ΑΠΔΠΧ: Aνάρτηση δεδομένων σε ενημερωτική ιστοσελίδα

ΑΠΔΠΧ: Aνάρτηση δεδομένων σε ενημερωτική ιστοσελίδα

Περίληψη

Η Αρχή εξέτασε καταγγελία κατά ενημερωτικού ιστοτόπου, αναφορικά με ανάρτηση δεδομένων υποκειμένου που είχε αναφέρει υπόθεση σχετική με το αντικείμενο της εν λόγω ιστοσελίδας. Έκρινε ότι με βάση τα άρθρα 85 του ΓΚΠΔ και 28 του ν. 4624/2019, η δημοσιοποίηση των στοιχείων της δημοσιογραφικής έρευνας με προσωπικά δεδομένα, ήταν απολύτως αναγκαία  για την ενημέρωση του κοινού ως προς το γεγονός της καταγγελίας, αλλά και ότι η αφαίρεση του πλήρους ονόματος της καταγγέλλουσας από το άρθρο της ιστοσελίδας, μετά από μεταγενέστερη άσκηση δικαιώματός της, είναι σύμφωνη με την αρχή της αναγκαιότητας και αναλογικότητας, αρχές που πρέπει να διέπουν την επεξεργασία προσωπικών δεδομένων.

ΑΠΟΦΑΣΗ 15/2021

Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος στην έδρα της την Tετάρτη, 02-12-2020, μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, το τακτικό μέλος, Χαράλαμπος Ανθόπουλος και το αναπληρωματικό μέλος, Ευάγγελος Παπακωνσταντίνου, ως εισηγητής, σε αντικατάσταση του τακτικού μέλους Κωνσταντίνου Λαμπρινουδάκη, ο οποίος, αν και κλήθηκε νομίμως εγγράφως δεν παρέστη λόγω κωλύματος. Στη συνεδρίαση παρέστη, με εντολή του Προέδρου, ο Λεωνίδας Ρούσσος, ειδικός επιστήμονας – ελεγκτής ως βοηθός εισηγητή. Ως Γραμματέας παρέστη η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Διοικητικού Τμήματος.

Η Αρχή έλαβε υπόψη της τα παρακάτω:

Με την υπ’ αρ. πρωτ. Γ/ΕΙΣ/5873/28-08-2019 καταγγελία, η Α αναφέρει ότι σε άρθρο της ενημερωτικής ιστοσελίδας www.zoosos.gr με τίτλο «…» αναγραφόταν το όνομά της, χωρίς η ίδια να είχε συγκατατεθεί γι’ αυτό. Η καταγγέλλουσα απευθύνθηκε στην ιστοσελίδα προκειμένου να την ενημερώσει για ένα περιστατικό κακοποίησης ζώου που έπεσε στην αντίληψή της [στην περιοχή] X, στα … προκειμένου οι διαχειριστές της ιστοσελίδας, που ασχολείται με τέτοια ζητήματα, να απευθυνθούν στις αρμόδιες αρχές και να πράξουν ανάλογα. Κατόπιν, η δημοσιογράφος Β (εφεξής, υπεύθυνος επεξεργασίας), υπεύθυνη του ιστοτόπου,ανήρτησε σχετικό άρθρο αναφέροντας το όνομα της καταγγέλλουσας. Το κείμενο που υπήρχε στην ιστοσελίδα είναι το εξής: «Μετά από καταγγελία του www.zoosos.gr στην Αστυνομική Διεύθυνση Φ …».

Η καταγγέλλουσα έκρινε ότι η αναγραφή του ονόματός της στο εν λόγω άρθρο ήταν περιττή και την εξέθετε σε κίνδυνο και για αυτό το λόγο ζήτησε στις 26-08-2019 κατόπιν ηλεκτρονικής και τηλεφωνικής επικοινωνίας με την Β, την πρόσβαση στα προσωπικά της δεδομένα αλλά και τη διαγραφή των προσωπικών της δεδομένων από το συγκεκριμένο άρθρο και από τα αρχεία δεδομένων που διατηρεί ο υπεύθυνος επεξεργασίας. Η Β αρνήθηκε να διαγράψει τα προσωπικά δεδομένα όπως της ζητήθηκε και αρκέστηκε στην αφαίρεση του πλήρους επωνύμου της καταγγέλλουσας. Το κείμενο στο σχετικό άρθρο αντικαταστάθηκε ως εξής: «…».

Η καταγγέλλουσα θεώρησε μη ικανοποιητική την ανταπόκριση του υπεύθυνου επεξεργασίας και υπέβαλε στην Αρχή την καταγγελία για παραβίαση δικαιώματος του υποκειμένου των δεδομένων (άρθρα 12 – 22 του ΓΚΠΔ).

Η Αρχή, στο πλαίσιο εξέτασης της εν λόγω καταγγελίας, απέστειλε στην καταγγελλόμενη το υπ’ αριθμ. πρωτ. Γ/ΕΞ/5873-1/08-10-2019 έγγραφο με το οποίο ζήτησε τις απόψεις της επί των καταγγελλομένων. Η καταγγελλόμενη απάντησε με το με υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/7681/07-11- 2019 υπόμνημα. Στο υπόμνημα αναφέρεται μεταξύ άλλων ότι είχε προηγηθεί ενημέρωση της καταγγέλλουσας σχετικά με τη δημοσιοποίηση των στοιχείων της στο άρθρο που επρόκειτο να δημοσιευτεί για το περιστατικό λόγω της φύσης της ιστοσελίδας ως ενημερωτική.

Η καταγγελλόμενη επισημαίνει ότι δεν διαθέτουν βάση προσωπικών δεδομένων και ότι η καταγγέλλουσα δεν απαγόρευσε ρητώς την κοινοποίηση των προσωπικών της στοιχείων στην αρχική ηλεκτρονική επικοινωνία που είχε με τη δημοσιογράφο. Κατόπιν του αιτήματος της καταγγέλλουσας για διαγραφή του ονόματός της από το άρθρο, ο υπεύθυνος επεξεργασίας προέβη στην αφαίρεση του επωνύμου αλλά διατήρησε αυτούσιο το όνομα και το αρχικό γράμμα του επιθέτου της θέλοντας να «μείνει πιστή στο θέμα της δεοντολογίας και στη μη απόκρυψη στοιχείων από τους αναγνώστες της ιστοσελίδας».

Στη συνέχεια, η Αρχή κάλεσε με το με υπ’ αριθμ. πρωτ. Γ/ΕΞ/7376/27-10-2020 έγγραφο την Β σε ακρόαση κατά τη διάρκεια της οποίας συζητήθηκε η ανωτέρω καταγγελία.

Στη συνεδρίαση της 11-11-2020 παρέστη νομίμως η Β, ως υπεύθυνος επεξεργασίας, η οποία εξέθεσε προφορικά τις απόψεις της. Στη συνέχεια, η καταγγελλόμενη έλαβε προθεσμία και κατέθεσε εμπροθέσμως τα υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/7845/13-11-2020 στοιχεία ταυτότητας της εν λόγω ιστοσελίδας.

Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, την ακροαματική διαδικασία και αφού άκουσε τον εισηγητή και τις διευκρινίσεις του βοηθού εισηγητή, ο οποίος στη συνέχεια αποχώρησε πριν από τη διάσκεψη και τη λήψη απόφασης, και κατόπιν διεξοδικής συζήτησης,

**ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ **

1. Σύμφωνα με το άρθρο 4 στοιχ. 1 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (εφεξής, Κανονισμός), ο οποίος είναι σε εφαρμογή από τις 25 Μαΐου 2018, ως δεδομένα προσωπικού χαρακτήρα ορίζεται «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου»

2. Σύμφωνα με το άρθρο 4 στοιχ. 2 του Κανονισμού ως επεξεργασία νοείται «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, ηκοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή».

3. Σύμφωνα με το άρθρο 4 στοιχ. 7 του Κανονισμού ως υπεύθυνος επεξεργασίας ορίζεται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα».

4. Σύμφωνα με το άρθρο 5 παρ. 1 κατά την επεξεργασία προσωπικών δεδομένων «τα δεδομένα προσωπικού χαρακτήρα πρέπει να συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· η περαιτέρω επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς δεν θεωρείται ασύμβατη με τους αρχικούς σκοπούς σύμφωνα με το άρθρο 89 παράγραφος 1 («περιορισμός του σκοπού»). Πρέπει να είναι κατάλληλα, συναφή και να περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»)». Καθιερώνονται, λοιπόν, ως θεμελιώδεις προϋποθέσεις για τη νομιμότητα κάθε επεξεργασίας δεδομένων προσωπικού χαρακτήρα, καθώς και για τη νομιμότητα της σύστασης και λειτουργίας κάθε αρχείου, οι αρχές του σκοπού της επεξεργασίας και της αναλογικότητας των δεδομένων σε σχέση πάντα με το σκοπό επεξεργασίας. Συνεπώς, κάθε επεξεργασία προσωπικών δεδομένων, που γίνεται πέραν του επιδιωκόμενου σκοπού ή η οποία δεν είναι πρόσφορη και αναγκαία για την επίτευξή του, δεν είναι νόμιμη.

5. Προκειμένου η επεξεργασία να είναι σύννομη αποτελεί απαραίτητη προϋπόθεση το υποκείμενο των δεδομένων να έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, όπως προβλέπεται στο άρθρο 6 παρ. 1 στοιχ. α του Κανονισμού.

6. Στα άρθρα 15 – 22 του Κανονισμού προβλέπεται η άσκηση δικαιωμάτων του υποκειμένου των δεδομένων σε σχέση με την επεξεργασία προσωπικών δεδομένων, η οποία πρέπει να διευκολύνεται από τον υπεύθυνο επεξεργασίας. Σύμφωνα με το άρθρο 13 παρ. 3 του Κανονισμού «Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος». Επισημαίνεται ότι ο υπεύθυνος επεξεργασίας ακόμη και όταν δεν τηρεί αρχείο με δεδομένα του υποκειμένου, δεν απαλλάσσεται εκ του λόγου 5 αυτού από την υποχρέωσή του να απαντήσει ακόμη και αρνητικά σε συναφές αίτημα ενημέρωσης και πρόσβασης στα προσωπικά δεδομένα (ΣτΕ 2627/2017).

7. Το άρθρο 85 του Κανονισμού ορίζει ότι τα κράτη μέλη διά νόμου συμβιβάζουν το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δυνάμει του παρόντος κανονισμού με το δικαίωμα στην ελευθερία της έκφρασης και πληροφόρησης, συμπεριλαμβανομένης της επεξεργασίας για δημοσιογραφικούς σκοπούς και για σκοπούς πανεπιστημιακής, καλλιτεχνικής ή λογοτεχνικής έκφρασης. Για την επεξεργασία που διενεργείται για δημοσιογραφικούς σκοπούς ή για σκοπούς ακαδημαϊκής, καλλιτεχνικής ή λογοτεχνικής έκφρασης, τα κράτη μέλη προβλέπουν εξαιρέσεις ή παρεκκλίσεις από το κεφάλαιο ΙΙ (αρχές), το κεφάλαιο ΙΙΙ (δικαιώματα του υποκειμένου των δεδομένων), το κεφάλαιο IV (υπεύθυνος επεξεργασίας και εκτελών την επεξεργασία), το κεφάλαιο V (διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες ή διεθνείς οργανισμούς), το κεφάλαιο VI (ανεξάρτητες εποπτικές αρχές), το κεφάλαιο VII (συνεργασία και συνεκτικότητα) και το κεφάλαιο ΙΧ (ειδικές περιπτώσεις επεξεργασίας δεδομένων), εφόσον αυτές είναι αναγκαίες για να συμβιβαστεί το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα με την ελευθερία της έκφρασης και πληροφόρησης.

8. Το άρθρο 28 για την επεξεργασία και ελευθερία έκφρασης και πληροφόρησης του ν. 4624/19 ορίζει ότι στον βαθμό που είναι αναγκαίο να συμβιβαστεί το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα με το δικαίωμα στην ελευθερία της έκφρασης και πληροφόρησης, συμπεριλαμβανομένης της επεξεργασίας για δημοσιογραφικούς σκοπούς και για σκοπούς ακαδημαϊκής, καλλιτεχνικής ή λογοτεχνικής έκφρασης, η επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται όταν: α) το υποκείμενο των δεδομένων έχει παράσχει τη ρητή συγκατάθεσή του, β) αφορά δεδομένα προσωπικού χαρακτήρα που έχουν προδήλως δημοσιοποιηθεί από το ίδιο το υποκείμενο, γ) υπερέχει το δικαίωμα στην ελευθερία της έκφρασης και το δικαίωμα της πληροφόρησης έναντι του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα του υποκειμένου, ιδίως για θέματα γενικότερου ενδιαφέροντος ή όταν αφορά δεδομένα προσωπικού χαρακτήρα δημοσίων προσώπων και δ) όταν περιορίζεται στο αναγκαίο μέτρο για την εξασφάλιση της ελευθερίας της έκφρασης και του δικαιώματος ενημέρωσης, ιδίως όταν αφορά ειδικών κατηγοριών δεδομένα Προσωπικού Χαρακτήρα, καθώς και ποινικές διώξεις, καταδίκες και τα σχετικά με αυτές μέτρα ασφαλείας, λαμβάνοντας υπόψη το δικαίωμα του υποκειμένου στην ιδιωτική και οικογενειακή του ζωή. Στον βαθμό που είναι αναγκαίο να συμβιβαστεί το δικαίωμα στην 6 προστασία των δεδομένων προσωπικού χαρακτήρα με το δικαίωμα στην ελευθερία της έκφρασης και πληροφόρησης, συμπεριλαμβανομένης της επεξεργασίας για δημοσιογραφικούς σκοπούς, και για σκοπούς ακαδημαϊκής, καλλιτεχνικής ή λογοτεχνικής έκφρασης δεν εφαρμόζεται: α) το Κεφάλαιο ΙΙ του ΓΚΠΔ «Αρχές», εκτός από το άρθρο 5, β) το Κεφάλαιο ΙΙΙ του ΓΚΠΔ «Δικαιώματα του Υποκειμένου», γ) το Κεφάλαιο ΙV του ΓΚΠΔ «Υπεύθυνος επεξεργασίας και εκτελών την επεξεργασία», εκτός από τα άρθρα 28, 29 και 32, δ) το Κεφάλαιο V του ΓΚΠΔ «Διαβιβάσεις δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες ή διεθνείς οργανισμούς», ε) το Κεφάλαιο VII του ΓΚΠΔ «Συνεργασία και συνεκτικότητα και στ) το Κεφάλαιο IX του ΓΚΠΔ «Διατάξεις που αφορούν ειδικές περιπτώσεις επεξεργασίας».

9. Στην κρινόμενη περίπτωση από τα στοιχεία του φακέλου προκύπτουν ιδίως τα ακόλουθα: Η καταγγελλόμενη διατηρεί δημοσιογραφικό site και διαθέτει ταυτότητα/διαπίστευση δημοσιογράφου. Δικαιούται να προβεί στην επίμαχη επεξεργασία («διάδοση») των δεδομένων προσωπικού χαρακτήρα της καταγγέλλουσας, διότι η καταγγέλλουσα απευθύνθηκε για την καταγγελία της στο δημοσιογραφικό site και έδωσε τη συγκατάθεσή της για τη δημοσιοποίηση των στοιχείων της στο σχετικό ρεπορτάζ ενώ είχε ενημερωθεί σχετικά. Η ανάρτηση του ονόματος της καταγγέλλουσας στο άρθρο της ιστοσελίδας, δηλαδή η δημοσιοποίηση των στοιχείων της δημοσιογραφικής έρευνας με προσωπικά δεδομένα, ήταν απολύτως αναγκαία για την ενημέρωση του κοινού ως προς το γεγονός της καταγγελίας. Η αφαίρεση του πλήρους ονόματος της καταγγέλλουσας από το άρθρο της ιστοσελίδας, μετά από μεταγενέστερη άσκηση δικαιώματός της, είναι σύμφωνη από την αρχή της αναγκαιότητας και αναλογικότητας, αρχές που πρέπει να διέπουν την επεξεργασία προσωπικών δεδομένων.

**ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ **

**Κρίνει σύννομη την καταγγελλόμενη επεξεργασία. **

Ο Αναπληρωτής Πρόεδρος       

Γεώργιος Μπατζαλέξης         

Η Γραμματέας

 Ειρήνη Παπαγεωργοπούλου

Η καταγγέλλουσα θεώρησε μη ικανοποιητική την ανταπόκριση του υπεύθυνου επεξεργασίας και υπέβαλε στην Αρχή την καταγγελία για παραβίαση δικαιώματος του υποκειμένου των δεδομένων