Επεξεργασία δεδομένων μέσω πιστωτικών/χρεωστικών καρτών από την Τράπεζα Alphabank – Συμμόρφωση με την υπ’ αριθμ. 48/2018 Απόφαση της Αρχής

(10)συναλλαγών και υλοποιήθηκε βάσει οδηγιών της Mastercard. Οι εν λόγω πληροφορίες δεν έχουν καμία χρησιμότητα και δεν εγκυμονούν κινδύνους, αναφέροντας ιδίως ότι τυχόν τρίτος που θα βρει ή θα κλέψει μία κάρτα δεν έχει κανένα ενδιαφέρον να διαβάσει τις εν λόγω πληροφορίες, ενώ ο κάτοχος της κάρτας, πέραν του ότι γνωρίζει τις συναλλαγές του, χρειάζεται ειδικό εξοπλισμό για να «διαβάσει» τις πληροφορίες αυτές. Σε κάθε περίπτωση, η Τράπεζα παρήγγειλε νέες κάρτες με τα σήματα της Mastercard χωρίς το εν λόγω χαρακτηριστικό, οι οποίες θα χορηγούνται είτε σε νέους πελάτες είτε σε υφιστάμενους σε αντικατάσταση καρτών που τους έχουν ήδη χορηγηθεί. Ακολούθως, η Αρχή, και δεδομένου ότι υπήρξε σχετικό έγγραφο αίτημα του Α (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/6348/01-10-2021) - ο οποίος είχε υποβάλει σχετική καταγγελία στην Αρχή αναφορικά με την υποχρεωτική αντικατάσταση χρεωστικών/πιστωτικών καρτών με νέες ανέπαφες κάρτες - να πληροφορηθεί αν οι Τράπεζες συμμορφώθηκαν με τα διαλαμβανόμενα στην υπ’ αριθμ. 48/2018 Απόφαση της Αρχής ως προς το σκέλος της ενημέρωσης των κατόχων των καρτών για την τήρηση ιστορικού συναλλαγών στο chip αυτής, επισημαίνοντας ότι ο ίδιος δεν έλαβε τέτοια ενημέρωση, απέστειλε στην Τράπεζα Alphabank το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/2603/15-11-2021 έγγραφο, με το οποίο ζήτησε από την Τράπεζα να διευκρινίσει ειδικώς τις ενέργειες στις οποίες προέβη ως προς το ζήτημα της τήρησης του ιστορικού των τελευταίων συναλλαγών στο chip της πιστωτικής/χρεωστικής κάρτας (για τις κάρτες εκείνες που διέθεταν το εν λόγω χαρακτηριστικό), αποσαφηνίζοντας ιδίως αν ενημέρωσε προσηκόντως όλους τους 4 κατόχους των ανωτέρω καρτών για την εν λόγω επεξεργασία, ανεξαρτήτως αν, εν τω μεταξύ, οι κάρτες τους έχουν ήδη αντικατασταθεί λόγω λήξης της ισχύος των παλαιότερων. H Τράπεζα Alphabank απάντησε με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/8351/23-12-2021 έγγραφο, αναφέροντας τα εξής: 1) Tο ποσό μιας συναλλαγής και η ημερομηνία κατά την οποία αυτή πραγματοποιήθηκε είναι, κατά τους ισχυρισμούς της Τράπεζας, αντικειμενικά αδύνατον να οδηγήσουν, με οποιονδήποτε τρόπο και μεταξύ τους συνδυασμό, άμεσα ή έμμεσα, σε προσδιορισμό της ταυτότητας φυσικού προσώπου. Ο κάτοχος προσδιορίζεται με τα λοιπά στοιχεία που είναι αποθηκευμένα στο chip της κάρτας (όπως π.χ. ο ΡΙΝ) και τυπωμένα σε αυτή (όπως πχ. ο αριθμός της), τα οποία χρησιμοποιούνται για αυτό τον σκοπό από όλες τις κάρτες που εκδίδονται περιλαμβανομένων αυτών με τα σήματα της VISA, που δεν έχουν δυνατότητα αποθήκευσης των ως άνω στοιχείων συναλλαγών. Κατ’ ακολουθία το συναλλακτικό προφίλ του κατόχου θα μπορούσε να γίνει μόνο εάν κάποιος τρίτος αποκτούσε την κατοχή της κάρτας με την οποία πραγματοποιήθηκαν οι συναλλαγές και διέθετε την απαραίτητη τεχνογνωσία και υποδομή για να "διαβάσει" το περιεχόμενο του "chip". Όμως ο τρίτος που θα κλέψει ή θα βρει κάρτα άλλου προσώπου με σκοπό να την χρησιμοποιήσει παράνομα, αφενός μαθαίνει τα προσωπικά δεδομένα του νομίμου κατόχου της, που είναι τυπωμένα σε αυτή, και αφετέρου μπορεί να προκαλέσει στον τελευταίο πολύ μεγαλύτερη ζημιά χρησιμοποιώντας την αντί να προσπαθήσει να μάθει ποιες ήταν οι δέκα τελευταίες συναλλαγές του νόμιμου κατόχου. Αν δε ο τρίτος είναι κάποιος συγγενής που "δανείστηκε" την κάρτα, προφανώς γνωρίζει τις οικονομικές δυνατότητες του νόμιμου κατόχου της και τα σχετικά προσωπικά του δεδομένα, ώστε και πάλι δεν έχει λόγο να μπει στον κόπο να πληροφορηθεί τις δέκα τελευταίες συναλλαγές που πραγματοποιήθηκαν. 2) Τα στοιχεία που καταχωρούνται στη μνήμη του «chip» δεν είναι προσωπικά δεδομένα κατά την έννοια του ΓΚΠΔ, δεν μπορεί βάσει αυτών να καταρτισθεί προφίλ συγκεκριμένου φυσικού προσώπου και είναι 5 παντελώς άχρηστα τόσο στον τυχόν τρίτο που θα αποκτήσει την κάρτα, αλλά και στον κάτοχο, την επιχείρηση στην οποία χρησιμοποιήθηκε η κάρτα και την Τράπεζα. Στον κάτοχο είναι άχρηστα γιατί ο ίδιος γνωρίζει πού και πώς χρησιμοποίησε την κάρτα του, ενώ λαμβάνει σχετική απόδειξη και μηνιαίες ενημερώσεις στις οποίες περιλαμβάνονται όλα τα στοιχεία κάθε συναλλαγής που πραγματοποιήθηκε κατά τη διάρκεια του αμέσως προηγούμενου μήνα. Στην επιχείρηση είναι άχρηστα γιατί κάθε επιχείρηση γνωρίζει όλες τις συναλλαγές που πραγματοποιούνται σε αυτή, όπως και εάν το αντίτιμό τους εξοφλήθηκε "τοις μετρητοίς" ή με χρήση κάρτας. Στην τελευταία δε περίπτωση γνωρίζει και όλα τα στοιχεία της κάρτας, που είναι προσωπικά δεδομένα του νομίμου κατόχου της, αφενός γιατί με βάση αυτά θα της καταβληθεί το αντίτιμο της συναλλαγής από την Τράπεζα και αφετέρου γιατί εάν υπάρξει αμφισβήτηση συναλλαγής θα πρέπει να την εντοπίσει για να ενεργήσει ανάλογα. Τέλος, η τράπεζα που εξέδωσε την κάρτα προφανώς γνωρίζει όλα τα προσωπικά δεδομένα του πελάτη της - κατόχου της κάρτας, όπως και όλες τις συναλλαγές που πραγματοποιούνται με αυτή γιατί εξοφλεί τις επιχειρήσεις στις οποίες η κάρτα χρησιμοποιήθηκε, χρεώνει τον λογαριασμό του κατόχου και ενημερώνει περιοδικά τόσο την επιχείρηση, όσο και τον κάτοχο για τις συναλλαγές που πραγματοποιήθηκαν με αυτή, τις αντίστοιχες χρεώσεις και πιστώσεις των λογαριασμών τους. Κατόπιν όλων αυτών, η Τράπεζα καταλήγει ότι η καταγραφή τους στη μνήμη των "chips" των συγκεκριμένων καρτών, με τα σήματα της MasterCard, των ως άνω δύο στοιχείων (ποσό και ημερομηνία συναλλαγής), πέραν του ότι αυτά δεν είναι προσωπικά δεδομένα κατά τον ΓΚΠΔ, ουδένα κίνδυνο εγκυμονεί για τον κάτοχο, διότι είναι παντελώς άχρηστα σε οποιονδήποτε τρίτο. 3) Πέραν των ανωτέρω, η Τράπεζα προχώρησε ήδη στην παραγγελία νέων καρτών χωρίς την ως άνω δυνατότητα, με τις οποίες αντικαθιστά τις κάρτες MasterCard που έχουν αυτή τη δυνατότητα σταδιακά κατά τη λήξη τους και ήδη η πλειοψηφία των παλαιών καρτών έχει αντικατασταθεί. Συγκεκριμένα σταμάτησε η παραγγελία καρτών MasterCard με την ως άνω 6 δυνατότητα ήδη από τον Απρίλιο 2018, πριν από την έναρξη εφαρμογής του ΓΚΠΔ, το δε απόθεμα των καρτών που είχαν παραγγελθεί και παραληφθεί μέχρι τότε εξαντλήθηκε τον Ιούλιο του

1. Συνεπώς έκτοτε οι κάρτες που χορηγούνται είτε για πρώτη φορά, είτε σε αντικατάσταση ήδη εκδοθεισών, δεν έχουν δυνατότητα αποθήκευσης των ως άνω στοιχείων. 4) Για την κατάργηση της ως άνω δυνατότητας δεν αρκεί μόνο η παραγωγή καρτών χωρίς αυτή, αλλά πρέπει να προσαρμοσθούν ανάλογα και οι μηχανές που προσωποποιούν τις κάρτες, δηλαδή καταχωρούν στα chips τους και εκτυπώνουν στα πλαστικά τα προσωπικά στοιχεία των κατόχων. Αυτή η προσαρμογή δεν είναι αποτέλεσμα μιας απλής παρέμβασης στις μηχανές αυτές, έχει μόνιμο χαρακτήρα, ώστε αυτές πρέπει να ακολουθούν τον ρυθμό επέκτασης της παραγωγής καρτών από τις μετά τον Απρίλιο 2018 παραγγελίες. 5) Συμπερασματικά, η Τράπεζα συνοψίζει ότι δεν προχώρησε σε σχετική ενημέρωση των κατόχων των ως άνω καρτών γιατί: α) η αποθήκευση των συγκεκριμένων στοιχείων, και όχι προσωπικών δεδομένων (όπως ισχυρίζεται η Τράπεζα), στη μνήμη των "chips" των καρτών τους ουδένα απολύτως κίνδυνο εγκυμονεί για αυτούς, β) εάν παρά ταύτα προχωρούσε σε σχετική ενημέρωση, από αυτή θα εδημιουργείτο αδικαιολόγητη ανησυχία και σύγχυση στους κατόχους, που θα έπληττε, πρακτικά χωρίς λόγο, την αξιοπιστία των συγκεκριμένων συστημάτων συναλλαγών και μάλιστα την περίοδο που η πολιτεία κάνει συνεχείς προσπάθειες επέκτασης των συναλλαγών με κάρτες, ως μέσο μείωσης της φοροδιαφυγής και ασφάλειας των συναλλασσόμενων από την πανδημία, γ) για την αντιμετώπιση του ως άνω εξαιρετικά δυσμενούς αποτελέσματος θα έπρεπε να διατεθούν πολλές εργατοημέρες και σημαντικό κόστος, το οποίο θα προστίθετο στο κόστος ενημέρωσης, δ) κατ' ακολουθία η ενημέρωση θα ήταν εξαιρετικά επικίνδυνη και ασύμφορη. 7 Η Τράπεζα δε αναφέρει ότι, ακόμη και εάν επρόκειτο για επεξεργασία προσωπικών δεδομένων, θα συνέτρεχε η τρίτη περίπτωση του άρθρου 14, παρ. 5 (β) του ΓΚΠΔ, για την εξαίρεση από την υποχρέωση ενημέρωσης. Τέλος, η Τράπεζα αναφέρει ότι, όσον αφορά στη συγκατάθεση, θέμα νομικής βάσης της συγκριμένης επεξεργασίας θα μπορούσε να τεθεί εάν τα συγκεκριμένα στοιχεία, στα οποία η συγκεκριμένη αποθήκευση αφορά, ήταν προσωπικά δεδομένα. Όμως, κατά τους ισχυρισμούς της Τράπεζας, η αποθήκευση μόνο του ποσού και της ημερομηνίας της συναλλαγής δεν συνιστά επεξεργασία προσωπικών δεδομένων. 6) Η Τράπεζα επίσης αναφέρει ότι δεν ήταν διάδικος στην υπόθεση για την οποία εκδόθηκε η Απόφαση 48/
2. Έθεσε όμως περιληπτικά υπόψη της Αρχής τα ανωτέρω στην από 11.7.2019 επιστολή της, επί της οποίας δεν έλαβε απάντηση και, ως εκ τούτου, θεώρησε ότι έγιναν αποδεκτά. Στη συνέχεια, η Αρχή κάλεσε σε ακρόαση, μέσω τηλεδιάσκεψης, την Τράπεζα Alphabank στη συνεδρίαση της Ολομέλειας της 14-06-2022 (βλ. κλήση με αριθ. πρωτ. Γ/ΕΞΕ/1333/02-06-2022). Κατά τη συνεδρίαση της 14-06-2022 παρέστησαν ο κ. Β, ο κ. Γ Υποδιευθυντής …, ο κ. Δ, Διευθυντής … και ο κ. Ε, Υπεύθυνος Προστασίας Δεδομένων, ως εκπρόσωποι της Τράπεζας Alphabank. Μετά τη συνεδρίαση ο υπεύθυνος επεξεργασίας έλαβε προθεσμία για υποβολή υπομνήματος, το οποίο και υπέβαλε, εντός της ταχθείσας προθεσμίας, με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/8620/0707-2022 έγγραφο. Στο εν λόγω υπόμνημα αναφέρονται τα εξής: α) Αναφορικά με το ζήτημα της πραγματοποίησης ανέπαφων συναλλαγών, με την προαναφερθείσα από 11.07.2019 επιστολή της προς την Αρχή, η Τράπεζα, αφού εξέθεσε για πρώτη φορά τους λόγους για τους οποίους πρακτικά δεν υπάρχει κίνδυνος από την ανέπαφη λειτουργία των καρτών, ενημέρωσε ότι ένας πολύ περιορισμένος αριθμός αιτημάτων κατόχων καρτών είχε μέχρι τότε υποβληθεί για την απενεργοποίηση της ως άνω δυνατότητας, τα οποία είχαν στο σύνολό τους ικανοποιηθεί (και τούτο παρά την αρκετά μεγάλη δημοσιότητα που έτυχε η ως άνω Απόφαση της Αρχής), καθώς επίσης και ότι είχε ήδη κινηθεί στην Τράπεζα τεχνική 8 υλοποίηση ώστε να διατίθενται στην πελατεία της βασικά προϊόντα καρτών χωρίς δυνατότητα πραγματοποίησης ανέπαφων συναλλαγών. Κατόπιν αυτού η Αρχή δεν επανήλθε στο συγκεκριμένο θέμα μέχρι την ανωτέρω περιγραφείσα ακροαματική διαδικασία, κατά τη διάρκεια της οποίας η Τράπεζα επιβεβαίωσε όσα τότε είχαν αναφερθεί. Έτσι η συγκεκριμένη δυνατότητα είναι πλέον ευρέως γνωστή στους κατόχους καρτών, ελάχιστοι εκ των οποίων έχουν μέχρι σήμερα ζητήσει την απενεργοποίηση αυτής της δυνατότητας: περίπου 6.000 κάτοχοι από τα 4.000.000 των πελατών - κατόχων (ποσοστό 0,15%). Σε κάθε περίπτωση η Alpha Bank υποστηρίζει τη δυνατότητα απενεργοποίησης των ανέπαφων συναλλαγών μετά από αίτημα του πελάτη σε οποιοδήποτε κατάστημα της Τράπεζας και τηλεφωνικά στο κέντρο εξυπηρέτησης πελατών της. Μάλιστα η δυνατότητα αυτή έχει πλέον ενσωματωθεί και στη σύμβαση για τη χορήγηση και χρήση της κάρτας (σχετικά έγγραφα έχουν συνυποβληθεί με το υπόμνημα της Τράπεζας). β) Ως προς το ζήτημα της τήρησης του ιστορικού των συναλλαγών στο chip της κάρτας, η Τράπεζα απευθύνθηκε στην Αρχή για πρώτη φορά με την προαναφερθείσα από 11.07.2019 επιστολή, στην οποία, αφού σημείωσε ότι η συγκεκριμένη δυνατότητα παρείχετο μόνο από τον Οργανισμό Καρτών MasterCard για τις κάρτες που φέρουν τα σήματά του και ότι στην πράξη η αποθήκευση των σχετικών στοιχείων αφενός δεν είχε χρησιμότητα για τους εμπλεκόμενους στις συναλλαγές με κάρτες (κάτοχο-επιχείρηση-τράπεζα), και αφετέρου ουδένα κίνδυνο εγκυμονεί για τους κατόχους, ενημέρωσε ότι, ανταποκρινόμενη στην ως άνω Απόφαση, είχε ήδη παραγγείλει τις νέες κάρτες με τα σήματα της MasterCard χωρίς αυτή τη δυνατότητα, ώστε από τον επόμενο τότε μήνα (Αύγουστο 2019) οι νέες κάρτες που θα χορηγούντο εφεξής δεν θα είχαν αυτή τη δυνατότητα. Έτσι σταδιακά δεν θα υπήρχαν κάρτες με δυνατότητα αποθήκευσης στοιχείων συναλλαγών. Με τη νεότερη, από 21.12.2021 επιστολή της Τράπεζας προς την Αρχή, διευκρινίστηκαν τα εξής: i) Μόνο οι κάρτες με τα σήματα της MasterCard έχουν την ως άνω δυνατότητα αποθήκευσης και όχι οι κάρτες με τα σήματα της VISA, ώστε το 9 θέμα αφορά στο 50% περίπου των καρτών που εκδίδει η Τράπεζα, ii) Η αποθήκευση αφορά δύο μόνο στοιχεία των εκάστοτε δέκα

(10)τελευταίων συναλλαγών: το ποσό της συναλλαγής και την ημερομηνία αυτής, iii) Επειδή από τα ως άνω στοιχεία είναι αδύνατο να ταυτοποιηθεί ο κάτοχος της κάρτας, αυτά δεν είναι προσωπικά δεδομένα κατά την έννοια του ΓΚΠΔ, iv) Τα ως άνω στοιχεία είναι άχρηστα στον κάτοχο της κάρτας, την επιχείρηση στην οποία αυτή χρησιμοποιήθηκε και στην Τράπεζα, εκδότρια ή αποδέκτρια, γιατί αυτοί αποκτούν και επεξεργάζονται όλα τα προσωπικά δεδομένα, και όχι απλώς στοιχεία, κάθε συναλλαγής με κάρτα, στο πλαίσιο της δραστηριότητας και λειτουργίας καθ' ενός από αυτούς. Τέλος η Τράπεζα υποστήριξε ότι, ακόμη και εάν γινόταν δεκτό ότι τα ως άνω στοιχεία είναι προσωπικά δεδομένα, η σχετική ενημέρωση των υποκειμένων-κατόχων, για τους οποίους η ως άνω αποθήκευση ουδένα απολύτως κίνδυνο εγκυμονεί, θα επέφερε αδικαιολόγητη αναστάτωση και ανησυχία στην αγορά, που θα έπληττε, όχι μόνο τις συγκεκριμένες κάρτες, αλλά το σύστημα των συναλλαγών με κάρτες συνολικά. Για τον λόγο αυτό δεν προχώρησε σε σχετική ενημέρωση κατ’ εφαρμογή του άρθρου 14, παρ.5 (β) του ΓΚΠΔ. γ) Η συγκεκριμένη υπόθεση αφορά στα δύο συγκεκριμένα στοιχεία των συναλλαγών με κάρτες που φέρουν τα σήματα της Mastercard: το ποσό της συναλλαγής και την ημερομηνία της. Αυτά μόνο τα στοιχεία αποθηκεύονται στο chip των συγκεκριμένων καρτών, όπως έχει επιβεβαιώσει και η MasterCard. Σύμφωνα με την Απόφαση της Αρχής, «η τήρηση αυτών των δεδομένων εγείρει ζητήματα προστασίας δεδομένων αφού από τις κινήσεις της κάρτας μπορεί να δημιουργηθεί προφίλ του κατόχου της ως προς τις καταναλωτικές του συνήθειες». Από την πρόταση αυτή προκύπτει αφενός ότι τα δύο ως άνω στοιχεία θεωρούνται προσωπικά δεδομένα και αφετέρου ότι από τη συνδυαστική επεξεργασία αυτών μπορεί να προκύψει το καταναλωτικό προφίλ συγκεκριμένου φυσικού προσώπου. Σύμφωνα με τον ΓΚΠΔ (άρθρο 4, παρ. 1) προσωπικό δεδομένο είναι κάθε πληροφορία που αφορά σε ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Ταυτοποιήσιμο δε είναι το φυσικό πρόσωπο του οποίου η ταυτότητα μπορεί να εξακριβωθεί και έμμεσα μέσω αναφοράς σε άλλο αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, αριθμό ταυτότητας, δεδομένα θέσης κλπ. 10 Στη συγκεκριμένη περίπτωση τα ως άνω συγκεκριμένα στοιχεία δεν μπορεί, κατά την κρίση της Τράπεζας, να συνδυασθούν με οποιοδήποτε άλλο δεδομένο προσδιορισμού της ταυτότητας του κατόχου, εκτός εάν κάποιος αποκτήσει την κάρτα, στο chip της οποίας έχουν αποθηκευτεί αυτά. Η κάρτα βρίσκεται στη κατοχή του κάτοχου της, που, σύμφωνα με τη σύμβαση για την έκδοση και τη χορήγησή της, μόνο αυτός πρέπει να την κατέχει και να τη χρησιμοποιεί. Μάλιστα η κάρτα πρέπει να βρίσκεται στην κατοχή του κατόχου και κατά τη χρονική στιγμή της πραγματοποίησης της συναλλαγής εφόσον αυτός πρέπει να τη χρησιμοποιεί στο POS και αυτός να πληκτρολογεί τον ΡΙΝ. Περαιτέρω, όσον αφορά στην επιχείρηση στην οποία η κάρτα χρησιμοποιήθηκε, αυτή δεν περιέρχεται στην κατοχή της, ενώ το POS δεν έχει τη δυνατότητα να «διαβάσει» τις ως άνω πληροφορίες που έχουν καταχωρηθεί σε αυτή. Αλλά και πέραν αυτών, ο έμπορος που αποδέχεται κάρτες για την εξόφληση του τιμήματος των προϊόντων ή/και υπηρεσιών που πωλεί, αποκτά όλα τα στοιχεία κάθε συναλλαγής που πραγματοποιεί ο κάτοχος και στη συνέχεια τα λαμβάνει και συγκεντρωτικά με κάθε περιοδική εκκαθάριση του λογαριασμού του από την Τράπεζα, που του πιστώνει τον λογαριασμό του με το ποσό των συναλλαγών που πραγματοποιήθηκαν. Συνεπώς ο έμπορος αφενός δεν μπορεί να διαβάσει το συγκεκριμένο πεδίο της μνήμης της κάρτας και αφετέρου έχει όλα τα δεδομένα των συναλλαγών που πραγματοποιούνται με κάρτες στο κατάστημά του, περιλαμβανομένων του ποσού και της ημερομηνίας κάθε συναλλαγής. Ο τρίτος πυλώνας των συναλλαγών με κάρτες είναι η Τράπεζα, στην οποία περιέρχονται όλα τα δεδομένα από κάθε συναλλαγή του κατόχου με την κάρτα του, γιατί αυτή εκκαθαρίζει αυτές τις συναλλαγές, πιστώνοντας τους λογαριασμούς των εμπόρων στους οποίους πραγματοποιήθηκαν οι συναλλαγές με το αντίτιμό τους και χρεώνοντας αντίστοιχα τους λογαριασμούς των κατόχων που της πραγματοποίησαν. Συνεπώς η Τράπεζα έχει στη διάθεσή της κάθε προσωπικό δεδομένο του κατόχου που αφορά στη συναλλαγή, περιλαμβανομένων βέβαια του ποσού και της ημερομηνίας κάθε συναλλαγής, ώστε ουδεμία ανάγκη έχει να «διαβάσει» το συγκεκριμένο πεδίο της κάρτας, που άλλωστε δεν είναι στην κατοχή της. 11 Κίνδυνος για τον κάτοχο από τα δύο συγκεκριμένα ως άνω στοιχεία των εκάστοτε δέκα τελευταίων συναλλαγών που πραγματοποίησε δεν υφίσταται πρακτικά ούτε στην περίπτωση που η κάρτα του θα περιήρχετο παράνομα στην κατοχή τρίτου, οπότε θα μπορούσε θεωρητικά να υποστηριχθεί ότι αυτά σε συνδυασμό με τα προσωπικά δεδομένα ταυτοποίησης του κατόχου είναι αποτυπωμένα στην κάρτα, καθίστανται προσωπικά δεδομένα. Και τούτο διότι αυτός που θα αποκτήσει την κάρτα παράνομα θα προσπαθήσει να τη χρησιμοποιήσει επίσης παράνομα σε βάρος του κατόχου, είτε σε κάποιο εμπορικό κατάστημα, είτε σε κάποιο ΑΤΜ, εάν βέβαια αποκτήσει και τον ΡΙΝ του κατόχου, και μετά θα την πετάξει. Συνεπώς, όπως αναφέρει η Τράπεζα, ο κλέφτης δεν θα ενδιαφερθεί να μάθει τις καταναλωτικές συνήθειες του κατόχου και πολύ περισσότερο να έχει προμηθευτεί την ειδική συσκευή ή το ειδικό λογισμικό (reader) για την ανάγνωση του πεδίου του chip, στο οποίο καταχωρούνται τα ως άνω δύο στοιχεία. Κατ’ ακολουθία των προαναφερθέντων δεν τίθεται θέμα ταυτοποίησης του κατόχου με τα συγκεκριμένα δύο στοιχεία, ώστε αυτά δεν είναι προσωπικά δεδομένα κατά την έννοια του ΓΚΠΔ, ούτε θέμα πρόσβασης τρίτου σε αυτά. Αλλά ακόμη και εάν υποτεθεί ότι τα συγκεκριμένα δύο στοιχεία είναι προσωπικά δεδομένα, δεν θα μπορούσε να καταρτισθεί το καταναλωτικό προφίλ του κατόχου μόνο από το ποσό και την ημερομηνία των δέκα τελευταίων συναλλαγών του κατόχου της κάρτας, χωρίς να είναι γνωστό το είδος της συναλλαγής, δηλαδή εάν πρόκειται για αγορά βιβλίου ή ειδών ένδυσης ή χρήση σε εστιατόριο ή για αγορά καφέ κλπ. Έχοντας όλα τα προαναφερθέντα υπόψη, η Τράπεζα αναφέρει ότι τίθεται εύλογα το ερώτημα γιατί η Mastercard περιελάμβανε αυτή τη δυνατότητα στα χαρακτηριστικά των καρτών της. Η απάντηση, όπως αναφέρει η Τράπεζα, δόθηκε από τη MasterCard και αποτυπώθηκε στην Απόφαση της Αρχής: τα δεδομένα αυτά μπορούν να χρησιμοποιηθούν από τους εκδότες (των καρτών) στο πλαίσιο επίλυσης διαφορών που αφορούν συναλλαγές. Πρακτικά πρόκειται για ένα πρόσθετο αποδεικτικό στοιχείο για την πραγματοποίηση μιας συναλλαγής, την πραγματοποίηση της οποίας ο κάτοχος αμφισβητεί. 12 Δ) Όπως υποστηρίχθηκε από την Τράπεζα, τα δύο συγκεκριμένα στοιχεία που αποθηκεύοντο στο chip των συγκεκριμένων καρτών δεν είναι προσωπικά δεδομένα κατά την έννοια του ΓΚΠΔ, ώστε δεν τίθεται θέμα εφαρμογής αυτού και κατ' επέκταση της υποχρέωσης ενημέρωσης των κατόχων. Ακόμη και εάν, ως υπόθεση εργασίας, γινόταν δεκτό ότι πρόκειται για προσωπικά δεδομένα, τυχόν ενημέρωση των συγκεκριμένων κατόχων, για τους οποίους, όπως προαναφέρθηκε, ουδείς κίνδυνος υπήρχε, θα είχε εξαιρετικά δυσμενές συνέπειες. Θα δημιουργείτο σοβαρή ανησυχία στους κατόχους των καρτών MasterCard, οι οποίες αυτομάτως θα περιήρχοντο σε πολύ δυσμενέστερη θέση σε σχέση με τις λοιπές κάρτες, κυρίως της VISA, που είναι ευθέως ανταγωνιστικός οργανισμός της MasterCard, αλλά και των λοιπών καρτών, όπως της American Express, ή της Diners. Η ανησυχία δε αυτή στη συνέχεια αναπόφευκτα θα επεκτείνετο και θα αφορούσε συνολικά στο σύστημα πληρωμών με κάρτες, για την ακεραιότητα του οποίου θα δημιουργούντο, με τη συνήθη σχετική βοήθεια και των μέσων κοινωνικής δικτύωσης, σοβαρές αμφιβολίες και ανησυχίες για δήθεν παρακολούθηση των κατόχων. Για την αντιμετώπιση στη συνέχεια των ως άνω αποτελεσμάτων της ενημέρωσης θα έπρεπε να αναλωθεί πολύ εργασία και να διατεθούν σοβαρά κονδύλια, από το σύνολο των εκδοτών, πιθανότατα όχι μόνο των Ελλήνων. Προκύπτει συνεπώς ευθέως, κατά τους ισχυρισμούς της Τράπεζας, από τα προαναφερθέντα ότι, ακόμη και εάν επρόκειτο για επεξεργασία προσωπικών δεδομένων, τυχόν ενημέρωση με την παροχή σχετικών πληροφοριών θα έβλαπτε σε μεγάλο βαθμό την κατά τα λοιπά επεξεργασία των προσωπικών δεδομένων των κατόχων καρτών για τη λειτουργία των καρτών τους και την ανεμπόδιστη πραγματοποίηση συναλλαγών με αυτές και θα κατέληγε στην ανάληψη τεράστιας προσπάθειας και κόστους για την ανατροπή των από την ενημέρωση δυσμενέστατων συνεπειών. Όπως λοιπόν προανέφερε η Τράπεζα θα ετίθετο θέμα εφαρμογής του εδαφίου β, της παρ. 5 του άρθρου 14 του ΓΚΠΔ, με το οποίο εισάγεται εξαίρεση στην ενημέρωση, αλλά και του εδαφίου α’ της ιδίας παραγράφου, εφόσον ο κάτοχος αναμφίβολα γνωρίζει ήδη της ως άνω πληροφορίες. 13 Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και το βοηθό εισηγητή, ο οποίος (βοηθός) παρέστη χωρίς δικαίωμα ψήφου, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

1. Σύμφωνα με τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (EE) 2016/679 (εφεξής, ΓΚΠΔ) και του άρθρου 9 του ν. 4624/2019 (ΦΕΚ Α ́ 137), η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
2. Σύμφωνα με το άρθρο 4 στοιχ. 1 του ΓΚΠΔ, ως δεδομένα προσωπικού χαρακτήρα νοείται «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)», ενώ «το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου». Στη δε εισαγωγική σκέψη 26 του ΓΚΠΔ αναφέρεται ότι «για να κριθεί κατά πόσον ένα φυσικό πρόσωπο είναι ταυτοποιήσιμο, θα πρέπει να λαμβάνονται υπόψη όλα τα μέσα τα οποία είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν, όπως για παράδειγμα ο διαχωρισμός του, είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο για την άμεση ή έμμεση εξακρίβωση της ταυτότητας του φυσικού προσώπου. Για να διαπιστωθεί κατά πόσον κάποια μέσα είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν για την εξακρίβωση της ταυτότητας του φυσικού προσώπου, θα πρέπει να λαμβάνονται υπόψη όλοι οι αντικειμενικοί παράγοντες, όπως τα έξοδα και ο χρόνος που απαιτούνται για την ταυτοποίηση, λαμβανομένων υπόψη της τεχνολογίας που είναι διαθέσιμη κατά τον χρόνο της επεξεργασίας και των εξελίξεων της τεχνολογίας». 14
3. Σύμφωνα με το άρθρο 4 στοιχ. 7 του ΓΚΠΔ, ως υπεύθυνος επεξεργασίας ορίζεται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους».
4. Σύμφωνα με το άρθρο 5 παρ. 3 του ΓΚΠΔ ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του ιδίου άρθρου, στις οποίες περιλαμβάνεται η νομιμότητα, αντικειμενικότητα και διαφάνεια της επεξεργασίας σύμφωνα με το άρθρο 5 παρ. 1 στοιχ. α’ – ήτοι τα δεδομένα πρέπει να υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων. Με άλλα λόγια, με τον ΓΚΠΔ υιοθετήθηκε ένα μοντέλο συμμόρφωσης με κεντρικό πυλώνα την εν λόγω αρχή της λογοδοσίας, ήτοι ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις και, επιπλέον, οφείλει να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 του ΓΚΠΔ.
5. Περαιτέρω, το άρθρο 6 παρ. 1 του ΓΚΠΔ προβλέπει, μεταξύ άλλων, ότι η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις (νομικές βάσεις της επεξεργασίας): «α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς, β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ' αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης, (...) στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι 15 ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα (...)».
6. Αναφορικά με την αρχή της διαφάνειας της επεξεργασίας, ο ΓΚΠΔ θέτει συγκεκριμένες υποχρεώσεις στους υπευθύνους επεξεργασίας ως προς την ενημέρωση που οφείλουν να παρέχουν στα υποκείμενα των δεδομένων. Ειδικότερα, σύμφωνα με το άρθρο 12 παρ. 1 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 (τα οποία αφορούν τις πληροφορίες που παρέχονται στα υποκείμενα των δεδομένων είτε τα δεδομένα συλλέγονται από τα ίδια τα υποκείμενα είτε όχι) και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 (τα οποία αφορούν τα δικαιώματα των υποκειμένων των δεδομένων, συμπεριλαμβανομένου του δικαιώματος εναντίωσης 3 στην επεξεργασία του άρθρου 21) σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή. Περαιτέρω, στην παράγραφο 2 του άρθρου 12 του ΓΚΠΔ προβλέπεται ότι «ο υπεύθυνος επεξεργασίας διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων (…)».
7. Ειδικότερα δε, στο άρθρο 13 του ΓΚΠΔ ορίζεται ότι «όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες: α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας, (…) γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, (…)» (βλ. παρ. 1 του άρθρου 13 του ΓΚΠΔ). Σύμφωνα με το άρθρο 21 του ΓΚΠΔ, «Το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν, η οποία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο ε) ή στ), περιλαμβανομένης της κατάρτισης προφίλ βάσει των εν λόγω διατάξεων. Ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν ο υπεύθυνος επεξεργασίας καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων». 3 16
8. Στη συγκεκριμένη περίπτωση, για την επεξεργασία η οποία συνίσταται στην αποθήκευση, στο chip της χρεωστικής/πιστωτικής κάρτας της Alphabank, του ιστορικού των τελευταίων δέκα

(10)συναλλαγών που πραγματοποιήθηκαν μέσω αυτής, το οποίο μπορεί να αναγνωστεί ανέπαφα, η εν λόγω Τράπεζα αποτελεί τον υπεύθυνο επεξεργασίας, κατά την έννοια του άρθρου 4 στοιχ. 7 του ΓΚΠΔ. Πράγματι, όπως προέκυψε από την αρχική εξέταση της υπόθεσης με την υπ’ αριθμ. 48/2018 Απόφαση της Αρχής, το εν λόγω τεχνολογικό χαρακτηριστικό παρέχεται ως προαιρετική επιλογή σε κάρτες από την εταιρεία Mastercard - ήτοι επαφίεται σε κάθε εκδότη («Τράπεζα») αν θα το ενεργοποιήσει ή όχι. Εξάλλου, η Τράπεζα Alphabank πράγματι ξεκίνησε, όπως περιγράφεται στο ιστορικό της παρούσας, την έκδοση καρτών χωρίς αυτό το τεχνολογικό χαρακτηριστικό – το οποίο εξάλλου, όπως σημειώνει, ουδέποτε αξιοποίησε. 9. Για την εν λόγω επεξεργασία η Τράπεζα Alphabank δεν παρείχε σχετική ενημέρωση στα υποκείμενα των δεδομένων (ήτοι στους κατόχους των εν λόγω καρτών), όπως προκύπτει από τα έγγραφά της προς την Αρχή. Επισημαίνεται ότι η Αρχή, ήδη με την υπ’ αριθμ. 48/2018 Απόφαση (η οποία βασίστηκε στο προ του ΓΚΠΔ ισχύον νομικό πλαίσιο), εντόπισε την εν λόγω έλλειψη σε δύο άλλες Τράπεζες και απηύθυνε σύσταση προς αυτές προκειμένου να τη θεραπεύσουν, ενώ ακολούθως κοινοποίησε την εν λόγω Απόφαση και στην Τράπεζα Alphabank ζητώντας να λάβει μέριμνα ώστε να πληρούνται όλα όσα διαλαμβάνονται σε αυτή– ήτοι υιοθέτησε την ηπιότερη δυνατή επιλογή. 10. Ελλείψει της συναφούς ενημέρωσης, η οποία ούτως ή άλλως αποτελεί υποχρέωση του υπευθύνου επεξεργασίας κατά τα ανωτέρω, η νομική βάση της εν λόγω επεξεργασίας δεν είναι σαφής. Μία τέτοια επεξεργασία θα μπορούσε κατ’ αρχήν να έχει ως νομική βάση τη συγκατάθεση 4 (άρθρο 6 παρ. 1 στοιχ. α’ του ΓΚΠΔ), εφόσον τα υποκείμενα των δεδομένων δηλώνουν ελεύθερα, εν πλήρει επιγνώσει και με σαφήνεια (με δήλωση ή σαφή θετική ενέργεια) ότι συναινούν συγκεκριμένα και ρητά για την εν λόγω επεξεργασία, οι εν λόγω προϋποθέσεις όμως δεν συντρέχουν Βλ. τον ορισμό της συγκατάθεσης στο άρθρο 4 στοιχ. 11 του ΓΚΠΔ, ως «κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν». 4 17 στην προκειμένη περίπτωση. Επίσης, η εν λόγω επεξεργασία δεν μπορεί να θεωρηθεί ως απαραίτητη για την εκτέλεση σύμβασης - και, άρα, η νομική βάση δεν μπορεί να είναι ούτε αυτή του άρθρου 6 παρ. 1 στοιχ. β’ του ΓΚΠΔ - αφού άλλωστε υπάρχει πλήθος αντίστοιχων χρεωστικών/πιστωτικών/προπληρωμένων καρτών χωρίς το εν λόγω χαρακτηριστικό, το οποίο εξάλλου, όπως προαναφέρθηκε, υλοποιείται προαιρετικώς. Συνεπώς, η μόνη πιθανή νομική βάση φαίνεται να είναι αυτή του άρθρου 6 παρ. 1 στοιχ. στ’. Και σε αυτήν την περίπτωση όμως, πέραν του γεγονότος ότι η Τράπεζα δεν έχει τεκμηριώσει ποιο είναι το έννομο συμφέρον το οποίο επιδιώκει με την αποθήκευση αυτών των δεδομένων στις κάρτες των πελατών της αλλά αναφέρει απλά το σκοπό της τήρησης αυτών των δεδομένων που επικαλείται η ίδια η Mastercard, ενώ η ίδια η Τράπεζα αναφέρει ότι δεν έκανε κάποια αξιοποίηση της εν λόγω επεξεργασίας, απαιτείται αφενός η επεξεργασία να είναι διαφανής αλλά η προϋπόθεση αυτή δεν συνέτρεξε για τη συγκεκριμένη περίπτωση, και αφετέρου τα υποκείμενα των δεδομένων να γνωρίζουν ειδικότερα και για την ύπαρξη του δικαιώματος εναντίωσης στην εν λόγω επεξεργασία (άρθρο 21 του ΓΚΠΔ), ενώ ούτε η προϋπόθεση αυτή συντρέχει στην εν λόγω περίπτωση. Ως προς το ζήτημα δε αυτό η Αρχή, με την υπ’ αριθμ. 48/2018 Απόφαση, όρισε ότι οι Τράπεζες, πέραν της ενημέρωσης των υποκειμένων των δεδομένων, θα πρέπει να παρέχουν τη δυνατότητα, σε όσους εξ αυτών το επιθυμούν, να εκφράσουν την εναντίωσή τους στην εν λόγω επεξεργασία και, ακολούθως, να φροντίσουν για την ικανοποίηση του δικαιώματος (είτε με απενεργοποίηση του συγκεκριμένου τεχνολογικού χαρακτηριστικού είτε με έκδοση νέας κάρτας). 11. Η Τράπεζα Alphabank, αν και κίνησε διαδικασίες βάσει των οποίων κάθε νέα κάρτα που εκδίδει δεν φέρει το εν λόγω χαρακτηριστικό και άρα, σταδιακά, διακόπτει την εν λόγω επεξεργασία, δεν ενημέρωσε τους κατόχους των καρτών για την επεξεργασία αυτή, μη συμμορφούμενη συνεπώς με την υπ’ αριθμ. 48/2018 Απόφαση της Αρχής η οποία της κοινοποιήθηκε προκειμένου να ενημερωθεί και να προβεί στις δέουσες ενέργειες. Ως εκ τούτου, υπάρχει παράβαση του άρθρου 13 του ΓΚΠΔ η οποία συνεφέλκεται παραβίαση και της κατά το άρθρο 5 παρ. 1 στοιχ. α΄ του ΓΚΠΔ αρχής της διαφάνειας της επεξεργασίας. Το κύριο επιχείρημα που επικαλείται η Τράπεζα για τους λόγους της μη ενημέρωσης έγκειται στο ότι θεωρεί ότι τα εν λόγω δεδομένα δεν αποτελούν δεδομένα προσωπικού χαρακτήρα και, 18 άρα, δεν υφίσταται επεξεργασία προσωπικών δεδομένων – οπότε δεν υφίσταται επεξεργασία τους και ούτε υποχρέωση ενημέρωσης για την επεξεργασία. Περαιτέρω, η Τράπεζα αναπτύσσει και σκεπτικό για να καταδείξει ότι, ακόμα και αν τα δεδομένα θεωρηθούν προσωπικά, δεν υφίσταται ουσιαστικά κανένας κίνδυνος για τα επηρεαζόμενα πρόσωπα, καθώς επίσης και ότι θα συνέτρεχε η τρίτη περίπτωση του άρθρου 14, παρ. 5 (β) του ΓΚΠΔ, για την εξαίρεση από την υποχρέωση ενημέρωσης, λόγω του ότι η ενημέρωση θα ήταν ασύμφορη και επικίνδυνη. Ωστόσο, οι εν λόγω ισχυρισμοί είναι αβάσιμοι για τους ακόλουθους λόγους: α) Υπάρχει σαφώς δυνατότητα – και μάλιστα ευχερής - συσχετισμού των εν λόγω δεδομένων με το υποκείμενο αυτών. Κατ’ αρχάς, η ίδια η κάρτα αναφέρει στην μπροστινή της όψη το ονοματεπώνυμο του κατόχου της. Συνεπώς, εφόσον κάποιος τρίτος – που μπορεί έτσι κι αλλιώς να ανήκει και στο οικείο κοινωνικό περιβάλλον του κατόχου - καταφέρει να αποκτήσει πρόσβαση σε αυτή και να αναγνώσει τα εν λόγω δεδομένα (το οποίο, όπως περιγράφεται στη συνέχεια, δεν είναι δυσχερές), μπορεί σαφώς να εξάγει το συμπέρασμα για το ποιο πρόσωπο αυτά αφορούν. Ως εκ τούτου, και λαμβάνοντας υπόψη και τη Σκέψη 26 του ΓΚΠΔ, τα εν λόγω δεδομένα σαφώς αποτελούν δεδομένα προσωπικού χαρακτήρα και δεν πρόκειται για ανώνυμες πληροφορίες, όπως εσφαλμένα ισχυρίζεται η Τράπεζα. β) Η υποχρέωση ενημέρωσης για την επεξεργασία και γενικότερα η θεμελιώδης αρχή της διαφάνειας της επεξεργασίας υφίσταται ανεξαρτήτως αν υπάρχει ή όχι κίνδυνος από την επεξεργασία για τα υποκείμενα των δεδομένων 5. Μάλιστα, ακόμα και αν δεν υπάρχει υψηλός κίνδυνος από την εν λόγω επεξεργασία για τα επηρεαζόμενα πρόσωπα, ο ισχυρισμός ότι κατ’ ουσίαν δεν υπάρχει κανένας κίνδυνος δεν τεκμηριώνεται επαρκώς για τους ακόλουθους λόγους:

1. i)Tα εν λόγω δεδομένα μπορούν να αναγνωστούν και ανέπαφα. Ο εξοπλισμός ο οποίος απαιτείται για την ανάγνωση των δεδομένων είναι ευχερώς διαθέσιμος στον οποιονδήποτε. Συγκεκριμένα, όπως ήδη είχε Περιορισμοί στα δικαιώματα μπορούν να επιβληθούν από το ενωσιακό δίκαιο ή το δίκαιο κράτους μέλους υπό συγκεκριμένες προϋποθέσεις και εφόσον προβλέπονται κατάλληλες διασφαλίσεις, αλλά η συγκεκριμένη περίπτωση σαφώς δεν εμπίπτει σε αυτές (βλ. άρθρο 23 του ΓΚΠΔ). 5 19 περιγραφεί και στην υπ’ αριθμ. 48/2018 Απόφαση της Αρχής, αρκεί μία οποιαδήποτε «έξυπνη» συσκευή (π.χ. «έξυπνο» κινητό τηλέφωνο) με κατάλληλο λογισμικό (τα οποία είναι ελεύθερα διαθέσιμα) προκειμένου να αναγνώσει τα δεδομένα.
2. ii)Για την ανέπαφη ανάγνωση των δεδομένων θα πρέπει η κάρτα να βρεθεί πλησίον του «αναγνώστη» (reader). Αυτό όμως δεν προϋποθέτει απαραίτητα κλοπή/απώλεια κάρτας. Για παράδειγμα, κάποιος τρίτος του στενού οικογενειακού/φιλικού/επαγγελματικού περιβάλλοντος του υποκειμένου των δεδομένων μπορεί, εφόσον βρεθεί πλησίον της εν λόγω κάρτας του υποκειμένου των δεδομένων, να αναγνώσει ανέπαφα τα εν λόγω δεδομένα. γ) Στη συγκεκριμένη δε περίπτωση, τα δεδομένα συλλέγονται απευθείας από το υποκείμενο των δεδομένων, οπότε και έχει εφαρμογή, ως προς την υποχρέωση ενημέρωσης, το άρθρο 13 και όχι το άρθρο 14 του ΓΚΠΔ όπως ισχυρίζεται ο υπεύθυνος επεξεργασίας. Ακόμη όμως και αν ίσχυε το άρθρο 14, σε αυτό αναφέρεται, για τις περιπτώσεις για τις οποίες μπορεί να υπάρξει εξαίρεση από την υποχρέωση ενημέρωσης, ότι «ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για την προστασία των δικαιωμάτων και ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων, μεταξύ άλλων καθιστώντας τις πληροφορίες διαθέσιμες στο κοινό» 6. Συνεπώς, ακόμα και σε μία τέτοια περίπτωση, θα έπρεπε να παρέχεται μία γενικού χαρακτήρα ενημέρωση. 12. Η Τράπεζα αναφέρει επιπροσθέτως ότι μία τέτοια ενημέρωση θα δημιουργούσε ανησυχία στους πελάτες της και θα έπληττε, όχι μόνο τις Ειδικότερα, όπως αναφέρεται στο άρθρο 14 παρ. 4 του ΓΚΠΔ αναφορικά με τις πληροφορίες που παρέχονται στα υποκείμενα των δεδομένων εάν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων, «οι παράγραφοι 1 έως 4 δεν εφαρμόζονται εάν και εφόσον: α) το υποκείμενο των δεδομένων διαθέτει ήδη τις πληροφορίες, β) η παροχή τέτοιων πληροφοριών αποδεικνύεται αδύνατη ή θα συνεπαγόταν δυσανάλογη προσπάθεια, ιδίως όσον αφορά επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς, υπό τους όρους και τις εγγυήσεις που αναφέρονται στο άρθρο 89 παράγραφος 1 ή εφόσον η υποχρέωση που αναφέρεται στην παράγραφο 1 του παρόντος άρθρου είναι πιθανόν να καταστήσει αδύνατη ή να βλάψει σε μεγάλο βαθμό την επίτευξη των σκοπών της εν λόγω επεξεργασίας. Στις περιπτώσεις αυτές, ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για την προστασία των δικαιωμάτων και ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων, μεταξύ άλλων καθιστώντας τις πληροφορίες διαθέσιμες στο κοινό». 6 20 συγκεκριμένες κάρτες, αλλά το σύστημα των συναλλαγών με κάρτες συνολικά. Περαιτέρω, για την αντιμετώπιση των αποτελεσμάτων της ως άνω ενημέρωσης θα έπρεπε να αναλωθεί πολύ εργασία και να διατεθούν σοβαρά κονδύλια, ενώ επίσης η Τράπεζα θίγει και το ζήτημα του ανταγωνισμού μεταξύ των εταιρειών Mastercard και Visa. Όμως και ως προς αυτούς τους ισχυρισμούς ισχύουν κατ’ αρχήν τα διαλαμβανόμενα στην ανωτέρω Σκέψη 11 αναφορικά με τη μη εξαίρεση του υπευθύνου επεξεργασίας από την υποχρέωση ενημέρωσης. Περαιτέρω δε, ο ισχυρισμός ότι μία τέτοια ενημέρωση θα προκαλούσε ανησυχία δεν τεκμηριώνεται επαρκώς: τούτο διότι ακριβώς λόγω του ότι οι κίνδυνοι από την επεξεργασία δεν είναι υψηλοί, δεν προκύπτει ότι μία ορθά διατυπωμένη ενημέρωση για την εν λόγω επεξεργασία αυτή θα προκαλούσε ανησυχία. Πάντως, δεν προκύπτει ότι η Τράπεζα εξέτασε ενδελεχώς κατάλληλα κείμενα ενημέρωσης προκειμένου να καταλήξει στο ως άνω συμπέρασμα. Εξάλλου, ακόμα και αν η Τράπεζα έκρινε ότι μία τέτοια ενημέρωση θα συνεπαγόταν πληθώρα αιτημάτων αντικατάστασης καρτών, αυτή η κρίση δεν μπορεί να οδηγήσει τον υπεύθυνο επεξεργασίας στο συμπέρασμα ότι εξαιρείται της υποχρέωσης ενημέρωσης διότι η διαχείριση των αιτημάτων και η παρακολούθησή τους, εφόσον είναι πράγματι υπερβολικά σε αριθμό, θα μπορούσε να οδηγήσει σε κατάλληλες διαδικασίες για την ικανοποίησή τους: για παράδειγμα, θα μπορούσε ενδεχομένως να κριθεί ότι η αντικατάσταση αυτή δεν θα λάμβανε χώρα αμέσως, λαμβάνοντας υπόψη και τους όχι ιδιαίτερα υψηλούς κινδύνους από την εν λόγω επεξεργασία. Επίσης, τα επιχειρήματα που επικαλείται η Τράπεζα αναφορικά με το ανταγωνιστικό περιβάλλον μεταξύ των εταιρειών πιστωτικών καρτών δεν μπορούν να γίνουν δεκτά ως λόγοι για τους οποίους μπορεί να αίρεται η υποχρέωση ενημέρωσης των υποκειμένων των δεδομένων. Σε κάθε δε περίπτωση, η υποχρέωση αυτή, η οποία βαρύνει τον υπεύθυνο επεξεργασίας, δεν αίρεται ούτε από το κόστος που αυτή θα επιφέρει, ενώ η ενημέρωση, ως βασική πτυχή για τη θεμελιώδη αρχή της διαφάνειας της επεξεργασίας, εφόσον δεν εμπίπτει στις περιπτώσεις που μπορεί να εξαιρείται εκ των υποχρεώσεων του υπευθύνου επεξεργασίας, δεν 21 μπορεί να χαρακτηρίζεται ως «επικίνδυνη» όπως τη χαρακτηρίζει η Τράπεζα στη συγκεκριμένη περίπτωση. 13. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις. 14. Η Αρχή κρίνει περαιτέρω ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς. Περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ και τις Κατευθυντήριες γραμμές 4/2022 7 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (οι οποίες είναι σε δημόσια διαβούλευση) και ειδικότερα ότι: α. η διαπιστωθείσα παράβαση του άρθρου 13 του ΓΚΠΔ υπάγεται, σύμφωνα με τις διατάξεις του άρθρου 83 παρ. 5 εδ. β’ ΓΚΠΔ, στην ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης διοικητικών προστίμων 8, β. η εν λόγω παράβαση συνιστά μη συμμόρφωση του υπευθύνου επεξεργασίας με τις οδηγίες της Αρχής που διατυπώθηκαν μέσω της υπ’ αριθμ. 48/2018 Απόφασης της Αρχής, γ. η παράβαση αφορά μεγάλο αριθμό υποκειμένων των δεδομένων – συγκεκριμένα, όλους τους πελάτες της Τράπεζας Alphabank οι οποίοι διέθεταν χρεωστική η πιστωτική κάρτα Mastercard παλαιάς έκδοσης, δ. η παράβαση είναι συνεχής, αφού από τα έγγραφα της Alphabank προκύπτει ότι η επεξεργασία γινόταν τουλάχιστον από το 2018 και https://edpb.europa.eu/our-work-tools/documents/public-consultations/2022/guidelines-042022calculation-administrative_en 8 Ως «σημαντικότερες» παραβάσεις χαρακτηρίζονται αυτές οι οποίες δύνανται να επιφέρουν το μέγιστο δυνατό ύψος προστίμου 20.000.000 ευρώ ή, σε περίπτωση επιχειρήσεων, έως το 4 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, σε αντιδιαστολή με τις λοιπές παραβάσεις που περιλαμβάνονται στο άρθρο 83 παρ. 4 του ιδίου άρθρου 7 22 συνεχίζεται μέχρι σήμερα, ε. η δραστηριότητα είχε μεγάλο εύρος, καθώς αφορά κάθε «κίνηση» χρεωστικής/πιστωτικής κάρτας Mastercard (που έχει εκδώσει η Τράπεζα) σε φυσικό κατάστημα, ανεξαρτήτως γεωγραφικής τοποθεσίας αυτού ή είδους συναλλαγής, εφόσον πρόκειται για κάρτα παλαιάς έκδοσης που δεν έχει αντικατασταθεί στ. η δραστηριότητα σχετίζεται με τις κύριες δραστηριότητες του υπεύθυνου επεξεργασίας, ανεξαρτήτως του ότι τα εν λόγω δεδομένα που τηρούνται στο chip της κάρτας, και τα οποία ήδη υφίστανται νομίμως επεξεργασία, σε διαφορετικό πλαίσιο, από την Τράπεζα (αφού τηρείται στα συστήματά της πληροφόρηση αναφορικά με την κίνηση της κάρτας), δεν προκύπτει ότι αξιοποιήθηκαν από την Τράπεζα. ζ. η επεξεργασία αφορά δεδομένα οικονομικής φύσης, για τα οποία υπάρχει ο κίνδυνος, σύμφωνα με τα αναφερόμενα στο σκεπτικό της παρούσας, να περιέλθουν εις γνώσιν τρίτων, η. η παράβαση είχε εσκεμμένο χαρακτήρα, αφού ήδη η Αρχή είχε ενημερώσει την Τράπεζα για την υπ’ αριθμ. 48/2018 Απόφαση και η Τράπεζα έλαβε στρατηγική απόφαση να μην συμμορφωθεί με τα διαλαμβανόμενα σε αυτή (όπως ζήτησε η Αρχή) αλλά, αντ’ αυτού, να αρχίσει σταδιακά τη διακοπή της εν λόγω επεξεργασίας, θ. τα διαθέσιμα στο διαδίκτυο 9 στοιχεία για τα οικονομικά έσοδα της Τράπεζας για το 2021, καθώς επίσης και ότι: α. Από την εν λόγω επεξεργασία δεν προκύπτει οικονομική ζημία για τα υποκείμενα των δεδομένων, Βλ. https://www.hba.gr/4Statistika/UplPDFs/2021/2021AlphaBank(EL).pdf (τελευταία πρόσβαση: 19/8/2022) 9 23 β. η Τράπεζα δεν θα αποκόμιζε κάποιο οικονομικό όφελος από την εν λόγω επεξεργασία, γ. η Τράπεζα προέβη σε ενέργειες για τη σταδιακή διακοπή της εν λόγω επεξεργασίας. 15. Βάσει των ανωτέρω, η Αρχή αποφασίζει ομόφωνα ότι πρέπει να επιβληθεί στον καταγγελλόμενο υπεύθυνο επεξεργασίας οι αναφερόμενες στο διατακτικό διοικητικές κυρώσεις, οι οποίες κρίνονται ανάλογες με τη βαρύτητα των παραβάσεων. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, Επιβάλλει στην ΑΛΦΑ ΤΡΑΠΕΖΑ Α.Ε., ως υπεύθυνο επεξεργασίας, το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στη συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους είκοσι χιλιάδων ευρώ (20.000,00) ευρώ, για την ως άνω διαπιστωθείσα παραβίαση του άρθρου 13 του Κανονισμού (ΕΕ) 2016/679, σύμφωνα με το άρθρο 58 παρ. 2 θ΄ του ΓΚΠΔ σε συνδυασμό με το άρθρο 83 παρ. 5 του ΓΚΠΔ. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 24