Αθήνα, 07-01-2025
Αριθ. Πρωτ.: 41
Απόφαση 4/2025
(Μονοπρόσωπο Όργανο)
Ο Πρόεδρος της Αρχής, ως μονοπρόσωπο όργανο κατά το άρθρο 17 παρ. 1 του ν. 4624/2019
(ΦΕΚ Α΄ 137), στο πλαίσιο των αρμοδιοτήτων που προβλέπονται στα άρθρα 4 παρ. 3 και 10
παρ. 4 του Κανονισμού Λειτουργίας της Αρχής (ΦΕΚ Β΄879/25.02.2022), συνεδρίασε μέσω
τηλεδιάσκεψης την 3η-10-2024 προκειμένου να εξετάσει την υπόθεση που αναφέρεται
κατωτέρω στο ιστορικό της παρούσας απόφασης. Παρούσα χωρίς δικαίωμα ψήφου ήταν η
Κυριακή Καρακάση, νομική ελέγκτρια – δικηγόρος, καθώς και η Ειρήνη Παπαγεωργοπούλου,
υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας.
Η Αρχή έλαβε υπ’ όψιν της τα παρακάτω:
Υποβλήθηκε ενώπιον της Αρχής Προστασίας Δεδομένων η υπ’ αριθμ. πρωτ.
Γ/ΕΙΣ/6285/07-09-2023 καταγγελία του Α, μετά των επισυναπτόμενων και
συμπληρωματικών αυτής στοιχείων (βλ. το με αριθ. Πρωτ. Γ/ΕΙΣ/8666/06-12-2023 μήνυμα
ηλεκτρονικού ταχυδρομείου του καταγγέλλοντος κοινοποιούμενο ταυτόχρονα και στην
καταγγελλόμενη εταιρεία), σύμφωνα με την οποία ο τελευταίος, αιτήθηκε από την εταιρεία
με την επωνυμία «doValue Greece Ανώνυμη Εταιρεία Διαχείρισης Απαιτήσεων από Δάνεια
και Πιστώσεις», στις …, όπως του αποσταλούν αντίγραφα των ηχογραφημένων συνομιλιών
που είχε με εκπροσώπους της εν λόγω εταιρείας και τον αφορούσαν, ενώ ζήτησε επίσης να
λάβει γνώση των προσωπικών του δεδομένων που τηρούνται στο αρχείο της ως άνω
καταγγελλομένης. Σύμφωνα δε με τα καταγγελλόμενα, τα ανωτέρω αιτήματά του δεν έχουν
απαντηθεί ικανοποιητικά από την ανωτέρω εταιρεία, καθώς, με το από … μήνυμα της
Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, [email protected] / www.dpa.gr
τελευταίας προς τον καταγγέλλοντα αφενός απαιτήθηκε να παραστεί ο αιτών
αυτοπροσώπως στην έδρα της εταιρείας προκειμένου να παραλάβει τα αιτηθέντα
αντίγραφα των επίμαχων ηχογραφημένων συνομιλιών, αφετέρου απαντήθηκε αόριστα το
αίτημα που αφορούσε στην ενημέρωση για τα τηρούμενα από την εταιρεία προσωπικά
δεδομένα του καταγγέλλοντος. Καταγγέλλεται δε, ότι τηλεφωνικά η εν λόγω εταιρεία
αρνήθηκε στον καταγγέλλοντα, όπως του παράσχει εξ αποστάσεως πρόσβαση στα
ζητηθέντα προσωπικά του δεδομένα.
Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, με το με αριθ. πρωτ.
Γ/ΕΞ/3106/05-12-2023 έγγραφό της, διαβίβασε στην εν λόγω εταιρεία την επίμαχη
καταγγελία ζητώντας από την τελευταία να διευκρινίσει εάν ο καταγγέλλων άσκησε, όπως
ισχυρίζεται, το δικαίωμα πρόσβασης σε δεδομένα που τον αφορούν και σε ποια
συγκεκριμένα, καθώς και εάν και με ποιον τρόπο η εταιρεία ανταποκρίθηκε στο ως άνω
αίτημα του καταγγέλλοντος ή και για ποιο λόγο τυχόν δεν το ικανοποίησε εμπροθέσμως, και
να επισυνάψει παράλληλα τα σχετικά έγγραφα. Επιπλέον, ζητήθηκαν διευκρινίσεις σχετικά
με το ζήτημα εάν οι εν λόγω συνομιλίες έχουν καταγραφεί από την εν λόγω εταιρεία, και σε
καταφατική περίπτωση με ποια νομική βάση. Τέλος, ζητήθηκε από την εταιρεία να
διευκρινίσει εάν και με ποια διαδικασία ικανοποιεί τα αιτήματα πρόσβασης, λαμβανομένου
ιδίως υπ’ όψιν του άρθρου 12 παρ. 2 του ΓΚΠΔ, σύμφωνα με το οποίο «Ο υπεύθυνος
επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων
που προβλέπονται στα άρθρα 15 έως 22. …».
Κατόπιν αυτού, η καταγγελλόμενη εταιρεία απέστειλε το με αριθ. πρωτ. Γ/ΕΙΣ/9034/20-
12-2023 απαντητικό έγγραφο, με το οποίο, μεταξύ άλλων, επιβεβαίωσε την από … άσκηση
ενώπιόν της του επίμαχου δικαιώματος πρόσβασης του καταγγέλλοντος. Ανέφερε δε ότι
απέστειλε στην ταχυδρομική διεύθυνση του καταγγέλλοντος, που ήταν καταχωρημένη στο
εταιρικό διαχειριστικό σύστημα, την από … επιστολή με την οποία ενημέρωσε τον τελευταίο
ότι έχει εξαχθεί από τα συστήματά της το σχετικό αρχείο καταγεγραμμένων συνομιλιών για
το χρονικό διάστημα από … έως … και βρίσκεται διαθέσιμο για παραλαβή από τα γραφεία
της εταιρείας. Επίσης, η ανωτέρω επιστολή παρέθετε λίστα με τα υπό επεξεργασία
προσωπικά δεδομένα του καταγγέλλοντος. Στο πλαίσιο της ως άνω απάντησης της
καταγγελλομένης προς την Αρχή αναφέρεται αναλυτικά η διαδικασία ικανοποίησης των
σχετικών αιτημάτων πρόσβασης σε αντίγραφα ηχογραφημένων συνομιλιών των πελατών
2
της στις περιπτώσεις που οι τελευταίοι αδυνατούν να προσέλθουν στις εγκαταστάσεις της
για να παραλάβουν τα εξαχθέντα από την εταιρεία αρχεία. Ειδικότερα, σημειώνεται πως στις
εξαιρετικές εκείνες περιπτώσεις που ο αιτών είναι κάτοικος εξωτερικού, η καταγγελλομένη
αποστέλλει το αρχείο με τις καταγεγραμμένες συνομιλίες στη δηλωθείσα από τον οφειλέτη
διεύθυνση αλληλογραφίας μέσω courier, ενώ σε περίπτωση που ο οφειλέτης επιθυμεί να
του αποσταλούν οι εν λόγω συνομιλίες μέσω ηλεκτρονικής αλληλογραφίας, ακολουθείται
ειδική διαδικασία στο πλαίσιο της οποίας απαιτείται τηλεφωνική επικοινωνία του οφειλέτη
με την εταιρεία προκειμένου να λάβει τον ειδικό κωδικό-κλειδί που θα του επιτρέψει την
πρόσβαση στο αρχείο, το οποίο πρόκειται να παραλάβει μέσω ξεχωριστής ηλεκτρονικής
αλληλογραφίας. Ακολούθως η εταιρεία αναφέρει ότι ο καταγγέλλων επανέφερε το ανωτέρω
αίτημα πρόσβασης στις … υποβάλλοντάς το μέσω της εταιρικής ιστοσελίδας και σε
απάντηση αυτού έλαβε το από … μήνυμα ηλεκτρονικού ταχυδρομείου, με το οποίο η
καταγγελλομένη επισύναψε την ανωτέρω από … επιστολή που του είχε αποστείλει
ταχυδρομικά ενημερώνοντάς τον ότι το από … αίτημά του έχει ικανοποιηθεί και καλώντας
τον εκ νέου να επικοινωνήσει με το εταιρικό τηλεφωνικό κέντρο προκειμένου να οριστεί
ραντεβού για την παραλαβή των ηχογραφημένων κλήσεων. Επιπλέον, η εταιρεία αναφέρει
ότι στις … ο καταγγέλλων στο πλαίσιο τηλεφωνικής επικοινωνίας με εκπρόσωπο της
εταιρείας ζήτησε και έτερα έγγραφα που τον αφορούσαν τα οποία και του έστειλε με το από
… μήνυμα ηλεκτρονικού ταχυδρομείου. Περαιτέρω, σημειώνεται ότι με τα από … και …
μηνύματα ηλεκτρονικού ταχυδρομείου ο καταγγέλλων ενημέρωσε την εταιρεία για το ότι
διαμένει στο εξωτερικό και δεν ισχύει η καταχωρημένη στο εταιρικό σύστημα ταχυδρομική
του διεύθυνση ζητώντας να διαγραφεί η τελευταία, ενώ ζητούσε, σύμφωνα με την
καταγγελλομένη και κάποιες έτερες διευκρινίσεις ως προς τα προσωπικά του δεδομένα. Στα
ανωτέρω η εταιρεία ισχυρίζεται ότι ανταποκρίθηκε με την από … ηλεκτρονική επιστολή της
προς τον καταγγέλλοντα.
Κατόπιν τούτων, η Αρχή κάλεσε σε ακρόαση ενώπιον του Προέδρου της Αρχής ως
μονοπρόσωπου οργάνου μέσω τηλεδιάσκεψης, με τη με αριθ. Πρωτ. Γ/ΕΞΕ/2573/23-09-
2024 Κλήση, την καταγγελλόμενη εταιρεία και με τη με αριθ. Πρωτ. Γ/ΕΞΕ/2572/23-09-2024
Κλήση τον καταγγέλλοντα στις 03-10-2024, ημερομηνία κατά την οποία, ο μεν καταγγέλλων
παρέστη αυτοπροσώπως, η δε καταγγελλομένη παρέστη και ανέπτυξε τις απόψεις της διά
της δικηγόρου της, Μαρίας Ανδρουλάκη (ΑΜ/ΔΣΑ …), ενώ παρέστησαν εκ μέρους της αυτής
ως άνω καταγγελλομένης η Β ως Υπεύθυνη Τμήματος Παραπόνων, η Γ ως ειδική σε θέματα
3
προστασίας προσωπικών δεδομένων και η Δ ως Υπεύθυνη Προστασίας Δεδομένων για την
παροχή διευκρινίσεων όπου κρίθηκε σκόπιμο κατά τη συζήτηση. Περαιτέρω, μετά την εν
λόγω ακρόαση χορηγήθηκε σε αμφότερα τα μέρη προθεσμία προσκομίσεως υπομνήματος
προς περαιτέρω υποστήριξη των ισχυρισμών τους μέχρι τις 11-10-2024.
Ακολούθως, η καταγγελλόμενη εταιρεία υπέβαλε εμπροθέσμως, ήτοι στις 11-10-2024,
το με αριθ. πρωτ. Γ/ΕΙΣ/7896/14-10-2024 υπόμνημά της μετά των συνημμένων σε αυτό
εγγράφων, στο οποίο παραθέτει, μεταξύ άλλων, τα ακόλουθα συνοπτικώς αναφερόμενα:
Καταρχάς επιβεβαιώνει την άσκηση των επίμαχων αιτημάτων πρόσβασης του
καταγγέλλοντος τόσο στις ηχογραφημένες συνομιλίες που τον αφορούσαν όσο και στα
προσωπικά του δεδομένα που τυγχάνουν επεξεργασίας από την καταγγελλόμενη εταιρεία.
Περαιτέρω, επαναλαμβάνει εν πολλοίς τους ισχυρισμούς που προέβαλε με την
προαναφερόμενη με αριθ. Πρωτ. Γ/ΕΙΣ/9034/20-12-2023 απάντησή της προς την Αρχή
αναφέροντας επιπροσθέτως ότι η από … επιστολή της καταγγελλομένης ως απάντηση προς
τον καταγγέλλοντα, εστάλη στη διεύθυνση ηλεκτρονικού ταχυδρομείου του τελευταίου,
αφού όπως αποδέχεται η καταγγελλομένη κατέστη εφικτή η ταυτοποίησή του μέσω των
λοιπών στοιχείων που διέθετε γι’ αυτόν. Ωσαύτως δε η καταγγελλόμενη εταιρεία
υποστηρίζει ότι με την από … ηλεκτρονική επιστολή της παρέθεσε εκ νέου τα προσωπικά
δεδομένα του καταγγέλλοντος που βρίσκονται καταχωρημένα στα συστήματα της εταιρείας,
επισήμανε την ανάγκη επικαιροποίησης των στοιχείων του και τον κάλεσε εκ νέου να
παραλάβει το αρχείο καταγεγραμμένων κλήσεων χωρίς να προβάλλεται από την εταιρεία
ισχυρισμός περί αδυναμίας ταυτοποίησης του τελευταίου. Επιπλέον, η καταγγελλομένη
αναφέρει ότι ο καταγγέλλων δεν προέβαινε σε επικαιροποίηση των στοιχείων, καίτοι κάτι
τέτοιο του είχε ζητηθεί, κατά τους ισχυρισμούς της εταιρείας, ενώ επισημαίνεται ότι ο
καταγγέλλων επέμενε να του χορηγηθεί απομακρυσμένη πρόσβαση στα στοιχεία του
φακέλου του «αρνούμενος να συζητήσει τυχόν εναλλακτικές». Περαιτέρω η καταγγελλόμενη
εταιρεία επαναλαμβάνει την εσωτερική διαδικασία ικανοποίησης των αιτημάτων
πρόσβασης σε ηχογραφημένες συνομιλίες των πελατών της επαναφέροντας και την
εναλλακτική αποστολής τους μέσω ηλεκτρονικού ταχυδρομείου για τις εξαιρετικές
περιπτώσεις που αδυνατεί ο καταγγέλλων να προσέλθει στις εγκαταστάσεις της εταιρείας
να τις παραλάβει και έχει αιτηθεί να του παρασχεθούν ηλεκτρονικά. Ακολούθως η
καταγγελλομένη αναφέρει ότι μετά την εξέταση της υπόθεσης στο ακροατήριο, η Υπεύθυνη
Προστασίας Δεδομένων της εταιρείας προσπάθησε να επικοινωνήσει με τον καταγγέλλοντα
4
τηλεφωνικά προκειμένου να διαπιστώσει αν υπάρχει κάποιο αίτημά του σε εκκρεμότητα
αλλά ο καταγγέλλων δεν ανταποκρίθηκε στις κλήσεις και καθώς δεν κατέστη εφικτό να
εντοπίσει κάποιο αποδεικτικό ηλεκτρονικής αποστολής των επίμαχων ηχογραφημένων
συνομιλιών προς τον καταγγέλλοντα, τις απέστειλε στον τελευταίο με το από … μήνυμα
ηλεκτρονικού ταχυδρομείου, όπως αυτό προσκομίστηκε και στην Αρχή, επισημαίνοντας
ταυτόχρονα στον καταγγέλλοντα να επικοινωνήσει με την Υπεύθυνη Προστασίας Δεδομένων
της εταιρείας προκειμένου να του χορηγήσει τον κωδικό-κλειδί για το άνοιγμα των σχετικών
αρχείων, κατά τα σχετικώς προβλεπόμενα στην προαναφερόμενη εσωτερική εταιρική
πολιτική. Τέλος, η καταγγελλόμενη αναφέρει ότι έχει παράσχει ρητές οδηγίες στους
εκπροσώπους της προκειμένου οι τελευταίοι να ενημερώνουν ρητά και έγκαιρα τους
αιτούντες για τους εναλλακτικούς τρόπους παραλαβής κλήσεων στις εξαιρετικές
περιπτώσεις που συντρέχουν λόγοι που αποκλείουν την παραλαβή τους με φυσική
παρουσία από την εταιρική έδρα.
Ο δε καταγγέλλων υπέβαλε εμπροθέσμως το με αριθ. πρωτ. Γ/ΕΙΣ/7682/06-10-2024
υπόμνημά του, στο οποίο αναφέρει συνοπτικά, μεταξύ άλλων, τα ακόλουθα: Καταρχάς
αναφέρει πως εκ παραδρομής κατά την ακρόαση ενώπιον της Αρχής, παραδέχτηκε ότι έλαβε
τις ζητηθείσες ηχογραφημένες συνομιλίες, γεγονός το οποίο δεν είχε λάβει χώρα μέχρι τη
συζήτηση ενώπιον της Αρχής. Περαιτέρω, επισημαίνει ότι το επίμαχο αίτημα πρόσβασης το
απηύθυνε με ηλεκτρονικά μέσα στην εταιρεία (email) ζητώντας να ενημερωθεί με τον ίδιο
τρόπο και γνωστοποιώντας ότι διαμένει στο εξωτερικό, ενώ ισχυρίζεται ότι δεν υπήρχε από
την πλευρά της εταιρείας αμφισβήτηση ως προς την ταυτότητά του αλλά ούτε και ως προς
το αίτημα που υποβλήθηκε ηλεκτρονικά.
Η Αρχή, αφού έλαβε υπ’ όψιν της τα ανωτέρω,
ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
1. Επειδή από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας
Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ) και του άρθρου 9 του νόμου
4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή
των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την
προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Με το άρθρο 5 παρ.
1 του ΓΚΠΔ τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία. Σύμφωνα με την αρχή
της λογοδοσίας που εισάγεται με το εν λόγω άρθρο, ορίζεται στην παράγραφο 2 αυτού, ότι
5
ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη
συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Όπως έχει κρίνει η Αρχή,1 με τον ΓΚΠΔ
υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό σημείο του οποίου συνιστά η αρχή
της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να
σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η
επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις.
Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να
αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5
παρ. 1 ΓΚΠΔ.
2. Επειδή σύμφωνα με το άρθρο 15 παρ. 1, 3 και 4 του ΓΚΠΔ «1. Το υποκείμενο των
δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για
το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται
επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού
χαρακτήρα και στις ακόλουθες πληροφορίες: α) τους σκοπούς της επεξεργασίας, β) τις
σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, γ) τους αποδέκτες ή τις κατηγορίες
αποδεκτών στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα
προσωπικού χαρακτήρα, ιδίως τους αποδέκτες σε τρίτες χώρες ή διεθνείς οργανισμούς, δ)
εάν είναι δυνατόν, το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα
προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω
διάστημα, ε) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για
διόρθωση ή διαγραφή δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας
των δεδομένων προσωπικού χαρακτήρα που αφορά το υποκείμενο των δεδομένων ή
δικαιώματος αντίταξης στην εν λόγω επεξεργασία, στ) το δικαίωμα υποβολής καταγγελίας
σε εποπτική αρχή, ζ) όταν τα δεδομένα προσωπικού χαρακτήρα δεν συλλέγονται από το
υποκείμενο των δεδομένων, κάθε διαθέσιμη πληροφορία σχετικά με την προέλευσή τους, η)
την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης
προφίλ, που προβλέπεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις
περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς
και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το
υποκείμενο των δεδομένων. 2. […] 3. Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των
1
Βλ. απόφαση Αρχής 26/2019, σκέψη 8, διαθέσιμη στην ιστοσελίδα της.
6
δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. […] Εάν το
υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το
υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε
ηλεκτρονική μορφή που χρησιμοποιείται συνήθως. 4. Το δικαίωμα να λαμβάνεται αντίγραφο
που αναφέρεται στην παράγραφο 3 δεν επηρεάζει δυσμενώς τα δικαιώματα και τις
ελευθερίες άλλων.».
Με τις διατάξεις αυτές καθιερώνεται το δικαίωμα πρόσβασης του υποκειμένου στα
προσωπικά δεδομένα του. Στο πλαίσιο του δικαιώματος αυτού, το υποκείμενο πρέπει
αφενός να έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα τα οποία συλλέχθηκαν και
το αφορούν, προκειμένου να λαμβάνει γνώση και να βεβαιώνεται για την ακρίβεια και τον
χαρακτήρα της επεξεργασίας των δεδομένων του και να επαληθεύει τη νομιμότητα της
επεξεργασίας, και αφετέρου να μπορεί να ασκεί το εν λόγω δικαίωμα ευχερώς και σε εύλογα
τακτά διαστήματα2. Ο δε υπεύθυνος επεξεργασίας πρέπει να παρέχει δυνατότητα
πρόσβασης εξ αποστάσεως σε ασφαλές σύστημα μέσω του οποίου το υποκείμενο των
δεδομένων αποκτά άμεση πρόσβαση στα δεδομένα που το αφορούν.3
Εξάλλου η Αρχή δέχεται παγίως ότι το υποκείμενο των δεδομένων έχει δικαίωμα να
γνωρίζει αν δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία,
καθώς και να λαμβάνει γνώση αυτών, χωρίς να απαιτείται προς τούτο η επίκληση εννόμου
συμφέροντος4 αφού αυτό ενυπάρχει και αποτελεί βάση του δικαιώματος πρόσβασης,
δηλαδή του δικαιώματος του υποκειμένου των δεδομένων να λάβει γνώση πληροφοριών οι
οποίες το αφορούν και έχουν καταχωρηθεί σε αρχείο που τηρεί ο υπεύθυνος επεξεργασίας,
έτσι ώστε να πραγματώνεται η βασική αρχή του δικαίου για την προστασία των προσωπικών
δεδομένων, που συνίσταται στη διαφάνεια της επεξεργασίας ως προϋπόθεση κάθε
περαιτέρω ελέγχου από το υποκείμενο της νομιμότητάς της5. Ομοίως, δεν απαιτείται η
επίκληση των λόγων για τους οποίους το υποκείμενο των δεδομένων επιθυμεί την άσκηση
του δικαιώματος πρόσβασης6. Εξάλλου, η υποχρέωση ικανοποίησης του δικαιώματος
2
Βλ. αιτιολογική σκέψη 63 του ΓΚΠΔ.
3
Βλ. ωσαύτως αιτιολογική σκέψη 63 του ΓΚΠΔ και Αποφάσεις της Αρχής 23/2020, 22/2023.
4
Bλ. ιδίως, αποφάσεις της Αρχής 22/2023, 32/2019, 144/2017 195/2014 193/2014 και 75/2011, διαθέσιμες
στην ιστοσελίδα της Αρχής.
5
Βλ. ενδεικτικά Αποφάσεις της Αρχής 2/2020, 23/2020, 16/2017, 98/2014, 149/2014, 72/2013 και 71/2013.
6
Βλ. EDPB, Guidelines 01/2022 on data subjects’ rights – Right of access, Version 2.0, adopted on 28 March
2023, Kεφ. 61, παρ. 167, σελ 52, https://edpb.europa.eu/system/files/2023-
04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf.
7
πρόσβασης είναι καθολική, αφορά δηλαδή σε όλες τις πληροφορίες που αφορούν στο
υποκείμενο των δεδομένων και επιπλέον, δεν εξαρτάται από την επίκληση των λόγων
άσκησης του δικαιώματος7. Κατά συνέπεια, η ικανοποίηση του δικαιώματος δεν εξαρτάται
από προηγούμενη κρίση του υπεύθυνου επεξεργασίας ως προς το αν δικαιολογείται ή όχι η
άσκηση του δικαιώματος8.
Περαιτέρω, αναφορικά με τον προσδιορισμό της εμβέλειας των ορίων του δικαιώματος
πρόσβασης ενός υποκειμένου των δεδομένων στα προσωπικά του δεδομένα, ως πρόσβαση
νοείται η εκτεινόμενη στα προσωπικά δεδομένα καθ’ αυτά χωρίς να αρκεί μια γενική
περιγραφή των εν λόγω δεδομένων ούτε μια απλή αναφορά στις κατηγορίες δεδομένων
προσωπικού χαρακτήρα που επεξεργάζεται ο υπεύθυνος επεξεργασίας. Επομένως τα
υποκείμενα των δεδομένων δικαιούνται να έχουν πρόσβαση σε όλα τα δεδομένα που
υποβάλλονται σε επεξεργασία και τα οποία τα αφορούν, εκτός εάν προβλέπονται ειδικώς
από τον ΓΚΠΔ όρια ή περιορισμοί (βλ. άρθρα 12 παρ. 5, 15 παρ. 4, 23, 89 παρ. 2 και 3, 85
παρ. 2 του ΓΚΠΔ). Και τέλος, σημειώνεται συναφώς ότι εάν το υποκείμενο των δεδομένων
δεν ζητήσει ρητά κάτι διαφορετικό, το αίτημα άσκησης του δικαιώματος πρόσβασης νοείται
ως γενικό και περιλαμβάνει όλα τα δεδομένα προσωπικού χαρακτήρα που αφορούν στο
εκάστοτε υποκείμενο των δεδομένων9.
3. Επειδή σύμφωνα με το άρθρο 12 ΓΚΠΔ «1. Ο υπεύθυνος επεξεργασίας λαμβάνει τα
κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων […] κάθε ανακοίνωση στο
πλαίσιο των άρθρων 15 έως 22[…] 2. Ο υπεύθυνος επεξεργασίας διευκολύνει την άσκηση
των δικαιωμάτων των υποκειμένων των δεδομένων που προβλέπονται στα άρθρα 15 […] 3.
Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την
ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς
καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν
λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται,
7
Βλ. Απόφαση της Αρχής 16/2017.
8
Βλ. σχετικά Απόφαση της Αρχής 1/2005, µε την οποία κρίθηκε ότι ο υπεύθυνος επεξεργασίας οφείλει να
απαντήσει στο αίτηµα πρόσβασης του υποκειµένου των δεδοµένων χωρίς αοριστίες και υπεκφυγές
επικαλούµενος λόγους άσχετους µε την ικανοποίηση του δικαιώµατος πρόσβασης. Βλ. επίσης και την Απόφαση
της Αρχής 16/2017.
9
Για τα ανωτέρω βλ. ανάλυση στις με αριθ. 01/2022 Κατευθυντήριες γραμμές του ΕΣΠΔ σχετικά με τα
δικαιώματα των υποκειμένων των δεδομένων – Δικαίωμα πρόσβασης, Έκδοση 2.1, 28 Μαρτίου 2023,
(https://www.edpb.europa.eu/system/files/2024-
04/edpb_guidelines_202201_data_subject_rights_access_v2_el.pdf) και ειδικότερα βλ. κεφάλαια 2.2.1.2 και
2.3.1. αντιστοίχως (σελ. 15 και 20).
8
λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων.
Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω
παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της
καθυστέρησης. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά
μέσα, η ενημέρωση παρέχεται, εάν είναι δυνατόν, με ηλεκτρονικά μέσα, εκτός εάν το
υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό. 4. Εάν ο υπεύθυνος επεξεργασίας δεν
ενεργήσει επί του αιτήματος του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας
ενημερώνει το υποκείμενο των δεδομένων, χωρίς καθυστέρηση και το αργότερο εντός μηνός
από την παραλαβή του αιτήματος, για τους λόγους, για τους οποίους δεν ενήργησε και για
τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής
προσφυγής.». Επιπλέον, σύμφωνα με τις παραγράφους 1 και 2 του άρθρου 24 του ΓΚΠΔ: «1.
Λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της
επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και
σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος
επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να
διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με τον
παρόντα κανονισμό. Τα εν λόγω μέτρα επανεξετάζονται και επικαιροποιούνται όταν κρίνεται
απαραίτητο. 2. Όταν δικαιολογείται σε σχέση με τις δραστηριότητες επεξεργασίας, τα μέτρα
που αναφέρονται στην παράγραφο 1 περιλαμβάνουν την εφαρμογή κατάλληλων πολιτικών
για την προστασία των δεδομένων από τον υπεύθυνο επεξεργασίας.»
4. Επειδή στην ως άνω εξεταζόμενη περίπτωση, από τα στοιχεία του φακέλου προκύπτει
ότι ο καταγγέλλων άσκησε ενώπιον της καταγγελλόμενης υπεύθυνης επεξεργασίας
προσηκόντως και δη με σαφήνεια ήδη στις … το δικαίωμα πρόσβασης στα προσωπικά
δεδομένα που τον αφορούν. Το εν λόγω δε αίτημα, στο μέτρο που δεν έθετε κάποιον
περιορισμό, καταλάμβανε το σύνολο των προσωπικών δεδομένων που τηρεί η
καταγγελλόμενη εταιρεία ως υπεύθυνη επεξεργασίας για τον καταγγέλλοντα πολλώ δε
μάλλον εφόσον, όπως προκύπτει από το σύνολο των στοιχείων του φακέλου της υπόθεσης
(βλ. ενδεικτικά το από 19-12-2023 έγγραφο της καταγγελλομένης προς την Αρχή), η
καταγγελλομένη διαχειριζόταν μία μόνο δανειακή σύμβαση καταναλωτικής πίστης και άρα ο όγκος
των τηρούμενων για αυτόν προσωπικών δεδομένων δεν θα μπορούσε εξ αντικειμένου να
είναι μεγάλος. Ως εκ τούτου, το από … αίτημα του καταγγέλλοντος με τον τρόπο με τον οποίο
αυτό διατυπώθηκε περιελάμβανε και το αντίγραφο της σύμβασης που τηρούσε η
9
καταγγελλομένη και το οποίο κατά λογική αναγκαιότητα διέθετε η εταιρεία κατά το χρόνο
υποβολής του αρχικού αιτήματος του καταγγέλλοντος. Ωστόσο, η καταγγελλομένη
διαβίβασε στον καταγγέλλοντα το εν λόγω στοιχείο με το από … μήνυμα ηλεκτρονικού
ταχυδρομείου, και εφόσον μεσολάβησε σχετική τηλεφωνική επικοινωνία με τον
καταγγέλλοντα (βλ. το προσκομιζόμενο στην Αρχή σχετικό από … μήνυμα ηλεκτρονικού
ταχυδρομείου της καταγγελλόμενης εταιρείας προς τον καταγγέλλοντα), και πάντως όχι με
την από … (που εστάλη μέσω mail προς τον καταγγέλλοντα στις …) πρώτη απάντησή της στο
επίμαχο αίτημα πρόσβασης. Με τα δεδομένα αυτά φαίνεται ότι το από … ως άνω αίτημα
δεν ικανοποιήθηκε προσηκόντως με την ανωτέρω πρώτη απάντηση της καταγγελλομένης,
διότι δεν είχε περιληφθεί στην απάντηση αυτή το σύνολο των δεδομένων προσωπικού
χαρακτήρα που αφορούσαν τον καταγγέλλοντα αφού δεν είχε αποσταλεί το εν λόγω
αντίγραφο σύμβασης και, επομένως, παραβιάστηκε, κατά τούτο το δικαίωμα πρόσβασης
του άρθρου 15 του ΓΚΠΔ σε συνδυασμό με τη διάταξη του άρθρου 12 παρ. 3 του ΓΚΠΔ, στο
μέτρο που για το ανωτέρω αντίγραφο σύμβασης, ο καταγγέλλων ικανοποιήθηκε
εκπρόθεσμα.
5. Επειδή ως προς τις ζητηθείσες επίσης από … ηχογραφημένες συνομιλίες που είχε ο
καταγγέλλων με εκπροσώπους της καταγγελλομένης, δεν προκύπτει εκ των στοιχείων του
φακέλου να έχει ικανοποιηθεί το εν λόγω σκέλος του ασκηθέντος δικαιώματος πρόσβασης
παρά μόνο με την αποστολή αυτών μετά την ακρόαση των μερών ενώπιον της Αρχής με
μήνυμα ηλεκτρονικού ταχυδρομείου που εστάλη στον καταγγέλλοντα στις … (όπως αυτό
προσκομίστηκε ενώπιον της Αρχής). Και ναι μεν στο πλαίσιο της ακρόασης ο καταγγέλλων
ανέφερε ότι οι ηχογραφημένες συνομιλίες που αιτήθηκε του έχουν αποσταλεί, πλην όμως
στο με αριθ. Πρωτ. Γ/ΕΙΣ/7682/06-10-2024 υπόμνημά του διευκρίνισε ότι ήταν εσφαλμένη η
εν λόγω αναφορά και ουδέποτε μέχρι την ακρόαση του είχαν αποσταλεί οι επίμαχες κλήσεις.
Η δε καταγγελλόμενη εταιρεία στο προαναφερόμενο από … μήνυμα ηλεκτρονικού
ταχυδρομείου, που προσκομίστηκε ενώπιον της Αρχής, δεν αποδεικνύει την αποστολή αλλ’
αντιθέτως αποδέχεται ότι δεν εντόπισε κάποιο αποδεικτικό παραλαβής των εν λόγω
ηχογραφημένων συνομιλιών. Ειδικότερα, στην αρχική από … απάντηση της εταιρείας, που
φαίνεται να περιήλθε στη γνώση του καταγγέλλοντος με το από … μήνυμα ηλεκτρονικού
ταχυδρομείου της καταγγελλομένης, κατά τα ανωτέρω εκτεθέντα, η τελευταία ενημέρωνε
τον καταγγέλλοντα ότι αρχείο με τις ζητηθείσες ηχογραφημένες συνομιλίες που τον
αφορούσαν είναι διαθέσιμο και ότι πρέπει να έρθει σε τηλεφωνική επικοινωνία με το
10
τηλεφωνικό της κέντρο για να οριστεί ραντεβού, ώστε να το παραλάβει από τις
εγκαταστάσεις της εταιρείας. Από τα στοιχεία του φακέλου προκύπτει όμως ότι ο
καταγγέλλων με την από ... ηλεκτρονική επιστολή ζήτησε να διαγραφεί η καταχωρημένη στο
σύστημα της εταιρείας ταχυδρομική του διεύθυνση διότι διέμενε πλέον στο εξωτερικό και
συνεπώς η εταιρεία γνώριζε τουλάχιστον από την παραλαβή της ηλεκτρονικής αυτής
επιστολής ότι ο καταγγέλλων είναι κάτοικος εξωτερικού και άρα ότι υφίσταται εξ
αντικειμένου κώλυμα να παραλάβει αυτοπροσώπως τις ηλεκτρονικά αιτηθείσες ως άνω
συνομιλίες. Περαιτέρω, ο καταγγέλλων με το από … μήνυμα ηλεκτρονικού ταχυδρομείου
που απέστειλε στην καταγγελλομένη ζήτησε ρητά να ικανοποιηθεί ως προς το ανωτέρω
αίτημα από απόσταση. Ωστόσο, δεν έλαβε τις ζητηθείσες κλήσεις ούτε με την επόμενη από
… απάντηση της καταγγελλομένης (βλ. σχετικό προσκομιζόμενο μήνυμα ηλεκτρονικού
ταχυδρομείου). Τούτο δε παρά το ότι η περιγραφόμενη στην απάντηση της καταγγελλομένης
προς την Αρχή πολιτική ικανοποίησης αντίστοιχων αιτημάτων περιλαμβάνει την κατ’
εξαίρεση αποστολή στους πελάτες ηχογραφημένων συνομιλιών μέσω ηλεκτρονικής
αλληλογραφίας κατόπιν σχετικού τους -αιτήματος (βλ. σελ. 3 των απόψεων της
καταγγελλομένης που περιέχονται στην με αριθ. Πρωτ. Γ/ΕΙΣ/9034/20-12-2023 απάντησή
της προς την Αρχή καθώς και τη σχετική εσωτερική πολιτική που προσκόμισε η
καταγγελλόμενη με το με αριθ. Πρωτ. Γ/ΕΙΣ/7896/14-10-2024 μετ’ ακρόαση υπόμνημά της).
Άλλωστε, με τον ίδιο τρόπο, ήτοι με μηνύματα ηλεκτρονικού ταχυδρομείου, είχε αποστείλει
η εταιρεία και έτερα προσωπικά δεδομένα του καταγγέλλοντος στον τελευταίο ενώ είχαν
προηγηθεί, όπως επιβεβαιώνουν αμφότερα τα εμπλεκόμενα μέρη, και τηλεφωνικές
επικοινωνίες μεταξύ τους χωρίς ποτέ να προκύψει εν τοις πράγμασι ζήτημα αμφισβήτησης
της ταυτοπροσωπίας του αιτούντος πρόσβαση καταγγέλλοντος. Ειδικότερα, η
καταγγελλόμενη εταιρεία αναφέρει ότι κατέστη δυνατή η ταυτοποίηση του καταγγέλλοντος
μέσω των λοιπών -πλην της ταχυδρομικής διεύθυνσης- στοιχείων ταυτοποίησης που
κατέγραψε στο από … αίτημά του και ως εκ τούτου απέστειλε στην ηλεκτρονική του
διεύθυνση την από … επιστολή της, ενώ και στις … απέστειλε εκ νέου ηλεκτρονική επιστολή
προς τον καταγγέλλοντα επισυνάπτοντας συμβατικά και λοιπά έγγραφα που είχε αιτηθεί ο
καταγγέλλων και επισημαίνοντας, όπως ισχυρίζεται, στον τελευταίο την ανάγκη
επικαιροποίησης των στοιχείων του που ήταν εσφαλμένα ή μη ακριβή (βλ. σελ. 2 και 3 του
μετ’ ακρόαση υπομνήματος της καταγγελλόμενης εταιρείας). Επομένως, με τα ανωτέρω
δεδομένα, βάσει και της σχετικής διαδικασίας που προβλέπεται για εξαιρετικές περιπτώσεις
11
με την ως άνω πολιτική της, ενόψει και του άρθρου 12 παρ. 3 εδ. β’ του ΓΚΠΔ, σύμφωνα με
το οποίο όταν το υποκείμενο των δεδομένων υποβάλει το αίτημα με ηλεκτρονικά μέσα, η
ενημέρωση παρέχεται επίσης σε ηλεκτρονική μορφή, η εταιρεία, ανεξαρτήτως της
επικαιροποίησης των δεδομένων του καταγγέλλοντος στο μέτρο που προέκυπτε σχετική εκ
του νόμου υποχρέωση, όφειλε να ικανοποιήσει το από … αίτημα πρόσβασης του
καταγγέλλοντος στις ηχογραφημένες συνομιλίες που τον αφορούσαν αποστέλλοντάς του,
όπως είχε ζητήσει ρητώς ο ίδιος, σχετικό μήνυμα ηλεκτρονικού ταχυδρομείου τουλάχιστον
από τις …, ημερομηνία κατά την οποία προκύπτει γνώση από μέρους της του γεγονότος ότι
ο καταγγέλλων διέμενε στο εξωτερικό και ενώ είχε προηγηθεί ταυτοποίηση του τελευταίου.
Επομένως εκ των ανωτέρω προκύπτει ότι η καταγγελλομένη παραβίασε το δικαίωμα
πρόσβασης του καταγγέλλοντος στις ηχογραφημένες συνομιλίες που τον αφορούν, αφού
δεν τις απέστειλε εμπρόθεσμα και με τον τρόπο που επιθυμούσε ο καταγγέλλων, ο οποίος
υπαγορευόταν και από τη σχετική πολιτική της ίδιας, ενώ έθεσε με τον τρόπο αυτό και
δυσχέρεια στην ικανοποίηση του δικαιώματος του καταγγέλλοντος, όπως προκύπτει από το
ανωτέρω αναλυτικό ιστορικό, κατά παράβαση του άρθρου 12 παρ. 2 του ΓΚΠΔ.
6. Επειδή ο υπεύθυνος επεξεργασίας πρέπει πάντα να είναι σε θέση να αποδείξει ότι ο
τρόπος διεκπεραίωσης του κατά το άρθρο 15 ΓΚΠΔ δικαιώματος πρόσβασης που
υποβάλλεται από το υποκείμενο των δεδομένων έχει ως στόχο να προσδώσει την ευρύτερη
δυνατή ισχύ στο δικαίωμα αυτό καθώς και ότι συνάδει με την υποχρέωσή του που απορρέει
από τις προαναφερόμενες διατάξεις του άρθρου 12 του ΓΚΠΔ να διευκολύνει την άσκηση
των δικαιωμάτων των υποκειμένων των δεδομένων. Εξάλλου, σχετικά με τη μορφή με την
οποία θα πρέπει να παρέχεται από τον υπεύθυνο επεξεργασίας η απάντηση σε ασκούμενο
δικαίωμα πρόσβασης του υποκειμένου των δεδομένων, το άρθρο 15 παρ. 3 του ΓΚΠΔ, όπως
επισημάνθηκε και ανωτέρω, ορίζει ότι εάν το υποκείμενο των δεδομένων υποβάλει το
αίτημα με ηλεκτρονικά μέσα, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που
χρησιμοποιείται συνήθως, εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι
διαφορετικό. Προκειμένου δε, να καθοριστεί η μορφή που πρέπει να θεωρείται συνήθως
χρησιμοποιούμενη στη συγκεκριμένη περίπτωση, ο υπεύθυνος επεξεργασίας θα πρέπει να
αξιολογήσει αν υπάρχουν συγκεκριμένες μορφές που χρησιμοποιούνται γενικά στον τομέα
δραστηριότητας του υπευθύνου επεξεργασίας ή στο δεδομένο πλαίσιο. Κατά την
αξιολόγηση κατά πόσον μία μορφή είναι ηλεκτρονική μορφή που χρησιμοποιείται συνήθως,
το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων θεωρεί ότι είναι σημαντικό να μπορεί το
12
άτομο να έχει εύκολη πρόσβαση στα ζητηθέντα στοιχεία που παρέχονται στην τρέχουσα
μορφή10. Ωστόσο, από την πολιτική της καταγγελλόμενης εταιρείας προκύπτει ότι τίθεται εν
γένει δυσχέρεια στην ικανοποίηση του δικαιώματος πρόσβασης στις ηχογραφημένες
συνομιλίες των υποκειμένων των δεδομένων, στο μέτρο που ο κανόνας είναι η μετάβαση
των τελευταίων στις εγκαταστάσεις της εταιρείας και μόνο κατ’ εξαίρεση εφαρμόζονται
έτεροι τρόποι που διευκολύνουν περισσότερο τα υποκείμενα των δεδομένων που ασκούν
δικαίωμα πρόσβασης, όπως μέσω αποστολής τους με email (βλ. προσκομισθείσα εσωτερική
πολιτική της καταγγελλόμενης εταιρείας). Επομένως, ανεξαρτήτως της μη προσήκουσας, με
τα δεδομένα της συγκεκριμένης υπόθεσης, ικανοποίησης του δικαιώματος πρόσβασης, το
οποίο άσκησε ο καταγγέλλων, κατά τα αναφερόμενα στις προηγούμενες σκέψεις, η
διαδικασία που ορίζεται από την εσωτερική πολιτική της καταγγελλόμενης εταιρείας δεν
εξασφαλίζει την ικανοποίηση των σχετικών δικαιωμάτων πρόσβασης σε ηχογραφημένες
συνομιλίες καταρχήν με τον απλούστερο δυνατό τρόπο, διότι με τη διαδικασία αυτή τίθεται
δυσχέρεια στα υποκείμενα των δεδομένων και ως εκ τούτου η σχετική πολιτική χρήζει
τροποποίησης ώστε η απλούστερη ικανοποίηση για τα υποκείμενα των δεδομένων να
καταστεί ο κανόνας και όχι η εξαίρεση.
7. Επειδή σύμφωνα με όσα αναφέρονται στις προηγούμενες σκέψεις, προκύπτει αφενός μη
προσήκουσα ικανοποίηση του δικαιώματος πρόσβασης αναφορικά με τα δεδομένα που
αφορούσαν στον καταγγέλλοντα, στο μέτρο που με την από … επιστολή και πρώτη απάντηση
της καταγγελλομένης στο σχετικώς ασκηθέν δικαίωμα πρόσβασης, δεν περιελήφθη το
σύνολο των προσωπικών δεδομένων του καταγγέλλοντος (βλ. ανωτέρω σκέψη 4), αφετέρου
παραβίαση του δικαιώματος πρόσβασης του καταγγέλλοντος (άρθρο 15 του ΓΚΠΔ) ως προς
τις ηχογραφημένες συνομιλίες που τον αφορούν, αφού η καταγγελλόμενη εταιρεία τις
απέστειλε εκπρόθεσμα με τον τρόπο που επιθυμούσε ο καταγγέλλων και υπαγόρευε και η
σχετική εταιρική πολιτική και δη μετά την ακρόαση ενώπιον της Αρχής, κατά παράβαση του
άρθρου 12 παρ. 2 και 3 του ΓΚΠΔ (βλ. ανωτέρω σκέψη 5). Κρίνεται δε ότι η σχετική εσωτερική
πολιτική σχετικά με την ικανοποίηση δικαιωμάτων πρόσβασης σε ηχογραφημένες
συνομιλίες χρήζει τροποποίησης ώστε να καταστεί κανόνας και όχι εξαίρεση η ικανοποίηση
10
Βλ. συναφώς 01/2022 Κατευθυντήριες γραμμές του ΕΣΠΔ σχετικά με τα δικαιώματα των υποκειμένων των
δεδομένων – Δικαίωμα πρόσβασης, Έκδοση 2.1, 28 Μαρτίου 2023,
(https://www.edpb.europa.eu/system/files/2024-
04/edpb_guidelines_202201_data_subject_rights_access_v2_el.pdf) και ειδικότερα βλ. κεφάλαια 2.3.1 και
5.2.5. (σελ. 22 και 62).
13
των σχετικών δικαιωμάτων των υποκειμένων των δεδομένων με τον απλούστερο δυνατό
τρόπο, ήτοι καταρχήν εξ αποστάσεως (βλ. ανωτέρω σκέψη 6).
8. Επειδή σύμφωνα με τον ΓΚΠΔ (Αιτ. Σκ. 148) προκειμένου να ενισχυθεί η επιβολή των
κανόνων του Κανονισμού αυτού, κυρώσεις, συμπεριλαμβανομένων των διοικητικών
προστίμων, θα πρέπει να επιβάλλονται για κάθε παράβαση του Κανονισμού, επιπρόσθετα ή
αντί των κατάλληλων μέτρων που επιβάλλονται από την εποπτική αρχή σύμφωνα με τον
παρόντα Κανονισμό.
9. Επειδή με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά
το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες
παραβάσεις και ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’
εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, αποτελεσματικά, αναλογικά
και αποτρεπτικά διοικητικά χρηματικά πρόστιμα κατ’ άρθρο 83 του ΓΚΠΔ, τόσο προς
αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς.
Περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης των προστίμων που ορίζονται στο
άρθρο 83 παρ. 2 του ΓΚΠΔ και την παράγραφο 5 εδ. β’ του ίδιου άρθρου που έχουν
εφαρμογή στην παρούσα υπόθεση, τις Κατευθυντήριες γραμμές για την εφαρμογή και τον
καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679 που
εκδόθηκαν στις 03-10-2017 από την Ομάδα Εργασίας του άρθρου 29 (WP 253) και τις
Κατευθυντήριες γραμμές 04/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων για
τον υπολογισμό των διοικητικών προστίμων στο πλαίσιο του Γενικού Κανονισμού, καθώς και
τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως τα κριτήρια που
παρατίθενται στη συνέχεια καθώς και το γεγονός ότι κατά της καταγγελλομένης είχε
υποβληθεί και άλλη καταγγελία στην Αρχή, προγενέστερη της εξεταζόμενης, για παράβαση
δικαιώματος υποκειμένου δεδομένων, κατόπιν της οποίας η Αρχή είχε απευθύνει στην
εταιρεία στις 06-07-2023 έγγραφο (βλ. το με αριθ. πρωτ. Γ/ΕΞΕ/1730/2023), με το οποίο
σταθμίζοντας και τα αντίστοιχα πραγματικά περιστατικά, είχε επιστήσει την προσοχή της
τελευταίας, ώστε να ικανοποιεί εντός των προβλεπόμενων στο άρθρο 12 παρ. 3 του ΓΚΠΔ
προθεσμιών τα δικαιώματα των υποκειμένων των δεδομένων, λαμβάνοντας τα εκάστοτε
προσήκοντα τεχνικά και οργανωτικά μέτρα ασφάλειας και επιδεικνύοντας τη δέουσα
προσοχή στην αξιοποίηση των στοιχείων επικοινωνίας που θέτουν υπ’ όψιν οι πελάτες της
καταγγελλομένης.
14
Α. Για την παραβίαση των διατάξεων των άρθρων 15 παρ. 1 του ΓΚΠΔ συνδυαστικά προς τις
διατάξεις των παραγράφων 3 του άρθρου 12 του ΓΚΠΔ ως προς τη μη προσήκουσα και,
συγκεκριμένα, την εκπρόθεσμη ικανοποίηση του δικαιώματος πρόσβασης αναφορικά με τα
δεδομένα που αφορούσαν στον καταγγέλλοντα, στο μέτρο που με την από … επιστολή και
πρώτη απάντηση της καταγγελλομένης στο σχετικώς ασκηθέν δικαίωμα πρόσβασης, δεν
περιελήφθη το σύνολο των προσωπικών δεδομένων του καταγγέλλοντα
i. Το γεγονός ότι η καταγγελλομένη ικανοποίησε καθυστερημένα, κατά τα
αναλυτικώς ως άνω εκτεθέντα το δικαίωμα πρόσβασης που άσκησε ο
καταγγέλλων κατ’ άρθρο 15 παρ. 1 ΓΚΠΔ ως προς τη χορήγηση αντιγράφου της
δανειακής του σύμβασης και αφού προηγήθηκε επιπλέον σχετική τηλεφωνική
συνεννόηση με εκπροσώπους της καταγγελλόμενης εταιρείας
ii. Το γεγονός ότι δεν προκύπτει κάποιο από τα ζητηθέντα προσωπικά δεδομένα του
καταγγέλλοντος να περιλαμβάνει προσωπικά δεδομένα ειδικών κατηγοριών
iii. Το γεγονός ότι η παράβαση εν προκειμένω έθιξε ένα (1) φυσικό πρόσωπο ως
υποκείμενο των προσωπικών δεδομένων σε σχέση με την ικανοποίηση του
δικαιώματος πρόσβασης.
iv. Το γεγονός ότι δεν αποδεικνύεται δόλος της καταγγελλόμενης εταιρείας για την
ως άνω τελεσθείσα παράβαση.
v. Το γεγονός ότι από τα στοιχεία που τέθηκαν υπ’ όψιν της Αρχής και με βάση τα
οποία διαπίστωσε την παραβίαση του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας δεν
αποκόμισε οικονομικό όφελος, ούτε προκάλεσε υλική ζημία στον καταγγέλλοντα.
vi. Το γεγονός ότι η παράβαση των διατάξεων σχετικά με τα δικαιώματα των
υποκειμένων υπάγεται, σύμφωνα με τις διατάξεις του άρθρου 83 παρ. 5 εδ. β’
ΓΚΠΔ, στην ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης
διοικητικών προστίμων.
vii. Τον κύκλο εργασιών της καταγγελλόμενης εταιρείας όπως προκύπτει από τα
σχετικώς προσκομιζόμενα από την καταγγελλομένη έγγραφα για τη χρήση του
2023.
Β. Για την παραβίαση των διατάξεων των άρθρων 15 σε συνδυασμό με τις παραγράφους 2
και 3 του άρθρου 12 του ΓΚΠΔ ως προς την πρόσβαση στις ηχογραφημένες συνομιλίες που
15
αφορούσαν στον καταγγέλλοντα, που υπάγεται στην κατηγορία της περ. β’ της παραγράφου
5 του άρθρου 83 του ΓΚΠΔ ως προς το σύστημα διαβάθμισης των διοικητικών προστίμων:
i. Το γεγονός ότι ο καταγγελλόμενος δεν ικανοποίησε το δικαίωμα πρόσβασης
που άσκησε ο καταγγέλλων κατ’ άρθρο 15 παρ. 1 ΓΚΠΔ στις ηχογραφημένες συνομιλίες που
τον αφορούσαν, παρά μόνον μετά την ακρόαση που έλαβε χώρα ενώπιον της Αρχής και
επομένως η μη ικανοποίηση προσέλαβε χαρακτήρα εξακολουθητικό υπερβαίνοντας το ένα
έτος.
ii. Το γεγονός ότι δεν προκύπτει κάποιο από τα ζητηθέντα προσωπικά δεδομένα του
καταγγέλλοντος να περιλαμβάνει προσωπικά δεδομένα ειδικών κατηγοριών.
iii. Το γεγονός ότι η παράβαση εν προκειμένω έθιξε ένα (1) φυσικό πρόσωπο ως
υποκείμενο των προσωπικών δεδομένων σε σχέση με την ικανοποίηση του δικαιώματος
πρόσβασης.
iv. Το γεγονός ότι δεν αποδεικνύεται δόλος της καταγγελλομένης για την ως άνω
τελεσθείσα παράβαση.
v. Το γεγονός ότι από τα στοιχεία που τέθηκαν υπ’ όψιν της Αρχής και με βάση
τα οποία διαπίστωσε την παραβίαση του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας δεν αποκόμισε
οικονομικό όφελος, ούτε προκάλεσε υλική ζημία στον καταγγέλλοντα.
vi. Το γεγονός ότι η παράβαση των διατάξεων σχετικά με τα δικαιώματα των
υποκειμένων υπάγεται, σύμφωνα με τις διατάξεις του άρθρου 83 παρ. 5 εδ. β’ ΓΚΠΔ, στην
ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης διοικητικών προστίμων.
vii.Τον κύκλο εργασιών της καταγγελλόμενης εταιρείας όπως προκύπτει από τα
σχετικώς προσκομιζόμενα από την καταγγελλομένη έγγραφα για τη χρήση του 2023.
10. Επειδή βάσει των ανωτέρω, η Αρχή αποφασίζει να επιβληθούν στην καταγγελλόμενη
εταιρεία ως υπεύθυνη επεξεργασίας οι αναφερόμενες στο διατακτικό διοικητικές κυρώσεις,
που συνίστανται όχι μόνο σε πρόστιμα αλλά και σε λοιπά κατάλληλα μέτρα, όπως τα
ανωτέρω κρίνονται ανάλογα με τη βαρύτητα των παραβάσεων.
16
ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ
Η Αρχή
α) Κρίνει ότι η καταγγελλόμενη εταιρεία παραβίασε το άρθρο 15 παρ. 1 του ΓΚΠΔ
συνδυαστικά προς τη διάταξη της παραγράφου 3 του άρθρου 12 του ΓΚΠΔ καθώς προέβη
σε μη προσήκουσα και συγκεκριμένα σε εκπρόθεσμη ικανοποίηση του δικαιώματος
πρόσβασης αναφορικά με τα δεδομένα που αφορούσαν στον καταγγέλλοντα, κατά τα
αναφερόμενα στις σκέψεις 4 και 7, και της επιβάλλει για την παράβαση αυτή διοικητικό
πρόστιμο ύψους χιλίων (1.000,00€) ευρώ, σύμφωνα με το άρθρα 58 παρ. 2 στοιχ. θ΄ ΓΚΠΔ
β) Κρίνει ότι η καταγγελλόμενη εταιρεία παραβίασε το δικαίωμα πρόσβασης του
καταγγέλλοντος (άρθρο 15 του ΓΚΠΔ) ως προς τις ηχογραφημένες συνομιλίες που τον
αφορούν, αφού τις απέστειλε με τον τρόπο που επιθυμούσε ο καταγγέλλων και υπαγόρευε
και η σχετική εταιρική πολιτική εκπρόθεσμα, και δη μετά την ακρόαση ενώπιον της Αρχής,
κατά παράβαση του άρθρου 12 παρ. 2 και 3 του ΓΚΠΔ, κατά τα αναφερόμενα στις σκέψεις 5
και 7, και της επιβάλλει για την παράβαση αυτή διοικητικό πρόστιμο ύψους δύο χιλιάδων
(2.000,00€) ευρώ, σύμφωνα με το άρθρα 58 παρ. 2 στοιχ. θ΄ ΓΚΠΔ
γ) Κρίνει ότι η εσωτερική πολιτική της εταιρείας σχετικά με τον τρόπο ικανοποίησης του
δικαιώματος πρόσβασης σε ηχογραφημένες συνομιλίες παραβιάζει τη διάταξη του άρθρου
12 παρ. 2 του ΓΚΠΔ κατά τα αναλυτικώς εκτεθέντα στη σκέψη 6 της παρούσας και ως εκ
τούτου απευθύνει εντολή στην καταγγελλόμενη εταιρεία όπως τροποποιήσει την εν λόγω
εσωτερική πολιτική εντός τριάντα (30) ημερών από την κοινοποίηση της παρούσας, ώστε η
απλούστερη δυνατή ικανοποίηση για τα υποκείμενα των δεδομένων να καθίσταται ο
κανόνας και όχι η εξαίρεση και να ενημερώσει ακολούθως την Αρχή για τις ενέργειές της. Σε
κάθε δε περίπτωση η Αρχή επιφυλάσσεται όπως επανεξετάσει την υπόθεση και δη για το
σύνολο της ακολουθούμενης από την καταγγελλόμενη εταιρεία πρακτικής ιδίως σε
περίπτωση εξέτασης από την Αρχή περισσότερων συναφών καταγγελιών.
Ο Πρόεδρος Η Γραμματέας
Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου
17