Αθήνα, 04-04-2022 Αριθ. Πρωτ.: 851 ΑΠΟΦΑΣΗ 6/2022 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση σε σύνθεση Τμήματος στην έδρα της την 08/02/2022, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Στη συνεδρίαση μετείχε μέσω τηλεδιάσκεψης ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής, Κωνσταντίνου Μενουδάκου, και παρέστησαν τα τακτικά μέλη Χαράλαμπος Ανθόπουλος, Σπυρίδων Βλαχόπουλος και Κωνσταντίνος Λαμπρινουδάκης, ως εισηγητής. Στη συνεδρίαση, παρέστη, με εντολή του Προέδρου χωρίς δικαίωμα ψήφου, η Χάρις Συμεωνίδου, ειδική επιστήμονας – ελέγκτρια ως βοηθός εισηγήτρια και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. H Αρχή έλαβε υπόψη τα παρακάτω: Με τη με αριθ. πρωτ. Γ/ΕΙΣ/8267/02-12-2020 καταγγελία της η A (στο εξής καταγγέλλουσα) στρέφεται κατά της Τράπεζας Πειραιώς (στο εξής καταγγελλόμενη), της οποίας τυγχάνει πελάτισσα, παραπονούμενη για επαναλαμβανόμενο περιστατικό παραβίασης και μη ικανοποίηση του δικαιώματος διόρθωσης των προσωπικών της δεδομένων. Ειδικότερα, σύμφωνα με την καταγγελία, οι κινήσεις της χρεωστικής κάρτας της καταγγέλλουσας κοινοποιούνται από την καταγγελλόμενη Τράπεζα στις ηλεκτρονικές διευθύνσεις … και … που ανήκουν σε τρίτο πρόσωπο, συνονόματο και συνεπώνυμο με την καταγγέλλουσα και όχι στη διεύθυνση της καταγγέλλουσας (…). Το γεγονός αυτό γνωστοποιήθηκε από την καταγγέλλουσα, όπως υποστηρίζει με την καταγγελία της, στην καταγγελλόμενη Τράπεζα, αρχικά προφορικά τον … στο κατάστημα Χ, οπότε και έλαβε τη διαβεβαίωση ότι το πρόβλημα Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr θα διορθωθεί, και ακολούθως στις …, μέσω μηνύματος ηλεκτρονικής αλληλογραφίας (e-mail) προς τον Υπεύθυνο Προστασίας Δεδομένων της καταγγελλόμενης, το οποίο έλαβε αρ. πρωτ. … . Περαιτέρω καταγγέλλεται η μη ικανοποίηση του δικαιώματος διόρθωσης των προσωπικών δεδομένων της καταγγέλλουσας, καθώς παρά το αίτημά της να λαμβάνει τη σχετική ενημέρωση στην ορθή διεύθυνση ηλεκτρονικού ταχυδρομείου της (…) που υποβλήθηκε με τους προαναφερθέντες τρόπους στην καταγγελλόμενη, οι ειδοποιήσεις σχετικά με τις κινήσεις της χρεωστικής της κάρτας συνέχισαν να αποστέλλονται στις παραπάνω διευθύνσεις που δεν της ανήκουν, όπως πληροφορήθηκε από την αποδέκτη τους, και όχι στη δική της ηλεκτρονική διεύθυνση. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, με το με αριθ. πρωτ. Γ/ΕΞ/740/02-03-2021 έγγραφό της, κάλεσε την καταγγελλόμενη να εκθέσει τις απόψεις της επί των καταγγελλομένων, εξηγώντας συγκεκριμένα τι ακριβώς συνέβη στην υπό κρίση περίπτωση και ποια είναι η προβλεπόμενη διαδικασία που ακολουθείται για την αποφυγή παρόμοιου περιστατικού. Στην απάντησή της η καταγγελλόμενη κλήθηκε να διευκρινίσει ιδίως: α) εάν και με ποιο τρόπο ανταποκρίθηκε στο αίτημα για διόρθωση των προσωπικών δεδομένων της καταγγέλλουσας το οποίο ασκήθηκε με το από … ηλεκτρονικό μήνυμά της προς τον Υπεύθυνο Προστασίας Δεδομένων της καταγγελλόμενης, αναφέροντας, σε περίπτωση μη έγκαιρης ανταπόκρισης, τους λόγους της καθυστέρησης, β) για ποιο λόγο δεν προέβη η καταγγελλόμενη σε γνωστοποίηση του εν λόγω περιστατικού παραβίασης στην Αρχή, σύμφωνα με το άρθρο 33 ΓΚΠΔ, αμέσως μόλις ειδοποιήθηκε σχετικά από την καταγγέλλουσα, γ) εάν και με ποιο τρόπο ενημέρωσε την καταγγέλλουσα για την καταγγελλόμενη παραβίαση, παρέχοντάς της τις απαιτούμενες από το άρθρο 34 ΓΚΠΔ πληροφορίες, και δ) ποια μέτρα έλαβε η καταγγελλόμενη για την αντιμετώπιση του υπό εξέταση επαναλαμβανόμενου περιστατικού παραβίασης δεδομένων και για την άμβλυνση των δυσμενών συνεπειών του, ήτοι για τον μετριασμό του κινδύνου που επήλθε στην καταγγέλλουσα από αυτό. Η καταγγελλόμενη στην από … απάντησή της (με αρ. πρωτ. Αρχής Γ/ΕΙΣ/1772/12-03-2021) αναφέρει κατ’ αρχάς ότι ο λογαριασμός της καταγγέλλουσας είναι κοινός / διαζευκτικός με τον B, συνδικαιούχο στον εν λόγω λογαριασμό και ότι τόσο η καταγγέλλουσα όσο και ο εν λόγω συνδικαιούχος έχουν ενεργοποιήσει την υπηρεσία διαχείρισης Alerts (πακέτα ειδοποιήσεων) μέσω της οποίας αποστέλλονται ειδοποιήσεις για συναλλαγές που πραγματοποιούνται στον λογαριασμό μέσω e-mail. Για τον σκοπό αυτό η καταγγέλλουσα έχει δηλώσει εν προκειμένω ως επιθυμητή ηλεκτρονική διεύθυνση την … στην οποία αποστέλλονται οι σχετικές ειδοποιήσεις, και αντίστοιχα ο συνδικαιούχος του εν λόγω λογαριασμού, B έχει δηλώσει την ηλεκτρονική διεύθυνση … στην οποία αποστέλλονται επίσης οι σχετικές ειδοποιήσεις. Περαιτέρω, όπως αναφέρει η καταγγελλόμενη, έπειτα από την από … αίτηση της καταγγέλλουσας προς την Τράπεζα, διαπιστώθηκε ότι η δηλωμένη εκ μέρους του συνδικαιούχου διεύθυνση …, διαφέρει μόνο κατά μια τελεία από το email του φερόμενου ως τελικού αποδέκτη των ειδοποιήσεων Alerts με στοιχεία …, αυτή η διαφοροποίηση όμως δεν αναγνωρίζεται από την υπηρεσία ηλεκτρονικής αλληλογραφίας Gmail της Google, με αποτέλεσμα οι ειδοποιήσεις που αποστέλλονται στη δηλωθείσα διεύθυνση (με την τελεία) να παραδίδονται στη διεύθυνση … (χωρίς τελεία), αφού το σύστημα τις θεωρεί ταυτόσημες: «η μη αναγνώριση του συμβόλου της τελείας που θα διαφοροποιούσε διακριτά την μία ηλεκτρονική διεύθυνση από την άλλη, αποτελεί αδυναμία και σφάλμα της εταιρείας Google με συνέπεια οι δύο ηλεκτρονικές διευθύνσεις (εν προκειμένω το δηλωθέν από τον B … email λήψης ειδοποιήσεων alerts, … και το email του φερόμενου ως τελικού παραλήπτη …) να αναγνωρίζονται από την Google ως μία ηλεκτρονική διεύθυνση. Η συνέπεια του παραπάνω σφάλματος της Google είναι η αποστολή ηλεκτρονικού υλικού στο διαφορετικό από το δηλωθέν εκ μέρους του συνδικαιούχου ως e-mail address λήψης ειδοποιήσεων Alerts για τις κινήσεις του ως άνω λογαριασμού, δηλαδή στο e-mail …, αντί να αποστέλλονται προς το ορθό και δηλωθέν εκ μέρους του B, που είναι καταχωρημένο στα συστήματα της Τράπεζας e-mail με στοιχεία …». Η καταγγελλόμενη επισημαίνει λοιπόν ότι δεν πρόκειται για «προώθηση» των ειδοποιήσεων σε διεύθυνση τρίτου, δεδομένου ότι αποστέλλει τις ειδοποιήσεις στην πράγματι δηλωθείσα από τον B διεύθυνση …, και ότι προχώρησε σε εσωτερική διερεύνηση σε συνεργασία με τις αρμόδιες Μονάδες της Τράπεζας, από την οποία προέκυψε ότι η διεύθυνση … δεν εντοπίζεται ως δηλωμένη στα συστήματα της Τράπεζας και δεν φαίνεται να αντιστοιχεί σε φυσικό πρόσωπο που διατηρεί συναλλακτική σχέση με την Τράπεζα και ότι η αποστολή εκ μέρους της Τράπεζας των ειδοποιήσεων Alerts για την κίνηση του ως άνω κοινού λογαριασμού, πραγματοποιείται ακώλυτα προς τις ηλεκτρονικές διευθύνσεις που έχουν δηλωθεί από τους ως άνω δύο συνδικαιούχους του, σύμφωνα με την οριζόμενη διαδικασία ενεργοποίησης του πακέτου ειδοποιήσεων Alerts, καθώς και σύμφωνα με τις σχετικές διαδικασίες της τράπεζας που έχουν γνωστοποιηθεί στους συνδικαιούχους κατά το άνοιγμα του λογαριασμού. Περαιτέρω, η καταγγελλόμενη υποστηρίζει ότι απέστειλε στις … απάντηση προς την καταγγέλλουσα, με την οποία όμως, «συμμορφούμενη με το ισχύον θεσμικό πλαίσιο που επιβάλλει το τραπεζικό απόρρητο, δεν ανέφερε τη δηλωθείσα από τον συνδικαιούχο του λογαριασμού διεύθυνση email, επεσήμανε όμως στην πελάτισσα ότι θα πρέπει να ελεγχθούν από όλους τους συνδικαιούχους του λογαριασμού οι ηλεκτρονικές διευθύνσεις που έχουν δηλωθεί για τη λήψη ειδοποιήσεων, υποδεικνύοντας μάλιστα και όλους τους δυνατούς τρόπους γι’ αυτό (winbank, επίσκεψη σε κατάστημα, phone banking) διευκρινίζοντας ότι πρόκειται για ενέργειες που μπορεί να πραγματοποιήσει ο εκάστοτε χρήστης της υπηρεσίας, ήτοι ο εκάστοτε συνδικαιούχος του ως άνω λογαριασμού και μόνο ο ίδιος ως υποκείμενο των δεδομένων, […], κάτι που προφανώς δεν έγινε. Η τράπεζα δεν μπορεί και δεν πρέπει να έχει τη δυνατότητα να επέμβει στις σχετικές δηλώσεις των πελατών της». Σύμφωνα με την καταγγελλόμενη, δεδομένου ότι η ηλεκτρονική διεύθυνση … έχει δηλωθεί από τον συνδικαιούχο της καταγγέλλουσας και όχι από την ίδια, δεν ασκήθηκε δικαίωμα διόρθωσης σύμφωνα με το άρθρο 16 ΓΚΠΔ, αφού οι ισχυρισμοί της καταγγέλλουσας «δεν αφορούσαν σε προσωπικά δεδομένα της ιδίας, αλλά σε προσωπικά δεδομένα τρίτου προσώπου, καθότι τα στοιχεία που αναφέρει στις αιτήσεις της αφορούν τα δηλωθέντα από τον συνδικαιούχο του λογαριασμού, ο οποίος δεν έχει απευθύνει στην Τράπεζα κανένα αίτημα μέχρι σήμερα, ούτε φέρεται να εξουσιοδοτεί νομίμως την Α να ασκήσει για λογαριασμό του δικαίωμα που απορρέει από τον ΓΚΠΔ». Ακολούθως, με το από … έγγραφό της, η καταγγελλόμενη τράπεζα διευκρίνισε στην καταγγέλλουσα «πως δεν υφίσταται συσχετισμός από την αναγραφή του γράμματος (e) στην ηλεκτρονική σας διεύθυνση δηλαδή το … για την παράδοση των ειδοποιήσεων στο Β με το γράμμα (i), αλλά συσχετισμός λόγω της (.) τελείας, που υπάρχει στην ηλεκτρονική διεύθυνση … και είναι δηλωμένη στο συνδικαιούχο του λογαριασμού σας που έχει επίσης ενεργοποιημένη την υπηρεσία Winbank Alerts.» Ως εκ τούτου, η καταγγελλόμενη Τράπεζα ανέφερε στην Αρχή ότι, κατά την άποψή της, σε συμμόρφωση με το ισχύον νομοθετικό πλαίσιο, έχει προβεί σε όλες τις ενέργειες που απαιτούνται εφαρμόζοντας τα κατάλληλα τεχνικά και οργανωτικά μέτρα για τη νόμιμη τήρηση, την επεξεργασία και την ασφαλή φύλαξη του αρχείου δεδομένων προσωπικού χαρακτήρα. Όσον αφορά δε το διαφαινόμενο περιστατικό παραβίασης, η Τράπεζα ανέφερε ότι «από την συνολικότερη διερεύνηση που πραγματοποιήθηκε (…) δεν διενεργήθηκε από την Τράπεζα ποτέ προώθηση δεδομένων σε mail 3ου και δεν κοινολογήθηκαν ποτέ προσωπικά στοιχεία της Α σε 3ο πρόσωπο, επομένως δεν υφίστατο περιστατικό παραβίασης – διαρροής προσωπικών δεδομένων. Συνεπώς όπως αξιολογείται από το Γραφείο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα της Τράπεζας, δεν συνέτρεξε καμία προϋπόθεση από τις προβλεπόμενες στα άρθρα 33 και 34 του ΓΚΠΔ». Παρ’ όλα αυτά με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/2171/30-03-2021 έγγραφό της, η καταγγέλλουσα ενημέρωσε την Αρχή ότι το πρόβλημα εξακολουθεί να υφίσταται, καθώς συνεχίζουν να αποστέλλονται ηλεκτρονικά ειδοποιήσεις για τις κινήσεις του λογαριασμού της από την καταγγελλόμενη τράπεζα στο εν λόγω τρίτο πρόσωπο, επισυνάπτοντας προς απόδειξη των ισχυρισμών της δεκατέσσερα
(14)μηνύματα ειδοποιήσεων (Winbank Alerts) που αφορούσαν ισάριθμες συναλλαγές της ιδίας και του συνδικαιούχου συζύγου της, τα οποία είχαν αποσταλεί εντός του 2021 στη διεύθυνση του ως άνω τρίτου προσώπου και είχαν προωθηθεί στην καταγγέλλουσα προς ενημέρωσή της. Ακολούθως η Αρχή, με τις υπ’ αριθ. πρωτ. Γ/ΕΞ/2288/12-10-2021 και Γ/ΕΞ/2289/12-10-2021 Κλήσεις της κάλεσε τα εμπλεκόμενα μέρη σε ακρόαση στη συνεδρίαση του τμήματος της Αρχής στις 19-10-2021 και, κατόπιν αναβολής στις 1011-2021, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση. Κατά την ακρόαση τα μέρη ανέπτυξαν τις απόψεις τους και τους ορίσθηκε προθεσμία 15 ημερών (μέχρι την 01-12-2021) για την υποβολή υπομνημάτων. Κατά τη συνεδρίαση της 10-11-2021 παρέστησαν η καταγγέλλουσα, και εκ μέρους της καταγγελλόμενης Τράπεζας ο κ. Ιωάννης Κρινής και η κ. Βασιλική – Μαρία Σαλδάρη από τη Νομική Υπηρεσία της Τράπεζας, ο Γ, από το τμήμα Ψηφιακής Τραπεζικής (Digital Banking), ο Δ από το τμήμα Λειτουργικής Υποστήριξης (Operational Support), και ο Ε, ΥΠΔ της Τράπεζας, ο οποίος δεν έλαβε το λόγο. Τα εμπλεκόμενα μέρη έλαβαν, κατά τη συνεδρίαση αυτή, προθεσμία και η μεν καταγγέλλουσα δεν υπέβαλε υπόμνημα, πέραν του υπ’ αριθ. πρωτ. Γ/ΕΙΣ/7139/0411-2021 εγγράφου της, που είχε υποβάλει πριν την ακρόαση, η δε Τράπεζα υπέβαλε το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/7890/02-12-2021 υπόμνημά της. Η καταγγέλλουσα, τόσο με το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/7139/04-11-2021 έγγραφό της όσο και κατά την ακρόαση, υποστήριξε τα αναφερόμενα στην καταγγελία της, συμπληρώνοντας ότι εν τέλει και προς επίλυση του ζητήματος, ο σύζυγός της και συνδικαιούχος του λογαριασμού, επισκέφθηκε την … ξανά την τράπεζα και αιτήθηκε να «βγει» από τον λογαριασμό, καθώς και να διακοπεί στο εξής κάθε υπηρεσία ειδοποίησης που αποστέλλονταν στο παρελθόν λόγω της συγκεκριμένης ιδιότητάς του ως συνδικαιούχου. Σύμφωνα με την καταγγέλλουσα, ο συνδικαιούχος αναγκάστηκε να προχωρήσει σε αυτή την ενέργεια, ώστε να παύσουν οι ειδοποιήσεις να αποστέλλονται στην εσφαλμένη διεύθυνση, αφού παρότι είχε ζητήσει πολλές φορές τόσο τηλεφωνικά όσο και με επισκέψεις του στην καταγγελλόμενη να διορθωθεί το σφάλμα, το πρόβλημα συνεχιζόταν. Η καταγγελλόμενη Τράπεζα, τόσο με το υπόμνημά της όσο και κατά την ακρόαση, επανέλαβε τις θέσεις που είχε υποστηρίξει με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/1772/12-03-2021 έγγραφο απόψεών της και συγκεκριμένα προέβαλε τους εξής ισχυρισμούς: α) Ότι η υποβολή των σχετικών από … και … αιτημάτων εκ μέρους της καταγγέλλουσας, χωρίς εξουσιοδότηση από τον συνδικαιούχο και σύζυγό της, δυνάμει της οποίας να δικαιούται να ασκήσει το δικαίωμα διόρθωσης για λογαριασμό του, αλλά και η υπό κρίση καταγγελία, αφορούσε σε αίτημα διόρθωσης της δηλωθείσας στις … από τρίτο πρόσωπο (τον συνδικαιούχο της καταγγέλλουσας) ηλεκτρονικής διεύθυνσης παραλαβής ειδοποιήσεων alerts … και για το λόγο αυτό, σύμφωνα με την καταγγελλόμενη Τράπεζα, δεν τυγχάνουν εφαρμογής τα προβλεπόμενα στο άρθρο 16 του ΓΚΠΔ περί δικαιώματος διόρθωσης, δεδομένου ότι η αιτούμενη διόρθωση δεν αφορούσε το προσωπικό δεδομένο της ιδίας, δηλαδή τη δηλωθείσα εκ μέρους της (στις … ) ως διεύθυνση παραλαβής ειδοποιήσεων alerts … β) Ότι νομότυπα απέστειλε τις σχετικές ειδοποιήσεις προς τη δηλωθείσα από τον συνδικαιούχο της καταγγέλλουσας ηλεκτρονική διεύθυνση …, το γεγονός δε ότι η σχετική αλληλογραφία κατέληγε σε τρίτο πρόσωπο με τη διεύθυνση …, η οποία διαφέρει κατά μία τελεία από την παραπάνω δηλωθείσα διεύθυνση, οφείλεται αποκλειστικά στο σφάλμα της Google, η οποία αδυνατεί να αναγνωρίσει το σύμβολο της τελείας στο τμήμα πριν από το σύμβολο @, με αποτέλεσμα να καθίσταται αδύνατη η διαφοροποίηση των ανωτέρω δύο διευθύνσεων. Ως εκ τούτου, η Τράπεζα υποστηρίζει ότι το καταγγελλόμενο περιστατικό «δεν θα μπορούσε καθ’ οιονδήποτε τρόπο να ενταχθεί στο πεδίο ευθύνης της ή να αποτραπεί ή να αποφευχθεί από την Τράπεζα με τη λήψη οποιωνδήποτε μέτρων, καθώς ανάγεται αποκλειστικά και μόνο στη σφαίρα ευθύνης της Google, χωρίς τη δυνατότητα οποιασδήποτε παρέμβασης εκ μέρους της Τράπεζας και με πρωτοβουλία της Τράπεζας». γ) Ότι οποιαδήποτε αυτόβουλη εκ μέρους της Τράπεζας απόπειρα διευθέτησης του ζητήματος που αφορούσε τον συνδικαιούχο της καταγγέλλουσας θα ήταν παράνομη: Ειδικότερα, κατά την καταγγελλόμενη, η πιθανή μεταβολή της ηλεκτρονικής διεύθυνσης του παραλήπτη χωρίς προηγούμενο σχετικό αίτημα του ιδίου και χωρίς την δική του συναίνεση θα αποτελούσε «αυθαίρετη και παράνομη επεξεργασία των δεδομένων του», η διακοπή αποστολής των ενημερώσεων alerts θα συντελούσε «στην μη συναλλακτική και αναιτιολόγητη κατάργηση της δωρεάν παρεχόμενης από την Τράπεζα στον ίδιο υπηρεσίας ειδοποιήσεων alerts», ενώ ακόμα και τυχόν τηλεφωνική ενημέρωσή του από την Τράπεζα, θα αποτελούσε «εξ ορισμού επεξεργασία των δεδομένων του εν λόγω συνδικαιούχου, ήτοι του Β, εκτός των νόμιμων σκοπών επεξεργασίας των προσωπικών δεδομένων του υποκειμένου αυτού». Τέλος, η καταγγελλόμενη Τράπεζα αναφέρει ότι την … ο συνδικαιούχος της καταγγέλλουσας μετέβη σε κατάστημα της Τράπεζας και έδωσε εντολή κατάργησης της υπηρεσίας alerts και αλλαγής της μέχρι τότε δηλωθείσας διεύθυνσης ηλεκτρονικής αλληλογραφίας του, αλλαγές στις οποίες προχώρησε η Τράπεζα σύμφωνα με τις διαδικασίες της, θεωρώντας έτσι ότι «έχει ολοκληρωθεί κάθε πτυχή προσέγγισης της υπόθεσης, ότι δεν ανιχνεύθηκε κατ’ ουδένα τρόπο περιστατικό διαρροής προσωπικών δεδομένων της καταγγέλλουσας που να χρήζει περαιτέρω ενασχόλησης, λήψης μέτρων και άλλων ενεργειών και ότι η υπό κρίση καταγγελία αποδεικνύεται αβάσιμη». Η Αρχή, μετά από εξέταση όλων των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τη βοηθό εισηγήτρια, η οποία αποχώρησε μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη, μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
- Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
- Σύμφωνα με το άρθρο 5 παρ. 1 στ) ΓΚΠΔ «
- Τα δεδομένα προσωπικού χαρακτήρα: στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)», ενώ όπως επισημαίνεται στο Προοίμιο του Κανονισμού, «Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να υφίστανται επεξεργασία κατά τρόπο που να διασφαλίζει την ενδεδειγμένη προστασία και εμπιστευτικότητα των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων και για να αποτρέπεται κάθε ανεξουσιοδότητη πρόσβαση σε αυτά τα δεδομένα προσωπικού χαρακτήρα και στον εξοπλισμό που χρησιμοποιείται για την επεξεργασία τους ή η χρήση αυτών των δεδομένων προσωπικού χαρακτήρα και του εν λόγω εξοπλισμού» (Αιτ. Σκ. 39 in fine).
- Σύμφωνα με τη διάταξη του άρθρου 24 παρ. 1 ΓΚΠΔ: «
- Λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με τον παρόντα κανονισμό. Τα εν λόγω μέτρα επανεξετάζονται και επικαιροποιούνται όταν κρίνεται απαραίτητο», ενώ σύμφωνα με τις διατάξεις των παρ. 1 και 2 του άρθρου 32 ΓΚΠΔ για την ασφάλεια της επεξεργασίας, «
- Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, περιλαμβανομένων, μεταξύ άλλων, κατά περίπτωση: α) της ψευδωνυμοποίησης και της κρυπτογράφησης δεδομένων προσωπικού χαρακτήρα, β) της δυνατότητας διασφάλισης του απορρήτου, της ακεραιότητας, της διαθεσιμότητας και της αξιοπιστίας των συστημάτων και των υπηρεσιών επεξεργασίας σε συνεχή βάση, γ) της δυνατότητας αποκατάστασης της διαθεσιμότητας και της πρόσβασης σε δεδομένα προσωπικού χαρακτήρα σε εύθετο χρόνο σε περίπτωση φυσικού ή τεχνικού συμβάντος, δ) διαδικασίας για την τακτική δοκιμή, εκτίμηση και αξιολόγηση της αποτελεσματικότητας των τεχνικών και των οργανωτικών μέτρων για τη διασφάλιση της ασφάλειας της επεξεργασίας.
- Κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία».
- Περαιτέρω, σύμφωνα με το άρθρο 4 αρ. 12 ΓΚΠΔ ως παραβίαση δεδομένων προσωπικού χαρακτήρα νοείται «η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάσθηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία». Σύμφωνα με τις από 06-02-2018 Κατευθυντήριες Γραμμές της Ομάδας Εργασίας του άρθρου 29 της Οδηγίας 95/46/ΕΚ (νυν Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων – EDPB) για την Γνωστοποίηση παραβίασης προσωπικών δεδομένων (“Guidelines on Personal data breach notification under Regulation 2016/679” WP 250 rev. 1) ένας από τους τύπους παραβίασης προσωπικών δεδομένων είναι αυτός που κατηγοριοποιείται με βάση την αρχή ασφαλείας της «εμπιστευτικότητας», όταν διαπιστώνεται πρόσβαση άνευ δικαιώματος σε προσωπικά δεδομένα (“confidentiality breach”). Μια παραβίαση μπορεί δυνητικά να έχει διάφορες σημαντικές δυσμενείς συνέπειες στα πρόσωπα, οι οποίες μπορούν να οδηγήσουν σε σωματική, υλική ή ηθική βλάβη. Στον ΓΚΠΔ επεξηγείται ότι αυτή η βλάβη μπορεί να περιλαμβάνει απώλεια του ελέγχου επί των δεδομένων προσωπικού χαρακτήρα τους, περιορισμό των δικαιωμάτων τους, διακρίσεις, κατάχρηση ή υποκλοπή ταυτότητας, οικονομική απώλεια, παράνομη άρση της ψευδωνυμοποίησης, βλάβη της φήμης και απώλεια της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα που προστατεύονται από επαγγελματικό απόρρητο κλπ. (βλ. και αιτ. σκέψεις 85 και 75). Τα περιστατικά παραβίασης δεδομένων πρέπει να γνωστοποιούνται στην Αρχή εντός 72 ωρών από τη στιγμή που έλαβε γνώση τους ο υπεύθυνος επεξεργασίας, σύμφωνα με το άρθρο 33 παρ. 1 ΓΚΠΔ: «
- Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας γνωστοποιεί αμελλητί και, αν είναι δυνατό, εντός 72 ωρών από τη στιγμή που αποκτά γνώση του γεγονότος την παραβίαση των δεδομένων προσωπικού χαρακτήρα στην εποπτική αρχή που είναι αρμόδια σύμφωνα με το άρθρο 55, εκτός εάν η παραβίαση δεδομένων προσωπικού χαρακτήρα δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Όταν η γνωστοποίηση στην εποπτική αρχή δεν πραγματοποιείται εντός 72 ωρών, συνοδεύεται από αιτιολόγηση για την καθυστέρηση.» Η γνωστοποίηση πρέπει να έχει το ελάχιστο περιεχόμενο που αναφέρεται στην παρ. 3 του άρθρου 33 ΓΚΠΔ, ενώ σύμφωνα με την παρ. 5 του ιδίου άρθρου «Ο υπεύθυνος επεξεργασίας τεκμηριώνει κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα, που συνίστανται στα πραγματικά περιστατικά που αφορούν την παραβίαση δεδομένων προσωπικού χαρακτήρα, τις συνέπειες και τα ληφθέντα διορθωτικά μέτρα. Η εν λόγω τεκμηρίωση επιτρέπει στην εποπτική αρχή να επαληθεύει τη συμμόρφωση προς το παρόν άρθρο». Επιπλέον η παραβίαση πρέπει να ανακοινώνεται και στο υποκείμενο των δεδομένων, κατά περίπτωση και σύμφωνα με τα οριζόμενα στο άρθρο 34 παρ. 1 και 2 ΓΚΠΔ: «
- Όταν η παραβίαση δεδομένων προσωπικού χαρακτήρα ενδέχεται να θέσει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας ανακοινώνει αμελλητί την παραβίαση των δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων.
- Στην ανακοίνωση στο υποκείμενο των δεδομένων η οποία αναφέρεται στην παράγραφο 1 του παρόντος άρθρου περιγράφεται με σαφήνεια η φύση της παραβίασης των δεδομένων προσωπικού χαρακτήρα και περιέχονται τουλάχιστον οι πληροφορίες και τα μέτρα που αναφέρονται στο άρθρο 33 παράγραφος 3 στοιχεία β), γ) και δ)».
- Στην υπό εξέταση περίπτωση από τα στοιχεία του φακέλου προέκυψαν τα εξής: Η καταγγέλλουσα τυχαία διαπίστωσε ότι προσωπικά της δεδομένα κοινοποιούνταν εκ μέρους της καταγγελλόμενης τράπεζας σε τρίτο πρόσωπο που φέρει το ονοματεπώνυμό της, εν αγνοία της και χωρίς τη θέλησή της. Επρόκειτο επομένως για παραβίαση της εμπιστευτικότητας, η οποία μάλιστα λαμβάνει χώρα επαναλαμβανόμενα και διαρκώς. Αμέσως η καταγγέλλουσα ενημέρωσε σχετικά, εγγράφως, στις … την καταγγελλόμενη (μέσω του ΥΠΔ της), η οποία αφού προέβη σε ελέγχους, διαπίστωσε ότι το πρόβλημα οφείλεται στην εσφαλμένη διεύθυνση e-mail που είχε δηλώσει ο σύζυγος και συνδικαιούχος της καταγγέλλουσας για την αποστολή ειδοποιήσεων Winbank alerts, ήτοι στη διεύθυνση …, την οποία η υπηρεσία Gmail της Google αναγνωρίζει ως ταυτόσημη με την … . Η διεύθυνση αυτή προφανώς είχε δηλωθεί αντί της ορθής διεύθυνσης της καταγγέλλουσας και συζύγου του εν λόγω πελάτη (…) την οποία ο συνδικαιούχος κατά πάσα πιθανότητα επιθυμούσε να δηλώσει, θέτοντας εκ παραδρομής το γράμμα i αντί του (ορθού) e. Παρ’ όλα αυτά, η καταγγελλόμενη τράπεζα δεν προέβη σε καμία ενέργεια για την παύση της αποστολής των ειδοποιήσεων στο τρίτο πρόσωπο με το όνομα και το επώνυμο της καταγγέλλουσας, αλλά με την από … επιστολή της ανέφερε στην καταγγέλλουσα ότι κάθε συνδικαιούχος του λογαριασμού όφειλε να ελέγξει μέσω των ρυθμίσεών του τις δηλωθείσες εκ μέρους του διευθύνσεις αποστολής ειδοποιήσεων. Με τον τρόπο αυτό, η καταγγελλόμενη τράπεζα συνέχισε να προβαίνει σε παραβίαση της εμπιστευτικότητας των δεδομένων της καταγγέλλουσας, μέσω της αθέμιτης κοινοποίησής τους σε τρίτο πρόσωπο , αναμένοντας την άσκηση δικαιώματος διόρθωσης της εσφαλμένης διεύθυνσης, εκ μέρους του υποκειμένου - συνδικαιούχου της καταγγέλλουσας. Παρά την εκ νέου διαμαρτυρία της καταγγέλλουσας προς την τράπεζα στις …, η καταγγελλόμενη εξακολούθησε να αδρανεί, με αποτέλεσμα η καταγγέλλουσα να προχωρήσει στην υποβολή της υπό κρίση καταγγελίας στην Αρχή, στις … . Στις … η καταγγελλόμενη τράπεζα ενημέρωσε με επιστολή της την καταγγέλλουσα για τα εξής: «Θα θέλαμε να διευκρινίσουμε πως δεν υφίσταται συσχετισμός από την αναγραφή του γράμματος (e) στην ηλεκτρονική σας διεύθυνση δηλαδή το … για την παράδοση των ειδοποιήσεων στο … με το γράμμα (i), αλλά συσχετισμός λόγω της (.) τελείας, που υπάρχει στην ηλεκτρονική διεύθυνση … και είναι δηλωμένη στο συνδικαιούχο του λογαριασμού σας που έχει επίσης ενεργοποιημένη την υπηρεσία Winbank Alerts».
- Θα πρέπει να σημειωθεί ότι, αντίθετα με όσα υποστηρίζει η καταγγελλόμενη τράπεζα, το πρόβλημα με τη μη αναγνώριση του συμβόλου της τελείας (.) από την υπηρεσία Gmail είναι γνωστό και δεν ενδιαφέρει εν προκειμένω, αφού δεν είναι αυτό το κρίσιμο σφάλμα από το οποίο προέκυψε η διαρροή των δεδομένων της καταγγέλλουσας. Αντιθέτως, δεδομένου ότι η ύπαρξη ή μη τελείας δεν διαφοροποιεί στην πράξη μια διεύθυνση gmail από μια άλλη, η μόνη σημαντική διαφορά μεταξύ των δύο διευθύνσεων, στην οποία θα έπρεπε να εστιάσει η καταγγελλόμενη, είναι το εκ παραδρομής (του συνδικαιούχου) τεθέν γράμμα i αντί του ορθού e στο όνομα … . Περαιτέρω, η καταγγέλλουσα πράγματι δεν νομιμοποιείται να ασκήσει το δικαίωμα διόρθωσης προσωπικών δεδομένων για λογαριασμό του συζύγου της και συνδικαιούχου του λογαριασμού, ο οποίος είχε δηλώσει την εσφαλμένη διεύθυνση e-mail για την παραλαβή των ειδοποιήσεων alerts. Επιπλέον, δεν προσκομίστηκαν έγγραφα από τα οποία να προκύπτει η άσκηση δικαιώματος διόρθωσης εκ μέρους του συνδικαιούχου της καταγγέλλουσας και υποκειμένου των δεδομένων (της εν λόγω ηλεκτρονικής διεύθυνσης). Ωστόσο, δεδομένου ότι η καταγγέλλουσα απευθύνθηκε στην καταγγελλόμενη Τράπεζα με την ιδιότητα του υποκειμένου των δεδομένων (πληροφοριών τραπεζικών συναλλαγών που και η ίδια πραγματοποιούσε μέσω του λογαριασμού της) αναφέροντας τη διαπιστωμένη διαρροή των δεδομένων αυτών σε τρίτο πρόσωπο, που συνιστά περιστατικό παραβίασης των προσωπικών δεδομένων της σύμφωνα με το άρθρο 4 άρ. 12 ΓΚΠΔ και παραβίαση της αρχής της εμπιστευτικότητας, εναπόκειται πλέον στην Τράπεζα, ως υπεύθυνο επεξεργασίας, να αξιολογήσει το περιστατικό σύμφωνα με τα άρθρα 33 και 34 ΓΚΠΔ και να προβεί στις απαραίτητες ενέργειες για την αντιμετώπιση της παραβίασης, λαμβάνοντας μέτρα για την άμβλυνση των δυσμενών συνεπειών της (άρθρο 32 παρ. 1 στοιχ. δ) ΓΚΠΔ). Επιπλέον, η Τράπεζα όφειλε να λάβει επιπλέον διορθωτικά μέτρα για να διασφαλίσει την ασφάλεια των δεδομένων, σύμφωνα με τα άρθρα 24 και 32 ΓΚΠΔ, λαμβάνοντας υπόψη το ως άνω περιστατικό και επαναξιολογώντας τη διαδικασία δήλωσης ηλεκτρονικής διεύθυνσης από πελάτη και χρήστη των υπηρεσιών της, προσθέτοντας, εάν κρίνεται απαραίτητο, επιπλέον βήματα προς επιβεβαίωση ότι η δηλωθείσα διεύθυνση ανήκει στο πρόσωπο που τη δήλωσε.
- Σε κάθε περίπτωση και ανεξαρτήτως των ενεργειών στις οποίες θα μπορούσε να προβεί η καταγγέλλουσα ή/και ο σύζυγός της και συνδικαιούχος για τη διόρθωση των προσωπικών τους δεδομένων ασκώντας τα δικαιώματά τους ως υποκείμενα, η αρχή της ακεραιότητας και εμπιστευτικότητας των δεδομένων επιβάλλει τη λήψη μέτρων από την καταγγελλόμενη τράπεζα ως υπεύθυνο επεξεργασίας, αμέσως μόλις τέθηκε εις γνώση της η εξακολουθούμενη διαρροή των στοιχείων των τραπεζικών συναλλαγών τους σε τρίτο πρόσωπο, μέσω της παύσης της αποστολής ειδοποιήσεων μέχρι την επίλυση του ζητήματος.
- Κατόπιν των ανωτέρω, από τα στοιχεία του φακέλου και κατόπιν της ακροαματικής διαδικασίας, η Αρχή διαπιστώνει εκ μέρους της καταγγελλόμενης Τράπεζας: α) παράβαση της αρχής της εμπιστευτικότητας των δεδομένων (άρ. 5 παρ. 1 στ) ΓΚΠΔ), διότι η καταγγελλόμενη Τράπεζα, αν και, μέσω των από … και … επιστολών της καταγγέλλουσας και, σε κάθε περίπτωση, του υπ’ αρ. πρωτ. Γ/ΕΞ/740/02-03-2021 εγγράφου της Αρχής, έλαβε γνώση του γεγονότος ότι οι προσωπικές πληροφορίες τραπεζικών συναλλαγών της καταγγέλλουσας διέρρεαν σε τρίτο πρόσωπο, ήτοι στην κάτοχο της ηλεκτρονικής διεύθυνσης …, εξακολούθησε να αποστέλλει τις σχετικές ειδοποιήσεις στην ίδια διεύθυνση μέχρι την …, καθώς και παράβαση των εκ των άρθρων 33 και 34 ΓΚΠΔ υποχρεώσεων της καταγγελλόμενης, δεδομένου ότι δεν γνωστοποίησε το περιστατικό στην Αρχή ή στο υποκείμενο, ούτε έλαβε μέτρα για την άμβλυνση των συνεπειών της παραβίασης (παύση αποστολής ειδοποιήσεων) και για την αποφυγή αντίστοιχων περιστατικών στο μέλλον. β) Ελλιπή τεχνικά και οργανωτικά μέτρα ασφάλειας, σύμφωνα με τα άρθρα 24 και 32 ΓΚΠΔ, τα οποία οδήγησαν στο ως άνω περιστατικό. Ειδικότερα, διαπιστώνεται η απουσία μέτρων και διαδικασιών προς επιβεβαίωση της ορθότητας των διευθύνσεων e-mail που δηλώνονται στην Τράπεζα για τη λήψη ειδοποιήσεων, αφού ληφθούν υπόψη οι πιθανές συνέπειες τυχόν εσφαλμένης δηλώσεως.
- Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά τα άρθρα 58 παρ. 2 θ) και 83 ΓΚΠΔ διορθωτικές εξουσίες της (επιβολή προστίμου) όσον αφορά τις ανωτέρω διαπιστωθείσες υπό στοιχείο α παραβάσεις, καθώς και τις κατά το άρθρο 58 παρ. 2 α) ΓΚΠΔ διορθωτικές εξουσίες της όσον αφορά τη διαπίστωση της παράβασης υπό στοιχείο β. Για τον καθορισμό της κύρωσης η Αρχή λαμβάνει υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ που έχουν εφαρμογή στην παρούσα υπόθεση. Ειδικότερα, λαμβάνονται ιδιαιτέρως υπόψη: α) Η φύση, η βαρύτητα και η διάρκεια της παράβασης, η οποία ξεκίνησε με τη δήλωση της εσφαλμένης ηλεκτρονικής διεύθυνσης εκ μέρους του συζύγου – συνδικαιούχου της καταγγέλλουσας στις …, συνεχίστηκε, παρά την επισήμανση του προβλήματος στην Τράπεζα στις αρχές του … προφορικώς και στις … εγγράφως, έπαυσε δε την …, όταν ο εν λόγω συνδικαιούχος μετέβη σε κατάστημα της Τράπεζας προς επίλυσή του β) Ο μικρός αριθμός των υποκειμένων που επηρεάστηκαν
(2)και το γεγονός ότι δεν προέκυψε ότι υπέστησαν οικονομική ζημία γ) Το γεγονός ότι η παράβαση εκ μέρους της Τράπεζας δεν αποδίδεται σε δόλο δ) Η συντρέχουσα αμέλεια του υποκειμένου (συνδικαιούχου) όσον αφορά, τόσο την εσφαλμένη δήλωση ηλεκτρονικής διεύθυνσης, όσο και τη διαδικασία διόρθωσής της έπειτα από τις σχετικές υποδείξεις της Τράπεζας προς την καταγγέλλουσα. Ειδικότερα, δεν προσκομίστηκαν στην Αρχή έγγραφα από τα οποία να προκύπτει η άσκηση του δικαιώματος διόρθωσης, από τον συνδικαιούχο της καταγγέλλουσας, κατά τις υποδείξεις της καταγγελλόμενης Τράπεζας ε) Το γεγονός ότι η Τράπεζα, παρότι έλαβε γνώση του προβλήματος, δεν προέβη σε οποιαδήποτε ενέργεια για την εξάλειψη των συνεπειών του συνεχιζόμενου περιστατικού παραβίασης στ) Ο βαθμός ευθύνης της Τράπεζας λόγω ελλιπών τεχνικών και οργανωτικών μέτρων ασφαλείας ζ) Η έλλειψη προηγούμενων παραβάσεων της Τράπεζας ως υπευθύνου επεξεργασίας, και η) Το γεγονός ότι από την παράβαση δεν επηρεάστηκαν ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ Α. Επιβάλλει στην Τράπεζα Πειραιώς Α.Ε. ως υπεύθυνο επεξεργασίας με βάση το άρθρο 58 παρ. 2 εδαφ. θ του ΓΚΠΔ συνολικό πρόστιμο ύψους δέκα χιλιάδων (10.000 €) ευρώ για την παράβαση της αρχής της εμπιστευτικότητας των δεδομένων (άρ. 5 παρ. 1 στ) ΓΚΠΔ) και των υποχρεώσεών της εκ των άρθρων 33 και 34 ΓΚΠΔ. Β. Απευθύνει στην Τράπεζα Πειραιώς Α.Ε. ως υπεύθυνο επεξεργασίας προειδοποίηση σύμφωνα με το άρθρο ΓΚΠΔ 58 παρ. 2 α) ώστε να θέσει σε εφαρμογή κατάλληλα τεχνικά και οργανωτικά μέτρα προς επιβεβαίωση της ορθότητας των διευθύνσεων e-mail που δηλώνονται στην Τράπεζα για τη λήψη ειδοποιήσεων Winbank Alerts. Ο Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου