Τα προσωπικά δεδομένα σου για να νοικιάσεις

Η ενοικίαση διαμερίσματος έχει αρχίσει  - και στην Ελλάδα πια – να θυμίζει την αναζήτηση εργασίας. Δεν αρκεί να εντοπίσεις την περίπτωση που σε ενδιαφέρει και να υποβάλεις αίτηση· πρέπει να έχεις και τα κατάλληλα προσόντα. Τα προσόντα αυτά θα αξιολογηθούν από αυτόν που προσφέρει αυτό που αναζητάς ή από κάποιον που ενεργεί για λογαριασμό του: ποια είναι η γνώμη των προηγούμενων εκμισθωτών σου, κατά πόσον υπήρξες συνεπής στις υποχρεώσεις που είχες αναλάβει απέναντι σε αυτούς, γιατί αποφάσισες να φύγεις από αυτούς και να αναζητήσεις αλλού στέγη, τι είναι αυτό που αναζητάς. Ποιο είναι το επαγγελματικό, οικονομικό και οικογενειακό σου προφίλ, ποια είναι η σχέση σου με τα ζώα, πώς βλέπεις το ενδεχόμενο να κάνεις παιδιά στο μέλλον, πώς θα μπορέσεις να καλύψεις το ενοίκιο όταν έχεις ανοίγματα σε τράπεζες, ασφαλιστικά ταμεία και την εφορία.

Για να αποδείξεις τα προσόντα σου αυτά, δεν αρκεί ο λόγος και η καλή εικόνα σου. Πρέπει να υποβάλεις συγκεκριμένα στοιχεία και να ακολουθήσεις τη διαδικασία που σου προτείνεται. Ενδέχεται να κληθείς να συμπληρώσεις σχετικό ερωτηματολόγιο ή και να προσκομίσεις πλήρη αντίγραφα εγγράφων που αποδεικνύουν τα όσα ισχυρίζεσαι. Αν μάλιστα κρίνεσαι επαρκής για τη θέση που προσφέρεται, ίσως χρειαστεί να περάσεις και από προσωπική συνέντευξη. Αυτός που θα επικρατήσει μεταξύ των πολλών υποψηφίων, είναι και αυτός που θα υπογράψει την πολυπόθητη σύμβαση.

Η συλλογή και επεξεργασία προσωπικών δεδομένων των υποψηφίων ενοικιαστών από τους ιδιοκτήτες ή τους εντεταλμένους διαχειριστές των ιδιοκτησιών τους αποτελεί μια πρακτική προ πολλού διαδεδομένη στο εξωτερικό, η οποία έχει πια για τα καλά κάνει την εμφάνισή της και στη χώρα μας. Η μείζων κρίση στη στέγαση και η σαφής αναντιστοιχία μεταξύ προσφοράς και ζήτησης διαμερισμάτων προς ενοικίαση έχουν δώσει σε όσους βρίσκονται στην πλευρά του εκμισθωτή τη δυνατότητα να ασκούν μεγαλύτερο σε σχέση με το παρελθόν έλεγχο στα χαρακτηριστικά των ανθρώπων που θα κατοικήσουν στις ιδιοκτησίες τους.

Ο έλεγχος αυτός γίνεται με τη συλλογή πληροφοριών, οι οποίες μπορούν να διακριθούν σε τέσσερις κατηγορίες:

α. Προσωπικές πληροφορίες: πόσα μέλη έχει η οικογένεια, αν έχουν κατοικίδια και πόσα είναι αυτά. Ποια είναι η καταγωγή ή η εθνικότητά τους, αν σκέπτονται στο μέλλον να παντρευτούν ή να κάνουν παιδιά.

β. Εργασιακές πληροφορίες: κατά πόσον εργάζονται τα ενήλικα μέλη αυτής, σε ποιον εργοδότη, υπό ποιο καθεστώς και σε ποια θέση.

γ. Μισθωτικές πληροφορίες: πού έμεναν τα προηγούμενα χρόνια και υπό καθεστώς (ιδιοκατοίκηση, φιλοξενία, μίσθωση), ποια είναι τα στοιχεία του προηγούμενου εκμισθωτή τους και ποια η άποψή του για αυτούς, σε ποιο βαθμό εκπλήρωσαν τις υποχρεώσεις τους βάσει μισθωτηρίου συμβολαίου, για ποιο λόγο έφυγαν από το προηγούμενο σπίτι που νοίκιαζαν. Αν πλήρωναν τα κοινόχρηστα και τους λογαριασμούς, κάθε πότε κατέθεταν το μίσθωμα στον προηγούμενο ιδιοκτήτη και  - φυσικά - ποιο ήταν το ύψος του μισθώματος αυτού.

δ. Οικονομικές πληροφορίες (εισοδηματικές-περιουσιακές-μισθολογικές-φορολογικές-πιστοληπτικές): ποιος είναι ο μισθός τους ή τα εισοδήματά τους στην περίπτωση άσκησης ελευθερίου επαγγέλματος, ποια εισοδήματα έχουν από άλλες πηγές, ποια εισοδήματα δηλώνουν στην εφορία, ποια είναι η ακίνητη περιουσία τους, ποιες είναι οι τυχόν οφειλές τους σε τράπεζες και ασφαλιστικά ταμεία, ποια είναι τα μέσα μηνιαία έξοδά τους.

Η παροχή των πληροφοριών αυτών μπορεί να γίνεται με πολλούς τρόπους, που συχνά συνδυάζονται: προφορικά, με τη συμπλήρωση ειδικού εντύπου ή φόρμας εκδήλωσης ενδιαφέροντος, με προσωπική συνέντευξη, με την παράδοση εγγράφων ή την ηλεκτρονική διαβίβαση αυτών μέσω email ή ανάρτησης σε ιστότοπο.

Οι τρόποι αυτοί παρέχουν στον εκμισθωτή τη δυνατότητα αφενός να διαμορφώσει ένα προφίλ των υποψηφίων μισθωτών και να σχηματίσει εικόνα για αυτούς, τόσο ως προς το προσωπικό-οικογενειακό-επαγγελματικό τους προφίλ, όσο και ως προς τις οικονομικές τους δυνατότητες. Παράλληλα, με την υποβολή αποδεικτικών εγγράφων ο εκμισθωτής έχει τη δυνατότητα να επιβεβαιώσει την ορθότητα και την ακρίβεια των σχετικών πληροφοριών: Εκκαθαριστικά, Ε1-Ε2-Ε9, αποδείξεις καταβολής μισθωμάτων και κοινοχρήστων, συστατικές επιστολές από προηγούμενους εκμισθωτές, μισθολογικές καταστάσεις, είναι ορισμένα μόνο από τα έγγραφα που μπορούν να ζητηθούν (και συχνά ζητούνται).

Οι πληροφορίες που αφορούν ένα πρόσωπο, είτε αυτές καταχωρούνται σε ένα έντυπο, είτε καταγράφονται σε ένα έγγραφο, αποτελούν προσωπικά δεδομένα, ενώ κάποιες από αυτές που συλλέγονται κατά τα ανωτέρω δύνανται να εντάσσονται σε μια ενδότερη σφαίρα της ιδιωτικής ζωής και της προσωπικότητας ενός ανθρώπου ή να χαρακτηρίζονται από ιδιαίτερο βαθμό ευαισθησίας. Παράλληλα, η συλλογή μεγάλης έκτασης προσωπικών δεδομένων, ακόμη και «απλών», δύναται – και εν προκειμένω αποσκοπεί στο– να διαμορφώσει ένα πλήρες προφίλ των ανθρώπων που τα δεδομένα αυτά αφορούν.

Το ερώτημα που προκύπτει, κατά τα ανωτέρω, είναι το κατά πόσον είναι μια τέτοια πρακτική νόμιμη και εντός ποιων ορίων. Δικαιούνται ο ιδιοκτήτης, ή ο μεσίτης ή η εταιρεία διαχείρισης ακινήτων να ζητούν την αποκάλυψη και προσκόμιση προσωπικών δεδομένων από τους υποψήφιους ενοικιαστές και αν ναι, μέχρι ποιο σημείο φτάνει το δικαίωμα αυτό; Συνοδεύεται το δικαίωμα αυτό από υποχρεώσεις έναντι των υποκειμένων των δεδομένων;

Η υποβολή στοιχείων και εγγράφων ως επεξεργασία δεδομένων

Εν πρώτοις, πρέπει να διευκρινιστεί πως όλες οι πληροφορίες που υποβάλλονται στο πλαίσιο που περιγράφηκε ανωτέρω αποτελούν δεδομένα προσωπικού χαρακτήρα. Οι πληροφορίες που σχετίζονται με το εισόδημα, την περιουσιακή κατάσταση ή τις οφειλές ενός προσώπου δε, χαρακτηρίζονται από ιδιαίτερο βαθμό ευαισθησίας, ακόμη και αν αυτές δεν εντάσσονται στις ειδικές κατηγορίες δεδομένων του άρθρου 9 ΓΚΠΔ1. Το ίδιο ισχύει και για τα φορολογικά δεδομένα, τα οποία προστατεύονται εκ του νόμου από ειδικό απόρρητο.

Ιδιαίτερα εσωτερική είναι και η σχέση ενός προσώπου με τις πιο προσωπικές πτυχές της ζωής του. Το αν σκέπτεται να κάνει παιδιά, το αν σκοπεύει να παντρευτεί τον/τη σύντροφό του είναι πληροφορίες που δεν πρέπει να αφορούν κανένα τρίτο, ούτε και να αποτελούν αντικείμενο μιας μισθωτικής διαπραγμάτευσης.

Η επεξεργασία δεδομένων δεν καλύπτει τη με κάθε τρόπο αποκάλυψη προσωπικών πληροφοριών ενός ατόμου. Προϋποθέτει μια πράξη που γίνεται με αυτοματοποιημένα μέσα (πχ. την αποστολή ενός email, τη συμπλήρωση μιας ηλεκτρονικής φόρμας) ή χωρίς αυτοματοποιημένα μέσα, υπό την προϋπόθεση πως οι πληροφορίες εντάσσονται σε ένα σύστημα αρχειοθέτησης (πχ. η παράδοση ενός φακέλου με έγγραφα, η προσωπική συνέντευξη που καταγράφεται, η προφορική ενημέρωση που οδηγεί σε διατήρηση σημειώσεων).

Στο πλαίσιο αυτό, η προφορική αποκάλυψη προσωπικών πληροφοριών δεν αποτελεί επεξεργασία προσωπικών δεδομένων και δεν εντάσσεται στο πεδίο προστασίας του Γενικού Κανονισμού Προστασίας Δεδομένων, υπό την προϋπόθεση φυσικά πως τα όσα λέγονται προφορικά δεν καταγράφονται σε κάποιο αρχείο. Η προφορική αποκάλυψη πληροφοριών μπορεί να οδηγήσει στην προσβολή του δικαιώματος στην ιδιωτική ζωή ή και να πλήξει την ίδια την προσωπικότητα κάποιου, προσβολές για τις οποίες υπάρχουν οι κατάλληλες αστικές αξιώσεις. Δεν αποτελεί όμως επεξεργασία δεδομένων και δεν προστατεύεται από τον ΓΚΠΔ και τα δικαιώματα που αυτός αναγνωρίζει, μεταξύ αυτών το δικαίωμα υποβολής καταγγελίας στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.

Επεξεργασία δεδομένων, ωστόσο, αποτελεί η αποκάλυψη των προσωπικών πληροφοριών που γίνεται με τρόπο άλλο από τον προφορικό. Επεξεργασία δεδομένων αποτελούν η λήψη ενός email με έγγραφα και πληροφορίες που ζητήθηκαν από τον ενδιαφερόμενο ενοικιαστή, η συμπλήρωση των πληροφοριών αυτών και η ανάρτηση των συνοδευτικών εγγράφων σε ειδικό ηλεκτρονικό πεδίο που έχει υποδειχθεί, καθώς και η παραλαβή ενός φακέλου από το πρόσωπο αυτό. Για την ακρίβεια, οι περιπτώσεις αυτές αποτελούν την πρώτη πράξη επεξεργασίας δεδομένων, αυτή της συλλογής. Μετά τη συλλογή ακολουθούν και άλλες πράξεις επεξεργασίας: η καταχώριση, η οργάνωση, η αποθήκευση, η αναζήτηση πληροφοριών, η χρήση, η διαβίβαση ή η διαγραφή και η καταστροφή.

Το πρόσωπο που πλήττεται από την επεξεργασία δεδομένων καλείται υποκείμενο των δεδομένων και είναι ο φορέας του δικαιώματος στην προστασία των δεδομένων. Πρόκειται για το πρόσωπο το οποίο συνδέεται με τις πληροφορίες, εκ του περιεχομένου, εκ του σκοπού ή εκ του αποτελέσματος2.

Υποκείμενο των δεδομένων είναι καταρχήν το πρόσωπο που αναγράφεται στα έντυπα που συμπληρώνονται ή στα έγγραφα που υποβάλλονται προς τον εκμισθωτή. Πρόκειται για τη σύνδεση εκ του περιεχομένου. Το πρόσωπο αυτό μπορεί πχ. να είναι ο σύζυγος, ως προς τις μισθολογικές καταστάσεις του που προσκομίζει, ή η σύζυγος ως προς τα ακίνητα που διαθέτει. Εκ του σκοπού και του αποτελέσματος όμως, θα μπορούσε να κριθεί πως υποκείμενα των δεδομένων είναι όλα τα μέλη της οικογένειας, ακόμη και τα ανήλικα τέκνα, ή κάθε πρόσωπο που πρόκειται να κατοικήσει στο διαμέρισμα. Το κριτήριο του σκοπού συνδέει το πρόσωπο με κάθε πληροφορία η οποία είναι πιθανό να χρησιμοποιηθεί, με σκοπό να αξιολογηθεί, να αντιμετωπιστεί με έναν ορισμένο τρόπο ή να επηρεασθεί η κατάσταση ενός ατόμου. Το κριτήριο του αποτελέσματος συνδέει το πρόσωπο με κάθε πληροφορία, η χρήση της οποίας είναι πιθανό να έχει επιπτώσεις στα δικαιώματα ή τα συμφέροντά του.

Απέναντι στα υποκείμενα των δεδομένων βρίσκεται το πρόσωπο που ενεργεί ως υπεύθυνος επεξεργασίας, ήτοι αυτός που καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας. Υπεύθυνος επεξεργασίας υπάρχει πάντοτε στις περιπτώσεις αυτές, δεδομένου ότι η φύση της σχέσης που συνδέει τα δύο μέρη αποκλείει εκ προοιμίου την εξαίρεση της οικιακής δραστηριότητας.

Η εξαίρεση της οικιακής δραστηριότητας

Η εξαίρεση της προσωπικής ή οικιακής δραστηριότητας προβλέπεται στο άρθρο 2 παρ.2γ’ ΓΚΠΔ, που ορίζει πως οι διατάξεις του Γενικού Κανονισμού δεν εφαρμόζονται στην περίπτωση φυσικών προσώπων που πραγματοποιούν επεξεργασία δεδομένων στο πλαίσιο αποκλειστικά προσωπικής ή οικιακής δραστηριότητας. Παράλληλα, η αιτιολογική σκέψη 18 ΓΚΠΔ αναφέρει ότι «ο παρών κανονισμός δεν εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από φυσικό πρόσωπο στο πλαίσιο αποκλειστικά προσωπικής ή οικιακής δραστηριότητας και άρα χωρίς σύνδεση με κάποια επαγγελματική ή εμπορική δραστηριότητα».

Είναι πράγματι αληθές πως ένα φυσικό πρόσωπο που ενεργεί προς τον σκοπό της εκμίσθωσης της ιδιοκτησίας του προβαίνει σε πράξεις που έχουν χαρακτηριστικά προσωπικής δραστηριότητας, χωρίς σύνδεση με επαγγελματική ή εμπορική ιδιότητα. Η οικιακή δραστηριότητα ωστόσο αποτελεί εξαίρεση από το πεδίο εφαρμογής του ΓΚΠΔ και ως εξαίρεση πρέπει να ερμηνεύεται στενά,3 η δε εφαρμογή της καθίσταται αδύνατη όταν οι επίμαχες δραστηριότητες θίγουν τα δικαιώματα τρίτων,4​ ή σχετίζονται με τη συμμετοχή στην οικονομική ζωή.5

Η συλλογή και επεξεργασία δεδομένων αγνώστων προς τον σκοπό της αξιολόγησής τους ή/και της σύναψης σύμβασης μίσθωσης δεν έχει τα χαρακτηριστικά εκείνα που θα επέτρεπαν τον χαρακτηρισμό της ως δραστηριότητας «αποκλειστικά» προσωπικής ή οικιακής, ακόμη και αν πραγματοποιείται από ένα φυσικό πρόσωπο και σχετίζεται με την εκμίσθωση ενός και μόνο διαμερίσματος.6

Ο υπεύθυνος επεξεργασίας

Ακόμη και αν ο ιδιοκτήτης είναι, όπως γίνεται στις περισσότερες περιπτώσεις, ένας ιδιώτης, το πρόσωπο αυτό αποκτά την ιδιότητα του υπευθύνου επεξεργασίας, ήδη από τη στιγμή που ζητά την υποβολή των στοιχείων. Και με την ιδιότητα αυτή, επωμίζεται και το σύνολο των ευθυνών και υποχρεώσεων που θεσπίζει ο Γενικός Κανονισμός Προστασίας Δεδομένων, καθώς ο ΓΚΠΔ δεν προβλέπει ηπιότερες διατάξεις για πράξεις επεξεργασίας που πραγματοποιούνται από φυσικά πρόσωπα. Στο ίδιο πλαίσιο, ο ΓΚΠΔ εφαρμόζεται στο σύνολό του και στην περίπτωση όπου ο ιδιοκτήτης τυγχάνει πολίτης τρίτης χώρας εκτός ΕΕ:7 το πεδίο εφαρμογής του Γενικού Κανονισμού κρίνεται από τη χώρα στην οποία διαμένουν τα υποκείμενα των δεδομένων και όχι από την υπηκοότητα ή τον τόπο κατοικίας του υπευθύνου επεξεργασίας.

Υπεύθυνος επεξεργασίας μπορεί καταρχήν να είναι ο ιδιοκτήτης του εκμισθούμενου διαμερίσματος, όταν αυτός είναι το πρόσωπο που καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας. Υπεύθυνος επεξεργασίας μπορεί να είναι και ο μεσίτης, όταν αυτός αποφασίζει τη συλλογή των δεδομένων για λογαριασμό του ιδιοκτήτη ή/και για την εξυπηρέτηση των δικών του συμφερόντων ή της σχέσης του με τους ενδιαφερόμενους ενοικιαστές.

Η σχέση του μεσίτη με τον ιδιοκτήτη μπορεί να λαμβάνει διάφορες μορφές· ο μεσίτης μπορεί να θεωρηθεί ως εκτελών την επεξεργασία, μπορεί να ενεργεί όμως και ως από κοινού ή αποκλειστικός υπεύθυνος επεξεργασίας, όταν αυτός θέτει την απαίτηση προσκόμισης εγγράφων και τους όρους για την προσκόμιση αυτή, σε εκτέλεση εντολής του ιδιοκτήτη να του βρει «καλούς νοικάρηδες» ή επειδή θέλει να προστατεύσει τη φήμη του και τα έσοδά του.

Η φύση της σχέσης των δύο προσώπων αυτών όμως (μεσίτη με ιδιοκτήτη) δεν είναι κάτι που καλείται να επιλύσει το υποκείμενο των δεδομένων. Τα υποκείμενα των δεδομένων, που λαμβάνουν από τον μεσίτη αίτημα για υποβολή των δεδομένων τους και δεν λαμβάνουν σχετικό κείμενο ενημέρωσης, δεν γνωρίζουν ποιος είναι ο σκοπός της συλλογής αυτής. Αν ο σκοπός αυτός είναι η προστασία του ιδιοκτήτη από αναξιόπιστους ενοικιαστές ή αν είναι η παροχή των υπηρεσιών του μεσίτη, που έχει αναλάβει να απορρίπτει ο ίδιος όσους δεν πληρούν συγκεκριμένες προϋποθέσεις. Τα υποκείμενα των δεδομένων δεν γνωρίζουν επίσης ποιος είναι αυτός που έχει καθορίσει τους σκοπούς και τα μέσα της επεξεργασίας. Αν είναι ο ιδιοκτήτης και το έχει αναθέσει στον μεσίτη, ή αν είναι ο δεύτερος, ο οποίος έχει δεσμευτεί πως φέρει στον πρώτο μόνο ενοικιαστές που να έχουν τα απαραίτητα εχέγγυα. Αυτό που γνωρίζουν είναι πως κάποιος συλλέγει τα δεδομένα τους, χωρίς να τους δίνει σχετική ενημέρωση ως προς τους όρους της επεξεργασίας αυτής. Στον βαθμό που τους αφορά, υπεύθυνος επεξεργασίας είναι το πρόσωπο αυτό και κατά του προσώπου αυτού θα στραφούν με αγωγή ή καταγγελία.

Υπεύθυνος επεξεργασίας μπορεί να είναι και η εταιρεία διαχείρισης ακινήτων, ειδικά όταν αυτή όταν εντάσσει στις παρεχόμενες υπηρεσίες της και την εξεύρεση αξιόπιστων ή φερέγγυων μισθωτών. Στην περίπτωση των εταιρειών αυτών, ισχύει ό,τι ισχύει και για τους μεσίτες: το ποιος είναι ο υπεύθυνος επεξεργασίας κρίνεται κατά περίπτωση με βάση το ποιος έχει καθορίσει τους σκοπούς και τα μέσα της επεξεργασίας, ενώ δύναται να συμφωνείται μεταξύ εντολέα και εντολοδόχου.8

Αυτό που δεν κρίνεται κατά περίπτωση, αλλά ισχύει πάντοτε, είναι το ότι όταν οι ενδιαφερόμενοι ενοικιαστές υποβάλλουν τα στοιχεία ή έγγραφα που του ζητούνται, σε έγχαρτη μορφή, με αποστολή σε email ή με ανάρτηση σε ηλεκτρονική φόρμα, πρέπει να λάβουν την ίδια στιγμή ενημέρωση για σειρά ζητημάτων, πρώτο εκ των οποίων είναι το ποιος είναι ο υπεύθυνος επεξεργασίας. Αν δεν τη λάβουν, τότε δεν θα έχουν επιλογή παρά να στραφούν κατά αυτού που ζήτησε τα δεδομένα τους, ανεξαρτήτως του ρόλου του προσώπου αυτού.

Η ενημέρωση είναι η μια μόνο από τις βασικές υποχρεώσεις που έχει το πρόσωπο αυτό.

Υποχρέωση 1η: η ύπαρξη νομικής βάσης

Πρώτη και κύρια προϋπόθεση για τη νομιμότητα μιας πράξης επεξεργασίας είναι η επεξεργασία αυτή να στηρίζεται σε μια από τις έξι νομικές βάσεις του άρθρου 6 ΓΚΠΔ. Το άρθρο 6 ΓΚΠΔ παρέχει έναν εξαντλητικό κατάλογο των δικαιολογητικών λόγων για τους οποίους μπορεί μια πράξη επεξεργασίας δεδομένων να είναι καταρχήν νόμιμη.9

Από τους έξι λόγους, ενδιαφέρον εν προκειμένω παρουσιάζουν οι τρεις: η συγκατάθεση, η εκτέλεση σύμβασης και το (υπέρτερο) έννομο συμφέρον.

Τη συγκατάθεση την ξεχνάμε πριν καν την εξετάσουμε. Έχει ίσως την εντύπωση αυτός που ζητά και λαμβάνει προσωπικά δεδομένα από τον ενδιαφερόμενο ενοικιαστή πως η θετική ανταπόκρισή του αποδεικνύει ή τεκμηριώνει τη συναίνεσή του στην επεξεργασία αυτή. Ουδέν ανακριβέστερο. Προκειμένου να είναι νόμιμη, η συγκατάθεση έχει συγκεκριμένες προϋποθέσεις, μεταξύ των οποίων να δίνεται «εν πλήρει επιγνώσει», ήτοι αυτός που τι δίνει να γνωρίζει ακριβώς γιατί τη δίνει, και να είναι ελεύθερη.

Ελεύθερη συγκατάθεση σημαίνει να τη δίνεις, χωρίς να φοβάσαι τυχόν αρνητικές συνέπειες στην περίπτωση όπου δεν επιθυμείς κάτι τέτοιο. Σημαίνει να μπορείς να πεις σε εκείνον που ζητά τα δεδομένα σου ότι δεν συμφωνείς με την αποκάλυψή τους, χωρίς να φοβάσαι πως αυτός θα σε απορρίψει λόγω της άρνησής σου αυτής. Η απάντηση εν προκειμένω είναι προφανής και αυταπόδεικτη. Ποτέ δεν θα μπορούσε η συλλογή των δεδομένων από τον υποψήφιο μισθωτή να θεμελιωθεί στη συγκατάθεση, αφού ποτέ δεν θα μπορούσε κάποιος να ισχυριστεί πως αυτός έχει δικαίωμα να αρνηθεί, χωρίς να ζημιωθεί. Άλλωστε, η σχέση του ιδιοκτήτη με τους υποψήφιους ενοικιαστές χαρακτηρίζεται από ανισορροπία ισχύος, γεγονός που αποκλείει και κατά τεκμήριο τη συγκατάθεση ως νομική βάση για την επεξεργασία των δεδομένων.

Μεγαλύτερο ενδιαφέρον παρουσιάζει η δεύτερη πιθανή νομική βάση, αυτή της εκτέλεσης σύμβασης του άρθρου 6 παρ.1β’ ΓΚΠΔ. Πράγματι, η σύναψη μισθωτηρίου συμβολαίου αποτελεί σύναψη σύμβασης κατά την έννοια του ΓΚΠΔ, όπως επίσης, είναι αλήθεια ότι η προσέγγιση του υποψήφιου μισθωτή έχει χαρακτηριστικά αίτησης του υποκειμένου των δεδομένων πριν από τη σύναψη της σύμβασης. Το κρίσιμο ζήτημα είναι το είδος των δεδομένων.

Η νομική βάση της εκτέλεσης σύμβασης χαρακτηρίζεται, όπως και όλες οι νομικές βάσεις πλην συγκατάθεσης, από την προϋπόθεση της αναγκαιότητας. Η επεξεργασία των δεδομένων που συλλέγονται πρέπει να είναι αντικειμενικά «απαραίτητη» για την εκτέλεση σύμβασης ή για να ληφθούν μέτρα κατ' αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης,10 γεγονός που αποκλείει περιπτώσεις όπου η επεξεργασία δεν είναι πραγματικά απαραίτητη για την εκτέλεση της σύμβασης, αλλά μάλλον επιβάλλεται μονομερώς από τον υπεύθυνο επεξεργασίας στο υποκείμενο των δεδομένων.11

Το κατά πόσον τα δεδομένα που ζητούνται από τον υποψήφιο ενοικιαστή είναι πραγματικά αναγκαία για τους σκοπούς αυτούς είναι κάτι που καλείται να απαντήσει και να τεκμηριώσει ο υπεύθυνος επεξεργασίας. Όλοι θα συμφωνούσαν ότι πληροφορίες όπως το ονοματεπώνυμο, το ΑΦΜ ή τα στοιχεία επικοινωνίας του ενδιαφερόμενου ενοικιαστή είναι αναγκαία για τη σύναψη ή την εκτέλεση μιας σύμβασης, ισχύει όμως το ίδιο όταν έχουμε να κάνουμε με πληροφορίες όπως το αν ο ενοικιαστής πλήρωνε τον προηγούμενο ιδιοκτήτη ή το πόσα χρήματα έβγαλε την προηγούμενη χρονιά; Είναι ζήτημα ερμηνείας και προσέγγισης.

Οι γερμανικές αρχές προστασίας δεδομένων δέχονται12 πως οι πληροφορίες αυτές μπορούν καταρχήν να τύχουν επεξεργασίας με θεμελίωση στη νομική βάση της εκτέλεσης σύμβασης, υπό την προϋπόθεση πως το υποκείμενο των δεδομένων έχει εκφράσει ενδιαφέρον για τη σύναψη σύμβασης, υποβάλλοντας πρόταση στον εκμισθωτή. Εφόσον η προϋπόθεση αυτή πληρούται, ο εκμισθωτής έχει το δικαίωμα να συλλέξει πληροφορίες σχετικά με την οικονομική κατάσταση του αντισυμβαλλομένου του, αλλά και σχετικά με τις προηγούμενες μισθωτικές σχέσεις του. Από την επεξεργασία των πληροφοριών αυτών θα κριθεί το κατά πόσον μπορεί να νοικιάσει την ιδιοκτησία του σε ανθρώπους οι οποίοι θα είναι συνεπείς στις οικονομικές και όχι μόνο υποχρεώσεις τους. Υπό την άποψη αυτή, η επεξεργασία των δεδομένων αυτών είναι αναγκαία για τη λήψη μέτρων κατ’ αίτηση του υποκειμένου πριν από τη σύναψη σύμβασης.

Την άποψη αυτή υιοθετεί και η γαλλική αρχή προστασίας δεδομένων CNIL στη σχετική οδηγία που έχει εκδώσει για την επεξεργασία δεδομένων στο πλαίσιο μίσθωσης ακινήτων.13​ Σύμφωνα με την CNIL, η νομική βάση του άρθρου 6 παρ.1β’ ΓΚΠΔ τίθεται σε εφαρμογή ήδη από τη στιγμή που ο υποψήφιος ενοικιαστής εκδηλώνει ενδιαφέρον για τη μίσθωση κατοικίας, καθορίζοντας τα χαρακτηριστικά του ακινήτου που αναζητά. Στην ίδια νομική βάση εντάσσονται ο προγραμματισμός της επίσκεψης σε ακίνητα, καθώς και η αξιολόγηση της φερεγγυότητας των ενδιαφερομένων.

Κατά τη γνώμη μας, η άποψη αυτή υποπίπτει στο ερμηνευτικό σφάλμα να ερμηνεύει ιδιαίτερα διασταλτικά – και προς το αποκλειστικό συμφέρον του υπευθύνου επεξεργασίας – την έννοια της «λήψης μέτρων κατ’ αίτηση του υποκειμένου πριν από τη σύναψη της σύμβασης». Η οικονομική δυνατότητα, η φερεγγυότητα, το επάγγελμα και το ποιον ενός ανθρώπου μπορούν να είναι κρίσιμες παράμετροι για τη σκοπιμότητα σύναψης πολλών τύπων συμβάσεων, συνδέονται όμως αποκλειστικά με τα επιχειρηματικά ή οικονομικά συμφέροντα της μιας πλευράς και όχι με τη συμβατική παροχή καθεαυτή.14

Κατά τη γνώμη μας, η ορθότερη και ασφαλέστερη επιλογή του υπευθύνου επεξεργασίας για τη συλλογή και επεξεργασία δεδομένων αξιολόγησης του υποψήφιου ενοικιαστή δεν είναι η εκτέλεση σύμβασης.15 Είναι το έννομο συμφέρον του.16

Το υπερέχον έννομο συμφέρον του εκμισθωτή

Το έννομο συμφέρον του άρθρου 6 παρ.1στ’ ΓΚΠΔ δεν είναι μια εύκολη νομική βάση· έχει τρεις προϋποθέσεις, οι οποίες πρέπει να πληρούνται σωρευτικά.17

Πρώτη προϋπόθεση είναι να υπάρχει καταρχήν έννομο συμφέρον του υπευθύνου επεξεργασίας ή τρίτου. Το έννομο συμφέρον αυτό μπορεί να έχει διαφορετικά χαρακτηριστικά, αρκεί να είναι σύννομο: θα μπορούσε να κριθεί πως ο ιδιοκτήτης έχει προφανές έννομο συμφέρον να συλλέξει πληροφορίες σχετικά με τους δυνητικούς ενοικιαστές, προκειμένου να διασφαλίσει τα συμφέροντά του, όπως αυτά συνίστανται στην εξεύρεση ενοικιαστών που είναι συνεπείς στις υποχρεώσεις τους. Αντίστοιχα, θα μπορούσαμε να δεχθούμε πως ο μεσίτης έχει έννομο συμφέρον να ελέγχει τα χαρακτηριστικά των προσώπων που ζητούν τη μίσθωση του διαμερίσματος, αφού κανείς σοβαρός επαγγελματίας δεν θα ήθελε να προτείνει αναξιόπιστους αντισυμβαλλόμενους στον εντολέα του.18

Αυτή όμως είναι μόνο η πρώτη προϋπόθεση.

Δεύτερη προϋπόθεση είναι η αναγκαιότητα της επεξεργασίας εν όψει του επιδιωκόμενου εννόμου συμφέροντος. Η αναγκαιότητα, κατά πάγια νομολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης, πρέπει να εξετάζεται από κοινού με την αρχή της ελαχιστοποίησης των δεδομένων του άρθρου 5 παρ.1γ’ ΓΚΠΔ.19 Αναγκαιότητα σημαίνει πως δεν συλλέγεις δεδομένα περισσότερα από όσα είναι αναγκαία και πρόσφορα για την επίτευξη των σκοπών σου. Επί του ζητήματος αυτού απαιτείται ιδιαίτερη προσοχή και δη σε δύο πεδία: τον χρόνο της συλλογής και τον όγκο των δεδομένων.

Το ζήτημα του χρόνου της συλλογής των δεδομένων είναι μείζονος σημασίας για τη νομιμότητα της επεξεργασίας: το ότι έχεις ενδεχομένως το δικαίωμα να συλλέξεις συγκεκριμένες πληροφορίες δεν σημαίνει ότι μπορείς και να τις ζητάς πριν η συλλογή τους καταστεί επιβεβλημένη και δικαιολογημένη. Το κρίσιμο στοιχείο είναι το ποια δεδομένα ζητάς τη δεδομένη χρονική στιγμή. Εν ολίγοις, το κάθε είδος προσωπικών δεδομένων έχει τον χρόνο του.20

Ο χρόνος αυτός εξειδικεύεται από τη Σύνοδο των γερμανικών αρχών προστασίας δεδομένων, η οποία διακρίνει τη διαδικασία εκμίσθωσης σε τρία στάδια: το στάδιο της επιθεώρησης του μισθίου, το στάδιο της υποβολής προτάσεων από τους ενδιαφερόμενους υποψήφιους ενοικιαστές και το στάδιο της απόφασης του ιδιοκτήτη για έναν εκ των ενδιαφερομένων.

Στο πρώτο στάδιο, η πληροφορία που μπορεί να ζητείται είναι τα στοιχεία ταυτοποίησης των επισκεπτών. Η ταυτοποίηση αυτή μπορεί να γίνεται και με την επίδειξη αστυνομικής ταυτότητας, χωρίς όμως αυτή να επιτρέπεται να υποβληθεί σε φωτοαντίγραφο.21

Στο δεύτερο στάδιο, ο ιδιοκτήτης δύναται να ζητήσει πληροφορίες σχετικά με την οικογενειακή κατάσταση των ενδιαφερομένων και τον αριθμό των προσώπων που θα κατοικήσουν στο διαμέρισμά του, την επαγγελματική τους ενασχόληση, τα εισοδήματά τους και τα κατοικίδιά τους. Πληροφορίες που πλήττουν τον πυρήνα του πληροφοριακού τους αυτοκαθορισμού,22 ως εκ τούτου δεν επιτρέπεται να ζητούνται, είναι αυτές που αφορούν τη φυλετική ή εθνοτική καταγωγή, την εθνικότητα ή τη θρησκεία, καθώς η γνώση αυτών δύναται να οδηγήσει σε διακριτική μεταχείριση με βάση τις πληροφορίες αυτές. Στο ίδιο πλαίσιο, απαγορεύεται η αναζήτηση πληροφοριών σχετικά με την πρόθεση των ενδιαφερομένων να παντρευτούν ή να κάνουν παιδιά, τις πολιτικές τους πεποιθήσεις και το ποινικό παρελθόν τους.

Στο τρίτο στάδιο, όταν δηλαδή ο ιδιοκτήτης έχει αποφασίσει ποιος εκ των ενδιαφερομένων υποψηφίων ενοικιαστών είναι προτιμότερος, η συλλογή δεδομένων διευρύνεται και δύναται να καλύπτει πληροφορίες σχετικά με τη φερεγγυότητά τους, την εκπλήρωση των συμβατικών υποχρεώσεών τους στην προηγούμενη μίσθωση (χωρίς όμως να επιτρέπεται η αποκάλυψη των στοιχείων του προηγούμενου εκμισθωτή) ή την απόδειξη του εισοδήματος.

Παρεμφερής και η άποψη της ιρλανδικής αρχής προστασίας δεδομένων:23 «Θα είναι δύσκολο για έναν υπεύθυνο επεξεργασίας να δικαιολογήσει, εν όψει της αρχής της ελαχιστοποίησης των δεδομένων την εκτεταμένη συλλογή προσωπικών δεδομένων […] από μεγάλο αριθμό ή και το σύνολο των ενδιαφερομένων προσώπων κατά τα αρχικά στάδια της αγγελίας ή του προγραμματισμού συναντήσεων για επίσκεψη στην ιδιοκτησία. Τούτο διότι οι πληροφορίες αυτές γενικά δεν θα είναι αναγκαίες στα πρώτα στάδια της μισθωτικής διαδικασίας, όταν οι ενδιαφερόμενοι απλά θέλουν να δουν την ιδιοκτησία ή να κάνουν ερωτήσεις σχετικά με αυτή. Στις περισσότερες περιπτώσεις, οι πληροφορίες αυτές δεν θα είναι αναγκαίες παρά μόνον από τη στιγμή που ο ιδιοκτήτης αποφασίζει για τον ενοικιαστή που προτιμά και του κάνει μια πρόταση (η οποία συνήθως θα γίνεται υπό τον όρο της υποβολής συστατικών επιστολών, επιβεβαίωσης της δυνατότητας να καταβάλλει το μίσθωμα κοκ.)

Ως εκ τούτου, η πρακτική της αναζήτησης πληροφοριών όπως συστατικές, φορολογικές και οικονομικές πληροφορίες, αποδεικτικά ταυτότητας, κοκ, από πολλαπλούς δυνητικούς ενοικιαστές πριν την επιλογή συγκεκριμένου εξ αυτών δεν θα θεωρείται γενικά ως σύμφωνα με την απαίτηση του ΓΚΠΔ για συλλογή δεδομένων που είναι συναφή και περιορίζονται στο αναγκαίο εν όψει των σκοπών».

Το δεύτερο πεδίο στο οποίο απαιτείται προσοχή, προκειμένου να μην καταστεί η επεξεργασία μετά βεβαιότητος παράνομη είναι αυτό του όγκου των δεδομένων που ζητούνται. Το να ζητάς ενημέρωση σχετικά με τα εισοδήματα του υποψήφιου ενοικιαστή είναι ενδεχομένως θεμιτό, καθώς από την πληροφορία αυτή θα μπορέσεις να κρίνεις κατά πόσον αυτός είναι σε θέση να καλύψει το μίσθωμα που συμφωνείται. Προς επίτευξη του σκοπού αυτού όμως, ο ιδιοκτήτης πρέπει να προσέξει να μην καταστεί «άπληστος» ως προς τα δεδομένα που ζητά, σε σχέση με τα χαρακτηριστικά τους και το βάθος χρόνου που αυτά εκτείνονται.24 Το ότι έχεις το δικαίωμα να αξιολογήσεις τη δυνατότητα του μισθωτή σου να αντεπεξέλθει στις υποχρεώσεις του δεν σημαίνει ότι νομιμοποιείσαι άνευ ετέρου να σχηματίσεις πλήρες οικονομικό, φορολογικό και πιστωτικό προφίλ σε βάθος δεκαετίας.25

Τρίτη προϋπόθεση του εννόμου συμφέροντος είναι αυτό να υπερέχει των δικαιωμάτων, συμφερόντων και ελευθεριών του υποκειμένου των δεδομένων. Για τη στάθμιση αυτή, ο υπεύθυνος επεξεργασίας καλείται να εφαρμόσει συγκεκριμένα κριτήρια, εξετάζοντας όχι μόνο τα δικά του συμφέροντα, αλλά και τα δικαιώματα του ενοικιαστή. Στα κριτήρια αυτά εντάσσονται, μεταξύ άλλων, οι εύλογες προσδοκίες του υποκειμένου, η έκταση της επεξεργασίας και ο αντίκτυπός της στο υποκείμενο των δεδομένων.26

Υποχρέωση 2η: Ο σκοπός της συλλογής και επεξεργασίας

Κάθε πράξη επεξεργασίας πρέπει υποχρεωτικά να συνδέεται με έναν ή περισσότερους συγκεκριμένους σκοπούς· τα προσωπικά δεδομένα δεν συλλέγονται επειδή κάποιος «έτσι έχει αποφασίσει» ή επειδή αυτός βρίσκεται σε θέση ισχύος έναντι του άλλου μέρους και θέλει να επιβάλει τους όρους του. Τα προσωπικά δεδομένα συλλέγονται σύμφωνα με την αρχή του περιορισμού του σκοπού (άρθρο 5 παρ.1β’ ΓΚΠΔ) που προβλέπει ότι αυτά «συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς».

Ο σκοπός, συνεπώς, πρέπει να είναι καθορισμένος, ρητός και νόμιμος, από τον καθορισμό αυτού δε κρίνονται η ελαχιστοποίηση, η περίοδος διατήρησης των δεδομένων, καθώς και η νομική βάση της επεξεργασίας.

Η συλλογή του ονόματος και του τηλεφωνικού αριθμού του ατόμου που ενδιαφέρεται να επισκεφθεί ένα διαμέρισμα γίνεται για την ταυτοποίησή του, για τον προγραμματισμό της επίσκεψης και την επικοινωνία μαζί του. Η συλλογή της πληροφορίας σχετικά με το πόσα άτομα πρόκειται να κατοικήσουν στο διαμέρισμα ή το αν υπάρχουν κατοικίδια γίνεται προκειμένου να κριθεί κατά πόσον οι ενδιαφερόμενοι ενοικιαστές πληρούν καταρχήν τις απαιτήσεις του ιδιοκτήτη ή του κανονισμού της πολυκατοικίας. Από την άλλη πλευρά, η συλλογή δεδομένων σχετικά με το πόσα χρήματα βγάζει ετησίως η οικογένεια ή το αν πλήρωνε με συνέπεια τα μισθώματα στο προηγούμενο σπίτι αποσκοπεί στη διασφάλιση του ιδιοκτήτη ως προς τη φερεγγυότητα και την οικονομική δυνατότητα των ενοικιαστών που έχει προκρίνει. Κάθε σκοπός έχει διαφορετική εφαρμογή, γι’ αυτό και ο προσδιορισμός ενός εκάστου πρέπει να γίνεται με τη μέγιστη δυνατή ακρίβεια.27

Υποχρέωση 3η: Η ενημέρωση του υποκειμένου

Ο σκοπός ή οι σκοποί δεν αρκεί μόνο να καθορίζονται εξαρχής, πρέπει και να τίθενται σε γνώση του υποκειμένου των δεδομένων και δη τη στιγμή εκείνη που συλλέγονται τα δεδομένα. Το ίδιο ακριβώς ισχύει και για τη νομική βάση της επεξεργασίας. Το ότι ο υπεύθυνος επεξεργασίας έχει τεκμηριώσει ενδεχομένως το έννομο συμφέρον του για τη συλλογή των δεδομένων ή επικαλείται τη νομική βάση της εκτέλεσης σύμβασης δεν αρκεί, αν η όποια νομική βάση δεν τεθεί σε γνώση του υποκειμένου των δεδομένων.

Στην περίπτωση αυτή εφαρμόζεται το άρθρο 13 ΓΚΠΔ,28 που προβλέπει ότι «όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα» υποχρεούται να του παράσχει συγκεκριμένες πληροφορίες: ποιος είναι29 και πώς μπορεί να επικοινωνήσει κάποιος μαζί του,30 ποιοι είναι οι σκοποί και η νομική βάση της επεξεργασίας, ποιοι θα είναι οι αποδέκτες των δεδομένων,31 ποια είναι τα έννομα συμφέροντα που επιδιώκονται, για πόσο καιρό θα διατηρηθούν τα δεδομένα που παρέχονται.32

Ιδιαίτερη προσοχή απαιτείται στην περίπτωση των αποδεκτών, με την ενημέρωση αυτή να είναι ιδιαίτερα σημαντική στην περίπτωση που εξετάζεται. Αν ο μεσίτης ή η εταιρεία διαχείρισης ακινήτων ενεργούν ως υπεύθυνοι επεξεργασίας, αλλά προτίθενται να διαβιβάσουν έστω και μέρος των δεδομένων που συλλέγουν στον ιδιοκτήτη, τότε έχουν την υποχρέωση να γνωστοποιήσουν και τα στοιχεία του προσώπου αυτού.

Η παράλειψη της ενημέρωσης αυτής συνιστά παραβίαση του άρθρου 13 ΓΚΠΔ. Η παραβίαση του άρθρου 13 ΓΚΠΔ συνιστά παραβίαση της αρχής της διαφάνειας του άρθρου 5 παρ.1α’ ΓΚΠΔ. Η παραβίαση της αρχής της διαφάνειας σημαίνει πως ολόκληρη η συλλογή και επεξεργασία των προσωπικών δεδομένων υπήρξε εξαρχής παράνομη. Το υποκείμενο των δεδομένων έχει το δικαίωμα να υποβάλλει καταγγελία ενώπιον της ΑΠΔΠΧ, καθώς και να ασκήσει αστικές αξιώσεις σε βάρος αυτού ή αυτών που προσέβαλαν παρανόμως το δικαίωμά του στην προστασία των προσωπικών δεδομένων.

Λοιπές υποχρεώσεις

Άλλες υποχρεώσεις που δεσμεύουν τον υπεύθυνο επεξεργασίας και αξίζει να αναφερθούν είναι:

Α. Η ανταπόκριση στα αιτήματα των υποκειμένων: ακόμη και αν η ενημέρωση προς το υποκείμενο των δεδομένων δεν δόθηκε ποτέ, το υποκείμενο έχει το δικαίωμα να τη ζητήσει με δική του πρωτοβουλία, ασκώντας το δικαίωμα πρόσβασης του άρθρου 15 ΓΚΠΔ. Το δικαίωμα αυτό είναι ένα μόνο από τα δικαιώματα που αναγνωρίζει στα υποκείμενα ο Γενικός Κανονισμός, όπως για παράδειγμα, τα δικαιώματα εναντίωσης, διόρθωσης και διαγραφής. Το ότι ο υπεύθυνος επεξεργασίας δεν είναι παρά ένας ιδιώτης δεν τον απαλλάσσει από την υποχρέωση να ανταποκριθεί στα αιτήματα των υποκειμένων και δη στις προθεσμίες που ορίζει το άρθρο 12 ΓΚΠΔ. Το δικαίωμα (συλλογής δεδομένων προς τον σκοπό της αξιολόγησης) έχει και συνέπειες (την ανταπόκριση στα δικαιώματα των υποκειμένων).

Β. Ο καθορισμός περιόδου διατήρησης: η συλλογή και επεξεργασία δεδομένων δεν διαρκούν εσαεί. Συνδέονται άμεσα με τους σκοπούς της επεξεργασίας (βλ. ανωτέρω) και απαιτούν τον προσδιορισμό του χρόνου για τον οποίο αυτά θα διατηρηθούν. Πρόκειται για την αρχή του περιορισμού της περιόδου αποθήκευσης (άρθρο 5 παρ.1ε’ ΓΚΠΔ), που αποτελεί θεμελιώδη απαίτηση νομιμότητας της επεξεργασίας και αυτοτελή υποχρέωση του υπευθύνου επεξεργασίας. Παράλληλα, το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα του υποψηφίου ενοικιαστή πρέπει να τίθεται και σε γνώση αυτού, τόσο μέσω της αρχικής ενημέρωσης του άρθρου 13 ΓΚΠΔ, όσο και μετά από την άσκηση δικαιώματος πρόσβασης του άρθρου 15 ΓΚΠΔ.

Πράγματι, η περίοδος αποθήκευσης των δεδομένων αποτελεί θεμελιώδη πτυχή του δικαιώματος στην προστασία των προσωπικών δεδομένων, το οποίο συνίσταται στο δικαίωμα ενός εκάστου να ασκεί έλεγχο επί των πληροφοριών που τον/την αφορούν. Ο υποψήφιος ενοικιαστής που υποβάλει έναν όγκο πληροφοριών σχετικά με την οικογένεια, την εργασία, τα εισοδήματα και τις υποχρεώσεις του δικαιούται να γνωρίζει, ήδη πριν τα δώσει, για πόσο καιρό αυτά θα παραμείνουν στη διάθεση αυτού που θα τα λάβει.

Συμπέρασμα

Στο κύριο ερώτημα κατά πόσον δύναται ο εκμισθωτής ακινήτου (ή όσοι ενεργούν για λογαριασμό του) να συλλέγει προσωπικά δεδομένα των ενδιαφερομένων ενοικιαστών, η απάντηση είναι καταρχήν καταφατική. Το ζήτημα δεν έχει κριθεί από τα εθνικά δικαστήρια ή την εποπτική μας αρχή, η διεθνής πρακτική όμως – αλλά και η ερμηνεία των διατάξεων για την επεξεργασία προσωπικών δεδομένων – συνηγορούν προς την αναγνώριση του δικαιώματος αυτού.

Το δικαίωμα αυτό όμως έχει προϋποθέσεις, ενώ η άσκησή του συνεπάγεται υποχρεώσεις, οι οποίες όταν δεν τηρούνται καθιστούν τη μεν συλλογή και επεξεργασία παράνομη, τον δε υπεύθυνο επεξεργασίας υπόλογο ενώπιον Αρχής και δικαστηρίων.

Η συλλογή προσωπικών δεδομένων των υποψηφίων ενοικιαστών απαιτεί νομιμότητα: νομική βάση, ελαχιστοποίηση, προσδιορισμό σκοπού, καθορισμό περιόδου διατήρησης και ασφάλεια των δεδομένων. Πρωτίστως όμως απαιτεί ενημέρωση του υποκειμένου: Ο ενδιαφερόμενος ενοικιαστής δικαιούται και πρέπει να γνωρίζει ήδη από την πρώτη στιγμή σε ποιον δίνει τα προσωπικά δεδομένα του, για ποιον σκοπό και υπό ποιους όρους.

Η προστασία δεδομένων έχει κανόνες, όσο ισχυρός και αν είναι (ή νιώθει) αυτός που τα συλλέγει.

Φωτογραφία: ChatGPT​

• 1. Ενδεικτικά, το ΔΕΕ στην απόφαση SCHUFA Holding (C-26/22 & C-64/22) έκρινε πως οι πληροφορίες περί χορήγησης πτωχευτικής απαλλαγής συνιστούν ευαίσθητες πληροφορίες της ιδιωτικής ζωής του προσώπου που αφορούν (σκ. 94).
• 2. ΟΕ29 - Γνώμη 4/2007 σχετικά με την έννοια του όρου ‘δεδομένα προσωπικού χαρακτήρα’, σελ. 11-14
• 3. ΔΕΕ C-212/13 Rynes, σκ. 29
• 4. Έτσι και Γενικός Εισαγγελέας ΔΕΕ Jääskinen στην υπόθεση C-212/13 (Rynes): «51. Φρονώ ότι οι «ιδιωτικές δραστηριότητες» κατά την έννοια του άρθρου 3, παράγραφος 2, δεύτερη περίπτωση, της οδηγίας 95/46 είναι δραστηριότητες στενώς και αντικειμενικώς συνδεόμενες προς την ιδιωτική ζωή ενός προσώπου οι οποίες δεν θίγουν κατά τρόπο αισθητό την προσωπική σφαίρα κάποιου τρίτου».
• 5. Βλ. σχετ. Π. Αρμαμέντος/Β. Σωτηρόπουλος, Προσωπικά Δεδομένα, Ερμηνεία ν. 2472/1997, εκδ. Σάκκουλα 2005, σελ. 105, Φ. Παναγοπούλου-Κουτνατζή, Περί της προσωπικής και οικιακής χρήσεως των προσωπικών δεδομένων, ΕφημΔΔ 5/2013, σελ. 706
• 6. Το 2011 η φινλανδική αρχή προστασίας δεδομένων είχε εγκρίνει κώδικα δεοντολογίας για την επεξεργασία δεδομένων στις μισθώσεις ακινήτων, όπου είχε δεχθεί πως ο ιδιοκτήτης – φυσικό πρόσωπο που νοικιάζει μέχρι και τρία ακίνητα καλύπτεται από την οικιακή εξαίρεση.
• 7. Κάτι που συμβαίνει στις περιπτώσεις διαμερισμάτων που έχουν αγοραστεί μέσω golden visa.
• 8. Χωρίς η συμφωνία αυτή να αποκλείει το ενδεχόμενο οι πραγματικοί ρόλοι να είναι τελικώς άλλοι από τους συμφωνηθέντες.
• 9. ΔΕΕ C-26/22 & C-64/22 SCHUFA Holding, σκ. 73: «Στο πλαίσιο αυτό, το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, του κανονισμού αυτού περιέχει εξαντλητικό και περιοριστικό κατάλογο των περιπτώσεων στις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να θεωρηθεί σύννομη».
• 10. ΕΣΠΔ Κατευθυντήριες Γραμμές 2/2019, παρ. 22
• 11. ΕΣΠΔ Κατευθυντήριες Γραμμές 2/2019, παρ. 28
• 12. DSK, Orientierungshilfe zur Einholung von Selbstauskünften bei Mietinteressent:innen, Version 1.0, 24-1-2024
• 13. CNIL, Référentiel Adopté le 6 mai 2021, Relatif aux traitements de données à caractère personnel mis en œuvre dans le cadre de la gestion locative.
• 14. ΔΕΕ C-17/22 & C-18/22 HTB Neunte Immobilien Portfolio, σκ. 43: «Ειδικότερα, το Δικαστήριο έχει αποφανθεί ότι, για να θεωρηθεί μια επεξεργασία δεδομένων προσωπικού χαρακτήρα ως απαραίτητη για την εκτέλεση σύμβασης κατά την έννοια της εν λόγω διάταξης, πρέπει να είναι αντικειμενικώς αναγκαία για την επίτευξη σκοπού που είναι άρρηκτα συνδεδεμένος με τη συμβατική παροχή η οποία προορίζεται για το υποκείμενο των δεδομένων. Ο υπεύθυνος επεξεργασίας πρέπει, συνεπώς, να είναι σε θέση να αποδείξει για ποιον λόγο το κύριο αντικείμενο της σύμβασης δεν θα μπορούσε να υλοποιηθεί ελλείψει της επίμαχης επεξεργασίας». EDPB, Binding Decision 3/2022, σκ. 120: «Article 6(1)(b) GDPR will not cover processing that is useful but not objectively necessary for performing the contractual service or for taking relevant pre-contractual steps at the request of the data subject, even if it is necessary for the controller’s other business purposes».
• 15. Η εκτέλεση σύμβασης θα μπορούσε ενδεχομένως να εξεταστεί, ως νομική βάση, στην περίπτωση όπου υπεύθυνος επεξεργασίας είναι ο μεσίτης. Στην περίπτωση αυτή, η σύμβαση μεσιτείας που δύναται να συναφθεί μεταξύ μεσίτη και ενοικιαστή θα μπορούσε να δικαιολογήσει τη συλλογή κάποιων προσωπικών δεδομένων του τελευταίου. Το ποια και πόσα είναι τα προσωπικά δεδομένα αυτά είναι κάτι που υποχρεούται να τεκμηριώσει ο υπεύθυνος επεξεργασίας.
• 16. Με ενδιαφέρον σημειώνεται η άποψη των γερμανικών αρχών προστασίας δεδομένων πως το έννομο συμφέρον αποτελεί τη νομική βάση της συλλογής δεδομένων υποψηφίων ενοικιαστών από τη στιγμή που αυτοί επικοινωνούν και ζητούν να δουν το ακίνητο, μέχρι και τη στιγμή που υποβάλλουν πρόταση στον εκμισθωτή. Σύμφωνα με την άποψη αυτή, η υποβολή πρότασης για μίσθωση συνεπάγεται αίτημα για σύναψη σύμβασης, το οποίο ενεργοποιεί τη νομική βάση της εκτέλεσης σύμβασης. Βλ. σχετ. και Αρχή προστασίας δεδομένων Βερολίνου, Selbstauskunft von Mietinteressent:innen
• 17. ΔΕΕ C-252/21 Meta Platforms κ.λπ., σκ. 106
• 18. Θα μπορούσε να γίνει δεκτό πως η επίμαχη επεξεργασία του μεσίτη εξυπηρετεί τα οικονομικά συμφέροντά του, αλλά εξυπηρετεί και το έννομο συμφέρον των πελατών του, οι οποίοι επιθυμούν να συνάψουν μισθώσεις με πρόσωπα φερέγγυα. Βλ. αναλογικά και ΔΕΕ C-26/22 & C-64/22 SCHUFA Holding, σκ. 83
• 19. Μεταξύ άλλων, ΔΕΕ C-621/22 Koninklijke Nederlandse Lawn Tennisbond, σκ. 43: «Στο πλαίσιο αυτό, υπενθυμίζεται επίσης ότι η προϋπόθεση της αναγκαιότητας της επεξεργασίας πρέπει να εξετάζεται από κοινού με τη λεγόμενη αρχή της «ελαχιστοποίησης των δεδομένων», την οποία καθιερώνει το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, όπου ορίζεται ότι τα δεδομένα προσωπικού χαρακτήρα πρέπει να είναι «κατάλληλα, συναφή και [να] περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία»
• 20. Αντίστοιχη είναι η λογική που διέπει και τη συλλογή προσωπικών δεδομένων κατά τη διαδικασία πρόσληψης εργαζομένων. Όπως γίνεται δεκτό (βλ. ενδ. απόφαση κυπριακής αρχής προστασίας δεδομένων αρ. φακ. 11.17.001.009.190), τα δεδομένα που είναι αναγκαία για την αξιολόγηση των υποψηφίων δεν ταυτίζονται πάντοτε με τα δεδομένα που είναι αναγκαία για την πρόσληψη αυτών.
• 21. Όπως έχει ήδη αναφερθεί, η DSK έχει τη γνώμη πως σε αυτό το στάδιο η συλλογή δεδομένων βασίζεται στο έννομο συμφέρον του υπευθύνου επεξεργασίας.
• 22. Οι γερμανικές αρχές, ως συνήθως, εξετάζουν το ζήτημα από τη σκοπιά του δικαιώματος στον πληροφοριακό αυτοκαθορισμό, ως στοιχείο της προσωπικότητας του ανθρώπου. Στο πλαίσιο αυτό, οι παρατηρήσεις τους δεν καλύπτουν μόνο την επεξεργασία δεδομένων σύμφωνα με τις προβλέψεις του ΓΚΠΔ, αλλά και την προφορική αποκάλυψη των πληροφοριών.
• 23. DPC, Guidance on Requesting Personal Data from Prospective Tenants, Ιούλιος 2019
• 24. ΔΕΕ C-446/21 Schrems, σκ. 59: «… υπενθυμίζεται ότι το Δικαστήριο έχει κρίνει ότι, λαμβανομένης υπόψη της αρχής της ελαχιστοποίησης των δεδομένων, την οποία προβλέπει το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας δεν μπορεί να προβαίνει, γενικώς και αδιακρίτως, στη συλλογή δεδομένων προσωπικού χαρακτήρα και οφείλει να απέχει από τη συλλογή δεδομένων που δεν είναι απολύτως απαραίτητα για τους σκοπούς της επεξεργασίας».
• 25. Ιδιαίτερη σημασία στην αναγκαιότητα και ελαχιστοποίηση των δεδομένων που μπορούν να συλλέγονται δίνει η Γαλλία, η οποία έχει καθορίσει μέσω διατάγματος όλα τα έγγραφα που δύναται ο εκμισθωτής να ζητά από τον υποψήφιο ενοικιαστή, ενώ προβλέψει και τη δημιουργία ηλεκτρονικής πλατφόρμας μέσω της οποίας τα έγγραφα αυτά μπορούν να υποβάλλονται.
• 26. ΔΕΕ C-252/21 Meta Platforms, σκ. 116
• 27. Για παράδειγμα, το να επεξεργάζεται ένας μεσίτης το όνομα και το τηλέφωνο του υποψήφιου ενοικιαστή προκειμένου να προγραμματίσει μια επίσκεψη στο διαμέρισμα είναι εντελώς διαφορετικό από το να το κάνει για να ενημερώνει για μελλοντικές ευκαιρίες και προτάσεις. Ίδια δεδομένα, διαφορετικοί σκοποί, διαφορετικές νομικές βάσεις, ενδεχομένως και υπεύθυνοι επεξεργασίας. Ο σκοπός κρίνει τα πάντα.
• 28. Στην περίπτωση που εξετάζεται, η συλλογή των δεδομένων γίνεται σχεδόν πάντα από τα υποκείμενα, συνεπώς εφαρμόζεται το άρθρο 13 ΓΚΠΔ. Συλλογή δεδομένων από τρίτη πηγή θα μπορούσε να υπάρχει στην περίπτωση όπου ο εκμισθωτής αναζητά και αντλεί πληροφορίες από το διαδίκτυο, κάτι τέτοιο όμως δύσκολα θα μπορούσε να αποδειχθεί.
• 29. Δεν είναι, δυστυχώς, λίγες οι περιπτώσεις στις οποίες οι υποψήφιοι ενοικιαστές καλούνται να δώσουν τα δεδομένα τους σε πρόσωπα των οποίων την ταυτότητα δεν γνωρίζουν. Η ανωνυμία του ιδιοκτήτη όμως, είτε ως υπευθύνου επεξεργασίας ή ως αποδέκτη, δεν είναι σε καμία περίπτωση επιτρεπτή.
• 30. Ο ιδιοκτήτης που συλλέγει προσωπικά δεδομένα υποψηφίων ενοικιαστών πρέπει να είναι προετοιμασμένος για το ενδεχόμενο να λάβει ανά πάσα στιγμή email ή SMS με αίτημα του υποκειμένου των δεδομένων, στο οποίο υποχρεούται να ανταποκριθεί εντός 30 ημερών.
• 31. Όπως έχει ήδη αναφερθεί, η ενημέρωση ως προς τα στοιχεία των αποδεκτών είναι ιδιαίτερα σημαντική στην περίπτωση που εξετάζεται. Αν ο μεσίτης ή η εταιρεία διαχείρισης ακινήτων, που ενεργούν ως υπεύθυνοι επεξεργασίας, προτίθενται να διαβιβάσουν έστω και μέρος των δεδομένων που συλλέγουν στον ιδιοκτήτη, τότε έχουν και την υποχρέωση να γνωστοποιήσουν τα στοιχεία του προσώπου αυτού.
• 32. Αυτές είναι ορισμένες μόνο από τις πληροφορίες που το άρθρο 13 ΓΚΠΔ προβλέπει πως πρέπει να παρέχονται υποχρεωτικά.