SOCIAL MEDIA: ΘΑ ΜΕΙΝΕΙ Η ΕΥΡΩΠΗ ΧΩΡΙΣ FACEBOOK ΚΑΙ INSTAGRAM ;;;

 

Σε μεγάλους μπελάδες μπαίνει η λειτουργία της Meta και οι υπηρεσίες της στα κοινωνικά δίκτυα (Facebook και Instagram) μετά τις αποφάσεις των ρυθμιστικών αρχών της Ιρλανδίας σχετικά με τα προσωπικά δεδομένα των χρηστών.

Η ιρλανδική επιτροπή προστασίας δεδομένων αποφάσισε, σύμφωνα με ρεπορτάζ του Politico, να σταματήσει να αποστέλλει τα στοιχεία των Ευρωπαίων χρηστών στις ΗΠΑ. Τα στοιχεία αυτά είναι απαραίτητα για τη λειτουργία του Facebook και του Instagram, ωστόσο ειδικά στην εποχή του GDPR και της προστασίας των προσωπικών δεδομένων των χρηστών, η κατάσταση άλλαξε.

Από το 2020 γίνεται προσπάθεια και διαπραγματεύσεις για το πώς θα ενημερώνονται οι servers με τα απαραίτητα στοιχεία των Ευρωπαίων χρηστών, μιας και το Ευρωπαϊκό Δικαστήριο έβαλε τέλος σε μια συμφωνία που ίσχυε μέχρι τότε, κυρίως λόγω των πρακτικών επιτήρησης των δεδομένων που ισχύουν στις ΗΠΑ.

Έκτοτε, υπήρχε ένα προσωρινό πλαίσιο συνεργασίας, το οποίο ωστόσο φαίνεται πως σταματάει να υφίσταται με απόφαση της Ευρωπαϊκής Επιτροπής. Η Meta έχει προειδοποιήσει τις σχετικές αρχές της Ευρωπαϊκής Ένωσης πως μία τέτοια διακοπής ροής δεδομένων θα μπορεί να σημάνει ακόμη και το τέλος λειτουργίας των Facebook και Instagram σε ολόκληρη την ήπειρο: «εάν δεν εγκριθεί ένα νέο πλαίσιο μεταφοράς δεδομένων στις δύο άκρες του Ατλαντικού δεν θα είμαστε να θέση να προσφέρουμε ορισμένα από τα προϊόντα ή τις υπηρεσίες μας, όπως το Facebook και το Instagram, στην Ευρώπη».

ΣΗΜΑΝΤΙΚΗ ΑΠΟΦΑΣΗ ΤΟΥ ΕΥΡΩΔΙΚΑΣΤΗΡΙΟΥ ΑΝΟΙΓΕΙ ΤΟΝ ΔΡΟΜΟ ΓΙΑ ΑΝΤΙΠΡΟΣΩΠΕΥΤΙΚΕΣ ΑΓΩΓΕΣ ΚΑΤΑΝΑΛΩΤΩΝ !!!

 

Με μία πολύ σημαντική απόφασή του σε υπόθεση που αφορά την Μeta Platforms (πρώην Facebook), το Δικαστήριο της Ευρωπαϊκής Ένωσης έκρινε ότι οι ενώσεις προστασίας των καταναλωτών μπορούν να ασκούν αντιπροσωπευτικές αγωγές κατά παραβιάσεων της προστασίας των δεδομένων προσωπικού χαρακτήρα.

Σύμφωνα με το ΔΕΕ, μια τέτοια αγωγή δύναται να ασκηθεί ανεξαρτήτως συγκεκριμένης προσβολής του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα του υποκειμένου των δεδομένων καθώς και χωρίς σχετική εντολή.
Ιστορικό υπόθεσης

Η Meta Platforms Ireland, πρώην Facebook Ireland, είναι ο υπεύθυνος επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των χρηστών του μέσου κοινωνικής δικτύωσης Facebook στην Ένωση.

Η Ομοσπονδία των οργανώσεων και των ενώσεων καταναλωτών (Γερμανία) (στο εξής: Ομοσπονδιακή ένωση) άσκησε αγωγή παραλείψεως κατά της Meta Platforms Ireland, προσάπτοντάς της ότι, στο πλαίσιο της παροχής στους χρήστες δωρεάν παιχνιδιών από τρίτους παρόχους υπηρεσιών, παρέβη τους κανόνες για την προστασία των δεδομένων προσωπικού χαρακτήρα, την καταπολέμηση του αθέμιτου ανταγωνισμού και την προστασία των καταναλωτών.

ΠΑΝΩ ΑΠΟ 11.000.000€ ΠΡΟΣΤΙΜΑ ΕΧΟΥΝ ΠΕΣΕΙ ΓΙΑ ΤΟΝ GDPR ΣΤΗΝ ΕΛΛΑΔΑ !!!

 

Περισσότερα από 11 εκατομύρια ευρώ πρόστιμα, επέβαλλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, τα τέσσερα χρόνια λειτουργίας του Φορέα.

Συγκεκριμένα, επιβλήθηκαν συνολικά 11.190.500 ευρώ από τις 25 Μαίου 2018, που τέθηκε σε εφαρμογή ο Κανονισμός, ενώ γνωστοποιήθηκαν 582 περιστατικά παραβίασης βάσει του Κανονισμού Προστασίας Προσωπικών Δεδομένων και άλλα 117 βάσει του νόμου 3471/2006.
Επίσης υποβλήθηκαν 4.155 καταγγελίες, διεκπεραιώθηκαν 2449, ενώ εξετάζονται ακόμη 1.706.

Σε δηλώσεις του ο Πρόεδρος της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα Κωνσταντίνος Μενουδάκος, αναφέρει:

"Στις 25/5/2018 τέθηκε σε εφαρμογή ο Κανονισμός (ΕΕ) 2016/679, o οποίος αποτελεί ουσιαστικά εξέλιξη της εμβληματικής ευρωπαϊκής Οδηγίας του 1995 για την προστασία των δεδομένων προσωπικού χαρακτήρα και προσαρμογή της νομοθεσίας στα νέα δεδομένα της παγκοσμιοποίησης και της τεχνολογικής πραγματικότητας του 21ου αιώνα.

ΕΕ: GDPR ΚΑΙ ΕΠΙΒΟΛΗ ΠΡΟΣΤΙΜΩΝ !!!

 

Αναρτήθηκε στον ιστότοπο του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (ΕΣΠΔ) το σχέδιο Κατευθυντηρίων Γραμμών 4/2022 για τον τρόπο με τον οποίο πρέπει οι εποπτικές αρχές του ΓΚΠΔ να υπολογίζουν τα διοικητικά πρόστιμα που επιβάλλουν.

Το Συμβούλιο παρατηρεί πως οι Κατευθυντήριες αυτές αποσκοπούν αφενός στο να διασφαλίσουν τη συνεκτική εφαρμογή και επιβολή του Γενικού Κανονισμού Προστασίας Δεδομένων, αφετέρου να εκφράσουν μια κοινή αντίληψη των μελών του οργάνου ως προς τις προβλέψεις του άρθρου 83. Παράλληλα, επισημαίνεται πως στόχος του ΕΣΠΔ δεν είναι η εναρμόνιση των ποσών που τελικώς επιβάλλονται από τις εποπτικές αρχές – δεδομένου άλλωστε πως το ύψος του προστίμου εξαρτάται από τις ειδικές περιστάσεις της κάθε υπόθεσης – αλλά η εναρμόνιση της μεθοδολογίας για τον τρόπο υπολογισμού των προστίμων.

Καθίσταται έτσι εμμέσως σαφές πως το ΕΣΠΔ επιχειρεί, μεταξύ άλλων, να θέσει κανόνες και συγκεκριμένα βήματα, έτσι ώστε να ενισχύσει τη δυνατότητα των ενδιαφερομένων εποπτικών αρχών του άρθρου 60 ΓΚΠΔ να ελέγχουν τον τρόπο υπολογισμού των διοικητικών προστίμων που προτείνονται από την επικεφαλής εποπτική αρχή.

Σύμφωνα με την εισαγωγή του κειμένου:

ΑΠΔΠΧ: ΠΡΟΣΤΙΜΟ ΓΙΑ ΧΡΗΣΗ ΕΓΓΡΑΦΩΝ ΣΕ ΜΗΝΥΣΗ ΠΟΥ ΑΠΟΚΤΗΘΗΚΑΝ ΠΑΡΑΝΟΜΩΣ !!!

 

ΑΠΔΠΧ 31/2021: Χρήση εγγράφων από το προσωπικό μητρώο υπαλλήλου για την υποστήριξη μήνυσης


Πρόστιμο ύψους 2.000 ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για τη μη νόμιμη απόκτησης εγγράφων που περιείχαν προσωπικά δεδομένα προσωπικού χαρακτήρα.

Ειδικότερα η Αρχή επέβαλε τη συγκεκριμένη διοικητική κύρωση διότι τα επίμαχα στοιχεία αποκτήθηκαν παρανόμως από τον καταγγελλόμενο από μη νόμιμη πηγή.

Σύμφωνα με το ιστορικό της υπόθεσης, ο Β, υπάλληλος του κλάδου ΤΕ Νοσηλευτών, που ανήκει διοικητικά στη νοσηλευτική υπηρεσία, στην οποία προΐσταται ο καταγγέλλων, με αφορμή την απαλλαγή των καθηκόντων του από προϊστάμενος του νοσηλευτικού τμήματος, υπέβαλε μηνυτήρια αναφορά στον Εισαγγελέα Πλημμελειοδικών κατά του καταγγέλλοντος και της Διοικήτριας του Νοσοκομείου, για το αδίκημα της παράβασης καθήκοντος κατά την άσκηση των καθηκόντων τους και ζήτησε την άσκηση ποινικής διώξεώς τους.

Αφού διενεργήθηκε προκαταρκτική εξέταση, η Εισαγγελέας Πρωτοδικών έθεσε την υπόθεση στο αρχείο, λόγω του ότι δεν προέκυψαν ενδείξεις τέλεσης αξιόποινων πράξεων κατά την άσκηση των καθηκόντων των μηνυομένων.

ΑΠΔΠΧ: ΠΡΟΣΤΙΜΟ 10.000€ ΣΤΗΝ ΤΡΑΠΕΖΑ ΠΕΙΡΑΙΩΣ ΓΙΑ ΠΑΡΑΒΙΑΣΗ ΠΡΟΣΩΠΙΚΩΝ ΔΕΔΟΜΕΝΩΝ !!!

 

Εξακολουθούμενη διαρροή στοιχείων των τραπεζικών συναλλαγών της καταγγέλλουσας σε τρίτο πρόσωπο, μέσω της αποστολής ειδοποιήσεων winbank alerts σε λανθασμένο email


Πρόστιμο ύψους δέκα χιλιάδων ευρώ επιβλήθηκε στην Τράπεζα Πειραιώς από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, για την παράβαση της αρχής της εμπιστευτικότητας των δεδομένων (άρ. 5 παρ. 1 του ΓΚΠΔ) και των υποχρεώσεών της εκ των άρθρων 33 και 34 του ΓΚΠΔ (απόφαση 6/2022).

Επιπλέον η Αρχή απηύθυνε προειδοποίηση προς την Τράπεζα σε σχέση με τα ελλιπή τεχνικά και οργανωτικά μέτρα ασφάλειας (άρθρα 24 και 32 ΓΚΠΔ) που διαπιστώθηκαν, εξαιτίας της απουσίας μέτρων επιβεβαίωσης των ηλεκτρονικών διευθύνσεων που δηλώνονται για τον σκοπό της αποστολής ειδοποιήσεων Winbank Alerts.

Ειδικότερα, η καταγγέλλουσα τυχαία διαπίστωσε ότι προσωπικά της δεδομένα κοινοποιούνταν εκ μέρους της τράπεζας σε τρίτο πρόσωπο που φέρει το ονοματεπώνυμό της, εν αγνοία της και χωρίς τη θέλησή της.

Αμέσως, ενημέρωσε εγγράφως την τράπεζα, η οποία αφού προέβη σε ελέγχους, διαπίστωσε ότι το πρόβλημα οφείλεται στην εσφαλμένη διεύθυνση e-mail που είχε δηλώσει ο σύζυγος και συνδικαιούχος της καταγγέλλουσας για την αποστολή ειδοποιήσεων Winbank alerts.

Παρ’ όλα αυτά, η τράπεζα δεν προέβη σε καμία ενέργεια για την παύση της αποστολής των ειδοποιήσεων, αλλά συνέχισε να προβαίνει σε παραβίαση της εμπιστευτικότητας των δεδομένων της καταγγέλλουσας, μέσω της αθέμιτης κοινοποίησής τους σε τρίτο πρόσωπο , αναμένοντας την άσκηση δικαιώματος διόρθωσης της εσφαλμένης διεύθυνσης εκ μέρους του υποκειμένου - συνδικαιούχου της καταγγέλλουσας.

ΑΠΟΦΑΣΗ ΑΠΔΠΧ: ΠΟΤΕ ΔΕΝ ΕΦΑΡΜΟΖΕΤΑΙ Ο GDPR ΣΕ ΚΑΜΕΡΕΣ ΕΝΤΟΣ ΟΙΚΙΑΣ !!!

 

Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, κατόπιν υποβολής καταγγελίας περί εγκατάστασης και λειτουργίας συστήματος βιντεοεπιτήρησης εντός οικίας, έκρινε ότι δεν εφαρμόζεται ο ΓΚΠΔ και ο Ν. 4624/2019 και, συνεπώς, η ίδια στερείται αρμοδιότητας εξέτασης της καταγγελίας (απόφαση 22/2022).

Πιο συγκεκριμένα, ο καταγγέλλων απευθυνόμενος στην Αρχή κατέθεσε ότι η καταγγελλόμενη εν διαστάσει σύζυγός του και μητέρα του ανήλικου τέκνου του εγκατέστησε και λειτουργεί δύο κάμερες στην κατοικία της, στην οποία ο καταγγέλλων είναι υποχρεωμένος να μεταβαίνει προκειμένου να επισκέπτεται το τέκνο του στο πλαίσιο άσκησης του δικαιώματος επικοινωνίας.

Η Αρχή διαπίστωσε ότι, πράγματι, η καταγγελλόμενη εγκατέστησε δυο κάμερες σε εμφανή σημεία της οικίας της και ενημέρωσε με ηλεκτρονική επιστολή τον καταγγέλλοντα για την εγκατάσταση και λειτουργία τους για λόγους ασφαλείας της ιδίας και του ανήλικου τέκνου της. Σύμφωνα με όσα επικαλέστηκε η ίδια ενώπιον της Αρχής, η εγκατάσταση του συστήματος βιντεοεπιτήρησης έλαβε χώρα για τον σκοπό της προστασίας της σωματικής ακεραιότητας και της υγείας της ιδίας και των οικείων της, καθώς και της υγείας του ανήλικου τέκνου κατά τον χρόνο επισκέψεων του καταγγέλλοντος.

Σύμφωνα με το σκεπτικό της Αρχής, ο ΓΚΠΔ και ο Ν. 4624/2019 δεν εφαρμόζονται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από φυσικό πρόσωπο στο πλαίσιο αποκλειστικά προσωπικής ή οικιακής δραστηριότητας και η Αρχή δεν έχει αρμοδιότητα εξέτασης σχετικών καταγγελιών.

Μεταξύ άλλων, η Αρχή επεσήμανε το άρθρο 3 παρ. 2 της Οδηγίας 1/2011 της Αρχής για τη χρήση συστημάτων βιντεοεπιτήρησης για το σκοπό της προστασίας προσώπων ή αγαθών, σύμφωνα με το οποίο η λήψη και επεξεργασία δεδομένων εικόνας ή και ήχου, με χρήση συστήματος βιντεοεπιτήρησης που είναι εγκατεστημένο σε ιδιωτική οικία, θεωρείται αποκλειστικά προσωπική ή οικιακή δραστηριότητα, εφόσον το πεδίο ελέγχου των καμερών περιλαμβάνει μόνον ιδιωτικούς χώρους και δεν καλύπτει δημόσιους. Ως αποκλειστικά προσωπική ή οικιακή δραστηριότητα νοείται εκείνη που αναφέρεται στο ιδιωτικό πεδίο δράσης ενός προσώπου ή μιας οικογένειας, δηλαδή εκείνη που δεν εμπίπτει στην επαγγελματική ή/και εμπορική του δραστηριότητα.

ΒΕΛΓΙΟ: ΠΡΟΣΤΙΜΟ 75.000€ ΣΕ ΤΡΑΠΕΖΑ ΓΙΑ ΣΥΓΚΡΟΥΣΗ ΣΥΜΦΕΡΟΝΤΩΝ ΤΟΥ DPO !!!

 

Πρόστιμο ύψους 75.000 ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα του Βελγίου σε τράπεζα για σύγκρουση συμφερόντων του Υπευθύνου Προστασίας Δεδομένων (Data Protection Officer).

Συγκεκριμένα, σύμφωνα με τα στοιχεία της υπόθεσης, ο Υπεύθυνος Προστασίας Δεδομένων ήταν επίσης επικεφαλής τριών τμημάτων με εξουσίες λήψης αποφάσεων σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα, κάτι που οδήγησε σε σύγκρουση συμφερόντων κατά παράβαση του άρθρου 38 παράγραφος 6 του Γενικού Κανονισμού για την Προστασία Δεδομένων.

Ένα υποκείμενο των δεδομένων υπέβαλε καταγγελία κατά της τράπεζας σχετικά με παραβίαση του δικαιώματός του για διόρθωση στοιχείων.

Η Αρχή ξεκίνησε μια έρευνα, η οποία με την πάροδο του χρόνου διεύρυνε το πεδίο εφαρμογής της σε σχέση με τον ρόλο του DPO της τράπεζας.

Από την έρευνα προέκυψε ότι ενδέχεται να υπάρχει σύγκρουση συμφερόντων, καθώς ο DPO ήταν επιφορτισμένος με σειρά από άλλες αρμοδιότητες, συμπεριλαμβανομένης της διεύθυνσης της Διαχείρισης Λειτουργικού Κινδύνου της τράπεζας, του τμήματος Διαχείρισης Κινδύνων Πληροφοριών και της Μονάδας Ειδικών Ερευνών.

ΑΠΔΠΧ: ΠΡΟΣΤΙΜΟ 25.000€ ΓΙΑ ΤΗΛΕΦΩΝΙΚΕΣ ΠΡΟΩΘΗΤΙΚΕΣ ΕΝΕΡΓΕΙΕΣ !!!

 

Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα εξέτασε δύο καταγγελίες αναφορικά με αυτοματοποιημένες τηλεφωνικές προωθητικές ενέργειες από μία εταιρεία (η μία εκ των οποίων ανακλήθηκε από τον καταγγέλλοντα και ενώ η εξέτασή της από την Αρχή είχε ήδη αρχίσει), καθώς και τη γενικότερη πρακτική της αναφορικά με τις δραστηριότητες προωθητικού χαρακτήρα που πραγματοποιεί.

Στις συγκεκριμένες περιπτώσεις, βάσει των ανωτέρω, προκύπτει ότι η καταγγελλόμενη εταιρεία, πραγματοποίησε, ως υπεύθυνος επεξεργασίας, αυτοματοποιημένες τηλεφωνικές προωθητικές ενέργειες.

Από την εξέταση των στοιχείων του φακέλου της υπόθεσης, προκύπτει ότι η εταιρεία προβαίνει σε αυτοματοποιημένες κλήσεις για την προώθηση προϊόντων και υπηρεσιών χωρίς την προηγούμενη ειδική προς τούτο συγκατάθεση των υποκειμένων των δεδομένων. Και τούτο, διότι ο βασικός ισχυρισμός της ότι οι κλήσεις πραγματοποιούνται μόνο σε όσους έχουν δώσει ρητή προς τούτο προηγούμενη συγκατάθεση, καθώς επίσης και ότι οι κλήσεις δεν είναι αυτοματοποιημένες, κρίθηκε αβάσιμος.

Η Αρχή έκρινε ότι η εταιρεία δεν ενημέρωνε προσηκόντως τα υποκείμενα των δεδομένων για την ταυτότητά του, αφού – όπως προκύπτει από τις καταγγελίες – ουδείς εκ των καταγγελλόντων ήταν σε θέση να ονοματίσει την εταιρεία που τον κάλεσε διότι δεν υπήρχε τέτοια πληροφόρηση.

Πέραν της έλλειψης εκπλήρωσης των προϋποθέσεων νόμιμης επεξεργασίας ως προς την πραγματοποίηση προωθητικών ενεργειών, ο υπεύθυνος επεξεργασίας δεν διαθέτει, όπως προκύπτει και από τα στοιχεία του φακέλου της υπόθεσης, και διαδικασίες εξέτασης παραπόνων, αφού δεν προέβη σε κατ’ ουσίαν εξέταση των καταγγελιών.

Συγκεκριμένα, δεν πραγματοποίησε κανέναν έλεγχο για τη δεύτερη καταγγελία, ενώ για την πρώτη επικοινώνησε μεν με τον καταγγέλλοντα, αλλά δεν προσκόμισε στην Αρχή καμία απόδειξη ως προς το ότι είχε πράγματι λάβει – έστω και με την όχι ορθή διαδικασία που ακολουθεί – τη συγκατάθεσή του.

GDPR: ΠΡΟΣΤΙΜΟ 9.200.000€ ΣΕ ΟΤΕ-COSMOTE !!!

 

Πρόστιμο 6 εκατ. ευρώ σε Cosmote και 3,2 εκατ. σε ΟΤΕ από την Αρχή Προστασίας Δεδομένων


Επιβολή προστίμου για περιστατικό παραβίασης προσωπικών δεδομένων και μη νόμιμη επεξεργασία δεδομένων από COSMOTE και ΟΤΕ. Στην Cosmote το πρόστιμο ανέρχεται συνολικά στα 6 εκατομμύρια ευρώ και στον ΟΤΕ 3,25 εκατομμύρια ευρώ.

Η ανακοίνωση της Αρχής Προστασίας Δεδομένων

«Κατόπιν γνωστοποίησης περιστατικού παραβίασης προσωπικών δεδομένων εκ μέρους της εταιρείας COSMOTE (διαρροή δεδομένων κλήσεων συνδρομητών το χρονικό διάστημα 1/9/2020 – 5/9/2020), η Αρχή διερεύνησε τις συνθήκες υπό τις οποίες έλαβε χώρα το περιστατικό και, στο πλαίσιο αυτό, εξέτασε τη νομιμότητα της τήρησης των αρχείων που διέρρευσαν καθώς και τα εφαρμοζόμενα μέτρα ασφάλειας. Πρόκειται για ένα αρχείο που περιλαμβάνει δεδομένα κίνησης των συνδρομητών και το οποίο, αφενός μεν, τηρείται με σκοπό τη διαχείριση προβλημάτων και βλαβών για 90 ημέρες από την πραγματοποίηση των κλήσεων, αφετέρου δε, το αρχείο «ανωνυμοποιείται» (ψευδωνυμοποιείται) και τηρείται για 12 μήνες με σκοπό την εξαγωγή στατιστικών συμπερασμάτων προς τον βέλτιστο σχεδιασμό του δικτύου κινητής τηλεφωνίας, αφού εμπλουτιστεί με επιπλέον απλά προσωπικά δεδομένα.

GDPR: ΠΡΟΣΤΙΜΟ ΥΨΟΥΣ 75.000€ ΕΡΙΞΕ Η ΑΠΔΠΧ ΣΤΟ ΥΠΟΥΡΓΕΙΟ ΤΟΥΡΙΣΜΟΥ !!!

 

Πρόστιμο ύψους 75.000 ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα στο Υπουργείο Τουρισμού για παραβίασης της νομοθεσίας περί προσωπικών δεδομένων.

Συγκεκριμένα, η Αρχή εξέτασε αναφορά, σύμφωνα με την οποία υπήρξε περιστατικό παραβίασης δεδομένων προσωπικού χαρακτήρα από πλατφόρμα του Υπουργείου Τουρισμού.

Ειδικότερα, κατά την προσπάθεια πολίτη να εισάγει τα διαπιστευτήριά του (κωδικοί TAXISNET) στην εν λόγω πλατφόρμα, του εμφανίστηκαν τα στοιχεία αίτησης άλλου προσώπου, τα οποία περιλάμβαναν ονοματεπώνυμο, ΑΦΜ, ΑΜΚΑ, ταχυδρομική διεύθυνση, τηλέφωνο, email, ενώ υπήρχαν και πεδία με τυχόν στοιχεία αναπηρίας. Για το εν λόγω περιστατικό δεν υποβλήθηκε γνωστοποίηση στην Αρχή.

Κατά την εξέταση της υπόθεσης διαπιστώθηκε περαιτέρω ότι το Υπουργείο Τουρισμού δεν είχε ορίσει Υπεύθυνο Προστασίας Δεδομένων κατά το επίμαχο διάστημα, παρά το ότι στην ως άνω πλατφόρμα αναφερόταν ηλεκτρονική διεύθυνση του ΥΠΔ για επικοινωνία με τους χρήστες της πλατφόρμας – η οποία ηλεκτρονική διεύθυνση ήταν, όπως αποδείχτηκε, μη ενεργή. Ο ορισμός ΥΠΔ τελικά έγινε έναν χρόνο μετά το επίμαχο περιστατικό.

Μεταξύ άλλων, η απόφαση της Αρχής αναφέρει:

Αναφορικά με το υπό εξέταση περιστατικό παραβίασης δεδομένων, προκύπτει ότι υπήρξαν αμέσως ενέργειες από τον υπεύθυνο επεξεργασίας για τη διερεύνηση και την αντιμετώπισή του.

Σημειώνεται ότι για τεχνικά θέματα ασφάλειας της επεξεργασίας προκύπτει ότι τη σχετική αρμοδιότητα την έχουν οι εκτελούντες την επεξεργασία, ήτοι το Υπουργείο Ψηφιακής Διακυβέρνησης ως προς το σκέλος ιδίως της αυθεντικοποίησης των χρηστών και η THREENITAS Α.Ε. ως προς την υλοποίηση της πλατφόρμας για την παροχή evoucher στο πλαίσιο του προγράμματος – ως εκ τούτου, η ενέργεια του υπευθύνου επεξεργασίας να αποταθεί αμέσως στο Υπουργείο Ψηφιακής Διακυβέρνησης, αλλά και να διακόψει προσωρινά τη λειτουργία της πλατφόρμας, κρίνεται ως ορθή. Επίσης, το πρόσθετο μέτρο ασφάλειας που υλοποιήθηκε για την αντιμετώπισή του, όπως προτάθηκε από τη THREENITAS Α.Ε. (ήτοι η χρήση δεύτερου παράγοντα αυθεντικοποίησης) είναι στη σωστή κατεύθυνση, αν και δεν σχετίζεται με τη γενεσιουργό αιτία του περιστατικού – η οποία μάλιστα δεν κατέστη εφικτό να προσδιοριστεί. Τα ζητήματα που εγείρονται ως προς το εν λόγω περιστατικό παραβίασης είναι τα εξής:

ΚΑΜΕΡΕΣ ΣΤΑ ΔΙΟΔΙΑ: ΠΡΟΣΤΙΜΟ ΤΗΣ ΑΠΔΠΧ ΣΤΗΝ ΕΓΝΑΤΙΑ ΟΔΟ !!!

 

Στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα απευθύνθηκε πολίτης, ο οποίος κατήγγειλε την «Εγνατία Οδός Α.Ε.» για παραβίαση του άρθρου 12 παρ. 3 του ΓΚΠΔ (απόφαση 1/2022).

Ο καταγγέλλων είχε ζητήσει εγγράφως να του χορηγηθεί φωτογραφικό υλικό και αντίγραφο από το βιβλίο συμβάντων σε σχέση με καταλογισμό παράβασης μη καταβολής διοδίου τέλους που τον αφορά.

Η καταγγελλόμενη εταιρεία απάντησε αρχικά ότι η διέλευσή του έχει καταγραφεί από το σύστημα διελεύσεων του σταθμού διοδίων, αλλά δεν μπορεί να δώσει στοιχεία σε τρίτους παρά μόνο με εντολή Εισαγγελέα και κατόπιν σχετικής άδειας της Αρχής.

Η Αρχή επεσήμανε πως, εν προκειμένω, ναι μεν η επεξεργασία των δεδομένων του καταγγέλλοντα ξεκίνησε προ της εφαρμογής του ΓΚΠΔ, ωστόσο το δικαίωμα πρόσβασης ασκήθηκε μετά την έναρξη εφαρμογής του Κανονισμού. Συνεπώς, ο υπεύθυνος επεξεργασίας όφειλε να ικανοποιήσει το αίτημα του καταγγέλλοντα εντός της προθεσμίας του άρθρου 12. Η Εγνατία Οδός είχε σαφώς ενημερωθεί από την Αρχή σε σχέση με τις υποχρεώσεις της σε παρόμοια περιστατικά με έγγραφη σύσταση εντός του 2017.

Η δε αρχική απάντηση της εταιρείας κρίθηκε αντίθετη με τη διάταξη του άρθρου 15 του ΓΚΠΔ.

Μετά την παρέμβαση της Αρχής, η Εγνατία Οδός παρείχε τις πληροφορίες που τηρεί στα αρχεία της σε σχέση με τον καταγγέλλοντα, οι οποίες, όπως αποδείχθηκε, δεν περιλάμβαναν καταγραφή από το σύστημα διελεύσεων και φωτογραφικό υλικό, αλλά μια χειρόγραφη εγγραφή μιας γραμμής από το βιβλίο συμβάντων του σταθμού διοδίων. Συνεπώς, προέκυψε ότι η αρχική απάντηση της εταιρείας δεν ήταν μόνο αρνητική, αλλά και παραπλανητική.

GDPR: "ΚΑΜΠΑΝΕΣ" ΑΠΟ ΤΗΝ ΑΠΔΠΧ ΓΙΑ ΠΑΡΑΝΟΜΕΣ ΤΗΛΕΦΩΝΙΚΕΣ ΟΧΛΗΣΕΙΣ ΓΙΑ ΛΟΓΑΡΙΑΣΜΟ ΤΗΣ ΖΕΝΙΘ !!!

 

Πρόστιμο ύψους 30.000 ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα σε εταιρεία που πραγματοποιούσε τηλεφωνικές κλήσεις για λογαριασμό εταιρείας ενέργειας.

Σύμφωνα με την απόφαση υπ αριθμ 52/2021 της Αρχής, υποβλήθηκαν 17 καταγγελίες σχετικά με διενέργεια παράνομων τηλεφωνικών κλήσεων με σκοπό την προώθηση προϊόντων ή υπηρεσιών της εταιρείας ΖΕΝΙΘ. Πιο συγκεκριμένα η ανεξάρτητη Αρχή επέβαλε στην εκτελούσα την επεξεργασία One Way Private Company πρόστιμο 30.000 ευρώ για παραβίαση του άρθρου 32 παρ. 2 και 4 του ΓΚΠΔ σε συνδυασμό με το άρθρο 28 παρ. 3, περ. γ του ΓΚΠΔ, ενώ στον υπεύθυνο επεξεργασίας δηλαδή τη ZENΙΘ, την κύρωση της επίπληξης για παράβαση του άρθρου 28 παρ. 3 περ. γ του ΓΚΠΔ.

Ειδικότερα, από την εξέταση της υπόθεσης προέκυψε ότι λόγω σφάλματος στην εφαρμογή της εκτελούσας την επεξεργασία πραγματοποιήθηκαν τηλεφωνικές κλήσεις σε συνδρομητές που είχαν ενταχθεί στο μητρώο 11, κατά παράβαση του άρθρου 11 του ν. 3471/2006.
Μεταξύ άλλων, στην απόφαση επισημαίνεται ότι ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία αναλαμβάνουν την εφαρμογή των κατάλληλων μέτρων προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων.

Το σφάλμα στην εφαρμογή της εκτελούσας την επεξεργασία One Way Private Company που οδήγησε σε τηλεφωνικές κλήσεις σε συνδρομητές που είχαν ενταχθεί στο μητρώο 11, κατά παράβαση του άρθρου 11 του ν. 3471/2006 (βλ. σκέψη 1), προέκυψε από παράλειψη υπαλλήλου της και είναι αποτέλεσμα της έλλειψης αυτόματης διαδικασίας εξαίρεσης των συνδρομητών που έχουν ενταχθεί στο μητρώο 11.

EDPB: ΤΙ ΑΛΛΑΖΕΙ ΣΤΙΣ ΔΙΕΘΝΕΙΣ ΜΕΤΑΒΙΒΑΣΕΙΣ !!!

 

Τι συνεπάγεται ο ορισμός που δίνει στις "διεθνείς διαβιβάσεις" το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων στις νέες κατευθυντήριες γραμμές του


Του Στέργιου Κωνσταντίνου,

δικηγόρος

Στις 18 Νοεμβρίου 2021, το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (εφεξής «ΕΣΠΔ») εξέδωσε τις Κατευθυντήριες Γραμμές 05/2021 (εφεξής "Κατευθυντήριες Γραμμές") οι οποίες - για πρώτη φορά - αποσαφηνίζουν την έννοια της «διαβίβασης δεδομένων». Παρεκκλίνοντας από την κοινή αντίληψη, το ΕΣΠΔ διαπίστωσε ότι δεν υπάρχει διαβίβαση δεδομένων όταν κάτοικοι του Ευρωπαϊκού Οικονομικού Χώρου κοινοποιούν με δική τους πρωτοβουλία προσωπικά δεδομένα απευθείας σε εταιρεία εκτός Ευρωπαϊκού Οικονομικού Χώρου (εφεξής «ΕΟΧ»). Κατά συνέπεια, δεν χρειάζεται να εφαρμοστεί ένα από τα εργαλεία διαβίβασης που προβλέπει το Κεφάλαιο V του Κανονισμού (ΕΕ) 2016/679 (εφεξής «ΓΚΠΔ») σε τέτοιες περιπτώσεις. Οι κατευθυντήριες γραμμές είναι ανοικτές σε δημόσια διαβούλευση έως το τέλος Ιανουαρίου 2022.

Ιστορικό

Ένα από τα πιο ενδιαφέροντα ζητήματα βάσει του ενωσιακού και εθνικού ρυθμιστικού πλαισίου της ΕΕ για την προστασία των δεδομένων είναι τι ορίζεται ως «διαβίβαση δεδομένων». Επιπλέον, αρκετά ενδιαφέρον είναι το κατά πόσον οι απαιτήσεις διαβίβασης δεδομένων του ΓΚΠΔ ισχύουν εάν μια εταιρεία, που βρίσκεται εκτός του ΕΟΧ, εμπίπτει στις διατάξεις του εδαφικού πεδίου εφαρμογής του τελευταίου και συλλέγει άμεσα δεδομένα προσωπικού χαρακτήρα από υποκείμενα των δεδομένων στην ΕΕ.

ΠΡΟΣΤΙΜΟ 225.000.000€ ΣΤΟ WHATSAPP ΓΙΑ ΠΑΡΑΒΙΑΣΗ ΤΟΥ GDPR !!!

 

Πρόστιμο 225 εκατ. ευρώ (266 εκατ. δολαρίων) επιβλήθηκε στην WhatsApp της Facebook λόγω έλλειψης διαφάνειας στον τρόπο χειρισμού των προσωπικών πληροφοριών.


Πρόκειται για το πρώτο της πρόστιμο βάσει του βελτιωμένου νόμου της Ευρωπαϊκής Ένωσης για την προστασία των δεδομένων.

Η Επιτροπή Προστασίας Δεδομένων της Ιρλανδίας δήλωσε ότι διαπίστωσε παραβιάσεις στον τρόπο με τον οποίο το WhatsApp εξήγησε πώς επεξεργάζεται τα δεδομένα των χρηστών και των μη χρηστών, καθώς και σχετικά με την κοινή χρήση δεδομένων με τη μητρική της οντότητα Facebook.

Το πρόστιμο έρχεται εβδομάδες αφότου η Amazon.com κλήθηκε να πληρώσει πρόστιμο ρεκόρ ύψους 746 εκατ. ευρώ στο Λουξεμβούργο, όπου έχει την ευρωπαϊκή της βάση, για την επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά παράβαση του Γενικού Κανονισμού της ΕΕ για την Προστασία Δεδομένων.

Σύμφωνα με τον νόμο για τα GDPR που ισχύει εδώ και τρία χρόνια, οι αρχές έχουν δικαίωμα να επιβάλλουν πρόστιμο σε εταιρείες ύψους έως και 4% των ετήσιων πωλήσεών τους.

GDPR: ΝΕΑ ΣΥΛΛΟΓΗ ΝΟΜΟΛΟΓΙΑΣ ΑΠΟ ΤΟ ΕΥΡΩΔΙΚΑΣΤΗΡΙΟ !!!

 

Επικαιροποιημένο θεματικό δελτίο στην ελληνική γλώσσα με μία συνολική επισκόπηση της νομολογίας του σχετικά με την προστασία δεδομένων προσσωπικού χαρακτήρα εξέδωσε το Δικαστήριο της Ευρωπαϊκής Ένωσης.

Το δελτίο περιλαμβάνει και τις πρόσφατες αποφάσεις που εκδόθηκαν με βάση τον Γενικό Κανονισμό για την Προστασία Δεδομένων (ΓΚΠΔ, GDPR).

Όπως αναφέρεται στο δελτίο, το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα είναι θεμελιώδες δικαίωμα του οποίου η προάσπιση έχει μεγάλη σημασία για την Ευρωπαϊκή Ένωση. Κατοχυρώνεται στο άρθρο 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (στο εξής: Χάρτης), το οποίο έχει ως εξής:

«1. Κάθε πρόσωπο έχει δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν. 2. Η επεξεργασία αυτών των δεδομένων πρέπει να γίνεται νομίμως, για καθορισμένους σκοπούς και με βάση τη συγκατάθεση του ενδιαφερομένου ή για άλλους θεμιτούς λόγους που προβλέπονται από το νόμο. Κάθε πρόσωπο δικαιούται να έχει πρόσβαση στα συλλεγέντα δεδομένα που το αφορούν και να επιτυγχάνει τη διόρθωσή τους. 3. Ο σεβασμός των κανόνων αυτών υπόκειται στον έλεγχο ανεξάρτητης αρχής.»

Το θεμελιώδες αυτό δικαίωμα συνδέεται εξάλλου ευθέως με το δικαίωμα στον σεβασμό της ιδιωτικής και οικογενειακής ζωής, το οποίο καθιερώνεται στο άρθρο 7 του Χάρτη. Το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα προβλέπεται επίσης στο άρθρο 16, παράγραφος 1, της Συνθήκης για τη λειτουργία της Ευρωπαϊκής Ένωσης (ΣΛΕΕ), το οποίο διαδέχθηκε συναφώς το άρθρο 286 ΣΕΚ. Όσον αφορά το παράγωγο δίκαιο, από τα μέσα της δεκαετίας του 1990 ο νομοθέτης της τότε Ευρωπαϊκής Κοινότητας είχε εκδώσει διάφορες πράξεις με σκοπό να διασφαλίσει την προστασία των δεδομένων προσωπικού χαρακτήρα.

ΑΠΟΖΗΜΙΩΣΗ 15.000€ ΣΕ ΟΔΗΓΟ ΠΟΥ ΠΑΡΚΑΡΕ ΣΕ ΘΕΣΗ ΑΜΕΑ ΚΑΙ ΤΟΥ ΑΝΕΒΑΣΑΝ ΤΗ ΦΩΤΟΓΡΑΦΙΑ ΤΟΥ ΣΤΟ FACEBOOK !!!

 

Στις αρχές του χρόνου, μία γυναίκα παρατήρησε πως ένας οδηγός πάρκαρε το όχημα του σε ειδικές θέσεις για ΑΜΕΑ. Αφού του ζήτησε να το μετακινήσει ευγενικά καθώς δεν προοριζόταν για αυτόν η θέση, εκείνος δεν ενέδωσε και η γυναίκα τον φωτογράφισε και ανέβασε την φωτογραφία του στο προφίλ της στο Facebook.

Το θέμα πήρε μεγάλες διαστάσεις και ο οδηγός έκανε μήνυση.

Η υπόθεση εκδικάστηκε τελικά και το δικαστήριο ζήτησε τη διαγραφή της φωτογραφίας και επέβαλλε αποζημίωση 15.000 ευρώ υπέρ του οδηγού, για παραβίαση του ΓΚΠΔ και του Ν. 4624/2019.

ΓΑΛΛΙΑ-GDPR: ΠΡΟΣΤΙΜΟ 150.000€ ΣΕ ΕΤΑΙΡΕΙΑ ΗΛΕΚΤΡΟΝΙΚΩΝ ΑΓΟΡΩΝ !!!

 

Προσωπικά δεδομένα: Πρόστιμο 225.000 σε εταιρεία ηλεκτρονικών αγορών και στην εταιρεία που υποστήριζε την ιστοσελίδα


Πρόστιμο 150.000 ευρώ σε εταιρεία ηλεκτρονικών αγορών και 75.000 ευρώ στην εταιρεία που είχε αναλάβει την υποστήριξη της ιστοσελίδας της επέβαλε η εποπτική αρχή για την Προστασία Δεδομένων Προσωπικού Χαρακτήρα της Γαλλίας (CNIL).

Το πρόστιμο επιβλήθηκε για παραβίαση της υποχρέωσης ασφάλειας σύμφωνα με το άρθρο 32 του Γενικού Κανονισμού για την Προστασία Δεδομέων (ΓΚΠΔ), καθώς υπεύθυνος και εκτελών την επεξεργασίας δεν έλαβαν ικανοποιητικά μέτρα ασφαλείας για να αντιμετωπίσουν επιθέσεις τύπου "credential stuffing" στην ιστοσελίδα.

Σύμφωνα με το ιστορικό της υπόθεσης, η CNIL δέχθηκε δεκάδες καταγγελίες για παραβιάσεις δεδομένων σε μία ιστοσελίδα, μέσω της οποίας πραγματοποιούνταν καθημερινά εκατομμύρια συναλλαγές.

ΙΤΑΛΙΑ: Η ΧΡΗΣΗ ΤΩΝ ΑΡΧΙΚΩΝ ΤΟΥ ΟΝΟΜΑΤΟΣ ΑΡΚΕΙ ΓΙΑ ΤΗΝ ΤΑΥΤΟΠΟΙΗΣΗ ΕΝΟΣ ΠΡΟΣΩΠΟΥ !!!

 

Μια ενδιαφέρουσα απόφαση της Ιταλικής Αρχής Προστασίας Δεδομένων



Ο Δήμος του Greve in Chianti της Τοσκάνης ανακάλυψε ότι μια υπάλληλός του είχε δηλώσει ανακριβώς, κατά το χρόνο της πρόσληψής της, ότι δεν αντιμετώπιζε ποινικές εκκρεμότητες. Η υπάλληλος απολύθηκε και προσέφυγε στα δικαστήρια. Ο Δήμος ανέθεσε την υπόθεση σε δικηγόρο και ανάρτησε στην ιστοσελίδα του τη σχετική πράξη, όπως υποχρεωνόταν από τη νομοθεσία.

Στην αναρτηθείσα πράξη αναφερόταν το ένδικο βοήθημα που είχε ασκηθεί από την υπάλληλο καθώς και η διοικητική πράξη της απόλυσης, με αναφορά στην τυπική προϋπόθεση της πρόσληψης, ήτοι ότι ο υπάλληλος δεν έπρεπε να αντιμετωπίζει ποινικές εκκρεμότητες. Το ονοματεπώνυμο της υπαλλήλου αναφερόταν με τα αρχικά του.

Η υπάλληλος προσέφυγε στην ιταλική Αρχή Προστασίας Δεδομένων, καταγγέλλοντας την παράνομη επεξεργασία των δεδομένων της και δη εκείνων του άρθρου 10 ΓΚΠΔ, που αναφέρονται σε ποινικές καταδίκες ή αδικήματα. Ο Δήμος ισχυρίστηκε ότι τα στοιχεία της είχαν αναρτηθεί ανωνυμοποιημένα και κατά συνέπεια δεν ήταν δυνατή η ταυτοποίησή της. Η Αρχή δικαίωσε την υπάλληλο.

Σύμφωνα με την Garante:

ΝΣΚ: ΓΙΑ ΤΗΝ ΧΟΡΗΓΗΣΗ ΕΓΓΡΑΦΩΝ ΔΕΝ ΕΦΑΡΜΟΖΕΤΑΙ Ο GDPR !!!

Μεταστροφή της νομολογίας του Νομικού Συμβουλίου του Κράτους


Τον Ιούλιο του 2019 η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα εξέδωσε την υπ’ αριθμ. 20/2019 απόφασή της.

Στην απόφαση αυτή, η Αρχή εκλήθη να διαχειριστεί έναν καταιγισμό αιτημάτων, σε υπόθεση πιστοποίησης αναπηρίας από Επιτροπές του ΚΕ.Π.Α.

Η Αρχή απέρριψε το σύνολο σχεδόν των αιτημάτων της καταγγελίας, όμως διαπίστωσε την παραβίαση των δικαιωμάτων πρόσβασης και ενημέρωσης του Ν.2472/1997:

«Αντιθέτως, προέκυψε ότι παραβιάσθηκε το προβλεπόμενο από τις διατάξεις των άρθρων 11 και 12 του ν. 2472/1997 δικαίωμα ενημέρωσης και πρόσβασης της καταγγέλλουσας από τον ΕΦΚΑ σχετικά με τα ονόματα των ιατρών–μελών του Ειδικού Σώματος Υγειονομικών Επιτροπών του ΚΕ.Π.Α., καθώς το υποκείμενο των δεδομένων δικαιούται να γνωρίζει, μεταξύ άλλων, την ταυτότητα και τα πλήρη στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και/ή του εκπροσώπου αυτού (βλ. άρθρο 11 παρ. 1 εδ. α’ ν. 2472/1997), όπως και κάθε προσώπου που απασχολείται στον υπεύθυνο επεξεργασίας και προβαίνει σε επεξεργασία προσωπικών δεδομένων προκειμένου να εκπληρώσει τα καθήκοντα του υπευθύνου επεξεργασίας, χωρίς βεβαίως να είναι εκτελών την επεξεργασία» [σκ.9]

Τον Οκτώβριο του 2019, η Γενική Διεύθυνση Παροχών και Υγείας του Ε.Φ.Κ.Α. ζήτησε διευκρινίσεις από το Νομικό Συμβούλιο του Κράτους, ως προς τα όρια και τον τρόπο εφαρμογής των διαπιστώσεων της Αρχής: