Αθήνα, 07-04-2021
Αριθ. Πρωτ.: 1024
ΑΠΟΦΑΣΗ 13/2021
(Τμήμα)
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε
σύνθεση Τμήματος μέσω τηλεδιάσκεψης την 17-02-2021 και ώρα 10:00, μετά από
πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που
αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Γεώργιος Μπατζαλέξης,
Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου
Μενουδάκου, και τα αναπληρωματικά μέλη Γρηγόριος Τσόλιας και Ευάγγελος
Παπακωνσταντίνου, ως εισηγητής, σε αντικατάσταση των τακτικών μελών
Χαράλαμπου Ανθόπουλου και Κωνσταντίνου Λαμπρινουδάκη αντίστοιχα, οι οποίοι,
αν και εκλήθησαν νομίμως εγγράφως δεν παρέστησαν λόγω κωλύματος. Το τακτικό
μέλος Σπυρίδων Βλαχόπουλος, αν και κλήθηκε νομίμως εγγράφως, δεν παρέστη
λόγω κωλύματος. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, ο Γεώργιος
Ρουσόπουλος, ειδικός επιστήμονας – ελεγκτής ως βοηθός εισηγητή και η Ειρήνη
Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής,
ως γραμματέας.
Η Αρχή έλαβε υπόψη της τα ακόλουθα:
Υποβλήθηκε στην Αρχή η υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/4863/10-07-2019 καταγγελία
με την οποία ο Α κατήγγειλε ότι στις 09/07/2019 έλαβε μήνυμα SMS με διαφημιστικό
χαρακτήρα από την εταιρεία «MZN HELLAS ΑΝΩΝΥΜΗ ΑΘΛΗΤΙΚΗ ΕΜΠΟΡΙΚΗ
1
Λεωφ. Κηφισίας 1-3, 11523 Αθήνα
Τ: 210 6475 600 • E: [email protected] • www.dpa.gr
ΕΤΑΙΡΕΙΑ» με διακριτικό τίτλο «MZN HELLAS A.E.» (εφεξής και «Υπεύθυνος
επεξεργασίας»), ενώ είχε εκφράσει ρητά την αντίρρησή του. Με την καταγγελία
επισυνάπτεται και αντίγραφο μηνύματος ηλεκτρονικού ταχυδρομείου από το οποίο
προκύπτει ότι, μετά από διαφορά που προέκυψε κατόπιν παραγγελίας που έκανε
στην εταιρεία, είχε εκφράσει αντίρρηση στο να λαμβάνει οποιαδήποτε ενημέρωση
σχετικά με προϊόντα και προσφορές της εταιρείας. Στο μήνυμα δινόταν η δυνατότητα
διαγραφής μέσω υπερσυνδέσμου.
Η καταγγελλόμενη εταιρεία ενημερώθηκε για την καταγγελία με το υπ’ αριθμ.
πρωτ. Γ/ΕΞ/4863-1/09-08-2019 έγγραφο της Αρχής με το οποίο ζητήθηκε να υποβάλει
τις απόψεις της για την καταγγελία. Η εταιρεία απάντησε με το υπ’ αριθμ. πρωτ.
Γ/ΕΙΣ/5868/27-08-2019 έγγραφό της, δηλώνοντας, μεταξύ άλλων, ότι είχε ζητηθεί η
προηγούμενη έγκριση του καταγγέλλοντος, λόγω της προηγούμενης συναλλαγής του
και ότι τα μηνύματα στέλνονται μαζικά και αυτόματα από λογισμικό συνεργαζόμενης
εταιρείας, στο οποίο δεν μπορούν να επέμβουν αμέσως. Μετά όμως από διερεύνηση
εντοπίστηκε το email του καταγγέλλοντος. Η εταιρεία θεωρεί ότι από αμέλεια του
υπαλλήλου δεν διαγράφηκε εκείνη τη στιγμή το τηλέφωνο από τη λίστα και
διαβεβαιώνει ότι διέγραψαν το κινητό του τηλέφωνο και τη διεύθυνση ηλεκτρονικού
του ταχυδρομείου και έχουν προβεί στις απαραίτητες ενέργειες, ώστε να μην
ξανασυμβεί στο μέλλον για κανένα άλλον πελάτη. Τέλος, αναφέρουν ότι ο
καταγγέλλων αμφισβητεί παραλαβή παραγγελίας και ενεργεί σκοπίμως και δολίως
καθώς είχε τη δυνατότητα να σταματήσει τη λήψη των μηνυμάτων μέσα από το
διαφημιστικό μήνυμα.
Κατόπιν όμως της απάντησης αυτής, ο καταγγέλλων επανήλθε στην Αρχή με την
υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/7689/07-11-2019 καταγγελία, με την οποία αναφέρει ότι
έλαβε, εν νέου, μήνυμα στον αριθμό του κινητού του τηλεφώνου για σκοπούς
προώθησης των προϊόντων και των υπηρεσιών της εταιρείας MZΝ στις 06-11-2019,
παρά τη δήλωση της εταιρείας ότι διαγράφηκε το τηλέφωνό του από τη λίστα. Η Αρχή
απέστειλε το υπ’ αριθμ. πρωτ. Γ/ΕΞ/7689-1/13-12-2019 έγγραφο προς την εταιρεία,
ζητώντας τις απόψεις της για τη νέα σχετική καταγγελία. Η καταγγελλόμενη εταιρεία
απάντησε στην Αρχή με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/394/17-01-2020 έγγραφό της. Σε
αυτό υποστηρίζει ότι η καταγγελία είναι απαράδεκτη, κακόπιστη και αβάσιμη.
2
Αναφέρει ξανά ότι υπήρχε αρχική έγκριση του καταγγέλλοντος, ο οποίος δεν
χρησιμοποίησε τη δυνατότητα απεγγραφής (opt-out) από το SMS, αλλά έστειλε
μήνυμα ηλεκτρονικού ταχυδρομείου προς την ηλεκτρονική διεύθυνση της
εξυπηρέτησης πελατών. Ο καταγγέλλων έλαβε μόλις ένα νέο προωθητικό μήνυμα
στις 06-11-2019. Περαιτέρω, αναφέρει ότι ενεργοποίησε την επιλογή opt-out
αργότερα, στις 11-12-2019 ώστε να διαγραφεί οριστικά βάσει των δικών του
ενεργειών από τη λίστα επαφών της εταιρείας. Περαιτέρω, η εταιρεία υποστηρίζει
ότι κακώς ο καταγγέλλων αναφέρει ότι δεν του δόθηκε η δυνατότητα αντίρρησης, και
ότι δεν εξέφρασε αντίρρηση.
Σε σχέση με τη διαγραφή που έπρεπε να έχει γίνει, όπως είχε αναφερθεί στο
προηγούμενο υπόμνημα της εταιρείας, υποστηρίζει ότι προέκυψε λάθος/παράλειψη
του απασχολούμενου στο χειρισμό της ηλεκτρονικής πλατφόρμας, με αποτέλεσμα να
μην επικυρωθεί τελικά η διαγραφή του αριθμού καταγγέλλοντος, ενώ το λάθος δεν
έγινε αντιληπτό ούτε από εν λόγω υπάλληλο ούτε από τη διοίκηση της εταιρείας. Η
εταιρεία υποστηρίζει ότι η τρίτη εταιρεία που έχει αναπτύξει και διαχειρίζεται την
πλατφόρμα, η οποία δεν κατονομάζεται, γνωστοποίησε τους λόγους της μη
διαγραφής. Η εταιρεία επίσης αναφέρει ότι δεν παραθέτει τα στοιχεία του
υπαλλήλου καθώς δεν υφίσταται ουσιαστικός λόγος, αλλά αν δεν κριθούν βάσιμες
οι εξηγήσεις της, θα επικαλεστεί και θα προσκομίσει την πλήρη μαρτυρία αυτού.
Κατόπιν των ανωτέρω, η Αρχή προχώρησε σε κλήση της εταιρείας για τη
συνεδρίαση τμήματος στις 15-07-2020, με υπ’ αριθμ. πρωτ. Γ/ΕΞ/4491/29-06-2020
έγγραφό της. Με την κλήση η εταιρεία ενημερώθηκε ότι κατά την εξέταση της
υπόθεσης θα συζητηθούν οι δύο ανωτέρω καταγγελίες. Η εταιρεία παρέστη στη
συνεδρίαση δια του δικηγόρου της Αριστείδη Καραμπεάζη ενώ, αφού έλαβε
προθεσμία, υπέβαλε το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/5315/29-07-2020 υπόμνημα της. Σε
αυτό αναφέρει συνοπτικά τα εξής: Ο καταγγέλλων δεν εμφανίσθηκε και άρα
τεκμαίρεται η σιωπηρή του παραίτηση και το προσχηματικό των καταγγελιών του. Οι
καταγγελίες είναι απαράδεκτες για τυπικούς λόγους. Συγκεκριμένα, λανθασμένα
δηλώνει ο καταγγέλλων τόσο ότι δεν του δόθηκε σε κάθε μήνυμα η δυνατότητα
αντίρρησης όσο και ότι εξέφρασε αντίρρηση στην αποστολή μηνυμάτων. Περαιτέρω,
ο καταγγέλλων παρείχε έγκριση για την αποστολή ενημερωτικών/προωθητικών SMS
3
κατά την ολοκλήρωση της συναλλαγής του. Σε κάθε περίπτωση, είχε τη δυνατότητα
“opt-out” με ένα κλικ, οπότε και δεν θα ήταν δυνατό να επανεγγραφεί εκ
παραδρομής. Ενεργοποίησε την επιλογή αυτή μετά την καταγγελία του (11/12/2019)
ώστε να διαγραφεί από τη λίστα.
Επί της ουσίας, η εταιρεία υποστηρίζει ότι ενώ ζητήθηκε η διαγραφή των
στοιχείων του καταγγέλλοντα, προέκυψε εκ των υστέρων λάθος/παράλειψη του
απασχολούμενου στο χειρισμό της ηλεκτρονικής πλατφόρμας με αποτέλεσμα να
παραμείνει εγγεγραμμένος στη λίστα επαφών της. Το λάθος δεν έγινε αντιληπτό και
δεν κατέστη γνωστό στη εταιρεία, παρά μόνο μετά τη δεύτερη καταγγελία, ενώ ήταν
η μοναδική φορά που τέτοιο λάθος συνέβη. Η εταιρεία αναφέρει ότι ζήτησε από τη
συνεργαζόμενη εταιρεία να της χορηγήσει τυχόν «ηλεκτρονικά ίχνη», αλλά έλαβε
απάντηση ότι δεν διατηρούνται τέτοια στοιχεία στο server. Η εταιρεία υποστηρίζει
ότι πρόκειται για παρεμπίπτον ζήτημα, το οποίο αποδεικνύεται από τη σχετική
αλληλογραφία του χειριστή της με το συνεργάτη της (η οποία αν και αναφέρεται ότι
επισυνάπτεται δεν περιέχεται στα σχετικά του υπομνήματος) και επικαλείται την
αρχή της επιείκειας. Υποστηρίζει επίσης ότι ο καταγγελλόμενος δεν επικαλείται ζημία
ή διαρκή όχληση ενώ θεωρεί ότι τα κίνητρα του καταγγέλλοντος είναι η αμφισβήτηση
παλαιότερων συναλλαγών.
Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον
εισηγητή και τις διευκρινίσεις από το βοηθό εισηγητή, ο οποίος παρέστη χωρίς
δικαίωμα ψήφου και αποχώρησε μετά από τη συζήτηση της υποθέσεως και πριν από
τη διάσκεψη και τη λήψη αποφάσεως, κατόπιν διεξοδικής συζητήσεως,
ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
1. Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας
Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής ΓΚΠΔ) και του άρθρου 9 του νόμου
4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την
εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που
αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
4
2. Σύμφωνα με το άρθρο 4 στοιχ. 7 του ΓΚΠΔ, ο οποίος είναι σε εφαρμογή από
τις 25 Μαΐου 2018, ως υπεύθυνος επεξεργασίας ορίζεται «το φυσικό ή νομικό
πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με
άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων
προσωπικού χαρακτήρα».
3. Το ζήτημα, της πραγματοποίησης μη ζητηθεισών επικοινωνιών με
οποιοδήποτε μέσο ηλεκτρονικής επικοινωνίας, χωρίς ανθρώπινη παρέμβαση, για
σκοπούς απευθείας εμπορικής προώθησης προϊόντων ή υπηρεσιών και για κάθε
είδους διαφημιστικούς σκοπούς, ρυθμίζεται με το άρθρο 11 του ν. 3471/2006 για την
προστασία προσωπικών δεδομένων στον τομέα των ηλεκτρονικών επικοινωνιών, ο
οποίος ενσωμάτωσε στην εθνική έννομη τάξη την Οδηγία 2002/58/ΕΚ. Σύμφωνα με
το άρθρο αυτό, μία τέτοια επικοινωνία επιτρέπεται μόνο εφόσον ο συνδρομητής
συγκατατεθεί εκ των προτέρων ρητώς. Κατ’ εξαίρεση, σύμφωνα με το άρθρο 11 παρ.
3 του ν. 3471/2006, τα στοιχεία επαφής ηλεκτρονικού ταχυδρομείου που
αποκτήθηκαν νομίμως, στο πλαίσιο της πώλησης προϊόντων ή υπηρεσιών ή άλλης
συναλλαγής, μπορούν να χρησιμοποιούνται για την απευθείας προώθηση
παρόμοιων προϊόντων ή υπηρεσιών του προμηθευτή ή για την εξυπηρέτηση
παρόμοιων σκοπών, ακόμη και όταν ο αποδέκτης του μηνύματος δεν έχει δώσει εκ
των προτέρων τη συγκατάθεσή του, υπό την προϋπόθεση ότι του παρέχεται κατά
τρόπο σαφή και ευδιάκριτο η δυνατότητα να αντιτάσσεται, με εύκολο τρόπο και
δωρεάν, στη συλλογή και χρησιμοποίηση των ηλεκτρονικών του στοιχείων και αυτό
κατά τη συλλογή των στοιχείων επαφής, καθώς και σε κάθε μήνυμα, σε περίπτωση
που ο χρήστης αρχικά δεν είχε διαφωνήσει σε αυτή τη χρήση.
4. Σύμφωνα με το άρθρο 17 παρ. 1 του ΓΚΠΔ, «Το υποκείμενο των δεδομένων
έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή
δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη
καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα
προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, εάν ισχύει ένας από
τους ακόλουθους λόγους: (…) γ) το υποκείμενο των δεδομένων αντιτίθεται στην
επεξεργασία σύμφωνα με το άρθρο 21 παράγραφος 1 και δεν υπάρχουν επιτακτικοί
και νόμιμοι λόγοι για την επεξεργασία ή το υποκείμενο των δεδομένων αντιτίθεται
στην επεξεργασία σύμφωνα με το άρθρο 21 παράγραφος 2». Περαιτέρω, στο άρθρο
5
21 παρ. 2 του ΓΚΠΔ ορίζεται ότι «Εάν δεδομένα προσωπικού χαρακτήρα
υποβάλλονται σε επεξεργασία για σκοπούς απευθείας εμπορικής προώθησης, το
υποκείμενο των δεδομένων δικαιούται να αντιταχθεί ανά πάσα στιγμή στην
επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν για την εν
λόγω εμπορική προώθηση, περιλαμβανομένης της κατάρτισης προφίλ, εάν σχετίζεται
με αυτήν την απευθείας εμπορική προώθηση.»
5. Στο άρθρο 12 παρ. 2 και 3 του ΓΚΠΔ ορίζεται ότι «2. Ο υπεύθυνος
επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των
δεδομένων που προβλέπονται στα άρθρα 15 έως 22. (…)» και «3. Ο υπεύθυνος
επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια
που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς
καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος.
Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον
απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του
αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των
δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος,
καθώς και για τους λόγους της καθυστέρησης. (…)».
6. Το άρθρο 25 του ΓΚΠΔ ορίζει ότι «Λαμβάνοντας υπόψη τις τελευταίες
εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους
σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας
επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών
προσώπων από την επεξεργασία, ο υπεύθυνος επεξεργασίας εφαρμόζει
αποτελεσματικά, τόσο κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας όσο
και κατά τη στιγμή της επεξεργασίας, κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως
η ψευδωνυμοποίηση, σχεδιασμένα για την εφαρμογή αρχών προστασίας των
δεδομένων, όπως η ελαχιστοποίηση των δεδομένων, και την ενσωμάτωση των
απαραίτητων εγγυήσεων στην επεξεργασία κατά τρόπο ώστε να πληρούνται οι
απαιτήσεις του παρόντος κανονισμού και να προστατεύονται τα δικαιώματα των
υποκειμένων των δεδομένων.»
7. Η Αρχή δεν κάνει δεκτά τα επιχειρήματα του υπευθύνου επεξεργασίας και
κρίνει ότι η καταγγελία είναι παραδεκτή. Ο καταγγέλλων δεν κλήθηκε, καθώς δεν
είναι απαραίτητη η αυτοπρόσωπη παρουσία του για την εξέταση της καταγγελίας.
6
Περαιτέρω, αν και η εταιρεία ορθώς υποστηρίζει ότι ο καταγγέλλων λανθασμένα
αναφέρει ότι δεν του δόθηκε σε κάθε μήνυμα η δυνατότητα αντίρρησης, το γεγονός
ότι κάποιοι από το σύνολο των ισχυρισμών του καταγγέλλοντος δεν επαληθεύονται,
δεν καθιστά απαράδεκτο το σύνολο των ισχυρισμών του. Οι ισχυρισμοί αυτοί
εξετάζονται στη συνέχMZεια.
8. Στη συγκεκριμένη περίπτωση, πραγματοποιήθηκε επεξεργασία δεδομένων
προσωπικού χαρακτήρα του καταγγέλλοντος από τον υπεύθυνο επεξεργασίας, για
σκοπούς προώθησης προϊόντων και υπηρεσιών. Η νομιμότητα της αρχικής συλλογής
δεν κρίνεται με την παρούσα, καθώς ο καταγγέλλων αποδέχεται ότι υπήρξε
προηγούμενη συναλλακτική σχέση, στο πλαίσιο της οποίας είχε χορηγήσει τα
στοιχεία του στην εταιρεία.
9. Ο καταγγέλλων, όπως προκύπτει από την αρχική καταγγελία, εξέφρασε
αντίρρηση στην αποστολή μηνυμάτων για σκοπούς προώθησης προϊόντων και
υπηρεσιών με μήνυμα ηλεκτρονικού ταχυδρομείου στις 05/06/2019. Ο καταγγέλλων
δεν χρησιμοποίησε τη δυνατότητα αυτοματοποιημένης διαγραφής που υπήρχε
ενσωματωμένη στα προωθητικά SMS, αλλά αυτό δεν επηρεάζει το ότι άσκησε ορθά
το δικαίωμα διαγραφής, απευθυνόμενος στην εξυπηρέτηση πελατών της εταιρείας.
Και τούτο αν ληφθεί υπόψη ότι ο ΓΚΠΔ δεν θέτει απαίτηση για συγκεκριμένο τρόπο
άσκησης δικαιώματος αλλά αναφέρει ότι ο υπεύθυνος επεξεργασίας οφείλει να
διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων. Το
αίτημα του καταγγέλλοντος ήταν σαφώς διατυπωμένο, με ειδική αναφορά στο ΓΚΠΔ,
συνεπώς δεν τίθεται αμφιβολία ότι ο υπεύθυνος επεξεργασίας όφειλε να διαθέτει
τις κατάλληλες διαδικασίες ώστε να ανταποκριθεί, ανεξάρτητα των λοιπών διαφορών
με τον καταγγέλλοντα. Ο υπεύθυνος επεξεργασίας δεν ενήργησε ώστε να διακόψει
την αποστολή των διαφημιστικών μηνυμάτων, όπως όφειλε, καθώς εναντίωση και
διαγραφή σε περίπτωση απευθείας εμπορικής προώθησης πρέπει να γίνεται
σεβαστή. Τούτο συνέβη μόνο μετά την πρώτη παρέμβαση της Αρχής. Μάλιστα, και
στην περίπτωση αυτή, ο υπεύθυνος απάντησε στην Αρχή, χωρίς να ενημερώσει τον
καταγγέλλοντα. Συνεπώς, από την αρχική καταγγελία προκύπτει παράβαση του
άρθρου 17 σε συνδυασμό με το άρθρο 21 παρ. 2 και το άρθρο 12 παρ. 3 του ΓΚΠΔ.
10. Με το πρώτο του υπόμνημα, ο υπεύθυνος επεξεργασίας διαβεβαίωσε την
Αρχή ότι έχει διαγράψει το κινητό τηλέφωνο και τη διεύθυνση ηλεκτρονικής
7
αλληλογραφίας του καταγγέλλοντος και ότι έχουν προβεί σε όλες στις απαραίτητες
ενέργειες για να μην ξανασυμβεί στο μέλλον για κανένα άλλο πελάτη. Εκ των
πραγμάτων αποδεικνύεται ότι η παραπάνω δήλωση δεν ήταν ακριβής. Ακόμα και αν
γίνει δεκτό το επιχείρημα της εταιρείας περί μεμονωμένου λάθους υπαλλήλων, το
οποίο όμως δεν στηρίζεται σε ηλεκτρονικά ή άλλα στοιχεία τα οποία δεν μπορεί να
αμφισβητηθούν, παρά μόνο σε έγγραφες δηλώσεις των εμπλεκομένων υπαλλήλων,
προκύπτει ότι ο υπεύθυνος επεξεργασίας δεν προέβη σε ενέργειες ώστε να μην
ξανασυμβεί στο μέλλον αντίστοιχο περιστατικό σε άλλο πελάτη. Συνεπώς, με την
αποστολή του δεύτερου μηνύματος στις 6/11/2019, διαπιστώνεται ότι η εταιρεία δεν
διέθετε στην πράξη τις απαραίτητες διαδικασίες ώστε να εξασφαλίσει τη διαγραφή
των δεδομένων, ώστε να πληρούνται οι απαιτήσεις του ΓΚΠΔ και να προστατεύονται
τα δικαιώματα των υποκειμένων των δεδομένων. Επομένως, προκύπτει παράβαση
του άρθρου 25 παρ. 1 του ΓΚΠΔ. Επισημαίνεται ότι με βάση την αρχή της λογοδοσίας
(άρθρο 5 παρ. 2 ΓΚΠΔ) ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση
να αποδείξει τη συμμόρφωσή του με τις βασικές αρχές νόμιμης επεξεργασίας. Να
σημειωθεί ότι το επιχείρημα περί μη χρήσης της ενσωματωμένης στο SMS
λειτουργίας διαγραφής και χρήση αυτής μετά τις 6/11/2019 και συγκεκριμένα στις
11/12/2019, δεν γίνεται δεκτό. Ο καταγγέλλων, όπως εξηγήθηκε, δεν ήταν
υποχρεωμένος να ασκήσει το δικαίωμά του με το συγκεκριμένο τρόπο, ενώ δεν
αποδεικνύεται ότι ήταν αυτός που ενεργοποίησε τη διαδικασία διαγραφής, καθώς
κατά το χρονικό διάστημα αυτό τα στοιχεία της καταγγελίας ήταν γνωστά και σε άλλα
πρόσωπα (π.χ. στην Αρχή).
11. Η Αρχή λαμβάνει υπόψη επιβαρυντικά, ότι ο υπεύθυνος επεξεργασίας δεν
κατέθεσε στοιχεία τεκμηρίωσης των διαδικασιών διαγραφής, ότι η παράβαση
σχετίζεται με άσκηση δικαιωμάτων του υποκειμένου των δεδομένων, ότι η εταιρεία
δήλωσε στην Αρχή ότι έλαβε τα κατάλληλα μέτρα και μάλιστα για το σύνολο των
πελατών της, ενώ αυτό στην πράξη δεν είχε συμβεί όσον αφορά τον καταγγέλλοντα,
ότι ο υπεύθυνος επεξεργασίας διαθέτει ηλεκτρονικό κατάστημα και χρησιμοποιεί
τεχνικές ηλεκτρονικής επικοινωνίας, συνεπώς θα όφειλε να έχει φροντίσει για την
ορθή ανταπόκριση στα αιτήματα άσκησης δικαιωμάτων. Περαιτέρω, σύμφωνα με τα
8
δημόσια διαθέσιμα στοιχεία στο ΓΕΜΗ[1], η εταιρεία κατά το έτος 2019 είχε κύκλο
εργασιών 1.343.513,99 € και κέρδη μετά από φόρους 50.151,92 €. Ως ελαφρυντικά
συνυπολογίζει ότι ενώ υπήρξε όχληση δεν υπήρξε οικονομική ζημία του υποκειμένου
των δεδομένων από τη μη ικανοποίηση του δικαιώματος, ότι είναι η πρώτη
παράβαση για τη συγκεκριμένη εταιρεία και τέλος, τη δυσμενή οικονομική
περίσταση λόγω της πανδημίας Covid-19.
12. Βάσει των ανωτέρω, η Αρχή κρίνει ομόφωνα ότι σύμφωνα με το άρθρο 17 σε
συνδυασμό με το άρθρο 21 παρ. 3 και το άρθρο 12 παρ. 3 του ΓΚΠΔ και το άρθρο 25
παρ. 1 του ΓΚΠΔ συντρέχουν οι προϋποθέσεις επιβολής σε βάρος του υπευθύνου
επεξεργασίας, με βάση το άρθρο 58 παρ. 2 θ΄ του ΓΚΠΔ και λαμβάνοντας υπόψη τα
κριτήρια του άρθρου 83 παρ. 2 του ΓΚΠΔ, της διοικητικής κύρωσης που αναφέρεται
στο διατακτικό της παρούσας, η οποία κρίνεται ανάλογη με τη βαρύτητα της
παράβασης.
ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ
Η Αρχή επιβάλλει, στην «MZN HELLAS ΑΝΩΝΥΜΗ ΑΘΛΗΤΙΚΗ ΕΜΠΟΡΙΚΗ ΕΤΑΙΡΕΙΑ»
με διακριτικό τίτλο «MZN HELLAS A.E.» το αποτελεσματικό, αναλογικό και
αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη
περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους είκοσι χιλιάδων
ευρώ (20.000,00) ευρώ, για τις ως άνω διαπιστωθείσες παραβιάσεις του άρθρου 17
σε συνδυασμό με το άρθρο 21 παρ. 3 και το άρθρο 12 παρ. 3 του ΓΚΠΔ και του άρθρου
25 παρ. 1 του ΓΚΠΔ.
Ο Αναπληρωτής Πρόεδρος Η Γραμματέας
Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου
1
https://www.businessregistry.gr/publicity/show/9178201000
9