Αριθμός 1713/2023
ΤΟ ΣΥΜΒΟΥΛΙΟ ΤΗΣ ΕΠΙΚΡΑΤΕΙΑΣ
ΤΜΗΜΑ Δ΄
Συνεδρίασε δημόσια στο ακροατήριό του στις 5 Απριλίου 2022, με την εξής σύνθεση: Ευθύμιος Αντωνόπουλος, Σύμβουλος της Επικρατείας, Προεδρεύων, σε αναπλήρωση της Προέδρου του Τμήματος, που είχε κώλυμα, Ηλίας Μάζος, Χριστίνα Σιταρά, Σύμβουλοι, Χριστιάνα Μπολόφη, Ουρανία Νικολαράκου, Πάρεδροι. Γραμματέας η Μαρία Τσαπαρδώνη.
Για να δικάσει την από 13 Δεκεμβρίου 2018 αίτηση:
της ανώνυμης τηλεφωνικής εταιρείας με την επωνυμία ………, που εδρεύει στην Αττική , η οποία παρέστη με τους δικηγόρους: …. που τους διόρισε με πληρεξούσιο,
κατά της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, η οποία παρέστη με τον δικηγόρο ….., που τον διόρισε με εντολή του Προέδρου της Αρχής.
Με την αίτηση αυτή η αιτούσα εταιρεία επιδιώκει να ακυρωθεί η υπ’ αριθ. 60/2018 απόφαση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, και κάθε άλλη σχετική πράξη ή παράλειψη της Διοικήσεως.
Η εκδίκαση άρχισε με την ανάγνωση της εκθέσεως της εισηγήτριας, Παρέδρου Ουρανίας Νικολαράκου.
Κατόπιν το δικαστήριο άκουσε τους πληρεξουσίους της αιτούσας εταιρείας, οι οποίοι ανέπτυξαν και προφορικά τους προβαλλόμενους λόγους ακυρώσεως και ζήτησαν να γίνει δεκτή η αίτηση, και τον πληρεξούσιο της καθ’ ης Αρχής, ο οποίος ζήτησε την απόρριψή της.
Μετά τη δημόσια συνεδρίαση το δικαστήριο συνήλθε σε διάσκεψη σε αίθουσα του δικαστηρίου κ α ι
Α φ ο ύ μ ε λ έ τ η σ ε τ α σ χ ε τ ι κ ά έ γ γ ρ α φ α
Σ κ έ φ θ η κ ε κ α τ ά τ ο ν Ν ό μ ο
1. Επειδή, για την άσκηση της υπό κρίση αιτήσεως έχει καταβληθεί το νόμιμο παράβολο ηλεκτρονικό παράβολο με κωδικό ……..
2. Επειδή, με την αίτηση αυτή ζητείται η ακύρωση της υπ’αριθμ. .. αποφάσεως της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), με την οποία επιβλήθηκε εις βάρος της αιτούσας εταιρείας η διοικητική κύρωση του προστίμου ύψους 150.000 ευρώ για παραβίαση των διατάξεων του άρθρου 11 του ν. 3471/2006 και του άρθρου 10 του ν. 2472/1997.
3. Επειδή, όπως αναφέρεται στο από 12.4.2022 υπόμνημα που κατέθεσε η αιτούσα εταιρεία μετά τη συζήτηση της υποθέσεως, εντός της ταχθείσας από το Δικαστήριο προθεσμίας, η επωνυμία της έχει ήδη τροποποιηθεί σε …..
4. Επειδή, με τον νόμο 3471/2006 (Α´ 133) ενσωματώθηκε στην εθνική έννομη τάξη η Οδηγία 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου «Σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών» (EE L 201). Στις παραγράφους 1 και 2 του άρθρου 11 του ως άνω νόμου, όπως οι παράγραφοι αυτές τροποποιήθηκαν με τις παραγράφους 1 και 2, αντιστοίχως, του άρθρου 16 του ν. 3917/2011 (Α´ 22), ορίζονται τα εξής : «1. Η χρησιμοποίηση αυτόματων συστημάτων κλήσης, ιδίως με χρήση συσκευών τηλεομοιοτυπίας (φαξ) ή ηλεκτρονικού ταχυδρομείου, και γενικότερα η πραγματοποίηση μη ζητηθεισών επικοινωνιών με οποιοδήποτε μέσο ηλεκτρονικής επικοινωνίας, χωρίς ανθρώπινη παρέμβαση, για σκοπούς απευθείας εμπορικής προώθησης προϊόντων ή υπηρεσιών και για κάθε είδους διαφημιστικούς σκοπούς, επιτρέπεται μόνο αν ο συνδρομητής συγκατατεθεί εκ των προτέρων ρητώς. 2. Δεν επιτρέπεται η πραγματοποίηση μη ζητηθεισών επικοινωνιών με ανθρώπινη παρέμβαση (κλήσεων) για τους ανωτέρω σκοπούς, εφόσον ο συνδρομητής έχει δηλώσει προς τον φορέα παροχής της διαθέσιμης στο κοινό υπηρεσίας, ότι δεν επιθυμεί γενικώς να δέχεται τέτοιες κλήσεις. Ο φορέας υποχρεούται να καταχωρίζει δωρεάν τις δηλώσεις αυτές σε ειδικό κατάλογο συνδρομητών, ο οποίος είναι στη διάθεση κάθε ενδιαφερομένου». Περαιτέρω, στο άρθρο 13 του ίδιου νόμου προβλέπεται οι «1. Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα έχει και ως προς την τήρηση των διατάξεων του παρόντος νόμου τις αρμοδιότητες που προβλέπονται από το ν. 2472/1997, όπως εκάστοτε ισχύει. 2. … 4. Σε περίπτωση παράβασης των διατάξεων των άρθρων 1 έως 17 του παρόντος νόμου, για την τήρηση των οποίων αρμόδια είναι η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, αυτή επιβάλλει τις προβλεπόμενες από το άρθρο 21 του ν. 2472/1997 διοικητικές κυρώσεις …».
5. Επειδή, ο ν. 2472/1997 «Προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα » (Α´ 50), οι διατάξεις του οποίου ήταν εφαρμοστέες κατά τον κρίσιμο εν προκειμένω χρόνο, στο άρθρο 2 δίδει τους ακόλουθους ορισμούς : «Για τους σκοπούς του παρόντος νόμου νοούνται ως : α) … ζ) “Υπεύθυνος επεξεργασίας”, οποιοσδήποτε καθορίζει το σκοπό και τον τρόπο επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, όπως φυσικό ή νομικό πρόσωπο, δημόσια αρχή ή υπηρεσία ή οποιοσδήποτε άλλος οργανισμός …η) “Εκτελών την επεξεργασία”, οποιοσδήποτε επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό υπεύθυνου επεξεργασίας, όπως φυσικό ή νομικό πρόσωπο, δημόσια αρχή ή υπηρεσία ή οποιοσδήποτε άλλος οργανισμός. θ) …». Στο άρθρο 10 του ανωτέρω νόμου ορίζονται τα ακόλουθα : «Η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι απόρρητη. Διεξάγεται αποκλειστικά και μόνο από πρόσωπα που τελούν υπό τον έλεγχο του υπεύθυνου επεξεργασίας ή του εκτελούντος την επεξεργασία και μόνο κατ’ εντολήν του. 2. … 3. Ο υπεύθυνος επεξεργασίας οφείλει να λαμβάνει τα κατάλληλα οργανωτικά και τεχνικά μέτρα για την ασφάλεια των δεδομένων και την προστασία τους από τυχαία ή αθέμιτη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευμένη διάδοση ή πρόσβαση και κάθε άλλη μορφή αθέμιτης επεξεργασίας. Αυτά τα μέτρα πρέπει να εξασφαλίζουν επίπεδο ασφάλειας ανάλογο προς τους κινδύνους που συνεπάγεται η επεξεργασία και η φύση των δεδομένων που είναι αντικείμενο της επεξεργασίας … 4. Αν η επεξεργασία διεξάγεται για λογαριασμό του υπευθύνου από πρόσωπο μη εξαρτώμενο από αυτόν, η σχετική ανάθεση γίνεται υποχρεωτικά εγγράφως. Η ανάθεση προβλέπει υποχρεωτικά ότι ο ενεργών την επεξεργασία τη διεξάγει μόνο κατ’ εντολήν του υπευθύνου και ότι οι λοιπές υποχρεώσεις του παρόντος άρθρου βαρύνουν αναλόγως και αυτόν». Περαιτέρω, το άρθρο 13 του εν λόγω νόμου ορίζει τα εξής : « 1. Το υποκείμενο των δεδομένων έχει δικαίωμα να προβάλλει οποτεδήποτε αντιρρήσεις για την επεξεργασία δεδομένων που το αφορούν. Οι αντιρρήσεις απευθύνονται εγγράφως στον υπεύθυνο επεξεργασίας και πρέπει να περιέχουν αίτημα για συγκεκριμένη ενέργεια, όπως διόρθωση, προσωρινή μη χρησιμοποίηση, δέσμευση, μη διαβίβαση ή διαγραφή. Ο υπεύθυνος επεξεργασίας έχει την υποχρέωση να απαντήσει εγγράφως επί των αντιρρήσεων μέσα σε αποκλειστική προθεσμία δεκαπέντε (15) ημερών. Στην απάντησή του οφείλει να ενημερώσει το υποκείμενο για τις ενέργειες στις οποίες προέβη ή, ενδεχομένως, για τους λόγους που δεν ικανοποίησε το αίτημα. Η απάντηση σε περίπτωση απόρριψης των αντιρρήσεων πρέπει να κοινοποιείται και στην Αρχή. 2. … 3. Καθένας έχει δικαίωμα να δηλώσει στην Αρχή ότι δεδομένα που τον αφορούν δεν επιθυμεί να αποτελέσουν αντικείμενο επεξεργασίας από οποιονδήποτε, για λόγους προώθησης πωλήσεως αγαθών ή παροχής υπηρεσιών εξ αποστάσεως. Η Αρχή τηρεί μητρώο με τα στοιχεία ταυτότητας των ανωτέρω. Οι υπεύθυνοι επεξεργασίας των σχετικών αρχείων έχουν την υποχρέωση να συμβουλεύονται πριν από κάθε επεξεργασία το εν λόγω μητρώο και να διαγράφουν από το αρχείο τους τα πρόσωπα της παραγράφου αυτής». Τέλος, το άρθρο 21 του νόμου, σχετικά με την επιβολή διοικητικών κυρώσεων, προβλέπει ότι : «1. Η Αρχή επιβάλλει στους υπεύθυνους επεξεργασίας ή στους τυχόν εκπροσώπους τους τις ακόλουθες διοικητικές κυρώσεις, για παράβαση των υποχρεώσεών τους που απορρέουν οπό τον παρόντα νόμο και από κάθε άλλη ρύθμιση που αφορά την προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα : α) Προειδοποίηση, με αποκλειστική προθεσμία για άρση της παράβασης. β) Πρόστιμο ποσού από τριακόσιες χιλιάδες (300.000) έως πενήντα εκατομμύρια (50.000.000) δραχμές, γ) Προσωρινή ανάκληση άδειας, δ) Οριστική ανάκληση άδειας, ε) Καταστροφή αρχείου ή διακοπή επεξεργασίας και καταστροφή, επιστροφή ή κλείδωμα (δέσμευση) των σχετικών δεδομένων [όπως η τελευταία περίπτωση αντικαταστάθηκε με το άρθρο 30 του ν. 3471/2006]. 2. Οι υπό στοιχεία β΄, γ΄, δ΄ και ε΄ διοικητικές κυρώσεις της προηγούμενης παραγράφου επιβάλλονται πάντοτε ύστερα από ακρόαση του υπεύθυνου επεξεργασίας ή του εκπροσώπου του. Είναι ανάλογες προς τη βαρύτητα της παράβασης που καταλογίζεται. Οι υπό στοιχεία γ΄, δ΄ και ε΄ διοικητικές κυρώσεις επιβάλλονται σε περιπτώσεις ιδιαίτερα σοβαρής ή καθ’ υποτροπήν παράβασης. Πρόστιμο μπορεί να επιβληθεί σωρευτικά και με τις υπό στοιχεία γ΄, δ΄ και ε΄ κυρώσεις. Εάν επιβληθεί η κύρωση της καταστροφής αρχείου, για την καταστροφή ευθύνεται ο υπεύθυνος επεξεργασίας αρχείου, στον οποίο μπορεί να επιβληθεί και πρόστιμο για μη συμμόρφωση. 3 Τα ποσά των προστίμων της παρ. 1 μπορούν να αναπροσαρμόζονται με απόφαση του Υπουργού Δικαιοσύνης, ύστερα από πρόταση της Αρχής».
6. Επειδή, με τις προπαρατεθείσες διατάξεις του άρθρου 11 παρ. 2 του ν. 3471/2006, όπως τροποποιήθηκαν με το άρθρο 16 παρ. 2 του ν. 3917/2011, ορίζεται ότι ο συνδρομητής υπηρεσιών ηλεκτρονικών επικοινωνιών, ο οποίος δεν επιθυμεί να δέχεται μη ζητηθείσες επικοινωνίες (κλήσεις) με ανθρώπινη παρέμβαση για σκοπούς εμπορικής προώθησης προϊόντων ή υπηρεσιών και για κάθε είδους διαφημιστικούς σκοπούς, υποβάλλει σχετική δήλωση στον φορέα παροχής της εν λόγω υπηρεσίας (δήλωση αντίρρησης – opt out). Εξ άλλου, οι ίδιες διατάξεις προβλέπουν την υποχρέωση των παρόχων υπηρεσιών ηλεκτρονικών επικοινωνιών να τηρούν ειδικό κατάλογο για τους συνδρομητές τους που προβαίνουν σε αυτή την δήλωση αντίρρησης (μητρώο opt-out), από το σύνολο δε των διατάξεων του άρθρου 11 του ν. 3471/2006 συνάγεται η υποχρέωση των παρόχων υπηρεσιών ηλεκτρονικών επικοινωνιών, καθώς και κάθε προσώπου που επιθυμεί να χρησιμοποιήσει τέτοιες υπηρεσίες για την εμπορική προώθηση προϊόντων ή υπηρεσιών, να ενημερώνονται για τους εν λόγω καταλόγους (μητρώα opt out) που τηρούν όλοι οι πάροχοι. Παράλληλα, οι χρήστες των υπηρεσιών ηλεκτρονικών επικοινωνιών διατηρούν τη δυνατότητα να ασκήσουν το προβλεπόμενο από το άρθρο 13 του ν. 2472/1997 δικαίωμα αντίρρησης απευθείας προς τον καλούντα, δηλαδή, τον διαφημιζόμενο ή το πρόσωπο που τυχόν ενεργεί για λογαριασμό του (βλ. ΣτΕ 1451/2021).
7. Επειδή, εν προκειμένω, από τα στοιχεία του φακέλου της υποθέσεως προκύπτουν τα εξής : Κατόπιν σειράς καταγγελιών που υποβλήθηκαν ενώπιον της ΑΠΔΠΧ αναφορικά με ανεπιθύμητες τηλεφωνικές κλήσεις που πραγματοποιήθηκαν με ανθρώπινη παρέμβαση για την προώθηση προϊόντων ή υπηρεσιών της αιτούσας εταιρείας, η Αρχή αποφάσισε τη διενέργεια ελέγχου, προκειμένου να διαπιστωθεί τυχόν παραβίαση των σχετικών διατάξεων των νόμων 3471/2006 και 2472/1997. Αντίστοιχες καταγγελίες κατά της αιτούσας που αφορούσαν το χρονικό διάστημα Δεκεμβρίου 2011 – Ιουνίου 2016 είχαν αποτελέσει αντικείμενο προηγούμενου ελέγχου της ΑΠΔΠΧ, κατόπιν του οποίου η Αρχή είχε εκδώσει την υπ’αριθμ. 66/2016 απόφαση, με την οποία είχε επιβάλει στην αιτούσα πρόστιμο ύψους 28.000 ευρώ για παραβίαση των άρθρων 11 του ν. 3471/2006 και 13 του ν. 2472/1997 και της είχε απευθύνει σύσταση να προσαρμόσει κατάλληλα τις διαδικασίες που ακολουθεί ως προς την πραγματοποίηση τηλεφωνικών κλήσεων για τον σκοπό της προώθησης προϊόντων και υπηρεσιών. Επειδή δε μετά την έκδοση της ανωτέρω αποφάσεως η Αρχή συνέχισε να δέχεται καταγγελίες σχετικά την πραγματοποίηση τηλεφωνικών κλήσεων για προώθηση προϊόντων ή υπηρεσιών της αιτούσας σε τηλεφωνικούς αριθμούς συνδρομητών, οι οποίοι είχαν ασκήσει το δικαίωμα αντίρρησης, αποφασίσθηκε εκ νέου η διενέργεια ελέγχου. Στο πλαίσιο του ελέγχου αυτού η Αρχή διαβίβασε τις νεότερες καταγγελίες που της είχαν υποβληθεί στην αιτούσα, προκειμένου να προβεί σε διερεύνησή τους. Συγκεκριμένα, με το υπ’αριθμ. Γ/ΕΞ/6160/6.10.2016 έγγραφο της Αρχής διαβιβάσθηκαν στην αιτούσα δεκατρείς (13) καταγγελίες, με το υπ’ αριθμ. Γ/ΕΞ/7583/22.11.2016 έγγραφο άλλες οκτώ (8) καταγγελίες και με το υπ’αριθμ. Γ/ΕΞ/2858/5.4.2017 έγγραφο τριάντα μία (31) ακόμη καταγγελίες. Περαιτέρω, ελεγκτές της Αρχής διενήργησαν επιτόπιο έλεγχο τόσο στις εγκαταστάσεις της αιτούσας, όσο και στις εγκαταστάσεις της εταιρείας «B.F.S. ΠΡΟΩΘΗΣΗ ΧΡΗΜΑΤΟΟΙΚΟΝΟΜΙΚΏΝ ΥΠΗΡΕΣΙΩΝ – ΥΠΗΡΕΣΙΕΣ CALL CENTER – ΣΥΜΒΟΥΛΟΙ ΕΠΙΧΕΙΡΗΣΕΩΝ – ΑΣΦΑΛΙΣΤΙΚΟΙ ΣΥΜΒΟΥΛΟΙ ΜΟΝΟΠΡΟΣΩΠΗ ΕΤΑΙΡΕΙΑ ΠΕΡΙΟΡΙΣΜΕΝΗΣ ΕΥΘΥΝΗΣ» (BFS), η οποία αποτελούσε εταιρεία συνεργαζόμενη με την αιτούσα για την προώθηση των προϊόντων και υπηρεσιών της τελευταίας. Επίσης, με το υπ’αριθμ. Γ/ΕΞ/6377/4.9.2017 έγγραφο της Αρχής ζητήθηκαν από την αιτούσα στοιχεία για το σύνολο των κλήσεων που πραγματοποιήθηκαν για την προώθηση των προϊόντων και των υπηρεσιών της κατά το πρώτο εξάμηνο του έτους 2017, από όλες τις εταιρείες στις οποίες είχε ανατεθεί η παροχή σχετικών υπηρεσιών. Η αιτούσα με την από 28.9.2017 επιστολή της παρέσχε τα στοιχεία των κλήσεων που είχαν πραγματοποιηθεί από συνεργαζόμενες επιχειρήσεις, στις οποίες είχε χορηγήσει η ίδια συγκεκριμένες λίστες/αρχεία συνδρομητών της, όχι όμως και τα στοιχεία για κλήσεις που είχαν πραγματοποιηθεί για λογαριασμό της σε υποψήφιους συνδρομητές βάσει αρχείων που τηρούνταν αποκλειστικά από τις συνεργαζόμενες εταιρείες και το περιεχόμενο των οποίων δεν ήταν γνωστό στην ίδια, υποστηρίζοντας ότι στις περιπτώσεις αυτές δεν ήταν υπεύθυνη για την επεξεργασία των σχετικών δεδομένων προσωπικού χαρακτήρα. Οι ελεγκτές της Αρχής, αφού μελέτησαν τα ψηφιακά και έντυπα πειστήρια που συνέλεξαν στο πλαίσιο των επιτόπιων ελέγχων, τα στοιχεία που παρέσχε η αιτούσα, καθώς και τα λοιπά στοιχεία του φακέλου, συνέταξαν το υπ’αριθμ. Γ/ΕΙΣ/8041/9.11.2017 πόρισμα ελέγχου. Στο πόρισμα αυτό παρουσιάζονται τα βασικά ευρήματα του ελέγχου, η μεθοδολογία που ακολουθήθηκε και όλα τα στοιχεία που ελήφθησαν υπ’ όψιν. Τα ευρήματα του ελέγχου συνοπτικώς έχουν ως εξής : 1) Διαπιστώθηκε ότι πραγματοποιήθηκαν πολυάριθμες κλήσεις σε τηλεφωνικούς αριθμούς που είχαν εγγραφεί στο μητρώο του άρθρου 11 του ν. 3471/2006 για χρονικό διάστημα μεγαλύτερο των τριάντα ημερών πριν από την πραγματοποίηση της κλήσης, χωρίς να υπάρχει ειδική συγκατάθεση του καλούμενου συνδρομητή. Συγκεκριμένα, διαπιστώθηκε ότι πραγματοποιήθηκαν 140.395 μη νόμιμες κλήσεις (επί συνόλου 33.781.973 κλήσεων). Αναφέρεται, επίσης, ότι προκύπτει σαφώς ότι οι συνεργαζόμενες με την αιτούσα εταιρείες έχουν πραγματοποιήσει και άλλες κλήσεις για διαφήμιση των υπηρεσιών της, ενώ τα αρχεία καταγραφής των εν λόγω κλήσεων δεν έχουν προσκομισθεί στην Αρχή. 2) Διαπιστώθηκε ότι δεν τηρείται ορθή διαδικασία για την ικανοποίηση της ειδικής αντίρρησης των καλούμενων συνδρομητών. Ειδικότερα, διαπιστώθηκε ότι αν και η αιτούσα τηρεί ειδικό αρχείο αντιρρήσεων, δεν διαθέτει διαδικασία για να λαμβάνει από τις συνεργαζόμενες εταιρείες τις δηλώσεις αντίρρησης που απευθύνονται προς αυτές, αλλά αφορούν κλήσεις που γίνονται για λογαριασμό της αιτούσας. Περαιτέρω, οι ειδικές αντιρρήσεις διαβιβάζονται μεμονωμένα και όχι κάθε μήνα, ταυτόχρονα με τον ενοποιημένο κατάλογο των προς εξαίρεση αριθμών. 3) Διαπιστώθηκε μη ορθή ενημέρωση των καλούμενων συνδρομητών, καθώς στα σενάρια σχετικά με το περιεχόμενο της επικοινωνίας δεν περιλαμβάνεται ενημέρωση για την ταυτότητα του εκπροσώπου της εταιρείας, για λογαριασμό της οποίας γίνεται η κλήση ούτε ενημέρωση σχετικά με τη δυνατότητα άσκησης του δικαιώματος πρόσβασης. Επίσης, σε περίπτωση που ο καλούμενος είναι συνδρομητής άλλου παρόχου, πέραν του δικαιώματος αντίρρησης που καταγράφεται, ο συνδρομητής ενημερώνεται ότι έχει την υποχρέωση να απευθυνθεί στον πάροχό του για την καταχώρησή του στο μητρώο του άρθρου 11 και όχι ότι έχει απλώς τη δυνατότητα να απευθυνθεί και στον πάροχο. 4) Διαπιστώθηκε ότι δεν εφαρμόζεται ορθή διαδικασία για την τήρηση συγκαταθέσεων, διότι τα σχετικά αρχεία αφορούν μόνο σε συνδρομητές της αιτούσας, αλλά κυρίως διότι δεν υφίσταται διαδικασία αποστολής του μητρώου συγκαταθέσεων προς τις συνεργαζόμενες εταιρείες, με αποτέλεσμα να είναι αμφίβολο αν το μητρώο χρησιμοποιείται για την κατάρτιση του καταλόγου των προς κλήση αριθμών. 5) Διαπιστώθηκαν ελλείψεις σε τεχνικά και οργανωτικά μέτρα για την ασφάλεια της επεξεργασίας. Συγκεκριμένα, διαπιστώθηκε ότι δεν τηρούνται σωστά τα αρχεία καταγραφής των κλήσεων που γίνονται για λογαριασμό της αιτούσας από τη συνεργαζόμενη εταιρεία BFS και ότι δεν λαμβάνονται επαρκή μέτρα ελέγχου των συνεργαζόμενων εταιρειών. 6) Διαπιστώθηκε ότι η δημιουργία καταλόγων των προς κλήση συνδρομητών βασίζεται σε στοιχεία παλαιών συνδρομητών και παλαιών καταλόγων, τα οποία τηρούνται από τη συνεργαζόμενη εταιρεία BFS, χωρίς να έχουν ελεγχθεί από την αιτούσα. 7) Διαπιστώθηκε ότι αρκετές κλήσεις, ενώ απαντώνται από τον καλούμενο, δεν δρομολογούνται σε χειριστή. Το ανωτέρω πόρισμα ελέγχου συνοδευόμενο και από τα αρχεία των αποτελεσμάτων του ελέγχου επί των λιστών των πραγματοποιηθεισών κλήσεων κοινοποιήθηκε στην αιτούσα και κλήθηκε η τελευταία να εκθέσει τις απόψεις της επί των διαπιστώσεων του ελέγχου. Η ακρόαση της αιτούσας πραγματοποιήθηκε κατά τη συνεδρίαση της Αρχής της 5.12.2017, κατόπιν της οποίας η αιτούσα υπέβαλε το από 18.1.2018 υπόμνημα. Ακολούθως, η αιτούσα κλήθηκε εκ νέου σε ακρόαση, στις 27.2.2018, προκειμένου να παράσχει περαιτέρω εξηγήσεις. Επίσης, υπέβαλε το από 12.3.2018 συμπληρωματικό υπόμνημα.
8. Επειδή, κατόπιν αυτών, η Αρχή εξέδωσε την προσβαλλόμενη απόφαση, με την οποία έκρινε, κατ’αρχάς, ότι η αιτούσα για τις επίμαχες δραστηριότητες είχε την ιδιότητα του υπεύθυνου της επεξεργασίας. Συγκεκριμένα, ως προς το ζήτημα αυτό στην προσβαλλόμενη απόφαση διαλαμβάνονται τα εξής : «…, μέσω συμβάσεων, αναθέτει σε συνεργαζόμενες εταιρείες τη διενέργεια διαφημιστικών κλήσεων για προώθηση των δικών της προϊόντων και υπηρεσιών. Με τις συμβάσεις η …. θέτει μια σειρά από προδιαγραφές, με τις οποίες καθορίζεται το πλαίσιο δραστηριοποίησης των εταιρειών αυτών. Συνεπώς, η …..καθορίζει πλήρως το σκοπό ενώ καθορίζει και τα μέσα της επεξεργασίας. Η …. καταλείπει μεν κάποιο βαθμό διακριτικής ευχέρειας στις συνεργαζόμενες εταιρείες, επιτρέποντάς τους να επιλέξουν τον πιο κατάλληλο τεχνικό και οργανωτικό τρόπο για την επιλογή των αριθμών, τη διενέργεια των κλήσεων και τον τρόπο τήρησης των αρχείων καταγραφής, σε κάθε περίπτωση, όμως, η ευχέρεια αυτή παρέχεται για την εξυπηρέτηση των δικών της συμφερόντων. Περαιτέρω, κατά τη διενέργεια των κλήσεων οι καλούμενοι ενημερώνονται ότι αυτές πραγματοποιούνται για λογαριασμό της … … δημιουργώντας την πεποίθηση στα υποκείμενα των δεδομένων ότι αυτή είναι ο υπεύθυνος της επεξεργασίας. Συνεπώς, είναι σαφές ότι η …. αποτελεί τον υπεύθυνο της επεξεργασίας για τις υπό εξέταση δραστηριότητες. Οι συνεργαζόμενες εταιρείες έχουν το ρόλο του εκτελούντος την επεξεργασία στον βαθμό που δεν λαμβάνουν απόφαση να επεξεργαστούν δεδομένα για δικούς τους σκοπούς και όχι για λογαριασμό του υπευθύνου». Περαιτέρω, ως προς τις παραβιάσεις των διατάξεων του άρθρου 11 του ν. 3471/2006 και του άρθρου 10 του ν. 2472/1997, στις οποίες υπέπεσε η αιτούσα, με την προσβαλλόμενη απόφαση έγιναν δεκτά τα εξής : «α) Η ……, μέσω των συνεργατών της, εκτελούντων την επεξεργασία, πραγματοποίησε 140.395 μη νόμιμες κλήσεις για προωθητικούς σκοπούς. Οι αριθμοί των κληθέντων συνδρομητών είχαν ενταχθεί στο μητρώο “opt out” του παρόχου τους για χρονικό διάστημα μεγαλύτερο των τριάντα ημερών, ενώ οι συνδρομητές δεν είχαν παράσχει ειδική συγκατάθεση προς τον υπεύθυνο επεξεργασίας. Από τα προσκομισθέντα αρχεία καταγραφής αποδείχθηκε ότι πραγματοποιούνται χιλιάδες κλήσεις καθημερινά για προωθητικούς σκοπούς. Συγκεκριμένα, κατά το πρώτο εξάμηνο του 2017, πραγματοποιήθηκαν συνολικά 33.781.973 κλήσεις και το ποσοστό των αποδεδειγμένα μη νόμιμων κλήσεων αντιστοιχεί, κατά προσέγγιση, στο 0,44% του συνολικού αριθμού των κλήσεων. Η πραγματοποίηση των κλήσεων αυτών, όπως περιγράφονται στο πόρισμα του ελέγχου, δεν αμφισβητήθηκε ουσιαστικά από τον υπεύθυνο επεξεργασίας … β) Η …..δεν προσκόμισε το σύνολο των αρχείων καταγραφής των εξερχομένων κλήσεων ενώ αποδείχθηκε ότι υπήρξαν κλήσεις που διενεργήθηκαν για διαφημιστικούς σκοπούς από εκτελούντες την επεξεργασία που δεν περιλήφθηκαν στα αρχεία του ελέγχου. Αυτό προκύπτει από τρία στοιχεία. Πρώτον από το γεγονός ότι εκτελούντες την επεξεργασία ανέθεσαν τη διενέργεια κλήσεων σε συνεργαζόμενες – με αυτούς – εταιρείες και τα αρχεία των κλήσεων αυτών δεν προσκομίσθηκαν στην Αρχή. Δεύτερο, ειδικά για την περίπτωση της εκτελούσας την επεξεργασία BFS, αποδεικνύεται ότι τα αρχεία καταγραφής δεν είναι αξιόπιστα και υπάρχουν κλήσεις που ενώ διενεργήθηκαν δεν περιλαμβάνονται σε αυτά … Τρίτον, σε άλλες οκτώ περιπτώσεις καταγγελιών αναφέρονται από τους καταγγέλλοντες αριθμοί κλήσης που αποδεδειγμένα ανήκουν σε συνεργάτες της ……, ενώ οι κλήσεις αυτές δεν περιέχονται στα αρχεία καταγραφής που προσκομίσθηκαν στην Αρχή. Με τα δεδομένα αυτά, [η] διαδικασία τήρησης των αρχείων καταγραφής είναι πλημμελής και επομένως δεν εφαρμόστηκαν από τη …….τα κατάλληλα μέτρα ασφαλείας για την εξασφάλιση της νομιμότητας της επεξεργασίας. Ακόμη δε και αν θεωρηθεί μικρό το ποσοστό “μη νόμιμων” κλήσεων επί του συνόλου των κλήσεων που πραγματοποιήθηκαν, το στοιχείο αυτό δεν αίρει την παράβαση που στοιχειοθετείται με την πραγματοποίηση παράνομων κλήσεων, δεδομένου, μάλιστα, ότι κριτήριο με ιδιαίτερη βαρύτητα για την παράβαση αυτή αποτελεί ο απόλυτος αριθμός των αποδεδειγμένων παράνομων κλήσεων. γ) Από το σύνολο των ευρημάτων του ελέγχου … η Αρχή κρίνει ότι η …… δεν έχει εφαρμόσει τις πλέον κατάλληλες διαδικασίες για την κατά το δυνατόν αποτροπή κάθε ενδεχομένου για τεχνικό ή ανθρώπινο λάθος ή έστω για τον εντοπισμό των όποιων δυσλειτουργιών, κατά παράβαση του άρθρου 10 του ν.2472/1997. Συγκεκριμένα : i) Δεν ικανοποιούνται ορθά οι αντιρρήσεις των καλούμενων συνδρομητών, ιδίως όταν αυτές απευθύνονται στους εκτελούντες την επεξεργασία κατά τη διενέργεια των κλήσεων. ii) Δεν ικανοποιείται ορθά το δικαίωμα ενημέρωσης των καλούμενων χρηστών ή συνδρομητών, καθώς στο περιεχόμενο της επικοινωνίας δεν περιλαμβάνεται ενημέρωση για την ταυτότητα του εκπροσώπου της εταιρείας για λογαριασμό της οποίας γίνεται η κλήση ούτε ενημέρωση σχετικά με τη δυνατότητα άσκησης του δικαιώματος πρόσβασης. Περαιτέρω, οι καλούμενοι συνδρομητές δεν ενημερώνονται, όπως απαιτείται από το νόμο, ότι μπορούν να ασκήσουν αντιρρήσεις τόσο ειδικά προς τον υπεύθυνο επεξεργασίας όσο και γενικά μέσω του μητρώου του παρόχου τους και όχι μόνο μέσω του τελευταίου. iii) Ο διενεργούμενος από την ……, ως υπεύθυνο επεξεργασίας, έλεγχος των εκτελούντων την επεξεργασία δεν είναι επαρκής, παρά την παρουσία εκπροσώπων της στις εγκαταστάσεις των εκτελούντων την επεξεργασία. Ο δειγματοληπτικός έλεγχος αποδεικνύεται στην πράξη μη επαρκής ενώ, όπως ήδη αναφέρθηκε, διαπιστώθηκε ότι δεν τηρούνται ή δεν τηρούνται σωστά τα αρχεία καταγραφής για το σύνολο των εκτελούντων την επεξεργασία. Όπως έχει ήδη επισημανθεί με την Απόφαση 66/2016 … ο υπεύθυνος επεξεργασίας οφείλει να λαμβάνει μέτρα ώστε να διασφαλίζει ότι οι διαδικασίες τηρούνται τόσο από τους υπαλλήλους του όσο και από τους εκτελούντες την επεξεργασία, μέσω περιοδικών επιτόπιων ελέγχων. Παρά ταύτα, η …. ως υπεύθυνος επεξεργασίας δεν έχει προβεί, μεταξύ άλλων, σε αναλυτικότερο έλεγχο, του συνόλου των κλήσεων που διενεργούνται σε ορισμένο χρονικό διάστημα και δεν έχει ελέγξει τη νομιμότητα της πηγής των προς κλήση αριθμών. iv) Αρκετές κλήσεις απαντώνται από τον καλούμενο αλλά, λόγω τεχνικής ή οργανωτικής αστοχίας, δεν δρομολογούνται σε χειριστή, κατά παράβαση της υποχρέωσης του υπευθύνου της επεξεργασίας να εξασφαλίσει τις προϋποθέσεις ώστε όλες οι κλήσεις να δρομολογούνται σε χειριστή, όπως για παράδειγμα να υπάρχει διαθέσιμος χειριστής πριν διενεργηθεί η κλήση διότι σε διαφορετική περίπτωση δεν καθίσταται εφικτή η ικανοποίηση οποιουδήποτε δικαιώματος του καλούμενου συνδρομητή ή χρήστη». Αφού συνεκτίμησε τα ανωτέρω, καθώς και τις εν γένει περιστάσεις, υπό τις οποίες τελέσθηκαν οι παραβάσεις, όπως αυτές εκτίθενται στην προσβαλλόμενη απόφαση, η Αρχή επέβαλε στην αιτούσα την ένδικη κύρωση του προστίμου ύψους 150.000 ευρώ.
9. Επειδή, η αιτούσα προβάλλει ότι κατ’ εσφαλμένη ερμηνεία των διατάξεων του ν. 2472/1997 χαρακτηρίσθηκε με την προσβαλλόμενη απόφαση της Αρχής ως υπεύθυνος επεξεργασίας για όλες τις περιπτώσεις τηλεφωνικών κλήσεων που αποτέλεσαν αντικείμενο ελέγχου στην ένδικη υπόθεση. Ειδικότερα, η αιτούσα ισχυρίζεται ότι έχει την ιδιότητα του υπεύθυνου επεξεργασίας μόνον στις περιπτώσεις κλήσεων που πραγματοποιούνται από συνεργαζόμενες εταιρείες παροχής υπηρεσιών εμπορικής προώθησης μέσω τηλεφωνικών κλήσεων (call centers), στις οποίες τα αρχεία των τηλεφωνικών αριθμών που συνιστούν τα προς επεξεργασία προσωπικά δεδομένα, έχουν χορηγηθεί απευθείας από την ίδια. Αντιθέτως, στις περιπτώσεις εταιρειών call centers, οι οποίες επεξεργάζονται αποκλειστικά δικούς τους καταλόγους με τηλεφωνικούς αριθμούς (όπως π.χ. η εταιρεία BFS), το περιεχόμενο των οποίων δεν είναι γνωστό στην αιτούσα, οι εν λόγω εταιρείες (τις οποίες η αιτούσα χαρακτηρίζει ως «εμπορικά call centers») έχουν οι ίδιες την ιδιότητα του υπεύθυνου επεξεργασίας. Επικουρικά, η αιτούσα προβάλλει ότι ακόμη και εάν θεωρηθεί ότι οι εταιρείες call centers που καταρτίζουν μόνες τους τα προς επεξεργασία αρχεία δεν έχουν αποκλειστικά την ιδιότητα του υπεύθυνου επεξεργασίας, υφίσταται, πάντως, από κοινού έλεγχος των μερών, η ευθύνη των οποίων επιμερίζεται σύμφωνα με τους όρους της μεταξύ τους σύμβασης. Στις δε συμβάσεις που έχει συνάψει η αιτούσα με τις ως άνω συνεργαζόμενες εταιρείες έχει ρητώς συμφωνηθεί ότι οι τελευταίες φέρουν την ευθύνη για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα.
10. Επειδή, αντικείμενο του ελέγχου της ΑΠΔΠΧ στην ένδικη υπόθεση αποτέλεσε η νομιμότητα (κατά τις διατάξεις του άρθρου 11 του ν. 3471/2006) των τηλεφωνικών κλήσεων που πραγματοποιήθηκαν για την εμπορική προώθηση των προϊόντων και υπηρεσιών της αιτούσας κατά το επίμαχο χρονικό διάστημα, καθώς και της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που συνεπήγετο η πραγματοποίηση των κλήσεων αυτών. Η επεξεργασία συνίστατο, συγκεκριμένα, στην κατάρτιση και χρήση καταλόγων με τους τηλεφωνικούς αριθμούς των συνδρομητών, οι οποίοι καλούνταν για τους σκοπούς της εμπορικής προώθησης. Ως προς την ανωτέρω επεξεργασία η Αρχή, σύμφωνα με τα αναλυτικώς εκτιθέμενα στην όγδοη σκέψη, χαρακτήρισε την αιτούσα ως υπεύθυνο επεξεργασίας για το σύνολο των κλήσεων που αποτελέσαν αντικείμενο του ελέγχου, αφού έλαβε υπ’ όψιν ότι η εν λόγω εταιρεία καθόρισε τόσο τον σκοπό της επεξεργασίας, ο οποίος συνίστατο στην προώθηση των προϊόντων και υπηρεσιών της, όσο και τον τρόπο της επεξεργασίας. Ειδικότερα, η Αρχή έκρινε ότι με τις σχετικές συμβάσεις που συνήψε με τις συνεργαζόμενες εταιρείες η αιτούσα καθόρισε το γενικό πλαίσιο πραγματοποίησης των κλήσεων, καταλείποντας, βεβαίως, στις εν λόγω εταιρείες την ευχέρεια επιλογής του κατάλληλου τεχνικού και οργανωτικού τρόπου για την παροχή των υπηρεσιών που τους ανατέθηκαν. Η κρίση αυτή της Αρχής παρίσταται νομίμως και επαρκώς αιτιολογημένη και είναι σύμφωνη με τον ορισμό του «υπευθύνου επεξεργασίας» που δίδεται στην προπαρατεθείσα διάταξη του άρθρου 2 περ. ζ του ν. 2472/1997. Τούτο δε ισχύει και για τις περιπτώσεις των κλήσεων που πραγματοποιήθηκαν από εταιρείες call centers, στις οποίες η αιτούσα δεν είχε χορηγήσει κατάλογο τηλεφωνικών αριθμών προς κλήση, καθ’ όσον και στις περιπτώσεις αυτές, η επεξεργασία των δεδομένων προσωπικού χαρακτήρα από τις εν λόγω εταιρείες ελάμβανε χώρα για την εξυπηρέτηση του αυτού σκοπού, ο οποίος είχε καθορισθεί από την αιτούσα. Ειδικότερα, από τα εκτιθέμενα στην προσβαλλόμενη πράξη και τα στοιχεία που την συνοδεύουν προκύπτει ότι στις σχέσεις μεταξύ των εμπλεκομένων μερών, η αιτούσα είχε την κυρίαρχη βούληση ως προς την οργάνωση των δραστηριοτήτων επεξεργασίας που αποτέλεσαν αντικείμενο του ελέγχου, ενώ οι συνεργαζόμενες εταιρείες έθεταν τις υπηρεσίες τους στη διάθεση της αιτούσας για την εκπλήρωση των σκοπών της τελευταίας και αναλάμβαναν την εκτέλεση των δραστηριοτήτων προώθησης των προϊόντων και υπηρεσιών της αιτούσας υπό την εποπτεία της και σύμφωνα με τις εντολές και τις οδηγίες της. Δεν προκύπτει δε από τα στοιχεία του φακέλου ότι κατά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα για την πραγματοποίηση των συγκεκριμένων κλήσεων οι ως άνω συνεργαζόμενες εταιρείες επεδίωκαν παραλλήλως και την εξυπηρέτηση άλλου σκοπού που είχε καθορισθεί από τις ίδιες και συνδεόταν με την ανάπτυξη δικής τους αυτοτελούς επιχειρηματικής δραστηριότητας, μη περιοριζομένης στην εκπλήρωση των υποχρεώσεων που είχαν αναλάβει έναντι της αιτούσας. Διάφορο είναι το ζήτημα αν οι συνεργαζόμενες με την αιτούσα εταιρείες call centers προέβαιναν σε αντίστοιχη επεξεργασία δεδομένων προσωπικού χαρακτήρα και για λογαριασμό άλλων εταιρειών. Εξ άλλου, μολονότι στις περιπτώσεις αυτές η αιτούσα δεν παρείχε στις συνεργαζόμενες εταιρείες τον κατάλογο των τηλεφωνικών αριθμών των υποψηφίων συνδρομητών, δεν προσδιόριζε, δηλαδή, ειδικότερα τα προς επεξεργασία δεδομένα προσωπικού χαρακτήρα, εν όψει του σκοπού της επεξεργασίας, ο οποίος συνίστατο στην εν γένει διαφημιστική προώθηση των προϊόντων και των υπηρεσιών της αιτούσας, η παροχή γενικών οδηγιών ως προς τον τρόπο πραγματοποίησης των κλήσεων, σύμφωνα με τους σχετικούς όρους των συμβάσεων που συνήψε η αιτούσα με τις ως άνω εταιρείες (οι οποίοι προέβλεπαν υποχρέωση των συνεργαζομένων εταιρειών να συμμορφώνονται με τις οδηγίες, κατευθύνσεις, διαδικασίες και εντολές της αιτούσας και να τηρούν τους σχετικούς κανονισμούς), αρκούσε προκειμένου να θεωρηθεί ότι η αιτούσα είχε προσδιορίσει τα κύρια στοιχεία ως προς τον τρόπο διεξαγωγής της επεξεργασίας, υπό την έννοια ότι βάσει των οδηγιών αυτών οι συνεργαζόμενες εταιρείες αναλάμβαναν την υποχρέωση να προβούν σε επεξεργασία δεδομένων προσωπικού χαρακτήρα, τα οποία θα επιλέγονταν από ευρύ αριθμοδοτικό φάσμα βάσει πρόσφορων διαδικασιών, προς επίτευξη του ως άνω καθορισθέντος σκοπού. Το γεγονός δε ότι στις περιπτώσεις αυτές το αρχείο των προς επεξεργασία δεδομένων προσωπικού χαρακτήρα δεν βρισκόταν στην κατοχή της αιτούσας, αλλά των συνεργαζομένων με αυτήν εταιρειών, δεν είναι κρίσιμο, εφ’όσον, πάντως, η επεξεργασία του αρχείου γινόταν από τις εν λόγω εταιρείες για λογαριασμό της αιτούσας και για την εξυπηρέτηση των δικών της σκοπών. Ούτε, άλλωστε, μπορεί να θεωρηθεί, όπως ισχυρίζεται η αιτούσα, ότι η ως άνω κατηγορία των συνεργαζομένων με αυτήν εταιρειών (εμπορικά call centers) είχαν, σε κάθε περίπτωση, από κοινού με την ίδια την ιδιότητα του υπεύθυνου επεξεργασίας, δεδομένου ότι μόνον το γεγονός ότι οι εν λόγω εταιρείες προέβαιναν στην επιλογή των προς κλήση τηλεφωνικών αριθμών είτε βάσει τυχαίου συνδυασμού στοιχείων τηλεφωνικού καταλόγου είτε βάσει καταλόγων τηλεφωνικών αριθμών υποψηφίων συνδρομητών που είχαν καταρτίσει οι ίδιες με συγκεκριμένα κριτήρια και βρίσκονταν στη διάθεσή τους, δεν τις καθιστούσε (από κοινού με την αιτούσα) υπεύθυνους επεξεργασίας. Τούτο διότι η κατάρτιση του καταλόγου των προς κλήση τηλεφωνικών αριθμών δεν συνιστούσε, πάντως, συμμετοχή στον καθορισμό των στόχων της συγκεκριμένης επεξεργασίας, οι οποίοι είχαν τεθεί από την αιτούσα, ούτε ουσιώδους στοιχείου του τρόπου διεξαγωγής της, εφ’όσον, σύμφωνα με τα προαναφερθέντα, κατά την έννοια των όρων των σχετικών συμβάσεων, οι συνεργαζόμενες εταιρείες ώφειλαν να προβούν στην επιλογή των προς κλήση τηλεφωνικών αριθμών υιοθετώντας κατάλληλες διαδικασίες για την επίτευξη των στόχων της επεξεργασίας και υπό τον έλεγχο της αιτούσας. Δεν προκύπτει δε ότι η αιτούσα προέβη στη σύναψη των συμβάσεων συνεργασίας αποβλέποντας ειδικώς στη χρήση των αρχείων που βρίσκονταν στη διάθεση των συνεργαζομένων εταιρειών, αλλά στο πλαίσιο των υπηρεσιών που παρείχαν οι εταιρείες αυτές στην αιτούσα για τη διαφημιστική προώθηση των προϊόντων και των υπηρεσιών της, προέβαιναν στη χρήση των αρχείων αυτών για την εξυπηρέτηση των σκοπών των προωθητικών ενεργειών, προς εκπλήρωση των σχετικών υποχρεώσεών τους. Εξ άλλου, από τις προσκομισθείσες από την αιτούσα συμβάσεις συνεργασίας με τις εταιρείες call centers προκύπτει ότι και κατά την αντίληψη των συμβαλλομένων μερών ως προς τις συνθήκες της επεξεργασίας, οι συνεργαζόμενες εταιρείες είχαν την ιδιότητα του εκτελούντος την επεξεργασία, όπως ρητώς χαρακτηρίζονται στις συμβάσεις αυτές. Περαιτέρω, και έναντι των υποκειμένων των δεδομένων προσωπικού χαρακτήρα, των καλουμένων, δηλαδή, συνδρομητών, όλες οι συνεργαζόμενες εταιρείες παρουσιάζονταν ως ενεργούσες για λογαριασμό της αιτούσας, δημιουργώντας τους την πεποίθηση, όπως αναφέρεται και στην απόφαση της Αρχής, ότι η εν λόγω εταιρεία είναι ο υπεύθυνος επεξεργασίας. Σύμφωνα με τα ανωτέρω, η σχετική κρίση της Αρχής παρίσταται νομίμως και επαρκώς αιτιολογημένη, απορριπτομένων των περί του αντιθέτου προβαλλομένων από την αιτούσα. Απορριπτέος, επίσης, είναι και ο ισχυρισμός της αιτούσας ότι η αιτιολογία της προσβαλλόμενης απόφασης πάσχει, διότι η Αρχή παρέλειψε να απαντήσει στο αίτημα που είχε διατυπώσει η αιτούσα τόσο προφορικώς, κατά τη διαδικασία ακροάσεώς της, όσο και με τα από 18.1.2018 και 12.3.2018 υπομνήματά της και με το οποίο καλούσε την Αρχή να λάβει θέση επί του ζητήματος του προσδιορισμού της ιδιότητας των ως άνω συνεργαζομένων με αυτήν εταιρειών (εμπορικών call centers) ως υπευθύνου επεξεργασίας ή ως εκτελούντος την επεξεργασία. Τούτο διότι από το ανωτέρω παρατεθέν περιεχόμενο της προσβαλλομένης αποφάσεως προκύπτει ότι η Αρχή εξέθεσε αναλυτικά και αιτιολογημένα την κρίση της ότι οι εν λόγω συνεργαζόμενες με την αιτούσα εταιρείες είχαν σε όλες τις περιπτώσεις των κλήσεων που αποτέλεσαν αντικείμενο του ελέγχου την ιδιότητα του εκτελούντος την επεξεργασία και όχι του υπευθύνου της επεξεργασίας. Δεν απαιτείτο δε για την πληρότητα της αιτιολογίας της προσβαλλομένης αποφάσεως να γίνει ειδική αναφορά στο αίτημα που είχε διατυπώσει η αιτούσα, να λάβει θέση η Αρχή επί του σχετικού νομικού ζητήματος.
11. Επειδή, προβάλλεται ότι η προσβαλλόμενη απόφαση δεν αιτιολογείται νομίμως ούτε ως προς τη διαπίστωση της τέλεσης των παραβάσεων που αποδόθηκαν στην αιτούσα. Ειδικότερα, ως προς την παραβίαση του άρθρου 11 παρ.2 του ν. 3471/2006 προβάλλεται ότι στην προσβαλλόμενη απόφαση αναφέρεται μόνον ο απόλυτος αριθμός των κλήσεων που πραγματοποιήθηκαν κατά παράβαση της ανωτέρω διατάξεως, χωρίς να περιγράφεται η μεθοδολογία του ελέγχου, ώστε να καθίσταται δυνατή η διασταύρωση των σχετικών στοιχείων από την αιτούσα και η αιτιολόγηση των πραγματοποιηθεισών ανά μήνα κλήσεων με τις αντίστοιχες καταχωρήσεις/συγκαταθέσεις συνδρομητών του προηγούμενου μήνα.
12. Επειδή, η μεθοδολογία που ακολουθήθηκε για τη διεξαγωγή του ελέγχου στις τηλεφωνικές κλήσεις που πραγματοποιήθηκαν για λογαριασμό της αιτούσας με σκοπό την προώθηση των προϊόντων και υπηρεσιών της κατά το επίμαχο χρονικό διάστημα (πρώτο εξάμηνο του έτους 2017), περιγράφεται αναλυτικά στο υπ’αριθμ. Γ/ΕΙΣ/8041/9.11.2017 Πόρισμα Διοικητικού Ελέγχου που συντάχθηκε από τους ελεγκτές της ΑΠΔΠΧ. Το πόρισμα αυτό, το οποίο περιλαμβάνεται μεταξύ των στοιχείων του φακέλου που συνοδεύουν την προσβαλλόμενη πράξη, διαβιβάσθηκε στην αιτούσα ταυτοχρόνως με την κλήση της σε ακρόαση, προκειμένου να λάβει γνώση των στοιχείων του φακέλου που είχε σχηματισθεί και να εκθέσει τις απόψεις της επί των διαπιστώσεων του ελέγχου. Ως προς τη μεθοδολογία ελέγχου των κλήσεων, στο πόρισμα εκτίθενται τα εξής (σελ. 30 του πορίσματος) : «Βήμα 1ο . Δημιουργία ενοποιημένου μητρώου. Από τα αρχεία opt out που ελήφθησαν από τους παρόχους δημιουργήθηκε ενοποιημένο αρχείο για το μητρώο “opt out” του αρ. 11 του ν. 3471/2006, στο οποίο περιλαμβάνονται όλοι οι τηλεφωνικοί αριθμοί οι οποίοι ήταν ενεργοί στο συνολικό μητρώο του αρ. 11 (όλων των παρόχων) κατά το 1ο εξάμηνο του 2017. Στο ενοποιημένο αυτό αρχείο, για κάθε αριθμό υπάρχει η πληροφορία της ημερομηνίας ένταξης του αριθμού στο μητρώο και η ημερομηνία λήξης ισχύος της εγγραφής στο μητρώο, καθώς και ο εκάστοτε πάροχος υπηρεσίας τηλεφωνίας του εν λόγω αριθμού … Βήμα 2ο. Έλεγχος των αρχείων κλήσεων, έναντι του ενοποιημένου μητρώου. Στο πλαίσιο της δράσης ελέγχου συλλέχθηκαν … αρχεία εξερχομένων διαφημιστικών κλήσεων, στα οποία περιλαμβάνεται η ημερομηνία και ώρα κάθε κλήσης και ο κληθείς τηλεφωνικός αριθμός. Κάθε εγγραφή στα αρχεία αυτά αντιπαραβλήθηκε με τις εγγραφές του ενοποιημένου μητρώου, ώστε να διαπιστωθεί σε πόσες περιπτώσεις πραγματοποιήθηκαν εξερχόμενες διαφημιστικές κλήσεις προς τηλεφωνικούς αριθμούς που είναι ενταγμένοι στο μητρώο του αρ. 11 του ν. 3471/2006. Για κάθε ένα αρχείο (εισόδου) δημιουργήθηκε ένα νέο αρχείο αποτελεσμάτων, το οποίο περιλαμβάνει μόνο τα στοιχεία των κλήσεων που έχουν πραγματοποιηθεί σε αριθμούς που είναι ενταγμένοι στο μητρώο για πάνω από 30 ημέρες, καθώς και τα στοιχεία που αποδεικνύουν την εγγραφή του αριθμού αυτού στο μητρώο. … Βήμα 3ο . Έλεγχος με αρχείο συγκαταθέσεων. Τα ανωτέρω αρχεία αποτελεσμάτων αντιπαραβλήθηκαν με το αρχείο συγκαταθέσεων που τηρεί η ……. Σε ξεχωριστά αρχεία … εξήχθησαν οι κλήσεις που πραγματοποιήθηκαν προς αριθμούς συνδρομητών, οι οποίοι, παρά την εγγραφή τους στο Μητρώο του άρ. 11, φαίνεται να είχαν παράσχει ειδική συγκατάθεση προς τη …… Βήμα 4ο . Εξαγωγή συγκεντρωτικών στοιχείων. Για τα αρχεία αποτελεσμάτων κάθε συνεργαζόμενης εταιρείας, εξήχθησαν συγκεντρωτικά στοιχεία για τις κλήσεις που έχουν πραγματοποιηθεί σε αριθμούς που είναι ενταγμένοι στο μητρώο αυτό για πάνω από 30 ημέρες …». Από τα ανωτέρω προκύπτει ότι η μεθοδολογία που ακολουθήθηκε από τους ελεγκτές της Αρχής ήταν πρόσφορη για τη διαπίστωση της παραβίασης της διάταξης του άρθρου 11 παρ. 2 του ν. 3471/2006. Άλλωστε, στις οικείες διατάξεις δεν καθορίζεται συγκεκριμένος ενδεδειγμένος τρόπος ελέγχου, τα δε σχετικώς προβαλλόμενα από την αιτούσα πρέπει να απορριφθούν. Συγκεκριμένα, από τα προαναφερθέντα προκύπτει ότι κατά τον έλεγχο ελήφθη υπ’όψιν η σύσταση που είχε απευθυνθεί στην αιτούσα με την προηγούμενη σχετική απόφαση της ΑΠΔΠΧ (υπ’ αριθμ. 66/2016 – βλ. ανωτέρω σκέψη 7), σύμφωνα με την οποία «Οι διαφημιζόμενοι οφείλουν να λαμβάνουν από όλους τους παρόχους επικαιροποιημένα αντίγραφα των Μητρώων του άρ. 11 του ν. 3471/2006 και να εξασφαλίζουν ότι έχουν διαθέσιμες τις δηλώσεις των συνδρομητών που έχουν υποβληθεί έως τριάντα ημέρες πριν από την πραγματοποίηση της τηλεφωνικής κλήσης. Ο χρόνος αυτός των τριάντα ημερών κρίνεται απαραίτητος ώστε να έχουν τη δυνατότητα οι υπεύθυνοι επεξεργασίας να επεξεργαστούν τα μητρώα, λαμβάνοντας υπόψη τις αντικειμενικές δυσκολίες συγκέντρωσης, από όλους τους παρόχους, διαφορετικών αρχείων μητρώων “opt out”, τα οποία πολλές φορές έχουν διαφορετικό μορφότυπο, ως και το γεγονός ότι δεν είναι δυνατόν ο εκάστοτε υπεύθυνος επεξεργασίας να προβαίνει σε καθημερινές ενημερώσεις, καθώς κάτι τέτοιο θα προκαλούσε υπερβολικό φόρτο τόσο σε αυτόν όσο και στους παρόχους. Από την άλλη πλευρά, υπέρβαση των τριάντα ημερών οδηγεί σε υπερβολική καθυστέρηση ικανοποίησης του αιτήματος αντίρρησης …». Σύμφωνα με την ανωτέρω σύσταση, οι ελεγκτές της Αρχής εφήρμοσαν κατάλληλη μεθοδολογία, προκειμένου να διακριβωθεί ο αριθμός των κλήσεων που πραγματοποιήθηκαν για την προώθηση των προϊόντων και υπηρεσιών της αιτούσας σε τηλεφωνικούς αριθμούς συνδρομητών που είχαν καταχωρισθεί στο μητρώο του άρθρου 11 του ν. 3471/2006 για χρονικό διάστημα μεγαλύτερο των τριάντα ημερών πριν από την πραγματοποίηση της κλήσης (και ως προς τους οποίους δεν είχε παρασχεθεί ειδική συγκατάθεση προς την αιτούσα για την πραγματοποίηση των κλήσεων). Η αιτούσα με το από 18.1.2018 υπόμνημα που κατέθεσε κατά τη διαδικασία ακροάσεως είχε ισχυρισθεί ότι θα έπρεπε να έχει εφαρμοσθεί άλλη μέθοδος ελέγχου και, συγκεκριμένα, «να διασταυρώνονται/ελέγχονται οι κλήσεις που έχουν πραγματοποιηθεί ανά μήνα με τις αντίστοιχες καταχωρήσεις/ συγκαταθέσεις του προηγούμενου μήνα». Επί του ανωτέρω ισχυρισμού της αιτούσας η Αρχή διέλαβε στην προσβαλλόμενη απόφαση τα εξής : «Ο ισχυρισμός αυτός, με τον οποίο γίνεται επίκληση ενός εναλλακτικού τρόπου ελέγχου, ο οποίος μάλιστα δε λαμβάνει υπόψη το χρόνο, κατά τον οποίο οι συνδρομητές ζήτησαν να εγγραφούν στο μητρώο, δεν πλήττει την αξιοπιστία της μεθοδολογίας του ελέγχου της Αρχής. Εξάλλου, η ….. είχε στη διάθεσή της ικανό χρονικό διάστημα, πέραν των 2 μηνών από την κοινοποίηση του πορίσματος και πέραν των 4 μηνών από τη συλλογή των στοιχείων των κλήσεων, προκειμένου να ελέγξει η ίδια ως υπεύθυνος επεξεργασίας τα αποτελέσματα του ελέγχου και να επισημάνει συγκεκριμένες πλημμέλειες». Η ως άνω αιτιολογία απόρριψης των σχετικών ισχυρισμών που είχε προβάλει η αιτούσα με τα υπομνήματά της κατά τη διαδικασία ακροάσεως παρίσταται νόμιμη και επαρκής, τα δε περί του αντιθέτου προβαλλόμενα με τον εξεταζόμενο λόγο ακυρώσεως είναι απορριπτέα ως αβάσιμα.
13. Επειδή, η αιτούσα προβάλλει, επίσης, ότι η αιτιολογία της προσβαλλόμενης απόφασης είναι πλημμελής, διότι στο πόρισμα του ελέγχου αποτυπώνονται μόνον τα ποσοτικά στοιχεία που προέκυψαν σχετικά με το σύνολο των κλήσεων που πραγματοποιήθηκαν κατά το επίμαχο χρονικό διάστημα σε τηλεφωνικούς αριθμούς που είχαν ενταχθεί στο μητρώο «opt out», χωρίς να καθίσταται δυνατός ο έλεγχος του είδους των κλήσεων αυτών, εάν επρόκειτο, δηλαδή, πράγματι για κλήσεις που πραγματοποιήθηκαν για εμπορική προώθηση προϊόντων και υπηρεσιών ή αν τυχόν είχαν ως αποκλειστικό σκοπό την ενημέρωση του συνδρομητή. Από το ανωτέρω εκτεθέν ιστορικό, όμως, προκύπτει ότι η Αρχή με τα έγγραφά της ζήτησε από την αιτούσα να της διαβιβάσει τα στοιχεία «για το σύνολο των κλήσεων που πραγματοποιήθηκαν για λογαριασμό της προς το σκοπό της προώθησης προϊόντων και υπηρεσιών, για κάθε έναν εκ των εξωτερικών συνεργατών με τους οποίους συνεργάζεται προς το σκοπό αυτό». Ο δε έλεγχος της Αρχής διενεργήθηκε επί των σχετικώς προσκομισθέντων στοιχείων. Ελέγχθηκαν, επίσης, τα στοιχεία των κλήσεων που πραγματοποίησε η εταιρεία BFS εντός του έτους 2017 για λογαριασμό της αιτούσας, στο πλαίσιο της σύμβασης που είχε συνάψει με αυτήν για την προώθηση των προϊόντων και των υπηρεσιών της. Ομοίως, οι καταγγελίες που εξετάσθηκαν στο πλαίσιο του ελέγχου αφορούσαν μη ζητηθείσες τηλεφωνικές κλήσεις που πραγματοποιήθηκαν για τον ίδιο ως άνω σκοπό . Προκύπτει, επομένως, ότι τα στοιχεία, στα οποία στηρίχθηκε ο έλεγχος, αφορούσαν κλήσεις για εμπορική προώθηση προϊόντων και υπηρεσιών της αιτούσας. Εξ άλλου, η αιτούσα, στην οποία διαβιβάσθηκαν τα στοιχεία του ελέγχου μαζί με το πόρισμα των ελεγκτών της ΑΠΔΠΧ και η οποία ήταν σε θέση να προβεί σε διασταύρωση των στοιχείων ως προς το είδος των κλήσεων, δεδομένου ότι οι κλήσεις αυτές πραγματοποιήθηκαν για λογαριασμό της και τα στοιχεία τους βρίσκονταν στη διάθεσή της, κατά τη διαδικασία ακροάσεώς της δεν επικαλέσθηκε, κατά τρόπο συγκεκριμένο, ότι μεταξύ των κλήσεων που ελήφθησαν υπ’όψιν για την επιβολή του εις βάρος της προστίμου περιλαμβάνονται και κλήσεις που δεν είχαν γίνει για σκοπούς εμπορικής προώθησης. Με το από 12.3.2018 υπόμνημά της η αιτούσα αναφέρθηκε μεν στην περίπτωση της συνεργαζόμενης με αυτήν εταιρείας ICAP, η οποία είχε επίσης πραγματοποιήσει κλήσεις για λογαριασμό της που είχαν συμπεριληφθεί στα στοιχεία του πορίσματος του ελέγχου, ισχυριζόμενη ότι, με βάση τη μεταξύ τους συμβατική σχέση, η εν λόγω εταιρεία «δύναται να καλέσει συγκεκριμένους συνδρομητές…… όχι μόνο για προώθηση υπηρεσιών της εταιρείας» και επιφυλασσόμενη να προσκομίσει στην Αρχή στοιχεία προς στήριξη του ανωτέρω ισχυρισμού της. Δεν προκύπτει, όμως, ότι υποβλήθηκαν σχετικά στοιχεία στην Αρχή. Υπό τα δεδομένα αυτά, ο ισχυρισμός της αιτούσας ότι σε σχετική καταγραφή των τηλεφωνικών κλήσεων που διενεργήθηκαν από την εταιρεία ICAP προέκυψε ότι οι μισές σχεδόν από τις κλήσεις που καταγράφηκαν είχαν καθαρά ενημερωτικό περιεχόμενο, ο οποίος προβάλλεται με το δικόγραφο της αιτήσεως ακυρώσεως αορίστως και χωρίς να τεκμηριώνεται με συγκεκριμένα στοιχεία, δεν κλονίζει τη νομιμότητα της αιτιολογίας της προσβαλλομένης αποφάσεως, η οποία στηρίζεται στα στοιχεία που παρατίθενται στο πόρισμα του ελέγχου. Συνεπώς, ο ως άνω προβαλλόμενος λόγος περί πλημμελούς αιτιολογίας της προσβαλλομένης αποφάσεως πρέπει να απορριφθεί.
14. Επειδή, η αιτούσα προβάλλει, περαιτέρω, ότι η προσβαλλόμενη απόφαση δεν αιτιολογείται νομίμως ως προς τη διαπίστωση της παραβίασης του άρθρου 10 του ν. 2472/1997. Ειδικότερα, προβάλλεται ότι όλως αορίστως αναφέρεται στην προσβαλλόμενη απόφαση ότι δεν ικανοποιούνται ορθά οι αντιρρήσεις των καλούμενων συνδρομητών και ότι η αιτούσα δεν έχει λάβει τα ενδεδειγμένα οργανωτικά μέτρα για τη διασφάλιση της νομιμότητας της επεξεργασίας, χωρίς να εξειδικεύονται τα μέτρα αυτά.
15. Επειδή, ως προς τη μη ορθή ικανοποίηση του δικαιώματος αντίρρησης των καλούμενων συνδρομητών, στην προσβαλλόμενη απόφαση αναφέρεται ότι από τον διενεργηθέντα έλεγχο προέκυψε ότι «αν και η…….τηρεί ειδικό αρχείο αντιρρήσεων, δεν διαθέτει διαδικασία για να λαμβάνει από τους συνεργάτες της τα ειδικά αιτήματα αντίρρησης που απευθύνονται προς αυτούς αλλά αφορούν κλήσεις που γίνονται για λογαριασμό της ……». Σχετική ειδική αναφορά έχει περιληφθεί στο πόρισμα των ελεγκτών της ΑΠΔΠΧ. Περαιτέρω, ως προς την παράλειψη της αιτούσας να λάβει επαρκή οργανωτικά μέτρα για την τήρηση της νομοθεσίας περί επεξεργασίας δεδομένων προσωπικού χαρακτήρα, στην προσβαλλόμενη απόφαση αναφέρεται ότι με την υπ’αριθμ. 66/2016 απόφαση της Αρχής απευθύνθηκε στην αιτούσα σύσταση για την υιοθέτηση κατάλληλων διαδικασιών για τη διασφάλιση της τήρησης της νομοθεσίας για την προστασία των προσωπικών δεδομένων τόσο από τους υπαλλήλους της όσο και από τους εκτελούντες για λογαριασμό της την επεξεργασία, μέσω περιοδικών επιτόπιων ελέγχων. Στο πόρισμα του ελέγχου αναφέρεται σχετικώς ότι οι συνεργάτες της αιτούσας δεσμεύονται συμβατικά να τηρούν τις οδηγίες της και τις διαδικασίες που τους αποστέλλει, καθώς και ότι προβλέπεται συστηματική (τουλάχιστον δύο φορές την εβδομάδα) παρουσία του υπεύθυνου υπαλλήλου (account manager) της αιτούσας στις εγκαταστάσεις της συνεργαζόμενης εταιρείας. Διαπιστώθηκε, όμως, ότι ο υπεύθυνος υπάλληλος περιορίζεται σε εβδομαδιαίο δειγματοληπτικό έλεγχο αριθμών που είχαν κληθεί, προκειμένου να διερευνηθεί αν αυτοί περιλαμβάνονται στο Μητρώο του άρθρου 11 του ν. 3471/2006, χωρίς να γίνεται αναλυτικότερος έλεγχος των κλήσεων που διενεργούνται εντός συγκεκριμένου χρονικού διαστήματος. Διαπιστώθηκε, επιπλέον, ότι η αιτούσα δεν είχε προβεί σε έλεγχο ως προς τη νομιμότητα της πηγής των προς κλήση αριθμών, καθώς επίσης και ότι δεν τηρούνταν σωστά τα αρχεία καταγραφής για το σύνολο των εκτελούντων την επεξεργασία. Εν όψει των ανωτέρω διαπιστώσεων του ελέγχου, οι οποίες δεν αμφισβητούνται από την αιτούσα κατά την πραγματική τους βάση, η κρίση της Αρχής ότι η αιτούσα δεν είχε λάβει τα ενδεδειγμένα οργανωτικά μέτρα για την αποτροπή τεχνικού ή ανθρώπινου σφάλματος και τον εντοπισμό δυσλειτουργιών παρίσταται νομίμως και επαρκώς αιτιολογημένη. Τούτο δε λαμβανομένης υπ’ όψιν της έκτασης της επεξεργασίας, του μεγάλου, δηλαδή, αριθμού των καλουμένων συνδρομητών, αλλά και του αριθμού των συνεργαζομένων εταιρειών, στις οποίες η αιτούσα είχε αναθέσει την εκτέλεση της επεξεργασίας. Η ανάθεση επεξεργασίας τέτοιας έκτασης και με αυτά τα χαρακτηριστικά συνεπάγεται την υποχρέωση του υπεύθυνου επεξεργασίας για την επίδειξη ιδιαίτερης επιμέλειας ως προς τη λήψη καταλλήλων μέτρων που να διασφαλίζουν επαρκώς την τήρηση των διατάξεων της οικείας νομοθεσίας. Εξ άλλου, στην προσβαλλόμενη απόφαση διαλαμβάνεται συγκεκριμένα η κρίση ότι ο απλός εβδομαδιαίος δειγματοληπτικός έλεγχος αριθμών που είχαν κληθεί από τον υπεύθυνο υπάλληλο της αιτούσας δεν αποτελούσε επαρκές μέτρο προστασίας, όπως αποδείχθηκε και στην πράξη, αλλά απαιτείτο η οργάνωση συστήματος εντατικότερου ελέγχου, ενδεικτικώς δε αναφέρθηκε στην προσβαλλόμενη η οργάνωση συστήματος αναλυτικού ελέγχου ως προς τις πραγματοποιηθείσες εντός ορισμένου χρονικού διαστήματος κλήσεις. Περαιτέρω, η απουσία επαρκών οργανωτικών μέτρων εντοπίσθηκε και ως προς τη διασφάλιση συστήματος πλήρους και ακριβούς καταγραφής των πραγματοποιούμενων για λογαριασμό της αιτούσας τηλεφωνικών κλήσεων. Σύμφωνα με τα προαναφερθέντα, αβασίμως προβάλλεται από την αιτούσα ότι η κρίση της Αρχής περί παραβάσεως του άρθρου 10 του ν. 2472/1997 στηρίζεται σε αόριστες και αναιτιολόγητες αναφορές.
16. Επειδή, προβάλλεται ότι το ποσό του προστίμου που επιβλήθηκε με την προσβαλλόμενη πράξη στην αιτούσα (150.000 ευρώ) υπερβαίνει το ανώτατο όριο του καθοριζομένου στον νόμο πλαισίου επιμέτρησης, δεδομένου ότι με το άρθρο 21 παρ. 1 περ. β του ν. 2472/1997 προβλέπεται η επιβολή προστίμου ύψους από τριακόσιες χιλιάδες (300.000) έως πενήντα εκατομμύρια (50.000.000) δραχμές, ήτοι 146.735,14 ευρώ. Με τις διατάξεις των άρθρων 3-5 του ν. 2943/2001 (Α΄ 203) ρυθμίσθηκαν τα σχετικά με τη μετατροπή σε ευρώ και τη στρογγυλοποίηση των χρηματικών ποσών σε δραχμές που αναγράφονται σε υφιστάμενες διατάξεις νόμων και κανονιστικών πράξεων, οι οποίες ρυθμίζουν θέματα αρμοδιότητας του Υπουργείου Δικαιοσύνης και ορίσθηκε ότι η μετατροπή αυτή γίνεται σύμφωνα με τις διατάξεις των άρθρων 4 και 5 του Κανονισμού (ΕΚ) 1103/1997 (EE L 162) και του άρθρου 2 του ν. 2842/2000 (Α´ 207). Ειδικώς δε στο άρθρο 4 του ν. 2943/2001 προβλέπεται ότι στις σχετικές ρυθμίσεις υπάγονται ιδίως οι ισχύουσες κατά τον χρόνο δημοσίευσης του νόμου διατάξεις του Αστικού, Ποινικού Κώδικα, Κώδικα Πολιτικής Δικονομίας κ.ά. με τις οποίες, μεταξύ άλλων, καθορίζονται πρόστιμα επιβαλλόμενα από ανεξάρτητες αρχές (περ. ε). Εξ άλλου, σύμφωνα με το άρθρο 5 του ιδίου νόμου «Όπου σε διάταξη της παραπάνω νομοθεσίας αναγράφεται ποσό σε δραχμές, το ποσό σε ευρώ που προκύπτει μετά από τη μετατροπή των δραχμών σε ευρώ αναπροσαρμόζεται ως εξής: 1. … 7. Αν το προκύπτον ποσό σε ευρώ είναι μεγαλύτερο των 100.000 ευρώ και δεν υπερβαίνει τα 1.000.000 ευρώ, η αναπροσαρμογή γίνεται στην πλησιέστερη ανώτερη ή κατώτερη δεκάκις χιλιάδα ευρώ, αναλόγως του αν τα τέσσερα τελευταία ακέραια ψηφία του προκύπτοντος ποσού σε ευρώ είναι μεγαλύτερα ή μικρότερα του αριθμού 5.000. Αν τα τέσσερα τελευταία ακέραια ψηφία του προκύπτοντος ποσού σε ευρώ είναι ίσα με τον αριθμό 5.000, η αναπροσαρμογή γίνεται στην πλησιέστερη ανώτερη δεκάκις χιλιάδα ευρώ». Οι ανωτέρω διατάξεις του ν. 2943/2001 είναι εφαρμοστέες για τη μετατροπή σε ευρώ των προβλεπομένων στο άρθρο 21 παρ. 1 περ. β του ν. 2472/1997 χρηματικών ποσών των προστίμων που επιβάλλονται από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα [δεδομένου ότι πρόκειται περί διατάξεων ρυθμιζουσών θέματα υπαγόμενα στην αρμοδιότητα του Υπουργείου Δικαιοσύνης, όπως προκύπτει και από την παρ. 3 του ως άνω άρθρου 21 και την παρ. 2 του άρθρου 15 του ν. 2472/1997)]. Σύμφωνα δε με τις διατάξεις αυτές, εφ’ όσον το ανώτατο προβλεπόμενο στον νόμο ύψος προστίμου των 50.000.000 δραχμών αντιστοιχεί, κατόπιν της μετατροπής του σε ευρώ, σε 146.735 ευρώ, το τελευταίο αυτό ποσό αναπροσαρμόζεται σε 150.000 ευρώ, κατά τα προβλεπόμενα στην παρ. 7 του άρθρου 5 του ν. 2943/2001. Συνεπώς, το πρόστιμο που επιβλήθηκε εν προκειμένω στην αιτούσα δεν υπερβαίνει το καθοριζόμενο στον νόμο πλαίσιο επιμέτρησης, ο δε περί του αντιθέτου προβαλλόμενος λόγος ακυρώσεως είναι απορριπτέος ως αβάσιμος.
17. Επειδή η αιτούσα προβάλλει ότι με την προσβαλλόμενη πράξη της επιβλήθηκε το ανώτατο ύψος προστίμου χωρίς να προσδιορίζονται τα κριτήρια, βάσει των οποίων έγινε η επιμέτρηση. Σε κάθε περίπτωση, στην απόφαση γίνεται αναφορά στον απόλυτο αριθμό των κλήσεων που διενεργήθηκαν κατά παράβαση του άρθρου 11 του ν. 3471/2006, χωρίς να λαμβάνεται υπ’όψιν ότι ο αριθμός αυτός αντιστοιχεί σε πολύ μικρό ποσοστό (0,44%) του συνόλου των κλήσεων που πραγματοποιήθηκαν για λογαριασμό της αιτούσας. Περαιτέρω, η αιτούσα προβάλλει ότι το ίδιο ύψος προστίμου για αντίστοιχες παραβάσεις επιβλήθηκε και σε άλλες εταιρείες (…………..), μολονότι, όπως ισχυρίζεται, στις περιπτώσεις των εταιρειών αυτών διαπιστώθηκε μεγαλύτερος απόλυτος αριθμός κλήσεων διενεργηθεισών κατά παράβαση του άρθρου 11 του ν. 3471/2006, ενώ και το ποσοστό των ως άνω κλήσεων επί του συνόλου των κλήσεων που πραγματοποιήθηκαν για λογαριασμό των εν λόγω εταιρειών ήταν υψηλότερο. Εν όψει των ανωτέρω προβάλλεται ότι το ένδικο πρόστιμο επιβλήθηκε κατά παράβαση της αρχής της αναλογικότητας.
18. Επειδή, στην προσβαλλόμενη απόφαση αναφέρονται ειδικώς τα κριτήρια που συνεκτιμήθηκαν για την επιβολή του ανωτέρω ύψους προστίμου. Συγκεκριμένα αναφέρεται ότι ελήφθη υπ’όψιν αφ’ενός μεν ο μεγάλος απόλυτος αριθμός παραβάσεων (140.935 μη νόμιμες κλήσεις), αφ’ ετέρου δε το γεγονός ότι για λογαριασμό της αιτούσας είχαν πραγματοποιηθεί και άλλες κλήσεις με διαφημιστικό χαρακτήρα, τα στοιχεία των οποίων δεν προσκομίσθηκαν στην Αρχή και, ως εκ τούτου, δεν κατέστη δυνατός ο πλήρης έλεγχος της νομιμότητας των κλήσεων που πραγματοποιήθηκαν για λογαριασμό της αιτούσας κατά το επίμαχο χρονικό διάστημα. Περαιτέρω, ελήφθη υπ’όψιν ότι η αιτούσα, αν και είχε βελτιώσει κάποιες διαδικασίες, δεν εφήρμοζε στην πράξη κατάλληλα τεχνικά και οργανωτικά μέτρα, ενώ είχε στη διάθεσή της ικανό χρονικό διάστημα από την έκδοση και κοινοποίηση της υπ’αριθμ. 66/2016 απόφασης της Αρχής έως την ημερομηνία του ελέγχου, προκειμένου να εφαρμόσει αποτελεσματικές διαδικασίες για τη συμμόρφωσή της με τις συστάσεις της Αρχής. Τέλος, ελήφθη, επίσης, υπ’όψιν ότι η αιτούσα αποσκοπούσε σαφώς με τις ανωτέρω ενέργειες να αποκομίσει κέρδος. Εν όψει των ανωτέρω, η προσβαλλόμενη απόφαση παρίσταται νομίμως και επαρκώς αιτιολογημένη ως προς την επιμέτρηση του προστίμου. Λαμβανομένης δε υπ’ όψιν της βαρύτητας των παραβάσεων, των συντρεχουσών περιστάσεων και των λοιπών συνεκτιμηθέντων κριτηρίων και, κυρίως, της κατά τα προαναφερθέντα εκτάσεως της επεξεργασίας και του γεγονότος ότι είχε ήδη εκδοθεί προηγούμενη απόφαση της Αρχής, με την οποία είχε επιβληθεί πρόστιμο και είχαν απευθυνθεί συστάσεις στην αιτούσα για τα ίδια ζητήματα, δεν προκύπτει ότι η επιβολή προστίμου του ανωτέρω ύψους αντίκειται στην αρχή της αναλογικότητας. Τούτο δε ανεξαρτήτως αν και σε άλλες περιπτώσεις, όπως αυτές που αναφέρει η αιτούσα, δικαιολογείτο επίσης η επιβολή του ανωτάτου ορίου προστίμου.
19. Επειδή, κατόπιν των ανωτέρω, η υπό κρίση αίτηση πρέπει να απορριφθεί στο σύνολό της.
Δ ι ά τ α ύ τ α
Απορρίπτει την υπό κρίση αίτηση.
Διατάσσει την κατάπτωση του παραβόλου.
Επιβάλλει στην αιτούσα τη δικαστική δαπάνη της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, η οποία ανέρχεται στο ποσό των τετρακοσίων εξήντα (460) ευρώ.
Η διάσκεψη έγινε στην Αθήνα στις 15 Απριλίου 2022
Ο Προεδρεύων ΣύμβουλοςΗ Γραμματέας
Ευθύμιος Αντωνόπουλος Μαρία Τσαπαρδώνη
και η απόφαση δημοσιεύθηκε σε δημόσια συνεδρίαση της 2ας Οκτωβρίου 2023.
Η Πρόεδρος του Δ´ ΤμήματοςΗ Γραμματέας
Σπυριδούλα ΧρυσικοπούλουΕυδοξία Καπίρη
ΣΤΟ ΟΝΟΜΑ ΤΟΥ ΕΛΛΗΝΙΚΟΥ ΛΑΟΥ
Εντέλλεται προς κάθε δικαστικό επιμελητή να εκτελέσει όταν του το ζητήσουν την παραπάνω απόφαση, τους Εισαγγελείς να ενεργήσουν κατά την αρμοδιότητά τους και τους Διοικητές και τα άλλα όργανα της Δημόσιας Δύναμης να βοηθήσουν όταν τους ζητηθεί.
Η εντολή πιστοποιείται με την σύνταξη και την υπογραφή του παρόντος.
Αθήνα, ……………………………………….
Η Πρόεδρος του Δ΄ ΤμήματοςΗ Γραμματέας του Δ΄ Τμήματος
