Πρόστιμο 150.000 ευρώ στη Wind για ανεπιθύμητη ηλεκτρονική επικοινωνία και μη ικανοποίηση αιτημάτων του ΓΚΠΔ
Η Αρχή επιβάλλει πρόστιμο από 60.000 ευρώ αντίστοιχα για μη ικανοποίηση του δικαιώματος εναντίωσης και πρόσβασης και 30.000 ευρώ για τις διαδικασίες που ακολουθήθηκαν (ΑΠΔΠΧ 20/2023, Α’ Δημοσίευση Lawspot)
Διοικητικό πρόστιμο συνολικού ύψους 150.000 ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων στον πάροχο τηλεπικοινωνιών WIND Ελλάς (νυν NOVA) μετά από πολλαπλές καταγγελίες συνδρομητή της για κατ’ επανάληψη λήψη ανεπιθύμητης ηλεκτρονικής επικοινωνίας παρά τις αντιρρήσεις του και για μη ικανοποίηση των δικαιωμάτων πρόσβασης και εναντίωσης.
Το επιβληθέν πρόστιμο αποτελεί ένα από τα μεγαλύτερα διοικητικά πρόστιμα που έχει επιβάλει η Αρχή από την έναρξη εφαρμογής του Γενικού Κανονισμού Προστασίας Δεδομένων.
Ιστορικό υπόθεσης
Ενώπιον της Αρχής Προστασίας Δεδομένων υποβλήθηκαν έξι (6) καταγγελίες συνδρομητή της καταγγελλόμενης εταιρείας για κατ’ επανάληψη λήψη ανεπιθύμητης ηλεκτρονικής επικοινωνίας για σκοπούς εμπορικής προώθησης προϊόντων και υπηρεσιών της καταγγελλομένης παρά τις αντιρρήσεις του και για μη ικανοποίηση των δικαιωμάτων πρόσβασης, εναντίωσης και περιορισμού της επεξεργασίας, τα οποία άσκησε επανειλημμένα.
Οι καταγγελίες αυτές, οι οποίες υποβλήθηκαν από τα μέσα του 2018 μέχρι τις αρχές του 2020 σχετίζονταν καταρχήν με τη λήψη ανεπιθύμητων προωθητικών SMS προς τον τηλεφωνικό αριθμό του καταγγέλλοντος, μολονότι αυτός είχε κατ’ επανάληψη ζητήσει την εξαίρεσή του από οποιαδήποτε προωθητική ενέργεια καθώς και την ένταξή του στο Μητρώο του άρθρου 11 του ν.3471/2006.
Περαιτέρω, ο καταγγέλλων διαμαρτυρήθηκε και για τον τρόπο με τον οποίο η εταιρεία χειρίστηκε τα αιτήματά του, ειδικά τα αιτήματα εναντίωσης και πρόσβασης. Κρίσιμο στοιχείο του χειρισμού αυτού υπήρξε η πολιτική της εταιρείας να δέχεται αιτήματα του ΓΚΠΔ μόνον εφόσον τα υποκείμενα των δεδομένων (ή τα εξουσιοδοτούμενα από αυτά πρόσωπα) μετέβαιναν σε κατάστημα με το δελτίο της αστυνομικής τους ταυτότητας ή άλλο δημόσιο έγγραφο απόδειξης ταυτοπροσωπίας ή κατόπιν αποστολή συστημένης επιστολής, φέρουσας γνήσιο της υπογραφής και συνοδευόμενης από αντίγραφο της ταυτότητας του αιτούντος.
Κληθείσα από την Αρχή για να υποβάλει τις απόψεις της, η καταγγελλόμενη εταιρεία επιβεβαίωσε πως ο καταγγέλλων έχει ενταχθεί στο Μητρώο του άρθρου 11 και έχει εξαιρεθεί από την προώθηση των προϊόντων και υπηρεσιών της, αποδίδοντας την αποστολή προωθητικών SMS αρχικά σε συστημική δυσλειτουργία αναφορικά με την καταχώριση, ακολούθως δε, ως προς επόμενα μηνύματα, σε εσφαλμένο ανθρώπινο χειρισμό. Για κάποια από τα αποσταλέντα μηνύματα, η εταιρεία ισχυρίστηκε πως αυτά είχαν περιεχόμενο ενημερωτικό, λόγω λήξης υπηρεσιών στις οποίες είχε εγγραφεί ο καταγγέλλων, και όχι προωθητικό.
Ως προς την ικανοποίηση των αιτημάτων που είχαν υποβληθεί από τον καταγγέλλοντα, η εταιρεία προέβαλε τον ισχυρισμό ότι ο λόγος που έχει προκριθεί η άσκηση των δικαιωμάτων είτε μέσω υποβολής αιτήματος στα καταστήματα, είτε με επιστολή, έγκειται αφενός στην ανάγκη ορθής ταυτοποίησης των υποκειμένων των δεδομένων, αφετέρου στην επιταγή να αποκτούν πρόσβαση στα προσωπικά δεδομένα συνδρομητών μόνο εξουσιοδοτημένοι υπάλληλοι.
Η καταγγελλομένη έκρινε ότι η αποκεντρωμένη δομή των καταστημάτων της, τα οποία λειτουργούν υπό καθεστώς δικαιόχρησης, δεν ενδείκνυται να εμπλέκεται στην ικανοποίηση των σχετικών αιτημάτων αλλά αυτά θα πρέπει αφού συλλεγούν από τα καταστήματα να διαβιβάζονται κεντρικά προς διερεύνηση και ικανοποίηση σε κατάλληλα εκπαιδευμένο προσωπικό, με εμπλοκή, όπου κρίνεται απαραίτητο εξειδικευμένου Τμήματος, που τελεί υπό την εποπτεία του Υπευθύνου Προστασίας Δεδομένων (DPO).
Η επισύναψη του δελτίου αστυνομικής ταυτότητας και τα γνήσιο της υπογραφής απαιτούνται μόνο όταν το σχετικό αίτημα υποβάλλεται μέσω επιστολής ή από τρίτο εξουσιοδοτημένο προς τούτο πρόσωπο. Η εταιρεία προσέθεσε ότι επανασχεδίασε τη διαδικασία ικανοποίησης δικαιωμάτων, με προσθήκη δυνατότητας υποβολής αυτών μέσω ηλεκτρονικής πλατφόρμας, όπου οι συνδρομητές αυθεντικοποιούνται με ασφάλεια, ενώ έθεσε επίσης σε εφαρμογή τη δυνατότητα υποβολής των εν λόγω αιτημάτων μέσω της ηλεκτρονικής φόρμας επικοινωνίας, στην οποία έχει προστεθεί ειδικό πεδίο με τίτλο Άσκηση Δικαιωμάτων GDPR.
Η απόφαση της Αρχής (απόσπασμα)
7. Σε σχέση με την άσκηση του δικαιώματος εναντίωσης:
Στην προκειμένη περίπτωση, ο καταγγέλλων, άσκησε το προβλεπόμενο στο άρθρο 21 παρ. 2 ΓΚΠΔ δικαίωμα εναντίωσης με την από … 2016 εγγραφή του, κατόπιν σχετικού αιτήματος του, α) στο Ειδικό Μητρώο Αντιρρήσεων που τηρεί η καταγγελλομένη, ως εξαιρούμενος από οποιαδήποτε προωθητική της ενέργεια και β) στο Μητρώο του άρθρου 11 ν.3471/2016 (μητρώο «opt-out»), το οποίο επίσης τηρεί η καταγγελλομένη, για την εξαίρεση από πραγματοποίηση τηλεφωνικών προωθητικών κλήσεων στον αριθμό του κινητού του τηλεφώνου.
Ωστόσο, μετά την ημερομηνία εγγραφής του στο Ειδικό Μητρώο Αντιρρήσεων, ο καταγγέλλων έλαβε από την καταγγελλομένη πέντε (5) ανεπιθύμητα προωθητικά SMS, τρία στις …2018, ένα στις …2019 και ένα στις ...2019 (βλ. ιστορικό της παρούσας). Η καταγγελλομένη χαρακτηρίζει το ένα από τα τρία μήνυμα που εστάλησαν στις ...2018 (με περιεχόμενο «Το πακέτο … λήγει απόψε. Μπες στο MYF2G APP και ενεργοποίησέ το πάλι για λεπτά ομιλίας προς όλους, sms και ΜΒ με μία κίνηση») ως καθαρά ενημερωτικό, το οποίο αποσκοπούσε στην πληροφόρηση του χρήστη για την εξάντληση προπληρωμένου πακέτου υπηρεσιών. Από το περιεχόμενο όμως του εν λόγω μηνύματος φαίνεται ότι περιλαμβάνει προώθηση αφού αναφέρεται σε εκ νέου ενεργοποίηση του πακέτου. Το από ...2018 μήνυμα, το περιεχόμενου του οποίου δεν προσκομίστηκε από καμία πλευρά, είχε, σύμφωνα με την απάντηση της καταγγελλομένης, καθαρά ενημερωτικό χαρακτήρα. Επισημαίνεται ότι τα τέσσερα από τα παραπάνω πέντε προωθητικά μηνύματα (τα τρία μηνύματα στις ...2018 και το μήνυμα στις ...2019) δεν περιλάμβαναν δυνατότητα διαγραφής του αποδέκτη.
Η καταγγελλομένη δεν ενήργησε ώστε να διακόψει την αποστολή των προωθητικών μηνυμάτων στον καταγγέλλοντα παρά την εναντίωση του, τα επανειλημμένα μηνύματά του (βλ. ιστορικό της παρούσας), με τα οποία παραπονείτο για τη λήψη του κάθε προωθητικού SMS, επαναλάμβανε ότι είναι καταχωρημένος στο Ειδικό Μητρώο Αντιρρήσεων και ως εκ τούτου εξαιρείται από οποιαδήποτε προωθητική της ενέργεια και παρά τις διαβεβαιώσεις της ιδίας περί σεβασμού της σχετικής εναντίωσης. Η καταγγελλομένη δεν ενήργησε για τη διακοπή των προωθητικών αυτών μηνυμάτων ούτε μετά τη διαβίβαση σε αυτή από την Αρχή των υπό στοιχεία 1 και 2 συνεξεταζόμενων καταγγελιών αλλά έστειλε τα δύο τελευταία κατά σειρά μηνύματα στον καταγγέλλοντα μετά την απάντησή της στις καταγγελίες αυτές (Πρβλ. ΑΠΔ 37/2015 και 71/2015, ιδίως σκ. 5. Βλ. και ΑΠΔ 26/2021).
Όσον αφορά την καταχώριση του καταγγέλλοντος στο Μητρώο του άρθρου 11 ν.3471/2006, αυτή διακόπηκε, σύμφωνα με την απάντηση της καταγγελλομένης, για διάστημα τριών μηνών, από ...2018 έως ...2018, λόγω ανθρώπινου σφάλματος εργαζομένου αυτής και αποκαταστάθηκε μετά από ενέργεια του καταγγέλλοντος. Κατά το χρονικό αυτό διάστημα δεν πραγματοποιήθηκαν τηλεφωνικές προωθητικές κλήσεις από την καταγγελλομένη ούτε προσκομίζονται στοιχεία από τον καταγγέλλοντα ότι δέχτηκε τηλεφωνικές προωθητικές κλήσεις από άλλες εταιρείες. Η καταγγελλομένη πραγματοποίησε δύο τηλεφωνικές κλήσεις έρευνας αγοράς οι οποίες δεν εμπίπτουν στο σκοπό της προώθησης προϊόντων και υπηρεσιών. Επίσης, σύμφωνα με την απάντηση της καταγγελλομένης, η προωθητική τηλεφωνική κλήση προς τον καταγγέλλοντα από τον αριθμό …, η οποία πραγματοποιήθηκε μετά την αποκατάσταση της ένταξής του στο Μητρώο του άρθρο 11, διενεργήθηκε από τρίτη εταιρεία με την οποία δεν σχετίζεται.
Στο μετά την ακρόαση υπόμνημά της, η καταγγελλομένη αναφέρει ότι ο καταγγέλλων υπέβαλε πολλαπλά αιτήματα για την ένταξή του στο Μητρώο του άρθρου 11 και κάποια από αυτά τα υπέβαλε στην ηλεκτρονική διεύθυνση του ΥΠΔ της. Ως προς το ζήτημα αυτό επισημαίνεται καταρχήν ότι δεν απαιτείται η υποβολή πολλαπλών αιτημάτων για την ένταξη στο Μητρώο του άρθρου 11 αλλά αρκεί το πρώτο σχετικό αίτημα του αιτούντος. Κατά δεύτερο λόγο, από την ηλεκτρονική αλληλογραφία που προσκόμισε στην Αρχή ο καταγγέλλων προκύπτει ότι δεν άσκησε το δικαίωμα εναντίωσης (της ένταξης είτε στο Μητρώο του άρθρου 11 είτε στο Ειδικό Μητρώο Αντιρρήσεων) μέσω της ηλεκτρονικής διεύθυνσης του ΥΠΔ αλλά με τα μηνύματα που έστελνε παραπονείτο για την λήψη των προωθητικών SMS παρότι είχε ήδη εναντιωθεί και παρά τις επανειλημμένες διαμαρτυρίες του.
Συνεπώς, διαπιστώνεται παράβαση του άρθρου 21 (3) ΓΚΠΔ με την αποστολή των πέντε (5) προωθητικών μηνυμάτων στον καταγγέλλοντα παρά τη σχετική εναντίωσή του και τις επανειλημμένες διαμαρτυρίες του καθώς και με την απένταξη του τηλεφωνικού του αριθμού από το Μητρώο του άρθρου 11 για διάστημα τριών (3) μηνών χωρίς να το έχει ζητήσει ο ίδιος.
8. Σε σχέση με την άσκηση του δικαιώματος πρόσβασης:
Στην προκειμένη περίπτωση ο καταγγέλλων υπέβαλε στην καταγγελλομένη τα εξής αιτήματα άσκησης του δικαιώματος πρόσβασης:
α) το από ...2018 αίτημα μέσω μηνύματος στην ηλεκτρονική διεύθυνση του ΥΠΔ αυτής, με το οποίο ζήτησε να ενημερωθεί «αν διατηρείτε opt in συγκατάθεση από μέρους μου να λαμβάνω μέρος σε έρευνα ικανοποίησης πελατών. Επιπλέον, ζητάω πρόσβαση σε ενδεχόμενη συγκατάθεση»,
β) το από ...2018 αίτημα μέσω μηνύματος στην ηλεκτρονική διεύθυνση του ΥΠΔ με το οποίο ζήτησε να του σταλεί αντίγραφο που να αναφέρει ότι έχει εξαιρεθεί από κάθε προωθητική ενέργεια της καταγγελλομένης καθώς και ότι είναι ενταγμένος στο Μητρώο του άρθρου 11 και την ημερομηνία ένταξής του σε αυτό,
γ) το από ...2018 αίτημα μέσω μηνύματος στην ηλεκτρονική διεύθυνση του ΥΠΔ με το οποίο ζήτησε πρόσβαση σε τυχόν συγκατάθεσή του για προωθητικά SMS και αυτοματοποιημένες κλήσεις για έρευνα ικανοποίησης πελάτη, στην αρχική συνομιλία (αίτημα …) για εξαίρεσή του από προωθητικές ενέργειες και ένταξή του στο Μητρώο του άρθρου 11, καθώς και στην από ..2018 και ώρα … συνομιλία του με εργαζομένη της καταγγελλομένης και
δ) το από …2019 αίτημα, το οποίο υπέβαλε μέσω της ηλεκτρονικής φόρμας εξυπηρέτησης πελατών.
Βάσει των πραγματικών περιστατικών των συνεξεταζόμενων υποθέσεων, η καταγγελλομένη δεν ικανοποίησε τα ανωτέρω υπό στοιχεία α και β αιτήματα του καταγγέλλοντος διότι δεν ασκήθηκαν με κάποιον από τους τρόπους που προσδιορίζονταν στην, κατά το χρόνο εκείνο, δημοσιοποιημένη στο διαδικτυακό τόπο πολιτική της για την άσκηση των δικαιωμάτων που απορρέουν από τον ΓΚΠΔ (ήτοι μετάβαση σε κατάστημα και σε όλως εξαιρετικές περιπτώσεις, και εφόσον το υποκείμενο δεν έχει πρόσβαση σε κατάστημα, υποβολή της αίτησης από εξουσιοδοτημένο πρόσωπο ή με συστημένη επιστολή). Η καταγγελλομένη απάντησε στον καταγγέλλοντα ότι μόλις ακολουθήσει την ως άνω διαδικασία που περιγράφεται στην πολιτική της και για την οποία τον ενημέρωσε αναλυτικά με την από ....2018 επιστολή της, θα ικανοποιηθεί το αίτημά του για άσκηση δικαιώματος πρόσβασης βάσει του ΓΚΠΔ εντός της προβλεπόμενης από τον εν λόγω Κανονισμό προθεσμίας. Αντιστοίχως ισχυρίστηκε ενώπιον της Αρχής ότι ο καταγγέλλων δεν άσκησε με κάποιον από τους τρόπους που προσδιορίζονται στην πολιτική της τα δικαιώματά του ώστε να είναι σε θέση να τα ικανοποιήσει.
Ωστόσο, ο ΓΚΠΔ δεν θεσπίζει συγκεκριμένο διαδικαστικό πλαίσιο για την άσκηση δικαιώματος αλλά προβλέπει ότι ο υπεύθυνος επεξεργασίας οφείλει να διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων (άρθρο 12(2) ΓΚΠΔ), παρέχοντας τα μέσα για την ηλεκτρονική υποβολή τους, ιδίως όταν δεδομένα υφίστανται επεξεργασία με ηλεκτρονικά μέσα (αιτ. 59 ΓΚΠΔ). Σύμφωνα με τις κατευθυντήριες γραμμές σχετικά με τη διαφάνεια βάσει του κανονισμού 2016/679 (WP260 rev.01) του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων, οι διαφορετικοί τρόποι που παρέχει ο υπεύθυνος επεξεργασίας για την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων πρέπει να είναι κατάλληλοι για το πλαίσιο και τη φύση της μεταξύ τους σχέσης και να αντανακλούν τους διαφορετικούς τρόπους με τους οποίους τα υποκείμενα των δεδομένων αλληλοεπιδρούν μαζί του. Ειδικότερα, υπεύθυνος επεξεργασίας, ο οποίος χρησιμοποιεί ένα ηλεκτρονικό έντυπο στον ιστότοπό του και έγχαρτα έντυπα στην υποδοχή του, εξακολουθεί να αποδέχεται αιτήματα πρόσβασης που υποβάλλονται με άλλους τρόπους (όπως μέσω επιστολής ή ηλεκτρονικού ταχυδρομείου) και παρέχει ένα ειδικό προς αυτό τον σκοπό σημείο επαφής (η πρόσβαση στο οποίο είναι δυνατή μέσω ηλεκτρονικού ταχυδρομείου ή τηλεφωνικώς) ώστε να βοηθάει τα υποκείμενα των δεδομένων να ασκούν τα δικαιώματά τους (βλ. παράδειγμα σελ. 35 των κατευθυντήριων γραμμών WP260 rev.01).
Συνεπώς, η άσκηση δικαιώματος δυνάμει των άρθρων 15 έως 22 ΓΚΠΔ δεν απαιτείται να περιβληθεί συγκεκριμένο τύπο ή να ασκηθεί με πανηγυρικό τρόπο π.χ. με την επίκληση των διατάξεων του ΓΚΠΔ ή με ρητή αναφορά σε άσκηση του (βλ. ΑΠΔ 13/2021, ΑΠΔΠΧ 26/2021, ΑΠΔ 36/2021). Αν και οι τυποποιημένες φόρμες που χρησιμοποιούνται προκειμένου να ασκηθεί το δικαίωμα πρόσβασης διευκολύνουν την αναγνώριση ενός δικαιώματος πρόσβασης, η άσκησή του είναι εξίσου ισχυρή αν το υποκείμενο την υποβάλει μέσω επιστολής, μηνύματος ηλεκτρονικού ταχυδρομείου ή προφορικά. Ως εκ τούτου, δεν είναι υποχρεωτικό να χρησιμοποιείται η τυποποιημένη φόρμα και απλώς ενθαρρύνονται τα υποκείμενα να τη χρησιμοποιούν (βλ. ΑΠΔ 19/2022).
Στην προκειμένη περίπτωση, ο καταγγέλλων προέβη στην άσκηση του δικαιώματος πρόσβασης, κατά τρόπο αναντίρρητο και σαφή, μέσω των ανωτέρω υπό στοιχεία α και β γραπτών μηνυμάτων του προς τη διεύθυνση ηλεκτρονικού ταχυδρομείου του ΥΠΔ της καταγγελλομένης. Μάλιστα, η συγκεκριμένη διεύθυνση αναγράφονταν στην, κατά το χρόνο εκείνο, δημοσιοποιημένη πολιτική της, ενώ σύμφωνα με το άρθρο 38(4) ΓΚΠΔ, ο ΥΠΔ αποτελεί σημείο επαφής με τα υποκείμενα των δεδομένων για την άσκηση των δικαιωμάτων τους. Σύμφωνα δε με την υπ’ αριθμ. πρωτ. … απάντηση της καταγγελλομένης, το εξειδικευμένο Τμήμα …, που τελεί υπό την εποπτεία του ΥΠΔ, εμπλέκεται, όπου κρίνεται απαραίτητο, στη διερεύνηση και ικανοποίηση των αιτημάτων άσκησης των δικαιωμάτων, η οποία πραγματοποιείται κεντρικά από κατάλληλα εκπαιδευμένο προσωπικό, ενώ στα καταστήματα, τα οποία λειτουργούν υπό καθεστώς δικαιόχρησης, γίνεται μόνο η συλλογή των δεδομένων και η διαβίβασή τους στα κεντρικά. Επισημαίνεται ότι, η καταγγελλομένη, σύμφωνα με τα αναγραφόμενα στην από …2019 απάντησή της στο ανωτέρω υπό στοιχεία δ αίτημα πρόσβασης του καταγγέλλοντος, ικανοποίησε το αίτημά του για ένταξη στο Μητρώο του άρθρου 11, το οποίο ο καταγγέλλων απέστειλε μέσω ηλεκτρονικού ταχυδρομείου, σε αντίθεση προς το περιεχόμενο της απάντησής της στα ανωτέρω υπό στοιχεία α και β μηνύματα.
9. Περαιτέρω, η καταγγελλομένη πρόβαλε ως λόγο μη ικανοποίησης των υπό στοιχεία α και β αιτημάτων του καταγγέλλοντος τη διασφάλιση των προσωπικών του δεδομένων, η οποία έχει ως προαπαιτούμενο να διενεργείται ορθή ταυτοποίηση των προσωπικών στοιχείων του κάθε πελάτη. Σύμφωνα με τους ισχυρισμούς της καταγγελλομένης τόσο προς τον καταγγέλλοντα όσο και προς την Αρχή, ταυτοποίηση δεν μπορεί να διενεργηθεί μέσω ηλεκτρονικού ταχυδρομείου, αλλά μόνο, για ορισμένα αιτήματα τηλεφωνικά και για ορισμένα άλλα συμπεριλαμβανομένων των αιτημάτων για την άσκηση δικαιωμάτων που πηγάζουν από τον ΓΚΠΔ είτε δια της φυσικής παρουσίας σε κατάστημα, του υποκειμένου των δεδομένων ή ατόμου νομίμως εξουσιοδοτημένου από αυτό, είτε με συστημένη επιστολή. Τον ίδιο λόγο, ότι δηλαδή δεν προσφέρονταν το κανάλι που χρησιμοποιήθηκε για την άσκηση του δικαιώματος πρόσβασης, ήτοι η διεύθυνση του ΥΠΔ, για την προσήκουσα ταυτοποίηση των συνδρομητών της, προέβαλε η καταγγελλομένη και με το μετά την ακρόαση υπόμνημά της σε σχέση με το ανωτέρω υπό στοιχείο γ αίτημα του καταγγέλλοντος (βλ. σκέψη 11 της παρούσας).
Ωστόσο, η καταγγελλομένη ως τηλεπικοινωνιακός πάροχος διαθέτει πλείστους ευχερείς τρόπους ορθής ταυτοποίησης των υποκειμένων των δεδομένων χωρίς να απαιτείται κατ’ ανάγκη να χρησιμοποιηθεί για την ταυτοποίηση το ίδιο κανάλι με αυτό που χρησιμοποιήθηκε για την υποβολή του αιτήματος άσκησης του δικαιώματος πρόσβασης ή η φυσική παρουσία του υποκειμένου των δεδομένων στο κατάστημα. Εξάλλου για την άσκηση ενός εκ των δικαιωμάτων που απορρέουν από τον ΓΚΠΔ ήτοι του προβλεπόμενου στο άρθρο 21(2) ΓΚΠΔ δικαιώματος εναντίωσης στην επεξεργασία δεδομένων για σκοπούς απευθείας εμπορικής προώθησης καθώς και του δικαιώματος απένταξης από τον Ενιαίο Τηλεφωνικό Κατάλογο, η καταγγελλομένη παρείχε δυνατότητα τηλεφωνικής ταυτοποίησης μέσω της εξυπηρέτησης πελατών. Συνεπώς, μπορούσε να επιβεβαιώσει τα στοιχεία ταυτοποίησης του καταγγέλλοντος, τα οποία διέθετε ήδη στο αρχείο της, με χρήση του αριθμού του κινητού του τηλεφώνου (βλ. ΑΠΔ 19/2002), τον οποίο επίσης διέθετε ήδη στο αρχείο της ως πάροχος του αριθμού αυτού ή με την παραπομπή του στην εξυπηρέτηση πελατών για τηλεφωνική ταυτοποίηση.
Επιπλέον, από τις διατάξεις του άρθρου 12(6) ΓΚΠΔ προκύπτει ότι σε περίπτωση κατά την οποία ο υπεύθυνος επεξεργασίας έχει εύλογες αμφιβολίες σχετικά με την ταυτότητα του φυσικού προσώπου που υποβάλλει το αίτημα, ο υπεύθυνος επεξεργασίας μπορεί να ζητήσει την παροχή πρόσθετων πληροφοριών αναγκαίων για την επιβεβαίωση της ταυτότητας του υποκειμένου των δεδομένων. Ωστόσο, στην προκειμένη περίπτωση, η καταγγελλομένη δεν εξήγησε ούτε τεκμηρίωσε ποιες είναι οι εύλογες αμφιβολίες που είχε ως προς την ταυτότητά του ούτε του ζήτησε τέτοιες πρόσθετες πληροφορίες.
10. Σύμφωνα με τα αναφερόμενα στις ανωτέρω σκέψεις, η μη αποκλειστική χρήση από τον καταγγέλλοντα των τρόπων άσκησης του δικαιώματος πρόσβασης που περιγράφονται στην πολιτική της καταγγελλομένης δεν συνιστά νόμιμο λόγο μη ικανοποίησής του και, συνεπώς, στοιχειοθετείται παράβαση του άρθρου 15 (1) ΓΚΠΔ, ενώ η καταγγελλομένη, επικαλούμενη προσχηματικά αδυναμία ορθής ταυτοποίησης του καταγγέλλοντος με άλλους τρόπους πέραν της φυσικής παρουσίας στο κατάστημα ή μέσω συστημένης επιστολής δυσχέρανε την άσκηση του δικαιώματος πρόσβασης κατά παράβαση του άρθρου 12 (2) ΓΚΠΔ.
11. Η καταγγελλόμενη δεν παρείχε οιαδήποτε απόκριση στον καταγγέλλοντα προς ικανοποίηση ή μη του ανωτέρω υπό στοιχείο γ αιτήματός του.
Ωστόσο, η καταγγελλόμενη ως υπεύθυνος επεξεργασίας έχει υποχρέωση να απαντήσει αιτιολογημένα στο δικαίωμα πρόσβασης του καταγγέλλοντος ακόμα και αρνητικά (ΣτΕ 2627/2017), σε περίπτωση κατά την οποία δεν συντρέχει κατά την άποψη της νόμιμος λόγος ικανοποίησης του αιτήματος, εντός μηνός από την παραλαβή του, σύμφωνα με το άρθρο 12 (3) ΓΚΠΔ. Εάν ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος του υποκειμένου των δεδομένων, ενημερώνει εντός μηνός από την παραλαβή του αιτήματος το υποκείμενο των δεδομένων για τους λόγους για τους οποίους δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής, σύμφωνα με το άρθρο 12 (4) ΓΚΠΔ. Η μη απάντηση του υπευθύνου επεξεργασίας σε αίτημα πρόσβασης και ενημέρωσης του υποκειμένου για τα προσωπικά του δεδομένα συνιστά αυτοτελή παραβίαση κατά το άρθρο 15 ΓΚΠΔ. Στην υπό κρίση περίπτωση, η καταγγελλομένη, αφενός δεν παρείχε απάντηση στον καταγγέλλοντα, έστω και αρνητική κατά παράβαση του άρθρου 12 (3) και (4) ΓΚΠΔ, αφετέρου, δεν ικανοποίησε το ανωτέρω υπό στοιχείο γ νόμιμο αίτημά του ως όφειλε κατά παράβαση του άρθρου 15 (1) ΓΚΠΔ.
Παρότι η καταγγελλομένη επικαλείται απειρία στην διαχείριση του καταγγέλλοντος: α) διατήρησε την πολιτική της για την άσκηση των δικαιωμάτων που απορρέουν από τον ΓΚΠΔ με φυσική παρουσία στο κατάστημα ή μέσω συστημένης επιστολής από το 2018 έως το 2021 (βλ. ιστορικό της παρούσας), β) στο διάστημα αυτό εφάρμοζε για συγκεκριμένα δικαιώματα άλλη πολιτική μέσω τηλεφωνικής κλήσης στο Τμήμα Εξυπηρέτησης Πελατών, γ) συνέχισε να δίνει τις ίδιες απαντήσεις στην Αρχή ακόμα και με το μετά την ακρόαση υπόμνημά της, δ) χρειάστηκε να υποβάλει ο καταγγέλλων το ανωτέρω υπό στοιχείο δ αίτημα πρόσβασης ένα χρόνο μετά μέσω της εξυπηρέτησης πελατών για να το θεωρήσει η καταγγελλομένη παραδεκτό και να το ικανοποιήσει, ενώ στην από ...2019 απάντησή της στο εν λόγω αίτημα δεν συμπεριέλαβε τα στοιχεία που ζήτησε ο καταγγέλλων με τα προηγούμενα αιτήματά του (τυχόν συγκατάθεσή του για έρευνα ικανοποίησης πελάτη και ηχογραφημένες συνομιλίες)
12. Συνεπώς, με βάση τα ανωτέρω δεδομένα, διαπιστώνεται ότι η καταγγελλομένη παραβίασε το δικαίωμα πρόσβασης του καταγγέλλοντος κατά άρθρο 15 παρ. 1 σε συνδυασμό προς το άρθρο 12 παρ. 2, 3 και 4 ΓΚΠΔ.
13. Σχετικά με τις διαδικασίες που ακολουθεί η καταγγελλομένη:
Στην προκειμένη περίπτωση, η καταγγελλομένη απάντησε στην Αρχή ότι ο καταγγέλλων καταχωρήθηκε στο Ειδικό Μητρώο Αντιρρήσεων και στο Μητρώο του άρθρου 11 στις …2018, στη συνέχεια στις ...2018 και τέλος στις ...2016. Ακόμα, η καταγγελλομένη ενημέρωσε την Αρχή ότι η απένταξη του τηλεφωνικού αριθμού του καταγγέλλοντος από το Μητρώο του άρθρου 11 για διάστημα τριών (3) μηνών, από ...2018 έως ...2018, προκλήθηκε συνεπεία συστημικής δυσλειτουργίας. Στη συνέχεια, όμως, ενημέρωσε την Αρχή ότι με την απάντηση αυτή προσπάθησε ανεπιτυχώς να αποδώσει την επενέργεια του ανθρώπινου παράγοντα στο πληροφοριακό σύστημα καθώς η εν λόγω απένταξη οφείλονταν σε αστοχία του χειριστή υπαλλήλου, ο οποίος αποεπέλεξε το σχετικό πεδίο στην καρτέλα του καταγγέλλοντος, προκειμένου να βεβαιωθεί ότι έχει καταχωρηθεί ορθά η επιλογή του, και ξέχασε να το επαναεπιλέξει.
Ακόμα, η καταγγελλομένη ενημέρωσε την Αρχή ότι διαθέτει δυνατότητα συστημικής εξαίρεσης των συνδρομητών της που έχουν εγγραφεί στο Ειδικό Μητρώο Αντιρρήσεων, την οποία ωστόσο εφάρμοζε μόνο στην κατηγορία των προωθητικών καμπανιών που αφορούσαν όλη τη συνδρομητική βάση των χρηστών καρτοκινητής. Αντίθετα, στις ad hoc καμπάνιες που αφορούσαν υποσύνολο της βάσης αυτής εφάρμοζε χειροκίνητη διαδικασία με παρέμβαση εξουσιοδοτημένου υπαλλήλου, η οποία περιλάμβανε την εφαρμογή δύο φίλτρων, το πρώτο αναφορικά με την εξαίρεση του Ειδικού Μητρώου Αντιρρήσεων και το δεύτερο αναφορικά με την εξαίρεση του Επιμέρους Μητρώου Συνδρομητών της, στο οποίο περιλαμβάνονται οι συνδρομητές που έχουν προβεί στο παρελθόν σε υποβολή καταγγελίας στην Αρχή παραπονούμενοι για πλημμελή ικανοποίηση του δικαιώματος εναντίωσης. Ωστόσο, με την εφαρμογή του δεύτερου φίλτρου η καταγγελλομένη εξαιρούσε πρόσωπα τα οποία είχαν ήδη εξαιρεθεί με την εφαρμογή του πρώτου, καθώς τα επτά (7) πρόσωπα που περιλαμβάνονται στο Επιμέρους Μητρώο Συνδρομητών είναι όλα καταχωρημένα και στο Ειδικό Μητρώο Αντιρρήσεων. Ο εσφαλμένος χειρισμός του αρμοδίου υπαλλήλου, ο οποίος εφάρμοσε αντίστροφα το δεύτερο φίλτρο, είχε ως αποτέλεσμα να λάβουν από δύο προωθητικά SMS οι τέσσερις (4) συνδρομητές κινητής που ήταν καταχωρημένοι και στα δύο παραπάνω Μητρώα σε καθεμία από τις δύο ad hoc προωθητικές καμπάνιες σε … και ….
Συνεπώς, η καταγγελλομένη επέλεξε να χρησιμοποιήσει για τις ad hoc προωθητικές καμπάνιες την εν λόγω χειροκίνητη διαδικασία, η οποία ενείχε κίνδυνο εμφιλοχώρησης λάθους και περιελάμβανε την παραπάνω περιττή εφαρμογή του δεύτερου φίλτρου, παρότι διέθετε ήδη δυνατότητα αυτόματης συστημικής εξαίρεσης του Ειδικού Μητρώου Αντιρρήσεων. Ο ισχυρισμός της ότι, λόγω της χρήσης αυτόματης συστημικής εξαίρεσης του Ειδικού Μητρώου Αντιρρήσεων από τις …2022 και για τις ad hoc καμπάνιες, δεν υφίσταται πλέον η ανάγκη χωριστής εξαίρεσης του Επιμέρους Ειδικού Συνδρομητών, δεν ευσταθεί διότι, όπως προαναφέρθηκε, δεν ήταν απαραίτητη ούτε στη χειροκίνητη διαδικασία. Ως προς τον ισχυρισμό της καταγγελλομένης ότι κανένας άλλος συνδρομητής εκτός του καταγγέλλοντος δεν υπέβαλε σχετικό παράπονο ή καταγγελία κατά το χρονικό διάστημα από …2019 μέχρι …2019, κατά το οποίο διεξήχθηκαν 50.000 καμπάνιες σε συνδρομητές καρτοκινητής και προωθήθηκαν 300.000.000 SMS, επισημαίνεται ότι τουλάχιστον τρεις (3) άλλοι συνδρομητές έλαβαν προωθητικά μηνύματα στις ad hoc καμπάνιες … και … παρότι είχαν εναντιωθεί και θα μπορούσαν να είχαν παραπονεθεί σχετικά. Δεκτός δεν μπορεί να γίνει ούτε ο ισχυρισμός της καταγγελλομένης ότι η όχληση προς τους τέσσερις (4) συνδρομητές που έλαβαν συνολικά οκτώ (8) SMS στις παραπάνω δύο καμπάνιες δεν ήταν σημαντική και είχε περισσότερο πληροφοριακό χαρακτήρα και όχι επιθετικό δεδομένου ότι τα SMS εστάλησαν σε υφιστάμενους συνδρομητές προκειμένου να επωφεληθούν εφόσον το επιθυμούσαν από συμφέρουσες για εκείνους προσφορές, καθότι η εναντίωση στην επεξεργασία για προωθητικούς σκοπούς πρέπει να γίνεται σεβαστή χωρίς εξαιρέσεις και δεν εξαρτάται από το περιεχόμενο της προσφοράς.
Επιπλέον, σύμφωνα με την απάντηση της καταγγελλομένης, ο λόγος για την τρίμηνη απένταξη του καταγγέλλοντος από το Μητρώο του άρθρου 11 παρά τη θέλησή του και η οποία αποκαταστάθηκε μετά από δική του ενέργεια, ήτοι ότι ο χειριστής ξέχασε να επαναεπιλέξει το σχετικό πεδίο μετά από αποεπιλογή προκειμένου να βεβαιωθεί ότι έχει καταχωρηθεί ορθά η επιλογή του καταγγέλλοντος, δείχνει την έλλειψη κατάλληλων τεχνικών μέτρων για την υπενθύμιση και επιβεβαίωση της σχετικής ενέργειας του χειριστή λαμβάνοντας υπόψη ότι η καταγγελλομένη αναγνωρίζει κούραση και φόρτο εργασίας στο πλαίσιο της τηλεφωνικής εξυπηρέτησης.
Με βάση τα παραπάνω διαπιστώνεται παράβαση του άρθρου 25 (1) ΓΚΠΔ καθότι η καταγγελλομένη δεν διέθετε στην πράξη τις απαραίτητες διαδικασίες και τα κατάλληλα μέτρα προκειμένου να εξασφαλίσει το δικαίωμα εναντίωσης και τη διακοπή της επεξεργασίας των δεδομένων για τον προωθητικό σκοπό, ώστε να πληρούνται οι απαιτήσεις του ΓΚΠΔ και να προστατεύονται τα δικαιώματα των υποκειμένων των δεδομένων.
[…]
ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ
Η ΑΡΧΗ
Α. Δίνει εντολή στην καταγγελλομένη εταιρεία με την επωνυμία WIND Ελλάς Τηλεπικοινωνίες Α.Ε.Β.Ε., νυν NOVA TELECOMMUNICATIONS & MEDIA ΜΟΝΟΠΡΟΣΩΠΗ Α.Ε., ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 58 παρ. 2 στοιχ. γ΄ ΓΚΠΔ, όπως ικανοποιήσει άμεσα τα ασκηθέντα στις ..2018 και ..2018 δικαιώματα πρόσβασης του καταγγέλλοντος στο μέρος που δεν έχουν ακόμα ικανοποιηθεί ήτοι σε τυχόν συγκατάθεσή του για προωθητικά SMS και αυτοματοποιημένες κλήσεις για έρευνα ικανοποίησης πελάτη, στην συνομιλία (αίτημα …) για εξαίρεσή του από προωθητικές ενέργειες και ένταξή του στο Μητρώο του άρθρου 11, καθώς και στην από ..2018 και ώρα … συνομιλία του με εργαζομένη της καταγγελλομένης.
Β. Επιβάλλει, στην καταγγελλόμενη εταιρεία ως υπεύθυνο επεξεργασίας διοικητικό πρόστιμο ύψους
α) εξήντα χιλιάδων (60.000€) ευρώ για την ως άνω διαπιστωθείσα παράβαση του άρθρου 21 (3) ΓΚΠΔ,
β) εξήντα χιλιάδων (60.000€) ευρώ για τις ως άνω διαπιστωθείσες παραβάσεις των άρθρων 15 παρ. 1 σε συνδυασμό με το άρθρο 12 παρ. 2, 3 και 4 ΓΚΠΔ με βάση τα άρθρα 58 παρ. 2 στοιχ. θ΄ και 83 παρ. 5 στοιχ. β΄ ΓΚΠΔ και
γ) τριάντα χιλιάδων (30.000€) ευρώ για την ως άνω διαπιστωθείσα παράβαση του άρθρου 25 (1) ΓΚΠΔ με βάση τα άρθρα 58 παρ. 2 στοιχ. θ΄ και 83 παρ. 4 στοιχ. α΄ ΓΚΠΔ,