Παραβίαση αρ. 10 του Ν. 2472/97 από τράπεζα κατά την καταστροφή προσωπικών δεδομένων μετά το πέρας της περιόδου επεξεργασίας

Αθήνα, 22-05-2012 Αριθ. Πρωτ.: Γ/ΕΞ/3716/22-05-2012 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Α Π Ο Φ Α Σ Η 76/2012 Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνήλθε µετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση την 2-2-2012 στην έδρα της, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Π. Χριστόφορος, Πρόεδρος της Αρχής, και οι Αν. – Ιωάν. Μεταξάς, ∆. Μπριόλας, Γρ. Πάντζιου, Αν. Πράσσος, Λ. Κοτσαλής, ο οποίος είχε οριστεί εισηγητής και Αντ. Ρουπακιώτης, τακτικά µέλη της Αρχής. Παρούσα στη συνεδρίαση, χωρίς δικαίωµα ψήφου, ήταν η Γ. Παναγοπούλου, πληροφορικός ελέγκτρια, ως βοηθός εισηγήτρια. Επίσης, παρέστη, µε εντολή του Προέδρου, και η Γεωργία Παλαιολόγου, υπάλληλος του ∆ιοικητικού – Οικονοµικού Τµήµατος της Αρχής, ως γραµµατέας. Η Αρχή, µετά την ανάκληση της µε αρ. 11/2005 απόφασής της µε την απόφαση 73/2011, εξέτασε εκ νέου αυτεπάγγελτα το θέµα της ενδεχόµενης παραβίασης των κανόνων επεξεργασίας προσωπικών δεδοµένων από την Εθνική Τράπεζα της Ελλάδος Α.Ε, κατόπιν εγγράφων που παραδόθηκαν στην Αρχή (από την οργάνωση «ΣΕΑ Πρωτοβουλία Πολιτών») και περιείχαν προσωπικά δεδοµένα πελατών Η συζήτηση της υπόθεσης στις 17/11/2011 αναβλήθηκε για τις 22/12/

1. Στην ακρόαση της 22/12/2011 παρέστησαν οι Αικατερίνη Γκίκα, πληρεξούσιος δικηγόρος της τράπεζας και η Α, υπάλληλος τµήµατος κανονιστικής συµµόρφωσης της τράπεζας. Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 1 Η Αρχή, προκειµένου να εξετάσει και έγγραφα τα οποία περιήλθαν σε γνώση της (από την οργάνωση «ΣΕΑ Πρωτοβουλία Πολιτών») σε χρόνο µεταγενέστερο της ανακληθείσας απόφασης 11/2005, ανέβαλε τη συζήτηση της υπόθεσης για τις 20/1/
2. Στην ακρόαση της 20/1/2012 παρέστη εκ νέου Αικατερίνη Γκίκα, πληρεξούσιος δικηγόρος της τράπεζας. Η Αρχή έλαβε υπόψη τα παρακάτω: Τα έγγραφα που παραδόθηκαν στην Αρχή από τη «ΣΕΑ Πρωτοβουλία Πολιτών» µε τα υπ’ αρ. πρωτ. ……./..-7-2004, ……/..-8-2004 και …../..-9-2004 έγγραφά της, ευρέθησαν έξω από καταστήµατα της Εθνικής Τράπεζας της Ελλάδος και της Εθνοκάρτας ΑΕ (η οποία συγχωνεύτηκε µε την Εθνικής Τράπεζας της Ελλάδος) στην …….. Τα έγγραφα περιλαµβάνουν αναλύσεις τραπεζικών λογαριασµών, µηνιαίους λογαριασµούς καρτών, αιτήσεις δανείων και πιστωτικών καρτών, καθώς και άλλα προσωπικά δεδοµένα πελατών – φυσικών προσώπων των εταιρειών. Τέλος, µε τα υπ’ αρ. πρωτ. ……/..7-2004 και …./..-7-2004 έγγραφα παραδόθηκε ανάλογου περιεχοµένου µικρότερος αριθµός στοιχείων, που αφορά και άλλα καταστήµατα των εταιρειών στην Αττική. Σε χρόνο µεταγενέστερο της ανακληθείσας απόφασης 11/2005, παραδόθηκαν στην Αρχή από τη «ΣΕΑ Πρωτοβουλία Πολιτών» µε το υπ’ αρ. πρωτ. Γ/ΕΙΣ/4491/26-09-2005 έγγραφό της, έγγραφα τα οποία ευρέθησαν έξω από το κατάστηµα της τράπεζας στην ………και περιλαµβάνουν στοιχεία πιστωτικών καρτών. Κατόπιν σχετικού εγγράφου της Αρχής, η «Εθνική Τράπεζα της Ελλάδος ΑΕ» υπέβαλε τις απόψεις της µε το υπ’ αρ. πρωτ. …../..9-2004 έγγραφο. Επίσης, κατέθεσε και το υπ’ αρ. πρωτ. Γ/ΕΙΣ/534/25-01-2012 σχετικό υπόµνηµα. Η τράπεζα αναφέρει την ύπαρξη διαδικασιών καταστροφής των προσωπικών δεδοµένων µετά το πέρας της περιόδου που απαιτείται για την πραγµατοποίηση του σκοπού της επεξεργασίας και θεωρεί ότι τα περιστατικά οφείλονται ενδεχοµένως σε αµέλεια υπαλλήλων ή αφορούν αντίγραφα που δίνονται σε πελάτες, και αποτελούν µεµονωµένες περιπτώσεις παραβίασης της διαδικασίας. Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 2 Η Αρχή, µετά από εξέταση όλων των παραπάνω στοιχείων, αφού αναγνώστηκαν τα πρακτικά των συνεδριάσεων των 29/12/2004, 20/1/2005, 22/12/2011 και της 20/1/2012 άκουσε τον εισηγητή και τη βοηθό εισηγήτρια, η οποία στη συνέχεια αποχώρησε από την αίθουσα, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΘΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ Σύµφωνα µε το αρ. 10 του Ν. 2472/1997, ο υπεύθυνος επεξεργασίας οφείλει να λαµβάνει τα κατάλληλα οργανωτικά και τεχνικά µέτρα για την ασφάλεια των δεδοµένων και την προστασία τους από τυχαία ή αθέµιτη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευµένη διάδοση ή πρόσβαση και κάθε άλλη µορφή αθέµιτης επεξεργασίας. Τα παραπάνω ισχύουν καθ’ όλη τη διάρκεια της επεξεργασίας και µέχρι το τέλος της, το οποίο ολοκληρώνεται µε την καταστροφή των προσωπικών δεδοµένων, σύµφωνα µε το αρ. 4 παρ. 1 δ) του Ν. 2472/
3. Κατά συνέπεια, το αρ. 10 του Ν. 2472/1997 αναφέρεται και στην ασφαλή καταστροφή των προσωπικών δεδοµένων µετά το πέρας της περιόδου που απαιτείται για την πραγµατοποίηση του σκοπού της επεξεργασίας, ώστε αυτά να µην αποτελέσουν αντικείµενο αθέµιτης επεξεργασίας, όπως διάδοσης τους σε τρίτους. Ως εκ τούτου, µετά το πέρας της περιόδου που απαιτείται για την πραγµατοποίηση του σκοπού της επεξεργασίας, ο υπεύθυνος επεξεργασίας οφείλει να καταστρέψει τα δεδοµένα µε ασφαλή τρόπο, κάνοντας εφαρµογή της Οδηγίας 1/2005 της Αρχής σχετικά µε την ασφαλή καταστροφή των προσωπικών δεδοµένων µετά το πέρας της περιόδου που απαιτείται για την πραγµατοποίηση του σκοπού της επεξεργασίας. Η «Εθνική Τράπεζα της Ελλάδος ΑΕ» στην περίπτωση που εξετάζεται, αν και αναφέρει την ύπαρξη εσωτερικών οδηγιών για την καταστροφή των δεδοµένων, παραβίασε το αρ. 10 του Ν. 2472/1997, καθώς έγγραφα, µεταξύ των οποίων αναλύσεις τραπεζικών λογαριασµών, µηνιαίοι λογαριασµοί πιστωτικών καρτών, αιτήσεις δανείων και πιστωτικών καρτών, που περιέχουν προσωπικά δεδοµένα πελατών της – φυσικών προσώπων εγκαταλείφθηκαν χωρίς πρότερη ασφαλή καταστροφή τους µετά το πέρας της Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 3 περιόδου που απαιτείται για την πραγµατοποίηση του σκοπού της επεξεργασίας. Εξάλλου, το γεγονός ότι διαρροή προσωπικών δεδοµένων πελατών της προέκυψε σε χρόνο µεταγενέστερο της έκδοσης της Οδηγίας 1/2005 της Αρχής, καταδεικνύει ότι η τράπεζα δεν είχε επαρκώς συµµορφωθεί στις διατάξεις της Οδηγίας αυτής και συνεχίστηκαν οι ελλείψεις στην εφαρµογή της διαδικασίας καταστροφής των δεδοµένων που επεξεργαζόταν. Συγκεκριµένα, ευρέθησαν έξω από το κατάστηµα της τράπεζας στην …………… εγκαταλελειµµένα έγγραφα που περιέχουν στοιχεία πιστωτικών καρτών. Λαµβάνεται πάντως υπόψη από την Αρχή ότι ο αριθµός των προσωπικών δεδοµένων που περιλαµβάνονται στα έγγραφα που υποβλήθηκαν στην Αρχή µετά την έκδοση της ανακληθείσας απόφασης 11/2005, µε το υπ’ αρ. πρωτ. Γ/ΕΙΣ/4491/26-09-2005 έγγραφο, είναι εξαιρετικά µικρός. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή επιβάλλει πρόστιµο ύψους δέκα χιλιάδων (10.000) Ευρώ στην «Εθνική Τράπεζα της Ελλάδος ΑΕ» για την παραβίαση του άρθρου 10 ν. 2472/1997 και καλεί την «Εθνική Τράπεζα της Ελλάδος ΑΕ» να εφαρµόσει πιστά τις διατάξεις της Οδηγίας 1/2005 της Αρχής σχετικά µε την ασφαλή καταστροφή των προσωπικών δεδοµένων µετά το πέρας της περιόδου που απαιτείται για την πραγµατοποίηση του σκοπού επεξεργασίας. Ο Πρόεδρος Η Γραµµατέας Πέτρος Χριστόφορος Γεωργία Παλαιολόγου Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 4