Πρόστιμο για ανεπιθύμητες τηλεφωνικές κλήσεις προώθησης προϊόντων
Με την υπ’ αριθμ 127/2017 απόφασή της η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα επέβαλε, έπειτα από πολλές καταγγελίες καταναλωτών, πρόστιμο εβδομήντα χιλιάδων (70.000) ευρώ σε εταιρεία για ανεπιθύμητες τηλεφωνικές κλήσεις, µε ή χωρίς ανθρώπινη παρέμβαση, και µε σκοπό την προώθηση προϊόντων ή υπηρεσιών.
Σύμφωνα µε το αρ. 4 παρ. 1 στοιχ. α) του ν. 2472/1997, τα δεδοµένα προσωπικού χαρακτήρα για να τύχουν νόµιµης επεξεργασίας πρέπει να συλλέγονται µε τρόπο θεµιτό και νόµιµο, για καθορισµένους, σαφείς και νόµιµους σκοπούς και να υφίστανται θεµιτή και νόµιµη επεξεργασία ενόψει των σκοπών αυτών (αρχή του σκοπού).
Επίσης, σύµφωνα µε το άρ. 4 παρ. 1 στοιχ. γ) τα δεδοµένα πρέπει να είναι ακριβή και, εφόσον χρειάζεται, να υποβάλλονται σε ενηµέρωση.
Περαιτέρω, σύµφωνα µε το άρθρο 5 του ν. 2472/1997, η επεξεργασία δεδοµένων προσωπικού χαρακτήρα επιτρέπεται µόνο όταν το υποκείµενο έχει δώσει τη συγκατάθεσή του, όπως επιτάσσει το αρ. 5 παρ. 1 του ν. 2472/1997 (εκτός εάν συντρέχει µία από τις προβλεπόµενες από την παράγραφο 2 του ιδίου άρθρου εξαιρέσεις, οπότε είναι νόµιµη η επεξεργασία και χωρίς τη συγκατάθεση του υποκειµένου).
Το ζήτηµα των τηλεφωνικών κλήσεων, για σκοπούς απευθείας προώθησης προϊόντων ή υπηρεσιών και για κάθε είδους διαφηµιστικούς σκοπούς, ρυθµίζεται στο άρθρο 11 του ν. 3471/2006, όπου ορίζεται ότι: «Η χρησιµοποίηση αυτόµατων συστηµάτων κλήσης, ιδίως µε χρήση συσκευών τηλεοµοιοτυπίας (φαξ) ή ηλεκτρονικού ταχυδροµείου, και γενικότερα η πραγµατοποίηση µη ζητηθεισών επικοινωνιών µε οποιοδήποτε µέσο ηλεκτρονικής επικοινωνίας, χωρίς ανθρώπινη παρέµβαση, για σκοπούς απευθείας εµπορικής προώθησης προϊόντων ή υπηρεσιών και για κάθε είδους διαφηµιστικούς σκοπούς, επιτρέπεται µόνο αν ο συνδροµητής συγκατατεθεί εκ των προτέρων ρητώς», ενώ µε την παράγραφο 2 του ιδίου άρθρου ορίζεται ότι: «∆εν επιτρέπεται η πραγµατοποίηση µη ζητηθεισών επικοινωνιών µε ανθρώπινη παρέµβαση (κλήσεων) για τους ανωτέρω σκοπούς, εφόσον ο συνδροµητής έχει δηλώσει προς τον φορέα παροχής της διαθέσιµης στο κοινό υπηρεσίας, ότι δεν επιθυµεί γενικώς να δέχεται τέτοιες κλήσεις. Ο φορέας υποχρεούται να καταχωρίζει δωρεάν τις δηλώσεις αυτές σε ειδικό κατάλογο συνδροµητών, ο οποίος είναι στη διάθεση κάθε ενδιαφεροµένου».
Η ανωτέρω διάταξη είναι σύµφωνη µε όσα ορίζονται στο άρθρο 13 της Οδηγίας 2002/58/ΕΚ σχετικά µε την επεξεργασία των δεδοµένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τοµέα των ηλεκτρονικών επικοινωνιών, όπως αυτή έχει τροποποιηθεί µε την Οδηγία 2009/136/ΕΚ, η οποία, στην παρ. 3 του ανωτέρω άρθρου, αφήνει στη διακριτική ευχέρεια του εθνικού νοµοθέτη να ρυθµίσει τις προϋποθέσεις πραγµατοποίησης τηλεφωνικών κλήσεων µε ανθρώπινη παρέµβαση είτε µετά από προηγούµενη συγκατάθεση (σύστηµα «opt in») είτε µε δήλωση αντίρρησης (σύστηµα «opt out»).
Κατά συνέπεια, µετά την 01-09-2011 οπότε και τέθηκε σε ισχύ η τροποποιηθείσα – προς το ευνοϊκότερο για τους υπευθύνους επεξεργασίας – διάταξη, οι τηλεφωνικές κλήσεις µε ανθρώπινη παρέµβαση, ενόψει των ανωτέρω σκοπών, επιτρέπονται, εκτός αν ο καλούµενος έχει δηλώσει ότι δεν τις επιθυµεί (σύστηµα «opt-out»). Το σύστηµα «opt-out» έχει ως συνέπεια ότι τα φυσικά ή νοµικά πρόσωπα µπορούν να απευθύνουν τις αντιρρήσεις τους, όσον αφορά την επεξεργασία των δεδοµένων τους, είτε ειδικά, απευθείας στον υπεύθυνο επεξεργασίας (δηλαδή στον διαφηµιζόµενο) ασκώντας το δικαίωµα αντίρρησης ως προς την επεξεργασία προσωπικών δεδοµένων βάσει του άρθρου 13 του ν. 2472/1997 είτε γενικά, µέσω της εγγραφής τους στον ειδικό κατάλογο συνδροµητών του παρόχου που προβλέπει το άρθρο 11 παρ. 2 ν. 3471/2006. Ο νόµος προβλέπει τη δηµιουργία Μητρώων («opt-out») σε κάθε πάροχο και ο συνδροµητής µπορεί να δηλώσει ατελώς, στον δικό του πάροχο υπηρεσιών ηλεκτρονικών επικοινωνιών, ότι δεν επιθυµεί να λαµβάνει τηλεφωνικές κλήσεις για απευθείας εµπορική προώθηση. Ο κάθε πάροχος έχει, από την προαναφερόµενη διάταξη, την υποχρέωση να τηρεί, µε αυτές τις δηλώσεις, ∆ηµόσιο Μητρώο που επιτελεί έναν δηµόσιο σκοπό και στο οποίο έχει πρόσβαση όποιος ενδιαφέρεται να το χρησιµοποιήσει για απευθείας εµπορική προώθηση.
Οι διαφηµιζόµενοι οφείλουν να λαµβάνουν από όλους τους παρόχους επικαιροποιηµένα αντίγραφα των Μητρώων του άρ. 11 του ν. 3471/2006 και να εξασφαλίζουν ότι έχουν διαθέσιµες τις δηλώσεις των συνδροµητών που έχουν πραγµατοποιηθεί έως τριάντα ηµέρες πριν από την πραγµατοποίηση της τηλεφωνικής κλήσης. Ο χρόνος αυτός των τριάντα ηµερών κρίνεται απαραίτητος ώστε να έχουν τη δυνατότητα οι υπεύθυνοι επεξεργασίας να επεξεργαστούν τα µητρώα, λαµβάνοντας υπόψη τις αντικειµενικές δυσκολίες συγκέντρωσης, από όλους τους παρόχους, διαφορετικών αρχείων µητρώων «opt-out» τα οποία πολλές φορές έχουν διαφορετικό µορφότυπο, ως και το γεγονός ότι δεν είναι δυνατόν ο εκάστοτε υπεύθυνος επεξεργασίας να προβαίνει σε καθηµερινές ενηµερώσεις, καθώς κάτι τέτοιο θα προκαλούσε υπερβολικό φόρτο τόσο σε αυτόν όσο και στους παρόχους. Από την άλλη πλευρά, υπέρβαση των τριάντα ηµερών οδηγεί σε υπερβολική καθυστέρηση ικανοποίησης του αιτήµατος αντίρρησης. Συνεπώς οι υπεύθυνοι επεξεργασίας θα πρέπει να εφαρµόζουν κατάλληλες διαδικασίες για να εξασφαλίζεται το ανωτέρω 30-ήµερο, συνυπολογίζοντας κάθε είδους καθυστέρηση (βλ. και τις υπ’ αριθµ. 62-67/2016 Αποφάσεις της Αρχής).
Σε κάθε περίπτωση, σηµειώνεται ότι για τις κλήσεις χωρίς ανθρώπινη παρέµβαση (αυτοµατοποιηµένες κλήσεις) απαιτείται, όπως ρητά επιτάσσει το άρ. 11 παρ. 1 του ν. 3471/2006, η προηγούµενη συγκατάθεση των συνδροµητών – ακόµα και αν οι αριθµοί αυτοί δεν έχουν καταχωρηθεί στο µητρώο «opt-out» του παρόχου τους. Πρέπει δε να επισηµανθεί ότι η διάταξη για τις αυτοµατοποιηµένες κλήσεις, κατ’ εφαρµογή της Οδηγίας 2002/58/ΕΚ, είναι σε ισχύ από την έναρξη εφαρµογής του ν. 3471/2006 αλλά και του προγενέστερου ν. 2774/1999, δεν επηρεάστηκε δηλαδή από τη µετέπειτα τροποποίηση του νόµου ν. 3471/2006.
Περαιτέρω, ο υπεύθυνος της επεξεργασίας οφείλει να ικανοποιεί και τα λοιπά δικαιώµατα των υποκειµένων, ιδίως τα δικαιώµατα ενηµέρωσης, πρόσβασης και αντίρρησης (άρ. 11-13 του ν. 2472/1997). Τούτο σηµαίνει ότι κατά τη διενέργεια µιας τηλεφωνικής κλήσης και σε συµφωνία µε τα οριζόµενα στο αρ. 11 του ν. 2472/1997, ο υπεύθυνος επεξεργασίας θα πρέπει να ενηµερώνει για την ταυτότητά του και την ταυτότητα του εκπροσώπου του, να µην αποκρύπτει ή παραποιεί τον αριθµό καλούντος και να ενηµερώνει τουλάχιστον για τη δυνατότητα άσκησης του δικαιώµατος πρόσβασης, καθώς µπορεί να γίνει δεκτό ότι ο σκοπός της επεξεργασίας (ήτοι προώθηση προϊόντων και υπηρεσιών) είναι αυταπόδεικτος και οι αποδέκτες των δεδοµένων, εφόσον περιορίζονται στα πρόσωπα του υπεύθυνου και των εκτελούντων την επεξεργασία (συνεργαζόµενων εταιρειών) για το συγκεκριµένο σκοπό είναι εύκολα αντιληπτοί.
Eιδικότερα, ως προς το δικαίωµα αντίρρησης το οποίο προβλέπεται στο άρ. 13 του ν. 2472/1997, σηµειώνεται ότι ο υπεύθυνος επεξεργασίας οφείλει, προκειµένου να συµµορφώνεται µε την υποχρέωση που απορρέει από την εν λόγω διάταξη, να φροντίζει, εφόσον ένας καλούµενος συνδροµητής εκφράζει την αντίρρησή του στο να δέχεται κλήσεις από τον συγκεκριµένο υπεύθυνο επεξεργασίας (ή/και εκπρόσωπό του), να ακολουθεί µία σαφώς ορισµένη διαδικασία που να διασφαλίζει ότι ο αριθµός αυτός θα εξαιρείται από οποιαδήποτε τηλεφωνική προωθητική/διαφηµιστική ενέργεια του υπευθύνου επεξεργασίας στο µέλλον. Αυτονόητο είναι ότι αυτή η διαδικασία πρέπει να είναι εις γνώσιν και των εξωτερικών συνεργατών του υπευθύνου επεξεργασίας (ήτοι των εκτελούντων την επεξεργασία), οι οποίοι και θα πρέπει να συµµορφώνονται µε αυτή. Περαιτέρω, όσον αφορά τα αιτήµατα που απευθύνονται στον ίδιον τον υπεύθυνο επεξεργασίας, ως έκφραση ειδικής αντίρρησης βάσει του άρ. 13 του ν. 2472/1997, καθώς σε αυτά δεν υπεισέρχονται καθυστερήσεις λόγω λήψης στοιχείων από τρίτους, η ικανοποίησή τους θα πρέπει να είναι σύµφωνη µε το ανωτέρω άρθρο, ήτοι δεν θα πρέπει να υπερβαίνει σε καµία περίπτωση τις δεκαπέντε (15) ηµέρες, όπως ορίζει η ανωτέρω διάταξη – ιδανικά βέβαια, η ικανοποίησή του θα πρέπει να γίνεται αµέσως (βλ. και τις υπ’ αριθµ. 62-67/2016 Αποφάσεις της Αρχής).
7. Στο άρθρο 10 παρ. 3 του ν. 2472/1997 ορίζεται επίσης ότι «Ο υπεύθυνος επεξεργασίας οφείλει να λαµβάνει τα κατάλληλα οργανωτικά και τεχνικά µέτρα για την ασφάλεια των δεδοµένων και την προστασία τους από τυχαία ή αθέµιτη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευµένη διάδοση ή πρόσβαση και κάθε άλλη µορφή αθέµιτης επεξεργασίας. Αυτά τα µέτρα πρέπει να εξασφαλίζουν επίπεδο ασφαλείας ανάλογο προς τους κινδύνους που συνεπάγεται η επεξεργασία και η φύση των δεδοµένων που είναι αντικείµενο της επεξεργασίας….» ενώ στην παρ. 4 του ιδίου άρθρου ορίζεται ότι «Αν η επεξεργασία διεξάγεται για λογαριασµό του υπεύθυνου από πρόσωπο µη εξαρτώµενο από αυτόν, η σχετική ανάθεση γίνεται υποχρεωτικά εγγράφως. Η ανάθεση προβλέπει υποχρεωτικά ότι ο ενεργών την επεξεργασία την διεξάγει µόνο κατ’ εντολή του υπεύθυνου και ότι οι λοιπές υποχρεώσεις του παρόντος άρθρου βαρύνουν αναλόγως και αυτόν.»
Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα
1. Επιβάλλει στην εταιρεία πρόστιµο εβδοµήντα χιλιάδων ευρώ (70.000) για παράβαση των διατάξεων του άρθρου 11 παρ. 1 και 2 του ν. 3471/2006, όπως αναλύεται στις σκέψεις 8 και 10 της παρούσης.
2. Απευθύνει στην εταιρεία προειδοποίηση για παράβαση των άρθρων 4 και 5 του ν. 2472/1997 όπως αναλύεται στη σκέψη 12 της παρούσης και την καλεί, εντός διαστήµατος δύο µηνών να διαγράψει κάθε αρχείο µε στοιχεία συνδροµητών που τηρεί κατά παράβαση της νοµοθεσίας και να ενηµερώσει σχετικά την Αρχή.
