Εξέταση εκ νέου αυτεπαγγέλτως της ενδεχόμενης παραβίασης των κανόνων επεξεργασίας προσωπικών δεδομένων από το «Ταχυδρομικό Ταμιευτήριο Ελλάδος ΑΤΕ», κ

Αθήνα, 22-05-2012 Αριθ. Πρωτ.: Γ/ΕΞ/3717/22-05-2012 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Α Π Ο Φ Α Σ Η 74/2012 Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνήλθε µετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση την 2-2-2012 στην έδρα της, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Π. Χριστόφορος, Πρόεδρος της Αρχής, και οι Αν. – Ιωάν. Μεταξάς, ∆. Μπριόλας, Γρ. Πάντζιου, Αν. Πράσσος, Λ. Κοτσαλής, ο οποίος είχε οριστεί εισηγητής και Αντ. Ρουπακιώτης, τακτικά µέλη της Αρχής. Παρούσα στη συνεδρίαση, χωρίς δικαίωµα ψήφου, ήταν η Γ. Παναγοπούλου, πληροφορικός ελέγκτρια, ως βοηθός εισηγήτρια. Επίσης, παρέστη, µε εντολή του Προέδρου, και η Γεωργία Παλαιολόγου, υπάλληλος του ∆ιοικητικού – Οικονοµικού Τµήµατος της Αρχής, ως γραµµατέας. Η Αρχή, µετά την ανάκληση της µε αρ. 11/2005 απόφασής της µε την απόφαση 73/2011, εξέτασε εκ νέου αυτεπάγγελτα το θέµα της ενδεχόµενης παραβίασης των κανόνων επεξεργασίας προσωπικών δεδοµένων από το «Ταχυδροµικό Ταµιευτήριο Ελλάδος ΑΤΕ», ως ειδικό διάδοχο της «Τ-Bank ATE» (πρώην Aspis Bank), κατόπιν εγγράφων που παραδόθηκαν στην Αρχή (από την οργάνωση «ΣΕΑ Πρωτοβουλία Πολιτών») και περιείχαν προσωπικά δεδοµένα πελατών. Η συζήτηση της υπόθεσης στις 17/11/2011 αναβλήθηκε για τις 22/12/

1. Στην ακρόαση της 22/12/2011 παρέστη η Λαδά Μαρία, πληρεξούσιος δικηγόρος του Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 1 «Ταχυδροµικού Ταµιευτηρίου Ελλάδος ΑΤΕ», ως εδικού διαδόχου της «Τ-Bank ATE» (πρώην Aspis Bank), η οποία εξέλαβε αναβολή. Η Αρχή ανέβαλε τη συζήτηση εκ νέου για τις 20-1-2012, στην οποία αν και κλήθηκε δεν παρέστη εκπρόσωπος του «Ταχυδροµικού Ταµιευτηρίου Ελλάδος ΑΤΕ», ως εδικού διαδόχου της «Τ-Bank ATE» (πρώην Aspis Bank). Η Αρχή έλαβε υπόψη τα παρακάτω: Τα έγγραφα που παραδόθηκαν στην Αρχή από τη «ΣΕΑ Πρωτοβουλία Πολιτών» µε το υπ’ αρ. πρωτ. …../..-09-2004 έγγραφό της, ευρέθησαν έξω από το κατάστηµα της τράπεζας Αspis Bank στο ……… και περιλαµβάνουν ερωτήσεις τρεχόντων υπολοίπων λογαριασµών πελατών, ανάλυση κίνησης λογαριασµού πελάτη, πιστοποιητικό εγκρίσεως δανείου και δήλωση λήψης δανείου. Κατόπιν σχετικού εγγράφου της Αρχής, η Αspis Bank µε το υπ’ αρ. πρωτ. …./..-102004 έγγραφο αναφέρει ότι έχει οριστεί ειδική διαδικασία καταστροφής των δεδοµένων µετά το πέρας της περιόδου που απαιτείται για την πραγµατοποίηση του σκοπού της επεξεργασίας περιλαµβάνει και το γεγονός αποτελεί µεµονωµένη περίπτωση κατά την οποία δεν ακολουθήθηκε η συνήθης διαδικασία καταστροφής των δεδοµένων. Το «Ταχυδροµικό Ταµιευτήριο Ελλάδος ΑΤΕ», ως εδικός διάδοχος της «Τ-Bank ATE» (πρώην Aspis Bank) κατέθεσε το υπ’ αρ. πρωτ. Γ/ΕΙΣ/8624/22-12-2011 σχετικό υπόµνηµα στο οποίο περιγράφεται η ισχύουσα διαδικασία που ακολουθείται για την καταστροφή εγγράφων µε προσωπικά δεδοµένα. Η Αρχή, µετά από εξέταση όλων των παραπάνω στοιχείων, αφού αναγνώστηκαν τα πρακτικά των συνεδριάσεων των 19/11/2004, 20/1/2005 και 20/1/2012, άκουσε τον εισηγητή και τη βοηθό εισηγήτρια, η οποία στη συνέχεια αποχώρησε από την αίθουσα, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΘΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 2 Σύµφωνα µε το αρ. 10 του Ν. 2472/1997, ο υπεύθυνος επεξεργασίας οφείλει να λαµβάνει τα κατάλληλα οργανωτικά και τεχνικά µέτρα για την ασφάλεια των δεδοµένων και την προστασία τους από τυχαία ή αθέµιτη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευµένη διάδοση ή πρόσβαση και κάθε άλλη µορφή αθέµιτης επεξεργασίας. Τα παραπάνω ισχύουν καθ’ όλη τη διάρκεια της επεξεργασίας και µέχρι το τέλος της, το οποίο ολοκληρώνεται µε την καταστροφή των προσωπικών δεδοµένων, σύµφωνα µε το αρ. 4 παρ. 1 δ) του Ν. 2472/
2. Κατά συνέπεια, το αρ. 10 του Ν. 2472/1997 αναφέρεται και στην ασφαλή καταστροφή των προσωπικών δεδοµένων µετά το πέρας της περιόδου που απαιτείται για την πραγµατοποίηση του σκοπού της επεξεργασίας, ώστε αυτά να µην αποτελέσουν αντικείµενο αθέµιτης επεξεργασίας, όπως διάδοσης τους σε τρίτους. Ως εκ τούτου, µετά το πέρας της περιόδου που απαιτείται για την πραγµατοποίηση του σκοπού της επεξεργασίας, ο υπεύθυνος επεξεργασίας οφείλει να καταστρέψει τα δεδοµένα µε ασφαλή τρόπο, κάνοντας εφαρµογή της Οδηγίας 1/2005 της Αρχής σχετικά µε την ασφαλή καταστροφή των προσωπικών δεδοµένων µετά το πέρας της περιόδου που απαιτείται για την πραγµατοποίηση του σκοπού της επεξεργασίας. Το «Ταχυδροµικό Ταµιευτήριο Ελλάδος ΑΤΕ», ως εδικός διάδοχος της «Τ-Bank ATE» (πρώην Aspis Bank), στην περίπτωση που εξετάζεται, αν και αναφέρει την ύπαρξη εσωτερικών οδηγιών για την καταστροφή των δεδοµένων, παραβίασε το αρ. 10 του Ν. 2472/1997, καθώς έγγραφα, όπως ερωτήσεις τρεχόντων υπολοίπων λογαριασµών πελατών, ανάλυση κίνησης λογαριασµού πελάτη, πιστοποιητικό εγκρίσεως δανείου και δήλωση λήψης δανείου, που περιέχουν προσωπικά δεδοµένα πελατών της – φυσικών προσώπων εγκαταλείφθηκαν χωρίς πρότερη ασφαλή καταστροφή τους µετά το πέρας της περιόδου που απαιτείται για την πραγµατοποίηση του σκοπού της επεξεργασίας. Για τον καθορισµό της βαρύτητας της ανωτέρω παράβασης, λαµβάνεται υπόψη το είδος των εγκαταλειµµένων εγγράφων, το γεγονός ότι ο συνολικός αριθµός των προσκοµισθέντων στοιχείων είναι σχετικά µικρός και αφορά ένα συγκεκριµένο κατάστηµα της τράπεζας στo ……, καθώς επίσης και το ότι δεν περιήλθαν σε γνώση της Αρχής ανάλογα περιστατικά παραβίασης του αρ. 10 του Ν. 2472/1997 σε χρόνο µεταγενέστερο της έκδοσης της ανακληθείσας Απόφασης 1/
3. Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 3 Ως εκ τούτου, η παράβαση του «Ταχυδροµικού Ταµιευτηρίου Ελλάδος ΑΤΕ», ως εδικού διαδόχου της «Τ-Bank ATE» (πρώην Aspis Bank) µπορεί να χαρακτηριστεί ως µεµονωµένο συµβάν. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή κρίνει ότι δεν συντρέχει λόγος επιβολής διοικητικών κυρώσεων κατά το άρθρο 21 του ν. 2472/
4. Ο Πρόεδρος Η Γραµµατέας Πέτρος Χριστόφορος Γεωργία Παλαιολόγου Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 4