Η Αρχή εξέτασε καταγγελία ιδιοκτήτη Ι.Χ. αυτοκινήτου για παραβίαση του δικαιώματος πρόσβασης σε δεδομένα που τον αφορούν. Συγκεκριμένα, ο υπεύθυνος επεξεργασίας αρνήθηκε να ικανοποιήσει το έγγραφο αίτημα πρόσβασης του υποκειμένου σε καταγεγραμμένο συμβάν αυτοκινητιστικού δυστυχήματος από το σύστημα βιντεοεπιτήρησης που είχε εγκαταστήσει και λειτουργούσε στους χώρους ευθύνης του, επικαλούμενος αρχικά διαδικασία συμμόρφωσής του με τον Γενικό Κανονισμό Προστασίας Δεδομένων και ανάγκη έκδοσης εισαγγελικής ή δικαστικής εντολής, ενώ εν συνεχεία επικαλέσθηκε ότι τα δεδομένα είχαν διαγραφεί κατά τον χρόνο άσκησης του δικαιώματος πρόσβασης. Η Αρχή διαπίστωσε ότι κατά τον χρόνο άσκησης του δικαιώματος πρόσβασης, τα δεδομένα δεν είχαν διαγραφεί και ο υπεύθυνος επεξεργασίας επέλεξε να μην ικανοποιήσει το δικαίωμα πρόσβασης χωρίς νόμιμη αιτία. Κατ’ αποτέλεσμα, η Αρχή επέβαλε στον υπεύθυνο επεξεργασίας για παραβίαση των άρθρων 15 παρ. 1 συνδ. 12 παρ. 1, 2 ΓΚΠΔ και 13 παρ. 1 της Οδηγίας της Αρχής 1/2011 πρόστιμο ύψους 30.000 ευρώ για μη ικανοποίηση του δικαιώματος πρόσβασης.

PDF απόφασης
Επιβολή προστίμου για μη ικανοποίηση δικαιώματος πρόσβασης

The post Επιβολή προστίμου για μη ικανοποίηση δικαιώματος πρόσβασης appeared first on GDPRsmart.

Κατόπιν γνωστοποίησης περιστατικού παραβίασης προσωπικών δεδομένων εκ μέρους της εταιρείας COSMOTE (διαρροή δεδομένων κλήσεων συνδρομητών το χρονικό διάστημα 1/9/2020 – 5/9/2020), η Αρχή διερεύνησε τις συνθήκες υπό τις οποίες έλαβε χώρα το περιστατικό και, στο πλαίσιο αυτό, εξέτασε τη νομιμότητα της τήρησης των αρχείων που διέρρευσαν καθώς και τα εφαρμοζόμενα μέτρα ασφάλειας. Πρόκειται για ένα αρχείο που περιλαμβάνει δεδομένα κίνησης των συνδρομητών και το οποίο, αφενός μεν, τηρείται με σκοπό τη διαχείριση προβλημάτων και βλαβών για 90 ημέρες από την πραγματοποίηση των κλήσεων, αφετέρου δε, το αρχείο «ανωνυμοποιείται» (ψευδωνυμοποιείται) και τηρείται για 12 μήνες με σκοπό την εξαγωγή στατιστικών συμπερασμάτων προς τον βέλτιστο σχεδιασμό του δικτύου κινητής τηλεφωνίας, αφού εμπλουτιστεί με επιπλέον απλά προσωπικά δεδομένα.

Από τη διερεύνηση της υπόθεσης προέκυψε παράβαση, εκ μέρους της COSMOTE, της αρχής της νομιμότητας (άρθρα 5 και 6 ν. 3471/2006) και της αρχής της διαφάνειας, λόγω ασαφούς και ελλιπούς ενημέρωσης των συνδρομητών (άρθρο 5 παρ. 1 α) και 13-14 Γενικού Κανονισμού Προστασίας Δεδομένων – ΓΚΠΔ), παράβαση του άρθρου 35 παρ. 7 ΓΚΠΔ λόγω πλημμελούς διεξαγωγής της εκτίμησης αντικτύπου, παράβαση των άρθρων 25 παρ. 1 λόγω πλημμελούς υλοποίησης της διαδικασίας ανωνυμοποίησης, παράβαση του άρθρου 12 παρ. 1 ν. 3471/2006 λόγω ελλιπών μέτρων ασφαλείας και παράβαση του άρθρου 5 παρ. 2 σε συνδυασμό με τα άρθρα 26 και 28 λόγω μη κατανομής των ρόλων των δύο εταιρειών σε σχέση με την υπό κρίση επεξεργασία. Επίσης, διαπιστώθηκε, εκ μέρους του ΟΤΕ, παράβαση του άρθρου 32 ΓΚΠΔ λόγω ελλιπών μέτρων ασφάλειας σε σχέση με τις υποδομές που χρησιμοποιήθηκαν στο πλαίσιο του περιστατικού.

Για τις διαπιστωθείσες παραβάσεις και λαμβανομένων υπόψη των κριτηρίων του άρθρου 83 παρ. 2 ΓΚΠΔ, η Αρχή επέβαλε στην COSMOTE πρόστιμο συνολικού ύψους 6.000.000 €, καθώς και κύρωση διακοπής της επεξεργασίας και καταστροφής δεδομένων, ενώ στον ΟΤΕ επέβαλε πρόστιμο ύψους 3.250.000 €.

PDF απόφασης
Επιβολή προστίμου για περιστατικό παραβίασης προσωπικών δεδομένων και μη νόμιμη επεξεργασία δεδομένων

The post Επιβολή προστίμου για περιστατικό παραβίασης προσωπικών δεδομένων και μη νόμιμη επεξεργασία δεδομένων appeared first on GDPRsmart.

PDF απόφασης
Αναγραφή δεδομένων σε πιστοποιητικό στρατού τύπου Α’

The post Αναγραφή δεδομένων σε πιστοποιητικό στρατού τύπου Α’ appeared first on GDPRsmart.

PDF απόφασης
Επιβολή προστίμου για καθυστερημένη ικανοποίηση δικαιώματος πρόσβασης

The post Επιβολή προστίμου για καθυστερημένη ικανοποίηση δικαιώματος πρόσβασης appeared first on GDPRsmart.

PDF απόφασης
Αυτοματοποιημένες προωθητικές τηλεφωνικές ενέργειες από την εταιρεία PLUS REAL ADVERTISEMENT

The post Αυτοματοποιημένες προωθητικές τηλεφωνικές ενέργειες από την εταιρεία PLUS REAL ADVERTISEMENT appeared first on GDPRsmart.

PDF απόφασης
Αυτοματοποιημένες προωθητικές τηλεφωνικές ενέργειες από την εταιρεία INFO COMMUNICATION SERVICES

The post Αυτοματοποιημένες προωθητικές τηλεφωνικές ενέργειες από την εταιρεία INFO COMMUNICATION SERVICES appeared first on GDPRsmart.

Η Αρχή έκρινε ότι η καταγγελλόμενη διαβίβαση της επίμαχης ιατρικής γνωμάτευσης σε Σύλλογο Εργαζομένων σε Δ.Ο.Υ. έγινε κατά παράβαση της διάταξης του άρθρου 5 παρ. 1 στοιχ. α΄ ΓΚΠΔ. Επέβαλε στην ΑΑΔΕ διοικητικό πρόστιμο και απηύθυνε εντολή να διαγράψει το σχετικό διαβιβαστικό έγγραφο. Επιπλέον, η Αρχή έκρινε ότι η καταγγελλόμενη επεξεργασία συνιστούσε παραβίαση δεδομένων προσωπικού χαρακτήρα, κατά παράβαση των οριζομένων στις διατάξεις των άρθρων 5 παρ. 1 στοιχ. στ΄ και 32 ΓΚΠΔ, η οποία έπρεπε κατ’ εφαρμογή του άρθρου 33 να γνωστοποιηθεί στην Αρχή και επέβαλε στην ΑΑΔΕ διοικητικό πρόστιμο για την παράλειψη γνωστοποίησης. Τέλος, η Αρχή έκρινε ότι η ικανοποίηση στο δικαίωμα ενημέρωσης που άσκησε ο καταγγέλλων ήταν ελλιπής, κατά παράβαση της διάταξης του άρθρου 13 παρ. 2 στοιχ. β΄ ΓΚΠΔ και επέβαλε στην ΑΑΔΕ διοικητικό πρόστιμο.

PDF απόφασης
Καταγγελία υπαλλήλου για τη διαβίβαση ιατρικής γνωμάτευσης σε Σύλλογο Εργαζομένων σε Δ.Ο.Υ.

The post Καταγγελία υπαλλήλου για τη διαβίβαση ιατρικής γνωμάτευσης σε Σύλλογο Εργαζομένων σε Δ.Ο.Υ. appeared first on GDPRsmart.

Η Αρχή εξέτασε αναφορά, σύμφωνα με την οποία υπήρξε περιστατικό παραβίασης δεδομένων προσωπικού χαρακτήρα από πλατφόρμα  του Υπουργείου Τουρισμού. Ειδικότερα, κατά την προσπάθεια πολίτη να εισάγει τα διαπιστευτήριά του (κωδικοί TAXISNET) στην εν λόγω πλατφόρμα, του εμφανίστηκαν τα στοιχεία αίτησης άλλου προσώπου, τα οποία περιλάμβαναν ονοματεπώνυμο, ΑΦΜ, ΑΜΚΑ, ταχυδρομική διεύθυνση, τηλέφωνο, email, ενώ υπήρχαν και πεδία με τυχόν στοιχεία αναπηρίας. Για το εν λόγω περιστατικό δεν υποβλήθηκε γνωστοποίηση στην Αρχή.

Κατά την εξέταση της υπόθεσης διαπιστώθηκε περαιτέρω ότι το Υπουργείο Τουρισμού δεν είχε ορίσει Υπεύθυνο Προστασίας Δεδομένων κατά το επίμαχο διάστημα, παρά το ότι στην ως άνω πλατφόρμα αναφερόταν ηλεκτρονική διεύθυνση του ΥΠΔ για επικοινωνία με τους χρήστες της πλατφόρμας – η οποία ηλεκτρονική διεύθυνση ήταν, όπως αποδείχτηκε, μη ενεργή. Ο ορισμός ΥΠΔ τελικά έγινε έναν χρόνο μετά το επίμαχο περιστατικό.

Η Αρχή επέβαλε στο Υπουργείο Τουρισμού διοικητικό πρόστιμο ύψους 75.000 ευρώ, για διαπιστωθείσες παραβιάσεις των άρθρων 13, 32, 33, και 37 του Κανονισμού (ΕΕ) 2016/679, σύμφωνα με το άρθρο 58 παρ. 2 θ΄ του ΓΚΠΔ σε συνδυασμό με το άρθρο 83 παρ. 4 και 5 του ΓΚΠΔ και τα άρθρο 39 παρ. 1 του ν. 4624/2019.

PDF απόφασης
Περιστατικό παραβίασης δεδομένων προσωπικού χαρακτήρα από το Υπουργείο Τουρισμού και μη ορισμός ΥΠΔ

The post Περιστατικό παραβίασης δεδομένων προσωπικού χαρακτήρα από το Υπουργείο Τουρισμού και μη ορισμός ΥΠΔ appeared first on GDPRsmart.

Υποβλήθηκαν στην Αρχή 17 καταγγελίες σχετικά με διενέργεια παράνομων τηλεφωνικών κλήσεων με σκοπό την προώθηση προϊόντων ή υπηρεσιών της εταιρείας ΖΕΝΙΘ – Εταιρεία Προμήθειας Αερίου Θεσσαλονίκης Θεσσαλίας Α.Ε. Για τη συγκεκριμένη επεξεργασία η ΖΕΝΙΘ επέχει θέση υπευθύνου επεξεργασίας, η δε One Way Private Company επέχει θέση εκτελούσας την επεξεργασία.  Από την εξέταση της υπόθεσης προέκυψε ότι λόγω σφάλματος στην εφαρμογή της εκτελούσας την επεξεργασία πραγματοποιήθηκαν τηλεφωνικές κλήσεις σε συνδρομητές που είχαν ενταχθεί στο μητρώο 11, κατά παράβαση του άρθρου 11 του ν. 3471/2006. Η Αρχή επέβαλε στην εκτελούσα την επεξεργασία One Way Private Company πρόστιμο 30.000 ευρώ για  παραβίαση του άρθρου 32 παρ. 2 και 4 του ΓΚΠΔ  σε συνδυασμό με το άρθρο 28 παρ. 3, περ. γ του ΓΚΠΔ. Επίσης επέβαλε στον υπεύθυνο επεξεργασίας ZENΙΘ, την κύρωση της επίπληξης για παράβαση του άρθρου 28 παρ. 3 περ. γ του ΓΚΠΔ.

PDF απόφασης
Εξέταση καταγγελιών σχετικά με αζήτητες τηλεφωνικές κλήσεις για σκοπό προώθησης προϊόντων και υπηρεσιών – επιβολή κυρώσεων

The post Εξέταση καταγγελιών σχετικά με αζήτητες τηλεφωνικές κλήσεις για σκοπό προώθησης προϊόντων και υπηρεσιών – επιβολή κυρώσεων appeared first on GDPRsmart.

Η Αρχή εξέτασε αυτεπάγγελτα τη συμμόρφωση του Υπουργείου Παιδείας και Θρησκευμάτων με τις συστάσεις της γνωμοδότησης 4/2020 για τη συμβατότητα της σύγχρονης εξ αποστάσεως εκπαίδευσης στις σχολικές μονάδες της πρωτοβάθμιας και δευτεροβάθμιας εκπαίδευσης με τις διατάξεις της νομοθεσίας για την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Στο πλαίσιο της υπόθεσης εξετάστηκε η επικαιροποιημένη Εκτίμηση Αντικτύπου σχετικά με την Προστασία Δεδομένων καθώς και οι ενέργειες συμμόρφωσης του Υπουργείου. Η Αρχή διαπίστωσε ελλείψεις ως εξής: α) Δεν έχει διενεργηθεί αναλυτική διερεύνηση της νομιμότητας των σκοπών επεξεργασίας από την πλευρά του Υπουργείου, ιδίως σε σχέση με τη συγκατάθεση για την πρόσβαση σε πληροφορίες που είναι αποθηκευμένες στον τερματικό εξοπλισμό ενός χρήστη, όταν αυτό δεν είναι απαραίτητο για την παροχή της υπηρεσίας που ζήτησε ο χρήστης. β) Οι παρεχόμενες στα υποκείμενα δεδομένων πληροφορίες είναι λιγότερες από όσες επιβάλλει ο ΓΚΠΔ, ενώ οι πληροφορίες αυτές δεν είναι σε κατανοητή και εύκολα προσβάσιμη μορφή με σαφή και απλή διατύπωση, ιδίως εφόσον πρόκειται για πληροφορία που απευθύνεται και σε παιδιά. γ) Τα εφαρμοζόμενα μέτρα ασφάλειας αν και βρίσκονται προς τη σωστή κατεύθυνση πρέπει να συμπληρωθούν, με τρόπο που να είναι διαθέσιμος σε κάθε εκπαιδευτικό, ενώ πρέπει να εξασφαλιστεί ότι το σύνολο των εκπαιδευτικών που εμπλέκονται στη διαδικασία εξ αποστάσεως εκπαίδευσης έχουν λάβει ελάχιστη ενημέρωση. δ) Το Υπουργείο παραβίασε την υποχρέωση του άρθρου 35 παρ. 9 του ΓΚΠΔ σε σχέση με την έκφραση γνώμης των υποκειμένων των δεδομένων ή των εκπροσώπων τους για τη σχεδιαζόμενη επεξεργασία. ε) Δεν έχει πραγματοποιηθεί ορθή αξιολόγηση της διαβίβασης δεδομένων σε χώρες εκτός Ε.Ε. ιδίως αν ληφθεί υπόψη η απόφαση του ΔΕΕ στην υπόθεση C-311/18 (Schrems ΙΙ). Για τις εν λόγω παραβάσεις η Αρχή προχώρησε σε επιπλήξεις προς το Υπουργείο ενώ έδωσε εντολή στο Υπουργείο να αντιμετωπιστούν οι ελλείψεις με τον τρόπο που αναλύεται στην απόφαση εντός χρονικού διαστήματος δύο μηνών (τεσσάρων σε σχέση με τις διαβιβάσεις) ώστε να αρθούν οι παραβάσεις.

PDF απόφασης
Διαδικασία σύγχρονης εξ αποστάσεως εκπαίδευσης από το Υπουργείο Παιδείας

The post Διαδικασία σύγχρονης εξ αποστάσεως εκπαίδευσης από το Υπουργείο Παιδείας appeared first on GDPRsmart.