Απόφαση Αρ. 59/2009

ΑΠΟΦΑΣΗ ΑΡ. 59/2009
ΕΛΛΗΝΙΚΗ ΔΗΜΟΚΡΑΤΙΑ
ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ
ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ

Ταχ. Δ/νση: ΚΗΦΙΣΙΑΣ 1-3
115 23 ΑΘΗΝΑ
ΤΗΛ.: 210-6475601
FAX: 210-6475628

Αθήνα, 12-10-2009
Αριθ. Πρωτ.: Γ/ΕΞ/6035/12-10-2009

ΑΠΟΦΑΣΗ ΑΡ. 59/2009
(Ολομέλεια)

Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε μετά από πρόσκληση του Προέδρου της σε τακτική συνεδρίαση την 9-4-2009 στο κατάστημά της αποτελούμενη από τον Χρίστο Γεραρή, Πρόεδρο, και τους Λ. Κοτσαλή, Α. Πομπόρτση, Α. Παπανεοφύτου, Α. Πράσσο, Α.Ι.Μεταξά και Α. Ρουπακιώτη, τακτικά μέλη, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν η Κ. Λωσταράκου, ελέγκτρια, ως εισηγήτρια και η Γεωργία Παλαιολόγου, υπάλληλος της Αρχής, ως γραμματέας.

Η υπόθεση είχε συζητηθεί αρχικά στη συνεδρίαση της 26-2-2009 καθώς και στη συνεδρίαση της 12.3.2009. Στη συνεδρίαση της 26-2-2009 είχαν κληθεί νομίμως και ακούσθηκαν οι Π. Καραγκιαούρη, πληρεξούσια δικηγόρος του προσφεύγοντος, Ε. Παλαιολόγου, πληρεξούσια δικηγόρος της ΕΘΝΙΚΗΣ ΤΡΑΠΕΖΑΣ ΤΗΣ ΕΛΛΑΔΟΣ και Α. Κωνσταντέλιας, πληρεξούσιος δικηγόρος της ΤΕΙΡΕΣΙΑΣ ΑΕ,

Η Αρχή έλαβε υπόψη τα παρακάτω:Με προσφυγή του προς την Αρχή (αρ. πρωτ. Γ/ΕΙΣ/3159/03.05.2007), ο A παραπονείται για παράνομη επεξεργασία από την Εθνική Τράπεζα της Ελλάδος Α.Ε. και την εταιρεία ΤΕΙΡΕΣΙΑΣ Α.Ε. οικονομικών δεδομένων του που αφορούν καταγγελία σύμβασης πιστωτικής κάρτας χωρίς προηγούμενη ενημέρωσή του και ζητεί τη διαγραφή τους από το αρχείο “Σύστημα Οικονομικής Συμπεριφοράς” της ΤΕΙΡΕΣΙΑΣ. Ειδικότερα, ο ανωτέρω, στις 12.2.2001 υπέγραψε σύμβαση χορήγησης πιστωτικής κάρτας, με αριθμ. …………….., με την Εθνική Τράπεζα, η οποία στις 10.3.2005 καταγγέλθηκε και επιδόθηκε με δικαστικό επιμελητή στις 16.3.2005. Ο προσφεύγων εξόφλησε την οφειλή από την πιστωτική κάρτα την 21.4.2005. Σε αλληλογραφία του με την ΤΕΙΡΕΣΙΑΣ (12.10.2006), ενημερώνεται πως τηρούνται στο αρχείο της εταιρείας προσωπικά του δεδομένα που αφορούσαν καταγγελία της ανωτέρω σύμβασης με ημερομηνία καταγγελίας την 30.9.2004.

Ο προσφεύγων αμφισβήτησε την ανωτέρω καταχώριση και για το λόγο ότι δεν είχε προηγουμένως ενημερωθεί από την τράπεζα και άσκησε το δικαίωμα πρόσβασης προς την ΤΕΙΡΕΣΙΑΣ ζητώντας να ενημερωθεί για τα δεδομένα που τυγχάνουν επεξεργασίας και τον αφορούν, τον σκοπό επεξεργασίας, τις πηγές καθώς και τον τρόπο ενημέρωσης. Η ΤΕΙΡΕΣΙΑΣ, σε απαντητικές επιστολές που έστειλε στον προσφεύγοντα (19.10.2006 και 14.11.2006) τον πληροφόρησε για τα αιτούμενα στοιχεία και τον παρέπεμψε στην δια τύπου ενημέρωση που πραγματοποίησε το 2005 (13.1.2005).
Ο προσφεύγων άσκησε το δικαίωμα πρόσβασης και προς την τράπεζα στις 26.10.2006 ζητώντας να πληροφορηθεί ποια προσωπικά δεδομένα τηρεί η τράπεζα για αυτόν καθώς και το χρόνο τήρησής τους. Επίσης ζήτησε να του γνωστοποιηθούν τυχόν τρίτοι στους οποίους ανακοινώθηκαν τα δεδομένα σχετικά με την συγκεκριμένη πιστωτική κάρτα. Αν και στο αρχικό της έγγραφο προς τον προσφεύγοντα η τράπεζα ανέφερε ότι δεν καταστρέφει τα δεδομένα, σε επιστολή προς την Αρχή (14.8.2008) επικαλέστηκε το άρθρο 28 της σύμβασης και ανέφερε ότι διατηρεί τα δεδομένα μέχρι και την ημέρα παραγραφής κάθε αξίωσης. Ομοίως, η τράπεζα ανέφερε πως, βάσει του όρου 28 της από 12.02.2001 σύμβασης χορήγησης της πιστωτικής κάρτας του καταγγέλλοντος με την τράπεζα, ο προσφεύγων παρείχε προς την τράπεζα και την ΕΑΕΔΟ τη ρητή και ανεπιφύλακτη συγκατάθεσή του για την τήρηση των προσωπικών του δεδομένων τα οποία και δήλωσε ο ίδιος από την υπογραφή της αίτησης για την έκδοση της κάρτας. Σχετικά με τη διαβίβαση των στοιχείων του στην εταιρεία Fintrust, η τράπεζα επικαλέστηκε την απόφαση αρ. 20/2001 της Αρχής σύμφωνα με την οποία «στα πλαίσια της σχέσης αντιπροσώπευσης, η εισπρακτική εταιρεία Fintrust επεξεργάζεται προσωπικά δεδομένα ως “εκτελούσα την επεξεργασία” (κατ΄ άρθρο 2 περ η) για λογαριασμό του υπευθύνου επεξεργασίας που είναι η Εθνική Τράπεζα. Η εν λόγω επεξεργασία είναι νόμιμη, εφόσον περιορίζεται αποκλειστικά και μόνο στους σκοπούς της αντιπροσώπευσης, τηρούνται οι όροι του άρθρου 10 του ν. 2472/1997 που αφορούν στο απόρρητο και την ασφάλεια της επεξεργασίας και τα προσωπικά δεδομένα δεν χρησιμοποιούνται για άλλους σκοπούς». Όπως ανέφερε η τράπεζα στην επιστολή της προς τον προσφεύγοντα, η ως άνω εταιρία διαγράφει τα σχετικά δεδομένα έξη μήνες μετά την εξόφληση της απαίτησης.

Η αίτηση με αρ. πρωτ. 8010/22.11.2006 κατά της ΤΕΙΡΕΣΙΑΣ ΑΕ συζητήθηκε στις συνεδριάσεις της 8.2.2007 και 8.3.2007 και μετά την υποβολή νέων στοιχείων από τον αιτούντα (αίτηση με αρ. πρωτ.3159/03.05.2007) επανεισάγεται για να συζητηθεί από κοινού λόγω συνάφειας με την αίτηση του ιδίου κατά της τράπεζας.
Η Αρχή εξετάζοντας τις παραπάνω αιτήσεις, τα πρακτικά των συνεδριάσεων της 8.2.2007, 8.3.2007, 26.2.2009 και 12.3.2009, το υπόμνημα της ΤΕΙΡΕΣΙΑΣ και τα λοιπά στοιχεία του φακέλου και κατόπιν διαλογικής συζήτησης:

ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

1.Κατά το άρθρο 4 παρ. 1 του ν.2472/97, τα δεδομένα προσωπικού χαρακτήρα για να τύχουν νόμιμης επεξεργασίας πρέπει να συλλέγονται κατά τρόπο θεμιτό και νόμιμο για καθορισμένους, σαφείς και νόμιμους σκοπούς και να υφίστανται θεμιτή και νόμιμη επεξεργασία ενόψει των σκοπών αυτών (στοιχ.α), καθώς και να είναι ακριβή και, εφόσον χρειάζεται, να υποβάλλονται σε ενημέρωση (στοιχ.γ). Περαιτέρω το άρθρο 5 ορίζει στην παρ.1 ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται μόνον όταν το υποκείμενο των δεδομένων έχει δώσει τη συγκατάθεσή του και στην παρ.2 ότι κατ’ εξαίρεση επιτρέπεται η επεξεργασία και χωρίς τη συγκατάθεση όταν, μεταξύ άλλων, η επεξεργασία είναι αναγκαία για την εκτέλεση σύμβασης στην οποία συμβαλλόμενο μέρος είναι υποκείμενο των δεδομένων ….(στοιχ.α) και όταν η επεξεργασία είναι απολύτως αναγκαία για την ικανοποίηση του έννομου συμφέροντος που επιδιώκει ο υπεύθυνος επεξεργασίας ή ο τρίτος ή οι τρίτοι στους οποίους ανακοινώνονται τα δεδομένα και υπό τον όρο ότι τούτο υπερέχει προφανώς των δικαιωμάτων και συμφερόντων των προσώπων στα οποία αναφέρονται τα δεδομένα και δεν θίγονται οι θεμελιώδεις ελευθερίες αυτών (στοιχ.ε). Στη συνέχεια το άρθρο 11 παρ.1 προβλέπει ότι ο υπεύθυνος επεξεργασίας οφείλει, κατά τη συλλογή των δεδομένων, να ενημερώνει με τρόπο πρόσφορο και σαφή το υποκείμενο για τα εξής τουλάχιστον στοιχεία : α. την ταυτότητά του και την ταυτότητα του τυχόν εκπροσώπου του, β. τον σκοπό της επεξεργασίας, γ. τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων, δ. την ύπαρξη του δικαιώματος πρόσβασης. Στη δε παρ.3 αναφέρει ότι, εάν τα δεδομένα ανακοινώνονται σε τρίτους, το υποκείμενο ενημερώνεται για την ανακοίνωση πριν από αυτούς. Περαιτέρω, το άρθρο 2ο της Κανονιστικής Πράξης 408/98 για την ενημέρωση υποκειμένων επεξεργασίας δεδομένων προσωπικού χαρακτήρα μέσω τύπου, ορίζει ότι η ενημέρωση γίνεται με τρόπο σαφή και κατανοητό και περιλαμβάνει : (α) Τα υποκείμενα επεξεργασίας προς τα οποία απευθύνεται η ενημέρωση, (β) Την ταυτότητα του υπευθύνου επεξεργασίας και του τυχόν εκπροσώπου του, με προσδιορισμό της επωνυμίας, έδρας, διεύθυνσης και αριθμού τηλεφώνου του, (γ) Τον σκοπό της επεξεργασίας, (δ) Τους αποδέκτες ή τις κατηγορίες των αποδεκτών των δεδομένων με προσδιορισμό της επωνυμίας, διεύθυνσης και αριθμού τηλεφώνου και (ε) Την υπόμνηση του δικαιώματος των υποκειμένων σε επεξεργασία για πρόσβαση στο αρχείο.

2.Εν προκειμένω, στην επίδικη σύμβαση περιλαμβάνεται ο όρος 28 για την “ΕΠΕΞΕΡΓΑΣΙΑ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ” με την οποία παρέχεται από τον κάτοχο (και τον τυχόν εγγυητή) προς την τράπεζα και την ΕΑΕΔΟ η ρητή και ανεπιφύλακτη συγκατάθεσή του και εξουσιοδότησή του να τηρούνται σε ηλεκτρονικό ή μη αρχείο που αποτελούν δεδομένα προσωπικού χαρακτήρα, όπως αυτά ορίζονται στον ν. 2472/1997 όπως αυτός ισχύει σήμερα, τα οποία δηλώθηκαν από τον κάτοχο ή τον εγγυητή στην Τράπεζα με την υπογραφή της αιτήσεως για την έκδοση της κάρτας ή την παροχή εγγυήσεως για χρήση της κάρτας από τρίτον και τα στοιχεία τα οποία αφορούν την κίνηση του λογαριασμού του, καθώς επίσης και να επεξεργάζονται κατά την κρίση τους τα στοιχεία αυτά κατά την έννοια της συλλογής, καταχώρησης, οργάνωσης, αποθήκευσης, χρήσης, διαβίβασης, διάδοσης ή κάθε άλλης μορφής διάθεσης, συσχέτισης και διασύνδεσης. …Επίσης, ο κάτοχος (και ο τυχόν εγγυητής) παρέχει προς την εταιρεία την ρητή και ανεπιφύλακτη συναίνεσή του για την παροχή πληροφοριών προς άλλες εταιρείες εκδόσεως πιστωτικών και χρεωστικών καρτών και γενικά προς κάθε χρηματοπιστωτικό ίδρυμα αναφορικά με την πιστωτική του σχέση με την εταιρεία, καθώς επίσης και πληροφορίες σχετικές με την περιουσιακή του κατάσταση (εξαιρουμένων των καταθέσεών του) και το πιστωτικό του ιστορικό.
Δυνάμει του άρθρου 18 της σύμβασης, η τράπεζα, μετά την παρέλευση της εικοσαήμερης προθεσμίας, δικαιούται να μεταφέρει την απαίτηση σε οριστική καθυστέρηση, να καταγγείλει την παρούσα σύμβαση και να κλείσει το λογαριασμό, καθώς και να ανακοινώσει την καταγγελία της σύμβασης σε πληροφοριακό αρχείο δεδομένων οικονομικής συμπεριφοράς και να αναθέσει την είσπραξη των οφειλομένων σε τρίτα προς την τράπεζα και την Ε.Α.Ε.Δ.Ο. φυσικά ή νομικά πρόσωπα, γνωστοποιώντας για τον σκοπό αυτό όσα προσωπικά στοιχεία του κατόχου/εγγυητή κρίνει απαραίτητο.

3. Οι ανωτέρω υπό όρο 28 επεξεργασίες γίνονται για σκοπούς εκτέλεσης της σύμβασης, στην οποία συμβαλλόμενο μέρος είναι το υποκείμενο των δεδομένων, και ως εκ τούτου, η συγκατάθεση του υποκειμένου δεν απαιτείται, σύμφωνα με το προαναφερόμενο άρθρο 5 παρ. 1 α του ν.2472/97. Το ίδιο ισχύει και στην περίπτωση κατά την οποία η τράπεζα ελέγχει τα στοιχεία αυτά με αντίστοιχα άλλων τραπεζών, στο πλαίσιο αξιολόγησης της αίτησης χορήγησης πίστωσης, μέσω πρόσβασης στο αρχείο οικονομικής συμπεριφοράς της ΤΕΙΡΕΣΙΑΣ.
Η δυνατότητα της τράπεζας να θέτει τα δεδομένα αυτά στη διάθεση άλλων τραπεζών στο πλαίσιο διατραπεζικής συνεργασίας, αναφέρεται προφανώς στη διαβίβαση στοιχείων στο ως άνω αρχείο οικονομικής συμπεριφοράς της εταιρίας, όπου περιέχονται μεταξύ άλλων και στοιχεία καταγγελιών συμβάσεων δανείων και καρτών, πηγές των οποίων είναι οι τράπεζες.
Υπεύθυνος επεξεργασίας του αρχείου οικονομικής συμπεριφοράς, αλλά και του αρχείου συγκέντρωσης κινδύνων (στο οποίο συλλέγονται και επεξεργάζονται δεδομένα οικονομικής συμπεριφοράς που αφορούν ενήμερες οφειλές από καταναλωτικά/προσωπικά δάνεια ή πιστωτικές/χρεωστικές κάρτες) είναι η ΤΕΙΡΕΣΙΑΣ ΑΕ. Όπως αναφέρεται και στην με αρ. 66 /2004 απόφαση της Αρχής σχετικά με τα δεδομένα του αρχείου συγκέντρωσης κινδύνων για την επεξεργασία των οποίων σύμφωνα απαιτείται συγκατάθεση των υποκειμένων (βλ. απόφαση 86/2002), “στην ΤΕΙΡΕΣΙΑΣ ΑΕ δίνει το υποκείμενο τη συγκατάθεσή του για την εν λόγω επεξεργασία, η οποία πρακτικά συνίσταται στην ειδοποίηση που στέλνει η εταιρία στις τράπεζες και μέλη της να στέλνουν στο αρχείο της τις σχετικές πληροφορίες. Η λήψη συγκατάθεσης από τις τράπεζες με τις οποίες ο προσφεύγων συνήψε τις ανωτέρω συμβάσεις δεν δημιουργεί πρόβλημα, εφόσον δεν υπάρχει συναλλακτική σχέση ΤΕΙΡΕΣΙΑ και προσφεύγοντα και το υποκείμενο ενημερώνεται σαφώς σύμφωνα με το άρθρο 2 εδαφ ια του ν.2472/97 από την τράπεζα για τη επεξεργασία των στοιχείων του από την ΤΕΙΡΕΣΙΑΣ ΑΕ.”
4. Η επεξεργασία στοιχείων καταγγελιών συμβάσεων από την ΤΕΙΡΕΣΙΑΣ έχει κριθεί από την Αρχή με την κανονιστική απόφαση 24/2004 ότι είναι απολύτως αναγκαία για την εξυπηρέτηση του σκοπού που επιδιώκει η ΤΕΙΡΕΣΙΑΣ (προστασία της εμπορικής πίστης και την ασφάλεια των συναλλαγών), και ως εκ τούτου, δεν απαιτείται να λάβει η τράπεζα τη συγκατάθεση του υποκειμένου για λογαριασμό της ΤΕΙΡΕΣΙΑΣ. Και στην απόφαση 147/2004 του Εφετείου Αθηνών αναφέρεται ρητά ότι σε τραπεζική σύμβαση “η συναίνεση του υποκειμένου για την παροχή πληροφοριών αναφορικά με την περιουσιακή του κατάσταση σε χρηματοπιστωτικά ιδρύματα, προφανώς για τον προσδιορισμό της πιστοληπτικής του ικανότητας και την προστασία των συναλλαγών, δεν έχουν την έννοια της συγκατάθεσης του άρθρου 2 παρ.1α του ν.2472/97, αλλά της ανακοίνωσης προς τρίτους για την οποία επιβάλλεται η προηγούμενη ενημέρωση του υποκειμένου.”
Αλλά και την περίπτωση της διαβίβασης των οφειλών σε εισπρακτικές εταιρίες, όπως έχει κρίνει η Αρχή στην υπ΄αρ. 20/2001 απόφασή της, δεν απαιτείται συγκατάθεση του υποκειμένου, διότι η εταιρίες αυτές θεωρούνται ως εκτελούσες την επεξεργασία για λογαριασμό του υπευθύνου επεξεργασίας, δηλαδή όχι “τρίτοι” με την έννοια του άρθρου 2 εδαφ θ του ν.2472/97, αλλά αποδέκτες των δεδομένων, και επομένως αρκεί η ενημέρωση του άρθρου 11 παρ.1 του νόμου.
Επομένως, η τράπεζα δεν υποχρεούται να λάβει τη συγκατάθεση του υποκειμένου για τη συγκεκριμένη διαβίβαση, αλλά πρέπει και αρκεί να ενημερώσει το υποκείμενο για τη διαβίβαση αυτή στον αποδέκτη ή την κατηγορία αποδεκτών, σύμφωνα με το άρθρο 11 παρ. 1 του ν.2472/97. Όπως δε αναφέρεται στην προαναφερόμενη απόφαση 24/2004 της Αρχής σχετικά με την νομιμότητα του αρχείου οικονομικής συμπεριφοράς της ΤΕΙΡΕΣΙΑΣ, “Ως αποδέκτες κατά την παρ.1 του άρθρου 11 νοούνται τα πρόσωπα προς τα οποία προβλέπεται κατά το στάδιο συλλογής να ανακοινώνονται τα δεδομένα. Η διάταξη δεν εννοεί υποχρέωση ενημέρωσης για τη συγκεκριμένη ανακοίνωση στην οποία ο υπεύθυνος επεξεργασίας προβαίνει κάθε φορά που του ζητείται πληροφορία από τον αποδέκτη…” Στο ίδιο πνεύμα κινείται και η απόφαση 3383/2003 του Εφετείου Αθηνών όπου αναφέρεται ότι “δεν απαιτείται ο υπεύθυνος επεξεργασίας να ενημερώνει το υποκείμενο και για τη συγκεκριμένη ανακοίνωση –μετάδοση των δεδομένων, στην οποία αυτός προβαίνει κάθε φορά προς τρίτους –αποδέκτες ή οι τρίτοι αντλούν χωρίς τη δική του πρωτοβουλία από το αρχείο του.”
Σύμφωνα με τα παραπάνω, η ενημέρωση της ΕΤΕ που περιέχεται στη σύμβαση σχετικά με τις κατηγορίες αποδεκτών των δεδομένων καταγγελιών συμβάσεων (πληροφοριακό αρχείο δεδομένων οικονομικής συμπεριφοράς και ανάθεση είσπραξης των οφειλομένων σε τρίτα προς την τράπεζα και την Ε.Α.Ε.Δ.Ο. φυσικά ή νομικά πρόσωπα) είναι επαρκής και σαφής.
5. Στην ως άνω απόφαση 24/2004 (η οποία αντικατάστησε την 109/1999), η Αρχή όρισε ότι η ΤΕΙΡΕΣΙΑΣ ΑΕ οφείλει να συμμορφωθεί με την κατά το άρθρο 24 § 3 σε συνδυασμό με το άρθρο 11 § 1 του νόμου 2472/97 υποχρέωση ενημέρωσης των υποκειμένων. Ειδικότερα, η δυνατότητα ενημέρωσης μέσω τύπου μεγάλου αριθμού υποκειμένων εξειδικεύεται στην 408/98 και 1/1999 Κανονιστικές Πράξεις της Αρχής βάσει της εξουσιοδοτικής διάταξης του άρθρου 24 παρ. 3 του Ν. 2472/1997. Όπως δε έκρινε η με αριθμ. 1923/2006 απόφαση του Αρείου Πάγου, οι ως άνω κανονιστικές αποφάσεις της Αρχής βρίσκονται εντός των ορίων της εξουσιοδοτικής διάταξης του άρθρου 24 παρ.3, η οποία εκφράζει ευρύτερο και πάγιο πνεύμα του νομοθέτη και ως εκ τούτου η ρυθμιστική της εμβέλεια όταν πρόκειται για ενημέρωση μεγάλου αριθμού υποκειμένων τουλάχιστον χιλίων δεν περιορίζεται μόνο στις κατά την έναρξη ισχύος του νόμου επεξεργασίες, αλλά καλύπτει αναλόγως και μεταγενέστερες επεξεργασίες, καθόσον ενόψει της ομοιότητας των περιπτώσεων δεν δικαιολογείται διαφοροποίηση στη νομοθετική τους μεταχείριση……… Ως εκ τούτου δεν ήταν απαραίτητο κατά νόμο για το επιτρεπτό της επεξεργασίας να ενημερωθεί ατομικώς και in concreto ο αναιρεσείων, αλλά ενόψει του ότι στο αρχείο της αναιρεσίβλητης (ΤΕΙΡΕΣΙΑΣ) ήταν καταγεγραμμένα πλέον των χιλίων υποκειμένων, αρκούσε η in abstracto δια του τύπου ενημέρωσή του….
Από το τέλος του 1998 η ΤΕΙΡΕΣΙΑΣ ΑΕ προβαίνει σε δημοσιεύσεις μέσω τύπου για την ενημέρωση των υποκειμένων ως προς την τήρηση του αρχείου οικονομικής συμπεριφοράς. Από την εξέταση του σχετικού εντύπου της ΤΕΙΡΕΣΙΑΣ του έτους 2004, από την οποία, όπως ισχυρίζεται ο προσφεύγων, έλαβε γνώση για την επεξεργασία των στοιχείων του, διαπιστώνεται ότι η εταιρεία έχει τροποποιήσει το πρώτο έντυπο ενημέρωσης το οποίο είχε αποστείλει στην Αρχή από το 1998. Στη σχετική καταχώριση αναφέρεται ως τίτλος «Η ΤΕΙΡΕΣΙΑΣ ΚΟΝΤΑ ΣΤΟΝ ΣΥΝΑΛΛΑΣΣΟΜΕΝΟ ΠΟΛΙΤΗ». Στις κατηγορίες των δεδομένων αναφέρονται ρητά οι καταγγελίες συμβάσεων. Στο έντυπο δεν υπάρχει ο τίτλος με κεφαλαία γράμματα, όπως ορίζει το άρθρο 4 της 408/98 Κανονιστικής Πράξης “ΕΝΗΜΕΡΩΣΗ ΓΙΑ ΤΗΡΗΣΗ ΑΡΧΕΙΟΥ -Άρθρο 11 παρ.1 του ν.2472/97”. Ωστόσο, με την πρώτη ενημέρωση της εταιρείας στις 31.12.1998 και 3.1.1999 μέσω τύπου, τα υποκείμενα των δεδομένων ενημερώθηκαν σαφώς για τη συγκεκριμένη επεξεργασία των δεδομένων τους, και ως εκ τούτου, ο προσφεύγων δεν μπορεί να επικαλεστεί άγνοια της συντελούμενης επεξεργασίας, αφού, στις επεξεργασίες που αναφέρεται η ενημέρωση μέσω τύπου, η συλλογή έχει ήδη γίνει.
Πάντως, λαμβανομένου υπόψη ότι και μεταγενέστερες δημοσιεύσεις φέρουν τον τίτλο ΠΡΟΣΤΑΣΙΑ ΤΩΝ ΣΥΝΑΛΛΑΓΩΝ- ΣΕΒΑΣΜΟΣ ΣΤΟΝ ΠΟΛΙΤΗ και με μικρά γράμματα “Ενημέρωση πολιτών άρθρα 24 παρ.3 και 11 παρ.3 του ν.2472/97”, το έντυπο της δημοσίευσης πρέπει να τροποποιηθεί κατά τα οριζόμενα στις ανωτέρω αποφάσεις της Αρχής.
6. Στην υπ΄αριθμ.24/2004 απόφαση της Αρχής σχετικά με τις προϋποθέσεις τήρησης αρχείου από την ΤΕΙΡΕΣΙΑΣ Α.Ε. ορίζεται ότι τα δυσμενή για το υποκείμενο προσωπικά δεδομένα που διαβιβάζονται κάθε φορά στον αποδέκτη πρέπει να είναι ακριβή και ενημερωμένα μέχρι το χρόνο της διαβίβασης. Η ακρίβεια και ενημέρωση των στοιχείων αποτελεί βάρος του υπεύθυνου της επεξεργασίας και σε καμιά περίπτωση του υποκειμένου. Από τις διατάξεις της ανωτέρω απόφασης σε συνδυασμό με το άρθρο 4 παρ.1 γ του ν.2472/97, συνάγεται σαφώς ότι η ΤΕΙΡΕΣΙΑΣ ως υπεύθυνος επεξεργασίας του αρχείου που τηρεί έχει την ευθύνη για την ακρίβεια των περιλαμβανομένων σε αυτό στοιχείων. Περαιτέρω, ο έλεγχος που πρέπει να γίνεται από τις τράπεζες σχετικά με την ακρίβεια των στοιχείων, αφού είναι και οι ίδιες πηγές των δεδομένων, δεν απαλλάσσει την ΤΕΙΡΕΣΙΑΣ από το καθήκον της να ελέγχει και να εξασφαλίζει ότι οι απαιτήσεις του νόμου για την νόμιμη επεξεργασία των δεδομένων εφαρμόζονται. Ειδικά στις περιπτώσεις καταγγελιών συμβάσεων, η Αρχή έχει κρίνει με την απόφαση αρ.49/2007 ότι οι τράπεζες θα πρέπει να απευθύνουν το έγγραφο της καταγγελίας προς τον οφειλέτη, η δε ΤΕΙΡΕΣΙΑΣ να λαμβάνει κατά την αναγγελία του σχετικού δεδομένου από τις τράπεζες και πριν την καταχώριση στο αρχείο της, αντίγραφο του ανωτέρω εγγράφου ή βεβαίωση περί επίδοσης αυτού.
7. Η τράπεζα απέστειλε εξώδικη πρόσκληση στον προσφεύγοντα στις 16.3.2005 με την οποία τον ενημέρωσε για την οριστική καθυστέρηση καταγγέλλοντας παράλληλα τη σχετική σύμβαση. Δηλαδή, η τράπεζα απέστειλε τα σχετικά στοιχεία στην ΤΕΙΡΕΣΙΑΣ πριν ολοκληρώσει τη διαδικασία της επίδοσης προς τον προσφεύγοντα (πεντέμισυ μήνες νωρίτερα), με αποτέλεσμα να αποστείλει μη ορθό το δεδομένο της ημερομηνίας της καταγγελίας (30.9.2004 αντί του ορθού 16.3.2005). Η δε ΤΕΙΡΕΣΙΑΣ καταχώρισε στο αρχείο της τα ανωτέρω στοιχεία όπως της είχαν αποσταλεί από την τράπεζα, χωρίς να ελέγξει η ίδια την ακρίβεια τους. Ο ισχυρισμός της ότι έχει αποστείλει προς τις τράπεζες σαφείς οδηγίες στις περιπτώσεις καταγγελιών προκειμένου να έχει προηγηθεί έγγραφη ενημέρωση των υποκειμένων για την καταγγελία και ότι άλλως δεν θα πρέπει να αποστέλλεται το σχετικό δεδομένο, πρέπει να θεωρηθεί ως μέτρο επιμέλειας που έχει λάβει η εταιρία ώστε να περιορίσει στο ελάχιστο το ποσοστό λάθους, αλλά δεν την απαλλάσσει από την ευθύνη που της αναλογεί ως υπεύθυνου επεξεργασίας του αρχείου.
Ενόψει των ανωτέρω πρέπει να γίνει δεκτό ότι και οι δύο υπεύθυνοι επεξεργασίας επεξεργάστηκαν μη ορθά στοιχεία που αφορούσαν τον προσφεύγοντα, κατά παράβαση της διάταξης του άρθρου 4 παρ. 1 γ΄ του Ν. 2472/1997. Σε κάθε περίπτωση, από το χρόνο επίδοσης κατέστη νόμιμη η σχετική καταχώριση της καταγγελίας στο αρχείο της ΤΕΙΡΕΣΙΑΣ, αφού, όπως προειπώθηκε, για την συγκεκριμένη επεξεργασία δεν απαιτείται να υπάρχει η συγκατάθεση του υποκειμένου, αλλά αρκεί η ενημέρωσή του κατά τα οριζόμενα στο άρθρο 11 παρ.1 του ν.2472/97. Δεδομένου ωστόσο ότι η διόρθωση της ημερομηνίας καταχώρισης από 30.9.2004 σε 16.3.2005 θα έχει ως συνέπεια να επιμηκυνθεί ο χρόνος τήρησης του δεδομένου αυτού στο ανωτέρω αρχείο με προφανείς τις δυσμενείς συνέπειες που αυτό συνεπάγεται για τον προσφεύγοντα, κρίνεται σκόπιμο και προς όφελος του προσφεύγοντα να γίνει η διαγραφή των σχετικών στοιχείων της καταγγελίας από το αρχείο της ΤΕΙΡΕΣΙΑΣ πεντέμισυ μήνες νωρίτερα από το χρόνο που προβλέπεται για τη διαγραφή τους. Πρέπει ακόμη να ληφθούν υπόψη ότι α) η τράπεζα ενημέρωσε τον προσφεύγοντα και β) το γεγονός της αποστολής σχετικών οδηγιών από την ΤΕΙΡΕΣΙΑΣ προς τις τράπεζες για το θέμα.
9. Κατ΄εκτίμηση των ανωτέρω, η Αρχή κρίνει ότι πρέπει να επιβληθούν στους υπεύθυνους επεξεργασίας, δηλαδή στην Eθνική Τράπεζα της Ελλάδος και στην ΤΕΙΡΕΣΙΑΣ ΑΕ οι κυρώσεις που αναφέρονται στο διατακτικό, οι οποίες κρίνονται ανάλογες με τη βαρύτητα της προσβολής, και να γίνει σύσταση προς την ΤΕΙΡΕΣΙΑΣ ως προς την ανάγκη τροποποίησης του κειμένου της ενημέρωσης δια του τύπου.

ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ

1. Διατάσσει την ΤΕΙΡΕΣΙΑΣ ΑΕ να προβεί στην διαγραφή του σχετικού δεδομένου από το αρχείο οικονομικής συμπεριφοράς πεντέμισυ μήνες νωρίτερα από το χρόνο που προβλέπεται για τη διαγραφή του.
2. Απευθύνει προειδοποίηση στην E.T.E. να αναγγέλλει τα δεδομένα της καταγγελίας στην ΤΕΙΡΕΣΙΑΣ μετά την επίδοση προς τον καθ΄ου η καταγγελία βεβαιώνοντας συγχρόνως την ημερομηνία επίδοσης αυτού.
3. Απευθύνει προειδοποίηση στην ΤΕΙΡΕΣΙΑΣ ΑΕ να ελέγχει τη βεβαίωση από τις τράπεζες ότι έγινε επίδοση της καταγγελίας σύμβασης πριν προβεί στη σχετική καταχώριση στο αρχείο ΣΟΣ.
4. Απευθύνει σύσταση προς την ΤΕΙΡΕΣΙΑΣ ΑΕ να τροποποιήσει το κείμενο της ενημέρωσης δια του τύπου κατά τα οριζόμενα στις σχετικές αποφάσεις της Αρχής.

Ο Πρόεδρος Η Γραμματέας

Χ. Γεραρής Γ. Παλαιολόγου