Διενέργεια Διοικητικού Ελέγχου στην ΤΕΙΡΕΣΙΑΣ Α.Ε.

Αθήνα, 3/5/2011 ΑΡΧΗ ΠΡΟ ΤΑ ΙΑ Ε ΟΜΕΝΝ ΠΡΟ ΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Αριθ. Πρωτ.: Γ/ΕΞ/3085 Α Π Ο Φ Α Σ Η 51/2011 Η Αρχή Προστασίας εδο"ένων Προσωπικού Χαρακτήρα συνήλθε "ετά από πρόσκληση του Προέδρου της σε τακτική συνεδρίαση την 31/3/2011 στο κατάστη"ά της, αποτελού"ενη από τους Χ. Γεραρή, Πρόεδρο, Λ. Κοτσαλή, Α. Παπανεοφύτου, Α. Πράσσο, Α. Μεταξά και Α. Ρουπακιώτη, τακτικά "έλη, και το αναπληρω"ατικό "έλος Γ. Πάντζιου σε αντικατάσταση του τακτικού "έλους Α. Πο"πόρτση, ο οποίος αν και εκλήθη νο"ί"ως εγγράφως, δεν παρέστη λόγω κωλύ"ατος, προκει"ένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. τη συνεδρίαση παρέστησαν οι Κ. Λωσταράκου – νο"ικός ελεγκτής, Γ. Ρουσόπουλος και Α. Χρυσάνθου - πληροφορικοί ελεγκτές, ως βοηθοί του "έλους Γ. Πάντζιου, εισηγήτριας της υπόθεσης. Επίσης παρέστη, "ε εντολή του Προέδρου, η Γ. Παλαιολόγου, υπάλληλος του τ"ή"ατος διοικητικών και οικονο"ικών υποθέσεων ως γρα""ατέας, "ετά από εντολή του Προέδρου. Η Αρχή έλαβε υπόψη της τα παρακάτω: Η Αρχή Προστασίας εδο"ένων Προσωπικού Χαρακτήρα (εφεξής «Αρχή») πραγ"ατοποίησε στις 24, 25 και 26 Ιουνίου 2009 επιτόπιο έλεγχο στην ΤΕΙΡΕ ΙΑ Α.Ε. (εφεξής ΤΕΙΡΕ ΙΑ ) αναφορικά "ε την προστασία και την ασφάλεια των προσωπικών δεδο"ένων, τα οποία επεξεργάζεται η εταιρεία. Ο έλεγχος έγινε στις εγκαταστάσεις του υπεύθυνου επεξεργασίας, Αλα"άνας & Πρε"ετής 2, Μαρούσι και Μασσαλίας 1, Αθήνα , από τους υπαλλήλους του Τ"ή"ατος Ελεγκτών της Γρα""ατείας της Αρχής Κ. Λωσταράκου, Γ. Ρουσόπουλο, Θ. Τουτζιαράκη και Α. Χρυσάνθου (εφεξής «ο"άδα ελέγχου»), "ετά από την υπ. αρ. πρωτ. Γ/ΕΞ/3936/23-06-2009 εντολή του Προέδρου της Αρχής. 1 Κατά τον επιτόπιο έλεγχο, η ο"άδα ελέγχου πραγ"ατοποίησε σειρά συνεντεύξεων βάσει του ερωτη"ατολογίου "ε τους αρ"όδιους υπαλλήλους που υπέδειξε ο υπεύθυνος επεξεργασίας και στη συνέχεια διενήργησε επιτόπιο έλεγχο, τόσο σε τεχνικό επίπεδο, όσο και σε επίπεδο διαδικασιών. Μετά την ολοκλήρωση του ελέγχου, η ο"άδα ελέγχου απέστειλε επιστολή στην ΤΕΙΡΕ ΙΑ (σχετ. υπ’ αριθ". πρωτ. Γ/ΕΞ/ Γ/ΕΞ/4378/10-07-2009 έγγραφο της Αρχής), "ε την οποία ζήτησε να αποσταλούν στην Αρχή συγκεκρι"ένα έγγραφα που κρίθηκαν απαραίτητα για την ολοκλήρωση του ελέγχου. Η ΤΕΙΡΕ ΙΑ απέστειλε "ε το υπ’ αρ. πρωτ. Α1321/25-9-2009 (αρ. πρωτ. ΑΠ ΠΧ. Γ/ΕΙ /5700/28-09-2009) τα εν λόγω έγγραφα στην Αρχή τη συνέχεια, η ο"άδα ελέγχου "ελέτησε τα έγγραφα που συλλέχθηκαν κατά τον έλεγχο, τα στοιχεία που απεστάλησαν από την ΤΕΙΡΕ ΙΑ "ετά από τον έλεγχο καθώς και τα στοιχεία τα οποία "εταφορτώθηκαν από το διαδικτυακό τόπο της ΤΕΙΡΕ ΙΑ και συνέταξε προσωρινό Πόρισ"α ελέγχου. Το προσωρινό Πόρισ"α ελέγχου εστάλη στην ΤΕΙΡΕ ΙΑ "ε "ήνυ"α ηλεκτρονικού ταχυδρο"είου στις 22/2/2011, προκει"ένου η ΤΕΙΡΕ ΙΑ να υποβάλει τις απόψεις της σε σχέση "ε την ακρίβεια των ευρη"άτων. Η ΤΕΙΡΕ ΙΑ απέστειλε τις απόψεις της "ε "ήνυ"α ηλεκτρονικού ταχυδρο"είου στις 1/3/2011 (σχετ. Γ/ΕΙ /1847/16-32011 έγγραφο προς την Αρχή). Η ο"άδα ελέγχου "ελέτησε τις απόψεις τις ΤΕΙΡΕ ΙΑ και συνέταξε το τελικό Πόρισ"α Ελέγχου, το οποίο υπέβαλε στην Αρχή "ε το υπ. αρ. πρωτ. Γ/ΕΙ /1816/15-3-2011 έγγραφο (εφεξής «Πόρισ"α της ο"άδας ελέγχου»). το Πόρισ"α της ο"άδας ελέγχου καταγράφονται "εταξύ άλλων τα ευρή"ατα αναφορικά "ε ελλιπή "έτρα ασφάλειας ή "η ικανοποιητική τήρηση λοιπών υποχρεώσεων που εντοπίστηκαν, καθώς και οι προτεινό"ενες από την ο"άδα ελέγχου συστάσεις για την αντι"ετώπιση των κινδύνων που δη"ιουργούνται. Η Αρχή συζήτησε επί του περιεχο"ένου του πορίσ"ατος αυτού κατά τη συνεδρίαση της 3 και 17 Μαρτίου

1. Τελικά, αφού άκουσε την εισηγήτρια και κατόπιν διεξοδικής συζήτησης, Σ ΕΦΤΗ Ε ΣΥΜΦ ΝΑ ΜΕ ΤΟ ΝΟΜΟ
2. Τα ευρή"ατα του ελέγχου σχετίζονται ιδίως "ε το απόρρητο και την ασφάλεια της επεξεργασίας των δεδο"ένων φυσικών προσώπων (οικονο"ικών "ονάδων) στις εγκαταστάσεις του υπεύθυνου επεξεργασίας σύ"φωνα "ε το άρθρο 10 του ν. 2472/1997 Πέραν της ασφάλειας, ελέγχθηκε και η γενικότερη συ""όρφωση του υπεύθυνου επεξεργασίας "ε τις προϋποθέσεις νό"ι"ης επεξεργασίας δεδο"ένων που ορίζονται στα άρθρα 4, 5 και 6 του ν. 2 2472/1997, καθώς και η τήρηση των υποχρεώσεών του αναφορικά "ε την ικανοποίηση των δικαιω"άτων των υποκει"ένων σύ"φωνα "ε τα άρθρα 11, 12 και 13 του ν. 2472/
4. Μετά από εξέταση των ευρη"άτων που αναφέρονται στο Πόρισ"α της ο"άδας ελέγχου, η Αρχή ενέκρινε "ε ορισ"ένες τροποποιήσεις τις προτάσεις της ο"άδας ελέγχου. Ειδικότερα, η Αρχή διαπιστώνει συγκεκρι"ένες ελλείψεις ή/και παραλείψεις του υπεύθυνου επεξεργασίας αναφορικά "ε τα οργανωτικά και τεχνικά "έτρα προστασίας των προσωπικών δεδο"ένων, καθώς και την τήρηση των υποχρεώσεών του σχετικά "ε τα δικαιώ"ατα των υποκει"ένων των δεδο"ένων. Τα ευρή"ατα που εντοπίστηκαν ανάγονται στους παρακάτω το"είς: α) Επεξεργασία προσωπικών δεδο"ένων ραστηριότητα της εταιρείας - i. ύστη"α Αθέτησης Υποχρεώσεων ύστη"α Υποθηκών και Προση"ειώσεων Χορηγήσεων Χ, ύστη"α υγκέντρωσης ύστη"α Βαθ"ολόγησης Οικονο"ικής υ"περιφοράς, ύστη"α Ταυτοτήτων / ιαβατηρίων ΥΠ, ΑΥ, Τ , ύστη"α Καταγγελθεισών υ"βάσεων Επιχειρήσεων. υλλογή δεδο"ένων – Από δη"όσια προσβάσι"ες πηγές, "έσω των τραπεζών ii. (αποστολή στοιχείων ΑΥ και αποστολή στοιχείων Χ), υλλογή από την Τράπεζα της Ελλάδος. iii. Χρήστες λογισ"ικού και καταγραφή ενεργειών πρόσβασης iv. Υποδο"ή εταιρείας – Εφαρ"ογές λογισ"ικού, καταχώριση δεδο"ένων από έντυπες "ορφές και έγγραφα, "έτρα ασφάλειας της ΤΕΙΡΕ ΙΑ (Ανάλυση και διαχείριση κινδύνων, πολιτική ασφαλείας, οργάνωση ασφάλειας πληροφοριών, εκπαίδευση ανθρώπινου δυνα"ικού, φυσική ασφάλεια, διαχείριση επικοινωνιών και διαδικασίες, έλεγχος πρόσβασης, ανάπτυξη, συντήρηση, απόκτηση πληροφοριακών συστη"άτων, διαχείριση περιστατικών ασφαλείας και διαχείριση επιχειρησιακής συνέχειας). v. Αποδέκτες των δεδο"ένων. vi. Γραφεία εξυπηρέτησης των υποκει"ένων των δεδο"ένων – Λειτουργία γραφείων εξυπηρέτησης κοινού, Αιτήσεις Υποκει"ένων (Αίτηση "η "ετάδοσης / άρσης "η "ετάδοσης στοιχείων πρόσβασης/ανακλήσεις στο αρχείο ΑΥ/ ΥΠ, Αίτηση απαγόρευσης Χ). Η αναλυτική παρουσίαση των ευρη"άτων καταγράφεται στο επισυναπτό"ενο ε"πιστευτικό τελικό Πόρισ"α του ελέγχου. Το τελικό Πόρισ"α του ελέγχου συνοδεύεται από Παράρτη"α, το οποίο περιλα"βάνει τον πίνακα των εγγράφων σε ηλεκτρονική "ορφή, τα οποία "εταφορτώθηκαν από το διαδικτυακό τόπο της ΤΕΙΡΕ ΙΑ , "ε την αντίστοιχη ψηφιακή 3 υπογραφή ("ε αλγόριθ"ο MD5) και το είδος του εγγράφου καθώς και τη διαδικασία συλλογής και ανάλυσης ψηφιακών πειστηρίων που ακολουθήθηκε. Το Παράρτη"α αποτελεί αναπόσπαστο "έρος του Πορίσ"ατος. Από τα ευρή"ατα του ελέγχου κρίνεται ότι το επίπεδο της ασφάλειας ως προς την επεξεργασία προσωπικών δεδο"ένων είναι πολύ ικανοποιητικό. Ο υπεύθυνος επεξεργασίας έχει λάβει πολύ ικανοποιητικά οργανωτικά, φυσικά και τεχνικά "έτρα ασφάλειας, αλλά παρουσιάζει "ικρές ελλείψεις ως προς τον τρόπο εφαρ"ογής και ελέγχου συγκεκρι"ένων λειτουργιών του πληροφοριακού συστή"ατός του.
5. Περαιτέρω, καθόσον αφορά την τήρηση των υποχρεώσεων σχετικά "ε τα δικαιώ"ατα των υποκει"ένων, διαπιστώνονται τα ακόλουθα: α. ς προς το ύστη"α υγκέντρωσης Χορηγήσεων ( Χ ή λευκή λίστα): Για να "πορούν οι τράπεζες να έχουν πρόσβαση στα δεδο"ένα του αρχείου αυτού, πρέπει να έχουν λάβει προηγου"ένως τη συγκατάθεση του υποκει"ένου των δεδο"ένων (στην πράξη τούτο περιλα"βάνεται συνήθως ως όρος στην αίτηση δανείου/πιστωτικής κάρτας). Η ΤΕΙΡΕ ΙΑ δεν ελέγχει αν πράγ"ατι έχει ληφθεί η συγκατάθεση αυτή, καθώς δεν καταγράφει περαιτέρω στοιχεία για τις προσβάσεις των χρηστών στα στοιχεία του Χ (ή SCORE) και δεν υπάρχει εύκολος τρόπος να διαπιστωθεί αν κάποια πρόσβαση έχει πραγ"ατοποιηθεί "ε συγκατάθεση ή όχι. υνεπώς, παρέχει πρόσβαση στις τράπεζες πάντοτε, "ε τη σχετική ενη"έρωση «ΓΙΑ ΠΡΟ ΒΑ Η Ε Χ ή ΧΡΗ Η SCORE ΑΠΑΙΤΕΙΤΑΙ ΥΓΚΑΤΑΘΕ Η ΠΡΟ ΒΑ Η Ε Χ» προ της επιλογής, "ε εξαίρεση την περίπτωση που το υποκεί"ενο έχει υποβάλει προς την ΤΕΙΡΕ ΙΑ αίτηση απαγόρευσης πρόσβασης. β. ς προς το ύστη"α υγκέντρωσης Χορηγήσεων ( Χ ή λευκή λίστα): Όταν το υποκεί"ενο έχει υποβάλει αίτη"α απαγόρευσης πρόσβασης, θα πρέπει να ε"φανίζεται "όνο το "ήνυ"α «δεν επιθυ"εί την πρόσβαση στα δεδο"ένα που τον αφορούν». Αντί αυτού, ε"φανίζονται τα γρά""ατα «ΜΜ» (εννοείται προφανώς «Μη Μετάδοση/Πρόσβαση») και, παρά το γεγονός ότι δεν ε"φανίζονται τα λοιπά στοιχεία των δανείων/πιστωτικών καρτών, ε"φανίζεται το είδος και ο αριθ"ός τους (π.χ. στην εκτύπωση που έγινε κατά τον έλεγχο, ε"φανίζεται «ΠΡΟ ΠΙΚΟ-ΛΙΑΝ ΠΡ 3», από κάτω «ΚΑΤΑΝΑΛ- ΤΕΓ 1», και ακριβώς από κάτω « ΥΝΟΛΑ 4». γ. ς προς το ύστη"α Αθέτησης Υποχρεώσεων ( ΑΥ ή "αύρη λίστα): τα έντυπα που έχει αναρτήσει στην ιστοσελίδα της για τη συ"πλήρωση ή διαγραφή δεδο"ένου διαταγής πληρω"ής η ΤΕΙΡΕ ΙΑ καλεί τα ίδια τα υποκεί"ενα να υποβάλουν αίτηση, είτε στην ΤΕΙΡΕ ΙΑ , είτε στην τράπεζα για διόρθωση των στοιχείων τους, αν και την ευθύνη για να ενεργήσει, όταν υπάρχει εξόφληση οφειλής από καταγγελία σύ"βασης δανείου ή κάρτας ή 4 από εκδοθείσα για το λόγο αυτό διαταγή πληρω"ής, έχει η τράπεζα και η ΤΕΙΡΕ ΙΑ . δ. ς προς το ύστη"α Βαθ"ολογικής υ"περιφοράς: Επεξεργασία προσωπικών δεδο"ένων αποτελεί και ο υπολογισ"ός on – line και σε πραγ"ατικό χρόνο. Η ΤΕΙΡΕ ΙΑ θεωρεί ότι ενεργεί πάντοτε ως εκτελούσα την επεξεργασία για λογαριασ"ό των τραπεζών. ε. Λειτουργεί κλειστό κύκλω"α τηλεόρασης, το οποίο έχει εγκατασταθεί στους κεντρικούς χώρους γραφείων από τη ΙΑ Α.Ε. στην οποία ανήκει το κτίριο και δεν το διαχειρίζεται η ΤΕΙΡΕ ΙΑ . Το κύκλω"α αυτό καλύπτει και τους εσωτερικούς διαδρό"ους των εν λόγω χώρων. στ. Ο τρόπος εκπαίδευσης του ανθρώπινου δυνα"ικού της ΤΕΙΡΕ ΙΑ καθώς των συνεργαζό"ενων "ε αυτήν τραπεζών κρίνεται ικανοποιητική, ιδίως αναφορικά "ε την ύπαρξη 2 ιστοσελίδων "ε άρτια καταρτισ"ένο εκπαιδευτικό υλικό, το οποίο προορίζεται για εσωτερικούς και εξωτερικούς χρήστες. ζ. Η λειτουργία των Γραφείων Εξυπηρέτησης Κοινού ως προς την οργανωτική δο"ή και τις διαδικασίες που ακολουθούνται (έλεγχος πρόσβασης, αριθ"ός υπαλλήλων, χρόνος ανα"ονής, παραλαβή αιτήσεων, φύλαξη δικαιολογητικών κλπ) είναι πολύ ικανοποιητική. Πολύ ικανοποιητικοί κρίνονται και οι χρόνοι "έσα στους οποίους απαντάται η πλειοψηφία των αιτη"άτων πρόσβασης και αντίρρησης των υποκει"ένων των δεδο"ένων. η. Η ΤΕΙΡΕ ΙΑ αναφέρει ότι ένας αριθ"ός πηγών (Υποθηκοφυλακείων, Πρωτοδικείων, Ειρηνοδικείων και Κτη"ατολογικών Γραφείων) απαγορεύει την πρόσβαση στους συνεργάτες της. Εξ αιτίας αυτού του γεγονότος δεν εξασφαλίζεται η ακρίβεια των δεδο"ένων, καθώς δεν υπάρχει πληρότητα των δεδο"ένων.
6. Από τα ανωτέρω εκτιθέ"ενα προκύπτει ότι, "ε εφαρ"ογή πενταβάθ"ιας κλί"ακας (ανεπαρκές, "έτριο, ικανοποιητικό, πολύ ικανοποιητικό, άριστο), το επίπεδο προστασίας προσωπικών δεδο"ένων από τον υπεύθυνο «ΤΕΙΡΕ ΙΑ Α.Ε.»κρίνεται ικανοποιητικό ως πολύ ικανοποιητικό. στόσο, πρέπει ο υπεύθυνος να συ""ορφωθεί "ε τις συστάσεις που διατυπώνονται κατωτέρω. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή Προστασίας εδο"ένων απευθύνει προειδοποίηση στον υπεύθυνο επεξεργασίας να συ""ορφωθεί "ε τις συστάσεις που αναφέρονται στο επισυναπτό"ενο τελικό Πόρισ"α του ελέγχου και να ενη"ερώσει σχετικά την Αρχή εντός έξι