Επιβολή προστίμου στην Alpha Bank για παράνομη και αδιαφανή επεξεργασία δεδομένων

(10)ΓΚΠΔ. Ειδικότερα, η Τράπεζα ισχυρίστηκε ότι «ο κ. Β, ως Διευθυντής του καταστήματος της Τράπεζας στην [περιοχή] Υ από … έως και …, κατ’ εντολή, για λογαριασμό του νομικού προσώπου της Τράπεζας και υπό την άμεση εποπτεία της επεξεργαζόταν προσωπικά δεδομένα των πελατών της, συμπεριλαμβανομένου του καταγγέλλοντος, οπότε γνώριζε, ήδη πριν από τη χορήγηση της από … Αναγγελίας Λειτουργικού Κινδύνου σε αυτόν, τα στοιχεία του λογαριασμού που τηρεί ο καταγγέλλων στο εν λόγω κατάστημα και γενικά όλες τις πτυχές της συμβατικής και συναλλακτικής σχέσης του με αυτό και ως εκ τούτου δεν λογίζεται ως τρίτος για την Τράπεζα». Συνεπώς, κατά την καταγγελλόμενη, στην περίπτωση της υπό κρίση επεξεργασίας (διαβίβαση του εγγράφου στον κ. Β) πρόκειται για «διακίνηση εσωτερικού εγγράφου της Τράπεζας μεταξύ υπηρεσιών άμεσα εμπλεκόμενων με το περιεχόμενό του, ήτοι, των στελεχών της Τράπεζας που διερευνούν γεγονότα λειτουργικού κινδύνου και του Διευθυντή του καταστήματος στο οποίο κατά τους ισχυρισμούς του καταγγέλλοντος, έλαβε χώρα το διερευνώμενο γεγονός». Με βάση τους ως άνω ισχυρισμούς, η καταγγελλόμενη υποστήριξε ότι η χορήγηση του εν λόγω εγγράφου στον κ. Β πραγματοποιήθηκε νόμιμα, για την υπεράσπιση των εννόμων συμφερόντων της ιδίας και του ως άνω στελέχους της, τα οποία είναι αναμφίβολα υπέρτερα των ελευθεριών και δικαιωμάτων του καταγγέλλοντος, σύμφωνα με το ενωσιακό και το εθνικό δίκαιο. Περαιτέρω, η καταγγελλόμενη Τράπεζα, με το απαντητικό της έγγραφο υποστηρίζει ότι, ακόμα και αν ο κ. Β θεωρείτο τρίτος, το έννομο συμφέρον του να λάβει το από … έγγραφο Αναγγελίας Λειτουργικού Κινδύνου για σκοπούς δικαστικής προστασίας, υπερέχει των δικαιωμάτων του καταγγέλλοντος σύμφωνα με την ανωτέρω ανάλυση, δεδομένου ότι αυτή η υπεροχή, συντρέχει, σύμφωνα με σχετικές αποφάσεις της Αρχής, «ιδίως, όταν η χορήγηση προσωπικών δεδομένων είναι αναγκαία για την αναγνώριση, άσκηση ή υπεράσπιση δικαιώματος ενώπιον δικαστηρίου», ενώ επισημαίνει ότι το έγγραφο της Αναγγελίας Λειτουργικού Κινδύνου, παρ’ όλο που εμπεριέχει προσωπικά δεδομένα του καταγγέλλοντος, έχει τον χαρακτήρα «αμιγώς εσωτερικού εγγράφου της Τράπεζας, καθώς καταγράφει γεγονότα και συμβάντα που αφορούν στην Τράπεζα και στη λειτουργία αυτής, επομένως δεν γνωστοποιείται σε τρίτα πρόσωπα». Περαιτέρω, όσον αφορά τον ισχυρισμό του καταγγέλλοντος ότι η Τράπεζα δεν ικανοποίησε αντίστοιχο αίτημά του για χορήγηση εγγράφου, το οποίο πιστεύει ότι είχε έννομο συμφέρον να λάβει, για την απόδειξη των ισχυρισμών του στη μήνυση που έχει υποβάλει κατά του κ. Β, η καταγγελλόμενη αναφέρει ότι το έγγραφο που ζήτησε στις … από την Τράπεζα ο καταγγέλλων (έγγραφο από το οποίο προκύπτει ότι ο κ. Β ανέθεσε την αρμοδιότητα εποπτείας θυρίδων στην υπάλληλο του καταστήματος [περιοχής] Υ κ. Δ στις …) αποτελεί «εσωτερικό έγγραφο, καθώς αποτυπώνει εσωτερικές διαδικασίες της τράπεζας» και ως τέτοιο δεν χορηγήθηκε στον καταγγέλλοντα, ενώ ούτε έννομο συμφέρον του πελάτη υφίστατο για τη χορήγησή του, καθώς αυτό αφορά σε γεγονότα μεταγενέστερα της υπεξαίρεσης που ο καταγγέλλων ισχυριζόταν ότι έγινε την …, και ως εκ τούτου ουδεμία χρησιμότητα θα είχε αυτό για την υπεράσπιση των νομικών αξιώσεών του. Σημειώνεται ότι η καταγγελλόμενη Τράπεζα δεν απάντησε στο ερώτημα της Αρχής σχετικά με την ενημέρωση του καταγγέλλοντος κατά τα άρθρα 13 και 14 ΓΚΠΔ και δεν έλαβε θέση ως προς το αν, κατά τη γνώμη της, είχε τέτοια υποχρέωση. Κατόπιν σχετικού αιτήματος του καταγγέλλοντος, η Αρχή τού χορήγησε αντίγραφο του εγγράφου με τις απόψεις της καταγγελλόμενης (Γ/ΕΞ/1244/18-052021 διαβιβαστικό). Ακολούθως ο καταγγέλλων, με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/3269/1905-2021 έγγραφό του, ο καταγγέλλων υποστήριξε προς την Αρχή τα εξής: α) Ότι επί της από … με αριθμό κατάθεσης … αγωγής του ενώπιον του Πολυμελούς Πρωτοδικείου [περιοχής] Φ, κατά της καταγγελλόμενης Τράπεζας και του Β, για επιδίκαση αποζημίωσης λόγω της εις βάρος του υπεξαίρεσης ποσού … ευρώ, εκδόθηκε η με αριθμό … οριστική απόφαση του εν λόγω Δικαστηρίου, την οποία ο καταγγέλλων προσκομίζει στην Αρχή, και η οποία έκανε εν μέρει δεκτή την αγωγή του, επιδικάζοντας στον καταγγέλλοντα αποζημίωση ύψους … ευρώ και χρηματική ικανοποίηση λόγω ηθικής βλάβης ύψους … ευρώ. β) Ότι το ιστορικό της διαφοράς του με την καταγγελλόμενη Τράπεζα, όπως αποδείχθηκε και στο πλαίσιο της ανωτέρω αγωγής του διαφέρει από τα εκτιθέμενα στην Αναγγελία Λειτουργικού Κινδύνου, αμφισβητώντας έτσι τα πραγματικά περιστατικά που περιγράφονται στο επίμαχο έγγραφο. γ) Ότι και η ίδια η καταγγελλόμενη Τράπεζα επιβεβαιώνει ότι τα συμφέροντά της ταυτίζονται με αυτά του κ. Β, παρότι ο τελευταίος δεν ήταν Διευθυντής του Καταστήματος [περιοχής] Υ ήδη από τις … αλλά εργαζόταν σε άλλο υποκατάστημα της Τράπεζας, με συνέπεια να μην είναι μόνο και μόνο εκ της ιδιότητάς του -όπως υποστηρίζει η Τράπεζα- σε θέση να γνωρίζει τη ύπαρξη του εν λόγω εγγράφου, που συντάχθηκε την …, ήτοι μετά από .. έτη, κατά τα οποία κανένας δεσμός ή σχέση εξάρτησης τον συνέδεε με το Κατάστημα της [περιοχής] Υ. Έτσι δεν είναι σαφές πώς ενημερώθηκε για την ύπαρξη του εν λόγω εγγράφου, ώστε να αιτηθεί τη χορήγησή του με το από … αίτημά του προς την τότε Διεύθυνση Καταστημάτων Χ. δ) Ότι με τον παραπάνω ισχυρισμό της, η Τράπεζα ουσιαστικά υποστηρίζει ότι ο Διευθυντής οποιουδήποτε καταστήματός της, ή/και οποιοσδήποτε υπάλληλος διετέλεσε για κάποιο χρονικό διάστημα Υποδιευθυντής σε συγκεκριμένο κατάστημά της, είναι σε θέση να γνωρίζει ανά πάσα στιγμή, ακόμα και μετά τη λήξη των καθηκόντων του στο συγκεκριμένο κατάστημα, πληροφορίες λογαριασμού των πελατών του εν λόγω καταστήματος και όλες τις πτυχές των συναλλακτικών σχέσεων των πελατών με αυτό, τα ποσά που καταθέτει και τις αναγγελίες λειτουργικού κινδύνου που μπορεί να λάβουν χώρα στο κατάστημα. ε) Ότι ο ισχυρισμός της Τράπεζας πως, ακόμα και αν θεωρηθεί τρίτος ο κ. Β, είχε υπέρτερο έννομο συμφέρον για να του χορηγηθεί το επίμαχο έγγραφο, αντιφάσκει με τον έτερο ισχυρισμό της ότι πρόκειται για εσωτερικό έγγραφό της που δεν κοινοποιείται σε τρίτους, αλλά και με την απάντηση που η καταγγελλόμενη έδωσε στον ίδιο τον καταγγέλλοντα: Συγκεκριμένα, με την από (σημ.: πιθανότατα εννοεί …) αίτησή του, ο καταγγέλλων ζήτησε να του χορηγηθεί αντίγραφο εγγράφου από το οποίο προέκυπτε ότι ο κ. Β (κατά τον χρόνο που ήταν Διευθυντής του Καταστήματος [περιοχής] Υ), ανέθεσε την αρμοδιότητα εποπτείας των θυρίδων στην κ. Δ την …, από το οποίο, κατά τον καταγγέλλοντα, προκύπτει ποιος υπάλληλος ήταν αρμόδιος για την επίβλεψη των θυρίδων και συνεπώς είχε έννομο συμφέρον να λάβει γνώση αυτού, προς το σκοπό της θεμελίωσης, άσκησης και υποστήριξης της έγκλησης κατά του κ. Β για το αδίκημα της κακουργηματικής υπεξαίρεσης λόγω της ιδιότητάς του ως εντολοδόχου (για το οποίο μάλιστα ο τελευταίος παραπέμφθηκε ενώπιον του Τριμελούς Εφετείου Κακουργημάτων Ψ). Η καταγγελλόμενη αρνήθηκε να χορηγήσει το έγγραφο αυτό στον καταγγέλλοντα, με την αιτιολογία ότι «τα έγγραφα τα οποία αποτυπώνουν εσωτερικές διαδικασίες της Τραπέζης δεν δύναται να χορηγηθούν στον οιονδήποτε τρίτο». Παρά ταύτα, η Τράπεζα ένα χρόνο αργότερα χορήγησε στον αντίδικό του την από … Αναγγελία Γεγονότος Λειτουργικού Κινδύνου, αν και αποτελεί κατά την ίδια «εσωτερικό έγγραφο που δεν χορηγείται σε τρίτους». στ) Τέλος, ότι η καταγγελλόμενη όφειλε να τον έχει ενημερώσει προ της διαβίβασης του επίμαχου εγγράφου στον αντίδικό του κ. Β, όπως θα όφειλε να τον έχει ενημερώσει και πριν τη δικαστική χρήση του εν λόγω εγγράφου ακόμα και από την ίδια την Τράπεζα, ως αντίδικό του, σύμφωνα με το άρθρο 13 παρ. 3 ΓΚΠΔ (ενημέρωση πριν την περαιτέρω επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπό άλλο από εκείνο για τον οποίο συλλέχθηκαν), επικαλούμενος και την απόφαση 16/2019 της Αρχής, και ισχυριζόμενος ότι ο σκοπός αυτός επεξεργασίας είναι άλλος από τον αρχικό σκοπό της συλλογής. Έτσι ο καταγγέλλων καταλήγει στο συμπέρασμα ότι η Τράπεζα παρανόμως διαβίβασε στον αντίδικό του την από … Αναγγελία Γεγονότος Λειτουργικού Κινδύνου, στην οποία περιλαμβάνονται προσωπικά του δεδομένα (ήτοι στοιχεία για τα ταμειακά του διαθέσιμα, τα χρήματα που είχε στη θυρίδα του, τα χρήματα που εξήγαγε από τη θυρίδα του, τα χρήματα που κατέθεσε σε μετρητά, που ήταν μεγάλα χρηματικά ποσά), με αποτέλεσμα να καθίσταται υπέρτερο το συμφέρον του καταγγέλλοντος, ως υποκειμένου των προσωπικών δεδομένων που εμπεριέχονται στο εν λόγω έγγραφο, να μην χορηγηθούν σε τρίτους, δεδομένου ότι δεν παρείχε τη συγκατάθεσή του, δεν ενημερώθηκε πριν τη διαβίβαση ούτε κοινοποιήθηκε στον ίδιο το εν λόγω έγγραφο, για να ενημερωθεί έστω για την ύπαρξή του, ενώ έλαβε γνώση του εγγράφου στο πλαίσιο αγωγής του αντιδίκου του. Δεδομένων των ανωτέρω, η Αρχή, με τις υπ’ αρ. πρωτ. Γ/ΕΞΕ/456/16-02-2022 και Γ/ΕΞΕ/455/16-02-2022 κλήσεις κάλεσε τους εμπλεκόμενους σε ακρόαση ενώπιον του Τμήματος της Αρχής μέσω τηλεδιάσκεψης στις 02-03-2022, προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση. Κατά τη συνεδρίαση της 02-03-2022 παρέστησαν μέσω τηλεδιάσκεψης ο καταγγέλλων με τον πληρεξούσιο δικηγόρο του, Χρήστο Δεμερούκα (Α.Μ. …) και για λογαριασμό της καταγγελλόμενης Τράπεζας, δικηγόροι Ιωάννης Μούργελας με ΑΜ …, η Κωνσταντίνα Σπουρλή με ΑΜ … και ο ΣΤ, Υπεύθυνος Προστασίας Δεδομένων της Τράπεζας. Κατά την ακρόαση τα μέρη ανέπτυξαν τις απόψεις τους, έλαβαν προθεσμία και κατέθεσαν εμπρόθεσμα, ο μεν καταγγέλλων το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/4594/17-03-2022 υπόμνημα, η δε καταγγελλόμενη το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/4741/18-03-2022 υπόμνημα. Ο καταγγέλλων, τόσο κατά την ακρόαση όσο και με το υπόμνημά του υποστήριξε ότι παρανόμως η Τράπεζα δεν τον ενημέρωσε πριν χορηγήσει το έγγραφο στον αντίδικό του κ. Β και ότι το από … σχετικό γενικό αίτημα του αντιδίκου του προς την Τράπεζα («Παρακαλώ όπως μου χορηγήσετε αντίγραφα δελτίων αναγγελίας λειτουργικού κινδύνου, βιβλίου συμβάντων καθώς και βιντεοληπτικού υλικού τα οποία αφορούν στον κ. Α και τα οποία σχετίζονται έμμεσα ή άμεσα με την υπόθεση στην οποία με εμπλέκει ο ανωτέρω με την ανυπόστατη κατηγορία…») είναι κατασκευασμένο εκ των υστέρων (μετά την υποβολή της καταγγελίας εκ μέρους του), αφού δεν έχει πρωτοκολληθεί, γεγονός που αποδεικνύει ότι ο κ. Β είχε λάβει εσωτερική πληροφόρηση για την ύπαρξη του επίμαχου εγγράφου, ενώ είχε παύσει από το … να είναι διευθυντής του καταστήματος [περιοχής] Υ, και ότι το έγγραφο του χορηγήθηκε χωρίς να έχει υποβληθεί οποιοδήποτε αίτημα. Περαιτέρω, επισημαίνει ότι δεν γνωρίζει εάν η Τράπεζα έχει χορηγήσει και άλλα προσωπικά δεδομένα του στον κ. Β, σε απάντηση του ως άνω αιτήματος και ότι εάν συνέβη αυτό εν αγνοία του, πρόκειται για ακόμη μια κατάφωρη παραβίαση των δικαιωμάτων του ως υποκειμένου. Επιπλέον, ο καταγγέλλων διερωτάται εάν είναι σύνηθες μια τράπεζα να καταγράφει ως γεγονός λειτουργικού κινδύνου το γεγονός ότι κάποιος πελάτης της «μονολογούσε» σχετικά με το περιεχόμενο της θυρίδας του, αναφέροντας μάλιστα και συγκεκριμένα ποσά (σύμφωνα με το υπό κρίση έγγραφο, ο καταγγέλλων «μονολογούσε ότι κάποιος του έβαλε στην θυρίδα … ευρώ και επικοινώνησε στο κινητό του τηλέφωνο για λίγα λεπτά λέγοντας ότι τα χρήματα είναι … ευρώ παραπάνω»), καθώς και ποιος είναι ο κίνδυνος που θα έπρεπε να αναγγελθεί εν προκειμένω από την Τράπεζα. Ο καταγγέλλων τονίζει ότι η Τράπεζα αρνείται επανειλημμένως να του χορηγήσει έγγραφα που έχει έννομο συμφέρον να λάβει και τα οποία μάλιστα δεν περιλαμβάνουν προσωπικά δεδομένα «τέτοιου είδους», όπως το έγγραφο από το οποίο προκύπτει η ανάθεση καθηκόντων θυρίδων στην κ. Δ στις … (σύμφωνα με την ένορκη κατάθεση της τελευταίας) και το οποίο η Τράπεζα θεωρεί «εσωτερικό έγγραφο, που αποτυπώνει εσωτερικές διαδικασίες της και δεν μπορεί να χορηγηθεί σε οποιονδήποτε τρίτο». Κατά τον καταγγέλλοντα, αυτή η στάση της Τράπεζας έρχεται σε αντίφαση με τη χορήγηση του επίμαχου εγγράφου στον αντίδικό του, διότι, κατά την άποψή του, και ο κ. Β είναι εξίσου «οποιοσδήποτε τρίτος» για την Τράπεζα, όσο και ο ίδιος ο καταγγέλλων. Ο καταγγέλλων στο πλαίσιο της ακρόασης ανέφερε ότι η αγωγή αποζημίωσής του κατά του κ. Β έγινε δεκτή σε πρώτο βαθμό και εκκρεμεί η εκδίκαση της έφεσης, ενώ έχει υποβάλει και έγκληση για υπεξαίρεση που επίσης εκκρεμεί, και με το υπόμνημά του εξιστορεί εκ νέου τι συνέβη στις …. Τέλος, τόνισε ότι η Τράπεζα δεν έχει απαντήσει σχετικά με τη νομική βάση της διαβίβασης του εγγράφου στον αντίδικό του και, σε περίπτωση που η επεξεργασία βασίστηκε στο άρθρο 6 παρ. 1 στ’ ΓΚΠΔ, ποια είναι εν προκειμένω τα έννομα συμφέροντα που επιδιώκονται, ώστε να κριθεί εάν υπερτερούν έναντι των δικών του. Η καταγγελλόμενη Τράπεζα κατά την ακρόαση υποστήριξε τα εξής: - Ότι υπάρχουν διαδικασίες σύμφωνα με τις οποίες οποιοδήποτε γεγονός αποτελεί λειτουργικό κίνδυνο πρέπει να καταγράφεται για να αποφευχθεί στο μέλλον. Στο πλαίσιο αυτό ζητήθηκε από την Τράπεζα να προσκομίσει με το υπόμνημά της τη σχετική Πολιτική και τις διαδικασίες διαχείρισης λειτουργικών κινδύνων, από την οποία να προκύπτει η έννοια του λειτουργικού κινδύνου, οι όροι των σχετικών καταγραφών (όπως π.χ. εάν καταγράφονται πάντα οι κινήσεις και δραστηριότητες όλων των πελατών στα καταστήματα) καθώς και οι οδηγίες που έχουν δοθεί στους υπαλλήλους. - Ότι ο Διευθυντής του Καταστήματος εκπροσωπεί την Τράπεζα, επομένως οποιαδήποτε κατηγορία εναντίον της Τράπεζας ή εναντίον του Διευθυντή της απευθύνεται εκ των πραγμάτων και στους δύο και είναι ομόδικοι, συνεπώς έχουν ενιαίο έννομο συμφέρον, την προάσπιση των δικαιωμάτων της Τράπεζας και του Διευθυντή της. - Ότι εν προκειμένω ο κ. Β ζήτησε να του δοθούν από την Τράπεζα όλες οι Αναγγελίες Λειτουργικού Κινδύνου που είχαν συνταχθεί στο πλαίσιο της υπό κρίση υπόθεσης, οι οποίες ήταν δεκάδες. Νομική βάση δε για την εν λόγω διαβίβαση συνιστά, κατά την Τράπεζα, το υπέρτερο έννομο συμφέρον του υπεύθυνου επεξεργασίας (ήτοι της Τράπεζας) στη δικαστική προστασία, αλλά και του Διευθυντή που δεν είναι τρίτος εν προκειμένω με την έννοια του ορισμού του άρθρου 4 αρ. 10 ΓΚΠΔ, διότι ενεργεί υπό την εποπτεία της Τράπεζας. Προς επίρρωση του ισχυρισμού της η Τράπεζα επικαλέστηκε τις αποφάσεις 149/2013 και 153/2013 της Αρχής. - Ότι αυτό που ζήτησε ο καταγγέλλων ήταν το αίτημα του κ. Β (αντιδίκου του) για να του χορηγηθούν όλα τα έγγραφα της Τράπεζας που σχετίζονται με την υπόθεση, ωστόσο η Τράπεζα αρνήθηκε κατόπιν στάθμισης των συγκρουόμενων εννόμων συμφερόντων, διότι έκρινε ότι ο καταγγέλλων έχει ήδη δημοσιοποιήσει τα δεδομένα του στο πλαίσιο της δίκης. Απαντώντας στον ισχυρισμό του καταγγέλλοντος, ότι η εν λόγω «δημοσιοποίηση» είχε λάβει χώρα στο πλαίσιο προσωπικής αγωγής του κ. Β εναντίον του για συκοφαντική δυσφήμηση, η Τράπεζα υποστήριξε ότι πρόκειται για την ίδια, ενιαία υπόθεση, η οποία αποτελείται από πολλά διαφορετικά δικόγραφα. - Απαντώντας σε ερώτημα του Εισηγητή σχετικά με το λόγο για τον οποίο δεν ενημερώθηκε ο καταγγέλλων για τη σύνταξη της Αναγγελίας Γεγονότος Λειτουργικού Κινδύνου, ο εκπρόσωπος της Τράπεζας δήλωσε ότι η καταγραφή περιστατικών που στοχεύουν στη βελτίωση των διαδικασιών της Τράπεζας δεν αποτελεί συλλογή προσωπικών δεδομένων, ενώ ο καταγγέλλων ήταν παρών στις … κατά τη σύνταξη του εγγράφου, συνεπώς η Τράπεζα δεν ήταν υποχρεωμένη να τον ενημερώσει. Για το λόγο αυτό ζητήθηκε από την Τράπεζα με το υπόμνημά της να προσκομίσει τη γενική Ενημέρωση των πελατών της Τράπεζας για την επεξεργασία των δεδομένων τους, ως υποκειμένων κατά το άρθρο 13 ΓΚΠΔ. - Απαντώντας σε ερώτημα του Εισηγητή σχετικά με το λόγο για τον οποίο δεν ενημερώθηκε ο καταγγέλλων για τη διαβίβαση της ως άνω Αναγγελίας στον αντίδικό του, ώστε να έχει ενδεχομένως και τη δυνατότητα να εναντιωθεί σε αυτή κατά το άρθρο 21 ΓΚΠΔ, η Τράπεζα απάντησε ότι δεν υφίσταται δικαίωμα εναντίωσης στην περίπτωση που νομική βάση είναι τα υπέρτερα έννομα συμφέροντα που σχετίζονται με την υποστήριξη νομικών αξιώσεων. Στο πλαίσιο αυτό ζητήθηκε από την Τράπεζα να προσκομίσει με το υπόμνημά της την Πολιτική πρόσβασης στα προσωπικά δεδομένα από υποκείμενα και τρίτους. - Επιπλέον ζητήθηκε από την Τράπεζα με το υπόμνημά της να διευκρινίσει ποιος είναι ο ακριβής σκοπός και η νομική βάση της επεξεργασίας προσωπικών δεδομένων στο πλαίσιο της καταγραφής γεγονότων λειτουργικού κινδύνου, καθώς και αν η διαβίβαση που έγινε εμπίπτει στον ίδιο σκοπό ή αποτελεί περαιτέρω σκοπό επεξεργασίας, αντίγραφο του αρχείου δραστηριοτήτων επεξεργασίας της Τράπεζας κατά το άρθρο 30 ΓΚΠΔ, και αντίγραφο της αίτησης του κ. Β για τη χορήγηση εγγράφων ή το έγγραφο που προσκομίστηκε σε δικαστήριο και την απάντηση της Τράπεζας από την οποία προκύπτει τι χορηγήθηκε τελικά. Με το Γ/ΕΙΣ/4741/18-03-2022 υπόμνημά της η Τράπεζα κατ’ αρχάς τόνισε ότι τα πραγματικά περιστατικά της υπόθεσης δεν έχουν τελεσίδικα κριθεί ακόμα και δεν αφορούν τη διαδικασία ενώπιον της Αρχής. Όσον αφορά την παρακολούθηση Γεγονότων Λειτουργικού Κινδύνου, η Τράπεζα υποστήριξε ότι, σύμφωνα με την Τράπεζα της Ελλάδος, εποπτική αρχή των πιστωτικών ιδρυμάτων και μέλος του συστήματος κεντρικών τραπεζών των κρατών μελών της ζώνης του ευρώ (Ευρωσύστημα), η παρακολούθηση των γεγονότων λειτουργικού κινδύνου αποτελεί βασική αρχή της οργανωτικής δομής των τραπεζών και κατ’ ακολουθία σημαντικό κριτήριο για την αξιολόγησή τους. Συγκεκριμένα, στο σύστημα εσωτερικού ελέγχου κάθε τράπεζας πρέπει να περιλαμβάνονται έλεγχοι: της συνέπειας της εφαρμογής των διαδικασιών, των ποσοτικών και ποιοτικών επιπτώσεων από παραβιάσεις των κανόνων ασφαλείας, και της ύπαρξης μηχανισμών άμεσης αναθεώρησης των διαδικασιών για την αντιμετώπιση των αδυναμιών που διαπιστώνονται. 1 Δηλαδή πρέπει να ελέγχεται η αντιμετώπιση των λειτουργικών κινδύνων που προκύπτουν από τη μη συνεπή εφαρμογή των διαδικασιών, η παράλειψη της μελέτης των επιπτώσεων από παραβιάσεις της ασφάλειας και η ανυπαρξία μηχανισμών προσαρμογής των διαδικασιών, ώστε να αποτρέπεται η επανεμφάνιση των ιδίων κινδύνων στο μέλλον. Σύμφωνα με την ΤτΕ, κάθε πιστωτικό ίδρυμα οφείλει να διαθέτει πολιτική και ανεξάρτητη, εξειδικευμένη λειτουργία διαχείρισης «για όλες τις μορφές των κινδύνων, περιλαμβανομένου του λειτουργικού» και διαδικασίες συστηματικής καταγραφής των σχετικών γεγονότων που δημιουργούν λειτουργικό κίνδυνο και ενημέρωσης των αρμόδιων υπηρεσιακών μονάδων, καθώς και ανεξάρτητη μονάδα διαχείρισης του λειτουργικού κινδύνου και επαρκές σύστημα για την εκτίμηση και διαχείριση αυτών των κινδύνων. Η Τράπεζα ανέφερε ότι σε ανταπόκριση στις κατά τα ανωτέρω κανονιστικές της υποχρεώσεις έχει συγκροτήσει εξειδικευμένη Διεύθυνση Κινδύνων Αγοράς και Λειτουργικών Κινδύνων και έχει καταρτίσει συγκεκριμένη Πολιτική Διαχείρισης Λειτουργικού Κινδύνου (απόσπασμα της οποίας προσκομίζει ως σχετικό 2) και Εγχειρίδιο Διαδικασιών Διαχείρισης Γεγονότων Λειτουργικού Κινδύνου (την οποία προσκομίζει ως σχετικό 3). Στο εν λόγω Σχετικό 3 περιλαμβάνεται ο ορισμός της έννοιας και ενδεικτικά παραδείγματα των Γεγονότων Λειτουργικού Κινδύνου που πρέπει να αναγγέλλονται σύμφωνα με την Πράξη Διοικητή ΤτΕ 2577/9.3.2006, για το πλαίσιο αρχών λειτουργίας και κριτηρίων αξιολόγησης της οργάνωσης και των συστημάτων εσωτερικού ελέγχου των πιστωτικών και χρηματοδοτικών ιδρυμάτων, Κεφ.ΙΙ παρ. 2.8 (ΦΕΚ Α’59/20.3.2006), διαθέσιμη στην ιστοσελίδα της ΤτΕ : https://www.bankofgreece.gr/RelatedDocuments/ΠΔ.ΤΕ_25779.3.2006_Πλαίσιο_αρχών_λειτουργίας_και_κριτηρίων_αξιολόγησης_των_ΣΕΕ.pdf 1 Πολιτική της Τράπεζας. Ειδικότερα, ως Γεγονός Λειτουργικού Κινδύνου ορίζεται «το αποτέλεσμα, εκούσιο ή ακούσιο, εσωτερικό ή εξωτερικό, της εκδήλωσης λειτουργικού κινδύνου, ήτοι του κινδύνου εμφάνισης οικονομικών ή ποιοτικών επιπτώσεων λόγω ανεπάρκειας ή αποτυχίας των εσωτερικών διαδικασιών και των πληροφοριακών συστημάτων, του ανθρώπινου παράγοντα, εκουσίως ή ακουσίως, καθώς και της έλευσης εξωτερικών γεγονότων». Κάποια από τα ενδεικτικά αναφερόμενα γεγονότα λειτουργικού κινδύνου είναι τα εξής: Πρόστιμα εποπτικών και ρυθμιστικών αρχών, αγωγές τρίτων κατά της τράπεζας, υποθέσεις εξωτερικής ή εσωτερικής απάτης (π.χ. υπεξαιρέσεις ποσών από λογαριασμούς πελατών), συμβάντα κυβερνοασφάλειας, λάθη κατά τη διαχείριση και εκτέλεση συναλλαγών, περιστατικά παραβίασης προσωπικών δεδομένων, κλοπές και βανδαλισμοί παγίων, διαρρήξεις καταστημάτων κλπ. Στην Πολιτική Διαχείρισης Λειτουργικού Κινδύνου (σχετικό 2) αναφέρεται ότι «Οι αγωγές κατά της Τράπεζας και των Εταιρειών του Ομίλου αποτελούν συγκεκριμένη υποπερίπτωση γεγονότων λειτουργικού κινδύνου με ειδικά χαρακτηριστικά, για τις οποίες υφίστανται επιπλέον απαιτήσεις…» (σελ. 11 υπό iv), και ότι «Τα γεγονότα λειτουργικού κινδύνου παρακολουθούνται σε όλα τα στάδια, από την αρχική αναγνώρισή τους έως και τη λογιστικοποίησή τους». Παρενθετικά, επισημαίνεται ότι η Τράπεζα δεν εξήγησε με ποιο τρόπο τα περιγραφόμενα στην επίμαχη από … Αναγγελία πραγματικά περιστατικά και ιδίως αυτά που ο καταγγέλλων «μονολογούσε» και το περιεχόμενο της τηλεφωνικής συνομιλίας του στο κινητό με τρίτο υπάγονται στην έννοια του «γεγονότος λειτουργικού κινδύνου» σύμφωνα με τα παραπάνω. Επιπλέον, η Τράπεζα προσκόμισε το σχετικό απόσπασμα του κατ’ άρθρο 30 ΓΚΠΔ Αρχείου Δραστηριοτήτων Επεξεργασίας της σε σχέση με την επεξεργασία που διενεργείται για το σκοπό της Διαχείρισης Αναγγελιών Γεγονότων Λειτουργικού Κινδύνου και της εισαγωγής δεδομένων στη βάση γεγονότων λειτουργικού κινδύνου (Σχετικό 10). Στο αρχείο αυτό, μεταξύ άλλων, αναφέρονται ως υποκείμενα των δεδομένων και οι πελάτες, ως κατηγορίες δεδομένων, το «οικονομικό και συναλλακτικό προφίλ και τα «στοιχεία νομικών διαφορών και παραπόνων», ως πράξεις επεξεργασίας η συλλογή, καταχώριση, αποθήκευση και χρήση των δεδομένων και ως νομική βάση η «έννομη υποχρέωση του Υπευθύνου Επεξεργασίας» (χωρίς να γίνεται αναφορά σε συγκεκριμένη διάταξη από την οποία απορρέει η υποχρέωση). Με το υπόμνημά της η Τράπεζα επικαλείται ως νομική βάση για τη σύνταξη τέτοιων Αναγγελιών, όχι μόνο την έννομη υποχρέωσή της να διαχειρίζεται και να αντιμετωπίζει τους λειτουργικούς κινδύνους, αλλά επιπλέον και το έννομο συμφέρον της να βελτιώνει τις διαδικασίες της, παρ’ όλο που η τελευταία νομική βάση δεν αναφέρεται στο αρχείο δραστηριοτήτων. Σημειώνεται επίσης ότι η Τράπεζα δεν επικαλείται συγκεκριμένα στοιχεία για τη στάθμιση από την οποία (πρέπει να) προκύπτει ότι το έννομο συμφέρον της να βελτιώνει τις διαδικασίες της είναι υπέρτερο σε σχέση με τα θεμελιώδη δικαιώματα και τις ελευθερίες των θιγόμενων υποκειμένων των δεδομένων, όπως αυτά επηρεάζονται από την εν λόγω επεξεργασία. Περαιτέρω, με το υπόμνημά της η Τράπεζα προσκόμισε και την κατ’ άρθρο 13 ΓΚΠΔ Ενημέρωση των υποκειμένων για την επεξεργασία προσωπικών δεδομένων τους από την Τράπεζα ως Υπεύθυνο Επεξεργασίας (Σχετικό 11). Όπως υποστήριξε, τα υποκείμενα ενημερώνονται επαρκώς για την επεξεργασία που λαμβάνει χώρα στο πλαίσιο διαχείρισης γεγονότων λειτουργικού κινδύνου διότι στο Κεφάλαιο ΙΙΙ της ενημέρωσης αναφέρεται ότι «η Τράπεζα δύναται επίσης να επεξεργάζεται τα αναγκαία κατά περίπτωση από τα προαναφερόμενα δεδομένα: - για τη συμμόρφωσή τους με υποχρεώσεις που απορρέουν από το εκάστοτε νομοθετικό κανονιστικό και εποπτικό πλαίσιο, όπως εκάστοτε ισχύει και τις αποφάσεις των αρχών η δικαστηρίων, - για την άσκηση των δικαιωμάτων της και την προάσπιση των εννόμων συμφερόντων της». Εξ αυτού, κατά την Τράπεζα, προκύπτει ότι η επεξεργασία της συγκεκριμένης περίπτωσης «καλύπτεται πλήρως από την ενημέρωση, εφόσον η αναγγελία γεγονότος λειτουργικού κινδύνου συντάχθηκε στο πλαίσιο κανονιστικής υποχρέωσης της Τράπεζας και διατέθηκε στον Διευθυντή της – και όχι σε τρίτο πρόσωπο – στο ίδιο πλαίσιο, εφόσον αυτός ήταν ο Διευθυντής του Καταστήματος στο οποίο έγινε το καταγγελθέν γεγονός, αλλά και για την προάσπιση των κοινών εννόμων συμφερόντων της Τράπεζας και του Διευθυντή», ενώ στο Κεφάλαιο V αναφέρεται ότι στους αποδέκτες των δεδομένων περιλαμβάνονται «οι αρμόδιοι κατά περίπτωση υπάλληλοι της Τράπεζας» (υπό α), οι «δικηγόροι» (υπό β) και «οι δικαστικές, εισαγγελικές και λοιπές αρχές» (υπό ζ). Ως εκ τούτου η Τράπεζα ισχυρίστηκε ότι οι πελάτες της, μεταξύ των οποίων και ο καταγγέλλων, ενημερώνονται «με πληρότητα και ακρίβεια» για κάθε επεξεργασία των προσωπικών τους δεδομένων, περιλαμβανομένης της συγκεκριμένης. Σε σχέση με τη διαβίβαση του εγγράφου στον κ. Β, η Τράπεζα υποστήριξε ότι ο εν λόγω αντίδικος του καταγγέλλοντος «δεν ήταν τρίτος» σε σχέση με την Τράπεζα, διότι κατά τη μακρά χρονική περίοδο κατά την οποία εκτυλίχθηκε η συγκεκριμένη υπόθεση συντάχθηκαν και απεστάλησαν στις εντός της Τράπεζας αρμόδιες υπηρεσίες αρκετές αναγγελίες γεγονότων λειτουργικού κινδύνου και από τον ίδιο, ως επικεφαλής της αρμόδιας Μονάδας (του Καταστήματος [περιοχής] Υ), ενώ «το γεγονός ότι αυτός κάποια στιγμή μετατέθηκε σε άλλο κατάστημα δεν τον αποκόπτει από την υπόθεση η οποία συνεχίζεται, όπως συνεχίζονται οι σχετικές δίκες», στις οποίες έχει καταστεί ομόδικος (της Τράπεζας) από τον καταγγέλλοντα. Το αίτημα του κ. Β να λάβει αντίγραφα των αναγγελιών γεγονότων λειτουργικού κινδύνου που αφορούσαν τη συγκεκριμένη υπόθεση, στα οποία περιλαμβάνεται και η υπό κρίση Αναγγελία (…), κατά την Τράπεζα, στηριζόταν στη νομική βάση του άρθρου 6 παρ. 1 στ), ΓΚΠΔ δηλαδή στο έννομο συμφέρον της Τράπεζας ως υπεύθυνου επεξεργασίας και του «Διευθυντή του Καταστήματός της», το οποίο συνίσταται στη δικαστική προστασία τους (σύμφωνα με το άρθρο 20 του Συντάγματος) αλλά και στο δικαίωμα στην προσωπικότητα και στην προστασία της τιμής και της υπόληψης του ατόμου (άρθρο 5 παρ. 1 και 2 Συντάγματος). Η Τράπεζα υποστήριξε ότι ο ΓΚΠΔ «αναγορεύει αυτό σε υπέρτερο δικαίωμα όταν στο άρθρο 21 παρ. 1 δεύτερο εδάφιο αυτού ορίζεται ότι το δικαίωμα εναντίωσης δεν αντιτάσσεται όταν η επεξεργασία αφορά τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων», και «συνεπώς το έννομο συμφέρον στη δικαστική προστασία είναι αυταπόδεικτα υπέρτερο κάθε άλλου δικαιώματος». Έτσι, καταλήγει στο συμπέρασμα ότι αφ’ ενός μεν η χορήγηση στον κ. Β δεν αποτελεί χορήγηση σε τρίτο, αφ’ ετέρου δε στηρίζεται στο έννομο συμφέρον αμφοτέρων που εν προκειμένω συνίσταται στο δικαίωμα δικαστικής προστασίας. Όσον αφορά δε την ενημέρωση του καταγγέλλοντος για την υπό κρίση διαβίβαση, σύμφωνα με την Τράπεζα, «δεν ετίθετο θέμα ενημέρωσής του, σύμφωνα με τον Κανονισμό», καθώς «τα προσωπικά δεδομένα του κ. Α που περιλαμβάνονται σε αυτό το έγγραφο είχαν ήδη δημοσιοποιηθεί από τον ίδιο στα ως άνω πρόσωπα», επομένως, κατά την Τράπεζα, ο καταγγέλλων είχε ήδη τις σχετικές πληροφορίες με την έννοια των άρθρων 13 παρ. 4 και 14 παρ. 5 α) ΓΚΠΔ. Σημειώνεται ότι η Τράπεζα δεν προσκόμισε τη ζητηθείσα στο πλαίσιο της ακρόασης Πολιτική πρόσβασης στα προσωπικά δεδομένα από υποκείμενα και τρίτους. ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ

1. Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της καταγγελίας του Α και να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/
3. Με το άρθρο 5 παρ. 1 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (εφεξής ΓΚΠΔ) τίθενται οι αρχές που πρέπει να διέπουν μια επεξεργασία. Ειδικότερα, στην παράγραφο 1 ορίζεται ότι: «Τα δεδομένα προσωπικού χαρακτήρα: α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· η περαιτέρω επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς δεν θεωρείται ασύμβατη με τους αρχικούς σκοπούς σύμφωνα με το άρθρο 89 παράγραφος 1 («περιορισμός του σκοπού»), […]». Σύμφωνα δε με την αρχή της λογοδοσίας που εισάγεται με τη δεύτερη παράγραφο του ως άνω άρθρου, ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 («λογοδοσία»)». Η αρχή αυτή, η οποία συνιστά ακρογωνιαίο λίθο του ΓΚΠΔ, συνεπάγεται την υποχρέωση του υπευθύνου επεξεργασίας να δύναται να αποδείξει τη συμμόρφωσή του προς την εποπτική αρχή. Κατά πάγια δε Νομολογία της Αρχής 2, η ύπαρξη ενός νομίμου θεμελίου (άρθ. 6 ΓΚΠΔ) δεν απαλλάσσει τον υπεύθυνο 2 Βλ. ενδεικτικά Απόφαση 26/2019 ΑΠΔ , σκ.
4. επεξεργασίας από την υποχρέωση τήρησης των αρχών (άρθ. 5 παρ. 1 ΓΚΠΔ) αναφορικά με τον θεμιτό χαρακτήρα, την αναγκαιότητα και την αναλογικότητα καθώς και την αρχή της ελαχιστοποίησης. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπομένων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία παρίσταται ως μη νόμιμη (αντικείμενη στις διατάξεις του ΓΚΠΔ) και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρου 6 ΓΚΠΔ. Έτσι η κατά παράβαση του άρθρου 5 ΓΚΠΔ μη νόμιμη συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης.
5. Περαιτέρω, σύμφωνα με τους ορισμούς που παρέχονται με το άρθρο 4 του ΓΚΠΔ: • ως δεδομένο προσωπικού χαρακτήρα νοείται «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου» (στοιχ. 1). • ως επεξεργασία νοείται «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή» (στοιχ. 2) • ως αποδέκτης ορίζεται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας, στα οποία κοινολογούνται τα δεδομένα προσωπικού χαρακτήρα, είτε πρόκειται για τρίτον είτε όχι […]» (στοιχ. 9) και • ως τρίτος ορίζεται «οποιοδήποτε φυσικό ή νομικό πρόσωπο, δημόσια αρχή, υπηρεσία ή φορέας, με εξαίρεση το υποκείμενο των δεδομένων, τον υπεύθυνο επεξεργασίας, τον εκτελούντα την επεξεργασία και τα πρόσωπα τα οποία, υπό την άμεση εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα» (στοιχ. 10).
6. Σύμφωνα με το άρθρο 6 παρ. 1 εδ. στ’ του ΓΚΠΔ «
7. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις: […] στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί». Η παράγραφος 1 δε του άρθρου 21 του ΓΚΠΔ περί του δικαιώματος εναντίωσης προβλέπει ότι: «Το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν, η οποία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο ε) ή στ), περιλαμβανομένης της κατάρτισης προφίλ βάσει των εν λόγω διατάξεων. Ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν ο υπεύθυνος επεξεργασίας καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων». Επιπλέον, η παράγραφος 4 του ιδίου άρθρου ορίζει ότι «όταν η επεξεργασία για σκοπό άλλο από αυτόν για τον οποίο έχουν συλλεγεί τα δεδομένα προσωπικού χαρακτήρα δεν βασίζεται στη συγκατάθεση του υποκειμένου των δεδομένων ή στο δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους το οποίο αποτελεί αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση των σκοπών που αναφέρονται στο άρθρο 23 παράγραφος 1, ο υπεύθυνος επεξεργασίας, προκειμένου να εξακριβωθεί κατά πόσο η επεξεργασία για άλλο σκοπό είναι συμβατή με τον σκοπό για τον οποίο συλλέγονται αρχικώς τα δεδομένα προσωπικού χαρακτήρα, λαμβάνει υπόψη, μεταξύ άλλων: α) τυχόν σχέση μεταξύ των σκοπών για τους οποίους έχουν συλλεχθεί τα δεδομένα προσωπικού χαρακτήρα και των σκοπών της επιδιωκόμενης περαιτέρω επεξεργασίας, β) το πλαίσιο εντός του οποίου συλλέχθηκαν τα δεδομένα προσωπικού χαρακτήρα, ιδίως όσον αφορά τη σχέση μεταξύ των υποκειμένων των δεδομένων και του υπευθύνου επεξεργασίας, γ) τη φύση των δεδομένων προσωπικού χαρακτήρα, ιδίως για τις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία, σύμφωνα με το άρθρο 9, ή κατά πόσο δεδομένα προσωπικού χαρακτήρα που σχετίζονται με ποινικές καταδίκες και αδικήματα υποβάλλονται σε επεξεργασία, σύμφωνα με το άρθρο 10, δ) τις πιθανές συνέπειες της επιδιωκόμενης περαιτέρω επεξεργασίας για τα υποκείμενα των δεδομένων, ε) την ύπαρξη κατάλληλων εγγυήσεων, που μπορεί να περιλαμβάνουν κρυπτογράφηση ή ψευδωνυμοποίηση». Περαιτέρω, σύμφωνα με τις Αιτιολογικές Σκέψεις 47 και 50 του ΓΚΠΔ «Τα έννομα συμφέροντα του υπευθύνου επεξεργασίας, περιλαμβανομένων εκείνων ενός υπευθύνου επεξεργασίας στον οποίο μπορούν να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα ή τρίτων, μπορεί να παρέχουν τη νομική βάση για την επεξεργασία, υπό τον όρο ότι δεν υπερισχύουν των συμφερόντων ή των θεμελιωδών δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων, λαμβάνοντας υπόψη τις θεμιτές προσδοκίες των υποκειμένων των δεδομένων βάσει της σχέσης τους με τον υπεύθυνο επεξεργασίας. Τέτοιο έννομο συμφέρον θα μπορούσε λόγου χάρη να υπάρχει όταν υφίσταται σχετική και κατάλληλη σχέση μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας, όπως αν το υποκείμενο των δεδομένων είναι πελάτης του υπευθύνου επεξεργασίας ή βρίσκεται στην υπηρεσία του. Εν πάση περιπτώσει η ύπαρξη έννομου συμφέροντος θα χρειαζόταν προσεκτική αξιολόγηση, μεταξύ άλλων ως προς το κατά πόσον το υποκείμενο των δεδομένων, κατά τη χρονική στιγμή και στο πλαίσιο της συλλογής των δεδομένων προσωπικού χαρακτήρα, μπορεί εύλογα να αναμένει ότι για τον σκοπό αυτό μπορεί να πραγματοποιηθεί επεξεργασία. Ειδικότερα, τα συμφέροντα και τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων θα μπορούσαν να υπερισχύουν των συμφερόντων του υπευθύνου επεξεργασίας, όταν τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία σε περιπτώσεις κατά τις οποίες το υποκείμενο των δεδομένων δεν αναμένει ευλόγως περαιτέρω επεξεργασία των δεδομένων του» (Αιτ. 47) και «Η επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπούς άλλους από εκείνους για τους οποίους τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν αρχικά θα πρέπει να επιτρέπεται μόνο εφόσον η επεξεργασία είναι συμβατή με τους σκοπούς για τους οποίους τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν αρχικά. Σε αυτήν την περίπτωση, δεν απαιτείται νομική βάση χωριστή από εκείνη που επέτρεψε τη συλλογή των δεδομένων προσωπικού χαρακτήρα. […] Για να εξακριβωθεί αν ο σκοπός της περαιτέρω επεξεργασίας είναι συμβατός με τον σκοπό της αρχικής συλλογής των δεδομένων προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας, εφόσον πληροί όλες τις απαιτήσεις για τη νομιμότητα της αρχικής επεξεργασίας, θα πρέπει να λάβει υπόψη, μεταξύ άλλων: τυχόν συνδέσμους μεταξύ των σκοπών αυτών και των σκοπών της επιδιωκόμενης περαιτέρω επεξεργασίας· το πλαίσιο στο οποίο έχουν συλλεγεί τα δεδομένα προσωπικού χαρακτήρα, ιδίως τις εύλογες προσδοκίες του υποκειμένου των δεδομένων βάσει της σχέσης του με τον υπεύθυνο επεξεργασίας ως προς την περαιτέρω χρήση τους· τη φύση των δεδομένων προσωπικού χαρακτήρα· τις συνέπειες της επιδιωκόμενης περαιτέρω επεξεργασίας για τα υποκείμενα των δεδομένων· και την ύπαρξη κατάλληλων εγγυήσεων τόσο για τις αρχικές όσο και τις σκοπούμενες πράξεις περαιτέρω επεξεργασίας» (Αιτ. 50).
8. Όσον αφορά την τήρηση της αρχής της διαφάνειας, τα άρθρα 13 και 14 ΓΚΠΔ ορίζουν συγκεκριμένα τις πληροφορίες που πρέπει να παρέχονται στο υποκείμενο των δεδομένων από τον υπεύθυνο επεξεργασίας, τόσο στην περίπτωση που τα δεδομένα συλλέγονται από το υποκείμενο (άρθρο 13) όσο και στην περίπτωση που τα δεδομένα δεν έχουν συλλεγεί από το υποκείμενο (άρθρο 14). Οι υποχρεωτικά παρεχόμενες πληροφορίες περιλαμβάνουν τουλάχιστον «α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του, β) τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων, κατά περίπτωση, γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, δ) τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, ε) τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, στ) κατά περίπτωση, ότι ο υπεύθυνος επεξεργασίας προτίθεται να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε αποδέκτη σε τρίτη χώρα ή διεθνή οργανισμό και σχετικές πληροφορίες, ζ) το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα, ή, εφόσον αυτό είναι αδύνατον, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, η) πληροφορίες σχετικά με τα δικαιώματα του υποκειμένου σύμφωνα με τα άρθρα 15-22 ΓΚΠΔ», ενώ, κατά το άρθρο 13 παρ. 3 ΓΚΠΔ, «Όταν ο υπεύθυνος επεξεργασίας προτίθεται να επεξεργαστεί περαιτέρω τα δεδομένα προσωπικού χαρακτήρα για σκοπό άλλο από εκείνον για τον οποίο τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων, πριν από την εν λόγω περαιτέρω επεξεργασία, πληροφορίες για τον σκοπό αυτόν και άλλες τυχόν αναγκαίες πληροφορίες, όπως αναφέρεται στην παράγραφο 2». Σύμφωνα δε με τις Κατευθυντήριες γραμμές σχετικά με τη διαφάνεια βάσει του κανονισμού 2016/679 (WP260) της Ομάδας εργασίας του άρθρου 29, εφαρμόζεται το άρθρο 13 του ΓΚΠΔ εάν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται «[...] από ένα υποκείμενο των δεδομένων μέσω παρατήρησης (π.χ. χρησιμοποιώντας συσκευές καταγραφής δεδομένων ή λογισμικό καταγραφής δεδομένων όπως κάμερες [...]» (§ 26). Προς διασφάλιση της αρχής της διαφάνειας της επεξεργασίας, το άρθρο 12 παρ. 1 ΓΚΠΔ ορίζει ότι: «Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 και του άρθρου 34 σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, ιδίως όταν πρόκειται για πληροφορία απευθυνόμενη ειδικά σε παιδιά. Οι πληροφορίες παρέχονται γραπτώς ή με άλλα μέσα, μεταξύ άλλων, εφόσον ενδείκνυται, ηλεκτρονικώς. Όταν ζητείται από το υποκείμενο των δεδομένων, οι πληροφορίες μπορούν να δίνονται προφορικά, υπό την προϋπόθεση ότι η ταυτότητα του υποκειμένου των δεδομένων είναι αποδεδειγμένη με άλλα μέσα». Οι πληροφορίες, σύμφωνα με το ίδιο άρθρο, παρέχονται κατά τη συλλογή των δεδομένων. Περαιτέρω, σύμφωνα με τις ως άνω Κατευθυντήριες Γραμμές για τη διαφάνεια (WP260 rev.01), κατά την ενημέρωση των υποκειμένων σύμφωνα με τα άρθρα 13-14 ΓΚΠΔ, οι παρεχόμενες πληροφορίες θα πρέπει να είναι συγκεκριμένες και οριστικές: «Η χρήση γλωσσικών προσδιορισμών όπως «ενδέχεται», «ορισμένος», «συχνά» και «πιθανός» θα πρέπει επίσης να αποφεύγεται. Όταν οι υπεύθυνοι επεξεργασίας δεδομένων επιλέγουν να χρησιμοποιούν αόριστη διατύπωση, θα πρέπει να είναι σε θέση, σύμφωνα με την αρχή της λογοδοσίας, να αποδεικνύουν τον λόγο για τον οποίο η χρήση τέτοιας διατύπωσης δεν ήταν δυνατό να αποφευχθεί και γιατί δεν υπονομεύει τη νομιμότητα της επεξεργασίας» (§ 13). Τέλος, σημειώνεται ότι στην παράγραφο 5 του άρθρου 14 ΓΚΠΔ προβλέπονται εξαιρέσεις από την υποχρέωση ενημέρωσης του υποκειμένου, μεταξύ των οποίων και στις περιπτώσεις κατά τις οποίες «…β) η παροχή τέτοιων πληροφοριών αποδεικνύεται αδύνατη ή θα συνεπαγόταν δυσανάλογη προσπάθεια […] ή εφόσον η υποχρέωση που αναφέρεται στην παράγραφο 1 του παρόντος άρθρου είναι πιθανόν να καταστήσει αδύνατη ή να βλάψει σε μεγάλο βαθμό την επίτευξη των σκοπών της εν λόγω επεξεργασίας. Στις περιπτώσεις αυτές, ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για την προστασία των δικαιωμάτων και ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων […]». Για την υποχρέωση ενημέρωσης βάσει του άρθρου 13 δεν υπάρχει αντίστοιχη πρόβλεψη, ενώ η μόνη εξαίρεση από τη σχετική υποχρέωση του υπεύθυνου επεξεργασίας υπάρχει «όταν και εφόσον το υποκείμενο των δεδομένων έχει ήδη τις πληροφορίες» (άρθρο 13 παρ. 4 ΓΚΠΔ). Όπως επισημαίνεται στις Κατευθυντήριες της ΟΕ 29 σχετικά με τη διαφάνεια (WP 260 §56): «Σύμφωνα με την αρχή της λογοδοσίας, οι υπεύθυνοι επεξεργασίας δεδομένων πρέπει να αποδεικνύουν (και να καταγράφουν) τις πληροφορίες που έχει ήδη το υποκείμενο των δεδομένων, πώς και πότε τις έλαβε, καθώς και ότι δεν έχουν προκύψει αλλαγές έκτοτε σε αυτές τις πληροφορίες, οι οποίες θα τις καθιστούσαν παρωχημένες. Επιπλέον, η χρήση της διατύπωσης «εφόσον» στο άρθρο 13 παράγραφος 4 καθιστά σαφές ότι, ακόμη και αν στο υποκείμενο των δεδομένων έχουν παρασχεθεί κατά το παρελθόν ορισμένες κατηγορίες των πληροφοριών που προβλέπονται στο άρθρο 13, ο υπεύθυνος επεξεργασίας δεδομένων εξακολουθεί να έχει την υποχρέωση να παρέχει αυτές τις πληροφορίες, ώστε να διασφαλίζει ότι το υποκείμενο των δεδομένων διαθέτει πλέον το πλήρες σύνολο των πληροφοριών που παρατίθενται στα άρθρα 13 παράγραφοι 1 και 2».
9. Τέλος, με τη διάταξη του άρθρου 21 παρ. 1 ΓΚΠΔ ορίζεται ότι: «
10. Το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν, η οποία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο ε) ή στ), περιλαμβανομένης της κατάρτισης προφίλ βάσει των εν λόγω διατάξεων. Ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν ο υπεύθυνος επεξεργασίας καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων».
11. Σύμφωνα με την Πράξη Διοικητή ΤτΕ 2577/9.3.2006, για το πλαίσιο αρχών λειτουργίας και κριτηρίων αξιολόγησης της οργάνωσης και των συστημάτων εσωτερικού ελέγχου των πιστωτικών και χρηματοδοτικών ιδρυμάτων (ΦΕΚ Α’59/20.3.2006, Κεφ.ΙΙ παρ. 17) 3: «Για το σχεδιασµό, την ανάπτυξη και την παρακολούθηση της πολιτικής κινδύνων κάθε πιστωτικό ίδρυµα διαθέτει µια εξειδικευµένη και ανεξάρτητη λειτουργία διαχείρισης των κινδύνων, που καλύπτει όλο το φάσµα των δραστηριοτήτων για όλες τις µορφές των κινδύνων, περιλαµβανοµένου του λειτουργικού». Στο Παράρτημα 5 της Πράξης Διοικητή ΤτΕ 2595/20.08.2007 για την Εξειδίκευση των Αρχών και Κριτηρίων Διαχείρισης Κινδύνων ανά κατηγορία Κινδύνου (ΦΕΚ Β’ 1748/31.08.2007) 4 προβλέπονται τα εξής: «7.ΛΕΙΤΟΥΡΓΙΚΟΣ ΚΙΝΔΥΝΟΣ 7.
12. Εφαρμόζονται πολιτικές και διαδικασίες για την εκτίμηση και τη διαχείριση του λειτουργικού κινδύνου, περιλαμβανομένου εκείνου που απορρέει από γεγονότα με χαμηλή συχνότητα και σοβαρές επιπτώσεις. 7.
13. Με την επιφύλαξη του ορισμού που αναφέρεται στην ΠΔ/ΤΕ 2590/20.8.2007, τα πιστωτικά ιδρύματα διατυπώνουν με σαφήνεια τι συνιστά λειτουργικό κίνδυνο για τους σκοπούς αυτών των πολιτικών και διαδικασιών. […]». Τέλος, από την Πράξη Διοικητή ΤτΕ 2590/20.8.2007 για τις Ελάχιστες Κεφαλαιακές Απαιτήσεις των Πιστωτικών Ιδρυμάτων για το Λειτουργικό Κίνδυνο (ΦΕΚ Β’ 1747/31.8.2007, Κεφ. Β, παρ. 5 α) και κεφ. Γ. παρ. 1 α) και β) 5 προβλέπεται ότι τα πιστωτικά ιδρύματα οφείλουν να διαθέτουν διαδικασίες συστηματικής καταγραφής των σχετικών γεγονότων που δημιουργούν λειτουργικό κίνδυνο και ενημέρωσης των αρμόδιων https://www.bankofgreece.gr/RelatedDocuments ΠΔ.ΤΕ_25779.3.2006_Πλαίσιο_αρχών_λειτουργίας_και_κριτηρίων_αξιολόγησης_των_ΣΕΕ.pdf 4 https://www.bankofgreece.gr/RelatedDocuments/Καθορισμός%20των%20κριτηρίων%20που%20πρ έπει%20να%20διέπουν%20τη%20Διαδικασία%20Αξιολόγησης%20Επάρκειας%20Εσωτερικού%20Κεφ αλαίο.pdf 5 https://www.bankofgreece.gr/RelatedDocuments/ ΠΔ.ΤΕ_259020.8.2007_Ελάχιστες_Κεφαλαιακές_Απαιτήσεις_των_Πιστωτικών_Ιδρυμάτων_για_το_Λειτουργικό_Κ ίνδυνο.pdf 3 υπηρεσιακών μονάδων, καθώς και ανεξάρτητη μονάδα διαχείρισης του λειτουργικού κινδύνου και επαρκές σύστημα για την εκτίμηση και διαχείριση αυτών των κινδύνων. Η εν λόγω Πράξη παραπέμπει στο άρθρο 2 παρ. 12 του Ν. 3601/2007 που όριζε τον Λειτουργικό Κίνδυνο ως «τον κίνδυνο επέλευσης ζημιών οφειλόμενων είτε στην ανεπάρκεια ή στην αστοχία εσωτερικών διαδικασιών, φυσικών προσώπων και συστημάτων είτε σε εξωτερικά γεγονότα, ο οποίος περιλαμβάνει και το νομικό κίνδυνο». Ο Ν. 3601/2007 έχει καταργηθεί από το νεότερο Ν. 4261/2014, ο οποίος στο άρθρο 3αρ. 48 περιλαμβάνει τον εξής ορισμό: «48) «λειτουργικός κίνδυνος»: λειτουργικός κίνδυνος, όπως ορίζεται στο σημείο 52 της παρ. 1 του άρθρου 4 του Κανονισμού (ΕΕ) αριθμ. 575/2013», όπου ο λειτουργικός κίνδυνος ορίζεται με τον ίδιο τρόπο: «ως «λειτουργικός κίνδυνος» νοείται ο κίνδυνος ζημιών οφειλόμενων στην ανεπάρκεια ή την αποτυχία εσωτερικών διαδικασιών, ατόμων και συστημάτων ή σε εξωτερικά γεγονότα και περιλαμβάνει τον νομικό κίνδυνο».
14. Στην υπό εξέταση περίπτωση από τα στοιχεία του φακέλου προέκυψαν τα εξής: Ο καταγγέλλων διατηρεί θυρίδα θησαυροφυλακίου στο κατάστημα της καταγγελλόμενης Τράπεζας στην [περιοχή] Υ από την …. Διευθυντής του εν λόγω καταστήματος ήταν το διάστημα από … μέχρι … ο κ. Β. Την ημέρα που άνοιξε την εν λόγω θυρίδα θησαυροφυλακίου, ο καταγγέλλων αναφέρει ότι πραγματοποίησε ανάληψη ποσού … € από τον τραπεζικό λογαριασμό που τηρεί στην ίδια Τράπεζα και τοποθέτησε το ποσό αυτό στη θυρίδα του. Ακολούθως, στις … εξαργύρωσε στο ίδιο κατάστημα επιταγή ποσού … € και τοποθέτησε τα χρήματα επίσης στη θυρίδα θησαυροφυλακίου του, η οποία περιείχε έτσι … € συνολικά. Σύμφωνα με τον καταγγέλλοντα, μετά την επιβολή των περιορισμών στις αναλήψεις μετρητών (capital controls) τον …, στις … παρέδωσε ο ίδιος το κλειδί της θυρίδας του στον Διευθυντή του καταστήματος Υ της καταγγελλόμενης, κ. Β, διότι όπως τον είχε ενημερώσει περίμενε χρηματαποστολή και θα έκλεινε για κάποιο διάστημα τις κάμερες του καταστήματος, προκειμένου με την ευκαιρία αυτή να βγάλει … € από τη θυρίδα του καταγγέλλοντος και να του τα παραδώσει, καθώς ο καταγγέλλων είχε ανάγκη μετρητών για κάλυψη ιατρικών εξόδων …, πράγμα που συνέβη την ίδια ημέρα, όπως υποστηρίζει ο καταγγέλλων, συνεπώς θα έπρεπε να απομένουν … € στη θυρίδα του. Ακολούθως, μετά την άρση των περιορισμών και όταν επετράπη η πρόσβαση στις θυρίδες, ο καταγγέλλων επισκέφθηκε τη θυρίδα του στις …, οπότε και διαπίστωσε ότι υπήρχαν μόνο … €, έλειπαν δηλαδή … δεσμίδες των …€ συνολικού ποσού … €. Κατόπιν αυτού, στις … ο καταγγέλλων υπέβαλε έγκληση για υπεξαίρεση κατά του κ. Β. Παράλληλα με βάση τα παραπάνω πραγματικά περιστατικά, ο καταγγέλλων κατέθεσε στις … αγωγή κατά της καταγγελλόμενης Τράπεζας και κατά του κ. Β, για αποζημίωση και αποκατάσταση της ηθικής του βλάβης λόγω αδικοπραξίας. Επί της εν λόγω αγωγής εκδόθηκε η υπ’ αρ. … οριστική απόφαση του Πολυμελούς Πρωτοδικείου [περιοχής] Φ, η οποία έκανε δεκτή σε πρώτο βαθμό εν μέρει την αγωγή και επεδίκασε στον καταγγέλλοντα αποζημίωση ύψους … και ποσό … ως χρηματική ικανοποίηση για την ηθική του βλάβη (…) ενώ ακολούθησαν και άλλες μηνύσεις κατά των μαρτύρων της καταγγελλόμενης για ψευδορκία και συκοφαντική του δυσφήμηση. Περαιτέρω, στις … ο καταγγέλλων αναφέρει ότι επισκέφθηκε ξανά τη θυρίδα του στο κατάστημα της καταγγελλόμενης στην [περιοχή] Υ και αμέσως μετά μετέβη στο ταμείο και κατέθεσε ποσό …€ ευρώ στο λογαριασμό του, και ειδικότερα: … δεσμίδα (…€) των … € και … δεσμίδες (...€) των …€, τις οποίες υποστηρίζει ότι είχε λάβει από τη θυρίδα του, καθώς και άλλη μία δεσμίδα (…€) πιασμένη με απλό λάστιχο, την οποία υποστηρίζει ότι έβγαλε από την τσέπη του. Ακολούθως προκύπτει ότι συντάχθηκε η από … Αναγγελία Γεγονότος Λειτουργικού Κινδύνου από τους υπευθύνους του Καταστήματος Alpha Bank [περιοχής] Υ, κ. Γ και Δ, σύμφωνα με την οποία ο καταγγέλλων φέρεται να δήλωσε ότι «βρήκε ξανά» στη θυρίδα του το απωλεσθέν ποσό των… €. Συγκεκριμένα, στο εν λόγω έγγραφο έχουν καταγραφεί, μεταξύ άλλων, τα εξής: «…Ο πελάτης μονολογούσε ότι κάποιος του έβαλε στην θυρίδα … ευρώ και επικοινώνησε στο κινητό του τηλέφωνο για λίγα λεπτά λέγοντας στον συνομιλητή του ότι τα χρήματα είναι … ευρώ παραπάνω. Ενημέρωσε τον Διευθυντή και τον ταμία ότι στην θυρίδα του την τελευταία φορά (πριν περίπου … χρόνια) είχε σύνολο … ευρώ και ο λόγος της επίσκεψης σε αυτήν ήταν να αφήσει στην θυρίδα … ευρώ και να καταθέσει τα υπόλοιπα … ευρώ στον λογαριασμό του, δήλωσε έκπληκτος από το γεγονός και ζήτησε .. πμ να οριστικοποιηθεί η κατάθεση των … ευρώ στο λογαριασμό του … καθώς και αντίγραφο της συναλλαγής με την λεπτομερή ανάλυση των χρημάτων. Το Κατάστημα μετά την αποχώρηση του πελάτη (.. πμ) προέβη σε συμφωνία και λεπτομερή καταμέτρηση του ταμείου όπου με την ολοκλήρωση της, .. πμ δεν υπήρξε καμία διαφορά». Ο καταγγέλλων αμφισβητεί τα περιστατικά όπως έχουν καταγραφεί στο εν λόγω έγγραφο και υποστηρίζει ότι στη θυρίδα του βρήκε μόνο τις …€ (όπως την είχε αφήσει κατά την προηγούμενή του επίσκεψη στις …), εκ των οποίων έλαβε το ποσό των …€ (σε … δεσμίδα των …€ πιασμένη με ταινία της Τράπεζας της Ελλάδος και … δεσμίδες των …€, πιασμένες με ταινίες της Alpha Bank), ενώ η δεύτερη δεσμίδα των … € που εμφάνισε στο ταμείο ήταν πιασμένη με απλό λάστιχο και την είχε ήδη στην τσέπη του όταν μπήκε στο κατάστημα, ουδέποτε δε δήλωσε στον ταμία, όπως αναφέρει, ότι «βρήκε» το ποσό αυτό ξανά στη θυρίδα του. Το ως άνω από … έγγραφο Αναγγελίας Γεγονότος Λειτουργικού Κινδύνου χορηγήθηκε από την καταγγελλόμενη Τράπεζα στον κ. Β μετά το από … αίτημα του τελευταίου προς την (τότε) Διεύθυνση Καταστημάτων Χ… (σύμφωνα με την απάντηση υπ’ αρ. πρωτ. Γ/ΕΙΣ/2881/28-04-2021 της Τράπεζας) και χρησιμοποιήθηκε ως αποδεικτικό έγγραφο στο πλαίσιο της ως άνω αναφερόμενης αγωγής του καταγγέλλοντος. Με την υπό κρίση καταγγελία, ο καταγγέλλων διαμαρτύρεται για το γεγονός ότι το εν λόγω έγγραφο, που περιλαμβάνει προσωπικά του δεδομένα, διαβιβάστηκε, και δη χωρίς προηγούμενη ενημέρωση και συγκατάθεσή του, στον αντίδικό του, κ. Β, ο οποίος ήδη από το τέλος του έτους … δεν εργαζόταν ως Διευθυντής του Καταστήματος [περιοχής] Υ και επομένως ήταν τρίτος σε σχέση με την Τράπεζα.
15. Θα πρέπει να επισημανθεί κατ’ αρχάς ότι το επίμαχο έγγραφο περιλαμβάνει σε κάθε περίπτωση προσωπικά δεδομένα του καταγγέλλοντος, και αυτό ανεξαρτήτως του γεγονότος ότι ο καταγγέλλων αμφισβητεί τα πραγματικά περιστατικά που έχουν καταγραφεί σε αυτό, αφού περιλαμβάνει πληροφορίες που «τον αφορούν» ως υποκείμενο. Σύμφωνα δε και με τη Γνώμη 4/2007 της ΟΕ 29 σχετικά με την έννοια του όρου «δεδομένα προσωπικού χαρακτήρα», οι πληροφορίες δεν είναι αναγκαίο να είναι αληθείς ή αποδεδειγμένες για να χαρακτηρισθούν ως δεδομένα προσωπικού χαρακτήρα: «Πράγματι, οι κανόνες προστασίας δεδομένων προβλέπουν ήδη ότι κάποιες πληροφορίες ενδέχεται να είναι εσφαλμένες και παρέχουν το δικαίωμα στο πρόσωπο στο οποίο αναφέρονται τα δεδομένα να έχει πρόσβαση σ’ αυτές τις πληροφορίες και να τις αμφισβητήσει μέσω κατάλληλων μέσων έννομης προστασίας». Τα προσωπικά δεδομένα αυτά του καταγγέλλοντος συλλέχθηκαν από την Τράπεζα, ως υπεύθυνο επεξεργασίας, μέσω παρατήρησης από το υποκείμενο και υποβλήθηκαν σε επεξεργασία για τη σύνταξη του επίμαχου εγγράφου Αναγγελίας Γεγονότος Λειτουργικού Κινδύνου, το οποίο έχει περιληφθεί στο σύστημα αρχειοθέτησης της Τράπεζας. Ως εκ τούτου η σχετική επεξεργασία εμπίπτει στο πεδίο εφαρμογής του ΓΚΠΔ (άρθρο 2 παρ. 1 ΓΚΠΔ). Αναφορικά δε με την υπό κρίση επεξεργασία (καταγραφή συμπεριφοράς του καταγγέλλοντος στο Κατάστημα [περιοχής] Υ της καταγγελλόμενης Τράπεζας στις …), ο αντίδικος του καταγγέλλοντος κ. Β είναι τρίτος, διότι η ιδιότητά του ως Διευθυντή του εν λόγω Καταστήματος είχε παύσει από τις …, ενώ η Τράπεζα δεν επικαλέστηκε ότι τα καθήκοντά του το έτος … σχετίζονταν με οποιονδήποτε τρόπο με την υπό κρίση επεξεργασία.
16. Αναφορικά με τη νομιμότητα της αρχικής επεξεργασίας, δηλαδή της συλλογής και καταγραφής πληροφοριών που αφορούν τον καταγγέλλοντα και της σύνταξης της από … Αναγγελίας Γεγονότος Λειτουργικού Κινδύνου από τους υπαλλήλους της Τράπεζας, σημειώνονται τα εξής: Όπως προέκυψε από τα στοιχεία του φακέλου, σκοποί της εν λόγω επεξεργασίας εν γένει (σύνταξης και τήρησης Αναγγελιών Γεγονότων Λειτουργικού Κινδύνου) είναι η διαχείριση των λειτουργικών κινδύνων και η βελτίωση των διαδικασιών της Τράπεζας. Ως νομικές βάσεις για τις σχετικές πράξεις επεξεργασίας προσωπικών δεδομένων η Τράπεζα επικαλείται αφ’ ενός μεν τη συμμόρφωσή της ως υπεύθυνου επεξεργασίας με την έννομη υποχρέωσή της να διαχειρίζεται τους λειτουργικούς κινδύνους (άρθρο 6 παρ. 1 γ’ ΓΚΠΔ σε συνδυασμό με τις αναφερόμενες στη σκ. 6 Πράξεις Διοικητή ΤτΕ) (για τον πρώτο σκοπό επεξεργασίας), αφ’ ετέρου δε το έννομο συμφέρον της να βελτιώνει τις διαδικασίες της (άρθρο 6 παρ. 1 στ’ ΓΚΠΔ) (για τον δεύτερο σκοπό επεξεργασίας). Πάντως η δεύτερη αυτή νομική βάση δεν αναφέρεται στο κατ’ άρθρο 30 ΓΚΠΔ αρχείο δραστηριοτήτων επεξεργασίας της Τράπεζας, ούτε τεκμηριώθηκε με βάση την αρχή της λογοδοσίας ενώπιον της Αρχής η στάθμιση βάσει της οποίας ο υπεύθυνος επεξεργασίας διαπίστωσε ότι το έννομο αυτό συμφέρον υπερτερεί των δικαιωμάτων και ελευθεριών των υποκειμένων. Εν προκειμένω, ακόμα και αν θεωρηθεί ότι η έκφραση του καταγγέλλοντος «κάποιος μου έβαλε … ευρώ στη θυρίδα μου» εμπίπτει στην έννοια του «γεγονότος λειτουργικού κινδύνου», η καταγραφή της συμπεριφοράς του όπως έλαβε χώρα με το υπό κρίση έγγραφο (ότι, δηλαδή «μονολογούσε» και «μιλούσε στο κινητό του τηλέφωνο» αναφέροντας τη συγκεκριμένη πληροφορία) δεν προκύπτει ότι εμπίπτει στην προβλεπόμενη από τις Πολιτικές και Διαδικασίες της Τράπεζας απαραίτητη επεξεργασία δεδομένων για σκοπούς διαχείρισης Γεγονότων Λειτουργικού Κινδύνου. Περαιτέρω, εφόσον η καταγραφή αυτή αποτελεί συλλογή δεδομένων προσωπικού χαρακτήρα από το υποκείμενο (συλλογή μέσω παρατήρησης κατά τις WP 260 § 26, βλ. ανωτέρω σκ. 3), η τήρηση της αρχής της διαφάνειας εκ μέρους της Τράπεζας, ως υπευθύνου επεξεργασίας προϋποθέτει την προηγούμενη ενημέρωση του υποκειμένου κατ’ άρθρο 13 ΓΚΠΔ. Από την επισκόπηση του κειμένου ενημέρωσης των υποκειμένων που προσκόμισε η Τράπεζα, προκύπτει ότι η καταγραφή γεγονότων λειτουργικού κινδύνου ως πράξη συλλογής και επεξεργασίας δεδομένων προσωπικού χαρακτήρα δεν αναφέρεται με «σαφήνεια και πληρότητα», όπως αβάσιμα υποστηρίζει η Τράπεζα, ούτε μπορεί να θεωρηθεί ότι η σχετική ενημέρωση καλύπτεται από τη γενικόλογη φράση «η Τράπεζα δύναται επίσης να επεξεργάζεται τα αναγκαία κατά περίπτωση από τα προαναφερόμενα δεδομένα: - για τη συμμόρφωσή της με υποχρεώσεις που απορρέουν από το εκάστοτε νομοθετικό κανονιστικό και εποπτικό πλαίσιο, όπως εκάστοτε ισχύει και τις αποφάσεις των αρχών η δικαστηρίων, - για την άσκηση των δικαιωμάτων της και την προάσπιση των εννόμων συμφερόντων της». Ως εκ τούτου, για τον καταγγέλλοντα ήταν αδύνατο να είναι γνωστό, τη στιγμή που μονολογούσε ή μιλούσε στο κινητό του τηλέφωνο μέσα στο Κατάστημα, ότι η συμπεριφορά του αυτή καταγράφεται: όπως αναφέρει ο ίδιος στην καταγγελία του «ούτε καν γνώριζα τη δημιουργία του εν λόγω εγγράφου». Επιπλέον, ομοίως αβάσιμο είναι το επιχείρημα της Τράπεζας ότι ο καταγγέλλων «γνώριζε ήδη τις πληροφορίες», ώστε να περιττεύει η ενημέρωσή του κατά το άρθρο 13, επειδή ήταν παρών και «δημοσιοποίησε ο ίδιος τα προσωπικά του δεδομένα». Ο «μονόλογος» και η συνομιλία στο τηλέφωνο δεν συνιστά «δημοσιοποίηση προσωπικών δεδομένων», ενώ σε καμία περίπτωση δεν μπορεί να θεωρηθεί περιττή η ενημέρωση του υποκειμένου για το γεγονός ότι η συμπεριφορά του καταγράφεται αλλά και για τα λοιπά στοιχεία της επεξεργασίας (σκοπός, νόμιμη βάση, χρόνος τήρησης κλπ.), εκ μόνου του λόγου ότι το υποκείμενο είναι παρόν όταν εκδηλώνεται αυτή η συμπεριφορά. Εξάλλου στην προκειμένη περίπτωση τα πραγματικά περιστατικά αμφισβητούνται από τα εμπλεκόμενα μέρη, επομένως εναπόκειται στον υπεύθυνο επεξεργασίας στο πλαίσιο της αρχής της λογοδοσίας να τεκμηριώσει τον ισχυρισμό ότι ο καταγγέλλων «γνώριζε ήδη τις πληροφορίες» που όφειλε να του έχει παράσχει σύμφωνα με το άρθρο 13 ΓΚΠΔ. Σημειώνεται επίσης ότι από το περιεχόμενο της από … Αναγγελίας Γεγονότος Λειτουργικού Κινδύνου δεν προκύπτει σαφώς ποιος είναι ο κίνδυνος εν προκειμένω ή σε ποια κατηγορία εντάσσεται το γεγονός σύμφωνα με το Εγχειρίδιο της Τράπεζας, δεδομένου ότι στο τέλος αναφέρεται ρητά ότι δεν διαπιστώθηκε ταμειακή διαφορά. Επομένως διαπιστώνεται παραβίαση της αρχής της νομιμότητας και διαφάνειας της επεξεργασίας όσον αφορά την αρχική συλλογή και καταχώριση των δεδομένων του καταγγέλλοντος στην από … Αναγγελία Γεγονότος Λειτουργικού Κινδύνου (άρθρα 5 παρ. 1 α’ και 13 ΓΚΠΔ).
17. Περαιτέρω, όσον αφορά τη διαβίβαση του υπό κρίση εγγράφου στον αντίδικο του καταγγέλλοντος σημειώνεται κατ’ αρχάς ότι η Τράπεζα δεν εξήγησε εάν ο σκοπός της διαβίβασης ήταν ίδιος με τον αρχικό σκοπό της συλλογής και τήρησης των δεδομένων (διαχείριση γεγονότος λειτουργικού κινδύνου, βελτίωση των διαδικασιών και αποφυγή περιστατικών κινδύνου στο μέλλον) ή περαιτέρω σκοπός (όπως φαίνεται να προκύπτει από την επικαλούμενη νομική βάση, ήτοι το υπέρτερο έννομο συμφέρον της για δικαστική προστασία), η νομιμότητα του οποίου θα έπρεπε να κριθεί σύμφωνα με το άρθρο 6 παρ. 4 ΓΚΠΔ. Άλλωστε, σύμφωνα με το άρθρο 13 παρ. 3 ΓΚΠΔ, εφόσον η συγκεκριμένη πράξη επεξεργασίας (διαβίβαση του εγγράφου) εξυπηρετούσε σκοπό άλλον από το σκοπό της αρχικής συλλογής των δεδομένων, η Τράπεζα όφειλε να ενημερώσει τον καταγγέλλοντα για τον σκοπό αυτό καθώς και για τις λοιπές πληροφορίες του άρθρου 13 παρ. 2 ΓΚΠΔ. Η βασική θέση της Τράπεζας είναι ότι ο κ. Β δεν είναι τρίτος, αλλά όργανο της Τράπεζας, ως Υπεύθυνου Επεξεργασίας. Η Τράπεζα υποστήριξε συγκεκριμένα, ότι «ο κ. Β, ως Διευθυντής του καταστήματος της Τράπεζας στην [περιοχή] Υ από … έως…και …, κατ’ εντολή, για λογαριασμό του νομικού προσώπου της Τράπεζας και υπό την άμεση εποπτεία της επεξεργαζόταν προσωπικά δεδομένα των πελατών της, συμπεριλαμβανομένου του καταγγέλλοντος, οπότε γνώριζε, ήδη πριν από τη χορήγηση της από … Αναγγελίας Λειτουργικού Κινδύνου σε αυτόν, τα στοιχεία του λογαριασμού που τηρεί ο καταγγέλλων στο εν λόγω κατάστημα και γενικά όλες τις πτυχές της συμβατικής και συναλλακτικής σχέσης του με αυτό και ως εκ τούτου δεν λογίζεται ως τρίτος για την Τράπεζα». Για το λόγο αυτό η Τράπεζα υποστήριξε ότι δεν πρόκειται κατ’ ουσίαν για διαβίβαση προσωπικών δεδομένων, αλλά για «διακίνηση εσωτερικού εγγράφου της Τράπεζας μεταξύ υπηρεσιών άμεσα εμπλεκόμενων με το περιεχόμενό του, ήτοι, των στελεχών της Τράπεζας που διερευνούν γεγονότα λειτουργικού κινδύνου και του Διευθυντή του καταστήματος στο οποίο κατά τους ισχυρισμούς του καταγγέλλοντος, έλαβε χώρα το διερευνώμενο γεγονός», η οποία διακίνηση πραγματοποιήθηκε «για την υπεράσπιση των εννόμων συμφερόντων της ιδίας και του ως άνω στελέχους της, τα οποία είναι αναμφίβολα υπέρτερα των ελευθεριών και δικαιωμάτων του καταγγέλλοντος». Ωστόσο η καταγγελλόμενη Τράπεζα δεν τεκμηρίωσε επαρκώς τη στάθμιση από την οποία προκύπτει ότι τα έννομα συμφέροντά της είναι υπέρτερα σε σχέση με το δικαίωμα του καταγγέλλοντος να μην καταγράφεται η συμπεριφορά του – και δη εν αγνοία του – καθώς και πληροφορίες, συμπεριλαμβανομένων αυτών που αφορούν το περιεχόμενο της θυρίδας του, ή να μην κοινοποιείται αυτή η καταγραφή σε άλλα πρόσωπα. Σε σχέση με την ενημέρωση του καταγγέλλοντος ως υποκειμένου, η Τράπεζα υποστήριξε ότι γίνεται μέσω του γενικού κειμένου ενημέρωσης όπου αναφέρεται ότι αποδέκτες των δεδομένων είναι οι «αρμόδιοι κατά περίπτωση υπάλληλοι» της Τράπεζας. Ακόμα όμως και αν γινόταν δεκτή η θέση ότι ο εν λόγω υπάλληλος, που δεν ήταν πλέον Διευθυντής του Καταστήματος, δεν είναι τρίτος σε σχέση με την Τράπεζα, σε καμία περίπτωση δεν μπορεί να θεωρηθεί ότι ήταν «αρμόδιος» εν προκειμένω να λάβει το συγκεκριμένο έγγραφο, όπως προκύπτει από το γεγονός ότι χρειάστηκε να υποβάλει σχετικό αίτημα να του κοινοποιηθεί και δεν έλαβε γνώση αυτού στο πλαίσιο εκτέλεσης των καθηκόντων του. Σημειώνεται άλλωστε ότι στο αρχείο δραστηριοτήτων της Τράπεζας αναφέρεται ότι «για υπηρεσιακούς λόγους οι Αναγγελίες κοινοποιούνται όταν και εφόσον απαιτείται σε υποστηρικτικές Διευθύνσεις της Τραπέζης (ενδεικτικά: Εσωτερικού Ελέγχου, Ανθρωπίνου Δυναμικού, Δικτύου Καταστημάτων, Νομικών Υπηρεσιών)», η δε Τράπεζα δεν επικαλέστηκε ότι ο αποδέκτης του εγγράφου εν προκειμένω εμπίπτει σε οποιαδήποτε από τις παραπάνω κατηγορίες. Επικουρικά, η καταγγελλόμενη Τράπεζα ισχυρίσθηκε ότι, ακόμα και αν ο κ. Β θεωρηθεί τρίτος ως προς την Τράπεζα, το έννομο συμφέρον του να λάβει το από … έγγραφο Αναγγελίας Λειτουργικού Κινδύνου για σκοπούς δικαστικής του προστασίας υπερέχει των συμφερόντων, θεμελιωδών δικαιωμάτων και ελευθεριών του καταγγέλλοντος, δεδομένου ότι η χρήση του ήταν αναγκαία για την υπεράσπισή του ως κατηγορουμένου, ενώπιον δικαστηρίου. Κατά την Τράπεζα, στην περίπτωση αυτή, η προ της διαβίβασης ενημέρωση «δεν είναι υποχρεωτική επειδή τα δεδομένα ήταν ήδη γνωστά στο υποκείμενο και είχαν ήδη δημοσιοποιηθεί από αυτό» και «ακόμη και αν έπρεπε να γίνει ενημέρωση, αυτή θα ήταν πρακτικά άνευ αντικειμένου, εφόσον δεν χωρεί αντίρρηση του υποκειμένου όταν η επεξεργασία γίνεται στο πλαίσιο της δικαστικής προστασίας (άρθρο 21 παρ. 1 του Κανονισμού)». Όμως από το άρθρο 21 παρ. 1 β’ ΓΚΠΔ σε καμία περίπτωση δεν προκύπτει εξαίρεση από την τήρηση της αρχής της διαφάνειας και ειδικότερα από την υποχρέωση του υπευθύνου επεξεργασίας να ενημερώσει προηγουμένως το υποκείμενο των δεδομένων: ακόμα και αν η Τράπεζα διαπίστωνε και καταδείκνυε «επιτακτικούς και νόμιμους λόγους για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεών της», αυτό δεν θα την απάλλασσε από τη βασική της υποχρέωση για διαφάνεια, με το επιχείρημα ότι η διαφάνεια εν προκειμένω είναι «άνευ αντικειμένου». Η διαφάνεια αποτελεί θεμελιώδη αρχή της προστασίας προσωπικών δεδομένων και είναι απαραίτητη σε κάθε περίπτωση επεξεργασίας, πλην των ρητά προβλεπόμενων εξαιρέσεων του ΓΚΠΔ, ο δε σκοπός της αρχής αυτής δεν μπορεί να θεωρηθεί ότι περιορίζεται στη δυνατότητα άσκησης δικαιώματος εναντίωσης εκ μέρους του υποκειμένου. Εάν συνέτρεχε περίπτωση κατ’ εξαίρεση απαλλαγής του υπευθύνου επεξεργασίας από την υποχρέωση ενημέρωσης, η σχετική εξαίρεση θα προβλεπόταν ρητά στον Κανονισμό, όπως συμβαίνει για παράδειγμα στο άρθρο 14 παρ. 5 β’. Απεναντίας, από τη διατύπωση του άρθρου 21 παρ. 1 β’ προκύπτει ότι το υποκείμενο έχει την ευκαιρία να ασκήσει το δικαίωμά του στην εναντίωση, ώστε ο Υπεύθυνος Επεξεργασίας, εφόσον συντρέχουν οι εκεί αναφερόμενες συνθήκες, να έχει τη δυνατότητα να αρνηθεί να το ικανοποιήσει. Η άσκηση του δικαιώματος δηλαδή αποτελεί χρονική και λογική προϋπόθεση της τεκμηριωμένης άρνησης του υπευθύνου επεξεργασίας να το ικανοποιήσει. Συνεπώς, ο επικουρικά προβαλλόμενος ισχυρισμός της Τράπεζας ότι δεν υπάρχει καν υποχρέωση ενημέρωσης σε περίπτωση συνδρομής των προϋποθέσεων του άρθρου 21 παρ. 1 β’ ΓΚΠΔ είναι αβάσιμος. Διαπιστώνεται επομένως ότι, ανεξαρτήτως του εάν η εν λόγω πράξη επεξεργασίας (διαβίβαση του εγγράφου στον κ. Β) αποσκοπούσε στην προκειμένη περίπτωση, στην εφαρμογή των Οδηγιών της ΤτΕ για τη διαχείριση λειτουργικών κινδύνων ή στην προστασία των εννόμων συμφερόντων της Τράπεζας, η τελευταία προέβη σε πράξεις επεξεργασίας των δεδομένων του καταγγέλλοντος χωρίς να τον έχει ενημερώσει προηγουμένως ως υποκείμενο, τόσο ως προς την αρχική επεξεργασία (καταγραφή της συμπεριφοράς του για την σύνταξη της Αναγγελίας Γεγονότος Λειτουργικού Κινδύνου) όσο και ως προς τη διαβίβαση του εγγράφου αυτού στον αντίδικό του, κ. Β, με αποτέλεσμα να παραβιαστεί η αρχή της διαφάνειας και κατ’ επέκταση η αρχή της νομιμότητας της επεξεργασίας κατ’ άρ. 5 παρ. 1 εδ. α’ ΓΚΠΔ σε συνδυασμό με το άρθρο 13 ΓΚΠΔ. Με τον τρόπο αυτό, η καταγγελλόμενη Τράπεζα στέρησε από τον καταγγέλλοντα την δυνατότητα να ασκήσει τα εκ των άρθρων 15-22 ΓΚΠΔ δικαιώματα του, ιδίως το δικαίωμα αντίρρησης κατ’ άρ. 21 ΓΚΠΔ ως προς την διαβίβαση των δεδομένων καθώς και το δικαίωμα περιορισμού της επεξεργασίας κατ’ άρ. 18 ΓΚΠΔ, επικαλούμενος τυχόν ανακρίβεια ως προς την επεξεργασία των προσωπικών δεδομένων, προκειμένου αυτά να διορθωθούν κατ’ αρ. 16 ΓΚΠΔ.
18. Κατόπιν των ανωτέρω, από τα στοιχεία του φακέλου και κατόπιν της ακροαματικής διαδικασίας, η Αρχή διαπιστώνει εκ μέρους της καταγγελλόμενης Τράπεζας παράβαση της αρχής της νομιμότητας, αντικειμενικότητας και διαφάνειας της επεξεργασίας (άρθρο 5 παρ. 1 α’ ΓΚΠΔ) λόγω της απουσίας νομικής βάσης κατά τα ανωτέρω καθώς και της απουσίας ενημέρωσης του καταγγέλλοντος σύμφωνα με το άρθρο 13 ΓΚΠΔ για τις πράξεις επεξεργασίας δεδομένων στις οποίες προέβη. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες παραβάσεις και ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ, τόσο προς αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς. Περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, την παράγραφο 5 εδ. β’ του ίδιου άρθρου που έχει εφαρμογή στην παρούσα υπόθεση, τις Κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679 που εκδόθηκαν στις 03-102017 από την Ομάδα Εργασίας του άρθρου 29 (WP 253) και τις Κατευθυντήριες γραμμές 04/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων για τον υπολογισμό των διοικητικών προστίμων στο πλαίσιο του Γενικού Κανονισμού που τελούν σε δημόσια διαβούλευση, καθώς και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως: α) το γεγονός ότι η καταγγελλόμενη Τράπεζα παραβίασε την προβλεπόμενη από το άρθρο 5 παρ. 1 εδ. α’ ΓΚΠ∆ θεμελιώδη αρχή της νοµιµότητας, αντικειµενικότητας και διαφάνειας της επεξεργασίας, παράβαση που υπάγεται, σύμφωνα με τη διάταξη του άρθρου 83 παρ. 5 εδ. α’ ΓΚΠΔ, στην ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης διοικητικών προστίμων. β) Το γεγονός ότι η επεξεργασία που αφορά η παράβαση σχετίζεται με τη βασική δραστηριότητα της καταγγελλόμενης Τράπεζας. γ) Το γεγονός ότι από την παράβαση επηρεάστηκε μεν ένα φυσικό πρόσωπο, ωστόσο η διαπιστωθείσα ασαφής και ελλιπής ενημέρωση των υποκειμένων αναφορικά με την επεξεργασία των προσωπικών δεδομένων τους στο πλαίσιο της Πολιτικής Διαχείρισης Λειτουργικών Κινδύνων της Τράπεζας αποτελεί συστημικό πρόβλημα που επηρεάζει δυνητικά όλους τους πελάτες ή επισκέπτες των καταστημάτων της. δ) Το γεγονός ότι διαπιστώθηκε αναντιστοιχία ανάμεσα στο σκοπό και τη νομική βάση που επικαλέστηκε η Τράπεζα για τις καταγγελλόμενες πράξεις επεξεργασίας (νομική υπεράσπιση ενώπιον δικαστηρίου - υπέρτερο έννομο συμφέρον) και στο σκοπό και τη νομική βάση αντίστοιχα που έχει καταγραφεί στο κατ’ άρθρο 30 ΓΚΠΔ αρχείο δραστηριοτήτων επεξεργασίας της Τράπεζας (διαχείριση Αναγγελιών Γεγονότων Λειτουργικού Κινδύνου και εισαγωγή δεδομένων στη βάση γεγονότων λειτουργικού κινδύνου - συμμόρφωση με έννομη υποχρέωση). ε) Το γεγονός ότι η καταγγελλόμενη Τράπεζα εντελώς αντιφατικά, ενώ χαρακτήρισε τη φύση του επίδικου εγγράφου ως «εσωτερικού, που δεν κοινοποιείται σε τρίτους», εν τούτοις, το χορήγησε για εξωτερική χρήση ενώπιον δικαστηρίου και αντίθετα προς τον σκοπό δημιουργίας του. Σημειώνεται επίσης ότι από η Τράπεζα δεν προσκόμισε Πολιτική πρόσβασης σε προσωπικά δεδομένα, από υποκείμενα και τρίτους, παρότι της ζητήθηκε. στ) Το γεγονός ότι από την παράβαση επηρεάστηκαν δεδομένα προσωπικού χαρακτήρα απλά μεν, ιδιαίτερης όμως προσωπικής φύσης, όπως το γεγονός της τήρησης θυρίδας και το περιεχόμενο της θυρίδας του καταγγέλλοντος (που εμπίπτει στο τραπεζικό απόρρητο). Βάσει των ανωτέρω, η Αρχή αποφασίζει ομόφωνα ότι πρέπει να επιβληθεί στην καταγγελλόμενη ΑΛΦΑ ΤΡΑΠΕΖΑ Α.Ε. ως υπεύθυνη επεξεργασίας, η αναφερόμενη στο διατακτικό διοικητική κύρωση, η οποία κρίνεται ανάλογη με τη βαρύτητα των παραβάσεων. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ Επιβάλλει στην ΑΛΦΑ ΤΡΑΠΕΖΑ Α.Ε. διοικητικό πρόστιμο ύψους σαράντα χιλιάδων (40.000 €) ευρώ για την κατά παράβαση των διατάξεων του άρθρου 5 παρ. 1 α’ και 13 ΓΚΠΔ επεξεργασία των δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος. Ο Πρόεδρος Η Γραμματέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου