Τα δικαιώματα του ΓΚΠΔ δεν ασκούνται μόνο προς την ειδική διεύθυνση email του υπευθύνου επεξεργασίας

Την υποχρέωση των υπευθύνων επεξεργασίας να διευκολύνουν ουσιαστικά την άσκηση των δικαιωμάτων των υποκειμένων, ακόμη και όταν αυτά δεν χρησιμοποιούν το προβλεπόμενο κανάλι επικοινωνίας, υπενθύμισε η ιταλική αρχή προστασίας δεδομένων Garante, επιβάλλοντας πρόστιμο 5.000 ευρώ σε εταιρεία ένδυσης.

Με την απόφαση 644/2026 της 23ης Σεπτεμβρίου 2026, η εποπτική αρχή εξέτασε την περίπτωση πελάτη που είχε ζητήσει τη διαγραφή των προσωπικών του δεδομένων, αποστέλλοντας σχετικό αίτημα σε γενική διεύθυνση ηλεκτρονικού ταχυδρομείου της εταιρείας. Το αίτημα δεν διεκπεραιώθηκε, καθώς η συγκεκριμένη διεύθυνση δεν ήταν εκείνη που είχε οριστεί για την άσκηση των δικαιωμάτων του ΓΚΠΔ.

Η καταγγελία και οι ισχυρισμοί της εταιρείας

Η υπόθεση ξεκίνησε από καταγγελία πελάτη της Barbuti S.p.A., ο οποίος λάμβανε διαφημιστικά SMS χωρίς να διαθέτει εύκολο τρόπο διαγραφής από τη λίστα αποστολής. Στις 7 Ιουνίου 2024 απέστειλε αίτημα διαγραφής των δεδομένων του στη διεύθυνση site@barbuti.it, χωρίς να λάβει ουσιαστική απάντηση.

Παρά το αίτημά του, συνέχισε να δέχεται διαφημιστικές επικοινωνίες, ακόμη και τον Ιανουάριο του 2026.

Κατά τη διερεύνηση της καταγγελίας, η εταιρεία αναγνώρισε ότι η μη διεκπεραίωση του αιτήματος οφειλόταν σε οργανωτική αστοχία. Εξήγησε ότι η συγκεκριμένη διεύθυνση χρησιμοποιούνταν κυρίως για θέματα ηλεκτρονικού εμπορίου και γενικές πληροφορίες, ενώ η πολιτική απορρήτου περιλάμβανε διαφορετικά στοιχεία επικοινωνίας για την άσκηση δικαιωμάτων.

Ωστόσο, δεν είχε προβλεφθεί κατάλληλη εσωτερική διαδικασία για τον εντοπισμό και τη διαβίβαση τέτοιων αιτημάτων στο αρμόδιο προσωπικό.

Πότε είναι έγκυρο ένα αίτημα που αποστέλλεται σε αναρμόδια διεύθυνση;

Το κεντρικό ζήτημα που εξέτασε η Garante ήταν κατά πόσον ο υπεύθυνος επεξεργασίας οφείλει να διαχειριστεί ένα αίτημα που υποβάλλεται μέσω διαφορετικού καναλιού από εκείνο που έχει υποδείξει.

Η ιταλική αρχή επικαλέστηκε τις Κατευθυντήριες Γραμμές 01/2022 του ΕΣΠΔ σχετικά με το δικαίωμα πρόσβασης, οι οποίες διευκρινίζουν ότι ένα αίτημα που υποβάλλεται μέσω καναλιού επικοινωνίας παρεχόμενου από τον υπεύθυνο επεξεργασίας πρέπει καταρχήν να θεωρείται έγκυρο, ακόμη και αν δεν χρησιμοποιήθηκε το προτιμώμενο κανάλι.

Η υποχρέωση αυτή δεν είναι απεριόριστη. Σύμφωνα με τις ίδιες κατευθυντήριες γραμμές, ο υπεύθυνος επεξεργασίας δεν υποχρεούται να ανταποκρίνεται σε αιτήματα που αποστέλλονται σε τυχαίες ή εσφαλμένες διευθύνσεις που δεν έχει διαθέσει ο ίδιος ή σε κανάλια προδήλως ακατάλληλα για την άσκηση δικαιωμάτων, εφόσον έχει παράσχει κατάλληλο κανάλι επικοινωνίας.

Στην εξεταζόμενη περίπτωση, όμως, το αίτημα ήταν σαφές και είχε υποβληθεί σε υπαρκτή εταιρική διεύθυνση. Κατά την Garante, η εταιρεία μπορούσε, με εύλογη προσπάθεια, είτε να το προωθήσει στην αρμόδια υπηρεσία είτε να απαντήσει στον ενδιαφερόμενο καθοδηγώντας τον σχετικά.

Η παράλειψη αυτή συνιστούσε παραβίαση τόσο των άρθρων 12 και 17 ΓΚΠΔ όσο και της αρχής της λογοδοσίας του άρθρου 5 παρ. 2, καθώς ανέδειξε την ανεπάρκεια των οργανωτικών μέτρων διαχείρισης των αιτημάτων.

Παράνομη συνέχιση των διαφημιστικών επικοινωνιών

Η Garante διαπίστωσε επιπλέον ότι η εταιρεία συνέχισε να αποστέλλει ανεπιθύμητα διαφημιστικά μηνύματα παρά την εκφρασμένη βούληση του πελάτη για διαγραφή των δεδομένων του.

Παράβαση συνιστούσε και η απουσία κατάλληλου τρόπου άσκησης δικαιωμάτων μέσα στα ίδια τα SMS. Η Αρχή ανέφερε ενδεικτικά τη δυνατότητα προσθήκης συνδέσμου, ειδικής διεύθυνσης email ή επιλογής «STOP» για εύκολη διαγραφή.

Για τις παραβάσεις των άρθρων 5 παρ. 2, 12 και 17 ΓΚΠΔ και του άρθρου 130 της ιταλικής νομοθεσίας επιβλήθηκε συνολικό πρόστιμο 5.000 ευρώ.

Κατά την επιμέτρηση συνεκτιμήθηκαν ο περιορισμένος αριθμός ανεπιθύμητων μηνυμάτων, ο αμελής χαρακτήρας της παράβασης, η συνεργασία της εταιρείας και τα διορθωτικά μέτρα που αυτή είχε ήδη λάβει, μεταξύ των οποίων η διαγραφή των δεδομένων του καταγγέλλοντος, η εκπαίδευση του προσωπικού και η θέσπιση διαδικασιών για την εσωτερική διαχείριση των αιτημάτων.