Διόρθωση και διαγραφή δεδομένων από παροχή ρεύματος (ΑΠΔΠΧ 26/2024)

Διοικητικό πρόστιμο 25.000 ευρώ στη ΔΕΗ και 3.000 ευρώ στον Δήμο Αθηναίων επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για την παραβίαση απαιτήσεων του Γενικού Κανονισμού Προστασίας Δεδομένων.

Στην περίπτωση της ΔΕΗ, οι παραβάσεις που διαπιστώθηκαν από την Αρχή αφορούν τη μη ικανοποίηση των αιτημάτων διόρθωσης και διαγραφής των δεδομένων του καταγγέλλοντος, καθώς και την παραβίαση των αρχών νομιμότητας και διαφάνειας, ενώ ο Δήμος κρίθηκε πως είχε παραβιάσει την υποχρέωση του άρθρου 12 παρ.3 ΓΚΠΔ, σχετικά με τον τρόπο ανταπόκρισης επί αιτημάτων του υποκειμένου.

Το 2021, ο καταγγέλλων διαμαρτυρήθηκε στην Αρχή Προστασίας Δεδομένων για τη μη διόρθωση και διαγραφή των στοιχείων του από τα συστήματα της ΔΕΗ, σχετικά με ιδιοκτησίες που δεν του ανήκαν. Επικαλούμενη σχετική απάντηση της ΔΕΗ, η Αρχή ολοκλήρωσε την εξέταση της υπόθεσης, ενημερώνοντας τον καταγγέλλοντα πως «προκειμένου να καταστεί δυνατή η ικανοποίηση του αιτήματος διόρθωσης/διαγραφής των στοιχείων του καταγγέλλοντος, του ζητήθηκε να ενεργοποιηθεί προς την ορθή και πλήρη αποκατάσταση της ιστορικότητας των επίμαχων παροχών, σύμφωνα με το ισχύον κανονιστικό και ρυθμιστικό πλαίσιο ηλεκτρικής ενέργειας».

Το 2022 και ένα μήνα μετά την πράξη της Αρχής για περαίωση της καταγγελίας του, ο καταγγέλλων επανήλθε με νέα συμπληρωματική καταγγελία, αυτή τη φορά σε βάρος δικηγορικών γραφείων και μιας εταιρείας ενημέρωσης οφειλετών, σχετικά με τις τηλεφωνικές κλήσεις που πραγματοποιούσαν προς αυτόν, αλλά και σε βάρος του Δήμου Αθηναίων, σχετικά με την επεξεργασία των δεδομένων του για οφειλές που σχετίζονταν με τις ως άνω παροχές.

Υπό τα δεδομένα αυτά, η Αρχή αποφάσισε να ανοίξει και πάλι την εξέταση της αρχικής καταγγελίας, εξετάζοντας αυτή από κοινού με τη συμπληρωματική, λόγω συνάφειας. Για την εξέταση αυτή, ζητήθηκαν οι απόψεις της ΔΕΗ και του Δήμου.

Η απόφαση της Αρχής

Ως προς τη ΔΕΗ

α. Σχετικά με το αίτημα διόρθωσης/διαγραφής

Η Αρχή διαπίστωσε την παραβίαση των άρθρων 16, 17 και 12 παρ.2 και 3 ΓΚΠΔ, κρίνοντας ότι: «ως προς το δικαίωμα διόρθωσης/διαγραφής που έχει ασκήσει ο καταγγέλλων προς την καταγγελλόμενη εταιρεία, προκύπτει ότι η τελευταία διαβεβαιώνει τον καταγγέλλοντα ότι έχουν διορθωθεί τα στοιχεία του, χωρίς ωστόσο να διευκρινίζεται σε αυτόν περαιτέρω εάν η διόρθωση αυτή έχει γίνει μόνο στην πλατφόρμα του ebill ως προς τα στοιχεία επικοινωνίας ή και στις «καρτέλες» των εν λόγω παροχών. Οι ισχυρισμοί της καταγγελλόμενης εταιρείας ότι θα έπρεπε ο ίδιος ο καταγγέλλων να διερευνήσει και να αντιληφθεί τη διαφοροποίηση μεταξύ των συστημάτων αυτής, ενώ είχε έγγραφη επικοινωνία με εκπροσώπους της εταιρείας που τον διαβεβαίωναν για τις διαγραφές και ζητούσαν συγγνώμη για την όχληση από τους συνεργάτες αυτής, δεν συνάδει με την υποχρέωση του υπευθύνου επεξεργασίας να διευκολύνει το υποκείμενο ως προς την άσκηση του δικαιώματος διόρθωσης/διαγραφής.

Επίσης, η ίδια η εταιρεία θα έπρεπε να ενημερώσει τον καταγγέλλοντα ότι αντί για το Ε9, που του ζητήθηκε προσκόμισε το Ε1, και αυτό θα μπορούσε να την εμποδίσει στην επί της ουσίας εξέταση του αιτήματός του, ακόμα κι εάν η προσκόμιση του Ε9 δεν θα αποδείκνυε ότι δεν σχετίζεται με τις παροχές, όπως αναφέρει η ΔΕΗ. Ενώ η ΔΕΗ έχει αρχικά διαβεβαιώσει τον καταγγέλλοντα για τη διόρθωση των στοιχείων του, δίνοντας σε αυτόν παραπλανητικά την εντύπωση ότι έχει ικανοποιηθεί το δικαίωμα διόρθωσης/διαγραφής που είχε ασκήσει, συνεχίζει να κοινοποιεί τα δεδομένα του στους συνεργάτες της για τη διευθέτηση των οφειλών των ως άνω παροχών, στις δε απόψεις της προς την Αρχή, τόσο στην αρχική καταγγελία, όσο και στη συμπληρωματική, αρνείται να ικανοποιήσει το εν λόγω αίτημα, επιμένοντας, στηριζόμενη στο ότι ο κάθε ιδιοκτήτης οφείλει να ενημερώνει ο ίδιος τη ΔΕΗ για το ιδιοκτησιακό καθεστώς των ακινήτων, ότι ο καταγγέλλων σχετίζεται με τις εν λόγω παροχές για τους λόγους που αναφέρει. Στο δε, τελικό έγγραφο πριν από την ακρόαση, η ΔΕΗ, χωρίς να δίνει σαφή εικόνα, αναφέρει ότι αποκαταστάθηκε το πρόβλημα, χωρίς να ξέρουμε το ακριβές χρονικό σημείο που έγινε η αποκατάσταση της ιστορικότητας του ιδιοκτησιακού καθεστώτος των επίμαχων παροχών και με ποιες ενέργειες. Επομένως, η Αρχή κρίνει ότι δεν ικανοποιήθηκαν προσηκόντως και εμπροθέσμως τα δικαιώματα διόρθωσης και διαγραφής παρά μόνο κατόπιν των σχετικών καταγγελιών και της παρέμβασης της Αρχής και προκύπτει παραβίαση των άρθρων 16 και 17 παρ. 1 στοιχ. β’, γ’ και δ’ του ΓΚΠΔ σε συνδυασμό με το άρθρο 12 παρ. 2 και 3 του ΓΚΠΔ».

Για την παραβίαση αυτή επιβλήθηκε διοικητικό πρόστιμο ύψους 15.000 ευρώ και ειδικότερα, πρόστιμο ύψους 7.500 ευρώ για το δικαίωμα διόρθωσης και 7.500 ευρώ για το δικαίωμα διαγραφής.

β. Σχετικά με τις τηλεφωνικές οχλήσεις προς τον καταγγέλλοντα

Η Αρχή έκρινε πως την ευθύνη για τις τηλεφωνικές οχλήσεις που δεχόταν ο καταγγέλλων βαρύνει τη ΔΕΗ, ως υπεύθυνο επεξεργασίας, και όχι τα δικηγορικά γραφεία και την εταιρεία ενημέρωσης οφειλετών, που ενεργούσαν κατόπιν σχετικής ανάθεσης της υπόθεσης.

Σύμφωνα με την απόφαση, «ο υπεύθυνος επεξεργασίας, εφόσον είχε σαφή γνώση της αμφισβήτησης του καταγγέλλοντος για τη συσχέτιση του ΑΦΜ του με τις επίμαχες παροχές, από τις οποίες είχαν προκύψει οι οφειλές, όφειλε να διακόψει την περαιτέρω επεξεργασία των δεδομένων του καταγγέλλοντος, ήτοι τη διαβίβαση/κοινοποίηση/διάθεση σε άλλους έως και την επίλυση του ζητήματος (βλ. αρ. 18 ΓΚΠΔ). Ενόψει των ανωτέρω, η Αρχή κρίνει ότι η ΔΕΗ, ως υπεύθυνος επεξεργασίας φέρει την ευθύνη για την επεξεργασία των δεδομένων του καταγγέλλοντος αναφορικά με τις οχλήσεις που δεχόταν από τον Νοέμβριο του 2020 έως και τον Ιανουάριο του 2021 και διαπιστώνεται ότι η ΔΕΗ δεν απέδειξε, βάσει της αρχής της λογοδοσίας (αρ. 5 παρ. 2 ΓΚΠΔ) του υπευθύνου επεξεργασίας που υποχρεούται να αποδεικνύει τη συμμόρφωσή του με τις αρχές του αρ. 5 παρ. 1 του ΓΚΠΔ, με ποιο τρόπο πραγματοποιήθηκε η αποκατάσταση της ιστορικότητας του ιδιοκτησιακού καθεστώτος των επίμαχων παροχών, με ποιες ενέργειες και σε ποια ακριβώς χρονική στιγμή, παραβιάζοντας τις αρχές της νομιμότητας και της ακρίβειας της επεξεργασίας των δεδομένων του άρθρου 5 παρ. 1 στοιχ. α’ και δ΄ του ΓΚΠΔ».

Για την παραβίαση αυτή επιβλήθηκε διοικητικό πρόστιμο ύψους 10.000 ευρώ.

Ως προς τον Δήμο Αθηναίων

Η Αρχή εξέτασε καταρχήν τον ρόλο του Δήμου στις καταγγελλόμενες πράξεις επεξεργασίας δεδομένων, κρίνοντας πως αυτός ενεργεί ως υπεύθυνος επεξεργασίας για την είσπραξη των δικών του απαιτήσεων. Όπως ειδικότερα κρίθηκε, «ο Δήμος ενεργεί απέναντι στο υποκείμενο και επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα που το αφορούν για την εξυπηρέτηση των δικών του σκοπών και η είσπραξη μέσω της ΔΕΗ πραγματοποιείται μόνο προς διευκόλυνση του συστήματος είσπραξης των δημοτικών τελών και του Τ.Α.Π.. Η ΔΕΗ δυνάμει του ανωτέρω νόμου διεβίβασε τα δεδομένα στον Δήμο Αθηναίων για να προβεί ο ίδιος σε είσπραξη των οφειλών που τον αφορούσαν. Επομένως, η Αρχή κρίνει ότι ο Δήμος Αθηναίων καθίσταται υπεύθυνος επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των υποχρέων σε πληρωμή των τελών και των φόρων που αφορούν τον Δήμο και εισπράττονται με τον λογαριασμό του ηλεκτρικού ρεύματος, όπως και στην εξεταζόμενη υπόθεση».

Η Αρχή δεν κατελόγισε ευθύνες στον Δήμο σχετικά με την επεξεργασία των δεδομένων του καταγγέλλοντος, λαμβάνοντας υπόψιν πως αφενός αυτή ήταν προβλεπόμενη εκ του νόμου, αφετέρου τα αρμόδια όργανά του είχαν διαπιστώσει την αναντιστοιχία του οφειλέτη με τις παροχές και είχαν δρομολογήσει αποφάσεις για τη διαγραφή των οφειλών του καταγγέλλοντος. Αντίθετα, η Αρχή διαπίστωσε πως ο Δήμος παραβίασε την υποχρέωση του άρθρου 12 παρ.3 ΓΚΠΔ σχετικά με τον τρόπο ανταπόκρισης στα αιτήματα του υποκειμένου των δεδομένων, κρίνοντας ότι: «ο καταγγέλλων, αφότου έλαβε τις ειδοποιήσεις οφειλής από τον Δήμο Αθηναίων για τα τέλη καθαριότητας και φωτισμού και Τ.Α.Π., απέστειλε στον Υπεύθυνο Επεξεργασίας Δεδομένων του Δήμου τα από … και … μηνύματα ηλεκτρονικού ταχυδρομείου, ασκώντας τα δικαιώματα πρόσβασης και διαγραφής αντίστοιχα. Από τα στοιχεία του φακέλου προκύπτει ότι ο Δήμος Αθηναίων δεν ενημέρωσε τον καταγγέλλοντα με ηλεκτρονικά μέσα, εφόσον τα αιτήματα υποβλήθηκαν μέσω ηλεκτρονικών μηνυμάτων, ως όφειλε, για τις ενέργειες που έχουν πραγματοποιηθεί, κατόπιν άσκησης των δικαιωμάτων του. Επομένως, η Αρχή διαπιστώνει παραβίαση του άρθρου 12 παρ. 3 του ΓΚΠΔ».

Για την παραβίαση αυτή επιβλήθηκε διοικητικό πρόστιμο ύψους 3.000 ευρώ.

Το πλήρες κείμενο της απόφασης είναι διαθέσιμο στον ιστότοπο της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα