Επίπληξη στο Υπουργείο Ανάπτυξης για μη ανταπόκριση σε αίτημα πρόσβασης (ΑΠΔΠΧ 3/2026)

Επίπληξη στο Υπουργείο Ανάπτυξης για μη ανταπόκριση σε αίτημα πρόσβασης και μη συνεργασία με την εποπτική αρχή απηύθυνε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, απορρίπτοντας παράλληλα ως αβάσιμη την καταγγελία που υποβλήθηκε, ως προς το σκέλος της διαρροής προσωπικών δεδομένων από το Υπουργείο.

Η υπόθεση σχηματίστηκε μετά από καταγγελία που υπέβαλε πολίτης τον Σεπτέμβριο του 2021, σύμφωνα με την οποία διέρρευσε ο αριθμός του κινητού της τηλεφώνου μετά από καταγγελία που είχε πραγματοποιήσει για μη τήρηση μέτρων κατά του COVID-19 σε πλοίο. Ειδικότερα και σύμφωνα με την καταγγελία, η καταγγέλλουσα είχε αρχικώς αποστείλει σχετικό μήνυμα ηλεκτρονικού ταχυδρομείου, ενώ στη συνέχεια προέβη σε τηλεφωνική καταγγελία στη γραμμή 1520, κατά την οποία, όπως ανέφερε, ενημερώθηκε ότι τα στοιχεία της θα χρησιμοποιούνταν αποκλειστικά για την παροχή διευκρινίσεων. Λίγες ημέρες αργότερα, ωστόσο, η καταγγέλλουσα δέχθηκε τηλεφωνική επικοινωνία από τον πλοίαρχο του πλοίου, ο οποίος της ανέφερε ότι «του έδωσαν τα στοιχεία της από το καταγγελλόμενο Υπουργείο, προκειμένου να επικοινωνήσει μαζί της και να ζητήσει διευκρινίσεις».

Μετά την απροσδόκητη επικοινωνία αυτή, η καταγγέλλουσα απέστειλε ηλεκτρονικό μήνυμα προς το 1520@efpolis.gr, ζητώντας να ενημερωθεί για το εν λόγω περιστατικό διαρροής των προσωπικών της δεδομένων, χωρίς ωστόσο να λάβει απάντηση.

Κληθέν από την Αρχή για παροχή απόψεων, το Υπουργείο υποστήριξε αρχικά – και δη με καθυστέρηση δύο μηνών - ότι ουδέποτε υπήρξε τηλεφωνική καταγγελία της καταγγέλλουσας, ενώ άλλωστε το τηλεφωνικό κέντρο της Γενικής Διεύθυνσης Προστασίας Καταναλωτή δεν καταγράφει τις τηλεφωνικές καταγγελίες. Ταυτόχρονα, το Υπουργείο διευκρίνισε πως η υποστήριξη της τηλεφωνικής γραμμής 1520 είχε ανατεθεί σε ιδιωτική επιχείρηση, ενώ επιπρόσθετα δήλωσε άγνοια σχετικά με το αν έχει ορίσει Υπεύθυνο Προστασίας Δεδομένων.

Η απάντηση αυτή κρίθηκε από την Αρχή ως ελλιπής και αόριστη, για το λόγο αυτό ζητήθηκαν επιπλέον διευκρινίσεις. Αυτή τη φορά, το Υπουργείο απάντησε με καθυστέρηση τεσσάρων μηνών, γνωστοποιώντας τα στοιχεία της ιδιωτικής επιχείρησης και εμμένοντας στον ισχυρισμό πως «η Γενική Διεύθυνση Προστασίας Καταναλωτή (ήδη Γενική Διεύθυνση Αγοράς και Προστασίας Καταναλωτή) δεν δέχθηκε στο τηλεφωνικό της κέντρο καταγγελία της αναφερόμενης».

Ο ισχυρισμός αυτός μεταβλήθηκε από το Υπουργείο, όταν αυτό εκλήθη να παραστεί ενώπιον του Τμήματος της Αρχής. Σύμφωνα με το συμπληρωματικό έγγραφο που υποβλήθηκε, η τηλεφωνική καταγγελία της καταγγέλλουσας έλαβε, πράγματι, χώρα στις 1-7-2021, ενώ την ίδια ημέρα απεστάλη αυτοματοποιημένο email από την ανάδοχο εταιρεία υποστήριξης του τηλεφωνικού κέντρου προς τη ΔΙΜΕΑ, με καταγραφή του αντικειμένου της καταγγελίας, του ονοματεπωνύμου της καταγγέλλουσας, καθώς και του τηλεφωνικού της αριθμού.

Η ΔΙΜΕΑ διεβίβασε το μήνυμα αυτούσιο στο αρμόδιο Κεντρικό Λιμεναρχείο, ως αρμόδιο ελεγκτικό όργανο, το οποίο με τη σειρά του διαβίβασε την καταγγελία στην πλοιοκτήτρια εταιρία, ζητώντας τις απόψεις της για το καταγγελλόμενο συμβάν, η οποία και ενημέρωσε τον πλοίαρχο.

Η κρίση της Αρχής

Με βάση την πορεία αυτή της καταγγελίας, η Αρχή διαπίστωσε καταρχήν ότι δεν υπήρξε διαρροή του τηλεφωνικού αριθμού της καταγγέλλουσας από το Υπουργείο ή την εκτελούσα την επεξεργασία εταιρεία, καθώς τα στοιχεία της περιλαμβάνονταν στο διαβιβαστικό έγγραφο της καταγγελίας που διακινήθηκε προς τις αρμόδιες αρχές και μέσω αυτής της διαδικασίας περιήλθαν στον πλοίαρχο. Ως εκ τούτου, η καταγγελία απορρίφθηκε ως αβάσιμη ως προς το σκέλος της διαρροής προσωπικών δεδομένων.

Αντίθετη υπήρξε η κρίση της ΑΠΔΠΧ ως προς τις ευθύνες του Υπουργείου στο πλαίσιο ανταπόκρισης σε αιτήματα των υποκειμένων και συνεργασίας μαζί της.

Από τα στοιχεία του φακέλου προέκυψε ότι η καταγγέλλουσα απευθύνθηκε επανειλημμένως στο Υπουργείο ζητώντας ενημέρωση για τη φερόμενη διαβίβαση των προσωπικών της δεδομένων, ωστόσο, το Υπουργείο δεν παρείχε καμία απάντηση, ούτε εντός της προβλεπόμενης μηνιαίας προθεσμίας ούτε σε μεταγενέστερο χρόνο, ενώ, όπως προέκυψε, ο αρμόδιος υπάλληλος δεν θεώρησε ότι υπήρχε υποχρέωση έγκαιρης ανταπόκρισης. Η παράλειψη αυτή συνδέθηκε, κατά την Αρχή, με ελλείψεις οργάνωσης και εκπαίδευσης του προσωπικού, καθώς και με τη μη ορθή διαχείριση των αιτημάτων των υποκειμένων, τα οποία δεν διαβιβάστηκαν εγκαίρως στον αρμόδιο Υπεύθυνο Προστασίας Δεδομένων.

Παράλληλα, διαπιστώθηκε ότι το Υπουργείο δεν συνεργάστηκε αποτελεσματικά με την Αρχή, καθώς απάντησε με σημαντική καθυστέρηση στα σχετικά έγγραφα παροχής διευκρινίσεων, ενώ οι απαντήσεις του κρίθηκαν ελλιπείς και αόριστες. Η επαναλαμβανόμενη ολιγωρία και η αδυναμία παροχής σαφών πληροφοριών, ακόμη και ως προς βασικά ζητήματα της επεξεργασίας, αξιολογήθηκαν ως μη συμβατές με την υποχρέωση συνεργασίας που επιβάλλει το άρθρο 31 ΓΚΠΔ.

Υπό τα δεδομένα αυτά, η Αρχή κατέληξε ότι το Υπουργείο Ανάπτυξης, ως υπεύθυνος επεξεργασίας, παραβίασε τόσο την υποχρέωση των άρθρων 12 παρ.1-3 και 15 παρ.1 ΓΚΠΔ, ως προς την ανταπόκριση σε αιτήματα πρόσβασης, όσο και την υποχρέωση συνεργασίας με την εποπτική αρχή. Λαμβάνοντας υπόψη τον μη εσκεμμένο χαρακτήρα της παράβασης καθώς και το γεγονός ότι το καταγγελλόμενο Υπουργείο προέβη σε μέτρα βελτίωσης και εφαρμογής των διαδικασιών, που αφορούν το χειρισμό αιτημάτων πρόσβασης των υποκειμένων των δεδομένων, η Αρχή επέλεξε την επιβολή του ηπιότερου διορθωτικού μέτρου, απευθύνοντας επίπληξη.