Επίπληξη στην Τράπεζα Eurobank Ergasias Α.Ε για μη έγκαιρη υποβολή γνωστοποίησης περιστατικού παραβίασης προσωπικών δεδομένων

Αθήνα, 09-11-2018 Αριθ. Πρωτ.: Γ/ΕΞ/6698-1/09-11-2018 ΕΛΛΗΝΙΚΗ ΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ Ε ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΑΠΟΦΑΣΗ ΑΡ. 69/ 2018 (Τµήµα) Η Αρχή Προστασ ας ∆εδοµένων Προσωπικού Χαρακτήρα συνεδρ ασε σε σύνθεση Τµήµατος µετά από πρόσκληση του Προέδρου της στην έδρα της την Τετάρτη 07-11-2018, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Αναπληρωτής Πρόεδρος, Γεώργιος Μπατζαλέξης, κωλυοµένου του Προέδρου της Αρχής, Κωνσταντ νου Μενουδάκου, o Κωνσταντ νος Λαµπρινουδάκης, τακτικό µέλος, και τα αναπληρωµατικά µέλη Παναγιώτης Ροντογιάννης, ως εισηγητής, και Γρηγόριος Τσόλιας, σε αναπλήρωση των τακτικών µελών Αντων ου Συµβώνη και Χαράλαµπου Ανθόπουλου, αντ στοιχα, οι οπο οι, αν και εκλήθησαν νοµ µως εγγράφως, δεν παρέστησαν λόγω κωλύµατος. Στη συνεδρ αση παρέστησαν, µε εντολή του Προέδρου, οι Γεώργιος Ρουσόπουλος και Κωνσταντ νος Λιµνιώτης, ειδικο επιστήµονες – ελεγκτές, ως βοηθο εισηγητή. Επ σης, παρέστη, µε εντολή του Προέδρου, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του ∆ιοικητικού Τµήµατος της Αρχής, ως γραµµατέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Υποβλήθηκε στην Αρχή, από την εταιρε α «ΤΡΑΠΕΖΑ EUROBANK ERGASIAS Α.Ε.» (εφεξής Eurobank και Τράπεζα) η υπ΄ αριθµ. πρωτ. Γ/ΕΙΣ/6698/07-08-2018 γνωστοπο ηση περιστατικού παραβ ασης δεδοµένων προσωπικού χαρακτήρα, σύµφωνα µε το άρ. 33 του Γενικού Κανονισµού (ΕΕ) 2016/679 (Γενικός Κανονισµός Προστασ ας ∆εδοµένων – εφεξής, ΓΚΠ∆). Η αρχική γνωστοπο ηση συµπληρώθηκε µε τα υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/7004/24-08-2018 και Γ/ΕΙΣ/7097/30-08-2018 έγγραφα της Τράπεζας. Σύµφωνα µε την εν λόγω γνωστοπο ηση, το περιστατικό αφορούσε πέντε Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr µεµονωµένες περιπτώσεις κοινοπο ησης µε µήνυµα ηλεκτρονικού ταχυδροµε ου (email) αποδε ξεων και παραστατικών σε διαφορετικό συναλλασσόµενο, από υποκαταστήµατα της Τράπεζας. Η Τράπεζα προχώρησε σε διερεύνηση και διακοπή της λειτουργικότητας αποστολής των στα υποκαταστήµατα, έως ότου γ νει ανασχεδιασµός της λειτουργ ας για να αποκλεισθούν ανθρώπινα λάθη, ακόµα κι αν αυτά προέρχονται από λάθος δήλωση του πελάτη της Τράπεζας. Η Τράπεζα δηλώνει ότι έλαβε γνώση για τα πέντε περιστατικά στις: 10-07-2018, 25/07/2018, 27/07/2018, 30/07/2018 και 01/08/2018, ενώ υπέβαλε τη γνωστοπο ηση στις 03/08/

1. Ως αιτιολογ α για την καθυστερηµένη υποβολή της γνωστοπο ησης σε σχέση µε τα όσα προβλέπονται στο άρθρο 32 του ΓΚΠ∆ για την προθεσµ α υποβολής (όπως αναλύεται στη συνέχεια) αναφέρει τη διερεύνηση και επιβεβα ωση των περιστατικών και των αιτιών αυτών. Τα επηρεαζόµενα φυσικά πρόσωπα, πελάτες της Τράπεζας, ενηµερώθηκαν τηλεφωνικά για το περιστατικό και τις ενδεχόµενες συνέπειές του, στις 9 και 10/8/2018 και οι κλήσεις έχουν καταγραφε προς απόδειξή τους. Η Αρχή, µετά από εξέταση όλων των στοιχε ων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκριν σεις των βοηθών εισηγητή, οι οπο οι στη συνέχεια αποχώρησαν πριν από τη διάσκεψη και τη λήψη απόφασης, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
2. Ο ΓΚΠ∆, ο οπο ος αντικατέστησε την Οδηγ α 95/56/ΕΚ, ε ναι σε εφαρµογή από τις 25 Μαΐου
3. Το άρθρο 4 του ΓΚ∆Π ορ ζει ότι «δεδοµένα προσωπικού χαρακτήρα» ε ναι «κάθε πληροφορ α που αφορά ταυτοποιηµένο ή ταυτοποιήσιµο φυσικό πρόσωπο (υποκε µενο των δεδοµένων)». Στο διο άρθρο επ σης ορ ζεται ως επεξεργασ α «κάθε πρά η ή σειρά πρά εων που πραγµατοποιείται µε ή χωρίς τη χρήση αυτοµατοποιηµένων µέσων, σε δεδοµένα προσωπικού χαρακτήρα ή σε σύνολα δεδοµένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρµογή ή η µεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση µε διαβίβαση, η διάδοση ή κάθε άλλη µορφή διάθεσης, η συσχέτιση ή ο συνδυασµός, ο περιορισµός, η διαγραφή ή η καταστροφή». Περαιτέρω, ως υπεύθυνος επεξεργασ ας ορ ζεται οποιοσδήποτε (το φυσικό ή νοµικό πρόσωπο, η δηµόσια αρχή, η υπηρεσ α ή άλλος φορέας) που, «µόνος ή από κοινού µε άλλον, καθορίζουν τους σκοπούς και τον τρόπο της επε εργασίας δεδοµένων προσωπικού χαρακτήρα». 2 Στο διο άρθρο ορ ζεται η παραβ αση δεδοµένων προσωπικού χαρακτήρα ως «η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνοµη καταστροφή, απώλεια, µεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδοµένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επε εργασία».
4. Οι αρχές που διέπουν την επεξεργασ α δεδοµένων προσωπικού χαρακτήρα ορ ζονται στο άρθρο 5 παρ. 1 του ΓΚ∆Π – µεταξύ αυτών, όπως επισηµα νεται στο άρθρο 5 παρ. 1 στοιχ. στ’ αυτού, τα δεδοµένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασ α κατά τρόπο που εγγυάται την ενδεδειγµένη ασφάλεια των δεδοµένων προσωπικού χαρακτήρα, µεταξύ άλλων την προστασ α τους από µη εξουσιοδοτηµένη ή παράνοµη επεξεργασ α και τυχα α απώλεια, καταστροφή ή φθορά, µε τη χρησιµοπο ηση κατάλληλων τεχνικών ή οργανωτικών µέτρων («ακεραιότητα και εµπιστευτικότητα»). Περαιτέρω, στην παράγραφο 2 του διου άρθρου, αναφέρεται ότι ο υπεύθυνος επεξεργασ ας φέρει την ευθύνη και ε ναι σε θέση να αποδε ξει τη συµµόρφωση µε την παράγραφο 1 («λογοδοσ α»).
5. Αναφορικά µε τη περιστατικά παραβ ασης δεδοµένων προσωπικού χαρακτήρα, ο ΓΚΠ∆ ορ ζει συγκεκριµένες υποχρεώσεις για τους υπευθύνους επεξεργασ ας. Συγκεκριµένα, στο άρθρο 33, ορ ζεται ότι σε περ πτωση παραβ ασης δεδοµένων προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασ ας γνωστοποιε αµελλητ και, αν ε ναι δυνατό, εντός 72 ωρών από τη στιγµή που αποκτά γνώση του γεγονότος την παραβ αση των δεδοµένων προσωπικού χαρακτήρα στην αρµόδια εποπτική αρχή, εκτός εάν η παραβ αση δεδοµένων προσωπικού χαρακτήρα δεν ενδέχεται να προκαλέσει κ νδυνο για τα δικαιώµατα και τις ελευθερ ες των φυσικών προσώπων. Όταν η γνωστοπο ηση στην εποπτική αρχή δεν πραγµατοποιε ται εντός 72 ωρών, συνοδεύεται από αιτιολόγηση για την καθυστέρηση. Στην παράγραφο 3 του προαναφερθέντος άρθρου ορ ζονται τα ελάχιστα στοιχε α που πρέπει να περιέχει η γνωστοπο ηση ενώ στην παρ. 4 ότι σε περ πτωση που και εφόσον δεν ε ναι δυνατόν να παρασχεθούν οι πληροφορ ες ταυτόχρονα, µπορούν να παρέχονται σταδιακά χωρ ς αδικαιολόγητη καθυστέρηση.
6. Στην προκειµένη περ πτωση, όπως προκύπτει από τα στοιχε α του φακέλου της υπόθεσης, ο υπεύθυνος επεξεργασ ας υπέβαλε τη γνωστοπο ηση παραβ ασης δεδοµένων προσωπικού χαρακτήρα µε καθυστέρηση 24 ηµερών από τη στιγµή κατά την οπο α για πρώτη φορά ενηµερώθηκε για το περιστατικό. Η αιτιολογ α που αναφέρει για την καθυστερηµένη γνωστοπο ηση όπως περιγράφεται στο ιστορικό της παρούσας, ήτοι η διερεύνηση και επιβεβα ωση των περιστατικών και των αιτιών αυτών, δεν µπορε να δικαιολογήσει την ως άνω καθυστέρηση, καθώς ο χρόνος των 24 ηµερών ε ναι σαφώς υπερβολικός, λαµβάνοντας υπόψη τη φύση του εν λόγω περιστατικού. Εξάλλου, αναφορικά 3 µε τη διαδικασ α υποβολής γνωστοπο ησης στην Αρχή, ο εκάστοτε υπεύθυνος επεξεργασ ας έχει τη δυνατότητα να υποβάλλει τη γνωστοπο ηση και σταδιακά – ήτοι να προβε σε γνωστοπο ηση στην Αρχή ακόµα και αν δεν διαθέτει όλες τις σχετικές πληροφορ ες κατά τη στιγµή της αρχικής υποβολής. Συνεπώς, προκύπτει καθυστερηµένη ενεργοπο ηση της διαδικασ ας χειρισµού περιστατικών παραβ ασης δεδοµένων προσωπικού χαρακτήρα. Το περιστατικό ήταν εξαιρετικά περιορισµένο, αφορούσε µόνο πέντε πελάτες της Τράπεζας και, από τη στιγµή που ξεκ νησαν οι διαδικασ ες χειρισµού του, φα νεται να αντιµετωπ στηκε ορθά.
7. Ενόψει της παράβασης που διαπιστώθηκε, δηλαδή της καθυστερηµένης κατά πλέον των ε κοσι