Επιβολή προστίμου σε τράπεζα για παράνομη επεξεργασία προσωπικών δεδομένων και παραβίαση του δικαιώματος πρόσβασης

Αθήνα, 12-06-2023 Αριθ. Πρωτ.: 1510 ΑΠΟΦΑΣΗ 25/2023 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (εφεξής «Αρχή») συνήλθε μετά από πρόσκληση του Προέδρου της σε συνεδρίαση μέσω τηλεδιάσκεψης την Τρίτη 13-12-2022 και ώρα 10.00, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος, τα τακτικά μέλη Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, Χαράλαμπος Ανθόπουλος, Χρήστος Καλλονιάτης, Αικατερίνη Ηλιάδου και Γρηγόριος Τσόλιας, ως εισηγητής. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν η Ευφροσύνη Σιουγλέ, ειδική επιστήμονας – πληροφορικός, η Στεφανία Πλώτα, ειδική επιστήμονας - δικηγόρος, ως βοηθοί εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα κατωτέρω: Με την υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/479/21-01-2020 καταγγελία, ο Α (εφεξής «καταγγέλλων») ενημέρωσε την Αρχή ότι η καταγγελλόμενη Τράπεζα Πειραιώς Α.Ε. (εφεξής «Τράπεζα»), σύμφωνα με την από …, κοινή επιστολή της Τράπεζας και της Εταιρείας Διαχείρισης Απαιτήσεων από Δάνεια και Πιστώσεις Alternative Financial Solutions Μ.Α.Ε.Δ.Α.Δ.Π. (εφεξής «εταιρεία AFS»), διαβίβασε τα προσωπικά του δεδομένα στην τελευταία (Διαχειρίστρια της απαίτησης κατά τον ν. 4354/2015), χωρίς ωστόσο να έχει προς τούτο νόμιμο λόγο και δικαίωμα, καθώς, κατά τους ισχυρισμούς του καταγγέλλοντος, ουδεμία απαίτηση υπήρχε πλέον σε βάρος του. Συγκεκριμένα, η Τράπεζα με την ως άνω επιστολή, ενημερώνει τον καταγγέλλοντα 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr ότι προέβη σε συμφωνία με την εταιρεία AFS για την ανάθεση σε αυτήν της διαχείρισης απαιτήσεων της Τράπεζας από χορηγήσεις δανείων ή/και πιστώσεων προς οφειλέτες, των οποίων οι οφειλές ή κάποιες οφειλές έχουν καταστεί ληξιπρόθεσμες ή/και έχουν καταγγελθεί ή έχουν ρυθμιστεί και ότι «οι απαιτήσεις της Τράπεζας που απορρέουν από τη/τις συμβάσεις δανείου ή πίστωσης στην/στις οποία/ες ενέχεστε υπό την ιδιότητα του οφειλέτη ή/και συνοφειλέτη ή/και εγγυητή ή/και παρόχου εξασφάλισης, περιλαμβάνεται στο Χαρτοφυλάκιο και από την 20-092019 και εξής, τη διαχείριση της/των σύμβασης/εων σας ανέλαβε ο Διαχειριστής και για το σκοπό αυτό τα προσωπικά σας δεδομένα διαβιβάστηκαν από την Τράπεζα στο Διαχειριστή για το σκοπό της διαχείρισης των απαιτήσεών της από τη/τις σύμβασή/εις σας». Περαιτέρω, ο καταγγέλλων διαμαρτύρεται για το ότι η Τράπεζα δεν του απάντησε ικανοποιητικά και αναλυτικά, όπως της ζήτησε, με την από … αίτησή του, με την οποία άσκησε προς την Τράπεζα το δικαίωμα πρόσβασης και ενημέρωσης σε σχέση με τη διαβίβαση προσωπικών του δεδομένων στην εταιρεία AFS. Συγκεκριμένα, ο καταγγέλλων αναφέρει στην από … αίτησή του προς την Τράπεζα ότι ασκεί αυτοτελώς το δικαίωμα πρόσβασης και ενημέρωσης σε σχέση με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τον αφορούν κατ’ άρ. 15 ΓΚΠΔ και άρ. 33 ν.4624/2019 και αιτείται να τον ενημερώσουν προσωποποιημένα και αναλυτικά για α. την ακριβή χρονολογία διαβίβασης των δεδομένων του προς τον Διαχειριστή, β. τον τρόπο και τον σκοπό διαβίβασης αυτών, γ. αναλυτικά άπαντα τα δεδομένα του κατά τον χρόνο διαβίβασης τους προς τον Διαχειριστή και ιδίως σύμφωνα με την από … επιστολή της Τράπεζας τους αριθμούς των δανειακών συμβάσεων, τα αντίστοιχα οφειλόμενα ποσά ανά δανειακή σύμβαση, τις υφιστάμενες εμπράγματες εξασφαλίσεις ανά δανειακή σύμβαση, και δ. τυχόν άλλα δεδομένα του που τυχόν συνέλεξε η Τράπεζα κατά τη διαχείριση των απαιτήσεών της μετά τη διαβίβαση των απαιτήσεων της προς τον Διαχειριστή. Ο καταγγέλλων έλαβε ταχυδρομικώς στις … την από … δεύτερη επιστολή της Τράπεζας, στην οποία η Τράπεζα αναφέρει ότι εκ παραδρομής εστάλη σε αυτόν η επιστολή, με ημερομηνία …, η οποία είχε τη μορφή και το περιεχόμενο της ατομικής επιστολής που εστάλη από την Τράπεζα για σκοπούς ενημέρωσης στα φυσικά πρόσωπα που συνδέονται υπό οποιαδήποτε ιδιότητα με τις απαιτήσεις της Τράπεζας, οι οποίες απορρέουν από συμβάσεις δανείων και πιστώσεων και η διαχείρισή τους έχει ανατεθεί από την 2 Τράπεζα στην εταιρεία AFS, στο πλαίσιο της συμφωνίας για την ανάθεση στην εταιρεία AFS της διαχείρισης απαιτήσεων από την Τράπεζα από μη εξυπηρετούμενα δάνεια και πιστώσεις, σύμφωνα με τον ν.4354/

1. Η Τράπεζα αναφέρει ότι η αποστολή της επιστολής οφείλεται αποκλειστικά και μόνο σε συστημικούς, τεχνικούς λόγους, παρακαλώντας τον να αγνοήσει το περιεχόμενο αυτής και ότι τα προσωπικά του δεδομένα παραμένουν φυσικά στην Τράπεζα (ψηφιακές υποδομές, τεχνικές εφαρμογές κ.λπ), χωρίς να αναφέρεται στο ασκηθέν δικαίωμα πρόσβασης. Κατόπιν τούτου, η Αρχή στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας απέστειλε στην Τράπεζα και στην εταιρεία AFS το υπ’ αριθ. πρωτ. Γ/ΕΞ/479-1/20-05-2020 έγγραφο, καλώντας τις να τοποθετηθούν εγγράφως επί των καταγγελλομένων και θέτοντας επιπλέον ερωτήματα. Στο έγγραφο αυτό η Τράπεζα απάντησε με την υπ’ αρ. πρωτ. Γ/ΕΙΣ/5039/20-07-2020 επιστολή, στην οποία ανέφερε ότι : i. η Τράπεζα , σύμφωνα με τις διατάξεις του Ν. 4354/2015, όπως ισχύει, προέβη σε συμφωνία για την ανάθεση της διαχείρισης απαιτήσεών της από χορηγήσεις δανείων ή/και πιστώσεων προς οφειλέτες, των οποίων οι οφειλές ή κάποιες οφειλές είχαν καταστεί ληξιπρόθεσμες ή/και είχαν καταγγελθεί ή είχαν ρυθμιστεί (στο εξής: το «Χαρτοφυλάκιο») στην εταιρεία AFS και ήδη INTRUM HELLAS ΑΝΩΝΥΜΗ ΕΤΑΙΡΕΙΑ ΔΙΑΧΕΙΡΙΣΗΣ ΑΠΑΙΤΗΣΕΩΝ ΑΠΟ ΔΑΝΕΙΑ ΚΑΙ ΠΙΣΤΩΣΕΙΣ (στο εξής: «Intrum» ή «εταιρεία» ή «Διαχειριστής») και στο πλαίσιο της ως άνω συμφωνίας, από την … η AFS και ήδη Intrum, υπό την ιδιότητα του Διαχειριστή, ανέλαβε τη διαχείριση όλων των συμβάσεων που περιλαμβάνονταν στο Χαρτοφυλάκιο. Σημειώνεται ότι κατά τον χρόνο ανάθεσης της ως άνω διαχείρισης απαιτήσεων, η εταιρεία AFS υπαγόταν στον Όμιλο της Τράπεζας και ειδικότερα ήταν 100% θυγατρική της Τράπεζας. ii. η Τράπεζα προέβη στην απαιτούμενη ενημέρωση όλων των δανειοληπτών, οφειλετών, συνοφειλετών, εγγυητών, παρόχων εμπράγματης εξασφάλισης και εν γένει των φυσικών προσώπων που ενέχονταν στις συμβάσεις που περιλαμβάνονταν στο Χαρτοφυλάκιο, η οποία παρασχέθηκε τόσο με σχετική ενημέρωση διά του τύπου, όσο και εν συνεχεία με αποστολή εξατομικευμένης ενημέρωσης, πέραν της αναλυτικής ενημέρωσης μέσω του εντύπου: «Ενημέρωση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα» (Data Privacy Notice) κατά την έναρξη εφαρμογής του ΓΚΠΔ, μεταξύ άλλων και για το ενδεχόμενο διαβίβασης σε Εταιρείες 3 Διαχείρισης Απαιτήσεων από Δάνεια και Πιστώσεις, κατά τις διατάξεις του Ν. 4354/2015, όπως ισχύει. iii. Λόγω του μεγάλου όγκου, εξαιτίας αστοχίας στις συστημικές παραμετροποιήσεις (για τεχνικούς λόγους) των παραγόμενων λιστών αποδεκτών των ως άνω εξατομικευμένων επιστολών, εντάχθηκε εκ προφανούς παραδρομής και παρήχθη συστημικά, λίστα αποδεκτών των ως άνω εξατομικευμένων επιστολών, στην οποία περιελήφθησαν και πελάτες, καθώς και άλλα πρόσωπα που ενέχονταν σε συμβάσεις που δεν υπάγονταν στο Χαρτοφυλάκιο, καθώς εμφάνιζαν μηδενικό υπόλοιπο, όπως και ο καταγγέλλων. iv. Μόλις διαπιστώθηκε η ως άνω εκ παραδρομής αποστολή των εν λόγω επιστολών, η Τράπεζα τους ενημέρωσε ότι εκ παραδρομής εστάλησαν σε αυτούς οι αρχικές από … επιστολές και ότι τούτο οφειλόταν αποκλειστικά και μόνο σε συστημικούς, τεχνικούς λόγους και, μεταξύ άλλων, τους ενημέρωσε ότι τα προσωπικά τους δεδομένα παρέμεναν στην Τράπεζα. v. Τα προσωπικά δεδομένα των εν λόγω προσώπων είχαν παραμείνει και παραμένουν στην Τράπεζα, καταχωρημένα στις ψηφιακές υποδομές, στις τεχνικές εφαρμογές, στα συστήματα κλπ της Τράπεζας και δεν έχουν εξέλθει των συστημάτων και εφαρμογών της Τράπεζας, ούτε έχουν μεταφερθεί στα συστήματα και εφαρμογές άλλου νομικού προσώπου, δεν διαβιβάστηκαν από την Τράπεζα στην Intrum, δεν έγινε οποιαδήποτε μεταφορά αυτών στα συστήματα και τις εφαρμογές της Intrum, ενώ η εταιρεία δεν απέκτησε πρόσβαση στα εν λόγω δεδομένα ούτε προέβη σε οποιαδήποτε άλλη επεξεργασία αυτών. vi. Δεν διενεργήθηκε, κατά κύριο λόγο, επεξεργασία προσωπικών δεδομένων των εν λόγω προσώπων από την AFS και ήδη Intrum και κατά συνέπεια δεν υπήρξε περιστατικό παραβίασης, ούτε φυσικά προκλήθηκε κάποιος κίνδυνος για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Λαμβάνοντας υπόψη και σταθμίζοντας τα ανωτέρω, η Τράπεζα δεν προέβη σε οποιαδήποτε καταγραφή του περιστατικού ή σε οποιαδήποτε γνωστοποίηση παραβίασης δεδομένων προσωπικού χαρακτήρα. 4 Αντίστοιχα, η Intrum με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/5008/17-07-2020 ηλεκτρονικό μήνυμα έθεσε υπόψη της Αρχής ότι : i. η Τράπεζα προέβη, σύμφωνα με τις διατάξεις του Ν. 4354/2015 όπως ισχύει, σε συμφωνία για την ανάθεση της διαχείρισης απαιτήσεών της από δάνεια/ πιστώσεις προς οφειλέτες των οποίων οι οφειλές εν όλω ή εν μέρει είχαν καταστεί ληξιπρόθεσμες ή/ και είχαν καταγγελθεί ή ρυθμιστεί (εφεξής το «Χαρτοφυλάκιο») στην εταιρεία, με ισχύ από …, ii. η Τράπεζα από κοινού με την εταιρεία προέβησαν σε ενημέρωση, μέσω εξατομικευμένης επιστολής, προς όλα τα φυσικά πρόσωπα που ενέχονταν στις απαιτήσεις που είχαν συμπεριληφθεί στο αρχικά ορισθέν Χαρτοφυλάκιο και το «πρώτο κύμα» αποστολής εξατομικευμένης ενημέρωσης έλαβε χώρα στις … και αφορούσε ένα σημαντικό πλήθος συμβάσεων, ως είχαν συμπεριληφθεί στο Χαρτοφυλάκιο κατά την εκκίνηση της προαναφερόμενης μεταξύ Τράπεζας και εταιρείας συνεργασίας, iii. εξ όσων προέκυψαν από τη διερεύνησή της και σε απάντηση προς τον καταγγέλλοντα, τα προσωπικά του δεδομένα ουδέποτε διαβιβάστηκαν στην εταιρεία και παραμένουν στην Τράπεζα. Βάσει σχετικής ενημέρωσης από την Τράπεζα, με στοιχεία της ημερομηνίας παραγωγής του προαναφερόμενου «πρώτου κύματος» εξατομικευμένων επιστολών, οι απαιτήσεις που συνδέονταν με δάνεια/ πιστώσεις του καταγγέλλοντος δεν πληρούσαν τα κριτήρια επί τη βάσει των οποίων είχε οριστεί το υπό διαχείριση Χαρτοφυλάκιο και ως εκ τούτου δεν ετέθη θέμα διαβίβασης προς την εταιρεία και συνεπώς, ουδέποτε έχουν τύχει επεξεργασίας από λειτουργούς της εταιρείας, iv. εξ όσων έχει εξηγήσει η Τράπεζα στην εταιρεία, ο καταγγέλλων συμπεριελήφθη σε λίστα αποδεκτών εξατομικευμένης ενημέρωσης, φέρουσα ημερομηνία …, για την από μέρους της Τράπεζας ανάθεση διαχείρισης στην εταιρεία, ελέω συστημικού/ τεχνικού λάθους. Η Αρχή, σε συνέχεια των ανωτέρω, απέστειλε το υπ’ αρ. πρωτ. Γ/ΕΞ/479-2/04-122020 έγγραφο προς την Τράπεζα και την Intrum για παροχή περαιτέρω 5 διευκρινίσεων, στο οποίο η Τράπεζα απάντησε με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/1106/15-022021 έγγραφο: i. Προσκομίσθηκαν στην Αρχή δύο συμφωνητικά, από τα οποία προέκυψε η ανάθεση από την Τράπεζα στην εταιρεία AFS (νυν Intrum) της διαχείρισης χαρτοφυλακίου απαιτήσεων της Τράπεζας και η παροχή από την τελευταία προς την Intrum κάποιων υπηρεσιών που σχετίζονται με τη διαχείριση απαιτήσεων μεταξύ των οποίων είναι και η παροχή της απαιτούμενης πρόσβασης από την Τράπεζα σε εξουσιοδοτημένους υπαλλήλους της εταιρείας, για την εκπλήρωση των σκοπών της διαχείρισης, σε συνέχεια της εν λόγω ανάθεσης διαχείρισης χαρτοφυλακίου απαιτήσεων. ii. Η εταιρεία AFS μετονομάσθηκε σε Intrum και τροποποιήθηκε η επωνυμία χωρίς να υπάρχει αλλαγή νομικού προσώπου και παραμένουν ίδια το ΑΦΜ και ο αρ. ΓΕΜΗ, επομένως, δεν υπήρχε ανάγκη σύναψης άλλων συμβάσεων, καθώς δεν συντελείται οποιαδήποτε μεταβολή, αλλαγή του νομικού προσώπου και επειδή δεν επήλθε οιαδήποτε μεταβολή πέραν της επωνυμίας του αποδέκτη των προσωπικών δεδομένων, δεν υφίστατο υποχρέωση παροχής οποιασδήποτε ειδικής ενημέρωσης στους πελάτες, καθώς θα ήταν άνευ αντικειμένου και μόνο σύγχυση θα προκαλούσε. iii. Όπως αναφέρεται στις ενημερωτικές επιστολές για την ανάθεση της διαχείρισης απαιτήσεων από την Τράπεζα στην Intrum και όπως προβλέπεται στο Κεφάλαιο 11 (Data Protection) του ενός εκ των ανωτέρω συμφωνητικών, τόσο η Τράπεζα όσο και ο Διαχειριστής, ήτοι η Intrum, ενεργούν ως δύο αυτοτελείς υπεύθυνοι επεξεργασίας, τόσο ως προς τα δεδομένα που τους παρέχονται όσο και ως προς τα δεδομένα που συλλέγουν μόνοι τους με οποιονδήποτε τρόπο, στο πλαίσιο και για την εκπλήρωση των σκοπών της ως άνω συμφωνίας ανάθεσης διαχείρισης απαιτήσεων και ως εκ τούτου υπέχουν και τις σχετικές υποχρεώσεις των υπευθύνων επεξεργασίας. Ο λόγος που ο Διαχειριστής ορίστηκε ανεξάρτητος υπεύθυνος επεξεργασίας είναι διότι ασκεί τα καθήκοντά του ορίζοντας σκοπούς, τον τρόπο και τα μέσα επεξεργασίας των προσωπικών δεδομένων - κατά τη διαχείριση του χαρτοφυλακίου απαιτήσεων που του έχει ανατεθεί - ανεξάρτητα από τις οδηγίες του κυρίου της απαίτησης, ήτοι της Τράπεζας, στο πλαίσιο του εκτεταμένου διαχειριστικού του ρόλου και των εποπτικών του υποχρεώσεων και ορίζει 6 ανεξάρτητα από τον αναθέτοντα τη διαχείριση, ήτοι την Τράπεζα, τους σκοπούς και τα μέσα επεξεργασίας δεδομένων στο πλαίσιο της συλλογής, καταγραφής, αρχειοθέτησης και χρήσης προσωπικών δεδομένων για την εκπλήρωση των εποπτικών του υποχρεώσεων και τη συμμόρφωσή του με το κανονιστικό και θεσμικό πλαίσιο που διέπει τη λειτουργία του. Επιπλέον, όλα τα παραπάνω προκύπτουν και από τον τρόπο λειτουργίας, καθώς και από τις πολιτικές και τις διαδικασίες που τηρεί ο Διαχειριστής, κατά την άσκηση των αρμοδιοτήτων του, από τις οποίες προκύπτει ότι εν γένει λειτουργεί ως ανεξάρτητος υπεύθυνος επεξεργασίας και οι οποίες αναφέρονται και στο σχετικό συμφωνητικό. iv. Πέραν των δεδομένων τα οποία λαμβάνει ο Διαχειριστής από την Τράπεζα, μέσω της πρόσβασής του στα συστήματά της, ενδέχεται να επεξεργάζεται και πρόσθετα δεδομένα, όπως καταχωρίσεις νέων στοιχείων, κατόπιν απευθείας επικοινωνίας με τα υποκείμενα των δεδομένων, που ενέχονται σε δάνεια που πληρούν τα κριτήρια περιμέτρου και διαχείρισης (π.χ. νέο τηλέφωνο επικοινωνίας, νέος αριθμός δελτίου αστυνομικής ταυτότητας, νέα οικονομικά στοιχεία, πρόσφατο εκκαθαριστικό κλπ) ή δεδομένα που σχετίζονται με τις απαιτήσεις (π.χ. πρόσθετα δεδομένα που αφορούν το δανειακό χαρτοφυλάκιο. Τα εν λόγω δεδομένα συλλέγει ο Διαχειριστής είτε απευθείας από τα ως άνω υποκείμενα των δεδομένων, είτε νόμιμα από άλλες πηγές ή την Τειρεσίας Α.Ε.. Η εν λόγω επεξεργασία, θεμελιώνεται σε έγκυρες νομικές βάσεις επεξεργασίας, όπως π.χ. η σύμφωνη με τις διατάξεις του Ν. 4354/2015, όπως ισχύει, διαχείριση των απαιτήσεων από τον Διαχειριστή, η εξέταση και αξιολόγηση αιτήματος ρύθμισης, διακανονισμού, η σύναψη της συμφωνίας ρύθμισης, διακανονισμού των οφειλών, η σύναψη σύμβασης συμβιβασμού, η συμμόρφωση με έννομες υποχρεώσεις του Διαχειριστή που απορρέουν από το θεσμικό και κανονιστικό πλαίσιο που διέπει τη λειτουργία του κλπ. v. Ως οριοθετημένη περίμετρο διαχείρισης απαιτήσεων από τον Διαχειριστή ορίζονται: i. Απαιτήσεις που χαρακτηρίζονται ως Non-Performing (σύμφωνα με τους ορισμούς της EBA), ii. Απαιτήσεις που είναι ρυθμισμένες, για τις οποίες δεν έχει παρέλθει ακόμα το διάστημα επιτήρησης, επίσης όπως αυτό ορίζεται στους ορισμούς της ΕΒΑ, iii. Απαιτήσεις που εμφάνιζαν έστω και μια ημέρα καθυστέρησης, καθώς η 7 εν λόγω διαχείριση δεν καλύπτεται πλέον από μονάδα της Τράπεζας, iv. Ειδικές περιπτώσεις, όπως πελάτες που έχουν αιτηθεί υπαγωγή σε πτωχευτικούς νόμους, πελάτες που αιτούνται ρύθμιση λόγω οικονομικών δυσχερειών. vi. Οι απαιτήσεις με μηδενικό υπόλοιπο, είτε κατά τον χρόνο έναρξης της συναλλαγής, είτε σε μεταγενέστερο χρόνο δεν χρήζουν διαχείρισης, δεν πληρούν τα κριτήρια διαχείρισης από τον Διαχειριστή και εκ παραδρομής συμπεριελήφθησαν στη λίστα των αποδεκτών των εξατομικευμένων επιστολών, ουδέποτε πραγματοποιήθηκε οποιαδήποτε πρόσβαση στα δεδομένα τους από τον Διαχειριστή, καθώς δεν πληρούσαν τα κριτήρια διαχείρισης εκ μέρους του Διαχειριστή και κατά συνέπεια ο Διαχειριστής δεν προέβη σε οποιαδήποτε επεξεργασία των δεδομένων των εν λόγω προσώπων. Η εν λόγω αστοχία αφορούσε τις συστημικές παραμετροποιήσεις των παραγόμενων λιστών αποδεκτών των εξατομικευμένων ενημερωτικών επιστολών, συνεπεία της οποίας εντάχθηκε εκ παραδρομής και παρήχθη συστημικά λίστα αποδεκτών των εν λόγω εξατομικευμένων επιστολών, στην οποία περιλαμβάνονταν και πελάτες και άλλα πρόσωπα που δεν ενέχονταν στο υπό διαχείριση χαρτοφυλάκιο, καθώς εμφάνιζαν μηδενικό υπόλοιπο. Επομένως για τους παραπάνω λόγους, τα εν λόγω πρόσωπα έλαβαν εκ προφανούς παραδρομής τις εξατομικευμένες επιστολές. Διευκρινίζεται ότι δεν διενεργείται οποιαδήποτε διαβίβαση δεδομένων από την Τράπεζα προς τον Διαχειριστή, παρά μόνο παροχή στον Διαχειριστή πρόσβασης στα συστήματά της, η οποία ενεργοποιείται αποκλειστικά και μόνο εφόσον συντρέχουν συγκεκριμένα κριτήρια διαχείρισης, όταν πληρούνται σωρευτικά οι προϋποθέσεις διαχείρισης των απαιτήσεων που έχουν ενταχθεί στην περίμετρο (ύπαρξη οφειλής σε συνδυασμό με χρονικό κριτήριο, ήτοι ημέρες καθυστέρησης). Η Τράπεζα προσκόμισε αρχεία (log files) σύμφωνα με τα οποία σε χρονικά σημεία μεταγενέστερα της ημερομηνίας ανάληψης της διαχείρισης εκ μέρους του Διαχειριστή, ήτοι μετά την …, πρόσβαση στα δεδομένα του καταγγέλλοντος είχαν αποκλειστικά και μόνο υπάλληλοι της Τράπεζας, όπως προκύπτει από βεβαίωση του Ανθρώπινου Δυναμικού της Τράπεζας που επίσης προσκομίστηκε, χωρίς την παραμικρή εμπλοκή του Διαχειριστή, καθώς δεν συνέτρεχαν τα κριτήρια της εκ μέρους του διαχείρισης και πρόσβασης. 8 vii. Η Τράπεζα προσκόμισε στοιχεία και για λογαριασμό της Intrum αναφορικά με τον συνολικό αριθμό μοναδικών δανείων και τον αριθμό μοναδικών πελατών που έλαβαν την αρχική ενημερωτική επιστολή. Επιστολή έλαβαν οι κύριοι οφειλέτες/συνοφειλέτες/εγγυητές και πάροχοι εμπράγματης εξασφάλισης, ενώ δεν εστάλη σε θανόντες/και πελάτες δίχως διεύθυνση. - Αριθμός των προσώπων στους οποίους εστάλη επιστολή εξαιτίας της αστοχίας στις συστημικές παραμετροποιήσεις: Συνολικός αριθμός μοναδικών πελατών που έλαβαν την αρχική επιστολή : 23.
2. - Αριθμός των προσώπων στους οποίους εστάλη επόμενη επιστολή με την οποία η Τράπεζα ενημέρωνε για την εκ παραδρομής αποστολή των αρχικών επιστολών, καθώς και τον χρόνο κατά τον οποίο εστάλη η εν λόγω επιστολή: Συνολικός αριθμός μοναδικών πελατών που έλαβαν την αναφερόμενη ως «απολογητική επιστολή»: 23.
3. Οι αναφερόμενες ως «απολογητικές επιστολές» παραδόθηκαν στα ΕΛΤΑ στις … . viii. Παρέχεται στον Διαχειριστή η δυνατότητα πρόσβασης στα σχετικά αρχεία και συστήματα της Τράπεζας, μόνο αναφορικά με δεδομένα που σχετίζονται με απαιτήσεις που εντάσσονται στην οριοθετημένη περίμετρο και πληρούν τα κριτήρια διαχείρισης και τούτο για την εκπλήρωση των σκοπών της εν λόγω διαχείρισης. Ειδικότερα σημειώνεται ότι σύμφωνα με τις τεχνικές προδιαγραφές για την υλοποίηση της πρόσβασης από τον Διαχειριστή, η εν λόγω πρόσβαση στα σχετικά συστήματα της Τράπεζας: (α) παρέχεται σε εξουσιοδοτημένους χρήστες του Διαχειριστή, οι οποίοι έχουν προσδιοριστεί βάσει ρόλου και καθηκόντων και (β) ενεργοποιείται αποκλειστικά και μόνο όταν συντρέχουν συγκεκριμένα κριτήρια διαχείρισης, όταν πληρούνται σωρευτικά οι προϋποθέσεις διαχείρισης των απαιτήσεων της περιμέτρου (ύπαρξη οφειλής σε συνδυασμό με χρονικό κριτήριο, ήτοι ημέρες καθυστέρησης). Κατά συνέπεια μόνο σε αυτές τις περιπτώσεις διενεργείται και επεξεργασία δεδομένων από τον Διαχειριστή. ix. Επομένως, μόνο εφόσον διαπιστωθεί η συνδρομή όλων των προϋποθέσεων πρόσβασης, ήτοι η ύπαρξη όλων των κριτηρίων διαχείρισης απαίτησης που έχει ενταχθεί στην περίμετρο, αποκτά πρόσβαση ο Διαχειριστής στα στοιχεία συγκεκριμένης απαίτησης, μέσω εξουσιοδοτημένων χρηστών που έχουν καθοριστεί 9 βάσει ρόλου και αρμοδιοτήτων και σύμφωνα με τους κανονισμούς ασφαλούς πρόσβασης χρηστών. Κατά την εν λόγω διαδικασία παροχής πρόσβασης στον Διαχειριστή, λαμβάνονται και τηρούνται, μεταξύ άλλων, τα ακόλουθα μέτρα ασφαλείας: ελαχιστοποίηση της επεξεργασίας των δεδομένων, ενσωμάτωση των απαραίτητων εγγυήσεων στην επεξεργασία για την προστασία των δεδομένων, παροχή πρόσβασης μόνο σε εξουσιοδοτημένους χρήστες - υπαλλήλους του Διαχειριστή, βάσει ρόλου, αρμοδιοτήτων και καθηκόντων, διασφάλιση του απορρήτου, της ακεραιότητας, διαθεσιμότητας, αξιοπιστίας των συστημάτων επεξεργασίας, έλεγχος πρόσβασης, τεχνικές πρόσβασης σε εξουσιοδοτημένους χρήστες, υλοποίηση αρχής need to know, αρχεία καταγραφής ενεργειών (log files), τήρηση κανονισμών ασφαλούς πρόσβασης χρηστών. x. Υφίστανται αρχεία (log files), τα οποία προκύπτουν από το πελατοκεντρικό σύστημα της Τράπεζας (ICE) και αφορούν στην ένταξη των πελατών στην περίμετρο ή στα αρχεία παραγωγής των επιστολών που εστάλησαν για 1η φορά και περιλαμβάνουν στοιχεία, όπως CRS/Ημερομηνία παραγωγής του αρχείου/Τύπος επιστολής. Όταν αποστέλλονται οι επιστολές, επιστρέφεται αρχείο από την εταιρεία Inform Λύκος Α.Ε. και η πληροφορία εκτίθεται στην συνέχεια στην ηλεκτρονική αρχειοθέτηση των εγγράφων στο ίντρανετ (εσωτερικό δίκτυο της Τράπεζας). xi. Στα μέσα …, αφού η Τράπεζα έγινε αποδέκτης σχετικών παραπόνων από πελάτες, έλαβε γνώση του ζητήματος και άμεσα, γύρω στις …, ξεκίνησαν οι εσωτερικές διαδικασίες διερεύνησης, εντοπισμού, διαχείρισης του θέματος με τη συνεργασία των αρμοδίων μονάδων της Τράπεζας. Σε συνέχεια των ως άνω διεργασιών και αφού ολοκληρώθηκαν οι απαιτούμενοι έλεγχοι, στα τέλη … εντοπίσθηκε και επιβεβαιώθηκε η ως άνω αστοχία, οπότε και προέβη η Τράπεζα σε όλες τις απαιτούμενες δυναμικές ενέργειες για την άμεση και αποτελεσματική αντιμετώπιση και αποκατάσταση αυτής. Ειδικότερα, συντάχθηκαν και απεστάλησαν άμεσα οι αναφερόμενες ως «απολογητικές επιστολές», με ημερομηνία … και αποκαταστάθηκε η ως άνω αστοχία στα συστήματα με την εκπόνηση των απαιτούμενων διορθωτικών κινήσεων και τη λήψη των ενδεδειγμένων τεχνικών και οργανωτικών μέτρων. 10 xii. Στο αίτημα της Αρχής προς την Τράπεζα να προσκομίσει το σύνολο των αρχείων καταγραφής (log files), η τελευταία απάντησε ότι δεν είναι εφικτή η προσκόμιση οποιουδήποτε σχετικού εγγράφου από την Τράπεζα δεδομένου ότι πρόκειται για το σύνολο του χαρτοφυλακίου της Τράπεζας. xiii. Έχει υποβληθεί στην Αρχή η διαδικασία της Τράπεζας με τίτλο: «Αντιμετώπιση Περιστατικών Ασφάλειας». Η Intrum απάντησε με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/1076/12-02-2021 έγγραφο ως ακολούθως: i. Ως προς τα ανωτέρω σημεία (i, ii, iii) η εταιρεία έχει εισφέρει τα ίδια στοιχεία με όσα ανέφερε ανωτέρω η Τράπεζα. ii. Αναφορικά με τον τρόπο με τον οποίο έχουν ενημερωθεί οι πελάτες της Τράπεζας για την αλλαγή των εταιρειών διαχείρισης, η εταιρεία ανέφερε ότι «δεν επήλθε οιαδήποτε μεταβολή του σκοπού της Εταιρείας παρά μόνο τροποποιήθηκαν η επωνυμία και ο διακριτικός της τίτλος και δεν υπήρξε αλλαγή του αποδέκτη των προσωπικών δεδομένων στον οποίο η Τράπεζα είχε διαβιβάσει τα δεδομένα προσωπικού χαρακτήρα.» iii. Τόσο η Τράπεζα όσο και η εταιρεία ενεργούν ως Ανεξάρτητοι Υπεύθυνοι Επεξεργασίας και αυτό ισχύει τόσο ως προς τα δεδομένα που η πρώτη διαβιβάζει στη δεύτερη όσο και ως προς τα δεδομένα που συλλέγουν έκαστη για την εκπλήρωση των σκοπών της μεταξύ τους συμφωνίας, καθώς οι αυξημένες υποχρεώσεις και καθήκοντα της εταιρείας, όπως απορρέουν από το εν ισχύ κανονιστικό πλαίσιο που διέπει τη λειτουργία της εταιρείας, καταδεικνύουν ότι η διαχείριση απαιτήσεων από μέρους της είναι ισόκυρη με τη διαχείριση που δύναται να πραγματοποιήσει ένα πιστωτικό ίδρυμα και έχει αυξημένες θεσμικές υποχρεώσεις για την ικανοποίηση των οποίων καλείται να έχει συγκεκριμένη οργανωτική δομή, να θεσπίσει Πολιτικές και διαδικασίες οι οποίες θα ορίζουν το πλαίσιο για την άσκηση των δραστηριοτήτων της. iv. Τα δάνεια ιδιωτών με μηδενικό υπόλοιπο δεν πληρούν τα κριτήρια ένταξης στην υπό διαχείριση περίμετρο και ως εκ τούτου δεν ανατίθενται προς διαχείριση στην εταιρεία, η δε Τράπεζα ενημέρωσε την εταιρεία, στα μέσα Οκτωβρίου 2019, ότι 11 πιστούχοι με μηδενικό υπόλοιπο είχαν, εκ παραδρομής, συμπεριληφθεί σε αρχείο πελατών - αποδεκτών των εξατομικευμένων επιστολών με ημερομηνία … παρότι δεν ενέχονταν στο χαρτοφυλάκιο που ανατέθηκε στην εταιρεία. Το εν λόγω λάθος ήταν προϊόν λανθασμένης συστημικής παραμετροποίησης κατά τον ορισμό του αρχικού χαρτοφυλακίου που θα ανέθετε προς διαχείριση στην εταιρεία και είχε ως αποτέλεσμα την αποστολή της από … εξατομικευμένης ενημερωτικής επιστολής και σε πελάτες εκτός του χαρτοφυλακίου απαιτήσεων που πραγματικά ανέλαβε η εταιρεία. v. Η Τράπεζα έχει αναλάβει την παροχή προσβάσεων σε εξουσιοδοτημένο προσωπικό της εταιρείας στα συστήματά της (συστήματα της Τράπεζας) και περιοριστικά σε δεδομένα που σχετίζονται με τις υπό διαχείριση απαιτήσεις. vi. Η εταιρεία δεν έχει στη διάθεσή της ιστορικά δεδομένα με ημερομηνία …, καθώς η υπό διαχείριση περίμετρος έχει έκτοτε μεταβληθεί και η εταιρεία δεν δύναται να ανατρέξει σε στοιχεία κατά τη συγκεκριμένη ημερομηνία, παρά μόνο με τη συνδρομή της Τράπεζας. Με την από … συνομολόγηση των προαναφερομένων συμφωνητικών η Τράπεζα έδωσε τις απαραίτητες προσβάσεις σε προσωπικό της εταιρείας σε στοιχεία δανείων/ πιστώσεων στην περίμετρο, όπως είχε διαμορφωθεί, ορίζοντας ως ημερομηνία εκκίνησης για τις από μέρους της εταιρείας εργασίες διαχείρισης την … -ημερομηνία την οποία γνωστοποίησε και στους πελάτες- αποδέκτες των εξατομικευμένων επιστολών. Ακολούθως, η Αρχή κάλεσε με τα υπ’ αρ. πρωτ. Γ/ΕΞΕ/1621/29-06-2022, Γ/ΕΞΕ/1620/29-06-2022 και Γ/ΕΞΕ/1619/29-06-2022 έγγραφα τον καταγγέλλοντα, την Τράπεζα και την εταιρεία Intrum, αντίστοιχα, όπως, νομίμως εκπροσωπούνται, να παρουσιαστούν στη συνεδρίαση της Ολομέλειας της Αρχής την Τρίτη, 05-07-2022 προκειμένου να συζητηθεί η προαναφερόμενη καταγγελία. Στη συνεδρίαση αυτή εξετάστηκαν και έγιναν δεκτά τα αιτήματα αναβολής που υπέβαλαν ο καταγγέλλων και η Τράπεζα. Εν συνεχεία, η Αρχή κάλεσε εκ νέου με τα υπ’ αρ. πρωτ. Γ/ΕΞΕ/1814/13-07-2022, Γ/ΕΞΕ/1813/13-07-2022 και Γ/ΕΞΕ/1816/13-07-2022 έγγραφα, αντίστοιχα, τα ως άνω εμπλεκόμενα μέρη,, όπως, νομίμως εκπροσωπούνται, να παρουσιαστούν στη συνεδρίαση της Ολομέλειας της Αρχής την 12 Τρίτη, 19-07-2022 προκειμένου να συζητηθεί η προαναφερόμενη καταγγελία. Στη συνεδρίαση αυτή παρέστησαν ο καταγγέλλων, εκ μέρους της Τράπεζας οι Β, Βασιλική Μαρία Τσαλδάρη (ΑΜΔΣΑ …) και Γ, Υπεύθυνος Προστασίας Δεδομένων και εκ μέρους της εταιρείας Intrum οι Δ και Ε, Διευθύντρια Κανονιστικής Συμμόρφωσης - Υπεύθυνη Προστασίας Δεδομένων (…). Κατά τη συνεδρίαση αυτή, οι παριστάμενοι, αφού ανέπτυξαν τις απόψεις τους, υπέβαλαν ο καταγγέλλων, η Τράπεζα και η Intrum τα υπ’ αρ. πρωτ. Γ/ΕΙΣ/9037/2207-2022, Γ/ΕΙ/9260/01-08-2022 και Γ/ΕΙΣ/9222/29-07-2022 υπομνήματα αντίστοιχα. Ο καταγγέλλων με το από 22-07-2022 υπόμνημά του υπέβαλε στην Αρχή αναλυτικές βεβαιώσεις οφειλών και βεβαιώσεις εξόφλησης της Τράπεζας του έτους 2016 από τις οποίες προκύπτει, όπως ισχυρίζεται, ότι κατά τον χρόνο της παράνομης επεξεργασίας των προσωπικών του δεδομένων, ήτοι το έτος 2019, όχι μόνο δεν υφίστατο οφειλή του προς την καθ’ ης η καταγγελία αλλά η τελευταία είχε εκδώσει και του είχε παραδώσει σχετικές εξοφλητικές αποδείξεις ήδη από το έτος
4. Η Τράπεζα με το από 01-08-2022 υπόμνημά της, πέραν των όσων είχε ισχυριστεί με τις απαντήσεις που προσκόμισε στην Αρχή πριν από τη συζήτηση, αναφέρει ότι παρά το γεγονός ότι πρόσωπα που ενέχονταν σε δάνεια με μηδενικό υπόλοιπο, μεταξύ των οποίων ήταν και ο καταγγέλλων, εκ παραδρομής συμπεριελήφθησαν στη λίστα των αποδεκτών των εξατομικευμένων επιστολών, ουδέποτε πραγματοποιήθηκε οποιαδήποτε πρόσβαση στα δεδομένα τους από τον Διαχειριστή, καθώς δεν πληρούσαν τα κριτήρια διαχείρισης εκ μέρους του Διαχειριστή και κατά συνέπεια ο Διαχειριστής δεν προέβη σε οποιαδήποτε επεξεργασία των δεδομένων των εν λόγω προσώπων. Η συγκεκριμένη αστοχία αφορούσε απαιτήσεις με μηδενικό υπόλοιπο κα ο λόγος για τον οποίο οι ως άνω απαιτήσεις εντάχθηκαν εκ παραδρομής στην εν λόγω λίστα, ήταν διότι στις περισσότερες περιπτώσεις, κάποια απώτερη στιγμή, κατά το παρελθόν, ενδεχομένως οι απαιτήσεις να είχαν παρουσιαστεί ή σημανθεί συστημικά με ένδειξη καθυστέρησης, όπως συνέβη στην περίπτωση του καταγγέλλοντος. Δεδομένου όμως, ότι εν τω μεταξύ και ήδη κατά τον χρόνο ανάθεσης της διαχείρισης από την Τράπεζα στον Διαχειριστή, οι εν λόγω απαιτήσεις με μηδενικό υπόλοιπο -όπως ήταν και του καταγγέλλοντος- είχαν πλέον ολοσχερώς εξοφληθεί, ενώ δεν υφίστατο οιαδήποτε 13 εκκρεμότητα σε σχέση με αυτές που να χρήζει διαχείρισης, δεν είχαν επισημανθεί («δεν έφεραν σχετικό flag») ως απαιτήσεις υπό την διαχείριση του Διαχειριστή (δεν είχαν ενταχθεί στην Visibility περίμετρο με τις οφειλές εμφανείς προς διαχείριση αλλά στην Servicing περίμετρο με τις οφειλές δυνητικής διαχείρισης) καθώς δεν πληρούσαν τα κριτήρια και τις προϋποθέσεις οποιασδήποτε διαχείρισης από τον Διαχειριστή, και ως εκ τούτου ο Διαχειριστής ουδέποτε απέκτησε οποιαδήποτε πρόσβαση στα εν λόγω δεδομένα. Για αυτόν τον λόγο αυτό άλλωστε, ο Διαχειριστής δεν γνωρίζει τον καταγγέλλοντα, δεν έχει αποκτήσει πρόσβαση και εν γένει δεν έχει λάβει γνώση οποιουδήποτε δεδομένου του και εν γένει στοιχείου που να τον αφορά, ενώ και η Τράπεζα, κατά την υποβολή του δικαιώματος πρόσβασης του καταγγέλλοντος και στο πλαίσιο των ερωτημάτων του αναφορικά με τη διαβίβαση και εν γένει επεξεργασία των δεδομένων του από τον Διαχειριστή, απάντησε αρνητικά. Η Τράπεζα, στις περιπτώσεις του καταγγέλλοντος και των υπολοίπων πελατών, πέραν της αποστολής των απολογητικών επιστολών, προέβη και σε σταδιακό κλείσιμο των λογαριασμών που φέρουν μηδενικό υπόλοιπο, κατόπιν διενέργειας όλων των απαραίτητων ελέγχων. Επίσης, αναφορικά με τον ορισμό της εταιρείας ως αυτοτελούς υπευθύνου επεξεργασίας, η Τράπεζα ισχυρίζεται ότι, όπως προβλέπεται στο νομοθετικό πλαίσιο που διέπει τη λειτουργία της, ο Διαχειριστής επιτρέπεται να αναλαμβάνει τη νομική και λογιστική παρακολούθηση της απαίτησης μέχρι την ολική ή μερική εξόφληση της οφειλής. Ειδικότερα, ο Διαχειριστής έχει το δικαίωμα να ενεργεί όλες τις προβλεπόμενες πράξεις διαχείρισης, οι οποίες μπορεί να συνίστανται ιδίως στη νομική, λογιστική παρακολούθηση, την είσπραξη, τη διενέργεια διαπραγματεύσεων με τους οφειλέτες, τη σύναψη συμβάσεων συμβιβασμού ή ρύθμισης και διακανονισμού οφειλών, σύμφωνα με τον Κώδικα Δεοντολογίας, όπως έχει θεσπιστεί και ισχύει. Τέλος, η Τράπεζα αναφέρει τους λόγους για τους οποίους δεν συνέτρεχαν οι προϋποθέσεις γνωστοποίησης περιστατικού παραβίασης δεδομένων προσωπικού χαρακτήρα στην συγκεκριμένη περίπτωση ισχυριζόμενη ότι εφαρμόστηκε η Διαδικασία «Αντιμετώπισης Περιστατικών Ασφαλείας» που προκύπτει από την «Πολιτική Διαχείρισης Περιστατικών Ασφαλείας» και λαμβάνοντας υπόψη ότι ο 14 Διαχειριστής δεν απέκτησε πρόσβαση και επομένως δεν επεξεργάστηκε καθ’ οιονδήποτε τρόπο τα δεδομένα των προσώπων που σχετίζονταν με τις εν λόγω συμβάσεις με μηδενικό υπόλοιπο, όπως είναι η περίπτωση του καταγγέλλοντος, καθώς δεν ενέπιπταν στην οριοθετημένη περίμετρο διαχείρισης, δεν πληρούσαν τα κριτήρια διαχείρισης και εν γένει δεν έχρηζαν οποιασδήποτε διαχείρισης από τον Διαχειριστή, συνάγεται ότι δεν έλαβε χώρα οποιοδήποτε περιστατικό παραβίασης δεδομένων και επομένως δεν προκλήθηκε κίνδυνος για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Κατά συνέπεια δεν συνέτρεχαν οι προϋποθέσεις γνωστοποίησης περιστατικού παραβίασης, ή καταγραφής περιστατικού, σύμφωνα με τον ΓΚΠΔ μέσω της ως άνω διαδικασίας της Τράπεζας, ενώ επιτυγχάνεται μεταξύ άλλων και η αποφυγή της αναίτιας γνωστοποίησης περιστατικών που δεν συνιστούν παραβιάσεις δεδομένων ή δεν προκαλούν κίνδυνο για τα δικαιώματα και τις υποχρεώσεις των υποκειμένων, καθώς η εν λόγω πρακτική είναι σύμφωνη με την αρχή της λογοδοσίας και τις αρχές του ΓΚΠΔ. Η Αρχή, μετά από εξέταση των στοιχείων από το σύνολο του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τις βοηθούς εισηγητή, οι οποίες παρέστησαν χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
5. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού 2016/679) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ.1 στοιχ. στ΄ ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ ν. 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του καταγγέλλοντος κατά της Τράπεζας, για παράνομη επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τον αφορούν και παραβίαση του δικαιώματος πρόσβασης σε δεδομένα και ιδρύεται αρμοδιότητα της Αρχής κατ΄ 15 άρθρα 2 παρ. 1 και 2 ν. 4624/2019 να ασκήσει την ανωτέρω αρμοδιότητά της, καθώς και να εξετάσει αυτεπαγγέλτως τη συμμετοχή της εταιρείας Intrum στην ως άνω επεξεργασία των δεδομένων του καταγγέλλοντος και των πελατών της Τράπεζας.
6. Επειδή, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»).
7. Επειδή, σύμφωνα με το άρθρο 5 παρ. 2 του ΓΚΠΔ «ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 («λογοδοσία»)». Όπως έχει κρίνει η Αρχή 1, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό σημείο του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ.
8. Επειδή, με τις διατάξεις του άρθρου 15 ΓΚΠΔ ρυθμίζεται το δικαίωμα πρόσβασης του υποκειμένου των δεδομένων.
9. Επειδή το άρθρο 25 παρ. 1 του ΓΚΠΔ προβλέπει ότι ο υπεύθυνος επεξεργασίας εφαρμόζει αποτελεσματικά, τόσο κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας όσο και κατά τη στιγμή της επεξεργασίας, κατάλληλα τεχνικά και οργανωτικά μέτρα, σχεδιασμένα για την εφαρμογή αρχών προστασίας των δεδομένων και την ενσωμάτωση των απαραίτητων εγγυήσεων στην επεξεργασία για να διασφαλίζεται και ότι, εξ ορισμού, υφίστανται επεξεργασία μόνο τα δεδομένα προσωπικού χαρακτήρα που είναι απαραίτητα για τον εκάστοτε σκοπό επεξεργασίας κατά τρόπο ώστε να πληρούνται οι απαιτήσεις του ΓΚΠΔ και να προστατεύονται τα δικαιώματα των υποκειμένων. 1 Βλ. απόφαση Αρχής 26/2019, σκέψη 8, διαθέσιμη στην ιστοσελίδα της. 16
10. Επειδή στην υπό εξέταση καταγγελία, με βάση όσα υποστηρίζει η Τράπεζα, η Intrum ως Διαχειριστής δεν γνωρίζει τον καταγγέλλοντα, δεν έχει αποκτήσει πρόσβαση και δεν έχει λάβει γνώση οποιουδήποτε δεδομένου του και εν γένει στοιχείου που να τον αφορά. Ακόμα, σύμφωνα με τα στοιχεία του φακέλου, η επιλογή των αποδεκτών της αρχικής επιστολής και όλες οι ενέργειες για την αποστολή τους έγιναν από την Τράπεζα, η οποία διαθέτει μονάδα υπεύθυνη για τη στρατηγική που χαράσσει στο πλαίσιο δανείων σε καθυστέρηση.
11. Επειδή σύμφωνα με τις αρχές επεξεργασίας των δεδομένων κατ’ άρθρο 5 ΓΚΠΔ, τα προσωπικά δεδομένα υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο. Σύμφωνα με την αρχή της λογοδοσίας, ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση». Η αρχή αυτή, η οποία συνιστά ακρογωνιαίο λίθο του ΓΚΠΔ, συνεπάγεται την υποχρέωση του υπευθύνου επεξεργασίας να δύναται να αποδείξει τη συμμόρφωση, συμπεριλαμβανομένης της νομικής τεκμηρίωσης κάθε πράξης επεξεργασίας που διενεργεί σύμφωνα με τις νομικές βάσεις που παρέχει ο ΓΚΠΔ και το εθνικό δίκαιο προστασίας δεδομένων. Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη, μόνο εάν ισχύει τουλάχιστον μία από τις προϋποθέσεις που τίθενται στο άρθρο 6 παρ. 1 του ΓΚΠΔ. Εφόσον μία εκ των εν λόγω προϋποθέσεων συντρέχει, τότε αυτή αποτελεί και τη νομική βάση για την επεξεργασία. Στην υπό εξέταση καταγγελία, από τα στοιχεία του φακέλου προκύπτει ότι η Τράπεζα, ως υπεύθυνη επεξεργασίας προέβη σε αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα μεγάλου αριθμού (23.259) φυσικών προσώπων χωρίς νόμιμη αιτία, καθώς λόγω αναφερόμενων από την ίδια «συστημικών» παραμετροποιήσεων των παραγόμενων λιστών αποδεκτών των εξατομικευμένων επιστολών, εντάχθηκε εκ παραδρομής και παρήχθη συστημικά λίστα αποδεκτών, στην οποία περιλαμβάνονταν και πελάτες και άλλα πρόσωπα που, καίτοι δεν ενέχονταν στο υπό διαχείριση χαρτοφυλάκιο, καθώς εμφάνιζαν μηδενικό υπόλοιπο, έλαβαν την εν λόγω επιστολή. Επομένως, τα εν λόγω δεδομένα δεν έχρηζαν οποιασδήποτε επεξεργασίας και δεν υπήρχε νόμιμη βάση για την επεξεργασία στην οποία υποβλήθηκαν, ήτοι της παραγωγής της λίστας και της αποστολής της επιστολής στα υποκείμενα των δεδομένων. Συνεπώς, η Αρχή διαπιστώνει ότι έχει επέλθει 17 παραβίαση της αρχής της νομιμότητας (άρθρα 5 παρ. 1 α’ και 6 ΓΚΠΔ) από την Τράπεζα ως υπεύθυνη επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των ως άνω αναφερθέντων φυσικών προσώπων, μεταξύ των οποίων και του καταγγέλλοντος ώστε να συντρέχει λόγος να ασκήσει την κατ’ άρθρο 58 παρ. 2 στοιχ. θ’ διορθωτική εξουσία της επιβολής προστίμου, όπως θα παρατεθεί κατωτέρω.
12. Επειδή με τα μέχρι σήμερα υφιστάμενα στοιχεία, δεν έχει προκύψει διαβίβαση των δεδομένων των παραπάνω προσώπων στον Διαχειριστή. Με δεδομένο όμως ότι ο γενικότερος έλεγχος συνεχίζεται και δεν έχει ακόμη ολοκληρωθεί, η Αρχή επιφυλάσσεται ρητά να ασκήσει τις αρμοδιότητές της ως προς το συγκεκριμένο ζήτημα στο μέλλον.
13. Επειδή, εξάλλου, στη συγκεκριμένη περίπτωση, από τα στοιχεία του φακέλου προκύπτει ότι, κατά τη διαδικασία επιλογής των φυσικών προσώπων, στα οποία η Τράπεζα θα απέστελνε ενημερωτική επιστολή, δεν ελήφθησαν τα κατάλληλα μέτρα ώστε αυτή η επιλογή να πραγματοποιηθεί με τις απαραίτητες εγγυήσεις για την εφαρμογή της αρχής της νόμιμης επεξεργασίας των δεδομένων των εν λόγω προσώπων και δεν διασφαλίστηκε ότι θα τύχουν επεξεργασίας μόνο τα δεδομένα που είναι απαραίτητα για τον σκοπό της ενημέρωσης των προσώπων για τη διαβίβαση των δεδομένων τους. Ειδικότερα, σύμφωνα με τις απαντήσεις της Τράπεζας, α) στην πρώτη περίμετρο (1Α - servicing) εντάσσονται οι οφειλές δυνητικής διαχείρισης από τον Διαχειριστή και στη δεύτερη περίμετρο (1Β - visibility) οι εμφανείς προς διαχείριση οφειλές από τον Διαχειριστή, β) η εταιρεία Intrum μπορεί να διαχειρίζεται μέσα από τα συστήματα της Τράπεζας τις περιπτώσεις στις οποίες συντρέχουν σωρευτικά και οι δύο ως άνω προϋποθέσεις (1Α και 1Β) και γ) οι απαιτήσεις με μηδενικό υπόλοιπο, όπως του καταγγέλλοντος (οι οποίες είχαν πλέον ολοσχερώς εξοφληθεί, ενώ δεν υφίστατο οιαδήποτε εκκρεμότητα σε σχέση με αυτές που να χρήζει διαχείρισης), δεν έτυχαν οποιασδήποτε διαχείρισης από τον Διαχειριστή διότι εντάχθηκαν στην πρώτη περίμετρο αλλά όχι στη δεύτερη. Ωστόσο, οι απαιτήσεις αυτές δεν θα έπρεπε να ενταχθούν ούτε στην πρώτη περίμετρο, αφού δεν συνιστούν οφειλή δυνητική προς διαχείριση από τον Διαχειριστή. 18 Ως εκ τούτου, η Τράπεζα δεν διέθετε στην πράξη τις κατάλληλες διαδικασίες και μέτρα ώστε να εφαρμόσει και στις δύο περιπτώσεις τα ίδια κριτήρια για τα ίδια πρόσωπα δεδομένου ότι απέκλεισε τα εν λόγω πρόσωπα (με μηδενική εξοφλημένη οφειλή) από την δεύτερη περίμετρο αλλά όχι από την πρώτη, η οποία παρίσταται και ως περιττή αφού η δεύτερη περίμετρος αρκούσε και για τη δημιουργία της λίστας των ενημερωτικών επιστολών και για την αντίστοιχη πρόσβαση του Διαχειριστή στα συστήματα της Τράπεζας. Από το γεγονός δε, ότι μετά από τη διαπίστωση της αστοχίας, η Τράπεζα προέβη, όπως ισχυρίζεται, σε άμεση αποκατάσταση αυτής στα συστήματα με την εκπόνηση των απαιτούμενων διορθωτικών κινήσεων και τη λήψη των ενδεδειγμένων τεχνικών και οργανωτικών μέτρων, ήτοι το σταδιακό κλείσιμο των λογαριασμών που φέρουν μηδενικό υπόλοιπο, κατόπιν διενέργειας όλων των απαραίτητων ελέγχων, αποδεικνύεται ότι η Τράπεζα θα μπορούσε, χωρίς περαιτέρω επιβάρυνση σε οιοδήποτε επίπεδο, να είχε λάβει εξ αρχής τα κατάλληλα μέτρα. Η από μέρους της Αρχής διαπίστωση περί του ελλιπούς, κατά παράβαση του ΓΚΠΔ, σχεδιασμού ενισχύεται και από το γεγονός ότι η Τράπεζα δεν εντόπισε από μόνη της την διαρκώς αναφερόμενη από την ίδια ως «συστημική αστοχία» που οδήγησε στην αποστολή 23.259 επιστολών αλλά μόνο κατόπιν παραπόνων των πελατών της. Επομένως, με βάση όσα εκτίθενται ανωτέρω στη σκέψη 5, η Αρχή κρίνει ότι η Τράπεζα ως υπεύθυνη επεξεργασίας παραβίασε τα άρθρα 25 παρ. 1 του ΓΚΠΔ και συντρέχει λόγος να ασκήσει την κατ’ άρθρο 58 παρ. 2 στοιχ. θ’ διορθωτική εξουσία της επιβολής προστίμου, όπως θα παρατεθεί κατωτέρω.
14. Επειδή αναφορικά με το δικαίωμα πρόσβασης που άσκησε ο καταγγέλλων στις …, βάσει της αρχικής ενημερωτικής επιστολής, σύμφωνα με την οποία τα προσωπικά δεδομένα του διαβιβάστηκαν στον Διαχειριστή, ο καταγγέλλων έλαβε ως απάντηση από την Τράπεζα την από … απολογητική επιστολή, το περιεχόμενο της οποίας ήταν γενικό και απευθυνόταν στο σύνολο των πελατών που είχαν λάβει λόγω του συστημικού λάθους, όπως ισχυρίστηκε, την αρχική επιστολή, με τη δήλωση ότι τα προσωπικά του δεδομένα παραμένουν φυσικά στην Τράπεζα και την παράκληση να αγνοήσουν οι αποδέκτες το περιεχόμενο της αρχικής επιστολής. Η Τράπεζα με την ανωτέρω απάντηση, δεν αποκρίθηκε εναργώς αρνητικά στο ερώτημα εάν τα δεδομένα του καταγγέλλοντος διαβιβάστηκαν στον Διαχειριστή 19 αλλά περιορίστηκε να ανακαλέσει την αρχική επιστολή και το περιεχόμενό της, υποδηλώνοντας ότι δεν έχει πραγματοποιηθεί η επεξεργασία που εκ παραδρομής αναφέρθηκε και δεν έχουν διαβιβαστεί τα δεδομένα στον Διαχειριστή. Σύμφωνα, όμως, με το άρθρο 15 ΓΚΠΔ το υποκείμενο έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας εναργή επιβεβαίωση για το κατά πόσο ή όχι τα δεδομένα που το αφορούν υφίστανται επεξεργασία και εάν ναι, το δικαίωμα πρόσβασης σε περαιτέρω πληροφορίες. Το γεγονός ότι τα δεδομένα «παραμένουν φυσικά» στην Τράπεζα, όπως αναφέρεται στην απαντητική προς τον καταγγέλλοντα επιστολή, δεν παρέχει την απαραίτητη και ζητούμενη πληροφορία στο υποκείμενο για το εάν έχουν τύχει περαιτέρω επεξεργασίας τα δεδομένα που το αφορούν, καθώς τα αντίγραφα των δεδομένων που «παραμένουν φυσικά» στην Τράπεζα, θα μπορούσαν παράλληλα να έχουν διαβιβαστεί σε άλλο νομικό πρόσωπο ή να έχουν υποβληθεί σε άλλες μορφές επεξεργασίας. Επομένως, η Τράπεζα, η οποία ως υπεύθυνη επεξεργασίας έχει την υποχρέωση να ικανοποιεί προσηκόντως το δικαίωμα πρόσβασης των υποκειμένων, όφειλε να απαντήσει στον αιτούντα/καταγγέλλοντα συγκεκριμένα ότι τα δεδομένα του δεν έτυχαν επεξεργασίας για τον σκοπό που αναφέρθηκε στην πρώτη εκ παραδρομής αποσταλείσα επιστολή και δεν διαβιβάστηκαν στον Διαχειριστή. Επίσης, όφειλε να απαντήσει σαφώς και πλήρως και στα τέσσερα ερωτήματα του καταγγέλλοντος (βλ. ιστορικό της παρούσας), τα οποία αναφέρονται και στο σύνολο των προσωπικών του δεδομένων που τηρεί η Τράπεζα κατά το χρόνο αποστολής της επιστολής και τυχόν άλλα δεδομένα που συνέλεξε μετά την αποστολή αυτής (βλ. ερωτήματα υπό στοιχεία γ και δ). Παρότι ο καταγγέλλων αναφέρεται στα εν λόγω αιτήματά του σε πρόσβαση στα δεδομένα του κατά τον χρόνο ή μετά τη διαβίβασή τους στο Διαχειριστή, η Τράπεζα όφειλε να εκλάβει το αίτημά του ως πρόσβαση κατά τον χρόνο αποστολής της επιστολής ή μετά από αυτή, δεδομένου ότι ο καταγγέλλων, ως αποδέκτης της εν λόγω γενικού περιεχομένου επιστολής ενημερώθηκε ότι τα δεδομένα του είχαν ήδη διαβιβαστεί στον Διαχειριστή. Ενόψει των ανωτέρω, η Αρχή κρίνει ότι η Τράπεζα δεν έχει ικανοποιήσει προσηκόντως το δικαίωμα πρόσβασης του καταγγέλλοντος κατά άρθρο 15 παρ. 1 ΓΚΠΔ και συντρέχει λόγος να ασκήσει την κατ’ άρθρο 58 παρ. 2 στοιχ. θ’ διορθωτική εξουσία της επιβολής προστίμου, όπως θα παρατεθεί κατωτέρω. 20
15. Επειδή από το σύνολο του φακέλου και με βάση την ακροαματική διαδικασία, προκύπτει ότι η Τράπεζα, ως υπεύθυνη επεξεργασίας των προσωπικών δεδομένων του καταγγέλλοντος αλλά και μεγάλου αριθμού έτερων οφειλετών έχει παραβιάσει τα άρθρα 5 παρ. 1(α), 6, 25 παρ. 1 και 15 παρ. 1 ΓΚΠΔ.
16. Επειδή από το σύνολο του φακέλου και με βάση την ακροαματική διαδικασία, η Αρχή δεν διαπίστωσε με βάση τα πραγματικά περιστατικά που αφορούν την Τράπεζα, παραβίαση του ΓΚΠΔ αντίστοιχα από την Intrum. Η Αρχή επιφυλάσσεται ρητά για την άσκηση των αρμοδιοτήτων της σε βάρος της Intrum σε περίπτωση κατά την οποία προκύψουν στοιχεία στο πλαίσιο του συνεχιζόμενου γενικότερου ελέγχου της υπόθεσης.
17. Σύμφωνα με τον ΓΚΠΔ (Αιτ. Σκ. 148) «προκειμένου να ενισχυθεί η επιβολή των κανόνων του παρόντος Κανονισμού, κυρώσεις, συμπεριλαμβανομένων των διοικητικών προστίμων, θα πρέπει να επιβάλλονται για κάθε παράβαση του παρόντος Κανονισμού, επιπρόσθετα ή αντί των κατάλληλων μέτρων που επιβάλλονται από την εποπτική αρχή σύμφωνα με τον παρόντα Κανονισμό».
18. Με βάση τα ανωτέρω, και αφού η Αρχή διαπίστωσε ότι η παραβίαση των διατάξεων του ΓΚΠΔ στην προκειμένη περίπτωση αφενός οφείλεται σε συστημικό σφάλμα, όπως εξάλλου και η Τράπεζα, ως υπεύθυνη επεξεργασίας, παραδέχεται και επαναλαμβάνει συνεχώς και αφετέρου επηρέασε τα δικαιώματα μεγάλου αριθμού υποκειμένων των δεδομένων (23.259) κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 γ) ΓΚΠΔ (εντολή ικανοποίησης δικαιώματος) και 58 παρ. 2 θ) και 83 ΓΚΠΔ (επιβολή προστίμου) διορθωτικές εξουσίες της όσον αφορά τις ανωτέρω διαπιστωθείσες παραβάσεις.
19. Περαιτέρω η Αρχή, για τον καθορισμό της κύρωσης έλαβε υπόψη τα κριτήρια επιμέτρησης των προστίμων που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ και έχουν εφαρμογή στην παρούσα υπόθεση, τις Κατευθυντήριες Γραμμές «για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679»2 της Ομάδας Εργασίας του άρθρου 29 και τις Κατευθυντήριες Γραμμές WP 253 από 03.10.2017 διαθέσιμο στο σύνδεσμο https://ec.europa.eu/newsroom/article29/items/611237 2 21 04/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων 3, καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως: i. Το γεγονός ότι η Τράπεζα δεν είχε λάβει τα κατάλληλα τεχνικά και οργανωτικά μέτρα και δεν διέθετε τις κατάλληλες διαδικασίες, ώστε η δημιουργία της εν θέματι λίστας των πελατών της να προκύπτει με ορθές συστημικές παραμετροποιήσεις, ενώ κατόπιν της διαπίστωσης της υπό εξέταση αστοχίας, από τα παράπονα των πελατών της, έλαβε διορθωτικά μέτρα. ii. Το γεγονός ότι η παράβαση έθιξε εκτός από τον καταγγέλλοντα και μεγάλο αριθμό πελατών (23.259) της Τράπεζας, των οποίων τα δεδομένα προσωπικού χαρακτήρα έτυχαν επεξεργασίας χωρίς νόμιμη αιτία. iii. Το γεγονός ότι η Τράπεζα επέδειξε αμέλεια παραβαίνοντας το καθήκον επιμέλειας που την βαρύνει και όχι δόλο. iv. Τον υψηλό βαθμό ευθύνης της Τράπεζας σε σχέση με την απουσία τεχνικών και οργανωτικών μέτρων κατά τα προεκτεθέντα. v. Το γεγονός ότι επρόκειτο στην συγκεκριμένη εξεταζόμενη περίπτωση για συστημικό σφάλμα κατά παραδοχή και της Τράπεζας. vi. Το γεγονός ότι η Αρχή δεν έχει διαπιστώσει κατά το παρελθόν αντίστοιχη σχετική με την παρούσα παράβαση του ΓΚΠΔ από την Τράπεζα. vii. Το γεγονός ότι η παραβίαση του ΓΚΠΔ δεν αφορά ειδική κατηγορία δεδομένων κατ’ άρθρα 9 και 10 ΓΚΠΔ. viii. Το γεγονός ότι η Αρχή ενημερώθηκε για την παραβίαση από τον καταγγέλλοντα και όχι από την Τράπεζα. ix. Το γεγονός ότι η Τράπεζα δεν αποκόμισε κάποιο οικονομικό όφελος από την εν λόγω επεξεργασία με βάση τα στοιχεία που έχει η Αρχή στην διάθεσή της. x. Το γεγονός ότι από την εν λόγω επεξεργασία δεν προέκυψε οικονομική (υλική) ζημία με βάση τα στοιχεία που έχει η Αρχή στην διάθεσή της. xi. Τον κύκλο εργασιών της Τράπεζας για το έτος 2021, ο οποίος, σύμφωνα με τα αναγραφόμενα στο μετά την ακρόαση υπόμνημά της, ανέρχεται σε €2.390εκ. Guidelines 04/2022 on the calculation of administrative fines under the GDPR από 12.05.2022 υπό δημόσια διαβούλευση, διαθέσιμες στον σύνδεσμο https://edpb.europa.eu/system/files/202205/edpb_guidelines_042022_calculationofadministrativefines_en.pdf 3 22 Βάσει των ανωτέρω, η Αρχή αποφασίζει ομόφωνα ότι πρέπει να επιβληθούν στην Τράπεζα, ως υπεύθυνη επεξεργασίας, οι αναφερόμενες στο διατακτικό διοικητικές κυρώσεις, οι οποίες κρίνονται ανάλογες με τη βαρύτητα των παραβάσεων. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή: Α. Διαπιστώνει ότι η καταγγελλόμενη Τράπεζα Πειραιώς Α.Ε., ως υπεύθυνη επεξεργασίας, παραβίασε τα άρθρα 5 παρ. 1(α) και 6 ΓΚΠΔ και επιβάλλει στην Τράπεζα Πειραιώς Α.Ε. κατ’ άρθρο 58 παρ. 2 στοιχ. θ’ ΓΚΠΔ το διοικητικό χρηματικό πρόστιμο ύψους εκατό χιλιάδων (100.000,00) ευρώ. Β. Διαπιστώνει ότι η καταγγελλόμενη Τράπεζα Πειραιώς Α.Ε., ως υπεύθυνη επεξεργασίας, παραβίασε το άρθρο 25 παρ. 1 ΓΚΠΔ και επιβάλλει στην Τράπεζα Πειραιώς Α.Ε., κατ’ άρθρο 58 παρ. 2 στοιχ. θ’ ΓΚΠΔ, το διοικητικό χρηματικό πρόστιμο ύψους εκατό χιλιάδων (100.000,00) ευρώ. Γ. Διαπιστώνει ότι η καταγγελλόμενη Τράπεζα Πειραιώς Α.Ε., ως υπεύθυνη επεξεργασίας, παραβίασε το άρθρο 15 παρ. 1 ΓΚΠΔ και επιβάλλει στην Τράπεζα Πειραιώς Α.Ε., κατ’ άρθρο 58 παρ. 2 στοιχ. θ’ ΓΚΠΔ, το διοικητικό χρηματικό πρόστιμο ύψους δέκα χιλιάδων (10.000,00) ευρώ. Δ. Δίνει εντολή, κατ’ άρθρο 58 παρ. 2 στοιχ. γ΄ ΓΚΠΔ, στην καταγγελλόμενη Τράπεζα Πειραιώς Α.Ε., ως υπεύθυνη επεξεργασίας, να ικανοποιήσει προσηκόντως το δικαίωμα πρόσβασης του καταγγέλλοντος, κατά τα αναφερόμενα στη σκέψη 10 της παρούσας. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 23