Πρόστιμο 2.000 ευρώ σε ιδιωτικό ερευνητή για μη ενημέρωση της εντολέως του σχετικά με την επεξεργασία προσωπικών δεδομένων

Διοικητικό πρόστιμο 2.000 ευρώ επέβαλε η ισπανική αρχή προστασίας δεδομένων AEPD σε ιδιωτικό ερευνητή για παραβίαση της υποχρέωσης ενημέρωσης του άρθρου 13 Γενικού Κανονισμού Προστασίας Δεδομένων.

Στις 19 Μαΐου 2022 η ισπανική αρχή δέχθηκε την καταγγελία υποκειμένου των δεδομένων για μη ενημέρωση ως προς τους όρους συλλογής και επεξεργασίας προσωπικών δεδομένων.

Σύμφωνα με την καταγγελία, η καταγγέλλουσα τον Απρίλιο του 2021 ανέθεσε σε ιδιωτικό ερευνητή τη διεξαγωγή έρευνας για υπόθεσή της, ενώ στο πλαίσιο της έρευνας αυτής ο ερευνητής συνέλεξε και επεξεργάστηκε προσωπικά δεδομένα της, χωρίς ποτέ να της παράσχει την ενημέρωση που προβλέπεται στο άρθρο 13 ΓΚΠΔ. Η καταγγέλλουσα επεσήμανε στον ερευνητή της παράλειψη αυτή και ζήτησε σχετική πληροφόρηση, χωρίς όμως να λάβει κάποια απάντηση.

Η καταγγέλλουσα υπέβαλε στην ισπανική αρχή τη σύμβαση που είχε υπογράψει με τον ερευνητή, η οποία δεν περιελάμβανε ρήτρες για την επεξεργασία προσωπικών δεδομένων, καθώς και το ηλεκτρονικό μήνυμα που είχε στείλει, ασκώντας το δικαίωμά της. Η AEPD παρατήρησε πως η σύμβαση έκανε αναφορά στον ιστότοπο του ιδιωτικού ερευνητή, από τον οποίο όμως επίσης απουσίαζε οποιοδήποτε κείμενο ενημέρωσης για προσωπικά δεδομένα (Πολιτική Προστασίας). Τούτο μάλιστα, παρά το γεγονός πως ο ιστότοπος διέθετε και ειδική φόρμα επικοινωνίας, με την οποία οι ενδιαφερόμενοι μπορούσαν να συμπληρώσουν τα προσωπικά τους στοιχεία και να ζητήσουν να έρθουν σε επαφή με τον ερευνητή.

Με βάση τα ανωτέρω και σύμφωνα με τις προβλέψεις του άρθρου 13 ΓΚΠΔ, σε συνδυασμό με τις αιτιολογικές 39 και 60, η ισπανική αρχή διαπίστωσε την παραβίαση των απαιτήσεων διαφάνειας του Γενικού Κανονισμού. Τόσο ως προς την καταγγέλλουσα, όσο όμως και όλους όσοι είχαν τυχόν επικοινωνήσει με τον ερευνητή μέσω της ιστοσελίδας του.

Για τους λόγους αυτούς, η AEPD επέβαλε στον ιδιωτικό ερευνητή διοικητικό πρόστιμο ύψους 2.000 ευρώ για παραβίαση του άρθρου 13 ΓΚΠΔ, δίδοντάς του παράλληλα προθεσμία 30 ημερών προκειμένου να προσθέσει τους όρους για τη συλλογή και επεξεργασία προσωπικών δεδομένων, τόσο στα κείμενα των συμβάσεων που χρησιμοποιεί, όσο και στην ιστοσελίδα του.