Io
Αθήνα, 27-03-2020
Αριθ. Πρωτ: Γ/ΕΞ/2297/27-03-2020
ΑΡΧΗ ΠΡΟ ΤΑ ΙΑ ∆Ε∆ΟΜΕΝΩΝ
ΠΡΟ ΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ
ΑΠΟΦΑΣΗ 06/2020
Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνήλθε, µετά από
πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση στην έδρα της την Τρίτη
25.02.2020 και ώρα 10:00, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο
ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος
Μενουδάκος και τα τακτικά µέλη της Αρχής πυρίδων Βλαχόπουλος, Κωνσταντίνος
Λαµπρινουδάκης, Ελένη Μαρτσούκου και Γρηγόριος Τσόλιας, αναπληρωµατικό µέλος
της Αρχής, ως εισηγητής, σε αντικατάσταση του τακτικού µέλους Χαράλαµπου
Ανθόπουλου, ο οποίος αν και εκλήθη νοµίµως δεν παρέστη, λόγω κωλύµατος. Παρούσες,
χωρίς δικαίωµα ψήφου, ήταν η Χαρίκλεια Λάτσιου, νοµικός ελεγκτής - δικηγόρος, ως
βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τµήµατος
διοικητικών υποθέσεων, ως γραµµατέας.
Η Αρχή έλαβε υπόψη της τα παρακάτω:
Με την από 23.07.2019 (και µε αρ. πρωτ. ΑΠ∆ΠΧ Γ/ΕΙ /5141/23.07.2019)
καταγγελία, όπως αυτή συµπληρώθηκε µε την από 09.10.2019 (και µε αρ. πρωτ. ΑΠ∆ΠΧ
Γ/ΕΙ /6110/10.09.2019) αίτηση, ο Α καταγγέλλει ότι η ΑΧΑ ασφαλιστική εταιρεία δεν
ικανοποίησε το δικαίωµα διαγραφής σε δεδοµένα προσωπικού χαρακτήρα που τον
αφορούν. υγκεκριµένα, καταγγέλλει ότι η ΑΧΑ ασφαλιστική εταιρεία δεν ικανοποίησε
το από … αίτηµά του που αφορούσε στη διαγραφή από τα αρχεία της εταιρείας
δεδοµένων προσωπικού χαρακτήρα του ιδίου και µελών της οικογενείας του, τα οποία
συλλέχθηκαν από την ΑΧΑ ασφαλιστική εταιρεία δυνάµει της από … αίτησης
ασφάλισης κατά το προσυµβατικό στάδιο σύναψης σχετικής ασφαλιστικής σύµβασης,
την οποία, εν τέλει, λόγω των σχετικών όρων του ασφαλιστηρίου συµβολαίου δεν
αποδέχθηκε και ουδέποτε υπέγραψε. Η Αρχή, κατά την εξέταση της καταγγελίας, κάλεσε
2
µε το υπ’ αρ. πρωτ. Γ/ΕΞ/5141-1/10.09.2019 έγγραφο την ΑΧΑ ασφαλιστική εταιρεία
όπως υποβάλει εξηγήσεις επί των καταγγελλοµένων και διευκρινίσει, ιδίως, τους λόγους
για τους οποίους δεν ικανοποίησε το δικαίωµα διαγραφής που έχει υποβάλει ο Α µε το
από … µήνυµα ηλεκτρονικού ταχυδροµείου. ε απάντηση του ανωτέρω εγγράφου της
Αρχής, η ΑΧΑ ασφαλιστική εταιρεία µε την από 27.09.2019 (υπ’ αρ. πρωτ. ΑΠ∆ΠΧ
Γ/ΕΙ /6546/30.09.2019) αίτησή της διευκρίνισε ότι ο καταγγέλλων υπέβαλε την …
αίτηση ασφάλισης υγείας του ιδίου, της συζύγου και των δύο ανήλικων τέκνων τους και
την … ο ίδιος και η σύζυγός του υποβλήθηκαν τόσο ατοµικά όσο και για λογαριασµό
των ανήλικων τέκνων του σε συγκεκριµένες ερωτήσεις από την εταιρεία Advance
Medical Health Care Management Services S.A. (εκτελούσα την επεξεργασία), η οποία
έχει συµβληθεί µε την ΑΧΑ ασφαλιστική εταιρεία για την εκτίµηση του ασφαλιστικού
κινδύνου των προγραµµάτων υγείας µέσω συνέντευξης που πραγµατοποιείται
τηλεφωνικά και ηχογραφείται µε τη συναίνεση του ενδιαφερόµενου υποψήφιου
ασφαλισµένου. ύµφωνα µε την ΑΧΑ ασφαλιστική εταιρεία, κατά τη διάρκεια της
τηλεφωνικής συνέντευξης συλλέγονται προσωπικά δεδοµένα και δη ειδικών κατηγοριών
(δεδοµένα υγείας), το υποκείµενο των δεδοµένων ενηµερώνεται για την επεξεργασία των
δεδοµένων και ζητείται ρητώς η συγκατάθεσή του. υγκεκριµένα, ο ενδιαφερόµενος
υποψήφιος ασφαλισµένος πριν την έναρξη της συνέντευξης ενηµερώνεται, µεταξύ
άλλων, για το σκοπό της συλλογής των προσωπικών δεδοµένων, τους αποδέκτες των
δεδοµένων, το χρονικό διάστηµα διατήρησής τους (ήτοι για µια 5ετία, και σε περίπτωση
σύναψης συµβολαίου για ολόκληρο το χρονικό διάστηµα ισχύος αυτού), καθώς και για
τα δικαιώµατά του, µεταξύ αυτών, και για το δικαίωµα διαγραφής. Η απάντηση του
υποψήφιου ασφαλισµένου ηχογραφείται και σε περίπτωση άρνησης η κλήση
τερµατίζεται, χωρίς να συλλεγούν επιπλέον προσωπικά δεδοµένα. Με τον τρόπο αυτό
ικανοποιείται, κατά την ΑΧΑ ασφαλιστική εταιρεία, η υποχρέωση λήψης συγκατάθεσης
του υποκειµένου των δεδοµένων, καθώς η ηχογράφηση αποτελεί έγγραφο µε την
αποδεικτική δύναµη που του προσδίδει ο νόµος (άρθρο 444 παρ. 1 γ ΚΠολ∆). Κατά την
ΑΧΑ ασφαλιστική εταιρεία, τόσο ο καταγγέλλων όσο και η σύζυγός του συναίνεσαν µε
τον ανωτέρω τρόπο στην επεξεργασία των προσωπικών τους δεδοµένων και
ενηµερώθηκαν – στην περίπτωση της αίτησης ασφάλισης που δεν εξελίσσεται σε
ασφαλιστική σύµβαση – για τη διατήρησή τους για 5 έτη. Ακολούθως, λόγω των
εξαιρέσεων που επιβλήθηκαν στις καλύψεις του προαναφερόµενου ασφαλιστικού
προγράµµατος, ο Α αρνήθηκε την ασφάλιση και µε ηλεκτρονική επιστολή την … ζήτησε
τη διαγραφή των προσωπικών δεδοµένων του ιδίου και της οικογένειάς του, τα οποία
2
3
είχαν συλλεγεί σύµφωνα µε τα προεκτεθέντα, κατά το προσυµβατικό στάδιο. Την … η
ΑΧΑ ασφαλιστική εταιρεία απάντησε στο αίτηµά του µέσω ηλεκτρονικού ταχυδροµείου,
ενηµερώνοντάς τον εκ νέου για την πολιτική τήρησης προσωπικών δεδοµένων, τους
σκοπούς επεξεργασίας, µεταξύ των οποίων περιλαµβάνεται η αποφυγή και η
καταπολέµηση της ασφαλιστικής απάτης, καθώς και τη διατήρηση των δεδοµένων για
µία 5ετία σε περίπτωση µη σύναψης ασφαλιστικής σύµβασης. Εν τέλει, στις … η ΑΧΑ
ασφαλιστική εταιρεία απέστειλε, µέσω ηλεκτρονικού ταχυδροµείου, την ακόλουθη
απάντηση στον Α: «Σε συνέ εια της τηλεφωνικής µας επικοινωνίας σας επαναλαµβάνω
και εγγράφως ότι σύµφωνα µε την πολιτική της εταιρίας µας, τα προσωπικά δεδοµένων
των υποψηφίων προς ασφάλιση πελατών µας τηρούνται για πέντε (5) έτη από την
ηµεροµηνία υποβολής της αίτησής τους προς ασφάλιση, για λόγους αποτροπής τυ όν
ασφαλιστικής απάτης. Την εν λόγω ενηµέρωση έ ετε ήδη λάβει και έ ετε συναινέσει
προφορικά στη σ ετική επεξεργασία των προσωπικών σας δεδοµένων. Σε κάθε περίπτωση
και προκειµένου να ικανοποιήσουµε το αίτηµά σας, σας γνωρίζουµε ότι θα προβούµε στην
ανωνυµοποίηση της αίτησής σας, στην απάλειψη δηλαδή κάθε προσωπικού δεδοµένου που
αναγράφεται σε αυτή». ύµφωνα µε τους ισχυρισµούς της ΑΧΑ ασφαλιστικής εταιρείας,
η διατήρηση των δεδοµένων του καταγγέλλοντος ήταν απαραίτητη, κατά το άρθρο 17
παρ. 1 στοιχ. α΄ του ΓΚΠ∆, για την ικανοποίηση του σκοπού της «αποφυγής και
καταπολέµησης της ασφαλιστικής απάτης». Επικαλείται, δε, ειδικότερα, η ασφαλιστική
εταιρεία τον «Κώδικα ∆εοντολογίας για την επεξεργασία δεδοµένων προσωπικού
αρακτήρα από τις ασφαλιστικές εταιρείες» που έχει υποβληθεί από την Ένωση
Ασφαλιστικών Εταιρειών Ελλάδος και εκκρεµεί στην Αρχή προς έγκριση. Επιπλέον, η
ΑΧΑ ασφαλιστική εταιρεία επικαλούµενη το άρθρο 34 παρ. 3 του νόµου 4624/2019
υποστηρίζει ότι τα πέντε έτη δύναται να νοηθούν ως συµβατική περίοδος διατήρησης,
καθόσον µε την παροχή της συγκατάθεσης του καταγγέλλοντος στην ηχογραφηµένη
συνέντευξη, στο πλαίσιο της αίτησης ασφαλιστικού προϊόντος, συνήφθη µεταξύ των
µερών σύµβαση αναφορικά µε τους όρους επεξεργασίας των προσωπικών δεδοµένων
σύµφωνα µε τα οριζόµενα στο άρθρο 192 ΑΚ. Περαιτέρω, η ΑΧΑ ασφαλιστική εταιρεία
επικαλείται την αιτιολογική σκέψη 47 του ΓΚΠ∆ 2016/679, κατά την οποία «(…) η
επεξεργασία δεδοµένων προσωπικού αρακτήρα, στον βαθµό που είναι αυστηρά αναγκαία
για τους σκοπούς πρόληψης της απάτης, συνιστά επίσης έννοµο συµφέρον του
ενδιαφερόµενου υπεύθυνου επεξεργασίας (…)». Κατόπιν τούτων, καταλήγει η ΑΧΑ
ασφαλιστική εταιρεία ότι το δικαίωµα του καταγγέλλοντος ικανοποιήθηκε προσηκόντως,
δεδοµένου ότι κατόπιν της ανωνυµοποίησης των προσωπικών δεδοµένων, που
3
4
περιλαµβάνονταν στην αίτησή του, καθίσταται αδύνατη η ταυτοποίηση αυτού.
υµπληρωµατικώς µε την ανωτέρω απάντηση, η ΑΧΑ ασφαλιστική εταιρεία µε την από
03.10.2019 (υπ’ αρ. πρωτ. ΑΠ∆ΠΧ Γ/ΕΙ /6671/04.10.2019) αίτησή της ενηµέρωσε την
Αρχή: «(…) Χρησιµοποιώντας τα στοι εία ταυτοποίησης του πελάτη (ονοµατεπώνυµο,
ΑΦΜ και αριθµό αίτησης ασφάλισης) εντοπίσαµε στα πληροφοριακά συστήµατα (back
offices, CRM) της εταιρίας, όλες τις εγγραφές που αφορούσαν την αίτηση του πελάτη και
µέσω των τε νικών εργαλείων κάθε συστήµατος προβήκαµε στην ανωνυµοποίηση αυτών.
Όλα τα στοι εία ταυτοποίησης του πελάτη και των εξαρτώµενων µελών αυτού που
περιέ ουν αλφαβητικά γράµµατα αντικαταστάθηκαν µε «ΧΧΧ…» και όσα από αυτά
περιέ ουν αριθµούς αντικαταστάθηκαν µε «999…». Ο εντοπισµός του πελάτη στα
πληροφοριακά συστήµατα της εταιρίας µας µε οποιοδήποτε στοι είο ταυτοποίησης είναι
πλέον αδύνατος. Η διαδικασία ανωνυµοποίησης έλαβε ώρα την …. Περαιτέρω, ο
καταγγέλλων ενηµερώθηκε εκ νέου σήµερα … για την ικανοποίηση του αιτήµατός του (…)».
Ακολούθως, η Αρχή κάλεσε µε το υπ’ αρ. πρωτ. ΑΠ∆ΠΧ Γ/ΕΞ/5141-2/18.10.2019
έγγραφο την ΑΧΑ ασφαλιστική εταιρεία να παράσχει πρόσθετες εξηγήσεις επί
συγκεκριµένων ζητηµάτων. ε απάντηση, η ΑΧΑ ασφαλιστική εταιρεία µε τα από
04.11.2019, 05.11.2019 και 05.11.2019 (και µε αρ. πρωτ. ΑΠ∆ΠΧ
Γ/ΕΙ /7564/05.11.2019, Γ/ΕΙ /7573/05.11.2019 και Γ/ΕΙ / 7610/06.11.2019) έγγραφά
της ενηµέρωσε, µεταξύ άλλων, την Αρχή ότι η µοναδική νοµική βάση της επεξεργασίας
είναι η συγκατάθεση του υποκειµένου των δεδοµένων, δυνάµει του άρθρου 9 παρ. 2
στοιχ. α΄ του ΓΚΠ∆ 2016/679 και η επίκληση της αιτιολογικής σκέψης 47 του ΓΚΠ∆
2016/679 στόχευε στην περαιτέρω επεξήγηση του σκοπού επεξεργασίας, που συνίστατο
στην αποφυγή και την καταπολέµηση της ασφαλιστικής απάτης και της νοµιµότητας
αυτού, καθώς και ότι η εταιρεία ουδέποτε χρησιµοποίησε άλλη νοµική βάση πέραν της
συγκατάθεσης. Περαιτέρω, σύµφωνα µε την ΑΧΑ ασφαλιστική εταιρεία: «(…) 2. Η
αποφυγή και η καταπολέµηση της ασφαλιστικής απάτης συνίσταται στην αποφυγή υποβολής
µελλοντικής αίτησης ασφάλισης από το ίδιο υποκείµενο των δεδοµένων µε ψευδή (άλλως,
διαφοροποιηµένα) σε σ έση µε την αρ ική αίτηση ασφάλισης δεδοµένα υγείας. Η ενέργεια
αυτή συνιστά εξαπάτηση της ασφαλιστικής επι είρησης ώστε να επιτευ θεί η ασφάλιση
κινδύνου, ο οποίος θα εξαιρούνταν της ασφάλισης αν το υποκείµενο εί ε υποβάλει αληθή
δεδοµένα ή το υποκείµενο θα κατέβαλε επασφάλιστρο για την εν λόγω κάλυψη. Η ανωτέρω
πρακτική είναι επιζήµια ό ι µόνο για την ασφαλιστική επι είρηση αλλά και για το σύνολο
των (καλόπιστων) ασφαλισµένων καθόσον το ύψος των ετήσιων ασφαλίστρων κάθε
ασφαλιστικού προγράµµατος διαµορφώνεται κάθε φορά µε βάση το ύψος των ζηµιών που
4
5
κάλυψε η ασφαλιστική επι είρηση κατά το προηγούµενο έτος. Στην περίπτωση τήρησης
προσωπικών δεδοµένων που συνελέγησαν κατά το προσυµβατικό στάδιο, επιτυγ άνεται ο
ανωτέρω σκοπός, καθόσον εάν το υποκείµενο επανέλθει σε µελλοντικό ρόνο και υποβάλει
νέα αίτηση ασφάλισης µε στοι εία ασφάλισης διαφοροποιηµένα σε σ έση µε αυτά που εί ε
υποβάλει σε πρώτο ρόνο, η ασφαλιστική επι είρηση δύναται να αναγνωρίσει την
ασφαλιστική απάτη και να αρνηθεί την ασφάλιση». (…) 6. Παρέ εται στο υποκείµενο των
δεδοµένων η δυνατότητα ανάκλησης της συγκατάθεσής του ακόµα και στο προσυµβατικό
στάδιο της αίτησης ασφάλισης. Σ ετική ενηµέρωση παρέ εται στο έντυπο της αίτησης
ασφάλισης (…) όσο και στην προφορική ενηµέρωση που λαµβάνει κατά την η ογραφηµένη
τηλεφωνική ιατρική συνέντευξη (…) 7. Η εταιρεία µας ενηµέρωσε το υποκείµενο των
δεδοµένων για τους λόγους που επιλέ θηκε η ανωνυµοποίηση των δεδοµένων του αντί της
διαγραφής, µέσω τηλεφωνικής επικοινωνίας που εί ε µαζί του ο Υπεύθυνος Προστασίας
Προσωπικών ∆εδοµένων της Εταιρίας µας. Το γεγονός αυτό αποδεικνύεται και από το
περιε όµενο της καταγγελίας του υποκειµένου των δεδοµένων, όπου αναφέρεται η εν λόγω
επικοινωνία καθώς και η ενηµέρωση του υποκειµένου για τη διαδικασία της
ανωνυµοποίησης (…)».
Ακολούθως, η Αρχή µε τα υπ’. αρ. πρωτ. Γ/ΕΞ/5141-4/12.12.2019 και Γ/ΕΞ/5141-
3/12.12.2019 έγγραφα κάλεσε την ΑΧΑ ασφαλιστική εταιρεία και τον καταγγέλλοντα Α,
αντίστοιχα, όπως παρουσιαστούν σε συνεδρίαση της Ολοµελείας της Αρχής την Τρίτη
21.01.2020 και ώρα 10:00 προκειµένου να συζητηθεί η προαναφερόµενη καταγγελία. Ο
Α, σε συνέχεια της προαναφερόµενης κλήσης, ενηµέρωσε την Αρχή µε την από
29.12.2019 (και µε αρ. πρωτ. ΑΠ∆ΠΧ Γ/ΕΙ /53/07.01.2020) αίτησή του ότι δεν θα
παραστεί στην ανωτέρω συνεδρίαση. τη συνεδρίαση της Αρχής την 21η.01.2020
παρέστη η Αικατερίνη – Νικολέτα Παυλή (ΑΜ ∆∆ Α …), ως πληρεξούσια δικηγόρος
της ΑΧΑ ασφαλιστικής εταιρείας, η οποία εξέθεσε τις απόψεις της εταιρείας και έδωσε
διευκρινίσεις ύστερα από σχετικές ερωτήσεις των µελών, ενώ παρευρέθη και ο Μιχαήλ
∆ερµιτζάκης, δικηγόρος, Υπεύθυνος Προστασίας ∆εδοµένων της ΑΧΑ ασφαλιστικής
εταιρείας.
Κατά τη συνεδρίαση, η ΑΧΑ ασφαλιστική εταιρεία έλαβε, κατόπιν αιτήµατος,
προθεσµία ως την 10η.02.2020 για την υποβολή εγγράφου υποµνήµατος. Κατόπιν
τούτου, η ΑΧΑ ασφαλιστική εταιρεία υπέβαλε εµπρόθεσµα στην Αρχή το από
10.02.2020 (και µε αρ. πρωτ. ΑΠ∆ΠΧ Γ/ΕΙ /1087/10.02.2020) έγγραφο υπόµνηµά της,
µε το οποίο ενηµέρωσε, µεταξύ άλλων, την Αρχή για την πολιτική διατήρησης
προσωπικών δεδοµένων της εταιρείας εν γένει, και παρέσχε πληροφορίες για την τεχνική
5
6
της ανωνυµοποίησης που υιοθέτησε σε ικανοποίηση του αιτήµατος διαγραφής του Α.
Η Αρχή, µετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον
εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωµα
ψήφου και αποχώρησε µετά από τη συζήτηση της υποθέσεως και πριν από τη διάσκεψη
και τη λήψη αποφάσεως, κατόπιν διεξοδικής συζητήσεως,
Σ ΕΦΤΗ Ε ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
1. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισµού
Προστασίας ∆εδοµένων (Κανονισµού 2016/679) και του άρθρου 9 του νόµου 4624/2019
(ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρµοδιότητα να εποπτεύει την εφαρµογή των
διατάξεων του ΓΚΠ∆, του νόµου αυτού και άλλων ρυθµίσεων που αφορούν την
προστασία του ατόµου από την επεξεργασία προσωπικών δεδοµένων. Ειδικότερα, από
τις διατάξεις των άρθρων 57 παρ.1 στοιχ. στ΄ του ΓΚΠ∆ και 13 παρ. 1 στοιχ. ζ΄ του νόµου
4624/2019 προκύπτει ότι η Αρχή έχει αρµοδιότητα να επιληφθεί της καταγγελίας του Α
κατά της ΑΧΑ ασφαλιστικής εταιρείας για τη µη ικανοποίηση του δικαιώµατος
διαγραφής σε δεδοµένα προσωπικού χαρακτήρα που τον αφορούν και να ασκήσει,
αντίστοιχα, τις εξουσίες που της απονέµονται από τις διατάξεις των άρθρων 58 του
ΓΚΠ∆ και 15 του νόµου 4624/2019.
2. Επειδή, το άρθρο 5 του ΓΚΠ∆ καθορίζει τις αρχές επεξεργασίας που διέπουν την
επεξεργασία δεδοµένων προσωπικού χαρακτήρα. υγκεκριµένα, ορίζεται στην
παράγραφο 1 ότι τα δεδοµένα προσωπικού χαρακτήρα, µεταξύ άλλων: «α) υποβάλλονται
σε σύννοµη και θεµιτή επεξεργασία µε διαφανή τρόπο σε σ έση µε το υποκείµενο των
δεδοµένων («νοµιµότητα, αντικειµενικότητα, διαφάνεια»), β) συλλέγονται για
καθορισµένους, ρητούς και νόµιµους σκοπούς και δεν υποβάλλονται σε περαιτέρω
επεξεργασία κατά τρόπο ασύµβατο προς τους σκοπούς αυτούς (…), γ) είναι κατάλληλα,
συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται
σε επεξεργασία («ελα ιστοποίηση των δεδοµένων»), (…) ε) διατηρούνται υπό µορφή που
επιτρέπει την ταυτοποίηση των υποκειµένων των δεδοµένων µόνο για το διάστηµα που
απαιτείται για τους σκοπούς της επεξεργασίας των δεδοµένων προσωπικού αρακτήρα· τα
δεδοµένα προσωπικού αρακτήρα µπορούν να αποθηκεύονται για µεγαλύτερα διαστήµατα,
εφόσον τα δεδοµένα προσωπικού αρακτήρα θα υποβάλλονται σε επεξεργασία µόνο για
σκοπούς αρ ειοθέτησης προς το δηµόσιο συµφέρον, για σκοπούς επιστηµονικής ή
ιστορικής έρευνας ή για στατιστικούς σκοπούς, σύµφωνα µε το άρθρο 89 παράγραφος 1 και
6
7
εφόσον εφαρµόζονται τα κατάλληλα τε νικά και οργανωτικά µέτρα που απαιτεί ο παρών
κανονισµός για τη διασφάλιση των δικαιωµάτων και ελευθεριών του υποκειµένου των
δεδοµένων («περιορισµός της περιόδου αποθήκευσης») (…)».
3. Επειδή, σύµφωνα µε τα οριζόµενα, στη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠ∆
ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη
συµµόρφωσή του µε τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1
του άρθρου 5. Όπως έχει κρίνει η Αρχή1, µε τον ΓΚΠ∆ υιοθετήθηκε ένα νέο µοντέλο
συµµόρφωσης, κεντρικό µέγεθος του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο
της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρµόζει και εν γένει
λαµβάνει τα αναγκαία µέτρα και πολιτικές, προκειµένου η επεξεργασία των δεδοµένων
να είναι σύµφωνη µε τις σχετικές νοµοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος
επεξεργασίας βαρύνεται µε το περαιτέρω καθήκον να αποδεικνύει από µόνος του και ανά
πάσα στιγµή τη συµµόρφωσή του µε τις αρχές του άρθρου 5 παρ. 1 ΓΚΠ∆.
4. Επειδή, σύµφωνα µε τα οριζόµενα στη διάταξη του άρθρου 4 στοιχ. 1 του ΓΚΠ∆
νοούνται ως δεδοµένα προσωπικού χαρακτήρα «κάθε πληροφορία που αφορά
ταυτοποιηµένο ή ταυτοποιήσιµο φυσικό πρόσωπο («υποκείµενο των δεδοµένων»)· το
ταυτοποιήσιµο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα µπορεί να
εξακριβωθεί, άµεσα ή έµµεσα, ιδίως µέσω αναφοράς σε αναγνωριστικό στοι είο
ταυτότητας, όπως όνοµα, σε αριθµό ταυτότητας, σε δεδοµένα θέσης, σε επιγραµµικό
αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη
σωµατική, φυσιολογική, γενετική, ψυ ολογική, οικονοµική, πολιτιστική ή κοινωνική
ταυτότητα του εν λόγω φυσικού προσώπου»2. Ακόµα, στο άρθρο 4 στοιχ. 5 του ΓΚΠ∆
2016/679 ορίζεται ως ψευδωνυµοποίηση: «η επεξεργασία δεδοµένων προσωπικού
1
Βλ. απόφαση Αρχής 26/2019, σκέψη 8, διαθέσιµη στην ιστοσελίδα της.
2
Επιπλέον, στην αιτιολογική σκέψη 26 του ΓΚΠ∆ 2016/679 υπογραµµίζεται ότι: «Οι αρ ές της προστασίας
δεδοµένων θα πρέπει να εφαρµόζονται σε κάθε πληροφορία η οποία αφορά ταυτοποιηµένο ή ταυτοποιήσιµο
φυσικό πρόσωπο. Τα δεδοµένα προσωπικού αρακτήρα που έ ουν υποστεί ψευδωνυµοποίηση, η οποία θα
µπορούσε να αποδοθεί σε φυσικό πρόσωπο µε τη ρήση συµπληρωµατικών πληροφοριών, θα πρέπει να
θεωρούνται πληροφορίες σ ετικά µε ταυτοποιήσιµο φυσικό πρόσωπο. Για να κριθεί κατά πόσον ένα φυσικό
πρόσωπο είναι ταυτοποιήσιµο, θα πρέπει να λαµβάνονται υπόψη όλα τα µέσα τα οποία είναι ευλόγως πιθανό
ότι θα ρησιµοποιηθούν, όπως για παράδειγµα ο δια ωρισµός του, είτε από τον υπεύθυνο επεξεργασίας είτε
από τρίτο για την άµεση ή έµµεση εξακρίβωση της ταυτότητας του φυσικού προσώπου. Για να διαπιστωθεί
κατά πόσον κάποια µέσα είναι ευλόγως πιθανό ότι θα ρησιµοποιηθούν για την εξακρίβωση της ταυτότητας
του φυσικού προσώπου, θα πρέπει να λαµβάνονται υπόψη όλοι οι αντικειµενικοί παράγοντες, όπως τα έξοδα
και ο ρόνος που απαιτούνται για την ταυτοποίηση, λαµβανοµένων υπόψη της τε νολογίας που είναι
διαθέσιµη κατά τον ρόνο της επεξεργασίας και των εξελίξεων της τε νολογίας. Οι αρ ές της προστασίας
δεδοµένων δεν θα πρέπει συνεπώς να εφαρµόζονται σε ανώνυµες πληροφορίες, δηλαδή πληροφορίες που δεν
σ ετίζονται προς ταυτοποιηµένο ή ταυτοποιήσιµο φυσικό πρόσωπο ή σε δεδοµένα προσωπικού αρακτήρα
που έ ουν καταστεί ανώνυµα κατά τρόπο ώστε η ταυτότητα του υποκειµένου των δεδοµένων να µην µπορεί
ή να µην µπορεί πλέον να εξακριβωθεί. Ο παρών κανονισµός δεν αφορά συνεπώς την επεξεργασία τέτοιων
ανώνυµων πληροφοριών, ούτε µεταξύ άλλων για στατιστικούς ή ερευνητικούς σκοπούς».
7
8
αρακτήρα κατά τρόπο ώστε τα δεδοµένα να µην µπορούν πλέον να αποδοθούν σε
συγκεκριµένο υποκείµενο των δεδοµένων ωρίς τη ρήση συµπληρωµατικών
πληροφοριών, εφόσον οι εν λόγω συµπληρωµατικές πληροφορίες διατηρούνται ωριστά
και υπόκεινται σε τε νικά και οργανωτικά µέτρα προκειµένου να διασφαλιστεί ότι δεν
µπορούν να αποδοθούν σε ταυτοποιηµένο ή ταυτοποιήσιµο φυσικό πρόσωπο»3.
5. Επειδή, σύµφωνα και µε το άρθρο 8 παρ. 1 του Χάρτη των Θεµελιωδών
∆ικαιωµάτων της Ευρωπαϊκής Ένωσης, το άρθρο 9Α του υντάγµατος και την
αιτιολογική σκέψη 4 του ΓΚΠ∆, το δικαίωµα στην προστασία των δεδοµένων
προσωπικού χαρακτήρα δεν είναι απόλυτο, αλλά πρέπει να εκτιµάται σε σχέση µε τη
λειτουργία του στην κοινωνία και να σταθµίζεται µε άλλα θεµελιώδη δικαιώµατα,
σύµφωνα µε την αρχή της αναλογικότητας. Ο ΓΚΠ∆ σέβεται όλα τα θεµελιώδη
δικαιώµατα και τηρεί τις ελευθερίες και αρχές που αναγνωρίζονται στον Χάρτη, ιδίως
τον σεβασµό της ιδιωτικής και οικογενειακής ζωής, της κατοικίας και των επικοινωνιών,
την προστασία των δεδοµένων προσωπικού χαρακτήρα, την ελευθερία σκέψης,
συνείδησης και θρησκείας, την ελευθερία έκφρασης και πληροφόρησης, την
επιχειρηµατική ελευθερία, το δικαίωµα πραγµατικής προσφυγής και αµερόληπτου
δικαστηρίου και την πολιτιστική, θρησκευτική και γλωσσική πολυµορφία.
6. Επειδή, αναφορικά µε το δικαίωµα διαγραφής, το άρθρο 17 του ΓΚΠ∆,
προβλέπει, µεταξύ άλλων: «1. Το υποκείµενο των δεδοµένων έ ει το δικαίωµα να ζητήσει
από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδοµένων προσωπικού αρακτήρα που το
αφορούν ωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υπο ρεούται
να διαγράψει δεδοµένα προσωπικού αρακτήρα ωρίς αδικαιολόγητη καθυστέρηση, εάν
ισ ύει ένας από τους ακόλουθους λόγους: α) τα δεδοµένα προσωπικού αρακτήρα δεν είναι
πλέον απαραίτητα σε σ έση µε τους σκοπούς για τους οποίους συλλέ θηκαν ή υποβλήθηκαν
κατ' άλλο τρόπο σε επεξεργασία, β) το υποκείµενο των δεδοµένων ανακαλεί τη
συγκατάθεση επί της οποίας βασίζεται η επεξεργασία σύµφωνα µε το άρθρο 6 παράγραφος
1 στοι είο α) ή το άρθρο 9 παράγραφος 2 στοι είο α) και δεν υπάρ ει άλλη νοµική βάση
για την επεξεργασία (…)». Ακολούθως, η διάταξη της παραγράφου 3 του ίδιου άρθρου
προβλέπει παρεκκλίσεις από το δικαίωµα διαγραφής, ορίζοντας, µεταξύ άλλων: « 3. Οι
3
την αιτιολογική σκέψη 28 προβλέπεται ότι: «Η ρήση της ψευδωνυµοποίησης στα δεδοµένα προσωπικού
αρακτήρα µπορεί να µειώσει τους κινδύνους για τα υποκείµενα των δεδοµένων και να διευκολύνει τους
υπευθύνους επεξεργασίας και τους εκτελούντες την επεξεργασία να τηρήσουν τις οικείες υπο ρεώσεις περί
προστασίας των δεδοµένων. Η ρητή εισαγωγή της «ψευδωνυµοποίησης» του παρόντος κανονισµού δεν
προορίζεται να αποκλείσει κάθε άλλο µέτρο προστασίας των δεδοµένων».
8
9
παράγραφοι 1 και 2 δεν εφαρµόζονται στον βαθµό που η επεξεργασία είναι απαραίτητη:
(…) β) για την τήρηση νοµικής υπο ρέωσης που επιβάλλει την επεξεργασία βάσει του
δικαίου της Ένωσης ή του δικαίου κράτους µέλους στο οποίο υπάγεται ο υπεύθυνος
επεξεργασίας ή για την εκπλήρωση καθήκοντος που εκτελείται προς το δηµόσιο συµφέρον
ή κατά την άσκηση δηµόσιας εξουσίας που έ ει ανατεθεί στον υπεύθυνο της επεξεργασίας,
γ) για λόγους δηµόσιου συµφέροντος στον τοµέα της δηµόσιας υγείας σύµφωνα µε το άρθρο
9 παράγραφος 2 στοι εία η) και θ), καθώς και το άρθρο 9 παράγραφος 3, δ) για σκοπούς
αρ ειοθέτησης προς το δηµόσιο συµφέρον, για σκοπούς επιστηµονικής ή ιστορικής έρευνας
ή για στατιστικούς σκοπούς σύµφωνα µε το άρθρο 89 παράγραφος 1, εφόσον το δικαίωµα
που αναφέρεται στην παράγραφο 1 είναι πιθανόν να καταστήσει αδύνατη ή να εµποδίσει
σε µεγάλο βαθµό την επίτευξη σκοπών της εν λόγω επεξεργασίας, ή ε) για τη θεµελίωση,
άσκηση ή υποστήριξη νοµικών αξιώσεων».
Αντίστοιχα, το άρθρο 34 του νόµου 4624/2019 εισάγει, δυνάµει του άρθρου 23 του
ΓΚΠ∆ περιορισµούς από το δικαίωµα διαγραφής και προβλέπει: «1. Αν η διαγραφή σε
περίπτωση µη αυτοµατοποιηµένης επεξεργασίας λόγω της ιδιαίτερης φύσης της
αποθήκευσης δεν είναι δυνατή ή είναι δυνατή µόνο µε δυσανάλογα µεγάλη προσπάθεια και
το συµφέρον του υποκειµένου των δεδοµένων για τη διαγραφή δεν θεωρείται σηµαντικό,
δεν υφίσταται το δικαίωµα του υποκειµένου και η υπο ρέωση του υπεύθυνου επεξεργασίας
να διαγράψει τα δεδοµένα προσωπικού αρακτήρα σύµφωνα µε το άρθρο 17 παράγραφος
1 του ΓΚΠ∆, εκτός των εξαιρέσεων που αναφέρονται στο άρθρο 17 παράγραφος 3 του
ΓΚΠ∆. Στην περίπτωση αυτή, η διαγραφή αντικαθίσταται από τον περιορισµό της
επεξεργασίας σύµφωνα µε το άρθρο 18 του ΓΚΠ∆. Τα ανωτέρω εδάφια δεν εφαρµόζονται,
εάν τα δεδοµένα προσωπικού αρακτήρα έ ουν υποστεί παράνοµη επεξεργασία.(…) 3.
Εκτός από το άρθρο 17 παράγραφος 3 στοι είο β)του ΓΚΠ∆, η παράγραφος 1 εφαρµόζεται
αναλόγως στην περίπτωση του άρθρου 17 παράγραφος 1 στοι είο α) του ΓΚΠ∆, εάν η
διαγραφή θα ερ όταν σε σύγκρουση µε τις νόµιµες ή συµβατικές περιόδους διατήρησης».
7. Επειδή, στην εξεταζόµενη υπόθεση, από τα στοιχεία του φακέλου της υπόθεσης,
προκύπτει ότι η ΑΧΑ ασφαλιστική εταιρεία, ως υπεύθυνος επεξεργασίας, σύµφωνα µε
τα οριζόµενα στη διάταξη του άρθρου 4 στοιχ. 7 του ΓΚΠ∆, όφειλε καταρχήν να
ικανοποιήσει το από … αίτηµα του Α που αφορούσε στη διαγραφή από τα αρχεία της
εταιρείας δεδοµένων προσωπικού χαρακτήρα και µελών της οικογένειάς του, τα οποία
συλλέχθηκαν στο όνοµα του ιδίου του καταγγέλλοντος από την ΑΧΑ ασφαλιστική
εταιρεία µε τη συγκατάθεσή του, σύµφωνα µε τα οριζόµενα στη διάταξη του άρθρου 9
παρ. 2 στοιχ. α΄ του ΓΚΠ∆, δυνάµει της από … αίτησης ασφάλισης κατά το
9
10
προσυµβατικό στάδιο σύναψης σχετικής ασφαλιστικής σύµβασης, την οποία, εν τέλει,
λόγω των σχετικών όρων του ασφαλιστηρίου συµβολαίου ο καταγγέλλων δεν
αποδέχθηκε και ουδέποτε υπέγραψε. Εν προκειµένω, η ΑΧΑ ασφαλιστική εταιρεία, ως
υπεύθυνος επεξεργασίας, όφειλε, σύµφωνα µε τα οριζόµενα στη διάταξη του άρθρου 17
παρ. 1 στοιχ. β΄ του ΓΚΠ∆, να ικανοποιήσει το προαναφερόµενο αίτηµα διαγραφής του
Α, καθόσον ο τελευταίος µε το από … αίτηµά του κατ’ ουσίαν ανακάλεσε τη θετική
δήλωση βουλήσεως που είχε παράσχει στην εν λόγω ασφαλιστική εταιρεία για τη
συλλογή των προσωπικών του δεδοµένων για το σκοπό της αίτησης ασφάλισης και δεν
υπάρχει άλλη νοµική βάση για την συγκεκριµένη επεξεργασία. Εξάλλου, δεν συντρέχει
περίπτωση νόµιµης παρέκκλισης από το δικαίωµα διαγραφής για τη διατήρηση των
προσωπικών δεδοµένων, σύµφωνα µε τα οριζόµενα στη διάταξη του άρθρου 17 παρ. 3
του ΓΚΠ∆, ούτε εν προκειµένω η άσκηση του δικαιώµατος διαγραφής µπορεί να
υποκατασταθεί από την τυχόν ανωνυµοποίηση των συλλεγέντων δεδοµένων προσωπικού
χαρακτήρα. Περαιτέρω, είναι απορριπτέος ως αβάσιµος ο ισχυρισµός της ΑΧΑ
ασφαλιστικής εταιρείας για συµβατική περίοδο διατήρησης των επίµαχων δεδοµένων,
δυνάµει των άρθρων 34 παρ. 3 του νόµου 4624/2019 και 192 ΑΚ, καθόσον η
προαναφερόµενη διάταξη του νόµου 4624/2019 αφορώσα στη διαγραφή σε περίπτωση
µη αυτοµατοποιηµένης επεξεργασίας, δεν τυγχάνει εν προκειµένω εφαρµογής στην
αυτοµατοποιηµένη επεξεργασία που διενεργεί η ΑΧΑ στα πληροφοριακά της
συστήµατα.
8. Επειδή κατόπιν τούτων, η Αρχή λαµβάνοντας, µεταξύ άλλων, ιδίως, υπόψη, τις
Γνώµες 15/2011 «σ ετικά µε τον ορισµό της συγκατάθεσης» και 5/2014 «σ ετικά µε τις
τε νικές ανωνυµοποίησης» και τις κατευθυντήριες γραµµές «σ ετικά µε τη συγκατάθεση
βάσει του κανονισµού 2016/679» της οµάδας εργασίας του άρθρου 294, καθώς και τις
σχετικές οδηγίες του Ευρωπαϊκού Οργανισµού για την Ασφάλεια ∆ικτύων και
Πληροφοριών (ENISA)5, κρίνει ότι στη συγκεκριµένη περίπτωση υπήρξε εκ µέρους της
ΑΧΑ ασφαλιστικής εταιρείας παραβίαση του δικαιώµατος διαγραφής του Α κατ’ άρθρο
17 του ΓΚΠ∆. Επιπλέον, ανεξαρτήτως του ζητήµατος της σχέσης µεταξύ της διαγραφής
και της ανωνυµοποίησης δεδοµένων προσωπικού χαρακτήρα χωρίς τη δυνατότητα
4
WP187 από 13.07.2011, WP216 από 10.04.2014 και WP259 αναθ.1 όπως τελικώς αναθεωρήθηκαν και
εκδόθηκαν την 10η.04.2018, αντίστοιχα, διαθέσιµες στην ιστοσελίδα http://ec.europa.eu/justice/data-
protection/index_el.htm
5
Ιδίως, Pseudonymisation techniques and best practices από 03.12.2019 διαθέσιµη στην ιστοσελίδα
https://www.enisa.europa.eu.
10
11
ταυτοποίησης του συγκεκριµένου φυσικού προσώπου6, πάντως η ΑΧΑ ασφαλιστική
εταιρεία, ως υπεύθυνος επεξεργασίας, δεν αποδεικνύει αλλά ούτε επικαλείται, την
ύπαρξη λόγου, που βρίσκει έρεισµα στον ΓΚΠ∆, για τη µη ικανοποίηση του δικαιώµατος
της διαγραφής των δεδοµένων προσωπικού χαρακτήρα και την υποκατάσταση της
διαγραφής µε την ανωνυµοποίηση αυτών. Τέτοιο δε λόγο δεν συνιστά αφενός, η σχετική
πρόβλεψη και επίκληση της πολιτικής τήρησης-διαχείρισης των δεδοµένων προσωπικού
χαρακτήρα στο µέτρο που δεν βρίσκει έρεισµα στον ΓΚΠ∆, αφετέρου, η επιλογή των
τεχνικών προδιαγραφών του πληροφοριακού συστήµατος της ΑΧΑ ασφαλιστικής
εταιρείας στο µέτρο που δεν βρίσκει έρεισµα στον ΓΚΠ∆. Η Αρχή, κατά την άσκηση της
διορθωτικής της εξουσίας, κατά τρόπο ώστε να επιβληθεί, αν συντρέχει περίπτωση, το
αποτελεσµατικό, αναλογικό και αποτρεπτικό µέτρο κατ’ άρθρο 83 του ΓΚΠ∆, σύµφωνα
και µε τις Κατευθυντήριες Γραµµές «για την εφαρµογή και τον καθορισµό διοικητικών
προστίµων για τους σκοπούς του κανονισµού 2016/679» της οµάδας εργασίας του άρθρου
297, κατά την αξιολόγηση των δεδοµένων προκειµένου να επιλεγεί το πρόσφορο
διορθωτικό µέτρο, συνεκτιµά, ιδίως, ότι η συγκεκριµένη παραβίαση που αφορούσε σε
επεξεργασία ειδικής κατηγορίας δεδοµένων προσωπικού χαρακτήρα (δεδοµένα υγείας)
συνιστά µεµονωµένη περίπτωση (άρθρο 83 παρ. 2 στοιχ. α΄) και αξιολογεί ως
ελαφρυντική περίσταση (άρθρο 83 παρ. 2 στοιχ. ια΄) το γεγονός ότι η ΑΧΑ ασφαλιστική
εταιρεία ακολούθησε πρακτική εναρµονισµένη προς την πρόβλεψη του χεδίου Κώδικα
∆εοντολογίας της Ένωσης Ασφαλιστικών Εταιρειών για τη διατήρηση των προσωπικών
δεδοµένων του υποψήφιου ασφαλισµένου για µια πενταετία, σε περίπτωση µη σύναψης
ασφαλιστικής σύµβασης, το οποίο, πάντως, λόγω του ότι δεν έχει εγκριθεί από την Αρχή,
δεν µπορεί να χρησιµοποιηθεί ως στοιχείο για την απόδειξη της συµµόρφωσής της µε το
ΓΚΠ∆ (άρθρο 24 παρ. 3). Η νοµιµότητα δε της ανωτέρω πρόβλεψης του χεδίου Κώδικα
θα κριθεί από την Αρχή κατά την εξέταση του Κώδικα στο σύνολό του.
ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ
Η Αρχή
α) κρίνει ότι η ΑΧΑ ασφαλιστική εταιρεία, ως υπεύθυνος επεξεργασίας, παραβίασε την
6
Πρβλ. σχετική απόφαση αυστριακής εποπτικής Αρχής από 05.12.2018 (Geschäftszahl DSB-
D123.270/0009-DSB/2018), διαθέσιµη στην ιστοσελίδα https://www.ris.bka.gv.at.
7
WP 253 από 03.10.2017, διαθέσιµο στην ιστοσελίδα https://edpb.europa.eu
11
12
άσκηση του δικαιώµατος διαγραφής του Α σύµφωνα µε τις διατάξεις των άρθρων 5 και
17 του ΓΚΠ∆ και απευθύνει, δυνάµει του άρθρου 58 παρ. 2 στοιχ. β΄ του ΓΚΠ∆,
επίπληξη στην εν λόγω ασφαλιστική εταιρεία για την παραβίαση των διατάξεων αυτών
και
β) επιφυλάσσεται να κρίνει τη νοµιµότητα της διατήρησης των προσωπικών δεδοµένων
των υποψήφιων ασφαλισµένων για µία πενταετία από τη συλλογή τους κατά το
προσυµβατικό στάδιο για το σκοπό της αποφυγής και καταπολέµησης της ασφαλιστικής
απάτης στο πλαίσιο της εξέτασης του σχεδίου Κώδικα ∆εοντολογίας της Ένωσης
Ασφαλιστικών Εταιρειών που έχει υποβληθεί προς έγκριση στην Αρχή, σύµφωνα µε τα
οριζόµενα στη διάταξη του άρθρου 40 παρ. 5 του ΓΚΠ∆.
Ο Πρόεδρος Η Γραµµατέας
ωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου
12