Αυστηρή προειδοποίηση απυήθυνε η Αρχή Προστασίας Προσωπικών Δεδομένων σε γυμναστήριο (υπεύθυνο επεξεργασίας) να αποστέλλει διαφημιστικά μηνύματα (sms) μόνο σε πελάτες οι οποίοι αποτέλεσαν παραλήπτες μετά την 25η Μαΐου 2018 και εφόσον έχουν δώσει τη ρητή συγκατάθεση τους.
Ειδικότερα, στην Αρχή έφτασε καταγγελία από πολίτη σύμφωνα με την οποία έλαβε διαφημιστικά γραπτά μηνύματα ανεπιθύμητης ηλεκτρονικής αλληλογραφίας στο κινητό του τηλέφωνο (SMS) από γυμναστήριο.
Ο καταγγέλλων ανέφερε ότι ήταν παλιός πελάτης του εν λόγω γυμναστηρίου και ότι ξαφνικά έπειτα από χρόνια άρχισε να λαμβάνει διαφημιστικά μηνύματα.
Το 2016 επικοινώνησε αρκετές φορές με τον υπεύθυνο επεξεργασίας, αρχικά τηλεφωνικώς και ζήτησε να σταματήσει να λαμβάνει διαφημιστικά SMS. Στις 11/4/2016 έστειλε μήνυμα ηλεκτρονικού ταχυδρομείου στην ηλεκτρονική με το οποίο ζήτησε να αποκλειστεί από τις διαφημιστικές ενέργειες του γυμναστηρίου, ωστόσο, αγνοήθηκε αυτή η επιθυμία του.
Στις 24 Μαΐου 2018 και ώρα 19:51 ο καταγγέλλων έλαβε SMS, με το οποίο του ζητήθηκε να δώσει τη συγκατάθεσή του για να ενημερώνεται από το γυμναστήριο για προσφορές μέσω της επιλογής του συνδέσμου που παρέχονταν στο εν λόγω μήνυμα. Ο καταγγέλλων ανέφερε στην καταγγελία του ότι δεν συγκατατέθηκε στην εν λόγω επεξεργασία διότι δεν επέλεξε τον παρεχόμενο σύνδεσμο. Στις 15 Ιουνίου 2018 και ώρα 14:51 έλαβε νέο διαφημιστικό SMS.
Επειδή, όπως αναφέρει στην καταγγελία του, το γεγονός ότι δεν παρείχε τη συγκατάθεσή του για να ενημερώνεται σχετικά με προωθητικές ενέργειες δεν είχε αποτέλεσμα, άλλαξε τον σύνδεσμο που περιλαμβάνονταν στο από 24/5/2018 μήνυμα ώστε να αρνηθεί τη λήψη διαφημιστικών μηνυμάτων από τον υπεύθυνο επεξεργασίας.
Παραταύτα, στις 6 Νοεμβρίου 2018 και ώρα 13:24 έλαβε νέο διαφημιστικό μήνυμα από τον υπεύθυνο επεξεργασίας. Υπέβαλε τη εν λόγω καταγγελία διότι δεν μπορούσε να διαγραφεί από την λίστα των προωθητικών ενεργειών του υπευθύνου επεξεργασίας.
Σκεπτικό
Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου, κατέληξε πως «για να είναι νόμιμη η επεξεργασία προσωπικών δεδομένων για την αποστολή διαφημιστικών SMS μηνυμάτων στο πλαίσιο του σκοπού της προώθησης προϊόντων και υπηρεσιών πρέπει είτε να υπάρχει η προηγούμενη συγκατάθεση του υποκειμένου των δεδομένων, βάσει του άρθρου 11 παρ. 1 του ν.3471/2006 είτε να συντρέχουν οι προϋποθέσεις που ορίζονται στο άρθρο 11 παρ. 3 του ν. 3471/2006, ώστε να προκύπτει ότι η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας».
Παράλληλα στην απόφαση της Αρχής επισημαίνεται πως ο υπεύθυνος επεξεργασίας (γυμναστήριο), στο έγγραφο που υπέβαλε στην Αρχή σε απάντηση της καταγγελίας,
επικαλείται την εξαίρεση του άρθρου 11 παρ. 3 του ν.3471/2006 για την αποστολή διαφημιστικών μηνυμάτων στους πελάτες του χωρίς τη συγκατάθεσή τους, ανά χρονικά διαστήματα και συγκεκριμένα κάθε φορά που επιθυμεί να τους ενημερώσει για τις εκάστοτε προσφορές που υπάρχουν.
Ωστόσο η Αρχή τονίζει πως «ο υπεύθυνος επεξεργασίας δεν αναφέρει ρητώς και σαφώς στην ως άνω απάντησή του με ποιο τρόπο ενημέρωσε κατάλληλα τον καταγγέλλοντα, ως υποκείμενο των δεδομένων, κατά το στάδιο της συλλογής των προσωπικών του δεδομένων, ότι ο τηλεφωνικός του αριθμός θα χρησιμοποιείτο για το σκοπό της προώθησης προϊόντων και υπηρεσιών καθώς και με ποιο τρόπο του παρασχέθηκε δυνατότητα αντίταξης, επίσης, κατά το στάδιο της συλλογής. Επιπλέον, από τα διαφημιστικά μηνύματα που απέστειλε ο υπεύθυνος επεξεργασίας στον καταγγέλλοντα και τα οποία προσκομίστηκαν στην Αρχή, προκύπτει ότι δεν παρέχονταν σε αυτά καμία αναφορά στη δυνατότητα και στον τρόπο αντίταξης στη λήψη διαφημιστικών μηνυμάτων».
Παράλληλα στην απόφαση τονίζεται πως ο «υπεύθυνος επεξεργασίας είχε ήδη αποστείλει, στις 24/5/2018, σε όλο του το πελατολόγιο, συμπεριλαμβανομένου του καταγγέλλοντος, μήνυμα με το οποίο ζήτησε τη συγκατάθεσή τους προκειμένου να τους στέλνει διαφημιστικά μηνύματα. Ως εκ τούτου, νομική βάση της επεξεργασίας των προσωπικών δεδομένων των πελατών του υπευθύνου επεξεργασίας, στους οποίους εστάλη το παραπάνω μήνυμα, για την αποστολή διαφημιστικών μηνυμάτων αποτελεί η συγκατάθεσή τους. Στην προκειμένη περίπτωση, παρότι ο καταγγέλλων δεν συγκατατέθηκε στο σχετικό μήνυμα καθότι δεν επέλεξε τον παρεχόμενο σύνδεσμο (gdpryes), ο υπεύθυνος επεξεργασίας του έστελνε διαφημιστικά μηνύματα».
Αντίθετα σύμφωνα με την Αρχή «υπεύθυνος επεξεργασίας συνέχιζε να στέλνει διαφημιστικά μηνύματα στον καταγγέλλοντα παρά τις επανειλημμένες ενέργειες αντίταξής του. Ακόμα και αν δεν μπορεί, από τα στοιχεία του φακέλου της εν λόγω υπόθεσης, να διαπιστωθεί ότι ο καταγγέλλων, αντιτάχθηκε με τηλεφωνικό τρόπο, ωστόσο εξέφρασε αντίρρηση εγγράφως στέλνοντας μήνυμα στην ηλεκτρονική διεύθυνση για την οποία δεν είχε καμία ενημέρωση ότι ήταν απενεργοποιημένη, σύμφωνα με τους ισχυρισμούς του υπευθύνου επεξεργασίας κατά την εξέταση της εν λόγω υπόθεσης και επιπλέον δήλωσε την αντίρρησή του επισκεπτόμενος τον σύνδεσμο gdprnο».
Με βάση τα παραπάνω η Αρχή διαπίστωσε «παράβαση του ν. 3471/2006 διότι ο υπεύθυνος επεξεργασίας πραγματοποίησε αποστολή διαφημιστικών μηνυμάτων στον τηλεφωνικό αριθμό του καταγγέλλοντος, παρότι ο καταγγέλλων δεν παρείχε τη συγκατάθεσή του στο από 24/5/2018 μήνυμα, με το οποίο του ζητήθηκε να συγκατατεθεί προκειμένου να ενημερώνεται για τις προσφορές του υπευθύνου επεξεργασίας και παρά τις ενέργειες αντίταξης στην οποίες προέβη. Λαμβάνοντας υπόψη τη βαρύτητα της παράβασης και το γεγονός ότι δεν υπήρξε άλλο παράπονο κατά του υπευθύνου επεξεργασίας, η Αρχή κρίνει ότι πρέπει να απευθύνει αυστηρή προειδοποίηση στο υπεύθυνο επεξεργασίας, με βάση το άρθρο 21 παρ. 1 εδαφ. α) του ν. 2472/1997, καθότι, σύμφωνα με το άρθρο 3 παρ. 1 και 2 του ν.3471/2006, εφαρμογή στην προκειμένη περίπτωση έχει ο ν. 2472/1997 και όχι ο Γενικός Κανονισμός για την Προστασία Δεδομένων (ΕΕ) 2016/679»
Ειδικότερα, σύμφωνα με την αυστηρή προειδοποίηση στον γυμναστήριο από την Αρχή θα πρέπει:
– Να στέλνει διαφημιστικά μηνύματα στους πελάτες του οι οποίοι αποτέλεσαν παραλήπτες του από 24/5/2018 μηνύματος, με το οποίο ζητήθηκε η συγκατάθεσή τους, μόνο εφόσον έχουν παράσχει τη συγκατατεθεί αυτή.
– Να μεριμνήσει, εφόσον στέλνει μηνύματα στους υπόλοιπους πελάτες του βάσει της εξαίρεσης του άρθρου 11 παρ. 3 του ν. 3471/2006, ώστε να πληρούνται όλες οι προϋποθέσεις που τίθενται στο άρθρο αυτό ήτοι κατάλληλη ενημέρωση κατά το στάδιο της συλλογής των προσωπικών δεδομένων για το σκοπό της επεξεργασίας και παροχή δυνατότητας αντίταξης τόσο κατά το στάδιο αυτό όσο και σε κάθε μήνυμα, με σαφή και ευδιάκριτο τρόπο.
– Να μεριμνήσει ώστε να διακόπτει αμέσως την αποστολή διαφημιστικών μηνυμάτων σε όσους εκφράσουν αντίρρηση και να λειτουργεί απρόσκοπτα τυχόν διεύθυνση ηλεκτρονικού ταχυδρομείου, μέσω και της οποίας παρέχεται η δυνατότητα στα υποκείμενα των δεδομένων να αντιταχθούν.
