Δικαίωμα πρόσβασης καταναλωτή σε αλληλογραφία μεταξύ καταστήματος και τράπεζας

Αθήνα, 26-08-2021 Αριθ. Πρωτ.: 1947 ΑΠΟΦΑΣΗ 36/2021 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε, μετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση σε σύνθεση Τμήματος στην έδρα της την 17/2/2021 και ώρα 10.00, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Στη συνεδρίαση μετείχε μέσω τηλεδιάσκεψης ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής, Κωνσταντίνου Μενουδάκου, και παρέστησαν τα αναπληρωματικά μέλη Ευάγγελος Παπακωνσταντίνου και Γρηγόριος Τσόλιας, ως εισηγητής. Δεν παρέστησαν λόγω κωλύματος, παρόλο που εκλήθησαν νομίμως εγγράφως τα τακτικά μέλη Χαράλαμπος Ανθόπουλος και Κωνσταντίνος Λαμπρινουδάκης. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου χωρίς δικαίωμα ψήφου, η Χάρις Συμεωνίδου, ειδική επιστήμονας – ελέγκτρια ως βοηθός εισηγήτρια και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Διοικητικού Τμήματος της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη τα κατωτέρω: Με τις υπ’ αριθ. πρωτ. Γ/ΕΙΣ/5208/24-07-2020 και Γ/ΕΙΣ/6315/16-9-2020 καταγγελίες του στην Αρχή ο A καταγγέλλει ότι η εταιρία Dixons South East Europe ΑΕΒΕ-ΚΩΤΣΟΒΟΛΟΣ (εφεξής «Εταιρία») και η Εθνική Τράπεζα της Ελλάδος (εφεξής «Τράπεζα») αντίστοιχα, δεν ικανοποιούν το δικαίωμα πρόσβασης σε προσωπικά δεδομένα του. Ειδικότερα: Ι.Α) Σύμφωνα με την πρώτη ως άνω καταγγελία, ο καταγγέλλων, έπειτα από επιστροφή προϊόντος που είχε αγοράσει από την Εταιρία με δόσεις στην πιστωτική του κάρτα, εκδοθείσα από την Τράπεζα, και αφού διαπίστωσε ότι οι δόσεις εξακολούθησαν να χρεώνονται κάθε μήνα και να πιστώνονται τον επόμενο, διαμαρτυρήθηκε σχετικά στην Εταιρία και σε επικοινωνία που είχε με τους εκπροσώπους της μέσω facebook, 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr πληροφορήθηκε ότι έχει υποβληθεί αίτημα ωρίμανσης των δόσεων προς την Τράπεζα. Κατόπιν αυτού, σύμφωνα με την καταγγελία, στις 26/6/2020 ο καταγγέλλων ζήτησε να του κοινοποιηθεί το αίτημα της Εταιρίας προς την Τράπεζα σχετικά με την αποχρέωση των δόσεων της πιστωτικής του κάρτας. Η απάντηση των εκπροσώπων της Εταιρίας ήταν αρνητική, με την αιτιολογία ότι «η επικοινωνία που έχει πραγματοποιηθεί με την τράπεζα συνιστά εσωτερική επικοινωνία και δεν υπάρχει η δυνατότητα κοινοποίησής της». Στο πλαίσιο διερεύνησης της καταγγελίας η Αρχή απέστειλε το υπ’ αρ. πρωτ. Γ/ΕΞ/5208-1/11-08-2020 έγγραφο προς την Εταιρία, ζητώντας τις απόψεις της για τα καταγγελλόμενα πραγματικά περιστατικά, αλλά και να διευκρινίσει ιδίως, εάν άσκησε ο καταγγέλλων, όπως αναφέρει, δικαίωμα πρόσβασης σε δεδομένα που τον αφορούν, καθώς και εάν και με ποιο τρόπο απάντησε η καταγγελλόμενη Εταιρία στο ως άνω αίτημά του, επισυνάπτοντας ιδίως την αίτηση του καταγγέλλοντα, ώστε να προκύπτει με σαφήνεια, τι ζήτησε, πότε και με ποια θεμελίωση, την τυχόν απάντηση της Εταιρίας, και κάθε σχετικό με την υπόθεση στοιχείο. Με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/6044/08-09-2020 (που εστάλη ξανά σε πιο ευανάγνωστη μορφή με αρ. πρωτ. Γ/ΕΙΣ/6065/08-09-2020) έγγραφό της προς την Αρχή, η Εταιρία ισχυρίστηκε τα εξής: - Μετά την επιστροφή του προϊόντος από τον καταγγέλλοντα στις 22/5/2020, η Εταιρία πραγματοποίησε όλες τις απαραίτητες ενέργειες για την αποχρέωση της κάρτας του καταγγέλλοντος, δηλαδή έστειλε στην συνεργαζόμενη με την ίδια τράπεζα (Alpha Bank) που εξυπηρετεί τις συναλλαγές με πιστωτικές κάρτες, το αρχείο με όλες τις συναλλαγές της ημέρας, ώστε εκείνη με τη σειρά της να προβεί στις απαραίτητες εγγραφές ενημερώνοντας τις εκδότριες των καρτών των πελατών τράπεζες, σύμφωνα με τη διαδικασία που προβλέπεται στις μεταξύ τους συμφωνίες. - Ο καταγγέλλων, στις 22/7/2020 επικοινώνησε με την Εταιρία μέσω μηνύματος στο Facebook αναφέροντας ότι δεν είχε αποδεσμευθεί το συνολικό ποσό της αγοράς στην κάρτα του αλλά οι δόσεις αντιλογίζονταν μηνιαίως (δηλαδή ότι δεν αφαιρέθηκε συνολικά η χρέωση της ακυρωθείσας συναλλαγής αλλά γινόταν χρέωση και αυτόματη πίστωση κάθε δόσης κάθε μήνα). Η Εταιρία υποστηρίζει ότι απάντησε στον καταγγέλλοντα ότι από πλευράς της είχαν γίνει όλες οι δέουσες ενέργειες προς την εκκαθαρίστρια Τράπεζα (Alpha Bank), και ότι ο τρόπος αντιλογισμού της ακυρωθείσας χρέωσης στην κάρτα του δεν εξαρτάται από την ίδια αλλά από τη σύμβασή του με την εκδότρια Τράπεζα και την πολιτική της· για το λόγο αυτό τον παρέπεμψε στην τράπεζα που είχε εκδώσει την κάρτα του. Επειδή όμως ο καταγγέλλων επέμενε, λέγοντας ότι κατά την Τράπεζα η σχετική διαδικασία έπρεπε να γίνει από την 2 Εταιρία, η καταγγελλόμενη Εταιρία, «στα πλαίσια καλής θέλησης, παρά το γεγονός ότι η συγκεκριμένη διαδικασία εξέφευγε των αρμοδιοτήτων» της, όπως υποστηρίζει, επικοινώνησε κατ’ εξαίρεση της διαδικασίας με την συνεργαζόμενη με αυτήν τράπεζα (Alpha Bank) και μέσω αυτής προωθήθηκε αίτημα για ωρίμανση των δόσεων στην εκδότρια της κάρτας Τράπεζα (Εθνική Τράπεζα) και έπειτα, κατά την απάντησή της, ενημέρωσε τον καταγγέλλοντα «ότι έχει υποβληθεί αίτημα για ωρίμανση δόσεων στην εκδότρια Τράπεζα, ήτοι την Εθνική μέσω της συνεργάτιδός μας. Το εν λόγω αίτημα προώθησε η Εταιρία μας στην Alpha Bank και εκείνη με την σειρά της προώθησε το αίτημα στην εκδότρια καθώς, όπως αναφέρουμε και ανωτέρω η Εταιρία μας δεν γνωρίζει ποια είναι η εκδότρια Τράπεζα της εκάστοτε κάρτας, από την οποία έχει πραγματοποιηθεί η συναλλαγή.» Η καταγγελλόμενη Εταιρία υποστηρίζει επίσης ότι ο καταγγέλλων, επικαλούμενος το δικαίωμα πρόσβασης στα προσωπικά του δεδομένα ζήτησε να του δοθεί η εσωτερική αλληλογραφία της Εταιρίας με την Τράπεζα, μέσω της οποίας φαινόταν ότι όντως είχε υποβληθεί το εν λόγω αίτημα. Ωστόσο, σύμφωνα με την απάντηση της Εταιρίας, η αξίωση αυτή αφενός, δεν εμπίπτει στο δικαίωμα πρόσβασης κατά το άρθρο 15 του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ), αφετέρου, η εταιρική αλληλογραφία προστατεύεται από απόρρητο σύμφωνα με το άρθρο 19 του Συντάγματος. Ως εκ τούτου, σύμφωνα με την καταγγελλόμενη Εταιρία, το αίτημα του καταγγέλλοντος δεν συνιστούσε ενάσκηση του δικαιώματος πρόσβασής του ως υποκειμένου στα προσωπικά του δεδομένα. Στο πλαίσιο αυτό, η Εταιρία υποστήριξε επίσης αρχικά ότι «ουδέποτε έγινε κάποια αίτηση του καταγγέλλοντος σχετικά με τα ανωτέρω αλλά η όλη επικοινωνία έγινε μέσω μηνυμάτων (chat) στην σελίδα κοινωνικής δικτύωσης της Εταιρίας μας στο facebook.». Εν όψει των ανωτέρω, οι βασικές θέσεις και ισχυρισμοί της Εταιρίας αρχικά συνίστανται στο ότι α) το εν λόγω αίτημα του καταγγέλλοντος δεν αποτελεί ενάσκηση δικαιώματος πρόσβασης στα προσωπικά του δεδομένα, καθώς η εσωτερική αλληλογραφία της εταιρίας δεν αποτελεί προσωπικό δεδομένο του πελάτη, είναι απόρρητη και προστατεύεται με τις αυξημένης τυπικής ισχύος συνταγματικές διατάξεις, και ότι β) ακόμα και αν θεωρηθεί ότι το εν λόγω αίτημα αφορά το δικαίωμα πρόσβασης του υποκειμένου, η Εταιρία παρείχε στον πελάτη όλες τις απαραίτητες πληροφορίες, ήτοι ότι το αίτημά του προωθήθηκε από την Εταιρία στην Τράπεζα. Προς απόδειξη των ισχυρισμών της, η Εταιρία επικαλέστηκε τις συνομιλίες του καταγγέλλοντος μέσω μηνυμάτων στο facebook messenger προς τη σελίδα της. Οι συνομιλίες αυτές φέρουν ημερομηνία 26/6/2020 και από αυτές προκύπτει ότι ο καταγγέλλων ρώτησε: «ποιες ενέργειες έχουν γίνει; Έχει ενημερωθεί η τράπεζα;» και δήλωσε ότι «από την τράπεζα 3 μου είπαν ότι δεν έχουν κάποιο αίτημα. Μου ζήτησαν σε ποια τράπεζα έχει γίνει και το αποδεικτικό για να μπορέσουν να το διερευνήσουν». Οι απαντήσεις που φαίνεται ότι δόθηκαν από τους εκπροσώπους της Εταιρίας ήταν οι εξής: «Το αίτημά σας για ωρίμανση δόσεων έχει υποβληθεί στην εκδότρια τράπεζα», «Έχει προωθηθεί αίτημα στην τράπεζα της κάρτας που έχει χρεωθεί και έχουμε εντοπίσει πως έχετε λάβει μέσω email το αποδεικτικό της ακύρωσης», και «Το αίτημα προς την τράπεζα έχει καταχωρηθεί. Η επικοινωνία που έχει πραγματοποιηθεί με την τράπεζα συνιστά εσωτερική επικοινωνία και δεν υπάρχει η δυνατότητα κοινοποίησής της. Το αποδεικτικό της ακύρωσης που έχετε λάβει επιβεβαιώνει το αίτημα της ακύρωσης που έχετε πραγματοποιήσει. Από πλευράς της εταιρίας μας έχουν πραγματοποιηθεί όλες οι απαραίτητες ενέργειες ώστε να προωθηθεί το αίτημά σας». Κατόπιν αυτού και δεδομένου του ισχυρισμού της Εταιρίας ότι «ουδέποτε έγινε κάποια αίτηση του καταγγέλλοντος σχετικά με τα ανωτέρω αλλά η όλη επικοινωνία έγινε μέσω μηνυμάτων (chat) στην σελίδα κοινωνικής δικτύωσης της Εταιρίας μας στο facebook», η Αρχή με το υπ’ αριθ. πρωτ. Γ/ΕΞ/5208-2/27-10-2020 έγγραφό της προς την Εταιρία ζήτησε να διευκρινισθεί εντός 15ημέρου, εάν ο ισχυρισμός αυτός έχει την έννοια ότι κατά την άποψη της Εταιρίας ουδέποτε ασκήθηκε δικαίωμα πρόσβασης εκ μέρους του καταγγέλλοντος και ζητήθηκε να αποσταλεί η έγγραφη Πολιτική και Διαδικασία που ακολουθείται από την Εταιρία ως προς τη διαχείριση των αιτημάτων πρόσβασης των υποκειμένων, επί τη βάσει της οποίας η Εταιρία αρνήθηκε την ικανοποίηση του συναφούς αιτήματος. Έπειτα από δύο αιτήματα της Εταιρίας (υπ’ αρ. πρωτ. Γ/ΕΙΣ/7538/03-11-2020 και Γ/ΕΙΣ/8087/24-11-2020) για παράταση της προθεσμίας απάντησης στο ανωτέρω έγγραφο, εκ των οποίων το δεύτερο δεν έγινε δεκτό (βλ. υπ’ αρ. πρωτ. Γ/ΕΞ/8087-1/27-11-2020 απαντητικό έγγραφο της Αρχής), με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/8333/04-12-2020 έγγραφό της, η Εταιρία απάντησε ότι κατά την άποψή της α) το αιτούμενο ηλεκτρονικό έγγραφο δεν περιλαμβάνει προσωπικά δεδομένα του καταγγέλλοντος και β) τα ανταλλασσόμενα ηλεκτρονικά έγγραφα της καταγγελλόμενης Εταιρίας με τρίτα μέρη μέσω συστημάτων πληρωμών είναι εμπιστευτικά βάσει συμβατικών δεσμεύσεων και επομένως τυχόν κοινοποίησή τους σε τρίτα μέρη συνεπάγεται σχετική ευθύνη της Εταιρίας. Επομένως η εκ μέρους της αιτιολογημένη απόρριψη του αιτήματος του καταγγέλλοντος πρέπει να κριθεί ως ορθή. Παρά ταύτα, δήλωσε, ωστόσο, την πρόθεσή της να θέσει εν τέλει το σχετικό ηλεκτρονικό έγγραφο υπόψη του καταγγέλλοντος, θεωρώντας το έγγραφο της Αρχής «ως νομική βάση για την άρση των περί εμπιστευτικότητας συμβατικών μας δεσμεύσεων». Η Εταιρία επεσήμανε επίσης ότι ως υπεύθυνος επεξεργασίας παρέχει τρεις τρόπους για την άσκηση δικαιωμάτων των υποκειμένων βάσει του ΓΚΠΔ (φυσική παρουσία, επιστολή 4 στα Γραφεία Διοίκησης, ή e-mail στο PersonalData@kotsovolos.gr), χωρίς ωστόσο η υποβολή αιτημάτων με άλλους τρόπους (όπως, εν προκειμένω, μέσω μηνυμάτων σε μέσο κοινωνικής δικτύωσης) να επηρεάζει τη νομιμότητα της υποβολής, αν και ενδέχεται να έχει αντίκτυπο στους χρόνους ανταπόκρισης της εταιρίας, για οργανωτικούς λόγους. Η Εταιρία απαντώντας στο σχετικό ερώτημα της Αρχής περί του αν εξέλαβε την εν λόγω επικοινωνία και το αίτημα του καταγγέλλοντος ως άσκηση του δικαιώματος πρόσβασης στα προσωπικά του δεδομένα, διευκρίνισε ότι ο σχετικός ισχυρισμός της είχε την έννοια ότι «[…] λόγω του μέσου, που χρησιμοποίησε ο καταγγέλλων (μέσω μηνυμάτων (chat) στην σελίδα κοινωνικής δικτύωσης της εταιρίας μας στο facebook) αλλά και λόγω του πλήθους των μηνυμάτων, που ανταλλάχθηκαν για μία σειρά θεμάτων, το σχετικό αίτημα του καταγγέλλοντος δεν ήταν σαφές ότι συνιστούσε αίτημα για την άσκηση του δικαιώματος πρόσβασης με βάση το άρθρο 15 του ΓΚΠΔ». Τέλος, με το ίδιο έγγραφο η Εταιρία κοινοποίησε στην Αρχή την εταιρική «Οδηγία Διαχείρισης Αιτημάτων Υποκειμένων Προσωπικών Δεδομένων» της, η οποία κατά την ίδια απάντηση έχει γνωστοποιηθεί σε όλο το προσωπικό και ακολουθείται κατά τη διεκπεραίωση αιτημάτων υποκειμένων προσωπικών δεδομένων κατά τα άρθρα 12-23 του ΓΚΠΔ. Παράλληλα, με το υπ’ αρ. πρωτ. Γ/ΕΞ/5208-3/27-10-2020 έγγραφό της, η Αρχή ζήτησε από τον καταγγέλλοντα να διευκρινίσει α) με ποιο τρόπο ακριβώς άσκησε το δικαίωμα πρόσβασης στα προσωπικά του δεδομένα, σύμφωνα με τα καταγγελλόμενα και β) εάν για την ικανοποίηση του δικαιώματος πρόσβασης που έχει ασκήσει απαιτείται, κατά τη γνώμη του, η κοινοποίηση αυτούσιας της αλληλογραφίας της εταιρίας με την τράπεζα (δηλαδή με χορήγηση αντιγράφου της σχετικής επιστολής/e-mail) ή το αίτημά του θα μπορούσε να ικανοποιηθεί και με τη γνωστοποίηση των στοιχείων που αφορούν την εν λόγω αλληλογραφία (π.χ. ημερομηνία και διευθύνσεις αποστολής /παραλαβής του e-mail, τυχόν αριθμοί πρωτοκόλλου κλπ.), ώστε να καταλήξει τυχόν στο ίδιο αποτέλεσμα. Με τα υπ’ αριθ. πρωτ. Γ/ΕΙΣ/7419/29-10-2020 και Γ/ΕΙΣ/7498/2-11-2020 απαντητικά έγγραφά του προς την Αρχή, ο καταγγέλλων απάντησε ότι το αίτημά του υποβλήθηκε μέσω facebook messenger και ότι για την ικανοποίησή του θα ήταν αρκετή η ενημέρωσή του για τα στοιχεία του αιτήματος (της Εταιρίας προς την Τράπεζα), δηλαδή: Ημερομηνία, από ποιο τμήμα της Εταιρίας έγινε, προς ποιον, αριθμό πρωτοκόλλου και αποδεικτικό ότι ο παραλήπτης το έλαβε, όπως είχε ενημερωθεί ο καταγγέλλων μέσω messenger. Σε συνέχεια των ανωτέρω, ο καταγγέλλων μέσω ηλεκτρονικής επικοινωνίας του με την Αρχή στις 11/1/2021 και 18/1/2021 δήλωσε ότι δεν έλαβε καμία ενημέρωση από την Εταιρία, παρά τα αναφερόμενα στο υπ’ αρ. πρωτ. Γ/ΕΙΣ/8333/04-12-2020 έγγραφο της τελευταίας. 5 Ι.Β) Σύμφωνα με τη δεύτερη ως άνω καταγγελία (υπ’ αριθ. πρωτ. Γ/ΕΙΣ/6315/16-092020), ο καταγγέλλων με το από 06/07/2020 έγγραφό του προς την Τράπεζα ζήτησε να του γνωστοποιηθεί εάν έχει υποβληθεί από την Εταιρία αίτημα για την ωρίμανση των δόσεων και την αποδέσμευση του ποσού που είχε χρεωθεί στην πιστωτική του κάρτα για προϊόν που έχει επιστραφεί, αίτημα στο οποίο, όπως αναφέρει ο καταγγέλλων, δεν έλαβε καμία απάντηση, παρά την πάροδο δύο μηνών. Στο πλαίσιο εξέτασης της καταγγελίας αυτής, η Αρχή έστειλε στην καταγγελλόμενη Τράπεζα το υπ’ αριθ. πρωτ. Γ/ΕΞ/6315-1/08-10-2020 έγγραφό της για παροχή απόψεων, ζητώντας να διευκρινιστεί ιδίως εάν άσκησε ο καταγγέλλων, όπως αναφέρει, δικαίωμα πρόσβασης σε δεδομένα που τον αφορούν, καθώς και εάν και με ποιο τρόπο απάντησε η Τράπεζα στο ως άνω αίτημά του, συμπεριλαμβάνοντας στην απάντησή της και κάθε σχετικό με την υπόθεση στοιχείο. Στη συνέχεια, με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/7505/02-11-2020 έγγραφό της η Τράπεζα υποστήριξε ότι το αίτημα του καταγγέλλοντος που υποβλήθηκε αρχικά τηλεφωνικά και στη συνέχεια, κατόπιν καθοδήγησης από το Κατάστημα [περιοχής] Χ, μέσω του εντύπου της Τράπεζας στις 6/7/2020, δεν αφορούσε την από μέρους του άσκηση δικαιώματος του ΓΚΠΔ, αλλά την ενημέρωσή του για τον τρόπο επιστροφής χρημάτων από τρίτη εταιρία εμπορίας καταναλωτικών αγαθών, για συναλλαγή η οποία διενεργήθηκε μεν με χρέωση κάρτας έκδοσης της Τράπεζας, εκκαθαρίστηκε όμως μέσω άλλης τράπεζας με την οποία συνεργάζεται η εμπλεκόμενη εταιρία. Περαιτέρω, σύμφωνα με την απάντηση της Τράπεζας, στο διάστημα που η εν λόγω υπόθεση τελούσε υπό διερεύνηση, ο καταγγέλλων απευθύνθηκε στο Συνήγορο του Καταναλωτή, υποβάλλοντας σχετική καταγγελία κατά της Εταιρίας, η οποία διαβιβάστηκε στις 22.9.2020 στην Τράπεζα για τις απόψεις της. Όπως υποστηρίζει η Τράπεζα, η τελευταία απάντησε στο Συνήγορο του Καταναλωτή σχετικά με τις διαδικασίες που αφορούσαν τη συναλλαγή και τον τρόπο χρέωσης και πίστωσης των δόσεων της πιστωτικής κάρτας του καταγγέλλοντος, κοινοποιώντας την απάντησή της στον καταγγέλλοντα. Εν όψει των ανωτέρω, η Τράπεζα ισχυρίζεται ότι το σχετικό αίτημα, το οποίο δεν αφορούσε την άσκηση δικαιώματος του ΓΚΠΔ, εξετάστηκε από αυτήν και έγιναν οι προσήκουσες προς τούτο ενέργειες για τις οποίες ενημερώθηκε άμεσα ο καταγγέλλων, με βάση την ακολουθούμενη από την τράπεζα διαδικασία για την ανταπόκριση σε αιτήματα που λαμβάνονται μέσω εποπτικών αρχών. 6 Ακολούθως η Αρχή, με τις υπ’ αριθ. πρωτ Γ/ΕΞ/508/28-01-2021, Γ/ΕΞ/511/28-01-2021 και Γ/ΕΞ/512/28-01-2021 Κλήσεις της κάλεσε τα εμπλεκόμενα μέρη σε ακρόαση στη συνεδρίαση του τμήματος της 03/02/

1. Κατά την ακρόαση τα μέρη ανέπτυξαν τις απόψεις τους και τους ορίσθηκε προθεσμία 10 ημερών για την υποβολή υπομνημάτων. Κατά την ακρόαση της 03/02/2021 παρέστησαν ο καταγγέλλων, οι πληρεξούσιοι δικηγόροι της καταγγελλόμενης Εταιρίας ΚΩΤΣΟΒΟΛΟΣ, Απόστολος Νικολαΐδης (Α.Μ. …) και Αντώνιος Μπρούμας (Α.Μ. …), ενώ εκ μέρους της Εθνικής Τράπεζας παρέστησαν η Β, Επικεφαλής του Τομέα Διεύθυνσης …, Β, Στέλεχος Διεύθυνσης …, Γ, Στέλεχος της Διεύθυνσης …. Παρέστησαν επίσης η …, ΥΠΔ της Τράπεζας και ο …, Αναπληρωτής ΥΠΔ, οι οποίοι δεν έλαβαν το λόγο. Τα εμπλεκόμενα μέρη έλαβαν, κατά τη συνεδρίαση αυτή, προθεσμία και υπέβαλαν εμπροθέσμως, ο μεν καταγγέλλων τα υπ’ αριθ. πρωτ. Γ/ΕΙΣ/961/08-02-2021 και Γ/ΕΙΣ/962/08-02-2021 υπομνήματα, η δε Εταιρία το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/1111/15-02-2021 υπόμνημά της, ενώ η Τράπεζα δεν κατέθεσε υπόμνημα. Ειδικότερα, όσον αφορά την πρώτη καταγγελία, ο καταγγέλλων υποστήριξε ότι, παρά το αίτημά του για ωρίμανση των δόσεων, οι δόσεις συνέχισαν να χρεώνονται και να πιστώνονται, ενώ σύμφωνα με τηλεφωνική ενημέρωση που είχε τόσο από την Εθνική Τράπεζα όσο και από την Alpha Bank, δεν είχε υποβληθεί κανένα σχετικό αίτημα εκ μέρους της Εταιρίας. Στις τηλεφωνικές επικοινωνίες του με τα διάφορα τμήματα της Εταιρίας, όλοι οι υπάλληλοι δήλωναν αναρμόδιοι και ποτέ δεν κατάφερε να μιλήσει με κάποιον προϊστάμενο ή υπεύθυνο, παρά τις διαβεβαιώσεις των υπαλλήλων ότι θα τον καλέσουν. Σύμφωνα με τον καταγγέλλοντα, τέλος, δεν υπήρξε θέμα «γκρίζας ζώνης», όπως υποστήριξε η Εταιρία κατά την ακρόαση, αλλά «πλήρους αδιαφορίας και περιφρόνησης» προς τον ίδιο ως υποκείμενο των δεδομένων. Η Εταιρία, κατά τη συνεδρίαση, αφού δήλωσε ότι ανακαλεί, δεν επαναφέρει και δεν υποστηρίζει τους νομικούς ισχυρισμούς που είχε υποβάλει κατά το στάδιο προ της ακρόασης, υποστήριξε τόσο προφορικά όσο και μεταγενέστερα με το υπόμνημά της τα εξής: - Ότι πρόκειται κυρίως για καταναλωτική διαφορά (διαδικασία ακύρωσης συναλλαγής και αποχρέωσης της κάρτας του καταγγέλλοντος) ως προς την οποία η ίδια εκπλήρωσε όλες τις υποχρεώσεις της, τα δε παράπονα του καταγγέλλοντος αφορούν κυρίως τις διατάξεις του Ν. 2251/1994 περί προστασίας καταναλωτή και τις διατάξεις του Ν. 4537/2018 για τις υπηρεσίες πληρωμών. - Ότι το αίτημα πρόσβασης του καταγγέλλοντος στο αίτημα ωρίμανσης δόσεων υποβλήθηκε μέσω facebook messenger στο πλαίσιο πολυήμερης συνομιλίας, οι δε υπάλληλοι που διαχειρίζονται τα μέσα κοινωνικής δικτύωσης της Εταιρίας, αν και τους έχουν γνωστοποιηθεί 7 οι σχετικές Οδηγίες διαχείρισης αιτημάτων υποκειμένων βάσει του ΓΚΠΔ, δεν αξιολόγησαν σωστά το αίτημα του καταγγέλλοντος και δεν το εκτίμησαν ως άσκηση δικαιώματος πρόσβασης, γεγονός που οφείλεται α) στη μειωμένη τους ετοιμότητα να δέχονται τέτοιου είδους αιτήματα, λόγω της φύσης της εργασίας τους (καθώς συνήθως διαχειρίζονται αιτήματα που αφορούν προσφορές, εξυπηρέτηση μετά την πώληση, βλάβες κλπ.), β) στο ότι δεν είχε ζητηθεί ποτέ από πελάτη σε ανάλογη περίπτωση η διαβίβαση εταιρικής αλληλογραφίας με την τράπεζα, γ) στο ότι το παράπονο του καταγγέλλοντος ήταν κυρίως καταναλωτικής φύσης, δ) στο πλήθος των μηνυμάτων που ανταλλάχθηκαν (άνω των 50). - Ότι στις 22/6/2020 ο καταγγέλλων έλαβε εγγράφως την πληροφορία ότι «Κατ’ εξαίρεση της διαδικασίας έχει προωθηθεί αίτημα ωρίμανσης δόσεων», επομένως, κατά την Εταιρία, «εξαρχής ο πελάτης είχε στη διάθεσή του και γνώριζε από την επικοινωνία του με την εταιρία μας, την ημερομηνία υποβολής του αιτήματος από την εταιρία μας προς τη συνεργαζόμενη τράπεζα Alpha Bank (22.6.2020)». - Ότι, εν προκειμένω, το αν επρόκειτο για δικαίωμα πρόσβασης βάσει του άρθρου 15 ΓΚΠΔ ανήκει σε μια «γκρίζα ζώνη», λόγω της σύγκρουσής του με το εμπορικό απόρρητο, ήτοι με τη ρητή συμβατική υποχρέωση της Eταιρίας να τηρεί την εμπιστευτικότητα των πληροφοριών που ανταλλάσσει με την Alpha Bank. Η σχετική δε στάθμιση, που κρίνεται από τις περιστάσεις, δεν είναι αυτονόητα υπέρ της ικανοποίησης του αιτήματος του καταγγέλλοντος. Ωστόσο, σύμφωνα με τους ισχυρισμούς της Εταιρίας, παρότι ο καταγγέλλων δεν έλαβε εξαρχής το έγγραφο που ζήτησε, «[…] όμως ήδη από 22.6.2020 έλαβε πληροφόρηση για το χρόνο υποβολής του, για τον αποδέκτη που ήταν η Alpha Bank κλπ. άρα με πρόσφορα εναλλακτικά μέτρα η εταιρία μας […] χορήγησε στον καταγγέλλοντα επαρκή στοιχεία και πληροφορίες για την επεξεργασία των δεδομένων του και για τον τρόπο και το χρόνο υποβολής του αιτήματος ωρίμανσης ώστε να εξυπηρετήσει το αίτημά του». - Ότι η Εταιρία έθεσε υπόψη της Αρχής το ζήτημα της στάθμισης, ώστε να χορηγήσει άμεσα το έγγραφο «εφόσον κριθεί σχετικώς», όχι για σκοπούς παρέλκυσης αλλά «με σκοπό την ασφάλεια δικαίου και την εναρμόνιση με βάση την ερμηνεία του νόμου από την ίδια την εποπτική αρχή» και ότι αφού παρέλαβε από την Αρχή την κλήση της σε ακρόαση, τότε προέβη εν τέλει στην ικανοποίηση του δικαιώματος πρόσβασης. - Ότι, εν τέλει η Εταιρία απέστειλε στις 3/2/2021 με e-mail το σώμα του αιτήματος (το ζητηθέν έγγραφο) στον καταγγέλλοντα, ο οποίος στις 8/2/2021 απάντησε ότι «[…] μετά από τόσους μήνες δεν έχει καμία σημασία. Σας έλεγα ξανά και ξανά ότι η τράπεζα δεν ξέρει τίποτα περί ωρίμανσης και αδιαφορήσατε», απάντηση από την οποία προκύπτει, κατά την Εταιρία, ότι και ο ίδιος ο καταγγέλλων αντιμετωπίζει τη διαφορά ως καταναλωτικής φύσεως. 8 - Επικουρικώς και για την περίπτωση που κριθεί ότι υφίσταται παραβίαση των διατάξεων του ΓΚΠΔ, η Εταιρία επικαλέστηκε τις ειδικές περιστάσεις που πρέπει να ληφθούν υπόψη στο πλαίσιο εφαρμογής του άρθρου 83 παρ. 2 ΓΚΠΔ (μεμονωμένο περιστατικό που αφορά ένα υποκείμενο, οφείλεται σε «συγγνωστή αμέλεια», πλήρης ικανοποίηση του δικαιώματος τελικά, έλλειψη προηγούμενων παραβάσεων του υπευθύνου επεξεργασίας, έλλειψη οικονομικού οφέλους από την παράβαση). Τέλος, η Εταιρία προσκόμισε το έντυπο Οδηγιών Διαχείρισης Αιτημάτων Υποκειμένων Προσωπικών Δεδομένων, δηλώνοντας ότι δεσμεύεται να το επαναξιολογήσει όσον αφορά την παραπομπή των υποθέσεων εντός της Εταιρίας, εν όψει των ερωτήσεων που υποβλήθηκαν από την Αρχή στο πλαίσιο της ακρόασης. Σημειώνεται ότι, παρότι στο πλαίσιο της ακρόασης, η Εταιρία ερωτήθηκε εάν έχει ορίσει Υπεύθυνο Προστασίας Δεδομένων (ΥΠΔ), και σε περίπτωση καταφατικής απάντησης, εάν ζητήθηκε η γνώμη του για την υπό κρίση υπόθεση, το σχετικό ερώτημα δεν απαντήθηκε ούτε κατά τη συνεδρίαση ούτε μέσω του υπομνήματος. Στην Αρχή δεν έχει γνωστοποιηθεί ο διορισμός ΥΠΔ της Εταιρίας. Όσον αφορά τη δεύτερη καταγγελία, ο καταγγέλλων επανέλαβε τα αναφερόμενα στην καταγγελία του και διαμαρτυρήθηκε γιατί η Τράπεζα δεν του παρείχε τα στοιχεία που αιτήθηκε (επιβεβαίωση εάν υπάρχει αίτημα ωρίμανσης δόσεων για την κάρτα του). Η Τράπεζα, κατά τη συνεδρίαση της 3/2/2021 υποστήριξε ότι η εν λόγω υπόθεση του καταγγέλλοντος δεν αφορούσε την άσκηση εκ μέρους του δικαιώματος πρόσβασης βάσει του άρθρου 15 ΓΚΠΔ, αλλά την ενημέρωσή του σχετικά με τον τρόπο επιστροφής χρημάτων από συναλλαγή που έγινε με κάρτα της τράπεζας , και δεν κατέθεσε υπόμνημα μετά την ακρόαση. Η Αρχή, από την ακροαματική διαδικασία, από τα στοιχεία του φακέλου της υπόθεσης, καθώς και από τα υπομνήματα που υποβλήθηκαν στην Αρχή και αφού άκουσε τον εισηγητή και τη βοηθό εισηγήτρια, η οποία αποχώρησε μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
2. Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (ΕΕ) 2016/679 (εφεξής «ΓΚΠΔ») και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 9 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
3. Το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς (…), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων») (…)».
4. Σύμφωνα με τα οριζόμενα, από τη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ προκύπτει ότι ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του άρθρου
5. Όπως έχει ήδη κρίνει η Αρχή 1, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό σημείο του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ. Δεν είναι τυχαίο ότι ο ΓΚΠΔ εντάσσει τη λογοδοσία (άρθρο 5 παρ. 2 ΓΚΠΔ) στη ρύθμιση των αρχών (άρθρο 5 παρ. 1 ΓΚΠΔ) που διέπουν την επεξεργασία, προσδίδοντας σε αυτήν, τη λειτουργία ενός μηχανισμού τήρησής τους, αντιστρέφοντας κατ’ ουσίαν το «βάρος της απόδειξης» ως προς τη νομιμότητα της επεξεργασίας (και εν γένει την τήρηση των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ), μεταθέτοντάς τη στον υπεύθυνο επεξεργασίας, 2 ώστε να υποστηρίζεται βάσιμα ότι εκείνος φέρει το βάρος της επίκλησης και απόδειξης της νομιμότητας της επεξεργασίας
6. Έτσι, συνιστά υποχρέωση του υπευθύνου επεξεργασίας αφενός να λαμβάνει από μόνος του τα αναγκαία μέτρα προκειμένου να συμμορφώνεται προς τις απαιτήσεις του ΓΚΠΔ, αφετέρου, 1 Βλ. απόφαση Αρχής 26/2019, σκ. 8, 44/19 σκ. 19 διαθέσιμες στην ιστοσελίδα της. 2 Σχετικά βλ. Λ. Μήτρου, Η αρχή της Λογοδοσίας σε Υποχρεώσεις του υπεύθυνου επεξεργασίας [Γ. Γιαννόπουλος, Λ. Μήτρου, Γ. Τσόλιας], Συλλογικός Τόμος Λ. Κοτσαλή – Κ. Μενουδάκου «Ο ΓΚΠΔ, Νομική διάσταση και πρακτική εφαρμογή», β’ εκδ. Νομική Βιβλιοθήκη, 2021, σελ. 265 επ. 3 P. de Hert, V. Papakonstantinou, D. Wright and S. Gutwirth, The proposed Regulation and the construction of a principles-driven system for individual data protection, σελ.
7. 10 να αποδεικνύει ανά πάσα στιγμή την ανωτέρω συμμόρφωσή του, χωρίς μάλιστα να απαιτείται η Αρχή, στο πλαίσιο άσκησης των ερευνητικών - ελεγκτικών εξουσιών της, να υποβάλλει επιμέρους – εξειδικευμένα ερωτήματα και αιτήματα προς διαπίστωση της συμμόρφωσης.
8. Σύμφωνα με τους ορισμούς του άρθρου 4 αρ. 1 και 2 ΓΚΠΔ «νοούνται ως «δεδομένα προσωπικού χαρακτήρα»: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου».
9. Κατά την αιτιολογική σκέψη 26 του Προοιμίου του Κανονισμού, «Οι αρχές της προστασίας δεδομένων θα πρέπει να εφαρμόζονται σε κάθε πληροφορία η οποία αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο». Σύμφωνα με τη Γνώμη 4/2007 της ΟΕ 29, ο όρος «δεδοµένα προσωπικού χαρακτήρα» περιλαµβάνει πληροφορίες που άπτονται της ιδιωτικής και οικογενειακής ζωής των ατόµων υπό στενή έννοια, αλλά και πληροφορίες που αφορούν οποιαδήποτε δραστηριότητα του ατόµου, όπως εργασιακές σχέσεις ή την οικονοµική ή κοινωνική συµπεριφορά του ατόµου. Περιλαµβάνει συνεπώς πληροφορίες για άτοµα, άσχετα µε τη θέση ή ιδιότητα των εν λόγω προσώπων (καταναλωτής, ασθενής, εργαζόµενος, πελάτης, κλπ). Ο όρος περιλαμβάνει πληροφορίες που είναι διαθέσιμες σε οποιαδήποτε μορφή. Οι πληροφορίες µπορούν να θεωρηθούν ότι «αναφέρονται» σε ένα άτοµο όταν σχετίζονται µε αυτό το άτοµο, δηλαδή όταν λόγω του περιεχομένου τους, του σκοπού τους ή του αποτελέσματός τους συνδέονται με συγκεκριμένο πρόσωπο, και η χρησιμοποίησή τους είναι ικανή να έχει αντίκτυπο στα δικαιώματα και τα συμφέροντά του
10. Σε µερικές περιπτώσεις, οι πληροφορίες που εµπεριέχονται στα δεδοµένα αφορούν κατά πρώτο λόγο αντικείμενα, τα οποία ανήκουν συνήθως σε κάποιον ή επιδρούν σε κάποιο άτομο, οπότε έμμεσα μπορεί να θεωρηθεί ότι οι πληροφορίες αναφέρονται στα εν λόγω άτομα. 5
11. Σύμφωνα με τις διατάξεις του άρθρου 15 παρ. 1, 3 και 4 ΓΚΠΔ: «
12. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται Bλ. ΔΕΕ C-434/2016 απόφαση Nowak της 20/12/2017 παρ. 34-
13. Γνώμη 4/2007 της ΟΕ 29 σχετικά µε την έννοια του όρου ‘δεδοµένα προσωπικού χαρακτήρα’ σελ. 7-
14. 4 5 11 επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα […].
15. Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. Για επιπλέον αντίγραφα που ενδέχεται να ζητηθούν από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας μπορεί να επιβάλει την καταβολή εύλογου τέλους για διοικητικά έξοδα. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως.
16. Το δικαίωμα να λαμβάνεται αντίγραφο που αναφέρεται στην παράγραφο 3 δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων». Κατά την αιτιολ. Σκέψη 63 του ΓΚΠΔ «Το δικαίωμα αυτό δεν θα πρέπει να επηρεάζει αρνητικά τα δικαιώματα ή τις ελευθερίες άλλων, όπως το επαγγελματικό απόρρητο ή το δικαίωμα διανοητικής ιδιοκτησίας και, ειδικότερα, το δικαίωμα δημιουργού που προστατεύει το λογισμικό. Ωστόσο, οι παράγοντες αυτοί δεν θα πρέπει να έχουν ως αποτέλεσμα την άρνηση παροχής κάθε πληροφορίας στο υποκείμενο των δεδομένων». Περαιτέρω, σύμφωνα με τις παρ. 1-4 του άρθρου 33 του Ν. 4624/2019, «
17. Εκτός των εξαιρέσεων που προβλέπονται στην παράγραφο 2 του άρθρου 29 και στην παράγραφο 2 του άρθρου 30, δεν ισχύει το δικαίωμα πρόσβασης του υποκειμένου των δεδομένων, σύμφωνα με το άρθρο 15 του ΓΚΠΔ, όταν: α) το υποκείμενο των δεδομένων δεν ενημερώνεται σύμφωνα με το στοιχείο ββ΄ των περιπτώσεων α΄ και β΄ της παραγράφου 1 του προηγούμενου άρθρου· ή β) τα δεδομένα, αα) καταγράφηκαν μόνο επειδή δεν μπορούν να διαγραφούν λόγω νομικών ή κανονιστικών διατάξεων υποχρέωσης διατήρησής τους, ή ββ) εξυπηρετούν αποκλειστικά σκοπούς προστασίας ή ελέγχου των δεδομένων, και η παροχή πληροφοριών θα απαιτούσε δυσανάλογη προσπάθεια και τα απαραίτητα τεχνικά και οργανωτικά μέτρα καθιστούν αδύνατη την επεξεργασία για άλλους σκοπούς.
18. Οι λόγοι άρνησης της παροχής πληροφοριών στο υποκείμενο των δεδομένων πρέπει να τεκμηριώνονται. Η άρνηση της παροχής πληροφοριών πρέπει να αιτιολογείται στο υποκείμενο των δεδομένων, εκτός εάν μέσω της γνωστοποίησης των πραγματικών και νομικών λόγων στους οποίους βασίζεται η άρνηση θα ετίθετο σε κίνδυνο ο σκοπός που επιδιώκεται με την άρνηση παροχής των πληροφοριών. Τα δεδομένα που αποθηκεύονται με σκοπό την παροχή πληροφοριών στο υποκείμενο των δεδομένων και για την προετοιμασία αυτής της παροχής μπορούν να υποβληθούν σε επεξεργασία μόνο για τοv σκοπό αυτόν και για σκοπούς της προστασίας των δεδομένων προσωπικού χαρακτήρα, η επεξεργασία για άλλους σκοπούς περιορίζεται σύμφωνα με το άρθρο 18 του ΓΚΠΔ.» και σύμφωνα με το άρθρο 32 Ν. 4624/2019: «
19. Η υποχρέωση ενημέρωσης του υποκειμένου των δεδομένων σύμφωνα με το άρθρο 14 12 παράγραφοι 1, 2 και 4 του ΓΚΠΔ δεν υφίσταται, όταν η παροχή των πληροφοριών: […], β) στην περίπτωση ιδιωτικών φορέων: αα) θα έβλαπτε τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων ή η επεξεργασία περιλαμβάνει δεδομένα προσωπικού χαρακτήρα από συμβάσεις που έχουν καταρτιστεί κατά το ιδιωτικό δίκαιο και αποσκοπεί στην πρόληψη ζημιών από την τέλεση ποινικών αδικημάτων, εκτός εάν το υποκείμενο των δεδομένων έχει υπέρτερο έννομο συμφέρον για την παροχή πληροφοριών· ή ββ) ο αρμόδιος δημόσιος φορέας έχει προσδιορίσει στον υπεύθυνο επεξεργασίας, ότι η δημοσιοποίηση των δεδομένων θα έθετε σε κίνδυνο την εθνική άμυνα, την εθνική ασφάλεια και τη δημόσια ασφάλεια, στην περίπτωση της επεξεργασίας δεδομένων για σκοπούς επιβολής του νόμου, δεν απαιτείται προσδιορισμός σύμφωνα με το πρώτο εδάφιο.
20. Εφόσον δεν παρέχονται πληροφορίες στο υποκείμενο των δεδομένων σύμφωνα με την παράγραφο 1, ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων, συμπεριλαμβανομένης της παροχής στο κοινό των πληροφοριών που αναφέρονται στο άρθρο 14 παράγραφοι 1 και 2 του ΓΚΠΔ σε ακριβή, διαφανή, κατανοητή και ευχερώς προσβάσιμη μορφή, σε σαφή και απλή γλώσσα. Ο υπεύθυνος επεξεργασίας δηλώνει γραπτώς τους λόγους για τους οποίους απέφυγε να παράσχει πληροφορίες.
21. Η υποχρέωση ενημέρωσης του υποκειμένου των δεδομένων προσωπικού χαρακτήρα σύμφωνα με το άρθρο 14 παράγραφοι 1 έως 4 του ΓΚΠΔ, εκτός από τις αναφερόμενες στο άρθρο 14 παράγραφος 5 του ΓΚΠΔ εξαιρέσεις, δεν ισχύει στον βαθμό που μέσω της εκπλήρωσής της θα αποκαλύπτονταν πληροφορίες, οι οποίες λόγω της φύσης τους, ιδίως λόγω των υπέρτερων έννομων συμφερόντων τρίτου, πρέπει να παραμείνουν απόρρητες». Τέλος, σύμφωνα με το άρθρο 12 παρ. 3 και 4 ΓΚΠΔ «Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα, η ενημέρωση παρέχεται, εάν είναι δυνατόν, με ηλεκτρονικά μέσα, εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό.
22. Εάν ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος του υποκειμένου των δεδομένων, ενημερώνει εντός μηνός από την παραλαβή του αιτήματος το 13 υποκείμενο των δεδομένων για τους λόγους, για τους οποίους δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής».
23. Στην προκειμένη περίπτωση από τα στοιχεία του φακέλου και από την ακροαματική διαδικασία, προέκυψαν τα εξής: Με τα από 22/6/2020 και 26/6/2020 αιτήματά του προς τους εκπροσώπους της Εταιρίας μέσω της υπηρεσίας facebook messenger, ο καταγγέλλων ζήτησε να του κοινοποιηθούν πληροφορίες που αφορούν τη διαδικασία αποχρέωσης της πιστωτικής του κάρτας και συγκεκριμένα να του κοινοποιηθεί το αίτημα της Εταιρίας προς την Τράπεζα για τη συνολική αποδέσμευση των δόσεων λόγω επιστροφής προϊόντος. Αντίστοιχο αίτημα απηύθυνε ο καταγγέλλων και στην Τράπεζα στις 6/7/
24. Το περιεχόμενο του αιτήματος της Εταιρίας προς την Τράπεζα περιλαμβάνει πληροφορίες που αφορούν την εξέλιξη μιας συγκεκριμένης συναλλαγής του καταγγέλλοντος, ως υποκειμένου των δεδομένων, με ορισμένο κατάστημα και σε σχέση με την αγορά ορισμένου προϊόντος. Οι εν λόγω πληροφορίες αφορούν τον καταγγέλλοντα, ο οποίος ταυτοποιείται συγκεκριμένα ως φυσικό πρόσωπο. Η αναφορά και μόνο του ονοματεπώνυμου του στη σχετική αλληλογραφία καθιστά τον καταγγέλλοντα άμεσα ταυτοποιήσιμο ως φυσικό πρόσωπο. Από τις επιπλέον πληροφορίες αυτές μπορούν περαιτέρω να συναχθούν διάφορα συμπεράσματα σχετικά με τη συναλλακτική συμπεριφορά του υποκειμένου, τις καταναλωτικές προτιμήσεις του εν όψει και του γεγονότος της επιστροφής του προϊόντος καθώς και τις οικονομικές επιλογές του με βάση το γεγονός της πίστωσης του ποσού εφάπαξ ή σε δόσεις, της αξίας του προϊόντος κ.λπ. Η χρήση αυτών των πληροφοριών είναι ικανή να έχει επιπλέον αντίκτυπο στα δικαιώματα και στα συμφέροντά του, καθώς επηρεάζει άμεσα τη δυνατότητα χρήσης της πιστωτικής του κάρτας κατά το χρηματικό ποσό που έχει δεσμευτεί. Επομένως, εν όψει των ανωτέρω, το εν λόγω αίτημα της Εταιρίας προς την Τράπεζα, περιλαμβάνει πληροφορίες «που αφορούν» άμεσα ορισμένο γνωστό φυσικό πρόσωπο το οποίο και ταυτοποιείται. Ως εκ τούτου, ο καταγγέλλων ως υποκείμενο των δεδομένων είχε κατά το άρθρο 15 παρ. 1 ΓΚΠΔ δικαίωμα να λάβει από τις καταγγελλόμενες εταιρίες, υπό την ιδιότητα αυτών ως υπευθύνων επεξεργασίας, επιβεβαίωση για την επεξεργασία των προσωπικών του δεδομένων και πρόσβαση στις σχετικές πληροφορίες που αφορούσαν το σύνολο της διαδικασίας αποχρέωσης των δόσεων. Είναι, εξάλλου, νοητή η πιθανότητα άσκησης περαιτέρω δικαιωμάτων από το υποκείμενο, π.χ. διόρθωσης, στην περίπτωση που κάποια πληροφορία που αφορά τη συναλλαγή του και την ακύρωσή της, δεν έχει μεταφερθεί σωστά στο υπό κρίση αίτημα προς την τράπεζα (βλ. και ΔΕΕ υπόθεση C-434/16, Nowak σκ. 57). 14 Συμπερασματικά, ο καταγγέλλων διά των αιτημάτων του, άσκησε το προβλεπόμενο από τον ΓΚΠΔ δικαίωμα πρόσβασης σε προσωπικά του δεδομένα έναντι και των δύο καταγγελλομένων, χωρίς να απαιτείται να περιβληθεί συγκεκριμένο τύπο ή να ασκηθεί με πανηγυρικό τρόπο, ούτε όμως να περιλαμβάνει τους λόγους για τους οποίους το υποκείμενο των δεδομένων ασκεί το δικαίωμα πρόσβασης (ΑΠΔ 16/2017 σκ. 3). Ως προς την δεύτερη καταγγελλόμενη Τράπεζα, θα γίνει εκτενέστερη αναφορά κατωτέρω.
25. Η υποχρέωση των καταγγελλομένων να ικανοποιήσουν το δικαίωμα του καταγγέλλοντος συγκεκριμένα με τη χορήγηση αντιγράφου της σχετικής αλληλογραφίας τους, την οποία η Eταιρία χαρακτηρίζει ως επαγγελματική, εξαρτάται από το αν συντρέχουν εν προκειμένω οι περιστάσεις της παρ. 4 του άρθρου 15 ΓΚΠΔ, αν δηλαδή η ικανοποίηση του δικαιώματος επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων. Η πρώτη καταγγελλόμενη Εταιρία αρχικώς απέρριψε το αίτημα του καταγγέλλοντος να λάβει αντίγραφο της αλληλογραφίας επικαλούμενη το απόρρητο των επικοινωνιών κατ’ αρ. 19 παρ. 1 Σ., ισχυρισμό όμως που ανακάλεσε και δεν επανυπέβαλε στην ακρόαση. Περαιτέρω δικαιώματα τρίτων που θα μπορούσαν να επηρεάζονται εν προκειμένω είναι κυρίως τα προσωπικά δεδομένα (ηλεκτρονικές διευθύνσεις και τυχόν ονοματεπώνυμα) των υπαλλήλων των καταγγελλομένων που αποτελούν τα μέρη της επικοινωνίας (αποστολέα και παραλήπτη ή και ενδιάμεσες διαβιβάσεις-προωθήσεις). Επιπλέον, στην ηλεκτρονική αλληλογραφία θα μπορούσαν να περιλαμβάνονται και πληροφορίες προστατευόμενες από επαγγελματικό – εμπορικό απόρρητο, όπως ενδεικτικά οι σχετικές με τις διαδικασίες ακύρωσης χρεώσεων, που μπορεί να περιλαμβάνονται σε συμβάσεις εμπιστευτικότητας. Ωστόσο, αυτοί οι παράγοντες δεν θα πρέπει να έχουν ως αποτέλεσμα την άρνηση της παροχής κάθε πληροφορίας στο υποκείμενο των δεδομένων (βλ. αιτ. σκ. 63 ΓΚΠΔ) και ο υπεύθυνος επεξεργασίας οφείλει κατ’ άρθρο 12 παρ. 1 σε συνδυασμό προς το άρθρο 24 παρ. 1 ΓΚΠΔ να λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 ΓΚΠΔ και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 και του άρθρου 34 ΓΚΠΔ. Επιπλέον, και ανεξαρτήτως της εφαρμογής ή μη της διάταξης του άρθρου 15 παρ. 4 ΓΚΠΔ που αφορά αποκλειστικά την δια παροχής αντιγράφου ικανοποίηση του δικαιώματος πρόσβασης του υποκειμένου, το δικαίωμα πρόσβασης του καταγγέλλοντος θα μπορούσε να ικανοποιηθεί κατ’ αρχήν με την κοινοποίηση αντιγράφου της ηλεκτρονικής αλληλογραφίας με διαγραμμένες (καλυμμένες) τις διευθύνσεις των μερών και τα ονοματεπώνυμά τους και με εμφανές μόνο το μέρος αυτού που αφορά τη διαβίβαση δεδομένων του καταγγέλλοντος. 15 Εναλλακτικά, όπως δήλωσε και με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/7498/2-11-2020 απαντητικό του έγγραφο προς την Αρχή ο καταγγέλλων, θα μπορούσαν να του κοινοποιηθούν από την Εταιρία μόνο οι πληροφορίες που αντιστοιχούν στο δικαίωμα πρόσβασής του, δηλαδή η ημερομηνία αποστολής, ο αποστολέας (ως τμήμα της πρώτης καταγγελλόμενης Εταιρίας), ο παραλήπτης (τράπεζα/τμήμα), καθώς και ο αριθμός πρωτοκόλλου και το αποδεικτικό παραλαβής, εφόσον υπάρχουν, χωρίς να χρειαστεί να του χορηγηθεί αντίγραφο της ηλεκτρονικής αλληλογραφίας, έστω και με διαγραμμένα στοιχεία. Υπό τις ανωτέρω δυο