Αθήνα, 26-08-2021
Αριθ. Πρωτ.: 1947
ΑΠΟΦΑΣΗ 36/2021
(Τμήμα)
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε, μετά από πρόσκληση του
Προέδρου της, σε τακτική συνεδρίαση σε σύνθεση Τμήματος στην έδρα της την 17/2/2021
και ώρα 10.00, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της
παρούσας. Στη συνεδρίαση μετείχε μέσω τηλεδιάσκεψης ο Γεώργιος Μπατζαλέξης,
Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής, Κωνσταντίνου
Μενουδάκου, και παρέστησαν τα αναπληρωματικά μέλη Ευάγγελος Παπακωνσταντίνου και
Γρηγόριος Τσόλιας, ως εισηγητής. Δεν παρέστησαν λόγω κωλύματος, παρόλο που εκλήθησαν
νομίμως εγγράφως τα τακτικά μέλη Χαράλαμπος Ανθόπουλος και Κωνσταντίνος
Λαμπρινουδάκης. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου χωρίς δικαίωμα
ψήφου, η Χάρις Συμεωνίδου, ειδική επιστήμονας – ελέγκτρια ως βοηθός εισηγήτρια και η
Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Διοικητικού Τμήματος της Αρχής, ως
γραμματέας.
Η Αρχή έλαβε υπόψη τα κατωτέρω:
Με τις υπ’ αριθ. πρωτ. Γ/ΕΙΣ/5208/24-07-2020 και Γ/ΕΙΣ/6315/16-9-2020 καταγγελίες
του στην Αρχή ο A καταγγέλλει ότι η εταιρία Dixons South East Europe ΑΕΒΕ-ΚΩΤΣΟΒΟΛΟΣ
(εφεξής «Εταιρία») και η Εθνική Τράπεζα της Ελλάδος (εφεξής «Τράπεζα») αντίστοιχα, δεν
ικανοποιούν το δικαίωμα πρόσβασης σε προσωπικά δεδομένα του. Ειδικότερα:
Ι.Α) Σύμφωνα με την πρώτη ως άνω καταγγελία, ο καταγγέλλων, έπειτα από επιστροφή
προϊόντος που είχε αγοράσει από την Εταιρία με δόσεις στην πιστωτική του κάρτα,
εκδοθείσα από την Τράπεζα, και αφού διαπίστωσε ότι οι δόσεις εξακολούθησαν να
χρεώνονται κάθε μήνα και να πιστώνονται τον επόμενο, διαμαρτυρήθηκε σχετικά στην
Εταιρία και σε επικοινωνία που είχε με τους εκπροσώπους της μέσω facebook,
1
Λεωφ. Κηφισίας 1-3, 11523 Αθήνα
Τ: 210 6475 600 • E: [email protected] • www.dpa.gr
πληροφορήθηκε ότι έχει υποβληθεί αίτημα ωρίμανσης των δόσεων προς την Τράπεζα.
Κατόπιν αυτού, σύμφωνα με την καταγγελία, στις 26/6/2020 ο καταγγέλλων ζήτησε να του
κοινοποιηθεί το αίτημα της Εταιρίας προς την Τράπεζα σχετικά με την αποχρέωση των
δόσεων της πιστωτικής του κάρτας. Η απάντηση των εκπροσώπων της Εταιρίας ήταν
αρνητική, με την αιτιολογία ότι «η επικοινωνία που έχει πραγματοποιηθεί με την τράπεζα
συνιστά εσωτερική επικοινωνία και δεν υπάρχει η δυνατότητα κοινοποίησής της».
Στο πλαίσιο διερεύνησης της καταγγελίας η Αρχή απέστειλε το υπ’ αρ. πρωτ.
Γ/ΕΞ/5208-1/11-08-2020 έγγραφο προς την Εταιρία, ζητώντας τις απόψεις της για τα
καταγγελλόμενα πραγματικά περιστατικά, αλλά και να διευκρινίσει ιδίως, εάν άσκησε ο
καταγγέλλων, όπως αναφέρει, δικαίωμα πρόσβασης σε δεδομένα που τον αφορούν, καθώς
και εάν και με ποιο τρόπο απάντησε η καταγγελλόμενη Εταιρία στο ως άνω αίτημά του,
επισυνάπτοντας ιδίως την αίτηση του καταγγέλλοντα, ώστε να προκύπτει με σαφήνεια, τι
ζήτησε, πότε και με ποια θεμελίωση, την τυχόν απάντηση της Εταιρίας, και κάθε σχετικό με
την υπόθεση στοιχείο.
Με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/6044/08-09-2020 (που εστάλη ξανά σε πιο ευανάγνωστη
μορφή με αρ. πρωτ. Γ/ΕΙΣ/6065/08-09-2020) έγγραφό της προς την Αρχή, η Εταιρία
ισχυρίστηκε τα εξής:
- Μετά την επιστροφή του προϊόντος από τον καταγγέλλοντα στις 22/5/2020, η Εταιρία
πραγματοποίησε όλες τις απαραίτητες ενέργειες για την αποχρέωση της κάρτας του
καταγγέλλοντος, δηλαδή έστειλε στην συνεργαζόμενη με την ίδια τράπεζα (Alpha Bank) που
εξυπηρετεί τις συναλλαγές με πιστωτικές κάρτες, το αρχείο με όλες τις συναλλαγές της
ημέρας, ώστε εκείνη με τη σειρά της να προβεί στις απαραίτητες εγγραφές ενημερώνοντας
τις εκδότριες των καρτών των πελατών τράπεζες, σύμφωνα με τη διαδικασία που
προβλέπεται στις μεταξύ τους συμφωνίες.
- Ο καταγγέλλων, στις 22/7/2020 επικοινώνησε με την Εταιρία μέσω μηνύματος στο
Facebook αναφέροντας ότι δεν είχε αποδεσμευθεί το συνολικό ποσό της αγοράς στην κάρτα
του αλλά οι δόσεις αντιλογίζονταν μηνιαίως (δηλαδή ότι δεν αφαιρέθηκε συνολικά η χρέωση
της ακυρωθείσας συναλλαγής αλλά γινόταν χρέωση και αυτόματη πίστωση κάθε δόσης κάθε
μήνα). Η Εταιρία υποστηρίζει ότι απάντησε στον καταγγέλλοντα ότι από πλευράς της είχαν
γίνει όλες οι δέουσες ενέργειες προς την εκκαθαρίστρια Τράπεζα (Alpha Bank), και ότι ο
τρόπος αντιλογισμού της ακυρωθείσας χρέωσης στην κάρτα του δεν εξαρτάται από την ίδια
αλλά από τη σύμβασή του με την εκδότρια Τράπεζα και την πολιτική της· για το λόγο αυτό
τον παρέπεμψε στην τράπεζα που είχε εκδώσει την κάρτα του. Επειδή όμως ο καταγγέλλων
επέμενε, λέγοντας ότι κατά την Τράπεζα η σχετική διαδικασία έπρεπε να γίνει από την
2
Εταιρία, η καταγγελλόμενη Εταιρία, «στα πλαίσια καλής θέλησης, παρά το γεγονός ότι η
συγκεκριμένη διαδικασία εξέφευγε των αρμοδιοτήτων» της, όπως υποστηρίζει,
επικοινώνησε κατ’ εξαίρεση της διαδικασίας με την συνεργαζόμενη με αυτήν τράπεζα (Alpha
Bank) και μέσω αυτής προωθήθηκε αίτημα για ωρίμανση των δόσεων στην εκδότρια της
κάρτας Τράπεζα (Εθνική Τράπεζα) και έπειτα, κατά την απάντησή της, ενημέρωσε τον
καταγγέλλοντα «ότι έχει υποβληθεί αίτημα για ωρίμανση δόσεων στην εκδότρια Τράπεζα,
ήτοι την Εθνική μέσω της συνεργάτιδός μας. Το εν λόγω αίτημα προώθησε η Εταιρία μας στην
Alpha Bank και εκείνη με την σειρά της προώθησε το αίτημα στην εκδότρια καθώς, όπως
αναφέρουμε και ανωτέρω η Εταιρία μας δεν γνωρίζει ποια είναι η εκδότρια Τράπεζα της
εκάστοτε κάρτας, από την οποία έχει πραγματοποιηθεί η συναλλαγή.» Η καταγγελλόμενη
Εταιρία υποστηρίζει επίσης ότι ο καταγγέλλων, επικαλούμενος το δικαίωμα πρόσβασης στα
προσωπικά του δεδομένα ζήτησε να του δοθεί η εσωτερική αλληλογραφία της Εταιρίας με
την Τράπεζα, μέσω της οποίας φαινόταν ότι όντως είχε υποβληθεί το εν λόγω αίτημα.
Ωστόσο, σύμφωνα με την απάντηση της Εταιρίας, η αξίωση αυτή αφενός, δεν εμπίπτει στο
δικαίωμα πρόσβασης κατά το άρθρο 15 του Γενικού Κανονισμού Προστασίας Δεδομένων
(ΓΚΠΔ), αφετέρου, η εταιρική αλληλογραφία προστατεύεται από απόρρητο σύμφωνα με το
άρθρο 19 του Συντάγματος. Ως εκ τούτου, σύμφωνα με την καταγγελλόμενη Εταιρία, το
αίτημα του καταγγέλλοντος δεν συνιστούσε ενάσκηση του δικαιώματος πρόσβασής του ως
υποκειμένου στα προσωπικά του δεδομένα. Στο πλαίσιο αυτό, η Εταιρία υποστήριξε επίσης
αρχικά ότι «ουδέποτε έγινε κάποια αίτηση του καταγγέλλοντος σχετικά με τα ανωτέρω αλλά
η όλη επικοινωνία έγινε μέσω μηνυμάτων (chat) στην σελίδα κοινωνικής δικτύωσης της
Εταιρίας μας στο facebook.».
Εν όψει των ανωτέρω, οι βασικές θέσεις και ισχυρισμοί της Εταιρίας αρχικά
συνίστανται στο ότι α) το εν λόγω αίτημα του καταγγέλλοντος δεν αποτελεί ενάσκηση
δικαιώματος πρόσβασης στα προσωπικά του δεδομένα, καθώς η εσωτερική αλληλογραφία
της εταιρίας δεν αποτελεί προσωπικό δεδομένο του πελάτη, είναι απόρρητη και
προστατεύεται με τις αυξημένης τυπικής ισχύος συνταγματικές διατάξεις, και ότι β) ακόμα
και αν θεωρηθεί ότι το εν λόγω αίτημα αφορά το δικαίωμα πρόσβασης του υποκειμένου, η
Εταιρία παρείχε στον πελάτη όλες τις απαραίτητες πληροφορίες, ήτοι ότι το αίτημά του
προωθήθηκε από την Εταιρία στην Τράπεζα.
Προς απόδειξη των ισχυρισμών της, η Εταιρία επικαλέστηκε τις συνομιλίες του
καταγγέλλοντος μέσω μηνυμάτων στο facebook messenger προς τη σελίδα της. Οι συνομιλίες
αυτές φέρουν ημερομηνία 26/6/2020 και από αυτές προκύπτει ότι ο καταγγέλλων ρώτησε:
«ποιες ενέργειες έχουν γίνει; Έχει ενημερωθεί η τράπεζα;» και δήλωσε ότι «από την τράπεζα
3
μου είπαν ότι δεν έχουν κάποιο αίτημα. Μου ζήτησαν σε ποια τράπεζα έχει γίνει και το
αποδεικτικό για να μπορέσουν να το διερευνήσουν». Οι απαντήσεις που φαίνεται ότι
δόθηκαν από τους εκπροσώπους της Εταιρίας ήταν οι εξής: «Το αίτημά σας για ωρίμανση
δόσεων έχει υποβληθεί στην εκδότρια τράπεζα», «Έχει προωθηθεί αίτημα στην τράπεζα της
κάρτας που έχει χρεωθεί και έχουμε εντοπίσει πως έχετε λάβει μέσω email το αποδεικτικό
της ακύρωσης», και «Το αίτημα προς την τράπεζα έχει καταχωρηθεί. Η επικοινωνία που έχει
πραγματοποιηθεί με την τράπεζα συνιστά εσωτερική επικοινωνία και δεν υπάρχει η
δυνατότητα κοινοποίησής της. Το αποδεικτικό της ακύρωσης που έχετε λάβει επιβεβαιώνει
το αίτημα της ακύρωσης που έχετε πραγματοποιήσει. Από πλευράς της εταιρίας μας έχουν
πραγματοποιηθεί όλες οι απαραίτητες ενέργειες ώστε να προωθηθεί το αίτημά σας».
Κατόπιν αυτού και δεδομένου του ισχυρισμού της Εταιρίας ότι «ουδέποτε έγινε
κάποια αίτηση του καταγγέλλοντος σχετικά με τα ανωτέρω αλλά η όλη επικοινωνία έγινε
μέσω μηνυμάτων (chat) στην σελίδα κοινωνικής δικτύωσης της Εταιρίας μας στο facebook»,
η Αρχή με το υπ’ αριθ. πρωτ. Γ/ΕΞ/5208-2/27-10-2020 έγγραφό της προς την Εταιρία ζήτησε
να διευκρινισθεί εντός 15ημέρου, εάν ο ισχυρισμός αυτός έχει την έννοια ότι κατά την άποψη
της Εταιρίας ουδέποτε ασκήθηκε δικαίωμα πρόσβασης εκ μέρους του καταγγέλλοντος και
ζητήθηκε να αποσταλεί η έγγραφη Πολιτική και Διαδικασία που ακολουθείται από την
Εταιρία ως προς τη διαχείριση των αιτημάτων πρόσβασης των υποκειμένων, επί τη βάσει της
οποίας η Εταιρία αρνήθηκε την ικανοποίηση του συναφούς αιτήματος.
Έπειτα από δύο αιτήματα της Εταιρίας (υπ’ αρ. πρωτ. Γ/ΕΙΣ/7538/03-11-2020 και
Γ/ΕΙΣ/8087/24-11-2020) για παράταση της προθεσμίας απάντησης στο ανωτέρω έγγραφο, εκ
των οποίων το δεύτερο δεν έγινε δεκτό (βλ. υπ’ αρ. πρωτ. Γ/ΕΞ/8087-1/27-11-2020
απαντητικό έγγραφο της Αρχής), με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/8333/04-12-2020 έγγραφό της, η
Εταιρία απάντησε ότι κατά την άποψή της α) το αιτούμενο ηλεκτρονικό έγγραφο δεν
περιλαμβάνει προσωπικά δεδομένα του καταγγέλλοντος και β) τα ανταλλασσόμενα
ηλεκτρονικά έγγραφα της καταγγελλόμενης Εταιρίας με τρίτα μέρη μέσω συστημάτων
πληρωμών είναι εμπιστευτικά βάσει συμβατικών δεσμεύσεων και επομένως τυχόν
κοινοποίησή τους σε τρίτα μέρη συνεπάγεται σχετική ευθύνη της Εταιρίας. Επομένως η εκ
μέρους της αιτιολογημένη απόρριψη του αιτήματος του καταγγέλλοντος πρέπει να κριθεί ως
ορθή. Παρά ταύτα, δήλωσε, ωστόσο, την πρόθεσή της να θέσει εν τέλει το σχετικό
ηλεκτρονικό έγγραφο υπόψη του καταγγέλλοντος, θεωρώντας το έγγραφο της Αρχής «ως
νομική βάση για την άρση των περί εμπιστευτικότητας συμβατικών μας δεσμεύσεων».
Η Εταιρία επεσήμανε επίσης ότι ως υπεύθυνος επεξεργασίας παρέχει τρεις τρόπους
για την άσκηση δικαιωμάτων των υποκειμένων βάσει του ΓΚΠΔ (φυσική παρουσία, επιστολή
4
στα Γραφεία Διοίκησης, ή e-mail στο [email protected]), χωρίς ωστόσο η υποβολή
αιτημάτων με άλλους τρόπους (όπως, εν προκειμένω, μέσω μηνυμάτων σε μέσο κοινωνικής
δικτύωσης) να επηρεάζει τη νομιμότητα της υποβολής, αν και ενδέχεται να έχει αντίκτυπο
στους χρόνους ανταπόκρισης της εταιρίας, για οργανωτικούς λόγους.
Η Εταιρία απαντώντας στο σχετικό ερώτημα της Αρχής περί του αν εξέλαβε την εν λόγω
επικοινωνία και το αίτημα του καταγγέλλοντος ως άσκηση του δικαιώματος πρόσβασης στα
προσωπικά του δεδομένα, διευκρίνισε ότι ο σχετικός ισχυρισμός της είχε την έννοια ότι «[…]
λόγω του μέσου, που χρησιμοποίησε ο καταγγέλλων (μέσω μηνυμάτων (chat) στην σελίδα
κοινωνικής δικτύωσης της εταιρίας μας στο facebook) αλλά και λόγω του πλήθους των
μηνυμάτων, που ανταλλάχθηκαν για μία σειρά θεμάτων, το σχετικό αίτημα του
καταγγέλλοντος δεν ήταν σαφές ότι συνιστούσε αίτημα για την άσκηση του δικαιώματος
πρόσβασης με βάση το άρθρο 15 του ΓΚΠΔ».
Τέλος, με το ίδιο έγγραφο η Εταιρία κοινοποίησε στην Αρχή την εταιρική «Οδηγία
Διαχείρισης Αιτημάτων Υποκειμένων Προσωπικών Δεδομένων» της, η οποία κατά την ίδια
απάντηση έχει γνωστοποιηθεί σε όλο το προσωπικό και ακολουθείται κατά τη διεκπεραίωση
αιτημάτων υποκειμένων προσωπικών δεδομένων κατά τα άρθρα 12-23 του ΓΚΠΔ.
Παράλληλα, με το υπ’ αρ. πρωτ. Γ/ΕΞ/5208-3/27-10-2020 έγγραφό της, η Αρχή ζήτησε
από τον καταγγέλλοντα να διευκρινίσει α) με ποιο τρόπο ακριβώς άσκησε το δικαίωμα
πρόσβασης στα προσωπικά του δεδομένα, σύμφωνα με τα καταγγελλόμενα και β) εάν για
την ικανοποίηση του δικαιώματος πρόσβασης που έχει ασκήσει απαιτείται, κατά τη γνώμη
του, η κοινοποίηση αυτούσιας της αλληλογραφίας της εταιρίας με την τράπεζα (δηλαδή με
χορήγηση αντιγράφου της σχετικής επιστολής/e-mail) ή το αίτημά του θα μπορούσε να
ικανοποιηθεί και με τη γνωστοποίηση των στοιχείων που αφορούν την εν λόγω
αλληλογραφία (π.χ. ημερομηνία και διευθύνσεις αποστολής /παραλαβής του e-mail, τυχόν
αριθμοί πρωτοκόλλου κλπ.), ώστε να καταλήξει τυχόν στο ίδιο αποτέλεσμα.
Με τα υπ’ αριθ. πρωτ. Γ/ΕΙΣ/7419/29-10-2020 και Γ/ΕΙΣ/7498/2-11-2020 απαντητικά
έγγραφά του προς την Αρχή, ο καταγγέλλων απάντησε ότι το αίτημά του υποβλήθηκε μέσω
facebook messenger και ότι για την ικανοποίησή του θα ήταν αρκετή η ενημέρωσή του για
τα στοιχεία του αιτήματος (της Εταιρίας προς την Τράπεζα), δηλαδή: Ημερομηνία, από ποιο
τμήμα της Εταιρίας έγινε, προς ποιον, αριθμό πρωτοκόλλου και αποδεικτικό ότι ο
παραλήπτης το έλαβε, όπως είχε ενημερωθεί ο καταγγέλλων μέσω messenger.
Σε συνέχεια των ανωτέρω, ο καταγγέλλων μέσω ηλεκτρονικής επικοινωνίας του με την
Αρχή στις 11/1/2021 και 18/1/2021 δήλωσε ότι δεν έλαβε καμία ενημέρωση από την Εταιρία,
παρά τα αναφερόμενα στο υπ’ αρ. πρωτ. Γ/ΕΙΣ/8333/04-12-2020 έγγραφο της τελευταίας.
5
Ι.Β) Σύμφωνα με τη δεύτερη ως άνω καταγγελία (υπ’ αριθ. πρωτ. Γ/ΕΙΣ/6315/16-09-
2020), ο καταγγέλλων με το από 06/07/2020 έγγραφό του προς την Τράπεζα ζήτησε να του
γνωστοποιηθεί εάν έχει υποβληθεί από την Εταιρία αίτημα για την ωρίμανση των δόσεων
και την αποδέσμευση του ποσού που είχε χρεωθεί στην πιστωτική του κάρτα για προϊόν που
έχει επιστραφεί, αίτημα στο οποίο, όπως αναφέρει ο καταγγέλλων, δεν έλαβε καμία
απάντηση, παρά την πάροδο δύο μηνών.
Στο πλαίσιο εξέτασης της καταγγελίας αυτής, η Αρχή έστειλε στην καταγγελλόμενη
Τράπεζα το υπ’ αριθ. πρωτ. Γ/ΕΞ/6315-1/08-10-2020 έγγραφό της για παροχή απόψεων,
ζητώντας να διευκρινιστεί ιδίως εάν άσκησε ο καταγγέλλων, όπως αναφέρει, δικαίωμα
πρόσβασης σε δεδομένα που τον αφορούν, καθώς και εάν και με ποιο τρόπο απάντησε η
Τράπεζα στο ως άνω αίτημά του, συμπεριλαμβάνοντας στην απάντησή της και κάθε σχετικό
με την υπόθεση στοιχείο.
Στη συνέχεια, με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/7505/02-11-2020 έγγραφό της η Τράπεζα
υποστήριξε ότι το αίτημα του καταγγέλλοντος που υποβλήθηκε αρχικά τηλεφωνικά και στη
συνέχεια, κατόπιν καθοδήγησης από το Κατάστημα [περιοχής] Χ, μέσω του εντύπου της
Τράπεζας στις 6/7/2020, δεν αφορούσε την από μέρους του άσκηση δικαιώματος του ΓΚΠΔ,
αλλά την ενημέρωσή του για τον τρόπο επιστροφής χρημάτων από τρίτη εταιρία εμπορίας
καταναλωτικών αγαθών, για συναλλαγή η οποία διενεργήθηκε μεν με χρέωση κάρτας
έκδοσης της Τράπεζας, εκκαθαρίστηκε όμως μέσω άλλης τράπεζας με την οποία
συνεργάζεται η εμπλεκόμενη εταιρία.
Περαιτέρω, σύμφωνα με την απάντηση της Τράπεζας, στο διάστημα που η εν λόγω
υπόθεση τελούσε υπό διερεύνηση, ο καταγγέλλων απευθύνθηκε στο Συνήγορο του
Καταναλωτή, υποβάλλοντας σχετική καταγγελία κατά της Εταιρίας, η οποία διαβιβάστηκε
στις 22.9.2020 στην Τράπεζα για τις απόψεις της. Όπως υποστηρίζει η Τράπεζα, η τελευταία
απάντησε στο Συνήγορο του Καταναλωτή σχετικά με τις διαδικασίες που αφορούσαν τη
συναλλαγή και τον τρόπο χρέωσης και πίστωσης των δόσεων της πιστωτικής κάρτας του
καταγγέλλοντος, κοινοποιώντας την απάντησή της στον καταγγέλλοντα.
Εν όψει των ανωτέρω, η Τράπεζα ισχυρίζεται ότι το σχετικό αίτημα, το οποίο δεν
αφορούσε την άσκηση δικαιώματος του ΓΚΠΔ, εξετάστηκε από αυτήν και έγιναν οι
προσήκουσες προς τούτο ενέργειες για τις οποίες ενημερώθηκε άμεσα ο καταγγέλλων, με
βάση την ακολουθούμενη από την τράπεζα διαδικασία για την ανταπόκριση σε αιτήματα που
λαμβάνονται μέσω εποπτικών αρχών.
6
Ακολούθως η Αρχή, με τις υπ’ αριθ. πρωτ Γ/ΕΞ/508/28-01-2021, Γ/ΕΞ/511/28-01-2021 και
Γ/ΕΞ/512/28-01-2021 Κλήσεις της κάλεσε τα εμπλεκόμενα μέρη σε ακρόαση στη συνεδρίαση
του τμήματος της 03/02/2021. Κατά την ακρόαση τα μέρη ανέπτυξαν τις απόψεις τους και
τους ορίσθηκε προθεσμία 10 ημερών για την υποβολή υπομνημάτων.
Κατά την ακρόαση της 03/02/2021 παρέστησαν ο καταγγέλλων, οι πληρεξούσιοι δικηγόροι
της καταγγελλόμενης Εταιρίας ΚΩΤΣΟΒΟΛΟΣ, Απόστολος Νικολαΐδης (Α.Μ. …) και Αντώνιος
Μπρούμας (Α.Μ. …), ενώ εκ μέρους της Εθνικής Τράπεζας παρέστησαν η Β, Επικεφαλής του
Τομέα Διεύθυνσης …, Β, Στέλεχος Διεύθυνσης …, Γ, Στέλεχος της Διεύθυνσης …. Παρέστησαν
επίσης η …, ΥΠΔ της Τράπεζας και ο …, Αναπληρωτής ΥΠΔ, οι οποίοι δεν έλαβαν το λόγο. Τα
εμπλεκόμενα μέρη έλαβαν, κατά τη συνεδρίαση αυτή, προθεσμία και υπέβαλαν
εμπροθέσμως, ο μεν καταγγέλλων τα υπ’ αριθ. πρωτ. Γ/ΕΙΣ/961/08-02-2021 και
Γ/ΕΙΣ/962/08-02-2021 υπομνήματα, η δε Εταιρία το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/1111/15-02-2021
υπόμνημά της, ενώ η Τράπεζα δεν κατέθεσε υπόμνημα.
Ειδικότερα, όσον αφορά την πρώτη καταγγελία, ο καταγγέλλων υποστήριξε ότι, παρά το
αίτημά του για ωρίμανση των δόσεων, οι δόσεις συνέχισαν να χρεώνονται και να
πιστώνονται, ενώ σύμφωνα με τηλεφωνική ενημέρωση που είχε τόσο από την Εθνική
Τράπεζα όσο και από την Alpha Bank, δεν είχε υποβληθεί κανένα σχετικό αίτημα εκ μέρους
της Εταιρίας. Στις τηλεφωνικές επικοινωνίες του με τα διάφορα τμήματα της Εταιρίας, όλοι
οι υπάλληλοι δήλωναν αναρμόδιοι και ποτέ δεν κατάφερε να μιλήσει με κάποιον
προϊστάμενο ή υπεύθυνο, παρά τις διαβεβαιώσεις των υπαλλήλων ότι θα τον καλέσουν.
Σύμφωνα με τον καταγγέλλοντα, τέλος, δεν υπήρξε θέμα «γκρίζας ζώνης», όπως υποστήριξε
η Εταιρία κατά την ακρόαση, αλλά «πλήρους αδιαφορίας και περιφρόνησης» προς τον ίδιο
ως υποκείμενο των δεδομένων.
Η Εταιρία, κατά τη συνεδρίαση, αφού δήλωσε ότι ανακαλεί, δεν επαναφέρει και δεν
υποστηρίζει τους νομικούς ισχυρισμούς που είχε υποβάλει κατά το στάδιο προ της
ακρόασης, υποστήριξε τόσο προφορικά όσο και μεταγενέστερα με το υπόμνημά της τα εξής:
- Ότι πρόκειται κυρίως για καταναλωτική διαφορά (διαδικασία ακύρωσης συναλλαγής και
αποχρέωσης της κάρτας του καταγγέλλοντος) ως προς την οποία η ίδια εκπλήρωσε όλες τις
υποχρεώσεις της, τα δε παράπονα του καταγγέλλοντος αφορούν κυρίως τις διατάξεις του Ν.
2251/1994 περί προστασίας καταναλωτή και τις διατάξεις του Ν. 4537/2018 για τις
υπηρεσίες πληρωμών.
- Ότι το αίτημα πρόσβασης του καταγγέλλοντος στο αίτημα ωρίμανσης δόσεων υποβλήθηκε
μέσω facebook messenger στο πλαίσιο πολυήμερης συνομιλίας, οι δε υπάλληλοι που
διαχειρίζονται τα μέσα κοινωνικής δικτύωσης της Εταιρίας, αν και τους έχουν γνωστοποιηθεί
7
οι σχετικές Οδηγίες διαχείρισης αιτημάτων υποκειμένων βάσει του ΓΚΠΔ, δεν αξιολόγησαν
σωστά το αίτημα του καταγγέλλοντος και δεν το εκτίμησαν ως άσκηση δικαιώματος
πρόσβασης, γεγονός που οφείλεται α) στη μειωμένη τους ετοιμότητα να δέχονται τέτοιου
είδους αιτήματα, λόγω της φύσης της εργασίας τους (καθώς συνήθως διαχειρίζονται
αιτήματα που αφορούν προσφορές, εξυπηρέτηση μετά την πώληση, βλάβες κλπ.), β) στο ότι
δεν είχε ζητηθεί ποτέ από πελάτη σε ανάλογη περίπτωση η διαβίβαση εταιρικής
αλληλογραφίας με την τράπεζα, γ) στο ότι το παράπονο του καταγγέλλοντος ήταν κυρίως
καταναλωτικής φύσης, δ) στο πλήθος των μηνυμάτων που ανταλλάχθηκαν (άνω των 50).
- Ότι στις 22/6/2020 ο καταγγέλλων έλαβε εγγράφως την πληροφορία ότι «Κατ’ εξαίρεση της
διαδικασίας έχει προωθηθεί αίτημα ωρίμανσης δόσεων», επομένως, κατά την Εταιρία,
«εξαρχής ο πελάτης είχε στη διάθεσή του και γνώριζε από την επικοινωνία του με την εταιρία
μας, την ημερομηνία υποβολής του αιτήματος από την εταιρία μας προς τη συνεργαζόμενη
τράπεζα Alpha Bank (22.6.2020)».
- Ότι, εν προκειμένω, το αν επρόκειτο για δικαίωμα πρόσβασης βάσει του άρθρου 15 ΓΚΠΔ
ανήκει σε μια «γκρίζα ζώνη», λόγω της σύγκρουσής του με το εμπορικό απόρρητο, ήτοι με
τη ρητή συμβατική υποχρέωση της Eταιρίας να τηρεί την εμπιστευτικότητα των
πληροφοριών που ανταλλάσσει με την Alpha Bank. Η σχετική δε στάθμιση, που κρίνεται από
τις περιστάσεις, δεν είναι αυτονόητα υπέρ της ικανοποίησης του αιτήματος του
καταγγέλλοντος. Ωστόσο, σύμφωνα με τους ισχυρισμούς της Εταιρίας, παρότι ο καταγγέλλων
δεν έλαβε εξαρχής το έγγραφο που ζήτησε, «[…] όμως ήδη από 22.6.2020 έλαβε
πληροφόρηση για το χρόνο υποβολής του, για τον αποδέκτη που ήταν η Alpha Bank κλπ. άρα
με πρόσφορα εναλλακτικά μέτρα η εταιρία μας […] χορήγησε στον καταγγέλλοντα επαρκή
στοιχεία και πληροφορίες για την επεξεργασία των δεδομένων του και για τον τρόπο και το
χρόνο υποβολής του αιτήματος ωρίμανσης ώστε να εξυπηρετήσει το αίτημά του».
- Ότι η Εταιρία έθεσε υπόψη της Αρχής το ζήτημα της στάθμισης, ώστε να χορηγήσει άμεσα
το έγγραφο «εφόσον κριθεί σχετικώς», όχι για σκοπούς παρέλκυσης αλλά «με σκοπό την
ασφάλεια δικαίου και την εναρμόνιση με βάση την ερμηνεία του νόμου από την ίδια την
εποπτική αρχή» και ότι αφού παρέλαβε από την Αρχή την κλήση της σε ακρόαση, τότε
προέβη εν τέλει στην ικανοποίηση του δικαιώματος πρόσβασης.
- Ότι, εν τέλει η Εταιρία απέστειλε στις 3/2/2021 με e-mail το σώμα του αιτήματος (το ζητηθέν
έγγραφο) στον καταγγέλλοντα, ο οποίος στις 8/2/2021 απάντησε ότι «[…] μετά από τόσους
μήνες δεν έχει καμία σημασία. Σας έλεγα ξανά και ξανά ότι η τράπεζα δεν ξέρει τίποτα περί
ωρίμανσης και αδιαφορήσατε», απάντηση από την οποία προκύπτει, κατά την Εταιρία, ότι
και ο ίδιος ο καταγγέλλων αντιμετωπίζει τη διαφορά ως καταναλωτικής φύσεως.
8
- Επικουρικώς και για την περίπτωση που κριθεί ότι υφίσταται παραβίαση των διατάξεων του
ΓΚΠΔ, η Εταιρία επικαλέστηκε τις ειδικές περιστάσεις που πρέπει να ληφθούν υπόψη στο
πλαίσιο εφαρμογής του άρθρου 83 παρ. 2 ΓΚΠΔ (μεμονωμένο περιστατικό που αφορά ένα
υποκείμενο, οφείλεται σε «συγγνωστή αμέλεια», πλήρης ικανοποίηση του δικαιώματος
τελικά, έλλειψη προηγούμενων παραβάσεων του υπευθύνου επεξεργασίας, έλλειψη
οικονομικού οφέλους από την παράβαση).
Τέλος, η Εταιρία προσκόμισε το έντυπο Οδηγιών Διαχείρισης Αιτημάτων Υποκειμένων
Προσωπικών Δεδομένων, δηλώνοντας ότι δεσμεύεται να το επαναξιολογήσει όσον αφορά
την παραπομπή των υποθέσεων εντός της Εταιρίας, εν όψει των ερωτήσεων που
υποβλήθηκαν από την Αρχή στο πλαίσιο της ακρόασης.
Σημειώνεται ότι, παρότι στο πλαίσιο της ακρόασης, η Εταιρία ερωτήθηκε εάν έχει
ορίσει Υπεύθυνο Προστασίας Δεδομένων (ΥΠΔ), και σε περίπτωση καταφατικής απάντησης,
εάν ζητήθηκε η γνώμη του για την υπό κρίση υπόθεση, το σχετικό ερώτημα δεν απαντήθηκε
ούτε κατά τη συνεδρίαση ούτε μέσω του υπομνήματος. Στην Αρχή δεν έχει γνωστοποιηθεί ο
διορισμός ΥΠΔ της Εταιρίας.
Όσον αφορά τη δεύτερη καταγγελία, ο καταγγέλλων επανέλαβε τα αναφερόμενα στην
καταγγελία του και διαμαρτυρήθηκε γιατί η Τράπεζα δεν του παρείχε τα στοιχεία που
αιτήθηκε (επιβεβαίωση εάν υπάρχει αίτημα ωρίμανσης δόσεων για την κάρτα του).
Η Τράπεζα, κατά τη συνεδρίαση της 3/2/2021 υποστήριξε ότι η εν λόγω υπόθεση του
καταγγέλλοντος δεν αφορούσε την άσκηση εκ μέρους του δικαιώματος πρόσβασης βάσει
του άρθρου 15 ΓΚΠΔ, αλλά την ενημέρωσή του σχετικά με τον τρόπο επιστροφής χρημάτων
από συναλλαγή που έγινε με κάρτα της τράπεζας , και δεν κατέθεσε υπόμνημα μετά την
ακρόαση.
Η Αρχή, από την ακροαματική διαδικασία, από τα στοιχεία του φακέλου της υπόθεσης,
καθώς και από τα υπομνήματα που υποβλήθηκαν στην Αρχή και αφού άκουσε τον εισηγητή
και τη βοηθό εισηγήτρια, η οποία αποχώρησε μετά τη συζήτηση της υπόθεσης και πριν από
τη διάσκεψη και τη λήψη απόφασης και κατόπιν διεξοδικής συζήτησης,
ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
1. Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας
Δεδομένων (ΕΕ) 2016/679 (εφεξής «ΓΚΠΔ») και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄
9
137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του
ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από
την επεξεργασία προσωπικών δεδομένων.
2. Το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία
δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην παράγραφο 1 ότι τα
δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή
επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα,
αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους
σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους
σκοπούς αυτούς (…), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους
σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των
δεδομένων») (…)».
3. Σύμφωνα με τα οριζόμενα, από τη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ προκύπτει
ότι ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει
τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1
του άρθρου 5. Όπως έχει ήδη κρίνει η Αρχή 1, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο
συμμόρφωσης, κεντρικό σημείο του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της
οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει
λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να
είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος
επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα
στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ. Δεν είναι τυχαίο ότι ο
ΓΚΠΔ εντάσσει τη λογοδοσία (άρθρο 5 παρ. 2 ΓΚΠΔ) στη ρύθμιση των αρχών (άρθρο 5 παρ. 1
ΓΚΠΔ) που διέπουν την επεξεργασία, προσδίδοντας σε αυτήν, τη λειτουργία ενός μηχανισμού
τήρησής τους, αντιστρέφοντας κατ’ ουσίαν το «βάρος της απόδειξης» ως προς τη νομιμότητα
της επεξεργασίας (και εν γένει την τήρηση των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ),
μεταθέτοντάς τη στον υπεύθυνο επεξεργασίας, 2 ώστε να υποστηρίζεται βάσιμα ότι εκείνος
φέρει το βάρος της επίκλησης και απόδειξης της νομιμότητας της επεξεργασίας 3. Έτσι,
συνιστά υποχρέωση του υπευθύνου επεξεργασίας αφενός να λαμβάνει από μόνος του τα
αναγκαία μέτρα προκειμένου να συμμορφώνεται προς τις απαιτήσεις του ΓΚΠΔ, αφετέρου,
1 Βλ. απόφαση Αρχής 26/2019, σκ. 8, 44/19 σκ. 19 διαθέσιμες στην ιστοσελίδα της.
2 Σχετικά βλ. Λ. Μήτρου, Η αρχή της Λογοδοσίας σε Υποχρεώσεις του υπεύθυνου επεξεργασίας [Γ. Γιαννόπουλος,
Λ. Μήτρου, Γ. Τσόλιας], Συλλογικός Τόμος Λ. Κοτσαλή – Κ. Μενουδάκου «Ο ΓΚΠΔ, Νομική διάσταση και πρακτική
εφαρμογή», β’ εκδ. Νομική Βιβλιοθήκη, 2021, σελ. 265 επ.
3 P. de Hert, V. Papakonstantinou, D. Wright and S. Gutwirth, The proposed Regulation and the construction of a
principles-driven system for individual data protection, σελ. 141.
10
να αποδεικνύει ανά πάσα στιγμή την ανωτέρω συμμόρφωσή του, χωρίς μάλιστα να
απαιτείται η Αρχή, στο πλαίσιο άσκησης των ερευνητικών - ελεγκτικών εξουσιών της, να
υποβάλλει επιμέρους – εξειδικευμένα ερωτήματα και αιτήματα προς διαπίστωση της
συμμόρφωσης.
4. Σύμφωνα με τους ορισμούς του άρθρου 4 αρ. 1 και 2 ΓΚΠΔ «νοούνται ως «δεδομένα
προσωπικού χαρακτήρα»: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο
φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι
εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω
αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε
δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους
παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική,
οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου».
5. Κατά την αιτιολογική σκέψη 26 του Προοιμίου του Κανονισμού, «Οι αρχές της
προστασίας δεδομένων θα πρέπει να εφαρμόζονται σε κάθε πληροφορία η οποία αφορά
ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο». Σύμφωνα με τη Γνώμη 4/2007 της ΟΕ
29, ο όρος «δεδοµένα προσωπικού χαρακτήρα» περιλαµβάνει πληροφορίες που άπτονται
της ιδιωτικής και οικογενειακής ζωής των ατόµων υπό στενή έννοια, αλλά και πληροφορίες
που αφορούν οποιαδήποτε δραστηριότητα του ατόµου, όπως εργασιακές σχέσεις ή την
οικονοµική ή κοινωνική συµπεριφορά του ατόµου. Περιλαµβάνει συνεπώς πληροφορίες για
άτοµα, άσχετα µε τη θέση ή ιδιότητα των εν λόγω προσώπων (καταναλωτής, ασθενής,
εργαζόµενος, πελάτης, κλπ). Ο όρος περιλαμβάνει πληροφορίες που είναι διαθέσιμες σε
οποιαδήποτε μορφή. Οι πληροφορίες µπορούν να θεωρηθούν ότι «αναφέρονται» σε ένα
άτοµο όταν σχετίζονται µε αυτό το άτοµο, δηλαδή όταν λόγω του περιεχομένου τους, του
σκοπού τους ή του αποτελέσματός τους συνδέονται με συγκεκριμένο πρόσωπο, και η
χρησιμοποίησή τους είναι ικανή να έχει αντίκτυπο στα δικαιώματα και τα συμφέροντά του 4.
Σε µερικές περιπτώσεις, οι πληροφορίες που εµπεριέχονται στα δεδοµένα αφορούν κατά
πρώτο λόγο αντικείμενα, τα οποία ανήκουν συνήθως σε κάποιον ή επιδρούν σε κάποιο
άτομο, οπότε έμμεσα μπορεί να θεωρηθεί ότι οι πληροφορίες αναφέρονται στα εν λόγω
άτομα. 5 6. Σύμφωνα με τις διατάξεις του άρθρου 15 παρ. 1, 3 και 4 ΓΚΠΔ: «1. Το υποκείμενο
των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση
για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται
4
Bλ. ΔΕΕ C-434/2016 απόφαση Nowak της 20/12/2017 παρ. 34-39.
5
Γνώμη 4/2007 της ΟΕ 29 σχετικά µε την έννοια του όρου ‘δεδοµένα προσωπικού χαρακτήρα’ σελ.
7-10.
11
επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού
χαρακτήρα […]. 3. Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων
προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. Για επιπλέον αντίγραφα που
ενδέχεται να ζητηθούν από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας
μπορεί να επιβάλει την καταβολή εύλογου τέλους για διοικητικά έξοδα. Εάν το υποκείμενο
των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των
δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που
χρησιμοποιείται συνήθως. 4. Το δικαίωμα να λαμβάνεται αντίγραφο που αναφέρεται στην
παράγραφο 3 δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων». Κατά την
αιτιολ. Σκέψη 63 του ΓΚΠΔ «Το δικαίωμα αυτό δεν θα πρέπει να επηρεάζει αρνητικά τα
δικαιώματα ή τις ελευθερίες άλλων, όπως το επαγγελματικό απόρρητο ή το δικαίωμα
διανοητικής ιδιοκτησίας και, ειδικότερα, το δικαίωμα δημιουργού που προστατεύει το
λογισμικό. Ωστόσο, οι παράγοντες αυτοί δεν θα πρέπει να έχουν ως αποτέλεσμα την άρνηση
παροχής κάθε πληροφορίας στο υποκείμενο των δεδομένων». Περαιτέρω, σύμφωνα με τις
παρ. 1-4 του άρθρου 33 του Ν. 4624/2019, «1. Εκτός των εξαιρέσεων που προβλέπονται στην
παράγραφο 2 του άρθρου 29 και στην παράγραφο 2 του άρθρου 30, δεν ισχύει το δικαίωμα
πρόσβασης του υποκειμένου των δεδομένων, σύμφωνα με το άρθρο 15 του ΓΚΠΔ, όταν: α)
το υποκείμενο των δεδομένων δεν ενημερώνεται σύμφωνα με το στοιχείο ββ΄ των
περιπτώσεων α΄ και β΄ της παραγράφου 1 του προηγούμενου άρθρου· ή β) τα δεδομένα, αα)
καταγράφηκαν μόνο επειδή δεν μπορούν να διαγραφούν λόγω νομικών ή κανονιστικών
διατάξεων υποχρέωσης διατήρησής τους, ή ββ) εξυπηρετούν αποκλειστικά σκοπούς
προστασίας ή ελέγχου των δεδομένων, και η παροχή πληροφοριών θα απαιτούσε
δυσανάλογη προσπάθεια και τα απαραίτητα τεχνικά και οργανωτικά μέτρα καθιστούν
αδύνατη την επεξεργασία για άλλους σκοπούς. 2. Οι λόγοι άρνησης της παροχής
πληροφοριών στο υποκείμενο των δεδομένων πρέπει να τεκμηριώνονται. Η άρνηση της
παροχής πληροφοριών πρέπει να αιτιολογείται στο υποκείμενο των δεδομένων, εκτός εάν
μέσω της γνωστοποίησης των πραγματικών και νομικών λόγων στους οποίους βασίζεται η
άρνηση θα ετίθετο σε κίνδυνο ο σκοπός που επιδιώκεται με την άρνηση παροχής των
πληροφοριών. Τα δεδομένα που αποθηκεύονται με σκοπό την παροχή πληροφοριών στο
υποκείμενο των δεδομένων και για την προετοιμασία αυτής της παροχής μπορούν να
υποβληθούν σε επεξεργασία μόνο για τοv σκοπό αυτόν και για σκοπούς της προστασίας των
δεδομένων προσωπικού χαρακτήρα, η επεξεργασία για άλλους σκοπούς περιορίζεται
σύμφωνα με το άρθρο 18 του ΓΚΠΔ.» και σύμφωνα με το άρθρο 32 Ν. 4624/2019: «1. Η
υποχρέωση ενημέρωσης του υποκειμένου των δεδομένων σύμφωνα με το άρθρο 14
12
παράγραφοι 1, 2 και 4 του ΓΚΠΔ δεν υφίσταται, όταν η παροχή των πληροφοριών: […], β)
στην περίπτωση ιδιωτικών φορέων: αα) θα έβλαπτε τη θεμελίωση, άσκηση ή υποστήριξη
νομικών αξιώσεων ή η επεξεργασία περιλαμβάνει δεδομένα προσωπικού χαρακτήρα από
συμβάσεις που έχουν καταρτιστεί κατά το ιδιωτικό δίκαιο και αποσκοπεί στην πρόληψη
ζημιών από την τέλεση ποινικών αδικημάτων, εκτός εάν το υποκείμενο των δεδομένων έχει
υπέρτερο έννομο συμφέρον για την παροχή πληροφοριών· ή ββ) ο αρμόδιος δημόσιος
φορέας έχει προσδιορίσει στον υπεύθυνο επεξεργασίας, ότι η δημοσιοποίηση των
δεδομένων θα έθετε σε κίνδυνο την εθνική άμυνα, την εθνική ασφάλεια και τη δημόσια
ασφάλεια, στην περίπτωση της επεξεργασίας δεδομένων για σκοπούς επιβολής του νόμου,
δεν απαιτείται προσδιορισμός σύμφωνα με το πρώτο εδάφιο. 2. Εφόσον δεν παρέχονται
πληροφορίες στο υποκείμενο των δεδομένων σύμφωνα με την παράγραφο 1, ο υπεύθυνος
επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων
του υποκειμένου των δεδομένων, συμπεριλαμβανομένης της παροχής στο κοινό των
πληροφοριών που αναφέρονται στο άρθρο 14 παράγραφοι 1 και 2 του ΓΚΠΔ σε ακριβή,
διαφανή, κατανοητή και ευχερώς προσβάσιμη μορφή, σε σαφή και απλή γλώσσα. Ο
υπεύθυνος επεξεργασίας δηλώνει γραπτώς τους λόγους για τους οποίους απέφυγε να
παράσχει πληροφορίες. 3. Η υποχρέωση ενημέρωσης του υποκειμένου των δεδομένων
προσωπικού χαρακτήρα σύμφωνα με το άρθρο 14 παράγραφοι 1 έως 4 του ΓΚΠΔ, εκτός από
τις αναφερόμενες στο άρθρο 14 παράγραφος 5 του ΓΚΠΔ εξαιρέσεις, δεν ισχύει στον βαθμό
που μέσω της εκπλήρωσής της θα αποκαλύπτονταν πληροφορίες, οι οποίες λόγω της φύσης
τους, ιδίως λόγω των υπέρτερων έννομων συμφερόντων τρίτου, πρέπει να παραμείνουν
απόρρητες».
Τέλος, σύμφωνα με το άρθρο 12 παρ. 3 και 4 ΓΚΠΔ «Ο υπεύθυνος επεξεργασίας
παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που
πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και
σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία
μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της
πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας
ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την
παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. Εάν το υποκείμενο
των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα, η ενημέρωση παρέχεται, εάν
είναι δυνατόν, με ηλεκτρονικά μέσα, εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι
διαφορετικό. 4. Εάν ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος του
υποκειμένου των δεδομένων, ενημερώνει εντός μηνός από την παραλαβή του αιτήματος το
13
υποκείμενο των δεδομένων για τους λόγους, για τους οποίους δεν ενήργησε και για τη
δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής».
7. Στην προκειμένη περίπτωση από τα στοιχεία του φακέλου και από την ακροαματική
διαδικασία, προέκυψαν τα εξής: Με τα από 22/6/2020 και 26/6/2020 αιτήματά του προς
τους εκπροσώπους της Εταιρίας μέσω της υπηρεσίας facebook messenger, ο καταγγέλλων
ζήτησε να του κοινοποιηθούν πληροφορίες που αφορούν τη διαδικασία αποχρέωσης της
πιστωτικής του κάρτας και συγκεκριμένα να του κοινοποιηθεί το αίτημα της Εταιρίας προς
την Τράπεζα για τη συνολική αποδέσμευση των δόσεων λόγω επιστροφής προϊόντος.
Αντίστοιχο αίτημα απηύθυνε ο καταγγέλλων και στην Τράπεζα στις 6/7/2020.
Το περιεχόμενο του αιτήματος της Εταιρίας προς την Τράπεζα περιλαμβάνει
πληροφορίες που αφορούν την εξέλιξη μιας συγκεκριμένης συναλλαγής του καταγγέλλοντος,
ως υποκειμένου των δεδομένων, με ορισμένο κατάστημα και σε σχέση με την αγορά
ορισμένου προϊόντος. Οι εν λόγω πληροφορίες αφορούν τον καταγγέλλοντα, ο οποίος
ταυτοποιείται συγκεκριμένα ως φυσικό πρόσωπο. Η αναφορά και μόνο του
ονοματεπώνυμου του στη σχετική αλληλογραφία καθιστά τον καταγγέλλοντα άμεσα
ταυτοποιήσιμο ως φυσικό πρόσωπο. Από τις επιπλέον πληροφορίες αυτές μπορούν
περαιτέρω να συναχθούν διάφορα συμπεράσματα σχετικά με τη συναλλακτική
συμπεριφορά του υποκειμένου, τις καταναλωτικές προτιμήσεις του εν όψει και του
γεγονότος της επιστροφής του προϊόντος καθώς και τις οικονομικές επιλογές του με βάση το
γεγονός της πίστωσης του ποσού εφάπαξ ή σε δόσεις, της αξίας του προϊόντος κ.λπ. Η χρήση
αυτών των πληροφοριών είναι ικανή να έχει επιπλέον αντίκτυπο στα δικαιώματα και στα
συμφέροντά του, καθώς επηρεάζει άμεσα τη δυνατότητα χρήσης της πιστωτικής του κάρτας
κατά το χρηματικό ποσό που έχει δεσμευτεί.
Επομένως, εν όψει των ανωτέρω, το εν λόγω αίτημα της Εταιρίας προς την Τράπεζα,
περιλαμβάνει πληροφορίες «που αφορούν» άμεσα ορισμένο γνωστό φυσικό πρόσωπο το
οποίο και ταυτοποιείται. Ως εκ τούτου, ο καταγγέλλων ως υποκείμενο των δεδομένων είχε
κατά το άρθρο 15 παρ. 1 ΓΚΠΔ δικαίωμα να λάβει από τις καταγγελλόμενες εταιρίες, υπό την
ιδιότητα αυτών ως υπευθύνων επεξεργασίας, επιβεβαίωση για την επεξεργασία των
προσωπικών του δεδομένων και πρόσβαση στις σχετικές πληροφορίες που αφορούσαν το
σύνολο της διαδικασίας αποχρέωσης των δόσεων. Είναι, εξάλλου, νοητή η πιθανότητα
άσκησης περαιτέρω δικαιωμάτων από το υποκείμενο, π.χ. διόρθωσης, στην περίπτωση που
κάποια πληροφορία που αφορά τη συναλλαγή του και την ακύρωσή της, δεν έχει μεταφερθεί
σωστά στο υπό κρίση αίτημα προς την τράπεζα (βλ. και ΔΕΕ υπόθεση C-434/16, Nowak σκ.
57).
14
Συμπερασματικά, ο καταγγέλλων διά των αιτημάτων του, άσκησε το προβλεπόμενο
από τον ΓΚΠΔ δικαίωμα πρόσβασης σε προσωπικά του δεδομένα έναντι και των δύο
καταγγελλομένων, χωρίς να απαιτείται να περιβληθεί συγκεκριμένο τύπο ή να ασκηθεί με
πανηγυρικό τρόπο, ούτε όμως να περιλαμβάνει τους λόγους για τους οποίους το υποκείμενο
των δεδομένων ασκεί το δικαίωμα πρόσβασης (ΑΠΔ 16/2017 σκ. 3). Ως προς την δεύτερη
καταγγελλόμενη Τράπεζα, θα γίνει εκτενέστερη αναφορά κατωτέρω.
8. Η υποχρέωση των καταγγελλομένων να ικανοποιήσουν το δικαίωμα του καταγγέλλοντος
συγκεκριμένα με τη χορήγηση αντιγράφου της σχετικής αλληλογραφίας τους, την οποία η
Eταιρία χαρακτηρίζει ως επαγγελματική, εξαρτάται από το αν συντρέχουν εν προκειμένω οι
περιστάσεις της παρ. 4 του άρθρου 15 ΓΚΠΔ, αν δηλαδή η ικανοποίηση του δικαιώματος
επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων.
Η πρώτη καταγγελλόμενη Εταιρία αρχικώς απέρριψε το αίτημα του καταγγέλλοντος να
λάβει αντίγραφο της αλληλογραφίας επικαλούμενη το απόρρητο των επικοινωνιών κατ’ αρ.
19 παρ. 1 Σ., ισχυρισμό όμως που ανακάλεσε και δεν επανυπέβαλε στην ακρόαση. Περαιτέρω
δικαιώματα τρίτων που θα μπορούσαν να επηρεάζονται εν προκειμένω είναι κυρίως τα
προσωπικά δεδομένα (ηλεκτρονικές διευθύνσεις και τυχόν ονοματεπώνυμα) των
υπαλλήλων των καταγγελλομένων που αποτελούν τα μέρη της επικοινωνίας (αποστολέα και
παραλήπτη ή και ενδιάμεσες διαβιβάσεις-προωθήσεις). Επιπλέον, στην ηλεκτρονική
αλληλογραφία θα μπορούσαν να περιλαμβάνονται και πληροφορίες προστατευόμενες από
επαγγελματικό – εμπορικό απόρρητο, όπως ενδεικτικά οι σχετικές με τις διαδικασίες
ακύρωσης χρεώσεων, που μπορεί να περιλαμβάνονται σε συμβάσεις εμπιστευτικότητας.
Ωστόσο, αυτοί οι παράγοντες δεν θα πρέπει να έχουν ως αποτέλεσμα την άρνηση της
παροχής κάθε πληροφορίας στο υποκείμενο των δεδομένων (βλ. αιτ. σκ. 63 ΓΚΠΔ) και ο
υπεύθυνος επεξεργασίας οφείλει κατ’ άρθρο 12 παρ. 1 σε συνδυασμό προς το άρθρο 24 παρ.
1 ΓΚΠΔ να λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε
πληροφορία που αναφέρεται στα άρθρα 13 και 14 ΓΚΠΔ και κάθε ανακοίνωση στο πλαίσιο
των άρθρων 15 έως 22 και του άρθρου 34 ΓΚΠΔ.
Επιπλέον, και ανεξαρτήτως της εφαρμογής ή μη της διάταξης του άρθρου 15 παρ. 4
ΓΚΠΔ που αφορά αποκλειστικά την δια παροχής αντιγράφου ικανοποίηση του δικαιώματος
πρόσβασης του υποκειμένου, το δικαίωμα πρόσβασης του καταγγέλλοντος θα μπορούσε να
ικανοποιηθεί κατ’ αρχήν με την κοινοποίηση αντιγράφου της ηλεκτρονικής αλληλογραφίας
με διαγραμμένες (καλυμμένες) τις διευθύνσεις των μερών και τα ονοματεπώνυμά τους και
με εμφανές μόνο το μέρος αυτού που αφορά τη διαβίβαση δεδομένων του καταγγέλλοντος.
15
Εναλλακτικά, όπως δήλωσε και με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/7498/2-11-2020 απαντητικό
του έγγραφο προς την Αρχή ο καταγγέλλων, θα μπορούσαν να του κοινοποιηθούν από την
Εταιρία μόνο οι πληροφορίες που αντιστοιχούν στο δικαίωμα πρόσβασής του, δηλαδή η
ημερομηνία αποστολής, ο αποστολέας (ως τμήμα της πρώτης καταγγελλόμενης Εταιρίας), ο
παραλήπτης (τράπεζα/τμήμα), καθώς και ο αριθμός πρωτοκόλλου και το αποδεικτικό
παραλαβής, εφόσον υπάρχουν, χωρίς να χρειαστεί να του χορηγηθεί αντίγραφο της
ηλεκτρονικής αλληλογραφίας, έστω και με διαγραμμένα στοιχεία.
Υπό τις ανωτέρω δυο (2) εκδοχές θα είχε αφενός ικανοποιηθεί το δικαίωμα
πρόσβασης του υποκειμένου των δεδομένων χωρίς να τεθεί ζήτημα διακινδύνευσης
οποιουδήποτε εμπορικού ή άλλου συναφούς απορρήτου, αφετέρου, θα είχε εφαρμοστεί
κατά πρόσφορο τρόπο η αρχή της ελαχιστοποίησης των δεδομένων. Σε κάθε περίπτωση, το
δικαίωμα πρόσβασης μπορεί να ικανοποιηθεί και χωρίς την χορήγηση αντιγράφων, ενώ κάθε
φορά που το υποκείμενο των δεδομένων ζητάει την ικανοποίηση του δικαιώματος
πρόσβασης δια της χορήγησης αντιγράφων, ο υπεύθυνος επεξεργασίας δύναται να το
ικανοποιήσει παρέχοντας τις σχετικές πληροφορίες χωρίς να χορηγήσει και αντίγραφο
αυτών, εφόσον βέβαια μια τέτοια επιλογή στηρίζεται στις διατάξεις του ΓΚΠΔ και της
κείμενης εθνικής νομοθεσίας και συντρέχουν οι σχετικοί λόγοι.
9. Επιπλέον, η άρνηση της Εταιρίας να ικανοποιήσει το δικαίωμα πρόσβασης του
καταγγέλλοντος δεν υπήρξε επαρκώς τεκμηριωμένη και αιτιολογημένη αλλά η Εταιρία
αρκέστηκε στην αναφορά ότι «η επικοινωνία που έχει πραγματοποιηθεί με την τράπεζα
συνιστά εσωτερική επικοινωνία και δεν υπάρχει η δυνατότητα κοινοποίησής της». Ο εν λόγω
ισχυρισμός ανακλήθηκε από την Εταιρία κατά την ακρόαση όπως προαναφέρθηκε. Σε κάθε
περίπτωση και ανεξαρτήτως της βασιμότητας του ανωτέρω ισχυρισμού, η Εταιρία θα έπρεπε,
αρνούμενη να ικανοποιήσει το δικαίωμα πρόσβασης, να απαντήσει απορρίπτοντάς το με την
παράθεση αναλυτικά και τεκμηριωμένα των σχετικών λόγων. Από τα προσκομιζόμενα
έγγραφα (βλ. σχετ. επικοινωνία μέσω facebook messenger: «Κατ’ εξαίρεση της διαδικασίας
έχει προωθηθεί αίτημα ωρίμανσης δόσεων» στις 22/6/2020, «Το αίτημά σας για ωρίμανση
δόσεων έχει υποβληθεί στην εκδότρια τράπεζα», «Έχει προωθηθεί αίτημα στην τράπεζα της
κάρτας που έχει χρεωθεί και έχουμε εντοπίσει πως έχετε λάβει μέσω email το αποδεικτικό
της ακύρωσης», και «Το αίτημα προς την τράπεζα έχει καταχωρηθεί. […] Από πλευράς της
εταιρίας μας έχουν πραγματοποιηθεί όλες οι απαραίτητες ενέργειες ώστε να προωθηθεί το
αίτημά σας» στις 26/6/2020) προκύπτει ότι η Εταιρία, παρά τους αντίθετους ισχυρισμούς
της, δεν ακολούθησε οποιαδήποτε από τις παραπάνω επιλογές (είτε της χορήγησης του
εγγράφου, ενδεχομένως με καλυμμένα τα δεδομένα τρίτων προσώπων, είτε της
16
αιτιολογημένης άρνησης χορήγησης του εγγράφου με ταυτόχρονη παροχή των πληροφοριών
που ενδιέφεραν τον αιτούντα - καταγγέλλοντα) και ιδίως, δεν παρείχε, όπως υποστηρίζει, ως
εναλλακτικό τρόπο ικανοποίησης του δικαιώματος «όλα τα αναγκαία στοιχεία» στον
καταγγέλλοντα. Από τις ως άνω πληροφορίες που αποδεικνύεται ότι δόθηκαν στον
καταγγέλλοντα δεν ήταν σαφής ούτε η ημερομηνία του αιτήματος ωρίμανσης των δόσεων
ούτε προς ποια τράπεζα απευθύνθηκε αυτό (δηλ. την Alpha Bank με την οποία συνεργάζεται
η ίδια ή την Εθνική Τράπεζα που είναι η εκδότρια της κάρτας του καταγγέλλοντος), ώστε με
βάση τις πληροφορίες αυτές να δοθεί η δυνατότητα στο υποκείμενο των δεδομένων να
γνωρίζει αφενός σε ποιον αποδέκτη κοινοποιήθηκαν τα προσωπικά δεδομένα του, αφετέρου
πού θα ασκήσει τα δικαιώματά του.
Άλλωστε από το ίδιο έγγραφο προκύπτει ότι ο καταγγέλλων στις 26/6/2020 έκανε ρητή
αναφορά σε «προσωπικά του δεδομένα», γεγονός που αναιρεί τη βασιμότητα των
ισχυρισμών της Εταιρίας περί δήθεν ασάφειας του αιτήματος και ανετοιμότητας των
υπαλλήλων της που διαχειρίζονται τα Μέσα Κοινωνικής Δικτύωσης να δέχονται αιτήματα
άσκησης δικαιωμάτων ΓΚΠΔ.
Ειδικότερα, το από 26/6/2020 ηλεκτρονικό μήνυμα της καταγγελλόμενης είχε το εξής
περιεχόμενο: «Το αίτημα προς την τράπεζα έχει καταχωρηθεί. Η επικοινωνία που έχει
πραγματοποιηθεί με την τράπεζα συνιστά εσωτερική επικοινωνία και δεν υπάρχει η
δυνατότητα κοινοποίησης της. Το αποδεικτικό της ακύρωσης που έχετε λάβει επιβεβαιώνει
το αίτημα της ακύρωσης που έχετε πραγματοποιήσει. Από πλευράς της εταιρίας μας έχουν
πραγματοποιηθεί όλες οι απαραίτητες ενέργειες ώστε να προωθηθεί το αίτημα σας.». Σε
απάντηση του τελευταίου, ο καταγγέλλων ανταπάντησε ότι «Το "εσωτερική επικοινωνία που
δεν μπορεί να κοινοποιηθεί" δε το δέχομαι. Αφορά προσωπικά ΜΟΥ δεδομένα που αφορούν
την διαχείριση των χρημάτων ΜΟΥ και της κάρτας ΜΟΥ που από τον Απρίλιο έχετε δεσμεύσει
καταχρηστικά ενώ σας έχω ενημερώσει για το λάθος σας. Για να μη μπλέξουμε με περαιτέρω
διαδικασίες στείλτε μου στο email το σχετικό αίτημά σας προς την τράπεζα» για να λάβει την
αρνητική απάντηση της Εταιρίας.
10. Περαιτέρω, παρότι η αρχική θέση της Εταιρίας (βλ. υπ’ αρ. πρωτ. Γ/ΕΙΣ/6044/08-09-
2020 έγγραφο απόψεων) ήταν ότι το αίτημα του καταγγέλλοντος δεν αποτελούσε ενάσκηση
δικαιώματος πρόσβασης κατ’ άρθρο 15 ΓΚΠΔ, στη συνέχεια, αφού ζητήθηκαν διευκρινίσεις
εκ μέρους της Αρχής, η Εταιρία αναθεώρησε τη θέση της, μέχρι του σημείου να ικανοποιήσει
εν τέλει πλήρως το δικαίωμα με παροχή αυτούσιου του εγγράφου στον καταγγέλλοντα στις
3/2/2021, αμέσως μετά την ακρόαση ενώπιον της Αρχής, αναιρώντας την ίδια την
επιχειρηματολογία της που βασίσθηκε στο άρθρο 15 παρ. 4 ΓΚΠΔ και στην επίκληση του
17
εμπορικού απορρήτου. Θα πρέπει δε να σημειωθεί στο σημείο αυτό ότι η ελεγχόμενη Εταιρία
χορήγησε εν τέλει στον καταγγέλλοντα αντίγραφο της εν λόγω ηλεκτρονικής αλληλογραφίας,
θεωρώντας η ίδια, ότι το έγγραφο της Αρχής με το οποίο ζητήθηκαν εξηγήσεις συνιστά
«νομική βάση για την άρση των περί εμπιστευτικότητας συμβατικών μας δεσμεύσεων».
Καθίσταται προφανώς ότι τέτοια «νομική βάση» δεν συνιστά το έγγραφο της Αρχής με το
οποίο ζητούνται εξηγήσεις για καταγγελλόμενη παραβίαση του ΓΚΠΔ, ούτε περιλαμβάνει
διάταξη άσκησης των εξουσιών που της παρέχονται από το άρθρο 58 ΓΚΠΔ.
Επιπλέον δε με το μετ’ ακρόαση υπόμνημά της, η Εταιρία ισχυρίζεται ότι ανέμενε
δήθεν την ερμηνεία των σχετικών διατάξεων και τη στάθμιση των συγκρουόμενων
συμφερόντων εκ μέρους της Αρχής, προκειμένου να προβεί στην ικανοποίηση του
δικαιώματος πρόσβασης του καταγγέλλοντος, πρακτική που έρχεται σε πλήρη αντίθεση με
το μοντέλο συμμόρφωσης που εισήχθη με τον ΓΚΠΔ και επίσης αντιβαίνει στην αρχή της
λογοδοσίας κατά το άρθρο 5 παρ. 2 ΓΚΠΔ, κατά τα προεκτεθέντα στη σκέψη υπ’ αρ. 3.
11. Σε κάθε περίπτωση, ανεξαρτήτως των ισχυρισμών της πρώτης καταγγελλομένης οι
οποίοι εμφανίζονται ως αντιφατικοί και αλληλοαναιρούμενοι κατά τα προεκτεθέντα,
προκύπτει εν τέλει από το μετ’ ακρόαση υπόμνημά της ότι αποδέχεται ότι προέβη σε
παραβίαση του ΓΚΠΔ υποστηρίζοντας ότι: «Μολονότι έχουν εκπαιδευθεί για την υπαγωγή
αιτημάτων των άρθρων 12-23 του ΓΚΠΔ στην σχετική εταιρική διαδικασία διαχείρισης, οι
εκπρόσωποί μας στην συγκεκριμένη περίπτωση έσφαλαν και δεν έκαναν την σχετική
υπαγωγή, που θα είχε ως αποτέλεσμα την εκτίμηση του σχετικού αιτήματος ως αιτήματος
πρόσβασης του άρθρου 15 του ΓΚΠΔ και την αντίστοιχη αξιολόγησή του» (σελ. 9) καθώς και
ότι «Συνεπώς η ολιγωρία των εκπροσώπων μας να διαχειριστούν το αίτημα όπως εξελίχθηκε
στην πορεία της συνομιλίας αυτής, ως αίτημα άσκησης δικαιώματος πρόσβασης βάσει του
ΓΚΠΔ για όλους τους παραπάνω λόγους πρέπει να κριθεί συγγνωστή και το συγκεκριμένο να
θεωρηθεί ένα μεμονωμένο σφάλμα στον χειρισμό αιτήματος πρόσβασης» (σελ. 10).
12. Η Αρχή στο πλαίσιο της άσκησης των ελεγκτικών αρμοδιοτήτων της και προκειμένου
να εξετάσει τον ισχυρισμό της ελεγχόμενης εταιρίας που υποβλήθηκε προ της ακρόασης
κατά τον οποίο δεν είχε ασκηθεί δικαίωμα πρόσβασης εκ μέρους του καταγγέλλοντος, είχε
ζητήσει στις 27/10/2020 να της αποσταλεί η έγγραφη Πολιτική ή Διαδικασία που
ακολουθείται ως προς τη διαχείριση των αιτημάτων πρόσβασης των υποκειμένων
προκειμένου να εξετασθεί εάν η εν λόγω άρνηση υπήρξε σύμφωνη αφενός με όσα
προβλέπονται σε επίπεδο εσωτερικής συμμόρφωσης, αφετέρου, προκειμένου να εξετασθεί
εάν οι εν λόγω πολιτικές και διαδικασίες είναι σύμφωνες προς τις απαιτήσεις του ΓΚΠΔ.
18
Όπως προεκτέθηκε, η Εταιρία προκειμένου να απαντήσει στο εν λόγω ερώτημα και να
αποστείλει τη σχετική Πολιτική ή Διαδικασία, αφού έλαβε μια προθεσμία 15 ημερών ζήτησε
παράταση και έλαβε περαιτέρω προθεσμία έως τις 23/11/2020, ενώ εν συνεχεία, στις
23/11/2020 ζήτησε εκ νέου δεύτερη παράταση 10 ημερών, η οποία όμως δεν έγινε δεκτή
από την Αρχή. Ως εκ τούτου η εταιρία όφειλε να έχει ανταποκριθεί στα αιτήματα της Αρχής
κατά την ημέρα απόρριψης του δεύτερου αιτήματος παράτασης της προθεσμίας, δηλ. στις
27/11/2020, ενώ τελικά ανταποκρίθηκε καθυστερημένα στις 4/12/2020 αποστέλλοντας την
σχετική απάντηση συνοδευόμενη από το έγγραφο «Οδηγίες Διαχείρισης Αιτημάτων
Υποκειμένων Προσωπικών Δεδομένων».
Η Εταιρία για τις διαδοχικές προθεσμίες που έλαβε επικαλείται ως λόγο καθυστέρησης
το γεγονός ότι λόγω της κατάστασης «δεν έχουμε καταφέρει να συγκεντρώσουμε επαρκώς
το υλικό, που χρειαζόμαστε για να σας απαντήσουμε καθώς οι περισσότεροι συνάδελφοι
εργάζονται σε καθεστώς τηλεργασίας με περιορισμένη πρόσβαση στα αρχεία της Εταιρίας»
λόγω της πανδημίας COVID-19. Όμως, ο υπεύθυνος επεξεργασίας στο πλαίσιο των
υποχρεώσεων του προς τις επιταγές του ΓΚΠΔ και της κείμενης νομοθεσίας οφείλει προ της
έναρξης της επεξεργασίας των προσωπικών δεδομένων (και άρα σε χρόνο προ της πανδημίας
COVID-19) να έχει προβεί σε όλες τις αναγκαίες ενέργειες συμμόρφωσης, περιλαμβανομένου
του σχεδιασμού και υλοποίησης των αναγκαίων εσωτερικών πολιτικών και διαδικασιών, οι
οποίες πρέπει να έχουν τεθεί σε γνώση των υπαλλήλων του οργανισμού, οι οποίοι μετά την
αναγκαία εκπαίδευση ή και τις συμβουλές του Υπευθύνου Προστασίας Δεδομένων (ΥΠΔ),
εφόσον έχει διορισθεί, να είναι σε θέση να τις εφαρμόσουν. Μάλιστα δε, όπως έχει κρίνει η
Αρχή με την υπ’ αρ. 44/2019 απόφασή της, παραπέμποντας στην Γνώμη υπ’ αρ. 3/2010 της
Ομάδας Εργασίας του άρθρου 29 6 ανάμεσα στα κατάλληλα εργαλεία λογοδοσίας
περιλαμβάνονται: «θέσπιση εσωτερικών διαδικασιών πριν την δημιουργία νέων εργασιών
επεξεργασίας, θέσπιση γραπτών και δεσμευτικών πολιτικών προστασίας δεδομένων
διαθέσιμες στα πρόσωπα στα οποία αναφέρονται τα δεδομένα, χαρτογράφηση των
διαδικασιών, διατήρηση καταλόγου όλων των εργασιών επεξεργασίας δεδομένων, διορισμός
υπευθύνου για την προστασία των δεδομένων και άλλων προσώπων με ευθύνη για την
προστασία των δεδομένων, παροχή κατάλληλης εκπαίδευσης και κατάρτισης στους
υπαλλήλους στην προστασία των δεδομένων, θέσπιση διαδικασιών για την διαχείριση των
αιτημάτων πρόσβαση, διόρθωσης και διαγραφής, η οποία πρέπει να είναι διαφανής για τα
άτομα στα οποία αναφέρονται τα δεδομένα, εγκαθίδρυση εσωτερικού μηχανισμού
6
Γνώμη υπ’ αρ. 3/2010 σχετικά με την αρχή της λογοδοσίας της 13-7-2010 (WP 173) σελ. 13 επ. και
σελ. 14 υποσημ. 7 για τα διεθνή πρότυπα που εγκρίθηκαν στη Μαδρίτη από τις αρμόδιες αρχές
προστασίας των δεδομένων προσωπικού χαρακτήρα.
19
χειρισμού καταγγελιών, θέσπιση εσωτερικών διαδικασιών για την αποτελεσματική
διαχείριση και αναφορά παραβιάσεων ασφαλείας, διενέργεια αξιολόγησης του αντικτύπου
στην ιδιωτική ζωή σε ειδικές περιπτώσεις, εφαρμογή και επίβλεψη διαδικασιών
επαλήθευσης, ώστε να διασφαλίζεται ότι όλα τα μέτρα όχι μόνον υπάρχουν στα χαρτιά, αλλά
εφαρμόζονται και λειτουργούν στην πράξη (εσωτερικοί ή εξωτερικοί έλεγχοι κ.λπ.)» (βλ. παρ.
16 της 44/2019 απόφασης της Αρχής).
Από τα ανωτέρω προκύπτει ότι η ελεγχόμενη Εταιρία ως υπεύθυνος επεξεργασίας
όφειλε να έχει καταρτίσει και θέσει σε εφαρμογή τις αναγκαίες πολιτικές ή διαδικασίες για
την συμμόρφωση της προς τις επιταγές του ΓΚΠΔ και της κείμενης νομοθεσίας προ της
έναρξης της επεξεργασίας προσωπικών δεδομένων, επιπλέον δε, όφειλε επί τη βάσει της
αρχής της λογοδοσίας κατ’ αρ. 5 παρ. 2 ΓΚΠΔ να έχει τη δυνατότητα να τις θέσει ανά πάσα
στιγμή στη διάθεση και σε γνώση της Αρχής, ιδίως όταν ζητούνται στο πλαίσιο άσκησης των
ερευνητικών-ελεγκτικών αρμοδιοτήτων της, όπως εν προκειμένω. Παρά ταύτα, μετά την
παρέλευση 31 ημερών και την λήψη παράτασης της προθεσμίας η Εταιρία απέτυχε να
απαντήσει στο ερώτημα της Αρχής αλλά ιδίως να αποστείλει την αιτούμενη Πολιτική ή
Διαδικασία εγκαίρως, η δε επίκληση της δικαιολογίας περί καθυστερήσεων λόγω
τηλεργασίας των υπαλλήλων της και περιορισμένης πρόσβασης στα αρχεία της Εταιρίας
κρίνεται ως αβάσιμη και ιδίως αλυσιτελής εν όψει του ότι η Εταιρία όφειλε να έχει ήδη
καταρτίσει και θέσει σε λειτουργία την αιτούμενη Πολιτική ή Διαδικασία ανεξαρτήτως τυχόν
προβλημάτων και καθυστερήσεων λόγω των ιδιαίτερων συνθηκών λειτουργίας της εξαιτίας
της πανδημίας COVID-19, η οποία δεν συνεπάγεται την υποχώρηση της προστασίας των
προσωπικών δεδομένων (πρβλ. 05/2020 ΑΠΔ σκ. 3).
Σε περίπτωση κατά την οποία η Αρχή ζητά την προσκόμιση μιας πολιτικής ή διαδικασίας
εντός συγκεκριμένου χρονικού διαστήματος και ο υπεύθυνος επεξεργασίας δεν
ανταποκρίνεται στο συναφές αίτημα, δημιουργείται εύλογα η πεποίθηση ότι η Εταιρία δεν
είχε καταρτίσει και θέσει σε λειτουργία την αιτούμενη Πολιτική ή Διαδικασία ή τουλάχιστον
στην μορφή που πραγματικά ίσχυε κατά το κρίσιμο χρονικό διάστημα και την οποία όφειλε
να την αποστείλει στην Αρχή, όπως ισχύει εν προκειμένω. Την διαπίστωση αυτή, βασίζει η
Αρχή σε δυο (2) στοιχεία:
Πρώτον, εφόσον μια Εταιρία έχει καταρτίσει και έχει θέσει σε εφαρμογή σχετική
Πολιτική ή Διαδικασία δεν έχει κανένα λόγο να καθυστερήσει τη διαβίβασή της στην Αρχή
και μάλιστα θα μπορούσε να τη διαβιβάσει προ της παρέλευσης των 15 ημερών που έλαβε
ως αρχική προθεσμία σωρευτικά τόσο για την απάντηση σε ερώτημα της Αρχής όσο και για
20
την συναφή διαβίβαση. Κατ’ αναλογία, εάν η Αρχή προέβαινε σε επιτόπιο έλεγχο στις
εγκαταστάσεις της Εταιρίας και ζητούσε την παράδοση της εν λόγω Πολιτικής ή Διαδικασίας,
τυχόν αδυναμία αμελλητί παράδοσής της θα σήμαινε και την ανυπαρξία της, σύμφωνα με τα
προεκτεθέντα στο πλαίσιο της αρχής της λογοδοσίας. Άλλωστε πρόκειται για έγγραφο που
ως εκ της φύσης του (Οδηγίες διαχείρισης αιτημάτων ΓΚΠΔ απευθυνόμενες στο προσωπικό
του υπευθύνου επεξεργασίας), πρέπει να είναι ανά πάσα στιγμή διαθέσιμο σε κάθε
υπάλληλο που έρχεται σε επαφή με πελάτες-υποκείμενα των δεδομένων, προκειμένου να
είναι σε θέση να τις συμβουλευτεί εάν δεχθεί τέτοιο αίτημα. Κατά μείζονα λόγο λοιπόν το
σχετικό έγγραφο θα πρέπει να βρίσκεται στη διάθεση της διοίκησης της Εταιρίας και να
κοινοποιείται στην Αρχή, εφόσον το ζητήσει (βλ. άρ. 31 και 58 παρ. 1 ε’ ΓΚΠΔ).
Δεύτερον, το ίδιο έγγραφο «Οδηγιών διαχείρισης αιτημάτων» το οποίο είχε
προσκομισθεί προ της ακρόασης και καθυστερημένα κατά τα προεκτεθέντα, υποβλήθηκε
από την εταιρία εκ νέου ως υπ’ αρ. 8 σχετικό του μετ’ ακρόαση υπομνήματος της με την
διαφοροποίηση ότι στην τελευταία περίπτωση απεστάλη ηλεκτρονικά αρχείο pdf από
μετατροπή αρχείου σε μορφή word υπό επεξεργασία, στο οποίο είχαν εκ παραδρομής
παραμείνει οι διορθώσεις με τη μέθοδο παρακολούθησης αλλαγών (track changes) όπου και
διαπιστώνεται η προσθήκη της φράσης «ή μέσω οποιουδήποτε άλλου τρόπου ηλεκτρονικής
υποβολής» και το σχόλιο: «Η προσθήκη κρίνεται σκόπιμη πριν την υποβολή στην ΑΠΔΠΧ».
Πράγματι, από την επισκόπηση του σχετικού εγγράφου προκύπτει ότι στο κεφάλαιο
3 με τίτλο «Διαδικασία Διαχείρισης Αιτημάτων» και ειδικότερα στην ενότητα 3.1. με τίτλο
«Τρόποι Υποβολής Αιτήματος» περιλαμβάνονται τρεις (3) τρόποι: μέσω φυσικής παρουσίας,
μέσω επιστολής και μέσω ηλεκτρονικού ταχυδρομείου. Στην τελευταία αυτή περίπτωση,
προστέθηκε, σε χρόνο κατόπιν του αιτήματος της Αρχής για την προσκόμισή, η φράση «ή
μέσω οποιουδήποτε άλλου τρόπου ηλεκτρονικής υποβολής» προκειμένου να καλυφθεί η
εξεταζόμενη περίπτωση της υποβολής αιτήματος πρόσβασης μέσω της εφαρμογής
κοινωνικής δικτύωσης Facebook, η οποία δεν προβλεπόταν κατά τον κρίσιμο χρόνο των υπό
εξέταση περιστατικών της καταγγελίας.
Από τα ανωτέρω προκύπτει ότι η Εταιρία, ενώ κατά δήλωσή της και στην πράξη
χρησιμοποιούσε την εφαρμογή κοινωνικής δικτύωσης Facebook για την διαχείριση
αιτημάτων σχετικά με τα δικαιώματα των υποκειμένων των δεδομένων, περιλαμβανομένου
του δικαιώματος πρόσβασης, εν τούτοις δεν την είχε περιλάβει στην οικεία Πολιτική ή
Διαδικασία και επομένως η τελευταία υπήρξε ελλιπής και μη ανταποκρινόμενη στη
πραγματικότητα.
21
Ως εκ τούτου τα υποστηριζόμενα από την ίδια στο μετ’ ακρόαση υπόμνημά της
σύμφωνα με τα οποία οι υπάλληλοί της ενώ είχαν λάβει γνώση της Πολιτικής, εν τέλει δεν
εξέλαβαν το εν λόγω αίτημα ως αίτημα πρόσβασης επειδή δεν ήταν εξοικειωμένοι, δεν
μπορεί να γίνει δεκτό. Οι υπάλληλοι της Εταιρίας, οι οποίοι σημειωτέον υπάγονται και
αποτελούν μέρος του υπευθύνου επεξεργασίας, δεν ανταποκρίθηκαν στο αίτημα πρόσβασης
μέσω της εφαρμογής κοινωνικής δικτύωσης Facebook γιατί ουδέποτε είχαν ενημερωθεί για
μια τέτοια δυνατότητα καθώς η σχετική «Οδηγία» της Εταιρίας δεν περιελάμβανε τέτοια
περίπτωση, ούτε είχαν εκπαιδευθεί να αναγνωρίζουν και να διακρίνουν τα αιτήματα των
υποκειμένων σε σχέση με τα εκ του ΓΚΠΔ και της κείμενης νομοθεσίας, δικαιώματά τους για
την περίπτωση αυτή.
13. Επομένως διαπιστώνεται ότι η πρώτη καταγγελλόμενη Εταιρία παραβίασε το
δικαίωμα πρόσβασης του καταγγέλλοντος κατ’ αρ. 15 παρ. 1 σε συνδυασμό με αρ. 12 παρ.
1, 2 και 3 ΓΚΠΔ.
14. Η δεύτερη καταγγελλόμενη τράπεζα ουδεμία απάντηση παρείχε στον
καταγγέλλοντα προς ικανοποίηση ή μη του δικαιώματός του.
Με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/7505/02-11-2020 έγγραφό της προς την Αρχή, η Τράπεζα
διευκρίνισε ότι δεν θεωρεί ότι το αίτημα του καταγγέλλοντος αποτελούσε άσκηση
δικαιώματος πρόσβασής του σε προσωπικά του δεδομένα, ισχυρισμό που επανέλαβε κατά
την ακρόασή της ενώπιον του Τμήματος. Από το ίδιο έγγραφο μόνο έμμεσα και καθ’ ερμηνεία
του περιεχομένου του θα μπορούσε να προκύψει ότι η Τράπεζα δεν έχει λάβει αίτημα
ωρίμανσης δόσεων από την Εταιρία, καθώς ανέφερε ότι «η συναλλαγή δεν έχει εκκαθαριστεί
μέσω της Εθνικής Τράπεζας και η Τράπεζα προβαίνει στις χρεώσεις και επιστροφές με βάση
τις εντολές που δέχεται από τη συνεργαζόμενη με την επιχείρηση Τράπεζα.»
Ειδικότερα η Τράπεζα ισχυρίστηκε στο προ της ακρόασης υπόμνημά της, αλλά και κατά
τη διάρκεια της ακρόασης, ότι η από 06/07/2020 γραπτή αίτηση του καταγγέλλοντος προς
την Εθνική Τράπεζα της Ελλάδος Α.Ε. διά του καταστήματος [περιοχής] Χ δεν συνιστά άσκηση
του δικαιώματος πρόσβασης, καθώς από το περιεχόμενό του προκύπτει ότι αφορούσε τον
τρόπο επιστροφής χρημάτων από τρίτη εταιρία εμπορίας καταναλωτικών αγαθών για
συναλλαγή η οποία διενεργήθηκε μεν με χρέωση κάρτας έκδοσης της Εθνικής Τράπεζας όμως
εκκαθαρίστηκε από άλλη τράπεζα.
Από το περιεχόμενο της εν λόγω αίτησης προκύπτει ότι ο καταγγέλλων αιτήθηκε «να
ενημερωθεί για το αν υπάρχει αίτημα από την εταιρία Κωτσόβολος/Dixons που να αφορά την
ωρίμανση των δόσεων και αποδέσμευση του ποσού από την πιστωτική μου κάρτα για προϊόν
22
που έχει επιστραφεί στην εταιρία. Η εταιρία ισχυρίζεται ότι το αίτημα έχει υποβληθεί στην
Εθνική Τράπεζα 22/6 και ότι έχει λάβει επιβεβαίωση παραλαβής του αιτήματος από την
τράπεζα στις 23/6».
Από το ανωτέρω περιεχόμενο, προκύπτει ότι ο αιτών ζήτησε ενημέρωση σχετικά με
την ύπαρξη ή μη αιτήματος από την Εταιρία αναφορικά με το ζήτημά του και επιπλέον ζήτησε
επιβεβαίωση ή μη εάν το σχετικό αίτημα έχει υποβληθεί στην Τράπεζα σε συγκεκριμένη
ημερομηνία και εάν έχει αποσταλεί επιβεβαίωση παραλαβής του.
Η από μέρους του καταγγέλλοντος αίτηση προς την Τράπεζα προς επιβεβαίωση ή μη
της ύπαρξης των εν λόγω αιτημάτων που διακινήθηκαν μέσω ηλεκτρονικής αλληλογραφίας
και περιελάμβαναν προσωπικά του δεδομένα, σύμφωνα με όσα προεκτέθηκαν αναλυτικά σε
σχέση τόσο με την Εταιρία όσο και με την Τράπεζα, συνιστά αίτημα πρόσβασης σε
προσωπικά δεδομένα του ιδίου κατ’ αρ. 15 παρ. 1 ΓΚΠΔ, χωρίς να απαιτείται, όπως ομοίως
προεκτέθηκε, να περιβληθεί συγκεκριμένο τύπο ή να ασκηθεί με πανηγυρικό τρόπο, ούτε
όμως να περιλαμβάνει τους λόγους για τους οποίους το υποκείμενο των δεδομένων ασκεί το
δικαίωμα πρόσβασης (ΑΠΔ 16/2017 σκ. 3) .
Επιπλέον, με το άρθρο 15 παρ. 1 ΓΚΠΔ, η ελεγχόμενη Τράπεζα, ως υπεύθυνος
επεξεργασίας των προσωπικών δεδομένων του καταγγέλλοντος στο πλαίσιο παραλαβής της
ηλεκτρονικής αλληλογραφίας που απεστάλη από την Εταιρία κατά τα προεκτεθέντα,
προκειμένου να διευθετηθεί το ζήτημα που αφορούσε τη χρέωση της πιστωτικής κάρτας του
καταγγέλλοντος, την ωρίμανση των δόσεων και την αποχρέωσή τους, προέβη σε
αυτοματοποιημένη επεξεργασία προσωπικών δεδομένων και επομένως είχε την
υποχρέωση, να απαντήσει σε κάθε περίπτωση, έστω και αρνητικά στο αίτημα του
καταγγέλλοντος (σχετικά βλ. ΣτΕ 2627/2017, ΑΠΔΠΧ 15/2021).
Επομένως, ενώ η Τράπεζα είχε την ιδιότητα του υπευθύνου επεξεργασίας και
αυτοματοποιημένα επεξεργαζόταν προσωπικά δεδομένα του καταγγέλλοντος στο πλαίσιο
του ανωτέρω αιτήματός του, απέτυχε να το αξιολογήσει ορθά ως αίτημα πρόσβασης κατ’ αρ.
15 ΓΚΠΔ και συνακόλουθα, αφενός, δεν παρείχε απάντηση, έστω και αρνητική, αφετέρου,
δεν ικανοποίησε το νόμιμο αίτημα του καταγγέλλοντος ως όφειλε.
15. Συνεπώς διαπιστώνεται ότι η δεύτερη καταγγελλόμενη Τράπεζα παραβίασε το
δικαίωμα πρόσβασης του καταγγέλλοντος κατ’ αρ. 15 παρ. 1 συνδ. 12 παρ. 1, 2 και 3 ΓΚΠΔ.
16. Σύμφωνα με τον ΓΚΠΔ (Αιτ. Σκ. 148) προκειμένου να ενισχυθεί η επιβολή των
κανόνων του παρόντος Κανονισμού, κυρώσεις, συμπεριλαμβανομένων των διοικητικών
προστίμων, θα πρέπει να επιβάλλονται για κάθε παράβαση του παρόντος Κανονισμού,
επιπρόσθετα ή αντί των κατάλληλων μέτρων που επιβάλλονται από την εποπτική αρχή
23
σύμφωνα με τον παρόντα Κανονισμό. Σε περιπτώσεις δε παράβασης ελάσσονος σημασίας ή
αν το πρόστιμο που ενδέχεται να επιβληθεί θα αποτελούσε δυσανάλογη επιβάρυνση σε
φυσικό πρόσωπο, θα μπορούσε να επιβληθεί επίπληξη αντί προστίμου.
17. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά
το άρθρο 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις διαπιστωθείσες
παραβάσεις και ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί, κατ’
εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, αποτελεσματικό, αναλογικό
και αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ, τόσο προς
αποκατάσταση της συμμόρφωσης, όσο και για την τιμωρία της παράνομης συμπεριφοράς 7.
18. Περαιτέρω η Αρχή, έλαβε υπόψη τα κριτήρια επιμέτρησης του προστίμου που
ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, την παράγραφο 5 εδ. β’ του ίδιου άρθρου που έχει
εφαρμογή στην παρούσα υπόθεση και τις Κατευθυντήριες γραμμές για την εφαρμογή και
τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679 που
εκδόθηκαν στις 03-10-2017 από την Ομάδα Εργασίας του άρθρου 29 (WP 253), καθώς και τα
πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και ιδίως:
Α) Ως προς την πρώτη καταγγελλόμενη εταιρία ΚΩΤΣΟΒΟΛΟΣ
i. Το γεγονός ότι η καταγγελλόμενη δεν ικανοποίησε παρά με καθυστέρηση
πολλών μηνών και μόνο μετά την παρέμβαση της Αρχής, το δικαίωμα πρόσβασης
που άσκησε ο καταγγέλλων κατ’ άρθρο 15 παρ. 1 ΓΚΠΔ.
ii. Το γεγονός ότι η παράβαση εν προκειμένω έθιξε ένα (1) φυσικό πρόσωπο ως
υποκείμενο των προσωπικών δεδομένων σε σχέση με την ικανοποίηση του
δικαιώματος πρόσβασης.
iii. Το γεγονός ότι η παραβίαση του δικαιώματος πρόσβασης δεν αφορούσε
δεδομένα προσωπικού χαρακτήρα των άρθρων 9 και 10 ΓΚΠΔ, σύμφωνα με τα
στοιχεία που τέθηκαν υπόψη της Αρχής.
iv. Το γεγονός ότι η παραβίαση του δικαιώματος πρόσβασης αποδίδεται σε αμέλεια
της καταγγελλόμενης εταιρίας. .
7
Βλ. ΟΕ 29, Κατευθυντήριες γραμμές και την εφαρμογή και τον καθορισμό διοικητικών προστίμων για
τους σκοπούς του κανονισμού 2016/679 WP253, σελ. 6
24
v. Το γεγονός της ύπαρξης ελλείψεων στην Πολιτική Διαχείρισης αιτημάτων των
υποκειμένων των δεδομένων που είχε ως αποτέλεσμα την ελλιπή εκπαίδευση
του προσωπικού της στην αναγνώριση και διαχείριση των αιτημάτων αυτών.
vi. Το γεγονός ότι η παράβαση των διατάξεων σχετικά με τα δικαιώματα των
υποκειμένων υπάγεται, σύμφωνα με τις διατάξεις του άρθρου 83 παρ. 5 εδ. β’
ΓΚΠΔ, στην ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης
διοικητικών προστίμων.
vii. Την απουσία συνεργασίας της καταγγελλόμενης Εταιρίας με την Αρχή,
δεδομένου ότι: πρώτον, καθυστέρησε να παρέχει εξηγήσεις και να προσκομίσει
την αιτηθείσα Πολιτική ή Διαδικασία διαχείρισης αιτημάτων πρόσβασης,
δεύτερον, ότι παραβίασε την παραταθείσα προθεσμία και παρά την απόρριψη
του δεύτερου αιτήματος παράτασης της προθεσμίας, δεν παρείχε τις εξηγήσεις
και δεν προσκόμισε την Πολιτική ή Διαδικασία με το πέρας της προθεσμίας, αλλά
ενήργησε σε χρόνο επιλογής της κατά το δοκούν και τρίτον, προσκόμισε Πολιτική
ή Διαδικασία η οποία δεν ανταποκρινόταν στην πραγματικότητα κατά τον
κρίσιμο χρόνο αλλά την τροποποίησε προκειμένου να ανταποκριθεί στο αίτημα
της Αρχής και στις απαιτήσεις συμμόρφωσης προς τον ΓΚΠΔ εν όψει της άσκησης
των ελεγκτικών – ερευνητικών εξουσιών της Αρχής.
viii. Την απουσία προηγούμενων διαπιστωμένων παραβάσεων της καταγγελλόμενης
καθώς από σχετικό έλεγχο προκύπτει ότι δεν της έχει επιβληθεί μέχρι σήμερα
διοικητική κύρωση από την Αρχή.
ix. Το γεγονός ότι από τα στοιχεία που τέθηκαν υπόψη της Αρχής και με βάση τα
οποία διαπίστωσε την παραβίαση του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας δεν
αποκόμισε οικονομικό όφελος, ούτε προκάλεσε υλική ζημία στον
καταγγέλλοντα.
x. Το γεγονός ότι σύμφωνα με τις δημοσιευμένες χρηματοοικονομικές καταστάσεις
της εταιρίας για τη χρήση από την 1/5/2019 έως τις 30/4/2020 ο κύκλος εργασιών
της ανήλθε στο ποσό των 546.868.455 ευρώ, αυξημένος κατά 3% σε σχέση με την
προηγούμενη χρήση.
Β) Ως προς τη δεύτερη καταγγελλόμενη Εθνική Τράπεζα
i. Το γεγονός ότι η καταγγελλόμενη δεν αξιολόγησε το αίτημα του καταγγέλλοντος
ως άσκηση δικαιώματος πρόσβασης με αποτέλεσμα αφενός να μην παρέχει
καμία απάντηση, ούτε αρνητική, αφετέρου, να μην ικανοποιήσει το δικαίωμα
25
πρόσβασης που άσκησε ο καταγγέλλων κατ’ άρθρο 15 παρ. 1 ΓΚΠΔ ούτε μετά την
υποβολή της καταγγελίας.
ii. Το γεγονός ότι η παράβαση εν προκειμένω έθιξε ένα (1) φυσικό πρόσωπο ως
υποκείμενο των προσωπικών δεδομένων σε σχέση με την ικανοποίηση του
δικαιώματος πρόσβασης.
iii. Το γεγονός ότι η παραβίαση του δικαιώματος πρόσβασης δεν αφορούσε
δεδομένα προσωπικού χαρακτήρα των άρθρων 9 και 10 ΓΚΠΔ, σύμφωνα με τα
στοιχεία που τέθηκαν υπόψη της Αρχής.
iv. Το γεγονός ότι η παραβίαση του δικαιώματος πρόσβασης αποδίδεται σε αμέλεια
της καταγγελλόμενης Τράπεζας.
v. Το γεγονός ότι η παράβαση των διατάξεων σχετικά με τα δικαιώματα των
υποκειμένων υπάγεται, σύμφωνα με τις διατάξεις του άρθρου 83 παρ. 5 εδ. β’
ΓΚΠΔ, στην ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης
διοικητικών προστίμων.
vi. Την ύπαρξη προηγούμενων διαπιστωμένων παραβάσεων της καταγγελλόμενης
καθώς από σχετικό έλεγχο προκύπτει ότι της έχουν επιβληθεί στο παρελθόν
διοικητικές κυρώσεις από την Αρχή (βλ. αποφάσεις 194/2012 και 55/2018 ΑΠΔ).
vii. Το γεγονός ότι από τα στοιχεία που τέθηκαν υπόψη της Αρχής και με βάση τα
οποία διαπίστωσε την παραβίαση του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας δεν
αποκόμισε οικονομικό όφελος, ούτε προκάλεσε υλική ζημία στον
καταγγέλλοντα.
viii. Το γεγονός ότι σύμφωνα με τις δημοσιευμένες χρηματοοικονομικές καταστάσεις
της Τράπεζας για τη χρήση από την 1/1/2020 έως τις 31/12/2020 ο κύκλος
εργασιών της στην Ελλάδα ανήλθε στο ποσό των 2.363.000.000 ευρώ.
Βάσει των ανωτέρω, η Αρχή κρίνει ομόφωνα ότι πρέπει να επιβληθούν στις
καταγγελλόμενες ως υπεύθυνους επεξεργασίας, οι αναφερόμενες στο διατακτικό
διοικητικές κυρώσεις, οι οποίες κρίνονται ανάλογες με τη βαρύτητα των παραβάσεων.
ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ
Η ΑΡΧΗ
1. Επιβάλλει στην καταγγελλόμενη εταιρεία με την επωνυμία Dixons South East Europe
Α.Ε.Β.Ε. - ΚΩΤΣΟΒΟΛΟΣ το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό
26
χρηματικό πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση, σύμφωνα με τις
ειδικότερες περιστάσεις αυτής, ύψους είκοσι χιλιάδων (20.000) ευρώ για τις ως άνω
διαπιστωθείσες παραβιάσεις των άρθρων 15 παρ. 1 συνδ. 12 παρ. 1, 2 και 3 ΓΚΠΔ,
σύμφωνα με τα άρθρα 58 παρ. 2 στοιχ. θ΄ και 83 παρ. 5 στοιχ. β΄ ΓΚΠΔ.
2. Επιβάλλει στην καταγγελλόμενη εταιρεία με την επωνυμία Εθνική Τράπεζα της
Ελλάδος Α.Ε. το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό
πρόστιμο που αρμόζει στην συγκεκριμένη περίπτωση, σύμφωνα με τις ειδικότερες
περιστάσεις αυτής, ύψους είκοσι χιλιάδων (20.000) ευρώ για τις ως άνω
διαπιστωθείσες παραβιάσεις των άρθρων 15 παρ. 1 συνδ. 12 παρ. 1, 2 και 3. ΓΚΠΔ,
σύμφωνα με τα άρθρα 58 παρ. 2 στοιχ. θ΄ και 83 παρ. 5 στοιχ. β΄ ΓΚΠΔ.
Ο Αναπληρωτής Πρόεδρος Η Γραμματέας
Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου
27