Σκάνδαλο παρακολουθήσεων: 50.000 πρόστιμο στην Intellexa από την Αρχή Προσωπικών Δεδομένων

Τη Δευτέρα η Αρχή ανακοίνωσε ότι επέβαλλε πρόστιμο 50.000 στην εταιρεία Intellexa, που εμπορεύεται το λογισμικό Predator, ενώ συμπληρώνει ότι έδωσε εντολή να παραδοθούν σ’ αυτή άμεσα συγκεκριμένα στοιχεία.

Χαρακτηριστικά τονίζεται ότι κατά τον επιτόπιο έλεγχο στα γραφεία της εταρείας στο Χαλάνδρι (15/09) «διαπιστώθηκε ότι στην εν λόγω διεύθυνση διαθέτει εγκατάσταση η εταιρεία Interlog Α.Ε., η οποία παρέχει λογιστικές υπηρεσίες στην εταιρεία Intellexa A.E. (ως εκτελούσα την επεξεργασία), για τμήμα του έτους 2022. Κατόπιν διαλογικής συζήτησης με στελέχη της εταιρείας Interlog Α.Ε., ζητήθηκαν για το χρονικό διάστημα, στο οποίο η Interlog Α.Ε. παρέχει υπηρεσίες στην Intellexa A.E., σειρά στοιχείων για την Intellexa Α.Ε., και συγκεκριμένα την πρόσφατη δήλωσή της στην εφορία για το έτος 2021, καταστάσεις πελατών και προμηθευτών, τα διαθέσιμα αντίγραφα παραστατικών εξόδων (του έτους 2022) και στοιχεία από τις δηλώσεις του προσωπικού της Intellexa Α.Ε. προς τον ΕΦΚΑ.

Κατά τη διενέργεια του ως άνω ελέγχου, και αφού διαπιστώθηκε ότι στην επίσημη έδρα της Intellexa Α.Ε. δεν λειτουργεί πραγματική εγκατάσταση της εταιρείας αυτής, υπήρξε επικοινωνία με τον πληρεξούσιο δικηγόρο της εταιρείας Ανδρέα Μήτσαινα. Εν τέλει, η Αρχή ενημέρωσε τον πληρεξούσιο δικηγόρο της εταιρείας και τον νομικό της σύμβουλο Άνδρο Πελεκάνο σχετικά με επικείμενη διενέργεια ελέγχου στις εγκαταστάσεις της εταιρείας στο Ελληνικό εντός του συντομότερου δυνατού χρονικού διαστήματος.

Συνοπτικά η απόφαση

Η Αρχή διενήργησε διοικητικό έλεγχο στην εταιρεία Intellexa Α.Ε. διερευνώντας περιπτώσεις εγκατάστασης λογισμικού παρακολούθησης σε τερματικές συσκευές κινητής τηλεφωνίας χρηστών, με σκοπό την εν αγνοία τους παρακολούθηση, καθώς και τη συνακόλουθη συλλογή και επεξεργασία των προσωπικών δεδομένων τους τα οποία συλλέγονται από τέτοιο λογισμικό.

Καθώς η εταιρεία καθυστέρησε υπερβολικά να απαντήσει στα ερωτήματα της Αρχής και δεν παρείχε συγκεκριμένα στοιχεία τα οποία ζητήθηκαν και είναι στην κατοχή της, η Αρχή επέβαλε πρόστιμο ύψους 50.000 ευρώ και έδωσε εντολή να παραδοθούν άμεσα σε αυτή συγκεκριμένα στοιχεία.

Μεταξύ άλλων, στην απόφαση τονίζεται:

Η Αρχή διαπιστώνει ότι η Intellexa Α.Ε. έχει καθυστερήσει αδικαιολόγητα να ανταποκριθεί στα αιτήματά της και δεν έχει παράσχει πληροφορίες οι οποίες βρίσκονται στην κατοχή της και ζητήθηκαν από την Αρχή. Συγκεκριμένα:

α) Η εταιρεία καθυστέρησε υπερβολικά να απαντήσει στα ερωτήματα της Αρχής και ανταποκρίθηκε μετά από επανειλημμένες υπομνήσεις της ομάδας ελέγχου και μετά την πάροδο χρονικού διαστήματος πλέον των σαράντα (40) ημερών, μόνον αφού παρέλαβε την κλήση της σε ακρόαση ενώπιον της Αρχής. Το χρονικό διάστημα αυτό δεν μπορεί να θεωρηθεί σε καμία περίπτωση ως εύλογο. Σημειώνεται μάλιστα ότι με το με αριθμ. πρωτ. Γ/ΕΞΕ/2481/06-10-2022 έγγραφό της η Αρχή είχε ενημερώσει την εταιρεία ότι η παροχή των απαντήσεων θα μπορούσε να γίνει και τμηματικά.

Η θέση της εταιρείας, σύμφωνα με την οποία καταβλήθηκε κάθε προσπάθεια συνεργασίας με την Αρχή, προβάλλεται αναπόδεικτα και πάντως δεν δικαιολογείται τόσο μεγάλη καθυστέρηση. Αντίθετα, από τις ενέργειες της εταιρείας, όπως αποδεικνύεται και με όσα διαλαμβάνονται στο υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/11225/24-10-2022 έγγραφό της, προκύπτει ότι οι διαβεβαιώσεις της περί συνεργασίας και αποστολής των εγγράφων υπήρξαν αποκλειστικά ρηματικές. Αρκεί να αναφερθεί ότι η εταιρεία δήλωσε εγγράφως στις 21-10-2022 ότι αναμένει να υποβάλει τις απαντήσεις «στις αρχές της επόμενης εβδομάδας» ενώ τελικά κατέθεσε τις απαντήσεις της μετά την πάροδο τεσσάρων εβδομάδων.

β) Η εταιρεία παρά τις επανειλημμένες οχλήσεις, δεν παρείχε συγκεκριμένα στοιχεία τα οποία ζήτησε η Αρχή και τα οποία αφορούν τις Ερωτήσεις 11 και 15 (οικονομικά στοιχεία και στοιχεία συμβάσεων σε σχέση με τις δραστηριότητές της). Ειδικότερα, αντί της παροχής των αιτηθέντων στοιχείων, παρέπεμψε στα στοιχεία τα οποία είχε χορηγήσει προς την ΕΑΔ στο πλαίσιο διαφορετικού διοικητικού ελέγχου που διενεργήθηκε από την τελευταία. Επισημαίνεται συγκεκριμένα ότι αντί της παροχής των στοιχείων, η εταιρεία υποστήριξε τα εξής: «Επαναλαμβάνουμε την προσδοκία μας ότι οι αρμόδιες αρχές στην Ελλάδα θα πρέπει να ενεργούν συντονισμένα και με συνέπεια».

Η αντίληψη που διατυπώνεται από την εταιρεία στο σημείο αυτό παραγνωρίζει πλήρως την αυτοτέλεια των διαδικασιών ελέγχου που διεξάγονται από την Αρχή, η οποία είναι άμεση συνέπεια της ίδιας της κατοχύρωσης της ανεξαρτησίας της τόσο σε επίπεδο συνταγματικών κανόνων, όσο και στο επίπεδο κανόνων δικαίου ΕΕ, συναρτάται δε με την αποτελεσματική άσκηση των καθηκόντων της στο πλαίσιο του καταστατικού σκοπού της προστασίας των δεδομένων προσωπικού χαρακτήρα. Ενόψει τούτων και λαμβανομένου υπόψη του διαφορετικού σκοπού που επιδιώκεται σε έκαστη των περιπτώσεων διενέργειας ελέγχου, δεν τίθεται θέμα διοικητικού συντονισμού κατά την έννοια που υπονοείται από την εταιρεία.

Πέραν τούτων, παρότι η εταιρεία κατά τον έλεγχο είχε αναφέρει ότι οι απαντήσεις προς την ΕΑΔ ήταν άμεσα διαθέσιμες και θα αποστέλλονταν άμεσα στην Αρχή, αυτό ουδέποτε συνέβη. Άλλωστε, τα στοιχεία που η Intellexa A.E.παρείχε στην ΕΑΔ αφορούν περιορισμένο χρονικό διάστημα και μόνο σε σχέση με τις σχέσεις δημοσίων υπηρεσιών μαζί της. Κατ’ αποτέλεσμα, συνιστούν μικρό μόλις υποσύνολο αυτών που ζήτησε η Αρχή. Σε κάθε περίπτωση, η εταιρεία είχε,αδιαμφισβήτητα, στην κατοχή της τα εν λόγω αιτηθέντα από την Αρχή στοιχεία και επέλεξε να μην τα χορηγήσει στην Αρχή. Από τις παραπάνω διαπιστώσεις προκύπτει ότι η εταιρεία Intellexa Α.Ε. έχει κατ’ επιλογή παραβιάσει την υποχρέωση συνεργασίας με την εποπτική αρχή του άρθρου 31 του ΓΚΠΔ.

H Aρχή δίνει εντολή στην Intellexa Α.Ε., με βάση το άρθρο 15 παρ. 4 εδ. δ’ του ν. 4624/2019, και επιβάλλει την άμεση παράδοση στην Αρχή των εξής στοιχείων αα) τιμολόγια και αποδείξεις (καθώς και δηλώσεις πελατών-προμηθευτών) από την έναρξη λειτουργίας της εταιρείας έως και σήμερα –εκτός από αυτά που έχει ήδη παράσχει στην Αρχή η Interlog A.E., ββ) όλες τις πληροφορίες που απεστάλησαν στην Εθνική Αρχή Διαφάνειας και γγ) όλα τα συμβόλαια της εταιρείας με οποιαδήποτε εταιρεία και τα οποία σχετίζονται με παραγωγή, κατασκευή, προσαρμογή ή επεξεργασία με οποιοδήποτε τρόπο λογισμικού ή υλικού, συμπεριλαμβανομένων των συμβάσεων με τις εταιρείες Intellexa BVI και Intellexa Ireland.