Αθήνα, 23-11-2023 Αριθ. Πρωτ.: 2968 ΑΠΟΦΑΣΗ 36/2023 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση σε σύνθεση Τμήματος στην έδρα της την 08/11/2023, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Στη συνεδρίαση μετείχε μέσω τηλεδιάσκεψης ο Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής, Κωνσταντίνου Μενουδάκου, και παρέστησαν τα αναπληρωματικά μέλη Δημοσθένης Βουγιούκας και Μαρία Ψάλλα, ως εισηγήτρια σε αντικατάσταση των τακτικών μελών Κωνσταντίνου Λαμπρινουδάκη και Γρηγόριου Τσόλια οι οποίοι δεν παρέστησαν λόγω κωλύματος αν και κλήθηκαν νομίμως εγγράφως. Στη συνεδρίαση παρέστη, με εντολή του Προέδρου χωρίς δικαίωμα ψήφου, η Χάρις Συμεωνίδου, ειδική επιστήμονας – ελέγκτρια ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. H Αρχή έλαβε υπόψη τα παρακάτω: Με τη με αριθ. πρωτ. Γ/ΕΙΣ/7115/17-05-2022 καταγγελία του, ο A (στο εξής καταγγέλλων), στρέφεται κατά της Τράπεζας Alpha Bank (στο εξής καταγγελλόμενη), της οποίας τυγχάνει πελάτης, ως νόμιμος εκπρόσωπος της εταιρείας … Ο.Ε., καταγγέλλοντας τη μη ικανοποίηση δικαιώματος πρόσβασης σε προσωπικά του δεδομένα. Συγκεκριμένα, σύμφωνα με την καταγγελία, έπειτα από περιστατικό εξαπάτησης των εκπροσώπων της εν λόγω εταιρείας, οι οποίοι υπήρξαν θύματα ηλεκτρονικής απάτης, μέσω της οποίας μεταφέρθηκαν χρήματα από τον τραπεζικό Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr της λογαριασμό στις …, ο καταγγέλλων μετέβη στο κατάστημα Φ της καταγγελλόμενης Τράπεζας, όπου και ενημέρωσε την προϊσταμένη, Β για το ζήτημα. Ακολούθως, με την από … εξώδικη διαμαρτυρία του προς την καταγγελλόμενη Τράπεζα, η οποία επιδόθηκε στις …, ο καταγγέλλων, μεταξύ άλλων, άσκησε δικαίωμα πρόσβασης σε όλα τα αρχεία καταγραφής (log files) που τηρούσε η Τράπεζα σε σχέση με τη διάδραση της ομόρρυθμης εταιρείας τους με την ηλεκτρονική πλατφόρμα (web banking) την περίοδο …, και στο αντίγραφο του οπτικού υλικού από το σύστημα βιντεοεπιτήρησης (CCTV) του καταστήματος, στο οποίο είχε καταγραφεί η ανωτέρω επίσκεψη του καταγγέλλοντος στις …, σύμφωνα με το άρθρο 15 ΓΚΠΔ, ως φυσικό πρόσωπο – υποκείμενο των δεδομένων. Όπως προκύπτει από την ως άνω αρχική καταγγελία, με το από … μήνυμά της, η Τράπεζα ενημέρωσε τον καταγγέλλοντα ότι «λυπάται για την καθυστέρηση» και ότι η υπόθεσή του παραμένει υπό επεξεργασία, χωρίς όμως να τον ενημερώσει για την παράταση της προθεσμίας του άρθρου 12 παρ. 3 ΓΚΠΔ κατά ένα μήνα και για τους λόγους της καθυστέρησης. Στη συνέχεια, όπως ανέφερε ο καταγγέλλων στην Αρχή με τη με αριθ. πρωτ. Γ/ΕΙΣ/8311/27-06-2022 συμπληρωματική καταγγελία του, σε απάντηση του ανωτέρω αιτήματός του, έλαβε την από … απάντηση της καταγγελλόμενης Τράπεζας (Γ/ΕΙΣ/9370/05-08-2022), με την οποία η καταγγελλόμενη, αφού του χορήγησε τα ζητηθέντα αρχεία καταγραφής (log files), τον ενημέρωσε ότι το αίτημά του για παραλαβή αντιγράφου του βιντεοληπτικού υλικού δεν μπορεί να ικανοποιηθεί, διότι δεν τηρείτο πλέον στο αρχείο της λόγω παρέλευσης του χρόνου τήρησης. Σημειώνεται ότι με την από … εξώδικη διαμαρτυρία, ζητήθηκαν επιπλέον από την καταγγελλόμενη Τράπεζα μια σειρά από πληροφορίες σχετικά με την εκπόνηση μελέτης εκτίμησης αντικτύπου (άρθρο 35 ΓΚΠΔ), με τυχόν διαβούλευση με την Αρχή (άρθρο 36 ΓΚΠΔ), με τυχόν υποβολή γνωστοποίησης περιστατικού παραβίασης στην Αρχή (άρθρο 33 ΓΚΠΔ) και σχετικά με τα μέτρα ασφαλείας που εφαρμόζει η καταγγελλόμενη για τον εντοπισμό ύποπτων συναλλαγών, οι οποίες όμως δεν εμπίπτουν στις πληροφορίες που δικαιούται να λάβει το υποκείμενο στο πλαίσιο άσκησης δικαιώματος πρόσβασης σύμφωνα με το άρθρο 15 ΓΚΠΔ. Ακολούθως η Αρχή, στο πλαίσιο διερεύνησης των ανωτέρω καταγγελιών στο μέτρο που έχει αρμοδιότητα, με το Γ/ΕΞΕ/2425/30-09-2022 έγγραφο κοινοποίησε τα σχετικά έγγραφα στην καταγγελλόμενη Τράπεζα και την κάλεσε να εκθέσει τις απόψεις της επί των καταγγελλομένων, και συγκεκριμένα να διευκρινίσει ποιος είναι ο χρόνος τήρησης του βιντεοληπτικού υλικού από το σύστημα CCTV της καταγγελλόμενης και να προσκομίσει κάθε αναγκαίο στοιχείο τεκμηρίωσης, ιδίως τη σχετική Πολιτική Διατήρησης Δεδομένων της Τράπεζας καθώς και τη σχετική παρεχόμενη προς τα υποκείμενα ενημέρωση. Με την υπ’ αρ. πρωτ. Γ/ΕΙΣ/11065/17-10-2022 απάντησή της, η καταγγελλόμενη Τράπεζα απάντησε τα εξής: - Ότι, πράγματι, με την από … εξώδικη διαμαρτυρία και αίτημα πρόσβασης, η εταιρία … Ο.Ε. ζήτησε από την Τράπεζα, εκτός των άλλων, και «αντίγραφο του cctv της … μεταξύ … και … από το οποίο προκύπτει η επίσκεψη του νομίμου εκπροσώπου στο κατάστημα της Τράπεζας και η επικοινωνία με την Υπεύθυνη Λειτουργιών – Εργασιών (προϊσταμένη) του καταστήματος, Β». - Ότι, όπως σαφώς προκύπτει από το ως άνω αίτημα, ο σκοπός του αιτήματος πρόσβασης ήταν η απόδειξη της ως άνω επίσκεψης στο κατάστημα και η επικοινωνία με την προϊστάμενή του. - Ότι αυτός ο σκοπός επιτεύχθηκε, πέραν κάθε αμφιβολίας, με την από … επιστολή της Τράπεζας (σημ: επισυνάπτεται στην καταγγελία), την οποία παρέλαβε την ίδια ημέρα ο νόμιμος εκπρόσωπος της αιτούσας Ο.Ε., στην οποία αναφέρεται ότι «επιβεβαιώνουμε ότι στις … και περί τις … ο κ. Α επισκέφθηκε το Κατάστημα Φ (…) οπότε και ενημέρωσε την Υπεύθυνη Λειτουργιών – Εργασιών του Καταστήματος Β σχετικά με το ανωτέρω περιστατικό», δηλαδή την πρόσβαση τρίτου στο λογαριασμό της ως άνω εταιρίας, αφού οι απαραίτητοι προς τούτο κωδικοί διέρρευσαν, σύμφωνα με την εν λόγω απάντηση, από χειρισμούς του νόμιμου εκπροσώπου της εταιρίας. - Ότι η ως άνω απάντηση πράγματι εστάλη από την Τράπεζα και παραλήφθηκε από τον αιτούντα στις …, «λίγες ημέρες μετά την εκπνοή της προς τούτο προθεσμίας των 30 ημερών του Κανονισμού, την …, λόγω φόρτου εργασίας των λειτουργών της Τράπεζας». - Ότι, σύμφωνα με τη σχετική «ενημέρωση για την επεξεργασία δεδομένων εικόνας η οποία πραγματοποιείται μέσω κλειστών κυκλωμάτων παρακολούθησης» της Τράπεζας, την οποία η καταγγελλόμενη επισυνάπτει ως συν. 1, το υλικό βιντεοσκόπησης τηρείται για χρονικό διάστημα σαράντα πέντε
(45)ημερών με βάση και τη σχετική Οδηγία της Αρχής (1/2011, άρθρο 16). Συνεπώς, όπως αναφέρει η καταγγελλόμενη, «οι καταγραφές της …, αντίγραφο των οποίων ζητήθηκε στις … με εξώδικη διαμαρτυρία της εταιρίας, διαγράφηκαν την …, δηλαδή πριν εκπνεύσει η ως άνω προθεσμία απάντησης της Τράπεζας στις …». - Ότι, παρά ταύτα, η Τράπεζα διενήργησε όλες τις απαραίτητες εσωτερικές έρευνες για να τεκμηριώσει την ως άνω επίσκεψη του καταγγέλλοντος και ανταποκρίθηκε στο ουσιαστικό σκέλος, όπως αναφέρει, του αιτήματος του πελάτη της. - Ότι ουδεμία παραβίαση προσωπικών δεδομένων υπήρξε, ούτε και στοιχείων που αφορούν στο νομικό πρόσωπο της ομόρρυθμης εταιρείας. - Τέλος, η Τράπεζα σημειώνει ότι οι χρόνοι τήρησης των προσωπικών δεδομένων των πελατών της αναφέρονται στο Αρχείο Δραστηριοτήτων επεξεργασίας και στις σχετικές ενημερώσεις των πελατών, οι οποίες και τη δεσμεύουν, για την εφαρμογή τους δε έχει καταρτισθεί πολιτική καταστροφής των δεδομένων, την οποία επισυνάπτει ως συν. 2 («Πλαίσιο Κυβερνοασφάλειας και Ασφαλείας Πληροφοριών Ομίλου – Διαδικασία Καταστροφής Πληροφοριακών Πόρων), ενώ η πολιτική τήρησης αυτών, σύμφωνα με την καταγγελλόμενη, βρίσκεται σε στάδιο ολοκλήρωσης και προφανώς ακολουθεί τις ενημερώσεις. Σε συνέχεια των ανωτέρω, η Αρχή με τις Γ/ΕΞΕ/733/22-03-2023 και Γ/ΕΞΕ/735/2203-2023 κλήσεις αντίστοιχα, κάλεσε τον καταγγέλλοντα και την καταγγελλόμενη σε ακρόαση, μέσω τηλεδιάσκεψης, ενώπιον του Τμήματος της Αρχής στις 29/3/2023, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση. Κατά τη συνεδρίαση της 29/3/2023, η υπόθεση αναβλήθηκε κατόπιν αιτήματος της καταγγελλόμενης, για τη συνεδρίαση της 5/4/2023. Στη συνεδρίαση της 5/4/2023 παρέστησαν, μέσω τηλεδιάσκεψης, ο καταγγέλλων με τον πληρεξούσιο δικηγόρο του, Βασίλειο Σωτηρόπουλο (Α.Μ. ΔΣΑ …) και εκ μέρους της καταγγελλόμενης Τράπεζας, οι δικηγόροι Ιωάννης Μούργελας (ΑΜ ΔΣΑ …), ο Θεόδωρος Λάλιος (ΑΜ ΔΣΑ …), ενώ παρέστη και ο Γ, Υπεύθυνος Προστασίας Δεδομένων της Τράπεζας. Κατά την ακρόαση τα μέρη ανέπτυξαν τις απόψεις τους, έλαβαν προθεσμία και κατέθεσαν εμπρόθεσμα, ο μεν καταγγέλλων το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/3181/02-05-2023 υπόμνημα, η δε καταγγελλόμενη το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/3245/03-05-2023 υπόμνημα. Ο καταγγέλλων κατά την ακρόαση αρχικά αναφέρθηκε στο ευρύτερο πρόβλημα της ηλεκτρονικής απάτης φυσικών προσώπων και της υποκλοπής κωδικών μέσω ηλεκτρονικού ψαρέματος (“phishing”) σε συνέχεια των οποίων αφαιρούνται χρηματικά ποσά από τους τραπεζικούς τους λογαριασμούς. Όσον αφορά το εξεταζόμενο ζήτημα της μη ικανοποίησης του δικαιώματος πρόσβασής του στο καταγεγραμμένο υλικό από το σύστημα βιντεοεπιτήρησης (CCTV) της Τράπεζας, ο καταγγέλλων τόσο κατά την ακρόαση όσο και με το υπόμνημά του υποστήριξε ότι η καταγγελλόμενη Τράπεζα δεν ενήργησε εμπρόθεσμα, ως όφειλε, επί του αιτήματος, και μετά την άπρακτη πάροδο 54 ημερών αρνήθηκε να ικανοποιήσει το αίτημα, λόγω παρέλευσης του χρόνου τήρησης (45 ημερών σύμφωνα με την παρεχόμενη στην ιστοσελίδα της ενημέρωση). Επιπλέον, ο καταγγέλλων ανέφερε ότι σκοπίμως η καταγγελλόμενη δεν ικανοποίησε το αίτημά του προκειμένου να δυσχεράνει την άσκηση των εννόμων αξιώσεών του και σε κάθε περίπτωση η πρακτική που ακολουθεί δεν συνάδει με την ενημέρωση που δίνει στους πελάτες της». Με το υπόμνημά του ο καταγγέλλων επισημαίνει ότι η Τράπεζα συνομολόγησε το γεγονός ότι δεν ικανοποίησε εμπρόθεσμα το δικαίωμα πρόσβασης του υποκειμένου, ενώ επικαλείται το άρθρο 16 της Οδηγίας 1/2011 της Αρχής, σύμφωνα με το οποίο «αν κατά το χρονικό αυτό διάστημα (τήρησης του βιντεοληπτικού υλικού) καταγραφούν περιστατικά οργανωμένης οικονομικής απάτης ή αμφισβήτησης οικονομικής συναλλαγής, τα σχετικά τμήματα των δεδομένων του συστήματος βιντεοεπιτήρησης δύνανται να διατηρηθούν σε ξεχωριστό αρχείο με ανάλογα μέτρα ασφαλείας για όσο διάστημα απαιτείται για τη διερεύνηση ή την πειθαρχική ή δικαστική δίωξη των περιστατικών αυτών» και υποστηρίζει ότι η καταγγελλόμενη δεν τήρησε τη σχετική οδηγία της Αρχής για το «πάγωμα» των δεδομένων όταν έχει τελεστεί παράνομη πράξη, το οποίο, κατά τον καταγγέλλοντα αποτελεί υποχρέωση του υπευθύνου επεξεργασίας ως μέτρο ασφαλείας σύμφωνα με το άρθρο 32 ΓΚΠΔ. Επιπλέον ο καταγγέλλων επικαλείται τις αποφάσεις 47/2018, 32/2017 και 170/2014 με τις οποίες έχουν επιβληθεί στο παρελθόν κυρώσεις στην καταγγελλόμενη για παραβίαση ή καθυστέρηση στην ικανοποίηση του δικαιώματος πρόσβασης σε προσωπικά δεδομένα. Περαιτέρω, ο καταγγέλλων με το υπόμνημά του υποστηρίζει ότι κατ’ εξαίρεση ο ΓΚΠΔ εφαρμόζεται και στην περίπτωση νομικών προσώπων όταν πρόκειται για ομόρρυθμες εταιρείες, στην περίπτωση των οποίων κάθε πληροφορία που αφορά την εταιρεία αφορά κατ’ επέκταση και τους εταίρους ως φυσικά πρόσωπα, ισχυρισμός που προβάλλεται αλυσιτελώς εν προκειμένω, διότι πέραν του οπτικού υλικού από το σύστημα βιντεοεπιτήρησης, οι λοιπές ζητηθείσες πληροφορίες με το από … αίτημα του καταγγέλλοντος δεν εμπίπτουν στις πληροφορίες που δικαιούται να λάβει το υποκείμενο στο πλαίσιο άσκησης δικαιώματος πρόσβασης σύμφωνα με το άρθρο 15 ΓΚΠΔ, όπως προαναφέρθηκε. Σημειώνεται, εξάλλου, ότι τα ζητηθέντα αρχεία καταγραφής (log files) ενεργειών που είχαν πραγματοποιηθεί μέσω του εταιρικού λογαριασμού του καταγγέλλοντος στην ηλεκτρονική πλατφόρμα (web banking) χορηγήθηκαν από την καταγγελλόμενη Τράπεζα στον καταγγέλλοντα. Η καταγγελλόμενη Τράπεζα τόσο κατά την ακρόαση όσο και με το Γ/ΕΙΣ/3245/0305-2023 υπόμνημά της, επανέλαβε τους ως άνω ισχυρισμούς της και επιπλέον υποστήριξε τα εξής: - Ότι πράγματι, λόγω φόρτου εργασίας καθυστέρησε να απαντήσει εντός της προθεσμίας τριάντα
(30)ημερών, στο υποβληθέν στις … αίτημα πρόσβασης του καταγγέλλοντος και απάντησε σε αυτό στις …, με αποτέλεσμα η ζητηθείσα καταγραφή της … να έχει διαγραφεί την …, σύμφωνα με την πολιτική της για διατήρηση του βιντεοληπτικού υλικού για 45 ημέρες. Όμως, σύμφωνα με την καταγγελλόμενη Τράπεζα, ο σκοπός άσκησης του δικαιώματος ήταν η απόδειξη της επίσκεψης του καταγγέλλοντος στο κατάστημα Φ τη συγκεκριμένη ημέρα και ο σκοπός αυτός «ικανοποιήθηκε πλήρως» με την έγγραφη επιβεβαίωση της επίσκεψης αυτής και της συνομιλίας του καταγγέλλοντος με συγκεκριμένη λειτουργό του Καταστήματος μέσω της από … επιστολής της Τράπεζας. - Ότι σύμφωνα με τους Γενικούς Όρους Διενέργειας Τραπεζικών Συναλλαγών, τους οποίους προσκόμισε με το υπόμνημά της και τους οποίους έχει αποδεχθεί ο καταγγέλλων κατά τη σύναψη σύμβασης web banking, «ο Πελάτης αποδέχεται ότι κάθε συναλλαγή που εκτελείται μέσω των Εναλλακτικών Δικτύων κατόπιν προσβάσεως σε αυτά με χρήση των Προσωπικών Κωδικών Αναγνωρίσεως και εφόσον συντρέχει περίπτωση, και του πρόσθετου κωδικού ασφαλείας … θεωρείται από την Τράπεζα ως προερχόμενη και εγκεκριμένη από τον ίδιο» (παρ. 8.2.1) - Ότι ο καταγγέλλων και νόμιμος εκπρόσωπος της ομόρρυθμης εταιρείας …Ο.Ε., λόγω εξαπάτησής του στις …, παραπλανήθηκε και αποκάλυψε σε άγνωστο τρίτο τους κωδικούς πρόσβασης στην πλατφόρμα του e-banking της εν λόγω ομόρρυθμης εταιρείας, καθώς και τον πρόσθετο κωδικό ασφαλείας ΟΤΡ που έλαβε στο κινητό του, με αποτέλεσμα να εκτελεστεί η εντολή χρέωσης που ο άγνωστος τρίτος έδωσε στην τράπεζα κάνοντας χρήση των παραπάνω αναγνωριστικών, ενώ δεν σημειώθηκε περιστατικό ασφαλείας στα συστήματα της Τράπεζας ούτε περιστατικό παραβίασης προσωπικών δεδομένων. - Κατά την ακρόαση διευκρινίστηκε επίσης από την Τράπεζα ότι οι κωδικοί και τα λοιπά στοιχεία πρόσβασης ενός προσώπου στο e-banking χρησιμεύουν για την ταυτοποίησή του στο σύστημα και δεν οδηγούν σε αυτοματοποιημένη λήψη απόφασης ή κατάρτιση προφίλ με την έννοια του άρθρου 22 ΓΚΠΔ. Τέλος, η Τράπεζα αναφέρθηκε επιπλέον σε ζητήματα εκτός του εξεταζόμενου αντικειμένου της καταγγελίας, όπως οι πρακτικές που ακολουθεί όσον αφορά τη γενική ενημέρωση των πελατών της για την προστασία τους από τις ηλεκτρονικές απάτες και τον εντοπισμό ύποπτων συναλλαγών. Η Αρχή επιφυλάσσεται να εξετάσει αυτεπαγγέλτως κατά την κρίση της τυχόν ζητήματα τεχνικών και οργανωτικών μέτρων ασφάλειας της καταγγελλόμενης Τράπεζας, τα οποία αναφέρθηκαν παρεμπιπτόντως στο πλαίσιο της ακρόασης και τα οποία δεν αποτελούσαν αντικείμενο της καταγγελίας. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και αφού άκουσε την εισηγήτρια και τις διευκρινίσεις από τη βοηθό εισηγητή, η οποία παρέστη χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
- Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του Α κατά της Alpha Bank και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/
- Με το άρθρο 5 παρ. 1 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (εφεξής ΓΚΠΔ) τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία. Σύμφωνα με το άρθρο 5 παρ. 1 α) και στ) ΓΚΠΔ «
- Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), […]. Περαιτέρω, σύμφωνα με την αρχή της λογοδοσίας που ορίζεται ρητώς στην δεύτερη παράγραφο του ιδίου άρθρου και συνιστά ακρογωνιαίο λίθο του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Η αρχή αυτή συνεπάγεται την υποχρέωση του υπευθύνου επεξεργασίας να δύναται να αποδείξει συμμόρφωση με τις αρχές του άρθ. 5 παρ.
- Σύμφωνα με τον ορισμό του άρθρου 4 αρ. 2 ΓΚΠΔ, ως επεξεργασία νοείται «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση (…) η διαγραφή ή η καταστροφή» των δεδομένων. Περαιτέρω, κάθε πράξη επεξεργασίας για να είναι σύννομη πρέπει να στηρίζεται σε μία τουλάχιστον από τις νομικές βάσεις του άρθρου 6 ΓΚΠΔ.
- Σύμφωνα με τις διατάξεις του άρθρου 15 παρ. 1 και 3 ΓΚΠΔ: «
- Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα […].
- Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. Για επιπλέον αντίγραφα που ενδέχεται να ζητηθούν από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας μπορεί να επιβάλει την καταβολή εύλογου τέλους για διοικητικά έξοδα. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως». Επιπλέον, σύμφωνα με το άρθρο 12 παρ. 3 ΓΚΠΔ «Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα, η ενημέρωση παρέχεται, εάν είναι δυνατόν, με ηλεκτρονικά μέσα, εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό». Περαιτέρω, δεν έχει σημασία για ποιο σκοπό το υποκείμενο ασκεί το δικαίωμα πρόσβασης. Σύμφωνα με τη Νομολογία της Αρχής, ο ΓΚΠΔ δεν θέτει προϋποθέσεις για την άσκησή του, η οποία συνδέεται με τη δυνατότητα του υποκειμένου να έχει επίγνωση της επεξεργασίας και να επαληθεύει τη νομιμότητα της επεξεργασίας (ΑΠΔ 1/2022). Έτσι δεν απαιτείται η επίκληση των λόγων για τους οποίους το υποκείµενο των δεδοµένων επιθυµεί την άσκηση του δικαιώµατος πρόσβασης (βλ. αποφάσεις ΑΠΔ 36/2021, 2/2020 και 16/2017 σκ. 3). Το ίδιο επισημαίνεται εξάλλου και στις Κατευθυντήριες Γραμμές 1/2022 του ΕΣΠΔ για το δικαίωμα πρόσβασης, βλ. ιδίως παρ. §13: “….the aim of the right of access is not suitable to be analysed as a precondition for the exercise of the right of access by the controller as part of its assessment of access requests. Thus, controllers should not assess “why” the data subject is requesting access, but only “what” the data subject is requesting”.
- Σύμφωνα με το άρθρο 16 παρ. 2 της Οδηγίας 1/2011 της Αρχής σχετικά με τη Χρήση συστημάτων βιντεοεπιτήρησης για την προστασία προσώπων και αγαθών: «
- Οι τράπεζες και τα χρηματοπιστωτικά ιδρύματα δύνανται να διατηρούν τα δεδομένα για χρονικό διάστημα όχι μεγαλύτερο των σαράντα πέντε
(45)ημερών. Αν κατά το χρονικό αυτό διάστημα καταγραφούν περιστατικά οργανωμένης οικονομικής απάτης ή αμφισβήτησης οικονομικής συναλλαγής, τα σχετικά τμήματα των δεδομένων του συστήματος βιντεοεπιτήρησης δύναται να διατηρηθούν σε ξεχωριστό αρχείο με ανάλογα μέτρα ασφαλείας για όσο διάστημα απαιτείται για τη διερεύνηση και την πειθαρχική ή δικαστική δίωξη των περιστατικών αυτών».
- Στην προκειμένη περίπτωση, δεδομένων των ανωτέρω εκτιθέμενων πραγματικών περιστατικών, διαπιστώνεται ότι η καταγγελλόμενη Τράπεζα παρότι έλαβε στις … αίτημα του καταγγέλλοντος ως υποκειμένου για πρόσβαση στο καταγεγραμμένο στις … οπτικό υλικό από το σύστημα CCTV του Καταστήματος Φ πριν την πάροδο 45 ημερών από την καταγραφή, δηλαδή σε χρόνο κατά τον οποίο το υλικό ακόμα τηρείτο σύμφωνα με την πολιτική της Τράπεζας, στη συνέχεια προχώρησε στην καταστροφή του υλικού αυτού την … και απάντησε στον καταγγέλλοντα στις … (13 ημέρες μετά τη λήξη της 30ήμερης προθεσμίας του άρθρου 12 παρ. 3 ΓΚΠΔ) ότι το ζητηθέν υλικό είχε καταστραφεί βάσει της εν λόγω πολιτικής, ενώ ικανοποίησε το αίτημά του αναφορικά με τις καταγεγραμμένες προσβάσεις στο web banking (log files). Η δε έγγραφη επιβεβαίωση προς τον καταγγέλλοντα, με την ίδια επιστολή, ότι είχε πραγματοποιηθεί επίσκεψη στο κατάστημα στις … περί ώρα …, δεν συνιστά ικανοποίηση του κατά το άρθρο 15 παρ. 3 δικαιώματος πρόσβασης σε αντίγραφο των δεδομένων, λαμβάνοντας υπόψη και το ότι ο εικαζόμενος σκοπός του υποκειμένου για τον οποίο ασκείται το δικαίωμα δεν πρέπει να ενδιαφέρει τον υπεύθυνο επεξεργασίας1, ο οποίος οφείλει να το ικανοποιεί χωρίς να εξετάζει τα κίνητρα του υποκειμένου και δεν απαλλάσσεται από την υποχρέωση αυτή ανταποκρινόμενος κατ’ επιλογήν του «στο ουσιαστικό σκέλος του αιτήματος» του υποκειμένου. Ως εκ τούτου η καταγγελλόμενη τράπεζα παραβίασε τη διάταξη του άρθρου 15 παρ. 1 και παρ. 3 ΓΚΠΔ σε συνδυασμό με το άρθρο 12 παρ. 3 ΓΚΠΔ.
- Περαιτέρω, παρατηρείται ότι η διαγραφή ή καταστροφή (την …) του οπτικού υλικού CCTV που περιλάμβανε την καταγραφή της επίσκεψης του καταγγέλλοντος στις … μετά την άσκηση δικαιώματος πρόσβασης υποκειμένου ως πράξη επεξεργασίας δεδομένων έλαβε χώρα από την καταγγελλόμενη τράπεζα χωρίς να 1 Βλ. πρόσφατη απόφαση ΔΕΕ στην υπόθεση C-307/22 (Σκ. 43): «το υποκείμενο των δεδομένων δεν υποχρεούται να αιτιολογήσει το αίτημα πρόσβασης στα δεδομένα, η πρώτη περίοδος της αιτιολογικής σκέψης 63 δεν μπορεί να ερμηνευθεί υπό την έννοια ότι το αίτημα αυτό πρέπει να απορρίπτεται αν ο σκοπός του είναι διαφορετικός από εκείνον της γνώσης της επεξεργασίας των δεδομένων και της επαλήθευσης της νομιμότητάς της. Συγκεκριμένα, η ως άνω αιτιολογική σκέψη δεν μπορεί να περιορίσει το πεδίο εφαρμογής του άρθρου 15, παράγραφος 3, του ΓΚΠΔ» στηρίζεται σε κάποια από τις αναφερόμενες στο άρθρο 6 ΓΚΠΔ νομικές βάσεις επεξεργασίας, είχε δε ως αποτέλεσμα να καθίσταται αδύνατη η ικανοποίηση του ασκηθέντος δικαιώματος πρόσβασης. Ειδικότερα, εφόσον ασκηθεί δικαίωμα πρόσβασης από υποκείμενο των δεδομένων οποιαδήποτε στιγμή εντός του χρόνου τήρησης του οπτικού υλικού (45 ημερών), ο οποίος είναι γνωστός στα υποκείμενα των δεδομένων βάσει της σχετικής ενημέρωσης, η Τράπεζα, ως υπεύθυνος επεξεργασίας, αποκτά την υποχρέωση διατήρησης του σχετικού αποσπάσματος του οπτικού υλικού για τον απαιτούμενο χρόνο, ώστε να είναι σε θέση να ικανοποιήσει το ασκηθέν δικαίωμα πρόσβασης κατ’ άρθρο 15 ΓΚΠΔ. Κατά συνέπεια, μετά τη λήψη αιτήματος πρόσβασης σε προσωπικά δεδομένα, ο υπεύθυνος επεξεργασίας οφείλει να προβαίνει άμεσα στις αναγκαίες ενέργειες προς αποτροπή του κινδύνου επικείμενης προγραμματισμένης διαγραφής των δεδομένων αυτών, και τούτο ανεξαρτήτως της υποχρέωσής του να ενημερώσει το υποκείμενο για τις ενέργειές του «χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός» από την άσκηση του δικαιώματος πρόσβασης βάσει του άρθρου 12 παρ. 3 ΓΚΠΔ. Η δε διαγραφή των δεδομένων μετά την άσκηση δικαιώματος πρόσβασης σε αυτά, παραβιάζει την αρχή της νομιμότητας της επεξεργασίας (άρθρο 5 παρ. 1 α’ ΓΚΠΔ).
- Κατόπιν των ανωτέρω, από τα στοιχεία του φακέλου και κατόπιν της ακροαματικής διαδικασίας, η Αρχή διαπιστώνει εκ μέρους της καταγγελλόμενης Τράπεζας, ως υπεύθυνου επεξεργασίας, αφ’ ενός μεν παραβίαση του άρθρου 15 ΓΚΠΔ σε συνδυασμό με το άρθρο 12 παρ. 3 ΓΚΠΔ, διότι η καταγγελλόμενη δεν χορήγησε το αιτηθέν αντίγραφο του οπτικοακουστικού υλικού καταγραφής της επίσκεψης του καταγγέλλοντα στο Κατάστημα Φ στις … στον καταγγέλλοντα ως υποκείμενο των δεδομένων και δεν τον ενημέρωσε εντός μηνός από την παραλαβή του αιτήματος πρόσβασης για την παράταση της προθεσμίας και για τους λόγους της καθυστέρησης, αφ’ ετέρου δε παράβαση της αρχής της νομιμότητας της επεξεργασίας (άρθρο 5 παρ. 1 α’ ΓΚΠΔ σε συνδυασμό με το άρθρο 6 ΓΚΠΔ), λόγω της καταστροφής του αρχείου του ανωτέρω οπτικοακουστικού υλικού μετά την άσκηση δικαιώματος πρόσβασης του υποκειμένου και πριν αυτό χορηγηθεί στο υποκείμενο, με αποτέλεσμα να καταστήσει ανέφικτη την ικανοποίηση του δικαιώματος.
- Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις και ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ, τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς. Περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, την παράγραφο 5 εδ. α’ και β’ του ίδιου άρθρου που έχει εφαρμογή στην παρούσα υπόθεση, τις Κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679 που εκδόθηκαν στις 03-10-2017 από την Ομάδα Εργασίας του άρθρου 29 (WP 253) και τις Κατευθυντήριες γραμμές 04/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων για τον υπολογισμό των διοικητικών προστίμων στο πλαίσιο του Γενικού Κανονισμού, καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως: α) το γεγονός ότι η καταγγελλόμενη Τράπεζα παραβίασε την προβλεπόμενη από το άρθρο 5 παρ. 1 εδ. α’ ΓΚΠ∆ θεμελιώδη αρχή της νοµιµότητας, αντικειµενικότητας και διαφάνειας της επεξεργασίας, καθώς και τη διάταξη του άρθρου 15 ΓΚΠΔ, παραβάσεις που υπάγονται, σύμφωνα με τη διάταξη του άρθρου 83 παρ. 5 εδ. α’ και β’ ΓΚΠΔ, στην ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης διοικητικών προστίμων. β) Το γεγονός ότι η επεξεργασία που αφορά η παράβαση δεν σχετίζεται με τη βασική δραστηριότητα της καταγγελλόμενης Τράπεζας. γ) Το γεγονός ότι η παράβαση είναι μεμονωμένη, χαμηλής βαρύτητας και αφορά ένα φυσικό πρόσωπο. δ) Το γεγονός ότι η παράβαση οφείλεται σε υπαιτιότητα της καταγγελλόμενης, η οποία δεν χειρίστηκε το αίτημα εμπρόθεσμα (παραβιάζοντας έτσι και τη διάταξη του άρθρου 12 παρ. 3 ΓΚΠΔ) και ότι ο επικαλούμενος λόγος (φόρτος εργασίας) καταδεικνύει αμέλεια. Άλλωστε, η Τράπεζα, ως υπεύθυνος επεξεργασίας μεγάλου όγκου προσωπικών δεδομένων, οφείλει να διαθέτει τις κατάλληλες διαδικασίες και μηχανισμούς για τον έγκαιρο χειρισμό των αιτημάτων των υποκειμένων των δεδομένων για την άσκηση των δικαιωμάτων τους εκ του ΓΚΠΔ, όπως έχει επισημάνει και το ΕΣΠΔ στις Κατευθυντήριες Γραμμές 01/2022 για το δικαίωμα πρόσβασης.2 ε) Το γεγονός ότι πάντως η καταγγελλόμενη, ως υπεύθυνος επεξεργασίας, προέβη σε ενέργειες για τον περιορισμό των δυσμενών συνεπειών της παράβασης στο υποκείμενο των δεδομένων, με την από … επιστολή, μέσω της οποίας επιβεβαιώθηκε η ημερομηνία και ώρα της επίσκεψης του καταγγέλλοντος στο συγκεκριμένο κατάστημα, ενώ δεν προέκυψε ότι η μη χορήγηση του οπτικού υλικού προκάλεσε περαιτέρω ζημία στον υποκείμενο. στ) Το γεγονός ότι στο παρελθόν έχουν επιβληθεί στην ίδια Τράπεζα κυρώσεις για μη ικανοποίηση δικαιώματος πρόσβασης (βλ. Αποφάσεις 47/2018, 170/2014). Βάσει των ανωτέρω, η Αρχή αποφασίζει ομόφωνα ότι πρέπει να επιβληθεί στην καταγγελλόμενη ΑΛΦΑ ΤΡΑΠΕΖΑ Α.Ε. ως υπεύθυνη επεξεργασίας, η αναφερόμενη στο διατακτικό διοικητική κύρωση, η οποία κρίνεται ανάλογη με τη βαρύτητα των παραβάσεων. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ Επιβάλλει στην ΑΛΦΑ ΤΡΑΠΕΖΑ Α.Ε. διοικητικό πρόστιμο ύψους δέκα χιλιάδων (10.000 €) ευρώ για τη μη ικανοποίηση του δικαιώματος πρόσβασης του καταγγέλλοντος σε προσωπικά του δεδομένα κατά παράβαση των διατάξεων των άρθρων 15 παρ. 1 και 3 ΓΚΠΔ και 12 παρ. 3 ΓΚΠΔ και για την κατά παράβαση των διατάξεων του άρθρου 5 παρ. 1 α’ ΓΚΠΔ διαγραφή των δεδομένων αυτών. Ο Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 2 “Nevertheless, a controller, especially one who handles a large quantity of data, should have procedures and mechanisms in place in order to be able to handle requests within the time limit under normal circumstances.” (EDPB Guidelines Guidelines 01/2022 on data subject rights - Right of access Version 2.0, §164)