Η πρώτη απόφαση της Αρχής για την υπόθεση των υποκλοπών
Πρόστιμο ύψους 50.000 ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα κατά της εταιρείας Intellexa (η οποία εμπορεύεται το λογισμικό παρακολούθησης Predator) για μη συνεργασία της εταιρείας κατά τη διαδικασία ελέγχου. Πρόκειται για μία άκρως σημαντική εξέλιξη, γιατί είναι η πρώτη απόφαση της ΑΠΔΠΧ για την υπόθεση των υποκλοπών. Παράλληλα, η Αρχή έδωσε εντολή να παραδοθούν σε αυτή άμεσα, συγκεκριμένα στοιχεία.
Όπως επισημαίνεται από τη σχετική ανακοίνωση, «κλιμάκιο ελέγχου της Αρχής πραγματοποίησε επιτόπιο έλεγχο τόσο στην καταστατική έδρα της εταιρείας στο Χαλάνδρι όσο και στην εγκατάσταση της εταιρείας στο Ελληνικό. Με την απόφαση διαπιστώνεται ότι η εταιρεία καθυστέρησε αδικαιολόγητα να ανταποκριθεί σε ερωτήματα της Αρχής και αρνήθηκε να παράσχει πληροφορίες οι οποίες βρίσκονται αδιαμφισβήτητα στην κατοχή της, συνεπώς παραβίασε την υποχρέωση του άρθρου 31 του Γενικού Κανονισμού Προστασίας Δεδομένων που επιβάλλει σε υπευθύνους και εκτελούντες την επεξεργασία να συνεργάζονται με την Αρχή».
Παράλληλα, αναφέρεται ότι ο έλεγχος στην εταιρεία συνεχίζεται.
Ολόκληρη η ανακοίνωση
Η Αρχή, με την υπ’ αριθ. 2/2023 απόφαση (διαθέσιμη στο www.dpa.gr > “Πράξεις της Αρχής”), επέβαλε πρόστιμο ύψους 50.000 ευρώ στην εταιρεία Intellexa A.E. για μη συνεργασία της εταιρείας με την Αρχή κατά τη διαδικασία ελέγχου της.
Συγκεκριμένα, η Αρχή, ήδη από τον Ιούλιο του 2022, διερευνά περιπτώσεις εγκατάστασης λογισμικού παρακολούθησης σε τερματικές συσκευές κινητής τηλεφωνίας χρηστών (κατασκοπευτικό λογισμικό), με σκοπό την εν αγνοία τους παρακολούθηση καθώς και τη συνακόλουθη συλλογή και επεξεργασία προσωπικών δεδομένων.
Στο πλαίσιο της διερεύνησης αυτής η Αρχή έχει εκκινήσει από τον Σεπτέμβριο του 2022 διοικητικό έλεγχο στην εταιρεία Intellexa Α.Ε. Κλιμάκιο ελέγχου της Αρχής πραγματοποίησε επιτόπιο έλεγχο τόσο στην καταστατική έδρα της εταιρείας στο Χαλάνδρι όσο και στην εγκατάσταση της εταιρείας στο Ελληνικό. Με την απόφαση διαπιστώνεται ότι η εταιρεία καθυστέρησε αδικαιολόγητα να ανταποκριθεί σε ερωτήματα της Αρχής και αρνήθηκε να παράσχει πληροφορίες οι οποίες βρίσκονται αδιαμφισβήτητα στην κατοχή της, συνεπώς παραβίασε την υποχρέωση του άρθρου 31 του Γενικού Κανονισμού Προστασίας Δεδομένων που επιβάλλει σε υπευθύνους και εκτελούντες την επεξεργασία να συνεργάζονται με την Αρχή.
Περαιτέρω, με την ίδια απόφαση, η Αρχή δίνει εντολή στην Intellexa Α.Ε. να της παραδώσει άμεσα συγκεκριμένες πληροφορίες οι οποίες είναι απαραίτητες για τη διενέργεια του ελέγχου.
Επισημαίνεται ότι ο έλεγχος στην εταιρεία Intellexa Α.E. βρίσκεται σε εξέλιξη. Παράλληλα, η Αρχή συνεχίζει να διερευνά τις περιπτώσεις χρήσης κατασκοπευτικού λογισμικού κατά προσώπων που βρίσκονται στην ελληνική επικράτεια. Για τον σκοπό αυτόν και στο πλαίσιο των αρμοδιοτήτων της, έχει συλλέξει στοιχεία και πληροφορίες από διάφορους φορείς εντός και εκτός Ελλάδας και Ε.Ε., ενώ συνεχίζει τη διερεύνηση της υπόθεσης.
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα διαπιστώνει ότι η Intellexa Α.Ε. έχει καθυστερήσει αδικαιολόγητα να ανταποκριθεί στα αιτήματά της και δεν έχει παράσχει πληροφορίες οι οποίες βρίσκονται στην κατοχή της και ζητήθηκαν από την Αρχή. Συγκεκριμένα:
α) Η εταιρεία καθυστέρησε υπερβολικά να απαντήσει στα ερωτήματα της Αρχής και ανταποκρίθηκε μετά από επανειλημμένες υπομνήσεις της ομάδας ελέγχου και μετά την πάροδο χρονικού διαστήματος πλέον των σαράντα (40) ημερών, μόνον αφού παρέλαβε την κλήση της σε ακρόαση ενώπιον της Αρχής.
Το χρονικό διάστημα αυτό δεν μπορεί να θεωρηθεί σε καμία περίπτωση ως εύλογο. Σημειώνεται μάλιστα ότι με το με αριθμ. πρωτ. Γ/ΕΞΕ/2481/06-10-2022 έγγραφό της η Αρχή είχε ενημερώσει την εταιρεία ότι η παροχή των απαντήσεων θα μπορούσε να γίνει και τμηματικά. Η θέση της εταιρείας, σύμφωνα με την οποία καταβλήθηκε κάθε προσπάθεια συνεργασίας με την Αρχή, προβάλλεται αναπόδεικτα και πάντως δεν δικαιολογείται τόσο μεγάλη καθυστέρηση. Αντίθετα, από τις ενέργειες της εταιρείας, όπως αποδεικνύεται και με όσα διαλαμβάνονται στο υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/11225/24-10-2022 έγγραφό της, προκύπτει ότι οι διαβεβαιώσεις της περί συνεργασίας και αποστολής των εγγράφων υπήρξαν αποκλειστικά ρηματικές. Αρκεί να αναφερθεί ότι η εταιρεία δήλωσε εγγράφως στις 21-10-2022 ότι αναμένει να υποβάλει τις απαντήσεις «στις αρχές της επόμενης εβδομάδας» ενώ τελικά κατέθεσε τις απαντήσεις της μετά την πάροδο τεσσάρων εβδομάδων.
β) Η εταιρεία παρά τις επανειλημμένες οχλήσεις, δεν παρείχε συγκεκριμένα στοιχεία τα οποία ζήτησε η Αρχή και τα οποία αφορούν τις Ερωτήσεις 11 και 15 (οικονομικά στοιχεία και στοιχεία συμβάσεων σε σχέση με τις δραστηριότητές της).
Ειδικότερα, αντί της παροχής των αιτηθέντων στοιχείων, παρέπεμψε στα στοιχεία τα οποία είχε χορηγήσει προς την ΕΑΔ στο πλαίσιο διαφορετικού διοικητικού ελέγχου που διενεργήθηκε από την τελευταία.
