ΠΡΟΣΩΠΙΚΑ ΔΕΔΟΜΕΝΑΑρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα – ΑΠΟΦΑΣΗ ΑΡ. 143 / 2017 – Πρόστιμο σε Τράπεζα για παράβαση του δικαιώματος πρόσβασης σε πληροφορίες σχετικά με δεδομένα που αφορούσαν πελάτη της

Αναφορικά με την υποχρέωση του υπεύθυνου επεξεργασίας να δίνει στο υποκείμενο των δεδομένων ικανοποιητική απάντηση κατά την άσκηση του δικαιώματος πρόσβασης, διαπιστώνεται ότι, εν προκειμένω, η τράπεζα Εurobank δεν απάντησε ικανοποιητικά στο αίτημα του προσφεύγοντος να λάβει σαφείς πληροφορίες σχετικά με τα δεδομένα που τον αφορούν, καθώς και σχετικά με οποιοδήποτε άλλο στοιχείο που αφορά στην περαιτέρω επεξεργασία των δεδομένων του, όπως π.χ. οι σκοποί της επεξεργασίας, οι αποδέκτες ή κατηγορίες αποδεκτών, η εξέλιξη της επεξεργασίας για το χρονικό διάστημα από την προηγούμενη ενημέρωσή του κ.α. (βλ. ιδίως άρθρο12 παρ. 2 και 4 του ν. 2472/1997). Ειδικότερα, όπως προαναφέρθηκε, η από … 2017 γενική και αόριστη απάντηση («Πρόσβαση στους λογαριασμούς των πελατών της Τράπεζας έχουν αποκλειστικά και μόνο τα νομίμως εξουσιοδοτημένα αρμόδια όργανα αυτής.») ουδόλως μπορεί να κριθεί ικανοποιητική, ενώ ο περαιτέρω ισχυρισμός της Τράπεζας ότι με την από … 2017 εξώδικη απάντησή της ικανοποίησε πλήρως το δικαίωμα αυτό, κρίνεται απορριπτέος, καθώς η Τράπεζα οφείλει να αποκαλύψει τα στοιχεία τόσο του υπαλλήλου που εκτέλεσε την αναζήτηση στον τραπεζικό λογαριασμό του προσφεύγοντος όσο και του προσώπου που φέρεται να αμφισβήτησε τη συναλλαγή και στο οποίο, μάλιστα, όπως και η ίδια η Τράπεζα ομολογεί, αποκαλύφθηκαν δεδομένα του προσφεύγοντος με τη χορήγηση σε αυτό σχετικού αντιγράφου παραστατικού κατάθεσης, συνεπώς σαφώς πρόκειται για έναν νέο αποδέκτη για τον οποίο το υποκείμενο πρέπει να ενημερωθεί. Ειδικότερα, η Τράπεζα αβάσιμα ισχυρίζεται ότι η αποκάλυψη προσωπικών δεδομένων υπαλλήλων της δεν συμπεριλαμβάνεται στο περιεχόμενο του δικαιώματος πρόσβασης,καθώς από τον ορισμό του «αποδέκτη» στην διάταξη του άρθρου 2 στοιχ. ι ́ του ν. 2472/1997καθίσταται σαφές ότι αποδέκτης των δεδομένων είναι κ ά θ ε πρόσωπο (φυσικό ή νομικό) στο οποίο αυτά ανακοινώνονται ή μεταδίδονται, ανεξαρτήτως μάλιστα αν πρόκειται για τρίτο ή όχι,δηλαδή αποδέκτης μπορεί να είναι ένας απλός εργαζόμενος – υπάλληλος του υπεύθυνου επεξεργασίας, ένας νέος υπεύθυνος επεξεργασίας, ένας εκτελών την επεξεργασία ή κάποιος τρίτος.Κατά ρητή επιταγή του ν. 2472/1997, οι αποδέκτες πρέπει να γνωστοποιούνται ατομικώς ο καθένας ή ανά κατηγορία τόσο στην Αρχή (βλ. άρθρο 6 παρ. στοιχ. στ ́ του ν. 2472/1997) όσο και στο υποκείμενο των δεδομένων (βλ. άρθρο 11 παρ. 1 στοιχ. γ ́ και άρθρο 12 παρ. 2 στοιχ. β ́ του ν. 2472/1997), δηλαδή οι αποδέκτες θα πρέπει να καθίστανται ορισμένοι ή έστω οριστοί1, ώστε να αποσαφηνίζονται ο ρόλος και η ευθύνη τους σε σχέση με την επεξεργασία, ιδίως μάλιστα σε περίπτωση που καταγγέλλεται περιστατικό παράνομης επεξεργασίας, όπως εν προκειμένω, το οποίο η Τράπεζα όφειλε αμέσως να διερευνήσει, όπως θα αναλυθεί και στη συνέχεια. Η απόφαση,πάντως, της Τράπεζας να χορηγήσει πλήρη στοιχεία του προσφεύγοντος σχετικά με τη συγκεκριμένη συναλλαγή σε άλλο πελάτη της χωρίς να επικαλεστεί το τραπεζικό απόρρητο, ενώ έναντι του προσφεύγοντος προβάλει το τραπεζικό απόρρητο για την ίδια ακριβώς συναλλαγή,ενέχει αξιολογική αντινομία και καθιστά την αιτιολόγηση της άρνησης αποκάλυψης των στοιχείων του άλλου πελάτη προσχηματική (βλ. και Απόφαση 16/2017 της Αρχής, σελ. 14). Και αυτό, γιατί η Τράπεζα κρίνει ότι ισχύει το τραπεζικό απόρρητο έναντι του προσφεύγοντος – υποκειμένου των δεδομένων και ακολούθως δεν του γνωστοποιεί τα στοιχεία του συγκεκριμένου προσώπου που κατέθεσε χρήματα στο λογαριασμό του, ενώ όσον αφορά το έτερο αυτό πρόσωπο έκρινε,αντιθέτως, ότι δεν ισχύει το τραπεζικό απόρρητο και ότι ακολούθως έπρεπε να του χορηγήσει στοιχεία τραπεζικού λογαριασμού του προσφεύγοντος με την άμεση έκδοση αντιγράφου αποδεικτικού κατάθεσης, όπου αναγράφονται, μεταξύ άλλων, το πλήρες ονοματεπώνυμο και ο αριθμός λογαριασμού του προσφεύγοντος. Έτσι, ως προς τον έναν πελάτη της (προσφεύγοντα) που της υπέβαλε μάλιστα εγγράφως τα αιτήματά του, η Τράπεζα προέβαλε το τραπεζικό απόρρητο προκειμένου να μην του χορηγήσει πλήρη στοιχεία σχετικά με την υπό αμφισβήτηση συναλλαγή,ενώ ως προς έτερο πελάτη της (πρόσωπο που φέρεται να αμφισβήτησε τη συναλλαγή) η Τράπεζα δεν προέβαλε το τραπεζικό απόρρητο προκειμένου να του χορηγήσει πλήρη στοιχεία σχετικά με την ίδια ακριβώς συναλλαγή, αρκούμενη μάλιστα σε ένα «προφορικό» του αίτημα, όπως άλλωστε ομολογεί και η ίδια. Συνεπώς, πέρα από το γεγονός ότι η τράπεζα Eurobank απάντησε με αδικαιολόγητη χρονική καθυστέρηση και στα δυο αιτήματα του προσφεύγοντος (βλ. ανωτέρω σκέψη 2), η τελική της απάντηση ουδόλως μπορεί να κριθεί ως ικανοποιητική, συνεπώς συντρέχει περίπτωση δεύτερης αυτοτελούς παράβασης των διατάξεων του άρθρου 12 παρ. 2 και 4 του ν. 2472/1997.