Πιστωτικά/χρηματοδοτικά ιδρύματα

Η Αρχή εξέτασε καταγγελία κατά δύο υπευθύνων επεξεργασίας, για μη ικανοποίηση του δικαιώματος πρόσβασης καταναλωτή σε αλληλογραφία μεταξύ τους. Ο καταγγέλλων έπειτα από επιστροφή προϊόντος ζήτησε από το κατάστημα μέσω facebook-messenger να του κοινοποιηθεί το αίτημα αποχρέωσης των δόσεων της πιστωτικής του κάρτας, που είχε σταλεί ηλεκτρονικά προς την τράπεζα. Ο υπεύθυνος επεξεργασίας αρνήθηκε να το ικανοποιήσει και στη συνέχεια ο καταγγέλλων άσκησε το ίδιο δικαίωμα προς την τράπεζα, η οποία δεν του έδωσε καμία απάντηση. Η Αρχή επέβαλε σε κάθε υπεύθυνο επεξεργασίας διοικητικό πρόστιμο 20.000 ευρώ για μη ικανοποίηση του δικαιώματος πρόσβασης.

Ο προσφεύγων δέχθηκε στα γραφεία της επιχείρησής του τηλεφωνική όχληση από την τράπεζα Alpha Bank σχετικά με οφειλή του από επιχειρηματικό δάνειο. Στο τηλεφώνημα όμως αυτό δεν απάντησε ο προσφεύγων, ο οποίος είναι ο οφειλέτης, αλλά ο θείος του, ο οποίος δεν έχει καμία σχέση με την εν λόγω οφειλή και βρισκόταν συμπτωματικά στο γραφείο του προσφεύγοντος. Ο προσφεύγων καταγγέλλει ότι, με την ενέργεια αυτή της Τράπεζας, έτυχαν παράνομης επεξεργασίας τα προσωπικά του δεδομένα και πλήττεται και η επιχείρηση του, καθώς ο θείος του, ο οποίος είναι εμμέσως και ανταγωνιστής του (ο υιός του δραστηριοποιείται με όμοια επιχείρηση), ενημερώθηκε πλήρως για την οικονομική του κατάσταση δηλώνοντας ψευδώς στον συνομιλητή του (υπάλληλο τράπεζας) ότι είναι ο πατέρας του προσφεύγοντος, ο οποίος τυγχάνει να είναι εγγυητής στο προαναφερθέν επιχειρηματικό του δάνειο. Ακολούθως, ο προσφεύγων απευθύνθηκε εγγράφως στην Τράπεζα και ζήτησε να λάβει αντίγραφα δυο συνομιλιών με υπαλλήλους της σχετικά με το συγκεκριμένο περιστατικό. Ωστόσο, η Τράπεζα δεν ανταποκρίθηκε στα αιτήματα αυτά. Κατόπιν εξέτασης της υπόθεσης, η Αρχή επέβαλε στην Τράπεζα πρόστιμο ύψους δέκα χιλιάδων (10.000) Ευρώ για μη εκπλήρωση της υποχρέωσής της να απαντήσει στον προσφεύγοντα εντός της προβλεπόμενης προθεσμίας και της απηύθυνε, επιπλέον, τη σύσταση, κατά την τηλεφωνική επικοινωνία με πελάτες της, να μεριμνά για την ταυτοποίηση του συνομιλητή προτού προχωρήσει σε συνομιλία σχετικά με δεδομένα συναλλαγών ή οφειλών του ιδίου ή προσώπων που συνδέονται με τις συναλλαγές ή οφειλές αυτού (π.χ. φυσικών προσώπων που έχουν την ιδιότητα του εγγυητή, ενεχυρούχου ή υποθηκικού οφειλέτη, κ.λπ.).

Η Αρχή εξέτασε το ζήτημα της επεξεργασίας προσωπικών δεδομένων μέσω ανέπαφων συναλλαγών με χρεωστικές/πιστωτικές κάρτες, κατόπιν σχετικών καταγγελιών που διαβιβάστηκαν από τη Δ/νση Προστασίας Καταναλωτή του Υπουργείου Οικονομίας αλλά και από τον Συνήγορο του Καταναλωτή. Οι εν λόγω, συναφούς αντικειμένου, καταγγελίες αφορούσαν την Εθνική Τράπεζα και την Τράπεζα Πειραιώς αντίστοιχα. Η Αρχή, με την εν λόγω απόφαση, αφού εξέτασε ζητήματα ασφάλειας της εν λόγω επεξεργασίας καθώς επίσης και τους σχετικούς κινδύνους, και λαμβάνοντας υπόψη και τις διεθνείς προδιαγραφές που ακολουθούνται αναφορικά με τις ανέπαφες χρεωστικές ή/και πιστωτικές κάρτες, κατόπιν των σχετικών έγγραφων πληροφοριών που δόθηκαν από τις εταιρείες Mastercard και Visa, απηύθυνε σύσταση στις ως άνω Τράπεζες προκειμένου είτε να παρέχουν τη δυνατότητα απενεργοποίησης της ανέπαφης λειτουργίας μιας τέτοιας κάρτας είτε να χορηγούν νέα, μη ανέπαφη κάρτα, εφόσον ο πελάτης δηλώσει ότι δεν επιθυμεί να έχει κάρτα με δυνατότητα πραγματοποίησης ανέπαφων συναλλαγών.

Περαιτέρω, στο πλαίσιο εξέτασης του εν λόγω ζητήματος, η Αρχή διαπίστωσε ότι σε ορισμένες περιπτώσεις τηρείται στο chip της κάρτας ιστορικό πρόσφατων συναλλαγών που πραγματοποιήθηκαν με χρήση αυτής, το οποίο μπορεί επίσης να αναγνωσθεί ανέπαφα. Ως προς το ζήτημα αυτό, η Αρχή, με την ως άνω απόφαση, ζήτησε από τις Τράπεζες το εξής: εφόσον σε κάρτα που έχει χορηγηθεί σε πελάτη είναι ενεργοποιημένη η δυνατότητα τήρησης ιστορικού συναλλαγών στο chip αυτής χωρίς να έχει δώσει την ειδική προς τούτο συγκατάθεσή του, θα πρέπει ο πελάτης να ενημερωθεί σχετικώς με κάθε πρόσφορο τρόπο (π.χ. μέσω μηνύματος ηλεκτρονικού ταχυδρομείου, μέσω μηνύματος κατά τη σύνδεσή του σε προσωποποιημένες ηλεκτρονικές υπηρεσίες του υπευθύνου επεξεργασίας, μέσω ταχυδρομικής επιστολής κ.λπ.) ως προς την επεξεργασία αυτή, παρέχοντάς του τη δυνατότητα διακοπής της επεξεργασίας αυτής. Περαιτέρω, σε κάθε νέα έκδοση/χορήγηση κάρτας, το εν λόγω χαρακτηριστικό θα πρέπει να είναι εξ αρχής απενεργοποιημένο, και να ενεργοποιείται μόνο αν υπάρχει ειδική προς τούτο συγκατάθεση του πελάτη, εφόσον έχει προηγουμένως σχετικώς ενημερωθεί για την επεξεργασία αυτή.

Η Αρχή εξέτασε 11 καταγγελίες κατά της Τράπεζας Alpha Bank σχετικά με τηλεφωνικές οχλήσεις που πραγματοποιούνται στο πλαίσιο ενημέρωσης οφειλετών για ληξιπρόθεσμες απαιτήσεις είτε αυτές γίνονται για λογαριασμό των τραπεζών από Εταιρίες Ενημέρωσης Οφειλετών (ΕΕΟ) είτε από τους ίδιους τους δανειστές (τράπεζες) (βλ. ν. 3758/2009) που αφορούσαν σε όχληση σε λάθος πρόσωπο, οπότε και εξετάστηκε το ζήτημα της ακρίβειας των δεδομένων και της διαδικασίας διόρθωσης αυτών.

Η Αρχή, με τη με αριθ. 57/2018 απόφασή της, επέβαλε στην τράπεζα πρόστιμο ύψους δέκα χιλιάδων (10.000) ευρώ για μη εκπλήρωση της υποχρέωσής της να τηρεί και να επεξεργάζεται περαιτέρω ακριβή στοιχεία για τους οφειλέτες της προς εκπλήρωση των προβλεπόμενων από τον ν. 3758/2009 σκοπών στις ως άνω τρεις περιπτώσεις. Επιπλέον, η Αρχή απηύθυνε στην τράπεζα Alpha Bank σύσταση να προβεί σε βελτίωση της όλης διαδικασίας διόρθωσης των στοιχείων των οφειλετών, ιδίως αναφορικά με τους οφειλέτες της πρώην Εμπορικής Τράπεζας που περιήλθε στην εν λόγω τράπεζα μετά από απορρόφηση.

Η Αρχή εξέτασε 3 καταγγελίες κατά της Τράπεζας Eurobank σχετικά με τηλεφωνικές οχλήσεις που πραγματοποιούνται στο πλαίσιο ενημέρωσης οφειλετών για ληξιπρόθεσμες απαιτήσεις είτε αυτές γίνονται για λογαριασμό των τραπεζών από Εταιρίες Ενημέρωσης Οφειλετών (ΕΕΟ) είτε από τους ίδιους τους δανειστές (τράπεζες) (βλ. ν. 3758/2009) που αφορούσαν σε όχληση σε λάθος πρόσωπο, οπότε και εξετάστηκε το ζήτημα της ακρίβειας των δεδομένων και της διαδικασίας διόρθωσης αυτών. Όπως ομολόγησε η τράπεζα Eurobank, σε 2 από τις 3 υπό κρίση περιπτώσεις, παρότι οι οφειλέτες είχαν προβεί σε επικαιροποίηση των στοιχείων επικοινωνίας τους, εμφιλοχώρησε σφάλμα, με αποτέλεσμα οι παλαιοί αριθμοί τηλεφωνικής κλήσης, μολονότι έπρεπε να είχαν διαγραφεί, δεν διαγράφηκαν και χρησιμοποιήθηκαν στο πλαίσιο ενημέρωσης οφειλετών. Η Αρχή, με τη με αριθ. 56/2018 απόφασή της, λαμβάνοντας υπόψη και τη διαδικασία που εφαρμόζει η τράπεζα Eurobank για τον έλεγχο και τη διόρθωση των σχετικών στοιχείων, της επέβαλε πρόστιμο ύψους πέντε χιλιάδων (5.000) ευρώ (βλ. την προβλεπόμενη ελάχιστη κύρωση στο άρθρο 10 παρ. 1 του ν. 3758/2009) για το ως άνω ομολογημένο σφάλμα (2 μεμονωμένα περιστατικά).

Η Αρχή εξέτασε 4 καταγγελίες κατά της Εθνικής Τράπεζας σχετικά με τηλεφωνικές οχλήσεις που πραγματοποιούνται στο πλαίσιο ενημέρωσης οφειλετών για ληξιπρόθεσμες απαιτήσεις είτε αυτές γίνονται για λογαριασμό των τραπεζών από Εταιρίες Ενημέρωσης Οφειλετών (ΕΕΟ) είτε από τους ίδιους τους δανειστές (τράπεζες) (βλ. ν. 3758/2009) που αφορούσαν σε όχληση σε λάθος πρόσωπο, οπότε και εξετάστηκε το ζήτημα της ακρίβειας των δεδομένων και της διαδικασίας διόρθωσης αυτών. Η Αρχή, με τη με αριθ. 55/2018 απόφασή της, λαμβάνοντας υπόψη και τη διαδικασία που εφαρμόζει η Εθνική Τράπεζα για τον έλεγχο και τη διόρθωση των σχετικών στοιχείων, της επέβαλε πρόστιμο ύψους πέντε χιλιάδων (5.000) ευρώ (βλ. την προβλεπόμενη ελάχιστη κύρωση στο άρθρο 10 παρ. 1 του ν. 3758/2009) για το ως άνω ομολογημένο σφάλμα (μεμονωμένο περιστατικό).

Η Τράπεζα Eurobank Ergasias υπέβαλε στην Αρχή γνωστοποίηση περιστατικού παραβίασης προσωπικών δεδομένων, σύμφωνα με το άρ. 33 του Κανονισμού (ΕΕ) 2016/679. Το περιστατικό αφορούσε πέντε μεμονωμένες περιπτώσεις κοινοποίησης, μέσω μηνύματος ηλεκτρονικού ταχυδρομείου, δεδομένων πελατών (αποδείξεων και παραστατικών) σε λάθος παραλήπτη. Η Eurobank προέβη σε ανασχεδιασμό της εν λόγω λειτουργίας για να αποκλεισθούν ανθρώπινα λάθη, ενώ επίσης ενημέρωσε τα επηρεαζόμενα από το περιστατικό πρόσωπα.

Η Αρχή, με την απόφαση 69/2018, απηύθυνε με βάση το άρ. 58 παρ. 2 στοιχ. β’ του Κανονισμού, επίπληξη στην Eurobank, ως υπεύθυνο επεξεργασίας, λόγω του ότι η εν λόγω γνωστοποίηση υποβλήθηκε στην Αρχή καθυστερημένα βάσει των σχετικών προβλέψεων του άρ. 33 του Κανονισμού, ήτοι μετά την πάροδο 72 ωρών από τη στιγμή που η Τράπεζα έλαβε γνώση του περιστατικού, χωρίς να τεκμηριώνονται λόγοι για τους οποίους αυτή η καθυστέρηση θα μπορούσε να είναι δικαιολογημένη.

Η Αρχή επέβαλε την κύρωση της προειδοποίησης στο Ταμείο Παρακαταθηκών και Δανείων, σύμφωνα με το άρ. 21 παρ. 1 εδ. α΄ του ν. 2472/1997, για εφεξής υποχρέωση προηγούμενης ενημέρωσης οφειλετών σε περίπτωση τιτλοποίησης οφειλής τους, για τον λόγο ότι σε τιτλοποίηση που έκανε το 2006 δεν ενημέρωσε προηγουμένως δανειολήπτή του, με αποτέλεσμα ο τελευταίος να υποστεί οικονομική βλάβη και συγκεκριμένα να στερηθεί τη δυνατότητά του να κάνει χρήση ευνοϊκότερων για εκείνον διατάξεων προκειμένου να αντιμετωπίσει τη σχετική οφειλή του προς το ΤΠΔ. Σημειωτέον, ο προσφεύγων-δανειολήπτης έγινε γνώστης της ως άνω τιτλοποίησης από τυχαίο γεγονός το 2016.