Πρόστιμο 2,59 εκατ. ευρώ σε καζίνο της Κροατίας για τη συλλογή δακτυλικών αποτυπωμάτων πελατών

Βαρύτατο πρόστιμο συνολικού ύψους 2.590.000 ευρώ επέβαλε η κροατική αρχή προστασίας δεδομένων AZOP σε εταιρεία εκμετάλλευσης καζίνο, η οποία είχε εγκαταστήσει σύστημα βιομετρικής αναγνώρισης για την ταυτοποίηση των πελατών της κατά την είσοδό τους στις εγκαταστάσεις της.

Η εταιρεία προσέφερε στους επισκέπτες τη δυνατότητα να καταχωρίζουν τα δακτυλικά τους αποτυπώματα, προκειμένου να αποφεύγουν την επίδειξη του δελτίου ταυτότητάς τους κατά τις επόμενες επισκέψεις. Όπως όμως αποκάλυψε ο αυτεπάγγελτος έλεγχος της εποπτικής αρχής, η συγκεκριμένη πρακτική, για την οποία είχαν συλλεγεί δηλώσεις συγκατάθεσης 34.933 παικτών, παραβίαζε βασικές απαιτήσεις του ΓΚΠΔ ως προς την έκταση των συλλεγόμενων βιομετρικών δεδομένων, την εγκυρότητα της συγκατάθεσης και την ενημέρωση των υποκειμένων.

Τέσσερα δακτυλικά αποτυπώματα για την ταυτοποίηση των παικτών

Κατά τον έλεγχο διαπιστώθηκε ότι, παρά τον ισχυρισμό της εταιρείας πως συνέλεγε αποτυπώματα δύο δακτύλων, στην πραγματικότητα καταχωρίζονταν τέσσερα, δύο από κάθε χέρι, προκειμένου να χρησιμοποιούνται για τη βιομετρική ταυτοποίηση των επισκεπτών.

Η εταιρεία δικαιολόγησε τη συλλογή επιπλέον αποτυπωμάτων, επικαλούμενη την πιθανότητα τραυματισμού ή αλλοίωσης του δέρματος, που θα μπορούσε να καταστήσει αδύνατη την αναγνώριση του πελάτη. Η αιτιολόγηση αυτή απορρίφθηκε, καθώς, σύμφωνα με την AZOP, η γενική επίκληση της ανάγκης διατήρησης εφεδρικών αποτυπωμάτων δεν αποδεικνύει ότι η συλλογή τους είναι αναγκαία, ιδίως όταν δεν έχει εξεταστεί αν ο επιδιωκόμενος σκοπός μπορεί να επιτευχθεί με λιγότερα αποτυπώματα και συμπληρωματικούς τρόπους επαλήθευσης της ταυτότητας.

Η συγκατάθεση δεν δικαιολογεί τη συλλογή περισσότερων δεδομένων

Η κροατική αρχή υπενθύμισε ότι η επεξεργασία βιομετρικών δεδομένων στον ιδιωτικό τομέα διέπεται και από ειδικές διατάξεις της εθνικής νομοθεσίας. Συγκεκριμένα, το άρθρο 22 του κροατικού νόμου 42/2018 περί εφαρμογής του ΓΚΠΔ επιτρέπει, υπό συγκεκριμένες προϋποθέσεις, την επεξεργασία βιομετρικών δεδομένων για την ασφαλή ταυτοποίηση των χρηστών υπηρεσιών, ορίζοντας ρητά ότι η σχετική επεξεργασία πρέπει να βασίζεται στη ρητή συγκατάθεση των υποκειμένων, σύμφωνα με τις απαιτήσεις του Γενικού Κανονισμού.

Η AZOP διευκρίνισε, ωστόσο, ότι η συγκατάθεση δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των υπόλοιπων αρχών του ΓΚΠΔ και ιδίως της αρχής της ελαχιστοποίησης. Κατά συνέπεια, ακόμη και όταν ο πελάτης έχει συμφωνήσει στη βιομετρική ταυτοποίησή του, η επιχείρηση οφείλει να περιορίζει τη συλλογή των δεδομένων στο απολύτως αναγκαίο μέτρο, χωρίς να μπορεί να επικαλεστεί τη συγκατάθεση ως δικαιολογία για τη συλλογή περισσότερων δακτυλικών αποτυπωμάτων από όσα απαιτούνται για τον συγκεκριμένο σκοπό.

Στην εξεταζόμενη περίπτωση διαπιστώθηκε επεξεργασία βιομετρικών δεδομένων χωρίς έγκυρη συγκατάθεση και σε έκταση που υπερέβαινε το αναγκαίο μέτρο, κατά παράβαση των άρθρων 6 παρ. 1, 9 παρ. 1 και 2 στοιχ. α ́ και 5 παρ. 1 στοιχ. α ́ και γ ́ ΓΚΠΔ.

Προβληματικές δηλώσεις συγκατάθεσης για διαφορετικούς σκοπούς

Περαιτέρω παραβάσεις εντοπίστηκαν στη διαδικασία εγγραφής των παικτών, κατά την οποία εμφανίζονταν σε οθόνη τέσσερα πεδία συγκατάθεσης, με τα δύο πρώτα, που αφορούσαν τα δακτυλικά αποτυπώματα και τις φωτογραφίες, να μην πληρούν τις απαιτήσεις του ΓΚΠΔ.

Ειδικότερα, η δήλωση συγκατάθεσης για τα αποτυπώματα ενσωμάτωνε πολλαπλούς διαφορετικούς σκοπούς, αναφέροντας ότι:

«Παρέχω τη συγκατάθεσή μου για τη συλλογή και επεξεργασία βιομετρικών δεδομένων, και συγκεκριμένα σαρωμένων δακτυλικών αποτυπωμάτων, τα οποία συλλέγονται για τους σκοπούς της παροχής υπηρεσιών/εκτέλεσης σύμβασης, της εξακρίβωσης της ταυτότητας των πελατών, της στατιστικής ανάλυσης, της κατάρτισης προφίλ, της βελτίωσης και εξατομίκευσης των υπηρεσιών, της προστασίας δικαιωμάτων και περιουσίας, καθώς και της εφαρμογής της απαγόρευσης συμμετοχής ανηλίκων σε τυχερά παιχνίδια».

Με την πρακτική αυτή, η εταιρεία δεν παρείχε δυνατότητα χωριστής επιλογής για κάθε σκοπό, ενώ δημιουργούσε την εντύπωση ότι ακόμη και η υποχρεωτική από τη νομοθεσία ταυτοποίηση των παικτών βασιζόταν στη συγκατάθεσή τους, χωρίς να διακρίνεται από την προαιρετική βιομετρική ταυτοποίηση.

Αντίστοιχα, η συγκατάθεση για τη φωτογράφιση δεν καθιστούσε σαφές αν οι φωτογραφίες χρησιμοποιούνταν αποκλειστικά για την ταυτοποίηση ή και για την προστασία δικαιωμάτων και περιουσίας και την αποτροπή συμμετοχής ανηλίκων. Για τις παραλείψεις αυτές διαπιστώθηκε παράβαση του άρθρου 7, σε συνδυασμό με το άρθρο 4 σημείο 11 ΓΚΠΔ.

Ελλιπής και αντιφατική ενημέρωση των πελατών

Τέλος, η αρχή διαπίστωσε ότι τα διαφορετικά ενημερωτικά έγγραφα που παρουσιάζονταν στους παίκτες περιείχαν ελλιπείς, ανακριβείς και μεταξύ τους αντιφατικές πληροφορίες σχετικά με τους σκοπούς και τις νομικές βάσεις της επεξεργασίας.

Χαρακτηριστικά, στους γενικούς όρους της εταιρείας τα δακτυλικά αποτυπώματα συνδέονταν, πέραν της ταυτοποίησης, με την παρακολούθηση της εισόδου στα καταστήματα, τη συμμετοχή σε τυχερά παιχνίδια και τη λειτουργία προγραμμάτων επιβράβευσης.

Κατά την αρχή, η ασάφεια αυτή δεν επέτρεπε στους πελάτες να κατανοήσουν για ποιους σκοπούς και με ποια νομική βάση χρησιμοποιούνταν τα προσωπικά τους δεδομένα, κατά παράβαση των άρθρων 12 παρ. 1 και 13 ΓΚΠΔ, σε συνδυασμό με την αρχή της διαφάνειας του άρθρου 5 παρ. 1 στοιχ. α ́.