Σ.τ.Ε. 150/2017 (Τμ. Δ΄)
Πρόεδρος : Δ. ΠΕΤΡΟΥΛΙΑΣ, Αντιπρόεδρος
Εισηγήτρια: Μ. ΣΩΤΗΡΟΠΟΥΛΟΥ, Πάρεδρος
Παραβίαση προσωπικών δεδομένων συνιστά η αποστολή καταθετικών στοιχείων του δικαιούχου σε άλλη διεύθυνση.
Επειδή, στο άρθρο 2 του προαναφερθέντος Ν.2472/1997 , όπως ίσχυε τον κρίσιμο χρόνο, ορίζονται τα εξής, ορίζονται τα εξής: «Για τους σκοπούς του παρόντος νόμου νοούνται ως: α) «Δεδομένα προσωπικού χαρακτήρα», κάθε πληροφορία που αναφέρεται στο υποκείμενο των δεδομένων … γ) «Υποκείμενο των δεδομένων», το φυσικό πρόσωπο στο οποίο αναφέρονται τα δεδομένα και του οποίου η ταυτότητα είναι γνωστή ή μπορεί να εξακριβωθεί, δηλαδή μπορεί να προσδιορισθεί αμέσως ή εμμέσως, … δ) «Επεξεργασία δεδομένων προσωπικού χαρακτήρα» («επεξεργασία»), κάθε εργασία ή σειρά εργασιών που πραγματοποιείται, από το Δημόσιο ή από νομικό πρόσωπο δημοσίου δικαίου ή ιδιωτικού δικαίου ή ένωση προσώπων ή φυσικό πρόσωπο με ή χωρίς τη βοήθεια αυτοματοποιημένων μεθόδων και εφαρμόζονται σε δεδομένα προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διατήρηση ή αποθήκευση, η τροποποίηση, η εξαγωγή, η χρήση, η διαβίβαση, η διάδοση ή κάθε άλλης μορφής διάθεση, η συσχέτιση ή ο συνδυασμός, η διασύνδεση, η δέσμευση (κλείδωμα), η διαγραφή, η καταστροφή. ε) «Αρχείο δεδομένων προσωπικού χαρακτήρα» («αρχείο»), σύνολο δεδομένων προσωπικού χαρακτήρα, το οποία αποτελούν ή μπορεί να αποτελέσουν αντικείμενο επεξεργασίας, και το οποία τηρούνται είτε από το Δημόσιο ή από νομικό πρόσωπο δημοσίου δικαίου ή ιδιωτικού δικαίου ή ένωση προσώπων ή φυσικό πρόσωπο … ζ) «Υπεύθυνος επεξεργασίας», οποιοσδήποτε καθορίζει το σκοπό και τον τρόπο επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, όπως φυσικό ή νομικό πρόσωπο, δημόσια αρχή ή υπηρεσία ή οποιοσδήποτε άλλος οργανισμός. Όταν ο σκοπός και ο τρόπος της επεξεργασίας καθορίζονται με διατάξεις νόμου ή κανονιστικές διατάξεις εθνικού ή κοινοτικού δικαίου, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια βάσει των οποίων γίνεται η επιλογή του καθορίζονται αντίστοιχα από το εθνικό ή το κοινοτικό δίκαιο. η) «Εκτελών την επεξεργασία», οποιοσδήποτε επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό υπεύθυνου επεξεργασίας, όπως φυσικό ή νομικό πρόσωπο, δημόσια αρχή ή υπηρεσία ή οποιοσδήποτε άλλος οργανισμός …». Στη δε παρ.1 του άρθρου 4 του αυτού νόμου προβλέπονται τα εξής: «Τα δεδομένα προσωπικού χαρακτήρα για να τύχουν νόμιμης επεξεργασίας πρέπει: α) Να συλλέγονται κατά τρόπο θεμιτό και νόμιμο για καθορισμένους, σαφείς και νόμιμους σκοπούς και να υφίστανται θεμιτή και νόμιμη επεξεργασία εν όψει των σκοπών αυτών. β) … γ) Να είναι ακριβή και, εφόσον χρειάζεται, να υποβάλλονται σε ενημέρωση. δ) …». Περαιτέρω, στο άρθρο 5 του νόμου ορίζεται ότι: «1. Επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται μόνον όταν το υποκείμενο των δεδομένων έχει δώσει τη συγκατάθεσή του. 2. Κατ΄ εξαίρεση επιτρέπεται η επεξεργασία και χωρίς τη συγκατάθεση, όταν: α) Η επεξεργασία είναι αναγκαία για την εκτέλεση σύμβασης, στην οποία συμβαλλόμενο μέρος είναι υποκείμενο δεδομένων ή για τη λήψη μέτρων κατόπιν αιτήσεως του υποκειμένου κατά το προσυμβατικό στάδιο. β) Η επεξεργασία είναι αναγκαία για την εκπλήρωση υποχρεώσεως του υπεύθυνου επεξεργασίας, η οποία επιβάλλεται από το νόμο. γ) Η επεξεργασία είναι αναγκαία για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου, εάν αυτό τελεί σε φυσική ή νομική αδυναμία να δώσει τη συγκατάθεσή του. δ) Η επεξεργασία είναι αναγκαία για την εκτέλεση έργου δημόσιου συμφέροντος ή έργου που εμπίπτει στην άσκηση δημόσιας εξουσίας και εκτελείται από δημόσια αρχή ή έχει ανατεθεί από αυτή είτε στον υπεύθυνο επεξεργασίας είτε σε τρίτο, στον οποίο γνωστοποιούνται τα δεδομένα. ε) Η επεξεργασία είναι απολύτως αναγκαία για την ικανοποίηση του έννομου συμφέροντος που επιδιώκει ο υπεύθυνος επεξεργασίας ή ο τρίτος ή οι τρίτοι στους οποίους ανακοινώνονται τα δεδομένα και υπό τον όρο ότι τούτο υπερέχει προφανώς των δικαιωμάτων και συμφερόντων των προσώπων στα οποία αναφέρονται τα δεδομένα και δεν θίγονται οι θεμελιώδεις ελευθερίες αυτών. 3. …».
Εξάλλου, στις παρ.3 και 4 του άρθρου 10 του αυτού νόμου προβλέπονται τα εξής: «Ο υπεύθυνος επεξεργασίας οφείλει να λαμβάνει τα κατάλληλα οργανωτικά και τεχνικά μέτρα για την ασφάλεια των δεδομένων και την προστασία τους από τυχαία ή αθέμιτη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευμένη διάδοση ή πρόσβαση και κάθε άλλη μορφή αθέμιτης επεξεργασίας. Αυτά τα μέτρα πρέπει να εξασφαλίζουν επίπεδο ασφάλειας ανάλογο προς τους κινδύνους που συνεπάγεται η επεξεργασία και η φύση των δεδομένων που είναι αντικείμενο της επεξεργασίας» (παρ.3) και «Αν η επεξεργασία διεξάγεται για λογαριασμό του υπευθύνου από πρόσωπο μη εξαρτώμενο από αυτόν, η σχετική ανάθεση γίνεται υποχρεωτικά εγγράφως. Η ανάθεση προβλέπει υποχρεωτικά ότι ο ενεργών την επεξεργασία τη διεξάγει μόνο κατ΄ εντολήν του υπευθύνου και ότι οι λοιπές υποχρεώσεις του παρόντος άρθρου βαρύνουν αναλόγως και αυτόν» (παρ.4). Σύμφωνα με το άρθρο 21 του νόμου, «1. Η Αρχή επιβάλλει στους υπεύθυνους επεξεργασίας ή στους τυχόν εκπροσώπους τους τις ακόλουθες διοικητικές κυρώσεις, για παράβαση των υποχρεώσεών τους που απορρέουν από τον παρόντα νόμο και από κάθε άλλη ρύθμιση που αφορά την προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα: α) Προειδοποίηση, … β) Πρόστιμο ποσού από τριακόσιες χιλιάδες (300.000) έως πενήντα εκατομμύρια (50.000.000) δραχμές. γ) Προσωρινή ανάκληση άδειας. δ) οριστική ανάκληση άδειας. … 2. Οι υπό στοιχεία β΄, γ΄, δ΄ και ε΄ διοικητικές κυρώσεις της προηγούμενης παραγράφου επιβάλλονται πάντοτε ύστερα από ακρόαση του υπεύθυνου επεξεργασίας ή του εκπροσώπου του. Είναι ανάλογες προς τη βαρύτητα της παράβασης που καταλογίζεται. Οι υπό στοιχεία γ΄, δ΄ και ε΄ διοικητικές κυρώσεις επιβάλλονται σε περιπτώσεις ιδιαίτερα σοβαρής ή καθ΄ υποτροπήν παράβασης …».
7. Επειδή, εν προκειμένω, όπως προκύπτει από τα στοιχεία του φακέλου, ο ιδιώτης Φ. είχε ανοίξει ατομικό τραπεζικό λογαριασμό στην Τράπεζα με την επωνυμία …, δηλώνοντας συγκεκριμένη διεύθυνση κατοικίας (οδό Χ), είχε δε παράσχει εντολή για την απόκτηση μεριδίων αμοιβαίων κεφαλαίων μέσω του λογαριασμού αυτού. Για την παροχή των υπηρεσιών που σχετίζονταν με την τελευταία αυτή δραστηριότητα, συμβλήθηκε με την αιτούσα εταιρεία Διαχείρισης Αμοιβαίων Κεφαλαίων, η οποία του απέστειλε ενημερωτικά σημειώματα για τις κινήσεις του χαρτοφυλακίου αμοιβαίων κεφαλαίων που αφορούσαν το τελευταίο τρίμηνο του έτους 2000 σε άλλη διεύθυνση (οδό Φ), που αποτελούσε τη διεύθυνση της ατομικής επιχείρησης της πρώην συζύγου του. Στις 29/11/2004, ο Φ. υπέβαλε καταγγελία στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, ισχυριζόμενος ότι η Τράπεζα και η αιτούσα προέβησαν σε παράνομη διαβίβαση προσωπικών δεδομένων που τον αφορούσαν σε άλλη διεύθυνση σε σχέση με τη δηλωθείσα, με αποτέλεσμα να λάβει γνώση αυτών η πρώην σύζυγός του και να τα χρησιμοποιήσει εναντίον του σε δίκη…
Στη συνέχεια, η Αρχή κάλεσε … την αιτούσα σε ακρόαση και, με την προσβαλλόμενη πράξη, της επέβαλε και πάλι πρόστιμο ύψους 5.000 ευρώ. Ειδικότερα, η Αρχή δέχθηκε τα εξής: α. …, β. …, γ. …, δ. …, ε. ότι η Τράπεζα, ως εκτελούσα την επεξεργασία για λογαριασμό της αιτούσας, δεν ήλεγξε, ως όφειλε, τη δηλωθείσα από τον Φ. διεύθυνση σε σχέση με τον επίδικο λογαριασμό, με αποτέλεσμα να αποστείλει στην αιτούσα μη ακριβή προσωπικά στοιχεία του Φ., στ. ότι η αιτούσα παρέλειψε να λάβει τα κατάλληλα οργανωτικά και τεχνικά μέτρα για την ορθή υλοποίηση των υποχρεώσεών της ως υπευθύνου επεξεργασίας, και να παράσχει τις κατάλληλες οδηγίες στην Τράπεζα, και διεβίβασε παρανόμως προσωπικά δεδομένα του Φ. σε τρίτο πρόσωπο. Κατόπιν αυτών, η Αρχή επέβαλε στην αιτούσα πρόστιμο ύψους 5.000 ευρώ, λαμβάνοντας υπόψη τη βαρύτητα της παράβασης και της προσβολής που επήλθε στα έννομα συμφέροντα του Φ., ενόψει του ότι προσωπικά στοιχεία αυτού περιήλθαν σε τρίτο, μη δικαιούμενο, πρόσωπο.
Υπό τα δεδομένα αυτά, νομίμως έκρινε η Αρχή ότι η αιτούσα, ως υπεύθυνη επεξεργασίας, ευθύνεται για την παράνομη επεξεργασία των δεδομένων του Φ., που συνίσταται στην καταχώρηση, χρήση, διατήρηση και διαβίβαση αυτών, και για την παράλειψη λήψης των κατάλληλων οργανωτικών και τεχνικών μέτρων για την ασφάλεια των δεδομένων και την προστασία τους από κάθε αθέμιτη επεξεργασία.
e-forologia.g
