Αθήνα, 16-06-2015 Αριθ. Πρωτ.: Γ/ΕΞ/3456/16-06-2015 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Α Π Ο Φ Α Σ Η 70/2015 (Τµήµα) Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τµήµατος στην έδρα της την Τετάρτη 27 Μαΐου 2015 και ώρα 10:00 µετά από πρόσκληση του Προέδρου της, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Γιώργος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυοµένου του Προέδρου Πέτρου Χριστόφορου, και τα αναπληρωµατικά µέλη της Αρχής Σπύρος Βλαχόπουλος, Χαράλαµπος Ανθόπουλος και Γρηγόρης Λαζαράκος ως εισηγητής, σε αντικατάσταση των τακτικών µελών Λεωνίδα Κοτσαλή, ∆ηµητρίου Μπριόλα και Αναστάσιου-Ιωάννη Μεταξά, οι οποίοι αν και εκλήθησαν νοµίµως εγγράφως, δεν παρέστησαν λόγω κωλύµατος. Παρόντες χωρίς δικαίωµα ψήφου ήταν η Κυριακή Λωσταράκου, νοµικός ελεγκτής-δικηγόρος, και Ανάργυρος Χρυσάνθου, ως βοηθοί εισηγητές και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Τµήµατος ∆ιοικητικού-Οικονοµικού, ως γραµµατέας, µετά από εντολή του Προέδρου. Στη συνεδρίαση της 11ης Μαρτίου 2013 και µετά από κλήση παρέστησαν α) η προσφεύγουσα Α µε την πληρεξούσια δικηγόρο της Mαρία-Αλεξάνδρα Μαλάµη, και β) οι εκπρόσωποι της τράπεζας Άλκηστη Σπέντζου, δικηγόρος, και Β, Εσωτερικός Ελεγκτής της Τράπεζας, οι οποίοι και εξέθεσαν τις απόψεις τους επί της υποθέσεως και απάντησαν σε ερωτήσεις που τους τέθηκαν όπως αναφέρεται στα πρακτικά. Κατά τη συνεδρίαση της 27ης Μαΐου 2015 αναπτύχθηκε η υπόθεση από τον εισηγητή και τους βοηθούς εισηγητές και στη συνέχεια έλαβε χώρα διάσκεψη επί της υποθέσεως χωρίς την παρουσία των βοηθών Εισηγητών. 1 Η Αρχή έλαβε υπόψη της τα παρακάτω: Η προσφεύγουσα καταγγέλλει ότι το έτος 2012 η καθής τράπεζα Eurobank Ergasias AE δια των οργάνων της, παραβλέποντας τη λειτουργία της τραπεζικής σχέσης ως σχέσης εµπιστοσύνης µεταξύ της τράπεζας και του πελάτη, παραβίασε το απόρρητο των τραπεζικών της καταθέσεων και διενήργησε εξαντλητικό έλεγχο σε σχέση µε το πρόσωπό της, προβαίνοντας σε παράνοµη επεξεργασία προσωπικών της δεδοµένων. Ειδικότερα, η ανωτέρω καταγγέλλει ότι κατά το χρονικό διάστηµα από 10-112011 έως 15-12-2011 µε τη συνδροµή προστηθέντων υπαλλήλων της καταγγελλόµενης τράπεζας, τρίτοι απέκτησαν παρανόµως πρόσβαση και γνώση του υπολοίπου συγκεκριµένων τραπεζικών της λογαριασµών που τηρεί σε αυτήν, όπως διαπίστωσε σε προφορική συζήτηση που είχε µε αντίδικο, αλλά και πρώην συνεργάτη της. Μετά την έντονη διαµαρτυρία της στο κατάστηµα της τράπεζας στην [περιοχή] Χ, όπου η αδελφή της Γ κατείχε τη θέση της διευθύντριας, διενεργήθηκε έλεγχος από την αρµόδια υπηρεσία της τράπεζας που είχε ως αποτέλεσµα, κατά την καταγγέλλουσα, να εντοπιστούν οι παραβάτες, ωστόσο, η τράπεζα αρνείται ότι έλαβε χώρα η εν λόγω παράνοµη επεξεργασία. Περαιτέρω η καταγγέλλουσα καταγγέλλει ότι η τράπεζα µέσω των εσωτερικών της διευθύνσεων, παρανόµως προέβη κατά το χρονικό διάστηµα 17-012012 έως 30-05-2012 σε προσβάσεις και ελέγχους όλων των τραπεζικών της λογαριασµών µε συνδικαιούχο την αδελφή της Γ, σε βάρος της οποίας διενεργούταν εσωτερικός έλεγχος που είχε ως συνέπεια να λάβουν γνώση κινήσεων των λογαριασµών µέχρι και χαµηλόβαθµοι υπάλληλοι του ως άνω καταστήµατος, όπως διαπίστωσε η καταγγέλλουσα από τα σχετικά σχόλιά τους. Με τα µε αρ. πρωτ. Γ/ΕΞ/3047/29-04-2013, Γ/ΕΞ/2650/29-04-2014 και Α/ΕΞ/68/12-06-2014 έγγραφα η Αρχή ζήτησε τις απόψεις της καθής επί των καταγγελλοµένων, ιδίως ζήτησε να αποσταλεί αντίγραφο τυχόν πορίσµατος του ελέγχου που διενεργήθηκε για το πρώτο σκέλος της καταγγελίας ή άλλα στοιχεία που να τεκµηριώνουν ότι δεν υπήρξαν παράνοµες προσβάσεις ή διαβιβάσεις, καθώς και τα αρχεία καταγραφής των προσβάσεων υπαλλήλων της τράπεζας στους λογαριασµούς της προσφεύγουσας κατά το επίµαχο χρονικό διάστηµα. 2 Η καθής απέστειλε µε τα µε αρ. πρωτ. Γ/ΕΙΣ/3707/30-05-2013, Γ/ΕΙΣ/3511/306-2014, Γ/ΕΙΣ/5533/18-09-2014 και Γ/ΕΙΣ/7827/11-12-2014 έγγραφά της τις απόψεις της. Η καθής υπέβαλε επίσης, σε συνέχεια της συνεδρίασης της 11ης Μαρτίου 2015, το υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/1761/19-03-2015 υπόµνηµα, στο οποίο, συµπληρωµατικά στα προηγουµένως έγγραφα, εξέθεσε τις απόψεις της, ως αυτές εκφράστηκαν στη συνεδρίαση. Ως προς το πρώτο σκέλος ενηµέρωσε για το εσωτερικό κανονιστικό πλαίσιο για την τήρηση τραπεζικού απορρήτου και επαγγελµατικής εχεµύθειας (Κώδικα ∆εοντολογίας, Εγκυκλίους και Υπηρεσιακά Σηµειώµατα) και ανέφερε ότι από τη διερεύνηση που έκανε για την υπόθεση δεν προέκυψαν στοιχεία που να επιβεβαιώνουν τις καταγγελίες της προσφεύγουσας περί παραβίασης τραπεζικού απορρήτου και παράνοµης επεξεργασίας τραπεζικών της λογαριασµών, κατόπιν τούτου δεν συντάχθηκε πόρισµα ελέγχου. Απέστειλε ακόµα αντίγραφα των αρχείων της από το µηχανογραφικό της σύστηµα όπου περιλαµβάνονται οι καταγεγραµµένες προσβάσεις υπαλλήλων της στους επίµαχους λογαριασµούς της προσφεύγουσας µε επεξήγηση του είδους των δεδοµένων και των κωδικών που αναγράφονται στις στήλες των αρχείων καταγραφής. Σηµείωσε ακόµα ότι δεν µπορεί να τεκµηριωθεί παράνοµη επεξεργασία δεδοµένου ότι οι χρήστες που εµφανίζονται στα εν λόγω αρχεία είτε εργάζονταν στο κατάστηµα τήρησης του λογαριασµού ή σε άλλα καταστήµατα στα οποία η προσφεύγουσα διενεργούσε κατά καιρούς συναλλαγές, από τα δε λοιπά στοιχεία συνάγεται ότι οι προσβάσεις έγιναν στο πλαίσιο τραπεζικών εργασιών και εξυπηρέτησης συναλλαγών της ανωτέρω. Ως προς το δεύτερο σκέλος της προσφυγής, η καθής αναφέρει ότι ενήργησε σύµφωνα µε τις βασικές ρυθµίσεις που αφορούν τον εσωτερικό έλεγχο των τραπεζών και ειδικότερα (α) την υπ’αρ. 281/17-03-2009 απόφαση της Επιτροπής Τραπεζικών και Πιστωτικών Θεµάτων της Τραπέζης της Ελλάδος, (β) την υπ’ αρ. 2577/9-03-2006 πράξη του ∆ιοικητή της Τραπέζης της Ελλάδος και (γ) την υπ’ αρ. 285/9-07-2009 απόφαση της Επιτροπής Τραπεζικών και Πιστωτικών Θεµάτων της Τραπέζης της Ελλάδος. Η καθής αναφέρει ότι προέβη στον εσωτερικό έλεγχο που αφορούσε τους λογαριασµούς της προσφεύγουσας αφότου πληροφορήθηκε τη σύλληψη και ποινική δίωξη του ∆, γαµπρού της προσφεύγουσας και συζύγου της αδελφής της, η οποία ετύγχανε υπάλληλος της καθής και συνδικαιούχος στους επίµαχους λογαριασµούς. Το ως άνω γεγονός πληροφορήθηκε η καθής, καθόσον έλαβε µεγάλη δηµοσιότητα από τα ΜΜΕ καθώς αφορούσε υπόθεση τοκογλυφικού κυκλώµατος που δρούσε στην 3 [περιοχή] ΧΧ και συνεπώς η πληροφορία αυτή είχε δηµοσιευτεί στον Τύπο και είχε δηµοσιοποιηθεί από τα ΜΜΕ έχοντας καταστεί γεγονός κοινώς γνωστό. Η έρευνα διενεργήθηκε από τα αρµόδια όργανα της τράπεζας µε τήρηση του καθήκοντος εχεµύθειας χωρίς τη δυνατότητα πρόσβασης τρίτων προσώπων που δεν σχετίζονται µε την έρευνα, η δε αναφορά της προσφεύγουσας περί γνώσης χαµηλόβαθµων υπαλλήλων των κινήσεων λογαριασµών, η οποία δεν επιβεβαιώνεται από κάποιο αποδεικτικό στοιχείο, είναι αναληθής. Η καθής ενηµέρωσε ότι διαθέτει Κώδικα ∆εοντολογίας ο οποίος αποτελεί το εσωτερικό κανονιστικό της πλαίσιο και θεσπίζει µεταξύ άλλων την υποχρέωση συµµόρφωσης του προσωπικού µε το τραπεζικό απόρρητο, την επαγγελµατική εχεµύθεια και τη διαφύλαξη εµπιστευτικών πληροφοριών. Επιπλέον οι υπάλληλοι ενηµερώνονται σε τακτική βάση µέσω εσωτερικών εγκυκλίων και υπηρεσιακών σηµειωµάτων για την υποχρέωση τήρησης των ανωτέρω υποχρεώσεων µε υπενθύµιση των κυρώσεων της τράπεζας σε περίπτωση αντιδεοντολογικής συµπεριφοράς εκ µέρους τους. Σε όλα τα παραπάνω έγγραφα υπάρχει σαφής αναφορά στους όρους µε τους οποίους γίνεται η εκτέλεση αναζητήσεων σε λογαριασµούς και στοιχεία πελατών, εφιστώντας την προσοχή στην απαγόρευση διενέργειας αναζητήσεων όταν δεν υπάρχει υπηρεσιακή ανάγκη και υπενθυµίζοντας ότι παραβίαση των εν λόγω υποχρεώσεων επιφέρει κυρώσεις. Οι δε αναζητήσεις στους λογαριασµούς της προσφεύγουσας που πραγµατοποιήθηκαν κατά το χρονικό διάστηµα 1-11-2011 έως 22-12-2011 εµπίπτουν σε τρείς κατηγορίες (α) αναζητήσεις λογαριασµών από την ίδια την προσφεύγουσα µέσω web banking, (β) αναζητήσεις από το κατάστηµα στην [περιοχή] ΧΧ όπου ήταν διευθύντρια η αδελφή της και για τις οποίες η ίδια είχε ζητήσει να εξαιρεθεί από τον έλεγχο και γ) αναζητήσεις από τα στελέχη της ∆/νσης Εσωτερικού Ελέγχου (Β, Ε), τους οποίους συνέδραµε στέλεχος που µόλις είχε µετατεθεί στη ∆/νση Κανονιστικής Συµµόρφωσης (Ζ), στο πλαίσιο του διενεργηθέντος ελέγχου. Αναφορικά µε τον Η, ο οποίος εµφανίζεται στα αρχεία καταγραφής της καρτέλας πελάτη της [εταιρίας… ΑΕ] να αντιστοιχίζεται στον κωδικό … (2 προσβάσεις στις 23/11/2011), κωδικό που µε βάση τόσο τα υπόλοιπα στοιχεία των αρχείων καταγραφής όσο και µε βάση την προσφεύγουσα, ανήκει στην Γ, η καθής ανέφερε πως πρόκειται για µεµονωµένο τυπογραφικό σφάλµα. Η προσφεύγουσα υπέβαλε, σε συνέχεια της συνεδρίασης της 11ης Μαρτίου 2015, το υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/1802/20-03-2015 υπόµνηµα, στο οποίο εξέθεσε τις απόψεις της, ως αυτές εκφράστηκαν στη συνεδρίαση. Η τράπεζα δεν προσκόµισε τα 4 αρχεία καταγραφής των αριθµών λογαριασµών της (στην καρτέλα πελάτη της αντιστοιχούσαν πλέον του ενός λογαριασµού), προσκόµισε δε αντ’ αυτού τα αρχεία καταγραφής της καρτέλας πελάτη, προβάλλοντας ότι κάτι τέτοιο θα επιβάρυνε το σύστηµά της και καθιστώντας κατ’ αυτό τον τρόπο την ενηµέρωσή της ελλιπή. Ισχυριζόµενη δε ότι κατά την ακρόαση της υπόθεσης η Αρχή ζήτησε να προσκοµιστούν τα ονόµατα που αντιστοιχούν στους κωδικούς χρηστών που εµφανίζονται στις λίστες, η τράπεζα προσέθεσε µια στήλη στο εν λόγω αρχείο και καταχώρησε χειρόγραφα τα ονόµατα των χρηστών. Ειδικότερα : (α) Τα αρχεία καταγραφής που προσκοµίστηκαν στην Αρχή δεν έχουν χρονοσήµανση, ήτοι δεν υπάρχει σε κανένα σηµείο της εκτύπωσης η ηµεροµηνία και η ώρα παραγωγής της λίστας. (β) Στα αρχεία καταγραφής που προσκοµίστηκαν στην Αρχή µε το υπ’ αριθµ. πρωτ. Γ/ΕΙΣ/5533/18-09-2014 έγγραφο σε κάποιες από τις περιπτώσεις δίπλα από τον κωδικό χρήστη … που ανήκει στην Γ εµφανίζεται το όνοµα Η (πχ. στις 23/11/2011). Ο Η, όπως αναφέρθηκε και στην ακροαµατική διαδικασία, δεν είναι ούτε υπάλληλος του καταστήµατος της [οδού…] ούτε της ∆/νσης που καταχώρησε την εντολή παραγωγής των αρχείων καταγραφής που η Τράπεζα προσκόµισε στην Αρχή. γ) Οι λογαριασµοί της προσφεύγουσας έτυχαν επεξεργασίας από υπαλλήλους όχι µόνον της ∆/νσης Καταστολής και Πρόληψης Απάτης, στην οποία υπηρετεί ο Β, αλλά και του γραφείου Κανονιστικής Συµµόρφωσης (Ζ). Η Ζ ενεπλάκη στην εξέταση της καταγγελίας λόγω της εξοικείωσής της µε το µηχανογραφικό σύστηµα της τράπεζας. Γενικότερα οι αλλαγές του επιπέδου πρόσβασης των χρηστών του Μηχανογραφικού Συστήµατος της Τράπεζας πραγµατοποιούνται µε τη συµπλήρωση του εντύπου Ε-009, στο οποίο µεταξύ άλλων απαιτούνται αξιολόγηση της ενέργειας και δύο υπογραφές Ανωτέρων Στελεχών για να επιτραπεί. ∆εν υπάρχει εγγράφως η εντολή από κάποιον Προϊστάµενο του Β και των υπολοίπων υπαλλήλων της ∆/νσης για την επεξεργασία των λογαριασµών της. δ) Οι υπάλληλοι της ∆/νσης του Β έχουν πρόσβαση στα αρχεία των πελατών της Τράπεζας χωρίς να υπάρχει καταγεγραµµένη διαδικασία και έλεγχος ανωτέρου επιπέδου, ενώ ταυτόχρονα όλες οι ενέργειες πραγµατοποιούνται κατόπιν προφορικής συνεννόησης. 5 ε) Με βάση έγγραφο εσωτερικής χρήσης της ∆ιαχείρισης Κινδύνου Απάτης (Πολιτική και ∆ιακυβέρνηση), «Η ∆ιεύθυνση Πρόληψης και Καταστολής Απάτης µπορεί να εξουσιοδοτήσει στέλεχός της να διεξάγει την έρευνα ή συνεντεύξεις. Τα αποτελέσµατα της έρευνας δεν θα συζητηθούν µε κανέναν άλλο πέραν αυτών που οφείλουν να γνωρίζουν… Όλες οι έρευνες διεξάγονται εντός των ορίων των ισχυόντων νόµων και κανονισµών (πχ. Νόµος Προστασίας Προσωπικών ∆εδοµένων». Στο Παράρτηµα Α τίθενται κανόνες αναφορικά µε τη γνωστοποίηση πιθανού περιστατικού απάτης από υπάλληλο της τράπεζας στην αρµόδια ∆/νση (∆/νση Πρόληψης και Καταστολής Απάτης). Οι κανόνες αυτοί περιλαµβάνουν:
(1)τη γνωστοποίηση στοιχείων του υπόπτου, της πράξης που έχει τελέσει και άλλες σχετικών λεπτοµερειών,
(2)τον ορθό χειρισµό αποδεικτικών στοιχείων (διασφάλιση αποδεικτικών στοιχείων, µη παρέµβαση σε αυτά, καµία απόπειρα ιδίας διαλεύκανσης της πιθανής απάτης, µη κοινοποίηση αυτής σε οιονδήποτε τρίτο) και
(3)την ενδεδειγµένη στάση απέναντι στον ύποπτο (µη επικοινωνία µε αυτόν προς προδιορισµό γεγονότων ή προς αποκατάσταση, µη απευθείας αντιµετώπιση αυτού προς αποφυγή προϊδεασµού αυτού και καταστροφής πιθανών αποδεικτικών στοιχείων). Στο ίδιο κείµενο αναφέρεται ότι «αµέσως µόλις ολοκληρωθεί η έρευνα θα ενηµερωθεί η αρµόδια διοικητική ιεραρχία για τα ευρήµατα της έρευνας, αποφεύγοντας εικασίες ή κάθε δήλωση η οποία δεν υποστηρίζεται και τεκµηριώνεται από γεγονότα» (σελ. 20). ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
- Από τις διατάξεις του άρθρου 10 παρ.1, 2 και 3 του ν. 2472/1997 συνάγεται σαφώς ότι ο υπεύθυνος επεξεργασίας ενός αρχείου έχει την ευθύνη για την τήρηση του απορρήτου κατά τη διεξαγωγή της επεξεργασίας που εκτελείται από υπαλλήλους του, ανεξαρτήτως αν αυτοί ενήργησαν στο πλαίσιο των καθηκόντων τους ή αυτοβούλως. Η επεξεργασία από τον εκτελούντα υπάλληλο δεν απαλλάσσει τον υπεύθυνο από το καθήκον του να ελέγχει και να εξασφαλίζει ότι τα µέτρα ασφάλειας που απαιτεί ο νόµος εφαρµόζονται. Στο πλαίσιο αυτό η τράπεζα πρέπει να λαµβάνει όλα τα οργανωτικά µέτρα για την αποφυγή αθέµιτης επεξεργασίας των δεδοµένων, όπως π.χ. να έχει εκπονήσει πολιτική ασφάλειας 6 της επεξεργασίας, να ακολουθεί κώδικα δεοντολογίας και διαδικασίες ελέγχου για την πρόσβαση εξουσιοδοτηµένων προς τούτο υπαλλήλων στο σύστηµα, κλπ.
- Με βάση την παρ. 4 του κώδικα δεοντολογίας της τράπεζας (βλ. Γ/ΕΙΣ/5533/1809-2014 έγγραφο προς την Αρχή) «η εκτέλεση αναζητήσεων σε λογαριασµούς και στοιχεία πελατών χωρίς να συντρέχει υπηρεσιακή ανάγκη, µέσω των κεντρικών και περιφερειακών συστηµάτων της Τράπεζας, στα οποία έχει πρόσβαση το προσωπικό, είναι αντιδεοντολογική και εκλαµβάνεται ως παραβίαση του Κώδικα». Σε περίπτωση καταγγελιών, όπως αυτή της προσφεύγουσας, το τµήµα που αναλαµβάνει να διερευνήσει την τυχόν καταγγελία είναι η ∆ιεύθυνση Ελέγχων Λειτουργικών Κινδύνων Καταστηµάτων. Σε περίπτωση δε που διαπιστωθεί κάποια παράβαση, την περαιτέρω διερεύνηση αναλαµβάνει το Τµήµα Αποτροπής Απάτης (Fraud Prevention). Η Τράπεζα δεν προσκόµισε, παρότι της ζητήθηκε (Βλ. Γ/ΕΞ/68/12-06-2014 έγγραφο της Αρχής), στοιχεία από τα οποία να προκύπτει ότι τηρήθηκε η ως άνω διαδικασία διερεύνησης περιστατικών παραβίασης προσωπικών δεδοµένων, όπως αθέµιτες προσβάσεις σε λογαριασµούς πελατών.
- Από τα στοιχεία του φακέλου της υπόθεσης, συµπεριλαµβανοµένων των υποµνηµάτων, και των διεµειφθέντων κατά τη συνεδρίαση της 11-03-2015, προκύπτουν τα ακόλουθα: α) Από τα προσκοµισθέντα αντίγραφα των αρχείων της καθής από το µηχανογραφικό της σύστηµα, όπου περιλαµβάνονται οι καταγεγραµµένες προσβάσεις υπαλλήλων της στους επίµαχους λογαριασµούς της προσφεύγουσας, προκύπτουν προσβάσεις το χρονικό διάστηµα από 1/11/2011 έως 12/1/2012 στους εταιρικούς λογαριασµούς της [εταιρείας… ΑΕ] (εταιρεία της προσφεύγουσας) (α) µέσω web banking, (β) από το κατάστηµα της [οδού…] στην [περιοχή] Χ, κατάστηµα µε το οποίο συνεργαζόταν, από τους υπαλλήλους Η, Θ, Ι, Κ, Λ, Μ και Ν, (γ) µέσω της υπηρεσίας “xxx”, (δ) από το κατάστηµα [περιοχής…] από την υπάλληλο Ξ, (ε) από το κατάστηµα ∆ηµαρχείου [περιοχής…] από τον υπάλληλο Ο, (στ) από το κατάστηµα [περιοχής…] από την υπάλληλο Π, (ζ) από το κατάστηµα [περιοχής…] από τις υπαλλήλους Ρ και Σ, (η) από την [υπηρεσία] “zzz” στην [περιοχή] ΧΧ από τους υπαλλήλους Τ και Υ (1 και 5/12/2011, 10/1/2012), (θ) από το κατάστηµα [περιοχής…] από την υπάλληλο Φ, (ι) από την υπηρεσία Ελέγχου Λειτουργικών Κινδύνων-Καταστηµάτων από τον 7 υπάλληλο Ψ (27/12/2011) και (κ) από την υπηρεσία Fraud Prevention από τον υπάλληλο Β (12/1/2012). Σηµειώνεται ότι στις 23/11/2011 3 διαφορετικοί υπάλληλοι του καταστήµατος της [οδού…] (Η, Θ και Κ) εµφανίζονται να αποκτούν πρόσβαση στους λογαριασµούς της εταιρείας… ΑΕ. β) Αντιστοίχως για το ίδιο χρονικό διάστηµα προκύπτουν προσβάσεις στους λογαριασµoύς που τηρούσε η Α ως φυσικό πρόσωπο (α) µέσω web banking, (β) από το κατάστηµα της [οδού…] από τους υπαλλήλους Γ, Μ, Θ, Ν, Κ και Λ, (γ) µέσω της υπηρεσίας “ xxx”, (δ) από την ERB EUROLIFE µέσω web banking (14/12/2011), (ε) από το INTERNAL AUDIT DIVISION από τον υπάλληλο E (20, 21 και 22/12/2011) και (στ) από τη ∆/ΝΣΗ ΚΑΝΟΝΙΣΤΙΚΗΣ ΣΥΜΜΟΡΦΩΣΗΣ από την υπάλληλο Ζ (22/12/2011). Σηµειώνεται ότι στις 18/11/2011 τρεις διαφορετικοί υπάλληλοι του καταστήµατος της [οδού…] (Μ, Θ, Ν) εµφανίζονται να αποκτούν πρόσβαση στους λογαριασµούς της Α. Για τους λόγους που αναφέρθηκαν ανωτέρω, ο έλεγχος της νοµιµότητας των επίδικων προσβάσεων περιορίζεται στις αναζητήσεις από τα στελέχη της ∆/νσης Εσωτερικού Ελέγχου στους λογαριασµούς που κατείχε η προσφεύγουσα ως φυσικό πρόσωπο, αφού στα νοµικά πρόσωπα δεν παρέχει ο νόµος 2472/1997 έννοµη προστασία (βλ. άρθρο 2 του ν. 2472/1997). γ) Με βάση τα προσκοµισθέντα από την τράπεζα αρχεία καταγραφής, στην εξέταση της καταγγελίας της Α αναµείχθηκαν 4 υπάλληλοι της τράπεζας, οι (α) Ζ (∆/ΝΣΗ ΚΑΝΟΝΙΣΤΙΚΗΣ ΣΥΜΜΟΡΦΩΣΗΣ), (β) E (τµήµα INTERNAL AUDIT DIVISION), (γ) Ψ (υπηρεσία Ελέγχου Λειτουργικών Κινδύνων-Καταστηµάτων) και (δ) Β (υπηρεσία Fraud Prevention). Η συνδροµή της Ζ ζητήθηκε χωρίς απολύτως καµία διατύπωση λόγω των γνώσεών της, η εν λόγω δε υπάλληλος δεν θα έπρεπε, υπό κανονικές συνθήκες, να έχει πρόσβαση σε αρχεία λογαριασµών πελατών σύµφωνα µε την πολιτική ∆ιαχείρισης Κινδύνου και Απάτης (Πολιτική και ∆ιακυβέρνηση). Κατά τους ισχυρισµούς της τράπεζας δεν συντάχθηκε έκθεση ελέγχου αναφορικά µε την καταγγελία της Α λόγω µη ύπαρξης ευρηµάτων. Σηµειώνεται πως δεν προσκοµίστηκε από την τράπεζα κανένα σχετικό τεκµήριο (πχ. εσωτερικό έγγραφο εντολής ανάθεσης της έρευνας, σχετικά µηνύµατα ηλ. αλληλογραφίας) από το οποίο να προκύπτει ο τρόπος διεξαγωγής της έρευνας και ενδεχοµένως και το αποτέλεσµα αυτής. Συνεπώς δεν προκύπτει η διενέργεια τέτοιου 8 ελέγχου για το οποιοδήποτε πόρισµα του οποίου έστω και αρνητικό θα έπρεπε να συνταχθεί η οικεία έκθεση. δ) Για τη διερεύνηση της καταγγελίας της Α (βλ. και προηγούµενο σηµείο), δε συντάχθηκε όµως σχετική έκθεση ελέγχου, η οποία θα περιέγραφε τουλάχιστον τη διαδικασία που ακολουθήθηκε, τα πειστήρια που συλλέχθηκαν, τον τρόπο συλλογής τους, τη διαδικασία ανάλυσής τους, τα συµπεράσµατα της έρευνας, κ.ο.κ. Τα εν λόγω αρχεία καταγραφής του µηχανογραφικού συστήµατος της τράπεζας ονόµατι …, ως προσκοµίστηκαν στην Αρχή, δεν έφεραν καµία χρονοσήµανση αναφορικά µε το χρόνο άντλησής τους από το σύστηµα. Επιπλέον είχαν αλλοιωθεί, στο βαθµό που εµφανίζονται σε αυτά οι προσβάσεις των υπαλλήλων (Ζ, Ε, Ψ και Β), οι οποίοι διερεύνησαν την καταγγελία. Σηµειώνεται πως µε βάση τα διαµειφθέντα κατά την ακρόαση της υπόθεσης, δεν τηρήθηκε από την τράπεζα κανένα αντίγραφο των αρχείων καταγραφής, τα οποία εξετάστηκαν στα πλαίσια διερεύνησης της καταγγελίας.
- Λαµβάνοντας υπόψη όλα τα ανωτέρω, αποδεικνύονται τα ακόλουθα: Ως προς το πρώτο σκέλος της προσφυγής, η τράπεζα δεν αιτιολόγησε επαρκώς κατά την ακρόαση και µέσω του υποµνήµατός της, τις προσβάσεις στους λογαριασµούς της προσφεύγουσας Α. Ειδικότερα: • δεν υπάρχουν επίσηµα έγγραφα ανάθεσης της διερεύνησης σε αρµόδιους υπαλλήλους της τράπεζας. • τα αρχεία καταγραφής φαίνεται να έχουν αλλοιωθεί, στο βαθµό που εµφανίζονται σε αυτά οι προσβάσεις των υπαλλήλων (Ζ, Ε, Ψ και Β), οι οποίοι διερεύνησαν την καταγγελία, γεγονός που κλονίζει την αξιοπιστία των αρχείων καταγραφής που προσκοµίστηκαν. Εφόσον η Τράπεζα µπορεί να παρεµβαίνει σε µια τέτοια λίστα προσθέτοντας µια στήλη, εύλογα µπορεί να σκεφθεί κάποιος ότι είναι δυνατόν αντίστοιχα να αφαιρέσει µια στήλη ή γραµµή ή ακόµα και να επηρεάσει το περιεχόµενο της. ∆εν τεκµηριώθηκε δε για ποιο λόγο οι εν λόγω υπάλληλοι αντί να εξάγουν, όπως ήταν ορθό, τα αρχεία καταγραφής των προσβάσεων στο λογαριασµούς της προσφεύγουσας, 9 απέκτησαν πρόσβαση στους λογαριασµούς της προσφεύγουσας, προκειµένου να εξετάσουν την καταγγελία της. Οι ισχυρισµοί της τράπεζας που εκτέθηκαν κατά τη συνεδρίαση της Αρχής ότι «µπήκαν» στους λογαριασµούς της προσφεύγουσας αρχικά για να αναζητήσουν τον αριθµό µητρώου του πελάτη και στη συνέχεια για να «προσοµοιώσουν» τον τρόπο χρήσης των λογαριασµών δεν µπορούν να γίνουν αποδεκτοί και δεν νοµιµοποιούν τις δεκαεπτά
(17)προσβάσεις στους προσωπικούς λογαριασµούς της προσφεύγουσας από τους υπαλλήλους Ζ και Ε, στις 20/12/2011 22/12/2011. Αντιστοίχως δεν θα µπορούσαν να αιτιολογηθούν και οι επτά
(7)προσβάσεις των Β και Ψ στον εταιρικό λογαριασµό της προσφεύγουσας (εταιρεία… ΑΕ) στις 27/12/2011 και 12/1/
- • ουδεµία διαδικασία τεκµηρίωσης σε χρονολογική σειρά (chain of custody) ακολουθήθηκε προκειµένου να µπορεί να αποδειχθεί κατά τρόπο αδιαµφισβήτητο η διαδικασία συλλογής και παρακολουθήσης των πειστηρίων ώστε συνεπακόλουθα να αποδεικνύεται πέραν πάσης αµφιβολίας η εγκυρότητα αυτών (δεν καταγράφηκε ποια είναι τα πειστήρια, πώς, πότε, πού και από ποιον συλλέχτηκαν, ποιος απέκτησε πρόσβαση σε αυτά και γιατί, πού αποθηκεύτηκαν τελικώς, κ.ο.κ. – στην προκειµένη περίπτωση δεν κρατήθηκε κανένα αντίγραφο των εξετασθέντων πειστηρίων). • δεν υπήρξε έκθεση ελέγχου, η οποία χρησιµοποιώντας επιστηµονικά αποδεκτούς κανόνες ψηφιακής εγκληµατολογίας (computer forensics), σε συνάρτηση µε τους κανόνες λειτουργίας της τράπεζας, να αποδεικνύει ή να απορρίπτει τους ισχυρισµούς της προσφεύγουσας περί αθέµιτης πρόσβασης στους λογαριασµούς της. Από τα ανωτέρω προκύπτει ότι η τράπεζα Eurobank Ergasias ΑΕ, ως υπεύθυνος επεξεργασίας, δεν ακολούθησε, στην περίπτωση της προσφεύγουσας, τη διαδικασία διερεύνησης των µε το ανωτέρω περιεχόµενο καταγγελιών της, καθώς στη διερεύνηση ενεπλάκη και υπάλληλος τµήµατος (∆/ΝΣΗ ΚΑΝΟΝΙΣΤΙΚΗΣ ΣΥΜΜΟΡΦΩΣΗΣ), το οποίο δεν έχει, από όσον γνωστοποιήθηκε στην Αρχή, σχετικές αρµοδιότητες. ∆εν τήρησε περαιτέρω τους κανόνες χειρισµού αποδεικτικών στοιχείων που η ίδια αναφέρει σε δικό της εσωτερικό έγγραφο και που η ίδια καλεί τους υπαλλήλους της να τηρήσουν κατά τη γνωστοποίηση 10 πιθανής απάτης στην αρµόδια ∆/νση, µε συνέπεια να µην είναι σε θέση να ελέγξει εάν οι αναζητήσεις στο σύστηµά της από τους υπαλλήλους της έχουν γίνει νόµιµα ή όχι. Επιπρόσθετα, αν και έχει λάβει οργανωτικά µέτρα, σύµφωνα µε το άρθρο 10 του ν. 2472/1997, (κώδικας δεοντολογίας, πολιτικής προστασίας της πληροφορίας, κ.ο.κ.), τα οποία, µεταξύ άλλων, αφορούν και τις αναζητήσεις υπαλλήλων σε λογαριασµούς πελατών, πραγµατοποιήθηκαν προσβάσεις στους λογαριασµούς της προσφεύγουσας χωρίς σχετική εξουσιοδότηση από την Τράπεζα. Η δε Τράπεζα δεν ασκούσε τον δέοντα έλεγχο αν οι υπάλληλοί της ενεργούσαν σύµφωνα µε τον νόµο και τις εγκυκλίους και εντολές των αρµοδίων οργάνων της. Ως εκ τούτου, διαπιστώνεται πληµµελής τήρηση οργανωτικών και τεχνικών µέτρων για την ασφάλεια των δεδοµένων και την προστασία τους από παράνοµη ή αθέµιτη επεξεργασία σύµφωνα µε το άρθρο 10 σε συνδυασµό µε τα άρθρα 4 και 5 παρ.1 του ν. 2472/1997 που οδήγησαν σε µη νόµιµες πράξεις επεξεργασίας (πρόσβαση και άντληση) στις οποίες υποβλήθηκαν τα δεδοµένα της προσφεύγουσας από υπαλλήλους της τράπεζας.
- Ως προς το δεύτερο σκέλος της προσφυγής, η καθής προέβη σε επεξεργασία προσωπικών δεδοµένων της προσφεύγουσας Α, ήτοι σε έλεγχο των λογαριασµών που η καταγγέλλουσα τηρούσε στην καθής Τράπεζα, βάσει του άρθρου 5 παρ. 2 περ. β’ του ν. 2472/1997, σύµφωνα µε το οποίο η επεξεργασία είναι νόµιµη και δεν απαιτείται προηγούµενη συγκατάθεση του υποκειµένου των δεδοµένων, όταν είναι αναγκαία για την εκπλήρωση υποχρέωσης του υπεύθυνου επεξεργασίας, η οποία επιβάλλεται από τον νόµο, δηλαδή τις ειδικότερες διατάξεις των ν. 3691/2008 (Πρόληψη και καταστολή της νοµιµοποίησης εσόδων από εγκληµατικές δραστηριότητες και της χρηµατοδότησης της τροµοκρατίας και άλλες διατάξεις) και ν. 3601/2007 (Ανάληψη και άσκηση δραστηριοτήτων από τα πιστωτικά ιδρύµατα, επάρκεια ιδίων κεφαλαίων των πιστωτικών ιδρυµάτων και των επιχειρήσεων παροχής επενδυτικών υπηρεσιών), οι οποίες εξειδικεύονται µε σχετικές πράξεις και αποφάσεις της Τράπεζας της Ελλάδος. Η επεξεργασία αυτή συνίστατο στον έλεγχο των λογαριασµών που η προσφεύγουσα τηρούσε στην καθής Τράπεζα, από κοινού µε την αδελφή της Γ, σύζυγο του συλληφθέντος ∆. Οι πληροφορίες για τη συµµετοχή του γαµπρού της προσφεύγουσας και συζύγου της αδελφής της, η οποία ετύγχανε υπάλληλος της καθής και συνδικαιούχος στους επίµαχους λογαριασµούς, στο κύκλωµα τοκογλυφίας υπήρξαν η αφορµή για τη διενέργεια του ελέγχου, βάσει της 11 υποχρέωσης της καθής που απορρέει, όπως προαναφέρθηκε, από τις ειδικότερες διατάξεις των ν. 3691/2008 και ν. 3601/
- Περαιτέρω δε η αντιµετώπιση της αιτούσας, ως διατηρούσας κοινό λογαριασµό µε την αδελφή της Γ, ήταν δυνατόν να επηρεασθεί ελεγκτικά από το γεγονός ότι ο σύζυγος της συνδικαιούχου της στους κοινούς λογαριασµούς είχε κατηγορηθεί για συµµετοχή στο τοκογλυφικό κύκλωµα και νοµιµοποίηση εσόδων από εγκληµατικές πράξεις, σύµφωνα µε τις ανωτέρω υποχρεώσεις ειδικού ελέγχου της Τράπεζας ως υπευθύνου επεξεργασίας που επιβάλλονται στα τραπεζικά ιδρύµατα. Ως εκ τούτου, η επεξεργασία πρέπει να θεωρηθεί νόµιµη (βλ. και αποφάσεις 91/2014 και 116/2014 της Αρχής). Η, κατά τους ισχυρισµούς της προσφεύγουσας, παράνοµη διαρροή προσωπικών της δεδοµένων σε τρίτους, µη υπαλλήλους, δεν αποδείχθηκε. Ενόψει της βαρύτητας των πράξεων που αποδείχθηκαν και της προσβολής που επήλθε στην καταγγέλλουσα από τις παράνοµες προσβάσεις στους τραπεζικούς λογαριασµούς της που κατείχε ως φυσικό πρόσωπο, η Αρχή κρίνει οµόφωνα ότι πρέπει να επιβληθούν στον υπεύθυνο της επεξεργασίας οι προβλεπόµενες στο άρθρο 21 παρ.1 εδαφ. α’ και β’ του ν. 2472/1997 κυρώσεις που αναφέρονται στο διατακτικό και οι οποίες κρίνονται ανάλογες µε τη βαρύτητα των παραβάσεων ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ
- Επιβάλλει στην τράπεζα Eurobank Ergasias AE, ως υπεύθυνο επεξεργασίας, α) πρόστιµο ύψους πέντε χιλιάδων (5.000) ευρώ για παράνοµη επεξεργασία δεδοµένων της προσφεύγουσας και β) πρόστιµο ύψους πέντε χιλιάδων (5.000) ευρώ για µη τήρηση κατάλληλων οργανωτικών και τεχνικών µέτρων ασφάλειας, η οποία οδήγησε σε µη εξουσιοδοτηµένες προσβάσεις υπαλλήλων της στα προσωπικά δεδοµένα της προσφεύγουσας.
- Απευθύνει σύσταση στην τράπεζα Eurobank Ergasias AE, ως υπεύθυνο επεξεργασίας, να λάβει κατάλληλα οργανωτικά και τεχνικά µέτρα για την ασφάλεια των δεδοµένων και την προστασία τους από παράνοµη ή αθέµιτη επεξεργασία, ώστε να τεκµηριώνονται επαρκώς οι προσβάσεις που πραγµατοποιούν οι εξουσιοδοτηµένοι προς τούτο υπάλληλοί της στους λογαριασµούς των πελατών της (π.χ. ενεργοποίηση µηχανισµών που να µην 12 επιτρέπουν προσβάσεις σε λογαριασµούς πελατών από µη εξουσιοδοτηµένους χρήστες, διενέργεια σε τακτά χρονικά διαστήµατα δειγµατοληπτικών ελέγχων προς διαπίστωση συµµόρφωσης των υπαλλήλων της µε τις σχετικές οδηγίες της τράπεζας). Στην ειδική περίπτωση, όπου υπάρχει καταγγελία για αθέµιτη πρόσβαση σε λογαριασµό πελάτη, συστήνεται στην τράπεζα: Να ακολουθεί, ορθές διαδικασίες, οργανωτικά άλλα και τεχνικά, προκειµένου να διασφαλίσει ότι η διερεύνηση της καταγγελίας διεξάγεται κατά τρόπο που να συνάδει µε τις αρχές της ψηφιακής εγκληµατολογίας, στο βαθµό που ακολουθούνται διεθνώς αποδεκτές πρακτικές συλλογής και ανάλυσης ψηφιακών πειστηρίων, όπως αυτές της ACPO
- Με βάση τις αρχές αυτές:
(1)καµία ενέργεια, η οποία πραγµατοποιείται από το άτοµο που ερευνά υπόθεση, όπου εµπλέκονται ψηφιακά πειστήρια, δεν θα πρέπει να αλλοιώνει δεδοµένα (ψηφιακά πειστήρια), τα οποία αργότερα µπορεί να χρησιµοποιηθούν σε δικαστήριο (αρχή υπ’ αριθµ. 1),
(2)στην περίπτωση που παραστεί ανάγκη πρόσβασης σε δεδοµένα στην «αυθεντική» τους µορφή θα πρέπει η όποια πρόσβαση να πραγµατοποιείται από άτοµο καταρτισµένο για αυτό και ικανό να εξηγήσει τόσο τη συνάφεια όσο και τις συνέπειες της πρόσβασης αυτής (αρχή υπ’ αριθµ. 2),
(3)Θα πρέπει να τηρείται ένα αρχείο καταγραφής (audit trail) όλων των ενεργειών που αφορούν τα ψηφιακά πειστήρια. Ένας ανεξάρτητος τρίτος θα πρέπει να µπορεί να εξετάσει αυτές τις ενέργειες καταλήγοντας στο ίδιο συµπέρασµα (αρχή υπ’ αριθµ. 3),
(4)Το άτοµο που είναι υπεύθυνο για την έρευνα είναι υπεύθυνο τόσο για την τήρηση του νόµου όσο και για την τήρηση των προαναφερθέντων αρχών (αρχή υπ’ αριθµ. 4). Ο Αναπληρωτής Πρόεδρος Η γραµµατέας Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου 1 http://www.digital-detective.net/digital-forensicsdocuments/ACPO_Good_Practice_Guide_for_Digital_Evidence_v5.pdf 13