Επιβολή κυρώσεων στην ΤΕΙΡΕΣΙΑΣ Α.Ε. για παράνομη λειτουργία του συστήματος «Τειρεσίας Σύστημα Ελέγχου Κινδύνων» (ΤΣΕΚ)

Αθήνα, 18-12-2014 Αριθ. Πρωτ. Γ/ΕΞ/1136-2/18-12-2014 ΑΡΧΗ ΠΡΟ ΤΑ ΙΑ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟ ΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΑΠΟΦΑΣΗ Α . 185 / 2014 Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνήλθε, µετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση στην έδρα της την 02-122014, σε συνέχεια των από 27-11-2014, 04-11-2014 και 14-10-2014 συνεδριάσεων, προκειµένου να εξετάσει την υπόθεση του αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος, Π. Χριστόφορος και τα τακτικά µέλη της Αρχής Λ. Κοτσαλής, Α.-Ι. Μεταξάς, ∆. Μπριόλας, Α. υµβώνης, Κ. Χριστοδούλου, ως εισηγητής, και Π. Τσαντίλας. τη συνεδρίαση, χωρίς δικαίωµα ψήφου, παρέστησαν επίσης, µε εντολή του Προέδρου, οι Κ. Λωσταράκου, Γ. Ρουσόπουλος και Θ. Τουτζιαράκη, ειδικοί επιστήµονες – ελεγκτές, ως βοηθοί εισηγητή, και η Γ. Παλαιολόγου, υπάλληλος του τµήµατος διοικητικών και οικονοµικών υποθέσεων, ως γραµµατέας. Η Αρχή έλαβε υπόψη τα παρακάτω: Με το υπ’ αριθµ. πρωτ. ΓΝ/ΕΙ /1136/10-06-2014 έγγραφό της, η εταιρεία ΤΕΙΡΕ ΙΑ Α.Ε. γνωστοποιεί στην Αρχή τη λειτουργία του συστήµατος µε την ονοµασία «Τειρεσίας ύστηµα Ελέγχου Κινδύνων» (Τ ΕΚ). κοπός του συστήµατος αυτού είναι η παροχή πληροφοριών οικονοµικής συµπεριφοράς για την διαπίστωση της πιστοληπτικής ικανότητας πάσης φύσεως επιχειρήσεων. Ειδικότερα, σύµφωνα πάντα µε την ως άνω αίτηση, η λειτουργία του γνωστοποιηθέντος αρχείου έχει ξεκινήσει από τον Ιούνιο 2013 αναφορικά µε δεδοµένα αποκλειστικά και µόνο νοµικών προσώπων, τα οποία, κατά την άποψη της εταιρείας, δεν συνιστούν δεδοµένα προσωπικού χαρακτήρα και, ως εκ τούτου, η διάθεσή τους δεν εµπίπτει στις διατάξεις του ν. 2472/

1. Περαιτέρω, σύµφωνα πάντα µε την ως άνω αίτηση, 1 δεδοµένου ότι οι µεταξύ νοµικών προσώπων συναλλαγές αποτελούν ένα µικρό µέρος του συνόλου της εµπορικής δραστηριότητας στη χώρα µας, στην οποία µεγάλο τµήµα του συνόλου των επιχειρήσεων είναι ατοµικές, η αιτούσα προχώρησε στο επόµενο βήµα και, από την αρχή του τρέχοντος έτους, παρέχει σε επιχειρηµατίες φυσικά και νοµικά πρόσωπα (αποδέκτες), την κατά τα προαναφερθέντα δυνατότητα πρόσβασης σε δεδοµένα οικονοµικής συµπεριφοράς φυσικών και νοµικών προσώπων. υγκεκριµένα, κατά την αιτούσα, τα δεδοµένα στα οποία παρέχεται πρόσβαση είναι εκείνα που προβλέπονται στην Απόφαση 26/2004 της Αρχής πλέον αυτών που των οφειλών υπερχρεωµένων φυσικών αφορούν στο ν. 3869/2010 «Ρύθµισ προσώπων και άλλες διατάξεις», υποκείµενα δε αυτών των δεδοµένων είναι µόνο τα επί πιστώσει συναλλασσόµενα µε τους ανωτέρω αποδέκτες νοµικά και φυσικά πρόσωπα. Πρόσβαση στα ως άνω δεδοµένα µπορούν πλέον να έχουν, κατά δήλωση της αιτούσας, εκτός των νοµικών προσώπων, και φυσικά πρόσωπα ή ενώσεις προσώπων του Αστικού Κώδικα που ασκούν εµπορική, βιοµηχανική, βιοτεχνική, γεωργική ή άλλη επιχείρηση στην Ελληνική Επικράτεια ή σε άλλη χώρα του Ευρωπαϊκού Οικονοµικού Χώρου και την Ελβετία, προκειµένου να αντλούν δεδοµένα για τα φυσικά ή νοµικά πρόσωπα, µε τα οποία συναλλάσσονται µε πίστωση και, συνεπώς, αναλαµβάνουν σχετικό πιστωτικό κίνδυνο, ώστε αφενός καθίσταται απαραίτητος ο έλεγχος της φερεγγυότητας των αντισυµβαλλοµένων τους και αφετέρου είναι προφανές το έννοµο συµφέρον πρόσβασης στην συγκεκριµένη υπηρεσία. ηµειωτέον ότι οι παρεχόµενες πληροφορίες αντλούνται από το αρχείο της ΤΕΙΡΕ ΙΑ , το οποίο λειτουργεί νοµίµως σύµφωνα µε την Απόφαση 24/2004 της Αρχής για την προστασία των τραπεζών και των θυγατρικών τους εταιρειών από αφερέγγυους πελάτες. το πλαίσιο εξέτασης της ως άνω υπόθεσης, η εταιρεία ΤΕΙΡΕ ΙΑ Α.Ε. κλήθηκε νοµίµως σε ακρόαση κατά τη συζήτηση της υπόθεσης ενώπιον της Αρχής στις 14-102014 µε την υπ' αριθµ. πρωτ. ΓΝ/ΕΞ/1768/29-09-2014 κλήση και παρέστη. Κατά τη συνεδρίαση, η κληθείσα εξέθεσε προφορικά τις απόψεις της, τις οποίες ανέπτυξε κατόπιν διεξοδικώς µε σχετικό υπόµνηµά της (βλ. υπόµνηµα υπ’ αριθµ. πρωτ. ΓΝ/ΕΙ /6547/30-10-2014). Η Αρχή, µετά από εξέταση όλων των στοιχείων του φακέλου και αναφορά στα διαµειφθέντα των συνεδριάσεων των 27-11-2014, 04-11-2014 και 14-10-2014, αφού 2 άκουσε τον εισηγητή και τους βοηθούς εισηγητές, οι οποίοι στη συνέχεια αποχώρησαν, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
2. Νοµιµότητα µεταβολής σκοπού επεξεργασίας ύµφωνα µε το άρθρο 4 παρ. 1 στοιχ. α΄ του ν. 2472/1997, «τα δεδοµένα πρέπει να συλλέγονται κατά τρόπο θεµιτό και νόµιµο για καθορισµένους, σαφείς και νόµιµους σκοπούς και να υφίστανται θεµιτή και νόµιµ επεξεργασία ενόψει των σκοπών αυτών». Από τη διάταξη αυτή προκύπτει ότι οι σκοποί πρέπει να έχουν προσδιοριστεί και καταστεί σαφείς στα υποκείµενα των δεδοµένων πριν ή τουλάχιστον κατά τη συλλογή των δεδοµένων (βλ. προοίµιο 28 της Οδηγίας 95/46/ΕΚ), ώστε να είναι δυνατή η εκτίµηση της συµβατότητάς τους µε το νόµο. Οι τρόποι εξειδίκευσης του σκοπού µπορεί να είναι πολλοί (δηµόσιες ανακοινώσεις του υπευθύνου, νοµοθεσία, αποφάσεις της Αρχής κλπ), αλλά πρέπει να έχουν προηγηθεί της συλλογής των δεδοµένων από τα υποκείµενα. Κρίσιµα στοιχεία αποτελούν η ακρίβεια και η σαφήνεια των παρεχόµενων πληροφοριών και κυρίως τα πραγµατικά περιστατικά της κάθε περίπτωσης που υπερισχύουν από κάθε τυχόν ισχυρισµό του υπευθύνου.1 Εν προκειµένω, σηµειώνεται, καταρχάς, ότι η αιτούσα ιδρύθηκε αρχικά ως εταιρία µ κερδοσκοπικού χαρακτήρα επιδιώκουσα οικονοµικό σκοπό µε τ ν επωνυµία «ΤΡΑΠΕΖΙΚΑ ΣΥΣΤΗΜΑΤΑ ΠΛΗΡΟΦΟΡΙΩΝ» και τον «ΤΕΙΡΕΣΙΑΣ», στους σκοπούς της οποίας συγκαταλεγόταν « διακριτικό τίτλο διαχείρισ των παραγόµενων από τα πλ ροφοριακά συστήµατα πλ ροφοριών, µε τ διάθεσ τους σε τράπεζες και τρίτ υς» (βλ. άρθρα 1 και 2β του καταστατικού της εταιρείας που περιλαµβάνεται στην από 14-12-1992 εταιρική σύµβαση)˙ όµως η προσθήκη της διάθεσης σε τρίτους παραλείφθηκε έκτοτε από τα επόµενα καταστατικά της ανώνυµης πλέον εταιρείας. Από το επτέµβριο του 1997 έως και σήµερα η αιτούσα λειτουργεί ως ανώνυµη εταιρεία (βλ. ΦΕΚ ΑΕ-EΠΕ 6322/03.09.1997), µέτοχοι της 1 Βλ. Γνώµη 3/2013 της Οµάδας Εργασίας του Άρθρου 29 της Οδηγίας 95/46/ΕΚ για τον περιορισµό του σκοπού, σελ.17-19, όπου αναφέρεται ότι η αποτυχία να προσδιορίσει µε σαφήνεια και ορθότητα τον σκοπό επεξεργασίας ο υπεύθυνος, δεν σηµαίνει ότι µπορεί να επεξεργαστεί τα δεδοµένα για κάποιον ή κάποιους σκοπούς κατά τη διακριτική του ευχέρεια ή ότι είναι ελεύθερος να προσδιορίσει τους σκοπούς βασιζόµενος σε µονοµερή ερµηνεία ή στις υποκειµενικές του προσδοκίες. 3 οποίας µπορεί να είναι µόνον πιστωτικά ιδρύµατα κατά την έννοια του ν. 3601/2007 «Ανάλ ψ και άσκ σ δραστ ριοτήτων από τα πιστωτικά ιδρύµατα, επάρκεια ιδίων κεφαλαίων των πιστωτικών ιδρυµάτων και των επιχειρήσεων παροχής επενδυτικών υπ ρεσιών και λοιπές διατάξεις», όπως ισχύει, και θυγατρικές εταιρείες πιστωτικών ιδρυµάτων µε σκοπό τη χρηµατοδοτική µίσθωση, την πρακτόρευση επιχειρηµατικών απαιτήσεων τρίτων ή την διαχείριση για λογαριασµό µητρικών πιστωτικών ιδρυµάτων προϊόντων καταναλωτικής πίστης και µέσων πληρωµών (βλ. άρθρα 1 και 7 του από 21-09-2012 τροποποιηµένου καταστατικού της εταιρείας, το οποίο υποβλήθηκε στην Αρχή µε το υπ’ αριθµ. πρωτ. Αρχής ΓΝ/ΕΙ /1738/25-092014 έγγραφο). Η Αρχή, µε τις κανονιστικές αποφάσεις 24/2004 και 25/2004, όρισε τις προϋποθέσεις τήρησης αρχείου από την ΤΕΙΡΕ ΙΑ λειτουργίας του εν λόγω αρχείου είναι « Α.Ε. κοπός τήρησης και ελαχιστοποί σ των κινδύνων από τ σύναψ πιστωτικών συµβάσεων µε αφερέγγυους πελάτες και εν γένει από τ δ µιουργία επισφαλών απαιτήσεων και τελικά προστασία τ ς εµπορικής πίστ ς και εξυγίανσ των οικονοµικών συναλλαγών», ενώ η σχετική επεξεργασία επιτρέπεται ως επεξεργασία απολύτως αναγκαία για την ικανοποίηση του υπέρτερου έννοµου συµφέροντος του υπεύθυνου επεξεργασίας και των νοµίµων αποδεκτών των δεδοµένων, δηλαδή, κατά κύριο λόγο, των µοναδικών µετόχων του τραπεζικών ιδρυµάτων, σύµφωνα µε το άρθρο 5 παρ. 2 στοιχ. ε΄ του ν. 2472/1997 (βλ. παρ. 1 της απόφασης 24/2004). Επισηµαίνεται δε ότι, σύµφωνα µε την παρ. 4 της απόφασης 24/2004, «Απ δέκτες των δεδ µένων, σύµφωνα µε τ ν σκ πό της επεξεργασίας, δικαι λ γείται να είναι µόν ι τράπεζες, τα χρηµατ πιστωτικά ιδρύµατα και ι εταιρείες διαχείρισης πιστωτικών καρτών, καθώς και φ ρείς τ υ δηµόσι υ τ µέα, όχι τρίτ ι µετέχ ντες στις ικ ν µικές συναλλαγές και ακόµη λιγότερ µετέχ ντες. Επισ µαίνεται δε στ ν αυτή απόφασ ότι ήδ µη «Τειρεσίας Α.Ε.» γνωστοποί σε στ ν Αρχή, ότι το ∆.Σ. τ ς αποφάσισε να περιορίσει µόνο στους παραπάνω νοµιµοποιούµενους, κατά τον σκοπό τ ς επεξεργασίας, αποδέκτες τ διακίν σ των δεδοµένων. Είναι αυτονό το ότι µόνον οι παραπάνω αποδέκτες προσωπικών δεδοµένων έχουν το δικαίωµα χρ σιµοποί σ ς τους. Η περαιτέρω επεξεργασία τ υς (διαβίβαση σε τρίτ υς κ.λ.π.) από αυτ ύς είναι απ λύτως απαγ ρευτική.». Επιπρόσθετα, σύµφωνα µε την παρ. 2 της απόφασης 24/2004, «Από τα δεδοµένα που υποβάλλονται σε επεξεργασία πρέπει να απαλειφθ ύν εκείνα π υ αφ ρ ύν αγ ρές και πωλήσεις ακινήτων, ως µη συµβιβαζόµενα πρ ς την αρχή της 4 αναλ γικότητας, κατά τ ν οποία τα δεδοµένα «δεν πρέπει να είναι περισσότερα από όσα κάθε φορά απαιτείται εν όψει του σκοπού τ ς επεξεργασίας» (άρθρο 4 παρ. 1 εδ. β του νόµου). Η διατήρηση τέτ ιων στ ιχείων πρ καταβ λικά, για απρ σδιόριστ αριθµό πρ σώπων π υ δεν τα συνδέει (και ίσως δεν θα τα συνδέσει π τέ) καµιά σχέση µε τις τράπεζες υπερακ ντίζει τ υς σκ π ύς τ υ αρχεί υ. Η επέµβασ στ ν ιδιωτική σφαίρα όλων αυτών των προσώπων είναι εντονότερ συµφερόντων τους από ό,τι επιβάρυνσ επιβάρυνσ των µιας τράπεζας να φροντίζει σε κάθε συγκεκριµέν περίπτωσ , πριν π.χ. συνάψει µια πιστωτική σύµβασ µε ένα πελάτ τ ς, να ζ τεί εν µέρωσ για τ ν ακίν τ περιουσία του, αν αποδίδει σ µασία σ’ αυτό και πέρα από τις ασφάλειες που του ζ τεί.[…]». Ο σκοπός αυτός αναγνωρίστηκε και µεταγενέστερα σε διατάξεις νόµων2 ως σκοπός των εν λόγω αρχείων δεδοµένων οικονοµικής συµπεριφοράς της ΤΕΙΡΕ ΙΑ Α.Ε. που λειτουργούν χάριν των πιστωτικών και χρηµατοδοτικών ιδρυµάτων. Από όλα τα παραπάνω, προκύπτει µε σαφήνεια ότι ο σκοπός τήρησης και λειτουργίας του αρχείου της ΤΕΙΡΕ ΙΑ Α.Ε. είναι προσδιορισµένος και περιορισµένος, καθώς αναφέρεται αποκλειστικά στην προστασία του τραπεζικού συστήµατος από αφερέγγυους πελάτες. Εξάλλου, η ΤΕΙΡΕ ΙΑ ΑΕ που, σηµειωτέον, λειτουργεί και ως κόµβος των τραπεζικών ιδρυµάτων µε την Γενική Γραµµατεία Πληροφοριακών υστηµάτων για τη διαβίβαση βεβαίωσης φορολογικής ενηµερότητας, αλλά και του συστήµατος µητρώου τραπεζικών λογαριασµών3, γνωστοποιεί κατά διαστήµατα στην Αρχή, µε επίκληση του συµφέροντος προστασίας της τραπεζικής πίστης, τον εµπλουτισµό των αρχείων της µε νέα αρχεία και δεδοµένα (π.χ. αρχείο εκχωρηµένων απαιτήσεων από συµβάσεις και πιστοποιήσεις εκτέλεσης δηµοσίων έργων, αιτήσεις και αποφάσεις δικαστικής ρύθµισης χρεών κλπ.). το ίδιο πνεύµα κινούνται και οι ενηµερώσεις της εταιρείας προς τα υποκείµενα των δεδοµένων, καθώς και τους αποδέκτες των δεδοµένων, δηλαδή ότι η εταιρεία λειτουργεί ως διατραπεζικό σύστηµα για την εξυπηρέτηση των συµφερόντων των νοµικών προσώπων που παρέχουν πίστη και ελέγχονται από την ΤτΕ ή από άλλες κεντρικές τράπεζες των κρατών µελών της ΕΕ κατά τους όρους της Οδηγίας 2006/48/ΕΚ «σχετικά µε τ ν ανάλ ψ και τ ν άσκ σ δραστ ριότ τας πιστωτικών ιδρυµάτων» και του ν. 3601/2007, καθώς και του 2 Όπως των άρθρων 40 του ν.3259/2004, 70 του ν.3746/2009 και 3 και 4 του ν.3816/
3. Το άρθρο 62 παρ. 2 του ν. 4170/2013 ορίζει ότι «….ως κόµβος λεκτρονικής διασύνδεσ ς και επικοινωνίας των υπόχρεων προσώπων µε τ Γ.Γ.Π.Σ. για τις ανάγκες του παρόντος, ορίζεται διατραπεζική εταιρεία “Τραπεζικά Συστήµατα Πλ ροφοριών – Τειρεσίας Α.Ε.”». 3 5 συµφέροντος λειτουργίας ορισµένων φορέων του δηµοσίου, των οποίων είναι προφανές το έννοµο συµφέρον
4. Επιπλέον, η κοινή γνώση και οι εύλογες προσδοκίες των υποκειµένων, βασιζόµενες σε νοµικές καταστάσεις και πραγµατικά περιστατικά (βλ. απόφαση 234/11.12.2006 της ΕΤΠΘ της ΤτΕ για την αναγγελία δεδοµένων ακάλυπτων επιταγών και συναλλαγµατικών από τις τράπεζες στο διατραπεζικό αρχείο ΑΥ της ΤΕΙΡΕ ΙΑ ), οδηγούν στο συµπέρασµα ότι η µεταγενέστερη διάθεση και εµπορία των εν λόγω για το συµφέρον του χρηµατοπιστωτικού συστήµατος συλλεγέντων δεδοµένων δεν ήταν ούτε είναι αναµενόµενη από τα υποκείµενα τους κατά το στάδιο της συλλογής τους και µεταγενέστερα. Τούτο δε για τον λόγο ότι αναγνωρίζεται επί µεγάλο διάστηµα από τον νοµοθέτη και την Αρχή, αλλά και εκλαµβάνεται από τα υποκείµενα και γενικότερα την κοινωνία, ότι η εταιρεία προβαίνει σε επεξεργασία δεδοµένων για επιδίωξη συγκεκριµένου εννόµου συµφέροντος των τραπεζών που έγκειται στη διασφάλιση του γενικότερου δηµόσιου συµφέροντος της τραπεζικής πίστης (βλ. ενδεικτικά, ενηµερώσεις τύπου για τήρηση αρχείου 15/12/2001, 15/12/2002, 13/11/2005, 19/11/2006, όπου αναφέρεται ρητά η εταιρεία στην αποκλειστική παροχή στα χρηµατοπιστωτικά ιδρύµατα πληροφόρησης για την εκτίµηση της φερεγγυότητας και πιστοληπτικής ικανότητας των πελατών τους). Όπου δε η εταιρεία έπρεπε να προβεί σε επεξεργασίες πέρα από τις νόµιµες υποχρεώσεις της για να υποβοηθήσει δηµόσιες αρχές ή ιδιωτικούς φορείς στην προσπάθεια καταπολέµησης παράνοµων δραστηριοτήτων, υπήρξε ειδική ρύθµιση από το νοµοθέτη5 και την Αρχή
5. 4 Βλ. υµπληρωµατική γνωστοποίηση ΤΕΙΡΕ ΙΑ του εντύπου µε τίτλο «Ωφέλεια και Αναγκαιότητα Αρχείων ΤΕΙΡΕ ΙΑ », Μάρτιος 2009, καθώς και, ενδεικτικά, την από 30-11-2008 ενηµέρωση δια του τύπου στην εφηµερίδα «ΠΡΩΤΟ ΘΕΜΑ». 5 Βλ. π.χ. την σχετική ειδική ρύθµιση για την πρόσβαση της Αρχής Καταπολέµησης της Νοµιµοποίησης Εσόδων από Εγκληµατικές ∆ραστηριότητες και της Χρηµατοδότησης της Τροµοκρατίας στο άρθρο 7Β παρ. 1 του ν. 3691/2008 «Πρόλ ψ και καταστολή τ ς νοµιµοποί σ ς εσόδων από εγκλ µατικές δραστ ριότ τες και τ ς χρ µατοδότ σ ς τ ς τροµοκρατίας και άλλες διατάξεις», το οποίο προστέθηκε µε το άρθρο 2 παρ. 2 του ν. 3932/2011 (ΦΕΚ Α 49/10.3.2011), «
6. Οι Μονάδες τ ς Αρχής έχουν πρόσβασ σε κάθε µορφής αρχείο δ µόσιας αρχής ή οργανισµού που τ ρεί και επεξεργάζεται δεδοµένα, καθώς και στο σύστ µα "Τειρεσίας".». 6 Βλ. Κανονιστικές Αποφάσεις 24/2004 παρ. 4 και 25/2004 Κεφ. Β΄ της Αρχής, όπου ορίζονται, µεταξύ άλλων, ως νόµιµοι αποδέκτες των δεδοµένων του αρχείου οι φορείς του δηµοσίου τοµέα, οι εταιρείες πρακτορείας επιχειρηµατικών απαιτήσεων και οι εταιρείες χρηµατοδοτικής µίσθωσης. Πρβλ. και Απόφαση 66/2013, όπου κρίθηκε ότι η επεξεργασία των δεδοµένων από τράπεζα, πέραν του σκοπού για τον οποίο αρχικώς συλλέχθηκαν από την ΤΕΙΡΕ ΙΑ Α.Ε. (έλεγχος πιστοληπτικής ικανότητας πελάτη, ο οποίος ήταν ταυτόχρονα και υπάλληλος της τράπεζας), για τον σκοπό του πειθαρχικού ελέγχου υπαλλήλου της διενεργούσης την επεξεργασία τράπεζας, συνιστά θεµιτή µεταβολή του σκοπού της αρχικής συλλογής και επεξεργασίας των προσωπικών δεδοµένων του προσφεύγοντος. Εκτός σκοπού, βλ., ενδεικτικά, Αποφάσεις 61/2001 (όπου κρίθηκε παράνοµη η 6 Από τα ανωτέρω συνάγεται σαφώς ότι ο σκοπός δηµιουργίας των ανωτέρω αρχείων της ΤΕΙΡΕ ΙΑ είναι σαφής, περιορισµένος και προσδιορισµένος από τη µετέπειτα νοµοθεσία, από τις αποφάσεις της Αρχής, αλλά και από τις δηµόσιες ανακοινώσεις της εταιρείας. κοπός όµως του Τ ΕΚ, όπως αναφέρεται και στο υπ’ αριθµ. πρωτ. ΓΝ/ΕΙ /6547/30-10-2014 υπόµνηµα, είναι η παροχή ορθών και επίκαιρων πληροφοριών οικονοµικής συµπεριφοράς των υποκειµένων για την εξασφάλιση γενικά της εµπορικής πίστης, της αξιοπιστίας και ασφάλειας των συναλλαγών και τελικά της άσκησης του δικαιώµατος οικονοµικής ελευθερίας των επιχειρηµατιών. υνεπώς ο σκοπός αυτός διαφέρει του αναφερόµενου στην απόφαση 24/2004 της Αρχής και προσοµοιάζει απολύτως, αν δεν ταυτίζεται, προς τον σκοπό των εταιρειών διαπίστωσης πιστοληπτικής ικανότητας της απόφασης 26/2004 της Αρχής (ΦΕΚ Β΄ 684/2004, πρώην υπ’ αριθµ. 050/20.01.2000), για τον οποίο ούτε από την Αρχή έχει κριθεί ούτε από την συναφή νοµοθεσία αναγνωρίζεται ότι λειτουργεί η ΤΕΙΡΕ ΙΑ . Η ΤΕΙΡΕ ΙΑ ΑΕ δηλώνει ότι, ο επιδιωκόµενος σκοπός ως προς το «Τ ΕΚ» είναι ο ίδιος σκοπός, µε τον οποίο συγκροτήθηκαν όπως στην απόφαση 24/2004 αναφέρεται, τα αρχεία της που τηρεί ως διατραπεζικό σύστηµα ( ΑΥ, ΥΠ και Χ). Όµως, µέτρο κρίσεως για την ταυτότητα ή µεταβολή του σκοπού δεν είναι το αν πληρούνται οι γενικοί και αφηρηµένοι ορισµοί του νόµου και των κανονιστικών αποφάσεων της Αρχής περί νοµιµότητας των σκοπών επεξεργασίας, για τη λειτουργία των εταιρειών διαπίστωσης της πιστοληπτικής ικανότητας των υποκειµένων, αλλά ο εκάστοτε γνωστοποιηθείς στην Αρχή συγκεκριµένος σκοπός επεξεργασίας, το οποίο θεώρησε η Αρχή ως µη αντικείµενο στις διατάξεις περί προστασίας των δεδοµένων προσωπικού χαρακτήρα. Επιπλέον, η εταιρεία όχι απλώς δεν εξειδικεύει τη λειτουργία του Τ ΕΚ µε επαρκή σαφήνεια και καθαρή και µη αµφισβητήσιµη γλώσσα, αλλά δηµιουργεί σύγχυση: τις ενηµερώσεις της προς τα υποκείµενα αναφέρει το Τ ΕΚ- ως σύστ µα και άλλοτε ως υπ ρεσία- που αποτελεί το µέσο πρόσβασης στα υπάρχοντα αρχεία ΑΥ και ΥΠ, ενώ στη γνωστοποίηση του αρχείου προς την Αρχή διατείνεται ότι αυτό είναι απολύτως διακριτό από το πρόσβαση τράπεζας στο αρχείο της ΤΕΙΡΕ ΙΑ µε σκοπό την ανεύρεση και προσκόµισή τους στο δικαστήριο δυσµενών στοιχείων πελάτη της και αντιδίκου της σε δίκη ασφαλιστικών µέτρων), 62/2003 (όπου κρίθηκε ότι η επέκταση των αποδεκτών του αρχείου της ΤΕΙΡΕ ΙΑ ΑΕ και στις Εταιρείες Ασφάλισης Πιστώσεων και Εγγυήσεων δεν δικαιολογείται από τον σκοπό επεξεργασίας του συγκεκριµένου αρχείου), 57/2013 (επιβολή προστίµου σε τράπεζα για παράνοµη πρόσβαση υπαλλήλων της στα αρχεία της ΤΕΙΡΕ ΙΑ Α.Ε. και για µη ικανοποίηση του δικαιώµατος πρόσβασης), 154/2013 (επιβολή προστίµων σε τράπεζα και ιδιωτική εταιρία για παράνοµη συλλογή και χρήση δεδοµένων πιστοληπτικής ικανότητας από τα αρχεία της ΤΕΙΡΕ ΙΑ Α.Ε.). 7 «σύστ µα διάθεσ ς των δεδοµένων στο χρ µατοπιστωτικό σύστ µα» αν και διευρύνει στις ατοµικές ενηµερώσεις τον κύκλο των αποδεκτών των αρχείων συµπεριλαµβάνοντας και συναλλασσόµενες µε το υποκείµενο ατοµικές επιχειρήσεις και φυσικά πρόσωπα. τις ενηµερώσεις για τήρηση αρχείου µέσω τύπου δεν αναφέρεται η υπηρεσία Τ ΕΚ, στη δε νέα κατηγορία «∆ιάθεσ των στοιχείων σε τρίτους», αναφέρονται αόριστα «αποδέκτες- νοµικά πρόσωπα» (βλ. εφηµερίδα REAL NEWS 20/6/2014), παραβλέποντας η εταιρεία ότι η διάθεση σε τρίτους δεδοµένων των εν λόγω αρχείων της που όµως έχουν συλλεγεί για διαφορετικό σκοπό έρχεται σε αντίθεση προς την υπ’ αριθµ. 24/2004 απόφαση της Αρχής και συνεπώς είναι παράνοµη. Επιπροσθέτως, στο αρχείο Τ ΕΚ τηρούνται και διατίθενται προς εµπορία στοιχεία ακάλυπτων επιταγών/συναλλαγµατικών κάνοντας χρήση των αρχείων ΑΥ και ΥΠ της εταιρείας, ενώ σύµφωνα µε την απόφαση 71/2001 της Αρχής, µπορούν να διαβιβάζονται νόµιµα σε εταιρείες διαπίστωσης πιστοληπτικής ικανότητας µόνο τα στοιχεία που έχει η κάθε µία τράπεζα στο δικό της αρχείο και όχι αυτά που µπορεί να έχει πρόσβαση µέσω του διατραπεζικού συστήµατος ΤΕΙΡΕ ΙΑ . Περαιτέρω, η Αρχή έχει χορηγήσει στην ΤΕΙΡΕ ΙΑ Α.Ε. άδεια διασύνδεσης µε τη Γ.Γ.Π. . µε σκοπό λειτουργίας της αποκλειστικά προς χάριν των τραπεζών (βλ. υπ’ αριθµ. πρωτ. ΓΝ/ΕΞ/351/16-3-2007 άδεια διασύνδεσης αρχείων µε χρήση ενιαίου κωδικού αριθµού σύµφωνα µε το άρθρο 8 παρ.3 και 4 του ν.2472/1997, αρ. αδείας 21, η οποία έχει ανανεωθεί µέχρι τις 03-07-2017 µε την υπ’ αριθµ. πρωτ. Γ/ΕΞ/926/09-07-2012 ανανέωση αδείας). υνεπώς, ο ισχυρισµός της ΤΕΙΡΕ ΙΑ ΑΕ ότι ο σκοπός λειτουργίας του συστήµατος «Τ ΕΚ» είναι ο αυτός που η εταιρεία επιδιώκει ως διατραπεζική εταιρεία που λειτουργεί χάριν των πιστωτικών και χρηµατοδοτικών ιδρυµάτων είναι αβάσιµος, όπως αβάσιµος είναι και ο περαιτέρω ισχυρισµός ότι νοµίµως γίνεται διαχωρισµός µεταξύ των διαβιβαζόµενων πληροφοριών πιστοληπτικής ικανότητας στο χρηµατοπιστωτικό σύστηµα και των µη προβλεποµένων από τον σκοπό διαβιβαζοµένων πληροφοριών σε νοµικά και φυσικά πρόσωπα.
7. Παράλειψη γνωστοποίησης στην Αρχή Η εν λόγω επεξεργασία γνωστοποιήθηκε στην Αρχή µετά την έναρξή της και, ειδικότερα, όσον αφορά επεξεργασία δεδοµένων φυσικών προσώπων, έξι µήνες αργότερα (Ιούνιος 2014). Ως εκ τούτου, υπάρχει µη έγκαιρη γνωστοποίηση κατά 8 παράβαση του άρθρου 6 του ν. 2472/
8. Τούτο άλλωστε ρητώς συνοµολογήθηκε από την εταιρεία.
9. Παράλειψη ενηµέρωσης των υποκειµένων των δεδοµένων - Ενηµέρωση των υποκειµένων µέσω του αποδέκτη Η εταιρεία δεν έχει ενηµερώσει σύµφωνα µε το άρθρο 11 του ν. 2472/1997 τα υποκείµενα των δεδοµένων για τα βασικά στοιχεία της εν λόγω επεξεργασίας ούτε κατά το στάδιο της συλλογής, ούτε πριν την ανακοίνωση τους στους αποδέκτες. τις µέχρι τις 14-10-2014 εξηγήσεις της προς την Αρχή, η εταιρεία δηλώνει ότι η ενηµέρωση αυτή πραγµατοποιείται µέσω του επιτηδευµατία – αποδέκτη, ο οποίος αναλαµβάνει τη ρητή συµβατική δέσµευση να συµπεριλάβει στις αιτήσεις, έντυπα παραγγελίας κ.α. ή/και τις συµβάσεις του, την έγγραφη ενηµέρωση του αντισυµβαλλοµένου για τα βασικά στοιχεία της εν λόγω επεξεργασίας, καθώς και να τηρεί υποχρεωτικά τις έγγραφες αυτές ενηµερώσεις στο αρχείο του, ώστε να µπορεί η ΤΕΙΡΕ ΙΑ Α.Ε. να αποκτά πρόσβαση σε αυτές οποτεδήποτε, προκειµένου να ελέγχει τη συµµόρφωση του πελάτη της µε το σχετικό όρο της µεταξύ τους σύµβασης (όρος 7.6 του υποβληθέντος µέχρι πρότινος τηρουµένου σχεδίου). Από τη δήλωση αυτή της αιτούσας, προκύπτει ότι η αιτούσα «µετακυλύει» ουσιαστικά τη δική της υποχρέωση στον εκάστοτε αποδέκτη των δεδοµένων. Όµως, από µόνη την ενηµέρωση του υποκειµένου εκ µέρους του αποδέκτη δεν καθίσταται σαφές ότι ο τελευταίος ενεργεί για λογαριασµό του υπευθύνου. Τουναντίον, τόσο η αρχή του εµφανούς αναλογικώς εφαρµοζόµενη σε κάθε δήλωση όσο και η αρχή της διαφάνειας της επεξεργασίας των δεδοµένων (άρθρο 4 παρ.1), επιβάλλει να καθίσταται σαφές στο υποκείµενο για λογαριασµό ποίου ενεργεί αυτός που τον ενηµερώνει, στο δικό του όνοµα και λογαριασµό ή στο όνοµα και για λογαριασµό του υπευθύνου. Χωρίς αυτή τη διευκρίνιση, η ως άνω ενηµέρωση του υποκειµένου από τον αποδέκτη αντιβαίνει στην αρχή της διαφάνειας (άρθρο 4 παρ.1) και στο µέτρο αυτό, δεν συνιστά προσήκουσα κατά το άρθρο 11 παρ.1 ενηµέρωση. Τούτο διότι το άρθρο 11 παρ.1 επιτάσσει στον υπεύθυνο να αποσαφηνίζει πλήρως την «ταυτότητά» του στο υποκείµενο όταν το ενηµερώνει. Αναλυτικότερα, από τα ανωτέρω προκύπτουν τα κάτωθι α) ο αποδέκτης καθίσταται ταυτόχρονα και «εκτελών την επεξεργασία» για λογαριασµό της ΤΕΙΡΕ ΙΑ Α.Ε. ως προς την εκπλήρωση της υποχρέωσης ενηµέρωσης, β) το υποκείµενο ενηµερώνεται τελικά για την υπό κρίση επεξεργασία µετά τη συλλογή, 9 αλλά και µετά τη διαβίβαση των δεδοµένων του στον αποδέκτη. Οι διαδικασίες αυτές είναι αντίθετες µε όσα απαιτεί η Απόφαση 26/2004 Κεφ. Β΄ παρ. Ι.2 και IV όπου θεσπίζονται αυτοτελείς υποχρεώσεις του υπευθύνου και του αποδέκτη, αντίστοιχα για ατοµική ενηµέρωση του υποκειµένου. Ένδειξη υπέρ της νοµιµότητας µιας τέτοιας πρακτικής θα αποτελούσε εάν εξασφαλιζόταν η ενηµέρωση του υποκειµένου έστω µέσω του αποδέκτη πριν από την απόκτηση των δεδοµένων από τον τελευταίο, δηλαδή προτού να επιληφθεί ο αποδέκτης των συγκεκριµένων διαβιβαζόµενων δεδοµένων πιστοληπτικής ικανότητας. Εάν όµως έχει αυτός επιληφθεί των δεδοµένων, η παράβαση του άρθρου 11 του ν. 2472/1997 έχει συντελεστεί και ο αποδέκτης έχει καταστεί και αυτός υπεύθυνος επεξεργασίας, ο δε αρχικά υπεύθυνος έχει πλέον οριστικά παραλείψει να ενηµερώσει νόµιµα το υποκείµενο. ∆εδοµένου ότι µε την πρακτική αυτή της ΤΕΙΡΕ ΙΑ Α.Ε. δεν εκπληρώνεται η υποχρέωση ενηµέρωσης του υποκειµένου πριν από τη διαβίβαση στον αποδέκτη, διαπιστώνεται παράβαση του άρθρoυ 11 του ν. 2472/97 και της Κανονιστικής Απόφασης 26/2004 της Αρχής. Η Αρχή, λαµβάνοντας υπόψη τη βαρύτητα των παραβάσεων των άρθρων 4, 6 και 11 του ν. 2472/1997 που διαπιστώθηκαν και συνδέονται άρρηκτα µεταξύ τους7 και της προσβολής που επήλθε από αυτές στα υποκείµενα των δεδοµένων, όπως αυτή εκτέθηκε αναλυτικά ανωτέρω, κρίνει ότι πρέπει να επιβληθεί στην ΤΕΙΡΕ ΙΑ Α.Ε., ως υπεύθυνο επεξεργασίας για το σύνολο των παραβάσεων αυτών, η προβλεπόµενη στο άρθρο 21 παρ.1 εδαφ. β΄ του ν. 2472/1997 κύρωση που αναφέρεται στο διατακτικό και η οποία τυγχάνει ανάλογη µε τη βαρύτητα των παραβάσεων και της προσβολής των υποκειµένων των δεδοµένων εξ’ αυτών. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, 1) ∆ιαπιστώνει ότι, µε τη λειτουργία του συστήµατος Τ ΕΚ, η ΤΕΙΡΕ ΙΑ Α.Ε. διεύρυνε παρανόµως τον σκοπό επεξεργασίας των δεδοµένων του αρχείου 7 Πρβλ. Γνώµη 3/2013, σελ. 18, όπου αναφέρεται ότι η υποχρέωση για σαφή προσδιορισµό του σκοπού είναι µεν διαφορετική από την υποχρέωση ενηµέρωσης του υποκειµένου και την υποχρέωση γνωστοποίησης στην Αρχή, ωστόσο και οι τρεις αυτές υποχρεώσεις είναι στενά συνδεδεµένες, καθώς κύριος στόχος της καθεµίας είναι η εξυπηρέτηση της διαφάνειας. 10 της, υπέβαλε τη σχετική γνωστοποίηση στην Αρχή µε σηµαντική χρονική καθυστέρηση και δεν ενηµέρωσε προσηκόντως τα υποκείµενα των δεδοµένων για τη µεταβολή αυτή. 2) Επιβάλλει στην ΤΕΙΡΕ ΙΑ Α.Ε., ως υπεύθυνο επεξεργασίας, πρόστιµο ύψους εβδοµήντα πέντε χιλιάδων (75.000) Ευρώ για τις ως άνω διαπιστωθείσες παραβάσεις. Ο Πρόεδρος Η Γραµµατέας Πέτρος Χριστόφορος Ειρήνη Παπαγεωργοπούλου 11