Προσωπικά δεδομένα: Επίπληξη σε Δήμο για στοιχεία που αναγράφονται εξωτερικά σε φάκελο αποστολής και καθίστανται ορατά από τρίτους

Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα εξέτασε καταγγελία πολίτη για αποστολή στην διεύθυνση κατοικίας του φακέλου αλληλογραφίας, στο εξωτερικό του οποίου αναγράφονταν προσωπικά δεδομένα περισσότερα από όσα ήταν αναγκαία για την ταυτοποίησή του ως παραλήπτη.

Σύμφωνα με την απόφαση, υπηρεσία του Δήμου Χίου απέστειλε στον καταγγέλλοντα επιστολή, που τηρεί ως υπεύθυνος επεξεργασίας στο αρχείο του, σε φάκελο αλληλογραφίας, κατά τρόπο που δεν πληροί τις προϋποθέσεις της νόμιμης επεξεργασίας που ορίζει ο ΓΚΠΔ.

Ειδικότερα, στον φάκελο αποστολής εκτός από το ονοματεπώνυμο και τη διεύθυνση του καταγγέλλοντα-παραλήπτη αναγράφονται και ο ΑΦΜ, η Δ.Ο.Υ και ο αριθμός δελτίου ταυτότητάς του, με αποτέλεσμα να έχουν δυνατότητα πρόσβασης σε αυτά παρανόμως και τρίτοι (π.χ. ταχυδρόμος, γείτονες κ.λπ.).

Η ΑΠΔΠΧ επεσήμανε ότι τα ανωτέρω –πλην του ονοματεπωνύμου και της ταχυδρομικής διεύθυνσης - αναφερόμενα προσωπικά στοιχεία του καταγγέλλοντα που εμφανίζονται στον φάκελο αποστολής δεν είναι συναφή, πρόσφορα και ανάλογα του σκοπού που εξυπηρετεί η συγκεκριμένη επεξεργασία.

Στο πλαίσιο αυτό, η Αρχή σημειώνει ότι η εν λόγω Υπηρεσία του Δήμου ως υπεύθυνος επεξεργασίας των προσωπικών στοιχείων του εκάστοτε οφειλέτη του, θα έπρεπε να αποστείλει σε αυτόν την βεβαίωση σε φάκελο αλληλογραφίας, στο εξωτερικό του οποίου και στο διαφανές- ορατό σε όλους- παράθυρο, θα αναγράφονται μόνον τα στοιχεία που είναι απαραίτητα για την αποστολή του φακέλου στον παραλήπτη και ταυτοποίηση αυτού, ήτοι όνομα, επώνυμο και διεύθυνση.

Περαιτέρω, επειδή, όπως προκύπτει από τα ανωτέρω και έχει ήδη κρίνει η Αρχή σε προηγούμενη απόφασή της (με αρ. 47/2009) επιτρεπτά στοιχεία για την αποστολή φακέλου είναι αναντίρρητα μόνο το ονοματεπώνυμο και η διεύθυνση του παραλήπτη.

​Η Αρχή έκρινε ότι το συγκεκριμένο συμβάν οφειλόταν σε παραδρομή, καθώς έγινε δεκτό ότι πάγια τακτική του καταγγελλόμενου Δήμου είναι η αποστολή φακέλων, στο εξωτερικό των οποίων είναι ορατά μόνο το όνομα, το επώνυμο και η διεύθυνση του παραλήπτη.

Κατ’ αποτέλεσμα, η Αρχή επέβαλε στον υπεύθυνο επεξεργασίας για παραβίαση του άρθρου ΓΚΠΔ 5 παρ. 1 περ. β΄, γ΄, στ΄ την ποινή της επίπληξης.

Δείτε αναλυτικά την απόφαση 14/2022.