Δύο μήνες διορία σε εταιρεία για συμμόρφωση με τον ΓΚΠΔ, έδωσε η Επίτροπος Προσωπικών Δεδομένων
17:38 - 29 Ιουνίου 2020
Πλήρη συμμόρφωση με το άρθρο 12.2 του ΓΚΠΔ εντός δύο μηνών από την έκδοση απόφασης από το Γραφείο της (2 Ιουνίου 2020) ζητά η Επίτροπος Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, από εταιρεία.
Σε απόφαση που εξέδωσε στην αγγλική μετά από παράπονο που υποβλήθηκε για μη ικανοποίηση του αιτήματος διαγραφής, η Επίτροπος διευκρινίζει ότι ο λογαριασμός του παραπονούμενου (από τη Γαλλία) χρησιμοποιήθηκε από τρίτο πρόσωπο (hacker) και δεν μπορούσε να αλλάξει τον κωδικό πρόσβασης, ούτε μπορούσε να έχει πρόσβαση στον αρχικό λογαριασμό του ηλεκτρονικού ταχυδρομείου, με τον οποίο δημιούργησε τον λογαριασμό του.
Στην ανάρτηση για την απόφαση που υπάρχει στην ιστοσελίδα του Γραφείου της, προστίθεται ότι ο παραπονούμενος ζήτησε βοήθεια, αλλά ο υπεύθυνος επεξεργασίας (Gaijin Network) απαιτούσε πολλές πληροφορίες εξακρίβωσης ταυτότητας, όπως τρέχοντα και προηγούμενα ψευδώνυμα, ημερομηνία εγγραφής του λογαριασμού, αγορές που έγιναν κτλ κατά τρόπο που ο χρήστης δεν μπόρεσε να παράσχει όλες τις πληροφορίες και ζήτησε τη διαγραφή του λογαριασμού του και τη διαγραφή όλων των δεδομένων που τον αφορούν. Ο υπεύθυνος επεξεργασίας δεν συμμορφώθηκε με το αίτημα διαγραφής και δεν έδωσε εξηγήσεις, αναφέρεται περαιτέρω.
Μετά από διερεύνηση, η Επίτροπος έκρινε ότι οι απαιτήσεις εξακρίβωσης ταυτότητας του υπεύθυνου επεξεργασίας είναι δικαιολογημένες και σύμφωνα με το άρθρο 12.6 του ΓΚΠΔ, οι πληροφορίες που ζητούνται από την Gaijin Network βρίσκονται ήδη στην κατοχή και υποβάλλονται σε επεξεργασία από τον υπεύθυνο επεξεργασίας.
Παρατηρεί περαιτέρω ότι η απαίτηση προς το χρήστη να παρέχει ξανά τις εν λόγω πληροφορίες, θεωρείται ότι είναι σχετική και ανάλογη σε σχέση με τον σκοπό της επεξεργασίας και στοχεύει μόνο σε προσδιορισμό της ταυτότητας του χρήστη.
Παρόλα αυτά, η Επίτροπος έκρινε ότι τα εργαλεία που παρέχονται στις εσωτερικές πολιτικές του υπεύθυνου επεξεργασίας, δεν συμμορφώνονται πλήρως με τις απαιτήσεις του ΓΚΠΔ και θα πρέπει να εφαρμοστούν επιπλέον εργαλεία που να επιτρέπουν σε ένα υποκείμενο δεδομένων με παραβιασμένο λογαριασμό να αποδείξει εύκολα την ταυτότητά του, όπως μια μυστική ερώτηση θα μπορούσε να προβλεφθεί κατά την εγγραφή, αναφέρεται στην ανάρτηση.
Σε απόφαση που εξέδωσε στην αγγλική μετά από παράπονο που υποβλήθηκε για μη ικανοποίηση του αιτήματος διαγραφής, η Επίτροπος διευκρινίζει ότι ο λογαριασμός του παραπονούμενου (από τη Γαλλία) χρησιμοποιήθηκε από τρίτο πρόσωπο (hacker) και δεν μπορούσε να αλλάξει τον κωδικό πρόσβασης, ούτε μπορούσε να έχει πρόσβαση στον αρχικό λογαριασμό του ηλεκτρονικού ταχυδρομείου, με τον οποίο δημιούργησε τον λογαριασμό του.
Στην ανάρτηση για την απόφαση που υπάρχει στην ιστοσελίδα του Γραφείου της, προστίθεται ότι ο παραπονούμενος ζήτησε βοήθεια, αλλά ο υπεύθυνος επεξεργασίας (Gaijin Network) απαιτούσε πολλές πληροφορίες εξακρίβωσης ταυτότητας, όπως τρέχοντα και προηγούμενα ψευδώνυμα, ημερομηνία εγγραφής του λογαριασμού, αγορές που έγιναν κτλ κατά τρόπο που ο χρήστης δεν μπόρεσε να παράσχει όλες τις πληροφορίες και ζήτησε τη διαγραφή του λογαριασμού του και τη διαγραφή όλων των δεδομένων που τον αφορούν. Ο υπεύθυνος επεξεργασίας δεν συμμορφώθηκε με το αίτημα διαγραφής και δεν έδωσε εξηγήσεις, αναφέρεται περαιτέρω.
Μετά από διερεύνηση, η Επίτροπος έκρινε ότι οι απαιτήσεις εξακρίβωσης ταυτότητας του υπεύθυνου επεξεργασίας είναι δικαιολογημένες και σύμφωνα με το άρθρο 12.6 του ΓΚΠΔ, οι πληροφορίες που ζητούνται από την Gaijin Network βρίσκονται ήδη στην κατοχή και υποβάλλονται σε επεξεργασία από τον υπεύθυνο επεξεργασίας.
Παρατηρεί περαιτέρω ότι η απαίτηση προς το χρήστη να παρέχει ξανά τις εν λόγω πληροφορίες, θεωρείται ότι είναι σχετική και ανάλογη σε σχέση με τον σκοπό της επεξεργασίας και στοχεύει μόνο σε προσδιορισμό της ταυτότητας του χρήστη.
Παρόλα αυτά, η Επίτροπος έκρινε ότι τα εργαλεία που παρέχονται στις εσωτερικές πολιτικές του υπεύθυνου επεξεργασίας, δεν συμμορφώνονται πλήρως με τις απαιτήσεις του ΓΚΠΔ και θα πρέπει να εφαρμοστούν επιπλέον εργαλεία που να επιτρέπουν σε ένα υποκείμενο δεδομένων με παραβιασμένο λογαριασμό να αποδείξει εύκολα την ταυτότητά του, όπως μια μυστική ερώτηση θα μπορούσε να προβλεφθεί κατά την εγγραφή, αναφέρεται στην ανάρτηση.
Πηγή: ΚΥΠΕ
