Αρχή Προστασίας Δεδομένων: Οδηγία για την προστασία δεδομένων στο πολιτικό marketing

Μετά από 5 ολόκληρα χρόνια απραξίας ως προς την έκδοση soft law Οδηγιών, η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα αποφάσισε, κατόπιν εορτής (δηλαδή ένα μήνα μετά τις δημοτικές εκλογές) να εκδώσει μια Οδηγία για την επεξεργασία προσωπικών δεδομένων στο πλαίσιο της άμεσης πολιτικής επικοινωνίας. Το πρόβλημα που κορυφώνεται κατά τη διάρκεια κάθε προεκλογικής περιόδου σχετίζεται με την αθέμιτη επεξεργασία προσωπικών δεδομένων από διαφημιστικές εταιρίες και υποψήφιους, οι οποίοι παρενοχλούν τους πολίτες με αποστολή SMS ή e-mail, χωρίς να τους έχουν εκ των προτέρων ενημερώσει για την πηγή άντλησης των στοιχείων τους και συνήθως χωρίς προηγούμενη συγκατάθεση - όταν αυτή επιβάλλεται από τις περιστάσεις άντλησης των στοιχείων.

Την Οδηγία μπορείτε να κατεβάσετε από εδώ.

Στο πρώτο άρθρο υπάρχει μια σοβαρότατη αστοχία: οι διατάξεις της οδηγίας αφορούν την πολιτική επικοινωνία η οποία "πραγματοποιείται σε κάθε χρονική περίοδο, πέραν της προεκλογικής περιόδου". Με αυτή την ατυχή διατύπωση η Αρχή φαίνεται ότι εκτοπίζει ερμηνευτικά την εφαρμογή των διατάξεων από την πιο κρίσιμη περίοδο, στην οποία εκδηλώνονται οι εν λόγω παραβιάσεις: την προεκλογική περίοδο! Ωστόσο, από την οικονομία των διατάξεων φαίνεται ότι η εν λογω αστοχία είναι μόνο φραστική κι ότι οι συντάκτες της Οδηγίας ήθελαν να πουν ότι οι διατάξεις εφαρμόζονται τόσο στην προεκλογική περίοδο, όσο και σε οποιαδήποτε άλλη χρονική στιγμή. Αυτό όμως θα πρέπει να διευκρινιστεί από την ίδια την Αρχή, για να μην υπάρξουν παρανοήσεις και τελικά επιτευχθεί το εντελώς αντίθετο αποτέλεσμα από το επιδιωκόμενο.

Στο ίδιο άρθρο όμως, διατυπώνεται μια ξεκάθαρη εξαίρεση: δεν εμπίπτει στο πεδίο εφαρμογής της Οδηγίας η επικοινωνία που επιδιώκεται από φορείς όπως οι επαγγελματικοί σύλλογοι και οι συνδικαλιστικές ενώσεις. Ενώ και σε αυτές τις περιπτώσεις θα πρέπει να γίνονται σεβαστά τα προσωπικά δεδομένα, η Αρχή για ακατανόητους λόγους εξαιρεί αυτά τα πολιτικά υποκείμενα από το πεδίο εφαρμογής της Οδηγίας!

Γενικά, η Οδηγία αφορά μόνο υποψήφιους βουλευτές, ευρωβουλευτές, αιρετούς της τοπικής αυτοδιοίκησης και τα αντίστοιχα πολιτικά κόμματα και παρατάξεις. Έτσι όμως μένουν εκτός πεδίου εφαρμογής πολλές άλλες ακόμη περιπτώσεις άμεσης πολιτικής επικοινωνίας. Ένα παράδειγμα είναι οι υποψήφιοι σύμβουλοι και πρόεδροι των Δικηγορικών Συλλόγων, περιπτώσεις στις οποίες κατά κόρον χρησιμοποιούνται SMS. Eίναι ακατανόητο για ποιο λόγο η Αρχή άφησε εκτός του πεδίου εφαρμογής της Οδηγίας αυτές τις περιπτώσεις, ενώ εμπίπτουν στις ίδιες ακριβώς νομικές διατάξεις.

Στο άρθρο 2, η Αρχή δέχεται ότι για σκοπούς πολιτικής επικοινωνίας μπορούν να τύχουν επεξεργασίας όχι μόνο απλά προσωπικά δεδομένα, αλλά και ευαίσθητα, "όπως πολιτικά φρονήματα, δεδομένα σχετικά με την υγεία, λ.χ. δεδομένα ατόμων με ειδικές ανάγκες". Πέρα από την χρήση εσφαλμένης ορολογίας (ο σωστός όρος είναι "άτομα με αναπηρία"), η Αρχή εδώ ανοίγει ένα τεράστιο παραθυράκι με μεγάλους κινδύνους για το φακέλωμα των πολιτικών πεποιθήσεων κι άλλων σοβαρών πληροφοριών της ιδιωτικής ζωής του ατόμου. Βέβαια αναφέρει σε άλλη διάταξη ότι για την επεξεργασία ευαίσθητων δεδομένων απαιτείται η άδεια της Αρχής, η οποία όμως, ειδικά για τα ευαίσθητα δεδομένα μόνο με βάση τη συγκατάθεση θα μπορούσε να νομιμοποιηθεί (άρθρο 7 παρ. 2 (α) Ν.2472/1997), πράγμα που η Αρχή αποφεύγει να επισημάνει στην Οδηγία της.

Σημειωτέον ότι η έκδοση της Οδηγίας δεν απαλλάσσει την Αρχή από την αρμοδιότητά της για επιβολή των προβλεπόμενων από το άρθρο 21 του Ν.2472/1997 κυρώσεων στους παραβάτες που απέστειλαν άμεσα προεκλογικό υλικό χωρίς να τηρήσουν τους όρους που ήδη προβλέπονται από το νόμο.

Το τηλεφωνικό direct marketing δεν καλύπτεται από το μητρώο του άρθρου 13

Είναι γνωστό ότι όποιος δεν θέλει να λαμβάνει διαφημιστικό υλικό, κάνει μια δήλωση εγγραφής στο μητρώο του άρθρου 13 (ν.2472/1997) που τηρεί η Αρχή Προστασίας Προσωπικών Δεδομένων και οι διαφημιζόμενοι το συμβουλεύονται για να μην ενοχλούν όσους δεν το επιθυμούν. Έτσι διαμορφώθηκε ο κανόνας ότι οι διαφημιστές μπορούν ελεύθερα να απευθύνονται σε όλους τους υπόλοιπους - που δεν έχουν γραφτεί στο μητρώο.

Με τον ειδικότερο ν.3471/2006 που αφορά την προστασία προσωπικών δεδομένων στις ηλεκτρονικές επικοινωνίες, ορίζεται, όμως, ότι, με την εξαίρεση του e-mail που κάποια εταιρία έχει λάβει από προηγούμενη εμπορική επικοινωνία, δεν επιτρέπεται η χρήση των προσωπικών δεδομένων χωρίς ειδική προηγούμενη συγκατάθεση του υποκειμένου. Υπήρχε ωστόσο, μία αμφιβολία για τη σχέση αυτών των διατάξεων με το θέμα του μητρώου.

Αυτή η αμφιβολία λύθηκε πρόσφατα από την Αρχη, η οποία με την απόφαση 57/2007 επιλήφθηκε ενός τέτοιου ζητήματος. Σε αυτήν την απόφαση κρίθηκε ότι, σχετικά με την τηλεφωνική προώθηση προϊόντων:

- Δεν αρκεί η διαφημιστική εταιρία να έχει συμβουλευτεί το μητρώο του άρθρου 13, αλλά πρέπει να έχει και την ειδική συγκατάθεση του υποκειμένου.

- Όταν η εταιρία χρησιμοποιεί ανεξαρτητους "εμπορικούς συνεργάτες" που κάνουν τα τηλεφωνήματα, αλλά καθορίζει τους τρόπους και τους σκοπούς της επεξεργασίας, υπεύθυνη παραμένει η διαφημιζόμενη εταιρία , ενώ οι ειδικοί εμπορικοί συνεργάτες είναι "εκτελούντες την επεξεργασία προσωπικών δεδομένων". Αυτό σημαίνει ότι ο διαφημιζόμενος δεν μπορεί να αποποιηθεί την ευθύνη και να την μετακυλήσει εξ ολοκλήρου στους εμπορικούς συνεργάτες.

- Άρα, παράνομα μας ενοχλούν τηλεφωνικά αν δεν έχουν την προηγούμενη ρητή, ειδική, σαφή συγκατάθεσή μας για τέτοιου είδους άμεση διαφήμιση.

Οι κρίσεις της Αρχής είναι ορθές, σύμφωνα με την συνδυαστική ερμηνεία των δύο νόμων, αλλά και πάλι η Αρχή δεν έδωσε μια πρακτική κατεύθυνση στους ενδιαφερόμενους για το πως θα πρέπει να εξασφαλισθεί αυτή η "ρητή, ειδική, ενημερωμένη συγκατάθεση" των υποκειμένων των δεδομένων. Ένας τρόπος θα ήταν ο τηλεφωνικός, δηλ. μια αρχική επικοινωνία με την οποία να ερωτάται ο πολίτης αν συγκατατίθεται στο να ακούσει το διαφημιστικό μήνυμα, αλλά βέβαια αυτή η πρακτική δημιουργεί ένα πρόβλημα κυκλικότητας.

Ένας άλλος τρόπος, πιο παραδοσιακός, είναι η παροχή συγκατάθεσης από τους ίδιους τους πελάτες της εταιρίας, όταν έρχονται εκείνοι σε κάποια μορφής εμπορική επικοινωνία: μπορουν τότε να συμπληρώνουν μία φόρμα δίνοντας τη συγκατάθεσή τους. Έτσι βέβαια, το target group περιορίζεται στα πρόσωπα που ήδη έχουν έρθει σε επικοινωνία με την εταιρία και όχι στο ευρύτερο κοινό. Αλλά, στο κάτω-κάτω, γιατί όχι; Το ευρύτερο κοινό ας ενημερωθεί με τα δημόσια διαφημιστικά μηνύματα: το direct marketing μπορεί να αναπτυχθεί εξίσου επιτυχώς και με τους υπόλοιπους.

Καλό θα ήταν η Αρχή όταν ασχολείται με ζητήματα στα οποία δεν έχει παρουσιάσει και ιδιαίτερη φαντασία, να συμβουλεύεται και να αντλεί βέλτιστες πρακτικές από τους πιο εξειδικευμένους φορείς. Στη συγκεκριμένη περίπτωση, θα μπορούσε να αναζητήσει σχετικό υλικό από την Ευρωπαϊκή Ομοσπονδία Άμεσης Διαφήμισης (FEDMA), η οποία άλλωστε έχει συνδράμει στο παρελθόν και το έργο της Ομάδας Εργασίας του άρθρου 29 (πάνελ των ευρωπαϊκών Αρχών Προστασίας Δεδομένων).

To πρόβλημα με το Μητρώο του άρθρου 13

είναι ότι δεν υπάρχει πεδίο για να δηλωθεί διεύθυνση e-mail στο οποίο οι διαφημιζόμενοι δεν επιτρέπεται να στέλνουν υλικό direct marketing. Αν δείτε την έντυπη φόρμα για εγγραφή στο Μητρώο της Αρχής, δεν υπάρχει πεδίο δήλωσης του e-mail σας. Επομένως, ένας διαφημιζόμενος μπορεί ανα πάσα στιγμή να ισχυριστεί ότι είστε μεν γραμμένος στο Μητρώο, αλλά δεν μπορούσε να γνωρίζει από κάπου και το mail σας, προκειμένου να μην σας στείλει διαφημιστική επιστολή. Άρα η προστασία περιορίζεται μόνο στο συμβατικό ταχυδρομείο, το φαξ και το τηλέφωνο, χωρίς να αφορά και το ηλεκτρονικό ταχυδρομείο.
Η πρότασή μου είναι στο πεδίο "Διεύθυνση" της αίτησης να συμπληρώνεται εκτός από η διεύθυνση κατοικίας και η "διεύθυνση" ηλεκτρονικού ταχυδρομείου. Φυσικά η Αρχή θα πρέπει να διορθώσει την έντυπη φόρμα, ώστε να δοθεί ρητά η δυνατότητα στον πολίτη να προστατεύσει και το mail box του.
Πάντως, επειδή βλέπω ότι αυτή η συζήτηση (στην οποία έχω αφιερώσει αρκετά posts και στο e-lawyer) αναθερμαίνεται, πρέπει να επισημάνω ότι τα μητρώα αυτά στην διεθνή βιβλιογραφία ονομάζονται "Λίστες Ροβινσόνων"...
Στην πράξη πάντως, επειδή ο Νόμος προβλέπει αποζημίωση 6.000 ευρώ, υπήρξαν συμπολίτες μας που αποζημιώθηκαν (είχα την χαρά να έχω συνδράμει στις συγκεκριμένες δίκες). Καλό είναι να ενεργοποιούμε τα δικαιώματά μας.

Νομική προστασία από το spamming

Αντίθετα από ότι πιστεύεται, υπάρχουν συγκεκριμένοι κανόνες που επιτρέπουν -υπό όρους- το spamming στην Ελλάδα σήμερα. Υπάρχουν, όμως, και αυστηροί κανόνες, οι οποίοι ορίζουν την προστασία κατά του spamming και, μάλιστα, καθιερώνοντας ένα αρκετά υψηλό ποσό αποζημίωσης. Αλλά, ας τα πάρουμε από την αρχή.

Προϋποθέσεις νομιμότητας του direct marketing.

Η προώθηση πώλησης αγαθών ή υπηρεσιών εξ αποστάσεως με απευθείας μετάδοση του μηνύματος στον παραλήπτη (spamming) προϋποθέτει την χρήση των προσωπικών δεδομένων του τελευταίου. Όπως, για παράδειγμα, την διεύθυνση κατοικίας του για αποστολή συμβατικής διαφημιστικής επιστολής. Αυτή η περίπτωση direct marketing, κατ’ αρχήν θεωρείται επιτρεπτή από το νόμο, καθώς η διαφήμιση αποτελεί αναγκαίο συστατικό της ελεύθερης οικονομίας, εφόσον όμως πληρούνται οι εξής αυστηρές προϋποθέσεις που έχουν καθοριστεί με την απόφαση 50/2000 της Αρχής Προστασίας Προσωπικών Δεδομένων:

(http://www.dpa.gr/Documents/Gre/Apofaseis/etaireies.doc)

1. Ο παραλήπτης έχει δώσει εκ των προτέρων την σαφή, ειδική και εν πλήρη επιγνώσει συγκατάθεσή του, σύμφωνα με την οποία δέχεται να λαμβάνει τέτοια μηνύματα με χρήση των προσωπικών του δεδομένων. Αυτή η περίπτωση είναι ξεκάθαρη. Αν ο παραλήπτης ΔΕΝ έχει δώσει τη συγκατάθεσή του, ο αποστολέας του μηνύματος πρέπει να τηρήσει τις παρακάτω προϋποθέσεις:

2.1. Ο αποστολέας πρέπει να έχει συλλέξει τα δεδομένα από δημόσια προσβάσιμες πηγές (π.χ. τηλεφωνικό κατάλογο του ΟΤΕ).
2.2. Τα δεδομένα που θα χρησιμοποιηθούν πρέπει να είναι τα απολύτως αναγκαία για τους σκοπούς της επικοινωνίας, δηλαδή η διεύθυνση (ηλεκτρονική ή κανονική), το ονοματεπώνυμο και το επάγγελμα. (Όχι, δηλαδή, δεδομένα όπως π.χ. τα κιλά, που μπορεί να έχει «ψαρέψει» από διάφορες πηγές κάποιο ινστιτούτο που ψάχνει για υπέρβαρους πελάτες- αυτή είναι η απαγορευμένη «εξόρυξη δεδομένων», data mining).
2.3. Ο σκοπός της χρήσης των δεδομένων πρέπει να είναι μόνο η άμεση διαφήμιση και εμπορία και να μην αντίκειται στα χρηστά ήθη.
2.4. Κατά το στάδιο της συλλογής και πριν την πρώτη χρήση των δεδομένων, ο αποστολέας πρέπει να ενημερώσει τα πρόσωπα για την ταυτότητά του, για το ότι πρόκειται να προβεί σε επεξεργασία δεδομένων για διαφημιστικούς σκοπούς, χρησιμοποιώντας τα Χ δεδομένα τους. Αν πρόκειται να χρησιμοποιήσει δεδομένα άνω των 1.000 προσώπων, έχει το δικαίωμα να μην ενημερώσει ατομικά, αλλά με καταχώρηση στον τύπο (σύμφωνα με την απόφαση 408 της Αρχής).
2.5. Τέλος, πριν την χρήση των προσωπικών δεδομένων, ο αποστολέας πρέπει να διαπιστώσει ότι αυτά δεν περιλαμβάνονται στο Μητρώο του άρθρου 13 του Ν.2472/1997. Τι είναι αυτό το μητρώο; Η καλύτερη εισαγωγή στο κεφάλαιο της προστασίας…

Προστασία από το direct marketing

Όπως είδαμε, ακόμα κι αν κάποιος δεν έχει δώσει συγκατάθεση, οι εταιρίες έχουν δικαίωμα, εφόσον ακολουθήσουν τις 5 παραπάνω προϋποθέσεις, να του στέλνουν διαφημιστικά μηνύματα με χρήση των προσωπικών του δεδομένων. Η μόνη δυνατότητα που έχει κάποιος για προστασία είναι να ζητήσει και να εγγραφεί στο Μητρώο του άρθρου 13. Το Μητρώο αυτό είναι ένας κατάλογος προσώπων που δεν επιθυμούν τα δεδομένα τους να τυγχάνουν αντικείμενο επεξεργασίας για διαφημιστικούς σκοπούς (στη διεθνή βιβλιογραφία έχει επικρατήσει αυτοί οι κατάλογοι να λέγονται, μάλλον υποτιμητικά, "Λίστες Ροβινσώνων"). Το Μητρώο αυτό τηρεί η Αρχή Προστασίας Δεδομένων και είναι δημόσια προσβάσιμο. Πριν μια εταιρία ξεκινήσει ένα πρόγραμμα direct marketing, υποχρεούται να συμβουλεύεται το Μητρώο και να διαγράφει από τον κατάλογο της, τα πρόσωπα που έχουν εγγραφεί στο Μητρώο.
Εδώ θα βρείτε μια αίτηση για να καταχωρηθείτε στο Μητρωο του άρθρου 13.
http://www.dpa.gr/Documents/Gre/Com/AITISI.doc

Αν κάποιος, παρόλο που έχει εγγραφεί στο Μητρώο, συνεχίσει να λαμβάνει διαφημιστικά μηνύματα έχει δικαίωμα καταγγελίας στην Αρχή (η οποία θα επιβάλλει στην εταιρία πρόστιμο), αλλά και δικαίωμα αποζημίωσης που ασκείται με αγωγή στα δικαστήρια. Ο νόμος μάλιστα αναφέρει ότι το ελάχιστο ποσό αποζημίωσης είναι 6.000 ευρώ. Σε δύο περιπτώσεις τέτοιων αγωγών, τα δικαστήρια της Αθήνας επιδίκασαν τις αποζημιώσεις σε πρόσωπα που παρόλο που είχαν εγγραφεί στο Μητρώο του άρθρου 13, λάμβαναν διαφημιστικές επιστολές στη διεύθυνση κατοικίας τους. Οι εταιρίες άσκησαν εφέσεις κατά των αποφάσεων, αλλά και το εφετείο επικύρωσε την απόφαση των πρωτοβάθμιων δικαστηρίων, οπότε αναγκάστηκαν να πληρώσουν οι εταιρίες, με την επιβάρυνση μάλιστα των δικαστικών εξόδων.

Αλλά, ακόμα κι αν κάποιος ΔΕΝ έχει γραφτεί στο Μητρώο, αν μπορεί να αποδείξει ότι μια εταιρία δεν τήρησε τις προϋποθέσεις νομιμότητας του direct marketing, μπορεί να διεκδικήσει την αποζημίωση. Ένας από τους πιο σοβαρούς λόγους παρανομίας θεωρείται η μη τήρηση της υποχρέωσης ενημέρωσης πριν την χρήση προσωπικών δεδομένων ατομικά ή –αν τα πρόσωπα είναι πάνω από 1.000- μέσω του τύπου. Αν κάποιος σας στείλει διαφημιστικό μήνυμα χωρίς προηγούμενη ενημέρωση, παρανομεί σε κάθε περίπτωση.

Η αλήθεια είναι ότι για την προστασία δεδομένων στις ηλεκτρονικές επικοινωνίες (δηλ. και στο internet) υπάρχει η Οδηγία 2002/58/ΕΚ που δεν έχει ακόμα ενσωματωθεί στο ελληνικό δίκαιο. Ο Ν.2774/1999 (υπό κατάργηση, αλλά εν ισχύ) που ενσωμάτωσε την προηγούμενη σχετική οδηγία έχει αποκλείσει τη δυνατότητα χρήσης προσωπικών δεδομένων για λόγους άλλους από την εκτέλεση της τηλεπικοινωνιακής σύμβασης, αν το πρόσωπο δεν έχει δώσει συγκατάθεση. Επίσης, ο νόμος για την προστασία του καταναλωτή Ν.2251/1994, αποκλείει το direct marketing και το spamming χωρίς προηγούμενη ρητή συγκατάθεση του υποκειμένου των δεδομένων, εκτός αν τα δεδομένα έχουν περιέλθει στον αποστολέα από προηγούμενη συναλλαγή ή -πάλι- από δημόσια προσβάσιμες πηγές. Βέβαια, ο νόμος αυτός, όντας προγενέστερος του 2774/1999, πρέπει να θεωρηθεί καταργημένος και ο κανόνας στις ηλεκτρονικές επικοινωνίες να θεωρείται μόνο η προηγούμενη συγκατάθεση.

Το πρακτικό πρόβλημα στο internet spamming είναι ότι για να στραφεί κανείς δικαστικά ή διοικητικά κατά του προσβολέα πρέπει να γνωρίζει ποιος είναι αυτός (πρόβλημα, ειδικά στις περιπτώσεις που είναι κάποιος από το εξωτερικό)…