Α.Π.Π.Δ. 877/11.05.04 Όροι για την νόμιμη επεξεργασία δεδομένων προσωπικού χαρακτήρα για τους σκοπούς της άμεσης εμπορίας ή διαφήμισης και της διαπίστωσης πιστοληπτικής ικανότητας (Απόφαση 26/2004).

ΑΠΠΔ 877/2004 ΦΕΚ 684/Β/11.5.2004 Όροι για την νόμιμη επεξεργασία δεδομένων προσωπικού χαρακτήρα για τους σκοπούς της άμεσης εμπορίας ή διαφήμισης και της διαπίστωσης πιστοληπτικής ικανότητας (Απόφαση 26/2004).


Η ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ

(Συνεδρίαση της 22.4.2004)

Έχοντας υπόψη:

1. Τις διατάξεις του Ν. 2472/1997 «Νόμος περί προστασίας του ατόμου από την επεξεργασία προσωπικών δεδομένων».

2. Τις διατάξεις του Π.Δ. 207/1998 «Οργάνωση και λειτουργία της Γραμματείας της ΑΠΡΟΔ και σύσταση οργανικών θέσεων».

3. Το γεγονός ότι η 050/20.1.2000 απόφαση της Αρχής, δεν έχει δημοσιευθεί στην Εφημερίδα της Κυβερνήσεως, η Αρχή επαναλαμβάνει σήμερα τη λήψη αποφάσεως, αποφασίζουμε:



Α. Σκοπός: Αμεση εμπορία

Θεωρείται νόμιμη η συλλογή δεδομένων για σκοπούς απ' ευθείας διαφήμισης και απ' ευθείας προώθησης πωλήσεων προϊόντων ή υπηρεσιών σύμφωνα με το άρθρο 4 παρ. 1 εδ. ατού Ν. 2472/1997 είτε γίνεται εξ'επαγγέλματος είτε όχι (στην δεύτερη περίπτωση μόνον για προώθηση ή διαφήμιση ιδίων προϊόντων ή υπηρεσιών), υπό τις εξής προϋποθέσεις:

Ι) Το υποκείμενο έδωσε τη συγκατάθεση του σύμφωνα μετά αρ. 2 εδ.ια) και 5 παρ.1 του Ν. 2472/1997. Η συγκατάθεση είναι απαραίτητη στις περιπτώσεις της έρευνας καταναλωτικής συμπεριφοράς με σκοπό την άμεση ή έμμεση διαφήμιση προϊόντων η την παροχή υπηρεσιών.

II) Το υποκείμενο δεν έχει δώσει την συγκατάθεση του οπότε η επεξεργασία είναι νόμιμη κατ' εξαίρεση σύμφωνα με το Αρθρο 5 παρ.2, εδ. ε, διότι α) είναι απολύτως αναγκαία για την ικανοποίηση του εννόμου συμφέροντος πού επιδιώκει ο υπεύθυνος επεξεργασίας β) το έννομο συμφέρον αυτού υπερέχει προφανώς του συμφέροντος του υποκειμένου, ενόψει του ότι τα συμφέροντα των υποκειμένων των δεδομένων των οποίων επιτρέπεται η επεξεργασία (βλ. παρακ. υπό ΙΙΙ.3) δεν θίγονται ουσιωδώς, δηλαδή δεν θίγονται σε τέτοιο βαθμό, ώστε να δικαιολογείται η απαγόρευση των εν θέματι δραστηριοτήτων και γ) πάντως δεν θίγονται οι θεμελιώδεις ελευθερίες του υποκειμένου.

Για τις παραπάνω αξιολογήσεις λαμβάνονται υπόψη τα ακόλουθα:

1) Στη σημερινή εποχή γίνεται όλο και συχνότερα χρήση των νέων μεθόδων της άμεσης εμπορίας, η οποία υλοποιείται μέσω της εκτεταμένης επεξεργασίας πληροφοριών προσωπικού χαρακτήρα. Η εν λόγω επεξεργασία αποτελεί έκφραση της άσκησης του ατομικού δικαιώματος οικονομικής ελευθερίας υπό τις νέες συνθήκες της τεχνολογικής εξέλιξης, η οποία πρέπει να σταθμίζεται σε κάθε περίπτωση με τα δικαιώματα πού απορρέουν από το νομικό πλαίσιο προστασίας των προσωπικών δεδομένων.

2) Η προστασία των φυσικών προσώπων πρέπει σύμφωνα με το σκεπτικό της Οδηγίας 95/46/ΕΚ (Προοίμιο εδ. (1), (2), (3)) να συνάδει με την οικονομική και κοινωνική πρόοδο,

3) Τα δικαιώματα του υποκειμένου δεν θίγονται ουσιωδώς και σε τέτοιο βαθμό πού να δικαιολογεί την απαγόρευση των εν λόγω δραστηριοτήτων χωρίς την συγκατάθεση του, διότι η συλλογή των δεδομένων γίνεται μόνον υπάτους κάτωθι στο σημείο III αναφερόμενους όρους.

4) Ο Έλληνας νομοθέτης δίνει στο υποκείμενο των δεδομένων το δικαίωμα εξαίρεσης των προσωπικών του δεδομένων από όλες τις ενέργειες εμπορίας τους (αρ. 13 παρ.3 Ν. 2472/1997), νομιμοποιώντας εξ αντιδιαστολής την επεξεργασία προσωπικών δεδομένων με σκοπό την πώληση και διαφήμιση αγαθών και υπηρεσιών εξ αποστάσεως.

III) Για να γίνει χρήση της εξαίρεσης του αρ.5 παρ.2 εδ. ε πρέπει να συντρέχουν οι εξής προϋποθέσεις:

1) τα δεδομένα να προέρχονται από καταλόγους πού απευθύνονται στο ευρύ κοινό (π.χ. τηλεφωνικός κατάλογος του ΟΤΕ) και να υπάρχει η βεβαιότητα ότι τα υποκείμενα που έχουν συμπεριληφθεί σε αυτόν έχουν δώσει την συγκατάθεση τους,

ή από πηγές δημόσια προσβάσιμες που προορίζονται για την παροχή πληροφοριών στο ευρύ κοινό, εφόσον στην συγκεκριμένη περίπτωση έχουν τηρηθεί οι νόμιμες προϋποθέσεις για την πρόσβαση σ' αυτές,

ή το ίδιο το υποκείμενο να δημοσιοποίησε τα προσωπικά του δεδομένα για συναφείς σκοπούς (π.χ διανομή διαφημιστικών φυλλαδίων, συμμετοχή σε καταλόγους εμπορικών εκθέσεων κ.λπ.).

2) Ο υπεύθυνος επεξεργασίας να έχει συμβουλευθεί το προβλεπόμενο από το άρθρο 19 παρ.4 εδ. δ) του Ν. 2472 Μητρώο της Αρχής στο οποίο καταχωρίζονται τα πρόσωπα που δεν επιθυμούν να περιλαμβάνονται σε αρχεία, τα οποία έχουν ως σκοπό την προώθηση προμήθειας αγαθών ή την παροχή υπηρεσιών εξ αποστάσεως και να μην συμπεριλάβει τα ανωτέρω πρόσωπα στα δημιουργούμενα αρχεία.

3) Ο υπεύθυνος επεξεργασίας να περιορίζεται στα απολύτως αναγκαία δεδομένα για την επίτευξη του συγκεκριμένου σκοπού. Ως τέτοια θεωρούνται μόνο το ονοματεπώνυμο, η διεύθυνση και το επάγγελμα.

4) Ο σκοπός της επεξεργασίας να περιορίζεται στην διαφήμιση ή στην προώθηση πωλήσεως αγαθών ή στη παροχή υπηρεσιών εξ αποστάσεως και να μην αντίκειται στα χρηστά ήθη.

IV) Η υποχρέωση του υπεύθυνου επεξεργασίας να ενημερώσει το υποκείμενο κατά το στάδιο της συλλογής και της πρώτης διαβίβασης των δεδομένων ασκείται σύμφωνα με τις αποφάσεις και τους κανονισμούς της Αρχής, πού αφορούν τους τρόπους ενημέρωσης των υποκειμένων από τον υπεύθυνο επεξεργασίας.

V) Ως υπεύθυνος επεξεργασίας κατά το στάδιο της συλλογής θεωρείται τόσο ο εντολοδόχος όσο και ο εντολέας στην περίπτωση πού η επεξεργασία γίνεται κατ' εντολή. Ο εντολοδόχος παύει να θεωρείται υπεύθυνος επεξεργασίας μόνο στην περίπτωση κατά την οποία μετά την πρώτη διαβίβαση διαγράψει τα δεδομένα απάτα δικά του αρχεία.

VI) Είναι αυτονόητο ότι για την άμεση εμπορία προσωπικών δεδομένων ισχύουν οι περιορισμοί των άρθρων 9 παρ. 10 και 14 παρ. 6 του Ν. 2251/1994.

Άρθρο 9 παρ. 10 Ν. 2251/1994: Η μετάδοση διαφημιστικού μηνύματος απευθείας στον καταναλωτή μέσω τηλεφώνου, τηλεμοιοτυπίας (φαξ), ηλεκτρονικού ταχυδρομείου, αυτόματης κλήσης ή άλλου ηλεκτρονικού μέσου επικοινωνίας επιτρέπεται μόνον αν συναινεί ρητά ο καταναλωτής.

Άρθρο 14 παρ. 6 Ν. 2251/1994: Η χρησιμοποίηση των τεχνικών επικοινωνίας πρέπει να γίνεται κατά τέτοιο τρόπο, ώστε να μην προσβάλλεται η ιδιωτική ζωή του καταναλωτή. Απαγορεύεται χωρίς την συναίνεση του καταναλωτή η χρησιμοποίηση τεχνικών επικοινωνίας για την πρόταση σύναψης σύμβασης όπως τηλεφώνου αυτόματης κλήσης, τηλεμοιοτυπίας (φαξ), ηλεκτρονικού ταχυδρομείου ή άλλου ηλεκτρονικού μέσου επικοινωνίας.

VII) Αποδέκτες των προσωπικών δεδομένων, τα οποία συλλέγονται με σκοπό σχετιζόμενο με την άμεση εμπορία μπορούν να είναι πρόσωπα, τα οποία χρειάζονται τα δεδομένα για την άσκηση νόμιμης δραστηριότητας.

VIII) Με την πρώτη επαφή του αποδέκτη με το υποκείμενο των δεδομένων, ο πρώτος είναι υποχρεωμένος να ενημερώσει το υποκείμενο για την πηγή από την οποία άντλησε τα προσωπικά του δεδομένα καθιστώντας σαφές ότι πρόκειται για διαφήμιση ή ενέργεια που αποσκοπεί στην προώθηση πωλήσεων αγαθών ή υπηρεσιών και να του δίνει την δυνατότητα εξαίρεσης των προσωπικών του δεδομένων από κάθε περαιτέρω χρήση αυτών για τον ανωτέρω σκοπό.

Διευκρινίζεται ότι η μη απάντηση του υποκειμένου μετά την πρώτη επαφή δεν θεωρείται συγκατάθεση. Σύμφωνα με το άρθρο 2 εδ. ία του Ν. 2472/1997 η συγκατάθεση είναι ρητή και ειδική δήλωση βουλήσεως που εκφράζεται κατόπιν πλήρους ενημέρωσης του υποκειμένου από τον υπεύθυνο επεξεργασίας.

Β. Σκοπός: Διαπίστωση πιστοληπτικής ικανότητας

Ι) Το νόμιμο της συλλογής των πληροφοριών από τις εταιρείες εμπορίας πληροφοριών (εφεξής εταιρείες) χωρίς συγκατάθεση του υποκειμένου.

Η εξ επαγγέλματος συλλογή πληροφοριών για τα υπό 1 δεδομένα χωρίς τη συγκατάθεση του υποκειμένου είναι νόμιμη με βάση την εξαίρεση του άρθρου 5 παρ. 2 εδ. ε του Ν. 2472/1997 γιατί πρώτον είναι απολύτως αναγκαία για την ικανοποίηση του εννόμου συμφέροντος το οποίο επιδιώκει ο υπεύθυνος επεξεργασίας και ο τρίτος αποδέκτης των δεδομένων. Το συγκεκριμένο έννομο συμφέρον συνίσταται στην άσκηση του δικαιώματος οικονομικής ελευθερίας με βάση πληροφορίες που εξασφαλίζουν την εμπορική πίστη, την αξιοπιστία και την ασφάλεια των συναλλαγών. Είναι εύλογο ότι χωρίς τη δυνατότητα πρόσβασης σε ορθές και επίκαιρες πληροφορίες, οι οποίες αφορούν την πιστοληπτική ικανότητα των συναλλασσόμενων η ικανοποίηση του εν λόγω εννόμου συμφέροντος δυσχεραίνεται σημαντικά. Δεύτερον το συγκεκριμένο έννομο συμφέρον υπερέχει προφανώς των συμφερόντων του υποκειμένων που δεν θίγονται ουσιωδώς και πάντως η ικανοποίηση τους δεν θίγει τις θεμελιώδεις ελευθερίες των υποκειμένων. Για να συμβεί αυτό η συλλογή και επεξεργασία των δεδομένων πρέπει να πραγματοποιείται υπό τους ακόλουθους τουλάχιστον περιορισμούς:

1) Τα δεδομένα που επιτρέπεται να συλλέξουν οι εταιρείες χωρίς συγκατάθεση του υποκειμένου είναι μόνο:

α) Αιτήσεις πτωχεύσεων

β) Αποφάσεις επί αιτήσεων πτωχεύσεων

γ) Διαταγές πληρωμής

δ) Προγράμματα πλειστηριασμού ακινήτων

ε) Προγράμματα πλειστηριασμού κινητών

στ) Μεταβολές προσωπικών εταιρειών

ζ) Μεταβολές Α.Ε., ΕΠΕ και Κοινοπραξιών

η) Υποθήκες και προσημειώσεις υποθηκών

θ) Κατασχέσεις και επιταγές βάσει Ν.Δ. 1923

ι) Ακάλυπτες επιταγές

ια) Διαμαρτυρημένες συναλλαγματικές και γραμμάτια εις διαταγήν.

2) Μετά τη συλλογή των υπ. αρ. 1 δεδομένων και πριν από κάθε διαβίβαση ο υπεύθυνος επεξεργασίας υποχρεούται να ενημερώσει ατομικά τα υποκείμενα βάσει του άρθρου 11 του Ν. 2472/1997, ώστε να ασκήσουν τα δικαιώματα πρόσβασης και αντίρρησης σύμφωνα μετά άρθρα 12 και 13 του ανωτέρω Νόμου. Σε περίπτωση που το υποκείμενο ασκώντας το δικαίωμα αντίρρησης ζητήσει τη διαγραφή των δεδομένων του, ο υπεύθυνος επεξεργασίας υποχρεούται να προχωρήσει στη διαγραφή ενημερώνοντας το υποκείμενο για τις τυχόν επιπτώσεις που θα έχει η διαγραφή στην εν γένει συναλλακτική του συμπεριφορά. Στην περίπτωση πού το υποκείμενο αμφισβητήσει την νομιμότητα της εγγραφής και αφού ακολουθηθεί η διαδικασία των άρθρων 12 και 13, το βάσιμο του αιτήματος θα κρίνεται από την Αρχή.

Ο υπεύθυνος επεξεργασίας μπορεί να ενημερώσει τον αποδέκτη των δεδομένων για τυχόν άρνηση του υποκειμένου να δώσει συγκατάθεση για την συλλογή ορισμένων δεδομένων του.

II. Άλλα δεδομένα μπορούν να συλλεχθούν μόνο με συγκατάθεση του υποκειμένου.

Πρέπει να τονισθεί ότι τα ανωτέρω υπό Ι αναφερόμενα αφορούν τα λεγόμενα «δυσμενή» δεδομένα. Για την επεξεργασία των «ευμενών» (π.χ. κατοχή πιστωτικής κάρτας ή μπλοκ επιταγών, αναφορά σε υπάρχουσα ακίνητη περιουσία κλπ.) απαιτείται πάντοτε η συγκατάθεση του υποκειμένου. Αυτό έχει μεγάλη σημασία για την περίπτωση της επεξεργασίας συνολικών ή μερικών μορφότυπων (προφίλ) πιστοληπτικής ικανότητας.

Ως ευμενή θεωρούνται τα δεδομένα που παρουσιάζουν την θετική εικόνα του υποκειμένου και όχι οι διαγραφές ή οι διορθώσεις των «δυσμενών», πράγμα που είναι αυτονόητη υποχρέωση του υπεύθυνου επεξεργασίας.

III) Αποδέκτης των δεδομένων μπορεί να είναι μόνο επιχειρηματίας, ο οποίος ασκεί νόμιμη δραστηριότητα και μόνο εφόσον τα δεδομένα δεν προορίζονται για μεταπώληση αλλά αφορούν υποκείμενα με τα οποία ο επιχειρηματίας συναλλάσσεται. Μετά το τέλος της συναλλαγής είναι αυτονόητο ότι ο επιχειρηματίας πρέπει να προβεί σε καταστροφή των ως άνω προσωπικών δεδομένων.

IV) Με την πρώτη επαφή του αποδέκτη με το υποκείμενο των δεδομένων και στην περίπτωση κατά την οποία δεν έχει προηγηθεί συγκατάθεση του υποκειμένου για τη διαβίβαση, ο αποδέκτης είναι υποχρεωμένος να ενημερώσει το υποκείμενο για την πηγή των πληροφοριών και για τον σκοπό της διαβίβασης.

V) Όσον αφορά τα χρονικά όρια τήρησης των δεδομένων, θα ισχύουν οι περιορισμοί πού έχουν επιβληθεί στην Τειρεσίας ΑΕ. Είναι αυτονόητο ότι όσον αφορά την καταχώριση των μεταβολών που προκύπτουν αναφορικά μετά δεδομένα, θα ισχύουν επίσης οι περιορισμοί που επιβλήθηκαν στην Τειρεσίας Α.Ε. π.χ. θα πρέπει να καταχωρίζεται αμέσως η εξόφληση μιας ακάλυπτης επιταγής.

Γ. Κοινοί κανόνες για τους υπεύθυνους επεξεργασίας προσωπικών δεδομένων για τους σκοπούς της άμεσης εμπορίας και της διαπίστωσης πιστοληπτικής ικανότητας

Εκτός των ανωτέρω η Αρχή θέτει ως προϋπόθεση νόμιμης λειτουργίας των εταιρειών ή άλλων υπευθύνων επεξεργασίας (στην περίπτωση που γίνεται επεξεργασία δεδομένων για προώθηση ή διαφήμιση ιδίων προϊόντων ή υπηρεσιών) για τους ανωτέρω σκοπούς επεξεργασίας τα εξής:

α) να έχουν εκπληρώσει όλες τις υποχρεώσεις που απορρέουν από τον Ν. 2472/1997 (γνωστοποίηση, ενδεχόμενη απόκτηση αδείας για επεξεργασία ευαίσθητων δεδομένων) .

β) στην περίπτωση της κατ' επάγγελμα εμπορίας προσωπικών πληροφοριών να έχουν εκδώσει εσωτερικό κανονισμό επεξεργασίας προσωπικών δεδομένων, ο οποίος θα έχει την έγκριση της Αρχής.

Η παρούσα να δημοσιευθεί στην Εφημερίδα της Κυβερνήσεως.