tuv-iso-logo tuv-iso-27001-logo

ΟλΑΠ 3/2020 – Νόμιμη η διαβίβαση προσωπικών δεδομένων οφειλέτη από την Τράπεζα σε εταιρεία ενημέρωσης οφειλετών

 Γράφει ο Στάθης Δημ. Σταματελόπουλος, Νομικός Συνεργάτης Ε.Ε.Α.

 

 

Μία πολύ σημαντική απόφαση εξέδωσε η Τακτική Ολομέλεια του Αρείου Πάγου, αναφορικά με το ζήτημα της νομιμότητας της διαβίβασης δεδομένων προσωπικού χαρακτήρα του οφειλέτη τράπεζας, από την ίδια την τράπεζα, ως υπεύθυνη επεξεργασίας των προσωπικών του δεδομένων, προς εταιρεία ενημέρωσης οφειλετών, χωρίς την προηγούμενη ειδική και έγγραφη ενημέρωση του οφειλέτη, για την σχετική περαιτέρω διάθεση των προσωπικών του δεδομένων.

 

Ειδικότερα, η υπόθεση αφορούσε σε αίτηση αναίρεσης, την οποία άσκησε τράπεζα κατά της απόφασης του δικάσαντος, ως Εφετείου, Μονομελούς Πρωτοδικείου Θεσσαλονίκης, η οποία δέχτηκε την έφεση του οφειλέτη και επιδίκασε σε αυτόν εύλογο χρηματικό ποσό, ως χρηματική ικανοποίηση για την ηθική βλάβη που υπέστη, από την παράνομη, όπως δέχτηκε, περαιτέρω διαβίβαση των προσωπικών του δεδομένων, από την δανείστρια τράπεζα προς άλλη εταιρεία ενημέρωσης οφειλετών, σύμφωνα με τα οριζόμενα στις διατάξεις των άρθρων 11,22 και 23 του Ν. 2472/1997, περί προστασίας των δεδομένων προσωπικού χαρακτήρα.

 

Το ζήτημα που απασχόλησε την Ολομέλεια του ανωτάτου ακυρωτικού  Δικαστηρίου, και το οποίο παραπέμφθηκε στην τακτική Ολομέλεια, από το Α2 Πολιτικό τμήμα του, αφορούσε την τυχόν εσφαλμένη ερμηνεία και εφαρμογή των διατάξεων των άρθρων 11 παρ. 1, 2 και περ. θ και η και της παρ. 5 του Ν.2472/1997 από το δικάσαν, ως Εφετείο, Μονομελές Πρωτοδικείο Θεσσαλονίκης και συγκεκριμένα το ζήτημα, που έθεσε η παραπεμπτική απόφαση του Τμήματος αφορούσε στο αν, η αναιρεσείουσα τράπεζα, ως υπεύθυνη επεξεργασίας των δεδομένων προσωπικού χαρακτήρα του καθ΄ού οφειλέτη, – η οποία (επεξεργασία) γίνεται στα πλαίσια μίας δανειακής σύμβασης -, οφείλει να ενημερώσει ειδικά τον οφειλέτη, για την διάθεση αυτών των δεδομένων του στην εκάστοτε συγκεκριμένη εταιρεία ενημέρωσης οφειλετών, ή αν αρκεί κατά νόμο, το γεγονός ότι, η τράπεζα, κατά τον χρόνο συλλογής των δεδομένων (ήτοι κατά τον χρόνο της υπογραφής της δανειακής σύμβασης), βάσει περιληφθέντων όρων στην σχετική δανειακή σύμβαση, είχε ενημερώσει τον οφειλέτη ότι, τα προσωπικά του δεδομένα, θα αποτελέσουν αντικείμενο επεξεργασίας από την ίδια την τράπεζα, ή και από εκείνους, που εκτελούν την επεξεργασία, κατ’ εντολή και για λογαριασμό της, ως αποδέκτες των δεδομένων, στους οποίους περιλαμβάνονται και οι εταιρείες είσπραξης απαιτήσεων .

 

Ειδικότερα και σύμφωνα με την κρίση της πλειοψηφίας του Δικαστηρίου έγιναν δεκτά τα εξής :

 

Στις διατάξεις του άρθρου 11 παρ. 1 έως 3 του Ν.2472/1997 ορίζεται ότι …..ο υπεύθυνος επεξεργασίας οφείλει, κατά το στάδιο της συλλογής των δεδομένων προσωπικού χαρακτήρα, να ενημερώσει με τρόπο πρόσφορο και σαφή το υποκείμενο των δεδομένων και για τα εξής μεταξύ άλλων στοιχεία : α) για την ταυτότητα του και την ταυτότητα του τυχόν εκπροσώπου του, β) τον σκοπό της επεξεργασίας, γ) τους αποδέκτες, ή τις κατηγορίες αποδεκτών των δεδομένων και δ) την ύπαρξη του δικαιώματος πρόσβασης. Στις διατάξεις δε των άρθρων 22 και 23 του Ν.2472/1997 προβλέπεται ότι, σε περίπτωση παράβασης των σχετικών διατάξεων για την προστασία των δεδομένων προσωπικού χαρακτήρα, και υπό τις οριζόμενες ειδικότερα προϋποθέσεις υπάρχουν συγκεκριμένες ποινικές κυρώσεις, για όσες συμπεριφορές κρίνονται αξιόποινες, ενώ παράλληλα, προβλέπεται και η υποχρέωση καταβολής αποζημίωσης και χρηματικής ικανοποίησης για την ηθική βλάβη του υποκειμένου των προσωπικών δεδομένων .

 

Κατά συνέπεια με το άρθρο 11 του Ν.2472/1997 καθιερώνεται βασική υποχρέωση του υπεύθυνου επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, για την ενημέρωση του υποκειμένου των δεδομένων για την επεξεργασία των δεδομένων του, μα σαφή και πρόσφορο τρόπο, ιδίως ως προς τα στοιχεία της ταυτότητας του και της ταυτότητα του τυχόν εκπροσώπου του, τον σκοπό της επεξεργασίας και τους αποδέκτες, ή τις κατηγορίες αποδεκτών των δεδομένων, καθώς και για την ύπαρξη του δικαιώματος του υποκειμένου για πρόσβαση αυτού σε πληροφορίες σχετικές; με την επεξεργασία των δεδομένων του. Ειδικότερα δε, ως προς το στοιχείο της ενημέρωσης για τους αποδέκτες των δεδομένων, ο υπεύθυνος επεξεργασίας οφείλει να ενημερώνει το υποκείμενο, είτε ως προς το συγκεκριμένο πρόσωπο του αποδέκτη, του οποίου έτσι θα προκύπτει η ταυτότητα, είτε κατά ρητή αναφορά του νόμου, ως προς την κατηγορία των αποδεκτών, οπότε σε αυτήν την περίπτωση, δεν προσδιορίζεται πρόσωπο της κατηγορίας, ώστε να προκύπτει η ταυτότητα του. Πληροί δε την απαιτούμενη, κατά το άρθρο 11 παρ. 1 περ. γ του Ν.2472/1997, προϋπόθεση, της ενημέρωσης του υποκειμένου των δεδομένων, η αναφορά της κατηγορίας των αποδεκτών δεδομένων, όπως ρητά αναγράφεται στην ως άνω διάταξη .

 

Στην κρινόμενη υπόθεση η αναιρεσείουσα τράπεζα, μετά την κατάρτιση της δανειακής σύμβασης και την καθυστέρηση στην εξόφληση των δόσεων από τον οφειλέτη δανειολήπτη, προέβη στην διαβίβαση δεδομένων προσωπικού χαρακτήρα του οφειλέτη, όπως το τηλέφωνο της οικίας του, τα στοιχεία της ταυτότητας του και τα στοιχεία της οφειλής του, προς θυγατρική της ανώνυμη εταιρεία, στην οποία και ανέθεσε την είσπραξη της σχετικής οφειλή;, χωρίς προηγουμένως να έχει ενημερώσει τον οφειλέτη με τρόπο σαφή και πρόσφορο, για την περαιτέρω διαβίβαση     και επεξεργασία των προσωπικών του δεδομένων, από την ως άνω εταιρεία ενημέρωσης οφειλετών, πλην όμως, όπως ισχυρίστηκε και πρωτόδικα η αναιρεσείουσα τράπεζα, κατά την συλλογή των δεδομένων προσωπικού  χαρακτήρα του οφειλέτη, που έγινε κατά την υπογραφή της δανειακής σύμβασης, είχε προβεί στην σχετική ενημέρωση του και ειδικότερα είχε ενημερώσει με σχετικό όρο της σύμβασης τον οφειλέτη ότι, τα προσωπικά του δεδομένα θα αποτελέσουν αντικείμενο επεξεργασίας από την ίδια την τράπεζα, ή και από τρίτους που εκτελούν την επεξεργασία, κατ’ εντολή και για λογαριασμό της, ειδικότερα δε, αναφέρονταν στον σχετικό όρο ότι, αποδέκτες των δεδομένων είναι και εταιρείες είσπραξης απαιτήσεων, δικηγόροι, συμβολαιογράφοι και δικαστικοί επιμελητές στο πλαίσιο των αρμοδιοτήτων τους .

 

Κατά τη γνώμη που επικράτησε στο Δικαστήριο, η ενημέρωση του υποκειμένου των δεδομένων, αναιρεσιβλήτου, από την υπεύθυνη επεξεργασίας των δεδομένων, αναιρεσείουσα τράπεζα, η οποία πραγματοποιήθηκε  με την σχετική αναγραφή στο έντυπο της αίτησης χορήγησης του δανείου ότι, αποδέκτες των δεδομένων προσωπικού χαρακτήρα του οφειλέτη, τα οποία αφορούν την είσπραξη των απαιτήσεων της τράπεζας, σε περίπτωση μη εκπλήρωσης των υποχρεώσεων που αναλαμβάνονται με την σύμβαση δανείου, είναι εκτός των άλλων και οι εταιρείες είσπραξης απαιτήσεων, πληροί την απαιτούμενη ενημέρωση του υποκειμένου των δεδομένων, για τους αποδέκτες των προσωπικών δεδομένων που συνελέγησαν, κατά την χορήγηση του δανείου και συνεπώς η ενέργεια αυτή της τράπεζας δεν συνιστούσε παράβαση των ρυθμίσεων του άρθρου 11 παρ. 1 περ. γ του Ν.2472/1997. Τούτο δε διότι, η ανώνυμη εταιρεία στην οποία διαβιβάστηκαν τα προσωπικά δεδομένα, ως εταιρεία ενημέρωσης οφειλετών, υπάγεται στην ευρύτερη κατηγορία αποδεκτών ¨εταιρείες είσπραξης απαιτήσεων¨, λαμβάνοντας υπόψη, αφενός μεν ότι, οι εταιρείες με τέτοιο αντικείμενο δραστηριότητας  θεσπίστηκαν το πρώτον με τον Ν.3578/2009, δηλαδή πολύ μετά την κατάρτιση της δανειακής σύμβασης, αφετέρου δε το γεγονός ότι, η δραστηριότητα της ως άνω εταιρείας αποτελεί μέρος της δραστηριότητας των εταιρειών είσπραξης απαιτήσεων, οι οποίες πέραν του σκοπού της ενημέρωσης των οφειλετών για το χρέος τους , είχαν σκοπό και την είσπραξη των απαιτήσεων .

 

Με το σκεπτικό αυτό η πλειοψηφία του Δικαστηρίου έκανε δεκτή την αίτηση αναίρεσης και εξαφάνισε την προσβαλλόμενη απόφαση, που είχε δικαιώσει τον οφειλέτη – δανειολήπτη .

 

Πρέπει όμως να σημειωθεί ότι, υπήρξε και ισχυρή (δέκα μελών) μειοψηφία, η οποία δέχτηκε ότι, η γενόμενη κατά την συλλογή δεδομένων προσωπικού χαρακτήρα, ενημέρωση του οφειλέτη, που έγινε με την αίτηση λήψης του δανείου,  δεν πληροί την εκ του άρθρου 11 του Ν.2472/1997 υποχρέωση ενημέρωσης του υποκειμένου από την υπεύθυνη της επεξεργασίας των δεδομένων, τράπεζα, αναφορικά με τους αποδέκτες της περαιτέρω επεξεργασίας των δεδομένων του, καθόσον η αναιρεσείουσα τράπεζα ήταν υποχρεωμένη να ενημερώσει τον οφειλέτη, ειδικά για την συγκεκριμένη εταιρεία ενημέρωσης οφειλετών, στην οποία θα διαβιβάζονταν τα προσωπικά του δεδομένα, η οποία και θα τον καλούσε τηλεφωνικά για ενημέρωση και διευθέτηση της οφειλής του. Ειδικότερα, όπως δέχτηκε η μειοψηφία του Δικαστηρίου, με την αίτηση που συμπλήρωσε και υπέγραψε ο οφειλέτης, κατά την κατάρτιση της σύμβασης δανείου, η τράπεζα φέρεται να τον ενημέρωσε σχετικά για τις κατηγορίες αποδεκτών των δεδομένων του, ήτοι τις εταιρείες είσπραξης απαιτήσεων, για δικηγόρους, συμβολαιογράφους, δικαστικούς επιμελητές στα πλαίσια των αρμοδιοτήτων τους .

 

Όμως, η συγκεκριμένη εταιρεία στην οποία διαβιβάστηκαν τα προσωπικά του δεδομένα δεν υπάγεται σε καμία από τις ως άνω κατηγορίες αποδεκτών και ειδικότερα δεν υπάγεται στην κατηγορία των εταιρειών είσπραξης απαιτήσεων, αλλά αποτελεί εταιρεία ενημέρωσης οφειλετών, η οποία και δεν μπορεί να έχει ως σκοπό της είσπραξη απαιτήσεων, αφού αυτό απαγορεύεται ρητά από την διάταξη του άρθρου 4 παρ. 3 του Ν.3758/2009, με τον οποίο αυτή συστάθηκε. Έτσι δεν υπάγεται στην κατηγορία αποδεκτών, στους ποίους αναφέρεται η επικαλούμενη από την αναιρεσείουσα τράπεζα, ενημέρωση. Άλλωστε, κατά τον χρόνο της ενημέρωσης του οφειλέτη για τους αποδέκτες των προσωπικών του δεδομένων, δεν ίσχυε ο Ν.3578/2009, με τον οποίο προβλέφθηκε και ρυθμίστηκε η λειτουργία των εταιρειών ενημέρώσης οφειλετών και συνεπώς δεν υπήρχε αυτή η κατηγορία αποδεκτών, στην οποία εντάσσεται η ως άνω εταιρεία και στην οποία η αναιρεσείουσα τράπεζα κοινοποίησε τα προσωπικά δεδομένα του οφειλέτη, ώστε να μπορεί να γίνει δεκτό ότι, υπήρξε η αναγκαία ενημέρωση του και κατά συνέπεια έπρεπε η τράπεζα πριν την μεταβίβαση των δεδομένων προσωπικού χαρακτήρα του οφειλέτη, προς την εταιρεία ενημέρωσης οφειλετών, να τον ενημερώσει ότι, η συγκεκριμένη εταιρεία, θα γίνει αποδέκτης των προσωπικών του δεδομένων .