Αθήνα, 03-10-2022 Αριθ. Πρωτ.: 2438 ΑΠΟΦΑΣΗ 55/2022 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του Προέδρου της, σε έκακτη συνεδρίαση μέσω τηλεδιάσκεψης την 217-2022, εξ αναβολής της από 19-7-2022 και σε συνέχεια της από 14-06-2022 συνεδρίασής της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Κωνσταντίνος Μενουδάκος, Πρόεδρος της Αρχής, τα τακτικά μέλη Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, ως εισηγητής, Χρήστος Καλλονιάτης, Αικατερίνη Ηλιάδου και Γρηγόριος Τσόλιας, καθώς και το αναπληρωματικό μέλος Νικόλαος Λίβος σε αναπλήρωση του τακτικού μέλους Χαράλαμπου Ανθόπουλου ο οποίος, αν και κλήθηκε νομίμως και εγγράφως, δεν προσήλθε λόγω κωλύματος. Στη συνεδρίαση, χωρίς δικαίωμα ψήφου, παρέστησαν, με εντολή του Προέδρου, ο ελεγκτής Κωνσταντίνος Λιμνιώτης, ειδικός επιστήμονας πληροφορικής, ως βοηθός εισηγητή, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Τμήματος Διοικητικών Υποθέσεων, ως γραμματέας. H Αρχή έλαβε υπόψη τα παρακάτω: Κατόπιν σχετικών καταγγελιών κατά της Εθνικής Τράπεζας της Ελλάδος Α.Ε. (εφεξής Εθνική Τράπεζα) και της Τράπεζας Πειραιώς Α.Ε. (εφεξής Τράπεζα Πειραιώς), η Αρχή εξέτασε το ζήτημα της επεξεργασίας προσωπικών δεδομένων μέσω ανέπαφων συναλλαγών με χρεωστικές/πιστωτικές κάρτες. Οι εν λόγω καταγγελίες αφορούσαν την υποχρεωτική αντικατάσταση χρεωστικών/πιστωτικών καρτών με νέες, οι οποίες είχαν ως προεπιλογή τη δυνατότητα ανέπαφων (contactless) συναλλαγών. Η Αρχή, αφού εξέτασε ζητήματα ασφάλειας της εν λόγω επεξεργασίας καθώς επίσης και τους σχετικούς κινδύνους, και λαμβάνοντας υπόψη και τις διεθνείς, κατά την επίμαχη περίοδο, προδιαγραφές αναφορικά με τις ανέπαφες χρεωστικές ή/και πιστωτικές 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr κάρτες βάσει και των σχετικών πληροφοριών που δόθηκαν από τις εταιρείες Mastercard και Visa, εξέδωσε την υπ΄ αριθμ. 48/2018 Απόφαση, με την οποία απηύθυνε σύσταση 1 στις εν λόγω Τράπεζες, εφόσον ένας πελάτης τους δηλώσει ότι δεν επιθυμεί να έχει κάρτα με δυνατότητα πραγματοποίησης ανέπαφων συναλλαγών, είτε να παρέχουν τη δυνατότητα απενεργοποίησης της ανέπαφης λειτουργίας μίας τέτοιας κάρτας είτε να χορηγούν νέα κάρτα χωρίς δυνατότητα ανέπαφων συναλλαγών. Περαιτέρω, στο πλαίσιο εξέτασης των ως άνω καταγγελιών, η Αρχή διαπίστωσε ότι σε ορισμένες περιπτώσεις πιστωτικών/χρεωστικών καρτών τηρείται στο chip της κάρτας ιστορικό πρόσφατων συναλλαγών που πραγματοποιήθηκαν με χρήση αυτής, το οποίο μπορεί επίσης να αναγνωσθεί ευχερώς ανέπαφα. Συγκεκριμένα, οι εν λόγω πληροφορίες σχετικές με το ιστορικό συναλλαγών συνίστανται στην ημερομηνία της συναλλαγής και στο ύψος του χρηματικού ποσού αυτής. Για το εν λόγω χαρακτηριστικό που διαπιστώθηκε σε κάρτες της εταιρείας Mastercard, η εν λόγω εταιρεία ενημέρωσε την Αρχή ότι δεν είναι υποχρεωτικό χαρακτηριστικό και επαφίεται στον εκάστοτε εκδότη αν θα το ενσωματώσει ή όχι στο αντίστοιχο τραπεζικό προϊόν (πιστωτική/χρεωστική κάρτα) το οποίο παρέχει στον πελάτη του. Ως προς το ζήτημα αυτό, το οποίο η Αρχή εξέτασε αυτεπαγγέλτως, η Αρχή, με την ως άνω Απόφαση, απηύθυνε την εξής σύσταση 2 στις εν λόγω Τράπεζες: Εφόσον σε κάρτα που έχει χορηγηθεί σε πελάτη είναι ενεργοποιημένη η δυνατότητα τήρησης ιστορικού συναλλαγών στο chip αυτής χωρίς να έχει δώσει την ειδική προς τούτο συγκατάθεσή του, θα πρέπει ο πελάτης να ενημερωθεί σχετικώς με κάθε πρόσφορο τρόπο (π.χ. μέσω μηνύματος ηλεκτρονικού ταχυδρομείου, μέσω μηνύματος κατά τη σύνδεσή του σε προσωποποιημένες ηλεκτρονικές υπηρεσίες του υπεύθυνου επεξεργασίας, μέσω ταχυδρομικής επιστολής κτλ.) ως προς την επεξεργασία αυτή, παρέχοντάς του τη δυνατότητα διακοπής της επεξεργασίας αυτής. Περαιτέρω, σε κάθε νέα έκδοση/χορήγηση το εν λόγω χαρακτηριστικό θα πρέπει να είναι εξ αρχής απενεργοποιημένο, και να ενεργοποιείται μόνο αν υπάρχει ειδική προς τούτο Σύμφωνα με το άρθρο 19 παρ. γ΄ του ν. 2472/1997 το οποίο ήταν σε εφαρμογή κατά την επίμαχη περίοδο 2 Σύμφωνα με το άρθρο 19 παρ. γ΄ του ν. 2472/1997 το οποίο ήταν σε εφαρμογή κατά την επίμαχη περίοδο 1 2 συγκατάθεση του πελάτη, εφόσον έχει προηγουμένως σχετικώς ενημερωθεί για την επεξεργασία αυτή. Ακολούθως η Αρχή, με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/6257/16-07-2018 έγγραφο, διαβίβασε την ως άνω Απόφαση στο σύνολο των ελληνικών Τραπεζών (με κοινοποίηση και στις δύο ως άνω αναφερόμενες), επισημαίνοντας ότι, καίτοι οι καταγγελίες που υποβλήθηκαν στην Αρχή και εξετάστηκαν στο πλαίσιο της προαναφερθείσας Απόφασης αφορούσαν δύο συγκεκριμένα Τραπεζικά Ιδρύματα, θα πρέπει αναλογικώς - στο βαθμό κατά τον οποίο η κάθε Τράπεζα παρέχει στους πελάτες της κάρτες της εν λόγω τεχνολογίας - να λάβουν μέριμνα ώστε να πληρούνται όλα όσα διαλαμβάνονται στην εν λόγω Απόφαση. Άλλωστε, ήδη η Αρχή είχε προηγουμένως απευθυνθεί προς όλες τις Τράπεζες, με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/4943/27-06-2017 έγγραφό της, ζητώντας μεταξύ άλλων πληροφορίες ως προς το αν παρείχαν ανέπαφες χρεωστικές/πιστωτικές κάρτες και με τι χαρακτηριστικά (όπως τι πληροφορία αποθηκεύεται στο chip αυτών). Στο εν λόγω έγγραφο, όπως αναφέρεται και στην Απόφαση 48/2018, η ΑΛΦΑ ΤΡΑΠΕΖΑ Α.Ε. (εφεξής Τράπεζα Alpha) και η ΤΡΑΠΕΖΑ EUROBANK ERGASIAS Α.Ε. (εφεξής Τράπεζα Eurobank) δεν είχαν απαντήσει στην Αρχή, ενώ δεν απάντησαν επίσης ούτε κατόπιν των σχετικών υπομνηστικών εγγράφων με αρ. πρωτ. Γ/ΕΞ/276/12-01-2018 και Γ/ΕΞ/275/12-012018 αντίστοιχα. Στη συνέχεια, η Αρχή απέστειλε στην Εθνική Τράπεζα, στην Τράπεζα Πειραιώς, στην ΑΛΦΑ Τράπεζα και στην Τράπεζα Eurobank το υπ’ αριθμ. πρωτ. Γ/ΕΞ/4271/1406-2019 έγγραφο, με το οποίο ζητούσε από τις εν λόγω Τράπεζες να ενημερώσουν ως προς τις ενέργειες στις οποίες προέβησαν προκειμένου να συμμορφωθούν με τις προαναφερθείσες συστάσεις της Αρχής που μνημονεύονται στην υπ’ αριθμ. 48/2018 Απόφαση. H Τράπεζα Eurobank απάντησε με το υπ’ αριθμ. πρωτ. … έγγραφό της (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/5324/02-08-2019), αναφέροντας τα εξής: 1) H Τράπεζα, από το Νοέμβριο του 2018, υποστηρίζει τη δυνατότητα απενεργοποίησης των ανέπαφων συναλλαγών μετά από αίτημα του πελάτη. Το σχετικό αίτημα μπορεί να υποβληθεί με διάφορους τρόπους (με επίσκεψη σε φυσικό κατάστημα, μέσω ηλεκτρονικής αλληλογραφίας, μέσω τηλεφώνου κ.α.) 3 2) Ως προς το σκέλος που αφορά την τήρηση του ιστορικού των τελευταίων συναλλαγών στο chip της κάρτας, η Τράπεζα προέβη σε παραγγελίες νέων καρτών, στις προδιαγραφές των οποίων δεν περιλαμβάνεται το εν λόγω χαρακτηριστικό. Συνεπώς, οι νέες κάρτες που εκδίδονται, είτε χρεωστικές είτε πιστωτικές, δεν φέρουν το εν λόγω χαρακτηριστικό. Η Τράπεζα δίνει τη δυνατότητα στους κατόχους καρτών που έχουν το εν λόγω χαρακτηριστικό να επικοινωνήσουν με αυτή, με όποιον τρόπο επιθυμούν, και να ζητήσουν την απενεργοποίηση του συγκεκριμένου χαρακτηριστικού. Στην περίπτωση αυτή, η Τράπεζα προχωρά στην έκδοση νέας κάρτας. Περαιτέρω, διερευνάται η εύρεση αξιόπιστης τεχνικής λύσης ώστε το εν λόγω χαρακτηριστικό να απενεργοποιείται αυτόματα με χρήση της κάρτας σε ATM/POS. 3) H συγκεκριμένη αποθήκευση (ποσό και ημερομηνία πραγματοποίησης των τελευταίων 10 συναλλαγών) δεν έχει χρησιμότητα ούτε για την Τράπεζα ούτε για τον κάτοχο και δεν εγκυμονεί κανέναν κίνδυνο. Για την ανάγνωσή τους χρειάζεται κανείς να προμηθευτεί ειδικό προς τούτο υλικό (hardware που θα υποδεχτεί την κάρτα) εξοπλισμένο με κατάλληλο λογισμικό (software που θα «διαβάσει» το περιεχόμενο του chip) καθώς τα δεδομένα δεν μεταδίδονται κατά τη διάρκεια μίας συναλλαγής. Όσον αφορά στον κίνδυνο, αυτός περιορίζεται στη δυνατότητα κάποιου τρίτου να τα «διαβάσει», διότι προϋποθέτει αφενός ότι η κάρτα θα αφαιρεθεί από την κατοχή του κατόχου της χωρίς αυτός να το αντιληφθεί, και αφετέρου ότι ο τρίτος θα διαθέτει τον κατάλληλο εξοπλισμό – ενώ επίσης είναι αμφίβολη η χρησιμότητα των εν λόγω δεδομένων για τον τρίτο που θα τα διαβάσει. Ακολούθως, η Αρχή, και δεδομένου ότι υπήρξε σχετικό έγγραφο αίτημα του Α (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/6348/01-10-2021) – ο οποίος είχε υποβάλει σχετική καταγγελία στην Αρχή αναφορικά με την υποχρεωτική αντικατάσταση χρεωστικών/πιστωτικών καρτών με νέες ανέπαφες κάρτες - να πληροφορηθεί αν οι Τράπεζες συμμορφώθηκαν με τα διαλαμβανόμενα στην υπ’ αριθμ. 48/2018 Απόφαση της Αρχής ως προς το σκέλος της ενημέρωσης των κατόχων των καρτών για την τήρηση 4 ιστορικού συναλλαγών στο chip αυτής, επισημαίνοντας ότι ο ίδιος δεν έλαβε τέτοια ενημέρωση, απέστειλε στην Τράπεζα Eurobank το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/2600/1511-2021 έγγραφο, με το οποίο ζήτησε από την Τράπεζα να διευκρινίσει ειδικώς τις ενέργειες στις οποίες προέβη ως προς το ζήτημα της τήρησης του ιστορικού των τελευταίων συναλλαγών στο chip της πιστωτικής/χρεωστικής κάρτας (για τις κάρτες εκείνες που διέθεταν το εν λόγω χαρακτηριστικό), αποσαφηνίζοντας ιδίως αν ενημέρωσε προσηκόντως όλους τους κατόχους των ανωτέρω καρτών για την εν λόγω επεξεργασία, ανεξαρτήτως αν, εν τω μεταξύ, οι κάρτες τους έχουν ήδη αντικατασταθεί λόγω λήξης της ισχύος των παλαιότερων. H Τράπεζα Eurobank απάντησε με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/205/12-01-2022 έγγραφο, αναφέροντας τα εξής: 1) Tα στοιχεία που καταχωρούνται στη μνήμη του "chip" των συγκεκριμένων καρτών που έχουν αυτή τη δυνατότητα αφορούν μόνο στο ποσό και τηv ημερομηνία των τελευταίων δέκα
(10)συναλλαγών. Από τα συγκεκριμένα αυτά στοιχεία που τίθενται στη συγκεκριμένη επεξεργασία (τήρηση) είναι αδύνατο να προκύψει με οποιονδήποτε τρόπο, έστω και έμμεσα, η ταυτότητα του κατόχου της κάρτας, και ως εκ τούτου δεν τίθεται θέμα προσωπικών δεδομένων, ούτε επεξεργασίας τους κατά την έννοια του ΓΚΠΔ. 2) Ακόμη και εάν υποτεθεί ότι τα ως άvω στοιχεία είναι προσωπικά δεδομένα, η συγκεκριμένη επεξεργασία συνίσταται μόνο στην αποθήκευσή τους, δηλαδή στην τήρησή τους στη μνήμη του "chip" της κάρτας. Τηρούνται συνεπώς σ’ ένα αντικείμενο, την κάρτα, που βρίσκεται στην κατοχή του πελάτη (κατόχου κάρτας) και χρησιμοποιείται από αυτόν και μόνο, σε POS ή/και ATM όλων των τραπεζών και όχι μόνο της τράπεζας που την εξέδωσε. Κατά τη χρήση αυτή, το POS ή το ΑΤΜ, στο οποίο η κάρτα χρησιμοποιείται, εγκρίνει τη συναλλαγή βάσει του ΡΙΝ, το οποίο καταχωρεί ο πελάτης όπου αυτό απαιτείται. Για τη διαδικασία αυτή δεν τίθεται θέμα «ανάγνωσης» ή οποιασδήποτε άλλης επεξεργασίας των στοιχείων των συναλλαγών (ποσό, ημερομηνία) που πραγματοποιήθηκαν προηγουμένως με την κάρτα γιατί αυτές είναι παντελώς μη σχετικές με τη συγκεκριμένη επεξεργασία που συνίσταται στην ταυτοποίηση του 5 κατόχου. Άλλωστε η ως άνω διαδικασία ταυτοποίησης του κατόχου ολοκληρώνεται με πιστωτικές/χρεωστικές τον ίδιο κάρτες ακριβώς που δεν τρόπο έχουν και τη με τις δυνατότητα αποθήκευσης στοιχείων συναλλαγών στο "chiρ". 3) Περαιτέρω, εάν περιέλθει σε τρίτο η κατοχή της κάρτας, τα ως άνω συγκεκριμένα στοιχεία είναι πρακτικά μη προσβάσιμα και παντελώς άχρηστα, αφού περιέρχονται σε αυτόν τα προσωπικά δεδομένα που είναι τυπωμένα σε αυτή (ονοματεπώνυμο, αριθμός κάρτας, ημερομηνία λήξης, κωδικός CVC) και πολύ περισσότερο του δίδεται η δυνατότητα να τη χρησιμοποιήσει προκαλώντας ζημία (π.χ. οικονομική) στο νόμιμο κάτοχο της. Προς τούτο, ο τρίτος δεν έχει κανέναν λόγο να πληροφορηθεί ποιες είναι οι τελευταίες δέκα συναλλαγές (ποσό, ημερομηνία) που ο νόμιμος κάτοχος της κάρτας πραγματοποίησε, ούτε να κάνει το προφίλ αυτού. 4) H διαδικασία αντικατάστασης των καρτών με νέες που δεν έχουν το συγκεκριμένο χαρακτηριστικό άρχισε τον Ιούλιο 2019 για τις χρεωστικές κάρτες και τον Οκτώβριο του ίδιου έτους για τις πιστωτικές, είναι σε εξέλιξη και έχει ήδη αντικατασταθεί η πλειοψηφία των καρτών. 5) Η Τράπεζα, παρά τη σχετικά εκτεταμένη δημοσιότητα της Απόφασης 48/2018, έχει δεχτεί και ικανοποιήσει ένα πολύ μικρό αριθμό αιτημάτων για αντικατάσταση κάρτας για το λόγο αυτό. Η Τράπεζα εξέτασε και τη δυνατότητα αυτόματης απενεργοποίησης της ως άνω αποθήκευσης με τη χρήση της σε ΑΤΜ / POS, όμως για τους παραπάνω λόγους και της μηδενικής σχετικής ζήτησης, σε συνδυασμό με το δυσανάλογο προς τούτο κόστος, δεν προχώρησε σε κάποια σχετική μαζική υλοποίηση. 6) Εφόσον, κατά τους ισχυρισμούς της Τράπεζας, δεν πρόκειται για προσωπικά δεδομένα και επεξεργασία αυτών, δεν τίθεται θέμα ενημέρωσης των κατόχων αυτών των καρτών και σχετικής συγκατάθεσης αυτών. Στη συνέχεια, η Αρχή κάλεσε σε ακρόαση, μέσω τηλεδιάσκεψης, την Τράπεζα Eurobank στη συνεδρίαση της Ολομέλειας της 14-06-2022 (βλ. κλήση με αριθ. πρωτ. 6 Γ/ΕΞΕ/1334/02-06-2022). Κατά τη συνεδρίαση της 14-06-2022 παρέστησαν ο κ. Β, Επικεφαλής …, ο κ. Γ, Υπεύθυνος Προστασίας Δεδομένων και η Δ, ως εκπρόσωποι της Τράπεζας Εurobank. Μετά τη συνεδρίαση ο υπεύθυνος επεξεργασίας έλαβε προθεσμία για υποβολή υπομνήματος, το οποίο και υπέβαλε, εντός της ταχθείσας προθεσμίας, με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/8666/08-07-2022 έγγραφο. Στο εν λόγω υπόμνημα αναφέρονται τα εξής: Στην Τράπεζα, μόλις έγινε γνωστό το περιεχόμενο της Απόφασης 48/2018 της Αρχής, πραγματοποιήθηκαν άμεσα μια σειρά από συναντήσεις με όλες τις αρμόδιες υπηρεσίες της και με τη συμμετοχή του Υπεύθυνου Προστασίας Δεδομένων της Τράπεζας, κατά τις οποίες λήφθηκαν αποφάσεις για τη συμμόρφωσή της με την Απόφαση και εγκρίθηκε συγκεκριμένο χρονοδιάγραμμα εκτέλεσης αυτών. Για το ζήτημα που αφορά στη διενέργεια ανέπαφων συναλλαγών με τη χρήση καρτών για ποσό μικρότερο των 25 ευρώ, η Τράπεζα έχει συμμορφωθεί πλήρως με το περιεχόμενο της Απόφασης. Ειδικότερα, η Τράπεζα υλοποίησε τις αναγκαίες τεχνικές υποδομές και ανέπτυξε ειδική διαδικασία προκειμένου οι πελάτες της να έχουν τη δυνατότητα απενεργοποίησης της ανέπαφης λειτουργίας των καρτών τους. Επί συνόλου περίπου 3.2 εκατομμυρίων καρτών η Τράπεζα έχει δεχθεί μόνο 1.358 σχετικά αιτήματα, (ποσοστό 0,043%), τα οποία έχει ικανοποιήσει στο σύνολό τους. Χαρακτηριστικό είναι μάλιστα το γεγονός ότι υπήρξαν και περιστατικά πελατών οι οποίοι άλλαξαν γνώμη και ζήτησαν την επανενεργοποίηση δυνατότητας πραγματοποίησης ανέπαφων συναλλαγών, πράγμα το οποίο επίσης εκτέλεσε η Τράπεζα. Για το δεύτερο ζήτημα που αφορά στο ιστορικό συναλλαγών που τηρούνται στο chip της κάρτας, η Τράπεζα, όπως έχει ενημερώσει ήδη την Αρχή, σε πλήρη συμμόρφωση με την Απόφαση ήδη από τον Ιούλιο του 2019 για τις χρεωστικές κάρτες και από τον Οκτώβριο του 2019 για τις πιστωτικές κάρτες, παραμετροποίησε τις νέες κάρτες στο σύνολό τους κατά τρόπο ώστε να μην αποθηκεύουν στο chip τους το ιστορικό συναλλαγών (ποσό και ημερομηνία πραγματοποίησης των 10 τελευταίων συναλλαγών) που διενεργούνται με τη χρήση των καρτών αυτών. Σημειώνεται ότι: (α) η εν λόγω παραμετροποίηση αφορά τις κάρτες Mastercard, καθώς οι κάρτες VISA 7 δεν τηρούν στο chip τους στοιχεία ιστορικότητας συναλλαγών, (β) οι 10 συναλλαγές που αποθηκεύονται στο chip της κάρτας είναι συναλλαγές που διενεργούνται μόνο με την «παρουσία» της ίδιας της κάρτας (και όχι με οποιοδήποτε άλλο τρόπο (π.χ. μέσω ηλεκτρονικών αγορών) και (γ) κατά την ημερομηνία του υπομνήματος, περισσότερο από τα 2/3 των καρτών εκδόσεως της Τράπεζας δεν αποθηκεύουν στο chip τους τα εν λόγω στοιχεία ιστορικότητας συναλλαγών. Αναφορικά με τις εναπομείνασες κάρτες στις οποίες εξακολουθούν να τηρούνται τα εν λόγω στοιχεία ιστορικότητας συναλλαγών, η Τράπεζα επισημαίνει ότι: α) Οι κάρτες αυτές θα αντικατασταθούν βάσει της ημερομηνίας λήξης τους ή και σε τυχόν προγενέστερο χρόνο σε περίπτωση απώλειας ή κλοπής αυτών με τις νέες κάρτες της Τράπεζας, στις οποίες δε θα τηρούνται στοιχεία ιστορικότητας συναλλαγών. Το μεγαλύτερο ποσοστό των καρτών αυτών, βάσει της ημερομηνίας λήξης τους, αναμένεται να αντικατασταθεί έως τις 31.12.2023. β) Σχετικά με την ενημέρωση των κατόχων των καρτών αυτών αναφορικά με το γεγονός της τήρησης των ως άνω δύο στοιχείων ιστορικότητας στο chip της κάρτας, η Τράπεζα θεωρεί ότι η ενημέρωση αυτή δεν είναι σκόπιμο να πραγματοποιηθεί διότι:
- i)Ο σχετικός κίνδυνος για τους κατόχους των εν λόγω καρτών είναι πολύ περιορισμένος, καθώς όσον αφορά την Τράπεζα, αυτή ούτε δύναται να έχει πρόσβαση στα στοιχεία αυτά μέσω της ίδιας της κάρτας αλλά ούτε και έχει οποιοδήποτε όφελος από την τήρηση της ιστορικότητας των δύο στοιχείων στο chip της κάρτας. Δεν δύναται να έχει πρόσβαση στα στοιχεία αυτά μέσω της ίδιας της κάρτας καθώς τα δύο αυτά στοιχεία ιστορικότητας δεν απαιτούνται από το POS (άρα και από την Τράπεζα) κατά τη διενέργεια των συναλλαγών. Αλλά ούτε και ίδιο όφελος έχει η Τράπεζα από την τήρηση των στοιχείων αυτών στο chip της κάρτας, δεδομένου ότι τόσο τα δύο στοιχεία αυτών των 10 τελευταίων συναλλαγών όσο και άλλα σχετικά στοιχεία τα τηρεί έτσι και αλλιώς η Τράπεζα στα συστήματά της. Αν ήθελε η Τράπεζα να επεξεργασθεί περαιτέρω τα στοιχεία των κατόχων των καρτών (π.χ. για την κατάρτιση του προφίλ αυτών), προφανώς θα το έπραττε, υπό τις προϋποθέσεις του νόμου, στηριζόμενη στα στοιχεία που τηρεί στα 8 συστήματά της και όχι στα τόσο περιορισμένα (και μη προσβάσιμα από αυτή) στοιχεία εντός του chip της κάρτας. Όσον αφορά οποιονδήποτε τρίτο αποπειραθεί να αποκτήσει παράνομα πρόσβαση στα στοιχεία αυτά (π.χ. κλέβοντας την κάρτα), πρακτικά ο μόνος κίνδυνος για τον κάτοχο της κάρτας είναι το πρόσωπο αυτό να διενεργήσει συναλλαγές με την κάρτα και όχι να χρησιμοποιήσει κάποια στοιχεία ιστορικότητας που θα του ήταν άχρηστα. Ακόμα και εάν ο κλέπτης μιας κάρτας διέθετε την απαραίτητη τεχνική υποδομή για να «διαβάσει» το chip της κάρτας, η πρόθεση του θα ήταν να προβεί σε άμεση χρήση αυτής και όχι να καταρτίσει προφίλ του προσώπου από το οποίο αφαίρεσε την κάρτα.
- ii)Η ενημέρωση των κατόχων των συγκεκριμένων καρτών για το γεγονός ότι τηρείται ιστορικότητα στο chip αυτών θα δημιουργούσε έναν αδικαιολόγητο πανικό στο τραπεζικό οικοσύστημα (καθώς το ζήτημα δεν αφορά μόνο την εν λόγω Τράπεζα) αλλά και στην οικονομία και την κοινωνία γενικότερα. Η ενημέρωση αυτή, μεγεθυμένη ενδεχομένως και από πρόσωπα που αναπτύσσουν θεωρίες συνομωσίας μέσω των κοινωνικών δικτύων, θα μπορούσε να δημιουργήσει τέτοια σύγχυση στην τραπεζική αγορά ώστε τα τηλεφωνικά κέντρα των τραπεζών και τα καταστήματά τους θα κατακλύζονταν από πελάτες που θα ζητούσαν άμεση αντικατάσταση των καρτών τους, κάτι που θα ήταν πρακτικά αδύνατο, δεδομένων και των μεγάλων δυσκολιών που αντιμετωπίζουν οι τράπεζες στο σύνολό τους για την προμήθεια καρτών συνεπεία της πανδημίας και την παγκόσμια έλλειψη chip. Είναι δε πιθανό πολλοί να απέφευγαν να χρησιμοποιήσουν τις κάρτες τους, με όποιες συνέπειες θα είχε το γεγονός αυτό για την οικονομία. iii) Τα ανωτέρω θα είχαν ως συνέπεια, μεταξύ άλλων, οι τράπεζες να πρέπει να χρησιμοποιήσουν μεγάλους πόρους για την επικοινωνιακή διαχείριση ενός ουσιαστικά ανύπαρκτου και χωρίς κανένα ουσιώδη κίνδυνο για τους κατόχους των καρτών αυτών ζητήματος, προκειμένου να αποκατασταθεί η εμπιστοσύνη των καταναλωτών στις κάρτες και 9 να καθησυχασθούν για τις όποιες ανησυχίες τους. Η άποψη της Τράπεζας είναι ότι εφαρμοστέα στην περίπτωση αυτή θα ήταν η παρ. 5(β) του άρθρου 14 του ΓΚΠΔ, που καθιστά μη αναγκαία την παροχή της σχετικής ενημέρωσης στα εν λόγω υποκείμενα δεδομένων. Περαιτέρω, στο υπόμνημα αναφέρεται ότι, σε κάθε περίπτωση, η Τράπεζα συνεχίζει, βάσει και του σχετικού προγραμματισμού της, την αντικατάσταση των εν λόγω καρτών με νέες, ώστε περί το τέλος του επόμενου έτους το μεγαλύτερο ποσοστό των καρτών αυτών να έχει αντικατασταθεί. Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και το βοηθό εισηγητή, ο οποίος (βοηθός) παρέστη χωρίς δικαίωμα ψήφου, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ 1. Σύμφωνα με τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (EE) 2016/679 (εφεξής, ΓΚΠΔ) και του άρθρου 9 του ν. 4624/2019 (ΦΕΚ Α ́ 137), η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. 2. Σύμφωνα με το άρθρο 4 στοιχ. 1 του ΓΚΠΔ, ως δεδομένα προσωπικού χαρακτήρα νοείται «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)», ενώ «το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου». Στη δε εισαγωγική σκέψη 26 του ΓΚΠΔ 10 αναφέρεται ότι «για να κριθεί κατά πόσον ένα φυσικό πρόσωπο είναι ταυτοποιήσιμο, θα πρέπει να λαμβάνονται υπόψη όλα τα μέσα τα οποία είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν, όπως για παράδειγμα ο διαχωρισμός του, είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο για την άμεση ή έμμεση εξακρίβωση της ταυτότητας του φυσικού προσώπου. Για να διαπιστωθεί κατά πόσον κάποια μέσα είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν για την εξακρίβωση της ταυτότητας του φυσικού προσώπου, θα πρέπει να λαμβάνονται υπόψη όλοι οι αντικειμενικοί παράγοντες, όπως τα έξοδα και ο χρόνος που απαιτούνται για την ταυτοποίηση, λαμβανομένων υπόψη της τεχνολογίας που είναι διαθέσιμη κατά τον χρόνο της επεξεργασίας και των εξελίξεων της τεχνολογίας». 3. Σύμφωνα με το άρθρο 4 στοιχ. 7 του ΓΚΠΔ, ως υπεύθυνος επεξεργασίας ορίζεται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους». 4. Σύμφωνα με το άρθρο 5 παρ. 3 του ΓΚΠΔ ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του ιδίου άρθρου, στις οποίες περιλαμβάνεται η νομιμότητα, αντικειμενικότητα και διαφάνεια της επεξεργασίας σύμφωνα με το άρθρο 5 παρ. 1 στοιχ. α’ – ήτοι τα δεδομένα πρέπει να υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων. Με άλλα λόγια, με τον ΓΚΠΔ υιοθετήθηκε ένα μοντέλο συμμόρφωσης με κεντρικό πυλώνα την εν λόγω αρχή της λογοδοσίας, ήτοι ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις και, επιπλέον, οφείλει να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 του ΓΚΠΔ. 5. Περαιτέρω, το άρθρο 6 παρ. 1 του ΓΚΠΔ προβλέπει, μεταξύ άλλων, ότι η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις 11 ακόλουθες προϋποθέσεις (νομικές βάσεις της επεξεργασίας): «α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ' αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης, (...) στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα (...)». 6. Αναφορικά με την αρχή της διαφάνειας της επεξεργασίας, ο ΓΚΠΔ θέτει συγκεκριμένες υποχρεώσεις στους υπευθύνους επεξεργασίας ως προς την ενημέρωση που οφείλουν να παρέχουν στα υποκείμενα των δεδομένων. Ειδικότερα, σύμφωνα με το άρθρο 12 παρ. 1 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 (τα οποία αφορούν τις πληροφορίες που παρέχονται στα υποκείμενα των δεδομένων είτε τα δεδομένα συλλέγονται από τα ίδια τα υποκείμενα είτε όχι) και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 (τα οποία αφορούν τα δικαιώματα των υποκειμένων των δεδομένων, συμπεριλαμβανομένου του δικαιώματος εναντίωσης 3 στην επεξεργασία του άρθρου 21) σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή. Περαιτέρω, στην παράγραφο 2 του άρθρου 12 του ΓΚΠΔ προβλέπεται ότι «ο υπεύθυνος επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων (…)». Σύμφωνα με το άρθρο 21 του ΓΚΠΔ, «Το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν, η οποία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο ε) ή στ), περιλαμβανομένης της κατάρτισης προφίλ βάσει των εν λόγω διατάξεων. Ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν ο υπεύθυνος επεξεργασίας καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων». 3 12 7. Ειδικότερα δε, στο άρθρο 13 του ΓΚΠΔ ορίζεται ότι «όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες: α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας, (…) γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, (…)» (βλ. παρ. 1 του άρθρου 13 του ΓΚΠΔ). 8. Στη συγκεκριμένη περίπτωση, για την επεξεργασία η οποία συνίσταται στην αποθήκευση, στο chip της χρεωστικής/πιστωτικής κάρτας της Τράπεζας Eurobank, του ιστορικού των τελευταίων δέκα
(10)συναλλαγών που πραγματοποιήθηκαν μέσω αυτής, το οποίο μπορεί να αναγνωστεί ανέπαφα, η εν λόγω Τράπεζα αποτελεί τον υπεύθυνο επεξεργασίας, κατά την έννοια του άρθρου 4 στοιχ. 7 του ΓΚΠΔ. Πράγματι, όπως προέκυψε από την αρχική εξέταση της υπόθεσης με την υπ’ αριθμ. 48/2018 Απόφαση της Αρχής, το εν λόγω τεχνολογικό χαρακτηριστικό παρέχεται ως προαιρετική επιλογή σε κάρτες από την εταιρεία Mastercard - ήτοι επαφίεται σε κάθε εκδότη («Τράπεζα») αν θα το ενεργοποιήσει ή όχι. Εξάλλου, η Τράπεζα Eurobank πράγματι ξεκίνησε, όπως περιγράφεται στο ιστορικό της παρούσας, την έκδοση καρτών χωρίς αυτό το τεχνολογικό χαρακτηριστικό – το οποίο εξάλλου, όπως σημειώνει, ουδέποτε αξιοποίησε. 9. Για την εν λόγω επεξεργασία η Τράπεζα Eurobank δεν παρείχε σχετική ενημέρωση στα υποκείμενα των δεδομένων (ήτοι στους κατόχους των εν λόγω καρτών), όπως προκύπτει από τα έγγραφά της προς την Αρχή. Επισημαίνεται ότι η Αρχή, ήδη με την υπ’ αριθμ. 48/2018 Απόφαση (η οποία βασίστηκε στο προ του ΓΚΠΔ ισχύον νομικό πλαίσιο), εντόπισε την εν λόγω έλλειψη σε δύο άλλες Τράπεζες και απηύθυνε σύσταση προς αυτές προκειμένου να τη θεραπεύσουν, ενώ ακολούθως κοινοποίησε την εν λόγω Απόφαση και στην Τράπεζα Eurobank ζητώντας να λάβει μέριμνα ώστε να πληρούνται όλα όσα διαλαμβάνονται σε αυτή – ήτοι υιοθέτησε την ηπιότερη δυνατή επιλογή. 10. Ελλείψει της συναφούς ενημέρωσης, η οποία ούτως ή άλλως αποτελεί υποχρέωση του υπευθύνου επεξεργασίας κατά τα ανωτέρω, η νομική βάση της εν λόγω 13 επεξεργασίας δεν είναι σαφής. Μία τέτοια επεξεργασία θα μπορούσε κατ’ αρχήν να έχει ως νομική βάση τη συγκατάθεση 4 (άρθρο 6 παρ. 1 στοιχ. α’ του ΓΚΠΔ), εφόσον τα υποκείμενα των δεδομένων δηλώνουν ελεύθερα, εν πλήρει επιγνώσει και με σαφήνεια (με δήλωση ή σαφή θετική ενέργεια) ότι συναινούν συγκεκριμένα και ρητά για την εν λόγω επεξεργασία, οι εν λόγω προϋποθέσεις όμως δεν συντρέχουν στην προκειμένη περίπτωση. Επίσης, η εν λόγω επεξεργασία δεν μπορεί να θεωρηθεί ως απαραίτητη για την εκτέλεση σύμβασης - και, άρα, η νομική βάση δεν μπορεί να είναι ούτε αυτή του άρθρου 6 παρ. 1 στοιχ. β’ του ΓΚΠΔ – αφού άλλωστε υπάρχει πλήθος αντίστοιχων χρεωστικών/πιστωτικών/προπληρωμένων καρτών χωρίς το εν λόγω χαρακτηριστικό, το οποίο εξάλλου, όπως προαναφέρθηκε, υλοποιείται προαιρετικώς. Συνεπώς, η μόνη πιθανή νομική βάση φαίνεται να είναι αυτή του άρθρου 6 παρ. 1 στοιχ. στ’. Και σε αυτήν την περίπτωση όμως, πέραν του γεγονότος ότι η Τράπεζα δεν έχει τεκμηριώσει ποιο είναι το έννομο συμφέρον το οποίο επιδιώκει με την αποθήκευση αυτών των δεδομένων στις κάρτες των πελατών της, αλλ’ αντιθέτως, αναφέρει ότι δεν χρειάζεται καθόλου η εν λόγω επεξεργασία και δεν την αξιοποίησε, απαιτείται αφενός η επεξεργασία να είναι διαφανής αλλά η προϋπόθεση αυτή δεν συνέτρεξε για τη συγκεκριμένη περίπτωση, και αφετέρου τα υποκείμενα των δεδομένων να γνωρίζουν ειδικότερα και για την ύπαρξη του δικαιώματος εναντίωσης στην εν λόγω επεξεργασία (άρθρο 21 του ΓΚΠΔ), ενώ ούτε αυτή η προϋπόθεση συντρέχει στην εν λόγω περίπτωση. Ως προς το ζήτημα δε αυτό η Αρχή, με την υπ’ αριθμ. 48/2018 Απόφαση, όρισε ότι οι Τράπεζες, πέραν της ενημέρωσης των υποκειμένων των δεδομένων, θα πρέπει να παρέχουν τη δυνατότητα, σε όσους εξ αυτών το επιθυμούν, να εκφράσουν την εναντίωσή τους στην εν λόγω επεξεργασία και, ακολούθως, να φροντίσουν για την ικανοποίηση του δικαιώματος (είτε με απενεργοποίηση του συγκεκριμένου τεχνολογικού χαρακτηριστικού είτε με έκδοση νέας κάρτας). 11. Η Τράπεζα Eurobank, αν και κίνησε διαδικασίες βάσει των οποίων κάθε νέα κάρτα που εκδίδει δεν φέρει το εν λόγω χαρακτηριστικό και άρα, σταδιακά, διακόπτει την Βλ. τον ορισμό της συγκατάθεσης στο άρθρο 4 στοιχ. 11 του ΓΚΠΔ, ως «κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν». 4 14 εν λόγω επεξεργασία, δεν ενημέρωσε τους κατόχους των καρτών για την επεξεργασία αυτή, μη συμμορφούμενη συνεπώς με την υπ’ αριθμ. 48/2018 Απόφαση της Αρχής, η οποία της κοινοποιήθηκε προκειμένου να ενημερωθεί και να προβεί στις δέουσες ενέργειες. Ως εκ τούτου, υπάρχει παράβαση του άρθρου 13 του ΓΚΠΔ η οποία συνεφέλκεται παραβίαση και της κατά το άρθρο 5 παρ. 1 στοιχ. α΄ του ΓΚΠΔ αρχής της διαφάνειας της επεξεργασίας Το κύριο επιχείρημα που επικαλείται η Τράπεζα για τους λόγους της μη ενημέρωσης έγκειται στο ότι θεωρεί ότι τα εν λόγω δεδομένα δεν αποτελούν δεδομένα προσωπικού χαρακτήρα και, άρα, δεν υφίσταται επεξεργασία προσωπικών δεδομένων – οπότε δεν υφίσταται υποχρέωση ενημέρωσης για την επεξεργασία. Περαιτέρω, η Τράπεζα αναπτύσσει και σκεπτικό για να καταδείξει ότι, ακόμα και αν τα δεδομένα θεωρηθούν προσωπικά, δεν υφίσταται ουσιαστικά κανένας κίνδυνος για τα επηρεαζόμενα πρόσωπα. Ωστόσο, οι εν λόγω ισχυρισμοί είναι αβάσιμοι για τους ακόλουθους λόγους: α) Υπάρχει σαφώς δυνατότητα – και μάλιστα ευχερής - συσχετισμού των εν λόγω δεδομένων με το υποκείμενο αυτών. Κατ’ αρχάς, η ίδια η κάρτα αναφέρει στην μπροστινή της όψη το ονοματεπώνυμο του κατόχου της. Συνεπώς, εφόσον κάποιος τρίτος – που μπορεί έτσι κι αλλιώς να ανήκει και στο οικείο κοινωνικό περιβάλλον του κατόχου - καταφέρει να αποκτήσει πρόσβαση σε αυτή και να αναγνώσει τα εν λόγω δεδομένα (το οποίο, όπως περιγράφεται στη συνέχεια, δεν είναι δυσχερές), μπορεί σαφώς να εξάγει το συμπέρασμα για το ποιο πρόσωπο αυτά αφορούν. Ως εκ τούτου, και λαμβάνοντας υπόψη και τη Σκέψη 26 του ΓΚΠΔ, τα εν λόγω δεδομένα σαφώς αποτελούν δεδομένα προσωπικού χαρακτήρα και δεν πρόκειται για ανώνυμες πληροφορίες, όπως εσφαλμένα ισχυρίζεται η Τράπεζα. β) Η υποχρέωση ενημέρωσης για την επεξεργασία και γενικότερα η θεμελιώδης αρχή της διαφάνειας της επεξεργασίας υφίσταται ανεξαρτήτως αν υπάρχει ή όχι κίνδυνος από την επεξεργασία για τα υποκείμενα των δεδομένων 5. Μάλιστα, ακόμα και αν δεν υπάρχει υψηλός κίνδυνος από την εν λόγω επεξεργασία για τα επηρεαζόμενα πρόσωπα, ο ισχυρισμός ότι κατ’ ουσίαν δεν Περιορισμοί στα δικαιώματα μπορούν να επιβληθούν από το ενωσιακό δίκαιο ή το δίκαιο κράτους μέλους υπό συγκεκριμένες προϋποθέσεις και εφόσον προβλέπονται κατάλληλες διασφαλίσεις, αλλά η συγκεκριμένη περίπτωση σαφώς δεν εμπίπτει σε αυτές (βλ. άρθρο 23 του ΓΚΠΔ). 5 15 υπάρχει κανένας κίνδυνος δεν τεκμηριώνεται επαρκώς για τους ακόλουθους λόγους:
- i)Tα εν λόγω δεδομένα μπορούν να αναγνωστούν και ανέπαφα. Ο εξοπλισμός ο οποίος απαιτείται για την ανάγνωση των δεδομένων είναι ευχερώς διαθέσιμος στον οποιονδήποτε. Συγκεκριμένα, όπως ήδη είχε περιγραφεί και στην υπ’ αριθμ. 48/2018 Απόφαση της Αρχής, αρκεί μία οποιαδήποτε «έξυπνη» συσκευή (π.χ. «έξυπνο» κινητό τηλέφωνο) με κατάλληλο λογισμικό (τα οποία είναι ελεύθερα διαθέσιμα) προκειμένου να αναγνώσει τα δεδομένα.
- ii)Για την ανέπαφη ανάγνωση των δεδομένων θα πρέπει η κάρτα να βρεθεί πλησίον του «αναγνώστη» (reader). Αυτό όμως δεν προϋποθέτει απαραίτητα κλοπή/απώλεια κάρτας. Για παράδειγμα, κάποιος τρίτος του στενού οικογενειακού/φιλικού/επαγγελματικού περιβάλλοντος του υποκειμένου των δεδομένων μπορεί, εφόσον βρεθεί πλησίον της εν λόγω κάρτας του υποκειμένου των δεδομένων, να αναγνώσει ανέπαφα τα εν λόγω δεδομένα. 12. Η Τράπεζα αναφέρει επιπροσθέτως ότι μία τέτοια ενημέρωση θα δημιουργούσε ανησυχία στους πελάτες της και αναστάτωση στο τραπεζικό σύστημα και στην οικονομία γενικότερα, αναφέροντας ότι τα τηλεφωνικά κέντρα των τραπεζών και τα καταστήματά τους θα κατακλύζονταν από πελάτες που θα ζητούσαν άμεση αντικατάσταση των καρτών τους, κάτι που θα ήταν πρακτικά αδύνατο, δεδομένων και των μεγάλων δυσκολιών που αντιμετωπίζουν οι τράπεζες στο σύνολό τους για την προμήθεια καρτών συνεπεία της πανδημίας και την παγκόσμια έλλειψη chip. Όμως και ως προς αυτόν τον ισχυρισμό ισχύουν κατ’ αρχήν τα διαλαμβανόμενα στην ανωτέρω Σκέψη 11 αναφορικά με τη μη εξαίρεση του υπευθύνου επεξεργασίας από την υποχρέωση ενημέρωσης. Σημειωτέο δε ότι στη συγκεκριμένη περίπτωση, τα δεδομένα συλλέγονται απευθείας από το υποκείμενο των δεδομένων, οπότε και έχει εφαρμογή, ως προς την υποχρέωση ενημέρωσης, το άρθρο 13 και όχι το άρθρο 14 του ΓΚΠΔ όπως επικαλείται ο υπεύθυνος επεξεργασίας – ακόμα όμως και αν ίσχυε το άρθρο 14, σε αυτό αναφέρεται, για τις περιπτώσεις για τις οποίες μπορεί να υπάρξει εξαίρεση από την υποχρέωση ενημέρωσης, ότι 16 «ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για την προστασία των δικαιωμάτων και ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων, μεταξύ άλλων καθιστώντας τις πληροφορίες διαθέσιμες στο κοινό» 6. Συνεπώς, ακόμα και σε μία τέτοια περίπτωση, θα έπρεπε να παρέχεται μία γενικού χαρακτήρα ενημέρωση. Περαιτέρω δε, ο ισχυρισμός ότι μία τέτοια ενημέρωση θα προκαλούσε ανησυχία δεν τεκμηριώνεται επαρκώς: τούτο διότι ακριβώς λόγω του ότι οι κίνδυνοι από την επεξεργασία δεν είναι υψηλοί, δεν προκύπτει ότι μία ορθά διατυπωμένη ενημέρωση για την εν λόγω επεξεργασία αυτή θα προκαλούσε ανησυχία. Πάντως δεν προκύπτει ότι η Τράπεζα εξέτασε ενδελεχώς κατάλληλα κείμενα ενημέρωσης προκειμένου να καταλήξει στο ως άνω συμπέρασμα. Εξάλλου, ο ισχυρισμός ότι μία τέτοια ενημέρωση θα συνεπαγόταν πληθώρα αιτημάτων αντικατάστασης καρτών, δεν μπορεί να οδηγήσει τον υπεύθυνο επεξεργασίας στο συμπέρασμα ότι εξαιρείται της υποχρέωσης ενημέρωσης διότι η διαχείριση των αιτημάτων και η παρακολούθησή τους, εφόσον είναι πράγματι υπερβολικά σε αριθμό, θα μπορούσε να οδηγήσει σε κατάλληλες διαδικασίες για την ικανοποίησή τους: για παράδειγμα, θα μπορούσε ενδεχομένως να κριθεί ότι η αντικατάσταση αυτή δεν θα λάμβανε χώρα αμέσως, λαμβάνοντας υπόψη και τους όχι ιδιαίτερα υψηλούς κινδύνους από την εν λόγω επεξεργασία. Ο δε ισχυρισμός για τις έκτακτες συνθήκες πανδημίας επίσης δεν ευσταθεί, δεδομένου ότι η Τράπεζα είχε ενημερωθεί από την Αρχή για την υποχρέωση ενημέρωσης των υποκειμένων των δεδομένων, ως προς την εν λόγω επεξεργασία, ήδη από το 2018 (δύο έτη πριν την έναρξη της πανδημίας). Σε κάθε δε περίπτωση, η Ειδικότερα, όπως αναφέρεται στο άρθρο 14 παρ. 4 του ΓΚΠΔ αναφορικά με τις πληροφορίες που παρέχονται στα υποκείμενα των δεδομένων εάν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων, «οι παράγραφοι 1 έως 4 δεν εφαρμόζονται εάν και εφόσον: α) το υποκείμενο των δεδομένων διαθέτει ήδη τις πληροφορίες, β) η παροχή τέτοιων πληροφοριών αποδεικνύεται αδύνατη ή θα συνεπαγόταν δυσανάλογη προσπάθεια, ιδίως όσον αφορά επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς, υπό τους όρους και τις εγγυήσεις που αναφέρονται στο άρθρο 89 παράγραφος 1 ή εφόσον η υποχρέωση που αναφέρεται στην παράγραφο 1 του παρόντος άρθρου είναι πιθανόν να καταστήσει αδύνατη ή να βλάψει σε μεγάλο βαθμό την επίτευξη των σκοπών της εν λόγω επεξεργασίας. Στις περιπτώσεις αυτές, ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για την προστασία των δικαιωμάτων και ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων, μεταξύ άλλων καθιστώντας τις πληροφορίες διαθέσιμες στο κοινό». 6 17 υποχρέωση ενημέρωσης η οποία βαρύνει τον υπεύθυνο επεξεργασίας δεν αίρεται κατ’ αρχήν από το κόστος που αυτή θα επιφέρει. 13. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις. 14. Η Αρχή κρίνει περαιτέρω ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς. Περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ και τις Κατευθυντήριες γραμμές 4/2022 7 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (οι οποίες είναι σε δημόσια διαβούλευση) και ειδικότερα ότι: α. η διαπιστωθείσα παράβαση του άρθρου 13 του ΓΚΠΔ υπάγεται, σύμφωνα με τις διατάξεις του άρθρου 83 παρ. 5 εδ. β’ ΓΚΠΔ, στην ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης διοικητικών προστίμων 8, β. η εν λόγω παράβαση συνιστά μη συμμόρφωση του υπευθύνου επεξεργασίας με τις οδηγίες της Αρχής που διατυπώθηκαν μέσω της υπ’ αριθμ. 48/2018 Απόφασης της Αρχής, γ. η παράβαση αφορά μεγάλο αριθμό υποκειμένων των δεδομένων – συγκεκριμένα, όλους του πελάτες της Τράπεζας Eurobank οι οποίοι διέθεταν χρεωστική η πιστωτική κάρτα Mastercard παλαιάς έκδοσης, δ. η παράβαση είναι συνεχής, αφού από τα έγγραφα της Eurobank προκύπτει ότι η επεξεργασία γινόταν τουλάχιστον από το 2018 και https://edpb.europa.eu/our-work-tools/documents/public-consultations/2022/guidelines-042022calculation-administrative_en 8 Ως «σημαντικότερες» παραβάσεις χαρακτηρίζονται αυτές οι οποίες δύνανται να επιφέρουν το μέγιστο δυνατό ύψος προστίμου 20.000.000 ευρώ ή, σε περίπτωση επιχειρήσεων, έως το 4 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, σε αντιδιαστολή με τις λοιπές παραβάσεις που περιλαμβάνονται στο άρθρο 83 παρ. 4 του ιδίου άρθρου 7 18 συνεχίζεται μέχρι σήμερα, ε. η δραστηριότητα είχε μεγάλο εύρος, καθώς αφορά κάθε «κίνηση» χρεωστικής/πιστωτικής κάρτας Mastercard (που έχει εκδώσει η Τράπεζα) σε φυσικό κατάστημα, ανεξαρτήτως γεωγραφικής τοποθεσίας αυτού ή είδους συναλλαγής, εφόσον πρόκειται για κάρτα παλαιάς έκδοσης που δεν έχει αντικατασταθεί στ. η δραστηριότητα σχετίζεται με τις κύριες δραστηριότητες του υπεύθυνου επεξεργασίας, ανεξαρτήτως του ότι τα εν λόγω δεδομένα που τηρούνται στο chip της κάρτας, και τα οποία ήδη υφίστανται νομίμως επεξεργασία, σε διαφορετικό πλαίσιο, από την Τράπεζα (αφού τηρείται στα συστήματά της πληροφόρηση αναφορικά με την κίνηση της κάρτας), δεν προκύπτει ότι αξιοποιήθηκαν από την Τράπεζα. ζ. η επεξεργασία αφορά δεδομένα οικονομικής φύσης, για τα οποία υπάρχει ο κίνδυνος, σύμφωνα με τα αναφερόμενα στο σκεπτικό της παρούσας, να περιέλθουν εις γνώσιν τρίτων, η. η παράβαση είχε εσκεμμένο χαρακτήρα, αφού ήδη η Αρχή είχε ενημερώσει την Τράπεζα για την υπ’ αριθμ. 48/2018 Απόφαση και η Τράπεζα έλαβε στρατηγική απόφαση να μην συμμορφωθεί με τα διαλαμβανόμενα σε αυτή (όπως ζήτησε η Αρχή) αλλά, αντ’ αυτού, να αρχίσει σταδιακά τη διακοπή της εν λόγω επεξεργασίας, θ. τα διαθέσιμα στο διαδίκτυο 9 στοιχεία για τα οικονομικά έσοδα της Τράπεζας για το 2021, καθώς επίσης και ότι: α. Από την εν λόγω επεξεργασία δεν προκύπτει οικονομική ζημία για τα υποκείμενα των δεδομένων, β. η Τράπεζα δεν θα αποκόμιζε κάποιο οικονομικό όφελος από την εν Βλ. https://www.eurobank.gr/-/media/eurobank/omilos/enimerosiependuton/navigational/oikonomika-apotelesmata/oikonomikes-katastaseis-2021/etisia-oikonomikiekthesi-dec-2021.pdf (τελευταία πρόσβαση: 19/8/2022) 9 19 λόγω επεξεργασία, γ. η Τράπεζα προέβη σε ενέργειες για τη σταδιακή διακοπή της εν λόγω επεξεργασίας. 15. Βάσει των ανωτέρω, η Αρχή αποφασίζει ομόφωνα ότι πρέπει να επιβληθεί στον καταγγελλόμενο υπεύθυνο επεξεργασίας οι αναφερόμενες στο διατακτικό διοικητικές κυρώσεις, οι οποίες κρίνονται ανάλογες με τη βαρύτητα των παραβάσεων. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, Επιβάλλει στην ΤΡΑΠΕΖΑ EUROBANK ERGASIAS Α.Ε. , ως υπεύθυνο επεξεργασίας, το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στη συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους είκοσι χιλιάδων ευρώ (20.000,00) ευρώ, για την ως άνω διαπιστωθείσα παραβίαση του άρθρου 13 του Κανονισμού (ΕΕ) 2016/679, σύμφωνα με το άρθρο 58 παρ. 2 θ΄ του ΓΚΠΔ σε συνδυασμό με το άρθρο 83 παρ. 5 του ΓΚΠΔ. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 20