← Ελλάδα

Παράνομη επεξεργασία δεδομένων πιστοληπτικής ικανότητας και μη ικανοποίηση δικαιώματος πρόσβασης

Αθήνα, 24-06-2015 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Αριθ. Πρωτ.: Γ/ΕΞ/3618/24-06-2015 Α Π Ο Φ Α Σ Η 71 / 2015 (Τµήµα) Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνεδρίασε µετά από πρόσκληση του Προέδρου της σε σύνθεση Τµήµατος στην έδρα της στις 3/6/2015, σε συνέχεια των από 01-042015, 18-03-2015 και 27-05-2015 συνεδριάσεων, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Γ. Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυοµένου του Προέδρου της Αρχής Π. Χριστόφορου, και τα αναπληρωµατικά µέλη της Αρχής Σ. Βλαχόπουλος ως εισηγητής, Γ. Λαζαράκος και Χ. Ανθόπουλος, σε αντικατάσταση των τακτικών µελών Λ. Κοτσαλή, Α.-Ι. Μεταξά και ∆. Μπριόλα, οι οποίοι, αν και εκλήθησαν νοµίµως εγγράφως, δεν παρέστησαν λόγω κωλύµατος. Στη συνεδρίαση παρέστη, χωρίς δικαίωµα ψήφου, η Ε. Παπαγεωργοπούλου, υπάλληλος του τµήµατος διοικητικών και οικονοµικών υποθέσεων, ως γραµµατέας. Η βοηθός εισηγητή Θ. Τουτζιαράκη, νοµικός ελεγκτής (δικηγόρος), δεν παρέστη στη συνεδρίαση αυτή λόγω κωλύµατος. Η Αρχή έλαβε υπόψη τα παρακάτω: Με την υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/1403/28-02-2014 προσφυγή του προς την Αρχή, ο Α καταγγέλλει παράνοµη επεξεργασία προσωπικών του δεδοµένων σχετικά µε την πιστοληπτική του ικανότητα από την τράπεζα Eurobank. Ειδικότερα, ο προσφεύγων αναφέρει ότι, κατόπιν άσκησης του δικαιώµατος πρόσβασής του προς την εταιρεία ΤΕΙΡΕΣΙΑΣ Α.Ε. στις 04-12-2013, πληροφορήθηκε εγγράφως ότι η τράπεζα Eurobank αναζήτησε προσωπικά του δεδοµένα σχετικά µε την πιστοληπτική του ικανότητα στα αρχεία της ως άνω εταιρείας στις 18-09-2013 (βλ. την από 10-122013 επιστολή της ΤΕΙΡΕΣΙΑΣ Α.Ε. προς τον προσφεύγοντα). Στη συνέχεια, ο προσφεύγων 1 άσκησε προς την τράπεζα Eurobank το δικαίωµα πρόσβασης µε την από 07-01-2014 επιστολή του ζητώντας, συγκεκριµένα, να πληροφορηθεί «…τα πλήρη στοιχεία και ιδιότητα του/των συγκεκριµένου/ων υπαλλήλου/ων σας που προέβη/σαν στις ανωτέρω παράνοµες αναζητήσεις προσωπικών µου δεδοµένων, καθώς κι εκείνου/ων που έδωσε/αν τη σχετική εντολή ή απηύθηνε/αν ερώτηµα ή παραίνεση ή αίτηµα ή παράκληση, για ποια συγκεκριµένη αιτία, πώς επεξεργάστηκαν και που επικοινωνήθηκαν-γνωστοποιήθηκαν αυτά (αν έλαβε χώρα τέτοια περαιτέρω επεξεργασία κι επικοινωνία εσωτερικά ή εξωτερικά της Τράπεζας)». Η Τράπεζα φέρεται να απάντησε στο αίτηµα αυτό µε την από 23-01-2014 επιστολή της, όπου αναφέρει ότι η επίµαχη αναζήτηση διενεργήθηκε στο πλαίσιο αναζήτησης κατ’ όνοµα, η οποία αφορούσε σε τρίτο πρόσωπο, συνονόµατο του προσφεύγοντος. Σύµφωνα πάντα µε την ως άνω προσφυγή, η τράπεζα Eurobank α) προέβη στην αναζήτηση των δεδοµένων του προσφεύγοντος στα αρχεία της ΤΕΙΡΕΣΙΑΣ Α.Ε. χωρίς νόµιµο λόγο, δεδοµένου ότι ο προσφεύγων ούτε διατηρούσε κάποια ενεργή κατά το χρόνο εκείνο συναλλακτική σχέση µε τη συγκεκριµένη τράπεζα (πλην ενός σχεδόν µηδενικού και ανενεργού λογαριασµού µε ελάχιστες κινήσεις µικρών χρηµατικών ποσών, όπως αναφέρει) ούτε είχε απευθύνει οποιοδήποτε ερώτηµα ή είχε γενικά οποιαδήποτε συναλλαγή ή εκκρεµότητα µε την Τράπεζα, και β) δεν απάντησε ικανοποιητικά στο από 07-01-2014 αίτηµά του, µε το οποίο ο ίδιος άσκησε το δικαίωµα πρόσβασης (µε την έννοια της πληροφόρησης), δεδοµένου ότι, µε την από 2301-2014 επιστολή της, η τράπεζα Eurobank δεν του απάντησε σχετικά µε όλα όσα ζήτησε. Στο πλαίσιο εξέτασης της ως άνω υπόθεσης, η Αρχή ζήτησε από την τράπεζα Eurobank να διευκρινίσει τις απόψεις της επ’ αυτής, οι οποίες υποβλήθηκαν εγγράφως (βλ. υπ’ αριθµ. πρωτ. Γ/ΕΞ/1403-1/16-10-2014 έγγραφο της Αρχής προς την τράπεζα Eurobank και υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/698/04-02-2015 απάντηση της τράπεζας Eurobank, κατόπιν των υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/6780/07-11-2014 και Γ/ΕΙΣ/6939/14-11-2014 αιτηµάτων για παροχή παράτασης ως προς την προθεσµία απάντησης). Ειδικότερα, η τράπεζα Eurobank απάντησε στην Αρχή ότι προέβη σε αναζήτηση στοιχείων Βαθµολογικής Συµπεριφοράς προκειµένου να προτείνει στον προσφεύγοντα τη χορήγηση πιστωτικής κάρτας µε προνοµιακούς όρους, λαµβάνοντας υπόψη την καλή συναλλακτική της σχέση µε τον ίδιο, και ότι η ΤΕΙΡΕΣΙΑΣ Α.Ε. απάντησε διαβιβάζοντας κωδικοποιηµένο αποτέλεσµα βαθµολόγησης (score). Επίσης, η Τράπεζα ισχυρίζεται ότι ο προσφεύγων είχε συγκατατεθεί για την επεξεργασία προσωπικών του δεδοµένων κατ’ εντολή της Τράπεζας µε σκοπό την προώθηση των τραπεζικών υπηρεσιών και την αναβάθµιση των µεταξύ τους σχέσεων µε ειδική ενυπόγραφη δήλωσή του που περιλαµβάνεται στο έντυπο της από 27-012006 αίτησης/σύµβαση προσωπικού-καταναλωτικού δανείου και πιστωτικής κάρτας. Περαιτέρω, η Τράπεζα αναφέρει ότι, για λόγους που ανάγονται στην πιστοληπτική πολιτική της, έλαβε τελικά την απόφαση να µην προβεί σε υποβολή πρότασης προς τον προσφεύγοντα για την κατάρτιση 2 σύµβασης χορήγησης πιστωτικής κάρτας. Ακολούθως, ο προσφεύγων και η τράπεζα Eurobank κλήθηκαν νοµίµως σε ακρόαση κατά τη συζήτηση της υπόθεσης ενώπιον της Αρχής στις 18-03-2015 µε τις υπ’ αριθµ. πρωτ. Γ/ΕΞ/1441/0503-2015 και Γ/ΕΞ/1440/05-03-2015 κλήσεις σε ακρόαση, αντίστοιχα, και προσήλθαν. Κατά τη συνεδρίαση, η τράπεζα Eurobank ζήτησε και έλαβε αναβολή για τη συζήτηση της υπόθεσης για µεταγενέστερη ηµεροµηνία. Κατόπιν τούτου, η υπόθεση συζητήθηκε ενώπιον της Αρχής στις 0104-2015, όπου οι κληθέντες εξέθεσαν προφορικά τις απόψεις τους, τις οποίες η τράπεζα Eurobank ανέπτυξε κατόπιν διεξοδικώς µε σχετικό υπόµνηµά της (βλ. το υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/2235/08-042015 υπόµνηµα της Τράπεζας). Σηµειώνεται δε ότι τόσο κατά τη συζήτηση ενώπιον της Αρχής όσο και µε το τελευταίο υπόµνηµά της, η Τράπεζα παραδέχθηκε ότι η από 23-01-2014 έγγραφή απάντησή της προς τον προσφεύγοντα (ότι η επίµαχη αναζήτηση αφορούσε σε τρίτο πρόσωπο συνονόµατο του προσφεύγοντος) ήταν, ουσιαστικά, λανθασµένη και ότι το λάθος αυτό οφείλεται στο γεγονός ότι η εν λόγω απάντηση δόθηκε κατόπιν έρευνας που διεξήχθη «υπό πίεση χρόνου», δεδοµένου ότι πολιτική της Τράπεζας είναι η σύντοµη και έγκαιρη ικανοποίηση των αιτηµάτων των πελατών της. Επιπρόσθετα, η Τράπεζα αναφέρει ότι, κατόπιν του υπ’ αριθµ. πρωτ. Γ/ΕΞ/1403-1/16-10-2014 διευκρινιστικού εγγράφου της Αρχής, αποφάσισε να διεξάγει «περαιτέρω και ενδελεχή έρευνα της υπόθεσης», από την οποία διαπιστώθηκε ότι η αναζήτηση στο Σύστηµα Βαθµολογικής Συµπεριφοράς της ΤΕΙΡΕΣΙΑΣ Α.Ε. έλαβε χώρα πράγµατι για τον προσφεύγοντα και όχι για τρίτο πρόσωπο συνονόµατό του, στο πλαίσιο ενεργειών προώθησης πιστωτικής κάρτας. Αναφορικά δε µε τη νοµιµότητα της εν λόγω επεξεργασίας, η Τράπεζα ισχυρίζεται ότι, σύµφωνα µε την Απόφαση 51/2011 της Αρχής και τη Γνώµη 1/2010 της Οµάδας Εργασίας του Άρθρου 29, αποκλειστικός υπεύθυνος επεξεργασίας των δεδοµένων του Συστήµατος Βαθµολογικής Συµπεριφοράς της ΤΕΙΡΕΣΙΑΣ Α.Ε. είναι η ΤΕΙΡΕΣΙΑΣ Α.Ε. και όχι οι τράπεζες, όταν το αποτέλεσµα της βαθµολόγησης στηρίζεται όχι µόνο στα δεδοµένα που έχουν παράσχει οι τράπεζες, αλλά στο σύνολο των δεδοµένων που τηρεί η ΤΕΙΡΕΣΙΑΣ Α.Ε. για ένα φυσικό πρόσωπο. Συνεπώς, κατά την άποψη της Τράπεζας, η ΤΕΙΡΕΣΙΑΣ Α.Ε. είναι η µόνη υπεύθυνη για τον έλεγχο της συνδροµής των νοµίµων προϋποθέσεων για τη διαβίβαση των δεδοµένων στην Τράπεζα. Επικουρικώς, η Τράπεζα σηµειώνει ότι η επίµαχη επεξεργασία µε τη µορφή της άντλησης των δεδοµένων του προσφεύγοντος είναι νόµιµη, καθώς υπήρχε προς τούτο αίτηση και συγκατάθεση του προσφεύγοντος. Ειδικότερα, η Τράπεζα ισχυρίζεται ότι ο προσφεύγων διατηρούσε κατά την κρίσιµη περίοδο ενεργές συναλλακτικές σχέσεις µε την Τράπεζα πλέον του ενός λογαριασµού που αναφέρει ότι διέθετε, καθώς υφίσταντο οι ακόλουθες ενεργές συµβάσεις: α) Η από 09-02-2011 σύµβαση ανοίγµατος τρεχούµενου καταθετικού λογαριασµού και 3 αίτηση χορήγηση χρεωστικής κάρτας Euroline Debit, διενέργειας συναλλαγών µέσω ηλεκτρονικών δικτύων και Ειδικών Όρων Συνεργασίας, στο πλαίσιο της οποίας (σελ. 2 – όρος 5 και 6α) ο προσφεύγων είχε υπογράψει ότι αποδέχεται τους Γενικούς Όρους Συναλλαγών της Τράπεζας, στο άρθρο Ι του Κεφαλαίου 1 των οποίων προβλέπεται η επεξεργασία προσωπικών δεδοµένων, ενώ στη σελ. 3 της ίδιας αίτησης ο προσφεύγων είχε συγκατατεθεί ρητά στη χρήση των προσωπικών του δεδοµένων από την τράπεζα µε σκοπό, µεταξύ άλλων, την προώθηση τραπεζικών υπηρεσιών. Η Τράπεζα αναφέρει ότι, κατά την επίµαχη περίοδο, ο εν λόγω τραπεζικός λογαριασµός ήταν καθ’ όλα ενεργός (βλ. την προσκοµιζόµενη από 30-03-2015 κίνηση λογαριασµού), ενώ παράλληλα έληγε η χορηγηθείσα χρεωστική κάρτα Euroline Debit και έλαβε χώρα η αντικατάστασή της, κατόπιν της οποίας πραγµατοποιήθηκε και η εν λόγω αναζήτηση στην ΤΕΙΡΕΣΙΑΣ Α.Ε. Η Τράπεζα διευκρινίζει ότι προέβη στην αναζήτηση αυτή µε σκοπό να προτείνει στον προσφεύγοντα, µετά την αντικατάσταση της χρεωστικής του κάρτας, την έκδοση πιστωτικής κάρτας, δηλαδή η πρόταση τραπεζικού προϊόντος µε ευνοϊκότερους όρους. Ωστόσο, µετά το βαθµολογικό αποτέλεσµα που απεστάλη από την ΤΕΙΡΕΣΙΑΣ Α.Ε., η Τράπεζα αποφάσισε να µην προβεί στην εν λόγω προωθητική ενέργεια. β) Η από 23-01-2012 αίτηση του προσφεύγοντος για τη χορήγηση χρεωστικής κάρτας Prepaid, κατ’ αποδοχή της οποίας εκδόθηκε η προπληρωµένη κάρτα, η οποία χρησιµοποιήθηκε από τον προσφεύγοντα έως τον Οκτώβρη 2013 και έληξε τον ∆εκέµβρη 2013, συνεπώς ήταν ενεργή κατά τον κρίσιµο χρόνο (βλ. την προσκοµιζόµενη από 17-10-2013 συνοπτική εικόνα του λογαριασµού της εν λόγω κάρτας). Επίσης, η Τράπεζα επαναλαµβάνει τον ισχυρισµό που είχε προβάλει µε την πρώτη έγγραφη απάντησή της προς την Αρχή (Γ/ΕΙΣ/698/04-02-2015) ότι ο προσφεύγων είχε συγκατατεθεί για την επεξεργασία προσωπικών του δεδοµένων κατ’ εντολή της Τράπεζας µε σκοπό την προώθηση των τραπεζικών υπηρεσιών και την αναβάθµιση των µεταξύ τους σχέσεων µε ειδική ενυπόγραφη δήλωσή του που περιλαµβάνεται στο έντυπο της από 27-01-2006 αίτησης/σύµβαση προσωπικούκαταναλωτικού δανείου και πιστωτικής κάρτας, προκειµένου να επισηµάνει ότι στο πλαίσιο όλων των συναλλακτικών σχέσεών του µε την Τράπεζα (ενεργών, όπως οι δυο πρώτες, και ανενεργών, όπως η τελευταία), ο προσφεύγων είχε συγκατατεθεί πλειστάκις στην επεξεργασία προσωπικών του δεδοµένων εκ µέρους της Τράπεζας. Όλως επικουρικώς, η Τράπεζα ισχυρίζεται ότι, ακόµη και αν κριθεί ότι δεν υφίστατο στην κρινόµενη περίπτωση συγκατάθεση του προσφεύγοντος, η επεξεργασία έλαβε χώρα νοµίµως σύµφωνα µε το άρθρο 5 παρ. 2 στοιχ. α΄ του ν. 2472/1997, καθώς έλαβε χώρα στο πλαίσιο της ως άνω σύµβασης ανοίγµατος τρεχούµενου λογαριασµού και χορήγησης χρεωστικής κάρτας, για την οποία ήταν αναγκαίος ο έλεγχος των προσωπικών στοιχείων του προσφεύγοντος που ελέγχθηκαν κατά την έκδοσή της. Τέλος, αναφορικά µε τη µη 4 ικανοποίηση του δικαιώµατος πρόσβασης του προσφεύγοντος, η Τράπεζα επαναλαµβάνει τον ισχυρισµό ότι δεν είναι υπεύθυνος επεξεργασίας ως προς το επίµαχο Σύστηµα Βαθµολογικής Συµπεριφοράς της ΤΕΙΡΕΣΙΑΣ Α.Ε. και συνεπώς δεν υπέχει υποχρέωση χορήγησης πρόσβασης στον προσφεύγοντα ούτε έγγραφης σχετικής απάντησης σε αυτόν, άλλωστε η ίδια δεν διέθετε πλήρη πρόσβαση στο Σύστηµα, ώστε να µπορέσει να χορηγήσει περισσότερες πληροφορίες στο υποκείµενο των δεδοµένων. Η Αρχή, µετά από εξέταση όλων των προαναφερόµενων στοιχείων του φακέλου, αφού άκουσε τον εισηγητή, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ 1. Στο άρθρο 2 στοιχ. α΄ και γ΄ του ν. 2472/1997 ορίζονται οι έννοιες των απλών δεδοµένων και του υποκειµένου αυτών αντίστοιχα, ενώ στο στοιχ. δ΄ του ίδιου άρθρου ορίζεται και η έννοια της επεξεργασίας, στην οποία συµπεριλαµβάνονται «η συλλογή, …, η εξαγωγή, …, η χρήση, …, κάθε άλλης µορφής διάθεση… ». Επίσης, στο στοιχ. ζ΄ του ίδιου άρθρου ορίζεται ως «‘υπεύθυνος επεξεργασίας’, οποιοσδήποτε καθορίζει τον σκοπό και τον τρόπο επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα, όπως φυσικό ή νοµικό πρόσωπο, δηµόσια αρχή ή υπηρεσία ή οποιοσδήποτε άλλος οργανισµός. Όταν ο σκοπός και ο τρόπος της επεξεργασίας καθορίζονται µε διατάξεις νόµου ή κανονιστικές διατάξεις εθνικού ή κοινοτικού δικαίου, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια βάσει των οποίων γίνεται η επιλογή του καθορίζονται αντίστοιχα από το εθνικό ή το κοινοτικό δίκαιο.», ενώ στο στοιχ. ια΄ του ίδιου άρθρου ορίζεται ως «‘συγκατάθεση’ του υποκειµένου των δεδοµένων, κάθε ελεύθερη, ρητή και ειδική δήλωση βουλήσεως, που εκφράζεται µε τρόπο σαφή, και εν πλήρη επιγνώσει, και µε την οποία, το υποκείµενο των δεδοµένων, αφού προηγουµένως ενηµερωθεί, δέχεται να αποτελέσουν αντικείµενο επεξεργασίας τα δεδοµένα προσωπικού χαρακτήρα που το αφορούν. Η ενηµέρωση αυτή περιλαµβάνει πληροφόρηση τουλάχιστον για τον σκοπό της επεξεργασίας, τα δεδοµένα ή τις κατηγορίες δεδοµένων που αφορά η επεξεργασία, τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδοµένων προσωπικού χαρακτήρα, καθώς και το όνοµα, την επωνυµία και τη διεύθυνση του υπεύθυνου επεξεργασίας και του τυχόν εκπροσώπου του. Η συγκατάθεση µπορεί να ανακληθεί οποτεδήποτε, χωρίς αναδροµικό αποτέλεσµα.». Ακολούθως, στο άρθρο 4 του ν. 2472/1997 ορίζονται οι βασικές αρχές της επεξεργασίας, ενώ στο άρθρο 5 του ίδιου νόµου ορίζονται οι επιµέρους προϋποθέσεις για τη νοµιµότητά της. Περαιτέρω, το άρθρο 12 του ν. 2472/1997 καθιερώνει το δικαίωµα πρόσβασης του υποκειµένου στα δεδοµένα που το αφορούν µε 5 κύριο σκοπό να βεβαιώνεται το υποκείµενο για την ακρίβεια και τον σύννοµο χαρακτήρα της επεξεργασίας των δεδοµένων του (βλ. αιτιολογική σκέψη 41 της Οδηγίας 95/46/ΕΚ). Ως εκ τούτου, για την ικανοποίηση του δικαιώµατος πρόσβασης δεν απαιτείται η επίκληση έννοµου συµφέροντος, αφού θεωρείται δεδοµένο το έννοµο συµφέρον (έστω και ηθικό) του υποκειµένου να λάβει γνώση πληροφοριών που το αφορούν και οι οποίες έχουν καταχωρηθεί σε αρχείο που τηρεί ο υπεύθυνος επεξεργασίας, έτσι ώστε να πραγµατώνεται η βασική αρχή του δικαίου για την προστασία των προσωπικών δεδοµένων, που συνίσταται στη διαφάνεια της επεξεργασίας ως προϋπόθεση κάθε περαιτέρω ελέγχου της νοµιµότητάς της εκ µέρους του υποκειµένου των δεδοµένων (βλ. ενδεικτικά Αποφάσεις της Αρχής υπ’ αριθµ. 71/2013, 72/2013, 98/2014 και 149/2014). Από την πλευρά του, ο υπεύθυνος επεξεργασίας, έχει υποχρέωση να απαντήσει εγγράφως, κατά τρόπο εύληπτο και σαφή και µέσα σε προθεσµία δεκαπέντε

(15)ηµερών (άρθρο 12 παρ. 1, 2 και 4 του ν. 2472/1997).
  1. Σύµφωνα µε το άρθρο 40 παρ. 2 του ν. 3259/2004 για τα αρχεία δεδοµένων οικονοµικής συµπεριφοράς, όπως τροποποιήθηκε βάσει του άρθρου 70 του ν. 3746/2009 και του άρθρου 4 του ν. 3816/2010: «
  2. Επιτρέπεται στα πιστωτικά και χρηµατοδοτικά ιδρύµατα η διαβίβαση προς καταχώριση δεδοµένων επί των εκάστοτε ανεξόφλητων υπολοίπων δανείων ή και πιστώσεων, περιλαµβανοµένων και των υφιστάµενων, που χορηγούν σε φυσικά ή νοµικά πρόσωπα ή ενώσεις προσώπων, σε αρχείο δεδοµένων οικονοµικής συµπεριφοράς που λειτουργεί νόµιµα, χάριν αυτών, χωρίς την προϋπόθεση του άρθρου 5 παρ. 1 του ν. 2472/1997 (ΦΕΚ 50 Α`). Η πρόσβαση των πιστωτικών και χρηµατοδοτικών ιδρυµάτων στα ως άνω δεδοµένα επιτρέπεται µόνο κατά τους όρους και προϋποθέσεις του ν. 2472/1997, όπως εκάστοτε ισχύει και εφαρµόζεται. […]». Συνεπώς, η πρόσβαση των τραπεζών στα δεδοµένα του Συστήµατος Συγκέντρωσης Χορηγήσεων (εφεξής «ΣΣΧ» - λευκή λίστα) της ΤΕΙΡΕΣΙΑΣ Α.Ε. επιτρέπεται µόνο µε τη συγκατάθεση του υποκειµένου των δεδοµένων σύµφωνα µε το άρθρο 5 παρ. 1 σε συνδυασµό µε τη διάταξη του άρθρου 40 του ν. 3259/2004 παρ. 2 εδ. β΄, όπως ισχύει.
  3. Με την Απόφαση 51/2011 της Αρχής (∆ιενέργεια ∆ιοικητικού Ελέγχου στην ΤΕΙΡΕΣΙΑΣ Α.Ε.) κρίθηκαν για το Σύστηµα Βαθµολόγησης Συµπεριφοράς της ΤΕΙΡΕΣΙΑΣ Α.Ε. (βλ. στοιχ. ε΄ του διατακτικού) τα ακόλουθα: «ε) Η Τειρεσίας Α.Ε. αποτελεί υπεύθυνο επεξεργασίας για το σύστηµα Βαθµολογικής Συµπεριφοράς. Μόνο εάν το αποτέλεσµα της βαθµολόγησης στηρίζεται αποκλειστικά σε δεδοµένα που παρέχει ο εκάστοτε µεµονωµένος πελάτης/τράπεζα, µπορεί η ΤΕΙΡΕΣΙΑΣ να θεωρηθεί εκτελούσα την επεξεργασία. Στοιχεία βαθµολόγησης επιτρέπεται να διαβιβάζονται µόνο στην τράπεζα που έχει την αίτηση του ενδιαφερόµενου και τη σχετική συγκατάθεση. Στο έντυπο συγκατάθεσης πρέπει να υπάρχει ειδική ενηµέρωση για το σύστηµα βαθµολογικής 6 συµπεριφοράς και λήψη ειδικής συγκατάθεσης για αυτό. Σε κάθε περίπτωση, τα αποτελέσµατα της βαθµολόγησης δεν πρέπει να τηρούνται στο σύστηµα µετά τη λειτουργία της δανειοδότησης ή να ανακοινώνονται σε άλλους συµµετέχοντες στο σύστηµα χωρίς ξεχωριστή συγκατάθεση. Πρέπει να υπάρχει διαφάνεια για την επεξεργασία και να ενισχυθούν τα δικαιώµατα των υποκειµένων. Βάσει του άρθρου 14 ν. 2472/97, το πρόσωπο έχει το δικαίωµα να λάβει αιτιολογηµένη εξήγηση για την απόφαση που το επηρεάζει και λήφθηκε µε χρήση του συστήµατος βαθµολογικής συµπεριφοράς. Το υποκείµενο των δεδοµένων έχει το δικαίωµα, εάν απορρίφθηκε η αίτηση δανειοδότησης κατά την οποία λήφθηκε υπόψη η βαθµολόγηση, να ζητήσει να συνυπολογιστεί η προσωπική του γνώµη στη λήψη δεύτερης µη αυτοµατοποιηµένης απόφασης.».
  4. Κατ’ ακολουθία τούτων επί του ισχυρισµού της Τράπεζας ότι προέβη σε αναζήτηση στοιχείων Βαθµολογικής Συµπεριφοράς και ότι η ΤΕΙΡΕΣΙΑΣ Α.Ε. απάντησε διαβιβάζοντας κωδικοποιηµένο αποτέλεσµα βαθµολόγησης (score), καθώς και ότι, πράγµατι, η Τειρεσίας Α.Ε. αποτελεί υπεύθυνο επεξεργασίας για το σύστηµα Βαθµολογικής Συµπεριφοράς, θα πρέπει να γίνει διάκριση µεταξύ της ευθύνης της ΤΕΙΡΕΣΙΑΣ Α.Ε. και της Τράπεζας για την επεξεργασία των εν λόγω δεδοµένων του προσφεύγοντος. Ειδικότερα επισηµαίνεται ότι, παρά τους περί αντιθέτου ισχυρισµούς της Τράπεζας, ο κάθε υπεύθυνος επεξεργασίας επιδιώκει ως προς τη χρήση του Συστήµατος Βαθµολογικής Συµπεριφοράς αυτοτελή σκοπό, καθώς η ΤΕΙΡΕΣΙΑΣ Α.Ε. επιδιώκει την παροχή της συγκεκριµένης υπηρεσίας προς τις τράπεζες έναντι ξεχωριστού οικονοµικού ανταλλάγµατος από εκείνο που λαµβάνει για την αυτοτελή εκ µέρους τους χρήση των αρχείων ΣΣΧ και ΣΑΥ/ΣΥΠ, ενώ οι τράπεζες επιδιώκουν τον καθορισµό της πιστοληπτικής τους πολιτικής µε βάση το βαθµολογικό αποτέλεσµα που λαµβάνουν ως επιπρόσθετη πληροφορία σε σχέση µε τα στοιχεία που αντλούν αυτοτελώς από τα αρχεία ΣΣΧ και ΣΑΥ/ΣΥΠ (βλ. άρθρα 2 στοιχ. ζ΄, 4 και 5 του ν. 2472/1997 και σκέψεις 2 και 3 της παρούσας). Για το λόγο αυτό, ο κάθε υπεύθυνος επεξεργασίας υπέχει ξεχωριστή ευθύνη για τη νοµιµότητα της εν λόγω επεξεργασίας. Στη συγκεκριµένη περίπτωση, η Τράπεζα όφειλε να λάβει έγκυρη συγκατάθεση για τη συλλογή δεδοµένων από το Σύστηµα Βαθµολογικής Συµπεριφοράς της ΤΕΙΡΕΣΙΑΣ, η οποία πρέπει να είναι ξεχωριστή από τη συγκατάθεση που δίνει το υποκείµενο των δεδοµένων για τους σκοπούς εκτέλεσης της σύµβασης χορήγησης πίστωσης δανείων και λοιπών τραπεζικών προϊόντων Όπως προβλέπεται στις ανωτέρω (υπό 2) διατάξεις, η πρόσβαση στο αρχείο ΣΣΧ της ΤΕΙΡΕΣΙΑΣ, µέσω του οποίου µπορεί να ζητηθεί από την τράπεζα η υπηρεσία scoring από το Σύστηµα Βαθµολογικής Συµπεριφοράς της ΤΕΙΡΕΣΙΑΣ, προϋποθέτει ειδική συγκατάθεση του υποκειµένου. Στο έντυπο µε τον χαρακτηρισµό «αίτηση/σύµβαση» που προσκόµισε η τράπεζα δεν περιλαµβάνεται αναφορά σχετικά µε την πρόσβαση της τράπεζας στο αρχείο ΣΣΧ ή στο Σύστηµα Βαθµολογικής 7 Συµπεριφοράς της ΤΕΙΡΕΣΙΑΣ, στο οικείο δε τµήµα του κειµένου που αναφέρεται στην ενηµέρωση σχετικά µε την επεξεργασία των δεδοµένων για τον σκοπό προώθησης τραπεζικών υπηρεσιών και τη λήψη της σχετικής συγκατάθεσης του προσφεύγοντος, πέραν του ότι δεν υπάρχει η υπογραφή του προσφεύγοντος, πάσχει και η ενηµέρωση και η συγκατάθεση, διότι αφενός η ενηµέρωση δεν αναφέρει την επεξεργασία του scoring, αφετέρου η µη δήλωση αντίρρησης (optout) καταφανώς δεν πληροί την έννοια της συγκατάθεσης, κατά τη διάταξη του άρθρου 2 στοιχ. ια’ τουν.2472/97, το περιεχόµενο της οποίας παρατίθεται ανωτέρω στην παράγραφο
  5. Συνεπώς, δεδοµένου ότι η Τράπεζα, όπως ισχυρίζεται, ζήτησε και έλαβε από την ΤΕΙΡΕΣΙΑΣ Α.Ε. στοιχεία Βαθµολογικής Συµπεριφοράς του προσφεύγοντος, όφειλε να έχει λάβει τη ρητή, ειδική και ελεύθερη προς τούτο συγκατάθεση του υποκειµένου, ενηµερώνοντάς τον για τον συγκεκριµένο σκοπό της χορήγησης πιστωτικής κάρτας µε προνοµιακούς όρους µέσω δηµιουργίας score από την ΤΕΙΡΕΣΙΑΣ (βλ. ανωτέρω διατάξεις άρθρων 4 και 5 παρ. 1 σε συνδυασµό µε την ως άνω του άρθρου 2 στοιχ. ια΄ του ν. 2472/1997 και Απόφαση 51/2011 της Αρχής). Τέτοια όµως συγκατάθεση ούτε ισχυρίζεται ούτε αποδεικνύει η τράπεζα ότι έλαβε από τον προσφεύγοντα. Συνεπώς ο ισχυρισµός αυτός, ανεξαρτήτως του ότι δεν προβάλλεται νοµίµως, αφού, όπως λέχθηκε, δεν επικαλείται η Τράπεζα ότι υπήρχε ειδική συγκατάθεση του προσφεύγοντα για τη διενέργεια της συγκεκριµένης επεξεργασίας (scoring) από την ΤΕΙΡΕΣΙΑΣ, ελέγχεται αβάσιµος, ενόψει του ότι από κανένα αποδεικτικό στοιχείο προέκυψε η διενέργεια της επεξεργασίας αυτής για τον επικαλούµενο συγκεκριµένο λόγο, η οποία, ούτως ή άλλως, ελλείψει της ειδικής προς τούτο συγκατάθεσης του προσφεύγοντος, δεν ήταν επιτρεπτή. Συνεπώς δεν αποδείχθηκε ότι η πρόσβαση της τράπεζας στο αρχείο ΣΣΧ της ΤΕΙΡΕΣΙΑΣ και η έρευνα των στοιχείων πιστοληπτικής ικανότητας του προσφεύγοντος διενεργήθηκαν νοµίµως.
  6. Ο προσφεύγων, ως υποκείµενο των δεδοµένων (άρθρο 2 στοιχ. α΄ και γ΄ του ν. 2472/1997), έχει, µεταξύ άλλων, δικαίωµα πρόσβασης σχετικά µε τα δεδοµένα που τον αφορούν και τα οποία συλλέγονται από την Τράπεζα, καθώς και σε οποιοδήποτε άλλο στοιχείο που αφορά στην περαιτέρω επεξεργασία των δεδοµένων του, όπως π.χ. οι σκοποί της επεξεργασίας, οι αποδέκτες ή κατηγορίες αποδεκτών, η εξέλιξη της επεξεργασίας για το χρονικό διάστηµα από την προηγούµενη ενηµέρωσή του κ.ά. (άρθρο 12 του ν. 2472/1997). Η από 23-01-2014 απάντηση της Τράπεζας στο από 07-01-2014 αίτηµά του προσφεύγοντος, στην οποία η Τράπεζα αναφέρει ότι η επίµαχη αναζήτηση διενεργήθηκε στο πλαίσιο αναζήτησης κατ’ όνοµα, η οποία αφορούσε σε τρίτο πρόσωπο, συνονόµατο του προσφεύγοντος, αποδείχθηκε αναληθής, καθώς έρχεται σε αντίθεση µε τη µεταγενέστερη απάντηση της Τράπεζας προς την Αρχή, όπου η Τράπεζα αναφέρει ότι προέβη σε αναζήτηση στοιχείων Βαθµολογικής Συµπεριφοράς προκειµένου να προτείνει στον προσφεύγοντα 8 τη χορήγηση πιστωτικής κάρτας µε προνοµιακούς όρους. Άλλωστε η ίδια η Τράπεζα παραδέχθηκε ότι η πρώτη της απάντηση προς τον προσφεύγοντα, αν και εµπρόθεσµη, ήταν λανθασµένη λόγω «πίεσης χρόνου», και ότι µόνο µετά την παρέµβαση της Αρχής διεξήγαγε «περαιτέρω και ενδελεχή έρευνα της υπόθεσης» για να εντοπίσει τον πραγµατικό σκοπό της εν λόγω επεξεργασίας. Συνεπώς, µε την απάντηση αυτή δεν ικανοποιήθηκε το δικαίωµα πρόσβασης του προσφεύγοντος. Συγκεκριµένα, παρατηρείται ότι η Τράπεζα δεν ήταν σε θέση να απαντήσει στην Αρχή εντός ευλόγου χρόνου (βλ. υπ’ αριθµ. πρωτ. Γ/ΕΞ/1403-1/16-10-2014 διευκρινιστικό έγγραφο της Αρχής και τα δυο υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/6780/07-11-2014 και Γ/ΕΙΣ/6939/14-11-2014 αιτήµατα αναβολής που ζήτησε και έλαβε η Τράπεζα ως προς την προθεσµία απάντησης). Πρέπει να σηµειωθεί ότι ακόµα και η πρώτη απάντηση που δόθηκε στην Αρχή (Γ/ΕΙΣ/698/04-02-2015) ήταν επίσης ανακριβής, αφού αναφερόταν σε µη έγκυρη συγκατάθεση για την εν λόγω επεξεργασία που είχε ληφθεί µε την από 27-01-2006 αίτηση/σύµβαση προσωπικού-καταναλωτικού δανείου και πιστωτικής κάρτας, δηλαδή σε συµβατική σχέση που είχε λήξει κατά τον κρίσιµο χρόνο της αναζήτησης, ενώ κατά τη συζήτηση στο Τµήµα της Αρχής και στο υπόµνηµα που υπέβαλε στην τεθείσα προθεσµία η Τράπεζα ισχυρίστηκε τελικώς ότι πραγµατοποίησε την αναζήτηση αυτή µε σκοπό να προτείνει στον προσφεύγοντα την έκδοση πιστωτικής κάρτας µε ευνοϊκότερους όρους, µετά την αντικατάσταση της χρεωστικής του κάρτας δυνάµει άλλης µεταξύ τους σύµβασης. Συνεπώς, η Τράπεζα χρειάστηκε ουσιαστικά περίπου έξι µήνες µετά την πρώτη παρέµβαση της Αρχής προκειµένου να απαντήσει µε πληρότητα και ακρίβεια σχετικά µε τον σκοπό και την εξέλιξη της εν λόγω επεξεργασίας (βλ. υπ’ αριθµ. πρωτ. Γ/ΕΞ/1403-1/16-10-2014 διευκρινιστικό έγγραφο της Αρχής και το υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/2235/08-04-2015 υπόµνηµα της Τράπεζας), γεγονός που καταδεικνύει µη προσήκουσα ικανοποίηση του δικαιώµατος πρόσβασης του υποκειµένου των δεδοµένων (άρθρα 4, 5 και 12 του ν. 2472/1997). Τούτο δε διότι η Τράπεζα όφειλε εντός της κατά το νόµο προθεσµίας που αναφέρθηκε να απαντήσει συγκεκριµένα στον προσφεύγοντα ότι αναζήτησε τα στοιχεία πιστοληπτικής ικανότητας στο Σύστηµα της ΤΕΙΡΕΣΙΑΣ Α.Ε. και τον σκοπό της αναζήτησης αυτής ώστε, στη συνέχεια, ο προσφεύγων να είναι σε θέση να ερευνήσει τη νοµιµότητα της επεξεργασίας των προσωπικών του δεδοµένων πιστοληπτικής ικανότητας που περιέχονται στα αρχεία αυτά της ΤΕΙΡΕΣΙΑΣ. Σύµφωνα µε τα παραπάνω, η Αρχή διαπιστώνει ότι η Eurobank, ως υπεύθυνος επεξεργασίας, διενήργησε όχι νοµίµως επεξεργασία (συλλογή και χρήση) δεδοµένων πιστοληπτικής ικανότητας του προσφεύγοντος Α από τα αρχεία της ΤΕΙΡΕΣΙΑΣ, περαιτέρω δε, δεν ικανοποίησε το δικαίωµα πρόσβασης αυτού. 9 Λαµβάνοντας υπόψη τη βαρύτητα της παραβάσεων των άρθρων 4, 5 και 12 του ν. 2472/1997 που αποδείχθηκαν και της προσβολής που επήλθε από αυτές στο υποκείµενο, όπως αυτή εκτέθηκε αναλυτικά ανωτέρω, κρίνει ότι πρέπει να επιβληθούν στη Eurobank, ως υπεύθυνο επεξεργασίας, για καθεµία από τις παραβάσεις αυτές ξεχωριστά, οι προβλεπόµενες στο άρθρο 21 παρ. 1 εδαφ. α΄ και β΄ του ν. 2472/1997 κυρώσεις που αναφέρονται στο διατακτικό και οι οποίες τυγχάνουν ανάλογες µε τη βαρύτητα των παραβάσεων και της προσβολής του προσφεύγοντος εξ’ αυτών, καθώς και ότι πρέπει να απευθυνθούν επιπλέον σύµφωνα µε το άρθρο 19 παρ. 1 στοιχ. γ΄ του ν. 2472/1997 οι συστάσεις που επίσης αναφέρονται στο διατακτικό. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, σύµφωνα µε όσα εκτίθενται στο σκεπτικό της παρούσας Επιβάλλει στη Eurobank, ως υπεύθυνο επεξεργασίας:
  7. Πρόστιµο ύψους πέντε χιλιάδων (5.000) Ευρώ για παράνοµη επεξεργασία δεδοµένων πιστοληπτικής ικανότητας του προσφεύγοντος από τα αρχεία της ΤΕΙΡΕΣΙΑΣ.
  8. Πρόστιµο ύψους πέντε χιλιάδων (5.000) Ευρώ για µη ικανοποίηση του δικαιώµατος πρόσβασης του προσφεύγοντος.
  9. Την κύρωση της προειδοποίησης να µεριµνήσει ώστε στο έντυπο της αίτησης/σύµβασης να υπάρχει ειδική ενηµέρωση για το Σύστηµα ΣΣΧ και το Σύστηµα Βαθµολογικής Συµπεριφοράς και ότι, σε περίπτωση πρόσβασης στα εν λόγω συστήµατα, απαιτείται η λήψη ειδικής συγκατάθεσης προς τούτο και να ενηµερώσει σχετικά την Αρχή εντός δυο
(2)µηνών από τη λήψη της παρούσας. Ο Αναπληρωτής Πρόεδρος Η Γραµµατέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 10

🔗 Στην επίσημη πηγή

Επεξήγηση AI βάσει του επίσημου κειμένου του νόμου. Ενδεικτική, δεν υποκαθιστά νομική συμβουλή.