Πρόστιμο €740.000 σε Vodafone-ΠΑΝΑΦΟΝ Α.Ε.Ε.Τ. και DS Phone Μ.ΙΚΕ για παραβιάσεις προσωπικών δεδομένων

Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) επέβαλε συνολικά πρόστιμα 740.000 ευρώ στη Vodafone–Παναφόν Α.Ε.Ε.Τ. και στον συνεργάτη της «ΚΑΡΑΜΠΕΛΑΣ ΚΩΝΣΤΑΝΤΙΝΟΣ & ΣΙΑ Ε.Ε.» (DS Phone), για υπόθεση μαζικής ενεργοποίησης καρτοκινητών σε στοιχεία συνδρομήτριας χωρίς τη συναίνεσή της. Η απόφαση 27/2025 εκδόθηκε στις 25 Ιουνίου 2025, μετά από ακρόαση τον Δεκέμβριο του 2024.

Η καταγγέλλουσα ενημερώθηκε από την Αστυνομία πως αριθμός κινητού, που εμφανιζόταν στο όνομά της, ερευνάται για απάτη. Ακολούθησε έλεγχος από τον οποίο προέκυψε ότι, την ίδια ημέρα, στο ίδιο κατάστημα συνεργάτη της Vodafone, ενεργοποιήθηκαν τουλάχιστον 15 καρτοκινητά με τα στοιχεία της, χωρίς εκείνη να έχει αιτηθεί ή συναινέσει.

Σύμφωνα με τα στοιχεία του φακέλου, η DS Phone υποστήριξε ότι επρόκειτο για «εκ παραδρομής» προσάρτηση λανθασμένου αρχείου ταυτοποίησης κατά την εξυπηρέτηση «γκρουπ τουριστών», πρακτική που —όπως δέχθηκε τελικά η Αρχή— ήταν αντίθετη με τις διαδικασίες της Vodafone αλλά ακολουθήθηκε από το συγκεκριμένο κατάστημα.

Τα πρόστιμα και οι παραβάσεις
Η ΑΠΔΠΧ κατέληξε ότι υπήρξαν πολλαπλές παραβάσεις του ΓΚΠΔ και της εθνικής νομοθεσίας και επέβαλε:

• 40.000€ στη DS Phone (ως εκτελούσα την επεξεργασία) για ανεπαρκή μέτρα ασφάλειας και μη τήρηση οδηγιών του υπευθύνου, παραβιάζοντας τα άρθρα 32 και 29 ΓΚΠΔ.
• 350.000€ στη Vodafone για ελλείψεις στη σχέση με τον εκτελούντα (άρθρο 28 παρ. 1 & 3 ΓΚΠΔ).
• 200.000€ στη Vodafone για παραβίαση της αρχής της ακρίβειας (άρθρο 5 παρ. 1δ ΓΚΠΔ), λόγω διατήρησης ανακριβών στοιχείων που χρησιμοποιήθηκαν και για ενημέρωση αρχών.
• 150.000€ στη Vodafone βάσει του ν. 3471/2006 (άρθρο 12), για ελλιπή μέτρα ασφάλειας στη διαδικασία απόδοσης αριθμών καρτοκινητής σε υφιστάμενους συνδρομητές.

Πέρα από τα χρηματικά πρόστιμα, η Αρχή απεύθυνε προειδοποίηση στη Vodafone να ενισχύσει την ασφάλεια στη διαδικασία ενεργοποίησης νέων αριθμών σε υπάρχοντες συνδρομητές  – μεταξύ άλλων, με άμεση ειδοποίηση (SMS) στον συνδρομητή όταν αποδίδεται νέος αριθμός στα στοιχεία του— εντός τριών μηνών από την κοινοποίηση της απόφασης.

Στην επιμέτρηση των ποσών, η ΑΠΔΠΧ στάθμισε τη φύση και τις συνέπειες της επεξεργασίας (κινητός αριθμός ως «κρίσιμο» στοιχείο ταυτοποίησης σε τράπεζες και Δημόσιο), τη διάρκεια των παραβάσεων, την επίδραση σε περισσότερα από ένα πρόσωπα και το γεγονός ότι η παθούσα κλήθηκε ως ύποπτη για αξιόποινες πράξεις, με ηθική και περιουσιακή βλάβη. Ελήφθη υπόψη και ο κύκλος εργασιών της DS Phone για το 2023 (454.333,50€).

Για τη Vodafone, η Αρχή τόνισε ιδιαίτερα τη βαρύτητα της παραβίασης της αρχής ακρίβειας: η τήρηση ανακριβών στοιχείων σε σύστημα που τροφοδοτεί με πληροφορίες τις διωκτικές και δικαστικές αρχές κρίθηκε «μεγάλης βαρύτητας».

Η απόφαση στέλνει σαφές μήνυμα στους παρόχους και στο δίκτυο συνεργατών τους: οι εσωτερικές διαδικασίες ταυτοποίησης και οι έλεγχοι δεν αρκεί να υπάρχουν «στα χαρτιά». Πρέπει να λειτουργούν προληπτικά, ειδικά σε ροές υψηλού κινδύνου όπως η μαζική απόδοση καρτοκινητών, αλλιώς ο κίνδυνος κατάχρησης ταυτότητας και δικαστικών περιπετειών για ανύποπτους πολίτες παραμένει υπαρκτός.

Εδώ η απόφαση