Προσωπικά δεδομένα: Μια δυσάρεστη έκπληξη κατά την αγορά ποδηλάτου

Στο πλαίσιο καταγγελίας, ο καταγγέλλων ισχυρίστηκε ότι είχε αγοράσει ένα ποδήλατο από ένα ηλεκτρονικό κατάστημα, το οποίο, κατά τη γνώμη του, αποδείχθηκε ελαττωματικό και ως εκ τούτου έπρεπε να επιστραφεί. Όταν δεν κατέστη δυνατή η συμφωνία με τον υπεύθυνο του καταστήματος, ο καταγγέλλων μεταπώλησε το ποδήλατο, αποκρύπτοντας τα υποτιθέμενα ελαττώματά του από τον αγοραστή.

Ο εξαπατημένος αγοραστής ανακάλυψε τα ελαττώματα του ποδηλάτου και επικοινώνησε με τον διαχειριστή του ηλεκτρονικού καταστήματος, αναφέροντας τον αριθμό πελάτη, αφού μαζί με το ποδήλατο είχε λάβει και το τιμολόγιο αγοράς, που ανέγραφε τον αριθμό αυτό. Ο διαχειριστής του ηλεκτρονικού καταστήματος ενημέρωσε τον αγοραστή για την αλληλογραφία που είχε με τον καταγγέλλοντα.

Με βάση την ενημέρωση αυτή, ο αγοραστής μπόρεσε να διαπιστώσει ότι ο καταγγέλλων του είχε αποκρύψει ελαττώματα του ποδηλάτου, με αποτέλεσμα να στραφεί εναντίον του. Ο καταγγέλλων θεώρησε ότι η κοινοποίηση της αλληλογραφίας προσέβαλε τα δικαιώματά του και ζήτησε από την εποπτική αρχή να εξετάσει το θέμα με βάση τη νομοθεσία περί προστασίας δεδομένων.

Ο υπεύθυνος του καταστήματος εξήγησε πως η πρακτική της εταιρείας ήταν τα ερωτήματα να εξετάζονται με βάση τον αριθμό πελάτη και όχι τα πρόσωπα που τα υποβάλλουν. Κατά συνέπεια, δεν μπορούσε να αποκλειστεί ότι τρίτοι θα μπορούσαν να έχουν πρόσβαση στην αλληλογραφία που αφορούσε σε συγκεκριμένο πελάτη, εφόσον γνώριζαν το αριθμό του.

Στην προκειμένη περίπτωση, αυτό οδήγησε στη κοινολόγηση προσωπικών δεδομένων του καταγγέλλοντος στον εξαπατημένο αγοραστή χωρίς εξέταση των στοιχείων του ερωτώντος. Αφού ενημερώθηκε από την αρχή, η εταιρεία άλλαξε την διαδικασία αυτή, έτσι ώστε στο μέλλον να γίνεται σύγκριση μεταξύ της διεύθυνσης ηλεκτρονικού ταχυδρομείου που είναι αποθηκευμένη στο λογαριασμό του πελάτη και της διεύθυνσης ηλεκτρονικού ταχυδρομείου του ατόμου που ζητά πληροφορίες.

Ανεξάρτητα από αυτό, η διαβίβαση της αλληλογραφίας στον εξαπατημένο αγοραστή θα ήταν επιτρεπτή βάσει της νομοθεσίας για την προστασία δεδομένων υπό ορισμένες προϋποθέσεις. Για παράδειγμα, η αλληλογραφία που συλλέγεται στο πλαίσιο εκτέλεσης σύμβασης μπορεί, βάσει του άρθρου 6 παρ.4 ΓΚΠΔ σε συνδυασμό με το άρθρο 6 παρ.1στ΄ ΓΚΠΔ,  να διαβιβαστεί σε τρίτους με σκοπό τη διεκδίκηση νομικών αξιώσεων.

Στην προκειμένη περίπτωση, ο εξαπατημένος αγοραστής θα μπορούσε να επικαλεστεί το έννομο συμφέρον του για τη γνώση της αλληλογραφίας έναντι του διαχειριστή του ηλεκτρονικού καταστήματος, προκειμένου να είναι σε θέση να ασκήσει αστικές αξιώσεις σχετικά με τα ελαττώματα που του αποκρύφθηκαν.

Ο υπεύθυνος οφείλει να διασφαλίζει μέσω τεχνικών και οργανωτικών μέτρων, όπως η σύγκριση των αναγνωριστικών στοιχείων, ότι τα δεδομένα προσωπικού χαρακτήρα δεν αποκαλύπτονται σε τρίτους χωρίς λόγο. Προκειμένου να διεκδικηθούν αξιώσεις βάσει του αστικού δικαίου, η διαβίβαση δεδομένων σε τρίτους μπορεί να είναι επιτρεπτή υπό ορισμένες προϋποθέσεις σύμφωνα με τη νομοθεσία περί προστασίας δεδομένων.

Από την ετήσια έκθεση 2022 της γερμανικής εποπτικής αρχής