Επιβολή προστίμου σε Τράπεζα για παράνομη επεξεργασία προσωπικών δεδομένων

Αθήνα, 23-06-2025 Αριθ. Πρωτ.: 2193 ΑΠΟΦΑΣΗ 23/2025 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της σε συνεδρίαση μέσω τηλεδιασκέψεως την Τετάρτη 2310-2024 και ώρα 11:00, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν, ο Αναπληρωτής Πρόεδρος της Αρχής, Γεώργιος Μπατζαλέξης, κωλυόμενου του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου και το τακτικό μέλος της Αρχής Γρηγόριος Τσόλιας ως Εισηγητής και τα αναπληρωματικά μέλη της Αρχής Δημοσθένης Βουγιούκας σε αντικατάσταση του τακτικού μέλους Κωνσταντίνου Λαμπρινουδάκη, ο οποίος, αν και εκλήθη νομίμως, δεν παρέστη λόγω κωλύματος και Μαρία Ψάλλα. Παρούσες χωρίς δικαίωμα ψήφου ήταν η Στεφανία Πλώτα, ειδική επιστήμονας-δικηγόρος, ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα κατωτέρω: Με την υπ’ αριθ. πρωτ. Γ/ΕΙΣ/1318/24-02-2021 καταγγελία του στην Αρχή, ο A (εφεξής «καταγγέλλων»), καταγγέλλει ότι η Τράπεζα Πειραιώς Α.Ε. (εφεξής «καταγγελλόμενη Τράπεζα» ή «Τράπεζα») στις … του απέστειλε έγγραφο, με το οποίο τον ενημέρωνε ότι διαβιβάστηκαν τα προσωπικά του δεδομένα -που κατέχει επειδή διατηρεί τραπεζικούς λογαριασμούς σε αυτήν- από την Τράπεζα στην εκεί 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr αναγραφόμενη «Εταιρεία Ειδικού Σκοπού» Piraeus SNF DAC (εφεξής «ΕΕΣ»), και στην εταιρεία «Διαχειριστή»-Intrum Hellas (εφεξής «Intrum» ή «Διαχειριστή»), παρότι ο ίδιος δεν είχε χρηματικές οφειλές στην Τράπεζα και η υπ’ αρ. … απαίτηση που αναφερόταν στο έγγραφο αφορά στο επαγγελματικό δάνειο που είχε λάβει ο αδελφός του Β, γεγονός το οποίο ο ίδιος ο καταγγέλλων δεν γνώριζε. Στις … έλαβε από την Τράπεζα, κατόπιν αιτήματός του πίνακα χαρτοφυλακίου, ο οποίος περιελάμβανε μόνο δύο λογαριασμούς Ταμιευτηρίου και μία προπληρωμένη κάρτα, και στις … απέστειλε στην Τράπεζα επιστολή και επικοινώνησε τηλεφωνικώς με την Intrum, και εναντιώθηκε, όπως αναφέρει, σε κάθε μεταβίβαση προσωπικών του δεδομένων σε τρίτους, όπως η ΕΕΣ και η Intrum. Από τα συνημμένα στην καταγγελία έγγραφα, προκύπτει ότι, στις … ο καταγγέλλων έλαβε απάντηση από την εταιρεία Intrum, στην οποία αναφέρεται ότι η Τράπεζα έχει αναθέσει στην Intrum τη διαχείριση απαιτήσεων από μη εξυπηρετούμενα δάνεια και πιστώσεις, όπου περιλαμβάνεται και η απαίτηση που συνδέεται με την υπ’ αρ. … σύμβαση επιχειρηματικού δανείου, διαβιβάστηκαν στην Intrum τα προσωπικά δεδομένα των ενεχομένων στη σύμβαση και απεστάλη ενημερωτική επιστολή, εξατομικευμένα σε καθένα εξ αυτών, ωστόσο, παρότι ο καταγγέλλων ενέχεται με την ιδιότητα του παρέχοντος τις εξασφαλίσεις της ως άνω σύμβασης, η Τράπεζα δεν έχει διαβιβάσει στην εταιρεία τα προσωπικά του δεδομένα και βεβαιώνει ότι δεν τα έχει στα αρχεία της. Επίσης, στην εν λόγω επιστολή της η Intrum αναφέρει ότι δεν κατέστη δυνατή η εύρεση της από … κλήσης με εκπρόσωπό της, την οποία αιτήθηκε ο καταγγέλλων. Αντιστοίχως, ο καταγγέλλων έλαβε στις … επιστολή από τον Υπεύθυνο Προστασίας Δεδομένων (εφεξής «ΥΠΔ») της Τράπεζας, στην οποία αναφέρεται ότι, αφενός η από … επιστολή του απεστάλη λόγω της ιδιότητάς του ως παρέχοντος τις εξασφαλίσεις σχετικά με την απαίτηση που συνδέεται με την υπ’ αρ. … σύμβαση επιχειρηματικού δανείου και είχε ως σκοπό την ενημέρωσή του πως τα στοιχεία του θα διαβιβασθούν στον Διαχειριστή σε περίπτωση που ο τελευταίος προχωρήσει σε νομικές ενέργειες σχετικά με το ακίνητο, στο πλαίσιο της διαχείρισης της προαναφερθείσας απαίτησης, και αφετέρου η Τράπεζα δεν έχει διαβιβάσει τα προσωπικά του δεδομένα στον Διαχειριστή, καθώς η έως τώρα διαχείριση της απαίτησης δεν απαιτεί κάτι τέτοιο και λυπούνται για την παρανόηση σε περίπτωση που το κείμενο της επιστολής που έλαβε 2 δεν ήταν κατανοητό και δεν παρείχε την ακριβή περιγραφή του τρόπου επεξεργασίας των προσωπικών του δεδομένων. Η Αρχή, στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας απέστειλε στην Τράπεζα και στην Intrum το υπ’ αριθ. πρωτ. Γ/ΕΞ/1133/23-04-2021 έγγραφο για παροχή απόψεων επί των καταγγελλομένων, στο οποίο η Τράπεζα απάντησε με την υπ’ αρ. πρωτ. Γ/ΕΙΣ/3176/14-05-2021 επιστολή, στην οποία ανέφερε ότι: i. ο καταγγέλλων λόγω εσφαλμένης συστημικής καταχώρισης (λανθασμένη καταχώριση και καταγραφή στα συστήματα) έφερε την ιδιότητα «του παρέχοντος το κάλυμμα», ήτοι του εγγυητή σε επιχειρηματικό δάνειο συγγενικού του προσώπου, το οποίο είχε περιέλθει σε καθεστώς οριστικής καθυστέρησης, περιελήφθη σε λίστα αποδεκτών των επιστολών, χωρίς ωστόσο να διαβιβαστούν τα δεδομένα του ούτε στην ΕΕΣ, ούτε στον Διαχειριστή, καθώς η ενημέρωση πραγματοποιείτο μόνο στο ενδεχόμενο μελλοντικής εκκίνησης νομικών ενεργειών, εάν συνέτρεχαν οι σχετικές προϋποθέσεις, ii. η εσφαλμένη, όπως εν συνεχεία αποδείχθηκε, καταχώριση και καταγραφή στα συστήματα του καταγγέλλοντος ως εγγυητή θα μπορούσε σε ένα βαθμό να αποδοθεί και στο γεγονός ότι δεν ήταν παλαιός πελάτης της Τράπεζας, αλλά τα στοιχεία του έχουν περιέλθει στην Τράπεζα από άλλη τράπεζα και συγκεκριμένα από την «CYPRUS POPULAR BANK PUBLIC CO LTD» - Υποκατάστημα Ελλάδος, της οποίας δάνεια και απαιτήσεις απέκτησε η Τράπεζα Πειραιώς, δυνάμει ειδικής διαδοχής, στο πλαίσιο απόκτησης στοιχείων ενεργητικού και παθητικού της ελληνικής δραστηριότητας της «CYPRUS POPULAR BANK PUBLIC CO LTD», iii. η αρμόδια Μονάδα προέβη σε όλες τις απαιτούμενες ενέργειες ούτως ώστε να διορθωθεί η καρτέλα του συγκεκριμένου πελάτη και να αποκατασταθεί πλήρως και αποτελεσματικά η προηγούμενη εσφαλμένη συστημική καταχώριση, iv. δεν προέκυψε οποιαδήποτε ζημία ή βλάβη των συμφερόντων του συγκεκριμένου πελάτη, διότι ουδέποτε συντελέστηκε οποιαδήποτε διαβίβαση προσωπικών δεδομένων του, ενώ έχει επέλθει πλήρης διόρθωση και συστημική αποκατάσταση των σχετικών καταχωρίσεων που τον αφορούν. Αντίστοιχα, η εταιρεία Intrum δηλώνει στο υπ’ αρ. πρωτ. Γ/ΕΙΣ/3261/19-052021 έγγραφό της προς την Αρχή ότι i. κατά τον χρόνο εξέτασης του αιτήματος, η Intrum δεν είχε, στα συστήματα στη διάθεσή της δεδομένα προσωπικού χαρακτήρα 3 του αιτούντος, ii. επειδή ο καταγγέλλων επικαλέστηκε παραλαβή επιστολής με ημερομηνία …, αντίγραφο της οποίας προώθησε ο ίδιος στην κατά την από … επικοινωνία, η Intrum προέβη σε έλεγχο σε αρχείο όπου τηρούνται ψηφιοποιημένα αντίγραφα των επιστολών που έχει στείλει από κοινού με την Τράπεζα Πειραιώς, όπου και εντόπισε δύο διακριτές εξατομικευμένες ενημερωτικές επιστολές με ημερομηνία έκδοσης … και …, αντιστοίχως, iii. οι εν λόγω ενημερωτικές επιστολές είναι τυποποιημένες, παράγονται από την ίδια την Τράπεζα, η οποία ελέγχει αν συντρέχουν οι προϋποθέσεις που έχει συμφωνήσει με την Intrum, στο πλαίσιο της μεταξύ τους συνεργασίας, για την ανάθεση χαρτοφυλακίου δανείων/πιστώσεων και απευθύνονται σε ενεχόμενους στις συμβάσεις που ανατίθενται προς διαχείριση στην Intrum, iv. η δεύτερη από … εξατομικευμένη ενημερωτική επιστολή προς τον καταγγέλλοντα αφορούσε στην ίδια σύμβαση δανείου με την πρώτη από … επιστολή και ότι αυτή (η δεύτερη επιστολή) παρήχθη, βάσει αυτόματης ροής, κατά την καταγγελία της ανωτέρω σύμβασης -η καταγγελία έχει ως αποτέλεσμα τη μεταβολή του αριθμού δανείου και εξ όσων έχει μεταφέρει η Τράπεζα στην Intrum, η συστημική ροή για τη δημιουργία αρχείου αποδεκτών της ενημερωτικής επιστολής, ως έχει υλοποιηθεί, το αναγνωρίζει ως νέα υπόθεση υπό διαχείριση από την Intrum, χωρίς επί της ουσίας να μεταβάλλεται η ήδη δοθείσα στον καταγγέλλοντα ενημέρωση με την από … επιστολή, v. κατόπιν ελέγχου του φακέλου δανείου, στον οποίο φέρετο ότι ενεχόταν ο καταγγέλλων και επιβεβαιώνει ότι στο μεν ηλεκτρονικό αρχείο, ήτοι στα συστήματα στη διάθεσή της Intrum, δεν βρέθηκαν προσωπικά του δεδομένα, στο δε φυσικό αρχείο βρέθηκε αντίγραφο από δημόσιο έγγραφο στο οποίο αναγράφονται το ονοματεπώνυμο/πατρώνυμο του κ. Α. Συγκεκριμένα, στον φάκελο του δανείου, η Intrum εντόπισε Έκθεση Ελέγχου Τίτλων εκδοθείσα από το Κτηματολογικό Γραφείο Χ, με την οποία βεβαιώνεται ότι το ακίνητο για το οποίο έχει εγγραφεί προσημείωση υποθήκης σε εξασφάλιση της επίμαχης σύμβασης δανείου, έχει περιέλθει στην κατοχή του Α και έτερου φυσικού προσώπου, το οποίο τυγχάνει ο οφειλέτης του δανείου, κατά πλήρη κυριότητα και κατά ποσοστό ½ εξ αδιαιρέτου, και καθώς το εν λόγω ακίνητο αποτελεί εμπράγματη εξασφάλιση δανείου υπό τη διαχείρισή της Intrum, ορθώς έχει στην κατοχή της το προαναφερόμενο δημόσιο έγγραφο, ως έχει προσκομιστεί σε αυτήν από τον οφειλέτη, vi. η Τράπεζα δεν είχε διαβιβάσει δεδομένα προσωπικού χαρακτήρα του καταγγέλλοντος στην Intrum και πέραν των 4 στοιχείων του καταγγέλλοντος στο ως άνω δημόσιο έγγραφο, η Intrum δεν είχε και ούτε έχει, με σημερινά στοιχεία, στη διάθεσή της προσωπικά του δεδομένα, vii. σε συνέχεια του εγγράφου της Αρχής, κατόπιν επικοινωνίας με την Τράπεζα, η εταιρεία ενημερώθηκε από την τελευταία ότι αναγνώρισε συστημικό λάθος και έχει ήδη μεριμνήσει για την αποκατάσταση/διόρθωση στα συστήματά της, και viii. ως προς το αίτημα του καταγγέλλοντος για ανάκτηση τηλεφωνικής επικοινωνίας με εκπρόσωπο της εταιρείας, προκύπτει ότι δεν έχει υπάρξει προς αυτόν κλήση στο νούμερο κινητού τηλεφώνου που ο ίδιος γνωστοποίησε στην εταιρεία κατά την από … επικοινωνία, καθώς ελλείψει προσωπικών δεδομένων του, δεν υπήρχε εν τοις πράγμασι δυνατότητα για την πραγματοποίηση εξερχόμενης κλήσης από την εταιρεία προς αυτόν και επιπλέον, κατά την περίοδο της όχλησης που ο ίδιος επικαλείται, δεν υπήρχε στο δυναμικό της εταιρείας υπάλληλος με τα στοιχεία που υπέδειξε ο καταγγέλλων και δεν τίθεται υπόνοια απώλειας ή άρνησης παράδοσης αποδεικτικών στοιχείων, όπως ισχυρίζεται στην υποβληθείσα στην Αρχή καταγγελία του. Στη συνέχεια, ο καταγγέλλων προσκόμισε στην Αρχή το υπ’ αρ. πρωτ. Γ/ΕΙΣ/10481/27-09-2022 συμπληρωματικό έγγραφο που έλαβε από την Τράπεζα Πειραιώς τον ..., που είναι μία ακόμα μαζική κ όχι προσωποποιημένη επιστολή, την οποία υπογράφουν η Τράπεζα, η Intrum και η Sunrise I NPL Finance DAC, η οποία αντικατέστησε την ΕΕΣ Piraeus SNF DAC, με την οποία τον ενημερώνουν για την αναμεταβίβαση των απαιτήσεων από την εταιρεία ΕΕΣ στην Τράπεζα και την εν συνεχεία μεταβίβαση και ανάθεση της διαχείρισης των απαιτήσεων στο πλαίσιο νέας τιτλοποίησης με αναφορά πάλι στο γεγονός ότι ενέχεται σε σύμβαση από την οποία προκύπτει απαίτηση της Τράπεζας και καταγράφονται οι αριθμοί του Δανείου, της Σύμβασης, ο τύπος του Δανείου (Επιχειρηματικό) και η ιδιότητα του παραλήπτη ως «πάροχος εξασφάλισης». Τέλος, ο καταγγέλλων με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/1803/1003-2023 έγγραφο προσκομίζει στην Αρχή την άρτι εκδοθείσα … Απόφαση του Ειρηνοδικείου επί της αγωγής του κατά της Τράπεζας Πειραιώς, για την υπό εξέταση υπόθεση, στην οποία αναφέρεται ότι αποδείχθηκε ότι διαβιβάστηκαν τα δεδομένα του από την Τράπεζα στην ΕΕΣ και τα διατήρησε η Intrum, αναφέροντας την προσημείωση ακινήτου του αδελφού του, απορρίπτει τους ισχυρισμούς της 5 Τράπεζας και ορίζει ότι η τελευταία οφείλει να καταβάλει χίλια πεντακόσια (1.500) ευρώ στον ενάγοντα/καταγγέλλοντα. Στη συνέχεια, η Αρχή κάλεσε με τα υπ’ αρ. πρωτ. Γ/ΕΞ/561/14-02-2024, Γ/ΕΞ/560/14-02-2024 και Γ/ΕΞ/563/14-02-2024 έγγραφα την καταγγελλόμενη Τράπεζα Πειραιώς, τη Διαχειρίστρια εταιρεία Intrum Hellas Α.Ε.Δ.Α.Δ.Π. και τον καταγγέλλοντα Α αντίστοιχα να παραστούν, όπως νομίμως εκπροσωπούνται, μέσω τηλεδιάσκεψης στη συνεδρίαση του Τμήματος στις … προκειμένου να συζητηθεί η εν θέματι καταγγελία, κατά την οποία οι εκπρόσωποι της Τράπεζας Πειραιώς αιτήθηκαν την αναβολή της συζήτησης, η οποία ορίστηκε για τις …. Στην εν λόγω συνεδρίαση παρέστησαν ο καταγγέλλων Α, εκ μέρους της καταγγελλόμενης Τράπεζας οι Γ, Δ, Βασιλική-Μαρία Σαλδάρη πληρεξούσια δικηγόρος (Α.Μ. Δ.Σ...), Ε Υπεύθυνος Προστασίας Δεδομένων και Ζ, και εκ μέρους της Intrum Hellas οι πληρεξούσιες δικηγόροι Παναγιώτα Καραγκιουλέ (ΑΜΔΣ…), Σοφία Κικιλή (ΑΜΔΣ…) και Αναστασία Καϊμάκη (ΑΜΔΣ…). Κατά τη συνεδρίαση αυτή, οι παριστάμενοι ανέπτυξαν τις απόψεις τους και έλαβαν προθεσμία να υποβάλουν υπομνήματα, τα οποία και υπέβαλαν η εταιρεία Intrum και η Τράπεζα Πειραιώς με τα υπ’ αρ. πρωτ. Γ/ΕΙΣ/2910/28-03-2024 και Γ/ΕΙΣ/2971/01-04-2024 έγγραφα αντίστοιχα. H Τράπεζα Πειραιώς στο μετά την ακρόαση υπόμνημα ανέφερε ότι «το γεγονός ότι ο κ. Α έλαβε τις συγκεκριμένες επιστολές οφείλεται στο ότι εκ παραδρομής αρχικώς φαινόταν ότι έφερε την ιδιότητα του παρέχοντος το κάλυμμα/του παρέχοντος εμπράγματη εξασφάλιση σχετικά με απαίτηση που συνδεόταν με επιχειρηματικό δάνειο συγγενικού του προσώπου, το οποίο είχε περιέλθει σε καθεστώς οριστικής καθυστέρησης. Ειδικότερα ο κ. Α είχε ποσοστό ιδιοκτησίας 50% εξ αδιαιρέτου επί συγκεκριμένου ακινήτου, ενώ το υπόλοιπο ποσοστό (το υπόλοιπο 50%) του εν λόγω ακινήτου, το οποίο ανήκε σε συγγενικό του πρόσωπο, είχε προσημειωθεί/παρασχεθεί ως εμπράγματη εξασφάλιση σε απαίτηση από επιχειρηματικό δάνειο που είχε χορηγηθεί στο ως άνω συγγενικό του πρόσωπο. Λόγω του ως άνω ιδιοκτησιακού καθεστώτος του κ. Α και της εξ αυτού του λόγου σύνδεσής του με το συγκεκριμένο ακίνητο, εκ προφανούς παραδρομής και αστοχίας κάποιου υπαλλήλου της Τράπεζας, πραγματοποιήθηκε εσφαλμένη καταχώριση του συγκεκριμένου πελάτη υπό την ιδιότητα του παρέχοντος το κάλυμμα/του παρέχοντος 6 την εμπράγματη εξασφάλιση στην ως άνω απαίτηση. Επομένως ο αποκλειστικός λόγος για τον οποίο ο κ. Α έγινε αποδέκτης των εν λόγω επιστολών συνίσταται στο ότι αρχικώς εμφανιζόταν με την ανωτέρω ιδιότητα. Τούτο οφειλόταν σε ανθρώπινο λάθος και συγκεκριμένα σε εκ παραδρομής ενέργεια υπαλλήλου, ο οποίος προέβη σε μεμονωμένη, εσφαλμένη, δια χειρός ενέργεια πληκτρολόγησης και καταχώρισης των στοιχείων του ως άνω πελάτη με την ως άνω ιδιότητα στο σύστημα της Τράπεζας […] ήταν το αποτέλεσμα μεμονωμένης λανθασμένης ενέργειας, δεν οφειλόταν σε ύπαρξη συστημικής δυσλειτουργίας ή λειτουργικής ανεπάρκειας, αφορούσε δε αποκλειστικά και μόνο το συγκεκριμένο, μεμονωμένο περιστατικό», το οποίο δεν συνδέεται, ούτε σχετίζεται με άλλη περίπτωση/υπόθεση της Τράπεζας, όπως υποστήριξε η Τράπεζα. Συνεχίζοντας αναφέρει ότι «παρά το γεγονός ότι, κατά τον χρόνο αποστολής των ως άνω επιστολών εκ παραδρομής και λόγω της προπεριγραφείσας μεμονωμένης εσφαλμένης καταχώρισης, ο κ. Α έφερε την ως άνω ιδιότητα - και για αυτό άλλωστε έγινε και αποδέκτης των σχετικών επιστολών-, ουδέποτε διενεργήθηκε από την Τράπεζα οποιαδήποτε διαβίβαση προσωπικών δεδομένων σε εταιρεία ειδικού σκοπού ή σε εταιρεία διαχείρισης απαιτήσεων από δάνεια και πιστώσεις ή σε οποιονδήποτε τρίτο. Επίσης ουδέποτε παρασχέθηκε από την Τράπεζα πρόσβαση, καθ’ οιονδήποτε τρόπο και σε οποιοδήποτε τρίτο πρόσωπο, στα προσωπικά δεδομένα του κ. Α, που τηρούνταν στα συστήματα της Τράπεζας.» Η Τράπεζα αναφέρει ότι έχει καταστεί σαφές στον καταγγέλλοντα από τις σχετικές επικοινωνίες ότι «το γεγονός ότι έλαβε τις σχετικές επιστολές οφειλόταν μόνο στο ενδεχόμενο μελλοντικής εκκίνησης νομικών ενεργειών, λόγω της φερόμενης ιδιότητάς του ως παρέχοντος εξασφάλιση σχετικά με κάποια απαίτηση από σύμβαση επιχειρηματικού δανείου» και «ουδέποτε παρέστη η ανάγκη εκκίνησης νομικών ενεργειών, ουδέποτε ασκήθηκε οποιαδήποτε αξίωση ή απαίτηση κατά του κ. Α, ουδέποτε ξεκίνησε οιαδήποτε νομική διεκδίκηση ή άλλη νομική ενέργεια και εξ αυτού του λόγου ουδέποτε εντάχθηκε στην οριοθετημένη περίμετρο. Προς επίρρωση τούτου, προσκομίζονται τα logs περιμέτρου, από τα οποία προκύπτει ότι ο συγκεκριμένος πελάτης κ. Α ουδέποτε εντάχθηκε στην περίμετρο διαχείρισης και πρόσβασης της Intrum Hellas, εν αντιθέσει με το συγγενικό του πρόσωπο, ο οποίος ως δανειολήπτης του συγκεκριμένου επιχειρηματικού δανείου, ορθώς είχε ενταχθεί, […] ουδέποτε παρασχέθηκε πρόσβαση στην Intrum Hellas, ουδέποτε απέκτησε πρόσβαση η Intrum 7 Hellas στα δεδομένα του κ. Α, μέσω των συστημάτων της Τράπεζας, καθώς δεν πληρούνταν τα κριτήρια διαχείρισης και ως εκ τούτου δεν συνέτρεχαν οι προϋποθέσεις απόκτησης πρόσβασης στα δεδομένα του, μέσω των συστημάτων της Τράπεζας», τα οποία επιβεβαίωσαν τα στελέχη της εταιρείας ενώπιον της Αρχής, όπως ανέφερε η Τράπεζα, καθώς και ότι βάσει της αρχής της νομιμότητας και της αναλογικότητας έχει παράσχει σε εξουσιοδοτημένους, βάσει ρόλου, αρμοδιοτήτων, χρήστες της εταιρείας, δυνατότητα πρόσβασης μόνο σε συγκεκριμένα αρχεία και συστήματα της Τράπεζας που αφορά αποκλειστικά δεδομένα που σχετίζονται με απαιτήσεις που εντάσσονται σε οριοθετημένη περίμετρο και πληρούν τα κριτήρια διαχείρισης για την εκπλήρωση των σκοπών της εν λόγω διαχείρισης. Επίσης, η Τράπεζα προσκόμισε την υπ’ υπ’ αριθ. … απόφαση του Ειρηνοδικείου Αθηνών (διατάξεις μικροδιαφορών), η οποία εξεδόθη κατόπιν άσκησης της από … αγωγής του καταγγέλλοντος κατά της Τράπεζας που σχετιζόταν με την υπό εξέταση υπόθεση, με την οποία ζητούσε να του επιδικαστεί το ποσό των τεσσάρων χιλιάδων και πεντακοσίων (4.500) ευρώ για χρηματική ικανοποίηση λόγω ηθικής βλάβης, εκδικάστηκε την … και κάνοντας εν μέρει δεκτή την αγωγή, επιδικάστηκε το ποσό των χιλίων πεντακοσίων (1.500) ευρώ, απόφαση, η οποία είναι ανέκκλητη, ενώ στο σκεπτικό αναφέρεται ότι μέσω της επιστολής της Τράπεζας δεν διευκρινίζεται ότι ως προς τους παρέχοντες εμπράγματη εξασφάλιση, τυχόν διαβίβαση των προσωπικών τους δεδομένων θα γινόταν σε μεταγενέστερο στάδιο, ήτοι μόνο σε περίπτωση που συνέτρεχαν συγκεκριμένες προϋποθέσεις εκκίνησης νομικών ενεργειών. Η Τράπεζα προσθέτει ότι «έχει ήδη δρομολογήσει τις σχετικές ενέργειες για την αναδιατύπωση/αναδιαμόρφωση της σχετικής επιστολής των πελατών, ούτως ώστε να αποτυπώνεται ότι στις περιπτώσεις του παρέχοντος το κάλυμμα/του παρέχοντος εμπράγματη εξασφάλιση, η διαβίβαση των στοιχείων του θα αποτελεί μόνο ενδεχόμενο και θα γίνεται σε δεύτερο χρόνο μόνο όταν θα συντρέχουν οι απαιτούμενες συνθήκες και προϋποθέσεις» και προσκομίζει τα αιτηθέντα log files (αρχεία καταγραφής) από το πρωτογενές σύστημα ακινήτων της Τράπεζας, στο οποίο γίνεται η καταγραφή στοιχείων ακινήτων που παρέχονται ως εμπράγματη εξασφάλιση σε απαιτήσεις, στα οποία «αποτυπώνεται (α) η ως άνω κατά το παρελθόν εσφαλμένη καταχώριση του συγκεκριμένου πελάτη στο εν λόγω πρωτογενές σύστημα της Τράπεζας και (β) η σημερινή εικόνα του εν λόγω πελάτη, 8 κατόπιν των ως άνω διορθωτικών ενεργειών, οπότε πλέον, εδώ και μεγάλο χρονικό διάστημα, δεν εμφανίζεται ως ενεχόμενος υπό την ιδιότητα του παρέχοντος εμπράγματη εξασφάλιση». Επίσης, η Τράπεζα ανέφερε ότι ενημέρωσε πλήρως με την από … επιστολή τον καταγγέλλοντα για τη μη διαβίβαση των δεδομένων του στην Intrum και από αυτό συνάγεται ότι δεν έχουν επέλθει δυσμενείς συνέπειες για τον πελάτη. Η εταιρεία Intrum ανέφερε στο μετά την ακρόαση υπόμνημα, πέραν των όσων έχει ήδη υποστηρίξει, ότι η εταιρεία δεν τηρεί δεδομένα προσωπικού χαρακτήρα του καταγγέλλοντος στα συστήματά της και «για χαρτοφυλάκια απαιτήσεων από δάνεια/πιστώσεις προερχόμενα/ες από την Τράπεζα Πειραιώς, η τελευταία παρέχει στην εταιρεία την απαραίτητη υποδομή (συστήματα), διασφαλίζοντας ότι εκχωρεί στο προσωπικό της εταιρείας τις απαραίτητες προσβάσεις περιοριστικά σε στοιχεία επί συμβάσεων δανείων/πιστώσεων υπό τη διαχείριση της τελευταίας». Επίσης, προς επίρρωση του ισχυρισμού της ότι δεν κατέστη δυνατή η ταυτοποίηση του καταγγέλλοντος στα συστήματά της, προσκομίζει στιγμιότυπα οθόνης από τις εν λόγω αναζητήσεις. Αναφορικά με «τον φυσικό φάκελο και τα τυχόν τηρούμενα στοιχεία για τον καταγγέλλοντα», η εταιρεία αναφέρει ότι κατά την παραλαβή του από … αιτήματος από την Αρχή συνεπεία της καταγγελίας του καταγγέλλοντος, η Εταιρεία δεν είχε, πρακτικώς, άμεση πρόσβαση στον φυσικό φάκελο τον οποίο, όμως, αιτήθηκε στην Τράπεζα προκειμένου να προβεί σε περαιτέρω ελέγχους και παρέλαβε, αρχές …, ψηφιοποιημένα αντίγραφα των εγγράφων που τηρούνται στον φάκελο του υπό εξέταση δανείου με οφειλέτη τον Β. Η Εταιρεία διαπίστωσε την ύπαρξη σε αυτά δημοσίου εγγράφου, το οποίο αφορά σε Κτηματολογικό Φύλλο Ακινήτου, ήτοι Πιστοποιητικό Καταχώρισης Εγγραπτέας Πράξης μετά των κτηματολογικών εγγράφων -εκ παραδρομής αναφερόμενο ως Έκθεση Ελέγχου Τίτλων στην από … απάντηση της Εταιρείας- εκδοθέν στις … από το Κτηματολογικό Γραφείο Χ, στο οποίο συμπεριλαμβάνονται στοιχεία του καταγγέλλοντος και πέραν αυτού η Εταιρεία δεν έχει στη διάθεσή της άλλο έγγραφο που να φέρει στοιχεία του καταγγέλλοντος ή στοιχεία που επιτρέπουν την εξακρίβωση της ταυτότητας αυτού. Αναφορικά με την επίκληση από τον καταγγέλλοντα τηλεφωνικής επικοινωνίας με εκπρόσωπο της εταιρείας, η τελευταία αναφέρει, πέραν των όσων έχει ήδη ισχυριστεί, ότι είτε η συνομιλία είναι προϊόν εξερχόμενης κλήσης από την εταιρεία, 9 είτε είναι εισερχόμενη σε αυτήν, απαραίτητη προϋπόθεση είναι η ταυτοποίηση του πιστούχου επί τη βάσει στοιχείων του, όπως ονοματεπώνυμο και ΑΦΜ, ή ονοματεπώνυμο και ΑΔΤ και ημερομηνία γέννησης κλπ., ενώ σε περίπτωση που δεν καθίσταται δυνατή η ταυτοποίηση του συνομιλούντος -όπως εν προκειμένω, ελλείψει ταυτοποιητικών στοιχείων του καταγγέλλοντος- η κλήση τερματίζεται. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΘΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ 1. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (ΕΕ) 2016/679 (εφεξής «ΓΚΠΔ») και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του Α και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/2019. 2. Επειδή, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), […] δ) είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται, πρέπει να λαμβάνονται όλα τα εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση δεδομένων προσωπικού χαρακτήρα, τα οποία είναι ακριβή, σε σχέση με τους σκοπούς της επεξεργασίας («ακρίβεια»)». 10 3. Επειδή, σύμφωνα με το άρθρο 5 παρ. 2 του ΓΚΠΔ «ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 («λογοδοσία»)». 4. Όπως έχει κρίνει η Αρχή1με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό σημείο του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ. 5. Επειδή, σύμφωνα με το άρθρο 21 ΓΚΠΔ «το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν, η οποία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο ε) ή στ) […]». 6. Επειδή, σύμφωνα με το σύνολο των στοιχείων του φακέλου, προκύπτει ότι εκ παραδρομής και αστοχίας υπαλλήλου της καταγγελλόμενης Τράπεζας, πραγματοποιήθηκε εσφαλμένη καταχώριση των στοιχείων του καταγγέλλοντος υπό την ιδιότητα του παρέχοντος το κάλυμμα/την εμπράγματη εξασφάλιση σε απαίτηση από επιχειρηματικό δάνειο (εγγυητή) που είχε χορηγηθεί στο συγγενικό του πρόσωπο, ως αποτέλεσμα μεμονωμένης λανθασμένης ενέργειας υπαλλήλου που δεν οφειλόταν σε συστημική δυσλειτουργία ή λειτουργική ανεπάρκεια και αφορούσε μόνο το συγκεκριμένο περιστατικό. Εσφαλμένα δηλαδή η Τράπεζα εξέλαβε τον καταγγέλλοντα ως εγγυητή και προέβη σε επεξεργασία των προσωπικών δεδομένων του χωρίς να συντρέχει καμία από τις προβλεπόμενες από το άρ. 6 παρ. 1 ΓΚΠΔ νομικές βάσεις, αφού ουδέποτε δημιουργήθηκε τέτοια σχέση μεταξύ του καταγγέλλοντος και της Τράπεζας. Ως εκ τούτου, η εσφαλμένη απόδοση της ιδιότητας του εγγυητή στον καταγγέλλοντα από την Τράπεζα είχε ως αποτέλεσμα την επεξεργασία των προσωπικών δεδομένων του χωρίς νόμιμη αιτία κατά παράβαση της αρχής της νομιμότητας κατ’ άρ. 6 παρ. 1 συνδ. 5 παρ. 1 εδ. α’ 1 Βλ. Αποφάσεις ΑΠΔ 26/2019, σελ. 15-17, 43/2019, σελ. 14. 11 ΓΚΠΔ και επιπλέον κατά παράβαση της αρχής της ακρίβειας κατ’ άρ. 5 παρ. 1 εδ. δ’ ΓΚΠΔ. Εξαιτίας του ανωτέρω εσφαλμένου χαρακτηρισμού του καταγγέλλοντος ως εγγυητή και της εν λόγω σχετικής καταχώρησης του υπό την ανωτέρω ιδιότητα, η Τράπεζα του απέστειλε τις από … και … ενημερωτικές για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τον αφορούν επιστολές. Παρότι ο καταγγέλλων απέστειλε στην Τράπεζα επιστολή και επικοινώνησε τηλεφωνικώς με την εταιρεία Intrum και εναντιώθηκε σε κάθε διαβίβαση των δεδομένων του σε τρίτους, αναφέροντας ότι ουδεμία οφειλή έχει προς την Τράπεζα, έλαβε τον Μάρτιο του… και τρίτη σχετική ενημερωτική επιστολή από την Τράπεζα. Επομένως, η Τράπεζα ως υπεύθυνος επεξεργασίας προέβη σε επεξεργασία ανακριβών προσωπικών δεδομένων, χωρίς να υφίσταται νόμιμος σκοπός επεξεργασίας τους, καθώς ο καταγγέλλων δεν ενέχετο στο εν θέματι εμπράγματο δάνειο του τρίτου προσώπου ως εγγυητής, και ενέταξε χωρίς νόμιμη αιτία τα δεδομένα του στη λίστα αποδεκτών των εν λόγω επιστολών. Συνεπώς, η Αρχή διαπιστώνει ότι έχει επέλθει παραβίαση των αρχών της ακρίβειας του άρθρου 5 παρ.1 στοιχ. δ’ του ΓΚΠΔ και της νομιμότητας του άρθρου 5 παρ. 1 στοιχ. α του ΓΚΠΔ και του άρθρου 6 παρ. 1 του ΓΚΠΔ από την Τράπεζα ως υπεύθυνο επεξεργασίας των δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος και συντρέχει λόγος να ασκήσει την κατ’ άρθρο 58 παρ. 2 στοιχ. θ’ διορθωτική εξουσία της επιβολής προστίμου, όπως θα παρατεθεί κατωτέρω. 7. Επειδή, αναφορικά με το από … δικαίωμα εναντίωσης ως προς τη διαβίβαση των προσωπικών του δεδομένων σε τρίτους, που άσκησε ο καταγγέλλων προς τον Υπεύθυνο Προστασίας Δεδομένων (ΥΠΔ) της εταιρείας Intrum με κοινοποίηση τον ΥΠΔ της Τράπεζας, ο ΥΠΔ της Τράπεζας με το από … μήνυμα ηλεκτρονικού ταχυδρομείου ενημέρωσε τον καταγγέλλοντα ότι θα απαιτηθεί μεγαλύτερο χρονικό διάστημα από το συνήθως οριζόμενο, καθώς η υπόθεσή του χρήζει περαιτέρω διερεύνησης και με την από … επιστολή του ΥΠΔ, τον ενημέρωσε ότι η Τράπεζα δεν έχει διαβιβάσει τα δεδομένα του στον Διαχειριστή, η Αρχή διαπιστώνει ότι δεν έχει παραβιασθεί το άρθρο 21 του ΓΚΠΔ. 8. Επειδή στην υπό εξέταση καταγγελία, σύμφωνα με τα στοιχεία του φακέλου και λαμβάνοντας υπόψη, ιδίως τα αρχεία καταγραφής που έχει προσκομίσει η εταιρεία Intrum, δεν προκύπτει ότι η Τράπεζα, παρότι είχε αποστείλει τις από …, … και … 12 ενημερωτικές επιστολές προς τον καταγγέλλοντα, διεβίβασε σε εκείνο το χρονικό διάστημα τα δεδομένα προσωπικού χαρακτήρα του στην εταιρεία Intrum, ούτε ότι η εταιρεία γνώριζε τον καταγγέλλοντα, ότι είχε αποκτήσει πρόσβαση στα δεδομένα του και ότι είχε λάβει γνώση οποιουδήποτε δεδομένου του και εν γένει στοιχείου που να τον αφορά. Η εταιρεία Intrum μετά τη διαβίβαση σε αυτήν της υπό εξέταση καταγγελίας από την Αρχή και του από … αιτήματος παροχής απόψεων, αιτήθηκε στην Τράπεζα, προκειμένου να προβεί σε περαιτέρω ελέγχους και παρέλαβε, αρχές Μαΐου πλέον του …, ψηφιοποιημένα αντίγραφα των εγγράφων που τηρούνται στον φυσικό φάκελο του εν λόγω δανείου. Αντιστοίχως, επειδή η εταιρεία δεν διατηρούσε τα στοιχεία του καταγγέλλοντος στα συστήματά της, όπως προκύπτει από τα προσκομισθέντα στιγμιότυπα οθόνης, δεν μπορούσε να τον ταυτοποιήσει, ώστε υπάλληλός της να πραγματοποιήσει εξερχόμενη κλήση προς τον καταγγέλλοντα ή να επιβεβαιώσει την πραγματοποίηση εισερχόμενης κλήσης από τον καταγγέλλοντα, ενώ το όνομα του υπαλλήλου που ανέφερε ο καταγγέλλων δεν επαληθεύθηκε να ανήκε στο ανθρώπινο δυναμικό της εταιρείας κατά τον χρόνο που υπέδειξε ο καταγγέλλων. Επομένως, από το σύνολο του φακέλου και με βάση την ακροαματική διαδικασία, η Αρχή δεν διαπίστωσε με βάση τα πραγματικά περιστατικά που αφορούν την Τράπεζα, παραβίαση του ΓΚΠΔ αντίστοιχα από την Intrum. 9. Σύμφωνα με τον ΓΚΠΔ (Αιτ. Σκ. 148) «προκειμένου να ενισχυθεί η επιβολή των κανόνων του παρόντος Κανονισμού, κυρώσεις, συμπεριλαμβανομένων των διοικητικών προστίμων, θα πρέπει να επιβάλλονται για κάθε παράβαση του παρόντος Κανονισμού, επιπρόσθετα ή αντί των κατάλληλων μέτρων που επιβάλλονται από την εποπτική αρχή σύμφωνα με τον παρόντα Κανονισμό». 10. Περαιτέρω η Αρχή, για τον καθορισμό της κύρωσης έλαβε υπόψη τα κριτήρια επιμέτρησης των προστίμων που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ και έχουν εφαρμογή στην παρούσα υπόθεση, τις Κατευθυντήριες Γραμμές «για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679»2 της Ομάδας Εργασίας του άρθρου 29 και τις Κατευθυντήριες Γραμμές 2 WP 253 από 03.10.2017 διαθέσιμο στο σύνδεσμο https://ec.europa.eu/newsroom/article29/items/611237 13 04/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων3, καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως: i. το γεγονός ότι η Τράπεζα παρότι, μετά την αποστολή δύο ενημερωτικών επιστολών προς τον καταγγέλλοντα έλαβε προσηκόντως γνώση για την εναντίωσή του στην εν λόγω αποστολή και επεξεργασία, απέστειλε και τρίτη επιστολή σε αυτόν με το ίδιο περιεχόμενο, ii. το γεγονός ότι η παράβαση αφορούσε μεμονωμένο περιστατικό που έθιξε μόνο τον καταγγέλλοντα και αφορούσε εσφαλμένη δια χειρός ενέργεια πληκτρολόγησης και καταχώρισης λόγω ανθρώπινου λάθους κατά παραδοχή της Τράπεζας, iii. το γεγονός ότι η παραβίαση του ΓΚΠΔ δεν αφορά ειδική κατηγορία δεδομένων κατ’ άρθρα 9 και 10 ΓΚΠΔ, iv. το γεγονός ότι η Αρχή ενημερώθηκε για την παραβίαση από τον καταγγέλλοντα και όχι από την Τράπεζα, v. το γεγονός ότι η Τράπεζα δεν αποκόμισε κάποιο οικονομικό όφελος από την εν λόγω επεξεργασία με βάση τα στοιχεία που έχει η Αρχή στην διάθεσή της, vi. το γεγονός ότι από την εν λόγω επεξεργασία δεν προέκυψε οικονομική (υλική) ζημία με βάση τα στοιχεία που έχει η Αρχή στην διάθεσή της. Βάσει των ανωτέρω, η Αρχή αποφασίζει ομόφωνα ότι πρέπει να επιβληθούν στην Τράπεζα, υπό την ιδιότητα του υπευθύνου επεξεργασίας, οι αναφερόμενες στο διατακτικό διοικητικές κυρώσεις, οι οποίες κρίνονται ανάλογες με τη βαρύτητα των παραβάσεων. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ 3 Κατευθυντήριες Γραμμές 4/2022 σχετικά με τον υπολογισμό των διοικητικών προστίμων βάσει του ΓΚΠΔ 14 Διαπιστώνει ότι η καταγγελλόμενη Τράπεζα Πειραιώς Α.Ε., ως υπεύθυνος επεξεργασίας, παραβίασε τα άρθρα 5 παρ. 1 στοιχ. α΄ και δ’ και 6 παρ. 1 ΓΚΠΔ και επιβάλλει στην Τράπεζα Πειραιώς Α.Ε. κατ’ άρθρο 58 παρ. 2 στοιχ. θ’ ΓΚΠΔ το διοικητικό χρηματικό πρόστιμο ύψους πενήντα χιλιάδων (50.000,00) ευρώ. Ο Αναπληρωτής Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 15