Παραβίαση άρθρου 10 του Ν. 2472/1997 από Τράπεζα κατά την καταστροφή προσωπικών δεδομένων μετά το πέρας της περιόδου επεξεργασίας

Αθήνα, 30-07-2012 Αριθ. Πρωτ.: Γ/ΕΞ/5218/30-07-2012 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΕΟΜΕΝΝ ΠΡΟΣΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Α Π Ο Φ Α Σ Η 129/2012 Η Αρχή Προστασ ας εδο&ένων Προσωπικού Χαρακτήρα συνήλθε &ετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρ αση την 02.02.2012 στην έδρα της, προκει&ένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Π. Χριστόφορος, Πρόεδρος της Αρχής, και οι Λ. Κοτσαλής, Α. Πράσσος, ο οπο ος ε χε οριστε εισηγητής, Αν. – Ιωάν. Μεταξάς, Αντ. Ρουπακιώτης, . Μπριόλας και Γρ. Πάντζιου, τακτικά &έλη της Αρχής. Παρούσα στη συνεδρ αση, χωρ ς δικα ω&α ψήφου, ήταν η Φ. Καρβέλα, νο&ικός, ελέγκτρια, ως βοηθός εισηγήτρια. Επ σης, παρέστη, &ε εντολή του Προέδρου, και η Γεωργ α Παλαιολόγου, υπάλληλος του ιοικητικού – Οικονο&ικού Τ&ή&ατος της Αρχής, ως γρα&&ατέας. Η Αρχή, &ετά την ανάκληση των &ε αρ. 18/2006 και 14/2007 αποφάσεών της &ε την απόφαση 120/2011 εξέτασε εκ νέου αυτεπάγγελτα το θέ&α της ενδεχό&ενης παραβ ασης των κανόνων επεξεργασ ας προσωπικών δεδο&ένων από την «Marfin Εγνατ α Τράπεζα», κατόπιν εγγράφων που παραδόθηκαν στην Αρχή (από την οργάνωση «ΣΕΑ Πρωτοβουλ α Πολιτών») και περιε χαν προσωπικά δεδο&ένα πελατών. Η Αρχή εξέτασε επ σης το διο θέ&α κατόπιν εγγράφων που περιήλθαν σε γνώση της (από την δια οργάνωση) σε χρόνο &εταγενέστερο των ανακληθεισών αποφάσεων 18/2006 και 14/

1. Η καθ’ ης, &ετά από τη λήψη αντιγράφων των καταγγελιών που την αφορούσαν, κλήθηκε προς ακρόαση κατά την αρχική συζήτηση του θέ&ατος ενώπιον της Αρχής στις Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 1 24.11.2011, &ε την υπ’ αριθ& πρωτ. Γ/ΕΞ/7587/15.11.2011 κλήση προς ε&φάνιση. Η συζήτηση της υπόθεσης στις 24.11.2011 αναβλήθηκε για τις 22.12.
2. Στην ακρόαση της 22.12.2011 δεν παρέστη εκπρόσωπος της καθ’ ης. Η Αρχή έλαβε υπόψη τα παρακάτω: Τα έγγραφα που παραδόθηκαν στην Αρχή από τη «ΣΕΑ Πρωτοβουλ α Πολιτών» &ε τα υπ’ αρ. πρωτ. 2166/23.06.2004, 2335/07.07.2004, 2683/11.08.2004, 2820/01.09.2004, 2873/04.09.2004, 3360/13.10.2004, 3406/18.10.2004, 3930/05.11.2004, 24/05.01.2005, 199/19.01.2005, 259/24.01.2005, 344/31.01.2005, 1862/20.04.2005, 3935/16.08.2005, 3935/16.08.2005, 4608/10.07.06, 4665/12.07.06, 4740/14.07.06, 4828/17.07.06, 4953/20.07.06, 5016/23.07.06, 5034/24.07.06, 5046/24.07.06, 5064/24.07.06, 5090/26.07.06, 5122/27.07.06, 5160/28.07.06, 5197/31.07.06, 5226/01.08.06, 5254/02.08.06, 5273/03.08.06, 5368/08.08.06, 5392/09.08.06 και 5444/14.08.06 έγγραφά της, ευρέθησαν έξω από τα καταστή&ατα της «Marfin Εγνατ α Τράπεζα» (τότε «Εγνατ α Τράπεζα ΑΕ») στις περιοχές Αθηνών, Ν. Σ&ύρνης, Καλλιθέας, Π. Φαλήρου και Πειραιώς και περιλα&βάνουν φωτοτυπ ες δελτ ων ταυτότητας, διαβατηρ ου, αντ γραφα εκκαθαριστικών ση&ειω&άτων της εφορ ας, στοιχε α σχετικά &ε δάνεια πελατών – φυσικών προσώπων, φωτοτυπ ες επιταγής πελάτη – φυσικού προσώπου, φωτοτυπ α κάρτας παρα&ονής αλλοδαπού, στοιχε α σχετικά &ε λογαριασ&ούς καρτών πελατών – φυσικών προσώπων, λ στα καταχωρηθεισών/ακάλυπτων επιταγών, αξιολόγηση απόδοσης προσωπικού, βιογραφικό ση&ε ω&α υποψηφ ου υπαλλήλου, ονο&ατεπώνυ&α, διευθύνσεις, φορολογικές δηλώσεις πελατών, αριθ&ούς τραπεζικών λογαριασ&ών και πιστωτικών καρτών, αντ γραφα κ νησης λογαριασ&ών πελατών, ονο&ατεπώνυ&α και ευα σθητα προσωπικά δεδο&ένα υγε ας (άδεια υπαλλήλου λόγω προβλη&άτων εγκυ&οσύνης, α τηση αποζη& ωσης λόγω ασθενε ας τέκνου) υπαλλήλων και πελάτη. Σε χρόνο &εταγενέστερο των ανακληθεισών αποφάσεων 18/2006 και 14/2007, κατατέθηκαν από τη «ΣΕΑ Πρωτοβουλ α Πολιτών» έγγραφα &ε υπ’ αριθ&. πρωτ. Γ/ΕΙΣ/6920/15.10.2007, Γ/ΕΙΣ/6111/11.11.2008, Γ/ΕΙΣ/5881/03.11.2008, Γ/ΕΙΣ/4368/29.08.2008, Γ/ΕΙΣ/4360/28.08.2008, Γ/ΕΙΣ/4344/27.08.2008, Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 2 Γ/ΕΙΣ/4283/21.08.2008, Γ/ΕΙΣ/4920/25.09.2008, Γ/ΕΙΣ/4411/01.09.2008, Γ/ΕΙΣ/4513/05.09.2008, Γ/ΕΙΣ/2/02.01.2009, Γ/ΕΙΣ/4933/09.08.2010, Γ/ΕΙΣ/4931/09.08.2010, και Γ/ΕΙΣ/3941/06.06.2011 έγγραφά της, τα οπο α ευρέθησαν έξω από τα καταστή&ατα της τράπεζας στις περιοχές Αθηνών, Καλλιθέας και Α&αρουσ ου και περιλα&βάνουν ανάλυση συναλλαγών πελατών, φωτοτυπ α δελτ ου ταυτότητας, επικοινων α υπαλλήλων &έσω email (κατάστη&α Αθηνών, Πανεπιστη& ου 265), φωτοτυπ ες δελτ ων ταυτότητας, αναλύσεις λογαριασ&ών (κατάστη&α Κολωνακ ου, Σέκερη 1α , κατάστη&α Καλλιθέας, Φορνέζη 2), φωτοτυπ ες διπλώ&ατος οδήγησης και αδειών κυκλοφορ ας ΙΧ, σύ&βαση δανε ου, εσωτερική αλληλογραφ α, α τηση αγοράς ΙΧ (κατάστη&α Καλλιθέας, Φορνέζη 2), εσωτερική αλληλογραφ α (κατάστη&α Α&αρουσ ου, Λ. Κηφισ ας 248), αναλύσεις λογαριασ&ών (κατάστη&α Αθηνών, Σταδ ου 23), αποτελέσ&ατα ελέγχων ακινήτων, εκκαθαριστικών ση&ειω&άτων, στοιχε ων που περιλα&βάνονται στο αρχε ο του Τειρεσ α, ΑΦΜ, φωτοτυπ ες δελτ ων ταυτότητας και εκκαθαριστικών, αιτήσεις χορήγησης δανε ων, ιατρική γνω&άτευση (κατάστη&α Καλλιθέας, Ελ. Βενιζέλου 147) επικοινων α πελατών σχετικά &ε την υπηρεσ α e-banking (κατάστη&α Καλλιθέας, Λ. Συγγρού 226). Η «Marfin Εγνατ α Τράπεζα» υπέβαλε τις απόψεις της &ε το υπ’ αρ. πρωτ. Γ/ΕΙΣ/8586/21.12.2011 υπό&νη&α στο οπο ο αναφέρεται η ύπαρξη συγκεκρι&ένων διαδικασιών καταστροφής των προσωπικών δεδο&ένων &ετά το πέρας της περιόδου που απαιτε ται για την πραγ&ατοπο ηση του σκοπού της επεξεργασ ας. Θεωρε δε ότι τα κατατεθέντα ενώπιον της Αρχής έγγραφα έχουν αποκτηθε παράνο&α, ως αποτέλεσ&α παράνο&ων συνεργιών της καταγγέλλουσας &ε άτο&α από την τράπεζα, τα οπο α η τελευτα α δεν έχει εντοπ σει και αναφέρει ότι η τράπεζα έχει υποβάλει κατά του προέδρου της οργάνωσης «ΣΕΑ Πρωτοβουλ α Πολιτών» τις &ε στοιχε α 04/3567 και από 29.3.2006 &ηνύσεις ενώπιον της Εισαγγελ ας Πρωτοδικών Αθηνών για παραβ αση του άρθρ. 22 παρ. 4 Ν. 2472/1997, παραβ αση του απορρήτου των επιστολών (370 ΠΚ) και δυσφή&ιση ανώνυ&ης εταιρε ας (367 ΠΚ),. Η Αρχή, &ετά από εξέταση όλων των παραπάνω στοιχε ων, αφού αναγνώστηκαν τα πρακτικά των συνεδριάσεων των 24.10.05, 12.10.2006, 26.10.2006, 2.11.2006 και 22.12.2011 άκουσε τον εισηγητή και τη βοηθό εισηγήτρια, η οπο α στη συνέχεια Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 3 αποχώρησε από την α θουσα, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΘΗΚΕ ΣΥΜΦΝΑ ΜΕ ΤΟ ΝΟΜΟ Σύ&φωνα &ε το άρθρο 10 του Ν. 2472/1997, ο υπεύθυνος επεξεργασ ας οφε λει να λα&βάνει τα κατάλληλα οργανωτικά και τεχνικά &έτρα για την ασφάλεια των δεδο&ένων και την προστασ α τους από τυχα α ή αθέ&ιτη καταστροφή, τυχα α απώλεια, αλλο ωση, απαγορευ&ένη διάδοση ή πρόσβαση και κάθε άλλη &ορφή αθέ&ιτης επεξεργασ ας. Τα παραπάνω ισχύουν καθ’ όλη τη διάρκεια της επεξεργασ ας και &έχρι το τέλος της, το οπο ο ολοκληρώνεται &ε την καταστροφή των προσωπικών δεδο&ένων, σύ&φωνα &ε το αρ. 4 παρ. 1 δ) του Ν. 2472/
3. Κατά συνέπεια, το άρθρο 10 του Ν. 2472/1997 αναφέρεται και στην ασφαλή καταστροφή των προσωπικών δεδο&ένων &ετά το πέρας της περιόδου που απαιτε ται για την πραγ&ατοπο ηση του σκοπού της επεξεργασ ας, ώστε αυτά να &ην αποτελέσουν αντικε &ενο αθέ&ιτης επεξεργασ ας, όπως διάδοσης τους σε τρ τους. ς εκ τούτου, &ετά το πέρας της περιόδου που απαιτε ται για την πραγ&ατοπο ηση του σκοπού της επεξεργασ ας, ο υπεύθυνος επεξεργασ ας οφε λει να καταστρέψει τα δεδο&ένα &ε ασφαλή τρόπο, κάνοντας εφαρ&ογή της Οδηγ ας 1/2005 της Αρχής σχετικά &ε την ασφαλή καταστροφή των προσωπικών δεδο&ένων &ετά το πέρας της περιόδου που απαιτε ται για την πραγ&ατοπο ηση του σκοπού της επεξεργασ ας. Η «Marfin Εγνατ α Τράπεζα» στην περ πτωση που εξετάζεται, αν και αναφέρει την ύπαρξη εσωτερικών οδηγιών για την καταστροφή των δεδο&ένων, παραβ ασε το αρ. 10 του Ν. 2472/1997, καθώς έγγραφα, τα οπο α περιε χαν προσωπικά δεδο&ένα υπαλλήλων και πελατών της, εγκαταλε φθηκαν χωρ ς πρότερη ασφαλή καταστροφή τους &ετά το πέρας της περιόδου που απαιτε ται για την πραγ&ατοπο ηση του σκοπού της επεξεργασ ας. Εξάλλου, το γεγονός ότι η διαρροή προσωπικών δεδο&ένων πελατών, που περιλα&βάνονται στα εγκαταλελει&&ένα έγγραφα που υποβλήθηκαν στην Αρχή &ε τα υπ’ αρ. πρωτ. Γ/ΕΙΣ/6920/15.10.2007, Γ/ΕΙΣ/6111/11.11.2008, Γ/ΕΙΣ/5881/03.11.2008, Γ/ΕΙΣ/4368/29.08.2008, Γ/ΕΙΣ/4360/28.08.2008, Γ/ΕΙΣ/4344/27.08.2008, Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 4 Γ/ΕΙΣ/4283/21.08.2008, Γ/ΕΙΣ/4920/25.09.2008, Γ/ΕΙΣ/4411/01.09.2008, Γ/ΕΙΣ/4513/05.09.2008, Γ/ΕΙΣ/2/02.01.2009, Γ/ΕΙΣ/4933/09.08.2010, Γ/ΕΙΣ/4931/09.08.2010, και Γ/ΕΙΣ/3941/06.06.2011 έγγραφα, προέκυψε σε χρόνο &εταγενέστερο της έκδοσης της Οδηγ ας 1/2005 της Αρχής, καταδεικνύει ότι η τράπεζα δεν ε χε επαρκώς συ&&ορφωθε στις διατάξεις της Οδηγ ας αυτής και ότι συνεχ στηκαν οι ελλε ψεις στην εφαρ&ογή της διαδικασ ας καταστροφής των δεδο&ένων που επεξεργαζόταν η τράπεζα. Ο &εγάλος αριθ&ός εγγράφων που περιέχουν προσωπικά δεδο&ένα πελατών και υπαλλήλων (στοιχε α κατόχων οχη&άτων, φωτοτυπ ες διπλώ&ατος οδήγησης, αδειών κυκλοφορ ας ΙΧ, αιτήσεις αγοράς ΙΧ, αποτελέσ&ατα ελέγχων ακινήτων, εκκαθαριστικών ση&ειω&άτων, στοιχε ων που περιλα&βάνονται στο αρχε ο του Τειρεσ α, επικοινων α πελατών σχετικά &ε την υπηρεσ α e-banking, αναλύσεις λογαριασ&ών και επενδύσεων, φωτοτυπ ες δελτ ων ταυτότητας, διαβατηρ ου, αντ γραφα εκκαθαριστικών ση&ειω&άτων της εφορ ας, στοιχε α σχετικά &ε δάνεια πελατών, φωτοτυπ ες επιταγής, φωτοτυπ α κάρτας παρα&ονής αλλοδαπού, στοιχε α σχετικά &ε λογαριασ&ούς καρτών, λ στα καταχωρηθεισών/ακάλυπτων επιταγών, αξιολόγηση απόδοσης προσωπικού, βιογραφικό ση&ε ω&α υποψηφ ου υπαλλήλου, ονο&ατεπώνυ&α, διευθύνσεις, φορολογικές δηλώσεις πελατών, αριθ&ο τραπεζικών λογαριασ&ών και πιστωτικών καρτών, αντ γραφα κ νησης λογαριασ&ών πελατών, ονο&ατεπώνυ&α και ευα σθητα προσωπικά δεδο&ένα υγε ας υπαλλήλων και πελάτη) και το γεγονός ότι τα έγγραφα προέρχονται από διαφορετικά καταστή&ατα της τράπεζας (Αθήνα, Καλλιθέα, Μαρούσι, Π. Φάληρο, Ν. Σ&ύρνη Κολωνάκι, Πειραιάς), υποδηλώνει ελλε ψεις στα &έτρα ασφάλειας που εφαρ&όζονται από τα καταστή&ατα της τράπεζας. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή επιβάλλει πρόστι&ο ύψους πενήντα χιλιάδων (50.000) Ευρώ στην «Marfin Εγνατ α Τράπεζα» για την παραβ αση του άρθρου 10 ν. 2472/1997 και καλε την «Marfin Εγνατ α Τράπεζα» εφαρ&όσει πλήρως τις διατάξεις της Οδηγ ας 1/2005 της Αρχής σχετικά &ε την ασφαλή καταστροφή των προσωπικών δεδο&ένων &ετά το πέρας Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 5 της περιόδου που απαιτε ται για την πραγ&ατοπο ηση του σκοπού επεξεργασ ας. Ο Πρόεδρος Η Γρα&&ατέας Γεωργ α Παλαιολόγου Πέτρος Χριστόφορος Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 6