Η υποχρέωση διαγραφής διευθύνσεων email εκτείνεται και στη λίστα AutoComplete του Outlook

Καταγγελίες υποκειμένων δεδομένων που ανέφεραν ότι εξακολουθούσαν να λαμβάνουν μηνύματα ηλεκτρονικού ταχυδρομείου από υπευθύνους επεξεργασίας, παρότι τα προσωπικά τους δεδομένα θα έπρεπε ήδη να έχουν διαγραφεί κατ’ εφαρμογή του άρθρου 17 ΓΚΠΔ εξέτασε η αρχή προστασίας δεδομένων της Βαυαρίας BayLDA.

Οι καταγγελίες αφορούσαν περιπτώσεις στις οποίες οι υπεύθυνοι επεξεργασίας είχαν μεν προβεί στη διαγραφή των προσωπικών δεδομένων των υποκειμένων αυτών, πλην όμως διαπιστώθηκε ότι οι σχετικές διευθύνσεις ηλεκτρονικού ταχυδρομείου παρέμεναν αποθηκευμένες στη λειτουργία «Αυτόματης Συμπλήρωσης» (AutoComplete) του Microsoft Outlook.

Η λειτουργία της Αυτόματης Συμπλήρωσης και οι ακούσιες αποστολές

Σύμφωνα με τα ευρήματα της γερμανικής αρχής, η διατήρηση των διευθύνσεων στη λίστα Αυτόματης Συμπλήρωσης είχε ως αποτέλεσμα την αυτόματη εμφάνισή τους κατά τη σύνταξη νέων μηνυμάτων στα πεδία «Προς», «CC» ή «BCC». Σε ορισμένες περιπτώσεις, οι αποστολείς επέλεγαν τη συμπληρωμένη διεύθυνση χωρίς να αντιληφθούν ότι επρόκειτο για πρόσωπο του οποίου τα δεδομένα έπρεπε να έχουν ήδη διαγραφεί.

Η αποστολή των μηνυμάτων αυτών οδήγησε σε περαιτέρω επεξεργασία προσωπικών δεδομένων, παρά το γεγονός ότι είχε ανακύψει υποχρέωση διαγραφής βάσει του άρθρου 17 ΓΚΠΔ.

Η έκταση της υποχρέωσης διαγραφής

Η BayLDA επισήμανε ότι όταν ένας υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει τη διεύθυνση ηλεκτρονικού ταχυδρομείου ενός υποκειμένου των δεδομένων, η υποχρέωση αυτή δεν περιορίζεται στα κύρια αρχεία ή συστήματα όπου τηρούνται τα δεδομένα, αλλά πρέπει να εκτείνεται και στη διαγραφή της συγκεκριμένης διεύθυνσης από τη λίστα Αυτόματης Συμπλήρωσης του Outlook, εφόσον η λειτουργία αυτή χρησιμοποιείται στον οργανισμό.

Κατά την κρίση της αρχής, η παράλειψη αφαίρεσης της διεύθυνσης από τη συγκεκριμένη λίστα συνεπάγεται ότι συνεχίζεται η επεξεργασία των δεδομένων, έστω και ακούσια, κατά τρόπο μη συμβατό με τις απαιτήσεις της νομοθεσίας για την προστασία δεδομένων.

Συστάσεις προς τους υπευθύνους επεξεργασίας

Στο πλαίσιο των σχετικών καταγγελιών, η βαυαρική αρχή συνέστησε στους υπευθύνους επεξεργασίας να ενσωματώνουν τη λίστα Αυτόματης Συμπλήρωσης στα σχέδια και τις διαδικασίες διαγραφής προσωπικών δεδομένων, όπως συμβαίνει και με άλλες πηγές δεδομένων, μεταξύ των οποίων οι λίστες διανομής ηλεκτρονικού ταχυδρομείου.

Παράλληλα, επισημάνθηκε ότι είναι δυνατόν είτε να απενεργοποιηθεί η λειτουργία πρότασης ονομάτων κατά τη συμπλήρωση των πεδίων παραληπτών, είτε να εκκαθαριστεί πλήρως η λίστα Αυτόματης Συμπλήρωσης.

Οι υποθέσεις που εξετάστηκαν ολοκληρώθηκαν με διαπίστωση παράβασης των διατάξεων περί προστασίας δεδομένων. Ωστόσο, η αρχή, ασκώντας τη διακριτική της ευχέρεια, δεν προχώρησε στη λήψη διορθωτικών μέτρων βάσει του άρθρου 58 παρ. 2 ΓΚΠΔ.