL η Μαρία Σαρηγιαννίδου πληρεξούσια δικηγόρος με ΑΜ ΔΣ … και η Ε DPO της εταιρείας. Οι εκπρόσωποι των εταιρειών εξέθεσαν προφορικά τις απόψεις τους, έλαβαν προθεσμία και κατέθεσαν υπομνήματα. Η ΖΕΝΙΘ κατέθεσε το με αρ. πρωτ. Γ/ΕΙΣ/3769/06-05-2025 υπόμνημα. Σε απάντηση των καταγγελιών που εξετάζονται, αναφέρει, μεταξύ άλλων, συμπληρωματικά σε όσα έχει αναφέρει στα προηγούμενα υπομνήματά της, τα εξής: Όσον αφορά τα μέτρα που λαμβάνονται για τις συνεργασίες με εκτελούντες, αυτά περιλαμβάνουν προσυμβατικό έλεγχο των call centers, έγγραφες οδηγίες και ρήτρες συμμόρφωσης. Επίσης, προβλέπονται δειγματοληπτικοί έλεγχοι, επιτόπιοι έλεγχοι και καταγραφή αντιρρήσεων (opt-out). Όσον αφορά τη συνεργασία της με την One Way Private Company: Παρά τις συστάσεις και τους ελέγχους, διαπιστώθηκαν επαναλαμβανόμενες παραβάσεις. Σε επιστολή που εστάλη στην One Way Private Company στις 13.08.2024 αναφέρει η ΖΕΝΙΘ ότι «… κλιμάκιο της εταιρείας μας προέβη σε επιτόπιο τεχνικό επανέλεγχο, ο οποίος πραγματοποιήθηκε στις 18/06/2024. Συγκεκριμένα, πραγματοποιήθηκε άμεσος δειγματοληπτικός έλεγχος σε Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 10 τηλεφωνικούς αριθμούς στους οποίους η εταιρεία σας πραγματοποίησε κλήσεις εντός του χρονικού διαστήματος κατά το οποίο έλαβαν χώρα οι ανωτέρω καταγγελίες. Βάσει του εν λόγω δειγματοληπτικού ελέγχου, καθώς και κατόπιν σχετικής διερεύνησης, διαπιστώθηκε πως το 43% αυτών των κλήσεων πραγματοποιήθηκε προς αριθμούς καταχωρημένους στο Μητρώο του Άρθρου 11. Το παραπάνω ποσοστό προκύπτει βάσει των αρχείων με τους τηλεφωνικούς αριθμούς που καλέσατε και μας κοινοποιήσατε (επισυνάπτεται συνημμένο αρχείο).» Η επιστολή έγινε σε συνέχεια συμπληρωματικού ελέγχου ο οποίος αναφέρεται στην αναφορά του 4ου ελέγχου στις 18/6/2024 ως εξής : «..Πιο συγκεκριμένα, πραγματοποιήθηκε δειγματοληπτικός έλεγχος σε τηλεφωνικούς αριθμούς στους οποίους η εταιρεία πραγματοποίησε κλήσεις εντός του διαστήματος κατά το οποίο προέκυψαν οι ανωτέρω καταγγελίες. Βάσει του εν λόγω δειγματοληπτικού ελέγχου, καθώς και κατόπιν της σχετικής διερεύνησης από την πλευρά της ZeniΘ σχετικά με την ορθότητα των προαναφερθεισών κλήσεων, διαπιστώθηκε πως το 43,16% αυτών, είχαν πραγματοποιηθεί προς αριθμούς οι οποίοι ήταν καταχωρημένοι στο Μητρώο του Άρθρου 11.» Για την κατηγορία κλήσεων που αφορούν έρευνα αγοράς, η ΖΕΝΙΘ αναφέρει σχετικά στο υπόμνημά της: «…η εταιρεία μας καλεί τηλεφωνικά πελάτες που αποχωρούν προς άλλους παρόχους ενέργειας για τη διερεύνηση της αιτίας που τους οδήγησε στην απόφαση αυτή και, εν γένει, τον βαθμό ικανοποίησής τους από τις υπηρεσίες μας. Η σχετική επεξεργασία στηρίζεται στο έννομο συμφέρον της εταιρείας μας για τη βελτίωση των υπηρεσιών της με βάση τις ανάγκες των πελατών της προς τελικό όφελος του καταναλωτικού κοινού. Επίσης, η σχετική τηλεφωνική κλήση συνιστά επεξεργασία, που είναι αναγκαία για την επίτευξη του επιδιωκόμενου σκοπού επεξεργασίας, καθώς δεν υπάρχουν ηπιότεροι τρόποι επεξεργασίας και άλλα λιγότερο διεισδυτικά μέσα επικοινωνίας. Περαιτέρω, τα θεμελιώδη δικαιώματα των καλούμενων πελατών μας δεν υπερισχύουν του έννομου συμφέροντός μας να τους καλέσουμε για τέτοιον σκοπό, καθώς η σχετική τηλεφωνική κλήση εντάσσεται στις εύλογες προσδοκίες τους για τη στάση που θα έπρεπε να κρατήσει έναντι αυτών ως καταναλωτών ένας πάροχος ενέργειας, όπως η ΖενίΘ, που λαμβάνει σοβαρά την καταναλωτική τους εμπειρία και τα τυχόν παράπονά τους ως μέσο προς βελτίωσή της. Τέλος, για τη σχετική επεξεργασία ενημερώνουμε τους πελάτες μας μέσω της σχετικής έντυπης ενημέρωσης για την επεξεργασία των προσωπικών τους δεδομένων. Λόγω της ύπαρξης σύμβασης με τους πελάτες μας και, κατά συνέπεια, του γεγονότος ότι για την εταιρεία μας Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 11 δεν πρόκειται για τρίτα υποκείμενα των δεδομένων, με τα οποία δεν υφίσταται καμία πρότερη πρόσφατη συναλλαγή, για τις εν λόγω κλήσεις παρέλκει η εφαρμογή της erga omnes απαγορευτικής διάταξης του άρθρου 11 § 2 του Ν. 3471/2006. Σύμφωνα, μάλιστα, με σχετική οδηγία της Εταιρείας μας προς τους παρόχους υπηρεσιών τηλεφωνικού κέντρου που διεξάγουν τις κλήσεις αυτές για λογαριασμό μας, οι κλήσεις με τον ως άνω σκοπό θα πρέπει να διεξάγονται άμεσα, από τη στιγμή της παραλαβής της σχετικής λίστας και σε κάθε περίπτωση εντός μηνός». Σχετικά με την Revma Plus και Σ&Κ Εισαγωγική: Διαπιστώθηκαν μεμονωμένα τεχνικά σφάλματα και έγιναν διορθωτικές ενέργειες. Η συνεργασία συνεχίζεται. Η ΖΕΝΙΘ υποστηρίζει ότι έχει λάβει όλα τα απαραίτητα μέτρα ως υπεύθυνος επεξεργασίας, επέβλεπε αποτελεσματικά τους εκτελούντες και έλαβε μέτρα όπου απαιτήθηκε, καταγγέλλοντας ακόμη και οικονομικά επωφελείς συνεργασίες για λόγους συμμόρφωσης. Η One Way Private Company κατέθεσε το με αρ. πρωτ. Γ/ΕΙΣ/3729/05-05-2025 και το με αρ. πρωτ. Γ/ΕΙΣ/3871/08-05-2025 υπόμνημα. Αναφέρει μεταξύ άλλων, ειδικά για τη γενική διαδικασία λήψης συγκατάθεσης από ενδιαφερόμενους, ότι «10.2 Σε ορισμένες εκ των περιπτώσεων αυτών, προέκυπτε ότι οι εν λόγω πελάτες είχαν καταγραφεί ως μη επιθυμούντες λήψη προωθητικών κλήσεων. Ωστόσο, αποδεδειγμένως οι πελάτες αυτοί είχαν προμηθευτεί προϊόντα ή υπηρεσίες της Εταιρείας μας είτε μέσω της ιστοσελίδας μας είτε μέσω τηλεοπτικών διαφημιστικών προβολών. Προς θεμελίωση τούτου προσκομίζεται το υπογεγραμμένο εκ μέρους των σχετικό voucher της εταιρείας ταχυμεταφορών (courier), το οποίο συνόδευε την αποστολή της παραγγελίας (ΣΧΕΤ. 37, αντίστοιχο voucher). Επιπροσθέτως, στο παραστατικό των παραδοθέντων προϊόντων περιλαμβανόταν ρητός όρος, ο οποίος είχε ως εξής: Ισχύει δικαίωμα υπαναχώρησης εντός 14 ημερολογιακών ημερών από την επομένη της ημέρας απόκτησης της φυσικής κατοχής των αγαθών/υπηρεσιών. Με την απόκτηση των εν λόγω αγαθών/υπηρεσιών συναινείτε στην καταχώρηση και επεξεργασία των προσωπικών σας στοιχείων για τους σκοπούς επικοινωνίας για την προώθηση προϊόντων / υπηρεσιών της εταιρείας One Way PC. Η εταιρεία One Way PC τηρεί πολιτική προστασίας προσωπικών δεδομένων· για τα δικαιώματά σας επισκεφθείτε την ιστοσελίδα www.one1way.gr». Σχετικά με τις χειροκίνητες κλήσεις, αναφέρει ότι «11.6 Οι χειροκίνητες κλήσεις πραγματοποιούνται εντός του οργανωμένου περιβάλλοντος Dialer, το οποίο λειτουργεί Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 12 σύμφωνα με τις εσωτερικές πολιτικές και διαδικασίες. Το προσωπικό καθοδηγείται συστηματικά και τεκμηριωμένα μέσω εκπαιδευτικού υλικού και εποπτείας. 11.7 Κατά την εκτέλεση χειροκίνητης κλήσης, το σύστημα: (

1. i)Διασταυρώνει αυτομάτως τον τηλεφωνικό αριθμό με το Μητρώο του άρθρου 11 Ν. 3471/2006, (
2. ii)Αποτρέπει την πραγματοποίηση κλήσης σε περίπτωση ταύτισης, εμφανίζοντας ειδοποίηση «Βρέθηκε τηλέφωνο στη λίστα απορρήτων». 11.8 Για την τεκμηρίωση του ανωτέρω, επισυνάπτεται σχετικό στιγμιότυπο οθόνης (screenshot) από τα πληροφοριακά συστήματα της Εταιρείας.» Ως προς τις κλήσεις που αφορούν έρευνα αγοράς: «12.1 Σε σχέση με τη δεύτερη κατηγορία καταγγελιών, η οποία αφορά κλήσεις που διενεργήθηκαν από την Εταιρεία μας βάσει λιστών τηλεφωνικών αριθμών που διαβιβάστηκαν απευθείας από την εταιρεία ΖΕΝΙΘ, πρέπει να επισημανθεί ότι οι εν λόγω κλήσεις πραγματοποιήθηκαν επί σκοπώ έρευνας αγοράς σε πελάτες της ΖΕΝΙΘ οι οποίοι είχαν υποβάλει αιτήματα αλλαγής προμηθευτή προκειμένου να διαπιστωθεί για ποιον λόγο αποχώρησαν από το δίκτυο της ΖΕΝΙΘ, δίχως να υπάρχει σκοπός προώθησης προϊόντων και/ή υπηρεσιών.» Η Σ&Κ Εισαγωγή κατέθεσε το με αρ. πρωτ. Γ/ΕΙΣ/3720/05-05-2025 υπόμνημα. Αναφέρει μεταξύ άλλων ότι «στις επίδικες περιπτώσεις δεν υπάρχει παράνομη και υπαίτια παραβίαση της νομοθεσίας περί προσωπικών δεδομένων, διότι οι αριθμοί των καταγγελλόντων είχαν εξαιρεθεί από τις αυτοματοποιημένες κλήσεις, πλην όμως οι υπάλληλοί μας εν προκειμένω διενήργησαν χειροκίνητα τις κλήσεις, επιθυμώντας να πληκτρολογήσουν έτερο παραπλήσιο αριθμό που ανήκε σε πρόσωπο που είχε εκφράσει την επιθυμία του μέσω της ιστοσελίδας revma.gr να τον καλέσουμε και να τον ενημερώσουμε για τα προϊόντα και τις προσφορές της Ζενίθ. Πρόκειται δηλαδή για ένα ανθρώπινο σφάλμα. το οποίο δεν οφειλόταν σε έλλειψη τεχνικών και οργανωτικών μέτρων από την πλευρά της εταιρείας μας και το οποίο δεν μπορεί να αποκλειστεί δεδομένου και του τεράστιου όγκου των κλήσεων που διενεργούμε.» Η Revma Plus κατέθεσε το με αρ. πρωτ. Γ/ΕΙΣ/3725/05-05-2025 υπόμνημα. Ειδικά για το συστημικό λάθος που είχε παρατηρηθεί επισυνάπτεται σχετική αναφορά του ΥΠΔ, στην οποία αναφέρεται ότι: «Κατά τη διάρκεια προγραμματισμένων εσωτερικών ελέγχων στο πλαίσιο της διαδικασίας συμμόρφωσης με τη νομοθεσία περί προστασίας προσωπικών δεδομένων, διαπιστώθηκε ότι πραγματοποιήθηκαν δύο τηλεφωνικές κλήσεις, κατά τις ημερομηνίες 29 Απριλίου και 1 Μαΐου 2024, προς αριθμούς οι οποίοι είναι ενταγμένοι στο Μητρώο του άρθρου 11. Οι σχετικές αναφορές προήλθαν από δύο agents του τηλεφωνικού Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 13 κέντρου, οι οποίοι εντόπισαν την ασυμβατότητα κατά την επικοινωνία με τους συνδρομητές. Τα περιστατικά κοινοποιήθηκαν άμεσα στον Υπεύθυνο του τηλεφωνικού κέντρου, ο οποίος τα έθεσε υπόψη μου. Κατά τη διάρκεια τυχαίων δειγματοληπτικών ελέγχων που διενεργήθηκαν στο πλαίσιο των εβδομαδιαίων διαδικασιών ελέγχου, εντοπίστηκαν αριθμοί τηλεφώνου οι οποίοι δεν ήταν ενταγμένοι στο μητρώο του άρθρου 11, ωστόσο υπήρχε η υποψία ότι μπορεί να είχαν προηγουμένως ενταχθεί και μετέπειτα αφαιρεθεί. Προκειμένου να διασφαλιστεί η αποφυγή κλήσης σε προστατευόμενους αριθμούς, και ταυτόχρονα να ικανοποιηθεί το έννομο συμφέρον της επιχείρησης να πραγματοποιεί κλήσεις σε αριθμούς που δεν είναι ενταγμένοι στο μητρώο του άρθρου 11, επιχειρήθηκε στις 27-28 Απριλίου 2024 το «κατέβασμα» του πλήρους ιστορικού αρχείου του άρθρου 11 από τον server, το οποίο περιλάμβανε συνολικά 27 εκατομμύρια εγγραφές, συμπεριλαμβανομένων και παλαιών εγγραφών που δεν αντιστοιχούσαν πλέον σε ενεργές εγγραφές στο μητρώο. Ακολούθως, προκειμένου να επαναφέρουμε τις ισχύουσες εγγραφές του μητρώου, ανεβάσαμε εκ νέου την τελευταία επικαιροποιημένη έκδοση του αρχείου που μας απέστειλε η Braintech. Πιθανολογείται ότι κατά την εν λόγω διαδικασία επαvαφόρτωσης του αρχείου σημειώθηκε τεχνικό σφάλμα, το οποίο οδήγησε σε απώλεια συγκεκριμένων ενεργών εγγραφών, με αποτέλεσμα να συμπεριληφθούν εκ νέου στις διαθέσιμες για κλήση λίστες αριθμοί που κανονικά έπρεπε να έχουν εξαιρεθεί.» Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και το βοηθό εισηγητή, μετά από διεξοδική συζήτηση. ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ 1. Το ζήτημα των τηλεφωνικών κλήσεων, για σκοπούς απευθείας προώθησης προϊόντων ή υπηρεσιών και για κάθε είδους διαφημιστικούς σκοπούς, ρυθμίζεται στο άρθρο 11 του ν. 3471/2006, με το οποίο εισάγονται ρυθμίσεις σχετικά με τις μη ζητηθείσες επικοινωνίες (βλ. παρ. 1 και 2). Συγκεκριμένα, στο άρθρο 11 παρ. 1 του ν. 3471/2006 ορίζεται ότι: «Η χρησιμοποίηση αυτόματων συστημάτων κλήσης, ιδίως με χρήση συσκευών τηλεομοιοτυπίας (φαξ) ή ηλεκτρονικού ταχυδρομείου, και γενικότερα η πραγματοποίηση μη ζητηθεισών επικοινωνιών με οποιοδήποτε μέσο ηλεκτρονικής Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 14 επικοινωνίας, χωρίς ανθρώπινη παρέμβαση, για σκοπούς απευθείας εμπορικής προώθησης προϊόντων ή υπηρεσιών και για κάθε είδους διαφημιστικούς σκοπούς, επιτρέπεται μόνο αν ο συνδρομητής συγκατατεθεί εκ των προτέρων ρητώς», ενώ με την παράγραφο 2 του ιδίου άρθρου ορίζεται ότι: «Δεν επιτρέπεται η πραγματοποίηση μη ζητηθεισών επικοινωνιών με ανθρώπινη παρέμβαση (κλήσεων) για τους ανωτέρω σκοπούς, εφόσον ο συνδρομητής έχει δηλώσει προς τον φορέα παροχής της διαθέσιμης στο κοινό υπηρεσίας, ότι δεν επιθυμεί γενικώς να δέχεται τέτοιες κλήσεις. Ο φορέας υποχρεούται να καταχωρίζει δωρεάν τις δηλώσεις αυτές σε ειδικό κατάλογο συνδρομητών, ο οποίος είναι στη διάθεση κάθε ενδιαφερομένου». Κατά συνέπεια, οι τηλεφωνικές κλήσεις με ανθρώπινη παρέμβαση, ενόψει των ανωτέρω σκοπών, επιτρέπονται, εκτός αν ο καλούμενος έχει δηλώσει ότι δεν τις επιθυμεί (σύστημα «optout»). Οι διαφημιζόμενοι, εφόσον πραγματοποιούν τηλεφωνικές προωθητικές ενέργειες με ανθρώπινη παρέμβαση, οφείλουν να λαμβάνουν από όλους τους παρόχους επικαιροποιημένα αντίγραφα των μητρώων του άρθρου 11 του ν. 3471/2006 και να εξασφαλίζουν ότι έχουν διαθέσιμες τις δηλώσεις των συνδρομητών που έχουν πραγματοποιηθεί έως τριάντα ημέρες πριν από την πραγματοποίηση της τηλεφωνικής κλήσης (βλ. και τις υπ’ αριθμ. 62-67/2016 Αποφάσεις της Αρχής). 2. Επισημαίνεται επίσης ότι, στο άρθρο 3 παρ. 2 του ν. 3471/2006 ορίζεται ότι «Ο ν. 2472/1997, όπως ισχύει, και οι εκτελεστικοί του άρθρου 19 του Συντάγματος νόμοι, όπως ισχύουν, εφαρμόζονται για κάθε ζήτημα σχετικό με την παροχή υπηρεσιών ηλεκτρονικών επικοινωνιών, που δεν ρυθμίζεται ειδικότερα από τον παρόντα νόμο». Πλέον, μετά τη θέση σε εφαρμογή του ΓΚΠΔ, κάθε παραπομπή στο ν. 2472/1997, ο οποίος είχε εκδοθεί σε συμμόρφωση με την οδηγία 95/46/ΕΚ, νοείται ως παραπομπή στο ΓΚΠΔ (βλ. και άρθρο 94 παρ. 2 ΓΚΠΔ). Συνεπώς, για κάθε ζήτημα σχετικό με την παροχή υπηρεσιών ηλεκτρονικών επικοινωνιών σε συνδρομητές ή χρήστες που είναι φυσικά πρόσωπα και το οποίο δεν ρυθμίζεται ειδικότερα στο ν. 3471/2006 εφαρμόζεται ο ΓΚΠΔ (βλ. επίσης και άρθρο 95 ΓΚΠΔ όπως και την αιτιολογική σκέψη υπ’ αριθμ. 173, καθώς και τη Γνώμη 5/2019 του ΕΣΠΔ σχετικά με την αλληλεπίδραση μεταξύ της Οδηγίας για την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών και του ΓΚΠΔ, ιδίως όσον αφορά την αρμοδιότητα, τα καθήκοντα και τις εξουσίες των αρχών προστασίας δεδομένων). Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 15 3. Περαιτέρω, ο αριθμός τηλεφώνου ενός φυσικού προσώπου αποτελεί προσωπικό δεδομένο, αφού μπορεί να λειτουργήσει ως στοιχείο έμμεσης αναγνώρισης του κατόχου του (πρβλ. άρθρο 4 παρ. 1 Κανονισμού (ΕΕ) 2016/679, εφεξής ΓΚΠΔ), επιτρέποντας την επικοινωνία με αυτόν. Σύμφωνα δε με τη Γνώμη 4/2007 της ομάδας εργασίας του άρθρου 29 της Ε.Ε. σχετικά με την έννοια των προσωπικών δεδομένων, ειδικά κατά τη λειτουργία ηλεκτρονικών υπηρεσιών, στοιχεία έμμεσης αναγνώρισης, μπορούν επαρκώς σε ορισμένες περιπτώσεις να διακρίνουν ένα άτομο από άλλα στο πλαίσιο ενός συγκεκριμένου συνόλου, ακόμα και αν δεν έχει γίνει η εξακρίβωση του ονόματός του. 4. Στο άρθρο 4 περ. 7 του ΓΚΠΔ ορίζεται ως υπεύθυνος επεξεργασίας «…το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα…». Ο εκτελών την επεξεργασία ορίζεται στην επόμενη περίπτωση του ίδιου άρθρου ως «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου της επεξεργασίας». 5. Στο άρθρο 28 του ΓΚΠΔ, με το οποίο ρυθμίζονται τα θέματα που αφορούν τον εκτελούντα την επεξεργασία, και ειδικότερα στην παρ. 1 προβλέπεται ότι όταν η επεξεργασία πρόκειται να διενεργηθεί για λογαριασμό υπευθύνου επεξεργασίας, ο υπεύθυνος επεξεργασίας χρησιμοποιεί μόνο εκτελούντες την επεξεργασία που παρέχουν επαρκείς διαβεβαιώσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων, κατά τρόπο ώστε η επεξεργασία να πληροί τις απαιτήσεις του κανονισμού και να διασφαλίζεται η προστασία των δικαιωμάτων του υποκειμένου των δεδομένων. Στην παρ. 3 του ίδιου άρθρου ορίζεται ότι η επεξεργασία από τον εκτελούντα την επεξεργασία διέπεται από σύμβαση ή άλλη νομική πράξη υπαγόμενη στο δίκαιο της Ένωσης ή του κράτους μέλους, που δεσμεύει τον εκτελούντα την επεξεργασία σε σχέση με τον υπεύθυνο επεξεργασίας και καθορίζει το αντικείμενο και τη διάρκεια της επεξεργασίας, τη φύση και τον σκοπό της επεξεργασίας, το είδος των δεδομένων προσωπικού χαρακτήρα και τις κατηγορίες των υποκειμένων των δεδομένων και τις υποχρεώσεις και τα δικαιώματα του υπευθύνου επεξεργασίας. Η εν λόγω σύμβαση ή άλλη νομική πράξη προβλέπει ειδικότερα ότι ο εκτελών την επεξεργασία επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα μόνο βάσει καταγεγραμμένων εντολών του υπευθύνου επεξεργασίας και λαμβάνει όλα τα απαιτούμενα μέτρα δυνάμει του άρθρου 32 του ΓΚΠΔ. Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 16 6. Στο άρθρο 29 του ΓΚΠΔ ορίζεται ότι «Ο εκτελών την επεξεργασία και κάθε πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, το οποίο έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα, επεξεργάζεται τα εν λόγω δεδομένα μόνον κατ' εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους.» Η διάταξη αυτή εισάγει υποχρέωση για τον εκτελούντα την επεξεργασία, να επεξεργάζεται δεδομένα μόνο κατ’ εντολή του υπεύθυνου της επεξεργασίας, εκτός αν νόμος ορίζει άλλη υποχρέωση. Συνεπώς, παράβαση της διάταξης αυτής από εκτελούντες την επεξεργασία αποτελεί παράβαση του ΓΚΠΔ εκ μέρους τους. 7. Στο άρθρο 32 του ΓΚΠΔ ορίζεται, μεταξύ άλλων, ότι τόσο ο υπεύθυνος επεξεργασίας όσο και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία λαμβάνουν μέτρα ώστε να διασφαλίζεται ότι κάθε φυσικό πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία το οποίο έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα τα επεξεργάζεται μόνο κατ’ εντολή του υπευθύνου επεξεργασίας. Από τις διατάξεις αυτές συνάγεται ότι η ευθύνη για την τήρηση των κατάλληλων μέτρων ασφάλειας βαρύνει τόσο τον υπεύθυνο επεξεργασίας όσο και τον εκτελούντα την επεξεργασία και, συνεπώς, η ευθύνη για μια παραβίαση μέτρων ασφάλειας θα πρέπει να επιμερίζεται και να αποδίδεται κατάλληλα. 8. Στο άρθρο 5, παρ. 1 του ΓΚΠΔ αναφέρεται ότι τα προσωπικά δεδομένα συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς. Επίσης, σύμφωνα με το άρθρο 6, παρ. 1, εδ. α) του ΓΚΠΔ, η επεξεργασία είναι σύννομη εφόσον το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, σύμφωνα δε με το άρθρο 7, παρ. 2 το αίτημα για συγκατάθεση πρέπει να υποβάλλεται κατά τρόπο ώστε να είναι σαφώς διακριτό από τα άλλα θέματα, σε κατανοητή και εύκολα Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 17 προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση. 9. Στις Κατευθυντήριες γραμμές του ΕΣΠΔ 07/2020 σχετικά με τις έννοιες του υπευθύνου και του εκτελούντα στο ΓΚΠΔ αναφέρεται (σκέψη 127) ότι το επίπεδο των οδηγιών που παρέχει ο υπεύθυνος επεξεργασίας στον εκτελούντα ως προς τα μέτρα που πρέπει να ληφθούν εξαρτάται από τις συγκεκριμένες συνθήκες. Σε ορισμένες περιπτώσεις, ο υπεύθυνος επεξεργασίας μπορεί να παρέχει σαφή και λεπτομερή περιγραφή των μέτρων ασφαλείας που πρέπει να εφαρμοστούν. Σε άλλες περιπτώσεις, ο υπεύθυνος επεξεργασίας μπορεί να περιγράψει τους ελάχιστους στόχους ασφαλείας που πρέπει να επιτευχθούν, ζητώντας ταυτόχρονα από τον εκτελούντα την επεξεργασία να προτείνει την εφαρμογή συγκεκριμένων μέτρων ασφαλείας. Σε κάθε περίπτωση, ο υπεύθυνος επεξεργασίας πρέπει να παρέχει στον εκτελούντα μια περιγραφή των δραστηριοτήτων επεξεργασίας και των στόχων ασφαλείας (με βάση την εκτίμηση κινδύνου του υπεύθυνου επεξεργασίας), καθώς και την έγκριση των μέτρων που προτείνει ο εκτελών την επεξεργασία. 10. Στην παρ. 10 του άρθρου 28 ορίζεται ότι «Με την επιφύλαξη των άρθρων 82, 83 και 84, εάν ο εκτελών την επεξεργασία καθορίσει κατά παράβαση του παρόντος κανονισμού τους σκοπούς και τα μέσα της επεξεργασίας, ο εκτελών την επεξεργασία θεωρείται υπεύθυνος επεξεργασίας για τη συγκεκριμένη επεξεργασία.» Συνεπώς, σε περιπτώσεις που ένας εκτελών την επεξεργασία, ακόμα και στο ευρύτερο πλαίσιο της συνεργασίας του με τον υπεύθυνο επεξεργασίας, προβεί σε δραστηριότητες επεξεργασίας για τις οποίες δεν έχει καταγεγραμμένες εντολές (είτε ειδικές, είτε γενικές) του υπεύθυνου επεξεργασίας, τότε πρέπει να θεωρείται αυτός ως υπεύθυνος της επεξεργασίας, καθώς καθορίζει το σκοπό και τα μέσα των εν λόγω δραστηριοτήτων. 11. Από τα στοιχεία του φακέλου προκύπτει ότι η ΖΕΝΙΘ, μέσω συμβάσεων, αναθέτει σε συνεργαζόμενες εταιρείες call centers τη διενέργεια διαφημιστικών κλήσεων για προώθηση των δικών της προϊόντων και υπηρεσιών. Με τις συμβάσεις, τις έγγραφες οδηγίες και τις λοιπές εντολές που παρέχει στις εν λόγω εταιρείες, η ΖΕΝΙΘ θέτει μια σειρά από προδιαγραφές, με τις οποίες καθορίζεται το πλαίσιο δραστηριοποίησης του εκάστοτε συνεργάτη της με στόχο την ικανοποίηση των απαιτήσεων του ΓΚΠΔ και του ν. 3471/2006. O σκοπός επεξεργασίας είναι προώθηση προϊόντων και υπηρεσιών στην Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 18 εγχώρια λιανική αγορά ενέργειας και λαμβάνει χώρα μέσω εμπορικών τηλεφωνικών κλήσεων. Για την πραγματοποίηση αυτών των τηλεφωνικών κλήσεων, η ΖΕΝΙΘ διαθέτει τόσο εσωτερικό τηλεφωνικό κέντρο όσο και συνεργασίες με τρίτες εταιρείες παροχής σχετικών υπηρεσιών («Call Centers»), οι οποίες καλούν συνδρομητές εκ μέρους της. Επίσης, άλλος σκοπός επεξεργασίας είναι η επικοινωνία μέσω τηλεφωνικών κλήσεων πελατών που αποχωρούν προς άλλους παρόχους ενέργειας για τη διερεύνηση της αιτίας που τους οδήγησε στην απόφαση αυτή και, εν γένει, τον βαθμό ικανοποίησής τους από τις υπηρεσίες της ΖΕΝΙΘ. Η ΖΕΝΙΘ καθορίζει πλήρως το στόχο της επεξεργασίας, άρα και το σκοπό αυτής, ενώ καθορίζει και τα βασικά χαρακτηριστικά για τα μέσα της επεξεργασίας, οπότε καθίσταται υπεύθυνος επεξεργασίας βάσει άρθρου 4, παρ. 7 του ΓΚΠΔ. Εκτελούσες την επεξεργασία είναι οι κληθείσες εταιρείες One Way Private Company, Σ&Κ Εισαγωγική και Revma Plus. 12. Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία αναλαμβάνουν την εφαρμογή των κατάλληλων μέτρων προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων. Η ευθύνη για τη μη εφαρμογή των κατάλληλων μέτρων, των άρθρων 28 και 32 του ΓΚΠΔ θα πρέπει να επιμερίζεται κατάλληλα μεταξύ του εκτελούντα την επεξεργασία και του υπεύθυνου της επεξεργασία. Συνεπώς, στις περιπτώσεις που προκύπτει σφάλμα κατά την εφαρμογή μέτρων ασφάλειας στον εκτελούντα την επεξεργασία, ο οποίος έχει εξειδικεύσει τα γενικά μέτρα που έχει ορίσει ο υπεύθυνος επεξεργασίας, ο εκτελών την επεξεργασία βαρύνεται σε μεγαλύτερο βαθμό για την εφαρμογή αυτών των μέτρων ασφάλειας. Αν όμως, σε κάποιες περιπτώσεις, προκύπτει ότι ο εκτελών την επεξεργασία παραβαίνει τις υποχρεώσεις οι οποίες του έχουν επιβληθεί με τη σύμβαση και επεξεργάζεται δεδομένα πέραν ή κατά παράβαση των εντολών του υπεύθυνου επεξεργασίας, τότε προκύπτει παράβαση του άρθρου 29 του ΓΚΠΔ μόνο από τον εκτελούντα την επεξεργασία. 13. Τα τεχνικά και οργανωτικά μέτρα, τα οποία οφείλουν να λαμβάνουν ο υπεύθυνος και ο εκτελών την επεξεργασία προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, δεν είναι μεν πάντα δυνατό να προλάβουν κάθε πιθανό περιστατικό παραβίασης της ασφάλειας σε δεδομένα προσωπικού χαρακτήρα, επιβάλλεται ωστόσο, μετά από οποιαδήποτε αστοχία των μέτρων αυτών, να ακολουθεί Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 19 εκτίμηση και αξιολόγηση της αποτελεσματικότητάς τους, ως απαραίτητο στοιχείο για τη διατήρηση της ασφάλειας της επεξεργασίας. Συνεπώς, πρωταρχική υποχρέωση είναι η καταγραφή του περιστατικού, ώστε αυτό να τεκμηριώνεται και να αποδεικνύεται η συμμόρφωση του υπεύθυνου επεξεργασίας με τις αρχές του άρθρου 5 του ΓΚΠΔ, όπως άλλωστε επιβάλλεται με βάση την αρχή της λογοδοσίας, και σύμφωνα επίσης με το άρθρο 33 του ΓΚΠΔ. 14. Η ευθύνη της ΖΕΝΙΘ ως υπεύθυνου επεξεργασίας σε σχέση με τους εκτελούντες την επεξεργασία, είναι, σε πρώτο στάδιο, να παράσχει κατάλληλα εργαλεία, αρχές και οδηγίες ώστε να πραγματοποιούνται μόνο νόμιμες κλήσεις και μόνο νόμιμες δραστηριότητες επεξεργασίας προσωπικών δεδομένων. Η ευθύνη της ΖΕΝΙΘ αφορά επίσης και την επάρκεια του ελέγχου και της εποπτείας των εκτελούντων την επεξεργασία αλλά και τις ενέργειες στις οποίες προβαίνει η ίδια η εταιρεία μόλις λαμβάνει γνώση των καταγγελιών, προκειμένου να ελέγξει την αποτελεσματικότητα των διαδικασιών της και τον τρόπο λειτουργίας των συνεργαζόμενων εταιρειών και εφαρμογής από αυτές των οδηγιών που τους παρέχει, να αναγνωρίσει σημεία στα οποία οι διαδικασίες αυτές επιδέχονται βελτίωση ή περιπτώσεις στις οποίες οι συνεργαζόμενες εταιρείες παραβαίνουν τις υποχρεώσεις τους, και σε περίπτωση που διαπιστωθεί κάποια παράβαση, να ληφθούν τα αναγκαία μέτρα ώστε να αποφεύγονται στο μέλλον αντίστοιχα περιστατικά. 15. Στην εξεταζόμενη υπόθεση, για την ΖΕΝΙΘ διαπιστώνονται τα εξής: Ενώ η ΖΕΝΙΘ απάντησε στις καταγγελίες, διαβιβάζοντας τις καταγγελίες στις εκτελούσες την επεξεργασία και προσκομίζοντας την απάντηση της εκτελούσας την επεξεργασία, δεν προκύπτει ότι ερευνούσε και εξακρίβωνε την ακρίβεια της απάντησης άμεσα. Η ΖΕΝΙΘ θα έπρεπε να έχει εντοπίσει την πηγή του κάθε λάθους, αμέσως μόλις αυτό περιήλθε σε γνώση της, και να έχει προβεί σε κατάλληλα διορθωτικά μέτρα. Με τον τρόπο αυτό, θα είχε δοθεί και εφαρμοστεί άμεσα σχετική οδηγία ακόμα και μετά την πρώτη σχετική διαπίστωση και θα είχαν αποφευχθεί κλήσεις οι οποίες αναφέρονται ότι διενεργούνται «χειροκίνητα» και με ανθρώπινο σφάλμα, και θα είχε εξασφαλιστεί ότι δεν διενεργούνται τέτοιες κλήσεις, χωρίς να ελέγχεται το Μητρώο. Επίσης, αφού στις απαντήσεις της εκτελούσας την επεξεργασία One Way Private Company (βλ. Σημείο Α1) αναφέρεται ότι η αιτία χειροκίνητων κλήσεων σε αριθμούς ενταγμένους στο μητρώο Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 20 «πιθανολογείται» να είναι το ανθρώπινο σφάλμα, η ΖΕΝΙΘ θα όφειλε να επισημάνει ότι η πιθανολόγηση δεν αποτελεί ικανοποιητική απάντηση και να εξετάσει περαιτέρω τον τρόπο που έγινε η έρευνα από την εκτελούσα. Εξάλλου, καθώς ο αριθμός των προωθητικών κλήσεων είναι μεγάλος, η ΖΕΝΙΘ ως υπεύθυνος επεξεργασίας, οφείλει να λαμβάνει και προληπτικά μέτρα ελέγχου των μέτρων και διαδικασιών που εφαρμόζουν οι εκτελούντες την επεξεργασία, όπως με τη διενέργεια ελέγχων στις συνεργαζόμενες εταιρείες. Οι έλεγχοι αυτοί, δεν πρέπει να περιορίζονται σε οργανωτικά και τεχνικά ζητήματα, αλλά, ειδικά όπου ο αριθμός των κλήσεων είναι μεγάλος, της τάξης των χιλιάδων ημερησίως, πρέπει να περιλαμβάνουν έλεγχο σε σχέση με τις κλήσεις που έχουν διενεργηθεί για ικανοποιητικό χρονικό διάστημα. Μάλιστα, με δεδομένο ότι οι εκτελούντες την επεξεργασία οφείλουν να τηρούν αρχεία καταγραφής εξερχομένων κλήσεων, τέτοιος έλεγχος, ο οποίος συνίσταται σε αυτοματοποιημένη αντιπαραβολή αρχείων με αριθμούς (του Μητρώου και των αρχείων εξερχομένων κλήσεων), λαμβάνοντας υπόψη τις σημερινές τεχνολογικές δυνατότητες, είναι απλό να υλοποιηθεί και να επαναλαμβάνεται περιοδικά σε ικανό δείγμα κλήσεων, σε χρονικό διάστημα όχι μεγαλύτερο του ενός έτους. Η ΖΕΝΙΘ προχώρησε σε αυτό τον έλεγχο μόνο σε μία περίπτωση καίτοι αποδείχθηκε ότι το ποσοστό των μη νόμιμων κλήσεων επί του συνόλου ήταν αναιτιολόγητα μεγάλο. Συνεπώς, διαπιστώνεται ότι η ΖΕΝΙΘ δεν έχει λάβει τα κατάλληλα μέτρα για τον έλεγχο των εκτελούντων την επεξεργασία, κατά παράβαση του άρθρου 32 του ΓΚΠΔ. Όσον αφορά τις κλήσεις για έρευνα ικανοποίησης πελατών που επιθυμούν να αποχωρήσουν, η δραστηριότητα επεξεργασίας προσωπικών δεδομένων υφιστάμενων ή παλαιών πελατών για το σκοπό αυτό, στο βαθμό που δεν αποτελεί προώθηση προϊόντων και υπηρεσιών, δεν εμπίπτει στο πεδίο εφαρμογής του άρθρου 11 του ν. 3471/2006 αλλά η νομιμότητα της επεξεργασίας ελέγχεται με βάση το ΓΚΠΔ. Συνεπώς, η ΖΕΝΙΘ θα πρέπει να τηρεί τις προϋποθέσεις του άρθρου 6 παρ. 1, ιδίως εδαφ. α και στ του ΓΚΠΔ που ενδείκνυνται ως νομικές βάσεις για την επεξεργασία αυτή. Ως εκ τούτου, μεταξύ άλλων πρέπει να ικανοποιείται η υποχρέωση ενημέρωσης σχετικά με την εν λόγω επεξεργασία, η οποία είναι διακριτή από την επεξεργασία δεδομένων για το σκοπό της εκτέλεσης της σύμβασης, αν και μπορεί να θεωρηθεί κατ’ αρχήν συναφής ως προς αυτή. Στο βαθμό που πληρούνται οι προϋποθέσεις του άρθρου 6 παρ. 4 του ΓΚΠΔ, η επεξεργασία θα μπορούσε, πέραν της συγκατάθεσης, να βασιστεί στο υπέρτερο έννομο συμφέρον της ΖΕΝΙΘ. Όμως, μετά τη λήξη της πελατειακής σχέσης, προκειμένου Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 21 να νομιμοποιείται να χρησιμοποιεί τα στοιχεία για έρευνα εξυπηρέτησης, η εταιρεία οφείλει να αποδείξει ότι διαθέτει υπέρτερο έννομο συμφέρον ώστε να μπορεί να εφαρμοστεί άλλη νομική βάση πέραν της συγκατάθεσης. Συνεπώς, κλήση προς πελάτη που έχει ήδη αποχωρήσει δεν μπορεί να θεωρηθεί νόμιμη, καθώς δεν προκύπτει ότι ο πρώην πελάτης είχε ενημερωθεί για την περαιτέρω τήρηση των δεδομένων του για το σκοπό αυτό (παράβαση της αρχής της διαφάνειας του άρθρου 5 παρ. 1 α’ ΓΚΠΔ) ενώ η ΖΕΝΙΘ δεν τεκμηρίωσε την νομική βάση που χρησιμοποιεί (παράβαση του άρθρου 6 παρ. 1 ΓΚΠΔ). 16. Σχετικά με την One Way Private Company, ως εκτελούσα την επεξεργασία, διαπιστώνεται ότι: Αναφέρεται στο υπόμνημά της ότι υπάρχει σύστημα μέσω του οποίου οι χειροκίνητες κλήσεις ελέγχονται ως προς το μητρώο 11. Εν τούτοις οι κλήσεις πραγματοποιήθηκαν και, όπως προκύπτει εκ του αποτελέσματος, το σύστημα είτε μπορεί να παρακαμφθεί, επιτρέποντας στον υπάλληλο να αγνοήσει την ειδοποίηση περί ένταξης του καλούμενου αριθμού στο μητρώο, είτε δεν λειτούργησε σε κάποιες περιπτώσεις χειροκίνητων κλήσεων. Συνεπώς η διαδικασία και τα μέτρα που εφαρμόζονται για τις «χειροκίνητες» κλήσεις δεν είναι αποτελεσματικά. Επίσης, από τον έλεγχο της ΖΕΝΙΘ προέκυψε συστηματική και ευρείας κλίμακας παράκαμψη των κανόνων περί μη κλήσεων των ενταγμένων στο μητρώο του άρθρου 11 τηλεφωνικών αριθμών, η οποία, ειδικά για τα περιστατικά του Ιουλίου 2024, δεν μπορεί να αποδοθεί σε μεμονωμένα ανθρώπινα σφάλματα. Με τα δεδομένα αυτά στοιχειοθετείται παράβαση του άρθρου 32 του ΓΚΠΔ. 17. H διαδικασία που περιγράφεται στο υπόμνημα σχετικά με τη λήψη συγκατάθεσης για προώθηση προϊόντων / υπηρεσιών της εταιρείας One Way Private Company είναι μη νόμιμη καθώς η συγκατάθεση δίνεται για την προώθηση προϊόντων / υπηρεσιών της εταιρείας One Way Private Company αλλά έχει ληφθεί στο πλαίσιο προώθησης προϊόντων τρίτης εταιρείας (όπως η ΖΕΝΙΘ) για την οποία η One Way Private Company ενεργεί ως εκτελούσα την επεξεργασία. Μάλιστα, στο παράδειγμα που αναφέρεται στο με αρ. πρωτ. Γ/ΕΙΣ/3729/05-05-2025 υπόμνημα, το προϊόν το οποίο έχει παραγγείλει ο καταγγέλλων είναι μία Κάρτα Υγείας, για την οποία η One Way Private Company δεν έχει τον ρόλο του υπευθύνου επεξεργασίας. Δηλαδή η One Way Private Company συνδέει την Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 22 αγορά ενός προϊόντος, για το οποίο είναι εκτελούσα τη επεξεργασία για την προώθηση και την αποστολή του, με την προώθηση άλλων προϊόντων, τα οποία δεν είναι μάλιστα προϊόντα της ίδιας της v, η οποία διαθέτει μόνο υπηρεσίες προώθησης για τα προϊόντα αυτά. Συνεπώς, η One Way Private Company κατά την προώθηση προϊόντων και υπηρεσιών τρίτων και χωρίς εντολή από τον εκάστοτε υπεύθυνο επεξεργασίας, συλλέγει δεδομένα πελατών, καθιστώντας την ίδια ως υπεύθυνη επεξεργασίας καθ΄ υπέρβαση της εντολής που έχει, και χρησιμοποιεί τα δεδομένα αυτά για άλλους υπεύθυνους επεξεργασίας (και πάλι καθ’ υπέρβαση της εντολής που διαθέτει από τη ΖΕΝΙΘ η οποία δεν περιλαμβάνει χρήση τηλεφώνων από μητρώα της One Way Private Company). Η πρακτική αυτή είναι μη νόμιμη διότι α) δεν τηρούνται οι απαιτήσεις του ΓΚΠΔ περί συγκατάθεσης και β) η One Way Private Company χρησιμοποιεί τα δεδομένα αυτά πέραν των εντολών που της έχει δώσει η ΖΕΝΙΘ ως υπεύθυνος επεξεργασίας, άρα κατά παράβαση του άρθρου 29, καθώς και των άρθρων 5 παρ. 1 εδ. β, 6 παρ. 1 εδ. α και 7 παρ. 2 του ΓΚΠΔ. 18. Σχετικά με την Σ&Κ Εισαγωγική διαπιστώνεται ότι: Από το γεγονός ότι πραγματοποιήθηκαν κλήσεις σε αριθμούς ενταγμένους στο μητρώο συνάγεται ότι το σύστημα είτε μπορεί εκ του αποτελέσματος να παρακαμφθεί, επιτρέποντας στον υπάλληλο να αγνοήσει την ειδοποίηση περί ένταξης του καλούμενου αριθμού στο μητρώο, είτε δεν λειτούργησε σε κάποιες περιπτώσεις χειροκίνητων κλήσεων. Συνεπώς, με δεδομένο ότι τα μέτρα πρέπει να είναι κατάλληλα για τους κινδύνους κάθε επεξεργασίας και ότι είναι διαπιστωμένος και συχνός ο κίνδυνος από τις «χειροκίνητες» κλήσεις, η διαδικασία και τα μέτρα που εφαρμόζονται για τις κλήσεις αυτές δεν είναι αποτελεσματικά. Με τα δεδομένα αυτά στοιχειοθετείται παράβαση του άρθρου 32 του ΓΚΠΔ. 19. Σχετικά με την Revma Plus διαπιστώνεται ότι: Το τεχνικό σφάλμα που οδήγησε στην κλήση αριθμών ενταγμένων στο μητρώο διορθώθηκε και φαίνεται ότι η διαχείριση του περιστατικού ήταν αποτελεσματική. Επισημαίνεται πάντως ότι ένα τέτοιο σφάλμα εμπίπτει στα περιστατικά παραβίασης προσωπικών δεδομένων και θα έπρεπε να αναγγελθεί άμεσα στον (εκάστοτε) υπεύθυνο επεξεργασίας ώστε να γνωστοποιηθεί στην Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 23 Αρχή. Από το γεγονός όμως ότι πραγματοποιήθηκαν κλήσεις σε αριθμούς ενταγμένους στο μητρώο συνάγεται ότι το σύστημα είτε μπορεί εκ του αποτελέσματος να παρακαμφθεί, επιτρέποντας στον υπάλληλο να αγνοήσει την ειδοποίηση περί ένταξης του καλούμενου αριθμού στο μητρώο, είτε δεν λειτούργησε σε κάποιες περιπτώσεις χειροκίνητων κλήσεων. Συνεπώς, με δεδομένο ότι τα μέτρα πρέπει να είναι κατάλληλα για τους κινδύνους κάθε επεξεργασίας και ότι είναι διαπιστωμένος και συχνός ο κίνδυνος από τις «χειροκίνητες» κλήσεις, η διαδικασία και τα μέτρα που εφαρμόζονται για τις κλήσεις αυτές δεν είναι αποτελεσματικά. Με τα δεδομένα αυτά στοιχειοθετείται παράβαση του άρθρου 32 του ΓΚΠΔ. 20. Όσον αφορά τις τηρούμενες διαδικασίες, σχετικά με τη διαχείριση δηλώσεων αντίρρησης κλήσεων συγκεκριμένων αριθμών καθώς και τήρησης συγκαταθέσεων, α) Θα πρέπει να είναι σαφές ότι ο απαντών την κλήση θα πρέπει να έχει στη διάθεσή του μια απλή διαδικασία εναντίωσης, είτε τη στιγμή της κλήσης μετά από κατάλληλη ενημέρωση του και με τρόπο που αποδεικνύεται, είτε με παραπομπή σε άλλο απλό μέσο, ώστε να μπορεί να δηλώσει αντίρρηση για τον κληθέντα τηλεφωνικό αριθμό, δίνοντας τα στοιχεία του, και με τήρηση της τεκμηρίωσης της αντίρρησης (μέσω καταγραφής της κλήσης, απόδοσης μοναδικού αριθμού ή όποιου άλλου κατάλληλου και αξιόπιστου μέσου, ακόμα και με παραπομπή σε μια απλή διαδικασία δήλωσης εναντίωσης). β) Οι «χειροκίνητες κλήσεις» καλό είναι είτε να απαγορεύονται, είτε τουλάχιστον να ελέγχονται έναντι του μητρώου, καθώς είναι διαρκή τα προβλήματα από αυτού του είδους τις κλήσεις. Για παράδειγμα, οι κλήσεις σε συγκεκριμένους αριθμούς μπορούν να γίνονται μέσω του πληροφοριακού συστήματος, σε τηλεφωνικούς αριθμούς οι οποίοι βρίσκονται μέσα στο σύστημα με τεκμηρίωση της ένταξής τους (π.χ συγκατάθεση και σχετικό τεκμήριο). Θα πρέπει να υπάρχουν τα κατάλληλα μέτρα ώστε να ελέγχεται πριν τη διενέργεια της κλήσης ότι ο αριθμός δεν βρίσκεται στο Μητρώο ή το μητρώο αντιρρήσεων, ή ότι υφίσταται ειδική συγκατάθεση, και να μην μπορεί ο υπάλληλος να πραγματοποιήσει την κλήση. γ) Επισημαίνεται ιδίως ότι σε περιπτώσεις συγκατάθεσης ο υπεύθυνος επεξεργασίας θα πρέπει να είναι σε θέση να αποδείξει ότι το υποκείμενο των δεδομένων συγκατατέθηκε στη πράξη επεξεργασίας. Αυτό σημαίνει ότι ο υπεύθυνος επεξεργασίας οφείλει να λαμβάνει τη συγκατάθεση με τέτοιο τρόπο ώστε να είναι Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 24 δυνατό να εξακριβωθεί με ασφάλεια ότι το συγκεκριμένο υποκείμενο δεδομένων προέβη σε θετική ενέργεια δήλωσης. Συνεπώς, δεν μπορεί να θεωρηθεί ως έγκυρη συγκατάθεση μια σημείωση σε ένα πληροφοριακό σύστημα που εισάγεται από ένα υπάλληλο του υπεύθυνου ή του εκτελούντα την επεξεργασία, καθώς δεν παρέχονται επαρκή στοιχεία για την απόδειξη ότι ο συγκεκριμένος συνδρομητής φυσικό πρόσωπο ζήτησε την κλήση. Περιπτώσεις που αναφέρονται ότι τρίτος ζήτησε την κλήση άλλου συνδρομητή δεν πρέπει να γίνονται δεκτές. Η συγκατάθεση είναι έγκυρη μόνο αν τη δώσει ο ίδιος ο συνδρομητής. 21. Ως προς την παράλειψη της ΖΕΝΙΘ να λαμβάνει μέτρα για τον έλεγχο των εκτελούντων την επεξεργασία, με την οποία στοιχειοθετείται παράβαση του άρθρου 32 του ΓΚΠΔ (Σκέψη 15), η Αρχή κρίνει ότι πρέπει να επιβάλει διοικητικό πρόστιμο με βάση το άρθρο 58 παρ. 2 εδαφ. θ’ του ΓΚΠΔ. Παράλληλα, με βάση το άρθρο 58 παρ. 2 εδαφ. δ’ του ΓΚΠΔ, η Αρχή κρίνει ότι πρέπει να δώσει εντολή ώστε η ΖΕΝΙΘ εντός χρονικού διαστήματος έξι μηνών από την κοινοποίηση της απόφασης να εφαρμόσει τις διαδικασίες ελέγχου που περιγράφονται στη Σκέψη 15 και στη Σκέψη 20 όσον αφορά τα ζητούμενα στις συμβάσεις και στις οδηγίες που δίδονται στους εκτελούντες. Για την κλήση που πραγματοποιήθηκε χωρίς νομική βάση στον τηλεφωνικό αριθμό πρώην πελάτη, με σκοπό την έρευνα ικανοποίησης, μετά τη λήξη της πελατειακής σχέσης, προκύπτει παράβαση της διάταξης των άρθρων 5 παρ. 1 α’ και 6 παρ. 1 του ΓΚΠΔ, όπως αναλύεται στη σκέψη 15. Ως προς αυτές η Αρχή κρίνει ότι κατάλληλη είναι η κύρωση της επίπληξης με βάση το άρθρο 58 παρ. 2 β΄ του ΓΚΠΔ. 22. Για την One Way Private Company, ως εκτελούσα την επεξεργασία για λογαριασμό της ΖΕΝΙΘ, για την οποία διαπιστώνεται παράβαση του άρθρου 32 του ΓΚΠΔ, όπως περιγράφεται στη Σκέψη 16, η Αρχή κρίνει ότι συντρέχει περίπτωση επιβολής διοικητικού προστίμου με βάση το άρθρο 58 παρ. 2 εδαφ. θ’ του ΓΚΠΔ. 23. Για την One Way Private Company, ως υπεύθυνη επεξεργασίας, για την οποία διαπιστώνεται παράβαση του άρθρου 29, λόγω υπέρβασης της δοθείσας εντολής, του Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 25 άρθρου 5 παρ. 1 εδ. β (κατά το οποίο τα προσωπικά δεδομένα συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς ), του άρθρου 6 παρ. 1 εδ. α του ΓΚΠΔ. καθώς και του άρθρου 7 παρ. 2 για την εγκυρότητα της συγκατάθεσης, όπως περιγράφεται στη Σκέψη 17, η Αρχή κρίνει ότι συντρέχει περίπτωση επιβολής διοικητικού προστίμου με βάση το άρθρο 58 παρ. 2 εδαφ. θ’ του ΓΚΠΔ. Επιπροσθέτως, η Αρχή κρίνει ότι πρέπει να δώσει εντολή στην εταιρεία αυτή, με βάση το άρθρο 58 παρ. 2 εδαφ. ζ΄του ΓΚΠΔ για καταστροφή των αρχείων προσωπικών δεδομένων που αποκτήθηκαν μη νομίμως, όπως επίσης αναφέρεται στη Σκέψη 17. 24. Για την Σ&Κ Εισαγωγική, για την οποία διαπιστώνεται παράβαση του άρθρου 32 του ΓΚΠΔ, όπως περιγράφεται στη Σκέψη 18, η Αρχή κρίνει ότι συντρέχει περίπτωση επιβολής διοικητικού προστίμου με βάση το άρθρο 58 παρ. 2 εδαφ. θ’ του ΓΚΠΔ. 25. Για την Revma Plus, για την οποία διαπιστώνεται παράβαση του άρθρου 32 του ΓΚΠΔ, όπως περιγράφεται στη Σκέψη 19, η Αρχή κρίνει ότι συντρέχει περίπτωση επιβολής διοικητικού προστίμου με βάση το άρθρο 58 παρ. 2 εδαφ. θ’ του ΓΚΠΔ. 26. Για την επιμέτρηση των προστίμων, με βάση το άρθρο 83 του ΓΚΠΔ η Αρχή, λαμβάνει υπόψη τις κατευθυντήριες γραμμές 4/2022 του ΕΣΠΔ για τον υπολογισμό των διοικητικών προστίμων1 και τα εξής: i. Τον τελευταίο διαθέσιμο κύκλο εργασιών των εταιρειών και συγκεκριμένα:  ΖΕΝΙΘ: 578.570.732,02€ (έτους 2024)  Οne Way: 7.732.003,92 € (έτους 2023)  Σ&Κ Εισαγωγική: 9.497.089,98 € (έτους 2023)  Revma Plus: 380.564,28 € (έτους 2023) ii. Ότι η βαρύτητα των διαπιστωμένων παραβάσεων κρίνεται ως μικρή, λαμβάνοντας υπόψη το μικρό αριθμό των παραβάσεων ως προς τον αριθμό των συνολικών κλήσεων που πραγματοποιούνται αλλά και το ότι έχει διαπιστωθεί από τους ελέγχους της Αρχής ότι μικρό ποσοστό όσων λαμβάνουν μη νόμιμες κλήσεις προβαίνει σε καταγγελία (βλ. αποφάσεις 60-63/2018 της Αρχής), το 1 https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-042022-calculationadministrative-fines-under_en - έκδοση 2.0, μετά τη διαβούλευση. Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 26 χρονικό διάστημα, και το ότι οι παραβάσεις περιλαμβάνονται σε αυτές του άρθρου 83 παρ. 4 του ΓΚΠΔ. Εξαίρεση αποτελεί η παράβαση της One Way Private Company, ως υπεύθυνου επεξεργασίας, σε σχέση με την εγκυρότητα της συγκατάθεσης που περιλαμβάνεται σε αυτές του άρθρου 83 παρ. 5 του ΓΚΠΔ, και η οποία κρίνεται ως μέτρια, αφού συνδυάζει προσωπικά δεδομένα άλλων υπευθύνων επεξεργασίας χωρίς να είναι σαφές για το υποκείμενο των δεδομένων. iii. Η Αρχή λαμβάνει υπόψη ως ελαφρυντικά στοιχεία τα εξής: α. Η ΖΕΝΙΘ απέδειξε ότι βελτιώνει σταδιακά τα εφαρμοζόμενα μέτρα για τη συμμόρφωσή της με το ΓΚΠΔ και το ν. 3471/2006, λαμβάνοντας μέτρα όπως η διενέργεια ελέγχων στις συνεργαζόμενες εταιρείες. Επίσης όταν διαπίστωσε εκτεταμένη παράβαση των εντολών της διέκοψε τη σύμβασή της με την One Way Private Company. β. Ότι έχουν εφαρμοστεί και βελτιωθεί από τις εταιρείες call center (One Way Private Company, Σ &Κ Εισαγωγική, Revma Plus) μέτρα ελέγχου των χειροκίνητων κλήσεων, έστω και εάν δεν ήταν αποτελεσματικά και κατάλληλα για τους κινδύνους iv. Η Αρχή λαμβάνει υπόψη ως επιβαρυντικά στοιχεία τα εξής: α. Ως προς τις τρεις εταιρείες call center One Way Private Company, Σ &Κ Εισαγωγική, Revma Plus ότι έχουν ως βασικό αντικείμενο δραστηριότητας τη διενέργεια τηλεφωνικών κλήσεων, συνεπώς οφείλουν να γνωρίζουν και να σέβονται πλήρως το σχετικό θεσμικό πλαίσιο β. Ως προς την εταιρεία One Way Private Company ότι με την απόφαση 52/2021 έχει επιβληθεί διοικητικό χρηματικό πρόστιμο 30.000 ευρώ για το ίδιο αντικείμενο για παραβίαση του άρθρου 32 παρ. 2 και 4 του ΓΚΠΔ σε συνδυασμό με το άρθρο 28 παρ. 3, περ. γ του ΓΚΠΔ. γ. Ως προς την εταιρεία ΖΕΝΙΘ ότι με την απόφαση 52/2021 έχει επιβληθεί η κύρωση της επίπληξης, για παραβίαση του άρθρου 28 παρ. 3 περ. γ του ΓΚΠΔ. 27. Βάσει των ανωτέρω, η Αρχή κρίνει ομόφωνα ότι, εν όψει των παραβάσεων που διαπιστώθηκαν και λαμβάνοντας υπόψη τα παραπάνω στοιχεία, συντρέχουν οι προϋποθέσεις επιβολής σε βάρος των εταιρειών ΖΕΝΙΘ, One Way Private Company, Σ &Κ Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 27 Εισαγωγική, Revma Plus των διορθωτικών μέτρων που αναφέρονται στο διατακτικό της παρούσας συμπεριλαμβανομένων των διοικητικών προστίμων, τα οποία κρίνονται ως αποτελεσματικά, αναλογικά και αποτρεπτικά. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή: α. επιβάλλει, στην ΕΤΑΙΡΕΙΑ ΠΡΟΜΗΘΕΙΑΣ ΑΕΡΙΟΥ ΘΕΣΣΑΛΟΝΙΚΗΣ - ΘΕΣΣΑΛΙΑΣ ΜΟΝΟΠΡΟΣΩΠΗ Α.Ε. (ZeniΘ): i. με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους δέκα χιλιάδων (10.000) Ευρώ, για την ως άνω διαπιστωθείσα παραβίαση του άρθρου 32 του ΓΚΠΔ, όπως αναλύεται στη Σκέψη 21 της παρούσης. ii. με βάση το άρθρο 58 παρ. 2 εδαφ. δ’ του ΓΚΠΔ, δίνει εντολή ώστε, εντός χρονικού διαστήματος έξι μηνών από την κοινοποίηση της απόφασης, να προβεί σε σχεδίαση διαδικασίας ελέγχου των εταιρειών Call Center, στην οποία να συμπεριλαμβάνεται, τουλάχιστον μια φορά το έτος, πλήρης ή δειγματοληπτικός έλεγχος μεγάλου αριθμού εξερχόμενων κλήσεων κάθε συνεργαζόμενης εταιρείας και να ενημερώσει την Αρχή μετά την εφαρμογή της διαδικασίας αυτής, όπως αναλύεται στη σκέψη 21 της παρούσης. iii. με βάση το άρθρο 58 παρ. 2 εδαφ. δ’ του ΓΚΠΔ, δίνει εντολή ώστε, εντός χρονικού διαστήματος έξι μηνών από την κοινοποίηση της απόφασης, να διασφαλίσει την υλοποίηση των διαδικασιών που περιγράφονται στη Σκέψη 20 της παρούσης. iv. με βάση το άρθρο 58 παρ. 2 β΄ του ΓΚΠΔ, επίπληξη, για την ως άνω παράβαση της διάταξης των άρθρων 5 και 6 του ΓΚΠΔ, όπως αναλύεται στη Σκέψη 21 της παρούσης. Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 28 β. επιβάλλει, στην ONE WAY PRIVATE COMPANY: i. ως εκτελούσα την επεξεργασία, με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους σαράντα χιλιάδων (40.000) Ευρώ, για τις άνω διαπιστωθείσες παραβιάσεις του άρθρου 32 του ΓΚΠΔ όπως αναλύεται στη Σκέψη 22 της παρούσης. ii. ως υπεύθυνη επεξεργασίας με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους σαράντα χιλιάδων (40.000) Ευρώ, για τις άνω διαπιστωθείσες παραβιάσεις των άρθρων 29, 5, 6, και 7 του ΓΚΠΔ, όπως αναλύεται στη Σκέψη 23 της παρούσης. iii. με βάση με βάση το άρθρο 58 παρ. 2 εδαφ. ζ’ του ΓΚΠΔ διατάσσει την ONE WAY PRIVATE COMPANY να προβεί στην καταστροφή των προσωπικών δεδομένων υποκειμένων τα οποία δεν έχουν δώσει έγκυρη συγκατάθεση, όπως αναλύεται στη Σκέψη 23 της παρούσης. iv. με βάση το άρθρο 58 παρ. 2 εδαφ. δ’ του ΓΚΠΔ, δίνει εντολή ώστε, εντός χρονικού διαστήματος έξι μηνών από την κοινοποίηση της απόφασης, να διασφαλίσει την υλοποίηση των διαδικασιών που περιγράφονται στη Σκέψη 20 της παρούσης. γ. επιβάλλει, στην ΣΙΓΜΑ & ΚΑΠΑ ΕΙΣΑΓΩΓΙΚΗ ΑΝΩΝΥΜΗ ΕΤΑΙΡΙΑ ΤΗΛΕΠΙΚΟΙΝΩΝΙΩΝ: i. με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους δέκα χιλιάδων ευρώ (10.000), για την ως άνω διαπιστωθείσα παραβίαση του άρθρου 32 του ΓΚΠΔ, όπως αναλύεται στη Σκέψη 24 της παρούσης. ii. με βάση το άρθρο 58 παρ. 2 εδαφ. δ’ του ΓΚΠΔ, δίνει εντολή ώστε, εντός χρονικού διαστήματος έξι μηνών από την κοινοποίηση της απόφασης, να Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 29 διασφαλίσει την υλοποίηση των διαδικασιών που περιγράφονται στη Σκέψη 20 της παρούσης. δ. επιβάλλει, στην REVMA PLUS Retail Α.Ε.: i. με βάση το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους πέντε χιλιάδων ευρώ (5.000), για την ως άνω διαπιστωθείσα παραβίαση του άρθρου 32 του ΓΚΠΔ, όπως αναλύεται στη Σκέψη 25 της παρούσης. ii. με βάση το άρθρο 58 παρ. 2 εδαφ. δ’ του ΓΚΠΔ, δίνει εντολή ώστε, εντός χρονικού διαστήματος έξι μηνών από την κοινοποίηση της απόφασης, να διασφαλίσει την υλοποίηση των διαδικασιών που περιγράφονται στη Σκέψη 20 της παρούσης. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Γεωργία Παλαιολόγου Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 30 ΠΑΡΑΡΤΗΜΑ […] Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 31