Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ)
Ημερομηνία
27/06/2024
Αριθμός απόφασης
17
Εφαρμοζόμενες διατάξεις
ΓΚΠΔ: Άρθρο 15 : Δικαίωμα πρόσβασης
ΓΚΠΔ: Άρθρο 17 : Δικαίωμα διαγραφής
ΓΚΠΔ: Άρθρο 24 : Ευθύνη του υπευθύνου επεξεργασίας
ΓΚΠΔ: Άρθρο 24.2 : Eφαρμογή κατάλληλων πολιτικών για την προστασία των δεδομένων
ΓΚΠΔ: Άρθρο 32 : Ασφάλεια επεξεργασίας
ΓΚΠΔ: Άρθρο 33 : Γνωστοποίηση παραβίασης δεδομένων προσωπικού χαρακτήρα
Περίληψη
Η Αρχή εξέτασε καταγγελία σύμφωνα με την οποία πρώην υπάλληλος (μεταφορέας) της καταγγελλόμενης εταιρείας απέστειλε μήνυμα sms στο προσωπικό κινητό τηλέφωνο της καταγγέλλουσας, η οποία διατηρούσε λογαριασμό χρήστη στο ηλεκτρονικό κατάστημα της εταιρείας και είχε πραγματοποιήσει δύο παραγγελίες που της είχαν παραδοθεί από τον εν λόγω υπάλληλο λίγες ημέρες νωρίτερα.
Η καταγγέλλουσα ανέφερε το περιστατικό στην εταιρεία, ασκώντας παράλληλα τα δικαιώματα πρόσβασης στα προσωπικά της δεδομένα και διαγραφής των δεδομένων αυτών. Ωστόσο, η εταιρεία δεν προχώρησε σε διερεύνηση του περιστατικού σύμφωνα με τη σχετική Πολιτική της και σε γνωστοποίησή του στην Αρχή, ούτε σε επανεξέταση και επικαιροποίηση των τεχνικών και οργανωτικών μέτρων που εφαρμόζει προκειμένου να αποφευχθεί παρόμοιο περιστατικό στο μέλλον.
Επιπλέον, η εταιρεία δεν ανταποκρίθηκε στο αίτημα πρόσβασης της καταγγέλλουσας, θεωρώντας ότι δεν ήταν η ίδια το υποκείμενο των δεδομένων, αλλά ο σύζυγός της, τα στοιχεία του οποίου αναφέρονταν στην παραγγελία, ούτε όμως στο αίτημα διαγραφής των δεδομένων της καταγγέλλουσας, με αποτέλεσμα η τελευταία να συνεχίσει να λαμβάνει το ενημερωτικό δελτίο (newsletter) της εταιρείας.
Για τις διαπιστωθείσες παραβάσεις των σχετικών διατάξεων του ΓΚΠΔ, η Αρχή επέβαλε πρόστιμο ανάλογο με τη βαρύτητα καθεμίας.
Απόσπασμα της απόφασης
«Σύμφωνα με την καταγγελία, η καταγγέλλουσα πραγματοποίησε παραγγελία από το ηλεκτρονικό κατάστημα της καταγγελλόμενης εταιρείας, μέσω του λογαριασμού της σε αυτό, καταχωρώντας τη διεύθυνση κατοικίας της και το ονοματεπώνυμο του συζύγου της, καθώς αυτό αναγραφόταν στο κουδούνι.
Η παραγγελία έφτασε, ωστόσο ο μεταφορέας αρνήθηκε να ανεβάσει τα προϊόντα στο διαμέρισμα της καταγγέλλουσας, το οποίο βρισκόταν σε όροφο χωρίς ασανσέρ, αναγκάζοντάς την – και δη σε κατάσταση εγκυμοσύνης – να κατέβει στο ισόγειο και να τα ανεβάσει μόνη της. Η καταγγέλλουσα επικοινώνησε με την εταιρεία, προκειμένου να διευκρινίσει αν η πρακτική αυτή αποτελούσε πολιτική της, ώστε να γνωρίζει κατά πόσον θα επιλέξει άλλη αλυσίδα καταστημάτων.
Η καταγγελλόμενη εταιρεία τη διαβεβαίωσε πως η εξυπηρέτησή της δεν ήταν η προβλεπόμενη και της έκανε δώρο μια δωροεπιταγή των 5 ευρώ, ωστόσο λίγες ημέρες μετά η καταγγέλλουσα δέχθηκε τηλεφωνική κλήση και έλαβε μήνυμα από τον μεταφορέα, ο οποίος την κατηγόρησε για την απόλυσή του και τη συνεχάρη ειρωνικά.
Η καταγγέλλουσα διαμαρτυρήθηκε, μέσω εξωδίκου, για την παράνομη επεξεργασία των προσωπικών δεδομένων της, ενώ ζήτησε ενημέρωση για τα δεδομένα της που τηρούνταν, καθώς και τη διαγραφή τους. Με εξώδικη απάντησή της, η εταιρεία αρνήθηκε την οποιαδήποτε ευθύνη της για την κατοχή του τηλεφωνικού αριθμού της καταγγέλλουσας από τον απολυθέντα υπάλληλό της, προβάλλοντας τον ισχυρισμό πως ο αριθμός αυτός πιθανότατα διατηρήθηκε στην κατοχή του επειδή αναγραφόταν στο δελτίο παραγγελίας.
Με βάση τα ανωτέρω, η καταγγέλλουσα διαμαρτυρήθηκε ενώπιον της Αρχής για την παράνομη επεξεργασία των δεδομένων της εκ μέρους της καταγγελλόμενης εταιρείας, η οποία οφειλόταν, κατά την άποψή της, στην απουσία κατάλληλων τεχνικών και οργανωτικών μέτρων ασφαλείας έναντι του κινδύνου της άνευ άδειας πρόσβασης στα δεδομένα της από εργαζόμενο και η οποία της προξένησε ηθική βλάβη, για τη μη γνωστοποίηση του περιστατικού στην Αρχή κατά το άρθρο 33 ΓΚΠΔ, καθώς και για τη μη ικανοποίηση των δικαιωμάτων ενημέρωσης, πρόσβασης και διαγραφής που άσκησε σύμφωνα με τον ΓΚΠΔ»
Αναλυτικά το κείμενο της απόφασης 17/27.06.2024 της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ)
Το άρθρο δημοσιεύτηκε πρώτη φορά στον Οδηγό του Πολίτη (odigostoupoliti.eu). Επιτρέπεται η αναδημοσίευση (όχι αυτολεξεί) του περιεχομένου του παρόντος άρθρου, μόνο με αναφορά, με ενεργό σύνδεσμο (link)(https://www.odigostoupoliti.eu), της πηγής προέλευσης