Δικαίωμα πρόσβασης: Πρόστιμο 3.000 ευρώ σε εταιρεία διαχείρισης απαιτήσεων (ΑΠΔΠΧ 4/2025)

Δύο σκέλη είχε το αίτημα πρόσβασης που άσκησε ο καταγγέλλων προς την καταγγελλόμενη εταιρεία διαχείρισης απαιτήσεων· και τα δύο, σύμφωνα με την καταγγελία, απαντήθηκαν με τρόπο μη ικανοποιητικό.

Ο καταγγέλλων ζήτησε από την εταιρεία αφενός να του αποστείλει αντίγραφα των ηχογραφημένων τηλεφωνικών συνομιλιών που είχε με εκπροσώπους της, με την καταγγελλόμενη να του απαντά πως για τη λήψη των αντιγράφων θα έπρεπε να επισκεφθεί τα γραφεία της. Παράλληλα, ζήτησε να λάβει γνώση των δεδομένων του που τηρούνται στα αρχεία της εταιρείας. Επί του αιτήματος αυτού, η απάντηση που έλαβε ήταν αόριστη.

Η Αρχή ζήτησε τις απόψεις της εταιρείας επί των καταγγελλομένων, με την τελευταία να επιβεβαιώνει την άσκηση του επίμαχου δικαιώματος πρόσβασης.

Σύμφωνα με την εταιρεία, το ζητηθέν αρχείο καταγεγραμμένων συνομιλιών εξήχθη από τα συστήματά της και τέθηκε στη διάθεση του καταγγέλλοντος «για παραλαβή από τα γραφεία της εταιρείας». Η πληροφορία αυτή είχε τεθεί σε γνώση του με επιστολή της, η οποία απεστάλη στην ταχυδρομική διεύθυνση που ήταν καταχωρημένη στα συστήματά της. Παράλληλα, με την ίδια επιστολή παρατέθηκε και «λίστα με τα υπό επεξεργασία προσωπικά δεδομένα» του καταγγέλλοντος.

Διαβάστε επίσης: Το δικαίωμα πρόσβασης σε τηλεφωνική συνομιλία δεν περιλαμβάνει τη συμμετοχή του υπαλλήλου

Στο πλαίσιο της απάντησής της προς την Αρχή, η εταιρεία ανέλυσε τη διαδικασία ικανοποίησης που ακολουθεί επί αιτημάτων πρόσβασης σε ηχογραφημένες συνομιλίες. Σύμφωνα με τη διαδικασία αυτή, στις «εξαιρετικές εκείνες περιπτώσεις που ο αιτών είναι κάτοικος εξωτερικού» δεν ακολουθείται η πρόβλεψη για παραλαβή των αρχείων από τις εγκαταστάσεις της, αλλά αποστέλλεται το αρχείο στη δηλωθείσα διεύθυνση αλληλογραφίας του μέσω courier. Στην περίπτωση δε όπου ο αιτών επιθυμεί την αποστολή του αρχείο μέσω email, «ακολουθείται ειδική διαδικασία στο πλαίσιο της οποίας απαιτείται τηλεφωνική επικοινωνία του οφειλέτη με την εταιρεία προκειμένου να λάβει τον ειδικό κωδικό-κλειδί που θα του επιτρέψει την πρόσβαση στο αρχείο, το οποίο πρόκειται να παραλάβει μέσω ξεχωριστής ηλεκτρονικής αλληλογραφίας».

Στη συγκεκριμένη περίπτωση, και μετά την υποβολή νέου αιτήματος πρόσβασης μέσω της ιστοσελίδας της, η εταιρεία απέστειλε με ηλεκτρονικό μήνυμα την αρχική της επιστολή στον καταγγέλλοντα, ενημερώνοντάς τον ότι το αίτημά του «έχει ικανοποιηθεί» και καλώντας τον «εκ νέου να επικοινωνήσει με το εταιρικό τηλεφωνικό κέντρο προκειμένου να οριστεί ραντεβού για την παραλαβή των ηχογραφημένων κλήσεων».

Με νεότερα μηνύματά του, ο καταγγέλλων ενημέρωσε την εταιρεία πως διαμένει στο εξωτερικό και όχι στην ταχυδρομική διεύθυνση που ήταν καταχωρημένη στα συστήματά της, ενώ εν τέλει – και σύμφωνα πάντα με τους ισχυρισμούς της καταγγελλόμενης – υπήρξε ανταπόκριση επί των αιτημάτων που είχαν υποβληθεί.

Η κρίση της Αρχής

Η Αρχή υπενθύμισε καταρχήν ορισμένους από τους βασικούς κανόνες που διέπουν την άσκηση του δικαιώματος πρόσβασης και την ανταπόκριση του υπευθύνου επεξεργασίας στο αίτημα αυτό, όπως αυτοί έχουν διατυπωθεί σε προηγούμενες αποφάσεις της:

α. Ο υπεύθυνος επεξεργασίας πρέπει να παρέχει δυνατότητα πρόσβασης εξ αποστάσεως σε ασφαλές σύστημα μέσω του οποίου το υποκείμενο των δεδομένων αποκτά άμεση πρόσβαση στα δεδομένα που το αφορούν.

β. Δεν απαιτείται η επίκληση εννόμου συμφέροντος  αφού αυτό ενυπάρχει και αποτελεί βάση του δικαιώματος πρόσβασης.

γ. Δεν απαιτείται η επίκληση των λόγων για τους οποίους το υποκείμενο των δεδομένων επιθυμεί την άσκηση του δικαιώματος πρόσβασης.

δ. Η υποχρέωση ικανοποίησης του δικαιώματος πρόσβασης είναι καθολική, αφορά δηλαδή σε όλες τις πληροφορίες που αφορούν στο υποκείμενο των δεδομένων.

ε. Η ικανοποίηση του δικαιώματος δεν εξαρτάται από προηγούμενη κρίση του υπεύθυνου επεξεργασίας ως προς το αν δικαιολογείται ή όχι η άσκηση του δικαιώματος.

στ. Ως πρόσβαση νοείται η εκτεινόμενη στα προσωπικά δεδομένα καθ’ αυτά χωρίς να αρκεί μια γενική περιγραφή των εν λόγω δεδομένων, ούτε μια απλή αναφορά στις κατηγορίες δεδομένων προσωπικού χαρακτήρα που επεξεργάζεται ο υπεύθυνος επεξεργασίας. Επομένως τα υποκείμενα των δεδομένων δικαιούνται να έχουν πρόσβαση σε όλα τα δεδομένα που υποβάλλονται σε επεξεργασία και τα οποία τα αφορούν, εκτός εάν προβλέπονται ειδικώς από τον ΓΚΠΔ όρια ή περιορισμοί.

ζ. Εκτός της περίπτωσης όπου το υποκείμενο των δεδομένων έχει ζητήσει ρητά κάτι διαφορετικό, το αίτημα άσκησης του δικαιώματος πρόσβασης νοείται ως γενικό και περιλαμβάνει όλα τα δεδομένα προσωπικού χαρακτήρα που αφορούν.

Διαβάστε επίσης: Το δικαίωμα λήψης αντιγράφου δεδομένων μπορεί να ικανοποιείται επαρκώς με την επί τόπου μελέτη των εγγράφων (ΑΠΔΠΧ 47/2023)

Ως προς το αίτημα του καταγγέλλοντος για πρόσβαση στα προσωπικά δεδομένα του, η Αρχή έκρινε πως το αίτημα αυτό ασκήθηκε «προσηκόντως και δη με σαφήνεια», ενώ «στο μέτρο που δεν έθετε κάποιον περιορισμό», το αίτημα αυτό καταλάμβανε το σύνολο των προσωπικών δεδομένων του που τηρούνται από την καταγγελλόμενη εταιρεία.

Η Αρχή παρατήρησε πως από τα στοιχεία του φακέλου προέκυψε ότι η καταγγελλόμενη διαχειριζόταν μόνο μια δανειακή σύμβαση καταναλωτικής πίστης για τον καταγγέλλοντα, ως εκ τούτου «ο όγκος των τηρούμενων για αυτόν προσωπικών δεδομένων δεν θα μπορούσε εξ αντικειμένου να είναι μεγάλος», το δε αίτημά του περιελάμβανε και το αντίγραφο της σύμβασης αυτής.

Το στοιχεία αυτό διαβιβάστηκε στον καταγγέλλοντα μετά από τηλεφωνική επικοινωνία μαζί του και όχι με την πρώτη απάντηση της εταιρείας στο επίμαχο αίτημα πρόσβασης. Κατά συνέπεια, σύμφωνα με την Αρχή, το αίτημα πρόσβασης «δεν ικανοποιήθηκε προσηκόντως με την ανωτέρω πρώτη απάντηση της καταγγελλομένης, διότι δεν είχε περιληφθεί στην απάντηση αυτή το σύνολο των δεδομένων προσωπικού χαρακτήρα που αφορούσαν τον καταγγέλλοντα αφού δεν είχε αποσταλεί το εν λόγω αντίγραφο σύμβασης».

Η παράλειψη αυτή κρίθηκε πως αποτελεί μη προσήκουσα ικανοποίηση του δικαιώματος πρόσβασης του άρθρου 15 ΓΚΠΔ, σε συνδυασμό με την υποχρέωση έγκαιρης ανταπόκρισης του άρθρου 12 παρ.3 ΓΚΠΔ, αφού το αντίγραφο της σύμβασης χορηγήθηκε εκπρόθεσμα.

Ως προς το αίτημα του καταγγέλλοντος για χορήγηση αντιγράφου των καταγεγραμμένων συνομιλιών του, η Αρχή διαπίστωσε πως το αίτημα ικανοποιήθηκε εν τέλει μετά την ακρόαση των μερών ενώπιόν της. Η εταιρεία κάλεσε αρχικά τον αιτούντα να επικοινωνήσει με το τηλεφωνικό της κέντρο προκειμένου να προγραμματίσει ραντεβού για παραλαβή των δεδομένων του, μολονότι ο αιτών είχε ενημερώσει πως είναι κάτοικος εξωτερικού, αλλά και είχε ρητώς ζητήσει την ικανοποίηση του αιτήματός του από απόσταση.  

Η Αρχή έκρινε πως υπήρξε παραβίαση του δικαιώματος πρόσβασης του καταγγέλλοντος, αφού η καταγγελλόμενη εταιρεία του απέστειλε τις ηχογραφημένες συνομιλίες με τον τρόπο που επιθυμούσε ο καταγγέλλων και υπαγόρευε και η σχετική εταιρική πολιτική εκπρόθεσμα και δη μετά την ακρόαση ενώπιον της Αρχής, κατά παράβαση του άρθρου 12 παρ. 2 και 3 ΓΚΠΔ.

Διαβάστε επίσης: Δικαίωμα πρόσβασης στα στοιχεία υπαλλήλου που επικοινώνησε με πελάτισσα μέσω προσωπικού λογαριασμού

Παράλληλα, η Αρχή έκρινε αναγκαίο να καλέσει την εταιρεία να προχωρήσει σε τροποποίηση της εσωτερικής πολιτικής της σχετικά με την ικανοποίηση αιτημάτων πρόσβασης σε ηχογραφημένες συνομιλίες, έτσι ώστε η ικανοποίηση των δικαιωμάτων των υποκειμένων με τον απλούστερο δυνατό τρόπο, ήτοι καταρχήν εξ αποστάσεως, να είναι ο κανόνας και όχι η εξαίρεση.

Όπως παρατηρήθηκε, «από την πολιτική της καταγγελλόμενης εταιρείας προκύπτει ότι τίθεται εν γένει δυσχέρεια στην ικανοποίηση του δικαιώματος πρόσβασης στις ηχογραφημένες συνομιλίες των υποκειμένων των δεδομένων, στο μέτρο που ο κανόνας είναι η μετάβαση των τελευταίων στις εγκαταστάσεις της εταιρείας και μόνο κατ’ εξαίρεση εφαρμόζονται έτεροι τρόποι που διευκολύνουν περισσότερο τα υποκείμενα των δεδομένων που ασκούν δικαίωμα πρόσβασης, όπως μέσω αποστολής τους με email (βλ. προσκομισθείσα εσωτερική πολιτική της καταγγελλόμενης εταιρείας). Επομένως, ανεξαρτήτως της μη προσήκουσας, με τα δεδομένα της συγκεκριμένης υπόθεσης, ικανοποίησης του δικαιώματος πρόσβασης, το οποίο άσκησε ο καταγγέλλων, κατά τα αναφερόμενα στις προηγούμενες σκέψεις, η διαδικασία που ορίζεται από την εσωτερική πολιτική της καταγγελλόμενης εταιρείας δεν εξασφαλίζει την ικανοποίηση των σχετικών δικαιωμάτων πρόσβασης σε ηχογραφημένες συνομιλίες καταρχήν με τον απλούστερο δυνατό τρόπο, διότι με τη διαδικασία αυτή τίθεται δυσχέρεια στα υποκείμενα των δεδομένων και ως εκ τούτου η σχετική πολιτική χρήζει τροποποίησης ώστε η απλούστερη ικανοποίηση για τα υποκείμενα των δεδομένων να καταστεί ο κανόνας και όχι η εξαίρεση».

Η απόφαση της Αρχής

Με βάση τα ανωτέρω, η Αρχή επέβαλε διοικητικό πρόστιμο συνολικού ύψους 3.000 ευρώ, ήτοι 1.000 ευρώ για τη μη προσήκουσα και εμπρόθεσμη ικανοποίηση ως προς το ζήτημα της σύμβασης και 2.000 ευρώ για παραβίαση του δικαιώματος πρόσβασης ως προς το ζήτημα των ηχογραφημένων συνομιλιών.

Παράλληλα, η Αρχή έκρινε πως η εσωτερική πολιτική της εταιρείας παραβιάζει το άρθρο 12 παρ.2 ΓΚΠΔ και έδωσε εντολή για τροποποίησή της εντός 30 ημερών.  

Για τον υπολογισμό του ύψους του επιβληθέντος προστίμου, η Αρχή έλαβε υπόψιν της «το γεγονός ότι κατά της καταγγελλομένης είχε υποβληθεί και άλλη καταγγελία στην Αρχή, προγενέστερη της εξεταζόμενης, για παράβαση δικαιώματος υποκειμένου δεδομένων, κατόπιν της οποίας η Αρχή είχε απευθύνει στην εταιρεία στις 06-07-2023 έγγραφο (βλ. το με αριθ. πρωτ. Γ/ΕΞΕ/1730/2023), με το οποίο σταθμίζοντας και τα αντίστοιχα πραγματικά περιστατικά, είχε επιστήσει την προσοχή της τελευταίας, ώστε να ικανοποιεί εντός των προβλεπόμενων στο άρθρο 12 παρ. 3 του ΓΚΠΔ προθεσμιών τα δικαιώματα των υποκειμένων των δεδομένων, λαμβάνοντας τα εκάστοτε προσήκοντα τεχνικά και οργανωτικά μέτρα ασφάλειας και επιδεικνύοντας τη δέουσα προσοχή στην αξιοποίηση των στοιχείων επικοινωνίας που θέτουν υπ’ όψιν οι πελάτες της καταγγελλομένης».

Το πλήρες κείμενο της ΑΠΔΠΧ 4/2025 είναι διαθέσιμο στον ιστότοπο της Αρχής