ΑΠΔΠΧ: Πρόστιμο 50.000 ευρώ στην Intellexa για παραβίαση της υποχρέωσης συνεργασίας

ΑΠΔΠΧ: Πρόστιμο 50.000 ευρώ στην Intellexa για παραβίαση της υποχρέωσης συνεργασίας

Διοικητικό πρόστιμο 50.000 ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα στην εταιρεία Intellexa A.E. για παραβίαση της υποχρέωσης συνεργασίας με εποπτική αρχή σύμφωνα με το άρθρο 31 Γενικού Κανονισμού Προστασίας Δεδομένων.

Η Αρχή διενήργησε διοικητικό έλεγχο στην εταιρεία Intellexa Α.Ε. διερευνώντας περιπτώσεις εγκατάστασης λογισμικού παρακολούθησης σε τερματικές συσκευές κινητής τηλεφωνίας χρηστών, με σκοπό την εν αγνοία τους παρακολούθηση, καθώς και τη συνακόλουθη συλλογή και επεξεργασία των προσωπικών δεδομένων τους τα οποία συλλέγονται από τέτοιο λογισμικό. Καθώς η εταιρεία καθυστέρησε υπερβολικά να απαντήσει στα ερωτήματα της Αρχής και δεν παρείχε συγκεκριμένα στοιχεία τα οποία ζητήθηκαν και είναι στην κατοχή της, η Αρχή επέβαλε πρόστιμο ύψους 50.000 ευρώ και έδωσε εντολή να παραδοθούν άμεσα σε αυτή συγκεκριμένα στοιχεία.

Η απόφαση της Αρχής (απόσπασμα)

5. Η Αρχή διαπιστώνει ότι η Intellexa Α.Ε. έχει καθυστερήσει αδικαιολόγητα να ανταποκριθεί στα αιτήματά της και δεν έχει παράσχει πληροφορίες οι οποίες βρίσκονται στην κατοχή της και ζητήθηκαν από την Αρχή. Συγκεκριμένα:

α) Η εταιρεία καθυστέρησε υπερβολικά να απαντήσει στα ερωτήματα της Αρχής και ανταποκρίθηκε μετά από επανειλημμένες υπομνήσεις της ομάδας ελέγχου και μετά την πάροδο χρονικού διαστήματος πλέον των σαράντα (40) ημερών, μόνον αφού παρέλαβε την κλήση της σε ακρόαση ενώπιον της Αρχής. Το χρονικό διάστημα αυτό δεν μπορεί να θεωρηθεί σε καμία περίπτωση ως εύλογο. Σημειώνεται μάλιστα ότι με το με αριθμ. πρωτ. Γ/ΕΞΕ/2481/06-10-2022 έγγραφό της η Αρχή είχε ενημερώσει την εταιρεία ότι η παροχή των απαντήσεων θα μπορούσε να γίνει και τμηματικά. Η θέση της εταιρείας, σύμφωνα με την οποία καταβλήθηκε κάθε προσπάθεια συνεργασίας με την Αρχή, προβάλλεται αναπόδεικτα και πάντως δεν δικαιολογείται τόσο μεγάλη καθυστέρηση. Αντίθετα, από τις ενέργειες της εταιρείας, όπως αποδεικνύεται και με όσα διαλαμβάνονται στο υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/11225/24-10-2022 έγγραφό της, προκύπτει ότι οι διαβεβαιώσεις της περί συνεργασίας και αποστολής των εγγράφων υπήρξαν αποκλειστικά ρηματικές. Αρκεί να αναφερθεί ότι η εταιρεία δήλωσε εγγράφως στις 21-10-2022 ότι αναμένει να υποβάλει τις απαντήσεις «στις αρχές της επόμενης εβδομάδας» ενώ τελικά κατέθεσε τις απαντήσεις της μετά την πάροδο τεσσάρων εβδομάδων.

β) Η εταιρεία παρά τις επανειλημμένες οχλήσεις, δεν παρείχε συγκεκριμένα στοιχεία τα οποία ζήτησε η Αρχή και τα οποία αφορούν τις Ερωτήσεις 11 και 15 (οικονομικά στοιχεία και στοιχεία συμβάσεων σε σχέση με τις δραστηριότητές της). Ειδικότερα, αντί της παροχής των αιτηθέντων στοιχείων, παρέπεμψε στα στοιχεία τα οποία είχε χορηγήσει προς την ΕΑΔ στο πλαίσιο διαφορετικού διοικητικού ελέγχου που διενεργήθηκε από την τελευταία. Επισημαίνεται συγκεκριμένα ότι αντί της παροχής των στοιχείων, η εταιρεία υποστήριξε τα εξής: «Επαναλαμβάνουμε την προσδοκία μας ότι οι αρμόδιες αρχές στην Ελλάδα θα πρέπει να ενεργούν συντονισμένα και με συνέπεια». Η αντίληψη που διατυπώνεται από την εταιρεία στο σημείο αυτό παραγνωρίζει πλήρως την αυτοτέλεια των διαδικασιών ελέγχου που διεξάγονται από την Αρχή, η οποία είναι άμεση συνέπεια της ίδιας της κατοχύρωσης της ανεξαρτησίας της τόσο σε επίπεδο συνταγματικών κανόνων, όσο και στο επίπεδο κανόνων δικαίου ΕΕ, συναρτάται δε με την αποτελεσματική άσκηση των καθηκόντων της στο πλαίσιο του καταστατικού σκοπού της προστασίας των δεδομένων προσωπικού χαρακτήρα. Ενόψει τούτων και λαμβανομένου υπόψη του διαφορετικού σκοπού που επιδιώκεται σε έκαστη των περιπτώσεων διενέργειας ελέγχου, δεν τίθεται θέμα διοικητικού συντονισμού κατά την έννοια που υπονοείται από την εταιρεία. Πέραν τούτων, παρότι η εταιρεία κατά τον έλεγχο είχε αναφέρει ότι οι απαντήσεις προς την ΕΑΔ ήταν άμεσα διαθέσιμες και θα αποστέλλονταν άμεσα στην Αρχή, αυτό ουδέποτε συνέβη. Άλλωστε, τα στοιχεία που η Intellexa A.E. παρείχε στην ΕΑΔ αφορούν περιορισμένο χρονικό διάστημα και μόνο σε σχέση με τις σχέσεις δημοσίων υπηρεσιών μαζί της. Κατ’ αποτέλεσμα, συνιστούν μικρό μόλις υποσύνολο αυτών που ζήτησε η Αρχή. Σε κάθε περίπτωση, η εταιρεία είχε, αδιαμφισβήτητα, στην κατοχή της τα εν λόγω αιτηθέντα από την Αρχή στοιχεία και επέλεξε να μην τα χορηγήσει στην Αρχή. Από τις παραπάνω διαπιστώσεις προκύπτει ότι η εταιρεία Intellexa Α.Ε. έχει κατ’ επιλογή παραβιάσει την υποχρέωση συνεργασίας με την εποπτική αρχή του άρθρου 31 του ΓΚΠΔ.

6. Η Αρχή λαμβάνει επίσης υπόψη ότι η φύση και η βαρύτητα της παράβασης είναι ιδιαίτερα σοβαρή. Η διαπιστωθείσα παράβαση περιλαμβάνεται σε αυτές του άρθρου 83 παρ. 4 του ΓΚΠΔ (παραβάσεις με μέγιστο ύψος 10.000.000 ευρώ) και αφορά τις διερευνώμενες δραστηριότητες επεξεργασίας προσωπικών δεδομένων της εταιρείας, από το έτος 2019 έως και το 2022, οι οποίες σχετίζονται με την παραγωγή, την υποστήριξη και τη λειτουργία λύσεων λογισμικού/υλικού για επεξεργασία πάσης φύσης προσωπικών δεδομένων, μη εξαιρουμένων ειδικών κατηγοριών προσωπικών δεδομένων. Περαιτέρω, η εταιρεία έχει πλήρη γνώση του θεσμικού πλαισίου και επιλέγει να μην συνεργαστεί. Λαμβάνεται επίσης υπόψη ο ετήσιος κύκλος εργασιών της Intellexa Α.Ε. για το 2021 (5.481.120,55 ευρώ), όπως προκύπτει από τα στοιχεία του ΓΕΜΗ.

Η Αρχή επέβαλε πρόστιμο ύψους 50.000 ευρώ και έδωσε εντολή να παραδοθούν άμεσα σε αυτή συγκεκριμένα στοιχεία.