Προσωπικά δεδομένα και Τειρεσίας: Η διεύρυνση των αποδεκτών των εν λόγω αρχείων υπόκειται στην απαίτηση για DPIA
Απάντηση στο αίτημα της ΤΕΙΡΕΣΙΑΣ Α.Ε. σχετικά με την έγκριση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για την ένταξη των Εταιρειών ∆ιαχείρισης Απαιτήσεων (ν. 4354/2015) στους νοµιµοποιούµενους αποδέκτες των δεδοµένων των αρχείων «Σύστηµα Αθέτησης Υποχρεώσεων» (ΣΑΥ ή «µαύρη λίστα») και «Σύστηµα Συγκέντρωσης Χορηγήσεων» (ΣΣΧ ή «λευκή λίστα»), εξέδωσε η ΑΠΔΠΧ.
Ειδικότερα, με την απόφαση 18/2019, η Αρχή απάντησε αφενός ότι απέχει να αποφανθεί επί της αίτησης, καθώς κρίνει ότι πρέπει η ΤΕΙΡΕΣΙΑΣ Α.Ε. και η αιτούσα την αυτόνοµη, ως υπεύθυνη επεξεργασίας, πρόσβαση στα εν λόγω αρχεία της ΤΕΙΡΕΣΙΑΣ Εταιρεία ∆ιαχείρισης Απαιτήσεων, να διενεργήσουν εκτίµηση αντικτύπου των σχεδιαζόµενων πράξεων επεξεργασίας στην προστασία δεδοµένων προσωπικού χαρακτήρα.
Σύμφωνα με την Αρχή, η σχεδιαζόµενη πράξη επεξεργασίας, διεύρυνση των αποδεκτών των εν λόγω αρχείων της ΤΕΙΡΕΣΙΑΣ, υπόκειται στην απαίτηση για διενέργεια εκτίµησης αντικτύπου, ενώ στην προκειµένη περίπτωση, ο υπεύθυνος επεξεργασίας πρέπει, κατά τη διενέργεια της εκτίµησης αντικτύπου, να ζητήσει και τη γνώµη των υποκειµένων των δεδοµένων ή των εκπροσώπων τους για τη σχεδιαζόµενη επεξεργασία (βλ. παρ. 9 άρθρου 35 του ΓΚΠ∆).
Μεταξύ άλλων, η Αρχή σημείωνει στην απόφασή της ότι η ένταξη των Εταιρειών ∆ιαχείρισης Απαιτήσεων (ΕΔΑ) στους νοµιµοποιούµενους αποδέκτες των εν λόγω αρχείων της ΤΕΙΡΕΣΙΑΣ, όταν ενεργούν για λογαριασµό των Εταιρειών Απόκτησης Απαιτήσεων (ΕΑΑ), ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώµατα και τις ελευθερίες των φυσικών προσώπων.
Για παράδειγµα, πρέπει να αναλυθεί ο κίνδυνος διάθεσής τους σε ΕΑΑ, η οποία είναι δικαιούχος των υπό διαχείριση απαιτήσεων και η οποία δεν υπόκειται σε εποπτεία στην Ελλάδα, εφόσον µπορεί να βρίσκεται εγκατεστηµένη οπουδήποτε στον κόσµο, οπότε θα πρέπει να αναλυθεί και ο κίνδυνος διαβίβασής τους εντός ή και εκτός ΕΕ, ή ο κίνδυνος διάθεσής τους σε ΕΑΑ σε περίπτωση λύσης της σχετικής σύµβασης ανάθεσης που συνάπτεται µεταξύ Ε∆Α και ΕΑΑ, οπότε και τα αρχεία που έχουν διατεθεί στην Ε∆Α επιστρέφονται στην ΕΑΑ, η οποία διατηρεί την κυριότητα του σχετικού χαρτοφυλακίου, ή παραδίδονται σε άλλη Ε∆Α καθ’ υπόδειξη της ΕΑΑ.
Η Αρχή σημειώνει ότι σε περίπτωση προβλέψεως µε νοµοθετική διάταξη της διεύρυνσης αυτής των νοµιµοποιούµενων αποδεκτών, η εκτίµηση αντικτύπου θα έπρεπε να διενεργηθεί στο πλαίσιο της θέσπισης της σχετικής νοµοθετικής ρύθµισης (βλ. άρθρο 35 παρ. 10 ΓΚΠ∆ και αιτιολογικές σκέψεις 93 και 96).
Κατά τη διενέργεια, εξάλλου, της εκτίµησης αντικτύπου πρέπει να ληφθεί υπόψη το γεγονός ότι υφίστανται σχετικές συµβάσεις (π.χ. συµβάσεις σε λειτουργία µεταξύ των δανειοληπτών και των τραπεζών, των τραπεζών και των Εταιρειών Απόκτησης Απαιτήσεων, των Εταιρειών ∆ιαχείρισης Απαιτήσεων και των τραπεζών ή Εταιρειών Απόκτησης Απαιτήσεων αντίστοιχα) και να ζητηθεί αποδεδειγµένα η γνώµη των εµπλεκόµενων Εταιρειών Απόκτησης Απαιτήσεων (σε σχέση µε τον ρόλο των Εταιρειών ∆ιαχείρισης Απαιτήσεων) και των δανειοληπτών που επηρεάζονται από την σχεδιαζόµενη επεξεργασία.
Δείτε αναλυτικά την απόφαση 18/2019 στο dpa.gr
