ΑΠΔΠΧ: Πρόστιμο 220.000 ευρώ στην Εθνική Τράπεζα της Ελλάδος (Απόφαση 1/2025)

Τι συνέβη;

Η ΑΠΔΠΧ επιλήφθηκε συνδυαστικά επί 7 καταγγελιών για παραβίαση του δικαιώματος πρόσβασης κατά τα έτη 2021 έως 2022 και στις αρχές του 2023, και παράλληλα διενήργησε αυτεπάγγελτο έλεγχο των διαδικασιών συμμόρφωσης της Τράπεζας από τη θέση σε εφαρμογή του ΓΚΠΔ και μέχρι την ημερομηνία εξέτασης της υπόθεσης.

Νομικά διαλαμβανόμενα

Σχετικές διατάξεις ήταν τα άρθρα 12, 15, 25 ΓΚΠΔ.

Ειδικότερα:

• Στο άρθρο 15 παρ. 1 και 3 ΓΚΠΔ, προβλέπεται ότι κάθε Φυσικό Πρόσωπο έχει δικαίωμα να λαμβάνει αντίγραφο των προσωπικών δεδομένων, που το αφορούν, τα οποία ένας Υπεύθυνος Επεξεργασίας επεξεργάζεται (δικαίωμα πρόσβασης).
• Έπειτα στο άρθρο 12 ΓΚΠΔ κάθε υπεύθυνος επεξεργασίας θα πρέπει να διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων και κατ’ αρχήν να τα διεκπεραιώνει εντός ενός μήνα από την παραλαβή του αιτήματος.
• Τέλος, σύμφωνα με το άρθρο 25 ΓΚΠΔ, κάθε Υπεύθυνος Επεξεργασίας πρέπει να έχει σε εφαρμογή από τον σχεδιασμό και εκ προοιμίου, πολιτικές και διαδικασίες ώστε να μπορεί να διεκπεραιώνει εγκαίρως και προσηκόντως δικαιώματα των υποκειμένων, όπως είναι το δικαίωμα πρόσβασης.

Σε σχέση με την υπό εξέταση υπόθεση

Η ΑΠΔΠΧ επιλήφθηκε συνδυαστικά επί 7 συνολικά καταγγελιών για παραβίαση του δικαιώματος πρόσβασης κατά τα έτη 2021 έως 2022 και στις αρχές του 2023. Παράλληλα διενήργησε αυτεπάγγελτο έλεγχο των διαδικασιών συμμόρφωσης της Τράπεζας από τη θέση σε εφαρμογή του ΓΚΠΔ και μέχρι την ημερομηνία εξέτασης της υπόθεσης.

Ειδικότερα, η ΑΠΔΠΧ έκρινε ότι οι τηρούμενες εκ μέρους της Τράπεζας διαδικασίες χειρισμού αιτημάτων πρόσβασης ήταν αναποτελεσματικές, και ως εκ τούτου οδήγησε στην εκπρόθεσμη και μερική εκπλήρωση των αιτημάτων των υποκειμένων. Επιπλέον, η Τράπεζα δεν μερίμνησε για τη λήψη κατάλληλων τεχνικών και οργανωτικών μέτρων.

Κατά το αιτιολογικό της απόφασης, η ΑΠΔΠΧ έκρινε ότι παράγοντες όπως ο όγκος και η φύση των προσωπικών δεδομένων που επεξεργάζεται η Τράπεζα, η πληθώρα των αιτημάτων πρόσβασης που δέχεται λόγω του πεδίου δραστηριότητάς της καθώς και οι ενδεχόμενοι κίνδυνοι από τυχόν καθυστέρηση στην ικανοποίηση των αιτημάτων των υποκειμένων, ενδείκνυνται ως παράμετροι σχεδιασμού και επικαιροποίησης των σχετικών διαδικασιών συμμόρφωσης.

Συμπεράσματα

Με την απόφαση 1/2025, η ΑΠΔΠΧ, επισημαίνει -για έτη μια φορά- ότι:

• Οι υπεύθυνοι επεξεργασίας θα πρέπει να έχουν σε εφαρμογή πολιτικές και διαδικασίες για την διεκπεραίωση αιτημάτων,
• Αυτές οι πολιτικές και διαδικασίες να είναι προσβάσιμες σε όλο το ανθρώπινο δυναμικό του Υπευθύνου Επεξεργασίας, προκειμένου ο τελευταίος να είναι εμπρόθεσμος στην διεκπεραίωση αιτημάτων. Στο πλαίσιο αυτό είναι ιδιαίτερα χρήσιμο να γίνεται τακτική εκπαίδευση του προσωπικού στις πολιτικές και διαδικασίες αυτές.
• Τέλος, είναι πολύ σημαντικό, ο Υπεύθυνος Επεξεργασίας, να επανεξετάζει και να επικαιροποιεί τα ληφθέντα τεχνικά και οργανωτικά μέτρα με βάση την ανατροφοδότηση που λαμβάνεται από τα επηρεαζόμενα υποκείμενα των δεδομένων ή/και το προσωπικό που διαχειρίζεται τα αιτήματα αυτά.

Με την απόφαση 1/2025 γίνεται και πάλι ξεκάθαρο ότι η συμμόρφωση με τις επιταγές του Ενωσιακού και Εθνικού ρυθμιστικού πλαισίου περί προστασίας προσωπικών δεδομένων δεν πρέπει να περιορίζεται στην απλή σύνταξη κειμένων, τα οποία βρίσκονται σε κάποιο συρτάρι ή σε έναν ψηφιακό φάκελο. Αντιθέτως, είναι μια δυναμική διαδικασία, η οποία διαρκώς πρέπει να επικαιροποιείται τόσο βάσει των νομοθετικών εξελίξεων όσο και βάσει των προκλήσεων που δημιουργούνται κατά την εφαρμογή του πλαισίου αυτού.