Πρόστιμο 20.000 ευρώ για μια φωτογραφία με ορατή την πινακίδα αυτοκινήτου (ΑΠΔΠΧ 34/2023)

Επιμέλεια: Δημήτρης Βέρρας

Πρόστιμο ύψους 20.000 ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα στην εταιρεία Πειραιώς Χρηματοδοτικές Μισθώσεις για την παραβίαση της αρχής της ελαχιστοποίησης και του δικαιώματος πρόσβασης, όπως αυτές προέκυψαν από την επεξεργασία της φωτογραφίας ενός ακινήτου.

Η επεξεργασία αυτή συνίστατο αφενός στη διατήρηση της φωτογραφίας στα αρχεία της καταγγελλόμενης, αφετέρου στη διαβίβασή της σε εταιρεία διαχείρισης ακινήτων, η οποία και την απέστειλε σε πρόσωπο που εκδήλωσε ενδιαφέρον για την αγορά του ακινήτου που απεικονιζόταν.

Ο λόγος για τον οποίο η καταγγελλόμενη βρέθηκε υπόλογη για την παραβίαση των απαιτήσεων νομιμότητας της νομοθεσίας για την προστασία των προσωπικών δεδομένων ήταν πως στη φωτογραφία αυτή απεικονιζόταν και το αυτοκίνητο του καταγγέλλοντος, με ορατό τον αριθμό κυκλοφορίας του (πινακίδα). Η παρουσία του αυτοκινήτου στον χώρο δεν ήταν τυχαία, καθώς το ακίνητο, σύμφωνα με την καταγγελία ανήκε στον πατέρα του καταγγέλλοντος, πριν αυτό κατασχεθεί. Το πρόσωπο στο οποίο διαβιβάστηκε η επίμαχη φωτογραφία έτυχε να γνωρίζει τον καταγγέλλοντα, με αποτέλεσμα να τον αναγνωρίσει, μέσω της απεικόνισης του οχήματός του και να συνδέσει, σύμφωνα με την καταγγελία, την παρουσία του οχήματος με την απώλεια του ακινήτου.

Η Αρχή Προστασίας Δεδομένων επανέλαβε την πάγια θέση της πως η ταυτοποίηση ενός φυσικού προσώπου μπορεί να είναι και έμμεση, με συνάρτηση πολλών διαφορετικών παραγόντων. Στο πλαίσιο αυτό, ο συνδυασμός στοιχείων, τα οποία σε ένα ευρύ κοινωνικό περιβάλλον δεν μπορούν να ταυτοποιήσουν ένα πρόσωπο, μπορεί να οδηγήσει στην πλήρη ταυτοποίηση αυτού, όταν αυτά τίθενται σε γνώση μιας μικρής κοινωνικής ομάδας, τα μέλη της οποίας γνωρίζονται μεταξύ τους. Πιο απλά, σύμφωνα με την Αρχή, μια πληροφορία μπορεί να αποτελεί προσωπικό δεδομένο, ακόμη και αν δεν είναι ικανή να ταυτοποιήσει κάποιον σε ευρύτερο κοινωνικό κύκλο, όταν η ταυτοποίηση αυτή μπορεί να γίνει από κάποιον που γνωρίζει το πρόσωπο, στο οποίο η πληροφορία αναφέρεται.

Στη συγκεκριμένη περίπτωση, η επεξεργασία μιας φωτογραφίας, στην οποία απεικονίζεται ο αριθμός κυκλοφορίας ενός αυτοκινήτου, σε συνδυασμό με άλλα στοιχεία που καθιστούν το φυσικό πρόσωπο ταυτοποιήσιμο, δύναται να αποτελεί επεξεργασία προσωπικών δεδομένων, καθώς ο κάτοχος του αυτοκινήτου μπορεί να καταστεί αναγνωρίσιμος μέσω της πινακίδας του.

Ειδικότερα, η ταυτοποίηση αυτή κατέστη δυνατή από την απεικόνιση του αριθμού κυκλοφορίας, σε συνδυασμό με το σημείο στο οποίο το όχημα βρισκόταν. Δεδομένου ότι το σημείο αυτό αποτελούσε την οικογενειακή οικία του καταγγέλλοντος στο παρελθόν, ο συνδυασμός των πληροφοριών όχι μόνο ήταν δυνατόν να οδηγήσει, αλλά και τελικά οδήγησε στην ταυτοποίηση του καταγγέλλοντος.

Επ’ αυτού αξίζει να επισημανθεί πως η Αρχή αποφεύγει να προβεί σε μια γενική κρίση ως προς την ιδιότητα της πινακίδας του οχήματος ως προσωπικό δεδομένο, περιοριζόμενη αντ’ αυτού σε μια πολύ προσεκτική αξιολόγηση των ειδικότερων παραμέτρων της υπόθεσης. Στο πλαίσιο αυτό, η πινακίδα του οχήματος θεωρείται πως ταυτοποιεί το πρόσωπο όχι ως αυτοτελής πληροφορία, αλλά σε πλήρη σύνδεση με την απεικόνιση της οικογενειακής οικίας και τα συμπεράσματα που συνάγονται εμμέσως από τον συνδυασμό των πληροφοριών αυτών, σε άμεση συνάρτηση με τον κύκλο προσώπων που δύνανται να κάνουν τη συναγωγή αυτή. 

Με βάση το ανωτέρω σκεπτικό, η Αρχή έκρινε πως η διατήρηση της επίμαχης φωτογραφίας, αλλά και η διαβίβασή της στην εταιρεία διαχείρισης ακινήτων αποτέλεσαν επεξεργασία προσωπικών δεδομένων του καταγγέλλοντος, καθόσον αυτή μπορούσε να οδηγήσει στην ταυτοποίησή του. Η επεξεργασία αυτή τελέστηκε κατά παράβαση της υποχρέωσης ελαχιστοποίησης του άρθρου 5 παρ.1γ’ ΓΚΠΔ, για την οποία επιβλήθηκε διοικητικό πρόστιμο 10.000 ευρώ.

Περαιτέρω, η Αρχή διαπίστωσε και την παραβίαση του δικαιώματος πρόσβασης του άρθρου 15 ΓΚΠΔ, επιβάλλοντας αυτοτελές πρόστιμο 10.000 ευρώ. Η παραβίαση αυτή τελέστηκε με τη μη ενημέρωση του καταγγέλλοντος από την καταγγελλόμενη πως τηρούσε την επίμαχη φωτογραφία στα αρχεία της, με την Αρχή να επισημαίνει πως η ύπαρξή της αναφέρθηκε από την εταιρεία για πρώτη φορά στο μετά την ακρόαση υπόμνημά της.

Η απόφαση της Αρχής (απόσπασμα)

3. Επειδή, ως δεδομένο προσωπικού χαρακτήρα νοείται κατ’ άρθ. 4 παρ. 1 ΓΚΠΔ κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως βάσει αριθμού ταυτότητας ή βάσει ενός η περισσοτέρων συγκεκριμένων στοιχείων που χαρακτηρίζουν την υπόστασή του από άποψη φυσική, βιολογική, ψυχική, οικονομική, πολιτιστική, πολιτική ή κοινωνική. Για την ταυτοποίηση του φυσικού προσώπου, η οποία μπορεί να είναι και έμμεση, χωρίς δηλαδή ευθεία αναφορά στο φυσικό πρόσωπο, πρέπει να λαμβάνεται υπόψη το σύνολο των μέσων που μπορούν ευλόγως να χρησιμοποιηθούν, είτε από τον υπεύθυνο επεξεργασίας, είτε από τρίτο. Σύμφωνα με την Απόφαση 41/2017 της Αρχής Προστασίας Δεδομένων η έμμεση ταυτοποίηση μπορεί να είναι συνάρτηση πολλών διαφορετικών παραγόντων. Τα ίδια στοιχεία, ο συνδυασμός των οποίων δεν επιτρέπει την ταυτοποίηση ενός προσώπου σε ένα ευρύ κοινωνικό περιβάλλον, μπορεί να οδηγούν σε πλήρη ταυτοποίηση στο πλαίσιο μιας μικρής κοινωνικής ομάδας, όπου όλα τα μέλη της γνωρίζονται μεταξύ τους. Για τον λόγο αυτό, προκειμένου να εξετασθεί εάν έχει λάβει χώρα επεξεργασία δεδομένων προσωπικού χαρακτήρα, πρέπει να λαμβάνεται υπόψη το σύνολο αυτών των παραμέτρων που αφορούν την υπό κρίση επεξεργασία, διότι και η πιθανότητα έμμεσης ταυτοποίησης, όταν δεν είναι αμελητέα, καθιστά, καταρχήν, την πληροφορία, προσωπικό δεδομένο. Επομένως, η συλλογή και αποθήκευση φωτογραφίας, στην οποία απεικονίζεται ο αριθμός κυκλοφορίας αυτοκινήτου, όπως εμφαίνεται στην πινακίδα του, σε συνδυασμό με άλλα στοιχεία που καθιστούν ταυτοποιήσιμο το φυσικό πρόσωπο, έστω και στο πλαίσιο μιας μικρής κοινωνικής ομάδας, αποτελεί επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς ο κάτοχος του αυτοκινήτου είναι δυνατό να καθίσταται αναγνωρίσιμος μέσω του αριθμού κυκλοφορίας του που εμφαίνεται στην πινακίδα αυτού.

[…]

7. Επειδή, από τα στοιχεία του φακέλου προκύπτει ότι, η εταιρεία Πειραιώς Leasing MAE, παρότι στα υπομνήματα που προσκόμισε στην Αρχή πριν από την συζήτηση της υποθέσεως ενώπιον της Αρχής, αναφέρθηκε μόνο στη φωτογραφία που είχε αναρτηθεί στην ιστοσελίδα της Πειραιώς Leasing και στην οποία δεν ήταν ευκρινής η πινακίδα του αυτοκινήτου του καταγγέλλοντος, στην ακρόαση και στο μετά την ακρόαση υπόμνημα αναφέρθηκε για πρώτη φορά και σε έτερη, δεύτερη φωτογραφία, στην οποία όμως φαινόταν ευκρινώς ο αριθμός κυκλοφορίας της πινακίδας του αυτοκινήτου του καταγγέλλοντος. Η εν λόγω δεύτερη φωτογραφία είχε αποθηκευτεί στα συστήματα της Πειραιώς Leasing ΜΑΕ και είχε διαβιβασθεί στην Πειραιώς Real Estate στο πλαίσιο της μεταξύ των δύο εταιρειών συμβατικής σχέσης. Στην επίμαχη φωτογραφία διακρίνεται ευκρινώς ο αριθμός κυκλοφορίας του σταθμευμένου αυτοκινήτου, ο οποίος σε συνδυασμό με την απεικόνιση της οικίας που ανήκε στο παρελθόν στην οικογένεια του καταγγέλλοντος ήταν δυνατόν να οδηγήσει και τελικά οδήγησε σε ταυτοποίηση του καταγγέλλοντος από ένα στενό κύκλο προσώπων. Επομένως, η εταιρεία Πειραιώς Leasing MAE υπήρξε η υπεύθυνη επεξεργασίας των δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος και έχει όλες τις προβλεπόμενες από τον ΓΚΠΔ και τον ν. 4624/2019 υποχρεώσεις του υπευθύνου επεξεργασίας.

8. Επειδή, η εταιρεία Πειραιώς Leasing μέσα στο … διαβίβασε στην εταιρεία Πειραιώς Real Estate, λόγω της από … σύμβασης έργου μεταξύ των δύο εταιρειών, στην οποία ρητά αναφέρεται ότι οι περιγραφόμενες υπηρεσίες παρέχονταν ήδη από το …, τη φωτογραφία, στην οποία ήταν ευκρινής ο αριθμός κυκλοφορίας του αυτοκινήτου του καταγγέλλοντος. Στη συνέχεια, η εταιρεία Πειραιώς Real Estate, απέστειλε το ηλεκτρονικό μήνυμα που περιείχε τη φωτογραφία με ευκρινή τον αριθμό κυκλοφορίας που εμφαίνεται στην πινακίδα του αυτοκινήτου στο τρίτο πρόσωπο στις …. Ως προς τον ισχυρισμό του καταγγέλλοντος ότι πρώτη φορά έλαβε γνώση του εν λόγω ηλεκτρονικού μηνύματος το …, αυτός πρέπει να απορριφθεί, καθώς από τη σειρά των προωθήσεων του ηλεκτρονικού μηνύματος προκύπτει ότι το είχε λάβει από το τρίτο πρόσωπο ήδη από τις …, δηλαδή προτού υποβάλει τις δύο πρώτες καταγγελίες στην Αρχή, στις οποίες ουδεμία σχετική αναφορά είχε κάνει.

9. Επειδή, ο καταγγέλλων υπέβαλε στις … για πρώτη φορά αίτημα διαγραφής της φωτογραφίας που είχε αναρτηθεί στην ιστοσελίδα της Πειραιώς Leasing και σε συνέχεια του εν λόγω αιτήματος οι εταιρείες Πειραιώς Leasing και Πειραιώς Financial Leasing MAE, κατά δήλωσή τους, προέβησαν σε έλεγχο των φωτογραφιών που βρίσκονταν στα αρχεία τους, εντόπισαν την επίμαχη φωτογραφία, τη διέγραψαν και ενημέρωσαν την Πειραιώς Real Estate να τη διαγράψει και αυτή από τα αρχεία της.

10. Επειδή, ο καταγγέλλων στις … επανήλθε ασκώντας στην εταιρεία Πειραιώς Leasing ΜΑΕ το δικαίωμα πρόσβασης, η εταιρεία δήλωσε ότι δεν διατηρεί στα αρχείο φωτογραφία με προσωπικά δεδομένα του καταγγέλλοντος, καθώς η επίμαχη φωτογραφία είχε διαγραφεί από τα αρχεία των εταιρειών. Δικαιολογητικός λόγος δηλαδή για την μη ικανοποίηση του δικαιώματος πρόσβασης συνιστά κατά την εταιρεία Πειραιώς Leasing MAE η από μέρους της διαγραφής της εν λόγω φωτογραφίας.

11. Επειδή η εταιρεία Πειραιώς Leasing ΜΑΕ δεν έχει προσκομίσει στην Αρχή, κατ’ εφαρμογή της αρχής της λογοδοσίας (αρ. 5 παρ. 2 ΓΚΠΔ) σε κανένα στάδιο της διαδικασίας ουδέν στοιχείο, από το οποίο να αποδεικνύεται η βασιμότητα του ισχυρισμού της, σύμφωνα με τον οποίο διέγραψε την επίμαχη φωτογραφία από τα αρχεία της.

12. Ενόψει των ανωτέρω, η εταιρεία Πειραιώς Leasing MAE ως υπεύθυνη επεξεργασίας όφειλε να εφαρμόζει τις αρχές που διέπουν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος και να λαμβάνει τα κατάλληλα τεχνικά και οργανωτικά μέτρα ώστε τα δεδομένα να είναι κατάλληλα, συναφή και να περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία, σύμφωνα με την αρχή της ελαχιστοποίησης (αρ. 5 παρ.1 στοιχ. γ’ ΓΚΠΔ). Ως εκ τούτου, η Αρχή διαπιστώνει ότι καταγγελλόμενη εταιρεία δεν εφάρμοσε την αρχή της ελαχιστοποίησης και δεν έλαβε τα κατάλληλα μέτρα ώστε να διαβιβάσει στην εταιρεία Πειραιώς Real Estate την απαραίτητη για την εκτέλεση της μεταξύ αυτών σύμβασης, φωτογραφία, χωρίς να είναι ευκρινής η πινακίδα αυτοκινήτου του καταγγέλλοντος.

13. Αναφορικά με την ικανοποίηση του δικαιώματος πρόσβασης του καταγγέλλοντος, η εταιρεία Πειραιώς Leasing ΜΑΕ, ως υπεύθυνη επεξεργασίας, όφειλε να εφαρμόζει τις αρχές που διέπουν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος και να λαμβάνει τα κατάλληλα τεχνικά και οργανωτικά μέτρα, ώστε τα δεδομένα να υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο, σύμφωνα με την αρχή της διαφάνειας (αρ. 5 παρ. 1 στοιχ. α’ ΓΚΠΔ). Το υποκείμενο των δεδομένων έχει δικαίωμα να ενημερώνεται για την επεξεργασία, την οποία έχουν υποστεί τα δεδομένα προσωπικού χαρακτήρα που το αφορούν με πλήρη διαφάνεια. Ως εκ τούτου, η εταιρεία Πειραιώς Leasing ΜΑΕ όφειλε κατά την ικανοποίηση του δικαιώματος πρόσβασης του καταγγέλλοντος, για το οποίο τον ενημέρωσε ότι διατηρεί στα αρχεία της τη φωτογραφία, παρότι δεν διακρίνεται ο αριθμός της πινακίδας για απόδειξη του ισχυρισμού της, αντίστοιχα να τον ενημερώσει για τη διατήρηση στα αρχεία της στο παρελθόν δεύτερης φωτογραφίας, στην οποία διακρινόταν ο αριθμός της πινακίδας και την οποία διέγραψε, κατόπιν της υποβολής του αιτήματος διαγραφής του ιδίου του καταγγέλλοντος. Αντιθέτως, η εταιρεία Πειραιώς Leasing ΜΑΕ ουδέποτε ενημέρωσε τον καταγγέλλοντα για την επίμαχη δεύτερη φωτογραφία και η πρώτη αναφορά σε αυτήν πραγματοποιήθηκε κατά τη συζήτηση των καταγγελιών ενώπιων της Αρχής.

14. Η Αρχή, ενόψει των ανωτέρω, διαπιστώνει ότι, η εταιρεία Πειραιώς Χρηματοδοτικές Μισθώσεις ΜΑΕ, ως καθολική διάδοχος των καταγγελλομένων εταιρειών Πειραιώς Leasing Χρηματοδοτικές Μισθώσεις Μονοπρόσωπη Ανώνυμη Εταιρεία και Πειραιώς Financial Leasing Χρηματοδοτικές Μισθώσεις Μονοπρόσωπη Ανώνυμη Εταιρεία, η οποία έχει απορροφήσει την αρχικώς καταγγελλόμενη CBP Leasing Ανώνυμος Εταιρεία Χρηματοδοτικών Μισθώσεων, έχει επεξεργαστεί τα δεδομένα προσωπικού χαρακτήρα του καταγγέλλοντος με τη διατήρηση στα αρχεία της φωτογραφίας που περιείχαν προσωπικά δεδομένα, τα οποία ηδύνατο να οδηγήσουν σε ταυτοποίηση του καταγγέλλοντος, και τη διαβίβαση αυτής σε έτερη εταιρεία παραβιάζοντας την αρχή της ελαχιστοποίησης που προβλέπεται στο άρθρο 5 παρ. 1, στοιχ. γ’ ΓΚΠΔ και αποφασίζει ότι συντρέχει λόγος να ασκήσει την κατά άρθρο 58 παρ. 2, στοιχ. θ’ ΓΚΠΔ διορθωτική εξουσία της επιβολής διοικητικού προστίμου για την εταιρεία.

15. Αναφορικά με το δικαίωμα πρόσβασης που άσκησε ο καταγγέλλων, η Αρχή, ενόψει των ανωτέρω, διαπιστώνει ότι, η εταιρεία Πειραιώς Χρηματοδοτικές Μισθώσεις ΜΑΕ, απέτυχε να ικανοποιήσει το δικαίωμα πρόσβασης που άσκησε ο καταγγέλλων κατά παράβαση του άρθρου 15 παρ. 1 ΓΚΠΔ, υποστηρίζοντας αβάσιμα και ατεκμηρίωτα ότι είχε ήδη διαγράψει την επίμαχη φωτογραφία και αποφασίζει ότι συντρέχει λόγος να ασκήσει την κατά άρθρο 58 παρ. 2, στοιχ. θ’ ΓΚΠΔ διορθωτική εξουσία της επιβολής διοικητικού προστίμου για την εταιρεία.

[…]

ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ

Η ΑΡΧΗ

Α. Διαπιστώνει ότι η καταγγελλόμενη εταιρεία Πειραιώς Χρηματοδοτικές Μισθώσεις ΜΑΕ, ως υπεύθυνη επεξεργασίας, παραβίασε το άρθρο 5 παρ. 1, στοιχ. γ’ του ΓΚΠΔ και επιβάλλει στην εταιρεία Πειραιώς Χρηματοδοτικές Μισθώσεις ΜΑΕ κατ’ άρθρο 58 παρ. 2 στοιχ. θ’ ΓΚΠΔ το διοικητικό χρηματικό πρόστιμο ύψους δέκα χιλιάδων (10.000,00) ευρώ.

Β. Διαπιστώνει ότι η καταγγελλόμενη εταιρεία Πειραιώς Χρηματοδοτικές Μισθώσεις ΜΑΕ, ως υπεύθυνη επεξεργασίας, παραβίασε το άρθρο 15 παρ. 1 ΓΚΠΔ και επιβάλλει στην εταιρεία Πειραιώς Χρηματοδοτικές Μισθώσεις ΜΑΕ κατ’ άρθρο 58 παρ. 2 στοιχ. θ’ ΓΚΠΔ το διοικητικό χρηματικό πρόστιμο ύψους δέκα χιλιάδων (10.000,00) ευρώ.