Αθήνα, 03-10-2022 Αριθ. Πρωτ.: 2439 ΑΠΟΦΑΣΗ 54/2022 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του Προέδρου της, σε έκτακτη συνεδρίαση μέσω τηλεδιάσκεψης την 217-2022, εξ αναβολής της από 19-7-2022 και σε συνέχεια της από 14-06-2022 συνεδρίασής της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Κωνσταντίνος Μενουδάκος, Πρόεδρος της Αρχής, τα τακτικά μέλη Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, ως εισηγητής, Χρήστος Καλλονιάτης, Αικατερίνη Ηλιάδου και Γρηγόριος Τσόλιας, καθώς και το αναπληρωματικό μέλος Νικόλαος Λίβος σε αναπλήρωση του τακτικού μέλους Χαράλαμπου Ανθόπουλου ο οποίος, αν και κλήθηκε νομίμως και εγγράφως, δεν προσήλθε λόγω κωλύματος. Στη συνεδρίαση, χωρίς δικαίωμα ψήφου, παρέστησαν, με εντολή του Προέδρου, ο ελεγκτής Κωνσταντίνος Λιμνιώτης, ειδικός επιστήμονας πληροφορικής, ως βοηθός εισηγητή, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Τμήματος Διοικητικών Υποθέσεων, ως γραμματέας. H Αρχή έλαβε υπόψη τα παρακάτω: Κατόπιν σχετικών καταγγελιών κατά της Εθνικής Τράπεζας της Ελλάδος Α.Ε. (εφεξής Εθνική Τράπεζα) και της Τράπεζας Πειραιώς Α.Ε. (εφεξής Τράπεζα Πειραιώς), η Αρχή εξέτασε το ζήτημα της επεξεργασίας προσωπικών δεδομένων μέσω ανέπαφων συναλλαγών με χρεωστικές/πιστωτικές κάρτες. Οι εν λόγω καταγγελίες αφορούσαν στην υποχρεωτική αντικατάσταση χρεωστικών/πιστωτικών καρτών με νέες, οι οποίες είχαν ως προεπιλογή τη δυνατότητα ανέπαφων (contactless) συναλλαγών. Η Αρχή, αφού εξέτασε ζητήματα ασφάλειας της εν λόγω επεξεργασίας καθώς επίσης και τους σχετικούς κινδύνους, και λαμβάνοντας υπόψη και τις διεθνείς, κατά την επίμαχη περίοδο, προδιαγραφές αναφορικά με τις ανέπαφες χρεωστικές ή/και πιστωτικές 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr κάρτες βάσει και των σχετικών πληροφοριών που δόθηκαν από τις εταιρείες Mastercard και Visa, εξέδωσε την υπ΄ αριθμ. 48/2018 Απόφαση, με την οποία απηύθυνε σύσταση 1 στις εν λόγω Τράπεζες, εφόσον ένας πελάτης τους δηλώσει ότι δεν επιθυμεί να έχει κάρτα με δυνατότητα πραγματοποίησης ανέπαφων συναλλαγών, είτε να παρέχουν τη δυνατότητα απενεργοποίησης της ανέπαφης λειτουργίας μίας τέτοιας κάρτας είτε να χορηγούν νέα κάρτα χωρίς δυνατότητα ανέπαφων συναλλαγών. Περαιτέρω, στο πλαίσιο εξέτασης των ως άνω καταγγελιών, η Αρχή διαπίστωσε ότι σε ορισμένες περιπτώσεις πιστωτικών/χρεωστικών καρτών τηρείται στο chip της κάρτας ιστορικό πρόσφατων συναλλαγών που πραγματοποιήθηκαν με χρήση αυτής, το οποίο μπορεί επίσης να αναγνωσθεί ευχερώς ανέπαφα. Συγκεκριμένα, οι εν λόγω πληροφορίες σχετικές με το ιστορικό συναλλαγών συνίστανται στην ημερομηνία της συναλλαγής και στο ύψος του χρηματικού ποσού αυτής. Για το εν λόγω χαρακτηριστικό που διαπιστώθηκε σε κάρτες της εταιρείας Mastercard, η εν λόγω εταιρεία ενημέρωσε την Αρχή ότι δεν είναι υποχρεωτικό χαρακτηριστικό και επαφίεται στον εκάστοτε εκδότη αν θα το ενσωματώσει ή όχι στο αντίστοιχο τραπεζικό προϊόν (πιστωτική/χρεωστική κάρτα) το οποίο παρέχει στον πελάτη του. Ως προς το ζήτημα αυτό, το οποίο η Αρχή εξέτασε αυτεπαγγέλτως, η Αρχή, με την ως άνω Απόφαση, απηύθυνε την εξής σύσταση 2 στις εν λόγω Τράπεζες. Εφόσον σε κάρτα που έχει χορηγηθεί σε πελάτη είναι ενεργοποιημένη η δυνατότητα τήρησης ιστορικού συναλλαγών στο chip αυτής χωρίς να έχει δώσει την ειδική προς τούτο συγκατάθεσή του, θα πρέπει ο πελάτης να ενημερωθεί σχετικώς με κάθε πρόσφορο τρόπο (π.χ. μέσω μηνύματος ηλεκτρονικού ταχυδρομείου, μέσω μηνύματος κατά τη σύνδεσή του σε προσωποποιημένες ηλεκτρονικές υπηρεσίες του υπεύθυνου επεξεργασίας, μέσω ταχυδρομικής επιστολής κτλ.) ως προς την επεξεργασία αυτή, παρέχοντάς του τη δυνατότητα διακοπής της επεξεργασίας αυτής. Περαιτέρω, σε κάθε νέα έκδοση/χορήγηση το εν λόγω χαρακτηριστικό θα πρέπει να είναι εξ αρχής απενεργοποιημένο, και να ενεργοποιείται μόνο αν υπάρχει ειδική προς τούτο Σύμφωνα με το άρθρο 19 παρ. γ΄ του ν. 2472/1997 το οποίο ήταν σε εφαρμογή κατά την επίμαχη περίοδο 2 Σύμφωνα με το άρθρο 19 παρ. γ΄ του ν. 2472/1997 το οποίο ήταν σε εφαρμογή κατά την επίμαχη περίοδο 1 2 συγκατάθεση του πελάτη, εφόσον έχει προηγουμένως σχετικώς ενημερωθεί για την επεξεργασία αυτή. Ακολούθως η Αρχή, με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/6257/16-07-2018 έγγραφο, διαβίβασε την ως άνω Απόφαση στο σύνολο των ελληνικών Τραπεζών (με κοινοποίηση και στις δύο ως άνω αναφερόμενες), επισημαίνοντας ότι, καίτοι οι καταγγελίες που υποβλήθηκαν στην Αρχή και εξετάστηκαν στο πλαίσιο της προαναφερθείσας Απόφασής αφορούσαν δύο συγκεκριμένα Τραπεζικά Ιδρύματα, θα πρέπει αναλογικώς - στο βαθμό κατά τον οποίο η κάθε Τράπεζα παρέχει στους πελάτες της κάρτες της εν λόγω τεχνολογίας - να λάβουν μέριμνα ώστε να πληρούνται όλα όσα διαλαμβάνονται στην εν λόγω Απόφαση. Άλλωστε, ήδη η Αρχή είχε προηγουμένως απευθυνθεί προς όλες τις Τράπεζες, με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/4943/27-06-2017 έγγραφό της, ζητώντας μεταξύ άλλων πληροφορίες ως προς το αν παρείχαν ανέπαφες χρεωστικές/πιστωτικές κάρτες και με τι χαρακτηριστικά (όπως τι πληροφορία αποθηκεύεται στο chip αυτών). Στο εν λόγω έγγραφο, όπως αναφέρεται και στην Απόφαση 48/2018, η ΑΛΦΑ ΤΡΑΠΕΖΑ Α.Ε. (εφεξής Τράπεζα Alpha) και η ΤΡΑΠΕΖΑ EUROBANK ERGASIAS Α.Ε. (εφεξής Τράπεζα Eurobank) δεν είχαν απαντήσει στην Αρχή, ενώ δεν απάντησαν επίσης ούτε κατόπιν των σχετικών υπομνηστικών εγγράφων με αρ. πρωτ. Γ/ΕΞ/276/12-01-2018 και Γ/ΕΞ/275/12-012018 αντίστοιχα. Στη συνέχεια, η Αρχή απέστειλε στην Εθνική Τράπεζα, στην Τράπεζα Πειραιώς, στην ΑΛΦΑ Τράπεζα και στην Τράπεζα Eurobank το υπ’ αριθμ. πρωτ. Γ/ΕΞ/4271/1406-2019 έγγραφο, με το οποίο ζητούσε από τις εν λόγω Τράπεζες να ενημερώσουν ως προς τις ενέργειες στις οποίες προέβησαν προκειμένου να συμμορφωθούν με τις προαναφερθείσες συστάσεις της Αρχής που μνημονεύονται στην υπ’ αριθμ. 48/2018 Απόφαση. H Τράπεζα Πειραιώς απάντησε με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/5193/24-072019 έγγραφο, αναφέροντας τα εξής: 1) Εφόσον πελάτης της δηλώσει ότι δεν επιθυμεί να έχει κάρτα με ανέπαφη λειτουργία, η Τράπεζα ικανοποιεί το σχετικό αίτημα δεδομένου ότι έχει ολοκληρώσει όλες τις συναφείς τεχνικές υλοποιήσεις που απαιτούνται. 2) Αναφορικά με την τήρηση του ιστορικού των τελευταίων συναλλαγών στο chip των καρτών, η Τράπεζα ενημέρωσε ότι ήταν ήδη σε εξέλιξη έργο για την 3 απενεργοποίηση των σχετικών πληροφοριών για το σύνολο των τραπεζικών προϊόντων που παρέχει. Η εν λόγω απενεργοποίηση θα ισχύει για όλες τις νέες κάρτες, ανεξαρτήτως του λόγου έκδοσής τους (απώλεια, φθορά κτλ.). 3) Κατά την περίοδο στην οποία υποβλήθηκε στην Αρχή η εν λόγω απάντηση της Τράπεζας, η τελευταία ενημέρωσε ότι είχε αποφασίσει να μην παρέχει στους πελάτες της τη δυνατότητα τήρησης του ιστορικού και ότι η συγκεκριμένη δυνατότητα θα επαναξιολογηθεί σε μεταγενέστερο χρόνο. Ακολούθως, η Αρχή, και δεδομένου ότι υπήρξε σχετικό έγγραφο αίτημα του Α (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/6348/01-10-2021) ο οποίος είχε υποβάλει σχετική καταγγελία στην Αρχή αναφορικά με την υποχρεωτική αντικατάσταση χρεωστικών/πιστωτικών καρτών με νέες ανέπαφες κάρτες - να πληροφορηθεί αν οι Τράπεζες συμμορφώθηκαν με τα διαλαμβανόμενα στην υπ’ αριθμ. 48/2018 Απόφαση της Αρχής ως προς το σκέλος της ενημέρωσης των κατόχων των καρτών για την τήρηση ιστορικού συναλλαγών στο chip αυτής, επισημαίνοντας ότι ο ίδιος δεν έλαβε τέτοια ενημέρωση, απέστειλε στην Τράπεζα Πειραιώς το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/2602/1511-2021 έγγραφο, με το οποίο ζήτησε από την Τράπεζα να διευκρινίσει ειδικώς τις ενέργειες στις οποίες προέβη ως προς το ζήτημα της τήρησης του ιστορικού των τελευταίων συναλλαγών στο chip της πιστωτικής/χρεωστικής κάρτας (για τις κάρτες εκείνες που διέθεταν το εν λόγω χαρακτηριστικό), αποσαφηνίζοντας ιδίως αν ενημέρωσε προσηκόντως όλους τους κατόχους των ανωτέρω καρτών για την εν λόγω επεξεργασία, ανεξαρτήτως αν, εν τω μεταξύ, οι κάρτες τους έχουν ήδη αντικατασταθεί λόγω λήξης της ισχύος των παλαιότερων. H Τράπεζα Πειραιώς απάντησε με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/184/11-01-2022 έγγραφο, αναφέροντας τα εξής: 1) Η Τράπεζα εκκίνησε έργο για την απενεργοποίηση των σχετικών πληροφοριών για όλα τα προϊόντα καρτών που παρέχει, το οποίο υλοποιήθηκε σταδιακά για κάθε προϊόν από τις αρχές του 2019 και ολοκληρώθηκε στο σύνολό του, στα τέλη του ίδιου έτους. Βάσει αυτού, όλες οι νέες εκδόσεις καρτών ανεξαρτήτως λόγου έκδοσης (νέα κάρτα, απώλεια, φθορά, ανανέωση), οι οποίες χορηγούνται από την ημερομηνία που οδηγήθηκε στην παραγωγή η σχετική υλοποίηση για το κάθε προϊόν, 4 έχουν απενεργοποιημένο το εν λόγω χαρακτηριστικό και πλέον σήμερα το 65% του χαρτοφυλακίου των καρτών δεν φέρει ενεργές τις σχετικές πληροφορίες. 2) Η Τράπεζα, έχει λάβει τα απαραίτητα μέτρα και έχει δρομολογήσει όλες τις απαιτούμενες ενέργειες, ούτως ώστε να ολοκληρωθεί η σταδιακή αντικατάσταση όλων των καρτών – ήδη έχει συντελεστεί σε πολύ μεγάλοποσοστό – και ως εκ τούτου να επιτευχθεί πλήρως η κυκλοφορία καρτών, οι οποίες θα έχουν απενεργοποιημένο το χαρακτηριστικό της τήρησης του ιστορικού των συναλλαγών. 3) Δεν συντρέχει οποιοσδήποτε κίνδυνος που να σχετίζεται με τα προσωπικά δεδομένα των πελατών, καθώς τα στοιχεία μιας τέτοιας κάρτας (ημερομηνία, ποσό) δεν οδηγούν σε ταυτοποίηση φυσικού προσώπου και, ως εκ τούτου, δεν εμπίπτουν στην έννοια των προσωπικών δεδομένων, ενώ για την ταυτοποίηση θα πρέπει να έχει προηγηθεί παράνομη χρήση της κάρτας (π.χ. κλοπή της κάρτας), σε συνδυασμό με ειδικές γνώσεις ή χρήση ειδικής τεχνολογίας. Επομένως, πρόκειται για στοιχεία τα οποία, κατά τους ισχυρισμούς της Τράπεζας, δεν μπορούν ευχερώς να αντληθούν - ακόμα και ο ίδιος ο κάτοχος δεν μπορεί να αντλήσει τις σχετικές πληροφορίες - και ως εκ τούτου δεν συντρέχει οποιοσδήποτε κίνδυνος για τα δικαιώματα και τις ελευθερίες των πελατών, ούτε επέρχεται οποιαδήποτε διαρροή ή παραβίαση προσωπικών δεδομένων. 4) Αναφορικά με την ενεργοποίηση του χαρακτηριστικού που συνίσταται στην τήρηση του ιστορικού των συναλλαγών, κατόπιν αιτήματος των πελατών, η Τράπεζα αξιολογώντας τα δεδομένα, αποφάσισε να μην παρέχει στους πελάτες της την συγκεκριμένη δυνατότητα. 5) Επιπρόσθετα, η Τράπεζα Πειραιώς, δεδομένου ότι αντικαθιστά τα πλαστικά των καρτών της με νέα, στα οποία είναι απενεργοποιημένη η τήρηση του ιστορικού των συναλλαγών και έχει αποφασίσει να μην παρέχει στους πελάτες τη δυνατότητα ενεργοποίησης της τήρησης των εν λόγω πληροφοριών, δεν έχει προβεί και ούτε σκοπεύει, στην σχετική ενημέρωση των πελατών της. Όπως αναφέρει στο ως άνω έγγραφό της, η 5 σχετική ενημέρωση των πελατών της θα ισοδυναμούσε όχι μόνο με τεράστιο κόστος (τόσο για τη διενέργεια της ενημέρωσης, όσο και για τη διαχείριση των ζητημάτων που έπονται της ενημέρωσης, όπως παρακολούθηση ενημέρωσης, ανταπόκριση σε αιτήματα που σχετίζονται με την ενημέρωση κλπ.), αλλά θα μπορούσε να πλήξει την αξιοπιστία της Τράπεζας και θα προκαλούσε άνευ λόγου ανησυχία, προβληματισμούς και αγωνία στους πελάτες, δεδομένου ότι δεν διαφαίνεται καθ' οιονδήποτε τρόπο οποιοσδήποτε κίνδυνος για τα προσωπικά δεδομένα, τα δικαιώματα και τις ελευθερίες των πελατών. Στη συνέχεια, η Αρχή κάλεσε σε ακρόαση, μέσω τηλεδιάσκεψης, την Τράπεζα Πειραιώς στη συνεδρίαση της Ολομέλειας της 14-06-2022 (βλ. κλήση με αριθ. πρωτ. Γ/ΕΞΕ/1336/02-06-2022). Κατά τη συνεδρίαση της 14-06-2022 παρέστησαν η κα. Β, Director …, η κα. Γ… Manager και ο κος Δ, Υπεύθυνος Προστασίας Δεδομένων, ως εκπρόσωποι της Τράπεζας Πειραιώς. Μετά τη συνεδρίαση ο υπεύθυνος επεξεργασίας έλαβε προθεσμία για υποβολή υπομνήματος, το οποίο και υπέβαλε, εντός της ταχθείσας προθεσμίας, με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/8665/08-07-2022 έγγραφο. Στο εν λόγω υπόμνημα αναφέρονται τα εξής: α) Η Τράπεζα Πειραιώς τελεί σε πλήρη συμμόρφωση με όλα τα προβλεπόμενα στο στοιχείο (α) της Σκέψης 9 της 48/2018 Απόφασης της Αρχής και έχει προβεί σε όλες τις απαιτούμενες συστημικές και λειτουργικές ενέργειες ούτως ώστε, όταν οι πελάτες δηλώνουν ότι δεν επιθυμούν να έχουν στην κατοχή τους κάρτες με ανέπαφη λειτουργία, η Τράπεζα Πειραιώς να προβαίνει σε απενεργοποίηση της ανέπαφης λειτουργίας των εν λόγω καρτών, ικανοποιώντας άμεσα, πλήρως και ανεξαιρέτως τα σχετικά αιτήματα των πελατών. Ειδικότερα, μετά την έκδοση της ως άνω Απόφασης, η Τράπεζα Πειραιώς εκκίνησε άμεσα και αποτελεσματικά το έργο της απενεργοποίησης της ανέπαφης λειτουργικότητας των καρτών, εφόσον υποβάλλονται σχετικά αιτήματα από τους πελάτες, δημιούργησε τις απαραίτητες υποδομές, πραγματοποίησε όλες τις ενδεδειγμένες προσαρμογές και ολοκλήρωσε την απαιτούμενη τεχνική υλοποίηση για το σύνολο των προϊόντων της προκειμένου να είναι πλήρως εναρμονισμένη με τις επιταγές της Αρχής. Στο πλαίσιο αυτό, ήδη από τον Μάρτιο του 2019, η Τράπεζα Πειραιώς, αμέσως μόλις λαμβάνει αιτήματα 6 πελατών, με τα οποία οι πελάτες δηλώνουν ότι δεν επιθυμούν να έχουν κάρτα που υποστηρίζει την πραγματοποίηση ανέπαφων συναλλαγών ή αιτούνται την απενεργοποίηση της ανέπαφης λειτουργίας, η Τράπεζα ικανοποιεί άμεσα τα εν λόγω αιτήματα και προβαίνει σε απενεργοποίηση της ανέπαφης λειτουργίας. Περαιτέρω η Τράπεζα, έχοντας πάντοτε ως πρωταρχικό μέλημά της την υποστήριξη, εξυπηρέτηση των πελατών της και την παροχή πλήρους και διαφανούς ενημέρωσής τους για όλα τα ζητήματα που τους αφορούν, προβαίνει σε ενημέρωση των πελατών της σχετικά με την ως άνω δυνατότητα υποβολής αιτήματος περί απενεργοποίησης της ανέπαφης λειτουργίας, μέσω όλων των καναλιών εξυπηρέτησης και συγκεκριμένα μέσω του Δικτύου Καταστημάτων της Τράπεζας, της Winbank και της 24ωρης Τηλεφωνικής Εξυπηρέτησης. Μάλιστα σημειώνει ότι αν και από επιχειρηματικής απόψεως αναμενόταν ότι το ποσοστό του χαρτοφυλακίου της που θα υπέβαλλε αντίστοιχα αιτήματα θα ήταν σημαντικά μικρό, εντούτοις ελήφθη στρατηγική απόφαση να ολοκληρώσει το έργο, ώστε να παρέχει τη δυνατότητα απενεργοποίησης της ανέπαφης λειτουργικότητας, εν δυνάμει στο 100% του χαρτοφυλακίου της. Σε συνέχεια των ανωτέρω και όλως επικουρικώς η Τράπεζα επισημαίνει ότι σήμερα μόλις το 0,2% των πελατών της, έχει επιλέξει να κάνει χρήση της ανωτέρω δυνατότητας. β) Σε συνέχεια των διαλαμβανομένων στο στοιχείο (β) της Σκέψης 9 της 48/2018 Απόφασης της Αρχής, αναφορικά με την τήρηση και τη μετάδοση του ιστορικού των συναλλαγών στο chip των καρτών της, η Τράπεζα αναφέρει ότι, αφενός αναλύοντας τα δεδομένα που ισχύουν για κάθε σχήμα και λαμβάνοντας υπόψη ότι η τήρηση και μετάδοση του ιστορικού των συναλλαγών αφορά μόνο στις Mastercard κάρτες και όχι στις Visa κάρτες και αφετέρου συνεκτιμώντας τη διασπορά του χαρτοφυλακίου των καρτών της μεταξύ των δύο σχημάτων (σήμερα το ποσοστό των Mastercard καρτών ανέρχεται στο 28% του συνόλου των καρτών της), με γνώμονα τη συμμόρφωσή της με την ως άνω Απόφαση και προκειμένου να θωρακίσει το σύνολο του χαρτοφυλακίου της, έλαβε στρατηγική απόφαση που αφορούσε το σύνολο του χαρτοφυλακίου της. Ειδικότερα, η Τράπεζα αποφάσισε να εκκινήσει στο τέλος του 2018 και να εκπονήσει έργο, το οποίο θα ήταν καθολικό για το σύνολο των προϊόντων καρτών που παρέχει (46 στον αριθμό), το οποίο και προέβλεπε την απενεργοποίηση των σχετικών πληροφοριών από το Chip των καρτών. Το έργο υλοποιήθηκε σταδιακά 7 για κάθε προϊόν από τις αρχές του 2019 και ολοκληρώθηκε στο σύνολό του στο τέλος του ίδιου έτους. Βάσει αυτού, όλες οι νέες εκδόσεις καρτών ανεξαρτήτως λόγου έκδοσης (νέα κάρτα, απώλεια, φθορά, ανανέωση), οι οποίες χορηγούνται από την ημερομηνία που οδηγήθηκε η σχετική υλοποίηση στην παραγωγή για κάθε προϊόν, φέρουν απενεργοποιημένο το εν λόγω χαρακτηριστικό και πλέον σήμερα το 74% του χαρτοφυλακίου των προϊόντων των καρτών της, δεν φέρει ενεργές τις εν λόγω πληροφορίες. Περαιτέρω, η Τράπεζα έχει λάβει όλα τα απαραίτητα μέτρα και έχει δρομολογήσει όλες τις απαιτούμενες ενέργειες, ώστε σε εύλογο χρονικό διάστημα το χαρακτηριστικό της τήρησης του ιστορικού των συναλλαγών στο Chip των καρτών της να είναι απενεργοποιημένο για το σύνολο του χαρτοφυλακίου της σε κυκλοφορία, ενώ ήδη, όπως προαναφέρθηκε, τα παραπάνω έχουν ήδη συντελεστεί σε ιδιαιτέρως υψηλό ποσοστό. Επιπρόσθετα, η Τράπεζα επισημαίνει ότι δεν συντρέχει οιοσδήποτε κίνδυνος που να σχετίζεται με τα προσωπικά δεδομένα των πελατών, καθώς τα στοιχεία των συναλλαγών που τηρούνται και μεταδίδονται (ημερομηνία και ποσό) δεν οδηγούν σε ταυτοποίηση φυσικού προσώπου και ως εκ τούτου δεν εμπίπτουν στην έννοια των προσωπικών δεδομένων, ενώ για την ταυτοποίηση θα πρέπει να έχει προηγηθεί παράνομη χρήση της κάρτας (π.χ. κλοπή της κάρτας), σε συνδυασμό με ειδικές γνώσεις ή χρήση ειδικής τεχνολογίας. Επομένως πρόκειται για στοιχεία, τα οποία δεν μπορούν ευχερώς να αντληθούν - ακόμη και ο ίδιος ο κάτοχος δεν μπορεί να αντλήσει τις σχετικές πληροφορίες - και ως εκ τούτου δεν συντρέχει οποιοσδήποτε κίνδυνος για τα δικαιώματα και τις ελευθερίες των πελατών, ούτε επέρχεται οποιαδήποτε διαρροή ή παραβίαση προσωπικών δεδομένων. Η Τράπεζα σημειώνει επίσης ότι οι συναλλαγές που καταγράφονται στις Mastercard κάρτες είναι οι τελευταίες δέκα
(10)στον αριθμό και δεν εμπεριέχονται όλες, καθώς οι ηλεκτρονικές συναλλαγές - οι οποίες συνεπεία των ιδιαίτερων συνθηκών που έχουν δημιουργηθεί λόγω του CΟVΙD-19, αποτελούν μεγάλο ποσοστό αυτών - δεν καταγράφονται. Ως εκ τούτου, δεδομένου ότι η Τράπεζα αντικαθιστά τα πλαστικά των καρτών της με νέα, στα οποία είναι απενεργοποιημένη η τήρηση του ιστορικού των συναλλαγών και έχει αποφασίσει να μην παρέχει στους πελάτες της τη δυνατότητα ενεργοποίησής της, 8 δεν προέβη σε ενημέρωση των πελατών. Περαιτέρω, η Τράπεζα αναφέρει ότι μια τέτοια ενημέρωση θα μπορούσε να πλήξει την αξιοπιστία της Τράπεζας, να προκαλέσει άνευ λόγου ανησυχία στην αγορά, σύγχυση, προβληματισμό και αγωνία στους πελάτες, πολλώ δε μάλλον, όταν η τήρηση και μετάδοση των στοιχείων αφορά μόνο σε κατόχους Mastercard καρτών και δεν επιφέρει οποιαδήποτε διαρροή ή παραβίαση των προσωπικών δεδομένων των πελατών. Επιπρόσθετα η ενημέρωση του συνόλου του χαρτοφυλακίου, θα δημιουργούσε τεράστιο κόστος, τόσο λόγω της ενέργειας αυτής καθ' αυτής, όσο και λόγω των ζητημάτων που έπονται της ενημέρωσης (παρακολούθηση ενημέρωσης, ανταπόκριση σε αιτήματα που σχετίζονται με την ενημέρωση κλπ.) Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και το βοηθό εισηγητή, ο οποίος (βοηθός) παρέστη χωρίς δικαίωμα ψήφου, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
- Σύμφωνα με τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (EE) 2016/679 (εφεξής, ΓΚΠΔ) και του άρθρου 9 του ν. 4624/2019 (ΦΕΚ Α ́ 137), η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
- Σύμφωνα με το άρθρο 4 στοιχ. 1 του ΓΚΠΔ, ως δεδομένα προσωπικού χαρακτήρα νοείται «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)», ενώ «το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου». Στη δε εισαγωγική σκέψη 26 του ΓΚΠΔ 9 αναφέρεται ότι «για να κριθεί κατά πόσον ένα φυσικό πρόσωπο είναι ταυτοποιήσιμο, θα πρέπει να λαμβάνονται υπόψη όλα τα μέσα τα οποία είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν, όπως για παράδειγμα ο διαχωρισμός του, είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο για την άμεση ή έμμεση εξακρίβωση της ταυτότητας του φυσικού προσώπου. Για να διαπιστωθεί κατά πόσον κάποια μέσα είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν για την εξακρίβωση της ταυτότητας του φυσικού προσώπου, θα πρέπει να λαμβάνονται υπόψη όλοι οι αντικειμενικοί παράγοντες, όπως τα έξοδα και ο χρόνος που απαιτούνται για την ταυτοποίηση, λαμβανομένων υπόψη της τεχνολογίας που είναι διαθέσιμη κατά τον χρόνο της επεξεργασίας και των εξελίξεων της τεχνολογίας».
- Σύμφωνα με το άρθρο 4 στοιχ. 7 του ΓΚΠΔ, ως υπεύθυνος επεξεργασίας ορίζεται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους».
- Σύμφωνα με το άρθρο 5 παρ. 3 του ΓΚΠΔ ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του ιδίου άρθρου, στις οποίες περιλαμβάνεται η νομιμότητα, αντικειμενικότητα και διαφάνεια της επεξεργασίας σύμφωνα με το άρθρο 5 παρ. 1 στοιχ. α’ – ήτοι τα δεδομένα πρέπει να υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων. Με άλλα λόγια, με τον ΓΚΠΔ υιοθετήθηκε ένα μοντέλο συμμόρφωσης με κεντρικό πυλώνα την εν λόγω αρχή της λογοδοσίας, ήτοι ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις και, επιπλέον, οφείλει να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 του ΓΚΠΔ.
- Περαιτέρω, το άρθρο 6 παρ. 1 του ΓΚΠΔ προβλέπει, μεταξύ άλλων, ότι η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις 10 ακόλουθες προϋποθέσεις (νομικές βάσεις της επεξεργασίας): «α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ' αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης, (...) στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα (...)».
- Αναφορικά με την αρχή της διαφάνειας της επεξεργασίας, ο ΓΚΠΔ θέτει συγκεκριμένες υποχρεώσεις στους υπευθύνους επεξεργασίας ως προς την ενημέρωση που οφείλουν να παρέχουν στα υποκείμενα των δεδομένων. Ειδικότερα, σύμφωνα με το άρθρο 12 παρ. 1 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 (τα οποία αφορούν τις πληροφορίες που παρέχονται στα υποκείμενα των δεδομένων είτε τα δεδομένα συλλέγονται από τα ίδια τα υποκείμενα είτε όχι) και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 (τα οποία αφορούν τα δικαιώματα των υποκειμένων των δεδομένων, συμπεριλαμβανομένου του δικαιώματος εναντίωσης 3 στην επεξεργασία του άρθρου 21) σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή. Περαιτέρω, στην παράγραφο 2 του άρθρου 12 του ΓΚΠΔ προβλέπεται ότι «ο υπεύθυνος επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων (…)». Σύμφωνα με το άρθρο 21 του ΓΚΠΔ, «Το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν, η οποία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο ε) ή στ), περιλαμβανομένης της κατάρτισης προφίλ βάσει των εν λόγω διατάξεων. Ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν ο υπεύθυνος επεξεργασίας καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων». 3 11
- Ειδικότερα δε, στο άρθρο 13 του ΓΚΠΔ ορίζεται ότι «όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες: α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας, (…) γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, (…)» (βλ. παρ. 1 του άρθρου 13 του ΓΚΠΔ).
- Στη συγκεκριμένη περίπτωση, για την επεξεργασία η οποία συνίσταται στην αποθήκευση, στο chip της χρεωστικής/πιστωτικής κάρτας της Τράπεζας Πειραιώς, του ιστορικού των τελευταίων δέκα
(10)συναλλαγών που πραγματοποιήθηκαν μέσω αυτής, το οποίο μπορεί να αναγνωστεί ανέπαφα, η εν λόγω Τράπεζα αποτελεί τον υπεύθυνο επεξεργασίας, κατά την έννοια του άρθρου 4 στοιχ. 7 του ΓΚΠΔ. Πράγματι, όπως προέκυψε από την αρχική εξέταση της εν λόγω υπόθεσης με την υπ’ αριθμ. 48/2018 Απόφαση της Αρχής, το εν λόγω τεχνολογικό χαρακτηριστικό παρέχεται ως προαιρετική επιλογή σε κάρτες από την εταιρεία Mastercard - ήτοι επαφίεται σε κάθε εκδότη («Τράπεζα») αν θα το ενεργοποιήσει ή όχι. Εξάλλου, η Τράπεζα Πειραιώς πράγματι ξεκίνησε, όπως περιγράφεται στο ιστορικό της παρούσας, την έκδοση καρτών χωρίς αυτό το τεχνολογικό χαρακτηριστικό, για το οποίο περαιτέρω αποφάσισε ότι δεν θα το παρέχει ούτε ως προαιρετική, κατόπιν αιτήματος πελάτη, επιλογή. 9. Για την εν λόγω επεξεργασία η Τράπεζα Πειραιώς δεν παρείχε σχετική ενημέρωση στα υποκείμενα των δεδομένων (ήτοι στους κατόχους των εν λόγω καρτών). Επισημαίνεται ότι η Αρχή, ήδη με την υπ’ αριθμ. 48/2018 Απόφαση (η οποία βασίστηκε στο προ του ΓΚΠΔ ισχύον νομικό πλαίσιο), εντόπισε την εν λόγω έλλειψη και απηύθυνε σύσταση προς τον υπεύθυνο επεξεργασίας προκειμένου να τη θεραπεύσει – ήτοι υιοθέτησε την ηπιότερη δυνατή επιλογή. 10. Ελλείψει της συναφούς ενημέρωσης, η οποία ούτως ή άλλως αποτελεί υποχρέωση του υπευθύνου επεξεργασίας κατά τα ανωτέρω, η νομική βάση της εν λόγω επεξεργασίας δεν είναι σαφής. Μία τέτοια επεξεργασία θα μπορούσε κατ’ αρχήν να 12 έχει ως νομική βάση τη συγκατάθεση 4 (άρθρο 6 παρ. 1 στοιχ. α’ του ΓΚΠΔ), εφόσον τα υποκείμενα των δεδομένων δηλώνουν ελεύθερα, εν πλήρει επιγνώσει και με σαφήνεια (με δήλωση ή σαφή θετική ενέργεια) ότι συναινούν συγκεκριμένα και ρητά για την εν λόγω επεξεργασία, οι εν λόγω προϋποθέσεις όμως δεν συντρέχουν στην προκειμένη περίπτωση. Επίσης, η εν λόγω επεξεργασία δεν μπορεί να θεωρηθεί ως απαραίτητη για την εκτέλεση σύμβασης - και, άρα, η νομική βάση δεν μπορεί να είναι ούτε αυτή του άρθρου 6 παρ. 1 στοιχ. β’ του ΓΚΠΔ – αφού άλλωστε υπάρχει πλήθος αντίστοιχων χρεωστικών/πιστωτικών/προπληρωμένων καρτών χωρίς το εν λόγω χαρακτηριστικό, το οποίο εξάλλου, όπως προαναφέρθηκε, υλοποιείται προαιρετικώς. Συνεπώς, η μόνη πιθανή νομική βάση φαίνεται να είναι αυτή του άρθρου 6 παρ. 1 στοιχ. στ’. Και σε αυτήν την περίπτωση όμως, πέραν του γεγονότος ότι η Τράπεζα δεν έχει τεκμηριώσει ποιο είναι το έννομο συμφέρον το οποίο επιδιώκει με την αποθήκευση αυτών των δεδομένων στις κάρτες των πελατών της, απαιτείται αφενός η επεξεργασία να είναι διαφανής, αλλά η προϋπόθεση αυτή δεν συνέτρεξε για τη συγκεκριμένη περίπτωση, και αφετέρου τα υποκείμενα των δεδομένων να γνωρίζουν ειδικότερα και για την ύπαρξη του δικαιώματος εναντίωσης στην εν λόγω επεξεργασία (άρθρο 21 του ΓΚΠΔ), ενώ ούτε αυτή η προϋπόθεση συντρέχει στην εν λόγω περίπτωση. Ως προς αυτό δε το ζήτημα η Αρχή, με τη σύσταση την οποία απηύθυνε με την υπ’ αριθμ. 48/2018 Απόφαση, ζήτησε από την Τράπεζα, πέραν της ενημέρωσης των υποκειμένων των δεδομένων, να δώσει τη δυνατότητα, σε όσους εξ αυτών το επιθυμούν, να εκφράσουν την εναντίωσή τους στην εν λόγω επεξεργασία και, ακολούθως, να φροντίσει για την ικανοποίηση του δικαιώματος (είτε με απενεργοποίηση του συγκεκριμένου τεχνολογικού χαρακτηριστικού είτε με έκδοση νέας κάρτας). 11. Η Τράπεζα Πειραιώς, αν και κίνησε διαδικασίες βάσει των οποίων κάθε νέα κάρτα που εκδίδει δεν φέρει το εν λόγω χαρακτηριστικό και άρα, σταδιακά, διακόπτει την εν λόγω επεξεργασία, δεν ενημέρωσε τους κατόχους των καρτών για την επεξεργασία αυτή, μη συμμορφούμενη συνεπώς με την ως άνω Απόφαση της Βλ. τον ορισμό της συγκατάθεσης στο άρθρο 4 στοιχ. 11 του ΓΚΠΔ, ως «κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν». 4 13 Αρχής. Ως εκ τούτου, υπάρχει παράβαση του άρθρου 13 του ΓΚΠΔ η οποία συνεφέλκεται παραβίαση και της κατά το άρθρο 5 παρ. 1 στοιχ. α΄ του ΓΚΠΔ αρχής της διαφάνειας της επεξεργασίας. Τα επιχειρήματα που επικαλείται η Τράπεζα για τους λόγους της μη ενημέρωσης έγκεινται στο ότι, κατά τους ισχυρισμούς της, το κόστος θα ήταν μεγάλο ενώ θα δημιουργούσε αναστάτωση στους πελάτες της και βλάβη στη φήμη της, χωρίς να υπάρχει ουσιαστικός κίνδυνος για τους εν λόγω πελάτες της, καθώς τα δεδομένα που τηρούνταν αναφορικά με τις τελευταίες συναλλαγές που διενεργήθηκαν με την κάρτα (ημερομηνία, ποσό) δεν οδηγούν σε ταυτοποίηση φυσικού προσώπου και ως εκ τούτου δεν εμπίπτουν στην έννοια των προσωπικών δεδομένων, ενώ για την ταυτοποίηση θα πρέπει να έχει προηγηθεί παράνομη χρήση της κάρτας (π.χ. κλοπή της κάρτας), σε συνδυασμό με ειδικές γνώσεις ή χρήση ειδικής τεχνολογίας. Ωστόσο, οι εν λόγω ισχυρισμοί είναι αβάσιμοι για τους ακόλουθους λόγους: α) Η υποχρέωση ενημέρωσης για την επεξεργασία και γενικότερα η θεμελιώδης αρχή της διαφάνειας της επεξεργασίας υφίσταται ανεξαρτήτως αν υπάρχει ή όχι κίνδυνος από την επεξεργασία για τα υποκείμενα των δεδομένων 5. β) Ακόμα και αν δεν υπάρχει υψηλός κίνδυνος από την εν λόγω επεξεργασία για τα επηρεαζόμενα πρόσωπα, ο ισχυρισμός ότι κατ’ ουσίαν δεν υπάρχει κανένας κίνδυνος δεν τεκμηριώνεται επαρκώς για τους ακόλουθους λόγους:
- i)Ο εξοπλισμός ο οποίος απαιτείται για την ανάγνωση των δεδομένων είναι ευχερώς διαθέσιμος στον οποιονδήποτε. Συγκεκριμένα, όπως ήδη είχε περιγραφεί και στην υπ’ αριθμ. 48/2018 Απόφαση της Αρχής, αρκεί μία οποιαδήποτε «έξυπνη» συσκευή (π.χ. «έξυπνο» κινητό τηλέφωνο) με κατάλληλο λογισμικό (τα οποία είναι ελεύθερα διαθέσιμα) προκειμένου να αναγνώσει τα δεδομένα.
- ii)Υπάρχει σαφώς δυνατότητα – και μάλιστα ευχερής - συσχετισμού των εν λόγω δεδομένων με το υποκείμενο αυτών. Μάλιστα, αυτή η δυνατότητα δεν προϋποθέτει απαραίτητα κλοπή/απώλεια κάρτας. Για Περιορισμοί στα δικαιώματα μπορούν να επιβληθούν από το ενωσιακό δίκαιο ή το δίκαιο κράτους μέλους υπό συγκεκριμένες προϋποθέσεις και εφόσον προβλέπονται κατάλληλες διασφαλίσεις, αλλά η συγκεκριμένη περίπτωση σαφώς δεν εμπίπτει σε αυτές (βλ. άρθρο 23 του ΓΚΠΔ). 5 14 παράδειγμα, κάποιος τρίτος του στενού οικογενειακού/φιλικού/επαγγελματικού περιβάλλοντος του υποκειμένου των δεδομένων μπορεί, εφόσον βρεθεί πλησίον της εν λόγω κάρτας του υποκειμένου των δεδομένων, να αναγνώσει ανέπαφα τα εν λόγω δεδομένα. Σε κάθε δε περίπτωση, η ίδια η κάρτα αναφέρει στην μπροστινή της όψη το ονοματεπώνυμο του κατόχου της. Συνεπώς, και λαμβάνοντας υπόψη και τη Σκέψη 26 του ΓΚΠΔ, τα εν λόγω δεδομένα σαφώς αποτελούν δεδομένα προσωπικού χαρακτήρα και δεν πρόκειται για ανώνυμες πληροφορίες, όπως εσφαλμένα ισχυρίζεται η Τράπεζα. γ) Δεν τεκμηριώνεται ο ισχυρισμός για το υψηλό κόστος το οποίο απαιτείται για την ενημέρωση. Ήδη η Αρχή, με την υπ’ αριθμ. 48/2018 Απόφαση, είχε αναφέρει ως ενδεικτικούς τρόπους ενημέρωσης την αποστολή μηνύματος ηλεκτρονικού ταχυδρομείου ή την ανάρτηση μηνύματος κατά τη σύνδεση χρηστών σε προσωποποιημένες ηλεκτρονικές υπηρεσίες της Τράπεζας. Περαιτέρω δε, ο ισχυρισμός ότι μία τέτοια ενημέρωση θα συνεπαγόταν πληθώρα αιτημάτων αντικατάστασης καρτών δεν μπορεί να οδηγήσει τον υπεύθυνο επεξεργασίας στο συμπέρασμα ότι εξαιρείται της υποχρέωσης ενημέρωσης διότι η διαχείριση των αιτημάτων και η παρακολούθησή τους, εφόσον είναι πράγματι υπερβολικά σε αριθμό, θα μπορούσε να οδηγήσει σε κατάλληλες διαδικασίες για την ικανοποίησή τους. Για παράδειγμα, θα μπορούσε ενδεχομένως να κριθεί ότι η αντικατάσταση αυτή δεν θα λάμβανε χώρα αμέσως, λαμβάνοντας υπόψη και τους όχι ιδιαίτερα υψηλούς κινδύνους από την εν λόγω επεξεργασία. Σε κάθε δε περίπτωση, η υποχρέωση ενημέρωσης η οποία βαρύνει τον υπεύθυνο επεξεργασίας δεν αίρεται κατ’ αρχήν από το κόστος αυτής, αφού στη συγκεκριμένη περίπτωση έχει εφαρμογή, ως προς την υποχρέωση ενημέρωσης, το άρθρο 13 του ΓΚΠΔ 6, Ακόμα ωστόσο και αν είχε εφαρμογή το άρθρο 14 του ΓΚΠΔ, όπως αναφέρεται στο άρθρο 14 παρ. 5 του ΓΚΠΔ αναφορικά με τις πληροφορίες που παρέχονται στα υποκείμενα των δεδομένων εάν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων, «οι παράγραφοι 1 έως 4 δεν εφαρμόζονται εάν και εφόσον: α) το υποκείμενο των δεδομένων διαθέτει ήδη τις πληροφορίες, β) η παροχή τέτοιων πληροφοριών αποδεικνύεται αδύνατη ή θα συνεπαγόταν δυσανάλογη προσπάθεια, ιδίως όσον αφορά επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς, υπό τους όρους και τις εγγυήσεις που αναφέρονται στο άρθρο 89 παράγραφος 1 ή εφόσον η υποχρέωση που αναφέρεται στην παράγραφο 1 του παρόντος άρθρου είναι πιθανόν να καταστήσει αδύνατη ή να 6 15 το οποίο δεν προβλέπει καμία εξαίρεση για τον υπεύθυνο επεξεργασίας από την υποχρέωση ενημέρωσης των υποκειμένων των δεδομένων. 12. Η Τράπεζα αναφέρει επιπροσθέτως ότι μία τέτοια ενημέρωση θα δημιουργούσε ανησυχία στους πελάτες της και βλάβη στη φήμη της. Και ως προς αυτόν τον ισχυρισμό όμως ισχύουν κατ’ αρχήν τα διαλαμβανόμενα στην ανωτέρω Σκέψη 11 αναφορικά με τη μη εξαίρεση από την υποχρέωση ενημέρωσης. Περαιτέρω δε ο εν λόγω ισχυρισμός δεν τεκμηριώνεται επαρκώς. Τούτο διότι ακριβώς λόγω του ότι οι κίνδυνοι από την επεξεργασία δεν είναι υψηλοί, δεν προκύπτει ότι μία ορθά διατυπωμένη ενημέρωση για την εν λόγω επεξεργασία αυτή θα προκαλούσε ανησυχία. Πάντως, δεν προκύπτει ότι η Τράπεζα εξέτασε ενδελεχώς κατάλληλα κείμενα ενημέρωσης προκειμένου να καταλήξει στο ως άνω συμπέρασμα. 13. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις. 14. Η Αρχή κρίνει περαιτέρω ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς. Περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ και τις Κατευθυντήριες γραμμές 4/2022 7 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (οι οποίες είναι σε δημόσια διαβούλευση) και ειδικότερα ότι: α. η διαπιστωθείσα παράβαση του άρθρου 13 του ΓΚΠΔ υπάγεται, σύμφωνα με τις διατάξεις του άρθρου 83 παρ. 5 εδ. β’ ΓΚΠΔ, στην ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης βλάψει σε μεγάλο βαθμό την επίτευξη των σκοπών της εν λόγω επεξεργασίας. Στις περιπτώσεις αυτές, ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για την προστασία των δικαιωμάτων και ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων, μεταξύ άλλων καθιστώντας τις πληροφορίες διαθέσιμες στο κοινό». 7 https://edpb.europa.eu/our-work-tools/documents/public-consultations/2022/guidelines-042022calculation-administrative_en 16 διοικητικών προστίμων 8, β. η εν λόγω παράβαση συνιστά μη συμμόρφωση του υπευθύνου επεξεργασίας με την υπ’ αριθμ. 48/2018 Απόφαση της Αρχής, γ. η παράβαση αφορά μεγάλο αριθμό υποκειμένων των δεδομένων – συγκεκριμένα, όλους τους πελάτες της Τράπεζας Πειραιώς οι οποίοι διέθεταν χρεωστική η πιστωτική κάρτα Mastercard παλαιάς έκδοσης, δ. η παράβαση είναι συνεχής, αφού διαπιστώθηκε ήδη με την υπ’ αριθμ. 48/2018 Απόφαση της Αρχής και συνεχίζεται μέχρι σήμερα, ε. η δραστηριότητα είχε μεγάλο εύρος, καθώς αφορά κάθε «κίνηση» χρεωστικής/πιστωτικής κάρτας Mastercard (που έχει εκδώσει η Τράπεζα) σε φυσικό κατάστημα, ανεξαρτήτως γεωγραφικής τοποθεσίας αυτού ή είδους συναλλαγής, εφόσον πρόκειται για κάρτα παλαιάς έκδοσης που δεν έχει αντικατασταθεί, στ. η δραστηριότητα σχετίζεται με τις κύριες δραστηριότητες του υπεύθυνου επεξεργασίας, ανεξαρτήτως του ότι τα εν λόγω δεδομένα που τηρούνται στο chip της κάρτας, και τα οποία ήδη υφίστανται νομίμως επεξεργασία, σε διαφορετικό πλαίσιο, από την Τράπεζα (αφού τηρείται στα συστήματά της πληροφόρηση αναφορικά με την κίνηση της κάρτας), δεν προκύπτει ότι αξιοποιήθηκαν από την Τράπεζα. ζ. η επεξεργασία αφορά δεδομένα οικονομικής φύσης, για τα οποία υπάρχει ο κίνδυνος, σύμφωνα με τα αναφερόμενα στο σκεπτικό της παρούσας, να περιέλθουν εις γνώσιν τρίτων, η. η παράβαση είχε εσκεμμένο χαρακτήρα, αφού ήδη η Αρχή είχε απευθύνει με την υπ’ αριθμ. 48/2018 Απόφαση σχετική σύσταση στην Τράπεζα και η τελευταία έλαβε στρατηγική απόφαση να μην Ως «σημαντικότερες» παραβάσεις χαρακτηρίζονται αυτές οι οποίες δύνανται να επιφέρουν το μέγιστο δυνατό ύψος προστίμου 20.000.000 ευρώ ή, σε περίπτωση επιχειρήσεων, έως το 4 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, σε αντιδιαστολή με τις λοιπές παραβάσεις που περιλαμβάνονται στο άρθρο 83 παρ. 4 του ιδίου άρθρου 8 17 συμμορφωθεί με την εν λόγω σύσταση αλλά, αντ’ αυτού, να αρχίσει σταδιακά τη διακοπή της εν λόγω επεξεργασίας, θ. τα διαθέσιμα στο διαδίκτυο 9 στοιχεία για τα οικονομικά έσοδα της Τράπεζας για το 2021, καθώς επίσης και ότι: α. Από την εν λόγω επεξεργασία δεν προκύπτει οικονομική ζημία για τα υποκείμενα των δεδομένων, β. η Τράπεζα δεν θα αποκόμιζε κάποιο οικονομικό όφελος από την εν λόγω επεξεργασία, γ. η Τράπεζα προέβη σε ενέργειες για τη σταδιακή διακοπή της εν λόγω επεξεργασίας. 15. Βάσει των ανωτέρω, η Αρχή αποφασίζει ομόφωνα ότι πρέπει να επιβληθεί στον καταγγελλόμενο υπεύθυνο επεξεργασίας οι αναφερόμενες στο διατακτικό διοικητικές κυρώσεις, οι οποίες κρίνονται ανάλογες με τη βαρύτητα των παραβάσεων. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, Επιβάλλει στην Τράπεζα Πειραιώς Α.Ε., ως υπεύθυνο επεξεργασίας, το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στη συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους είκοσι χιλιάδων ευρώ (20.000,00) ευρώ, για την ως άνω διαπιστωθείσα παραβίαση του άρθρου 13 του Κανονισμού (ΕΕ) 2016/679, σύμφωνα με το άρθρο 58 παρ. 2 θ΄ του ΓΚΠΔ σε συνδυασμό με το άρθρο 83 παρ. 5 του ΓΚΠΔ. Βλ. https://www.piraeusholdings.gr/~/media/Com/2021/Files/investorrelations/Financials/Financial-Statements/2021/12M/2021-Annual-Financial-Report_Holdco_gr.pdf (τελευταία πρόσβαση: 19/8/2022) 9 18 Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 19 20