Περί διεύρυνσης των αποδεκτών των αρχείων ΣΑΥ και ΣΣΧ της ΤΕΙΡΕΣΙΑΣ Α.Ε

Ορθή επ νάληψη ως προς τον ριθµό της Αποφάσεως Αθήνα, 10-09-2019 Αριθ. Πρωτ.: Γ/ΕΞ/4646/10-09-2019 ΑΡΧΗ ΠΡΟ ΤΑ ΙΑ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟ ΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Α Π Ο Φ Α Σ Η 18/2019 Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα, συνήλθε, µετά από πρόσκληση του Προέδρου της σε τακτική συνεδρίαση στην έδρα της την 26-02-2019 και ώρα 10:00, σε συνέχεια της από 08-05-2018 συνεδρίασης, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος, Κ. Μενουδάκος, τα τακτικά µέλη Κ. Χριστοδούλου, ως εισηγητής, Α. υµβώνης, Κ. Λαµπρινουδάκης, Χ. Ανθόπουλος και Ε. Μαρτσούκου. τη συνεδρίαση δεν παρέστη λόγω κωλύµατος, αν και κλήθηκε νοµίµως εγγράφως, το τακτικό µέλος . Βλαχόπουλος. την συνεδρίαση παρέστησαν, επίσης, µε εντολή του Προέδρου, χωρίς δικαίωµα ψήφου, η Ε. Ι. Τσακιρίδου, δικηγόρος-ειδική επιστήµονας, ως βοηθός εισηγήτρια, η οποία αποχώρησε µετά τη συζήτηση και πριν από τη διάσκεψη και τη λήψη αποφάσεως, και η Ε. Παπαγεωργοπούλου, υπάλληλος του τµήµατος διοικητικών υποθέσεων, ως γραµµατέας. Η Αρχή έλαβε υπόψη τα παρακάτω: Με την υπ’ αριθ. πρωτ. Γ/ΕΙ /8291/17-11-2017 αίτησή της, η Ανώνυµη Εταιρεία ΤΕΙΡΕ ΙΑ Α.Ε., ζήτησε την έγκριση της Αρχής για την ένταξη των Εταιρειών ∆ιαχείρισης Απαιτήσεων (ν. 4354/2015) στους νοµιµοποιούµενους αποδέκτες των δεδοµένων των αρχείων « ύστηµα Αθέτησης Υποχρεώσεων» (εφεξής ΑΥ ή «µαύρη λίστα») και « ύστηµα υγκέντρωσης Χορηγήσεων» (εφεξής Χ ή «λευκή λίστα»), τα οποία τηρεί, µε τους ίδιους όρους και προϋποθέσεις που ισχύουν για τις Τράπεζες. Επισύναψε δε στην εν λόγω αίτησή της και το υποβληθέν σε αυτήν αίτηµα της «Eurobank FPS Ανώνυµη Εταιρεία ∆ιαχείρισης Απαιτήσεων από ∆άνεια και 2 Πιστώσεις», 100% θυγατρικής της Τράπεζας ΕUROBANK ERGASIAS A.E, να επιτραπεί η πρόσβασή της στα αρχεία « ύστηµα Αθέτησης Υποχρεώσεων» ( ΑΥ/«µαύρη λίστα») και « ύστηµα υγκέντρωσης Χορηγήσεων» ( Χ/«λευκή λίστα») της ΤΕΙΡΕ ΙΑ για τους αναφερόµενους λόγους. Όπως επισηµαίνει η ΤΕΙΡΕ ΙΑ Α.Ε. στην αίτησή της, µε βάση τον ν. 4354/2015, όπως τροποποιήθηκε και ισχύει, ορίστηκε ότι η διαχείριση απαιτήσεων από δάνεια και πιστώσεις που έχουν χορηγήσει ή χορηγούν πιστωτικά ή χρηµατοδοτικά ιδρύµατα µπορεί να ανατεθεί µόνο σε Εταιρείες ∆ιαχείρισης Απαιτήσεων από ∆άνεια και Πιστώσεις (εφεξής Εταιρείες ∆ιαχείρισης Απαιτήσεων ή Ε∆Α), οι οποίες αδειοδοτούνται και εποπτεύονται από την Τράπεζα της Ελλάδος. ε περίπτωση δε µεταβίβασης αυτών των απαιτήσεων, η αποκτώσα εταιρεία (αν δεν είναι αδειοδοτηµένο πιστωτικό ίδρυµα) πρέπει υποχρεωτικά να έχει συµβληθεί µε Εταιρεία ∆ιαχείρισης Απαιτήσεων, στην οποία θα αναθέσει τη διαχείριση αυτών (βλ. άρθρο 1 παρ. 1 α΄, β΄ και γ΄ ν. 4354/2015). Περαιτέρω, οι Εταιρείες ∆ιαχείρισης Απαιτήσεων δύνανται να λαµβάνουν άδεια από την ΤτΕ και για να χορηγούν νέα δάνεια ή/και πιστώσεις σε δανειολήπτες, των οποίων δάνεια ή πιστώσεις διαχειρίζονται, µε αποκλειστικό σκοπό την αναχρηµατοδότηση των δανείων τους ή την αναδιάρθρωση της δανειολήπτριας επιχείρησης. Τα νέα δάνεια και πιστώσεις λογίζονται ως τραπεζικά δάνεια και πιστώσεις και διέπονται από το Ελληνικό ∆ίκαιο (άρθρο 1 παρ. 20 του ως άνω νόµου). Οι Εταιρείες ∆ιαχείρισης Απαιτήσεων θεωρούνται σε κάθε περίπτωση δανειστές και προµηθεύτριες, κατά την έννοια του νόµου περί Προστασίας Καταναλωτή, και πρέπει να τηρούν τον Κώδικα ∆εοντολογίας των Τραπεζών, τους κανόνες που διέπουν τη χορήγηση δανείων και πιστώσεων που ισχύουν για τα πιστωτικά ιδρύµατα, καθώς και όλες τις σχετικές µε χορηγούµενα από πιστωτικά και χρηµατοδοτικά ιδρύµατα δάνεια και πιστώσεις αποφάσεις της ΤτΕ και να λαµβάνουν ειδική µέριµνα για κοινωνικά ευπαθείς οµάδες (άρθρο 1 παρ. 22 του ως άνω νόµου). Οι Εταιρείες ∆ιαχείρισης Απαιτήσεων λογίζονται ως χρηµατοπιστωτικοί οργανισµοί, κατά την έννοια του άρθρου 4 παρ. 3 ν. 3691/2008 (Πρόληψη αι αταστολή της νοµιµοποίησης εσόδων από εγ ληµατι ές δραστηριότητες αι της χρηµατοδότησης της τροµο ρατίας αι άλλες διατάξεις) και ως υπόχρεα πρόσωπα κατά την έννοια του άρθρου 5 παρ. 1 του ιδίου νόµου, εποπτεύονται δε από την ΤτΕ (άρθρο 1 παρ. 25 ν. 4354/2015). Όπως επισηµαίνει η ΤΕΙΡΕ ΙΑ Α.Ε., επ’ αφορµή του αιτήµατος της «Eurobank FPS Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 3 Ανώνυµη Εταιρεία ∆ιαχείρισης Απαιτήσεων από ∆άνεια και Πιστώσεις» (που επισυνάπτει στην αίτησή της), η απευθείας-αυτόνοµη πρόσβαση των Εταιρειών ∆ιαχείρισης Απαιτήσεων στα αρχεία ύστηµα Αθέτησης Υποχρεώσεων ( ΑΥ ή «µαύρη λίστα») και ύστηµα υγκέντρωσης Χορηγήσεων ( Χ ή «λευκή λίστα») της ΤΕΙΡΕ ΙΑ , µε τους ίδιους όρους πρόσβασης των τραπεζών, είναι απολύτως απαραίτητη ιδίως για τις περιπτώσεις διαχείρισης απαιτήσεων από δάνεια και πιστώσεις που είχαν χορηγηθεί από πιστωτικά ή χρηµατοδοτικά ιδρύµατα και έχουν µεταβιβασθεί σε Εταιρείες Απόκτησης Απαιτήσεων από ∆άνεια και Πιστώσεις (κατά το άρθρο 1 παρ. 1 β΄ ν. 4354/2015). τις περιπτώσεις αυτές οι Εταιρείες ∆ιαχείρισης Απαιτήσεων ενεργούν για λογαριασµό µίας Εταιρείας Απόκτησης Απαιτήσεων, η οποία είναι δικαιούχος των υπό διαχείριση απαιτήσεων και δεν υπόκειται η ίδια σε εποπτεία στην Ελλάδα, εφόσον µπορεί να βρίσκεται εγκατεστηµένη οπουδήποτε στον κόσµο. Η πρόσβαση, λοιπόν, των Εταιρειών ∆ιαχείρισης Απαιτήσεων στα προαναφερθέντα αρχεία της ΤΕΙΡΕ ΙΑ είναι, κατά τους προβληθέντες ισχυρισµούς, αναγκαία, όχι µόνο για την αξιολόγηση της φερεγγυότητας ( ΑΥ) και πιστοληπτικής ικανότητας ( Χ) των πιστούχων, τις απαιτήσεις κατά των οποίων διαχειρίζονται, αλλά και για τη συµµόρφωσή τους µε τον Κώδικα ∆εοντολογίας των πιστωτικών ιδρυµάτων (άρθρο 1 παρ. 22 ν. 4354/2015) και το κανονιστικό πλαίσιο για το ξέπλυµα χρήµατος και τη χρηµατοδότηση της τροµοκρατίας. Ειδικότερα, όπως επισηµαίνει η ΤΕΙΡΕ ΙΑ , σε περίπτωση που οι Εταιρείες ∆ιαχείρισης Απαιτήσεων διαχειρίζονται απαιτήσεις από δάνεια και πιστώσεις που έχουν µεταβιβασθεί, οι µεταβιβαζόµενες απαιτήσεις θεωρούνται τραπεζικές, οι δε αρχικώς χορηγήσασες τράπεζες αποξενούνται πλήρως από τα δάνεια και τις πιστώσεις αυτές και οι Εταιρείες ∆ιαχείρισης Απαιτήσεων, κατά την ΤΕΙΡΕ ΙΑ , θα πρέπει να είναι αποκλειστικά και µόνες αρµόδιες για την ενηµέρωση του αρχείου ΑΥ και Χ της ΤΕΙΡΕ ΙΑ αναφορικά µε την τύχη των διαχειριζόµενων δανείων και πιστώσεων. Τέλος, η ΤΕΙΡΕ ΙΑ επισηµαίνει την ανάγκη εφαρµογής στους δανειολήπτες της αρχής της ίσης µεταχείρισης υπό την έννοια της µη διαφοροποίησης του δανειολήπτη εκείνου, η διαχείριση των οφειλών του οποίου έχει ανατεθεί σε Εταιρείες ∆ιαχείρισης Απαιτήσεων του ν. 4354/2015, έναντι εκείνων για τους οποίους η διαχείριση έχει παραµείνει στις τράπεζες. Επίσης, τυχόν αποκλεισµός των Εταιρειών ∆ιαχείρισης Απαιτήσεων από την πρόσβαση στα ως άνω συστήµατα της ΤΕΙΡΕ ΙΑ , µε τους ίδιους όρους και προϋποθέσεις που ισχύουν για τις Τράπεζες, δύναται, κατά την Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 4 ΤΕΙΡΕ ΙΑ , να εγείρει θέµατα αθέµιτου ανταγωνισµού και άνισης µεταχείρισης σε βάρος και των ιδίων, αφού και σε αυτές µπορούν να εφαρµοστούν οι ίδιοι όροι διάθεσης αλλά και η αρχή της ανταποδοτικότητας, µε βάση την οποία τα συστήµατα τροφοδοτούνται. Η Αρχή, µε την µε αριθ. πρωτ. Γ/ΕΞ/3268/30-04-2018 κλήση σε ακρόαση, κάλεσε την ΤΕΙΡΕ ΙΑ Α.Ε., ως υπεύθυνο επεξεργασίας, να υποστηρίξει την αίτησή της. Επίσης κάλεσε την Ελληνική Ένωση Τραπεζών και την Εταιρεία ∆ιαχείρισης Απαιτήσεων «Eurobank FPS Ανώνυµη Εταιρεία ∆ιαχείρισης Απαιτήσεων από ∆άνεια και Πιστώσεις» (το αίτηµα της οποίας προς την ΤΕΙΡΕ ΙΑ επισυνάπτεται στην υπό κρίση Γ/ΕΙ /8291/17-11-2017 αίτηση), µε την επισήµανση ότι οι τελευταίοι µπορούν, επίσης, να παρευρεθούν κατά τη συζήτηση της προαναφερόµενης αίτησης της ΤΕΙΡΕ ΙΑ και να εκθέσουν τις απόψεις τους. τη συνεδρίαση της Αρχής στις 0805-2018, παρέστησαν νοµίµως εκ µέρους της ΤΕΙΡΕ ΙΑ ο Ιωάννης Μούργελας (µε ΑΜ/∆ Α …) και η Κική Τσούρου (µε ΑΜ/∆ Α …) και εκ µέρους της «Eurobank FPS Ανώνυµη Εταιρεία ∆ιαχείρισης Απαιτήσεων από ∆άνεια και Πιστώσεις» η Α ∆ιευθύντρια […], ο Βασίλης αλιάρης (µε ΑΜ/∆ Α …) Νοµικός ύµβουλος της Τράπεζας και η Β ∆ιευθύντρια […] της Eurobank. Κατά τη συνεδρίαση, οι κληθέντες έδωσαν διευκρινίσεις επί της άνω αιτήσεως και εξέθεσαν προφορικά τις απόψεις τους. Ακολούθως, η ΤΕΙΡΕ ΙΑ και η «Eurobank FPS Ανώνυµη Εταιρεία ∆ιαχείρισης Απαιτήσεων από ∆άνεια και Πιστώσεις» υπέβαλαν έγγραφα υποµνήµατα (βλ. Γ/ΕΙ /3843/21-05-2018 και Γ/ΕΙ /3893/22-05-2018 αντίστοιχα, βλ. και συναφές ερώτηµα του ΥΠ∆ (DPO) της ίδιας Εταιρείας ∆ιαχείρισης Απαιτήσεων µε αριθ. πρωτ. Γ/ΕΙ /886/04-02-2019). Η Αρχή, µετά από εξέταση όλων των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από την βοηθό εισηγήτρια, η οποία αποχώρησε µετά τη συζήτηση και πριν από τη διάσκεψη και τη λήψη αποφάσεως, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

1. Η Αρχή ήδη από το έτος 1999 έχει εκδώσει τις µε αριθ. 109/31-03-1999 και 523/19-10-1999 Αποφάσεις της, µε τις οποίες ορίζονται οι προϋποθέσεις τήρησης Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 5 αρχείου δυσµενών/αρνητικών δεδοµένων οικονοµικής συµπεριφοράς από την ΤΕΙΡΕ ΙΑ Α.Ε. και οι κανόνες κατηγοριοποίησης των δεδοµένων αυτών (που αποτελούν το ύστηµα Αθέτησης Υποχρεώσεων, «µαύρη λίστα»). Το 2004 η Αρχή επανέλαβε τις παραπάνω αποφάσεις της (µε αριθ. 24 και 25/2004 Αποφάσεις), προκειµένου, ως κανονιστικές πράξεις, να δηµοσιευθούν στην Εφηµερίδα της Κυβερνήσεως (ΦΕΚ Β΄ 684/11-05-2004). ύµφωνα µε τις ανωτέρω Αποφάσεις της Αρχής, η τήρηση δυσµενών δεδοµένων οικονοµικής συµπεριφοράς από την ΤΕΙΡΕ ΙΑ Α.Ε. επιτρέπεται και χωρίς τη συγκατάθεση του/των υποκειµένου/ων των δεδοµένων, µε βάση το άρθρο 5 παρ. 2 περ. ε΄ του ν. 2472/1997 (υπέρτερο έννοµο συµφέρον, που συνίσταται στην ελαχιστοποίηση των κινδύνων από τη σύναψη πιστωτικών συµβάσεων µε αφερέγγυους πελάτες και εν γένει από τη δηµιουργία επισφαλών απαιτήσεων, στην προστασία της εµπορικής πίστης και στην εξυγίανση των οικονοµικών συναλλαγών) και εξειδικεύτηκαν περαιτέρω οι κατηγορίες των δεδοµένων που επιτρέπεται να τηρηθούν από την ΤΕΙΡΕ ΙΑ Α.Ε. για τον συγκεκριµένο σκοπό, ο χρόνος τήρησης αυτών, οι αποδέκτες του συγκεκριµένου αρχείου, ο τρόπος εκπλήρωσης της υποχρέωσης ενηµέρωσης, κλπ. υγκεκριµένα, αποδέκτες του αρχείου αυτού ορίστηκαν αρχικά µόνον «οι τράπ ζ ς, τα χρηµατοπιστωτικά ιδρύµατα και οι ταιρ ί ς διαχ ίρισης πιστωτικών καρτών, καθώς και φορ ίς του δηµοσίου τοµέα, όχι τρίτοι µ τέχοντ ς στις οικονοµικές συναλλαγές και ακόµα λιγότ ρο µη µ τέχοντ ς. …» (σκ. 4 της Απόφασης µε αριθ. 109/31-03-1999, που επαναλήφθηκε µε αριθ. 24/2004, ΦΕΚ Β΄ 684/11-05-2004), και στη συνέχεια συµπεριλήφθηκαν στους αποδέκτες «α) οι εταιρίες πρα τορείας επιχειρηµατι ών απαιτήσεων (του Ν. 1905/1990 – Ν. 2076/1992, αρ. 24, παρ. 1, εδ. β). β) Οι εταιρίες χρηµατοδοτι ής µίσθωσης (του Ν. 1665/19986, όπως ισχύει – Ν. 2076/1992, αρ. 24, παρ. 1, εδ. γ).» (βλ. σκ. Β. της Απόφασης µε αριθ. 523/19-101999, που επαναλήφθηκε µε αριθ. 25/2004, ΦΕΚ Β΄ 684/11-05-2004). Επίσης, η Αρχή από το έτος 2002 έχει εκδώσει απόφαση για τις προϋποθέσεις τήρησης αρχείου «συγκέντρωσης κινδύνων ή λευκής λίστας» από την ΤΕΙΡΕ ΙΑ Α.Ε. υγκεκριµένα, η Αρχή µε την Απόφαση 86/2002 έκρινε ότι, σε αντίθεση µε το αρχείο δυσµενών οικονοµικών δεδοµένων («µαύρης λίστας»), η δηµιουργία του εν λόγω αρχείου («λευκής λίστας») από την ΤΕΙΡΕ ΙΑ Α.Ε., χωρίς τη συγκατάθεση του υποκειµένου αντίκειται στο νόµο και υπερβαίνει το σκοπό της επεξεργασίας. Έγινε δηλαδή δεκτό ότι το εν λόγω αρχείο («λευκή λίστα»), το οποίο περιέχει τις Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 6 ενήµερες οφειλές και τις οφειλές σε καθυστέρηση, χωρίς αυτές όµως να είναι οφειλές βεβαιωµένες και απαιτητές (όπως στην περίπτωση της «µαύρης λίστας»), µπορεί να δηµιουργηθεί και να λειτουργήσει µόνο στη βάση της συγκατάθεσης του υποκειµένου των δεδοµένων. τη συνέχεια, ο νοµοθέτης µε την διάταξη του άρθρου 40 ν. 3259/1004, ρύθµισε τη λειτουργία του αρχείου «µαύρης λίστας» της ΤΕΙΡΕ ΙΑ , κατά τρόπο που ουσιαστικά ταυτίζεται µε το περιεχόµενο της Απόφασης της Αρχής µε αριθ. 109/3103-1999 (που επέτρεψε στην ΤΕΙΡΕ ΙΑ τη δηµιουργία του εν λόγω αρχείου χωρίς τη συγκατάθεση του υποκειµένου των δεδοµένων), και τροποποίησε τις συγκεκριµένες κατηγορίες δεδοµένων, τις οποίες όρισε η Αρχή µε την µε αριθ. 523/19-10-1999 Απόφαση, και τον χρόνο τήρησης αυτών. Ακολούθως, µε την διάταξη του άρθρου 70 του ν. 3746/2009 αντικαταστάθηκε η προαναφερόµενη διάταξη του άρθρου 40 του ν. 3259/
2. υγκεκριµένα, µε τη διάταξη αυτή, πέραν του ότι τροποποιήθηκαν οι όροι και ο χρόνος τήρησης των συγκεκριµένων κατηγοριών (δυσµενών δεδοµένων) (βλ. παρ. 1 και 3, όπως αυτές αντικαταστάθηκαν πάλι µε το άρθρο 4 παρ. 1 και 2 ν. 3816/2010, βλ. σχετικά και τα άρθρα 3-5 ν. 3816/2010), ορίστηκε ρητά ότι: «
3. Επιτρέπ ται στα πιστωτικά και χρηµατοδοτικά ιδρύµατα η διαβίβαση προς καταχώριση δ δοµένων επί των ε άστοτε ανεξόφλητων υπολοίπων δαν ίων ή και πιστώσ ων, περιλαµβανοµένων αι των υφιστάµενων, που χορηγούν σε φυσι ά ή νοµι ά πρόσωπα ή ενώσεις προσώπων, σ αρχ ίο δ δοµένων οικονοµικής συµπ ριφοράς που λ ιτουργ ί νόµιµα, χάριν αυτών, χωρίς την προϋπόθ ση του άρθρου 5 παρ. 1 του ν. 2472/1997 (ΦΕΚ 50 Α΄). Η πρόσβαση των πιστωτικών και χρηµατοδοτικών ιδρυµάτων στα ως άνω δ δοµένα πιτρέπ ται µόνο κατά τους όρους και προϋποθέσ ις του ν. 2472/1997, όπως ε άστοτε ισχύει αι εφαρµόζεται. Ο χρόνος τήρησης αι χρήσης από τα πιστωτι ά ιδρύµατα ή από αρχεία δεδοµένων οι ονοµι ής συµπεριφοράς που λειτουργούν νόµιµα χάριν αυτών των δεδοµένων δεν µπορεί να υπερβαίνει την πενταετία.».
4. Με την υπό κρίση αίτηση ζητείται από την Αρχή να εγκρίνει την αυτόνοµη-άµεση πρόσβαση των Εταιριών ∆ιαχείρισης Απαιτήσεων, ως υπευθύνων επεξεργασίας (ή από κοινού υπευθύνων) όταν ενεργούν για λογαριασµό των Εταιρειών Απόκτησης Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 7 Απαιτήσεων (πέραν της τυχόν έµµεσης πρόσβασής τους ως εκτελούντων την επεξεργασία όταν ενεργούν για λογαριασµό των τραπεζών) στα αρχεία της ΤΕΙΡΕ ΙΑ (αρχεία ΑΥ και Χ), διευρύνοντας ουσιαστικά τους αποδέκτες των εν λόγω αρχείων, που ορίστηκαν αρχικά µε τις προαναφερόµενες Αποφάσεις της Αρχής, οι οποίες εκδόθηκαν υπό το καθεστώς του ν. 2472/1997, και ακολούθως µε τις προαναφερόµενες διατάξεις νόµου. Λαµβάνοντας υπόψη τα παραπάνω και το γεγονός ότι οι Εταιρείες ∆ιαχείρισης Απαιτήσεων εισήχθησαν µε διάταξη νόµου, µε την οποία θεσπίστηκε το πλαίσιο για τη νόµιµη δράση τους, την αδειοδότησή τους από την ΤτΕ, τον ρόλο, τις αρµοδιότητές τους, κλπ. όταν ενεργούν για λογαριασµό των τραπεζών ή για λογαριασµό Εταιρειών Απόκτησης Απαιτήσεων, είναι σκόπιµο µε διάταξη νόµου να προβλεφθεί και τυχόν η πρόσβασή τους στα αρχεία της ΤΕΙΡΕ ΙΑ που συνδέεται µε τη νόµιµη δράση τους (βλ. την µε αριθ. 153/8.1.2019 Πράξη Εκτελεστικής Επιτροπής της Τράπεζας της Ελλάδος, άρθρο µόνο, στοιχ. 17, σύµφωνα µε το οποίο οι Ε∆Α των ενοτήτων Α.
5. (µε έδρα στην Ελλάδα) και Α.2 (µε έδρα εκτός Ελλάδος, αλλά µε δραστηριοποίηση µέσω υποκαταστήµατος στην Ελλάδα) οφείλουν πριν από την έναρξη λειτουργίας τους να έχουν διασφαλίσει συνεργασία µε αναγνωρισµένους φορείς συγκέντρωσης και επεξεργασίας στοιχείων σχετικά µε την οικονοµική συµπεριφορά και την πιστοληπτική ικανότητα των οφειλετών, χωρίς, όµως, να εντάσσονται οι Ε∆Α, ως υπεύθυνοι επεξεργασίας, στους νοµιµοποιούµενους αποδέκτες των αρχείων της ΤΕΙΡΕ ΙΑ ). Γενικότερα, είναι σκόπιµο µε νοµοθετική διάταξη να επιλυθεί το ζήτηµα της ένταξης (ή µη) των νέων εταιρειών του ν. 4354/2015 (Εταιρειών ∆ιαχείρισης Απαιτήσεων και Εταιρειών Απόκτησης Απαιτήσεων) στους νοµιµοποιούµενους αποδέκτες των αρχείων ΑΥ και Χ της ΤΕΙΡΕ ΙΑ .
6. ύµφωνα µε τον ήδη σε ισχύ Γενικό Κανονισµό (ΕΕ) 2016/679 (άρθρα 57-58), η Αρχή δεν είναι πλέον αρµόδια να αδειοδοτήσει/εγκρίνει επεξεργασίες προσωπικών δεδοµένων (βλ. και την µε αριθ. 52/2018 Απόφαση της Αρχής). υνακόλουθα, ο υπεύθυνος επεξεργασίας καθορίζει τους σκοπούς και τους αποδέκτες της επεξεργασίας δεδοµένων προσωπικού χαρακτήρα στην οποία προβαίνει, λαµβάνοντας υπόψη και την αρχή της λογοδοσίας (άρθρο 5 παρ. 2 ΓΚΠ∆). Επισηµαίνεται η υποχρέωση του υπευθύνου επεξεργασίας για διενέργεια εκτίµησης αντικτύπου, όπου απαιτείται κατά τις διατάξεις του άρθρου 35 ΓΚΠ∆, εκτός αν Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 8 πρόκειται για πράξεις επεξεργασίας που έχουν αδειοδοτηθεί/ελεγχθεί από την Αρχή πριν από τον Μάιο του 2018 (υπό το καθεστώς του ν. 2472/1997) υπό συγκεκριµένους όρους, οι οποίοι παραµένουν αµετάβλητοι (βλ. και τη σχετική Γνώµη της Οµάδας Εργασίας του άρθρου 29 Κατευθυντήριες Γραµµές για την ε τίµηση του αντι τύπου σχετι ά µε την προστασία δεδοµένων (ΕΑΠ∆) αι αθορισµός του ατά πόσον η επεξεργασία «ενδέχεται να επιφέρει υψηλό ίνδυνο» για τους σ οπούς του ανονισµού 2016/679 (WP 248 rev. 01).
7. Ειδικότερα, σύµφωνα µε το άρθρο 35 παρ. 1 ΓΚΠ∆, όταν ένα είδος επεξεργασίας, ιδίως µε χρήση νέων τεχνολογιών, κατά συνεκτίµηση της φύσης, του πεδίου εφαρµογής, του πλαισίου και των σκοπών της επεξεργασίας, ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώµατα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας διενεργεί, πριν την επεξεργασία, εκτίµηση των επιπτώσεων των σχεδιαζόµενων πράξεων επεξεργασίας στην προστασία δεδοµένων προσωπικού χαρακτήρα. ε µία εκτίµηση µπορεί να εξετάζεται ένα σύνολο παρόµοιων πράξεων επεξεργασίας, οι οποίες ενέχουν παρόµοιους κινδύνους. Ενδεικτικά είδη πράξεων επεξεργασίας οι οποίες ενέχουν υψηλό κίνδυνο παρατίθενται στην παρ. 3 του ιδίου άρθρου [βλ., ιδίως, την περίπτωση α) συστηµατικής και εκτενούς αξιολόγησης προσωπικών πτυχών σχετικά µε φυσικά πρόσωπα, η οποία βασίζεται σε αυτοµατοποιηµένη επεξεργασία, περιλαµβανοµένης της κατάρτισης προφίλ, και στην οποία βασίζονται αποφάσεις που παράγουν έννοµα αποτελέσµατα σχετικά µε το φυσικό πρόσωπο ή οµοίως επηρεάζουν σηµαντικά το φυσικό πρόσωπο, αιτιολογική σκέψη 91 και τις κατευθυντήριες γραµµές για την εκτίµηση αντικτύπου (WP 248)]. Επειδή η σχεδιαζόµενη πράξη επεξεργασίας, διεύρυνση των αποδεκτών των εν λόγω αρχείων της ΤΕΙΡΕ ΙΑ , υπόκειται στην απαίτηση για διενέργεια εκτίµησης αντικτύπου (βλ. και την µε αριθ. 65/2018 Απόφαση της Αρχής, µε την οποία καταρτίστηκε, κατ’ εφαρµογή του άρθρο 35 παρ. 4 του ΓΚΠ∆, κατάλογος µε τα είδη επεξεργασίας που υπόκεινται σε εκτίµηση αντικτύπου, και ιδίως τις περιπτώσεις 1.1, 1.2, 1.3, ή και 3.2, 3.
8. Όπως επισηµαίνεται, ο εν λόγω κατάλογος βασίζεται στο άρθρο 35 ΓΚΠ∆ και ιδίως στις παρ. 1 και 3 αυτού, καθώς και στις κατευθυντήριες γραµµές για την εκτίµηση αντικτύπου (WP 248), τις οποίες συµπληρώνει και εξειδικεύει περαιτέρω. Εξάλλου, ο κατάλογος αυτός δεν είναι εξαντλητικός και, Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 9 συνεπώς, συντρέχει υποχρέωση διενέργειας εκτίµησης αντικτύπου σε κάθε περίπτωση συνδροµής των προϋποθέσεων του άρθρου 35 παρ. 1 ΓΚΠ∆). Η εκτίµηση αντικτύπου περιέχει τουλάχιστον: α) συστηµατική περιγραφή των προβλεπόµενων πράξεων επεξεργασίας και των σκοπών της επεξεργασίας, περιλαµβανοµένου, κατά περίπτωση, του εννόµου συµφέροντος που επιδιώκει ο υπεύθυνος επεξεργασίας, β) εκτίµηση της αναγκαιότητας και της αναλογικότητας των πράξεων επεξεργασίας σε συνάρτηση µε τους σκοπούς, γ) εκτίµηση των κινδύνων για τα δικαιώµατα και τις ελευθερίες των υποκειµένων των δεδοµένων και δ) τα προβλεπόµενα µέτρα αντιµετώπισης των κινδύνων, περιλαµβανοµένων των εγγυήσεων, των µέτρων και µηχανισµών ασφάλειας, ώστε να διασφαλίζεται η προστασία των δεδοµένων προσωπικού χαρακτήρα και να αποδεικνύεται η συµµόρφωση µε τον ΓΚΠ∆, λαµβάνοντας υπόψη τα δικαιώµατα και τα έννοµα συµφέροντα των υποκειµένων των δεδοµένων και άλλων ενδιαφερόµενων προσώπων (βλ. παρ. 7 άρθρου 35). την προκειµένη δε περίπτωση, ο υπεύθυνος επεξεργασίας πρέπει, κατά τη διενέργεια της εκτίµησης αντικτύπου, να ζητήσει και τη γνώµη των υποκειµένων των δεδοµένων ή των εκπροσώπων τους για τη σχεδιαζόµενη επεξεργασία (βλ. παρ. 9 άρθρου 35 του ΓΚΠ∆).
9. Επειδή η ένταξη των Εταιρειών ∆ιαχείρισης Απαιτήσεων στους νοµιµοποιούµενους αποδέκτες των εν λόγω αρχείων της ΤΕΙΡΕ ΙΑ , όταν ενεργούν για λογαριασµό των Εταιρειών Απόκτησης Απαιτήσεων (ΕΑΑ), ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώµατα και τις ελευθερίες των φυσικών προσώπων. Για παράδειγµα, πρέπει να αναλυθεί ο κίνδυνος διάθεσής τους σε ΕΑΑ, η οποία είναι δικαιούχος των υπό διαχείριση απαιτήσεων και η οποία δεν υπόκειται σε εποπτεία στην Ελλάδα, εφόσον µπορεί να βρίσκεται εγκατεστηµένη οπουδήποτε στον κόσµο, οπότε θα πρέπει να αναλυθεί και ο κίνδυνος διαβίβασής τους εντός ή και εκτός ΕΕ, ή ο κίνδυνος διάθεσής τους σε ΕΑΑ σε περίπτωση λύσης της σχετικής σύµβασης ανάθεσης που συνάπτεται µεταξύ Ε∆Α και ΕΑΑ, οπότε και τα αρχεία που έχουν διατεθεί στην Ε∆Α επιστρέφονται στην ΕΑΑ, η οποία διατηρεί την κυριότητα του σχετικού χαρτοφυλακίου, ή παραδίδονται σε άλλη Ε∆Α καθ’ υπόδειξη της ΕΑΑ. Ενόψει αυτού, σύµφωνα µε όσα αναφέρονται στην προηγούµενη σκέψη, απαιτείται η διενέργεια εκτίµησης αντικτύπου αναφορικά µε την ένταξη των Ε∆Α στους νοµιµοποιούµενους αποδέκτες των ανωτέρω αρχείων της ΤΕΙΡΕ ΙΑ . ε περίπτωση Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 10 δε προβλέψεως µε νοµοθετική διάταξη της διεύρυνσης αυτής των νοµιµοποιούµενων αποδεκτών, η εκτίµηση αντικτύπου θα έπρεπε να διενεργηθεί στο πλαίσιο της θέσπισης της σχετικής νοµοθετικής ρύθµισης (βλ. άρθρο 35 παρ. 10 ΓΚΠ∆ και αιτιολογικές σκέψεις 93 και 96). Κατά τη διενέργεια, εξάλλου, της εκτίµησης αντικτύπου πρέπει να ληφθεί υπόψη το γεγονός ότι υφίστανται σχετικές συµβάσεις (π.χ. συµβάσεις σε λειτουργία µεταξύ των δανειοληπτών και των τραπεζών, των τραπεζών και των Εταιρειών Απόκτησης Απαιτήσεων, των Εταιρειών ∆ιαχείρισης Απαιτήσεων και των τραπεζών ή Εταιρειών Απόκτησης Απαιτήσεων αντίστοιχα) και να ζητηθεί αποδεδειγµένα η γνώµη των εµπλεκόµενων Εταιρειών Απόκτησης Απαιτήσεων (σε σχέση µε τον ρόλο των Εταιρειών ∆ιαχείρισης Απαιτήσεων) και των δανειοληπτών που επηρεάζονται από την σχεδιαζόµενη επεξεργασία. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ
10. Η Αρχή απέχει να αποφανθεί επί της αίτησης της ΤΕΙΡΕ ΙΑ Α.Ε. να εγκρίνει την ένταξη των Εταιριών ∆ιαχείρισης Απαιτήσεων, ως υπευθύνων επεξεργασίας, στους νοµιµοποιούµενους αποδέκτες των δεδοµένων των ανωτέρω αρχείων.
11. Η Αρχή κρίνει ότι πρέπει η ΤΕΙΡΕ ΙΑ Α.Ε. και η αιτούσα την αυτόνοµη, ως υπεύθυνη επεξεργασίας, πρόσβαση στα εν λόγω αρχεία της ΤΕΙΡΕ ΙΑ Εταιρεία ∆ιαχείρισης Απαιτήσεων, να διενεργήσουν, σύµφωνα µε τα προαναφερόµενα, εκτίµηση αντικτύπου των σχεδιαζόµενων πράξεων επεξεργασίας στην προστασία δεδοµένων προσωπικού χαρακτήρα. Ο Πρόεδρος Η Γρ µµ τέ ς Κωνστ ντίνος Μενουδάκος Ειρήνη Π π γεωργοπούλου Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr