Η χρήση των πιστωτικών καρτών διευκόλυνε την αύξηση της κατανάλωσης και του βιοτικού επιπέδου ζωής των χρηστών, αλλά είχε και σοβαρές συνέπειες για μεγάλο αριθμό καταναλωτών, οι οποίοι δεν ήταν...
σε θέση να αποπληρώσουν τα χρέη τους, με αποτέλεσμα να καταχωρίζονται σε δυσμενείς λίστες οικονομικής συμπεριφοράς. Περαιτέρω, οι τράπεζες είναι σε θέση, με διασταύρωση στοιχείων που παίρνουν από τους ίδιους τους πελάτες τους, αλλά και από αρχεία οικονομικών πληροφοριών, να δημιουργήσουν το προφίλ των πελατών τους. Αυτή η μεγάλη συγκέντρωση πληροφοριών, σε συνδυασμό με τη μη σωστή ενημέρωση, ελλοχεύει κινδύνους για τα προσωπικά δεδομένα των προσώπων.
Κάθε πολίτης έχει το δικαίωμα να γνωρίζει εάν τα προσωπικά του δεδομένα έχουν καταχωριστεί σε αρχείο, καθώς και να λαμβάνει αντίγραφα των σχετικών εγγράφων, απευθυνόμενος προς την τράπεζα σχετικά με την εκτέλεση της τραπεζικής του σύμβασης ή της αίτησης δανείου ή τη βαθμολόγηση της πιστοληπτικής του ικανότητας. Έχει ακόμα το δικαίωμα να προβάλλει δικαιολογημένες αντιρρήσεις, εφόσον δεν υπάρχει σχετική υποχρέωση του υπευθύνου επεξεργασίας, από νόμο ή τη σύμβαση, για την επεξεργασία αυτή (π.χ. για την ταυτοποίηση του πελάτη είναι υποχρεωτική από το ν.3691/2008 η συλλογή από την τράπεζα των στοιχείων ταυτότητας του συναλλασσόμενου).
Οι τράπεζες οφείλουν να γνωστοποιούν τα αρχεία τους στην Αρχή προστασίας προσωπικών δεδομένων. Πρέπει ακόμα να ενημερώνουν τα υποκείμενα των δεδομένων για το σκοπό επεξεργασίας των στοιχείων τους, από πού αντλούν τα στοιχεία τους, πού τα διαβιβάζουν (δηλαδή τους αποδέκτες, όπως είναι οι εταιρίες ενημέρωσης οφειλετών ή η ΤΕΙΡΕΣΙΑΣ Α.Ε.), και για τα δικαιώματα που τους παρέχει ο ν.2472/1997.
Οι προϋποθέσεις τήρησης αρχείου από την ΤΕΙΡΕΣΙΑΣ Α.Ε. και οι κανόνες κατηγοριοποίησης των σχετικών δεδομένων ορίζονται στις κανονιστικές αποφάσεις 24/2004 και 25/2004 της Αρχής, καθώς και στο άρθρο 40 του ν.3259/2004, όπως αντικαταστάθηκε σύμφωνα με το άρθρο 70 του ν.3746/2009.
Η Αρχή προστασίας προσωπικών δεδομένων πραγματοποίησε το 2009 επιτόπιο έλεγχο στην ΤΕΙΡΕΣΙΑΣ Α.Ε. αναφορικά με την προστασία και την ασφάλεια των προσωπικών δεδομένων, τα οποία επεξεργάζεται η εταιρεία. Πέραν της ασφάλειας, ελέγχθηκε και η γενικότερη συμμόρφωση του υπεύθυνου επεξεργασίας με τις προϋποθέσεις νόμιμης επεξεργασίας δεδομένων που ορίζονται στα άρθρα 4, 5 και 6 του ν.2472/1997, καθώς και η τήρηση των υποχρεώσεών του αναφορικά με την ικανοποίηση των δικαιωμάτων των υποκειμένων, σύμφωνα με τα άρθρα 11, 12 και 13 του ν.2472/1997.
-Είναι υποχρεωτικό η τράπεζα να λαμβάνει τη συγκατάθεση των υποκειμένων προτού διαβιβάσει τα στοιχεία τους (ενήμερες ή ανεξόφλητες οφειλές, καταγγελίες συμβάσεων δανείων ή καρτών) στην ΤΕΙΡΕΣΙΑΣ;
Όσον αφορά στα δεδομένα «της μαύρης λίστας», όπως είναι οι καταγγελίες συμβάσεων, δεν απαιτείται συγκατάθεση, αλλά αρκεί η ενημέρωση των υποκειμένων μέσω της σύμβασης για τον συγκεκριμένο αποδέκτη. Για τα δεδομένα της «λευκής λίστας», όπως οφειλές από δάνεια, κάρτες κ.λπ., δεν απαιτείται συγκατάθεση, δεδομένου ότι η διαβίβαση προβλέπεται σε νόμο. Απαιτείται, ωστόσο, οι τράπεζες να λαμβάνουν τη συγκατάθεση του υποψήφιου δανειολήπτη, προκειμένου να έχουν πρόσβαση στο σχετικό αρχείο.
-Πότε καταχωρίζει η ΤΕΙΡΕΣΙΑΣ τα δεδομένα που αποστέλλει η τράπεζα σχετικά με την καταγγελία σύμβασης;
Μόνο εάν έχει τη βεβαίωση ότι η τράπεζα έχει ενημερώσει εγγράφως (με επίδοση ή άλλο τρόπο) το υποκείμενο για την καταγγελία.
-Μπορεί ο αιτών να ζητήσει την επιστροφή των δικαιολογητικών εγγράφων που έχει προσκομίσει στην τράπεζα για τη χορήγηση πίστωσης, εφόσον απορρίφθηκε η αίτησή του;
Ναι, δικαιούται να ζητήσει από την τράπεζα να του επιστρέψει τα πρωτότυπα έγγραφα που έχει στην κατοχή της καθώς και να καταστρέψει τυχόν αντίγραφα αυτών.
-Μπορεί η τράπεζα να αποστέλλει τα στοιχεία των οφειλετών της σε εταιρίες ενημέρωσης οφειλετών;
Στο πλαίσιο της σχέσης αντιπροσώπευσης, οι εταιρείες ενημέρωσης οφειλετών επεξεργάζονται δεδομένα προσωπικού χαρακτήρα ενεργώντας ως εκτελούσες την επεξεργασία για λογαριασμό του εκάστοτε υπεύθυνου επεξεργασίας. Η επεξεργασία είναι νόμιμη εφόσον α) περιορίζεται αποκλειστικά και μόνο στο σκοπό αντιπροσώπευσης, β) τηρούνται οι όροι του άρθρου 10 του ν.2472/1997 σχετικά με το απόρρητο και την ασφάλεια της επεξεργασίας και γ) τα προσωπικά δεδομένα δεν χρησιμοποιούνται για άλλους σκοπούς. Δεν απαιτείται συγκατάθεση του υποκειμένου, αλλά αρκεί ενημέρωσή του κατά το στάδιο σύναψης της σύμβασης του υποκειμένου με τον υπεύθυνο επεξεργασίας.
-Μπορεί η ΤΕΙΡΕΣΙΑΣ να συλλέγει στοιχεία αιτήσεων εξωδικαστικού συμβιβασμού;
Ναι. Στην απόφαση 50/2011 η Αρχή έκρινε ότι τα σχετικά με την υποβολή αίτησης εξωδικαστικού συμβιβασμού δεδομένα οφειλετών, κατά το άρθρο 2 του ν.3869/2010, νομίμως συλλέγονται από την ΤΕΙΡΕΣΙΑΣ Α.Ε. χωρίς τη συγκατάθεσή τους και καταχωρίζονται στο Σύστημα Συγκέντρωσης Χορηγήσεων («λευκή λίστα»). Η πρόσβαση των πιστωτικών ιδρυμάτων σε αυτά πρέπει να γίνεται με τη συγκατάθεση του υποκειμένου των δεδομένων, εάν και εφόσον αυτό θα αναζητήσει νέα δανειοδότηση.
-Επιτρέπεται να τιτλοποιεί η τράπεζα απαιτήσεις κατά οφειλετών χωρίς τη συγκατάθεσή τους;
Σύμφωνα με το άρθρο 10 παρ. 21 και 22 του ν.3156/2003 για την τιτλοποίηση απαιτήσεων, δεν απαιτείται άδεια της Αρχής προστασίας προσωπικών δεδομένων ή συγκατάθεση του οφειλέτη για τη μεταβίβαση στην εταιρία ειδικού σκοπού, καθώς και προς τα άλλα μέρη της διαδικασίας τιτλοποίησης, κάθε στοιχείου ή δεδομένου σχετικά με τις απαιτήσεις και τους αντίστοιχους οφειλέτες.
σε θέση να αποπληρώσουν τα χρέη τους, με αποτέλεσμα να καταχωρίζονται σε δυσμενείς λίστες οικονομικής συμπεριφοράς. Περαιτέρω, οι τράπεζες είναι σε θέση, με διασταύρωση στοιχείων που παίρνουν από τους ίδιους τους πελάτες τους, αλλά και από αρχεία οικονομικών πληροφοριών, να δημιουργήσουν το προφίλ των πελατών τους. Αυτή η μεγάλη συγκέντρωση πληροφοριών, σε συνδυασμό με τη μη σωστή ενημέρωση, ελλοχεύει κινδύνους για τα προσωπικά δεδομένα των προσώπων.
Κάθε πολίτης έχει το δικαίωμα να γνωρίζει εάν τα προσωπικά του δεδομένα έχουν καταχωριστεί σε αρχείο, καθώς και να λαμβάνει αντίγραφα των σχετικών εγγράφων, απευθυνόμενος προς την τράπεζα σχετικά με την εκτέλεση της τραπεζικής του σύμβασης ή της αίτησης δανείου ή τη βαθμολόγηση της πιστοληπτικής του ικανότητας. Έχει ακόμα το δικαίωμα να προβάλλει δικαιολογημένες αντιρρήσεις, εφόσον δεν υπάρχει σχετική υποχρέωση του υπευθύνου επεξεργασίας, από νόμο ή τη σύμβαση, για την επεξεργασία αυτή (π.χ. για την ταυτοποίηση του πελάτη είναι υποχρεωτική από το ν.3691/2008 η συλλογή από την τράπεζα των στοιχείων ταυτότητας του συναλλασσόμενου).
Οι τράπεζες οφείλουν να γνωστοποιούν τα αρχεία τους στην Αρχή προστασίας προσωπικών δεδομένων. Πρέπει ακόμα να ενημερώνουν τα υποκείμενα των δεδομένων για το σκοπό επεξεργασίας των στοιχείων τους, από πού αντλούν τα στοιχεία τους, πού τα διαβιβάζουν (δηλαδή τους αποδέκτες, όπως είναι οι εταιρίες ενημέρωσης οφειλετών ή η ΤΕΙΡΕΣΙΑΣ Α.Ε.), και για τα δικαιώματα που τους παρέχει ο ν.2472/1997.
Οι προϋποθέσεις τήρησης αρχείου από την ΤΕΙΡΕΣΙΑΣ Α.Ε. και οι κανόνες κατηγοριοποίησης των σχετικών δεδομένων ορίζονται στις κανονιστικές αποφάσεις 24/2004 και 25/2004 της Αρχής, καθώς και στο άρθρο 40 του ν.3259/2004, όπως αντικαταστάθηκε σύμφωνα με το άρθρο 70 του ν.3746/2009.
Η Αρχή προστασίας προσωπικών δεδομένων πραγματοποίησε το 2009 επιτόπιο έλεγχο στην ΤΕΙΡΕΣΙΑΣ Α.Ε. αναφορικά με την προστασία και την ασφάλεια των προσωπικών δεδομένων, τα οποία επεξεργάζεται η εταιρεία. Πέραν της ασφάλειας, ελέγχθηκε και η γενικότερη συμμόρφωση του υπεύθυνου επεξεργασίας με τις προϋποθέσεις νόμιμης επεξεργασίας δεδομένων που ορίζονται στα άρθρα 4, 5 και 6 του ν.2472/1997, καθώς και η τήρηση των υποχρεώσεών του αναφορικά με την ικανοποίηση των δικαιωμάτων των υποκειμένων, σύμφωνα με τα άρθρα 11, 12 και 13 του ν.2472/1997.
-Είναι υποχρεωτικό η τράπεζα να λαμβάνει τη συγκατάθεση των υποκειμένων προτού διαβιβάσει τα στοιχεία τους (ενήμερες ή ανεξόφλητες οφειλές, καταγγελίες συμβάσεων δανείων ή καρτών) στην ΤΕΙΡΕΣΙΑΣ;
Όσον αφορά στα δεδομένα «της μαύρης λίστας», όπως είναι οι καταγγελίες συμβάσεων, δεν απαιτείται συγκατάθεση, αλλά αρκεί η ενημέρωση των υποκειμένων μέσω της σύμβασης για τον συγκεκριμένο αποδέκτη. Για τα δεδομένα της «λευκής λίστας», όπως οφειλές από δάνεια, κάρτες κ.λπ., δεν απαιτείται συγκατάθεση, δεδομένου ότι η διαβίβαση προβλέπεται σε νόμο. Απαιτείται, ωστόσο, οι τράπεζες να λαμβάνουν τη συγκατάθεση του υποψήφιου δανειολήπτη, προκειμένου να έχουν πρόσβαση στο σχετικό αρχείο.
-Πότε καταχωρίζει η ΤΕΙΡΕΣΙΑΣ τα δεδομένα που αποστέλλει η τράπεζα σχετικά με την καταγγελία σύμβασης;
Μόνο εάν έχει τη βεβαίωση ότι η τράπεζα έχει ενημερώσει εγγράφως (με επίδοση ή άλλο τρόπο) το υποκείμενο για την καταγγελία.
-Μπορεί ο αιτών να ζητήσει την επιστροφή των δικαιολογητικών εγγράφων που έχει προσκομίσει στην τράπεζα για τη χορήγηση πίστωσης, εφόσον απορρίφθηκε η αίτησή του;
Ναι, δικαιούται να ζητήσει από την τράπεζα να του επιστρέψει τα πρωτότυπα έγγραφα που έχει στην κατοχή της καθώς και να καταστρέψει τυχόν αντίγραφα αυτών.
-Μπορεί η τράπεζα να αποστέλλει τα στοιχεία των οφειλετών της σε εταιρίες ενημέρωσης οφειλετών;
Στο πλαίσιο της σχέσης αντιπροσώπευσης, οι εταιρείες ενημέρωσης οφειλετών επεξεργάζονται δεδομένα προσωπικού χαρακτήρα ενεργώντας ως εκτελούσες την επεξεργασία για λογαριασμό του εκάστοτε υπεύθυνου επεξεργασίας. Η επεξεργασία είναι νόμιμη εφόσον α) περιορίζεται αποκλειστικά και μόνο στο σκοπό αντιπροσώπευσης, β) τηρούνται οι όροι του άρθρου 10 του ν.2472/1997 σχετικά με το απόρρητο και την ασφάλεια της επεξεργασίας και γ) τα προσωπικά δεδομένα δεν χρησιμοποιούνται για άλλους σκοπούς. Δεν απαιτείται συγκατάθεση του υποκειμένου, αλλά αρκεί ενημέρωσή του κατά το στάδιο σύναψης της σύμβασης του υποκειμένου με τον υπεύθυνο επεξεργασίας.
-Μπορεί η ΤΕΙΡΕΣΙΑΣ να συλλέγει στοιχεία αιτήσεων εξωδικαστικού συμβιβασμού;
Ναι. Στην απόφαση 50/2011 η Αρχή έκρινε ότι τα σχετικά με την υποβολή αίτησης εξωδικαστικού συμβιβασμού δεδομένα οφειλετών, κατά το άρθρο 2 του ν.3869/2010, νομίμως συλλέγονται από την ΤΕΙΡΕΣΙΑΣ Α.Ε. χωρίς τη συγκατάθεσή τους και καταχωρίζονται στο Σύστημα Συγκέντρωσης Χορηγήσεων («λευκή λίστα»). Η πρόσβαση των πιστωτικών ιδρυμάτων σε αυτά πρέπει να γίνεται με τη συγκατάθεση του υποκειμένου των δεδομένων, εάν και εφόσον αυτό θα αναζητήσει νέα δανειοδότηση.
-Επιτρέπεται να τιτλοποιεί η τράπεζα απαιτήσεις κατά οφειλετών χωρίς τη συγκατάθεσή τους;
Σύμφωνα με το άρθρο 10 παρ. 21 και 22 του ν.3156/2003 για την τιτλοποίηση απαιτήσεων, δεν απαιτείται άδεια της Αρχής προστασίας προσωπικών δεδομένων ή συγκατάθεση του οφειλέτη για τη μεταβίβαση στην εταιρία ειδικού σκοπού, καθώς και προς τα άλλα μέρη της διαδικασίας τιτλοποίησης, κάθε στοιχείου ή δεδομένου σχετικά με τις απαιτήσεις και τους αντίστοιχους οφειλέτες.
