ΑΠ∆ΠΧ ΑΠΟΦΑΣΗ 17/2016 "Δήμαρχος ανήρτησε στην ιστοσελίδα πληροφορία σχετικά με ευαίσθητα προσωπικά δεδοµένα πολίτη χωρίς να έχει λάβει τη συγκατάθεση του και χωρίς να συντρέχει κάποια από τις νοµιµοποιητικές βάσεις του άρθρου 7 παρ. 2 του ν. 2472/1997"

ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ 

Αθήνα, 11-03-2016 -  Αριθ. Πρωτ.: Γ/ΕΞ/1581/11-03-2016 

ΑΠΟΦΑΣΗ 17/2016 (Τµήµα)

Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνεδρίασε µετά από πρόσκληση του Προέδρου της σε σύνθεση Τµήµατος στην έδρα της την 9.3.2016 και ώρα 10:00, προκειµένου να διασκεφθεί επί της υποθέσεως που αναφέρεται στο ιστορικό της παρούσης, η εξέταση της οποίας έλαβε χώρα µε την αυτή σύνθεση του Τµήµατος στις 27.1.2016. 

Παρέστησαν οι Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυοµένου του Προέδρου της Αρχής Πέτρου Χριστόφορου, και τα αναπληρωµατικά µέλη της Αρχής Γρηγόριος Λαζαράκος, Χαράλαµπος Ανθόπουλος, ως εισηγητής, και Σπύρος Βλαχόπουλος, σε αντικατάσταση των τακτικών µελών Αναστάσιου – Ιωάννη Μεταξά, ∆ηµητρίου Μπριόλα και Λεωνίδα Κοτσαλή, οι οποίοι αν και εκλήθησαν νοµίµως εγγράφως δεν παρέστησαν λόγω κωλύµατος. Στην συνεδρίαση παρέστησαν, χωρίς δικαίωµα ψήφου, η Φερενίκη Παναγοπούλου, ειδική επιστήµων – νοµική ελέγκτρια, ως βοηθός εισηγητή, η οποία αποχώρησε µετά τη συζήτηση και πριν τη διάσκεψη και λήψη της αποφάσεως, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τµήµατος διοικητικών και οικονοµικών υποθέσεων, ως γραµµατέας. 

Η Αρχή έλαβε υπόψη τα παρακάτω: 

Με την υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/7937/17.12.2014 προσφυγή του A ο προσφεύγων Ακαταγγέλλει ότι ο ∆ήµαρχος πόλης Χ, Β, δηµοσίευσε στην προσωπική του σελίδα στο facebook την πληροφορία ότι ο Α εισπράττει σύνταξη αναπηρίας. Κατόπιν του υπ’ αριθ. πρωτ. Γ/ΕΞ/2399/27-04-2015 διευκρινιστικού ερωτήµατος της Αρχής προς τον Β, ο τελευταίος απάντησε ότι στο τοπικό ιστολογιο …, του οποίου διαχειριστής είναι ο Α, αναρτήθηκε συκοφαντικό σχόλιο του ιδίου περί άσκοπης σπατάλης των χρηµάτων των δηµοτών. Ο ίδιος απάντησε ότι ο Α δεν πληρώνει για το έργο, επειδή έχει µάθει µόνο να εισπράττει, υπογραµµίζοντας ότι λαµβάνει σύνταξη αναπηρίας. Σύµφωνα µε τον Β, είναι γνωστό στους κατοίκους πόλης Χ ότι ο Α 2 συνταξιοδοτήθηκε µε τις προϋποθέσεις αναπηρίας και όχι γήρατος. Περαιτέρω, ο Β υποστηρίζει ότι η ανάρτηση της πληροφορίας περί συντάξεως αναπηρίας έγινε από τον ίδιο προσωπικά και όχι µε την ιδιότητά του ως ∆ηµάρχου πόλης Χ. 

Κατόπιν των υπ’αριθ. πρωτ. Γ/ΕΞ/245/18-01-2016 και /ΕΞ/244/18-01-2016 κλήσεων ο Β και ο Α προσήλθαν στη συνεδρίαση της Αρχής την 27.1.2016 και απάντησαν σε ερωτήσεις των µελών του Τµήµατος και διευκρίνισαν τους ισχυρισµούς τους. Ο Β ισχυρίστηκε ότι η πληροφορία που ανήρτησε στην ιστοσελίδα του στο facebook αναφορικά µε τη λήψη συντάξεως αναπηρίας από τον Α ήταν γνωστή στην τοπική κοινωνία. Επίσης ισχυρίστηκε ότι στην ανάρτηση προέβη µετά από την άσκηση δριµείας κριτικής εκ µέρους του Α για κακοδιαχείριση των οικονοµικών του δήµου, ενώ ο ουσιαστικός λόγος της ασκήσεως κριτικής ήταν ότι δεν ανέθεσε στη σύζυγό του συγκεκριµένες συµβάσεις έργου του δήµου. Ο Α ισχυρίστηκε ότι παρανόµως ο Β διέδωσε ευαίσθητα δεδοµένα του ιδίου. Στη συνέχεια δόθηκε προθεσµία και στα δύο µέρη για κατάθεση υποµνηµάτων. 

Ο Β κατέθεσε το υπ’ αριθμ. πρωτ. ΑΠ∆ΠΧ/Γ/ΕΙΣ/645/3.2.2016 υπόµνηµα, στο οποίο ισχυρίζεται ότι ο Α µετέβαλε προς το ηπιότερο την κριτική που είχε αναρτήσει στο ιστολόγιο …., η οποία κριτική είχε αποτελέσει την αιτία αναρτήσεως του µε τι ανωτέρω περιεχόµενο απαντητικού σχολίου του. Επίσης δηλώνει στο υπόµνηµά του ότι ψευδώς ο Α ισχυρίζεται ότι δεν ήταν ο συντάκτης της πρώτης αναρτήσεως στο …. περί άσκοπης σπατάλης των χρηµάτων των δηµοτών και ότι διέγραψε την ανάρτησή του περί λήψεως συντάξεως αναπηρίας εκ µέρους του Α. Κατά τους ισχυρισµούς του Β το σχόλιο του έχει αναφορά στην ιδιότητα του καταγγέλλοντος ως συνταξιούχου και στο δικαίωµα που του προσδίδει αυτή η ιδιότητα για είσπραξη συντάξεως. Το πραγµατικό στοιχείο της συνταξιοδοτήσεώς του λόγω αναπηρίας και όχι γήρατος δεν προσδίδει στο σχόλιό του την έννοια της παραβιάσεως των προσωπικών δεδοµένων, καθόσον δεν αναγράφει επιµέρους στοιχεία της συνταξιοδοτήσεως του που έχουν σχέση µε τα στοιχεία του σχετικού φακέλου, το χρόνο χορηγήσεως, τα ποσοστά, τη διάρκεια, το ποσό και τα λοιπά προσδιοριστικά στοιχεία που θεµελιώνουν το δικαίωµά του και κατά συνέπεια δεν παραβίασε προσωπικά δεδοµένα του καταγγέλλοντος, καθόσον αυτά είναι κοινά σε όλους τους κατοίκους. 

Στη συνέχεια το Τµήµα µε την αυτή σύνθεση συνήλθε κατά την αναφερόµενη στην αρχή της παρούσης ηµεροµηνία προκειµένου να διασκεφθούν τα µέλη και αποφασίσουν επί της υποθέσεως. 

Η Αρχή, µετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωµα ψήφου και αποχώρησε πριν από τη διάσκεψη και τη λήψη αποφάσεως κατόπιν διεξοδικής συζητήσεως,

ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ 

1. Η πληροφορία αναφορικά µε την είσπραξη συντάξεως αναπηρίας εντάσσεται στην κατηγορία των ευαίσθητων προσωπικών δεδοµένων (άρθρο 2 στοιχ. α΄ και β΄ του ν. 2472/1997). Ακολούθως, ενόψει των τεχνικών µεθόδων που ακολουθούνται στα µέσα κοινωνικής δικτυώσεως, η καταχώριση και δηµοσίευση/διάδοση των δεδοµένων αυτών από τα µέσα κοινωνικής δικτυώσεως συνιστά επεξεργασία εν µέρει αυτοµατοποιηµένη (άρθρο 2 στοιχ. δ΄ σε συνδυασµό µε άρθρο 3 παρ. 1 του ν. 2472/1997, βλ. και Απόφαση 73/2013 της Αρχής, σκ. 3 και 6). Συγκεκριµένα, η αποσπασµατική αναπαραγωγή των επίµαχων δεδοµένων συνιστά ιδιαίτερη και διακριτή µορφή επεξεργασίας ως καταχώριση και διάδοση δεδοµένων. 

2. Οι διατάξεις της Οδηγίας 95/46/ΕΚ για την προστασία των δεδοµένων ισχύουν για τους παρόχους υπηρεσιών κοινωνικής δικτυώσεως (εν προκειµένω το facebook) στις περισσότερες περιπτώσεις, ακόµη κι αν η έδρα τους βρίσκεται εκτός ΕΟΧ. Οι πάροχοι υπηρεσιών κοινωνικής δικτυώσεως είναι κατά κανόνα οι υπεύθυνοι για την επεξεργασία των δεδοµένων, σύµφωνα µε την Οδηγία 95/46/ΕΚ. Παρέχουν τα µέσα για την επεξεργασία των δεδοµένων των χρηστών και παρέχουν όλες τις «βασικές» πληροφορίες που αφορούν στη διαχείριση του χρήστη (π.χ. δηµιουργία και διαγραφή λογαριασµών). Επίσης, οι πάροχοι υπηρεσιών κοινωνικής δικτυώσεως καθορίζουν τη χρήση των δεδοµένων του χρήστη για σκοπούς διαφηµίσεως και εµπορικής προωθήσεως –συµπεριλαµβανοµένης της διαφηµίσεως που παρέχεται από τρίτους. 

Η εξέταση εάν αρµόδια αρχή για την εξέταση προσφυγών κατά του facebook είναι η ιρλανδική Επιτροπή Προστασίας ∆εδοµένων, όπου έχει την έδρα του το facebook στην ΕE παρέλκει, γιατί η προσφυγή στρέφεται κατά χρήστη και όχι κατά του παρόχου. 

3. Σύµφωνα µε τη Γνώµη 5/2009 της Οµάδας Εργασίας του Άρθρου 29, στις περισσότερες περιπτώσεις υπηρεσιών κοινωνικής δικτυώσεως θεωρείται ότι οι χρήστες είναι υποκείµενα των δεδοµένων. Η Οδηγία 95/46/ΕΚ δεν επιβάλλει τις υποχρεώσεις ενός υπεύθυνου επεξεργασίας δεδοµένων σε ένα άτοµο που επεξεργάζεται δεδοµένα προσωπικού χαρακτήρα στο πλαίσιο καθαρά προσωπικής ή οικιακής χρήσεως. Ωστόσο, σε κάποιες περιπτώσεις, οι δραστηριότητες του χρήστη µιας υπηρεσίας κοινωνικής δικτυώσεως µπορεί να µην διέπονται από την εξαίρεση λόγω οικιακής χρήσεως και ο χρήστης ενδέχεται να θεωρηθεί ότι επωµίζεται κάποιες από τις ευθύνες ενός υπεύθυνου επεξεργασίας δεδοµένων. Στις περιπτώσεις αυτές οι δραστηριότητες ορισµένων χρηστών των υπηρεσιών κοινωνικής δικτυώσεως επεκτείνονται πέραν της καθαρά προσωπικής ή οικιακής χρήσεως, για παράδειγµα, όταν η υπηρεσία κοινωνικής δικτυώσεως χρησιµοποιείται ως πλατφόρµα 4 συνεργασίας για έναν οργανισµό ή µια εταιρεία. Αν ο χρήστης µιας υπηρεσίας κοινωνικής δικτυώσεως ενεργεί εκ µέρους µιας εταιρείας ή ενός οργανισµού ή χρησιµοποιεί την εν λόγω υπηρεσία κυρίως ως πλατφόρµα για την επιδίωξη διαφηµιστικών, πολιτικών ή φιλανθρωπικών στόχων, η εξαίρεση δεν ισχύει και ο χρήστης αναλαµβάνει όλες τις ευθύνες ενός υπεύθυνου επεξεργασίας δεδοµένων, ο οποίος αποκαλύπτει δεδοµένα προσωπικού χαρακτήρα σε έναν άλλο υπεύθυνο επεξεργασίας δεδοµένων προσωπικού χαρακτήρα (δηλ. την υπηρεσία κοινωνικής δικτύωσης) και σε τρίτους (σε άλλους χρήστες της εν λόγω υπηρεσίας ή ενδεχοµένως ακόµα και σε άλλους υπεύθυνους επεξεργασίας δεδοµένων µε πρόσβαση στα δεδοµένα). Σε αυτές τις περιπτώσεις, ο χρήστης πρέπει να λάβει τη σύµφωνη γνώµη των ενδιαφεροµένων προσώπων ή να στηρίξει την επεξεργασία σε κάποια άλλη νοµική βάση, που προβλέπεται στην Οδηγία 95/46/ΕΚ. 

Περαιτέρω, η Γνώµη 5/2009 επισηµαίνει ότι η ύπαρξη µεγάλου αριθµού επαφών µπορεί να σηµαίνει ότι δεν ισχύει η εξαίρεση λόγω οικιακής χρήσεως και εποµένως ότι ο χρήστης µπορεί να θεωρείται ως υπεύθυνος της επεξεργασίας δεδοµένων. Επίσης, σύµφωνα πάντοτε µε την ίδια Γνώµη, όταν η πρόσβαση στις πληροφορίες προφίλ επεκτείνεται πέραν των επαφών της επιλογής του χρήστη, π.χ. όταν παρέχεται πρόσβαση σε ένα προφίλ σε όλους τους χρήστες της υπηρεσίας κοινωνικής δικτυώσεως ή όταν τα δεδοµένα παρέχουν δυνατότητα καταγραφής από τις µηχανές αναζητήσεως, η πρόσβαση υπερβαίνει το προσωπικό ή το οικιακό πλαίσιο. Κατά αντίστοιχο τρόπο, αν ένας χρήστης λάβει συνειδητή απόφαση να επεκτείνει την πρόσβαση στα στοιχεία του πέραν των «φίλων» της επιλογής του καθίσταται υπεύθυνος επεξεργασίας δεδοµένων και υπέχει την ευθύνη αυτού. 

4. Eξάλλου, σύµφωνα µε το ∆ΕΚ στις αποφάσεις Bodil Linqvist1 και Satakunnan Markkinapörssi και Satamedia,2 η εξαίρεση της οικιακής χρήσεως πρέπει να ερµηνευθεί ως αφορώσα αποκλειστικά τις δραστηριότητες, οι οποίες εντάσσονται στο πλαίσιο της ιδιωτικής ή οικογενειακής ζωής των ιδιωτών, πράγµα το οποίο προδήλως δεν ισχύει για την περίπτωση της επεξεργασίας δεδοµένων προσωπικού χαρακτήρα, η οποία συνίσταται στη δηµοσίευσή τους στο ∆ιαδίκτυο, µε συνέπεια να αποκτά πρόσβαση στα δεδοµένα αυτά απροσδιόριστος αριθµός προσώπων. Ως εκ τούτου, όταν η ανακοίνωση των συλλεγοµένων δεδοµένων γίνεται σε απροσδιόριστο αριθµό ατόµων δεν λαµβάνει χώρα η εξαίρεση της οικιακής χρήσεως. 

5. Εν προκειµένω, η ιστοσελίδα του δηµάρχου πόλης Χ στο facebook υπό την ονοµασία «….» αριθµεί άνω των 1000 φίλων και είναι δηµόσια και προσβάσιµη σε όλους τους χρήστες του facebook (πολλώ µάλλον καθώς δεν απαιτείται η αποδοχή φιλίας εκ µέρους του  δηµάρχου για την ανάγνωση των αναρτηµένων από αυτόν). Περαιτέρω, ο Β χρησιµοποιεί την ιστοσελίδα για την ενηµέρωση και πληροφόρηση των δηµοτών καθιστώντας την ως µέσο επικοινωνίας µε το κοινό. Συνεπώς, σύµφωνα µε αυτά που εκτίθενται ανωτέρω, ο ∆ήµαρχος … καθίσταται υπεύθυνος επεξεργασίας και έχει όλες τις υποχρεώσεις του υπευθύνου επεξεργασίας, όπως προβλέπονται στο ν.2472/97 για νόµιµη και θεµιτή επεξεργασία (άρθρα 4 και 7). Ο δήµαρχος εν προκειµένω ανήρτησε στην ιστοσελίδα πληροφορία σχετικά µε ευαίσθητα προσωπικά δεδοµένα του προσφεύγοντος χωρίς να έχει λάβει τη συγκατάθεση του και χωρίς να συντρέχει κάποια από τις νοµιµοποιητικές βάσεις του άρθρου 7 παρ. 2 του ν. 2472/1997. Η δηµοσιοποίηση ως απάντηση στη δριµεία κριτική που δέχθηκε ο Β από τον Α δεν εµπίπτει σε κάποια εξαίρεση του άρθρου 7 παρ. 2. 

ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ 

Η Αρχή, 

1) Κρίνει ότι η ανάρτηση στην ιστοσελίδα που αναφέρεται στο σκεπτικό από τον υπεύθυνο επεξεργασίας ∆ήµαρχο … των ανωτέρω ευαίσθητων προσωπικών δεδοµένων του καταγγέλλοντος τυγχάνει παράνοµη. 

2) Επιβάλει την προβλεπόµενη από τις διατάξεις του άρθρου 21 παρ. 1 στοιχ. α΄ του ν. 2472/1997 κύρωση της αυστηρής προειδοποιήσεως στο ∆ήµαρχο … µε αποκλειστική προθεσµία 5 (πέντε) ηµερών από τη λήψη της αποφάσεως, όπως διαγράψει κάθε σχετική αναφορά από την ιστοσελίδα του στο facebook και όπως µη επαναλάβει oποιαδήποτε ανάλογη ενέργεια στο µέλλον. 

Ο Αναπληρωτής Πρόεδρος 

Γεώργιος Μπατζαλέξης 

Η Γραµµατέας 

Ειρήνη Παπαγεωργοπούλου 

_______________________________________________________________________

1 Βλ. ∆ΕΚ Bodil Linqvist, Υπόθεση C-101/01, 6.11.2003, σκ. 47. 5

2 Βλ. ∆ΕΚ Satakunnan Markkinapörssi and Satamedia, Υποθ. C-73/07, 16.12.2008, σκ. 44.


δείτε την απόφαση εδώ : ΑΠΔΠΧ 17/2016