Αθήνα, 05-06-2026
Αριθ. Πρωτ.: 2547
ΑΠΟΦΑΣΗ 8/2026
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από
πρόσκληση του εκτελούντος χρέη Προέδρου αν. Προέδρου της, Γεωργίου
Μπατζαλέξη, παραιτηθέντος του προέδρου της Κων/νου Μενουδάκου, σε τακτική
συνεδρίαση σε σύνθεση Τμήματος μέσω τηλεδιάσκεψης την 27-05-2026,
προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας.
Στη συνεδρίαση παρέστησαν ο αναπληρωτής Πρόεδρος της Αρχής, Γεώργιος
Μπατζαλέξης και το αναπληρωματικό μέλος Μαρία Ψάλλα, ως εισηγήτρια, σε
αναπλήρωση του τακτικού μέλους Γρηγορίου Τσόλια, ο οποίος, αν και είχε
προσκληθεί νομίμως εγγράφως, απουσίασε λόγω κωλύματος, και το
αναπληρωματικό μέλος Δημοσθένης Βουγιούκας σε αναπλήρωση του τακτικού
μέλους, Κωνσταντίνου Λαμπρινουδάκη, ο οποίος, αν και είχε προσκληθεί νομίμως
εγγράφως, απουσίασε λόγω κωλύματος. Παρούσες, χωρίς δικαίωμα ψήφου, ήταν η
Χάρις Συμεωνίδου, ειδική επιστήμονας - ελέγκτρια, ως βοηθός εισηγήτριας και η
Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της
Αρχής, ως γραμματέας.
Η Αρχή έλαβε υπόψη τα παρακάτω:
Με τις υπ’ αρ. πρωτ. Γ/ΕΙΣ/7484/22-10-2023 και Γ/ΕΙΣ/7485/22-10-2023
καταγγελίες του στην Αρχή, ο Α (στο εξής αναφερόμενος ως «καταγγέλλων»),
στρέφεται κατά της εταιρείας με την επωνυμία «EΤΑΙΡΕΙΑ ΠΡΟΜΗΘΕΙΑΣ ΑΕΡΙΟΥ
ΘΕΣΣΑΛΟΝΙΚΗΣ ΘΕΣΣΑΛΙΑΣ ΑΝΩΝΥΜΟΣ ΕΤΑΙΡΕΙΑ» και τον διακριτικό τίτλο «ZeniΘ»
(στο εξής αναφερόμενη ως «ΖΕΝΙΘ») και κατά της Τράπεζας Πειραιώς Α.Ε. (στο εξής
1
αναφερόμενη ως «Τράπεζα»), αντίστοιχα, για παραβίαση του δικαιώματος
πρόσβασης στα προσωπικά του δεδομένα. Ειδικότερα:
Α) Σύμφωνα με την πρώτη ως άνω καταγγελία κατά της ΖΕΝΙΘ, εξοφλούνται μέσω
πάγιων εντολών σε λογαριασμό του καταγγέλλοντος στην Τράπεζα Πειραιώς, τρεις
(3) λογαριασμοί παροχής ηλεκτρικής ενέργειας βάσει σύναψης σύμβασης το 2020,
ένας εκ των οποίων στο όνομα του καταγγέλλοντος και δύο στο όνομα της συζύγου
του, Β. Μετά την ενημέρωσή του μέσω e-mail στις 2/9/2020 από τη ΖΕΝΙΘ
([email protected]) ότι υφίσταται μία πάγια εντολή εξόφλησης λογαριασμών
στο όνομά του και ότι είχαν ενεργοποιηθεί δύο ακόμα πάγιες εντολές εσφαλμένα,
καθώς ο συνεργάτης της ΖΕΝΙΘ «εκ παραδρομής δεν προχώρησε στις απαραίτητες
ενέργειες» (βλ. το συμπληρωματικό έγγραφο υπ’ αρ. πρωτ. Γ/ΕΙΣ/559/23-01-2024), ο
καταγγέλλων ζήτησε κατ’ επανάληψη από τη ΖΕΝΙΘ τη χορήγηση των αντιγράφων
υπογεγραμμένων πάγιων εντολών, ωστόσο, σύμφωνα με την καταγγελία, η ΖΕΝΙΘ
δεν ανταποκρίθηκε με κανένα τρόπο στα αιτήματά του. Συγκεκριμένα, ο
καταγγέλλων προσκόμισε το από 11/10/2022 αίτημά του μέσω e-mail προς τη
διεύθυνση [email protected] καθώς και την από 20/10/2022 απάντηση της
ΖΕΝΙΘ ότι το παράπονο έχει λάβει κωδικό αναφοράς -… και ότι απαιτείται περαιτέρω
διερεύνηση. Ωστόσο, μέχρι την υποβολή της καταγγελίας (ένα χρόνο μετά την
ανωτέρω απάντηση), δεν είχε λάβει οριστική απάντηση στο αίτημά του, όπως
ανέφερε. Στο πλαίσιο διερεύνησης της ως άνω καταγγελίας, η Αρχή με το υπ’ αρ.
πρωτ. Γ/ΕΞΕ/383/24-01-2024 έγγραφο διαβίβασε την καταγγελία και τα σχετικά
έγγραφα στην καταγγελλόμενη ΖΕΝΙΘ και την κάλεσε να εκθέσει τις απόψεις της επί
των καταγγελλομένων, παρέχοντας κάθε σχετικό στοιχείο τεκμηρίωσης. Επειδή η
Αρχή δεν έλαβε απάντηση στο εν λόγω έγγραφο, με το υπ’ αρ. πρωτ. Γ/ΕΞΕ/1134/12-
04-2024 υπομνηστικό έγγραφο κάλεσε εκ νέου τη ΖΕΝΙΘ να υποβάλει άμεσα τις
απόψεις της επί της καταγγελίας. Με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/3580/17-04-2024
απαντητικό έγγραφο, η καταγγελλόμενη ΖΕΝΙΘ ανέφερε κατ’ αρχάς ότι ο
καταγγέλλων, ο οποίος είναι πελάτης της από το έτος 2020 οπότε και υπογράφηκε
μεταξύ τους σύμβαση για παροχή ρεύματος μέσω εξωτερικού συνεργάτη (της
εταιρείας «Σίγμα και Κάπα Εισαγωγική Α.Ε.»), επικοινώνησε με τη ΖΕΝΙΘ για πρώτη
φορά την 13/8/2020, παραπονούμενος για την πάγια εντολή πληρωμής των ως άνω
λογαριασμών, για την οποία ισχυρίστηκε ότι δεν είχε παράσχει τη συγκατάθεσή του,
2
λόγω δε των μέτρων αντιμετώπισης της πανδημίας που ίσχυαν εκείνη την περίοδο,
το σύστημα διαχείρισης της εταιρείας υπερφορτώθηκε από τον όγκο των αιτημάτων
που δεχόταν. Παρ’ όλα αυτά, όπως υποστηρίζει η ΖΕΝΙΘ, άμεσα στις 20/8/2020
προχώρησε σε ενδελεχή έρευνα επί του παραπόνου του καταγγέλλοντος,
επικοινωνώντας με τον ανωτέρω εξωτερικό συνεργάτη, ο οποίος την ενημέρωσε ότι
κατόπιν ελέγχου των ηχογραφημένων συνομιλιών που έλαβαν χώρα στις 27/5/2020,
ώρα 11:57 σε κλήση που έγινε στο σταθερό -… και είχε διάρκεια 22 λεπτά και 23
δευτερόλεπτα, στο 16ο λεπτό της συνομιλίας και ενώ είχαν ήδη δοθεί από τον πελάτη
τα στοιχεία των 3 παροχών, ο ίδιος γνωστοποίησε το ΙΒΑΝ που καταχωρήθηκε στην
καρτέλα του, με σκοπό την απευθείας πληρωμή των λογαριασμών που
αντιστοιχούσαν στην παροχή του με αριθμό … μέσω παγίας εντολής. Η εν λόγω
συνομιλία καταγράφηκε στο πλαίσιο πραγματοποίησης νόμιμης επαγγελματικής
πρακτικής με σκοπό την ενεργοποίηση της υπηρεσίας με τον πελάτη. Ακολούθως,
προτάθηκε από τον συνεργάτη η εντολή αυτή να ισχύει όχι μόνο για την παροχή του
γκαράζ αλλά και για τις λοιπές παροχές, έτσι ώστε ο καταγγέλλων να επωφεληθεί
από τη μη καταβολή εγγύησης, κάτι το οποίο ο καταγγέλλων δέχθηκε αρχικά, όπως
αναφέρει η ΖΕΝΙΘ, όμως σε μεταγενέστερη επικοινωνία που είχε με τον εν λόγω
συνεργάτη στις 4/6/2020, αφότου είχε υπογράψει και συναινέσει στην πληρωμή των
λογαριασμών των παροχών του μέσω παγίας εντολής, ο καταγγέλλων διευκρίνισε ότι
επιθυμεί ο τρόπος αυτός πληρωμής να ισχύσει μόνο για την παροχή που αντιστοιχεί
στο γκαράζ … και όχι για τα οικιακά, καθώς σε αυτά προτιμούσε να καταθέσει τις
εγγυήσεις. Σύμφωνα με τη ΖΕΝΙΘ, δεν υπήρχε άλλος λόγος γνωστοποίησης εκ μέρους
του καταγγέλλοντος του αριθμού ΙΒΑΝ του τραπεζικού λογαριασμού του, πέραν της
ικανοποίησης του αιτήματός του αναφορικά με την εντολή παγίας πληρωμής των
λογαριασμών. Στη συνέχεια, όπως αναφέρει η ΖΕΝΙΘ, κατά την εξέταση του
παραπόνου του καταγγέλλοντος, τον Αύγουστο του ιδίου έτους, διαπιστώθηκε ότι,
εκ παραδρομής και μεταγενεστέρως, το συγκεκριμένο έντυπο ενεργοποίησης της
πάγιας εντολής δεν είχε επισυναφθεί στη σύμβαση, με αποτέλεσμα να υφίσταται
μόνο προφορική εντολή παγίας πληρωμής. Έτσι επικοινώνησε με τον καταγγέλλοντα
στις 2/9/2020, μέσω ηλεκτρονικού ταχυδρομείου, τον ενημέρωσε για το γεγονός ότι
εκ παραδρομής ο συνεργάτης της δεν είχε προχωρήσει στις αναγκαίες ενέργειες και
αφού του ζήτησε συγγνώμη για την ταλαιπωρία, τον ενημέρωσε για τους δυνατούς
3
τρόπους ακύρωσης των παγίων εντολών εκ μέρους του. Σύμφωνα δε με την
καταγγελλόμενη, ο καταγγέλλων ουδέποτε αμφισβήτησε ή εναντιώθηκε στο
περιεχόμενο της ανωτέρω επικοινωνίας και ουδέποτε ακολούθησε την ως άνω
διαδικασία ακύρωσης των εντολών, αντίθετα αποδέχθηκε τη συνέχισή τους, ενώ
επικοινώνησε πάλι με την εταιρεία για το ίδιο θέμα 2 χρόνια αργότερα, τον Οκτώβριο
του 2022, αιτούμενος αντίγραφα της πάγιας εντολής, παρότι γνώριζε ότι η
ενεργοποίηση είχε πραγματοποιηθεί μέσω ηχογραφημένης κλήσης και βρισκόταν σε
ισχύ δύο χρόνια. Σύμφωνα με την ίδια απάντηση, στις 11/10/2022 ο καταγγέλλων
ζήτησε να ενημερωθεί για ποιο λόγο ενεργοποιήθηκε η πάγια εντολή χωρίς
συγκατάθεσή του, αιτούμενος για πρώτη φορά τη λήψη αντιγράφου της επίμαχης
ηχογραφημένης κλήσης, κατά την εκ νέου δε εξέταση του αιτήματός του και μετά
από επικοινωνία με την ανωτέρω συνεργαζόμενη εταιρεία, η τελευταία
γνωστοποίησε στη ΖΕΝΙΘ ότι η κλήση δεν ήταν πλέον διαθέσιμη, λόγω παρέλευσης
μεγάλου χρονικού διαστήματος από την πραγματοποίησή της, ενώ ο καταγγέλλων
ενημερώθηκε για τα ανωτέρω προφορικά και εγγράφως. Ειδικότερα, στην από
3/3/2023 ηλεκτρονική επιστολή, την οποία η ΖΕΝΙΘ προσκόμισε, αναφέρονται τα
εξής: «Θα θέλαμε να σας ενημερώσουμε ότι η ΖενίΘ σας έχει ήδη απαντήσει
αναφορικά με τις πάγιες εντολές σας με την από 02.09.20 ηλεκτρονική αλληλογραφία
που σας απέστειλε, η οποία επισυνάπτεται». Επιπλέον με την ίδια υπ’ αρ. πρωτ.
Γ/ΕΙΣ/3580/17-04-2024 απάντηση προς την Αρχή, η ΖΕΝΙΘ προσκόμισε τη Διαδικασία
Διαχείρισης Αιτημάτων Υποκειμένων (έκδοση από 19/12/2023 η οποία αντικαθιστά
την αρχική από 6/2/2020 έκδοση), την Πολιτική Προστασίας και το Πλάνο Διατήρησης
Προσωπικών Δεδομένων (με αρχική έκδοση στις 24/6/2021 και αναθεωρήσεις στις
15/4/2022, στις 7/7/2023 και στις 19/12/2023) καθώς και την από 11/12/2023
Οδηγία Καταγραφής τηλεφωνικών συνδιαλέξεων της εταιρείας. Σύμφωνα με το
προσκομισθέν Πλάνο Διατήρησης Προσωπικών Δεδομένων με ημερομηνία
19/12/2023, οι καταγεγραμμένες τηλεφωνικές κλήσεις που αφορούν σύναψη
σύμβασης προμήθειας διατηρούνται από τη ΖΕΝΙΘ «Καθ’ όλη τη διάρκεια της
σύμβασης + 5 έτη», ενώ τα δεδομένα που αφορούν τη λήψη και διαχείριση αιτήματος
πάγιας εντολής από Πελάτη διατηρούνται «Για όσο χρονικό διάστημα είναι η
σύμβαση σε ισχύ + 5 έτη από το τέλος του έτους κατά το οποίο τερματίστηκε η
4
σύμβαση και σε κάθε άλλη περίπτωση 5 έτη από την υποβολή του αιτήματος ή έως
την άρση της συγκατάθεσης του πελάτη».
Ακολούθως, αφού ο καταγγέλλων ζήτησε και έλαβε από την Αρχή αντίγραφο της
ανωτέρω απάντησης της καταγγελλόμενης ΖΕΝΙΘ, με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/3857/25-
04-2024 συμπληρωματικό του έγγραφο, επεσήμανε ότι πρώτη φορά ενημερώνεται
για την ύπαρξη τρίτης εταιρείας με την επωνυμία «Σίγμα και Κάπα Εισαγωγική Α.Ε.»,
αφού η ενημέρωση που είχε στο τηλέφωνο ήταν «είμαστε από τη ΖΕΝΙΘ». Ο
καταγγέλλων σημείωσε ότι άμεσα διαμαρτυρήθηκε στη ΖΕΝΙΘ για την έλλειψη
συγκατάθεσής του για τις πάγιες εντολές και τόνισε ότι σύμφωνα με τον όρο 23,
μεταξύ των άλλων προσωπικών στοιχείων ζητείται ο Αριθμός Λογαριασμού IBAN στο
πλαίσιο σύναψης της σύμβασης, χωρίς να αναφέρεται ότι είναι δυνατή η ένταξη σε
πρόγραμμα πάγιων εντολών με την γνωστοποίηση και μόνο του αριθμού IBAN ή
κατόπιν προφορικού αιτήματος του πελάτη. Περαιτέρω αμφισβήτησε τον ισχυρισμό
ότι είχε συναινέσει και υπογράψει τις πάγιες εντολές, γεγονός που αποδεικνύεται,
όπως αναφέρει, από τα σχετικά έγγραφα τα οποία δεν παρέδωσε στον μεταφορέα
κατά την υπογραφή των συμβάσεων και βρίσκονται ακόμα στην κατοχή του, καθότι
δεν επιθυμούσε την πληρωμή των λογαριασμών μέσω πάγιων εντολών. Επιπλέον,
επεσήμανε ότι έστω και η μία πάγια εντολή την οποία υπέγραψε τελικά, σύμφωνα
με την απάντηση της ΖΕΝΙΘ «εκ παραδρομής δεν επισυνάφθηκε στη σύμβαση με
αποτέλεσμα να υφίσταται μόνο προφορική εντολή», και διερωτήθηκε για ποιο λόγο
επομένως χρειάζεται η υπογραφή του πελάτη για την ενεργοποίηση της πάγιας
εντολής αφού, τελικώς, κατά την άποψη της ΖΕΝΙΘ, αρκεί η προφορική εντολή, η
οποία μάλιστα δεν έχει διατηρηθεί στην περίπτωσή του. Επιπλέον ο καταγγέλλων
ανέφερε ότι τη διαδικασία ακύρωσης των πάγιων εντολών μπορεί να την
πραγματοποιήσει μόνο ο εντολέας αυτών, που στην προκειμένη περίπτωση δεν είναι
ο ίδιος. Η δε προφορική εντολή, κατά την άποψή του, ήταν ανίσχυρη, άρα άκυρη και
δεδομένου ότι ήδη είχε αμφισβητήσει τις λοιπές εντολές, δηλώνοντας ότι
πραγματοποιούνται μη εξουσιοδοτημένες συναλλαγές, η ΖΕΝΙΘ όφειλε να τις έχει
ακυρώσει. Κατά τον καταγγέλλοντα, το πραγματικό γεγονός της συνέχισης
εξόφλησης των λογαριασμών κατανάλωσης ηλεκτρικής ενέργειας μέσω πάγιων
εντολών δεν σημαίνει αναγκαστικά και την αποδοχή αυτού του τρόπου πληρωμής,
δεδομένου ότι ο ίδιος βρισκόταν σε αναμονή από την ΖΕΝΙΘ και την Τράπεζα
5
Πειραιώς για τη χορήγηση αντιγράφων των εντολών, οι οποίες, όπως αποδεικνύεται
πλέον, τελικώς δεν υπάρχουν. Τέλος, επεσήμανε ότι σύμφωνα με τους όρους 6.4 και
20.10 της σύμβασής του, η τηλεφωνική κλήση όφειλε να τηρείται για 5 χρόνια μετά
τη λήξη της σύμβασης, ενώ ο ίδιος για πρώτη φορά πληροφορήθηκε μέσω της
απάντησης της ΖΕΝΙΘ προς την Αρχή, ότι η συγκεκριμένη κλήση δεν ήταν πια
διαθέσιμη. Ως εκ τούτου, αφού δεν υπάρχουν έντυπες υπογεγραμμένες εντολές ούτε
ηχογραφημένο προφορικό αίτημα για την ενεργοποίησή τους, ο καταγγέλλων
σημείωσε ότι τίθεται σοβαρό ζήτημα για την ασφάλεια των συναλλαγών, ελλείψει
στοιχειωδών ελέγχων.
Β) Σύμφωνα με τη δεύτερη ως άνω καταγγελία κατά της Τράπεζας Πειραιώς, ο
καταγγέλλων, που τυγχάνει συνδικαιούχος λογαριασμού της Τράπεζας μαζί με τη
σύζυγό του, Β και τον υιό του, Γ, κατόπιν της διαπίστωσης ότι μέσω του παραπάνω
λογαριασμού εξοφλούνται λογαριασμοί παροχής ηλεκτρικού ρεύματος προς την
ΖΕΝΙΘ, παρά το γεγονός ότι οι ανωτέρω δεν είχαν δώσει σχετική πάγια εντολή, με την
από 16/2/2023 εξώδικη δήλωση, ζήτησε από την Τράπεζα, μεταξύ άλλων, τη
χορήγηση αντιγράφων των πάγιων εντολών βάσει των οποίων εξοφλούνταν οι εν
λόγω λογαριασμοί, να ενημερωθεί με ποιον τρόπο ενεργοποιήθηκαν οι πάγιες
εντολές και να του κοινοποιηθεί κάθε σχετικό έγγραφο. Όπως όμως υποστήριζε ο
καταγγέλλων, παρότι η Τράπεζα απάντησε στην εν λόγω εξώδικη δήλωση στις
22/3/2023, αναφέροντας ότι η εντολή ανάθεσης δόθηκε ηλεκτρονικά από τον
οργανισμό ΖΕΝΙΘ στις 27/5/2020, αρνήθηκε την αποστολή και χορήγηση αντιγράφων
των εν λόγω παγίων εντολών, υποστηρίζοντας ότι η ίδια «τελεί ως μεσολαβητής για
την καταβολή των πληρωμών, διατηρώντας διεκπεραιωτικό ρόλο στη διαδικασία» και
μέχρι την υποβολή της καταγγελίας δεν ανταποκρίθηκε στο αίτημά του. Στο πλαίσιο
διερεύνησης της ως άνω καταγγελίας, η Αρχή με το υπ’ αρ. πρωτ. Γ/ΕΞΕ/375/23-01-
2024 έγγραφο διαβίβασε την καταγγελία και τα σχετικά έγγραφα στην
καταγγελλόμενη Τράπεζα και την κάλεσε να εκθέσει τις απόψεις της επί των
καταγγελλομένων, παρέχοντας κάθε σχετικό στοιχείο τεκμηρίωσης. Με το υπ’ αρ.
πρωτ. Γ/ΕΙΣ/984/08-02-2024 απαντητικό της έγγραφο, η Τράπεζα ανέφερε τα εξής:
ότι στις 04/10/2022, παρελήφθη μέσω φόρμας επικοινωνίας αίτημα του
καταγγέλλοντος για χορήγηση αντιγράφου των υπογεγραμμένων εντολών ανάθεσης
6
άμεσης χρέωσης, μέσω των οποίων πληρώνονται οι λογαριασμοί του ρεύματος και
αερίου στη ΖΕΝΙΘ και ότι η Τράπεζα, στις 05/10/2022, απέστειλε στη δηλωμένη
ηλεκτρονική διεύθυνση του πελάτη απαντητική επιστολή ενημερώνοντάς τον ότι
προκειμένου να προχωρήσει η εξατομικευμένη διερεύνηση της υπόθεσής του,
χρειαζόταν τηλεφωνική επικοινωνία μαζί του, για λόγους τήρησης της
εμπιστευτικότητας, ότι η Τράπεζα τελεί ως μεσολαβητής για την καταβολή των
πληρωμών, διατηρώντας διεκπεραιωτικό ρόλο στη διαδικασία και ότι σε κάθε
περίπτωση, ο καταγγέλλων μπορούσε να απευθυνθεί στους αρμόδιους
Φορείς/Οργανισμούς, ώστε να τον κατευθύνουν σχετικώς από πλευράς τους. Σε
τηλεφωνική επικοινωνία που είχε η Τράπεζα με τον καταγγέλλοντα την ίδια ημέρα, ο
τελευταίος ανέφερε ότι προ διετίας είχε συνάψει συμβόλαιο με τη ΖΕΝΙΘ και ότι ήταν
βέβαιος ότι ουδέποτε προέβη σε ανάθεση εντολών άμεσης χρέωσης, ενημερώθηκε
δε από τον εκπρόσωπο της Τράπεζας ότι θα έπρεπε να απευθυνθεί στη ΖΕΝΙΘ, ώστε
να ενημερωθεί σχετικά με τη διαδικασία ανάθεσης των εντολών άμεσης χρέωσης,
καθώς αυτές ορίστηκαν από τον φορέα (τη ΖΕΝΙΘ) και όχι από την Τράπεζα. Σύμφωνα
με την Τράπεζα, επειδή ο καταγγέλλων εμφανιζόταν ιδιαίτερα αρνητικός στις
επικοινωνίες μαζί της, στις 06/10/2022 η Τράπεζα του απέστειλε νέα απαντητική
επιστολή, ενημερώνοντάς τον για τη δυνατότητα υποβολής παραπόνου μέσω του
Μηχανισμού Διαχείρισης Παραπόνων, εφόσον δεν είχε ικανοποιηθεί από την έως
τότε διαχείριση του αιτήματός του. Στις 17/10/2022 παρελήφθη, μέσω της φόρμας
παραπόνων της Τράπεζας, αίτημα του καταγγέλλοντος, σύμφωνα με το οποίο, παρότι
είχε δώσει τηλεφωνικά τον αριθμό του τραπεζικού του λογαριασμού στη ΖΕΝΙΘ, δεν
είχε υπογράψει κάποιο έγγραφο για ανάθεση πάγιων εντολών, και ζητούσε να
ενημερωθεί από πού προήλθε η ανάθεση των εντολών άμεσης χρέωσης οι οποίες
ήταν καταχωρημένες στην Τράπεζα, με βάση ποια έγγραφα καταχωρήθηκαν καθώς
και να του αποσταλούν τα σχετικά υπογεγραμμένα έγγραφα. Όπως ανέφερε η
Τράπεζα, από τη διερεύνηση της υπόθεσής του από την αρμόδια Μονάδα της,
προέκυψε ότι η Τράπεζα παρέλαβε στις 27/5/2020, μέσω του διατραπεζικού
συστήματος ΔΙΑΣ, τρεις (3) εντολές άμεσης χρέωσης ΖΕΝΙΘ με χρέωση του τραπεζικού
λογαριασμού, στον οποίο ο καταγγέλλων είναι συνδικαιούχος και ο ίδιος εμφανίζεται
ως παρέχων τις εντολές. Με την από 15/11/2022 επιστολή της η Τράπεζα ενημέρωσε
τον καταγγέλλοντα ότι, δυνάμει της σχετικής νομοθεσίας που διέπει τις υπηρεσίες
7
πληρωμών, η ίδια διεκπεραιώνει υπηρεσίες πληρωμής μόνο κατόπιν σχετικής
εντολής και εξουσιοδότησης του πελάτη ή/και της επιχείρησης με εντολή που
διαβιβάζεται απευθείας στην Τράπεζα από τον Δικαιούχο ή τον Πάροχο Υπηρεσιών
Εκκίνησης Πληρωμής κατά τα οριζόμενα στο Άρ. 1 παρ. 1.2 Κεφάλαιο Ε’ της
ΣΥΜΒΑΣΗΣ ΠΑΡΟΧΗΣ ΥΠΗΡΕΣΙΩΝ ΠΛΗΡΩΜΩΝ, στον οποίο, ανά περίπτωση, ο
πελάτης ή/και η επιχείρηση έχει προηγουμένως δώσει τη συγκατάθεσή του για την
εκτέλεση της συναλλαγής. Επομένως, η ανάθεση εντολής άμεσων χρεώσεων μπορεί
να πραγματοποιηθεί απευθείας στον Οργανισμό με τη χρήση ΙΒΑΝ και μόνο, η
δυνατότητα δε αυτή αναθέσεων απευθείας στον Οργανισμό παρέχεται βάσει των
όρων της σύμβασης παροχής υπηρεσιών πληρωμών (παράγραφος 2.1 ζ), η οποία
αποτελεί αναπόσπαστο μέρος των γενικών συναλλακτικών όρων της Τράπεζας, των
οποίων ο καταγγέλλων έχει λάβει γνώση και τους οποίους έχει αποδεχθεί κατά το
άνοιγμα του λογαριασμού του. Εν προκειμένω η Τράπεζα παρέλαβε εντολές άμεσων
χρεώσεων από τον οργανισμό ΖΕΝΙΘ, με χρέωση του συγκεκριμένου τραπεζικού
λογαριασμού και για τον λόγο αυτό παρέπεμψε τον καταγγέλλοντα στη ΖΕΝΙΘ,
προκειμένου να τον ενημερώσει σχετικά με το πώς καταχωρήθηκε η όποια ανάθεση
εντολής άμεσης χρέωσης. Συμπερασματικά, η Τράπεζα υποστήριξε ότι έχει
διεκπεραιωτικό ρόλο στη διαδικασία, ως μεσολαβητής πληρωμών. Ακολούθως,
σύμφωνα με την ίδια απάντηση, στις 21/02/2023 κοινοποιήθηκε από δικαστικό
επιμελητή στην Τράπεζα εξώδικη δήλωση του καταγγέλλοντος, με την οποία ο
τελευταίος αιτήθηκε εκ νέου την παροχή αντιγράφων των υπογεγραμμένων
αναθέσεων εντολών άμεσης χρέωσης προς τη ΖΕΝΙΘ και ενημέρωση για τον τρόπο
ενεργοποίησής τους, υποστηρίζοντας ότι δεν είχε λάβει ανταπόκριση στα αιτήματά
του για παροχή αντιγράφων των εντολών από τη ΖΕΝΙΘ. Η Τράπεζα ανέφερε ότι προς
εξυπηρέτηση του καταγγέλλοντος, απευθύνθηκε για περισσότερες πληροφορίες
σχετικές με την υπόθεση στην Εθνική Τράπεζα, μέσω της οποίας έχει συμβληθεί η
ΖΕΝΙΘ στο σύστημα πληρωμών ΔΙΑΣ, και η οποία προώθησε στην Τράπεζα Πειραιώς
την εξής απάντηση της ΖΕΝΙΘ: «Έχουμε κάθε πρόθεση συνεργασίας ωστόσο λόγω των
αναγκαστικού δικαίου διατάξεων του GDPR η διαβίβαση των εν λόγω στοιχείων θα
συνιστούσε έκνομη ενέργεια οπότε έχουμε ξεκινήσει τον έλεγχο για το θέμα και θα
γίνει από την ΖενίΘ επικοινωνία με τον πελάτη και θα ενημερωθεί για την εξέλιξή
του». Με την από 22/03/2023 απαντητική επιστολή της Τράπεζας Πειραιώς
8
εξηγήθηκε στον καταγγέλλοντα ο τρόπος λειτουργίας του συστήματος πληρωμών
ΔΙΑΣ και η διαδικασία παραλαβής και καταχώρησης αιτημάτων αναθέσεων εντολών
άμεσης χρέωσης απευθείας από τις εταιρείες: Συγκεκριμένα, εφόσον μια εταιρεία
έχει ενταχθεί στο Διατραπεζικό Σύστημα Πληρωμών (ΔΙΑΣ), έχει τη δυνατότητα
αποστολής ηλεκτρονικού αρχείου με εντολές άμεσων χρεώσεων για την εξόφληση
λογαριασμών πελατών της στη ΔΙΑΣ. Έπειτα η ΔΙΑΣ αποστέλλει τα αρχεία στην
αντίστοιχη Τράπεζα όπου τηρεί τον δηλωμένο τραπεζικό λογαριασμό του ο πελάτης.
Σύμφωνα με την Τράπεζα, βάσει της Σύμβασης Παροχής Υπηρεσιών έπειτα από την
απαιτούμενη επαλήθευση των στοιχείων, η Τράπεζα υποχρεούται να προβεί στην
άμεση εκτέλεση των εντολών, ενώ δεν λαμβάνει υπογεγραμμένα αντίγραφα των
σχετικών αναθέσεων. Η διαδικασία εκτελείται αυτοματοποιημένα μέσω της
εταιρείας Διατραπεζικών Συστημάτων ΔΙΑΣ Α.Ε. Στις 09/10/2023 ο καταγγέλλων
υπέβαλε νέο αίτημα όμοιου περιεχομένου και στις 11/10/2023 η Τράπεζα του
απάντησε ότι είχε παραλάβει τις εντολές ηλεκτρονικά από τη ΖΕΝΙΘ· ως εκ τούτου ο
καταγγέλλων όφειλε να απευθυνθεί στη ΖΕΝΙΘ για να του χορηγηθούν αντίγραφα
των εντολών. Τέλος, η Τράπεζα ανέφερε ότι κατέβαλε κάθε δυνατή προσπάθεια, στο
μέτρο της αρμοδιότητάς της, για την ικανοποίηση του αιτήματος του καταγγέλλοντος
και τον ενημέρωσε αναλυτικά για τη δυνατότητα αμφισβήτησης των εντολών άμεσων
χρεώσεων, ανάκλησής τους και επιστροφής των χρημάτων του μέσα σε
προκαθορισμένα χρονικά διαστήματα, εφόσον θεωρούσε ότι οι εντολές δεν ήταν
εγκεκριμένες από τον ίδιο, ωστόσο ο καταγγέλλων δεν προχώρησε σε καμία από τις
ανωτέρω ενέργειες.
Στη συνέχεια, αφού ο καταγγέλλων ζήτησε και έλαβε από την Αρχή αντίγραφο
της ανωτέρω απάντησης της καταγγελλόμενης Τράπεζας, με το υπ’ αρ. πρωτ.
Γ/ΕΙΣ/3348/10-04-2024 συμπληρωματικό του έγγραφο, υποστήριξε κατ’ αρχάς ότι
προκειμένου να εκτελεσθεί μια συναλλαγή, η Τράπεζα θα πρέπει να έχει στην κατοχή
της την εντολή του πελάτη, η οποία μπορεί μεν να δοθεί απευθείας στον Δικαιούχο
(ΖΕΝΙΘ), αλλά διαβιβάζεται στην Τράπεζα προκειμένου να εκτελεσθεί η συναλλαγή
και διερωτήθηκε πώς διεκπεραιώνει η Τράπεζα τις συναλλαγές μέχρι σήμερα.
Επιπλέον τόνισε ότι αναμφίβολα η Τράπεζα είχε στην κατοχή της τις πάγιες εντολές,
ή τις εντολές άμεσων χρεώσεων από τη ΖΕΝΙΘ, αλλά αρνείτο πεισματικά να του τις
χορηγήσει. Εξάλλου, όπως ανέφερε, με την από 15/11/2022 απάντηση της Τράπεζας,
9
ενημερώθηκε ότι δεν εντοπίζεται πάγια εντολή στο όνομά του ούτε πάγια εντολή με
χρέωση χρεωστικής κάρτας, παρότι τελικά στην από 22/3/2023 απάντηση της
Τράπεζας αναφερόταν ότι εντολέας των πάγιων εντολών ήταν ο ίδιος, και όχι ο υιός
του και πρώτος δικαιούχος του λογαριασμού. Ο καταγγέλλων τόνισε ότι παρά τον
αντίθετο ισχυρισμό της Τράπεζας, ο ίδιος έχει αμφισβητήσει από την πρώτη στιγμή
τις συναλλαγές από το 2020 και η Τράπεζα δεν έκανε καμία ενέργεια πέραν της
ενημέρωσης ότι αυτή έχει διεκπεραιωτικό ρόλο στην διαδικασία, ενώ υποστήριξε ότι
δεν μπορεί ο ίδιος να ανακαλέσει εντολές που δεν έχει δώσει. Τέλος, διερωτήθηκε
αν η Τράπεζα οφείλει να ελέγχει τις εντολές που της διαβιβάζονται από τρίτους
οργανισμούς, τι στοιχεία περιλαμβάνονται στις εντολές αυτές, είτε διαβιβάζονται
εγγράφως είτε αυτοματοποιημένα με ηλεκτρονικό τρόπο, και πώς επαληθεύεται από
την Τράπεζα η συναίνεση του πελάτη για τη συναλλαγή, δεδομένου ότι αυτή φέρει
την ευθύνη της ασφάλειας των συναλλαγών και υποστήριξε ότι οι εντολές άμεσων
χρεώσεων αποτελούν προσωπικά δεδομένα του πελάτη, επομένως η Τράπεζα
όφειλε, εφόσον είχε παραλάβει τέτοιες εντολές από τον οργανισμό (ΖΕΝΙΘ) να τις
χορηγήσει στον πελάτη, ως υποκείμενο των δεδομένων. Σύμφωνα με τον
καταγγέλλοντα, τίθεται μέγα θέμα της ασφάλειας των συναλλαγών και αυτό διότι μία
νόμιμη ενέργεια από πλευράς της ΖΕΝΙΘ, δηλαδή η γνώση του αριθμού (IBAN) του
τραπεζικού λογαριασμού του και των ατομικών του στοιχείων, χρησιμοποιήθηκε,
άγνωστο από ποιους, πώς και με ποιον τρόπο, σε συνεργασία με την Τράπεζα, ώστε
ο λογαριασμός του να παραβιάζεται συνεχώς.
Κατόπιν των ανωτέρω, η Αρχή με τις υπ’ αρ. πρωτ. Γ/ΕΞΕ/685/05-02-2026,
Γ/ΕΞΕ/684/05-02-2026 και Γ/ΕΞΕ/682/05-02-2026 κλήσεις της κάλεσε τον
καταγγέλλοντα, την καταγγελλόμενη ΖΕΝΙΘ και την καταγγελλόμενη Τράπεζα,
αντίστοιχα, σε ακρόαση ενώπιον του Τμήματος της Αρχής στις 25-02-2026
προκειμένου να εκθέσουν τις απόψεις τους για την υπόθεση, κοινοποιώντας σε
καθεμία καταγγελλόμενη τα συμπληρωματικά έγγραφα του καταγγέλλοντος που την
αφορούσαν και δεν ήταν ήδη σε γνώση της. Ταυτόχρονα, με τις ως άνω κλήσεις, η
Αρχή ζήτησε από μεν την εταιρεία ΖΕΝΙΘ να προσκομίσει αντίγραφο της τυχόν
ισχύουσας κατά τον χρόνο των πραγματικών περιστατικών σύμβασης ανάθεσης
επεξεργασίας (σύμφωνα με το άρθρο 28 παρ. 1 ΓΚΠΔ) μεταξύ της ΖΕΝΙΘ και της
αναφερόμενης στην απάντησή της εταιρείας «Σίγμα και Κάπα Εισαγωγική Α.Ε.».
10
Στη συνεδρίαση της 25-02-2026 παρέστησαν μέσω τηλεδιάσκεψης ο
καταγγέλλων, εκ μέρους της ΖΕΝΙΘ ο πληρεξούσιος δικηγόρος της Κωνσταντίνος
Πανάγος (Α.Μ. ΔΣ…) και ο Υπεύθυνος Τομέα Λιανικών Πωλήσεων και Υποστήριξης
Λειτουργιών της εταιρείας Δ, ενώ εκ μέρους της Τράπεζας Πειραιώς οι Ε, Διευθυντής
Επιχειρηματικής Ανάλυσης, η ΣΤ, Υπεύθυνη Προϊόντων Πληρωμών, η Ζ, Επικεφαλής
Λιανικών Πληρωμών, ο Η, Ειδικός Προϊόντος, η Βασιλική Μαρία Σαλδάρη, δικηγόρος
- Διευθύντρια Νομικής Υπηρεσίας (Α.Μ. ΔΣ…), η Βασιλική Μωραΐτη, Δικηγόρος (Α.Μ.
ΔΣ…), ενώ παρών ήταν και ο Υπεύθυνος Προστασίας Δεδομένων (ΥΠΔ) της εταιρείας,
Θ, για την παροχή διευκρινίσεων. Κατά τη συνεδρίαση χορηγήθηκε από την Αρχή
προθεσμία μέχρι την 20/03/2026 για την κατάθεση υπομνημάτων και ακολούθως
υπέβαλαν εμπρόθεσμα, η μεν εταιρεία ΖΕΝΙΘ το υπ’ αρ. πρωτ. Γ/ΕΙΣ/4027/20-03-
2026 υπόμνημα, η δε Τράπεζα Πειραιώς το υπ’ αρ. πρωτ. Γ/ΕΙΣ/4029/20-03-2026
υπόμνημα, ενώ ο καταγγέλλων δεν υπέβαλε υπόμνημα.
Κατά την ακρόαση ο καταγγέλλων επανέλαβε τα αναφερόμενα στην καταγγελία
του. Η καταγγελλόμενη ΖΕΝΙΘ, τόσο δια των εκπροσώπων της στην ακρόαση όσο και
ακολούθως με το υπόμνημά της ανέφερε κατ’ αρχάς τα γενικά μέτρα προστασίας
προσωπικών δεδομένων που έχει λάβει και εφαρμόζει, παρέθεσε αναλυτικό ιστορικό
της υπόθεσης και υποστήριξε ότι στις 27-5-2020, στο πλαίσιο σύναψης σύμβασης
ηλεκτρικής ενέργειας μέσω εξουσιοδοτημένου συνεργάτη (της «Σίγμα και Κάπα
Εισαγωγική Α.Ε.») ο καταγγέλλων γνωστοποίησε στοιχεία τραπεζικού λογαριασμού
(ΙΒΑΝ), και εξέφρασε τη βούλησή του για ενεργοποίηση πάγιας εντολής πληρωμής,
αρχικά για μία παροχή (γκαράζ) και στη συνέχεια, μετά από ενημέρωση του
συνεργάτη ότι η επιλογή πάγιας εντολής συνεπάγεται αποφυγή καταβολής
εγγυήσεων στα οικιακά τιμολόγια, και για τις λοιπές παροχές και έτσι, τον Ιούνιο του
2020 ενεργοποιήθηκαν στο πληροφοριακό σύστημα της ΖΕΝΙΘ οι τρεις πάγιες
εντολές εξόφλησης λογαριασμών. Η ΖΕΝΙΘ υποστηρίζει ότι «στο πλαίσιο τυπικής
διαδικασίας» απεστάλησαν τα σχετικά έγγραφα επιβεβαίωσης και τα συμβατικά
έντυπα στον καταγγέλλοντα, ο οποίος πάντως υπέγραψε μόνο ένα από τα τρία
έντυπα πάγιας εντολής. Ωστόσο η ΖΕΝΙΘ ισχυρίζεται ότι «η μη υπογραφή των λοιπών
δύο δεν συνοδεύτηκε από καμία ρητή, σαφή και ειδική δήλωση ανάκλησης της ήδη
εκδηλωθείσας πρόθεσης ενεργοποίησης, ούτε διατυπώθηκε αίτημα (προφορικό ή
έγγραφο) για άμεση απενεργοποίηση των σχετικών εντολών», ενώ η μεταγενέστερη
11
επικοινωνία του καταγγέλλοντος στις 4-6-2020, με την οποία εξέφρασε την επιθυμία
η πάγια εντολή να αφορά μόνο μία παροχή, δεν υποβλήθηκε μέσω των
προβλεπόμενων εταιρικών καναλιών και δεν καταχωρίστηκε ως αίτημα μεταβολής
στο σύστημά της. Επιπλέον, αναφέρει ότι, όταν ο καταγγέλλων απευθύνθηκε εκ νέου
στην εταιρεία τον Αύγουστο του 2020, δήλωσε ότι δεν επιθυμεί την απενεργοποίηση
των πάγιων εντολών μέχρι να λάβει γραπτή απάντηση. Σύμφωνα με τη ΖΕΝΙΘ,
κατόπιν εσωτερικού ελέγχου και επικοινωνίας με τον εξωτερικό συνεργάτη,
επιβεβαιώθηκε ότι είχε δοθεί τηλεφωνικά εντολή ενεργοποίησης πάγιας εντολής και
για τις τρεις παροχές, ενώ στις 2-9-2020 η εταιρεία απέστειλε αναλυτική έγγραφη
απάντηση με περιγραφή των περιστατικών και οδηγίες για τη διαδικασία ακύρωσης.
Η ΖΕΝΙΘ υποστηρίζει ότι μετά την απάντησή της ο καταγγέλλων δεν υπέβαλε αίτημα
ακύρωσης, ανάκλησης, διαγραφής ή διόρθωσης δεδομένων, ούτε αμφισβήτησε
περαιτέρω την κατάσταση για περίπου δύο έτη, ενώ όταν επανήλθε το 2022,
ζητώντας εκ νέου εξηγήσεις, οι σχετικές ηχογραφημένες κλήσεις δεν ήταν πλέον
διαθέσιμες λόγω της πολιτικής περιορισμένης διατήρησης αρχείων του εξωτερικού
συνεργάτη. Παράλληλα, υποστηρίζει ότι έχει επανειλημμένα ενημερώσει τον
καταγγέλλοντα για τη δυνατότητα διακοπής των πάγιων εντολών, χωρίς να λάβει
σαφή σχετική εντολή. Σύμφωνα με τη ΖΕΝΙΘ, αν γινόταν δεκτός ο ισχυρισμός ότι δεν
απαιτείται υποβολή αιτήματος απενεργοποίησης λόγω έλλειψης υπογραφής των
εντύπων πάγιας εντολής, θα οδηγούμασταν στο παράδοξο να παραμένει εσαεί
ενεργή μια ρύθμιση χωρίς πρακτική δυνατότητα διακοπής της από το ίδιο το
υποκείμενο και επομένως, η αδυναμία ανάκλησης λόγω δήθεν μη υπογραφής
σχετικού εντύπου που επικαλείται ο καταγγέλλων, δεν μπορεί, κατά τη ΖΕΝΙΘ, να
θεμελιώσει ισχυρισμό περί αδράνειας ή παραβίασης εκ μέρους της, αλλά αντιθέτως,
αναδεικνύει την απουσία δήλωσης βούλησης από τον καταγγέλλοντα για αλλαγή της
υφιστάμενης κατάστασης. Η ΖΕΝΙΘ υποστηρίζει ότι διαθέτει διαδικασία για την
καταχώριση των πάγιων εντολών πληρωμής, μέσω των πληροφοριακών της
συστημάτων και των διατραπεζικών υποδομών πληρωμών, αναλύοντας τα κανάλια
εξυπηρέτησης μέσω των οποίων μπορούν να υποβληθούν αιτήματα ενεργοποίησης
πάγιας εντολής και ιδίως τη διαδικασία διαβίβασης αιτημάτων μέσω του γραφείου
πωλήσεων (Sales Back Office) που ενδιαφέρει εν προκειμένω. Διευκρινίζει δε ότι,
στην περίπτωση αυτή, η ενεργοποίηση πάγιας εντολής προϋποθέτει την ύπαρξη
12
κατάλληλης τεκμηρίωσης της σχετικής βούλησης του πελάτη, είτε με τη μορφή
χειρόγραφης υπογεγραμμένης αίτησης πάγιας εντολής, στην οποία αναγράφονται ο
αριθμός τραπεζικού λογαριασμού (IBAN), το τραπεζικό ίδρυμα και το
ονοματεπώνυμο του δικαιούχου, είτε με τη μορφή ηχογραφημένης τηλεφωνικής
επικοινωνίας, κατά την οποία ο πελάτης δηλώνει ρητώς ότι αποδέχεται την
ενεργοποίηση πάγιας εντολής, με ταυτόχρονη αναφορά στον IBAN και στο όνομα του
δικαιούχου του λογαριασμού. Αφού τα στοιχεία καταχωριστούν στο πληροφοριακό
σύστημα CRM της εταιρείας και το αίτημα μεταφερθεί στο πληροφοριακό σύστημα
IEBS για τη διαχείριση και τιμολόγηση πελατών, δημιουργείται σχετικό ηλεκτρονικό
αρχείο που περιλαμβάνει το αίτημα ενεργοποίησης πάγιας εντολής, το οποίο
αποστέλλεται μέσω ασφαλούς πρωτοκόλλου επικοινωνίας (SFTP), στο σύστημα του
οργανισμού ΔΙΑΣ Α.Ε. και ακολούθως διαβιβάζεται στο οικείο πιστωτικό ίδρυμα του
πελάτη, το οποίο προβαίνει στον έλεγχο και την έγκριση της εντολής. Μετά τη λήψη
έγκρισης από την τράπεζα, το αποτέλεσμα καταχωρίζεται στο σύστημα IEBS και
ενημερώνεται η καρτέλα του πελάτη στο CRM, οπότε η πάγια εντολή τίθεται σε
ενεργή κατάσταση, όπως συνέβη στην περίπτωση του καταγγέλλοντος μετά τις
27/5/2020. Αναφορικά με την ηχογραφημένη συνομιλία της 27/5/2020, η ΖΕΝΙΘ
προσκομίζει ως Σχετικό 9 την από 1/5/2019 σύμβασή της με την εταιρεία Σίγμα και
Κάπα Εισαγωγική Α.Ε., στον όρο 11 της οποίας ορίζονται τα εξής: «Η Σίγμα και Κάπα
Εισαγωγική Α.Ε. είναι υπεύθυνη για την διαχείριση του Αρχείου πραγματοποίησης
κλήσεων […] Τα αρχεία που δημιουργούνται με την συλλογή και διαβίβαση των
προσωπικών δεδομένων, ανήκουν κατ’ αποκλειστικότητα στην Εταιρία, η οποία είναι
υπεύθυνη έναντι των αρμοδίων αρχών για την διατήρηση ή και καταστροφή τους, η
δε Σίγμα και Κάπα Εισαγωγική Α.Ε., λειτουργούσα ως εκτελών την επεξεργασία για
λογαριασμό της εταιρείας είναι επίσης υπεύθυνη για την επεξεργασία των
προσωπικών δεδομένων που η ίδια συλλέγει ή/και επεξεργάζεται για τις ανάγκες της
παρούσας σύμβασης. Η Σίγμα και Κάπα Εισαγωγική Α.Ε. υποχρεούται να παραδίδει
στην Εταιρεία τα μέσα (ηλεκτρομαγνητικά ή μη), με τα οποία τηρούνται τα αρχεία,
χωρίς να έχει το δικαίωμα διακράτησης ή αναπαραγωγής αντιγράφων και να
διαγράφει τα δεδομένα από τα δικά της αρχεία, αμέσως μετά την διαβίβαση στην
Εταιρεία», ενώ στο Παράρτημα ΙΙ της εν λόγω σύμβασης περιλαμβάνεται ο όρος6.7.1,
σύμφωνα με τον οποίο «…ο Εκτελών την Επεξεργασία και κάθε Εξουσιοδοτημένος
13
Συνεργάτης και κάθε Υπεργολάβος Επεξεργασίας υποχρεούται να θέσει στη διάθεση
της Εταιρείας, εφόσον του ζητηθεί, όλες τις απαραίτητες πληροφορίες για την
απόδειξη της συμμόρφωσης με το παρόν και επιτρέπει και συμβάλλει σε ελέγχους, η
Εταιρεία ή ανεξάρτητος φορέας συμβαλλόμενος με την Εταιρεία για την διαπίστωση
του τρόπου της Επεξεργασίας των προσωπικών δεδομένων της Εταιρείας». Ωστόσο,
η ΖΕΝΙΘ υποστηρίζει (Βλ. σελ. 10 του υπομνήματός της) ότι στην πράξη το τεχνικό
σύστημα τηλεφωνικών κλήσεων, καθώς και το σύστημα καταγραφής και
αποθήκευσης των ηχογραφημένων αρχείων, λειτουργούσαν και τηρούνταν από τον
ίδιο τον συνεργάτη, ο οποίος είχε τον άμεσο έλεγχο του σχετικού αρχείου, δηλαδή τα
ηχογραφημένα αρχεία τηρούνταν στο πληροφοριακό σύστημα της εκτελούσας την
επεξεργασία εταιρείας, και για τον λόγο αυτό, όπως αναφέρει, «προκειμένου να
αποτυπωθεί με μεγαλύτερη σαφήνεια η πραγματική επιχειρησιακή λειτουργία της
συνεργασίας, ο σχετικός όρος τροποποιήθηκε με συμφωνία των μερών την 1η-8-2021,
οπότε και προβλέφθηκε ρητώς ότι οι κλήσεις που πραγματοποιούνται στο πλαίσιο
της συνεργασίας καταγράφονται και τηρούνται σε ειδικό ηλεκτρονικό αρχείο (log
αρχείο κλήσεων) το οποίο διατηρεί ο συνεργάτης» (βλ. σημείο 3.3.1 του συνημμένου
σχετικού αρχείου με τίτλο «9. Τροποποίηση Σ&Κ 01.08.2021»). Ως εκ τούτου,
σύμφωνα με το υπόμνημα της ΖΕΝΙΘ, η επίμαχη κλήση της 27/5/2020 είχε ήδη
διαγραφεί όταν ζητήθηκε από τον καταγγέλλοντα τον Οκτώβριο του 2022, οπότε και
η εταιρεία είχε την εύλογη πεποίθηση ότι το ζήτημα είχε λήξει. Συμπερασματικά, η
ΖΕΝΙΘ υποστηρίζει ότι είχε απαντήσει εγκαίρως και αναλυτικά στα αιτήματα του
καταγγέλλοντος ήδη από το 2020, παρέχοντας πληροφορίες για την τηλεφωνική
επικοινωνία, την καταχώριση του ΙΒΑΝ και την ενεργοποίηση των πάγιων εντολών,
θεωρώντας ότι ικανοποίησε έτσι το δικαίωμα πρόσβασης του καταγγέλλοντος
σύμφωνα με το άρθρο 15 ΓΚΠΔ, δεδομένου και ότι ο καταγγέλλων δεν υπέβαλε ποτέ
σαφές αίτημα διόρθωσης, διαγραφής ή εναντίωσης σχετικά με τα προσωπικά του
δεδομένα, αλλά περιορίστηκε σε αμφισβήτηση της νομιμότητας της ενεργοποίησης
των πάγιων εντολών· ότι η επεξεργασία των προσωπικών δεδομένων, ιδίως του ΙΒΑΝ,
έγινε αποκλειστικά στο πλαίσιο της συμβατικής σχέσης και για σκοπούς πληρωμής
λογαριασμών, στηριζόμενη στη νομική βάση εκτέλεσης της σύμβασης· ότι τα
δεδομένα που τηρούσε ήταν ακριβή, καθώς ο ίδιος ο καταγγέλλων είχε δηλώσει το
2020 πως δεν επιθυμούσε την απενεργοποίηση των πάγιων εντολών μέχρι να λάβει
14
γραπτή απάντηση· ότι δεν κοινολόγησε παρανόμως δεδομένα σε τρίτους και ότι
αρνήθηκε να διαβιβάσει δεδομένα σε τράπεζα χωρίς εξουσιοδότηση του
υποκειμένου. Τέλος αναφέρει ότι διαθέτει οργανωμένο πλαίσιο συμμόρφωσης με
τον ΓΚΠΔ, εσωτερικές διαδικασίες για τη διαχείριση αιτημάτων του ΓΚΠΔ και
μηχανισμούς εσωτερικού ελέγχου και αιτείται την απόρριψη της καταγγελίας ως
αβάσιμης· επικουρικά, για την περίπτωση που διαπιστωθεί παράβαση, επικαλείται
ελαφρυντικά στοιχεία, όπως η απουσία δόλου, η συνεργασία με την Αρχή, η έλλειψη
προηγούμενων παραβάσεων και ο μεμονωμένος χαρακτήρας της υπόθεσης.
Σημειώνεται ότι προσκομίζεται ως Σχετικό 8 το ενημερωτικό έγγραφο προς τα
υποκείμενα με τίτλο «Δήλωση/Ειδοποίηση Ιδιωτικότητας» και ημερομηνία
τροποποίησης 1.12.2025, στην οποία αναφέρονται τα εξής: «Διακράτηση
Δεδομένων: Τα δεδομένα αυτά τηρούνται καθ’ όλη την χρονική διάρκεια ισχύος της
Σύμβασης Προμήθειας Ηλεκτρικής Ενέργειας ή/και της Σύμβασης Προμήθειας
Φυσικού Αερίου, καθώς και για χρονικό διάστημα πέντε (5) επιπλέον ετών, από τη
λήξη του έτους της διάρκειας της ισχύος της κάθε Σύμβασης, σύμφωνα με τις
διατάξεις του Αστικού Δικαίου περί παραγραφής τυχόν αξιώσεων».
Από την πλευρά της, η Τράπεζα Πειραιώς, τόσο κατά την ακρόαση όσο και με το
υπόμνημά της εξήγησε αναλυτικά πώς λειτουργεί το σύστημα άμεσων χρεώσεων
SEPA Direct Debit, το οποίο διέπεται από το ισχύον ευρωπαϊκό Κανονιστικό πλαίσιο
(Κανονισμός 260/2012, όπως έχει ενσωματωθεί με τον Ν. 4537/2018, τα SEPA Direct
Debit Rulebooks (Core & B2B) και τις προδιαγραφές λειτουργίας του διατραπεζικού
συστήματος ΔΙΑΣ (DIAS Direct Debit), σύμφωνα με το οποίο η πρωτογενής εντολή
ανάθεσης χρέωσης (mandate) τηρείται αποκλειστικά από τον δικαιούχο οργανισμό
και όχι από την τράπεζα του πληρωτή. Υποστηρίζει ότι η ίδια λαμβάνει μόνο
τυποποιημένα ηλεκτρονικά στοιχεία μέσω του συστήματος ΔΙΑΣ, βάσει των οποίων
εκτελεί τις χρεώσεις, χωρίς να έχει πρόσβαση στο περιεχόμενο της εντολής και χωρίς
να γνωρίζει τη συμβατική σχέση μεταξύ οργανισμού και πελάτη, συνεπώς δεν είναι
η Τράπεζα υπεύθυνη επεξεργασίας για το πρωτογενές περιεχόμενο των εντολών
ανάθεσης, αλλά ο δικαιούχος οργανισμός - εν προκειμένω η ΖΕΝΙΘ - καθώς η Τράπεζα
δεν παρεμβαίνει στη συλλογή, διαμόρφωση ή τροποποίηση της εντολής ανάθεσης,
ούτε διατηρεί αντίγραφα των πρωτογενών εντολών, αλλά μόνο περιορισμένα
δεδομένα που της διαβιβάζονται μέσω ΔΙΑΣ για την εκτέλεση των πληρωμών.
15
Περαιτέρω η Τράπεζα αναφέρει ότι ανταποκρίθηκε άμεσα στα αιτήματα του
καταγγέλλοντος για χορήγηση αντιγράφων των εντολών άμεσης χρέωσης και
ενημέρωση σχετικά με την προέλευσή τους, που υποβλήθηκαν ήδη από τον
Οκτώβριο του 2022 και εκ νέου το 2023, παρέχοντας όλες τις πληροφορίες και τα
δεδομένα που διέθετε σχετικά με τις επίμαχες χρεώσεις και τον τρόπο λειτουργίας
του συστήματος. Ειδικότερα, τον ενημέρωσε ότι στις 27/05/2020 είχε παραλάβει από
τη ΖΕΝΙΘ, μέσω ΔΙΑΣ, τα ηλεκτρονικά αρχεία που περιείχαν τα στοιχεία των τριών
εντολών άμεσης χρέωσης, του παρείχε περιγραφικά όλα τα στοιχεία που η ίδια
γνώριζε από τα τυποποιημένα ηλεκτρονικά μηνύματα, αναφέρει ότι οι σχετικοί
κωδικοί ανάθεσης τού ήταν ήδη γνωστοί μέσω των κινήσεων του λογαριασμού του,
ενώ υποστηρίζει ότι δεν μπορούσε να χορηγήσει αντίγραφα των υπογεγραμμένων
εντολών, καθώς αυτά δεν βρίσκονταν στην κατοχή της, και γι’ αυτό παρέπεμψε τον
καταγγέλλοντα στη ΖΕΝΙΘ προς αναζήτησή τους. Σύμφωνα με την Τράπεζα, ο
καταγγέλλων ενημερώθηκε για τα δικαιώματα αμφισβήτησης μη εγκεκριμένων
πράξεων πληρωμών και επιστροφής χρημάτων που προβλέπει το κανονιστικό
πλαίσιο των υπηρεσιών πληρωμών, ωστόσο δεν άσκησε κάποιο από τα
προβλεπόμενα δικαιώματα, με αποτέλεσμα οι χρεώσεις να εξακολουθούν να
πραγματοποιούνται μέχρι σήμερα. Τέλος, η Τράπεζα υποστηρίζει ότι δεν παραβίασε
το δικαίωμα πρόσβασης του καταγγέλλοντος διότι παρείχε όλα τα δεδομένα του που
η ίδια τηρούσε, ούτε την αρχή της ακρίβειας, δεδομένου ότι δεν είχε ούτε
πραγματική ούτε κανονιστική δυνατότητα να ελέγξει ή να τροποποιήσει το
περιεχόμενο των πρωτογενών εντολών.
Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και αφού άκουσε τον
εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, μετά από διεξοδική συζήτηση
ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
1. Από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας
Δεδομένων (Κανονισμού (ΕΕ) 2016/679 – εφεξής, ΓΚΠΔ) και του άρθρου 9 του Ν.
4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την
16
εφαρμογή των διατάξεων του ΓΚΠΔ, των παραπάνω νόμων και άλλων ρυθμίσεων που
αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ.
1 στοιχ. ζ΄ του Ν. 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί
των καταγγελιών του Α κατά της εταιρείας ΖΕΝΙΘ και κατά της Τράπεζας Πειραιώς και
να ασκήσει, αντίστοιχα, τις εξουσίες που της απονέμονται από τις διατάξεις των
άρθρων 58 του ΓΚΠΔ και 15 του νόμου 4624/2019.
2. Σύμφωνα με το άρθρο 5 παρ. 1 α) και δ) του Γενικού Κανονισμού (ΕΕ) 2016/679 για
την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων
προσωπικού χαρακτήρα (εφεξής ΓΚΠΔ), «τα δεδομένα προσωπικού χαρακτήρα: α)
υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το
υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»), […] δ)
είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται· πρέπει να λαμβάνονται
όλα τα εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση δεδομένων προσωπικού
χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς της επεξεργασίας
(«ακρίβεια»)».
3. Ως «υπεύθυνος επεξεργασίας» (άρθρο 4 αρ. 7 ΓΚΠΔ) ορίζεται το φυσικό ή νομικό
πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με
άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων
προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής
καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος
επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται
από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους. Περαιτέρω, ως «εκτελών την
επεξεργασία» (άρθρο 4 αρ. 8 ΓΚΠΔ) νοείται το φυσικό ή νομικό πρόσωπο, η δημόσια
αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού
χαρακτήρα για λογαριασμό του υπευθύνου της επεξεργασίας. Όπως επισημαίνεται
στις Κατευθυντήριες Γραμμές 07/2020 του ΕΣΠΔ σχετικά με τις έννοιες του
υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία στον ΓΚΠΔ - Έκδοση
17
2.0 (7 Ιουλίου 2021) 1, «Ο καθορισμός των σκοπών και των μέσων ισοδυναμεί με τη
λήψη αποφάσεων σχετικά με τον λόγο και τον τρόπο της επεξεργασίας αντίστοιχα :
14 υπό το πρίσμα μιας συγκεκριμένης δραστηριότητας επεξεργασίας, υπεύθυνος
επεξεργασίας είναι ο παράγοντας που έχει καθορίσει τον λόγο εκτέλεσης της
επεξεργασίας (ήτοι, τον «σκοπό» ή τη «σκοπιμότητα») και τον τρόπο με το οποίο θα
επιτευχθεί ο συγκεκριμένος στόχος (ήτοι ποια μέσα θα χρησιμοποιηθούν για την
επίτευξη του στόχου). Φυσικό ή νομικό πρόσωπο το οποίο επηρεάζει κατ’ αυτόν τον
τρόπο την επεξεργασία των δεδομένων προσωπικού χαρακτήρα συμμετέχει στον
καθορισμό των σκοπών και των μέσων της εν λόγω επεξεργασίας σύμφωνα με τον
ορισμό του άρθρου 4 παράγραφος 7 του ΓΚΠΔ» (§35), ενώ παρατίθεται συγκεκριμένο
παράδειγμα (σελ. 18) αναφορικά με την εκτέλεση πληρωμών (μισθοδοσίας) από
τράπεζα, σύμφωνα με το οποίο, στο πλαίσιο επίτευξης του σκοπού της εκτέλεσης
τραπεζικής δραστηριότητας, η τράπεζα αποφασίζει ανεξάρτητα από τον εργοδότη
ποια δεδομένα θα υπόκεινται σε επεξεργασία για την παροχή της υπηρεσίας, τη
διάρκεια της διατήρησής τους κλπ. και ως εκ τούτου η τράπεζα θα πρέπει να
αντιμετωπίζεται ως ανεξάρτητος υπεύθυνος επεξεργασίας σε σχέση με τον εργοδότη
για τη συγκεκριμένη επεξεργασία. Περαιτέρω, σύμφωνα με το άρθρο 29 ΓΚΠΔ «Ο
εκτελών την επεξεργασία και κάθε πρόσωπο που ενεργεί υπό την εποπτεία του
υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, το οποίο έχει
πρόσβαση σε δεδομένα προσωπικού χαρακτήρα, επεξεργάζεται τα εν λόγω δεδομένα
μόνον κατ' εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο
από το δίκαιο της Ένωσης ή του κράτους μέλους».
4. Σύμφωνα με το άρθρο 15 παρ. 1 και 3 του ΓΚΠΔ, «1. Το υποκείμενο των δεδομένων
έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το
κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται
επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα
προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες: […]. 3. Ο υπεύθυνος
επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που
υποβάλλονται σε επεξεργασία. […] Εάν το υποκείμενο των δεδομένων υποβάλλει το
1
Διαθέσιμες στην ιστοσελίδα του ΕΣΠΔ https://www.edpb.europa.eu/our-work-tools/our-
documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en
18
αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι
διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται
συνήθως». Όπως επισημαίνεται δε στις Κατευθυντήριες γραμμές της ΟΕ29 σχετικά
με τη διαφάνεια (WP260 rev.01, 22.08.2018), ο κανόνας της διαφανούς ενημέρωσης
με σαφή, απλή και οριστική διατύπωση που απορρέει από τη διάταξη του άρθρου 12
παρ. 1 ΓΚΠΔ πρέπει να διέπει και την ενημέρωση που λαμβάνουν τα υποκείμενα ως
απάντηση σε αίτημα πρόσβασης κατά το άρθρο 15 ΓΠΚΔ.
5. Τα αιτήματα πρόσβασης πρέπει να ικανοποιούνται κατ’ αρχήν εντός προθεσμίας
ενός μηνός από την παραλαβή του αιτήματος, όπως ορίζει το άρθρο 12 παρ. 3 του
ΓΚΠΔ: «Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων
πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των
άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την
παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο
ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του
αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει
το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την
παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης. (…)».
Εξάλλου, όπως επισημαίνεται στις Κατευθυντήριες Γραμμές 01/2022 του
Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (ΕΣΠΔ) σχετικά με το δικαίωμα
πρόσβασης 2 «….ο σκοπός του δικαιώματος πρόσβασης δεν προσφέρεται για να
αναλυθεί ως προϋπόθεση για την άσκηση του δικαιώματος πρόσβασης από τον
υπεύθυνο επεξεργασίας στο πλαίσιο της εκ μέρους του αξιολόγησης των αιτημάτων
πρόσβασης. Ως εκ τούτου, οι υπεύθυνοι επεξεργασίας δεν θα πρέπει να ελέγχουν
«γιατί» το υποκείμενο των δεδομένων ζητεί πρόσβαση, αλλά μόνο «τι» ζητεί το
υποκείμενο των δεδομένων» (§13).
6. Περαιτέρω, με τις προαναφερόμενες Κατευθυντήριες Γραμμές διευκρινίζεται ότι η
υποχρέωση παροχής αντιγράφου σύμφωνα με την παρ. 3 του άρθρου 15 ΓΚΠΔ δεν
2
Κατευθυντήριες γραμμές 01/2022 σχετικά με τα δικαιώματα των υποκειμένων των δεδομένων —
Δικαίωμα πρόσβασης, Έκδοση 2.0 (28 Μαρτίου 2023), διαθέσιμες στη διεύθυνση
https://www.edpb.europa.eu/system/files/2024-
04/edpb_guidelines_202201_data_subject_rights_access_v2_el.pdf
19
πρέπει να νοείται ως πρόσθετο δικαίωμα του υποκειμένου των δεδομένων, αλλά ως
τρόπος παροχής πρόσβασης στα δεδομένα. Πάντως εάν η πρόσβαση στα δεδομένα
κατά την έννοια του άρθρου 15 παρ. 1 παρέχεται με την παροχή αντιγράφου, τηρείται
η υποχρέωση παροχής αντιγράφου που αναφέρεται στο άρθρο 15 παρ. 3. Η
υποχρέωση παροχής αντιγράφου εξυπηρετεί τους στόχους του δικαιώματος
πρόσβασης , οι οποίοι συνίστανται στο να μπορεί το υποκείμενο των δεδομένων να
έχει επίγνωση και να επαληθεύει τη νομιμότητα της επεξεργασίας (Αιτ. Σκέψη 63
ΓΚΠΔ). Για την επίτευξη αυτών των στόχων, το υποκείμενο των δεδομένων θα πρέπει
στις περισσότερες περιπτώσεις να μπορεί να δει τις πληροφορίες όχι μόνο
προσωρινά. Ως εκ τούτου, το υποκείμενο των δεδομένων θα πρέπει να αποκτήσει
πρόσβαση στις πληροφορίες λαμβάνοντας αντίγραφο των δεδομένων προσωπικού
χαρακτήρα. (Κατευθυντήριες Γραμμές 1/2022 ΕΣΠΔ, §§ 23, 24). Επιπλέον
επισημαίνονται τα εξής: «152. Εναπόκειται στον υπεύθυνο επεξεργασίας να
αποφασίσει σχετικά με την κατάλληλη μορφή με την οποία θα παρασχεθούν τα
δεδομένα προσωπικού χαρακτήρα. Ο υπεύθυνος επεξεργασίας μπορεί, παρότι δεν
υποχρεούται απαραιτήτως, να παράσχει τα έγγραφα που περιέχουν δεδομένα
προσωπικού χαρακτήρα σχετικά με τα υποκείμενα των δεδομένων που υποβάλλουν
το αίτημα, στην αρχική τους μορφή. Ο υπεύθυνος επεξεργασίας θα μπορούσε, για
παράδειγμα, κατά περίπτωση, να παράσχει πρόσβαση σε αντίγραφο του μέσου,
δεδομένης της ανάγκης για διαφάνεια (για παράδειγμα, για την επαλήθευση της
ακρίβειας των δεδομένων που κατέχει ο υπεύθυνος επεξεργασίας σε περίπτωση
αιτήματος πρόσβασης στον ιατρικό φάκελο ή σε ηχογράφηση της οποίας
αμφισβητείται η απομαγνητοφώνηση). Ωστόσο, το ΔΕΕ, στο πλαίσιο της εκ μέρους
του ερμηνείας του δικαιώματος πρόσβασης βάσει της οδηγίας 95/46/EΚ, ανέφερε ότι
«[γ]ια την άσκηση [του δικαιώματος πρόσβασης] αρκεί να δοθεί στον αιτούντα
πλήρης εικόνα των δεδομένων αυτών κατά τρόπο εύληπτο, δηλαδή κατά τρόπο που
να επιτρέπει στον ενδιαφερόμενο να βεβαιώνεται για την ακρίβεια των δεδομένων
αυτών και για τη σύμφωνη με την οδηγία επεξεργασία τους, ώστε να μπορεί
ενδεχομένως να ασκήσει τα δικαιώματα που απορρέουν από την εν λόγω οδηγία». Σε
αντίθεση με την οδηγία, ο ΓΚΠΔ προβλέπει ρητώς την υποχρέωση παροχής στο
υποκείμενο των δεδομένων αντιγράφου των δεδομένων προσωπικού χαρακτήρα που
υποβάλλονται σε επεξεργασία. Ωστόσο, αυτό δεν σημαίνει ότι το υποκείμενο των
20
δεδομένων έχει πάντα το δικαίωμα να λαμβάνει αντίγραφο των εγγράφων που
περιέχουν τα δεδομένα προσωπικού χαρακτήρα, αλλά ένα αναλλοίωτο αντίγραφο
των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία στα εν
λόγω έγγραφα (…). 153. Με την επιφύλαξη της μορφής με την οποία ο υπεύθυνος
επεξεργασίας παρέχει τα δεδομένα προσωπικού χαρακτήρα, π.χ. παρέχοντας τα ίδια
τα έγγραφα που περιέχουν τα δεδομένα προσωπικού χαρακτήρα ή συλλογή των
δεδομένων προσωπικού χαρακτήρα, οι πληροφορίες συμμορφώνονται με τις
απαιτήσεις διαφάνειας που ορίζονται στο άρθρο 12 του ΓΚΠΔ. Η κατάρτιση κάποιου
είδους συλλογής και/ή η εξαγωγή των δεδομένων κατά τρόπο που να διευκολύνει την
κατανόηση των πληροφοριών θα μπορούσε, σε ορισμένες περιπτώσεις, να είναι ένας
τρόπος συμμόρφωσης με τις εν λόγω απαιτήσεις. Σε άλλες περιπτώσεις, οι
πληροφορίες γίνονται καλύτερα κατανοητές με την παροχή αντιγράφου του
εγγράφου που περιέχει τα δεδομένα προσωπικού χαρακτήρα. Ως εκ τούτου, το ποια
είναι η καταλληλότερη μορφή πρέπει να αποφασίζεται κατά περίπτωση. 155. Σε
ορισμένες περιπτώσεις, τα ίδια τα δεδομένα προσωπικού χαρακτήρα καθορίζουν τις
απαιτήσεις ως προς τη μορφή στην οποία θα πρέπει να παρασχεθούν τα δεδομένα
προσωπικού χαρακτήρα. Για παράδειγμα, όταν τα δεδομένα προσωπικού χαρακτήρα
αποτελούν χειρόγραφες πληροφορίες από το υποκείμενο των δεδομένων, ενδέχεται
να πρέπει να παρασχεθεί στο υποκείμενο των δεδομένων φωτοαντίγραφο των εν
λόγω χειρόγραφων πληροφοριών, δεδομένου ότι η γραφή αυτή καθαυτή είναι
δεδομένα προσωπικού χαρακτήρα. Αυτό θα μπορούσε να ισχύει ιδίως όταν η γραφή
είναι κάτι που έχει σημασία για την επεξεργασία, π.χ. ανάλυση χειρόγραφου
κειμένου. Το ίδιο ισχύει γενικά για τις ηχογραφήσεις, επειδή η φωνή του ίδιου του
υποκειμένου των δεδομένων είναι δεδομένα προσωπικού χαρακτήρα. Ωστόσο, σε
ορισμένες περιπτώσεις, η πρόσβαση μπορεί να δοθεί με την παροχή
απομαγνητοφώνησης της συνομιλίας, για παράδειγμα, εάν αυτό συμφωνηθεί μεταξύ
του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας».
7. Σύμφωνα με τις διατάξεις των παρ. 1 και 2 του άρθρου 32 ΓΚΠΔ για την ασφάλεια
της επεξεργασίας, «1. Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος
εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της
επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και
21
σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο
υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα
τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο
ασφάλειας έναντι των κινδύνων, περιλαμβανομένων, μεταξύ άλλων, κατά
περίπτωση: (…), β) της δυνατότητας διασφάλισης του απορρήτου, της ακεραιότητας,
της διαθεσιμότητας και της αξιοπιστίας των συστημάτων και των υπηρεσιών
επεξεργασίας σε συνεχή βάση, γ) της δυνατότητας αποκατάστασης της
διαθεσιμότητας και της πρόσβασης σε δεδομένα προσωπικού χαρακτήρα σε εύθετο
χρόνο σε περίπτωση φυσικού ή τεχνικού συμβάντος, (…)».
8. Όταν χρησιμοποιούνται εκτελούντες την επεξεργασία, που διενεργούν
επεξεργασία δεδομένων προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου
επεξεργασίας, εφαρμόζεται η διάταξη του άρθρου 28 ΓΚΠΔ σύμφωνα με την οποία:
«1. Όταν η επεξεργασία πρόκειται να διενεργηθεί για λογαριασμό υπευθύνου
επεξεργασίας, ο υπεύθυνος επεξεργασίας χρησιμοποιεί μόνο εκτελούντες την
επεξεργασία που παρέχουν επαρκείς διαβεβαιώσεις για την εφαρμογή κατάλληλων
τεχνικών και οργανωτικών μέτρων, κατά τρόπο ώστε η επεξεργασία να πληροί τις
απαιτήσεις του παρόντος κανονισμού και να διασφαλίζεται η προστασία των
δικαιωμάτων του υποκειμένου των δεδομένων. […] 3. Η επεξεργασία από τον
εκτελούντα την επεξεργασία διέπεται από σύμβαση ή άλλη νομική πράξη υπαγόμενη
στο δίκαιο της Ένωσης ή του κράτους μέλους, που δεσμεύει τον εκτελούντα την
επεξεργασία σε σχέση με τον υπεύθυνο επεξεργασίας και καθορίζει το αντικείμενο
και τη διάρκεια της επεξεργασίας, τη φύση και τον σκοπό της επεξεργασίας, το είδος
των δεδομένων προσωπικού χαρακτήρα και τις κατηγορίες των υποκειμένων των
δεδομένων και τις υποχρεώσεις και τα δικαιώματα του υπευθύνου επεξεργασίας. Η
εν λόγω σύμβαση ή άλλη νομική πράξη προβλέπει ειδικότερα ότι ο εκτελών την
επεξεργασία: α) επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα μόνο βάσει
καταγεγραμμένων εντολών του υπευθύνου επεξεργασίας, […] γ) λαμβάνει όλα τα
απαιτούμενα μέτρα δυνάμει του άρθρου 32, […] ε) λαμβάνει υπόψη τη φύση της
επεξεργασίας και επικουρεί τον υπεύθυνο επεξεργασίας με τα κατάλληλα τεχνικά και
οργανωτικά μέτρα, στον βαθμό που αυτό είναι δυνατό, για την εκπλήρωση της
υποχρέωσης του υπευθύνου επεξεργασίας να απαντά σε αιτήματα για άσκηση των
22
προβλεπόμενων στο κεφάλαιο III δικαιωμάτων του υποκειμένου των δεδομένων, στ)
συνδράμει τον υπεύθυνο επεξεργασίας στη διασφάλιση της συμμόρφωσης προς τις
υποχρεώσεις που απορρέουν από τα άρθρα 32 έως 36, λαμβάνοντας υπόψη τη φύση
της επεξεργασίας και τις πληροφορίες που διαθέτει ο εκτελών την επεξεργασία […]».
9. Στην προκειμένη περίπτωση, κατόπιν ακρόασης των μερών και από την εξέταση
του συνόλου του φακέλου της υπόθεσης, προέκυψαν τα ακόλουθα πραγματικά
περιστατικά:
Α. Καταγγελία κατά ΖΕΝΙΘ
Στις 27/5/2020, ο καταγγέλλων συνήψε τηλεφωνικά σύμβαση ηλεκτρικής ενέργειας
με τη ΖΕΝΙΘ για τρεις παροχές, μέσω της εκτελούσας την επεξεργασία «Σίγμα και
Κάπα Εισαγωγική Α.Ε.». Κατά τη διάρκεια της κλήσης ο καταγγέλλων δήλωσε τον
αριθμό του τραπεζικού λογαριασμού του (ΙΒΑΝ) με σκοπό τη χρήση του για την
εξόφληση τουλάχιστον μίας παροχής μέσω πάγιας εντολής. Στις 4/6/2020 σε νεότερη
τηλεφωνική επικοινωνία του καταγγέλλοντος με την ίδια εταιρεία, ο καταγγέλλων
δήλωσε ότι δεν επιθυμεί να εξοφλούνται μέσω πάγιας εντολής οι δύο άλλες παροχές,
ενώ όταν τού εστάλησαν τα σχετικά συμβατικά έντυπα προς υπογραφή, ο
καταγγέλλων υπέγραψε μόνο το ένα εκ των τριών εντύπων πάγιας εντολής. Όταν δε
ο καταγγέλλων διαπίστωσε ότι μέσω πάγιας εντολής εξοφλούνταν και οι τρεις
παροχές ηλεκτρικής ενέργειας, απευθύνθηκε στις 13/8/2020 προς τη ΖΕΝΙΘ
προκειμένου να διαμαρτυρηθεί σχετικά. Περαιτέρω, ο όρος 11 της από 1/5/2019
Σύμβασης της ΖΕΝΙΘ με την εκτελούσα την επεξεργασία «Σίγμα και Κάπα Εισαγωγική
Α.Ε.» όριζε ότι τα δεδομένα που συλλέγονται εκ μέρους της εκτελούσας την
επεξεργασία διαβιβάζονται υποχρεωτικά στη ΖΕΝΙΘ ως υπεύθυνη επεξεργασίας και
όχι απλώς ότι «τα ηχογραφημένα αρχεία θα μπορούσαν να παραδίδονται στην
εταιρεία», όπως αναφέρει η ΖΕΝΙΘ στη σελ. 10 του υπομνήματός της. Ειδικότερα, ο
όρος 11 της σύμβασης όριζε τα εξής: «Η Σίγμα και Κάπα Εισαγωγική Α.Ε. είναι
υπεύθυνη για την διαχείριση του Αρχείου πραγματοποίησης κλήσεων […] Τα αρχεία
που δημιουργούνται με την συλλογή και διαβίβαση των προσωπικών δεδομένων,
ανήκουν κατ’ αποκλειστικότητα στην Εταιρία, η οποία είναι υπεύθυνη έναντι των
αρμοδίων αρχών για την διατήρηση ή και καταστροφή τους, η δε Σίγμα και Κάπα
23
Εισαγωγική Α.Ε., λειτουργούσα ως εκτελών την επεξεργασία για λογαριασμό της
εταιρείας είναι επίσης υπεύθυνη για την επεξεργασία των προσωπικών δεδομένων
που η ίδια συλλέγει ή/και επεξεργάζεται για τις ανάγκες της παρούσας σύμβασης. Η
Σίγμα και Κάπα Εισαγωγική Α.Ε. υποχρεούται να παραδίδει στην Εταιρεία τα μέσα
(ηλεκτρομαγνητικά ή μη), με τα οποία τηρούνται τα αρχεία, χωρίς να έχει το δικαίωμα
διακράτησης ή αναπαραγωγής αντιγράφων και να διαγράφει τα δεδομένα από τα
δικά της αρχεία, αμέσως μετά την διαβίβαση στην Εταιρεία»). Ωστόσο η ΖΕΝΙΘ
ισχυρίστηκε στο πλαίσιο της ακρόασης ότι ο ως άνω όρος δεν τηρούνταν στην πράξη
και για τον λόγο αυτό η σύμβασή της με την εκτελούσα την επεξεργασία
τροποποιήθηκε από την 1/8/2021 ώστε να «αποτυπώνεται με μεγαλύτερη σαφήνεια
η πραγματική επιχειρησιακή λειτουργία της συνεργασίας» (βλ. σελ. 10 του
υπομνήματός της). Σε κάθε περίπτωση, κατά τον χρόνο των πραγματικών
περιστατικών (Ιούνιος – Αύγουστος 2020), όταν ο καταγγέλλων αμφισβήτησε για
πρώτη φορά προς τη ΖΕΝΙΘ το περιεχόμενο της από 27/5/2020 τηλεφωνικής κλήσης
του με την εκτελούσα την επεξεργασία, η κλήση ήταν διαθέσιμη, όπως η ίδια η ΖΕΝΙΘ
αναφέρει (βλ. σελ. 12 του υπομνήματος). Συνεπώς κατά τον χρόνο αυτό η ΖΕΝΙΘ
όφειλε και μπορούσε να αποκτήσει πρωτογενώς πρόσβαση στο περιεχόμενο της εν
λόγω κλήσης προκειμένου να διαπιστώσει το περιεχόμενό της και να απαντήσει στον
καταγγέλλοντα με πλήρη επίγνωση αυτού και όχι απλώς «στηριζόμενη στον έλεγχο»
της εκτελούσας την επεξεργασία εταιρείας. Άλλωστε, με την από 2/9/2020 απάντησή
της προς τον καταγγέλλοντα, η ΖΕΝΙΘ αναφέρθηκε στα πραγματικά περιστατικά, όχι
ως «ισχυρισμούς του εξουσιοδοτημένου συνεργάτη» αλλά ως διαπιστωμένα
γεγονότα, για τα οποία μάλιστα ανέλαβε την ευθύνη και απολογήθηκε στον
καταγγέλλοντα για την αναστάτωση που του προκλήθηκε: «Εν συνεχεία,
ενημερώσατε τον εξουσιοδοτημένο συνεργάτη πωλήσεων, ότι επιθυμείτε την
ενεργοποίηση Πάγιας Εντολής μόνο για την εξόφληση των λογαριασμών της παροχής
με αριθμό…. Ωστόσο, εκ παραδρομής ο εξουσιοδοτημένος συνεργάτης δεν
προχώρησε στις απαραίτητες ενέργειες. Ζητούμε συγγνώμη για την ταλαιπωρία και
την αναστάτωση που σας προκλήθηκε». Σημειώνεται ότι η ΖΕΝΙΘ δεν προσκόμισε
οποιοδήποτε στοιχείο προς τεκμηρίωση της επικοινωνίας της με την ως άνω
εκτελούσα την επεξεργασία, αναφορικά με τη διερεύνηση των πραγματικών
περιστατικών της υπόθεσης, ούτε προκύπτει ότι έλεγξε τυχόν μη συμμόρφωση της
24
εκτελούσας την επεξεργασία με τις οδηγίες της, ως υπευθύνου επεξεργασίας.
Σύμφωνα με το από 20/3/2026 υπόμνημα της εταιρείας (σελ.4), όταν εστάλησαν στον
καταγγέλλοντα τα έγγραφα επιβεβαίωσης και τα συμβατικά έντυπα, ο καταγγέλλων
υπέγραψε μόνο το ένα από τα τρία έντυπα πάγιας εντολής. Ο συναφής δε ισχυρισμός
που περιλαμβάνεται στο από 17/4/2024 απαντητικό έγγραφο της ΖΕΝΙΘ προς την
Αρχή («Σε μεταγενέστερη επικοινωνία που είχε ο ίδιος με τον εξωτερικό συνεργάτη
μας στις 4-6-2020, αφότου είχε υπογράψει και συναινέσει στην πληρωμή των
λογαριασμών των παροχών του μέσω παγίας εντολής, ο Καταγγέλλων διευκρίνισε ότι
επιθυμεί ο τρόπος αυτός πληρωμής να ισχύσει μόνο για την παροχή που αντιστοιχεί
στο γκαράζ … και όχι για τα οικιακά, καθώς σε αυτά προτιμά να καταθέσει τις
εγγυήσεις») παρίσταται αντιφατικός σε σχέση με τα αναφερόμενα στο υπόμνημά της
και δεν ανταποκρίνεται στην πραγματικότητα. Περαιτέρω, ο ισχυρισμός της ΖΕΝΙΘ
ότι «η μη υπογραφή των λοιπών δύο δεν συνοδεύτηκε από καμία ρητή, σαφή και
ειδική δήλωση ανάκλησης της ήδη εκδηλωθείσας πρόθεσης ενεργοποίησης» είναι
προδήλως αβάσιμος· η υπογραφή των εντύπων τεκμηριώνει τη συγκατάθεση του
πελάτη και δεν αποτελεί απλώς «τυπική διαδικασία» αλλά ουσιαστική προϋπόθεση
για την έγκυρη ενεργοποίηση των πάγιων εντολών εκ μέρους του, ιδίως στην υπό
κρίση περίπτωση στην οποία δεν διατηρείται πλέον ούτε η ηχογραφημένη
τηλεφωνική κλήση της 27/5/2020. Βάσει των ανωτέρω προκύπτει ότι η ΖΕΝΙΘ ήδη
από τις 2/9/2020 τελούσε σε γνώση του ότι η καταχώρηση παγίων εντολών για την
εξόφληση των δύο εκ των τριών παροχών του καταγγέλλοντος είχε λάβει χώρα εκ
παραδρομής και δεν ανταποκρινόταν στην πραγματική βούλησή του. Συνεπώς σε
εκείνο το χρονικό σημείο, ως υπεύθυνος επεξεργασίας, η εταιρεία ΖΕΝΙΘ όφειλε με
βάση την αρχή της ακρίβειας των δεδομένων (άρθρο 5 παρ. 1 δ’ ΓΚΠΔ) να προβεί στις
απαραίτητες ενέργειες προς διόρθωση των ανακριβών δεδομένων που τηρούσε για
τον καταγγέλλοντα. Ο ισχυρισμός της ΖΕΝΙΘ, ότι «ο καταγγέλλων δήλωσε ότι δεν
επιθυμεί την απενεργοποίηση των πάγιων εντολών έως ότου λάβει γραπτή
απάντηση» δεν μπορεί να ερμηνεύεται ως βούληση συνέχισης της υφιστάμενης
κατάστασης, δεδομένου ότι ο καταγγέλλων ζητούσε πρωτίστως τεκμηρίωση για τον
ισχυρισμό της ΖΕΝΙΘ, ότι ο ίδιος είχε δώσει τρεις πάγιες εντολές, τον οποίο επί της
ουσίας αμφισβητούσε. Παρ’ όλα αυτά, διαπιστώνεται ότι η ΖΕΝΙΘ εξακολούθησε να
τηρεί τα ως άνω ανακριβή δεδομένα, μεταθέτοντας το βάρος της διόρθωσής τους στο
25
υποκείμενο, ζητώντας δηλαδή από τον καταγγέλλοντα να προβεί σε επιπλέον
ενέργειες προς ακύρωση (ανάκληση) των εντολών, τις οποίες, εν γνώσει της, δεν είχε
δώσει εγκύρως. Σημειώνεται, εξάλλου, ότι οι οχλήσεις του καταγγέλλοντος
αναφορικά με το ζήτημα θα μπορούσαν να θεωρηθούν επί της ουσίας ως αιτήματα
διόρθωσης των δεδομένων του (άρθρο 16 ΓΚΠΔ), αφού ο καταγγέλλων δήλωνε
συγκεκριμένα ότι ο ίδιος «δεν έχει δώσει τις εντολές». Επομένως διαπιστώνεται κατ’
αρχάς παραβίαση της αρχής της ακρίβειας των δεδομένων εκ μέρους της ΖΕΝΙΘ ως
υπεύθυνου επεξεργασίας.
Περαιτέρω, διαπιστώνεται ότι κατόπιν του από 11/10/2022 αιτήματος πρόσβασης
που υπέβαλε ο καταγγέλλων μέσω e-mail, η ΖΕΝΙΘ ανταποκρίθηκε με την από
3/3/2023 ηλεκτρονική επιστολή, δηλαδή έπειτα από πέντε (5) μήνες, απλώς
παραπέμποντας τον καταγγέλλοντα στην από 2/9/2020 προηγούμενη επιστολή της
και χωρίς να του παρέχει ακριβείς και πλήρεις πληροφορίες, ιδίως α) για το γεγονός
ότι δεν διατηρείται για τον καταγγέλλοντα το μοναδικό υπογεγραμμένο έντυπο
ενεργοποίησης της πάγιας εντολής και β) για το γεγονός ότι και η ηχογραφημένη
τηλεφωνική συνομιλία του με τον εκτελούντα την επεξεργασία στις 27/5/2020 είχε
διαγραφεί. Ως εκ τούτου διαπιστώνεται εκ μέρους της ΖΕΝΙΘ ως υπευθύνου
επεξεργασίας παραβίαση της υποχρέωσης ανταπόκρισης στα δικαιώματα του ΓΚΠΔ
εντός της προβλεπόμενης βάσει του άρθρου 12 παρ. 3 ΓΚΠΔ προθεσμίας, καθώς και
πλημμελής ανταπόκριση στο δικαίωμα πρόσβασης βάσει του άρθρου 15 παρ. 1 σε
συνδυασμό με το άρθρο 12 παρ. 1 ΓΚΠΔ.
Τέλος, διαπιστώνεται ότι η εκτελούσα την επεξεργασία «Σίγμα και Κάπα Εισαγωγική
Α.Ε.» δεν τηρεί τις οδηγίες της ΖΕΝΙΘ ως υπευθύνου επεξεργασίας. Ειδικότερα, η εν
λόγω εκτελούσα την επεξεργασία δεν προκύπτει ότι διαβίβαζε τα δεδομένα
(καταγεγραμμένες τηλεφωνικές κλήσεις) στη ΖΕΝΙΘ, σύμφωνα με τους όρους της
μεταξύ τους από 1/5/2019 σύμβασης, δεν τα τηρούσε σύμφωνα με την πολιτική
διατήρησης δεδομένων της ΖΕΝΙΘ ως υπευθύνου επεξεργασίας (5 έτη μετά τη λήξη
της σύμβασης του πελάτη), αλλά αντιθέτως, όπως η ΖΕΝΙΘ αναφέρει στο υπόμνημά
της, εφάρμοζε με δική της πρωτοβουλία διαφορετικό χρόνο διατήρησης δεδομένων·
αναφορικά δε με την υπό κρίση υπόθεση, η εκτελούσα την επεξεργασία παρέλειψε
να καταχωρήσει ως τυποποιημένο αίτημα ακύρωσης/ανάκλησης ή μεταβολής πάγιας
26
εντολής το αίτημα διόρθωσης που υπέβαλε ο καταγγέλλων στις 4/6/2020 «εκ
παραδρομής» (βλ. και σελ. 17 του υπομνήματος), ενώ όπως προκύπτει από το
Γ/ΕΙΣ/3580/17-04-2024 απαντητικό έγγραφο της ΖΕΝΙΘ, η εκτελούσα την
επεξεργασία δεν διατήρησε ούτε το μοναδικό υπογεγραμμένο έντυπο που τον
αφορούσε «τον Αύγουστο του ιδίου έτους, διαπιστώθηκε ότι, εκ παραδρομής και
μεταγενεστέρως, το συγκεκριμένο έντυπο ενεργοποίησης της πάγιας εντολής δεν είχε
επισυναφθεί στη σύμβαση, με αποτέλεσμα να υφίσταται μόνο προφορική εντολή
παγίας πληρωμής» (βλ. και σελ. 13 του υπομνήματος της ΖΕΝΙΘ: «ο καταγγέλλων
επέμενε […], να του χορηγηθεί «χαρτί που έχει υπογράψει για την ενεργοποίηση»
πράγμα το οποίο δεν μπορούσε να ικανοποιηθεί, για τον απλό λόγο ότι τέτοιο
έγγραφο, για τις συγκεκριμένες παροχές, δεν υφίστατο στα αρχεία της εταιρείας»).
Παρ’ όλα αυτά η ΖΕΝΙΘ δεν προκύπτει ότι προέβη σε οποιαδήποτε ενέργεια ελέγχου
της ως άνω εκτελούσας την επεξεργασία εταιρείας ή σε κλήση της προς συμμόρφωση
με τις οδηγίες του υπευθύνου επεξεργασίας. Απεναντίας μάλιστα, η ΖΕΝΙΘ
προχώρησε σε τροποποίηση της μεταξύ τους σύμβασης στις 1/8/2021, ώστε να
«αποτυπώσει συμβατικά την ήδη υφιστάμενη λειτουργική πραγματικότητα» (βλ. σελ.
10 του υπομνήματος της εταιρείας), κατά τρόπο ώστε να εγκρίνει εκ των υστέρων μια
πρακτική αντίθετη τόσο στις πολιτικές και οδηγίες της ως υπευθύνου επεξεργασίας,
όσο και στην παρεχόμενη στα υποκείμενα ενημέρωση ως προς τον χρόνο διατήρησης
των δεδομένων τους (έως 5 έτη μετά τη λήξη της σύμβασής τους). Κατόπιν των
ανωτέρω διαπιστώνεται ότι η ΖΕΝΙΘ παραβίασε την υποχρέωσή της βάσει της
διάταξης του άρθρου 28 παρ. 1 ΓΚΠΔ να χρησιμοποιεί μόνο εκτελούντες την
επεξεργασία που παρέχουν επαρκείς διαβεβαιώσεις για την εφαρμογή κατάλληλων
τεχνικών και οργανωτικών μέτρων, κατά τρόπο ώστε η επεξεργασία να πληροί τις
απαιτήσεις του παρόντος κανονισμού και να διασφαλίζεται η προστασία των
δικαιωμάτων του υποκειμένου των δεδομένων.
Β. Καταγγελία κατά Τράπεζας Πειραιώς
Σε απάντηση του από 16/2/2023 αιτήματος πρόσβασης που άσκησε ο καταγγέλλων
ζητώντας πληροφορίες σχετικά με τον τρόπο ενεργοποίησης των πάγιων εντολών και
τη χορήγηση κάθε σχετικού εγγράφου, η Τράπεζα έδωσε την απάντηση ότι «τελεί ως
27
μεσολαβητής για την καταβολή των πληρωμών, διατηρώντας διεκπεραιωτικό ρόλο
στη διαδικασία» και δεν του χορήγησε καμία πληροφορία και κανένα έγγραφο. Στη
συνέχεια και ενώπιον της Αρχής η Τράπεζα ισχυρίστηκε ότι ο λόγος για τον οποίο δεν
ανταποκρίθηκε στο αίτημα πρόσβασης του καταγγέλλοντος ήταν το γεγονός ότι δεν
λαμβάνει και δεν τηρεί τις έγγραφες εντολές πάγιας πληρωμής, συνεπώς δεν είχε στη
διάθεσή της τα έγγραφα που ζητούσε ο καταγγέλλων. Σύμφωνα όμως με όσα
εκτίθενται ανωτέρω στη σκέψη 3 της παρούσας απόφασης, η Τράπεζα αποτελεί
αυτοτελώς υπεύθυνο επεξεργασίας όσον αφορά την επεξεργασία δεδομένων που
πραγματοποιείται στο πλαίσιο επίτευξης του σκοπού της εκτέλεσης τραπεζικής
δραστηριότητας, μεταξύ των οποίων και η εκτέλεση πληρωμών άμεσης χρέωσης
βάσει του σχετικού κανονιστικού πλαισίου. Το γεγονός ότι η ίδια λαμβάνει μόνο
τυποποιημένα ηλεκτρονικά στοιχεία μέσω του συστήματος ΔΙΑΣ, βάσει των οποίων
εκτελεί τις χρεώσεις και δεν διατηρεί αντίγραφα των πρωτογενών εντολών, δεν
αλλάζει τη διαπίστωση περί του ρόλου της ως υπευθύνου επεξεργασίας, καθώς της
διαβιβάζονται, όπως ανέφερε, περιορισμένα δεδομένα που μέσω του συστήματος
ΔΙΑΣ για την εκτέλεση των πληρωμών. Εφόσον τα συγκεκριμένα δεδομένα που
περιλαμβάνονται σε ηλεκτρονικά αρχεία σχετίζονται με εντολή που έχει δώσει ο
καταγγέλλων για εκτέλεση πληρωμών, και στη συνέχεια, βάσει αυτών, η Τράπεζα
τηρεί ορισμένη ηλεκτρονική καταχώρηση, η οποία πιστοποιεί τη διαβίβαση εντολής
για λογαριασμό του, λαμβάνοντας υπόψη και τις διατάξεις του Ν. 4537/2018 για την
παροχή υπηρεσιών πληρωμών, οι σχετικές πληροφορίες αφορούν τον
καταγγέλλοντα και συνεπώς αποτελούν προσωπικά του δεδομένα με την έννοια του
ΓΚΠΔ. Επομένως, και ανεξαρτήτως των διατάξεων των άρθρων 45 και 48 του Ν.
4537/2018, κατόπιν της υποβολής αιτήματος πρόσβασης από τον καταγγέλλοντα
βάσει του άρθρου 15 ΓΚΠΔ, η Τράπεζα όφειλε να του χορηγήσει κάθε σχετική
πληροφορία που τηρεί ως υπεύθυνος επεξεργασίας, είτε μέσω της παροχής
αντιγράφου της ηλεκτρονικής καταχώρησης που τηρεί στα συστήματά της είτε με
όποιον άλλο τρόπο η ίδια θα έκρινε πρόσφορο, ώστε ο καταγγέλλων, ως υποκείμενο
των δεδομένων, να έχει επίγνωση και να είναι σε θέση να εξακριβώσει τη νομιμότητα
της επεξεργασίας (βλ. Αιτ. Σκ. 63 ΓΚΠΔ). Συνεπώς εν προκειμένω διαπιστώνεται
παραβίαση του δικαιώματος πρόσβασης του καταγγέλλοντος εκ μέρους της
Τράπεζας.
28
Περαιτέρω, πρέπει να σημειωθεί ότι ακόμα και αν η Τράπεζα δεν οφείλει,
κατά το στάδιο της συλλογής των ανωτέρω δεδομένων, να εξακριβώνει την ορθότητα
των εντολών που της διαβιβάζονται μέσω ΔΙΑΣ από τρίτους φορείς, διότι ως προς τη
συλλογή των συγκεκριμένων δεδομένων εφαρμόζεται ως ειδικότερο το κανονιστικό
πλαίσιο των πληρωμών (βλ. Ν. 4537/2018, Κανονισμό SEPA κλπ.), εφόσον η Τράπεζα
αποτελεί αυτοτελώς υπεύθυνο επεξεργασίας, όπως προαναφέρθηκε, φέρει
αυτοτελώς την ευθύνη να φροντίζει για την τήρηση των βασικών αρχών
επεξεργασίας, μεταξύ των οποίων και της αρχής της ακρίβειας των δεδομένων
(άρθρο 5 παρ. 1 δ) ΓΚΠΔ) καθ’ όλη τη διάρκεια της επεξεργασίας. Από τη στιγμή που
η Τράπεζα, ως υπεύθυνος επεξεργασίας, ενημερώθηκε πρωτογενώς από το
υποκείμενο των δεδομένων, ότι τα δεδομένα που της είχαν διαβιβαστεί από τρίτο
οργανισμό ως προς ορισμένες πάγιες εντολές και τα οποία τηρεί είναι ανακριβή, η
Τράπεζα όφειλε τουλάχιστον να διερευνήσει τον σχετικό ισχυρισμό, αναζητώντας
περαιτέρω πληροφορίες από τη ΖΕΝΙΘ προς τεκμηρίωση της ακρίβειας των
δεδομένων προς εξασφάλιση της ανωτέρω βασικής αρχής επεξεργασίας. Από την
αδράνεια που επέδειξε η Τράπεζα εν προκειμένω, περιοριζόμενη στο να παραπέμψει
το υποκείμενο των δεδομένων στην πηγή προέλευσής τους, δηλαδή στη ΖΕΝΙΘ,
διαπιστώνεται παραβίαση της βασικής αρχής της ακρίβειας βάσει του άρθρου 5 παρ.
1 δ’ και εκ μέρους της Τράπεζας.
10. Με βάση τα ανωτέρω, η Αρχή κρίνει ότι συντρέχει περίπτωση να ασκήσει τις κατά
τα άρθρα 58 παρ. 2 του ΓΚΠΔ διορθωτικές εξουσίες της σε σχέση με τις
διαπιστωθείσες παραβάσεις.
i. Αναφορικά με τις διαπιστωθείσες παραβάσεις του άρθρου 5 παρ. 1 δ’, του άρθρου
15 σε συνδυασμό με το άρθρο 12 παρ. 1 και παρ. 3, και του άρθρου 28 παρ. 1 ΓΚΠΔ
από τη ΖΕΝΙΘ, σύμφωνα με τα εκτιθέμενα στη Σκέψη 9.A της παρούσας απόφασης,
η Αρχή κρίνει ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί
κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 θ’ αποτελεσματικό, αναλογικό και
αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ, τόσο προς
αποκατάσταση της συμμόρφωσης όσο και για την κύρωση της παράνομης
29
συμπεριφοράς 3, όπως αναφέρεται στο διατακτικό της παρούσας απόφασης.
Περαιτέρω η Αρχή, έλαβε υπ’ όψιν τα κριτήρια επιμέτρησης των προστίμων, που
ορίζονται στο άρθρο 83 παρ. 2 του ΓΚΠΔ, την παράγραφο 5 περ. β’ του αυτού ως άνω
άρθρου, που έχουν εφαρμογή στην παρούσα υπόθεση, τις Κατευθυντήριες γραμμές
για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του
Κανονισμού 2016/679, που εκδόθηκαν στις 03-10-2017 από την Ομάδα Εργασίας του
άρθρου 29 (WP 253), τις Κατευθυντήριες Γραμμές του Ευρωπαϊκού Συμβουλίου
Προστασίας Δεδομένων για τον υπολογισμό των διοικητικών προστίμων υπό τον
ΓΚΠΔ 4 , καθώς επίσης και τα πραγματικά δεδομένα της εξεταζόμενης υπόθεσης και
ιδίως:
α) ότι οι παραβάσεις που διαπιστώνονται εν προκειμένω, αφορούν μεν ένα
υποκείμενο των δεδομένων (τον καταγγέλλοντα), ωστόσο καταδεικνύουν συστημικό
πρόβλημα της ΖΕΝΙΘ, ως υπευθύνου επεξεργασίας· Ειδικότερα, το γεγονός ότι η
ΖΕΝΙΘ δεν διατηρεί κανένα στοιχείο προς τεκμηρίωση ενεργών πάγιων εντολών,
μεταθέτει το βάρος της ευθύνης για τη διόρθωση των ανακριβών δεδομένων που
τηρεί στο υποκείμενο και φαίνεται να αδιαφορεί για τη μη συμμόρφωση της
εκτελούσας την επεξεργασία με τις εντολές της, είναι ενδεικτικό της πλημμελούς
συμμόρφωσής της με τις υποχρεώσεις της εκ του ΓΚΠΔ, αναφορικά με το σύνολο των
υποκειμένων που τυγχάνουν πελάτες της·
β) ότι οι παραβάσεις κρίνονται ως μέτριας βαρύτητας, καθώς αφορούν δεδομένα
συναλλαγών και έχουν μεγάλη διάρκεια (6 ετών) ενώ εξακολουθούν να τελούνται
μέχρι σήμερα
γ) ότι δεν επηρεάστηκαν ειδικές κατηγορίες δεδομένων·
δ) ο βαθμός ευθύνης της εταιρείας, λαμβανομένου υπόψη του μεγέθους της και του
ότι, παρά το γεγονός ότι φαίνεται να έχει θεσπίσει οργανωτικά μέτρα και κατάλληλες
διαδικασίες για τη διαχείριση αιτημάτων υποκειμένων των δεδομένων, στην πράξη
δεν προκύπτει ότι εν προκειμένω τηρήθηκαν οι εν λόγω διαδικασίες, αφού η ΖΕΝΙΘ
3
Βλ. ΟΕ 29, Κατευθυντήριες γραμμές και την εφαρμογή και τον καθορισμό διοικητικών προστίμων
για τους σκοπούς του Κανονισμού 2016/679 WP253, σελ. 6.
4
Βλ. ΕDPB, Guidelines 04/2022 on the calculation of administrative fines under the GDPR, version 2.1,
adopted on 24 may 2023..
30
ουδέποτε χειρίστηκε τα αιτήματα του καταγγέλλοντος ως αιτήματα διόρθωσης των
ανακριβών δεδομένων που εν γνώσει της τηρεί γι’ αυτόν·
ε) το γεγονός ότι η εταιρεία δεν ανταποκρίθηκε άμεσα στο αρχικό έγγραφο της Αρχής,
αλλά χρειάστηκε να σταλεί το υπ’ αριθ. πρωτ. Γ/ΕΞΕ/1134/12-04-2024 υπομνηστικό
έγγραφο προκειμένου να παρέχει τις απόψεις της επί της καταγγελίας, καθώς επίσης
και οι αντιφατικοί ισχυρισμοί που προβλήθηκαν τόσο προς τον καταγγέλλοντα όσο
και προς την Αρχή κατά την εξέταση της υπόθεσης (αρχική απολογία για την
παραδρομή, αργότερα επίκληση «ιδιότυπης συμπεριφοράς» του καταγγέλλοντος,
και αντικρουόμενες πληροφορίες ως προς την υπογραφή ή μη των πάγιων εντολών)
λαμβάνονται υπόψη ως επιβαρυντικοί παράγοντες·
στ) το γεγονός ότι, σύμφωνα με τις δημοσιευμένες οικονομικές καταστάσεις του 2025
στο ΓΕΜΗ 5, η ΖΕΝΙΘ είχε ετήσιο κύκλο εργασιών ύψους 606.593.288,08 €.
ii. Αναφορικά με τη διαπιστωθείσα παράβαση της αρχής της ακρίβειας (άρθρο 5 παρ.
1 δ’ ΓΚΠΔ) από την Τράπεζα Πειραιώς, σύμφωνα με τα εκτιθέμενα στη Σκέψη 9.Β της
παρούσας απόφασης, η Αρχή κρίνει ότι πρόκειται για παράβαση ελάσσονος
σημασίας, λαμβάνοντας υπόψη το ειδικότερο κανονιστικό πλαίσιο που διέπει τη
λειτουργία των τραπεζών ως προς τις πληρωμές, και ότι αρμόζει να απευθύνει
επίπληξη στην Τράπεζα, με βάση το άρθρο 58 παρ. 2 β) (βλ. και Αιτιολογική Σκέψη
148 ΓΚΠΔ).
iii. Αναφορικά με τη διαπιστωθείσα παράβαση του άρθρου 15 ΓΚΠΔ από την Τράπεζα
Πειραιώς, σύμφωνα με τα εκτιθέμενα στη Σκέψη 9.Β της παρούσας απόφασης, η
Αρχή κρίνει ότι πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβληθεί
κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 θ’ αποτελεσματικό, αναλογικό και
αποτρεπτικό διοικητικό χρηματικό πρόστιμο κατ’ άρθρο 83 του ΓΚΠΔ. Για την
επιμέτρηση του προστίμου ελήφθησαν υπόψη τα προβλεπόμενα από το 83 παρ. 2
ΓΚΠΔ κριτήρια και ειδικότερα τα εξής:
α) ότι η παράβαση επηρέασε ένα υποκείμενο των δεδομένων·
β) ότι η επεξεργασία δεν αφορά ειδικές κατηγορίες δεδομένων·
5
https://publicity.businessportal.gr/company/141002104000
31
γ) ότι η παράβαση αποδίδεται σε αμέλεια της Τράπεζας, καθώς το αίτημα του
καταγγέλλοντος φαινόταν πράγματι ότι αφορούσε τη χορήγηση αντιγράφων των
υπογεγραμμένων εντολών, τις οποίες δεν διατηρεί·
δ) ως ελαφρυντικός παράγοντας λαμβάνεται υπόψη το γεγονός ότι η Τράπεζα
ανταποκρίθηκε στο αίτημα του καταγγέλλοντος παρέχοντας ορισμένες πληροφορίες
σχετικά με τον τρόπο διαβίβασης πάγιων εντολών, ενώ κατέβαλε προσπάθειες προς
επίλυση του ζητήματος, επικοινωνώντας με την Εθνική Τράπεζα, ως τράπεζα
συνεργασίας της ΖΕΝΙΘ·
ε) το γεγονός ότι το 2025 ο παγκόσμιος κύκλος εργασιών της Τράπεζας Πειραιώς
ανήλθε σε 2.713.000.000 €.6
ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ
Η ΑΡΧΗ
1. Επιβάλλει στην EΤΑΙΡΕΙΑ ΠΡΟΜΗΘΕΙΑΣ ΑΕΡΙΟΥ ΘΕΣΣΑΛΟΝΙΚΗΣ ΘΕΣΣΑΛΙΑΣ
Α.Ε. («ZeniΘ»), ως υπεύθυνο επεξεργασίας, με βάση το άρθρο 58 παρ. 2 εδ.
θ’ του ΓΚΠΔ, διοικητικό πρόστιμο ύψους: α) εικοσιπέντε χιλιάδων ευρώ
(25.000 €), για τη διαπιστωθείσα παράβαση της διάταξης του άρθρου 5 παρ.
1 δ’ ΓΚΠΔ, β) εικοσιπέντε χιλιάδων ευρώ (25.000 €), για τη διαπιστωθείσα
παράβαση της διάταξης του άρθρου 15 ΓΚΠΔ σε συνδυασμό με τα άρθρα 12
παρ. 1 και 12 παρ. 3 ΓΚΠΔ, και γ) πενήντα χιλιάδων ευρώ (50.000 €), για τη
διαπιστωθείσα παράβαση της διάταξης του άρθρου 28 παρ. 1 ΓΚΠΔ, σύμφωνα
τα εκτιθέμενα στις σκέψεις 9.Α και 10 i) ανωτέρω.
2. Απευθύνει στην Τράπεζα Πειραιώς Α.Ε., ως υπεύθυνο επεξεργασίας, επίπληξη
με βάση το άρθρο 58 παρ. 2 β’ ΓΚΠΔ για τη διαπιστωθείσα παράβαση της
αρχής της ακρίβειας (άρθρο 5 παρ. 1 δ’ ΓΚΠΔ), σύμφωνα με τα εκτιθέμενα στη
σκέψη 9.Β και 10 ii) ανωτέρω.
3. Επιβάλλει στην Τράπεζα Πειραιώς Α.Ε., ως υπεύθυνο επεξεργασίας, με βάση
το άρθρο 58 παρ. 2 εδ. θ’ του ΓΚΠΔ, διοικητικό πρόστιμο ύψους δέκα χιλιάδων
6
https://publicity.businessportal.gr/company/157660660000
32
(10.000 €) ευρώ, για τη διαπιστωθείσα παράβαση της διάταξης του άρθρου
15 ΓΚΠΔ, σύμφωνα με όσα αναφέρονται στις σκέψεις 9.Β και 10 iii) ανωτέρω.
Ο εκτελών χρέη Προέδρου Η Γραμματέας
Αναπληρωτής Πρόεδρος
Γεώργιος Μπατζαλέξης Ειρήνη Παπαγεωργοπούλου
33