Επιβολή προστίμου στην Τειρεσίας Α.Ε. για παράλειψη λήψης μέτρων ασφαλείας

Αθήνα, 12.06.2015 Αριθ. Πρωτ. Γ/ΕΞ/3414/12.06.2015 ΑΡΧΗ ΠΡΟ ΤΑ ΙΑ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟ ΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΑΠΟΦΑΣΗ Α . 64/ 2015 Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα, συνήλθε µετά από πρόσκληση του Προέδρου της σε τακτική συνεδρίαση την 28-04-2015 και ώρα 10.00, σε συνέχεια των από 31-032015, 24-03-2015, 10-02-2015, 20-01-2015 και 30-09-2014 συνεδριάσεων και εξ αναβολής των από 25-06-2014 και 16-12-2014 συνεδριάσεων, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος Π. Χριστόφορος και τα τακτικά µέλη της Αρχής Λ. Κοτσαλής, Α.-Ι. Μεταξάς, ∆. Μπριόλας, Α. υµβώνης, Κ. Χριστοδούλου, ως εισηγητής, και Π. Τσαντίλας. τη συνεδρίαση, χωρίς δικαίωµα ψήφου, παρέστη, µε εντολή του Προέδρου, η Κ. Λωσταράκου, ειδικός επιστήµονας – ελεγκτής, ως βοηθός εισηγητής, η οποία αποχώρησε µετά τη συζήτηση και πριν τη διάσκεψη και λήψη της απόφασης, και η Ε. Παπαγεωργοπούλου, υπάλληλος του τµήµατος διοικητικών και οικονοµικών υποθέσεων, ως γραµµατέας. Ως βοηθοί εισηγητές είχαν οριστεί και οι Γ. Ρουσόπουλος και Θ. Τουτζιαράκη, οι οποίοι λόγω κωλύµατος δεν παρέστησαν στη συνεδρίαση αυτή. Η Αρχή έλαβε υπόψη τα παρακάτω: Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα (εφεξής «Αρχή») πραγµατοποίησε στις 19-03-2013, 03-04-2013 και 25-07-2013 επιτόπιο έλεγχο στην εταιρεία «ICAP GROUP ΑΝΩΝΥΜΗ ΕΤΑΙΡΕΙΑ ΕΠΙΧΕΙΡΗΜΑΤΙΚΗ ΠΛΗΡΟΦΟΡΗ Η ΚΑΙ ΥΠΗΡΕ ΙΕ ΠΡΟ ΥΜΒΟΥΛΟΙ ∆ΙΟΙΚΗ Η ΕΠΙΧΕΙΡΗ ΕΙ » (εφεξής «ICAP» ή «υπεύθυνος επεξεργασίας») αναφορικά µε την προστασία των προσωπικών δεδοµένων που επεξεργάζεται η εν λόγω εταιρεία για τον σκοπό του ελέγχου της πιστοληπτικής ικανότητας επιχειρήσεων. Ο έλεγχος πραγµατοποιήθηκε στις εγκαταστάσεις του υπεύθυνου επεξεργασίας, Ελ Βενιζέλου 2, 17676, Καλλιθέα, από τους υπαλλήλους του Τµήµατος Ελεγκτών της Γραµµατείας της Αρχής Κυριακή Λωσταράκου, Αθηνά Μπούρκα, Γεώργιο Ρουσόπουλο και Θεοδώρα Τουτζιαράκη (εφεξής «οµάδα ελέγχου»), µετά από την µε αρ. πρωτ. Γ/ΕΞ/1979/15-03-2013 εντολή του Προέδρου της Αρχής. Ενώ ήταν σε εξέλιξη η επεξεργασία των πειστηρίων του ανωτέρω ελέγχου, η οµάδα ελέγχου απέστειλε, προκειµένου να δοθούν επιπλέον διευκρινίσεις, το µε αρ. πρωτ. Γ/ΕΞ/4982/24-07-2013 έγγραφο στην ΤΕΙΡΕ ΙΑ Α.Ε. – Τραπεζικά υστήµατα Πληροφοριών (εφεξής ΤΕΙΡΕ ΙΑ ΑΕ) ζητώντας τις εξής πληροφορίες για είκοσι τρεις κωδικούς χρήστη µε πρόσβαση στις εφαρµογές της εν λόγω εταιρείας που βρέθηκε να χρησιµοποιούνται από την ICAP. υγκεκριµένα: α) Τα πλήρη στοιχεία των χρηστών στους οποίους έχουν αποδοθεί οι κωδικοί και τυχόν ιστορικό αλλαγών. β) Τις ηµεροµηνίες ενεργοποίησης και τα αντίστοιχα αιτήµατα για την ενεργοποίηση των κωδικών. γ) Τα αποδοθέντα δικαιώµατα πρόσβασης για τους κωδικούς από την ηµεροµηνία ενεργοποίησής τους έως και σήµερα. δ) τατιστικά στοιχεία για τον αριθµό των καταγεγραµµένων προσβάσεων που έχουν πραγµατοποιηθεί από τους κωδικούς αυτούς για το χρονικό διάστηµα από την αρχή του έτους έως και την ηµέρα του εγγράφου. Τα στοιχεία ζητήθηκε να είναι οµαδοποιηµένα ανά µήνα και ανά διαθέσιµη ενέργεια. Η ΤΕΙΡΕ ΙΑ ΑΕ απάντησε µε το υπ’ αριθµ. πρωτ. Γ/ΕΙ /5639/0309-2013 υπόµνηµά της. Κατόπιν της απάντησης αυτής και των έως τότε ευρηµάτων (ιδίως την από 27.12.2010 σύµβαση, αντικείµενο της οποίας είναι η κατ’ εντολή και για λογαριασµό της Alpha Bank επεξεργασία δεδοµένων οικονοµικής συµπεριφοράς συγκεκριµένων πελατών ή υποψήφιων πελατών της από την ICAP), η οµάδα ελέγχου απέστειλε το υπ’ αριθµ. πρωτ. Γ/ΕΞ/2043-1/15-10-2013 έγγραφο προς την Alpha Bank Α.Ε. (∆ιεύθυνση Κανονιστικής υµµόρφωσης) ζητώντας διευκρινίσεις και στοιχεία ως εξής: α) Να χορηγηθούν αντίγραφα καταλόγου πελατών ή/και υποψήφιων πελατών της Alpha Bank για τους οποίους ζητήθηκε από την ICAP να αντλήσει στοιχεία από τα αρχεία της ΤΕΙΡΕ ΙΑ Α.Ε. σύµφωνα µε το άρθρο 6 της προαναφερθείσας σύµβασης. Να αναφερθούν οι ακριβείς πληροφορίες που στέλνει η Alpha Bank στην ICAP για τη διενέργεια της εν λόγω επεξεργασίας και να περιγραφεί η διαδικασία σύµφωνα µε την οποία χορηγούνται στην τελευταία τα απαιτούµενα στοιχεία. β) Με ποιο τρόπο εξασφαλίζεται η συγκατάθεση των υποκειµένων για την πρόσβαση της ICAP στο ύστηµα υγκέντρωσης Χορηγήσεων ( Χ) της ΤΕΙΡΕ ΙΑ Α.Ε. γ) ∆εδοµένου ότι, σύµφωνα µε το άρθρο 5.2 της προαναφερθείσας σύµβασης, η ICAP έχει αναλάβει την «αποτύπω η ε ηλεκτρονικό αρχείο των αποτελε µάτων των ελέγχων, που προκύπτουν από το ύ τηµα της ΤΕΙΡΕΣΙΑΣ, για τις αιτή εις πι τοδοτή εων», να σταλούν στην Αρχή αντίγραφα όλων των σχετικών ηλεκτρονικών αρχείων που της έχει χορηγήσει η ICAP και αντίγραφα αιτήσεων πελατών που αιτούνται πιστοδοτήσεις και των οποίων τα στοιχεία έχει χορηγήσει στην ICAP. δ) ∆εδοµένου ότι, σύµφωνα µε το άρθρο 2.3 της προαναφερθείσας σύµβασης, η συνεργασία µε την ICAP είχε ξεκινήσει από το έτος 2006, να στείλει αντίγραφο της από 19.12.2006 σύµβασής της µε την ICAP, καθώς και της από 15.04.2010 πρόσθετης πράξης αυτής. Η Alpha Bank απάντησε µε το υπ’ αριθµ. πρωτ. Γ/ΕΙ /7234/14-11-2013 έγγραφό της. τη συνέχεια, η οµάδα ελέγχου µελέτησε τα Πρακτικά, πραγµατοποίησε ανάλυση των ψηφιακών πειστηρίων που συλλέχθηκαν κατά τον έλεγχο και υπέβαλε στην Αρχή το υπ’ αριθµ. πρωτ. Γ/ΕΙ /3711/12-06-2014 Πόρισµα, το οποίο συνοδεύεται από τρία παραρτήµατα: α) Το Παράρτηµα Α όπου παρατίθεται αντίγραφο των πρακτικών ελέγχου µε αριθµ. πρωτ. Γ/ΕΞ/3096/30-04-2013, β) το Παράρτηµα Β, µε τα αποτελέσµατα της ανάλυσης των πειστηρίων, και γ) το Παράρτηµα Γ, όπου περιγράφονται αποτελέσµατα εξέτασης στοιχείων του πορίσµατος. Τα Παραρτήµατα αποτελούν αναπόσπαστο µέρος του Πορίσµατος. υνοπτικά, στο Πόρισµα της οµάδας ελέγχου καταγράφονται, µεταξύ άλλων, τα εξής ευρήµατα σε σχέση µε την ICAP: • Εύρηµα 1: Πρόσβαση της ICAP σε δεδοµένα προσωπικού χαρακτήρα που τηρούνται από την ΤΕΙΡΕ ΙΑ Α.Ε.. Καταχώριση και επεξεργασία αυτών χωρίς κάποια µορφή διαχωρισµού. Χρήση των δεδοµένων για σκοπούς άλλους από τη σύµβαση µε την Alpha Bank. • Εύρηµα 2: Μη διαφοροποίηση της πρόσβασης πληροφοριών του υστήµατος Αθέτησης Υποχρεώσεων ( ΑΥ), υστήµατος Υποθηκών-Προσηµειώσεων( ΥΠ) και του υστήµατος υγκέντρωσης Χορηγήσεων ( Χ) (Ευθύνη της ΤΕΙΡΕ ΙΑ Α.Ε.). […] Ακολούθως, οι εταιρείες ICAP, ALPHA BANK και ΤΕΙΡΕ ΙΑ Α.Ε. κλήθηκαν νοµίµως σε ακρόαση κατά τη συζήτηση της υπόθεσης ενώπιον της Αρχής στις 25-06-2014 µε τις υπ’ αριθµ. πρωτ. Γ/ΕΞ/3722/13-06-2014, Γ/ΕΞ/3721/13-06-2014 και Γ/ΕΞ/3723/13-06-2014 κλήσεις, αντίστοιχα. Ωστόσο, οι εταιρείες ICAP και ΤΕΙΡΕ ΙΑ Α.Ε. ζήτησαν και έλαβαν αναβολή για τη συζήτηση της υπόθεσης µε τα υπ’ αριθµ. πρωτ. Γ/ΕΙ /3819/17-06-2014 και Γ/ΕΙ /3970/24-062014 αιτήµατα αναβολής, αντίστοιχα. Ως εκ τούτου, οι εταιρείες ICAP, ALPHA BANK και ΤΕΙΡΕ ΙΑ Α.Ε. κλήθηκαν εκ νέου κατά τη συζήτηση της υπόθεσης ενώπιον της Αρχής στις 3009-2014 µε τις υπ’ αριθµ. πρωτ. Γ/ΕΞ/3711-1/17-09-2014, Γ/ΕΞ/3711-2/17-09-2014 και Γ/ΕΞ/3711-3/17-09-2014 κλήσεις, αντίστοιχα, και παρέστησαν. Κατά τη συνεδρίαση, οι κληθείσες εξέθεσαν προφορικά τις απόψεις τους, τις οποίες ανέπτυξαν κατόπιν διεξοδικώς µε σχετικά υποµνήµατά τους (βλ. υπ’ αριθµ. πρωτ. Γ/ΕΙ /6197/14-10-2014, Γ/ΕΙ /6214/14-10-2014 και Γ/ΕΙ /6244/15-10-2014 υποµνήµατα της ΤΕΙΡΕ ΙΑ Α.Ε., της ICAP και της ALPHA BANK αντίστοιχα). τη συνέχεια, µε σκοπό τη διερεύνηση της φύσης της συνεργασίας των εταιρειών ICAP και ALPHA BANK ζητήθηκαν συµπληρωµατικά στοιχεία από την ΤΕΙΡΕ ΙΑ Α.Ε. και την ALPHA BANK µε τα υπ’ αριθµ. πρωτ. Γ/ΕΞ/6680/04-11-2014 και Γ/ΕΞ/6679/04-11-2014 έγγραφα της Αρχής, αντίστοιχα. Η ΤΕΙΡΕ ΙΑ Α.Ε. απάντησε µε το υπ’ αριθµ. πρωτ. Γ/ΕΙ /7089/20-11-2014 έγγραφό της, ενώ η ALPHA BANK απάντησε καθυστερηµένα µε το υπ’ αριθµ. πρωτ Γ/ΕΙ /7849/12-12-2014 έγγραφό της. υγκεκριµένα, ζητήθηκαν από την ΤΕΙΡΕ ΙΑ Α.Ε. αναλυτικά στοιχεία των προσβάσεων που πραγµατοποιήθηκαν κατά το µήνα Μάρτιο του έτους 2013 σε δεδοµένα Οικονοµικών Μονάδων της Τειρεσίας Α.Ε. από όλους τους λογαριασµούς που είχαν αποδοθεί στην Alpha Bank και χρησιµοποιήθηκαν από την εταιρεία ICAP. Από τα στοιχεία αυτά προκύπτει πρόσβαση σε στοιχεία τόσο του συστήµατος ΑΥ/ ΥΠ όσο και του συστήµατος Χ. υγκεκριµένα, σε σύνολο 11.190 προσβάσεων σε στοιχεία φυσικών προσώπων έγινε πρόσβαση σε στοιχεία Χ σε 6.322 περιπτώσεις. Η Αρχή, µετά από εξέταση όλων των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις των βοηθών εισηγητών, οι οποίοι στη συνέχεια αποχώρησαν, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ

1. το άρθρο 2 στοιχ. α΄, γ΄, ζ΄, η΄ και ι΄ του ν. 2472/1997, όπως ισχύει, ορίζονται οι έννοιες των «απλών» δεδοµένων, του υποκειµένου αυτών, του υπεύθυνου επεξεργασίας, του εκτελούντος την επεξεργασία και του αποδέκτη αντίστοιχα. Ακολούθως, στο άρθρο 4 του ίδιου νόµου ορίζονται οι βασικές αρχές της επεξεργασίας, ενώ στο άρθρο 5 του ίδιου νόµου ορίζονται οι επιµέρους προϋποθέσεις για τη νοµιµότητά της. Περαιτέρω, στο άρθρο 6 του ίδιου νόµου προβλέπεται η υποχρέωση του υπεύθυνου επεξεργασίας να γνωστοποιήσει εγγράφως στην Αρχή τη σύσταση και λειτουργία αρχείου ή την έναρξη της επεξεργασίας, καθώς και κάθε µεταβολή των στοιχείων που αναφέρονται στην παρ. 2 εδαφ. α-η του ίδιου άρθρου χωρίς καθυστέρηση. Επιπρόσθετα, στο άρθρο 10 του ίδιου νόµου ορίζονται οι υποχρεώσεις του υπεύθυνου επεξεργασίας και του εκτελούντος την επεξεργασία σχετικά µε το απόρρητο και την ασφάλεια της επεξεργασίας, από όπου προκύπτει ρητά ότι ουσιώδες στοιχείο της νόµιµης επεξεργασίας είναι η λήψη των κατάλληλων µέτρων ασφάλειας και ο έλεγχος αυτών από τον υπεύθυνο επεξεργασίας. Τα µέτρα ασφάλειας πρέπει α) να διασφαλίζουν ότι τα δεδοµένα χρησιµοποιούνται µόνον για τον εκάστοτε επιδιωκόµενο σκοπό και β) να εξασφαλίζουν επίπεδο ασφαλείας ανάλογο προς τους κινδύνους που συνεπάγεται η επεξεργασία και η φύση των δεδοµένων που είναι αντικείµενο της επεξεργασίας.
2. ύµφωνα µε το άρθρο 40 παρ. 2 του ν. 3259/2004 για τα αρχεία δεδοµένων οικονοµικής συµπεριφοράς, όπως τροποποιήθηκε βάσει του άρθρου 70 του ν. 3746/2009 και του άρθρου 4 του ν. 3816/2010: «
3. Επιτρέπεται τα πι τωτικά και χρηµατοδοτικά ιδρύµατα η διαβίβα η προς καταχώρι η δεδοµένων επί των εκά τοτε ανεξόφλητων υπολοίπων δανείων ή και πι τώ εων, περιλαµβανοµένων και των υφι τάµενων, που χορηγούν ε φυ ικά ή νοµικά πρό ωπα ή ενώ εις προ ώπων, ε αρχείο δεδοµένων οικονοµικής υµπεριφοράς που λειτουργεί νόµιµα, χάριν αυτών, χωρίς την προϋπόθε η του άρθρου 5 παρ. 1 του ν. 2472/1997 (ΦΕΚ 50 Α`). Η πρό βα η των πι τωτικών και χρηµατοδοτικών ιδρυµάτων τα ως άνω δεδοµένα επιτρέπεται µόνο κατά τους όρους και προϋποθέ εις του ν. 2472/1997, όπως εκά τοτε ι χύει και εφαρµόζεται. […]». πρόσβαση των τραπεζών στα δεδοµένα του « υστήµατος υνεπώς, η υγκέντρωσης Χορηγήσεων (εφεξής Χ» - λευκή λίστα) της ΤΕΙΡΕ ΙΑ Α.Ε. επιτρέπεται µόνο µε τη συγκατάθεση του υποκειµένου των δεδοµένων σύµφωνα µε το άρθρο 5 παρ. 1 σε συνδυασµό µε τη διάταξη του άρθρου 40 του ν. 3259/2004 παρ. 2 εδ. β΄, όπως ισχύει.
4. Με τις κανονιστικές αποφάσεις 24/2004 και 25/2004, η Αρχή όρισε τις προϋποθέσεις τήρησης αρχείου από την ΤΕΙΡΕ ΙΑ Α.Ε. κοπός τήρησης και λειτουργίας του εν λόγω αρχείου είναι «η ελαχι τοποίη η των κινδύνων από τη ύναψη πι τωτικών υµβά εων µε αφερέγγυους πελάτες και εν γένει από τη δηµιουργία επι φαλών απαιτή εων και τελικά η προ τα ία της εµπορικής πί της και η εξυγίαν η των οικονοµικών υναλλαγών», ενώ η σχετική επεξεργασία επιτρέπεται ως επεξεργασία απολύτως αναγκαία για την ικανοποίηση του υπέρτερου έννοµου συµφέροντος του υπεύθυνου επεξεργασίας και των νοµίµων αποδεκτών των δεδοµένων, δηλαδή, κατά κύριο λόγο, των µοναδικών µετόχων του τραπεζικών ιδρυµάτων, σύµφωνα µε το άρθρο 5 παρ. 2 στοιχ. ε΄ του ν. 2472/1997 (βλ. παρ. 1 της απόφασης 24/2004). υνεπώς, η πρόσβαση των τραπεζών στα δεδοµένα του υστήµατος Αθέτησης Υποχρεώσεων & υστήµατος Υποθηκών – Προσηµειώσεων (εφεξής « ΑΥ/ ΥΠ» - µαύρη λίστα) επιτρέπεται χωρίς συγκατάθεση του υποκειµένου των δεδοµένων, ως επεξεργασία απολύτως αναγκαία για την ικανοποίηση του ως άνω υπέρτερου έννοµου συµφέροντος τους, σύµφωνα µε το άρθρο 5 παρ. 2 στοιχ. ε΄ του ν. 2472/1997 σε συνδυασµό µε τις Κανονιστικές Αποφάσεις 24/2004 και 25/2004 της Αρχής. Επισηµαίνεται δε ότι, σύµφωνα µε την παρ. 4 της απόφασης 24/2004, «Αποδέκτες των δεδοµένων, ύµφωνα µε τον κοπό της επεξεργα ίας, δικαιολογείται να είναι µόνο οι τράπεζες, τα χρηµατοπι τωτικά ιδρύµατα και οι εταιρείες διαχείρι ης πι τωτικών καρτών, καθώς και φορείς του δηµό ιου τοµέα, όχι τρίτοι µετέχοντες τις οικονοµικές υναλλαγές και ακόµη λιγότερο µη µετέχοντες. Επι ηµαίνεται δε την αυτή απόφα η ότι ήδη η «Τειρε ίας Α.Ε.» γνω τοποίη ε την Αρχή, ότι το ∆.Σ. της αποφά ι ε να περιορί ει µόνο τους παραπάνω νοµιµοποιούµενους, κατά τον κοπό της επεξεργα ίας, αποδέκτες τη διακίνη η των δεδοµένων. Είναι αυτονόητο ότι µόνον οι παραπάνω αποδέκτες προ ωπικών δεδοµένων έχουν το δικαίωµα χρη ιµοποίη ης τους. Η περαιτέρω επεξεργα ία τους (διαβίβα η ε τρίτους κ.λ.π.) από αυτούς είναι απολύτως απαγορευτική.». ύµφωνα µε τα ανωτέρω και τις σχετικές ενηµερώσεις της ΤΕΙΡΕ ΙΑ Α.Ε. στα υποκείµενα των δεδοµένων (βλ., ενδεικτικά, έντυπο µε τίτλο «Ωφέλεια και Αναγκαιότητα Αρχείων ΤΕΙΡΕ ΙΑ », Μάρτιος 2009, καθώς και την από 3011-2008 ενηµέρωση δια του τύπου στην εφηµερίδα «ΠΡΩΤΟ ΘΕΜΑ»), οι νόµιµοι αποδέκτες του αρχείου της ΤΕΙΡΕ ΙΑ Α.Ε. µπορούν να διακριθούν σε τρεις κατηγορίες (βλ. παρ. 4 της απόφασης 24/2004 και παρ. Β΄ της απόφασης 25/2004): α) χρηµατοπιστωτικά ιδρύµατα (όπως τράπεζες, εταιρίες έκδοσης/διαχείρισης καρτών, εταιρίες χρηµατοδοτικής µίσθωσης - leasing, εταιρίες πρακτόρευσης επιχειρηµατικών απαιτήσεων factoring), β) φορείς του ∆ηµοσίου (όπως η Επιτροπή Καταπολέµησης της Νοµιµοποίησης Εσόδων από Εγκληµατικές ∆ραστηριότητες και Χρηµατοδότησης της Τροµοκρατίας, η Επιτροπή Κεφαλαιαγοράς και η Τράπεζα της Ελλάδος) και γ) νοµικά πρόσωπα που παρέχουν πίστη και ελέγχονται από την ΤτΕ ή από άλλες κεντρικές τράπεζες κατά τους όρους της Οδηγίας 2006/48/ΕΚ ( χετικά µε την ανάληψη και την ά κη η δρα τηριότητας πι τωτικών ιδρυµάτων) και του ν. 3601/2007 (Ανάληψη και ά κη η δρα τηριοτήτων από τα πι τωτικά ιδρύµατα, επάρκεια ιδίων κεφαλαίων των πι τωτικών ιδρυµάτων και των επιχειρή εων παροχής επενδυτικών υπηρε ιών και λοιπές διατάξεις).
5. Aναφορικά µε το πρώτο εύρηµα του προαναφερθέντος πορίσµατος [Εύρηµα 1: Πρό βα η της ελεγχόµενης ε δεδοµένα προ ωπικού χαρακτήρα που τηρούνται από την ΤΕΙΡΕΣΙΑΣ Α.Ε.. Καταχώρι η και επεξεργα ία αυτών χωρίς κάποια µορφή διαχωρι µού. Χρή η των δεδοµένων για κοπούς άλλους από τη ύµβα η µε την Alpha Bank.], διαπιστώνονται τα ακόλουθα: Οι υπάλληλοι της ICAP είχαν πρόσβαση στην ηλεκτρονική εφαρµογή της ΤΕΙΡΕ ΙΑ Α.Ε. για χρονικό διάστηµα τουλάχιστον τριών ετών (2011 έως και τέλος του 2013, οπότε και διακόπηκε η πρόσβαση). Η πρόσβαση γινόταν µε χρήση συγκεκριµένων κωδικών που έχουν εκδοθεί από την ΤΕΙΡΕ ΙΑ Α.Ε. για την ALPHA BANK και αποδοθεί από την ALPHA BANK στην ICAP. Ειδικότερα: α) Οι χειριστές της ICAP είχαν δικαιώµατα για πλήρη πρόσβαση σε στοιχεία αναζήτησης οικονοµικών µονάδων που περιλαµβάνουν και φυσικά πρόσωπα. Η πρόσβαση περιορίστηκε µετά την ηµεροµηνία του επιτόπιου ελέγχου µε αίτηµα της Alpha Bank προς την ΤΕΙΡΕ ΙΑ Α.Ε. την 04-07-2013, οπότε και ζητήθηκε η διακοπή της πρόσβασης των χρηστών της ICAP στις υπηρεσίες ΚΡΙ -ΟΜ (ενηµέρωση αλλαγών στοιχείων αθέτησης υποχρεώσεων) υγκέντρωσης Χορηγήσεων ( και στις πληροφορίες του υστήµατος Χ – λευκή λίστα). Το αίτηµα ικανοποιήθηκε λίγες µέρες αργότερα (05-07-2013 και 17-07-2013 αντίστοιχα). Οι χρήστες της ICAP αξιοποίησαν την πρόσβαση στο σύστηµα Χ. Όπως προκύπτει από τα στοιχεία που απέστειλε στην Αρχή η ΤΕΙΡΕ ΙΑ Α.Ε. µε το υπ’ αριθ. πρωτ. Γ/ΕΙ /7089/20-11-2014 έγγραφό της, σε διάστηµα ενός µήνα (το Μάρτιο του 2013), οι χρήστες της ICAP σε σύνολο 11.190 προσβάσεων σε στοιχεία φυσικών προσώπων προσπέλασαν στοιχεία Χ σε 6.322 περιπτώσεις. β) Ο αριθµός των µοναδικών προσβάσεων των χρηστών της ICAP στο σύστηµα της ΤΕΙΡΕ ΙΑ Α.Ε. είναι ιδιαίτερα µεγαλύτερος (και εξαιρετικά δυσανάλογος) σε σχέση µε τον αριθµό των πελατών της ALPHA BANK, για τους οποίους η Τράπεζα ζήτησε και έλαβε υπηρεσίες από την ICAP (βλ. στοιχεία που απέστειλαν στην Αρχή η ΤΕΙΡΕ ΙΑ ΑΕ και η ALPHA BANK µε τα υπ’ αριθµ. πρωτ. Γ/ΕΙ /5639/03-09-2013 και Γ/ΕΙ /7234/14-11-2013 έγγραφά τους, αντίστοιχα). Οι προσβάσεις των χρηστών της ICAP είναι τόσο πολλές που σε κάποιες περιπτώσεις ένας µόνο χρήστης σε ένα µήνα προσπελαύνει περισσότερα στοιχεία οικονοµικών µονάδων από όσα στοιχεία ανταλλάσει η ICAP µε την ALPHA BANK σε ένα έτος. Επίσης, ενδεικτικό είναι ότι ο µέσος όρος του αριθµού των µοναδικών προσβάσεων των χρηστών της ICAP είναι 18.363 προσβάσεις ανά µήνα, ενώ, η ALPHA BANK έχει ζητήσει από την ICAP σε διάστηµα σχεδόν τριών ετών στοιχεία για 10.939 συνολικά περιπτώσεις (βλ. παράρτηµα Γ του πορίσµατος). ∆ιαπιστώθηκε επίσης ότι τόσο η ΤΕΙΡΕ ΙΑ Α.Ε. όσο και η ALPHA BANK δεν διερεύνησαν σε καµία χρονική στιγµή τη νοµιµότητα των εν λόγω προσβάσεων. Η ΤΕΙΡΕ ΙΑ Α.Ε. υποστηρίζει ότι η ICAP απέκτησε δικαίωµα πρόσβασης στα αρχεία της µόνο για λογαριασµό της ALPHA BANK, κάτι το οποίο θεωρεί νόµιµο. Επίσης αναφέρει ότι, ενώ η ίδια δεν µπορεί να ασκήσει έλεγχο στην ICAP µε την οποία δεν είχε συµβατική σχέση, έχει αναπτύξει το ύστηµα Εξαιρετικής Χρήσης µέσω του οποίου εξουσιοδοτηµένοι προς τούτο χρήστες κάθε τράπεζας µπορούν να ελέγξουν τη χρήση που πραγµατοποιούν τα στελέχη της στα οποία έχει χορηγηθεί κωδικός πρόσβασης. Επισηµαίνει δε ότι οι προσβάσεις από τους χρήστες της ICAP κατά το έτος 2013 βρίσκονται µέσα στα πλαίσια της συνήθους και αναµενόµενης χρήσης από την ALPHA BANK και η ΤΕΙΡΕ ΙΑ Α.Ε. ήταν αντικειµενικά αδύνατο ακόµα και να υποπτευθεί ενδεχόµενη παρανοµία. Η ΤΕΙΡΕ ΙΑ A.E. δεν κατόρθωσε να αποδείξει στην Αρχή ότι διαθέτει τα κατάλληλα µέτρα ασφάλειας µε τα οποία µπορεί να διαπιστωθεί µια «µη συνήθης» επεξεργασία των δεδοµένων των αρχείων ΑΥ/ ΥΠ και Χ., Όφειλε να διερευνήσει τη νοµιµότητα του προσβάσεων από την ICAP, ιδίως εφόσον γνώριζε ότι δεν ακολουθείται η συνηθισµένη διαδικασία εκχώρησης κωδικών πρόσβασης σε υπαλλήλους τράπεζας, αλλά και λόγω της εγγενούς επικινδυνότητας που είχε η ανάθεση έργου «εκτελούντος» σε µια επιχείρηση µε αντικείµενο την παροχή πληροφοριών πιστοληπτικής ικανότητας, δηλαδή πληροφοριών που µόνον τα τραπεζικά ιδρύµατα ήταν σε θέση να έχουν λόγω των σχετικών απαγορεύσεων. Ειδικά δε το γεγονός ότι γινόταν χρήση και του θα έπρεπε να είχε οδηγήσει την ΤΕΙΡΕ ΙΑ Χ, σε άµεσες ενέργειες περαιτέρω διερεύνησης της νοµιµότητα πρόσβασης χρηστών της ICAP, δεδοµένου ότι για την πρόσβαση στα δεδοµένα αυτά απαιτείται συγκατάθεση του υποκειµένου και ότι η πρόσβαση σε αυτά ήταν κατ΄αρχήν απαγορευµένη. Ήταν δε σε γνώση της οι συµβάσεις µεταξύ ALPHA ΒΑΝΚ και ICAP και η έλλειψη όρου, ως ευνόητον, για την πρόσβαση των χρηστών της ICAP στα αρχεία της ΤΕΙΡΕ ΙΑ στο σύστηµα Χ. Η µετακύληση της ευθύνης εξ ολοκλήρου στην τράπεζα µε τη δηµιουργία του υστήµατος Εξαιρετικής Χρήσης για τον έλεγχο της νοµιµότητας της πρόσβασης από τους χρήστες της και την εκτελούσα ICAP δεν συνάδει µε τις υποχρεώσεις που υπέχει και η ίδια ως υπεύθυνος επεξεργασίας των αρχείων της. Επιπλέον δε εγνώριζε ή τουλάχιστον όφειλε να γνωρίζει από την από 27.12.2010 σύµβαση ότι οι χρήστες της ICAP δεν προσκόµισαν ειδική εντολή της ALPHA BANK ούτε εξουσιοδοτήσεις εκ µέρους των υποκειµένων για τη νόµιµη πρόσβαση και χρήση. υνεπώς, όφειλε να ελέγχει η ίδια τη χρήση των συγκεκριµένων κωδικών και µε τη διαπίστωση των παράνοµων προσβάσεων που δηµιουργούσαν κίνδυνο για παράνοµη διάδοση του περιεχοµένου των αρχείων της, να διακόψει τη χρήση (βλ. και υπόµνηµα της εταιρείας Γ/ΕΙ /6546/30-10-2014). Με βάση όλα τα παραπάνω, θα πρέπει να επιβληθεί κύρωση στην ΤΕΙΡΕ ΙΑ Α.Ε. για παράλειψη λήψης µέτρων κατά τη διάθεση/χορήγηση δεδοµένων των αρχείων ΑΥ/ ΥΠ και ιδίως στοιχείων Χ στην ICAP (µέσω παροχής πρόσβασης στα αρχεία αυτά), κατά παράβαση των άρθρων 4 παρ. 1 στοιχ. α΄, 5 παρ. 2 στοιχ. ε΄, και 10 του ν. 2472/
7. Αναφορικά µε το δεύτερο εύρηµα του προαναφερθέντος πορίσµατος [Εύρηµα 2: Μη διαφοροποίη η της πρό βα ης πληροφοριών ΣΑΥ – ΣΥΠ – ΣΣΧ (Ευθύνη της ΤΕΙΡΕΣΙΑΣ Α.Ε.)], διαπιστώνεται ότι στη φόρµα αίτησης νέου κωδικού για πρόσβαση στο σύστηµα της ΤΕΙΡΕ ΙΑ δεν γίνεται διαφοροποίηση ως προς τις υπηρεσίες πρόσβασης στα στοιχεία ΑΥ/ ΥΠ και Χ. Τούτο έχει ως αποτέλεσµα, σε όποιον χρήστη χορηγείται πρόσβαση στα στοιχεία ΑΥ/ ΥΠ, να χορηγείται µε το πάτηµα ενός πλήκτρου αυτόµατα πρόσβαση και στα στοιχεία Χ. Η ΤΕΙΡΕ ΙΑ Α.Ε. µπορεί να διαφοροποιεί την πρόσβαση παρεµβαίνοντας στα δικαιώµατα µε µη αυτόµατο τρόπο, όπως έγινε στην προκειµένη περίπτωση, µετά το αίτηµα της ALPHA BANK. Ο ισχυρισµός της ΤΕΙΡΕ ΙΑ Α.Ε. ότι τα δύο συστήµατα Χ και ΑΥ/ ΥΠ λειτουργούν για τον ίδιο σκοπό, ήτοι για τον σκοπό της εκτίµησης από τους αποδέκτες της φερεγγυότητας και της πιστοληπτικής ικανότητας των πελατών τους, και αυτό, κατά κανόνα απαιτεί πρόσβαση και στα δύο συστήµατα, δεν αναιρεί την υποχρέωση ότι πρέπει να τηρούνται κάθε φορά οι προϋποθέσεις πρόσβασης στα δυο αρχεία, οι οποίες είναι διαφορετικές. ε κάθε περίπτωση, ο διαχωρισµός είναι δυνατό να γίνει εφόσον ζητηθεί ειδικά, όπως και έγινε στην προκειµένη περίπτωση. υνέπεια της µη ύπαρξης διαχωρισµένης πρόσβασης στις αιτήσεις δηµιουργίας λογαριασµών πρόσβασης ήταν να τεθούν τα σχετικά δεδοµένα σε αυξηµένο κίνδυνο απαγορευµένης διάδοσης, καθώς αποδείχθηκε ότι η ICAP δεν αναζητούσε στοιχεία µόνο στη µαύρη λίστα, αλλά και στη λευκή και, µάλιστα, συγκέντρωσε περισσότερα από τη λευκή (βλ. στοιχεία προσβάσεων που εστάλησαν από την ΤΕΙΡΕ ΙΑ Α.Ε.). Από τα στιγµή που η ICAP είχε αποδεδειγµένη πρόσβαση σε αυτά σε τακτική βάση, δε χωρεί αµφιβολία ότι τα χρησιµοποιούσε ή ότι τουλάχιστον µπορούσε ευχερέστατα να τα χρησιµοποιήσει για άλλους σκοπούς (π.χ. προφορική ενηµέρωση δικών της πελατών ή επαλήθευση πληροφοριών – ταυτοποίηση υποκειµένων). υνεπώς, προς αποφυγή µελλοντικών αντίστοιχων κινδύνων και λαµβάνοντας υπόψη τη συνήθη τραπεζική πρακτική που οι υπάλληλοι τραπεζών επιζητούν κατά κανόνα πρόσβαση τόσο στα δεδοµένα ΑΥ/ ΥΠ, όσο και στα Χ, θα πρέπει να επιβληθεί στην ΤΕΙΡΕ ΙΑ Α.Ε. η υποχρέωση λήψης των απαραίτητων µέτρων για περαιτέρω διαφοροποίηση των δικαιωµάτων πρόσβασης των χρηστών στις αιτήσεις χορήγησης λογαριασµών πρόσβασης, σύµφωνα µε το άρθρο 10 του ν. 2472/1997 σε συνδυασµό µε άρθρα 4 και 5 του ν. 2472/1997 και µε τις Αποφάσεις 24/2004 και 25/2004 της Αρχής. Η Αρχή, λαµβάνοντας υπόψη τη βαρύτητα των παραβάσεων των άρθρων 4, 5 και 10 του ν. 2472/1997 που αποδείχθηκαν, όπως αυτή εκτέθηκε αναλυτικά ανωτέρω, κρίνει ότι πρέπει να επιβληθούν στην ΤΕΙΡΕ ΙΑ Α.Ε., ως υπεύθυνο επεξεργασίας, για κάθε µία από τις παραβάσεις αυτές, οι προβλεπόµενες στο άρθρο 21 παρ. 1 εδαφ. α΄ και β΄ του ν. 2472/1997 κυρώσεις που αναφέρονται στο διατακτικό και οι οποίες τυγχάνουν ανάλογες µε τη βαρύτητα ων παραβάσεων. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, επιβάλλει στην ΤΕΙΡΕ ΙΑ Α.Ε.
8. Πρόστιµο ύψου 30.000 (τριάντα χιλιάδων) για παράλειψη λήψης µέτρων κατά τη διάθεση/χορήγηση δεδοµένων των αρχείων ΑΥ/ ΥΠ και Χ στην ICAP (µέσω παροχής πρόσβασης στα αρχεία αυτά)
9. Προειδοποίηση να τροποποιήσει τα δικαιώµατα πρόσβασης στα αρχεία ΑΥ/ ΥΠ και Χ εντός τριµήνου από τη λήψη της παρούσας σύµφωνα µε τον τρόπο που περιγράφεται στο σκεπτικό της. Ο Πρόεδρος Η Γραµµατέας Πέτρος Χριστόφορος Ειρήνη Παπαγεωργοπούλου