Απόρριψη αίτησης θεραπείας της ΤΕΙΡΕΣΙΑΣ Α.Ε.

Αθήνα, 30-12-2015 Αριθ. Πρωτ.: Γ/ΕΞ/6826/30-12-2015 ΑΡΧΗ ΠΡΟ ΤΑ ΙΑ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟ ΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Α Π Ο Φ Α Σ Η 138/2015 Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα, συνήλθε µετά από πρόσκληση του Προέδρου της σε τακτική συνεδρίαση την 8 ∆εκεµβρίου, ηµέρα Τρίτη και ώρα 9.00, προκειµένου να εξετάσει την υπόθεση, που αναφέρεται στο ιστορικό της παρούσας σε συνέχεια των από 3-112015 και 24-11-2015 συνεδριάσεων, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος Π. Χριστόφορος και τα τακτικά µέλη της Αρχής Λ. Κοτσαλής, Α.-Ι. Μεταξάς, ∆. Μπριόλας, Κ. Χριστοδούλου, ως εισηγητής και Α. υµβώνης. To τακτικό µέλος της Αρχής Π. Τσαντίλας δεν παρέστη λόγω κωλύµατος, αν και κλήθηκε νοµίµως. τη συνεδρίαση, χωρίς δικαίωµα ψήφου, παρέστη, µε εντολή του Προέδρου, οι Κ. Λωσταράκου και Γ. Ρουσόπουλος ειδικοί επιστήµονες – ελεγκτές, ως βοηθοί εισηγητές, οι οποίοι αποχώρησαν µετά τη συζήτηση και πριν τη διάσκεψη και λήψη της απόφασης, και η Ε. Παπαγεωργοπούλου, υπάλληλος του τµήµατος διοικητικών και οικονοµικών υποθέσεων, ως γραµµατέας. Η Αρχή έλαβε υπόψη τα παρακάτω: H εταιρεία ΤΕΙΡΕ ΙΑ ΑΕ, µε την υπ’ αριθµ. πρωτ. Γ/ΕΙ /3943/15-07-2015 αίτηση θεραπείας κατά της µε αρ.64/2015 απόφασης της Αρχής, όπως συµπληρώθηκε µε το µε αρ. πρωτ.Γ/ΕΙ /5863/10-11-2015 υπόµνηµά της, ζητά να ανακληθεί ή άλλως να τροποποιηθεί η ανωτέρω απόφαση και να απαλειφθεί το σε βάρος της εταιρείας χρηµατικό πρόστιµο ύψους τριάντα χιλιάδων ευρώ, προβάλλοντας τα ακόλουθα: 1) Η Αρχή έκρινε στην εν λόγω απόφαση ότι η ΤΕΙΡΕ ΙΑ µη νοµίµως µετακύλισε στις τράπεζες εξ ολοκλήρου την ευθύνη για τον έλεγχο της νοµιµότητας της πρόσβασης από τους χρήστες και τους εκτελούντες την επεξεργασία, διότι, κατά την άποψή της, η ΤΕΙΡΕ ΙΑ δεν έχει ευθύνη καταρχήν για την επεξεργασία που εκτελούν οι αποδέκτες 1 (τράπεζες) ως υπεύθυνοι επεξεργασίας, η δε ευθύνη της ως υπευθύνου επεξεργασίας εκτείνεται µέχρι τη στιγµή της άντλησης των στοιχείων από την τράπεζα. Εποµένως, η ίδια δεν υποχρεούται εκ του νοµοθετικού και κανονιστικού πλαισίου να ελέγχει την επεξεργασία που διεξάγει η ALPHA BANK ή/και οι εκτελούντες αυτή για λογαριασµό της, η δε τράπεζα έχει τη διακριτική ευχέρεια να επιλέγει τους εκτελούντες και να τους αναθέτει το όλον ή µέρη του συνόλου της επεξεργασίας, αλλά και παράλληλα έχει και την πλήρη ευθύνη για την επιλογή τους, κατά το άρθρο 10 παρ.2 του ν.2372/

1. 2) την απόφαση αναφέρεται ότι η ΤΕΙΡΕ ΙΑ όφειλε να διερευνήσει τη νοµιµότητα της πρόσβασης των χρηστών της ICAP ως προς την πρόσβαση στο αρχείο Κινδύνων ( υγκέντρωσης Χ), ενώ υποχρέωση της εξασφάλισης της συγκατάθεσης έχουν τα πιστωτικά ιδρύµατα και όχι η ΤΕΙΡΕ ΙΑ , αφού αυτά έχουν τη συµβατική ή προσυµβατική σχέση µε τους πελάτες και ότι πέραν της σύµβασης, δεν έπρεπε να προσκοµιστεί τίποτε άλλο στην ΤΕΙΡΕ ΙΑ από την ALPHA BANK για την πρόσβαση της ICAP στα αρχεία της. 3) Η εταιρεία θεωρεί ότι είναι κρίσιµη η αποσαφήνιση του όρου της «µη συνή ους χρήσης» την οποία θεωρεί σηµαντικό στοιχείο της απόφασης. τη συνεδρίαση της 3ης Νοεµβρίου 2015 και µετά από κλήση παρέστησαν η αιτούσα µε τον πληρεξούσιο δικηγόρο της Ι. Μούργελα, ο οποίος και εξέθεσε τις απόψεις του επί της υποθέσεως και κατά την ακρόαση, καθώς και µε το ανωτέρω υπόµνηµα. Η Αρχή, µετά από εξέταση όλων των προαναφερόµενων στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τους βοηθούς εισηγητές, οι οποίοι στη συνέχεια αποχώρησαν, και κατόπιν διεξοδικής συζήτησης, ΚΕΦΤΗΚΕ ΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
2. Το άρθρο 24 παρ. 1 του Κώδικα ∆ιοικητικής ∆ιαδικασίας (Κ∆∆), που κυρώθηκε µε το πρώτο άρθρο του Ν. 2690/1999 (ΦΕΚ Α’ 45, 09.03.1999) ορίζει τα εξής: «Αν από τις σχετικές διατάξεις δεν προβλέπεται η δυνατότητα άσκησης της, κατά το επόµενο άρ ρο, ειδικής διοικητικής, ή ενδικοφανούς προσφυγής, ο ενδιαφερόµενος, για την αποκατάσταση υλικής ή η ικής βλάβης των έννοµων συµφερόντων του που προκαλείται από ατοµική διοικητική πράξη µπορεί, για οποιονδήποτε λόγο, µε αίτησή του, να ζητήσει, είτε από τη διοικητική αρχή η οποία εξέδωσε την πράξη, την ανάκληση ή την τροποποίησή της (αίτηση εραπείας), είτε, από την αρχή η οποία προΐσταται εκείνης που εξέδωσε την πράξη, την ακύρωσή της (ιεραρχική προσφυγή). (…)». Κατά την αληθή έννοια της διάταξης, η αίτηση θεραπείας αποσκοπεί στην ανάκληση ή τροποποίηση της προσβαλλόµενης 2 ατοµικής διοικητικής πράξης για νοµικά ή πραγµατικά ελαττώµατα αυτής που ανάγονται στο καθεστώς υπό το οποίο εκδόθηκε. Εξάλλου, το άρθρο 21 του Κ∆∆ ορίζει τα εξής: «
3. Αρµόδιο για την ανάκληση ατοµικής διοικητικής πράξης όργανο είναι εκείνο που την εξέδωσε ή που είναι αρµόδιο για την έκδοσή της.
4. Για την ανάκληση δεν είναι απαραίτητο να τηρείται η διαδικασία που προβλέπεται για την έκδοση της πράξης, εκτός αν ανακαλείται πράξη νόµιµη ή πράξη παράνοµη ύστερα από εκτίµηση πραγµατικών περιστατικών».
5. Η Αρχή, λαµβάνουσα υπόψη ότι στην από 27.12.2010 σύµβαση µεταξύ ALPHA BANK και ICAP δεν γίνεται ρητή µνεία πρόσβασης της ICAP ως εκτελούσας για λογαριασµό της τράπεζας στο σύστηµα Χ και συνεπώς η πρόσβαση της ICAP στο σύστηµα αυτό ήταν κατά τον γενικό κανόνα απαγορευµένη, η δε τροποποιητική αυτή σύµβαση ήταν προφανώς γνωστή στην ΤΕΙΡΕ ΙΑ εφόσον προσκοµίστηκε στην Αρχή από αυτήν, έκρινε ότι: «Η ΤΕΙΡΕΣΙΑΣ A.E. δεν κατόρ ωσε να αποδείξει στην Αρχή ότι δια έτει τα κατάλληλα µέτρα ασφάλειας µε τα οποία µπορεί να διαπιστω εί µια «µη συνή ης» επεξεργασία των δεδοµένων των αρχείων ΣΑΥ/ΣΥΠ και ΣΣΧ. Όφειλε να διερευνήσει τη νοµιµότητα των προσβάσεων από την ICAP, ιδίως εφόσον γνώριζε ότι δεν ακολου είται η συνη ισµένη διαδικασία εκχώρησης κωδικών πρόσβασης σε υπαλλήλους τράπεζας, αλλά και λόγω της εγγενούς επικινδυνότητας που είχε η ανά εση έργου «εκτελούντος» σε µια επιχείρηση µε αντικείµενο την παροχή πληροφοριών πιστοληπτικής ικανότητας, δηλαδή πληροφοριών που µόνον τα τραπεζικά ιδρύµατα ήταν σε έση να έχουν λόγω των σχετικών απαγορεύσεων. Ειδικά δε το γεγονός ότι γινόταν χρήση και του ΣΣΧ, α έπρεπε να είχε οδηγήσει την ΤΕΙΡΕΣΙΑΣ σε άµεσες ενέργειες περαιτέρω διερεύνησης της νοµιµότητας πρόσβασης χρηστών της ICAP, δεδοµένου ότι για την πρόσβαση στα δεδοµένα αυτά απαιτείται συγκατά εση του υποκειµένου και ότι η πρόσβαση σε αυτά ήταν κατ΄αρχήν απαγορευµένη. Ήταν δε σε γνώση της οι συµβάσεις µεταξύ ALPHA ΒΑΝΚ και ICAP και η έλλειψη όρου, ως ευνόητον, για την πρόσβαση των χρηστών της ICAP στα αρχεία της ΤΕΙΡΕΣΙΑΣ στο σύστηµα ΣΣΧ. Η µετακύλιση της ευ ύνης εξ ολοκλήρου στην τράπεζα µε τη δηµιουργία του Συστήµατος Εξαιρετικής Χρήσης για τον έλεγχο της νοµιµότητας της πρόσβασης από τους χρήστες της και την εκτελούσα ICAP δεν συνάδει µε τις υποχρεώσεις που υπέχει και η ίδια ως υπεύ υνος επεξεργασίας των αρχείων της. Επιπλέον δε εγνώριζε ή τουλάχιστον όφειλε να γνωρίζει από την από 27.12.2010 σύµβαση ότι οι χρήστες της ICAP δεν προσκόµισαν ειδική εντολή της ALPHA BANK ούτε εξουσιοδοτήσεις εκ µέρους των υποκειµένων για τη νόµιµη πρόσβαση και χρήση. Συνεπώς, όφειλε να ελέγχει η ίδια τη χρήση των συγκεκριµένων κωδικών και µε τη διαπίστωση των παράνοµων προσβάσεων που δηµιουργούσαν κίνδυνο για παράνοµη διάδοση του περιεχοµένου των αρχείων της, να διακόψει τη χρήση (βλ. και υπόµνηµα της εταιρείας Γ/ΕΙΣ/6546/30-10-2014).» 3 Η σκέψη αυτή της απόφασης στηρίζεται στο γεγονός ότι α) οι κωδικοί που χρησιµοποιούσε η ICAP ήταν προσωπικοί και εξατοµίκευαν του υπαλλήλους της ICAP (υποµν .σελ.7) και β) ότι στην από 27.10.2010 σύµβαση δεν γινόταν ρητή µνεία δυνατότητας πρόσβασης στην ICAP στο σύστηµα Χ, στο οποίο τον συγκεκριµένο µήνα Μάρτιο του 2013 οι προσβάσεις στα στοιχεία Χ ήταν περισσότερες της µαύρης λίστας. Το δε στοιχείο των εξωσυµβατικών παράνοµων αυτών προσβάσεων ήταν εξωτερικώς διαπιστώσιµο από την κατέχουσα το αρχείο ΤΕΙΡΕ ΙΑ .
6. Τα επιχειρήµατα σχετικά µε την αδυναµία ελέγχου του αποδέκτη είναι αλυσιτελή, δεδοµένου ότι η κύρωση που επιβλήθηκε στην ΤΕΙΡΕ ΙΑ δεν συνιστά διαπίστωση της επέκτασης της ευθύνης της εταιρείας για τις πράξεις ή παραλείψεις της τράπεζας, αλλά διαπίστωση της ίδιας της ευθύνης της εταιρείας, στο µέτρο που αυτή είχε γνώση της από 27.12.2010 σύµβασης, µε την οποία η τράπεζα ALPHA BANK είχε ορίσει ως εκτελούσα την επεξεργασία για λογαριασµό της την εταιρεία ICAP, η οποία δεν µπορούσε άλλως να είναι νόµιµος αποδέκτης των δεδοµένων των αρχείων της ΤΕΙΡΕ ΙΑ (απόφαση Αρχής 24/2004). Όφειλε ακόµα να γνωρίζει η ΤΕΙΡΕ ΙΑ ΑΕ ότι η ICAP δεν µπορoύσε ως νοµίµως εκτελούσα να έχει πρόσβαση στη λευκή λίστα, αφού, από την ανωτέρω σύµβαση προκύπτει, ως εξωτερικό στοιχείο έρευνας που όφειλε να έχει ερευνήσει η ΤΕΙΡΕ ΙΑ , ότι δεν υπάρχει όρος σχετικά µε την πρόσβαση στο αρχείο Χ (λευκή λίστα). υνεπώς δεν ήταν δυνατό να συναχθεί ότι επιθυµεί η τράπεζα την σχετική έρευνα και ότι έχει δοθεί στην τράπεζα η συγκατάθεση των πελατών/υποψήφιων πελατών. Όπως τελικά αποδείχθηκε, οι 26 κωδικοί τους οποίους είχε η ΤΕΙΡΕ ΙΑ παραχωρήσει σε γνωστούς χρήστες της ICAP είχαν πρόσβαση ανεξέλεγκτα και στο απαγορευµένο Χ. ηµειωτέον ότι ο έλεγχος των προϋποθέσεων του άρθρου 70 παρ.2 του ν.3746/2009 για την πρόσβαση των πιστωτικών και χρηµατοδοτικών ιδρυµάτων στα ως άνω δεδοµένα είναι ευθύνη της ΤΕΙΡΕ ΙΑ
7. Η ανάλυση που επιχειρείται στο υπόµνηµα της ΤΕΙΡΕ ΙΑ ΑΕ σχετικά µε τη « µη συνή η χρήση» στην οποία, κατά την εταιρία, στηρίχθηκε η απόφαση της Αρχής για τη διαπίστωση ύπαρξης ευθύνης της ΤΕΙΡΕ ΙΑ ως προς τον έλεγχο των προσβάσεων στα αρχεία της από την ICAP, αλυσιτελώς προβάλλεται, αφού κατά την απόφαση, η «ασυνή ης χρήση» δεν σχετίζεται µε την αναλογία του αριθµού προσβάσεων µεταξύ ΑLPHA BANK-ICAP, αλλά µε την εκχώρηση κωδικών πρόσβασης σε υπαλλήλους εκτελούσας την επεξεργασία εταιρείας, η οποία έχει οµοειδή επιχειρηµατική δραστηριότητα µε την ΤΕΙΡΕ ΙΑ και η οποία παρανόµως έκανε χρήση και του 1 βλ. και διατακτικό απόφασης 51/2011 της Αρχής σχετικά µε τη διενέργεια ελέγχου στην ΤΕΙΡΕ ΙΑ ΑΕ, «……β) Προκειµένου να ελέγχεται η συγκατά εση του υποκειµένου για πρόσβαση στο σύστηµα (ΣΣΧ), να υπάρχει καταχώριση από την τράπεζα του αρι µού αίτησης δανείου ή άλλου αντίστοιχου αρι µού και να βεβαιώνεται ότι έχει δο εί η συγκατά εση. Με τον τρόπο αυτό α δίνεται η δυνατότητα στην Τειρεσίας Α.Ε., στις τράπεζες, αλλά και στην Αρχή να ελέγχει τη νοµιµότητα της επεξεργασίας, όπως π.χ. µέσω δειγµατοληπτικών ελέγχων.» 4 υστήµατος υγκέντρωσης Κινδύνων ( Χ) σε ευρεία κλίµακα.
8. Επειδή υπό την ανωτέρω έννοια δεν πλήσσεται από την αίτηση θεραπείας η κύρια αιτιολογία της προσβαλλόµενης απόφασης, είναι αλυσιτελής και πρέπει η αίτηση θεραπείας να απορριφθεί. ΓΙΑ ΤΟΥ ΛΟΓΟΥ ΑΥΤΟΥ Η Αρχή απορρίπτει την αίτηση θεραπείας της ΤΕΙΡΕ ΙΑ Α.Ε. Ο Π όεδ ος Η Γ αµµατέας Πέτ ος Χ ιστόφο ος Ει ήνη Παπαγεω γοπούλου 5