Αθήνα, 03-10-2022 Αριθ. Πρωτ.: 2433 ΑΠΟΦΑΣΗ 53/2022 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του Προέδρου της, σε έκτακτη συνεδρίαση μέσω τηλεδιάσκεψης την 217-2022, εξ αναβολής της από 19-7-2022 και σε συνέχεια της από 14-06-2022 συνεδρίασής της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Κωνσταντίνος Μενουδάκος, Πρόεδρος της Αρχής, τα τακτικά μέλη Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, ως εισηγητής, Χρήστος Καλλονιάτης, Αικατερίνη Ηλιάδου και Γρηγόριος Τσόλιας, καθώς και το αναπληρωματικό μέλος Νικόλαος Λίβος σε αναπλήρωση του τακτικού μέλους Χαράλαμπου Ανθόπουλου ο οποίος, αν και κλήθηκε νομίμως και εγγράφως, δεν προσήλθε λόγω κωλύματος. Στη συνεδρίαση, χωρίς δικαίωμα ψήφου, παρέστησαν, με εντολή του Προέδρου, ο ελεγκτής Κωνσταντίνος Λιμνιώτης, ειδικός επιστήμονας πληροφορικής, ως βοηθός εισηγητή, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Τμήματος Διοικητικών Υποθέσεων, ως γραμματέας. H Αρχή έλαβε υπόψη τα παρακάτω: Κατόπιν σχετικών καταγγελιών κατά της Εθνικής Τράπεζας της Ελλάδος Α.Ε. (εφεξής Εθνική Τράπεζα) και της Τράπεζας Πειραιώς Α.Ε. (εφεξής Τράπεζα Πειραιώς), η Αρχή εξέτασε το ζήτημα της επεξεργασίας προσωπικών δεδομένων μέσω ανέπαφων συναλλαγών με χρεωστικές/πιστωτικές κάρτες. Οι εν λόγω καταγγελίες αφορούσαν στην υποχρεωτική αντικατάσταση χρεωστικών/πιστωτικών καρτών με νέες, οι οποίες είχαν ως προεπιλογή τη δυνατότητα ανέπαφων (contactless) συναλλαγών. Η Αρχή, αφού εξέτασε ζητήματα αναφορικά με την προστασία προσωπικών δεδομένων τα οποία εγείρονται από την εν λόγω επεξεργασία, λαμβάνοντας υπόψη και τις διεθνείς, κατά την επίμαχη περίοδο, προδιαγραφές αναφορικά με τις ανέπαφες 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr χρεωστικές ή/και πιστωτικές κάρτες βάσει και των σχετικών πληροφοριών που δόθηκαν από τις εταιρείες Mastercard και Visa, εξέδωσε την υπ΄ αριθμ. 48/2018 Απόφαση, με την οποία απηύθυνε σύσταση 1 στις εν λόγω Τράπεζες, εφόσον ένας πελάτης τους δηλώσει ότι δεν επιθυμεί να έχει κάρτα με δυνατότητα πραγματοποίησης ανέπαφων συναλλαγών, είτε να παρέχουν τη δυνατότητα απενεργοποίησης της ανέπαφης λειτουργίας μίας τέτοιας κάρτας είτε να χορηγούν νέα κάρτα χωρίς δυνατότητα ανέπαφων συναλλαγών. Περαιτέρω, στο πλαίσιο εξέτασης των ως άνω καταγγελιών, η Αρχή διαπίστωσε ότι σε ορισμένες περιπτώσεις πιστωτικών/χρεωστικών καρτών τηρείται στο chip της κάρτας ιστορικό πρόσφατων συναλλαγών που πραγματοποιήθηκαν με χρήση αυτής, το οποίο μπορεί επίσης να αναγνωσθεί ευχερώς ανέπαφα. Συγκεκριμένα, οι εν λόγω πληροφορίες σχετικές με το ιστορικό συναλλαγών συνίστανται στην ημερομηνία της συναλλαγής και στο ύψος του χρηματικού ποσού αυτής. Για το εν λόγω χαρακτηριστικό που διαπιστώθηκε σε κάρτες της εταιρείας Mastercard, η εν λόγω εταιρεία ενημέρωσε την Αρχή ότι δεν είναι υποχρεωτικό χαρακτηριστικό και επαφίεται στον εκάστοτε εκδότη αν θα το ενσωματώσει ή όχι στο αντίστοιχο τραπεζικό προϊόν (πιστωτική/χρεωστική κάρτα) το οποίο παρέχει στον πελάτη του. Ως προς το ζήτημα αυτό, το οποίο η Αρχή εξέτασε αυτεπαγγέλτως, με την ως άνω Απόφαση, απηύθυνε την εξής σύσταση 2 στις εν λόγω Τράπεζες: εφόσον σε κάρτα που έχει χορηγηθεί σε πελάτη είναι ενεργοποιημένη η δυνατότητα τήρησης ιστορικού συναλλαγών στο chip αυτής χωρίς να έχει δώσει την ειδική προς τούτο συγκατάθεσή του, θα πρέπει ο πελάτης να ενημερωθεί σχετικώς με κάθε πρόσφορο τρόπο (π.χ. μέσω μηνύματος ηλεκτρονικού ταχυδρομείου, μέσω μηνύματος κατά τη σύνδεσή του σε προσωποποιημένες ηλεκτρονικές υπηρεσίες του υπεύθυνου επεξεργασίας, μέσω ταχυδρομικής επιστολής κτλ.) ως προς την επεξεργασία αυτή, παρέχοντάς του τη δυνατότητα διακοπής της επεξεργασίας αυτής. Περαιτέρω, σε κάθε νέα έκδοση/χορήγηση το εν λόγω χαρακτηριστικό θα πρέπει να είναι εξ αρχής απενεργοποιημένο, και να ενεργοποιείται μόνο αν υπάρχει ειδική προς τούτο Σύμφωνα με το άρθρο 19 παρ. γ΄ του ν. 2472/1997 το οποίο ήταν σε εφαρμογή κατά την επίμαχη περίοδο 2 Σύμφωνα με το άρθρο 19 παρ. γ΄ του ν. 2472/1997 το οποίο ήταν σε εφαρμογή κατά την επίμαχη περίοδο 1 2 συγκατάθεση του πελάτη, εφόσον έχει προηγουμένως σχετικώς ενημερωθεί για την επεξεργασία αυτή. Ακολούθως η Αρχή, με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/6257/16-07-2018 έγγραφο, διαβίβασε την ως άνω Απόφαση στο σύνολο των ελληνικών Τραπεζών (με κοινοποίηση και στις δύο ως άνω αναφερόμενες), επισημαίνοντας ότι, καίτοι οι καταγγελίες που υποβλήθηκαν στην Αρχή και εξετάστηκαν στο πλαίσιο της προαναφερθείσας Απόφασης αφορούσαν δύο συγκεκριμένα Τραπεζικά Ιδρύματα, θα πρέπει αναλογικώς - στο βαθμό κατά τον οποίο η κάθε Τράπεζα παρέχει στους πελάτες της κάρτες της εν λόγω τεχνολογίας - να λάβουν μέριμνα ώστε να πληρούνται όλα όσα διαλαμβάνονται στην εν λόγω Απόφαση. Άλλωστε, ήδη η Αρχή είχε προηγουμένως απευθυνθεί προς όλες τις Τράπεζες, με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/4943/27-06-2017 έγγραφό της, ζητώντας μεταξύ άλλων πληροφορίες ως προς το αν παρείχαν ανέπαφες χρεωστικές/πιστωτικές κάρτες και με τι χαρακτηριστικά (όπως τι πληροφορία αποθηκεύεται στο chip αυτών). Στο εν λόγω έγγραφο, όπως αναφέρεται και στην Απόφαση 48/2018, η ΑΛΦΑ ΤΡΑΠΕΖΑ Α.Ε. (εφεξής Τράπεζα Alpha) και η ΤΡΑΠΕΖΑ EUROBANK ERGASIAS Α.Ε. (εφεξής Τράπεζα Eurobank) δεν είχαν απαντήσει στην Αρχή, ενώ δεν απάντησαν επίσης ούτε κατόπιν των σχετικών υπομνηστικών εγγράφων με αρ. πρωτ. Γ/ΕΞ/276/12-01-2018 και Γ/ΕΞ/275/12-012018 αντίστοιχα. Στη συνέχεια, η Αρχή απέστειλε στην Εθνική Τράπεζα, στην Τράπεζα Πειραιώς, στην Τράπεζα Alpha και στην Τράπεζα Eurobank το υπ’ αριθμ. πρωτ. Γ/ΕΞ/4271/14-062019 έγγραφο, με το οποίο ζητούσε από τις εν λόγω Τράπεζες να ενημερώσουν ως προς τις ενέργειες στις οποίες προέβησαν προκειμένου να συμμορφωθούν με τις προαναφερθείσες συστάσεις της Αρχής που μνημονεύονται στην υπ’ αριθμ. 48/2018 Απόφαση. H Εθνική Τράπεζα απάντησε με το υπ’ αριθμ. πρωτ. … και από … έγγραφό της (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/5727/21-08-2019), αναφέροντας τα εξής: 1) Η Τράπεζα έχει ολοκληρώσει όλες τις απαιτούμενες ενέργειες έτσι ώστε οι κάτοχοι χρεωστικών και προ-πληρωμένων καρτών που δεν επιθυμούν να έχουν οι κάρτες τους τη δυνατότητα ανέπαφων συναλλαγών να μπορούν να υποβάλουν σχετικό αίτημα μέσω συγκεκριμένων διαδικασιών, ενώ τα εν λόγω αιτήματα ικανοποιούνται αμέσως. 3 2) Παράλληλα, έχουν εκκινήσει οι διαδικασίες προκειμένου να μπορεί ο πελάτης να απενεργοποιεί την εν λόγω λειτουργικότητα, εφόσον το επιθυμεί, και μέσω του Internet Banking. 3) Για τις πιστωτικές κάρτες, η εν λόγω δυνατότητα θα υφίσταται μετά τη μετάπτωση των πιστωτικών καρτών στο νέο σύστημα καρτών, η οποία αναμενόταν να ολοκληρωθεί στο Μάρτιο του
- 4) Αναφορικά με την τήρηση της ιστορικότητας των συναλλαγών στο chip των συναλλαγών, στις χρεωστικές κάρτες Debit M/C και στις Business Μ/C που εκδίδονται δεν πραγματοποιείται η εν λόγω τήρηση, ενώ για τα λοιπά προϊόντα καρτών έχει δρομολογηθεί η κατάργηση του εν λόγω χαρακτηριστικού μέχρι τα τέλη του
- Επίσης, οι αρμόδιες Υπηρεσίες της Τράπεζας επεξεργάζονται λύσεις για κατάργηση τήρησης του ιστορικού και σε παλαιές κάρτες, χωρίς να χρειαστεί ο κάτοχός τους να κάνει σχετικό αίτημα. Σύμφωνα με το χρονοδιάγραμμα, οι εν λόγω διαδικασίες αναμενόταν να ολοκληρωθούν στα τέλη του
- Ακολούθως, η Αρχή, και δεδομένου ότι υπήρξε σχετικό έγγραφο αίτημα του Α (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/6348/01-10-2021) - ο οποίος είχε υποβάλει σχετική καταγγελία στην Αρχή αναφορικά με την υποχρεωτική αντικατάσταση χρεωστικών/πιστωτικών καρτών με νέες ανέπαφες κάρτες - να πληροφορηθεί αν οι Τράπεζες συμμορφώθηκαν με τα διαλαμβανόμενα στην υπ’ αριθμ. 48/2018 Απόφαση της Αρχής ως προς το σκέλος της ενημέρωσης των κατόχων των καρτών για την τήρηση ιστορικού συναλλαγών στο chip αυτής, επισημαίνοντας ότι ο ίδιος δεν έλαβε τέτοια ενημέρωση, απέστειλε στην Εθνική Τράπεζα το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/2601/15-112021 έγγραφο, με το οποίο ζήτησε από την Τράπεζα να διευκρινίσει ειδικώς τις ενέργειες στις οποίες προέβη ως προς το ζήτημα της τήρησης του ιστορικού των τελευταίων συναλλαγών στο chip της πιστωτικής/χρεωστικής κάρτας (για τις κάρτες εκείνες που διέθεταν το εν λόγω χαρακτηριστικό), αποσαφηνίζοντας ιδίως αν ενημέρωσε προσηκόντως όλους τους κατόχους των ανωτέρω καρτών για την εν λόγω επεξεργασία, ανεξαρτήτως αν, εν τω μεταξύ, οι κάρτες τους έχουν ήδη αντικατασταθεί λόγω λήξης της ισχύος των παλαιότερων. H Εθνική Τράπεζα απάντησε με το υπ’ αριθμ. πρωτ Γ/ΕΙΣ/3650/09-03-2022 έγγραφο, αναφέροντας τα εξής: 4 1) Η Εθνική Τράπεζα έχει υιοθετήσει τα τελευταία έτη την τεχνολογία των ανέπαφων συναλλαγών μέσω των χρεωστικών, πιστωτικών και προπληρωμένων καρτών που εκδίδει, στο πλαίσιο της διαρκούς αναβάθμισης και βελτίωσης των προϊόντων και υπηρεσιών που διαθέτει. Η εν λόγω δυνατότητα βασίστηκε στην ασύρματη τεχνολογία μικρής εμβέλειας NFC (Near Field Communication), μία πρωτοποριακή και καινοτόμο τεχνολογική λύση, η οποία - πέραν της διευκόλυνσης και της επιτάχυνσης διενέργειας των συναλλαγών - αποδείχθηκε εξαιρετικά σημαντική κατά την τρέχουσα συγκυρία και συνέτεινε σημαντικό στα προληπτικά μέτρα που λήφθηκαν από όλους τους φορείς στο πλαίσιο αντιμετώπισης της πανδημίας. 2) Περαιτέρω, η Τράπεζα είχε ενημερώσει την Αρχή αναφορικά με το χρονοδιάγραμμα ενεργειών της στο πλαίσιο συμμόρφωσής της με την υπ' αριθ. 48/2018 Απόφασης. Ειδικότερα, η Τράπεζα είχε δρομολογήσει τις απαιτούμενες ενέργειες για την απενεργοποίηση της δυνατότητας διενέργειες ανέπαφων συναλλαγών για όσους πελάτες το αιτούνταν από τις αρχές του 2019, ενώ σημειώνεται ότι η σχετική δυνατότητα είναι πλέον διαθέσιμη για το σύνολο των κατόχων καρτών της Εθνικής Τράπεζας. Πλέον παρέχεται η δυνατότητα στους πελάτες να καταργήσουν με δική τους πρωτοβουλία τη λειτουργικότητα των ανέπαφων συναλλαγών σε όλα τα προϊόντα καρτών μέσω της υπηρεσίας Internet & Mobile Bankίng. Όσοι πελάτες δεν είναι χρήστες της εν λόγω υπηρεσίας, μπορούν να αιτηθούν την κατάργηση στο Κατάστημα συνεργασίας τους και αυτή θα υλοποιηθεί μέσω του Συστήματος Καρτών. Η υλοποίηση των ως άνω έγινε σταδιακά και συνδυάστηκε με τη μετάπτωση των προϊόντων στο νέο Σύστημα, η οποία ολοκληρώθηκε τον Οκτώβριο του
- 3) Η Τράπεζα αναφέρει ότι η συντριπτική πλειονότητα των πελατών της αξιοποιεί καθημερινά την δυνατότητα διενέργειες ανέπαφων συναλλαγών, ιδίως μετά την εκδήλωση της πανδημίας, οπότε και διατραπεζικά αποφασίστηκε το όριο των συναλλαγών που μπορούν να ολοκληρωθούν ανέπαφα να ανέλθει σε 50 ευρώ (από 25 ευρώ που ίσχυε παλαιότερα), στο πλαίσιο των μέτρων κατά της διασποράς του κορονοϊού. Κατά την τελευταία τριετία, υποβλήθηκαν ελάχιστα αιτήματα 5 απενεργοποίησης των ανέπαφων συναλλαγών, τα οποία και ικανοποιήθηκαν στο σύνολό τους. 4) Αναφορικά με την τήρηση της ιστορικότητας των συναλλαγών, η Τράπεζα αναφέρει ότι αφενός ουδέποτε αξιοποίησε εμπράκτως την εν λόγω λειτουργικότητα και, αφετέρου, στο σύνολο των καρτών που εκδίδονται πλέον από την Τράπεζα, η εν λόγω λειτουργικότητα είναι πλήρως απενεργοποιημένη. Ωστόσο, δεδομένου ότι το κόστος έκτακτης επανέκδοσης του συνόλου των καρτών θα ήταν εξαιρετικά υψηλό, καθώς και το γεγονός ότι μία τέτοια ενέργεια θα προκαλούσε μεγάλη αναστάτωση στην αγορά και θα δυσχέραινε σημαντικά τη δυνατότητα διενέργειας συναλλαγών εκ μέρους των πελατών της, η Τράπεζα προέκρινε τη σταδιακή αντικατάσταση των καρτών που είχαν ενεργοποιημένη την τήρηση ιστορικότητας, κατά την επέτειο ανανέωσής τους. Ως εκ τούτου, και οι εν λόγω κάρτες μετά τη λήξη ισχύος τους, αντικαθίστανται στο σύνολό τους με κάρτες που δεν θα τηρούν ιστορικότητα. Όσον αφορά στις κάρτες που είχαν εκδοθεί με την εν λόγω λειτουργικότητα και είναι ακόμα σε κυκλοφορία, η Τράπεζα δρομολόγησε ήδη από το έτος 2019 τις απαιτούμενες ενέργειες ώστε να είναι δυνατή η κατάργηση της τήρησης της ιστορικότητας, χωρίς οι κάτοχοι να προβαίνουν σε αιτήματα επανέκδοσης των καρτών τους. 5) Περαιτέρω, αξιολογήθηκε ότι η ενημέρωση του συνόλου των κατόχων αναφορικά με την τήρηση του ιστορικού θα είχε επίσης πολύ μεγάλο κόστος και επιπλέον θα δημιουργούσε σύγχυση στην πελατεία και ενδεχομένως ανησυχία αναφορικά με την ασφάλεια των συναλλαγών μέσω των εν λόγω καρτών, χωρίς στην πραγματικότητα να υπάρχει – όπως αναφέρει η Τράπεζα – υπαρκτός και ουσιαστικός κίνδυνος για τους εν λόγω πελάτες, καθώς τα δεδομένα που τηρούνταν στην ιστορικότητα ήταν στοιχεία των 10 τελευταίων συναλλαγών που διενεργήθηκαν με την κάρτα, τα οποία δεν θα μπορούσαν να αποδοθούν ή να συσχετιστούν με συγκεκριμένο πρόσωπο και για την ανάγνωσή τους απαιτούνταν η χρήση ειδικού εξοπλισμού και η φυσική παρουσία και εγγύτητα της κάρτας. 6) Τέλος, η Τράπεζα επισημαίνει ότι κάθε αναπροσαρμογή στον τρόπο λειτουργίας των προϊόντων ή/και των υπηρεσιών που παρέχονται από την Τράπεζα, 6 προϋποθέτει προσεκτικό σχεδιασμό, συνεπάγεται μεγάλο λειτουργικό κόστος και απαιτεί εύλογο χρονικό διάστημα υλοποίησης. Στο πλαίσιο αυτό η Τράπεζα συνεκτιμά όλους τους σχετικούς κινδύνους (κινδύνους αναφορικά με την ασφάλεια των συναλλαγών, την προστασία των πελατών και των προσωπικών τους δεδομένων, φήμης, κλπ.) και καταλήγει στην ιεράρχηση και προτεραιοποίηση των ενεργειών της με γνώμονα την βέλτιστη εξυπηρέτηση των πελατών της και την απρόσκοπτη λειτουργία της αγοράς. Στη συνέχεια, η Αρχή κάλεσε σε ακρόαση, μέσω τηλεδιάσκεψης, την Εθνική Τράπεζα στη συνεδρίαση της Ολομέλειας της 14-06-2022 (βλ. κλήση με αριθ. Πρωτ. Γ/ΕΞΕ/1335/02-06-2022). Κατά τη συνεδρίαση της 14-06-2022 παρέστησαν οι κα. Β, Διευθύντρια …, η κα. Γ, Επικεφαλής …, η Δ…, Επικεφαλής … της Τράπεζας και του Ομίλου, ο κ. Ε , Επικεφαλής … της Τράπεζας και του Ομίλου, η κα. ΣΤ, Επικεφαλής … της Τράπεζας και του Ομίλου, η κα. Ζ, Εποπτεύουσα …, η κα. Η, Εποπτεύουσα … και η κα. Θ, Υπεύθυνος Προστασίας Δεδομένων, ως εκπρόσωποι της Εθνικής Τράπεζας. Μετά τη συνεδρίαση ο υπεύθυνος επεξεργασίας έλαβε προθεσμία για υποβολή υπομνήματος, το οποίο και υπέβαλε, εντός της ταχθείσας προθεσμίας, με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/8654/08-07-2022 έγγραφο. Στο εν λόγω υπόμνημα αναφέρονται τα εξής: Η Τράπεζα έχει υιοθετήσει τα τελευταία έτη την τεχνολογία των ανέπαφων συναλλαγών μέσω των χρεωστικών, πιστωτικών και προπληρωμένων καρτών που εκδίδει, στο πλαίσιο της διαρκούς αναβάθμισης και βελτίωσης των προϊόντων και υπηρεσιών που διαθέτει. Η εν λόγω δυνατότητα βασίστηκε στην ασύρματη τεχνολογία μικρής εμβέλειας NFC (Near Field Communication), η οποία έχει πλέον παγιωθεί καθώς έχει υιοθετηθεί ευρύτατα σε διεθνές επίπεδο και, πέραν της διευκόλυνσης και της επιτάχυνσης διενέργειας των συναλλαγών, αποδείχθηκε εξαιρετικά σημαντική κατά τη διάρκεια της πανδημίας και συνέτεινε σημαντικά στα προληπτικά μέτρα που λήφθηκαν από όλους τους φορείς στο πλαίσιο περιορισμού της εξάπλωσης του κορονοϊού. 7 Μετά την έκδοση της Απόφασης 48/2018, οι αρμόδιες Μονάδες της Τράπεζας διερεύνησαν τις διαθέσιμες εναλλακτικές επιλογές με σκοπό τόσο τη συμμόρφωση της Τράπεζας με τα διαλαμβανόμενα σε αυτή, όσο και την ομαλή λειτουργία της αγοράς, και σχεδίασαν το χρονοδιάγραμμα υλοποίησης των μέτρων που προκρίθηκαν. Με γνώμονα τόσο τη συμμόρφωση της Τράπεζας με τα προβλεπόμενα στην ως άνω Απόφαση της Αρχής, όσο και την ποιοτικότερη εξυπηρέτηση της πελατείας της, η Τράπεζά προχώρησε στις κάτωθι ενέργειες συμμόρφωσης: α) Ως προς τη δυνατότητα απενεργοποίησης της ανέπαφης λειτουργίας, δεν προκρίθηκε η δυνατότητα χορήγησης νέας μη ανέπαφης κάρτας για λειτουργικούς λόγους, καθώς η Τράπεζα θα έπρεπε στην περίπτωση αυτή να διατηρεί, να συντηρεί και κατά καιρούς να αναβαθμίζει δύο συστήματα για την υποστήριξη ανέπαφων και μη καρτών, κάτι το οποίο θα διακινδύνευε την ομαλή διενέργεια των συναλλαγών. Ως εκ τούτου, η Τράπεζα προχώρησε στην εφαρμογή της πρώτης εναλλακτικής που προβλέπεται στην Απόφαση, δηλαδή στην παροχή της δυνατότητας απενεργοποίησης της διενέργειας ανέπαφων συναλλαγών χωρίς ΡΙΝ, μέσω του μηδενισμού του σχετικού ορίου. Ειδικότερα, οι πελάτες μπορούν να αιτηθούν τον μηδενισμό του ορίου ανέπαφων χωρίς ΡΙΝ συναλλαγών μέσω των καταστημάτων συνεργασίας τους, μέσω του contact center της Τράπεζας και μέσω των εφαρμογών Internet και Mobile Banking. Οι πελάτες – κάτοχοι των καρτών ενημερώνονται για την ως άνω δυνατότητα κατά την εξυπηρέτησή τους από το Κατάστημα συνεργασίας τους, κατά την υποβολή του αιτήματος χορήγησης της κάρτας ή/και κατά την παραλαβή της, καθώς και από το Contact Center της Τράπεζας. Επιπλέον, σχετική ενημέρωση έχει ενσωματωθεί στο έντυπο προσυμβατικής ενημέρωσης των καρτών, καθώς και στην ιστοσελίδα της Τράπεζας (σχετικά συνημμένα έγγραφα υποβλήθηκαν από την Τράπεζα στην Αρχή, μαζί με το εν λόγω υπόμνημα). Τα σχετικά αιτήματα που έχει λάβει η Τράπεζα από το 2018 έως και σήμερα είναι ελάχιστα και έχουν ικανοποιηθεί στο σύνολό τους. Παράλληλα η Τράπεζα επισημαίνει ότι η συντριπτική πλειονότητα των πελατών της αξιοποιεί καθημερινά την δυνατότητα διενέργειας ανέπαφων συναλλαγών, ιδίως μετά την εκδήλωση της πανδημίας, οπότε και διατραπεζικά μέσω της Ελληνικής Ένωσης Τραπεζών αποφασίστηκε το όριο των συναλλαγών που μπορούν να ολοκληρωθούν ανέπαφα να ανέλθει σε 50 ευρώ (από 25 ευρώ που ίσχυε 8 παλαιότερα), στο πλαίσιο των μέτρων κατά της διασποράς του κορονοϊού. Σε κάθε περίπτωση ο σχετικός αριθμός των πελατών που αξιοποιεί την εν λόγω δυνατότητα έχει δυναμικό χαρακτήρα, καθώς ανά πάσα στιγμή οι κάτοχοι των καρτών δύνανται να αιτηθούν την απενεργοποίηση ή/και την επανενεργοποίηση της διενέργειας ανέπαφων συναλλαγών χωρίς ΡΙΝ σύμφωνα με τις προτιμήσεις τους. Αν και όπως προαναφέρθηκε ο αριθμός που αιτήθηκε την απενεργοποίηση της διενέργειας ανέπαφων συναλλαγών χωρίς ΡΙΝ είναι μικρός. Β) Ως προς την τήρηση της ιστορικότητας των συναλλαγών, ήταν ενεργοποιημένη κατά το παρελθόν, για τις κάρτες Mastercard τις οποίες εξέδιδε η Τράπεζα, η λειτουργικότητα αποθήκευσης στο chip της κάρτας στοιχείων των τελευταίων 10 συναλλαγών που διενεργήθηκαν με φυσική παρουσία της κάρτας (ως εκ τούτου δεν αποθηκεύονται οι συναλλαγές που διενεργούνται εξ αποστάσεως, όπως πληρωμές σε ηλεκτρονικά καταστήματα). Τα στοιχεία των εν λόγω συναλλαγών που αποθηκεύονται είναι η ημερομηνία συναλλαγής, το ποσό της συναλλαγής και το νόμισμα αυτής, στοιχεία τα οποία από μόνα τους δεν είναι δυνατό να ταυτοποιήσουν τον κάτοχο της κάρτας. Η εν λόγω λειτουργικότητα είχε περιγραφεί ως ένα καινοτόμο χαρακτηριστικό των καρτών στις προδιαγραφές της Mastercard, το οποίο υπό προϋποθέσεις θα μπορούσε να χρησιμοποιηθεί επικουρικά κατά τη διαδικασία επίλυσης διαφορών και το οποίο υιοθετήθηκε ταυτόχρονα από πολλές άλλες Τράπεζες πανευρωπαϊκά και διεθνώς. Περαιτέρω, στο πλαίσιο εξυπηρέτησης των συναλλαγών και σύμφωνα με τα προβλεπόμενα στο σχετικό νομοθετικό πλαίσιο, η Τράπεζα τηρεί στα συστήματά της πληροφόρηση αναφορικά με την κίνηση της κάρτας. Η εν λόγω πληροφόρηση, περιλαμβάνει τόσο τις συναλλαγές που διενεργήθηκαν με φυσική παρουσία της κάρτας, όσο και τις συναλλαγές που διενεργήθηκαν εξ αποστάσεως (πχ. Ηλεκτρονικού εμπορίου). Ως εκ τούτου, η Τράπεζα δεν έχει λόγο να αξιοποιήσει – όπως και ουδέποτε αξιοποίησε – την πληροφόρηση που τηρείται στο chip της κάρτας, καθώς αφενός η εν λόγω πληροφόρηση είναι αποσπασματική αφού δεν περιλαμβάνει το σύνολο των συναλλαγών, αφορά το αποτέλεσμα της συναλλαγής και δεν αποτελεί προϋπόθεση αυτής, αφετέρου δε η αξιοποίησή της θα προϋπέθετε τη χρήςη ειδικού εξοπλισμού και τη φυσική εγγύτητα της κάρτας, η οποία βρίσκεται στην κατοχή του πελάτη. 9 Ως εκ τούτου, λαμβάνοντας υπόψη τα αναφερόμενα στην υπ’ αριθ. 48/2018 Απόφαση της Αρχής, καθώς και τη μηδενική χρησιμότητα της συγκεκριμένης λειτουργικότητας, η Τράπεζα δρομολόγησε τις απαιτούμενες ενέργειες και παραμετροποίησε εκ νέου τα χαρακτηριστικά των καρτών Mastercard που εκδίδει, ούτως ώστε στο σύνολο των καρτών Mastercard που εκδίδονται πλέον από την Τράπεζα, η εν λόγω λειτουργικότητα να είναι πλήρως απενεργοποιημένη. Η Τράπεζα τονίζει στο υπόμνημά της ότι η τυχόν έκτακτη και ταυτόχρονη μαζική επανέκδοση του συνόλου των καρτών μας Mastercard, που στην συντριπτική πλειοψηφία τους είναι χρεωστικές κάρτες, ήτοι κάρτες με πολύ μεγαλύτερη χρήση από τις πιστωτικές, θα παρουσίαζε σημαντικές πρακτικές δυσκολίες (ιδίως εάν προχωρούσαν και οι υπόλοιπες Τράπεζες σε αντίστοιχες ενέργειες) και θα προκαλούσε μεγάλη αναστάτωση στην αγορά, με ορατό τον κίνδυνο σημαντική μερίδα των πελατών της να μην λάβει άμεσα τη νέα κάρτα, γεγονός το οποίο θα δυσχέραινε σημαντικά τη δυνατότητά τους να συναλλάσσονται. Στο πλαίσιο αυτό, προκρίθηκε η σταδιακή αντικατάσταση των καρτών που είχαν ενεργοποιημένη την τήρηση ιστορικότητας, κατά την επέτειο ανανέωσής τους. Περαιτέρω, σύμφωνα με την πληροφόρηση που παρείχε η αρμόδια Μονάδα της Τράπεζας, οι ενεργές σήμερα κάρτες Mastercard εκδόσεως της Εθνικής Τράπεζας είναι συνολικά 3.963.414 (3.772.101 χρεωστικές κάρτες και 192.313 πιστωτικές), εκ των οποίων οι 3.121.821 κάρτες που αντιπροσωπεύουν ποσοστό 78,8% επί του συνόλου έχουν ήδη αντικατασταθεί από κάρτες οι οποίες δεν τηρούν πλέον το ιστορικό των συναλλαγών. Επιπλέον, οι εναπομείνασες κάρτες πρόκειται και αυτές κατά την επέτειο ανανέωσής τους να αντικατασταθούν από κάρτες που δεν θα διαθέτουν πλέον τη λειτουργικότητα αποθήκευσης συναλλαγών. Ως προς την ενημέρωση των πελατών της για την επεξεργασία που συνίσταται στην τήρηση του ιστορικού των συναλλαγών, η Τράπεζα προχώρησε αρχικά στη διερεύνηση των προσφορότερων λύσεων για τη συμμόρφωσή της με τα διαλαμβανόμενα στην ως άνω Απόφαση της Αρχής, αφετέρου δε στη στάθμιση των κινδύνων για τους κατόχους των καρτών εξαιτίας της τήρησης ιστορικότητας. Παρότι η Τράπεζα διατηρεί επιφυλάξεις ως προς το κατά πόσο τα στοιχεία τα οποία τηρούνται στο chip της κάρτας (ημερομηνία, ποσό και νόμισμα συναλλαγής) αποτελούν προσωπικό δεδομένο των κατόχων, μόνο υπό την έννοια ότι τα εν λόγω 10 στοιχεία δεν μπορούν να οδηγήσουν σε ταυτοποίησή τους, η Τράπεζα σεβόμενη την Απόφαση της Αρχής αποφάσισε να απενεργοποιήσει τη συγκεκριμένη λειτουργικότητα στις κάρτες που εκδίδονται εφεξής (είτε πρόκειται για νέες εκδόσεις, είτε για επανεκδόσεις υφιστάμενων καρτών). Η εν λόγω ενέργεια απαίτησε κάποιο εύλογο χρόνο σχεδιασμού, εκ νέου παραμετροποίηση των χαρακτηριστικών των καρτών και προμήθεια νέων καρτών, διάστημα κατά το οποίο τυχόν ενημέρωση των πελατών δεν θα μπορούσε στην πράξη να συνοδεύεται και από την παροχή δυνατότητας υπαναχώρησης εκ μέρους του πελάτη και επιλογής άλλου προϊόντος χωρίς την τήρηση της λειτουργικότητας, καθώς η Τράπεζα δεν διέθετε ακόμη τέτοιου είδους προϊόντα. Περαιτέρω, αξιολογήθηκε ότι η ενημέρωση του συνόλου των κατόχων αναφορικά με την τήρηση του ιστορικού θα δημιουργούσε σύγχυση στην πελατεία και ενδεχομένως ανησυχία αναφορικά με την ασφάλεια των συναλλαγών μέσω των εν λόγω καρτών, χωρίς στην πραγματικότητα να υπάρχει υπαρκτός και ουσιαστικός κίνδυνος για τους εν λόγω πελάτες, καθώς τα δεδομένα που τηρούνταν στην ιστορικότητα ήταν στοιχεία των δέκα
(10)τελευταίων συναλλαγών που διενεργήθηκαν με την κάρτα, τα οποία δεν θα μπορούσαν να αποδοθούν ή να συσχετιστούν με συγκεκριμένο πρόσωπο και για την ανάγνωσή τους απαιτούνταν η χρήση ειδικού εξοπλισμού και η φυσική παρουσία και εγγύτητα της κάρτας. Επιπλέον, από την αξιολόγηση των κινδύνων για τους κατόχους των καρτών, προέκυψαν οι ακόλουθες εκτιμήσεις: Α) Δεν υφίστανται ουσιαστικοί κίνδυνοι ασφαλείας για τους κατόχους εξαιτίας της αποθήκευσης του ιστορικού των συναλλαγών, καθώς για την ανάγνωση των δεδομένων θα έπρεπε το κακόβουλο πρόσωπο να διαθέτει τον κατάλληλο αναγνώστη και να έχει φυσική εγγύτητα με την κάρτα, τα στοιχεία δε που θα συγκέντρωνε θα αφορούσαν ήδη πραγματοποιηθείσες συναλλαγές. Β) Ταυτόχρονα με τις ενέργειες συμμόρφωσης με το διαλαμβανόμενα στην Απόφαση 48/2018, η Τράπεζα είχε δρομολογήσει ενέργειες για την υλοποίηση της διαδικασίας Ισχυρής Ταυτοποίησης του Πελάτη (Strong Customer Authentication), σύμφωνα με το προβλεπόμενα στον Κατ’ Εξουσιοδότηση Κανονισμό (ΕΕ) 2018/389 της Επιτροπής της 27ης Νοεμβρίου 2017 για τη συμπλήρωση της οδηγίας (ΕΕ) 2015/2366 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου όσον αφορά ρυθμιστικά τεχνικά πρότυπα για την αυστηρή εξακρίβωση ταυτότητας πελάτη 11 και τα κοινά και ασφαλή ανοικτά πρότυπα επικοινωνίας, απομακρύνοντας περαιτέρω το ενδεχόμενο πραγματοποίησης συναλλαγής εκ μέρους του κακόβουλου προσώπου. Γ) Σε κάθε περίπτωση, οι κάτοχοι των καρτών διατηρούν τη δυνατότητα αμφισβήτησης των συναλλαγών που δεν αναγνωρίζουν, σύμφωνα με τις υφιστάμενες διαδικασίες. Δ) Εν τω μεταξύ, εξαιτίας της πανδημίας, υπήρχαν πολλές εξαγγελίες από τους αρμόδιους κρατικούς φορείς για μέτρα που θα μπορούσαν να ληφθούν για τον περιορισμό της εξάπλωσης του κορονοϊού, μεταξύ των οποίων ήταν και η αποφυγή χρήσης μετρητών, καθώς και η διενέργεια ανέπαφων συναλλαγών. Στο πλαίσιο αυτό, υπήρχαν πολλά αιτήματα για έκδοση νέων καρτών από πελάτες που μέχρι εκείνη τη χρονική στιγμή επέλεγαν να συναλλάσσονται κυρίως με μετρητά. Δεδομένων αυτών των εξελίξεων, η Τράπεζα έκρινε ότι δεν θα μπορούσαν να εξυπηρετηθούν απρόσκοπτα τα αιτήματα έκδοσης νέων καρτών ταυτόχρονο με τα αιτήματα επανέκδοσης καρτών λόγω της τήρησης ιστορικότητας, με τον κίνδυνο μερίδα της πελατείας να μείνει χωρίς κάρτα εν μέσω καραντίνας, και χωρίς πρόσβαση σε ηλεκτρονικές αγορές. Ε) Οι κάρτες έχουν ούτως ή άλλως ορισμένη διάρκεια ζωής, και όλες οι κάρτες που επανεκδίδονται δεν διατηρούν πλέον ιστορικότητα. Ως εκ τούτου, ο αριθμός των καρτών με ιστορικότητα σε κυκλοφορία καθημερινά βαίνει μειούμενος. Η Τράπεζα καταλήγει ότι, σταθμίζοντας τα ανωτέρω με βάση την αρχή της αναλογικότητας, έκρινε ότι το επιδιωκόμενο αποτέλεσμα – ήτοι η χορήγηση καρτών με απενεργοποιημένη τη λειτουργικότητα της ιστορικότητας – μπορούσε να επιτευχθεί μέσω των ενεργειών που είχε ήδη δρομολογήσει. Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και το βοηθό εισηγητή, ο οποίος (βοηθός) παρέστη χωρίς δικαίωμα ψήφου, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ 12
- Σύμφωνα με τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (EE) 2016/679 (εφεξής, ΓΚΠΔ) και του άρθρου 9 του ν. 4624/2019 (ΦΕΚ Α ́ 137), η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
- Σύμφωνα με το άρθρο 4 στοιχ. 1 του ΓΚΠΔ, ως δεδομένα προσωπικού χαρακτήρα νοείται «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)», ενώ «το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου». Στη δε εισαγωγική σκέψη 26 του ΓΚΠΔ αναφέρεται ότι «για να κριθεί κατά πόσον ένα φυσικό πρόσωπο είναι ταυτοποιήσιμο, θα πρέπει να λαμβάνονται υπόψη όλα τα μέσα τα οποία είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν, όπως για παράδειγμα ο διαχωρισμός του, είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο για την άμεση ή έμμεση εξακρίβωση της ταυτότητας του φυσικού προσώπου. Για να διαπιστωθεί κατά πόσον κάποια μέσα είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν για την εξακρίβωση της ταυτότητας του φυσικού προσώπου, θα πρέπει να λαμβάνονται υπόψη όλοι οι αντικειμενικοί παράγοντες, όπως τα έξοδα και ο χρόνος που απαιτούνται για την ταυτοποίηση, λαμβανομένων υπόψη της τεχνολογίας που είναι διαθέσιμη κατά τον χρόνο της επεξεργασίας και των εξελίξεων της τεχνολογίας».
- Σύμφωνα με το άρθρο 4 στοιχ. 7 του ΓΚΠΔ, ως υπεύθυνος επεξεργασίας ορίζεται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους». 13
- Σύμφωνα με το άρθρο 5 παρ. 3 του ΓΚΠΔ ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του ιδίου άρθρου, στις οποίες περιλαμβάνεται η νομιμότητα, αντικειμενικότητα και διαφάνεια της επεξεργασίας σύμφωνα με το άρθρο 5 παρ. 1 στοιχ. α’ – ήτοι τα δεδομένα πρέπει να υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων. Με άλλα λόγια, με τον ΓΚΠΔ υιοθετήθηκε ένα μοντέλο συμμόρφωσης με κεντρικό πυλώνα την εν λόγω αρχή της λογοδοσίας, ήτοι ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις και, επιπλέον, οφείλει να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 του ΓΚΠΔ.
- Περαιτέρω, το άρθρο 6 παρ. 1 του ΓΚΠΔ προβλέπει, μεταξύ άλλων, ότι η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις (νομικές βάσεις της επεξεργασίας): «α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ' αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης, (...) στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα (...)».
- Αναφορικά με την αρχή της διαφάνειας της επεξεργασίας, ο ΓΚΠΔ θέτει συγκεκριμένες υποχρεώσεις στους υπευθύνους επεξεργασίας ως προς την ενημέρωση που οφείλουν να παρέχουν στα υποκείμενα των δεδομένων. Ειδικότερα, σύμφωνα με το άρθρο 12 παρ. 1 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 (τα οποία αφορούν τις 14 πληροφορίες που παρέχονται στα υποκείμενα των δεδομένων είτε τα δεδομένα συλλέγονται από τα ίδια τα υποκείμενα είτε όχι) και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 (τα οποία αφορούν τα δικαιώματα των υποκειμένων των δεδομένων, συμπεριλαμβανομένου του δικαιώματος εναντίωσης 3 στην επεξεργασία του άρθρου 21) σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή. Περαιτέρω, στην παράγραφο 2 του άρθρου 12 του ΓΚΠΔ προβλέπεται ότι «ο υπεύθυνος επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων (…)».
- Ειδικότερα δε, στο άρθρο 13 του ΓΚΠΔ ορίζεται ότι «όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες: α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας, (…) γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, (…)» (βλ. παρ. 1 του άρθρου 13 του ΓΚΠΔ).
- Στη συγκεκριμένη περίπτωση, για την επεξεργασία η οποία συνίσταται στην αποθήκευση, στο chip της χρεωστικής/πιστωτικής κάρτας της Εθνικής Τράπεζας, του ιστορικού των τελευταίων δέκα
(10)συναλλαγών που πραγματοποιήθηκαν μέσω αυτής, το οποίο μπορεί να αναγνωστεί ανέπαφα, η εν λόγω Τράπεζα αποτελεί τον υπεύθυνο επεξεργασίας, κατά την έννοια του άρθρου 4 στοιχ. 7 του ΓΚΠΔ. Πράγματι, όπως προέκυψε από την αρχική εξέταση της υπόθεσης με την υπ’ αριθμ. 48/2018 Απόφαση της Αρχής, το εν λόγω τεχνολογικό χαρακτηριστικό παρέχεται ως προαιρετική επιλογή σε κάρτες από την εταιρεία Mastercard - ήτοι επαφίεται σε κάθε εκδότη («Τράπεζα») αν θα το ενεργοποιήσει ή όχι. Εξάλλου, η Εθνική Τράπεζα Σύμφωνα με το άρθρο 21 του ΓΚΠΔ, «Το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν, η οποία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο ε) ή στ), περιλαμβανομένης της κατάρτισης προφίλ βάσει των εν λόγω διατάξεων. Ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν ο υπεύθυνος επεξεργασίας καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων». 3 15 πράγματι ξεκίνησε, όπως περιγράφεται στο ιστορικό της παρούσας, την έκδοση καρτών χωρίς αυτό το τεχνολογικό χαρακτηριστικό – το οποίο εξάλλου, όπως σημειώνει, ουδέποτε αξιοποίησε. 9. Για την εν λόγω επεξεργασία η Εθνική Τράπεζα δεν παρείχε σχετική ενημέρωση στα υποκείμενα των δεδομένων (ήτοι στους κατόχους των εν λόγω καρτών). Επισημαίνεται ότι η Αρχή, ήδη με την υπ’ αριθμ. 48/2018 Απόφαση (η οποία βασίστηκε στο προ του ΓΚΠΔ ισχύον νομικό πλαίσιο), εντόπισε την εν λόγω έλλειψη και απηύθυνε σύσταση προς τον υπεύθυνο επεξεργασίας προκειμένου να τη θεραπεύσει – ήτοι υιοθέτησε την ηπιότερη δυνατή επιλογή. 10. Ελλείψει της συναφούς ενημέρωσης, η οποία ούτως ή άλλως αποτελεί υποχρέωση του υπευθύνου επεξεργασίας κατά τα ανωτέρω, η νομική βάση της εν λόγω επεξεργασίας δεν είναι σαφής. Μία τέτοια επεξεργασία θα μπορούσε κατ’ αρχήν να έχει ως νομική βάση τη συγκατάθεση 4 (άρθρο 6 παρ. 1 στοιχ. α’ του ΓΚΠΔ), εφόσον τα υποκείμενα των δεδομένων δηλώνουν ελεύθερα, εν πλήρει επιγνώσει και με σαφήνεια (με δήλωση ή σαφή θετική ενέργεια) ότι συναινούν συγκεκριμένα και ρητά για την εν λόγω επεξεργασία, οι εν λόγω προϋποθέσεις όμως δεν συντρέχουν στην προκειμένη περίπτωση. Επίσης, η εν λόγω επεξεργασία δεν μπορεί να θεωρηθεί ως απαραίτητη για την εκτέλεση σύμβασης - και, άρα, η νομική βάση δεν μπορεί να είναι ούτε αυτή του άρθρου 6 παρ. 1 στοιχ. β’ του ΓΚΠΔ – αφού, άλλωστε, υπάρχει πλήθος αντίστοιχων χρεωστικών/πιστωτικών/προπληρωμένων καρτών χωρίς το εν λόγω χαρακτηριστικό, το οποίο εξάλλου, όπως προαναφέρθηκε, υλοποιείται προαιρετικώς. Συνεπώς, η μόνη πιθανή νομική βάση φαίνεται να είναι αυτή του άρθρου 6 παρ. 1 στοιχ. στ’. Και σε αυτήν την περίπτωση όμως, πέραν του γεγονότος ότι η Τράπεζα δεν έχει τεκμηριώσει ποιο είναι το έννομο συμφέρον το οποίο επιδιώκει με την αποθήκευση αυτών των δεδομένων στις κάρτες των πελατών της αλλά αναφέρει μόνο ότι, υπό προϋποθέσεις, το εν λόγω ιστορικό θα μπορούσε να χρησιμοποιηθεί επικουρικά κατά τη διαδικασία επίλυσης διαφορών, απαιτείται αφενός η επεξεργασία να είναι διαφανής, αλλά η προϋπόθεση αυτή δεν Βλ. τον ορισμό της συγκατάθεσης στο άρθρο 4 στοιχ. 11 του ΓΚΠΔ, ως «κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν». 4 16 συνέτρεξε για τη συγκεκριμένη περίπτωση, και αφετέρου τα υποκείμενα των δεδομένων να γνωρίζουν ειδικότερα και για την ύπαρξη του δικαιώματος εναντίωσης στην εν λόγω επεξεργασία (άρθρο 21 του ΓΚΠΔ), ενώ ούτε αυτή η προϋπόθεση συντρέχει στην εν λόγω περίπτωση. Ως προς αυτό δε το ζήτημα η Αρχή, με τη σύσταση την οποία απηύθυνε με την υπ’ αριθμ. 48/2018 Απόφαση, ζήτησε από την Τράπεζα, πέραν της ενημέρωσης των υποκειμένων των δεδομένων, να δώσει τη δυνατότητα, σε όσους εξ αυτών το επιθυμούν, να εκφράσουν την εναντίωσή τους στην εν λόγω επεξεργασία και, ακολούθως, να φροντίσει για την ικανοποίηση του δικαιώματος (είτε με απενεργοποίηση του συγκεκριμένου τεχνολογικού χαρακτηριστικού είτε με έκδοση νέας κάρτας). 11. Η Εθνική Τράπεζα, αν και κίνησε διαδικασίες βάσει των οποίων κάθε νέα κάρτα που εκδίδει δεν φέρει το εν λόγω χαρακτηριστικό και άρα, σταδιακά, διακόπτει την εν λόγω επεξεργασία, δεν ενημέρωσε τους κατόχους των καρτών για την επεξεργασία αυτή, μη συμμορφούμενη συνεπώς με την ως άνω Απόφαση της Αρχής. Ως εκ τούτου, υπάρχει παράβαση του άρθρου 13 του ΓΚΠΔ η οποία συνεφέλκεται παραβίαση και της κατά το άρθρο 5 παρ. 1 στοιχ. α΄ του ΓΚΠΔ αρχής της διαφάνειας της επεξεργασίας. Τα επιχειρήματα που επικαλείται η Τράπεζα για τους λόγους της μη ενημέρωσης έγκεινται ιδίως στο ότι, κατά τους ισχυρισμούς της, μία τέτοια ενημέρωση θα συνεπαγόταν υψηλό κόστος ενώ επίσης δεν προκύπτει ουσιαστικός κίνδυνος για τους εν λόγω πελάτες της, καθώς τα δεδομένα που τηρούνταν αναφορικά με τις 10 τελευταίες συναλλαγές που διενεργήθηκαν με την κάρτα δεν θα μπορούσαν να αποδοθούν ή να συσχετιστούν με συγκεκριμένο πρόσωπο και για την ανάγνωσή τους απαιτούνταν η χρήση ειδικού εξοπλισμού και η φυσική παρουσία και εγγύτητα της κάρτας. Ωστόσο, οι εν λόγω ισχυρισμοί είναι αβάσιμοι για τους ακόλουθους λόγους: α) Η υποχρέωση ενημέρωσης για την επεξεργασία και γενικότερα η θεμελιώδης αρχή της διαφάνειας της επεξεργασίας υφίσταται ανεξαρτήτως αν υπάρχει ή όχι κίνδυνος από την επεξεργασία για τα υποκείμενα των δεδομένων 5. Περιορισμοί στα δικαιώματα μπορούν να επιβληθούν από το ενωσιακό δίκαιο ή το δίκαιο κράτους μέλους υπό συγκεκριμένες προϋποθέσεις και εφόσον προβλέπονται κατάλληλες διασφαλίσεις, αλλά η συγκεκριμένη περίπτωση σαφώς δεν εμπίπτει σε αυτές (βλ. άρθρο 23 του ΓΚΠΔ). 5 17 β) Ακόμα και αν δεν υπάρχει υψηλός κίνδυνος από την εν λόγω επεξεργασία για τα επηρεαζόμενα πρόσωπα, ο ισχυρισμός ότι κατ’ ουσίαν δεν υπάρχει κανένας κίνδυνος δεν τεκμηριώνεται επαρκώς για τους ακόλουθους λόγους
- i)Ο εξοπλισμός ο οποίος απαιτείται για την ανάγνωση των δεδομένων είναι ευχερώς διαθέσιμος στον οποιονδήποτε. Συγκεκριμένα, όπως ήδη είχε περιγραφεί και στην υπ’ αριθμ. 48/2018 Απόφαση της Αρχής, αρκεί μία οποιαδήποτε «έξυπνη» συσκευή (π.χ. «έξυπνο» κινητό τηλέφωνο) με κατάλληλο λογισμικό (τα οποία σχετικά λογισμικά είναι ελεύθερα διαθέσιμα) προκειμένου να αναγνώσει τα δεδομένα, αν ο κάτοχος της συσκευής βρεθεί πλησίον της κάρτας – χωρίς καν να την έχει στην κατοχή του.
- ii)Υπάρχει σαφώς δυνατότητα – και μάλιστα ευχερής - συσχετισμού των εν λόγω δεδομένων με το υποκείμενο αυτών. Μάλιστα, αυτό δεν προϋποθέτει απαραίτητα κλοπή/απώλεια κάρτας. Για παράδειγμα, κάποιος τρίτος του στενού οικογενειακού/φιλικού/επαγγελματικού περιβάλλοντος του υποκειμένου των δεδομένων μπορεί, εφόσον βρεθεί πλησίον της εν λόγω κάρτας του υποκειμένου των δεδομένων, να αναγνώσει ανέπαφα τα εν λόγω δεδομένα. Σε κάθε δε περίπτωση, η ίδια η κάρτα αναφέρει στην μπροστινή της όψη το ονοματεπώνυμο του κατόχου της. γ) Δεν τεκμηριώνεται ο ισχυρισμός για το υψηλό κόστος το οποίο απαιτείται για την ενημέρωση. Ήδη η Αρχή, με την υπ’ αριθμ. 48/2018 Απόφαση, είχε αναφέρει ως ενδεικτικούς τρόπους ενημέρωσης την αποστολή μηνύματος ηλεκτρονικού ταχυδρομείου ή την ανάρτηση μηνύματος κατά τη σύνδεση χρηστών σε προσωποποιημένες ηλεκτρονικές υπηρεσίες της Τράπεζας. Περαιτέρω δε, ο ισχυρισμός ότι μία τέτοια ενημέρωση θα συνεπαγόταν πληθώρα αιτημάτων αντικατάστασης καρτών, δεν μπορεί να οδηγήσει τον υπεύθυνο επεξεργασίας στο συμπέρασμα ότι εξαιρείται της υποχρέωσης ενημέρωσης διότι η διαχείριση των αιτημάτων, εφόσον είναι πράγματι υπερβολικά σε αριθμό, θα μπορούσε να οδηγήσει σε κατάλληλες διαδικασίες για την ικανοποίησή τους. Για παράδειγμα, θα μπορούσε ενδεχομένως να κριθεί ότι η αντικατάσταση αυτή δεν θα λάμβανε χώρα αμέσως, λαμβάνοντας υπόψη και τους όχι ιδιαίτερα υψηλούς κινδύνους από την εν λόγω 18 επεξεργασία. Σε κάθε δε περίπτωση, η υποχρέωση ενημέρωσης η οποία βαρύνει τον υπεύθυνο επεξεργασίας δεν αίρεται κατ’ αρχήν από το κόστος αυτής, αφού στη συγκεκριμένη περίπτωση έχει εφαρμογή, ως προς την υποχρέωση ενημέρωσης, το άρθρο 13 του ΓΚΠΔ 6, το οποίο δεν προβλέπει καμία εξαίρεση για τον υπεύθυνο επεξεργασίας από την υποχρέωση ενημέρωσης των υποκειμένων των δεδομένων. 12. Η Τράπεζα αναφέρει επιπροσθέτως ότι μία τέτοια ενημέρωση θα δημιουργούσε ανησυχία στους πελάτες της. Και ως προς αυτόν τον ισχυρισμό όμως ισχύουν κατ’ αρχήν τα διαλαμβανόμενα στην ανωτέρω Σκέψη 11 αναφορικά με τη μη εξαίρεση από την υποχρέωση ενημέρωσης. Περαιτέρω δε ο εν λόγω ισχυρισμός δεν τεκμηριώνεται επαρκώς: τούτο διότι λόγω του ότι οι κίνδυνοι από την επεξεργασία δεν είναι υψηλοί, δεν προκύπτει ότι μία ορθά διατυπωμένη ενημέρωση για την εν λόγω επεξεργασία θα προκαλούσε ανησυχία. Πάντως, δεν προκύπτει ότι η Τράπεζα εξέτασε ενδελεχώς κατάλληλα κείμενα ενημέρωσης προκειμένου να καταλήξει στο ως άνω συμπέρασμα. 13. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις. 14. Η Αρχή κρίνει περαιτέρω ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς. Ακόμα ωστόσο και αν είχε εφαρμογή το άρθρο 14 του ΓΚΠΔ, όπως αναφέρεται στο άρθρο 14 παρ. 5 του ΓΚΠΔ αναφορικά με τις πληροφορίες που παρέχονται στα υποκείμενα των δεδομένων εάν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων, «οι παράγραφοι 1 έως 4 δεν εφαρμόζονται εάν και εφόσον: α) το υποκείμενο των δεδομένων διαθέτει ήδη τις πληροφορίες, β) η παροχή τέτοιων πληροφοριών αποδεικνύεται αδύνατη ή θα συνεπαγόταν δυσανάλογη προσπάθεια, ιδίως όσον αφορά επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς, υπό τους όρους και τις εγγυήσεις που αναφέρονται στο άρθρο 89 παράγραφος 1 ή εφόσον η υποχρέωση που αναφέρεται στην παράγραφο 1 του παρόντος άρθρου είναι πιθανόν να καταστήσει αδύνατη ή να βλάψει σε μεγάλο βαθμό την επίτευξη των σκοπών της εν λόγω επεξεργασίας. Στις περιπτώσεις αυτές, ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για την προστασία των δικαιωμάτων και ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων, μεταξύ άλλων καθιστώντας τις πληροφορίες διαθέσιμες στο κοινό». 6 19 Περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ και τις Κατευθυντήριες γραμμές 4/2022 7 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (οι οποίες είναι σε δημόσια διαβούλευση) και ειδικότερα ότι: α. η διαπιστωθείσα παράβαση του άρθρου 13 του ΓΚΠΔ υπάγεται, σύμφωνα με τις διατάξεις του άρθρου 83 παρ. 5 εδ. β’ ΓΚΠΔ, στην ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης διοικητικών προστίμων 8, β. η εν λόγω παράβαση συνιστά μη συμμόρφωση του υπευθύνου επεξεργασίας με την υπ’ αριθμ. 48/2018 Απόφαση της Αρχής, γ. η παράβαση αφορά μεγάλο αριθμό υποκειμένων των δεδομένων – συγκεκριμένα, όλους πελάτες της Εθνικής Τράπεζας οι οποίοι διέθεταν χρεωστική η πιστωτική κάρτα Mastercard παλαιάς έκδοσης, δ. η παράβαση είναι συνεχής, αφού διαπιστώθηκε ήδη με την υπ’ αριθμ. 48/2018 Απόφαση της Αρχής και συνεχίζεται μέχρι σήμερα, ε. η δραστηριότητα είχε μεγάλο εύρος, καθώς αφορά κάθε «κίνηση» χρεωστικής/πιστωτικής κάρτας Mastercard (που έχει εκδώσει η Τράπεζα) σε φυσικό κατάστημα, ανεξαρτήτως γεωγραφικής τοποθεσίας αυτού ή είδους συναλλαγής εφόσον πρόκειται για κάρτα παλαιάς έκδοσης που δεν έχει αντικατασταθεί, στ. η δραστηριότητα σχετίζεται με τις κύριες δραστηριότητες του υπεύθυνου επεξεργασίας, ανεξαρτήτως του ότι τα εν λόγω δεδομένα που τηρούνται στο chip της κάρτας, και τα οποία ήδη υφίστανται νομίμως επεξεργασία σε διαφορετικό πλαίσιο, από την Τράπεζα (αφού τηρείται στα συστήματά της πληροφόρηση αναφορικά με την https://edpb.europa.eu/our-work-tools/documents/public-consultations/2022/guidelines-042022calculation-administrative_en 8 Ως «σημαντικότερες» παραβάσεις χαρακτηρίζονται αυτές οι οποίες δύνανται να επιφέρουν το μέγιστο δυνατό ύψος προστίμου 20.000.000 ευρώ ή, σε περίπτωση επιχειρήσεων, έως το 4 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, σε αντιδιαστολή με τις λοιπές παραβάσεις που περιλαμβάνονται στο άρθρο 83 παρ. 4 του ιδίου άρθρου 7 20 κίνηση της κάρτας), ουδέποτε αξιοποιήθηκαν από την Τράπεζα. ζ. η επεξεργασία αφορά δεδομένα οικονομικής φύσης, για τα οποία υπάρχει ο κίνδυνος, σύμφωνα με τα αναφερόμενα στο σκεπτικό της παρούσας, να περιέλθουν εις γνώσιν τρίτων, η. η παράβαση είχε εσκεμμένο χαρακτήρα, αφού ήδη η Αρχή είχε απευθύνει με την υπ’ αριθμ. 48/2018 Απόφαση σχετική σύσταση στην Τράπεζα και η τελευταία έλαβε στρατηγική απόφαση να μην συμμορφωθεί με την εν λόγω σύσταση αλλά, αντ’ αυτού, να αρχίσει σταδιακά τη διακοπή της εν λόγω επεξεργασίας, θ. τα διαθέσιμα στο διαδίκτυο 9 στοιχεία για τα οικονομικά έσοδα της Τράπεζας για το 2021, καθώς επίσης και ότι: α. Από την εν λόγω επεξεργασία δεν προκύπτει οικονομική ζημία για τα υποκείμενα των δεδομένων, β. η Τράπεζα δεν θα αποκόμιζε κάποιο οικονομικό όφελος από την εν λόγω επεξεργασία, γ. η Τράπεζα προέβη σε ενέργειες για τη σταδιακή διακοπή της εν λόγω επεξεργασίας. 15. Βάσει των ανωτέρω, η Αρχή αποφασίζει ομόφωνα ότι πρέπει να επιβληθεί στον καταγγελλόμενο υπεύθυνο επεξεργασίας οι αναφερόμενες στο διατακτικό διοικητικές κυρώσεις, οι οποίες κρίνονται ανάλογες με τη βαρύτητα των παραβάσεων. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, Επιβάλλει στην Εθνική Τράπεζα της Ελλάδος Α.Ε., ως υπεύθυνο επεξεργασίας, το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που Βλ. https://www.nbg.gr/el/omilos/enimerwsi-ependutwn/reports/etisia-xrimatooikonomiki-ekthesiomilou-kai-trapezas-31-12-2021 (τελευταία πρόσβαση: 19/8/2022) 9 21 αρμόζει στη συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους είκοσι χιλιάδων ευρώ (20.000,00) ευρώ, για την ως άνω διαπιστωθείσα παραβίαση του άρθρου 13 του Κανονισμού (ΕΕ) 2016/679, σύμφωνα με το άρθρο 58 παρ. 2 θ΄ του ΓΚΠΔ σε συνδυασμό με το άρθρο 83 παρ. 5 του ΓΚΠΔ. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 22 23