Η υποβληθείσα στην Αρχή καταγγελία στρέφεται κατά της εταιρείας Πειραιώς Leasing Χρηματοδοτικές Μισθώσεις Α.Ε. και ομοίως κατά της εταιρείας CPB Leasing Ανώνυμος Εταιρεία Χρηματοδοτικών Μισθώσεων, ενώ αφορά παράνομη επεξεργασία δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος και μη ικανοποίηση του δικαιώματος πρόσβασης. Επιπλέον, ο καταγγέλλων είχε υποβάλλει στην Αρχή πανομοιότυπες καταγγελίες κατά των ιδίων εταιρειών για ανάρτηση στην ιστοσελίδα της εταιρείας Πειραιώς Leasing αγγελίας για αγορά, ενοικίαση, χρηματοδοτική μίσθωση ακινήτου ιδιοκτησίας της CPB Leasing, στην οποία αγγελία υπήρχε φωτογραφία με αυτοκίνητο ιδιοκτησίας του καταγγέλλοντος (με ευδιάκριτη την πινακίδα του) σταθμευμένο δίπλα στο ακίνητο προηγούμενης ιδιοκτησίας του πατέρα του, ήτοι πριν κατασχεθεί από τη δεύτερη καταγγελλόμενη. Περαιτέρω, κατά το σκεπτικό της Αρχής, ως δεδομένο προσωπικού χαρακτήρα νοείται -σύμφωνα με το άρθρο 4 § 1 ΓΚΠΔ- κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως βάσει αριθμού ταυτότητας ή βάσει ενός η περισσοτέρων συγκεκριμένων στοιχείων που χαρακτηρίζουν την υπόστασή του από άποψη φυσική, βιολογική, ψυχική, οικονομική, πολιτιστική, πολιτική ή κοινωνική. Για την ταυτοποίηση του φυσικού προσώπου, η οποία μπορεί να είναι και έμμεση, χωρίς δηλαδή ευθεία αναφορά στο φυσικό πρόσωπο, πρέπει να λαμβάνεται υπόψη το σύνολο των μέσων που μπορούν ευλόγως να χρησιμοποιηθούν, είτε από τον υπεύθυνο επεξεργασίας, είτε από τρίτο. Η συλλογή και αποθήκευση φωτογραφίας, στην οποία απεικονίζεται ο αριθμός κυκλοφορίας αυτοκινήτου, όπως εμφαίνεται στην πινακίδα του, σε συνδυασμό με άλλα στοιχεία που καθιστούν ταυτοποιήσιμο το φυσικό πρόσωπο, έστω και στο πλαίσιο μιας μικρής κοινωνικής ομάδας, αποτελεί επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς ο κάτοχος του αυτοκινήτου είναι δυνατό να καθίσταται αναγνωρίσιμος μέσω του αριθμού κυκλοφορίας του που εμφαίνεται στην πινακίδα αυτού. Εκ των άρθρων 12 και 15 του ΓΚΠΔ, σε συνδυασμό με την αιτιολογική σκέψη 63 του ΓΚΠΔ, προκύπτει ότι το υποκείμενο των δεδομένων έχει δικαίωμα να γνωρίζει εάν δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία, καθώς και να λαμβάνει γνώση αυτών, χωρίς να απαιτείται προς τούτο η επίκληση εννόμου συμφέροντος. Μάλιστα, κάθε υποκείμενο των δεδομένων θα πρέπει να έχει δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα, τα οποία συλλέχθηκαν και το αφορούν και θα πρέπει να μπορεί να ασκεί το εν λόγω δικαίωμα ευχερώς και σε εύλογα τακτά διαστήματα, προκειμένου να έχει επίγνωση και να επαληθεύει τη νομιμότητα της επεξεργασίας. Σημειώνεται ότι στην επίμαχη φωτογραφία διακρίνεται ευκρινώς ο αριθμός κυκλοφορίας του σταθμευμένου αυτοκινήτου, ο οποίος σε συνδυασμό με την απεικόνιση της οικίας που ανήκε στο παρελθόν στην οικογένεια του καταγγέλλοντος ήταν δυνατόν να οδηγήσει σε ταυτοποίηση του καταγγέλλοντος από ένα στενό κύκλο προσώπων. Ο καταγγέλλων επανήλθε ασκώντας στην εταιρεία Πειραιώς Leasing ΜΑΕ το δικαίωμα πρόσβασης, εντούτοις η εταιρεία δήλωσε ότι δεν διατηρεί στο αρχείο φωτογραφία με προσωπικά δεδομένα του καταγγέλλοντος, καθώς η επίμαχη φωτογραφία είχε διαγραφεί από τα αρχεία των εταιρειών. Η εταιρεία Πειραιώς Leasing MAE, ως υπεύθυνη επεξεργασίας, όφειλε να εφαρμόζει τις αρχές που διέπουν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος και αντίστοιχα να τον ενημερώσει για τη διατήρηση στα αρχεία της στο παρελθόν δεύτερης φωτογραφίας, στην οποία διακρινόταν ο αριθμός της πινακίδας και την οποία διέγραψε, κατόπιν της υποβολής του αιτήματος διαγραφής του ιδίου του καταγγέλλοντος. Η Αρχή έκρινε ότι η καταγγελλόμενη έχει επεξεργαστεί τα δεδομένα προσωπικού χαρακτήρα του καταγγέλλοντος με τη διατήρηση στα αρχεία της φωτογραφίας που περιείχαν προσωπικά δεδομένα, τα οποία μπορούσαν να οδηγήσουν σε ταυτοποίηση του καταγγέλλοντος, και τη διαβίβαση αυτής σε έτερη εταιρεία, παραβιάζοντας την αρχή της ελαχιστοποίησης. Ως εκ τούτου, επέβαλλε στην εταιρεία Πειραιώς Χρηματοδοτικές Μισθώσεις ΜΑΕ πρόστιμο 10.000 ευρώ για παραβίαση του άρθρου 5 του ΓΚΠΔ και 10.000 ευρώ πρόστιμο για παραβίαση του άρθρου 15 του ΓΚΠΔ.