Απόρριψη προσφυγής για μη ικανοποίηση δικαιώματος πρόσβασης λόγω απαράδεκτου αλλά και σύσταση λήψης κατάλληλων μέτρων ασφαλείας για την πρόσβαση στα δ

Αθήνα, 31-12-2014 Αριθ. Πρωτ. Γ/ΕΞ/8250/31-12-2014 ΑΡΧΗ ΠΡΟ ΤΑ ΙΑ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟ ΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΑΠΟΦΑΣΗ Α . 197/2014 Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνήλθε, µετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση στην έδρα της την 02-12-2014, σε συνέχεια των από 18-112014 και 27-11-2014 συνεδριάσεων, προκειµένου να εξετάσει την υπόθεση του αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος Π. Χριστόφορος και τα τακτικά µέλη της Αρχής Α.-Ι. Μεταξάς, ∆. Μπριόλας, Α. υµβώνης, Κ. Χριστοδούλου και Π. Τσαντίλας, ως εισηγητής. τη συνεδρίαση, χωρίς δικαίωµα ψήφου, παρέστησαν επίσης, µε εντολή του Προέδρου, οι Φ. Μίτλεττον και Θ. Τουτζιαράκη, ειδικοί επιστήµονες – νοµικοί ελεγκτές, ως βοηθοί εισηγητή, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τµήµατος διοικητικών και οικονοµικών υποθέσεων, ως γραµµατέας. Η Αρχή έλαβε υπόψη τα παρακάτω: Με τη µε αρ. πρωτ. Γ/ΕΙ /7474/20-11-2012 προσφυγή του κατά της Εµπορικής Τράπεζας (εφεξής «τράπεζα»), η οποία εξαγοράστηκε από την Alpha Bank και έτσι η τελευταία υπεισήλθε στις υποχρεώσεις του υπευθύνου επεξεργασίας, ο πρώην υπάλληλος της τράπεζας A καταγγέλλει µη ικανοποίηση του δικαιώµατος πρόσβασής του σε προσωπικά του δεδοµένα που τηρούνται στο αρχείο της τράπεζας. τη συζήτηση κλήθηκαν µε τις υπ' αριθµ. πρωτ. Γ/ΕΞ/6876/12-11-2014 και Γ/ΕΞ/6877/12-11-2014 κλήσεις αντίστοιχα να παραστούν για να αναπτύξουν τις απόψεις τους ο καταγγέλλων Α ο οποίος προσήλθε µε τους πληρεξουσίους δικηγόρους του Αδάµ ∆ήµου και Ιουλία ∆ήµου και η καταγγελλόµενη Alpha Bank, η οποία εκπροσωπήθηκε από τις πληρεξουσίους δικηγόρους της Ουρανία Μπάρλου και Ελένη Γεωργίλη. τη συνέχεια οι δύο πλευρές έλαβαν προθεσµία και κατέθεσαν τα υπ’ αριθµ. πρωτ. Γ/ΕΙ /7159/24-11-2014 και υπ’ αριθµ. πρωτ. Γ/ΕΙ /7165/24-112014 σχετικά υποµνήµατα αντίστοιχα. Η Αρχή, µετά από εξέταση όλων των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τους βοηθούς εισηγητές, οι οποίοι στη συνέχεια αποχώρησαν, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ

1. Επειδή το άρθρο 2 στοιχ. του ν. 2472/1997 ορίζει τα εξής: «Για του σκοπού του παρόντο νόµου νοούνται ω : α) ‘∆εδοµένα προσωπικού χαρακτήρα’, κάθε πληροφορία που αναφέρεται στο υποκείµενο των δεδοµένων. ∆εν λογίζονται ω δεδοµένα προσωπικού χαρακτήρα τα στατιστική φύσεω στοιχεί, από τα οποία δεν µπορούν πλέον να προσδιορισθούν τα υποκείµενα των δεδοµένων. […] γ) ‘Υποκείµενο των δεδοµένων’, το φυσικό πρόσωπο στο οποίο αναφέρονται τα δεδοµένα και του οποίου η ταυτότητα είναι γνωστή ή µπορεί να εξακριβωθεί, δηλαδή µπορεί να προσδιορισθεί αµέσω ή εµµέσω , ιδίω βάσει αριθµού ταυτότητα ή βάσει ενό ή περισσοτέρων συγκεκριµένων στοιχείων που χαρακτηρίζουν την υπόστασή του από άποψη φυσική, βιολογική, ψυχική, οικονοµική, πολιτιστική, πολιτική ή κοινωνική. δ) ‘Επεξεργασία δεδοµένων προσωπικού χαρακτήρα’ (‘επεξεργασία’), κάθε εργασία ή σειρά εργασιών που πραγµατοποιείται από το ∆ηµόσιο ή από νοµικό πρόσωπο δηµοσίου ή ιδιωτικού δικαίου ή ένωση προσώπων ή φυσικό πρόσωπο µε ή χωρί τη βοήθεια αυτοµατοποιηµένων µεθόδων και εφαρµόζονται σε δεδοµένα προσωπικού χαρακτήρα, όπω η συλλογή, η καταχώριση, η οργάνωση, η διατήρηση ή αποθήκευση, η τροποποίηση, η εξαγωγή, η χρήση, η διαβίβαση, η διάδοση ή κάθε άλλη µορφή διάθεση, η συσχέτιση ή ο συνδυασµό , η διασύνδεση, η δέσµευση (κλείδωµα), η διαγραφή, η καταστροφή. […]». Το άρθρο 4 του ν. 2472/1997 ορίζει τα εξής: «
2. Τα δεδοµένα προσωπικού χαρακτήρα για να τύχουν νόµιµη επεξεργασία πρέπει: α) Να συλλέγονται κατά τρόπο θεµιτό και νόµιµο για καθορισµένου , σαφεί και νόµιµου σκοπού και να υφίστανται θεµιτή και νόµιµη επεξεργασία ενόψει των σκοπών αυτών. β) Να είναι συναφή, πρόσφορα, και όχι περισσότερα από όσα κάθε φορά απαιτείται εν όψει των σκοπών τη επεξεργασία . γ) Να είναι ακριβή και, εφόσον χρειάζεται, να υποβάλλονται σε ενηµέρωση. δ) Να διατηρούνται σε µορφή που να επιτρέπει τον προσδιορισµό τη ταυτότητα των υποκειµένων του µόνο κατά τη διάρκεια τη περιόδου που απαιτείται, κατά την κρίση τη Αρχή , για την πραγµατοποίηση των σκοπών τη συλλογή του και τη επεξεργασία του . Μετά την παρέλευση τη περιόδου αυτή , η Αρχή µπορεί, µε αιτιολογηµένη απόφασή τη , να επιτρέπει τη διατήρηση δεδοµένων προσωπικού χαρακτήρα για ιστορικού επιστηµονικού ή στατιστικού σκοπού , εφ’ όσον κρίνει ότι δεν θίγονται σε κάθε συγκεκριµένη περίπτωση τα δικαιώµατα των υποκειµένων του ή και τρίτων.
3. Η τήρηση των διατάξεων τη προηγούµενη παραγράφου βαρύνει τον υπεύθυνο επεξεργασία . ∆εδοµένα προσωπικού χαρακτήρα που έχουν συλλεχθεί ή υφίστανται επεξεργασία κατά παράβαση τη προηγούµενη παραγράφου καταστρέφονται µε ευθύνη του υπεύθυνου επεξεργασία . Η Αρχή, εάν εξακριβώσει αυτεπαγγέλτω προηγούµενη ή µετά από σχετική καταγγελία παράβαση των διατάξεων τη παραγράφου, επιβάλλει την διακοπή τη συλλογή ή τη επεξεργασία και την καταστροφή των δεδοµένων προσωπικού χαρακτήρα που έχουν ήδη συλλεγεί ή τύχει επεξεργασία ». Το άρθρο 5 του ν. 2472/1997 ορίζει τα εξής: «
4. Επεξεργασία δεδοµένων προσωπικού χαρακτήρα επιτρέπεται µόνον όταν το υποκείµενο των δεδοµένων έχει δώσει τη συγκατάθεσή του.
5. Κατ’ εξαίρεση επιτρέπεται η επεξεργασία και χωρί τη συγκατάθεση, όταν: α) Η επεξεργασία είναι αναγκαία για την εκτέλεση σύµβαση , στην οποία συµβαλλόµενο µέρο είναι υποκείµενο δεδοµένων ή για τη λήψη µέτρων κατόπιν αιτήσεω του υποκειµένου κατά το προσυµβατικό στάδιο. β) Η επεξεργασία είναι αναγκαία για την εκπλήρωση υποχρεώσεω του υπεύθυνου επεξεργασία , η οποία επιβάλλεται από το νόµο. γ) […] δ)[…] ε) Η επεξεργασία είναι απολύτω αναγκαία για την ικανοποίηση του έννοµου συµφέροντο που επιδιώκει ο υπεύθυνο επεξεργασία ή ο τρίτο ή οι τρίτοι στου οποίου ανακοινώνονται τα δεδοµένα και υπό τον όρο ότι τούτο υπερέχει προφανώ των δικαιωµάτων και συµφερόντων των προσώπων στα οποία αναφέρονται τα δεδοµένα και δεν θίγονται οι θεµελιώδει ελευθερίε αυτών. […]». Το άρθρο 12 του ν. 2472/1997 ορίζει τα εξής: «
6. Καθένα έχει δικαίωµα να γνωρίζει εάν δεδοµένα προσωπικού χαρακτήρα που τον αφορούν αποτελούν ή αποτέλεσαν αντικείµενο επεξεργασία . Προ τούτο, ο υπεύθυνο επεξεργασία , έχει υποχρέωση να του απαντήσει εγγράφω .
7. Το υποκείµενο των δεδοµένων έχει δικαίωµα να ζητεί και να λαµβάνει από τον υπεύθυνο επεξεργασία , χωρί καθυστέρηση και κατά τρόπο εύληπτο και σαφή, τι ακόλουθε πληροφορίε : α) Όλα τα δεδοµένα προσωπικού χαρακτήρα που το αφορούν, καθώ και την προέλευσή του . β) Του σκοπού τη επεξεργασία , του αποδέκτε ή τι κατηγορίε αποδεκτών. γ) Την εξέλιξη τη επεξεργασία για το χρονικό διάστηµα από την προηγούµενη ενηµέρωση ή πληροφόρησή του. δ)Τη λογική τη αυτοµατοποιηµένη επεξεργασία . Το δικαίωµα πρόσβαση µπορεί να ασκείται από το υποκείµενο των δεδοµένων και µε τη συνδροµή ειδικού. ε) κατά περίπτωση, τη διόρθωση, τη διαγραφή ή τη δέσµευση (κλείδωµα) των δεδοµένων των οποίων η επεξεργασία δεν είναι σύµφωνη προ τι διατάξει του παρόντο νόµου, ιδίω λόγω του ελλιπού ή ανακριβού χαρακτήρα των δεδοµένων, και στ) την κοινοποίηση σε τρίτου , στου οποίου έχουν ανακοινωθεί τα δεδοµένα, κάθε διόρθωση , διαγραφή ή δέσµευση (κλειδώµατο ) που διενεργείται σύµφωνα µε την περίπτωση ε, εφόσον τούτο δεν είναι αδύνατον ή δεν προϋποθέτει δυσανάλογε προσπάθειε .
8. Το δικαίωµα τη προηγούµενη παραγράφου και τα δικαιώµατα του άρθρου 13 ασκούνται µε την υποβολή τη σχετική αίτηση στον υπεύθυνο τη επεξεργασία και ταυτόχρονη καταβολή χρηµατικού ποσού, το ύψο του οποίου, ο τρόπο καταβολή του και κάθε άλλο συναφέ ζήτηµα ρυθµίζονται µε απόφαση τη Αρχή . Το ποσό αυτό επιστρέφεται στον αιτούντα εάν το αίτηµα διόρθωση ή διαγραφή των δεδοµένων κριθεί βάσιµο είτε από τον υπεύθυνο τη επεξεργασία είτε από την Αρχή, σε περίπτωση προσφυγή του σ' αυτήν. Ο υπεύθυνο έχει υποχρέωση στην περίπτωση αυτή να χορηγήσει στον αιτούντα, χωρί καθυστέρηση δωρεάν και σε γλώσσα κατανοητή, αντίγραφο του διορθωµένου µέρου τη επεξεργασία που τον αφορά.
9. Εάν ο υπεύθυνο επεξεργασία δεν απαντήσει εντό δεκαπέντε