ΑΠΔΠΧ: Πρόστιμο 10.000 ευρώ σε τηλεπικοινωνιακό πάροχο για επεξεργασία δεδομένων για προωθητικό σκοπό

Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα επέβαλε πρόστιμο ύψους 10.000 ευρώ σε τηλεπικοινωνιακό πάροχο λόγω επεξεργασίας δεδομένων για προωθητικό σκοπό (ΑΠΔΠΧ 5/2023).

Συγκεκριμένα, η ΑΠΔΠΧ εξέτασε καταγγελία συνδρομητή, ο οποίος μετά από αίτησή του για νέα σύνδεση Vodafone έλαβε από συνεργαζόμενη με τη Vodafone διαφημιστική εταιρεία ένα δέμα με δείγματα καταναλωτικών προϊόντων, παρά την εναντίωσή του στη χρήση των δεδομένων του για σκοπούς εμπορικής προώθησης.

Σύμφωνα με τη Vodafone η αποστολή του δέματος δεν αποτελούσε προωθητική ενέργεια, αλλά παρεπόμενη παροχή της ήδη καταρτισθείσας μεταξύ των μερών σύμβασης παροχής τηλεπικοινωνιακών υπηρεσιών, η οποία αποστέλλεται σε όλους ανεξαιρέτως τους νέους συνδρομητές που εγγράφονται μέσω της ιστοσελίδας www.vodafonecu.gr, ανεξάρτητα από τις επιλογές τους σχετικά με τις προωθητικές ενέργειες, ενώ σχετική ενημέρωση παρέχεται μέσω banner που αναρτάται στην εν λόγω ιστοσελίδα.

Η Αρχή έκρινε ότι η διαβίβαση από τον πάροχο σε διαφημιστική εταιρεία και η συναφής επεξεργασία των δεδομένων του καταγγέλλοντος έγινε με σκοπό την προώθηση, κατά παράβαση της αρχής της νομιμότητας, αντικειμενικότητας και διαφάνειας της επεξεργασίας, διότι δεν ήταν απαραίτητη για τον σκοπό της σύμβασης ούτε ήταν ευλόγως αναμενόμενη για το υποκείμενο, το οποίο είχε εναντιωθεί ρητά στη χρήση και διαβίβαση των δεδομένων του για προωθητικούς σκοπούς, ενώ δεν αποδείχθηκε ότι ο καταγγέλλων είχε ενημερωθεί πλήρως σύμφωνα με το άρθρο 13 ΓΚΠΔ για την εν λόγω επεξεργασία.

Πιο αναλυτικά, ο καταγγέλλων συνδρομητής απευθύνθηκε στην Αρχή παραπονούμενος για παράνομη επεξεργασία και διαβίβαση σε τρίτη εταιρεία των προσωπικών του δεδομένων με σκοπό την απευθείας εμπορική προώθηση, παρά τη ρητή εναντίωσή του ως υποκειμένου. Συγκεκριμένα, κατέθεσε ότι μετά από αίτησή του για νέα σύνδεση με τον εν λόγω τηλεπικοινωνιακό πάροχο, έλαβε από τη συνεργαζόμενη με αυτόν διαφημιστική εταιρεία ένα δέμα με δείγματα καταναλωτικών προϊόντων, παρά την εναντίωσή του στη χρήση των δεδομένων του για σκοπούς εμπορικής προώθησης.

Σύμφωνα με τον πάροχο, η αποστολή του δέματος δεν αποτελούσε προωθητική ενέργεια, αλλά παρεπόμενη παροχή της ήδη καταρτισθείσας μεταξύ των μερών σύμβασης παροχής τηλεπικοινωνιακών υπηρεσιών, η οποία αποστέλλεται σε όλους ανεξαιρέτως τους νέους συνδρομητές που εγγράφονται μέσω της ιστοσελίδας του παρόχου, ανεξάρτητα από τις επιλογές τους σχετικά με τις προωθητικές ενέργειες, ενώ σχετική ενημέρωση παρέχεται μέσω banner που αναρτάται στην εν λόγω ιστοσελίδα.

Σύμφωνα με το σκεπτικό της Αρχής, από την γενική ενημέρωση αναφορικά με τη διαφάνεια της επεξεργασίας, που περιλαμβάνεται στην ιστοσελίδα του παρόχου, δεν προκύπτει ότι η εταιρεία μπορεί στο πλαίσιο εκτέλεσης της σύμβασης να αποστέλλει κάθε είδους δώρα, μη συναφή με το κύριο αντικείμενο της σύμβασης, ούτε να διαβιβάζει τα δεδομένα των συνδρομητών της σε τρίτους για το σκοπό αυτό.

Σημείωσε δε ότι ο σκοπός κάθε τέτοιου είδους πρόσθετης παροχής είναι κατ’ εξοχήν διαφημιστικός. Από τη σύμβαση της καταγγελλόμενης με την εκτελούσα την επεξεργασία, διαφημιστική εταιρεία, προκύπτει ότι σκοπός διαβίβασης και επεξεργασίας των δεδομένων των συνδρομητών είναι «η προσέλκυση νέων συνδρομητών». Η επεξεργασία των δεδομένων των συνδρομητών για την αποστολή του δώρου, παρότι έπεται χρονικά της υπογραφής της σύμβασης, εξυπηρετεί ακριβώς το σκοπό της υλοποίησης της προωθητικής ενέργειας που έχει ξεκινήσει με την τοποθέτηση διαφημιστικού banner στην ιστοσελίδα του παρόχου, και δεν μπορεί να θεωρηθεί ότι αποτελεί επεξεργασία απαραίτητη για την εκτέλεση της σύμβασης, κατά τρόπο ώστε η σχετική επεξεργασία να εμπίπτει στη νομική βάση του άρθρου 6 παρ. 1 ΓΚΠΔ.

Περαιτέρω, σύμφωνα με τη βασική αρχή του περιορισμού του σκοπού (άρθρο 5 παρ. 1 β) ΓΚΠΔ), ο υπεύθυνος επεξεργασίας δεν επιτρέπεται να εντάσσει στη νομική βάση της εκτέλεσης της σύμβασης κατά τρόπο αυθαίρετο οποιαδήποτε ενέργεια που συνεπάγεται επεξεργασία δεδομένων, με την αιτιολογία ότι η ενέργεια αυτή είναι επωφελής (οικονομικά) για τα υποκείμενα. Για το λόγο αυτό, η επεξεργασία δεδομένων συνδρομητών για τέτοιου είδους πρόσθετες παροχές δεν μπορεί να ενταχθεί στη νομική βάση του άρθρου 6 παρ. 1 β) (εκτέλεση σύμβασης).

Πολύ περισσότερο δε, απαιτείται χωριστός έλεγχος για τη νομιμότητα του σκοπού και, ακολούθως, επιλογή κατάλληλης νομικής βάσης επεξεργασίας, όταν οι εν λόγω παροχές προϋποθέτουν τη διαβίβαση προσωπικών δεδομένων των συνδρομητών σε τρίτο αποδέκτη αλλά και τη χρήση τους για τον σκοπό της προώθησης των προϊόντων/υπηρεσιών του εν λόγω τρίτου, όπως συνέβη εν προκειμένω.

Κατόπιν των ανωτέρω, η Αρχή διαπίστωσε ότι έλαβε χώρα επεξεργασία των δεδομένων του καταγγέλλοντος εκ μέρους της καταγγελλόμενης, ως υπεύθυνου επεξεργασίας, και συγκεκριμένα διαβίβασή τους στην εκτελούσα την επεξεργασία διαφημιστική εταιρεία για το σκοπό της εμπορικής προώθησης, τόσο των υπηρεσιών της καταγγελλόμενης όσο και της ιστοσελίδας της εκτελούσας την επεξεργασία, χωρίς η επεξεργασία αυτή να μπορεί να στηριχθεί σε οποιαδήποτε νομική βάση και παρά το γεγονός ότι ο καταγγέλλων είχε εναντιωθεί ρητά στη χρήση και διαβίβαση των δεδομένων του σε τρίτους για σκοπούς εμπορικής προώθησης.

Επιπλέον, έκρινε ότι η εν λόγω επεξεργασία έλαβε χώρα χωρίς να πληρούνται οι όροι διαφάνειας της επεξεργασίας και, συγκεκριμένα, χωρίς να έχει ενημερωθεί κατάλληλα ο καταγγέλλων σύμφωνα με το άρθρο 13 ΓΚΠΔ για το γεγονός ότι η επιλογή του να αιτηθεί νέα σύνδεση μέσω της ιστοσελίδας του παρόχου συνεπάγεται τη διαβίβαση των δεδομένων του στην εν λόγω διαφημιστική εταιρεία και τη χρήση τους για το σκοπό της διαφήμισης δικών της προϊόντων και υπηρεσιών.

Δείτε αναλυτικά την απόφαση της Αρχής στο dpa.gr.