Αθήνα, 13-07-2022
Αριθ. Πρωτ.: 1809
ΑΠΟΦΑΣΗ 35/2022
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε σε συνεδρίαση μέσω
τηλεδιάσκεψης την 19-04-2022, σε συνέχεια της συνεδρίασης της 29-03-2022, μετά από
πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο
ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και
τα τακτικά μέλη της Αρχής, Γρηγόριος Τσόλιας και Χρήστος Καλλονιάτης ως εισηγητές,
Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, Χαράλαμπος Ανθόπουλος και
Αικατερίνη Ηλιάδου. Παρόντες, χωρίς δικαίωμα ψήφου ήταν οι Φωτεινή Καρβέλα, Μαρία
Αλικάκου, Αναστασία Κανικλίδου, Κυριακή Καρακάση, νομικοί ελεγκτές – δικηγόροι καθώς
και οι Γεώργιος Ρουσόπουλος και Παντελής Καμμάς, πληροφορικοί ελεγκτές, ως βοηθοί
εισηγητών και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών
υποθέσεων, ως γραμματέας.
Η Αρχή έλαβε υπόψη της τα παρακάτω:
Με την υπ’ αριθ. πρωτ. Γ/ΕΙΣ/3458/26-05-2021 καταγγελία, η οποία υποβλήθηκε στην Αρχή
από την Αστική μη Κερδοσκοπική Εταιρεία με την επωνυμία «Ηomo Digitalis» για
λογαριασμό της καταγγέλλουσας, Α, καταγγέλλεται καταρχήν παραβίαση του δικαιώματος
πρόσβασης που άσκησε η τελευταία ενώπιον της εδρεύουσας στις Η.Π.Α. εταιρείας
Clearview AI (οδός 214 W 29th St, 2nd Floor, New York City, NY, 10001). Η εν λόγω καταγγελία,
με την οποία ζητείται, επίσης, η εξέταση των πρακτικών συλλήβδην της καθ’ ης εταιρείας
από πλευράς προστασίας προσωπικών δεδομένων, κατατέθηκε συγχρόνως με τέσσερις
έτερες συναφούς περιεχομένου τοιαύτες ενώπιον των εποπτικών αρχών της Αυστρίας, της
Γαλλίας, της Ιταλίας και του Ηνωμένου Βασιλείου, με σκοπό την επιδίωξη μίας
συντονισμένης απάντησης έναντι των πρακτικών της ως άνω εταιρείας από τους αρμόδιους
εποπτικούς φορείς.
Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, [email protected] / www.dpa.gr
Στο πλαίσιο της υπό εξέταση υπόθεσης, η καταγγέλλουσα απέστειλε στις 24-03-2021
ηλεκτρονικό μήνυμα προς την καταγγελλόμενη εταιρεία, ασκώντας το κατ’ άρθρο 15 του
Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ)
δικαίωμα πρόσβασης σε προσωπικά της δεδομένα, τα οποία επεξεργάζεται η εν λόγω
εταιρεία, ενώ την ίδια ημερομηνία έλαβε επιβεβαίωση περί επιτυχούς λήψης του εν λόγω
αιτήματος από τον αποδέκτη αυτού. Ακολούθως, στις 26-04-2021 η καταγγέλλουσα
επανέφερε το ανωτέρω αίτημα με σχετικό υπενθυμιστικό μήνυμα προς την καταγγελλόμενη.
Στις 30-04-2021 η ως άνω καταγγέλλουσα πληροφορήθηκε από εκπρόσωπο της Clearview AI
ότι δεν εντοπίστηκε το υποβληθέν μέσω ηλεκτρονικού μηνύματος ως άνω αίτημά της και της
ζητήθηκε να επισυνάψει φωτογραφία της, προκειμένου να προωθηθεί το αίτημά της ως
επείγον, σε περίπτωση που έχει χρησιμοποιήσει άλλη ηλεκτρονική διεύθυνση από εκείνη
διά της οποίας υπέβαλε για πρώτη φορά το επίμαχο αίτημα. Η καταγγέλλουσα, στις 05-05-
2021 και σε απάντηση των ανωτέρω απέστειλε την από 24-03-2021 ηλεκτρονική
επιβεβαίωση παραλαβής του αιτήματός της από την καθ’ ης, ενώ στις 26-05-2021 υπέβαλε
ενώπιον της Αρχής την υπό εξέταση καταγγελία.
Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, με το με αριθ. πρωτ. Γ/ΕΙΣ/4752/16-
07-2021 έγγραφό της, απευθύνθηκε στην καταγγελλόμενη εταιρεία και, αφού υπενθύμισε
τις διατάξεις των άρθρων 3 παρ. 2 και 27 του ΓΚΠΔ περί εδαφικού πεδίου εφαρμογής του
ΓΚΠΔ και περί εκπροσώπων υπευθύνων επεξεργασίας ή εκτελούντων την επεξεργασία μη
εγκατεστημένων στην Ευρωπαϊκή Ένωση (εφεξής: Ε.Ε.), ζήτησε από την εν λόγω εταιρεία
πληροφορίες σχετικά με τα στοιχεία του εκπροσώπου της στην E.E., εφόσον εδρεύει σε χώρα
εκτός Ε.Ε.. Για την περίπτωση δε, που η εταιρεία διαθέτει εγκατάσταση εντός της Ε.Ε.,
υποβλήθηκε μία σειρά ερωτημάτων προς απάντηση σχετικά με την ταυτότητα του
υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία για την υπό εξέταση
επεξεργασία, το ενδεχόμενο ύπαρξης περισσοτέρων της μίας εγκαταστάσεων του
υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία επί εδάφους Ε.Ε. και την
υπόδειξη της κύριας εγκατάστασης σε περίπτωση ύπαρξης περισσοτέρων τέτοιων. Επιπλέον,
και σε συνέχεια των ανωτέρω ερωτημάτων, ζητήθηκε η διευκρίνιση της φύσης της
επεξεργασίας ως διασυνοριακής είτε με την έννοια του ότι διενεργείται στο πλαίσιο των
δραστηριοτήτων τυχόν περισσοτέρων εγκαταστάσεων της καταγγελλομένης σε περισσότερα
Κράτη – Μέλη, είτε με την έννοια του ότι επηρεάζει ή δύναται να επηρεάσει ουσιωδώς
2
υποκείμενα δεδομένων σε περισσότερα Κράτη – Μέλη. Τέλος, τα ανωτέρω ερωτήματα
περιελάμβαναν και την πληροφόρηση περί του αν ασκήθηκε από την καταγγέλλουσα κάποιο
δικαίωμά της ως υποκειμένου δεδομένων και σε καταφατική περίπτωση ποια ήταν η
ανταπόκρισή της καταγγελλομένης ως προς αυτό και εντός ποιας προθεσμίας.
Κατόπιν δε αυτού, με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/5303/16-08-2021 απαντητικό έγγραφό της, η
καταγγελλόμενη εταιρεία, αφού ισχυρίστηκε ότι δεν υπόκειται στον ΓΚΠΔ, ανέφερε ότι
εδρεύει στις Η.Π.Α. και δεν διαθέτει εγκατάσταση στην Ε.Ε. Ακολούθως αντέκρουσε την
εφαρμογή του άρθρου 3 παρ. 2 του ΓΚΠΔ, καθ’ όσον, κατά τους ισχυρισμούς της, δεν παρέχει
προϊόντα ή υπηρεσίες σε υποκείμενα δεδομένων εντός Ε.Ε., ούτε προβαίνει σε
παρακολούθηση συμπεριφοράς υποκειμένων των δεδομένων εντός Ε.Ε.. Η καταγγελλομένη
τόνισε ότι οι υπηρεσίες της παρέχονται σε κυβερνητικές αρχές επιβολής του νόμου εκτός
Ε.Ε., ενώ αρνήθηκε ότι η δημιουργία από τη δική της μηχανή αναζήτησης συνδέσμων σε
διαθέσιμες στο διαδίκτυο φωτογραφίες συνιστά παρακολούθηση συμπεριφοράς των
υποκειμένων των δεδομένων, καθώς πρόκειται για στιγμιαίες προβολές εικόνων χωρίς να
υφίσταται συστηματική/εξακολουθητική παρατήρηση του κάθε προσώπου. Σύμφωνα με την
καταγγελλομένη δεν καταλείπεται πεδίο εφαρμογής του ΓΚΠΔ για την ίδια, καθώς διαθέτει
μηχανή αναζήτησης που εμφανίζει αποτελέσματα αυτομάτως επί τη βάσει του πλέον
σχετικού αλγορίθμου σε σχέση με το εισαγόμενο από κάποιο τρίτο μέρος ερώτημα.
Κατέληξε, μάλιστα, η καταγγελλομένη στο συμπέρασμα της παραβίασης του δημοσίου
διεθνούς δικαίου στην περίπτωση κατά την οποία μία εταιρεία που παρέχει διαδικτυακές
υπηρεσίες, είναι υπόχρεη σε τήρηση του συνόλου των νόμων σε παγκόσμιο επίπεδο.
Ακολούθως, και στο πλαίσιο καλόπιστης και εθελοντικής συνδρομής, όπως σημείωσε η
καταγγελλομένη, σχετικά με την υπό εξέταση υπόθεση, επιβεβαίωσε ότι το αίτημα
πρόσβασης υποβλήθηκε στις 24-03-2021 από την καταγγέλλουσα, η οποία υπέβαλε και
υπενθυμιστικό μήνυμα στις 26-04-2021. Ακολούθως, επικαλέστηκε την ύπαρξη ενός
τεχνικού προβλήματος που δεν επέτρεπε στον εκπρόσωπό της να αναγνώσει το υποβληθέν
από την καταγγέλλουσα αρχείο με τη φωτογραφία της, προκειμένου να απαντήσει στο
αίτημά της και ενώ η πάγια πρακτική της εταιρείας σε τέτοιες περιπτώσεις είναι το να ζητάει
εκ νέου φωτογραφία από το υποκείμενο, εντούτοις, εν προκειμένω, εκ παραδρομής
απάντησε στην καταγγέλλουσα αποστέλλοντας το προτυποποιημένο μήνυμα ηλεκτρονικού
ταχυδρομείου για τις περιπτώσεις που δεν εντοπίζεται το αίτημα αυτό καθ’ αυτό. Τέλος, η
3
καταγγελλόμενη ανέφερε ότι έχει ικανοποιήσει το υποβληθέν αίτημα πρόσβασης
αποστέλλοντας, όπως ισχυρίζεται, τη σχετική απάντησή της προς την καταγγέλλουσα.
Ωστόσο, σημειώνεται ότι από το με αριθ. πρωτ. Γ/ΕΙΣ/4976/22-03-2022 συμπληρωματικό
έγγραφο της καταγγέλλουσας, προκύπτει ότι η τελευταία ουδεμία απάντηση έλαβε από την
καταγγελλόμενη εταιρεία.
Από το σύνολο των στοιχείων του φακέλου προκύπτουν για την εν λόγω εταιρεία τα εξής:
Η εταιρεία με την επωνυμία Clearview AI, Inc. εδρεύει στις ΗΠΑ και ιδρύθηκε το 2017.
Μοναδικό της προϊόν είναι μία πλατφόρμα αναγνώρισης προσώπου, η οποία επιτρέπει
στους χρήστες να αντιστοιχίσουν φωτογραφίες προσώπων που υπάρχουν στη βάση
δεδομένων της εταιρείας με φωτογραφίες τους που υπάρχουν στο διαδίκτυο. Η πλατφόρμα
της, σύμφωνα με όσα η ίδια δηλώνει στην ιστοσελίδα της 1, «υποστηρίζεται από τεχνολογία
αναγνώρισης προσώπου και περιλαμβάνει τη μεγαλύτερη γνωστή βάση δεδομένων που
περιέχει περισσότερες από δέκα (10) δισεκατομμύρια εικόνες προσώπων, οι οποίες
προέρχονται από δημόσιες διαδικτυακές πηγές, περιλαμβανομένων ειδήσεων, ιστοσελίδων,
φωτογραφιών σήμανσης, δημόσιων μέσων κοινωνικής δικτύωσης και άλλων δημόσιων
πηγών.».
Στην υπό εξέταση καταγγελία αναφέρεται ότι σύμφωνα με δημόσια διαθέσιμες πηγές2 και
τα συμπεράσματα στα οποία κατέληξαν άλλες εποπτικές αρχές της ΕΕ, οι οποίες εξέτασαν
παρόμοιες με την υπό κρίση καταγγελίες κατά της Clearview AI, Inc. 3, το εργαλείο
αναγνώρισης προσώπου που παρέχει η καθ΄ης λειτουργεί ως εξής:
1. Η εταιρεία συλλέγει, μέσω της χρήσης τεχνικών “web scraping” (όρος που αποδίδεται
στα Ελληνικά ως «ιστοσυγκομιδή»), εικόνες που περιέχουν ανθρώπινα πρόσωπα από
κοινωνικά δίκτυα (ιδίως Facebook και Twitter), ιστολόγια και γενικά ιστοσελίδες στις
1
https://www.clearview.ai/overview (ανάκτηση στις 26/5/2022 - μετάφραση από τα αγγλικά)
2
Βλ. Κοινή έρευνα της Clearview από τις Εποπτικές Αρχές προστασίας προσωπικών δεδομένων του Καναδά,
του Κεμπέκ, της Βρετανικής Κολομβίας και της Αλμπέρτα, https://www.priv.gc.ca/en/opc-actions-and-
decisions/investigations/investigations-into-businesses/2021/pipeda-2021-001/#toc7. Επίσης βλ. Αναζήτηση
στο Μητρώο του Γραφείου Ευρεσιτεχνιών και Εμπορικών Σημάτων των ΗΠΑ
https://tmsearch.uspto.gov/bin/showfield?f=doc&state=4803:tnmzul.2.1
3
Βλ. Απόφαση της Εποπτικής Αρχής προστασίας προσωπικών δεδομένων του Αμβούργου
https://noyb.eu/sites/default/files/2021-01/545_2020_Anh%C3%B6rung_CVAI_ENG_Redacted.PDF. Απόφαση του
Garante https://edpb.europa.eu/news/national-news/2022/facial-recognition-italian-sa-fines-clearview-ai-eur-
20-million_en. Aπόφαση της CNIL https://www.cnil.fr/en/facial-recognition-cnil-orders-clearview-ai-stop-
reusing-photographs-available-internet.
4
οποίες υπάρχουν δημόσια προσβάσιμες φωτογραφίες, καθώς και από βίντεο που
είναι διαθέσιμα στο διαδίκτυο (π.χ. Youtube). Μαζί με τις εικόνες αυτές, η εταιρεία
συλλέγει επίσης πληροφορίες που εξάγει από αυτές τις φωτογραφίες,
συμπεριλαμβανομένων μεταδεδομένων γεωγραφικής τοποθεσίας που μπορεί να
περιέχει η φωτογραφία και πληροφοριών που προέρχονται από την εμφάνιση του
προσώπου των ατόμων στις φωτογραφίες 4. Οι ως άνω πληροφορίες αποθηκεύονται
στη βάση δεδομένων της Clearview.
2. H εταιρεία επεξεργάζεται τις εικόνες χρησιμοποιώντας ειδικές τεχνικές, ώστε κάθε
πρόσωπο που εμφαίνεται σε φωτογραφία, να μετατραπεί σε ορισμένη αριθμητική
ακολουθία, η οποία καλείται «διάνυσμα» και είναι αναγνωρίσιμη από μηχανές.
3. Οι ως άνω αριθμητικές ακολουθίες αποθηκεύονται στη βάση δεδομένων της
εταιρείας και κατακερματίζονται αφενός για την καταλογοποίηση της βάσης
δεδομένων, αφετέρου για τη μελλοντική αναγνώριση προσώπων. Έτσι, κάθε
πρόσωπο στη βάση δεδομένων διαθέτει ένα ξεχωριστό διάνυσμα και μια
κατακερματισμένη τιμή που σχετίζεται με αυτό.
4. Όταν ένας χρήστης των υπηρεσιών της Clearview επιθυμεί να αναγνωρίσει ένα
πρόσωπο, αναρτά μια εικόνα του και διενεργεί μια αναζήτηση. Η Clearview αναλύει
την εικόνα αυτή και εξάγει ένα διάνυσμα για το πρόσωπο επί της εικόνας, το οποίο
στη συνέχεια κατακερματίζει και συγκρίνει έναντι όλων των κατακερματισμένων
διανυσμάτων που υπάρχουν αποθηκευμένα στη βάση δεδομένων της. Τέλος, η
εταιρεία εξάγει κάθε ταυτοποιημένη εικόνα από τη βάση δεδομένων της και παρέχει
μια λίστα αποτελεσμάτων, που περιέχει όλες τις αντίστοιχες εικόνες και
μεταδεδομένα. Εάν ένας χρήστης κάνει κλικ σε οποιοδήποτε από αυτά τα
αποτελέσματα, κατευθύνεται στην αρχική σελίδα πηγής της εικόνας.
Τέλος, η Αρχή κάλεσε με τη με αριθ. πρωτ. Γ/ΕΞΕ/887/11-04-2022 κλήση την καταγγελλόμενη
εταιρεία, αποστέλλοντας συγχρόνως σε μετάφραση προς την αγγλική γλώσσα και την
επίμαχη καταγγελία, ώστε να ακουστεί στο πλαίσιο της από 19-04-2022 ακρόασης -
4
Βλ. ισχύουσα (κατά την ημερομηνία διάσκεψης) Πολιτική Ιδιωτικότητας της Clearview AI, Inc.
https://www.clearview.ai/privacy-policy
5
τηλεσυνεδριάσεως της Ολομέλειας της Αρχής. Ωστόσο, η καταγγελλόμενη εταιρεία δεν
παρέστη και ακολούθως η Αρχή, προχώρησε στην εξέταση των στοιχείων του φακέλου, και,
αφού άκουσε τους εισηγητές και τις διευκρινίσεις από τους βοηθούς εισηγητών, και κατόπιν
διεξοδικής συζητήσεως,
ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
1. Σύμφωνα με τη διάταξη του άρθρου 3 παρ. 2 στοιχ. β’ ΓΚΠΔ, «ο παρών κανονισμός
εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα υποκειμένων των
δεδομένων που βρίσκονται στην Ένωση από υπεύθυνο επεξεργασίας ή εκτελούντα την
επεξεργασία μη εγκατεστημένο στην Ένωση, εάν οι δραστηριότητες επεξεργασίας
σχετίζονται με: β) την παρακολούθηση της συμπεριφοράς τους, στον βαθμό που η
συμπεριφορά αυτή λαμβάνει χώρα εντός της Ένωσης.».
Συναφώς, η αιτιολογική σκέψη 24 του ΓΚΠΔ προβλέπει, σε σχέση με την υπαγωγή μιας
επεξεργασίας στο εδαφικό πεδίο εφαρμογής του ΓΚΠΔ βάσει του άρθρου 3 παρ. 2 στοιχ. β’,
ότι «…για τον καθορισμό του κατά πόσον μια δραστηριότητα επεξεργασίας μπορεί να
θεωρηθεί ότι παρακολουθεί τη συμπεριφορά υποκειμένου των δεδομένων, θα πρέπει να
εξακριβωθεί κατά πόσον φυσικά πρόσωπα παρακολουθούνται στο Διαδίκτυο,
συμπεριλαμβανομένης της δυνητικής μετέπειτα χρήσης τεχνικών επεξεργασίας δεδομένων
προσωπικού χαρακτήρα οι οποίες συνίστανται στη διαμόρφωση του «προφίλ» ενός φυσικού
προσώπου, ιδίως με σκοπό να ληφθούν αποφάσεις που το αφορούν ή να αναλυθούν ή να
προβλεφθούν οι προσωπικές προτιμήσεις, οι συμπεριφορές και οι νοοτροπίες του.»
Οι Κατευθυντήριες Γραμμές 3/2018 του ΕΣΠΔ σχετικά με το εδαφικό πεδίο εφαρμογής του
ΓΚΠΔ διευκρινίζουν σχετικά ότι «σε αντίθεση με τη διάταξη του άρθρου 3 παράγραφος 2
στοιχείο α), ούτε το άρθρο 3 παράγραφος 2 στοιχείο β) ούτε η αιτιολογική σκέψη 24 θεσπίζει
ρητώς απαιτούμενο βαθμό «πρόθεσης στόχευσης» εκ μέρους του υπευθύνου επεξεργασίας
ή του εκτελούντος την επεξεργασία προκειμένου να προσδιορίζεται αν η δραστηριότητα
παρακολούθησης θα μπορούσε να ενεργοποιήσει την εφαρμογή του ΓΚΠΔ στις
δραστηριότητες επεξεργασίας. Ωστόσο, με τη χρήση της λέξης «παρακολούθηση»
υπονοείται ότι ο υπεύθυνος της επεξεργασίας έχει συγκεκριμένη πρόθεση κατά νου για τη
συλλογή και τη μετέπειτα περαιτέρω χρήση των συναφών δεδομένων σχετικά με τη
συμπεριφορά ενός προσώπου εντός της ΕΕ. Το ΕΣΠΔ δεν θεωρεί ότι κάθε διαδικτυακή
συλλογή ή ανάλυση δεδομένων προσωπικού χαρακτήρα προσώπων στην ΕΕ λογίζεται
6
αυτομάτως ως «παρακολούθηση». Είναι απαραίτητο να εξετάζεται ο σκοπός του υπευθύνου
επεξεργασίας για την επεξεργασία των δεδομένων και, ειδικότερα, για κάθε μετέπειτα χρήση
τεχνικών ανάλυσης συμπεριφοράς ή διαμόρφωσης προφίλ που περιλαμβάνουν τα εν λόγω
δεδομένα. Το ΕΣΠΔ λαμβάνει υπόψη τη διατύπωση της αιτιολογικής σκέψης 24, στην οποία
αναφέρεται ότι για τον καθορισμό του κατά πόσον η επεξεργασία μπορεί να θεωρηθεί ότι
παρακολουθεί τη συμπεριφορά υποκειμένου των δεδομένων, βασική παράμετρο αποτελεί
η παρακολούθηση φυσικών προσώπων στο διαδίκτυο, συμπεριλαμβανομένης της δυνητικής
μετέπειτα χρήσης τεχνικών διαμόρφωσης προφίλ.».
2. Το άρθρο 4 στοιχ. 1 του ΓΚΠΔ ορίζει ως δεδομένο προσωπικού χαρακτήρα κάθε
πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο
των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα
μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο
ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό
αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη
σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική
ταυτότητα του εν λόγω φυσικού προσώπου.
3. Περαιτέρω, σύμφωνα με το άρθρο 4 στοιχ. 4 ΓΚΠΔ, ως κατάρτιση προφίλ νοείται
«οποιαδήποτε μορφή αυτοματοποιημένης επεξεργασίας δεδομένων προσωπικού
χαρακτήρα που συνίσταται στη χρήση δεδομένων προσωπικού χαρακτήρα για την
αξιολόγηση ορισμένων προσωπικών πτυχών ενός φυσικού προσώπου, ιδίως για την ανάλυση
ή την πρόβλεψη πτυχών που αφορούν την απόδοση στην εργασία, την οικονομική
κατάσταση, την υγεία, τις προσωπικές προτιμήσεις, τα ενδιαφέροντα, την αξιοπιστία, τη
συμπεριφορά, τη θέση ή τις μετακινήσεις του εν λόγω φυσικού προσώπου».
Συναφώς, οι Κατευθυντήριες γραμμές για την αυτοματοποιημένη λήψη αποφάσεων και την
κατάρτιση προφίλ για τους σκοπούς του κανονισμού 2016/679 της Ομάδας Εργασίας του
άρθρου 29 διευκρινίζουν ότι η κατάρτιση προφίλ πρέπει: α) να είναι αυτοματοποιημένη
μορφή επεξεργασίας, β) να αφορά δεδομένα προσωπικού χαρακτήρα, και γ) να έχει ως
στόχο την αξιολόγηση προσωπικών πτυχών ενός φυσικού προσώπου, ενώ τονίζουν ότι «η
ευρεία διαθεσιμότητα δεδομένων προσωπικού χαρακτήρα στο διαδίκτυο και από συσκευές
του διαδικτύου των πραγμάτων (IoT), καθώς και η ικανότητα εύρεσης συσχετισμών και
δημιουργίας συνδέσμων, μπορούν να επιτρέψουν τον προσδιορισμό, την ανάλυση και την
7
πρόβλεψη πτυχών της προσωπικότητας ή της συμπεριφοράς και των ενδιαφερόντων και
συνηθειών ενός φυσικού προσώπου» 5.
4. Σύμφωνα με το άρθρο 4 παρ. 14 ΓΚΠΔ, ως βιομετρικά δεδομένα νοούνται «δεδομένα
προσωπικού χαρακτήρα τα οποία προκύπτουν από ειδική τεχνική επεξεργασία συνδεόμενη
με φυσικά, βιολογικά ή συμπεριφορικά χαρακτηριστικά φυσικού προσώπου και τα οποία
επιτρέπουν ή επιβεβαιώνουν την αδιαμφισβήτητη ταυτοποίηση του εν λόγω φυσικού
προσώπου, όπως εικόνες προσώπου ή δακτυλοσκοπικά δεδομένα.».
Επιπλέον, σύμφωνα με το άρθρο 9 παρ. 1 ΓΚΠΔ, στις ειδικές κατηγορίες προσωπικών
δεδομένων που χρήζουν ειδικής προστασίας, περιλαμβάνονται και τα βιομετρικά δεδομένα
με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου.
Συναφώς, η αιτιολογική σκέψη 51 του ΓΚΠΔ διευκρινίζει ότι οι φωτογραφίες προσώπων
καλύπτονται από τον ορισμό των βιομετρικών δεδομένων μόνο σε περίπτωση επεξεργασίας
μέσω ειδικών τεχνικών μέσων που επιτρέπουν την αδιαμφισβήτητη ταυτοποίηση ή
επαλήθευση της ταυτότητας ενός φυσικού προσώπου.
5. Σύμφωνα με το άρθρο 55 παρ. 1 ΓΚΠΔ, «κάθε εποπτική αρχή είναι αρμόδια να εκτελεί τα
καθήκοντα και να ασκεί τις εξουσίες που της ανατίθενται σύμφωνα με τον παρόντα
κανονισμό στο έδαφος του κράτους μέλους της.».
Το άρθρο 56 παρ. 1 ΓΚΠΔ ορίζει ότι «με την επιφύλαξη του άρθρου 55, η εποπτική αρχή της
κύριας ή της μόνης εγκατάστασης του υπευθύνου επεξεργασίας ή του εκτελούντος την
επεξεργασία είναι αρμόδια να ενεργεί ως επικεφαλής εποπτική αρχή για τις διασυνοριακές
πράξεις επεξεργασίας του εν λόγω υπευθύνου επεξεργασίας ή του εκτελούντος την
επεξεργασία σύμφωνα με τη διαδικασία που προβλέπεται στο άρθρο 60.»
Ο μηχανισμός συνεργασίας του ΓΚΠΔ (άρ. 60 επ. ΓΚΠΔ) εφαρμόζεται μόνο σε περίπτωση
υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία με μία ή περισσότερες
εγκαταστάσεις στην ΕΕ 6. Ομοίως προβλέπει και η αιτιολογική σκέψη 122 του ΓΚΠΔ,
5
Κατευθυντήριες γραμμές για την αυτοματοποιημένη λήψη αποφάσεων και την κατάρτιση προφίλ για τους
σκοπούς του κανονισμού 2016/679 της Ομάδας Εργασίας του άρθρου 29, WP251αναθ.01, 3 Οκτωβρίου 2017
όπως τελικώς αναθεωρήθηκε και εκδόθηκε στις 6 Φεβρουαρίου 2018, σελ. 5, 7,
https://ec.europa.eu/newsroom/article29/items/612053
6
Βλ. Κατευθυντήριες Γραμμές της ΟΕ του άρ. 29 για τον προσδιορισμό της επικεφαλής αρχής υπευθύνου
επεξεργασίας ή εκτελούντος την επεξεργασία, WP 244,
https://ec.europa.eu/newsroom/article29/document.cfm?doc_id=44102
8
σύμφωνα με την οποία, «Κάθε εποπτική αρχή θα πρέπει να είναι αρμόδια, στο έδαφος του
κράτους μέλους στο οποίο υπάγεται, να ασκεί τις εξουσίες και να εκτελεί τα καθήκοντα που
της ανατίθενται σύμφωνα με τον παρόντα κανονισμό. Αυτό θα πρέπει να καλύπτει ιδίως την
επεξεργασία (….) που διενεργείται από υπεύθυνο επεξεργασίας ή εκτελούντα την
επεξεργασία μη εγκατεστημένο στην Ένωση, όταν στοχεύει υποκείμενα των δεδομένων που
διαμένουν στο έδαφός της.».
Συνεπώς, στην περίπτωση υπευθύνου επεξεργασίας χωρίς εγκατάσταση στην ΕΕ, ο οποίος
εμπίπτει στο πεδίο εφαρμογής του ΓΚΠΔ βάσει του κριτηρίου στόχευσης που τίθεται με τη
διάταξη του άρθρου 3 παρ. 2 ΓΚΠΔ, κάθε εθνική εποπτική αρχή είναι αρμόδια να ελέγξει την
τήρηση του ΓΚΠΔ από αυτόν στο έδαφος του κράτους μέλους της.
6. Στις περιπτώσεις που εφαρμόζεται το άρθρο 3 παρ. 2 του ΓΚΠΔ, το άρθρο 27 προβλέπει
ότι ο υπεύθυνος επεξεργασίας υποχρεούται να ορίσει γραπτώς εκπρόσωπο στην ΕΕ, ο
οποίος πρέπει να είναι εγκατεστημένος σε ένα από τα κράτη μέλη όπου βρίσκονται τα
υποκείμενα των δεδομένων, των οποίων τα δεδομένα υποβάλλονται σε επεξεργασία σε
σχέση με προσφορά αγαθών ή υπηρεσιών προς αυτά ή των οποίων η συμπεριφορά
παρακολουθείται, εκτός αν συντρέχει κάποια από τις εξαιρέσεις που προβλέπονται στην
παράγραφο 2 του εν λόγω άρθρου 27.
Ο εκπρόσωπος, όπως διευκρινίζει η αιτιολογική σκέψη 80, πρέπει να ενεργεί για λογαριασμό
του υπευθύνου επεξεργασίας, και σε αυτόν μπορεί να απευθύνεται κάθε εποπτική αρχή. Ο
εκπρόσωπος ορίζεται με γραπτή εντολή του υπευθύνου επεξεργασίας να ενεργεί εξ
ονόματός του όσον φορά τις υποχρεώσεις του, δυνάμει του ΓΚΠΔ. Οι Κατευθυντήριες
Γραμμές 3/2018 του ΕΣΠΔ σχετικά με το εδαφικό πεδίο εφαρμογής του ΓΚΠΔ ορίζουν ότι
αυτό συνεπάγεται κυρίως τις υποχρεώσεις που αφορούν την άσκηση των δικαιωμάτων των
υποκειμένων των δεδομένων, και σε αυτό το πλαίσιο την παροχή της ταυτότητας και των
στοιχείων επικοινωνίας του εκπροσώπου στα υποκείμενα των δεδομένων σύμφωνα με τις
διατάξεις των άρθρων 13 και 14 ΓΚΠΔ. Παρότι δεν είναι ο ίδιος υπεύθυνος για τη
συμμόρφωση προς τα δικαιώματα των υποκειμένων των δεδομένων, ο εκπρόσωπος πρέπει
να διευκολύνει την επικοινωνία μεταξύ των υποκειμένων και του εκπροσωπούμενου
υπευθύνου επεξεργασίας, ώστε να διασφαλίζεται η αποτελεσματική άσκηση των
δικαιωμάτων των υποκειμένων. Όπως διευκρινίζεται στην αιτιολογική σκέψη 80, ο
εκπρόσωπος πρέπει επίσης να υπόκειται σε διαδικασίες επιβολής σε περίπτωση μη
9
συμμόρφωσης από τον υπεύθυνο επεξεργασίας. Αυτό σημαίνει στην πράξη ότι πρέπει να
διασφαλίζεται η δυνατότητα μιας εποπτικής αρχής να επικοινωνεί με τον εκπρόσωπο για
οποιοδήποτε θέμα, το οποίο αφορά τις υποχρεώσεις συμμόρφωσης υπευθύνου
επεξεργασίας εγκατεστημένου εκτός της ΕΕ και ότι ο εκπρόσωπος πρέπει να είναι σε θέση
να διευκολύνει κάθε ανταλλαγή πληροφοριών ή διαδικασιών μεταξύ της αιτούσας
εποπτικής αρχής και του υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία
εγκατεστημένου εκτός της ΕΕ.
7. Με το άρθρο 5 παρ. 1 του ΓΚΠΔ τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία.
Ειδικότερα, στην παράγραφο 1 ορίζεται ότι: «1. Τα δεδομένα προσωπικού χαρακτήρα: α)
υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το
υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), […] ε)
διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων
μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων
προσωπικού χαρακτήρα («περιορισμός της περιόδου αποθήκευσης»)». Για να διασφαλιστεί
δε ότι τα δεδομένα δεν διατηρούνται περισσότερο από όσο είναι αναγκαίο, η αιτιολογική
σκέψη 39 διευκρινίζει ότι ο υπεύθυνος επεξεργασίας πρέπει να ορίζει προθεσμίες για τη
διαγραφή τους ή για την περιοδική επανεξέτασή τους.
Σύμφωνα δε με την αρχή της λογοδοσίας που εισάγεται με τη δεύτερη παράγραφο του
αυτού ως άνω άρθρου, ορίζεται ρητώς ότι ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και
είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Η αρχή
αυτή, η οποία συνιστά ακρογωνιαίο λίθο του ΓΚΠΔ, συνεπάγεται την υποχρέωση του
υπευθύνου επεξεργασίας να δύναται όπως αποδείξει συμμόρφωση, συμπεριλαμβανομένης
της νομικής τεκμηρίωσης κάθε πράξης επεξεργασίας που διενεργεί σύμφωνα με τις νομικές
βάσεις που παρέχει ο ΓΚΠΔ και το εθνικό δίκαιο προστασίας δεδομένων.
Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη, μόνο εάν ισχύει
τουλάχιστον μία από τις προϋποθέσεις που τίθενται στο άρθρο 6 παρ. 1 του ΓΚΠΔ, όπως: «α)
το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων
προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, β) η
επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των
δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ' αίτηση του υποκειμένου
των δεδομένων πριν από τη σύναψη σύμβασης, γ) η επεξεργασία είναι απαραίτητη για τη
10
συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας, δ) η επεξεργασία είναι
απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή
άλλου φυσικού προσώπου, (…), στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των
έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι
των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι
ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων
προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί». Εφόσον μία
εκ των παραπάνω προϋποθέσεων συντρέχει, τότε αυτή αποτελεί και τη νομική βάση για την
επεξεργασία.
Συναφώς με την αρχή της διαφάνειας, η αιτιολογική σκέψη 39 του ΓΚΠΔ προβλέπει, μεταξύ
άλλων, ότι «θα πρέπει να είναι σαφές για τα φυσικά πρόσωπα ότι δεδομένα προσωπικού
χαρακτήρα που τα αφορούν, συλλέγονται, χρησιμοποιούνται, λαμβάνονται υπόψη ή
υποβάλλονται κατ' άλλο τρόπο σε επεξεργασία, καθώς και σε ποιο βαθμό τα δεδομένα
προσωπικού χαρακτήρα υποβάλλονται ή θα υποβληθούν σε επεξεργασία. Η αρχή αυτή
απαιτεί κάθε πληροφορία και ανακοίνωση σχετικά με την επεξεργασία των εν λόγω
δεδομένων προσωπικού χαρακτήρα να είναι εύκολα προσβάσιμη και κατανοητή και να
χρησιμοποιεί σαφή και απλή γλώσσα.». Όπως επίσης διευκρινίζει η αιτιολογική σκέψη 60, η
οποία αναφέρεται στα δικαιώματα ενημέρωσης, τα οποία πραγματώνουν, μεταξύ άλλων,
την αρχή της διαφάνειας 7, «οι αρχές της δίκαιης και διαφανούς επεξεργασίας απαιτούν να
ενημερώνεται το υποκείμενο των δεδομένων για την ύπαρξη της πράξης επεξεργασίας και
τους σκοπούς της.».
8. Περαιτέρω, όπως διευκρινίζει η αιτιολογική σκέψη 51 του ΓΚΠΔ, οι ειδικές κατηγορίες
δεδομένων χρήζουν ειδικής προστασίας, καθότι το πλαίσιο της επεξεργασίας τους θα
μπορούσε να δημιουργήσει σημαντικούς κινδύνους για τα θεμελιώδη δικαιώματα και τις
ελευθερίες. Ενώ, λοιπόν, προκειμένου να είναι νόμιμη η επεξεργασία των «απλών»
προσωπικών δεδομένων, αρκεί να συντρέχει μία από τις νομικές βάσεις του άρθρου 6, όσον
αφορά τις ειδικές κατηγορίες δεδομένων, η επεξεργασία τους, καταρχήν, απαγορεύεται και
επιτρέπεται, μόνο εάν σωρευτικά συντρέχει κάποια από τις νομικές βάσεις του άρθρου 6 και
κάποια από τις εξαιρέσεις του άρθρου 9 παρ. 2 ΓΚΠΔ. Η άποψη αυτή υιοθετείται τόσο από
7
Βλ. και τις Κατευθυντήριες γραμμές σχετικά με τη διαφάνεια βάσει του κανονισμού 2016/679 της ΟΕ του άρ.
29, WP 260, σελ. 7.
11
τη Γνώμη 6/2014 της ΟΕ του άρθρου 29 σχετικά με την έννοια των εννόμων συμφερόντων
του υπευθύνου επεξεργασίας κατ’ άρθρο 7 της Οδηγίας 95/46 8, όσο και από το ΕΣΠΔ στις
Κατευθυντήριες γραμμές 8/2020 σχετικά με τη στόχευση χρηστών μέσων κοινωνικής
δικτύωσης 9. Συνεπώς, δεν είναι νόμιμη η επεξεργασία ειδικών κατηγοριών δεδομένων αν
δεν τηρείται το άρθρο 6, και συντρέχουν μόνο οι εξαιρέσεις που αναφέρονται στο άρθρο 9.
Σε αυτό το πνεύμα, η Γνώμη 6/2014 της ΟΕ του άρθρου 29 σχετικά με την έννοια των
εννόμων συμφερόντων του υπευθύνου επεξεργασίας κατ’ άρθρο 7 της Οδηγίας 95/46
τονίζει ότι «θα ήταν λάθος να συμπεράνουμε ότι το γεγονός ότι κάποιος έχει προδήλως
δημοσιοποιήσει ειδικές κατηγορίες δεδομένων σύμφωνα με το άρθρο 8 παράγραφος 2
στοιχείο ε) της Οδηγίας 95/46 (σήμερα του άρθρου 9 παρ. 2 στοιχ. ε’ ΓΚΠΔ) θα ήταν -πάντα
αυτό καθαυτό- επαρκής συνθήκη για να επιτραπεί κάθε είδος επεξεργασίας δεδομένων
χωρίς αξιολόγηση της στάθμισης των διακυβευόμενων συμφερόντων και δικαιωμάτων, όπως
απαιτείται από το άρθρο 7 στοιχ. στ’ της Οδηγίας 95/46 (σήμερα του άρθρου 6 παρ. 1 στοιχ.
στ’ ΓΚΠΔ) 10.
9. Το δικαίωμα ενημέρωσης που κατοχυρώνεται στα άρθρα 13 και 14 ΓΚΠΔ, προβλέπει, στην
περίπτωση που τα δεδομένα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων (άρ. 14
παρ. 3 στοιχ. α’), ότι ο υπεύθυνος επεξεργασίας παρέχει τις πληροφορίες που αναφέρονται
στις παραγράφους 1 και 2 (ταυτότητα υπευθύνου επεξεργασίας, σκοποί και νομική βάση
επεξεργασίας, κατηγορίες δεδομένων, κ.α.) «εντός εύλογης προθεσμίας από τη συλλογή των
δεδομένων προσωπικού χαρακτήρα, αλλά το αργότερο εντός ενός μηνός, λαμβάνοντας
υπόψη τις ειδικές συνθήκες υπό τις οποίες τα δεδομένα προσωπικού χαρακτήρα
υποβάλλονται σε επεξεργασία». Ειδικότερα, όπως αποσαφηνίζουν οι Κατευθυντήριες
γραμμές σχετικά με τη διαφάνεια βάσει του κανονισμού 2016/679 της ΟΕ του άρ. 29, «το
υποκείμενο των δεδομένων θα πρέπει να είναι σε θέση να προσδιορίζει εκ των προτέρων το
πεδίο εφαρμογής της επεξεργασίας και τις συνέπειες που αυτή συνεπάγεται, και δεν θα
8
Βλ. Γνώμη 6/2014 σχετικά με την έννοια των εννόμων συμφερόντων του υπευθύνου επεξεργασίας κατ’
άρθρο 7 της Οδηγίας 95/46 σελ. 14.
9
Βλ. Κατευθυντήριες γραμμές 8/2020 σχετικά με τη στόχευση χρηστών μέσων κοινωνικής δικτύωσης, σελ. 40.
10
Bλ. Συναφώς και απόφαση ΔΕΕ, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde
κατά Rīgas pašvaldības SIA «Rīgas satiksme», 4 Μαΐου 2017, σχετικά με τις προϋποθέσεις οι οποίες πρέπει να
πληρούνται σωρευτικώς προκειμένου να είναι σύννομη η επεξεργασία δεδομένων επί τη βάσει των «εννόμων
συμφερόντων».
12
πρέπει να εκπλήσσεται σε μεταγενέστερο στάδιο όσον αφορά τους τρόπους με τους οποίους
έχουν χρησιμοποιηθεί τα δεδομένα προσωπικού χαρακτήρα του.»
10. Σύμφωνα με το άρθρο 15 παρ. 1, 3 και 4 του ΓΚΠΔ «1. Το υποκείμενο των δεδομένων έχει
το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον
ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν
συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα στις
ακόλουθες πληροφορίες».
To άρθρο δε 12 παρ. 2, 3 και 4 ΓΚΠΔ προβλέπει ότι «Ο υπεύθυνος επεξεργασίας διευκολύνει
την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων που προβλέπονται στα
άρθρα 15 έως 22. […] 3. Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων
πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των
άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την
παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες,
εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του
αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των
δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς
και για τους λόγους της καθυστέρησης. […] 4. Εάν ο υπεύθυνος επεξεργασίας δεν ενεργήσει
επί του αιτήματος του υποκειμένου των δεδομένων, ενημερώνει εντός μηνός από την
παραλαβή του αιτήματος το υποκείμενο των δεδομένων για τους λόγους, για τους οποίους
δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης
δικαστικής προσφυγής».
11. Στην υπό κρίση περίπτωση, όπως προκύπτει από την πολιτική ιδιωτικότητας της καθ’ ης
(διαθέσιμη στο https://www.clearview.ai/privacy-policy), η τελευταία συλλέγει
«πληροφορίες που προέρχονται από δημοσίως διαθέσιμες φωτογραφίες: Στο πλαίσιο των
συνήθων επιχειρηματικών δραστηριοτήτων της η Clearview συλλέγει φωτογραφίες που είναι
δημόσια διαθέσιμες στο Διαδίκτυο. Η Clearview μπορεί να εξάγει πληροφορίες από αυτές τις
φωτογραφίες, συμπεριλαμβανομένων μεταδεδομένων γεωγραφικής τοποθεσίας που
μπορεί να περιέχει η φωτογραφία και πληροφορίες που προέρχονται από την εμφάνιση του
προσώπου των ατόμων στις φωτογραφίες» (“We collect: Information derived from publicly
available photos: As part of Clearview’s normal business operations, it collects photos that are
publicly available on the Internet. Clearview may extract information from those photos
13
including such geolocation metadata as the photo may contain and information derived
from the facial appearance of individuals in the photos.”).
Οι ως άνω φωτογραφίες συνιστούν αδιαμφισβήτητα δεδομένα προσωπικού χαρακτήρα,
όπως αυτά ορίζονται στο άρθρο 4 στοιχ. 1 του ΓΚΠΔ, καθόσον επιτρέπουν την ταυτοποίηση
ενός φυσικού προσώπου μέσω της αναφοράς σε έναν ή περισσότερους παράγοντες που
προσιδιάζουν στη σωματική ή φυσιολογική ταυτότητά του. Στο ίδιο συμπέρασμα έχει
καταλήξει και το ΔΕΕ, το οποίο έχει κρίνει ότι «η εικόνα ενός προσώπου την οποία
καταγράφει μία κάμερα, συνιστά δεδομένο προσωπικού χαρακτήρα κατά την έννοια της ως
άνω διατάξεως (του άρθρου 2 στοιχ. α’ της Οδηγίας 95/46) στον βαθμό που παρέχει τη
δυνατότητα ταυτοποιήσεως του συγκεκριμένου προσώπου.» 11
Περαιτέρω, από την ως άνω πολιτική ιδιωτικότητας της καθ’ ης, προκύπτει ότι αυτή συλλέγει
φωτογραφίες που είναι δημόσια διαθέσιμες στο Διαδίκτυο αδιακρίτως, χωρίς να εφαρμόζει
κάποιο γεωγραφικό κριτήριο επιλογής. Αυτή δε η ευρύτητα της συλλογής αποτελεί εγγενές
χαρακτηριστικό της υπηρεσίας που η καθ’ ης εμπορεύεται. Αξίζει μάλιστα να τονιστεί ότι σε
προηγούμενες εκδόσεις της πολιτικής ιδιωτικότητάς της12, ανέφερε ρητά ότι συλλέγει
δεδομένα υποκειμένων ευρισκομένων στην ΕΕ.
12. Όσον αφορά στη συσχέτιση των δραστηριοτήτων επεξεργασίας της καθ’ ης με την
παρακολούθηση της συμπεριφοράς των υποκειμένων στην ΕΕ, κρίσιμο ζήτημα είναι αν τα εν
λόγω υποκείμενα παρακολουθούνται στο διαδίκτυο.
Η επεξεργασία, στην οποία προβαίνει η καθ’ ης, έχει ως αποτέλεσμα την παραγωγή ενός
αποτελέσματος αναζήτησης -με βάση ορισμένη φωτογραφία που αναρτά ο χρήστης των
υπηρεσιών της- το οποίο περιέχει το σύνολο των φωτογραφιών που έχουν κοινό
κατακερματισμένο διάνυσμα με την αναρτημένη από το χρήστη φωτογραφία. Με αυτόν
τον τρόπο, δημιουργείται ένα προφίλ σχετικά με ορισμένο πρόσωπο, το οποίο αποτελείται
από τις φωτογραφίες, στις οποίες εμφανίζεται το πρόσωπο αυτό, αλλά και τα μεταδεδομένα
αυτών, δηλαδή τις διευθύνσεις URL των ιστοσελίδων, όπου βρίσκονται οι φωτογραφίες
αυτές. Ο συσχετισμός των φωτογραφιών αυτών και του πλαισίου, στο οποίο αυτές
παρουσιάζονται σε ορισμένο δικτυακό τόπο, επιτρέπει τη συλλογή πολλών πληροφοριών
11
Υπόθεση C-212/2013, František Ryneš κατά Úřad pro ochranu osobních údajů.
12
Σε ισχύ στις 29.1.2020.
14
για το πρόσωπο, τις συνήθειες και τις προτιμήσεις του. Ιδίως, όταν μια φωτογραφία είναι
αναρτημένη στα κοινωνικά δίκτυα ή σε κάποια ιστοσελίδα, η οποία δημοσιεύει
αρθρογραφία, ή σε κάποιο ιστολόγιο, αυτό μπορεί να έχει ως αποτέλεσμα τη συλλογή
πληροφοριών που επιτρέπουν τον προσδιορισμό της συμπεριφοράς του προσώπου. Η
ανάλυση των παραπάνω πληροφοριών που ένα πρόσωπο επιλέγει να δημοσιοποιήσει στο
διαδίκτυο και το πλαίσιο, εντός του οποίου επιλέγει να τις δημοσιοποιήσει, επιτρέπει τελικά
τον προσδιορισμό της συμπεριφοράς του προσώπου αυτού στο διαδίκτυο με βάση τις
επιλογές έκθεσης της προσωπικής η επαγγελματικής του ζωής από τον ίδιο.
Συνακόλουθα, η περιγραφείσα ως άνω αυτοματοποιημένη επεξεργασία προσωπικών
δεδομένων με στόχο την αξιολόγηση προσωπικών πτυχών ενός φυσικού προσώπου συνιστά
κατάρτιση προφίλ και η θέση αυτού στη διάθεση των χρηστών των υπηρεσιών της καθ’ ης,
οι οποίοι πραγματοποιούν αναζήτηση στην πλατφόρμα αναγνώρισης προσώπου της καθ’ ης,
αποτελεί παρακολούθηση στο διαδίκτυο. Ο ίδιος, άλλωστε, ο σκοπός του εργαλείου που
εμπορεύεται η καθ’ ης, είναι η παροχή της δυνατότητας αναγνώρισης και συλλογής
πληροφοριών σε σχέση με ορισμένο πρόσωπο. Οι εφαρμοζόμενες από την καθ’ ης τεχνικές
βιομετρικής επεξεργασίας που επιτρέπουν τη στόχευση ενός προσώπου, οδηγούν τελικά
στην κατάρτιση προφίλ αυτού, ως αποτέλεσμα της αναζήτησης που κάνει κάποιος χρήστης
του εργαλείου της καθ’ ης. Η αναζήτηση δε αυτή ανανεώνεται στο χρόνο, καθώς η βάση
δεδομένων επικαιροποιείται διαρκώς, πράγμα που επιτρέπει τη διαπίστωση της πιθανής
εξέλιξης των πληροφοριών που αφορούν σε συγκεκριμένο πρόσωπο, ιδίως, εάν τα
αποτελέσματα διαδοχικών αναζητήσεων συγκριθούν μεταξύ τους.
13. Η εταιρεία Clearview AI, Inc. εδρεύει στις ΗΠΑ, ενώ δεν έχει καμία εγκατάσταση στην
Ε.Ε.. Ο μηχανισμός συνεργασίας του ΓΚΠΔ (άρ. 60 επ. ΓΚΠΔ) εφαρμόζεται μόνο σε περίπτωση
υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία με μία ή περισσότερες
εγκαταστάσεις στην Ε.Ε. 13. Ομοίως προβλέπει και η αιτιολογική σκέψη 122 του ΓΚΠΔ,
σύμφωνα με την οποία, «Κάθε εποπτική αρχή θα πρέπει να είναι αρμόδια, στο έδαφος του
κράτους μέλους στο οποίο υπάγεται, να ασκεί τις εξουσίες και να εκτελεί τα καθήκοντα που
της ανατίθενται σύμφωνα με τον παρόντα κανονισμό. Αυτό θα πρέπει να καλύπτει ιδίως την
13
Βλ. Κατευθυντήριες Γραμμές της ΟΕ του άρ. 29 για τον προσδιορισμό της επικεφαλής αρχής υπευθύνου
επεξεργασίας ή εκτελούντος την επεξεργασία, WP 244,
https://ec.europa.eu/newsroom/article29/document.cfm?doc_id=44102
15
επεξεργασία (….) που διενεργείται από υπεύθυνο επεξεργασίας ή εκτελούντα την
επεξεργασία μη εγκατεστημένο στην Ένωση, όταν στοχεύει υποκείμενα των δεδομένων που
διαμένουν στο έδαφός της.».
Συνεπώς, στην περίπτωση της Clearview AI, Inc., η οποία δεν έχει εγκατάσταση στην Ε.Ε.,
αλλά εμπίπτει στο πεδίο εφαρμογής του ΓΚΠΔ βάσει του κριτηρίου στόχευσης που τίθεται
με τη διάταξη του άρθρου 3 παρ. 2 ΓΚΠΔ, κάθε εθνική εποπτική αρχή είναι αρμόδια να
ελέγξει την τήρηση του ΓΚΠΔ από αυτήν στο έδαφος του κράτους μέλους της, όπως
προεξετέθη.
14. Περαιτέρω, στην υπό εξέταση περίπτωση, εφόσον η Clearview AI, Inc. εμπίπτει στο πεδίο
εφαρμογής του ΓΚΠΔ, βάσει του άρθρου 3 παρ. 2 στοιχ. β’ χωρίς να έχει εγκατάσταση στην
Ε.Ε., έχει την υποχρέωση να ορίσει εκπρόσωπο στην Ε.Ε. σύμφωνα με το άρθρο 27 ΓΚΠΔ, την
οποία όμως δεν έχει εκπληρώσει.
15. Στην κρινόμενη περίπτωση, τα υποκείμενα, των οποίων τα δεδομένα υποβάλλονται σε
επεξεργασία από την καθ’ ης, δεν λαμβάνουν καμία ενημέρωση από την καθ’ ης, μέσω της
πολιτικής ιδιωτικότητας αυτής, σε σχέση με κανένα από τα στοιχεία που προβλέπει το άρθρο
14 ΓΚΠΔ, ούτε πριν αλλά ούτε καν μετά από την επεξεργασία. Για την ακρίβεια, τα
υποκείμενα των δεδομένων, είναι πιθανό να μην μάθουν ποτέ ότι τα δεδομένα τους
υποβλήθηκαν σε επεξεργασία από την καθ’ ης, παρά μόνο εάν τυχαία διαβάσουν κάποιο
δημοσίευμα σχετικά με τις πρακτικές της Clearview AI, Inc.
16. Η αρχή της νομιμότητας της επεξεργασίας έχει την έννοια ότι, προκειμένου να είναι
νόμιμη, η επεξεργασία στην οποία υποβάλλονται τα δεδομένα, πρέπει να στηρίζεται σε μία
από τις νόμιμες βάσεις που προβλέπονται στο άρθρο 6 ΓΚΠΔ.
Εν προκειμένω, από κανένα από τα στοιχεία του φακέλου δεν προκύπτει η συνδρομή
κάποιας από τις προβλεπόμενες στο άρθρο 6 νόμιμες βάσεις.
Ειδικότερα, δεν αποδεικνύεται -ούτε θα ήταν δυνατή με βάση τα χαρακτηριστικά της υπό
κρίση επεξεργασίας- η παροχή συγκατάθεσης από τα υποκείμενα (6 παρ. 1 στοιχ. α’ ΓΚΠΔ),
ούτε η εκτέλεση σύμβασης μεταξύ υποκειμένου και υπευθύνου επεξεργασίας (6 παρ. 1
στοιχ. β’ ΓΚΠΔ), ούτε η συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας (6
παρ. 1 στοιχ. γ’ ΓΚΠΔ), ούτε η διαφύλαξη ζωτικού συμφέροντος του υποκειμένου (6 παρ. 1
στοιχ. δ’ ΓΚΠΔ).
16
Όσον αφορά ειδικότερα την πιθανή εφαρμογή της νομικής βάσης κατά την παρ. 1 στοιχ. στ΄
του άρθρου αυτού, προβλέπεται μεν ότι η επεξεργασία είναι νόμιμη, όταν είναι απαραίτητη
για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή
τρίτος με την επιφύλαξη όμως ότι έναντι των συμφερόντων αυτών δεν υπερισχύει το
συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων
που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα. Σε σχέση με τη
διάταξη αυτή, η αιτιολογική σκέψη 47 του ΓΚΠΔ διευκρινίζει ότι, κατόπιν στάθμισης μεταξύ
των εννόμων συμφερόντων του υπευθύνου επεξεργασίας ή του τρίτου και των
συμφερόντων ή των θεμελιωδών δικαιωμάτων του υποκειμένου, πρέπει να μην
υπερισχύουν τα έννομα συμφέροντα του πρώτου έναντι των συμφερόντων ή των
δικαιωμάτων του υποκειμένου, λαμβάνοντας υπόψη τις θεμιτές προσδοκίες του
υποκειμένου βάσει της σχέσης του με τον υπεύθυνο επεξεργασίας.
Οι θεμιτές προσδοκίες του υποκειμένου σε σχέση με την επεξεργασία των δεδομένων του
τονίζονται ως παράγοντας που λαμβάνεται υπόψη κατά την ανωτέρω στάθμιση, και από την
ΟΕ του άρθρου 29 στη Γνώμη 6/2014 σχετικά με την έννοια των εννόμων συμφερόντων του
υπευθύνου επεξεργασίας κατ’ άρθρο 7 της Οδηγίας 95/46. Στην ίδια Γνώμη διευκρινίζεται
επίσης ότι τα προσωπικά δεδομένα εξακολουθούν να θεωρούνται προσωπικά δεδομένα και
να υπόκεινται στις απαραίτητες απαιτήσεις προστασίας, ακόμη και αν έχουν καταστεί
δημόσια. Τούτου λεχθέντος, το γεγονός ότι τα προσωπικά δεδομένα είναι δημόσια
διαθέσιμα μπορεί να θεωρηθεί ως κρίσιμος παράγοντας κατά την αξιολόγηση συνδρομής
έννομων συμφερόντων, ειδικά εάν η δημοσίευση πραγματοποιήθηκε με εύλογη προσδοκία
περαιτέρω χρήσης των δεδομένων για συγκεκριμένους σκοπούς (π.χ. για σκοπούς έρευνας
ή για σκοπούς που σχετίζονται με τη διαφάνεια και τη λογοδοσία).
Στην υπό εξέταση περίπτωση, με δεδομένο ότι δεν υφίσταται καμία σχέση των υποκειμένων
με την καθ’ ης, ούτε στοιχειοθετείται η ύπαρξη εύλογων προσδοκιών των υποκειμένων ότι
οι δημοσιοποιημένες στο διαδίκτυο φωτογραφίες τους πρόκειται να αποτελέσουν
αντικείμενο επεξεργασίας από μια πλατφόρμα αναγνώρισης προσώπου, την ύπαρξη της
οποίας κατά πάσα πιθανότητα αγνοούν, δεν πληρούνται οι προϋποθέσεις εφαρμογής του
άρθρου 6 παρ. 1 στοιχ. στ’ ΓΚΠΔ.
Από όλα τα στοιχεία που τέθηκαν υπόψη της Αρχής, προέκυψε ότι η κρίσιμη επεξεργασία
δεν αφορά μια απλή συλλογή δεδομένων, αλλά καταλήγει στη μετατροπή των
17
συλλεγόμενων φωτογραφιών σε βιομετρικά δεδομένα, η επεξεργασία των οποίων υπόκειται
στις αυστηρότερες διατάξεις του άρθρου 9 ΓΚΠΔ. Συναφώς με τα παραπάνω, λαμβάνοντας
υπόψη ότι η επεξεργασία των ειδικών κατηγοριών δεδομένων καταρχήν απαγορεύεται και
επιτρέπεται, μόνο εάν σωρευτικά συντρέχει κάποια από τις νομικές βάσεις του άρθρου 6 και
κάποια από τις εξαιρέσεις του άρθρου 9 παρ. 2 ΓΚΠΔ και ότι εν προκειμένω δεν συντρέχει
καμία από τις νομικές βάσεις του άρθρου 6 ΓΚΠΔ σε σχέση με την κρίσιμη επεξεργασία,
προκύπτει ότι η επεξεργασία βιομετρικών δεδομένων, στην οποία προβαίνει η καθ’ ης, δεν
πληροί τις προϋποθέσεις νομιμότητας που θέτει ο ΓΚΠΔ.
17. Από τα στοιχεία που τέθηκαν υπόψη της Αρχής, προέκυψε ότι, παρόλο που η
καταγγέλλουσα άσκησε το κατ’ άρθρο 15 ΓΚΠΔ δικαίωμα πρόσβασης σε προσωπικά της
δεδομένα, μέσω ηλεκτρονικού μηνύματος προς την καθ’ ης που απέστειλε στις 24-03-2021,
γεγονός που συνομολογεί και η καθ’ ης με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/5303/16.08.2021
απαντητικό έγγραφό της προς την Αρχή, εντούτοις ουδέποτε έλαβε οποιαδήποτε απάντηση
επ’ αυτού και ουδέποτε ικανοποιήθηκε το δικαίωμα πρόσβασής της από την καθ’ ης,
σύμφωνα με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/4976/22.03.2022 έγγραφο της καταγγέλλουσας προς
την Αρχή και σε αντίθεση με όσα ισχυρίζεται η καθ’ ης στο ως άνω έγγραφό της προς την
Αρχή, στο οποίο αναφέρει ότι απέστειλε στην καταγγέλλουσα πρωτυποποιημένο μήνυμα.
18. Κατόπιν των ανωτέρω, από τα στοιχεία του φακέλου, η Αρχή διαπιστώνει εκ μέρους της
καταγγελλόμενης εταιρείας με την επωνυμία Clearview AI, Inc.:
Α) παράβαση της υποχρέωσης ορισμού εκπροσώπου στην Ε.Ε. (άρθρο 27 ΓΚΠΔ), διότι,
παρόλο που η καταγγελλόμενη εμπίπτει στο πεδίο εφαρμογής του ΓΚΠΔ, βάσει του άρθρου
3 παρ. 2 στοιχ. β’ χωρίς να έχει εγκατάσταση στην Ε.Ε. και, συνεπώς, υποχρεούται να ορίσει
εκπρόσωπο στην Ε.Ε. σύμφωνα με το άρθρο 27 ΓΚΠΔ, εντούτοις, δεν έχει εκπληρώσει την
υποχρέωσή της αυτή.
Β) παράβαση της αρχής της νομιμότητας της επεξεργασίας (άρθρο 5 παρ. 1 στοιχ. α’, 6 και 9
ΓΚΠΔ), διότι η διενεργούμενη από την καταγγελλόμενη επεξεργασία δεν στηρίζεται σε καμία
νομική βάση από τις προβλεπόμενες στο άρθρο 6 ΓΚΠΔ, ενώ δεν συντρέχει καμία από τις
εξαιρέσεις του άρθρου 9 ΓΚΠΔ, όσον αφορά τις ειδικές κατηγορίες δεδομένων.
Γ) παράβαση της αρχής της διαφάνειας της επεξεργασίας (άρθρο 5 παρ. 1 στοιχ. α’ ΓΚΠΔ) και
του συναφούς δικαιώματος ενημέρωσης των υποκειμένων (άρθρο 14 ΓΚΠΔ), διότι η καθ’ ης
18
δεν ενημέρωσε, ως όφειλε, τα υποκείμενα των οποίων τα δεδομένα επεξεργάζεται, με
ακρίβεια και σαφήνεια για τη συλλογή και χρήση των προσωπικών τους δεδομένων.
Δ) παράβαση του δικαιώματος πρόσβασης της καταγγέλλουσας (άρθρα 12 και 15 ΓΚΠΔ),
διότι η καθ’ ης δεν ικανοποίησε το αίτημα που υπέβαλε η καταγγέλλουσα, όπως εκτίθεται
παραπάνω.
19. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά τα
άρθρα 58 παρ. 2 θ’ και 83 ΓΚΠΔ διορθωτικές εξουσίες της (επιβολή προστίμου) όσον αφορά
το σύνολο των ανωτέρω διαπιστωθεισών παραβάσεων, τις κατά το άρθρο 58 παρ. 2 γ’ ΓΚΠΔ
διορθωτικές εξουσίες της όσον αφορά την ικανοποίηση του δικαιώματος πρόσβασης της
καταγγέλλουσας και τις κατά το άρθρο 58 παρ. 2 ζ’ και στ’ διορθωτικές εξουσίες της όσον
αφορά τη διαγραφή των προσωπικών δεδομένων των υποκειμένων που ευρίσκονται στην
ελληνική επικράτεια και την απαγόρευση της επεξεργασίας τους. Για τον καθορισμό του
προστίμου, το οποίο η Αρχή θεωρεί αποτελεσματικό, αναλογικό και αποτρεπτικό,
λαμβάνονται υπόψη τα κριτήρια επιμέτρησης που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ
που έχουν εφαρμογή στην παρούσα υπόθεση, όπως αυτά έχουν ειδικότερα ερμηνευτεί από
τις Κατευθυντήριες Γραμμές «για την εφαρμογή και τον καθορισμό διοικητικών προστίμων
για τους σκοπούς του κανονισμού 2016/679» της ομάδας εργασίας του άρθρου 29.
Ειδικότερα, λαμβάνονται ιδιαιτέρως υπόψη:
Α) η φύση, η βαρύτητα και η διάρκεια της παράβασης, η οποία δεν αποτελεί μεμονωμένο
περιστατικό, αλλά είναι συστηματική και αφορά τις βασικές αρχές νομιμότητας της
επεξεργασίας (άρ. 5, 6, 9 ΓΚΠΔ), οι οποίες είναι θεμελιώδεις για την προστασία των
δεδομένων προσωπικού χαρακτήρα, σύμφωνα με τον ΓΚΠΔ. Τονίζεται ότι η τήρηση των
αρχών που προβλέπονται από τη διάταξη του άρθρου 5 του ΓΚΠ∆ είναι κεφαλαιώδους
σημασίας, πρωτίστως δε, η αρχή της νομιμότητας, ώστε, εάν εκλείπει αυτή, καθίσταται εξ’
αρχής παράνομη η επεξεργασία, ακόμη και εάν έχουν τηρηθεί οι λοιπές αρχές επεξεργασίας,
πολλώ δε μάλλον εν προκειμένω που δεν θεμελιώθηκε κάποια εκ των προβλεπόμενων στο
άρθρο 6 και 9 του ΓΚΠΔ νομική βάση για την επίμαχη επεξεργασία, κατά τα
προαναφερόμενα.
Β) ο αριθμός των ευρισκομένων στην Ελληνική επικράτεια υποκειμένων που επηρεάζονται,
ο οποίος λόγω των τεχνικών συλλογής δεδομένων που χρησιμοποιεί η καθ’ ης, είναι
δυνητικά ιδιαίτερα υψηλός. Μάλιστα δε, από την πολιτική ιδιωτικότητας της καθ’ ης καθώς
19
και τον τρόπο συλλογής των προσωπικών δεδομένων δεν προκύπτει ότι εφαρμόζεται σχετική
τεχνική επί τη βάσει της οποίας εξαιρούνται κάποιες εκ των φωτογραφιών φυσικών
προσώπων με συγκεκριμένα κριτήρια.
Γ) το γεγονός ότι η επίμαχη επεξεργασία αφορά ειδικές κατηγορίες προσωπικών δεδομένων
(βιομετρικά).
Δ) ο βαθμός ευθύνης της καθ’ ης, ο οποίος είναι μεγάλος, λαμβάνοντας υπόψη ότι η επίμαχη
επεξεργασία συνεχίζεται παρά την παρέμβαση εποπτικών αρχών εντός και εκτός ΕΕ,
Ε) η έλλειψη συνεργασίας της καθ’ ης με την Αρχή, λαμβάνοντας υπόψη ότι η καθ’ ης δεν
παρέστη κατά τη συνεδρίαση της Αρχής παρόλο που εκλήθη σε αυτήν,
ΣΤ) το γεγονός ότι η παράβαση των διατάξεων σχετικά με τις βασικές αρχές για την
επεξεργασία καθώς και με τα δικαιώματα των υποκειμένων υπάγεται, σύμφωνα με τις
διατάξεις του άρθρου 83 παρ. 5 εδ. α΄ και β΄ ΓΚΠΔ, στην ανώτερη προβλεπόμενη κατηγορία
του συστήματος διαβάθμισης διοικητικών προστίμων,
Ζ) το γεγονός ότι δεν βρίσκονται στη διάθεση της Αρχής στοιχεία για τον κύκλο εργασιών της
καθ’ ης.
Βάσει των ανωτέρω, η Αρχή αποφασίζει ομόφωνα ότι πρέπει να επιβληθεί στην
καταγγελλόμενη εταιρεία, ως υπεύθυνη επεξεργασίας, η αναφερόμενη στο διατακτικό
διοικητική κύρωση, η οποία κρίνεται, όπως προαναφέρθηκε, ανάλογη με τη βαρύτητα της
παράβασης.
ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ
Η Αρχή
Α. Επιβάλλει στην καταγγελλόμενη εταιρεία με την επωνυμία Clearview AI, Inc., που εδρεύει
στις ΗΠΑ, οδός 214 W 29th St, 2nd Floor, New York City, NY, 10001, ως υπεύθυνο
επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδαφ. θ’ του ΓΚΠΔ, συνολικό πρόστιμο ύψους
είκοσι εκατομμυρίων (20.000.000 €) ευρώ για την παράβαση των αρχών της νομιμότητας και
διαφάνειας (άρ. 5 παρ. 1 α’, 6, 9 ΓΚΠΔ) και των υποχρεώσεών της εκ των άρθρων 12, 14, 15
και 27 του ΓΚΠΔ.
Β. Δίνει εντολή στην καταγγελλόμενη εταιρεία με την επωνυμία Clearview AI, Inc., που
εδρεύει στις ΗΠΑ, οδός 214 W 29th St, 2nd Floor, New York City, NY, 10001, ως υπεύθυνο
20
επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδαφ. γ’ του ΓΚΠΔ να συμμορφωθεί προς το
αίτημα της καταγγέλλουσας για την άσκηση του δικαιώματος πρόσβασής της.
Γ. Eπιβάλλει στην καταγγελλόμενη εταιρεία με την επωνυμία Clearview AI, Inc., που εδρεύει
στις ΗΠΑ, οδός 214 W 29th St, 2nd Floor, New York City, NY, 10001, ως υπεύθυνο
επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδαφ. στ’ του ΓΚΠΔ, την απαγόρευση της
συλλογής και επεξεργασίας προσωπικών δεδομένων υποκειμένων ευρισκομένων στην
ελληνική επικράτεια, με τη χρήση των μεθόδων που περιλαμβάνει η υπηρεσία αναγνώρισης
προσώπου την οποία εμπορεύεται.
Δ. Δίνει εντολή στην καταγγελλόμενη εταιρεία με την επωνυμία Clearview AI, Inc., που
εδρεύει στις ΗΠΑ, οδός 214 W 29th St, 2nd Floor, New York City, NY, 10001, ως υπεύθυνο
επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδαφ. ζ’ του ΓΚΠΔ, να διαγράψει τα προσωπικά
δεδομένα υποκειμένων ευρισκομένων στην ελληνική επικράτεια, τα οποία συλλέγει και
επεξεργάζεται με τη χρήση των μεθόδων που περιλαμβάνει η υπηρεσία αναγνώρισης
προσώπου, την οποία εμπορεύεται.
Ο Πρόεδρος Η Γραμματέας
Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου
21