Άρθρο 25.1 : Προστασία των δεδομένων ήδη από το σχεδιασμό

Η Αρχή εξέτασε καταγγελία σύμφωνα με την οποία πολίτης δεν κατάφερε να διαγραφεί από τις λίστες αποδεκτών διαφημιστικών μηνυμάτων της εταιρείας. Η αποτυχία διαγραφής του από τις λίστες οφειλόταν σε τεχνικό σφάλμα.  Από την εξέταση των στοιχείων της υπόθεσης προέκυψε ότι η καταγγελλόμενη εταιρεία, ως υπεύθυνος επεξεργασίας δεν διέθετε στην πράξη τις απαραίτητες διαδικασίες ώστε να εξασφαλίσει τη διαγραφή των δεδομένων, ώστε να πληρούνται οι απαιτήσεις του ΓΚΠΔ και να προστατεύονται τα δικαιώματα των υποκειμένων των δεδομένων, κατά το άρθρο 17 σε συνδυασμό με το άρθρο 21 παρ. 3 του ΓΚΠΔ και το άρθρου 25 παρ. 1 του ΓΚΠΔ. Η Αρχή επέβαλε, στην «ΚΑΡΙΕΡΑ ΜΟΝΟΠΡΟΣΩΠΗ ΑΝΩΝΥΜΗΕΤΑΙΡΕΙΑ ΤΕΧΝΟΓΝΩΣΙΑΣ ΕΠΙΜΕΛΕΙΑΣ, ΕΜΠΟΡΙΚΗΣ ΠΡΟΩΘΗΣΗΣ ΚΑΙ ΕΚΜΕΤΑΛΛΕΥΣΗΣ ΕΙΔΙΚΩΝ ΕΚΔΟΣΕΩΝ» με τον διακριτικό τίτλο «ΚΑΡΙΕΡΑ Α.Ε.» το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους πέντε χιλιάδων ευρώ (5.000,00) ευρώ.

Η Αρχή επέβαλε σε εμπορική εταιρεία που διαθέτει ηλεκτρονικό και φυσικά καταστήματα πρόστιμο 20.000 ευρώ για μη ορθή ανταπόκριση σε άσκηση δικαιώματος διαγραφής. Ο καταγγέλλων απέστειλε μήνυμα ηλεκτρονικού ταχυδρομείου στην εταιρεία ζητώντας τη διαγραφή του αριθμού του από περαιτέρω ενέργειες αποστολής διαφημιστικών μηνυμάτων. Η εταιρεία αρχικά δεν ανταποκρίθηκε. Μετά την παρέμβαση της Αρχής, η εταιρεία δήλωσε ότι διέγραψε τα στοιχεία του καταγγέλλοντα, αλλά απέστειλε εκ νέου προωθητικό SMS. Η Αρχή επέβαλε κύρωση για παράβαση του δικαιώματος διαγραφής και για μη ορθή διαδικασία κατά την εκ των υστέρων ικανοποίηση του δικαιώματος.

Η Αρχή έγινε αποδέκτης καταγγελιών συνδρομητών τηλεφωνίας του ΟΤΕ οι οποίοι, αν και είχαν εγγραφεί στο μητρώο αντιρρήσεων («opt-out») του άρθρου 11 του ν. 3471/2006 του παρόχου τους, είχαν λάβει τηλεφωνικές κλήσεις από τρίτες εταιρείες για σκοπούς προώθησης προϊόντων και υπηρεσιών. Όπως διαπιστώθηκε, οι εν λόγω συνδρομητές είχαν υποβάλει αίτημα φορητότητας για τη μεταφορά της τηλεφωνικής τους σύνδεσης σε άλλο πάροχο. Στο πλαίσιο της ενέργειας αυτής, ο ΟΤΕ διέγραψε τα στοιχεία τους από το μητρώο. Ωστόσο, όταν οι συγκεκριμένοι συνδρομητές ακύρωσαν το αίτημα φορητότητας, δεν υπήρχε ορθή διαδικασία για την ακύρωση της διαγραφής τους. Οι συνδρομητές εμφανίζονταν μεν ως εγγεγραμμένοι στο μητρώο στην εσωτερική εφαρμογή πελατειακών σχέσεων, αλλά οι τηλεφωνικοί αριθμοί τους δεν περιλαμβάνονταν στο μητρώο που έστελνε ο ΟΤΕ στις διαφημιζόμενες εταιρείες. Η Αρχή διαπίστωσε ότι το περιστατικό αυτό επηρέασε μεγάλο αριθμό φυσικών προσώπων/συνδρομητών και, με την απόφαση 31/2019, επέβαλε στον ΟΤΕ διοικητικό πρόστιμο ύψους 200.000 ευρώ.

Η Αρχή έγινε αποδέκτης καταγγελιών από παραλήπτες μηνυμάτων διαφημιστικού περιεχομένου του ΟΤΕ. Κατά την εξέταση των καταγγελιών προέκυψε ότι από το 2013 και μετά, λόγω τεχνικού σφάλματος, δεν λειτουργούσε η διαγραφή από τις λίστες αποδεκτών των μηνυμάτων διαφημιστικού περιεχομένου για όσους παραλήπτες ασκούσαν το δικαίωμα αυτό μέσω του συνδέσμου «unsubscribe». Το σφάλμα έγινε αντιληπτό μετά την παρέμβαση της Αρχής οπότε και διορθώθηκε. Στη συνέχεια o OTE προέβη στη διαγραφή 8.000 περίπου συνδρομητών από τις λίστες αποδεκτών των μηνυμάτων, οι οποίοι είχαν ανεπιτυχώς προσπαθήσει να διαγραφούν από το 2013 και μετά. Η Αρχή διαπίστωσε παράβαση του δικαιώματος εναντίωσης του άρθρου 21 του ΓΚΠΔ καθώς και του άρθρου 25 και επέβαλε στον ΟΤΕ διοικητικό πρόστιμο ύψους 200.000 ευρώ.

Η Αρχή εξέτασε αυτεπάγγελτα κατατεθέν Σχέδιο Νόμου του Υπουργείου Μεταφορών σε σχέση με την αναβάθμιση της διαδικασίας εξέτασης υποψηφίων οδηγών. Έκρινε ότι κατ’ αρχήν υπάρχει λόγος δημοσίου συμφέροντος που δικαιολογεί την επεξεργασία, αλλά επισήμανε ειδικότερα ζητήματα σε σχέση με το προτεινόμενο μέτρο. Κατ’ αρχάς, διαπίστωσε ότι δεν προκύπτει από το προτεινόμενο νομοθέτημα η αναγκαιότητα της καταγραφής με οπτικοακουστικά μέσα της θεωρητικής εξέτασης. Περαιτέρω, έκρινε ότι με το νομοθέτημα πρέπει να ορίζονται ορθά ο υπεύθυνος και οι εκτελούντες την επεξεργασία και να διασφαλιστεί ότι ο χρησιμοποιούμενος εξοπλισμός θα λειτουργεί μόνο κατά τη διάρκεια των εξετάσεων. Επισήμανε, επίσης, ότι το νομοθέτημα δεν κάνει αναφορά στις αρχές της προστασίας των δεδομένων ήδη από τον σχεδιασμό, ούτε έχει προβλέψει την υποχρέωση εκτίμησης αντικτύπου σχετικά με την προστασία δεδομένων, τα οποία είναι σκόπιμο να αντιμετωπίζονται σε αρχικό στάδιο. Με τη γνωμοδότηση τίθεται επίσης ζήτημα ικανοποίησης της αρχής του χρονικού περιορισμού με μείωση του χρόνου τήρησης των δεδομένων. Τέλος, η Αρχή επισήμανε και διατάξεις που μπορεί να βελτιωθούν νομοτεχνικά.

Η Αρχή, κατόπιν αναφορών της ΟΙΕΛΕ και της ΔΟΕ και καταγγελίας γονέα, εξέτασε τη νομιμότητα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά την εφαρμογή διαδικασιών σύγχρονης εξ αποστάσεως εκπαίδευσης από σχολικές μονάδες πρωτοβάθμιας και δευτεροβάθμιας εκπαίδευσης, η οποία υλοποιήθηκε κατόπιν της υπ’ αριθ. 57233/Υ1 Υπουργικής απόφασης. Προ της εν λόγω Υ.Α. το Υπουργείο Παιδείας και Θρησκευμάτων διενήργησε μελέτη εκτίμησης αντικτύπου (ΕΑΠΔ), όπως προβλέπεται στο άρθρο 63 του ν. 4686/20 και το άρθρο 35 του ΓΚΠΔ. Η Αρχή, έκρινε νόμιμη τη διαδικασία σύγχρονης εξ αποστάσεως εκπαίδευσης, διαπιστώνοντας όμως ότι η διενεργηθείσα ΕΑΠΔ δεν έχει εξετάσει με πληρότητα μια σειρά από παράγοντες και κινδύνους σε σχέση με τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων. Αναγνωρίζοντας την αναγκαιότητα της σύγχρονης εξ αποστάσεως εκπαίδευσης, ιδίως σε περιπτώσεις πανδημίας, η Αρχή παρείχε γνώμη προς το Υπουργείο, ώστε να αντιμετωπισθούν οι ανωτέρω ελλείψεις και το κάλεσε, όπως εντός αποκλειστικού διαστήματος τριών μηνών προβεί στις απαραίτητες ενέργειες τροποποίησης και συμπλήρωσης της ΕΑΠΔ και των λαμβανόμενων μέτρων.