Δικαίωμα πρόσβασης στα στοιχεία υπαλλήλου που επικοινώνησε με πελάτισσα μέσω προσωπικού λογαριασμού

Περιφερειακό δικαστήριο της Γερμανίας (Landgericht Baden-Baden) δικαίωσε πελάτισσα καταστήματος, η οποία ζήτησε να πληροφορηθεί τα στοιχεία των υπαλλήλων που επικοινώνησαν μαζί της σε μέσα κοινωνικής δικτύωσης σχετικά με λάθος που είχε γίνει στην επιστροφή προϊόντος.

Η πελάτισσα – και ενάγουσα - είχε αγοράσει από κατάστημα μια τηλεόραση και μια βάση τοίχου τον Ιούνιο του 2022, αγορά για την οποία είχαν ζητηθεί το όνομα και η διεύθυνσή της. Λίγες ημέρες μετά, η πελάτισσα επέστρεψε τη βάση τοίχου, η εταιρεία όμως αντί να της επιστρέψει το κόστος της βάσης, τής έδωσε τα χρήματα της τηλεόρασης.

Όταν το λάθος έγινε αντιληπτό, υπάλληλος της εταιρείας επικοινώνησε με την πελάτισσα μέσω του λογαριασμού της στο Facebook, ζητώντας της να επικοινωνήσει μαζί της. Παράλληλα, η ενάγουσα έλαβε μήνυμα και στο Instagram, με το οποίο της ζητείτο να επικοινωνήσει με το αφεντικό του χρήστη που της είχε στείλει το μήνυμα.

Η πελάτισσα άσκησε το δικαίωμα πρόσβασης του άρθρου 15 ΓΚΠΔ και ζήτησε από την εταιρεία να της γνωστοποιήσει τα στοιχεία των υπαλλήλων, στους οποίους είχε κοινολογήσει τα προσωπικά δεδομένα της. Το αίτημα δεν έγινε δεκτό.

Το πρωτοβάθμιο δικαστήριο (Amtsgericht Bühl,– 3 C 210/22), ενώπιον του οποίου η πελάτισσα προσέφυγε, συντάχθηκε με την εταιρεία και έκρινε πως οι υπάλληλοι δεν αποτελούν αποδέκτες των δεδομένων, κατά την έννοια του άρθρου 4 στοιχ. 9 ΓΚΠΔ, ως εκ τούτου τα στοιχεία τους δεν μπορούν να γνωστοποιούνται σε υποκείμενο που ασκεί δικαίωμα πρόσβασης.

Η πελάτισσα άσκησε έφεση και δικαιώθηκε. Σύμφωνα με την από 24-8-2023 απόφαση του LG Baden-Baden, περίληψη της οποίας δημοσιεύτηκε με δελτίο τύπου του δικαστηρίου, ο Γενικός Κανονισμός Προστασίας Δεδομένων προβλέπει το δικαίωμα του υποκειμένου των δεδομένων να πληροφορείται τα στοιχεία των αποδεκτών, στους οποίους εν προκειμένω εντάσσονται και οι υπάλληλοι της εταιρείας που λαμβάνουν τα δεδομένα του υποκειμένου και επικοινωνούν μαζί του μέσω ιδιωτικών λογαριασμών στα social media.

Το δικαστήριο δέχθηκε πως, πράγματι, οι υπάλληλοι του υπευθύνου επεξεργασίας κατά κανόνα δεν θεωρούνται αποδέκτες των δεδομένων, «όταν επεξεργάζονται δεδομένα προσωπικού χαρακτήρα υπό την εποπτεία του εν λόγω υπευθύνου και σύμφωνα με τις υποδείξεις του», όπως πρόσφατα έκρινε το ΔΕΕ στην υπόθεση C-579/21 (Pankki S). Στην προκείμενη περίπτωση, ωστόσο, τουλάχιστον μια εκ των υπαλλήλων του υπευθύνου επεξεργασίας επικοινώνησε με την πελάτισσα με δική της πρωτοβουλία και μέσα από προσωπικό της λογαριασμό, προκειμένου να διευθετήσει ζήτημα σχετικά με την αγορά της τηλεόρασης.

Υπό το δεδομένο αυτό, το δικαίωμα της πελάτισσας να ελέγξει τη νομιμότητα της επεξεργασίας των δεδομένων της και ενδεχομένως να στραφεί κατά των προσώπων αυτών, υπερέχει του δικαιώματος των υπαλλήλων να διατηρήσουν την ανωνυμία τους. Κρίσιμο στοιχείο και στη στάθμιση αυτή, το γεγονός ότι η χρήση των δεδομένων έγινε χωρίς έγκριση από την εταιρεία και κατά παράκαμψη των οδηγιών της για τη διαχείριση σχετικών περιστατικών.