ν. 2472/1997 άρθρα 11.1 & 12.2, ν. 2068/1992, ν. 3758/2009

 Για να ανοίξετε την απόφαση και το σχόλιο σε μορφή pdf πατήστε εδώ

 Για να ανοίξετε την απόφαση, όπως δημοσιεύτηκε σε μορφή pdf πατήστε εδώ

Νομιμότητα της διαβίβασης από Τράπεζα προσωπικών δεδομένων πελάτη της σε εισπρακτική εταιρεία

Αρκεί το γεγονός ότι η δανείστρια Τράπεζα, ως υπεύθυνη επεξεργασίας προσωπικών δεδομένων, κατά το χρόνο συλλογής τους βάσει περιληφθέντων όρων στη σχετική σύμβαση είχε ενημερώσει τον οφειλέτη ότι τα προσωπικά του δεδομένα θα αποτελέσουν αντικείμενο επεξεργασίας κατ' εντολή και για λογαριασμό της και εταιρίες εισπράξεως απαιτήσεων - ενημέρωσης οφειλετών, ως αποδέκτες των δεδομένων και συνεπώς δεν όφειλε να ενημερώσει ειδικώς τον οφειλέτη για τη διαβίβαση αυτών των δεδομένων του σε τέτοιες εταιρίες (αντίθ. μειοψηφία).

πλειοψΟλομΑΠ 3/2020
(Σύνθεση: Ι. Τσαλαγανίδης, Πρόεδρος του Αρείου Πάγου, Α. Αλειφεροπούλου και Ειρήνη Καλού, Αντιπροέδροι του Αρείου Πάγου, Α. Μαγιάκου, Α. Κοκκοβού, Δ. Μπιτζούνη, Α. Τζαβάρα, Θ. Γκατζογιάννης - Εισηγητής, Μ. Χατζηγεωργίου, Α. Παπαδιά, Ε. Ερωτοκρίτου, Γ. Κουτσοκώστας, Λ. Μόρφης, Ε. Φραγκάκη, Λ. Καρέλος, Α. Γκάμαρη, Ζ. Στράτα, Π. Παρτσαλίδου - Κομνηνού, Σ. Δαρέλλης, Ό. Σχετάκη - Μπονάτου, Θ. Μαντούβαλος, Γ. Κόκκορης, Π. Ακάσογλου, Ε. Τσιρακίδου, Κ. Πανά, Ν. Βεργιτσάκης και Κωνσταντίνα Αλεβιζοπούλου, Αρεοπαγίτες).

Η ένδικη διαφορά άρχισε με την από 14-4-2016 αγωγή του ήδη αναιρεσιβλήτου, που κατατέθηκε στο Ειρηνοδικείο Θεσσαλονίκης. Εκδόθηκαν οι αποφάσεις: 3455/2016 του ίδιου Δικαστηρίου και 3937/2018 του Μονομελούς Πρωτοδικείου Θεσσαλονίκης. Την αναίρεση της τελευταίας απόφασης ζήτησε η αναιρεσείουσα εταιρεία με την από 30-3-2018 αίτησή της, επί της οποίας εκδόθηκε η 171/2019 απόφαση του Α2 Πολιτικού Τμήματος του Αρείου Πάγου, η οποία παρέπεμψε στην Τακτική Ολομέλεια το αναφερόμενο στο σκεπτικό και στο μοναδικό λόγο της αιτήσεως αναίρεσης ζήτημα ως προς όλα τα μέρη αυτού και δη εάν η δανείστρια Τράπεζα, ως υπεύθυνη επεξεργασίας προσωπικών δεδομένων, γενομένης στο πλαίσιο μιας συμβάσεως, οφείλει να ενημερώνει ειδικώς τον οφειλέτη για τη διάθεση αυτών των δεδομένων του στην εκάστοτε συγκεκριμένη εταιρεία ενημέρωσης οφειλετών ή αρκεί, κατά νόμο, το γεγονός ότι η Τράπεζα κατά το χρόνο της συλλογής των δεδομένων, βάσει περιληφθέντων όρων στη σχετική σύμβαση, είχε ενημερώσει τον οφειλέτη ότι τα προσωπικά του δεδομένα, θα αποτελέσουν αντικείμενο επεξεργασίας από την ίδια (Τράπεζα) ή και από εκείνους που εκτελούν την επεξεργασία κατ' εντολή και για λογαριασμό της, ως αποδέκτες των δεδομένων, στους οποίους περιλαμβάνονται και οι εταιρίες εισπράξεως απαιτήσεων. Κατόπιν αυτής της απόφασης η υπόθεση φέρεται προς συζήτηση στην Τακτική Ολομέλεια του Αρείου Πάγου με την από 22/5/2019 κλήσης της καλούσας ανώνυμης εταιρείας.
Ο πληρεξούσιος της αναιρεσείουσας και ο αυτοπροσώπως παρασταθείς αναιρεσίβλητος, αφού έλαβαν κατά σειρά το λόγο από τον Πρόεδρο, ανέπτυξαν και προφορικά τους σχετικούς ισχυρισμούς τους, οι οποίοι αναφέρονται και στις προτάσεις τους και ζήτησαν ο πληρεξούσιος της αναιρεσείουσας την παραδοχή της αίτησης, ο αυτοπροσώπως παρασταθείς αναιρεσίβλητος την απόρριψή της καθένας δε την καταδίκη του αντιδίκου μέρους στη δικαστική δαπάνη.
Ο Εισαγγελέας, αφού έλαβε τον λόγο από τον Πρόεδρο, πρότεινε να δεχθεί το δικαστήριο ότι αρκεί, κατά νόμο, το γεγονός ότι η δανείστρια Τράπεζα, ως υπεύθυνη επεξεργασίας προσωπικών δεδομένων, κατά το χρόνο συλλογής των δεδομένων, βάσει περιληφθέντων όρων στη σχετική σύμβαση, είχε ενημερώσει τον οφειλέτη ότι τα προσωπικά του δεδομένα θα αποτελέσουν αντικείμενο επεξεργασίας κατ' εντολή και για λογαριασμό της, ως αποδέκτες των δεδομένων, στους οποίους περιλαμβάνονται και οι εταιρίες εισπράξεως απαιτήσεων και (συνακόλουθα) δεν όφειλε να ενημερώσει ειδικώς τον οφειλέτη για τη διάθεση αυτών των δεδομένων του στην εκάστοτε εταιρία ενημέρωσης οφειλετών. Κατόπιν αυτών ο Πρόεδρος έδωσε εκ νέου το λόγο στον πιο πάνω πληρεξούσιο δικηγόρο της αναιρεσείουσας και στον αυτοπροσώπως παρασταθέντα αναιρεσίβλητο, οι οποίοι αναφέρθηκαν σε όσα προηγουμένως είχαν αναπτύξει.
Κατά την 25η Ιουνίου 2020, ημέρα που συγκροτήθηκε το Δικαστήριο τούτο προκειμένου να διασκεφθεί για την ανωτέρω υπόθεση, ήταν απόντες οι Αρεοπαγίτες Γ. Κόκκορης και Κ. Πανά, οι οποίοι είχαν δηλώσει κώλυμα αρμοδίως. Παρισταμένων, πλην αυτών, πλέον των δέκα πέντε (15) μελών εκ των συμμετασχόντων στη συζήτηση την υπόθεσης, κατ' άρθρο 23 παρ.2 του Ν. 1756/1988, όπως ισχύει με την τροποποίηση με το άρθρο 44 του Ν. 3659/2008, το Δικαστήριο είχε την εκ του νόμου απαρτία για να διασκεφθεί.
ΣΚΕΦΘΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
Με την 171/2019 απόφαση του Α2 Πολιτικού Τμήματος του Αρείου Πάγου κρίθηκε βάσιμος με πλειοψηφία μιας ψήφου και γι' αυτό παραπέμφθηκε στην Τακτική Ολομέλεια του Δικαστηρίου, σύμφωνα με τα άρθρα 563 παρ. 2 εδ. γ' ΚΠολΔ και 23 παρ. 2 του Οργανισμού Δικαστηρίων (ν. 1756/1988), ο, από τον αριθμό 1 του άρθρου 559 ΚΠολΔ, λόγος της από 30.3.2018 αίτησης για αναίρεση της, 3937/2018 απόφασης του Μονομελούς Πρωτοδικείου Θεσσαλονίκης, που εκδόθηκε κατά την τακτική διαδικασία αντιμωλία των διαδίκων, έχοντας δικάσει ως Εφετείο. Με την προσβαλλόμενη απόφαση, αφού έγινε τυπικά και ουσιαστικά δεκτή η από 2-3-2017 έφεση του ήδη αναιρεσίβλητου και εξαφανίσθηκε η 3455/2016 απόφαση του Ειρηνοδικείου Θεσσαλονίκης, που είχε απορρίψει την από 14-4-2016 αγωγή αυτού για καταβολή χρηματικής ικανοποίησης λόγω αδικοπραξίας, έγινε εν μέρει δεκτή η αγωγή. Ήδη, παραδεκτά με την από 22-5-2019 κλήση της αναιρεσείουσας εισάγεται προς συζήτηση στην Τακτική Ολομέλεια του Αρείου Πάγου ο παραπεμφθείς σ' αυτή λόγος αναίρεσης, με τον οποίο αποδίδονται στην προσβαλλόμενη εφετειακή απόφαση οι πλημμέλειες ότι με εσφαλμένη ερμηνεία και εφαρμογή των άρθρων 11 παρ. 1, 2 περ. θ' και η' και 5 του Ν. 2472/1997, έκρινε ότι, υπό τα αποδειχθέντα πραγματικά περιστατικά, η επεξεργασία των προσωπικών δεδομένων του αναιρεσίβλητου από την αναιρεσείουσα ήταν παράνομη και προκάλεσε στον αναιρεσίβλητο ηθική βλάβη. Ειδικότερα, το θέμα, που τίθεται κατά την παραπεμπτική απόφαση, είναι, αν η αναιρεσείουσα Τράπεζα, ως υπεύθυνη επεξεργασίας προσωπικών δεδομένων, η οποία γίνεται στο πλαίσιο μιας σύμβασης, οφείλει να ενημερώνει ειδικά τον οφειλέτη για τη διάθεση αυτών των δεδομένων του στην εκάστοτε συγκεκριμένη εταιρεία ενημέρωσης οφειλετών, ή αρκεί, κατά νόμο, το γεγονός ότι η Τράπεζα, κατά το χρόνο συλλογής των δεδομένων, βάσει περιληφθέντων όρων στη σχετική σύμβαση, είχε ενημερώσει τον οφειλέτη ότι τα προσωπικά του δεδομένα, θα αποτελέσουν αντικείμενο επεξεργασίας από την ίδια (Τράπεζα) ή και από εκείνους που εκτελούν την επεξεργασία κατ' εντολή και για λογαριασμό της, ως αποδέκτες των δεδομένων, στους οποίους περιλαμβάνονται οι εταιρείες είσπραξης απαιτήσεων.
Κατά τη διάταξη του άρθρου 560 παρ.1 εδ. α' ΚΠολΔ, αναίρεση κατά των αποφάσεων των ειρηνοδικείων, καθώς και κατά των αποφάσεων των πρωτοδικείων που εκδίδονται σε εφέσεις κατά των αποφάσεων των ειρηνοδικείων, επιτρέπεται μόνο, αν παραβιάσθηκε κανόνας του ουσιαστικού δικαίου, δηλαδή κανόνας που ρυθμίζει τις βιοτικές σχέσεις, την κτήση δικαιωμάτων και τη γένεση υποχρεώσεων και επιβάλλει κυρώσεις. Ο κανόνας δικαίου παραβιάζεται αν δεν εφαρμοσθεί, ενώ συνέτρεχαν οι πραγματικές προϋποθέσεις για την εφαρμογή του, ή εάν εφαρμοσθεί, ενώ δεν συνέτρεχαν οι προϋποθέσεις αυτές, καθώς και εάν εφαρμοσθεί εσφαλμένα, η δε παραβίαση εκδηλώνεται είτε ως ψευδής ερμηνεία του κανόνα δικαίου, δηλαδή όταν το δικαστήριο της ουσίας προσέδωσε σ' αυτόν έννοια διαφορετική από την αληθινή, είτε ως κακή εφαρμογή, ήτοι εσφαλμένη υπαγωγή σ' αυτόν των περιστατικών της ατομικής περίπτωσης που καταλήγει σε εσφαλμένο συμπέρασμα με τη μορφή του διατακτικού (ΟλΑΠ 1/2016, ΟλΑΠ 2/2013, ΟλΑΠ 7/2006). Με τον παραπάνω λόγο αναίρεσης ελέγχονται τα σφάλματα του δικαστηρίου της ουσίας κατά την εκτίμηση της νομικής βασιμότητας της αγωγής και των ισχυρισμών (ενστάσεων) των διαδίκων, καθώς και τα νομικά σφάλματα του ανωτέρω δικαστηρίου κατά την έρευνα της ουσίας της διαφοράς. Ελέγχεται, δηλαδή, αν η αγωγή, ένσταση κ.λπ. ορθώς απορρίφθηκε ως μη νόμιμη ή αν, κατά παράβαση ουσιαστικού κανόνα δικαίου, έγινε δεκτή ως νόμιμη ή απορρίφθηκε ή έγινε δεκτή κατ` ουσία (ΟλΑΠ 28/1998). Στην περίπτωση που το δικαστήριο έκρινε κατ' ουσίαν την υπόθεση, η παράβαση κανόνα ουσιαστικού δικαίου κρίνεται ενόψει των πραγματικών περιστατικών, που ανελέγκτως δέχθηκε ότι αποδείχθηκαν το δικαστήριο της ουσίας και της υπαγωγής αυτών στο νόμο και ιδρύεται ο λόγος αυτός αναίρεσης αν οι πραγματικές παραδοχές της απόφασης καθιστούν εμφανή την παράβαση. Τούτο συμβαίνει όταν το δικαστήριο εφάρμοσε το νόμο, παρότι τα πραγματικά περιστατικά που δέχθηκε ότι αποδείχθηκαν δεν ήταν αρκετά για την εφαρμογή του ή δεν εφάρμοσε το νόμο, παρότι τα πραγματικά περιστατικά που δέχθηκε αρκούσαν για την εφαρμογή του, καθώς και όταν προέβη σε εσφαλμένη υπαγωγή των πραγματικών περιστατικών σε διάταξη, στο πραγματικό της οποίας αυτά δεν υπάγονται (ΟλΑΠ 7/2006).
Εξάλλου, ο Ν. 2472/1997 "Προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα", ο οποίος εκδόθηκε σε συμμόρφωση προς την Ευρωπαϊκή Σύμβαση για την προστασία του ατόμου από την αυτοματοποιημένη επεξεργασία πληροφοριών προσωπικού χαρακτήρα της 28 Ιανουαρίου 1981, που κυρώθηκε από την Ελλάδα με το Ν. 2068/1992, και προς την 95/46/ΕΚ Οδηγία του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της Ευρωπαϊκής Ένωσης της 24.10.1995 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, έχει σκοπό, σύμφωνα με τη διάταξη του άρθρου 1 αυτού, τη θέσπιση των προϋποθέσεων για την επεξεργασία δεδομένων προσωπικού χαρακτήρα προς προστασία των δικαιωμάτων και των θεμελιωδών ελευθεριών των φυσικών προσώπων και ιδίως της ιδιωτικής ζωής. Στη διάταξη του άρθρου 2 του ανωτέρω νόμου, όπως αυτή ίσχυε κατά τον επίδικο χρόνο, δίνεται η έννοια των κρίσιμων ορισμών που έχουν σχέση με τις ειδικές ρυθμίσεις για τη συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα. Ειδικότερα, ορίζεται ότι: "Για τους σκοπούς του παρόντος νόμου νοούνται ως: α) "Δεδομένα προσωπικού χαρακτήρα", κάθε πληροφορία που αναφέρεται στο υποκείμενο των δεδομένων … β) …, γ) "Υποκείμενο των δεδομένων", το φυσικό πρόσωπο στο οποίο αναφέρονται τα δεδομένα και του οποίου η ταυτότητα είναι γνωστή ή μπορεί να εξακριβωθεί, δηλαδή μπορεί να προσδιορισθεί αμέσως ή εμμέσως, ιδίως βάσει αριθμού ταυτότητας ή βάσει ενός ή περισσοτέρων συγκεκριμένων στοιχείων που χαρακτηρίζουν την υπόσταση του από άποψη φυσική, βιολογική, ψυχική, οικονομική, πολιτιστική, πολιτική ή κοινωνική, δ) "Επεξεργασία δεδομένων προσωπικού χαρακτήρα" ("επεξεργασία"), κάθε εργασία ή σειρά εργασιών που πραγματοποιείται από το Δημόσιο ή νομικό πρόσωπο δημοσίου δικαίου ή ιδιωτικού δικαίου ή ένωση προσώπων ή φυσικό πρόσωπο με ή χωρίς τη βοήθεια αυτοματοποιημένων μεθόδων και εφαρμόζεται σε δεδομένα προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διατήρηση ή αποθήκευση, η τροποποίηση, η εξαγωγή, η χρήση, η διαβίβαση, η διάδοση ή κάθε άλλης μορφής διάθεση, η συσχέτιση ή ο συνδυασμός, η διασύνδεση, η δέσμευση (κλείδωμα), η διαγραφή, η καταστροφή, ε) "Αρχείο δεδομένων προσωπικού χαρακτήρα" ("αρχείο"), κάθε διαρθρωμένο σύνολο δεδομένων προσωπικού χαρακτήρα, τα οποία είναι προσιτά με γνώμονα συγκεκριμένα κριτήρια, στ) …, ζ) "Υπεύθυνος επεξεργασίας", οποιοσδήποτε καθορίζει τον σκοπό και τον τρόπο επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, όπως φυσικό ή νομικό πρόσωπο, δημόσια αρχή ή υπηρεσία ή οποιοσδήποτε άλλος οργανισμός. Όταν ο σκοπός και ο τρόπος της επεξεργασίας καθορίζονται με διατάξεις νόμου ή κανονιστικές διατάξεις εθνικού ή κοινοτικού δικαίου, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια βάσει των οποίων γίνεται η επιλογή του καθορίζονται αντίστοιχα από το εθνικό ή το κοινοτικό δίκαιο, η) "Εκτελών την επεξεργασία", οποιοσδήποτε επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό υπεύθυνου επεξεργασίας, όπως φυσικό ή νομικό πρόσωπο, δημόσια αρχή ή υπηρεσία ή οποιοσδήποτε άλλος οργανισμός, θ) "Τρίτος" κάθε φυσικό ή νομικό πρόσωπο, δημόσια αρχή ή υπηρεσία ή οποιοσδήποτε άλλος οργανισμός, εκτός από το υποκείμενο των δεδομένων, τον υπεύθυνο επεξεργασίας και τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα, εφόσον ενεργούν υπό την άμεση εποπτεία ή για λογαριασμό του υπεύθυνου επεξεργασίας, ι) "Αποδέκτης", το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή ή υπηρεσία, ή οποιοσδήποτε άλλος οργανισμός, στον οποίο ανακοινώνονται ή μεταδίδονται τα δεδομένα, ανεξαρτήτως αν πρόκειται για τρίτο ή όχι, ια) "Συγκατάθεση" του υποκειμένου των δεδομένων, κάθε ελεύθερη, ρητή και ειδική δήλωση βουλήσεως, που εκφράζεται με τρόπο σαφή και εν πλήρη επιγνώσει και με την οποία το υποκείμενο των δεδομένων, αφού προηγουμένως ενημερωθεί, δέχεται να αποτελέσουν αντικείμενο "επεξεργασίας" τα δεδομένα προσωπικού χαρακτήρα που το αφορούν. Η ενημέρωση αυτή περιλαμβάνει πληροφόρηση τουλάχιστον για το σκοπό της επεξεργασίας, τα δεδομένα ή τις κατηγορίες δεδομένων που αφορά η επεξεργασία, τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, καθώς και το όνομα, την επωνυμία και τη διεύθυνση του υπευθύνου επεξεργασίας και του τυχόν εκπροσώπου του. Η συγκατάθεση μπορεί να ανακληθεί, οποτεδήποτε, χωρίς αναδρομικό αποτέλεσμα, ιβ) "Αρχή", η Αρχή Προστασίας Δεδομένων Προσωπικού χαρακτήρα που θεσπίζεται στο κεφάλαιο Δ` του παρόντος νόμου". Με τη διάταξη του άρθρου 3 παρ. 1 του ιδίου νόμου, ορίζεται ότι: "Οι διατάξεις του παρόντος νόμου εφαρμόζονται στην εν όλω ή εν μέρει αυτοματοποιημένη επεξεργασία καθώς και στη μη αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε αρχείο". Στη διάταξη του άρθρου 4 αυτού, όπως τροποποιήθηκε με το άρθρο 20 παρ. 1 και 2 του Ν. 3471/2006, ορίζεται ότι: "Τα δεδομένα προσωπικού χαρακτήρα για να τύχουν νόμιμης επεξεργασίας πρέπει: α) Να συλλέγονται κατά τρόπο θεμιτό και νόμιμο για καθορισμένους, σαφείς και νόμιμους σκοπούς και να υφίστανται θεμιτή και νόμιμη επεξεργασία ενόψει των σκοπών αυτών β) Να είναι συναφή, πρόσφορα, και όχι περισσότερα από όσα κάθε φορά απαιτείται ενόψει των σκοπών της επεξεργασίας, γ) να είναι ακριβή και, εφόσον χρειάζεται, να υποβάλλονται σε ενημέρωση, δ) ... (παρ.1). Η τήρηση των διατάξεων της προηγουμένης παραγράφου βαρύνει τον υπεύθυνο επεξεργασίας … (παρ.2)". Με τη διάταξη του άρθρου 5 παρ. 1 και 2 αυτού, όπως το εδ. γ' της παρ. 2 τροποποιήθηκε με το άρθρο 34 παρ.1 του Ν. 2915/2001, ορίζεται ότι: "Επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται μόνον όταν το υποκείμενο των δεδομένων έχει δώσει τη συγκατάθεσή του. (παρ.1). Κατ` εξαίρεση επιτρέπεται η επεξεργασία και χωρίς τη συγκατάθεση, όταν: α) Η επεξεργασία είναι αναγκαία για την εκτέλεση σύμβασης, στην οποία συμβαλλόμενο μέρος είναι υποκείμενο δεδομένων…. β) … γ)… δ) … ε) Η επεξεργασία είναι απολύτως αναγκαία για την ικανοποίηση του εννόμου συμφέροντος που επιδιώκει ο υπεύθυνος επεξεργασίας ή ο τρίτος ή οι τρίτοι στους οποίους ανακοινώνονται τα δεδομένα και υπό τον όρο ότι τούτο υπερέχει προφανώς των δικαιωμάτων και συμφερόντων των προσώπων στα οποία αναφέρονται τα δεδομένα και δεν θίγονται οι θεμελιώδεις ελευθερίες αυτών (παρ. 2). Με τη διάταξη του άρθρου 10, όπως η παρ.3 αυτού τροποποιήθηκε με το άρθρο 25 του Ν. 3471/2006, ορίζεται ότι: "Η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι απόρρητη. Διεξάγεται αποκλειστικά και μόνο από πρόσωπα που τελούν υπό τον έλεγχο του υπεύθυνου επεξεργασίας ή του εκτελούντος την επεξεργασία και μόνο κατ' εντολή του (παρ. 1). Για τη διεξαγωγή της επεξεργασίας ο υπεύθυνος επεξεργασίας οφείλει να επιλέγει πρόσωπα με αντίστοιχα επαγγελματικά προσόντα που παρέχουν επαρκείς εγγυήσεις από πλευράς τεχνικών γνώσεων και προσωπικής ακεραιότητας για την τήρηση του απορρήτου (παρ. 2). Ο υπεύθυνος επεξεργασίας οφείλει να λαμβάνει τα κατάλληλα οργανωτικά και τεχνικά μέτρα για την ασφάλεια των δεδομένων και την προστασία τους από τυχαία ή αθέμιτη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευμένη διάδοση ή πρόσβαση και κάθε άλλη μορφή αθέμιτης επεξεργασίας ...(παρ. 3). Αν η επεξεργασία διεξάγεται για λογαριασμό του υπεύθυνου από πρόσωπο μη εξαρτώμενο από αυτόν, η σχετική ανάθεση γίνεται υποχρεωτικά εγγράφως. Η ανάθεση προβλέπει υποχρεωτικά ότι ο ενεργών την επεξεργασία τη διεξάγει μόνο κατ' εντολή του υπευθύνου και ότι οι λοιπές υποχρεώσεις του παρόντος άρθρου βαρύνουν αναλόγως και αυτόν (παρ. 4)". Στις διατάξεις του άρθρου 11 παρ. 1 έως 3 αυτού ορίζεται ότι : "Ο υπεύθυνος επεξεργασίας οφείλει, κατά το στάδιο της συλλογής δεδομένων προσωπικού χαρακτήρα, να ενημερώνει με τρόπο πρόσφορο και σαφή το υποκείμενο για τα εξής τουλάχιστον στοιχεία: α) την ταυτότητά του και την ταυτότητα του τυχόν εκπροσώπου του, β) τον σκοπό της επεξεργασίας, γ) τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων και δ) την ύπαρξη του δικαιώματος πρόσβασης (παρ.1). Εάν για τη συλλογή δεδομένων προσωπικού χαρακτήρα ο υπεύθυνος επεξεργασίας ζητεί τη συνδρομή του υποκειμένου, οφείλει να το ενημερώσει ειδικώς και εγγράφως για τα στοιχεία της παρ. 1 του παρόντος άρθρου, καθώς και για τα δικαιώματά του, σύμφωνα με τα άρθρα 11 έως και 13 του παρόντος νόμου… (παρ. 2). Εάν τα δεδομένα ανακοινώνονται σε τρίτους, το υποκείμενο ενημερώνεται για την ανακοίνωση πριν από αυτούς (παρ.3). Με το άρθρο 12 παρ.1 αυτού ορίζεται ότι: "Καθένας έχει δικαίωμα να γνωρίζει εάν τα δεδομένα προσωπικού χαρακτήρα που τον αφορούν αποτελούν ή αποτέλεσαν αντικείμενο επεξεργασίας. Προς τούτο, ο υπεύθυνος επεξεργασίας έχει υποχρέωση να του απαντήσει εγγράφως", ενώ στις παρ. 2 και 3 του ίδιου άρθρου, ότι "Το υποκείμενο των δεδομένων έχει δικαίωμα να ζητεί και να λαμβάνει από τον υπεύθυνο επεξεργασίας, χωρίς καθυστέρηση και κατά τρόπο εύληπτο και σαφή, τις ακόλουθες πληροφορίες: α) Όλα τα δεδομένα προσωπικού χαρακτήρα που το αφορούν, καθώς και την προέλευσή τους. β) Τους σκοπούς της επεξεργασίας, τους αποδέκτες ή τις κατηγορίες αποδεκτών. γ) Την εξέλιξη της επεξεργασίας για το χρονικό διάστημα από την προηγούμενη ενημέρωση ή πληροφόρησή του. δ) Τη λογική της αυτοματοποιημένης επεξεργασίας. Το δικαίωμα πρόσβασης μπορεί να ασκείται από το υποκείμενο των δεδομένων και με τη συνδρομή ειδικού. ε) Κατά περίπτωση, τη διόρθωση, τη διαγραφή ή τη δέσμευση (κλείδωμα) των δεδομένων των οποίων η επεξεργασία δεν είναι σύμφωνη προς τις διατάξεις του παρόντος νόμου, ιδίως λόγω του ελλιπούς ή ανακριβούς χαρακτήρα των δεδομένων και στ) την κοινοποίηση σε τρίτους, στους οποίους έχουν ανακοινωθεί τα δεδομένα, κάθε διόρθωσης, διαγραφής ή δέσμευσης (κλειδώματος) που διενεργείται σύμφωνα με την περίπτωση ε' , εφόσον τούτο δεν είναι αδύνατο ή δεν προϋποθέτει δυσανάλογες προσπάθειες (παρ. 2). Το δικαίωμα της προηγούμενης παραγράφου και τα δικαιώματα του άρθρου 13 ασκούνται με την υποβολή της σχετικής αίτησης στον υπεύθυνο της επεξεργασίας… (παρ. 3). Με τη διάταξη του άρθρου 13 παρ.1 εδ. α αυτού, ορίζεται ότι "το υποκείμενο των δεδομένων έχει δικαίωμα να προβάλλει οποτεδήποτε αντιρρήσεις για την επεξεργασία δεδομένων που το αφορούν. Οι αντιρρήσεις απευθύνονται εγγράφως στον υπεύθυνο επεξεργασίας και πρέπει να περιέχουν αίτημα για συγκεκριμένη ενέργεια, όπως διόρθωση, προσωρινή μη χρησιμοποίηση, δέσμευση, μη διαβίβαση ή διαγραφή…". Τέλος, με τις διατάξεις των άρθρων 22 και 23 του νόμου αυτού προβλέπονται, για την περίπτωση παραβίασης των διατάξεών του για την προστασία των δεδομένων προσωπικού χαρακτήρα, και υπό τις οριζόμενες ειδικότερα προϋποθέσεις, ποινικές κυρώσεις, για όσες συμπεριφορές κρίνονται αξιόποινες, καθώς και υποχρέωση καταβολής αποζημίωσης και χρηματικής ικανοποίησης για ηθική βλάβη. Από τις εκτεθείσες διατάξεις, σε συνδυασμό με τις αντίστοιχες διατάξεις της κοινοτικής οδηγίας 95/46/ΕΚ, προκύπτει, κατά την ομόφωνη κρίση των μελών της Ολομέλειας, ότι, στο πλαίσιο του σκοπούμενου συγκερασμού αφενός της προστασίας του ατόμου και της επεξεργασίας των προσωπικών δεδομένων (άρθρο 9 Α Συντάγματος) και αφετέρου της διασφάλισης της ελεύθερης κυκλοφορίας και χρήσης τους (άρθρο 5 Α Συντάγματος), η νομιμότητα της επεξεργασίας των προσωπικών δεδομένων προϋποθέτει, μεταξύ άλλων, α) την ακρίβεια και επικαιρότητα των δεδομένων, β) την εκ μέρους του υπεύθυνου επεξεργασίας ενημέρωση του υποκειμένου και γ) τη συγκατάθεση του υποκειμένου, εκτός των περιπτώσεων που, κατά το άρθρο 5 παρ. 2 του Ν. 2472/1997, εξαιρούνται από την υποχρέωση συγκατάθεσης. Ειδικότερα, με το άρθρο 11 του Ν. 2472/1997, καθιερώνεται βασική υποχρέωση του υπεύθυνου επεξεργασίας, για την ενημέρωση του υποκειμένου των προσωπικών δεδομένων, για την επεξεργασία των δεδομένων του, με σαφή και πρόσφορο τρόπο, ιδίως ως προς τα στοιχεία της ταυτότητάς του και της ταυτότητας του τυχόν εκπροσώπου του, το σκοπό της επεξεργασίας, τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων, την ύπαρξη του δικαιώματος του υποκειμένου για πρόσβαση αυτού σε πληροφορίες σχετικές με την επεξεργασία των δεδομένων του. Η ενημέρωση, όταν τα δεδομένα συλλέγονται απευθείας από το υποκείμενο αυτών, γίνεται κατά τη συλλογή τους. Η ενημέρωση γίνεται εγγράφως και μπορεί να περιλαμβάνεται και σε έντυπο αίτησης, με την οποία το υποκείμενο δηλώνει για συγκεκριμένο σκοπό τα προσωπικά του δεδομένα, αρκεί να πληροί τα στοιχεία που προαναφέρθηκαν. Ταυτόχρονα, η ενημέρωση, αποτελεί και δικαίωμα του υποκειμένου των δεδομένων. Το δικαίωμά του αυτό προστατεύεται με το άρθρο 12 του άνω νόμου. Η υποχρέωση του υπεύθυνου επεξεργασίας και το δικαίωμα του υποκειμένου για την ενημέρωση, αποσκοπούν αφενός στην με ελεύθερη, ρητή, ειδική και με πλήρη επίγνωση δήλωση βουλήσεως του υποκειμένου των δεδομένων για παροχή της συγκατάθεσής του να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν, όπως αξιώνεται από τα άρθρα 5 παρ. 1 και 2 περ. ια' του Ν. 2472/1997, και γι' αυτό, άλλωστε, πρέπει να προηγείται της συγκατάθεσης, αφετέρου για την αποτελεσματική άσκηση των δικαιωμάτων του υποκειμένου α) για πρόσβαση στις πληροφορίες σχετικές με την επεξεργασία των προσωπικών του δεδομένων, ήτοι τη συλλογή και τον τρόπο αυτής, το σκοπό της επεξεργασίας, τους αποδέκτες ή τις κατηγορίες αποδεκτών, την εξέλιξη της επεξεργασίας, τις μεταβολές, τις διορθώσεις των δεδομένων, την τυχόν κοινοποίηση σε τρίτους των δεδομένων, με την ικανοποίηση από την πλευρά του υπεύθυνου επεξεργασίας σχετικής αίτησής του, εντός των οριζόμενων προθεσμιών, και τη δυνατότητα του υποκειμένου να προσφύγει στην αρμόδια Αρχή για την ικανοποίηση του αιτήματός του, σύμφωνα με το άρθρο 12 του άνω νόμου και β) για την προβολή αντίρρησης, κατά το άρθρο 13 του νόμου αυτού, δηλαδή του δικαιώματος του υποκειμένου να προβάλει στον υπεύθυνο επεξεργασίας, οποτεδήποτε, έγγραφες αντιρρήσεις για την επεξεργασία των δεδομένων που το αφορούν και να ζητήσει συγκεκριμένη ενέργεια, όπως, ενδεικτικά, τη διόρθωση, προσωρινή μη χρησιμοποίηση, δέσμευση, μη διαβίβαση ή διαγραφή. Ειδικότερα, δε, ως προς το στοιχείο της ενημέρωσης για τους αποδέκτες των δεδομένων, ο υπεύθυνος επεξεργασίας, πρέπει να ενημερώνει το υποκείμενο είτε ως προς το συγκεκριμένο πρόσωπο του αποδέκτη, του οποίου έτσι θα προκύπτει η ταυτότητα, είτε, κατά ρητή αναφορά του νόμου, ως προς την κατηγορία των αποδεκτών, οπότε, σ' αυτή την περίπτωση, δεν προσδιορίζεται κάθε πρόσωπο της κατηγορίας, ώστε να προκύπτει η ταυτότητά του. Πληροί, δε, την απαιτούμενη, κατά το άρθρο 11 παρ. 1 περ. γ' του Ν. 2472/1997, για τη νομιμότητα της επεξεργασίας των προσωπικών δεδομένων, προϋπόθεση της ενημέρωσης του υποκειμένου των δεδομένων, η αναφορά της κατηγορίας των αποδεκτών των δεδομένων, όπως ρητά αναγράφεται στην οικεία διάταξη. Όταν ο υπεύθυνος επεξεργασίας των δεδομένων μεταβιβάσει αυτά στον εκτελούντα την επεξεργασία, ο οποίος υπάγεται σε κάποια από τις αναφερόμενες κατηγορίες αποδεκτών για την οποία έχει γίνει η ενημέρωση, δεν είναι αναγκαίο ο υπεύθυνος επεξεργασίας να προβεί σε νέα ενημέρωση του υποκειμένου των δεδομένων, όταν ανακοινώσει στον εκτελούντα την επεξεργασία τα δεδομένα προσωπικού χαρακτήρα του υποκειμένου. Τούτο, μάλιστα, διότι, ο εκτελών την επεξεργασία, ενεργεί την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, για λογαριασμό του υπεύθυνου επεξεργασίας αυτών και όχι για δικό του λογαριασμό. Η αναφορά στο άρθρο 11 παρ. 1 περ. α' του Ν. 2472/1997, ότι ο υπεύθυνος επεξεργασίας οφείλει να ενημερώσει το υποκείμενο για την ταυτότητά του "και την ταυτότητα του τυχόν εκπροσώπου του", αφορά τον τυχόν εκπρόσωπο του υπεύθυνου επεξεργασίας, προς τον οποίο το υποκείμενο θα μπορεί να απευθύνεται για την άσκηση των δικαιωμάτων του και όχι τον εκτελούντα την επεξεργασία των προσωπικών δεδομένων του υποκειμένου για λογαριασμό του υπεύθυνου επεξεργασίας, Εξάλλου, ο εκτελών την επεξεργασία, δεν ταυτίζεται με τον "τρίτο", όπως ρητά εξειδικεύεται στο σχετικό ορισμό του άρθρου 2 περ. θ' του άνω νόμου. Έτσι, η πρόβλεψη του άρθρου 11 παρ. 3 περί υποχρέωσης του υπεύθυνου επεξεργασίας να ενημερώσει το υποκείμενο για την ανακοίνωση των δεδομένων σε τρίτο, πριν από την ανακοίνωση των δεδομένων στον τρίτο, δεν έχει εφαρμογή και για την περίπτωση μεταβίβασης των δεδομένων στον εκτελούντα την επεξεργασία για λογαριασμό του υπεύθυνου επεξεργασίας. Η ως άνω κρίση, εκτός της αναφοράς της ενημέρωσης σε "κατηγορίες αποδεκτών", στηρίζεται και στο ότι η ίδια διατύπωση διαλαμβάνεται και στο άρθρο 12 παρ. 2 περ. β' του νόμου αυτού, που ορίζει ότι, μεταξύ των πληροφοριών τις οποίες το υποκείμενο έχει δικαίωμα να λαμβάνει από τον υπεύθυνο της επεξεργασίας των δεδομένων, είναι και "οι κατηγορίες των αποδεκτών" των δεδομένων, χωρίς να απαιτεί συγκεκριμένη ταυτότητα του αποδέκτη. Επίσης, στηρίζεται και στο ότι, δεν θεσπίζεται υποχρέωση του υπεύθυνου επεξεργασίας, πέραν εκείνης της ενημέρωσης του υποκειμένου κατά τη συλλογή των δεδομένων περί των στοιχείων που προαναφέρθηκαν, και για τη μεταγενέστερη ενημέρωση του υποκειμένου των δεδομένων, σε κάθε είδους εξέλιξη της επεξεργασίας, χωρίς σχετική αίτηση του υποκειμένου των δεδομένων, εκτός της περίπτωσης που προαναφέρθηκε, της ενημέρωσης δηλαδή του υποκειμένου πριν από την ανακοίνωση των δεδομένων σε τρίτον. Προκειμένου, όμως, να εξασφαλίζονται οι αρχές της διαφάνειας, της ασφάλειας και προστασίας της ιδιωτικής ζωής του ατόμου από την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, αλλά και να μπορεί το υποκείμενο να ασκήσει αποτελεσματικά τα δικαιώματα της πρόσβασης και των αντιρρήσεων, προβλέπεται με σαφήνεια, ότι το υποκείμενο των δεδομένων, μπορεί να υποβάλει αίτηση στον υπεύθυνο επεξεργασίας και να ζητήσει την αναλυτική ενημέρωση για όλα τα στοιχεία και την εξέλιξη της επεξεργασίας, σύμφωνα με το άρθρο 12 παρ. 2 του ανωτέρω νόμου, για το χρονικό διάστημα από την προηγούμενη ενημέρωση ή πληροφόρησή του. Μεταξύ δε αυτών των στοιχείων, περιλαμβάνεται ασφαλώς και η πληροφόρησή του για την κοινοποίηση των δεδομένων σε συγκεκριμένο φυσικό ή νομικό πρόσωπο, αρχή, υπηρεσία ή οργανισμό, που επεξεργάζεται τα δεδομένα για λογαριασμό του υπεύθυνου επεξεργασίας (εκτελούντα την επεξεργασία) και το οποίο θα ανήκει στην κατηγορία αποδεκτών για την οποία έχει ενημερωθεί. Αντίστοιχη αυτοτελής υποχρέωση ενημέρωσης με εκείνη του υπεύθυνου επεξεργασίας δεν βαρύνει τον εκτελούντα την επεξεργασία, ενόψει του ότι αυτός ενεργεί για λογαριασμό και υπό την εποπτεία του υπεύθυνου επεξεργασίας, εκτός εάν και ο εκτελών την επεξεργασία των δεδομένων συλλέγει με σκοπό και αποφασισμένο τρόπο περαιτέρω επεξεργασίας τα δεδομένα, δηλαδή επεξεργασίας για σκοπούς άλλους από εκείνους της εκτέλεσης της σχετικής σύμβασης ανάθεσης της επεξεργασίας για λογαριασμό του υπεύθυνου επεξεργασίας.
Στην προκείμενη περίπτωση, από την παραδεκτή (άρθρο 561 παρ. 2 ΚΠολΔ) επισκόπηση της προσβαλλόμενης με την αναίρεση απόφασης, προκύπτει ότι το Μονομελές Πρωτοδικείο Θεσσαλονίκης, που δίκασε ως Εφετείο, δέχθηκε τα ακόλουθα πραγματικά περιστατικά: "Το έτος 2004 ο ενάγων συνήψε με την εναγομένη τράπεζα σύμβαση καταναλωτικού δανείου ύψους 30.000,00 ευρώ. Λόγω της οικονομικής κρίσης ο ενάγων άρχισε να καθυστερεί την καταβολή των δόσεων του ως άνω δανείου. Τότε η εναγομένη διαβίβασε στην ανώνυμη εταιρία με την επωνυμία "Ε", τα προσωπικά του στοιχεία και της ανέθεσε την είσπραξη της οφειλής του προς αυτήν (εναγομένη), χωρίς προηγουμένως η τελευταία να τον ενημερώσει με τρόπο πρόσφορο και σαφή ως όφειλε για την διαβίβαση και την επεξεργασία τους από την ως άνω εταιρία ενημέρωσης οφειλετών. Ειδικότερα, διαβίβασε τα στοιχεία του ονόματός του, τον αριθμό του τηλεφώνου της οικίας του και το ύψος της οφειλής του, στην ανωτέρω εταιρία της οποίας οι υπάλληλοι άρχισαν να του τηλεφωνούν καθημερινά σχεδόν στην οικία του, ενημερώνοντάς τον για το ύψος της οφειλής του και την υποχρέωσή του για την καταβολή της οφειλής του προς την εναγομένη. Η εναγομένη με τις πρωτόδικες προτάσεις της ισχυρίστηκε ότι κατά τη συλλογή των ως άνω προσωπικών δεδομένων του ενάγοντος για τη σύμβαση του δανείου είχε προβεί στη σχετική ενημέρωση αυτού και δη, κατά τη με αρ. ΧΧΧ αίτηση που υπέβαλε και υπέγραψε ο ενάγων προκειμένου να του χορηγηθεί το ανωτέρω δάνειο, στον τίτλο "Ενημέρωση υποκείμενων δεδομένων προσωπικού χαρακτήρα" (βάσει του Ν. 2472/1997 σε συνδ. με την υπ' αριθμ. 1/1999 κανονιστική πράξη της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα), αναγράφεται ότι "Η Τ AE, έχει ενημερώσει τα φυσικά πρόσωπα που υπογράφουν την παρούσα αίτηση, ότι τα προσωπικά τους δεδομένα που περιλαμβάνονται στην αίτηση αυτή, καθώς και άλλα προσωπικά τους δεδομένα που η Τράπεζα έχει τυχόν συλλέξει με τη συνδρομή τους ή θα δημιουργηθούν μετά την έγκριση του δανείου θα αποτελέσουν αντικείμενο επεξεργασίας από την Τράπεζα ή και από τρίτους που εκτελούν την επεξεργασία κατ' εντολή και για λογαριασμό της". Στη συνέχεια αναφέρεται στην ανωτέρω αίτηση ότι αποδέκτες των δεδομένων είναι και εταιρίες είσπραξης απαιτήσεων, δικηγόροι, συμβολαιογράφοι και δικαστικοί επιμελητές στα πλαίσια των αρμοδιοτήτων τους". Στη συνέχεια η ανωτέρω αίτηση αναγράφει ότι "τα υποκείμενα των δεδομένων έχουν το δικαίωμα να γνωρίζουν εάν τα δεδομένα προσωπικού χαρακτήρα που τα αφορούν αποτελούν ή αποτέλεσαν αντικείμενο επεξεργασίας καθώς και να προβάλλουν οποτεδήποτε αντιρρήσεις για την επεξεργασία των δεδομένων που τα αφορούν". Ισχυρίζεται λοιπόν η εναγομένη ότι ο ενάγων της είχε δώσει τη ρητή και ανεπιφύλακτη εξουσιοδότηση να τηρεί σε ηλεκτρονικό ή μη αρχείο και να επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα, τα οποία δηλώθηκαν στην Τράπεζα με την υποβολή της αίτησης για την χορήγηση του δανείου, τα οποία μπορούν να γνωστοποιούνται προς χρήση από συνεργαζόμενα με την Τράπεζα φυσικά και νομικά πρόσωπα, όπως και δεδομένα που προκύπτουν από τη λειτουργία της παρούσας σύμβασης. Το κείμενο όμως αυτό της προσκομιζόμενης ως άνω σύμβασης, της οποίας το περιεχόμενο είναι σαφές και αναμφίβολο, ουδόλως αποδεικνύεται από την εναγομένη - που έχει το βάρος απόδειξης- ότι αυτή κατά τον παραπάνω χρόνο της συλλογής των δεδομένων είχε ενημερώσει τον ενάγοντα κατά τρόπο σαφή για το σκοπό της επεξεργασίας (διαβίβασης) και για τους αποδέκτες ή τις κατηγορίες αποδεκτών, όπως απαιτείτο κατ' άρθρο 11 παρ. 1 β, γ. Η εναγομένη εξάλλου δεν επικαλέσθηκε, ούτε απέδειξε, ότι είχε προβεί σε τέτοια ενημέρωση μεταγενέστερα, μετά τη συλλογή των δεδομένων και πριν από τη διαβίβασή τους στην ως άνω εταιρία. Για την ορθή και νόμιμη εφαρμογή των διατάξεων, που αφορούν στην ενημέρωση του ενάγοντος από την εναγομένη τράπεζα και τη συγκατάθεση του πρώτου για την επεξεργασία και διαβίβαση σε τρίτους των προσωπικών του στοιχείων, η εναγομένη τράπεζα ήταν υποχρεωμένη να τον ενημερώσει ειδικώς για την εταιρεία ενημέρωσης οφειλετών, με την οποία συνεργάζεται (επωνυμία, έδρα κλπ), στην οποία είχαν διαβιβαστεί τα προσωπικά στοιχεία του ενάγοντος και η οποία θα τον καλούσε προς ενημέρωση και διευθέτηση της οφειλής του, γεγονός που δεν απεδείχθη ότι έλαβε χώρα στην προκειμένη περίπτωση. Άλλωστε, ως "συγκατάθεση" υπό την έννοια του Ν. 2472/1997 ορίζεται η ελεύθερη, ρητή και ειδική δήλωση βούλησης, που εκφράζεται με τρόπο σαφή και εν πλήρη επιγνώσει, με την οποία το υποκείμενο των δεδομένων, αφού προηγουμένως ενημερωθεί, δέχεται να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα, που το αφορούν, οι δε τυποποιημένοι σχετικά όροι που απαντώνται σε κάθε σύμβαση και δεν αποτελούν προϊόν διαπραγμάτευσης αλλά προσχώρησης του καταναλωτή ώστε το εκάστοτε αίτημά του για λήψη πίστωσης να τύχει έγκρισης από την τράπεζα, δεν αρκεί προς θεμελίωση της συγκατάθεσης υπό την ανωτέρω έννοια. Εξάλλου, εν προκειμένω, ο ισχυρισμός της εναγομένης περί επιτρεπτής επεξεργασίας των δεδομένων του ενάγοντος χωρίς τη συγκατάθεσή του, αλυσιτελώς προβάλλεται, καθόσον, ο ενάγων θεμελιώνει την παράνομη επεξεργασία σε παράλειψη ενημέρωσής του εκ μέρους της εναγομένης και όχι σε έλλειψη συγκατάθεσής του. ….Οι προαναφερόμενες παράνομες και υπαίτιες πράξεις και παραλείψεις της εναγομένης (δια των προστηθέντων οργάνων της) προσέβαλαν την προσωπικότητα του ενάγοντος και προκάλεσαν σ' αυτόν σημαντική ηθική βλάβη, ενώ τα όργανά της, κατά την επεξεργασία (διαβίβαση) των προσωπικών δεδομένων του, χωρίς την προηγούμενη ενημέρωσή του, όφειλαν να γνωρίζουν την πιθανότητα επέλευσης της προαναφερόμενης ηθικής βλάβης. Ενόψει δε του είδους του θιγόμενου αγαθού, του μεγέθους της προσβολής, των συνθηκών τέλεσης αυτής, του βαθμού υπαιτιότητας των οργάνων της εναγομένης και της κοινωνικής και οικονομικής καταστάσεως των διαδίκων η καταβλητέα εύλογη χρηματική ικανοποίηση πρέπει να ορισθεί στο ποσό των 5.869,40 ευρώ (που είναι το ελάχιστο ποσό κατά τον ως άνω νόμο, ήτοι το ισόποσο των 2.000.000 δραχμών), του πέραν αυτού αιτουμένου ποσού απορριπτομένου ως υπερβολικού". Κατά τις παραδοχές της προσβαλλόμενης απόφασης, αποδείχθηκαν τα ακόλουθα πραγματικά περιστατικά: α) η αναιρεσείουσα δανείστρια Τράπεζα, κατά την κατάρτιση της μεταξύ αυτής και του δανειολήπτη αναιρεσίβλητου σύμβασης δανείου, συνέλεξε από τον ίδιο, δεδομένα προσωπικού χαρακτήρα που τον αφορούν, όπως τα στοιχεία του ονόματός του και τον αριθμό τηλεφώνου της οικίας του, καθώς, ακολούθως, και της εξέλιξης του ύψους της εκ του δανείου οφειλής, καθόσον το δάνειο δεν είχε ομαλή εξέλιξη, λόγω μη καταβολής από το δανειολήπτη αναιρεσίβλητο οφειλόμενων δόσεων του δανείου, β) η αναιρεσείουσα, ως υπεύθυνη επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που αφορούν το δανειολήπτη αναιρεσίβλητο, διαβίβασε τα ως άνω προσωπικά δεδομένα του τελευταίου, και την επεξεργασία τους, στην ανώνυμη εταιρεία με την επωνυμία "E", εταιρεία ενημέρωσης οφειλετών, για να χρησιμοποιήσει αυτά στην ενημέρωση του αναιρεσίβλητου για την οφειλή του και την υπενθύμιση της υποχρέωσης καταβολής αυτής στην αναιρεσείουσα, γ) η διαβίβαση των προσωπικών δεδομένων του αναιρεσίβλητου στην ως άνω εταιρεία ενημέρωσης οφειλετών, έγινε χωρίς η αναιρεσείουσα, υπεύθυνη επεξεργασίας αυτών, να ενημερώσει τον αναιρεσίβλητο, υποκείμενο των δεδομένων, ότι η συγκεκριμένη εταιρεία θα είναι αποδέκτης των προσωπικών του δεδομένων, δ) με την υποβληθείσα για τη χορήγηση του δανείου αίτηση, που ο αναιρεσίβλητος συμπλήρωσε και υπέγραψε, και υπό τον τίτλο "Ενημέρωση υποκειμένων δεδομένων προσωπικού χαρακτήρα", αναγράφεται, εκτός των άλλων, ότι, η αναιρεσείουσα, έχει ενημερώσει τα φυσικά πρόσωπα που υπογράφουν την αίτηση, ότι τα προσωπικά τους δεδομένα που αυτή έχει συλλέξει, θα αποτελέσουν αντικείμενο επεξεργασίας από την ίδια ή από τρίτους που εκτελούν την επεξεργασία κατ' εντολή και για λογαριασμό της, καθώς και ότι αποδέκτες των προσωπικών τους δεδομένων, είναι μεταξύ άλλων, και "εταιρείες είσπραξης απαιτήσεων".
Κατά τη γνώμη που επικράτησε στο Δικαστήριο, η ενημέρωση του υποκειμένου προσωπικών δεδομένων στην κρινόμενη υπόθεση αναιρεσίβλητου, από την υπεύθυνη επεξεργασίας των δεδομένων, αναιρεσείουσα, η οποία πραγματοποιήθηκε με τη σχετική αναγραφή στο έντυπο της αίτησης χορήγησης του δανείου, ότι αποδέκτες των δεδομένων προσωπικού χαρακτήρα του αναιρεσίβλητου δανειολήπτη, τα οποία αφορούν την είσπραξη των απαιτήσεων της αναιρεσείουσας Τράπεζας, σε περίπτωση μη εκπλήρωσης των υποχρεώσεων που αναλαμβάνονται με τη σύμβαση δανείου, είναι, εκτός των άλλων, και οι εταιρείες είσπραξης απαιτήσεων, πληροί την απαιτούμενη, κατά τα γενόμενα δεκτά, ενημέρωση του υποκειμένου των δεδομένων για τους αποδέκτες των προσωπικών του δεδομένων που συνελέγησαν κατά τη χορήγηση της πίστωσης και συνεπώς η ενέργεια αυτή της αναιρεσείουσας δεν συνιστούσε παραβίαση των ρυθμίσεων του άρθρου 11 παρ. 1 περ. γ' Ν. 2472/1997. Τούτο διότι, η ανώνυμη εταιρεία με την επωνυμία "Ε", στην οποία διαβιβάστηκαν τα δεδομένα, ως εταιρεία ενημέρωσης οφειλετών, υπάγεται στην ευρύτερη κατηγορία αποδεκτών "εταιρίες είσπραξης απαιτήσεων" λαμβάνονας υπόψη αφενός μεν ότι εταιρείες με τέτοιο αντικείμενο δραστηριοτήτος θεσπίσθηκαν το πρώτον με το Ν. 3578/2009, δηλαδή πολύ μετά την κατάρτιση της συμβάσεως δανείου μεταξύ των διαδίκων, αφετέρου δε το γεγονός ότι σαφώς, η δραστηριότητα της ως άνω εταιρείας αποτελεί μέρος της δραστηριότητας των "εταιρειών είσπραξης απαιτήσεων", οι οποίες, πέραν του σκοπού της ενημέρωσης των οφειλετών για το χρέος, είχαν σκοπό και την είσπραξη των απαιτήσεων. Επομένως, το Μονομελές Πρωτοδικείο Θεσσαλονίκης, που δίκασε κατ' έφεση και έκρινε ότι η αναιρεσείουσα Τράπεζα, όφειλε, εκτός από την πραγματοποιηθείσα κατά τη συλλογή των προσωπικών δεδομένων του αναιρεσίβλητου, να προβεί σε ενημέρωση αυτού για τη διαβίβαση των προσωπικών του δεδομένων, κατά το χρόνο διαβίβασης αυτών στην ως άνω εταιρεία ενημέρωσης οφειλετών, καταλήγοντας με το πόρισμά της ότι συνεπεία της παράλειψης αυτής της ενημέρωσης, παραβιάστηκαν οι διατάξεις του άρθρου 11 παρ. 1 περ. γ' του Ν. 2472/1997, η οποία (παραβίαση) και εν συνεχεία χρήση των δεδομένων προσωπικού χαρακτήρα αυτού, προκάλεσε σ' αυτόν ηθική βλάβη και θεμελίωσε την αξίωσή του για καταβολή χρηματικής ικανοποίησης, παραβίασε την ως άνω ουσιαστικού δικαίου διάταξη, την οποία εσφαλμένα εφάρμοσε, με εσφαλμένη υπαγωγή των ανελέγκτως γενόμενων δεκτών πραγματικών περιστατικών στον εφαρμοσθέντα ως άνω κανόνα ουσιαστικού δικαίου. Επομένως, ο παραπεμφθείς στην Τακτική Ολομέλεια πρώτος λόγος της αίτησης αναίρεσης είναι βάσιμος.
Κατά τη γνώμη, όμως, δέκα μελών αυτού, και ειδικότερα της Αντιπροέδρου Αλτάνας Κοκκοβού και Αγγελικής Τζαβάρα, Θωμά Γκατζογιάννη, Μιλτιάδη Χατζηγεωργίου, Γρηγορίου Κουτσοκώστα, Πηνελόπης Παρτσαλίδου Κομνηνού, Στυλιανού Δαρέλλη, Πελαγίας Ακάσογλου, Ελισάβετ Τσιρακίδου και Νικολάου Βεργιτσάκη, Αρεοπαγιτών, η γενόμενη, ως άνω, κατά τη συλλογή των προσωπικών δεδομένων, με την αίτηση δανειοδότησης, ενημέρωση του αναιρεσίβλητου, υποκειμένου των δεδομένων, δεν πληροί την εκ του άρθρου 11 του Ν. 2472/1997 υποχρέωση ενημέρωσης από την αναιρεσείουσα, υπεύθυνη επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, του αναιρεσίβλητου, υποκειμένου αυτών των δεδομένων, για τους αποδέκτες των δεδομένων του, καθόσον η αναιρεσείουσα ήταν υποχρεωμένη να ενημερώσει τον αναιρεσίβλητο ειδικά για την εταιρεία ενημέρωσης οφειλετών στην οποία θα διαβιβάζονταν τα προσωπικά του δεδομένα, δηλαδή για τη διαβίβασή τους στην εταιρεία "E", η οποία και θα τον καλούσε προς ενημέρωση και διευθέτηση της οφειλής του. Υπό τα πραγματικά περιστατικά που ανελέγκτως το δικαστήριο της ουσίας δέχθηκε αποδειχθέντα, δεν υπήρξε ενημέρωση του αναιρεσίβλητου για την εταιρεία αυτή ως αποδέκτη των προσωπικών του δεδομένων. Με την αίτηση που συμπλήρωσε και υπέγραψε ο αναιρεσίβλητος κατά την κατάρτιση της σύμβασης δανείου, η αναιρεσείουσα φέρεται να τον ενημερώνει για τις κατηγορίες αποδεκτών των δεδομένων του, ήτοι "εταιρίες είσπραξης απαιτήσεων, δικηγόροι, συμβολαιογράφοι και δικαστικοί επιμελητές στα πλαίσια των αρμοδιοτήτων τους". Όμως, η ανώνυμη εταιρεία "E", δεν υπάγεται σε κάποια από τις κατηγορίες αυτές και ειδικότερα στην κατηγορία των "εταιριών είσπραξης απαιτήσεων", αλλά, κατά τις παραδοχές της απόφασης, αποτελεί εταιρεία ενημέρωσης οφειλετών. Από τη μορφή της εταιρείας αυτής, προκύπτει ότι συστάθηκε και λειτουργεί με βάση τις ρυθμίσεις του Ν. 3758/2009, καθώς και ότι δεν μπορεί να έχει ως σκοπό την είσπραξη απαιτήσεων, αφού αυτή απαγορεύεται ρητά από το άρθρο 4 παρ. 3 του άνω νόμου. Έτσι, δεν υπάγεται στην κατηγορία αποδεκτών στους οποίους αναφέρεται η επικαλούμενη από την αναιρεσείουσα ενημέρωση. Άλλωστε, κατά τον επικαλούμενο χρόνο πραγματοποίησης της ενημέρωσης του αναιρεσίβλητου για τους αποδέκτες των προσωπικών του δεδομένων, δεν ίσχυε ο Ν. 3758/2009, με τον οποίο προβλέφθηκε και ρυθμίστηκε η λειτουργία των εταιρειών ενημέρωσης οφειλετών, και συνεπώς, δεν υπήρχε αυτή η κατηγορία αποδεκτών, στην οποία εντάσσεται η ως άνω εταιρεία και στην οποία η αναιρεσείουσα κοινοποίησε τα προσωπικά δεδομένα του αναιρεσίβλητου, ώστε να μπορεί να γίνει δεκτό ότι υπήρξε η απαιτούμενη ενημέρωση.
Συνεπώς, έπρεπε η αναιρεσείουσα, πριν από τη μεταβίβαση των δεδομένων προσωπικού χαρακτήρα του αναιρεσίβλητου στην εταιρεία αυτή, να τον ενημερώσει ότι η συγκεκριμένη εταιρεία θα είναι αποδέκτης των δεδομένων του. Έτσι, η ορθή υπαγωγή των πραγματικών περιστατικών που δέχθηκε ως αποδειχθέντα το δικαστήριο της ουσίας, απολήγουν σε πόρισμα όμοιο προς το διατακτικό της απόφασης του δικάσαντος κατ' έφεση Δικαστηρίου, ήτοι στη μη ενημέρωση του αναιρεσίβλητου για την εταιρεία "EUROBANK REMEDIAL SERVICES", ως αποδέκτη των δεδομένων του και συνεπώς παράβασης του Ν. 2472/1997 από την αναιρεσείουσα, η οποία (παράβαση) θεμελιώνει το παράνομο της επεξεργασίας των προσωπικών του δεδομένων και την πρόκληση εξ αυτού ηθικής βλάβης στον αναιρεσίβλητο. Επομένως, κατά την άποψη της μειοψηφίας του Δικαστηρίου, ανεξάρτητα από τη διαφορετική, εσφαλμένη, αιτιολογία της προσβαλλόμενης απόφασης, στην οποία στηρίζεται η μη ενημέρωση του αναιρεσείοντος, η προσβαλλόμενη απόφαση δεν παραβίασε την ουσιαστικού δικαίου διάταξη του άρθρου 11 παρ. 1 περ. γ'του Ν. 2472/1997 και θα έπρεπε, κατ' εφαρμογή του άρθρου 578 ΚΠολΔ, να απορριφθεί ο σχετικός λόγος αναίρεσης.

Συνακόλουθα τούτων και μετά τη γνώμη που επικράτησε στο Δικαστήριο, πρέπει να αναιρεθεί η προσβαλλόμενη απόφαση.

Κατά το άρθρο 580 παρ. 3 ΚΠολΔ: "Αν ο Άρειος Πάγος αναιρέσει την απόφαση για οποιονδήποτε άλλο λόγο, εκτός από εκείνους που αναφέρονται στις παραγράφους 1 και 2, μπορεί να κρατήσει την υπόθεση και να την δικάσει, αν κατά την κρίση του δεν χρειάζεται άλλη διευκρίνιση. Στην αντίθετη περίπτωση παραπέμπει την υπόθεση σε ιδιαίτερη συζήτηση και, αν πρόκειται για τους λόγους που αναφέρονται στους αριθμούς 1, 2, 3, 6 έως 17, 19 και 20 του άρθρου 559, μπορεί να παραπέμψει την υπόθεση για περαιτέρω εκδίκαση σε άλλο δικαστήριο ισόβαθμο και ομοειδές προς εκείνο το οποίο εξέδωσε την απόφαση που αναιρέθηκε ή στο ίδιο αν είναι δυνατή η σύνθεση του από άλλους δικαστές. Αν, όμως, αναιρεθεί η απόφαση του τελευταίου αυτού δικαστηρίου, δικάζει αυτός την ουσία της υπόθεσης. Στην περίπτωση αυτή η υπόθεση εισάγεται με κλήση στο ίδιο τμήμα". Από τη διάταξη αυτή, συνδυαζόμενη και με τη διάταξη της παραγράφου 4 του ίδιου άρθρου, η οποία ορίζει ότι "Οι αποφάσεις της ολομέλειας και των τμημάτων του Αρείου Πάγου δεσμεύουν τα δικαστήρια που ασχολούνται με την ίδια υπόθεση ως προς τα νομικά ζητήματα που έλυσαν", συνάγεται ότι, οσάκις μετά την αναίρεση της αποφάσεως δεν υπάρχει δικονομικώς έδαφος για περαιτέρω εκδίκαση της υπόθεσης από το δικαστήριο της ουσίας, υπολείπεται δε μόνο η διατύπωση του διατακτικού της απόφασης με βάση την έκταση της αναίρεσης, η παραπομπή σε ισόβαθμο δικαστήριο ουσίας δεν αποτελεί υποχρεωτικό στάδιο δίκης, αλλά μπορεί η τελειωτική επί της υπόθεσης απόφαση να εκδοθεί και από τον Άρειο Πάγο (ΟλΑΠ 25/2001). Τέτοιο δικονομικό έδαφος για την, μετά την αναίρεση της προσβαλλόμενης απόφασης, επανεκδίκαση της υπόθεσης από το ως Εφετείο δικάσαν Μονομελές Πρωτοδικείο Θεσσαλονίκης, στην ουσία δεν υπάρχει και στην κρινόμενη περίπτωση. Ειδικότερα, με την 3455/2016 απόφαση του Ειρηνοδικείου Θεσσαλονίκης, η αγωγή απορρίφθηκε, με την αιτιολογία ότι είχε υπάρξει ενημέρωση του ενάγοντος-υποκειμένου των προσωπικών δεδομένων, για τη διαβίβαση των δεδομένων του στην εταιρεία ενημέρωσης οφειλετών "Ε" και συνεπώς δεν υπήρξε παραβίαση της αναιρεσείουσας αναφορικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του αναιρεσιβλήτου. Μετά την αναίρεση της 3937/2018 απόφασης του Μονομελούς Πρωτοδικείου Θεσσαλονίκης, που έκρινε αντίθετα, οι διάδικοι επανέρχονται στην κατάσταση που υπήρχε πριν από τη συζήτηση, επί της οποίας εκδόθηκε η αναιρεθείσα αυτή απόφαση και συνεπώς, αναβιώνει η σχετική αίτηση παροχής έννομης προστασίας, ήτοι η έφεση, αφού η αναιρεθείσα απόφαση εκδόθηκε στο δεύτερο βαθμό δικαιοδοσίας.
Συνεπώς, στο δευτεροβάθμιο Δικαστήριο, στην προκείμενη περίπτωση, δεσμευόμενο από την παρούσα απόφαση, αναφορικά με το γενόμενο δεκτό λόγο αναίρεσης, υπολείπεται μόνο η διατύπωση του διατακτικού της απόφασής του, με βάση την έκταση της αναίρεσης, ως προς την απόρριψη της έφεσης κατά της πρωτόδικης απόφασης που έκρινε ορθά και δεν υπάρχει έδαφος για εξέταση των λοιπών λόγων έφεσης. Κατ' ακολουθία των ανωτέρω, μετά την αναίρεση της προσβαλλόμενης απόφασης, πρέπει να διακρατηθεί η υπόθεση στο Δικαστήριο τούτο προκειμένου να δικαστεί η από 2-3-2007 έφεση του ενάγοντος, να απορριφθεί δε αυτή ως κατ' ουσίαν αβάσιμη. Επίσης, πρέπει να διαταχθεί η απόδοση του παραβόλου που καταβλήθηκε για την άσκηση της αναίρεσης στην αναιρεσείουσα (άρθρο 495 παρ. 4 ΚΠολΔ). Τέλος, τα δικαστικά έξοδα της παρούσας δίκης και της επί της εφέσεως δίκης, πρέπει να συμψηφιστούν στο σύνολό τους, επειδή η ερμηνεία των κανόνων δικαίου που εφαρμόστηκαν ήταν ιδιαίτερα δυσχερής (άρθρο 179 ΚΠολΔ).

ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ

Αναιρεί την 3937/2018 απόφαση του Μονομελούς Πρωτοδικείου Θεσσαλονίκης.
Διακρατεί την υπόθεση και δικάζει επί της από 2-3-2017 εφέσεως του αναιρεσίβλητου κατά της 3455/2016 απόφασης του Ειρηνοδικείου Θεσσαλονίκης.
Απορρίπτει την έφεση.
Διατάσσει την επιστροφή του παραβόλου που κατατέθηκε για την άσκηση της αίτησης αναίρεσης στην αναιρεσείουσα.
Συμψηφίζει στο σύνολό τους τα δικαστικά έξοδα μεταξύ των διαδίκων.
ΚΡΙΘΗΚΕ, αποφασίσθηκε στην Αθήνα, στις 25 Ιουνίου 2020.

Σχόλιο

Ι. Με την υπ’ αριθμ. 3/2020 Απόφασή της, η Ολομέλεια του Αρείου Πάγου αναίρεσε την υπ’ αριθμ. 3937/2018 Απόφαση του Μονομελούς Πρωτοδικείου Θεσσαλονίκης (δικάζοντος κατ’ έφεση), λόγω παραβίασης διάταξης του ουσιαστικού δικαίου, με εσφαλμένη υπαγωγή των ανελέγκτως γενόμενων δεκτών πραγματικών περιστατικών στον εφαρμοσθέντα κανόνα ουσιαστικού δικαίου και συγκεκριμένα στις διατάξεις του ν. 2472/1997 που προβλέπουν την ενημέρωση του υποκειμένου των προσωπικών δεδομένων για τη διαβίβαση αυτών από τον υπεύθυνο επεξεργασίας σε εκτελούντες δια λογαριασμό του την επεξεργασία και σε τρίτους αποδέκτες (άρθρα 11, 12 ν. 2472/1997).
Ειδικότερα, η ένδικη διαφορά άρχισε με την από 14-4-2016 αγωγή του ήδη αναιρεσίβλητου, που κατατέθηκε στο Ειρηνοδικείο Θεσσαλονίκης, με την οποία ο τελευταίος ζητούσε την καταβολή αποζημίωσης και τη χρηματική του ικανοποίηση λόγω ηθικής βλάβης εξαιτίας της παράνομης επεξεργασίας των προσωπικών του δεδομένων από την αναιρεσείουσα, λόγω παράλειψης ενημέρωσής του εκ μέρους της για τη διαβίβαση των προσωπικών του δεδομένων στη συγκεκριμένη εταιρεία ενημέρωσης οφειλετών.
Επί της αγωγής αυτής, εκδόθηκε η υπ’ αριθμ. 3455/2016 Απόφαση του ίδιου Δικαστηρίου, η οποία απέρριψε την αγωγή, με την αιτιολογία ότι είχε υπάρξει επαρκής ενημέρωση του ενάγοντος-υποκειμένου των προσωπικών δεδομένων, για τη διαβίβασή τους στην εταιρεία ενημέρωσης οφειλετών "E", καθώς στην υποβληθείσα για τη χορήγηση του δανείου αίτηση, που ο αναιρεσίβλητος συμπλήρωσε και υπέγραψε, υπό τον τίτλο "Ενημέρωση υποκειμένων δεδομένων προσωπικού χαρακτήρα", αναγράφεται, εκτός των άλλων, ότι, η αναιρεσείουσα, έχει ενημερώσει τα φυσικά πρόσωπα που υπογράφουν την αίτηση, ότι τα προσωπικά τους δεδομένα που αυτή έχει συλλέξει, θα αποτελέσουν αντικείμενο επεξεργασίας από την ίδια ή από τρίτους που εκτελούν την επεξεργασία κατ' εντολή και για λογαριασμό της, καθώς και ότι αποδέκτες των προσωπικών τους δεδομένων, είναι μεταξύ άλλων, και "εταιρείες είσπραξης απαιτήσεων". Συνεπώς, σύμφωνα με την πρωτόδικη απόφαση, δεν υπήρξε παραβίαση της αναιρεσείουσας αναφορικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του αναιρεσίβλητου.
Κατά της αποφάσεως αυτής ασκήθηκε έφεση από τον αναιρεσίβλητο, επί της οποίας εκδόθηκε η υπ’ αριθμ. 3937/2018 Απόφαση του Μονομελούς Πρωτοδικείου Θεσσαλονίκης, η οποία δέχθηκε την έφεση και επιδίκασε χρηματική ικανοποίηση στον αναιρεσίβλητο, κρίνοντας ότι η αναιρεσείουσα δεν είχε ενημερώσει τον τελευταίο κατά τρόπο σαφή για το σκοπό της επεξεργασίας (διαβίβασης) και ειδικά για τους αποδέκτες ή τις κατηγορίες αποδεκτών, όπως απαιτείτο κατ' άρθρο 11 παρ. 1 β, γ του Ν. 2472/1997, καθώς, «η εναγόμενη τράπεζα ήταν υποχρεωμένη να τον ενημερώσει ειδικώς για την εταιρεία ενημέρωσης οφειλετών, με την οποία συνεργάζεται (επωνυμία, έδρα κλπ), στην οποία είχαν διαβιβαστεί τα προσωπικά στοιχεία του ενάγοντος και η οποία θα τον καλούσε προς ενημέρωση και διευθέτηση της οφειλής του, γεγονός που δεν απεδείχθη ότι έλαβε χώρα στην προκειμένη περίπτωση».
Επί της αιτήσεως αναιρέσεως που άσκησε στη συνέχεια η αναιρεσείουσα κατά της ανωτέρω αποφάσεως, εκδόθηκε η υπ’ αριθμ. 171/2019 απόφαση του Α2 Πολιτικού Τμήματος του Αρείου Πάγου, η οποία παρέπεμψε την υπόθεση στην Τακτική Ολομέλεια του Αρείου Πάγου, προκειμένου να κρίνει αν η αναιρεσείουσα Τράπεζα, ως υπεύθυνη επεξεργασίας προσωπικών δεδομένων, η οποία γίνεται στο πλαίσιο μιας σύμβασης, οφείλει να ενημερώνει ειδικά τον οφειλέτη για τη διάθεση αυτών των δεδομένων του στην εκάστοτε συγκεκριμένη εταιρεία ενημέρωσης οφειλετών, ή αρκεί, κατά νόμο, το γεγονός ότι η Τράπεζα, κατά το χρόνο συλλογής των δεδομένων, βάσει περιληφθέντων όρων στη σχετική σύμβαση, είχε ενημερώσει τον οφειλέτη ότι τα προσωπικά του δεδομένα, θα αποτελέσουν αντικείμενο επεξεργασίας από την ίδια (Τράπεζα) ή και από εκείνους που εκτελούν την επεξεργασία κατ' εντολή και για λογαριασμό της, ως αποδέκτες των δεδομένων, στους οποίους περιλαμβάνονται οι εταιρείες είσπραξης απαιτήσεων.
Ο Εισαγγελέας πρότεινε να δεχθεί το δικαστήριο ότι αρκεί, κατά νόμο, το γεγονός ότι η δανείστρια Τράπεζα, ως υπεύθυνη επεξεργασίας προσωπικών δεδομένων, κατά το χρόνο συλλογής των δεδομένων, βάσει περιληφθέντων όρων στη σχετική σύμβαση, είχε ενημερώσει τον οφειλέτη ότι τα προσωπικά του δεδομένα θα αποτελέσουν αντικείμενο επεξεργασίας κατ' εντολή και για λογαριασμό της από αποδέκτες των δεδομένων, στους οποίους περιλαμβάνονται και οι εταιρίες εισπράξεως απαιτήσεων και (συνακόλουθα) δεν όφειλε να ενημερώσει ειδικώς τον οφειλέτη για τη διάθεση αυτών των δεδομένων του στην εκάστοτε συγκεκριμένη εταιρία ενημέρωσης οφειλετών.
Με βάση τις διατάξεις του ν. 2472/1997, προεχόντως δε του άρθρου 11 παρ. 1 περ. γ' του νόμου αυτού, κατά το οποίο ο υπεύθυνος επεξεργασίας πρέπει να ενημερώνει το υποκείμενο είτε ως προς το συγκεκριμένο πρόσωπο του αποδέκτη, είτε, ως προς την κατηγορία των αποδεκτών, η σχολιαζόμενη απόφαση έκρινε κατά πλειοψηφία ότι: «η ενημέρωση του υποκειμένου προσωπικών δεδομένων στην κρινόμενη υπόθεση (αναιρεσίβλητου) από την υπεύθυνη επεξεργασίας των δεδομένων (αναιρεσείουσα), η οποία πραγματοποιήθηκε με τη σχετική αναγραφή στο έντυπο της αίτησης χορήγησης του δανείου, ότι αποδέκτες των δεδομένων προσωπικού χαρακτήρα του αναιρεσίβλητου δανειολήπτη, τα οποία αφορούν την είσπραξη των απαιτήσεων της αναιρεσείουσας Τράπεζας, σε περίπτωση μη εκπλήρωσης των υποχρεώσεων που αναλαμβάνονται με τη σύμβαση δανείου, είναι, εκτός των άλλων, και οι εταιρείες είσπραξης απαιτήσεων, πληροί την απαιτούμενη, κατά τα γενόμενα δεκτά, ενημέρωση του υποκειμένου των δεδομένων για τους αποδέκτες των προσωπικών του δεδομένων που συνελέγησαν κατά τη χορήγηση της πίστωσης και συνεπώς η ενέργεια αυτή της αναιρεσείουσας δεν συνιστούσε παραβίαση των ρυθμίσεων του άρθρου 11 παρ. 1 περ. γ' Ν. 2472/1997. Τούτο διότι, η ανώνυμη εταιρεία με την επωνυμία "E", στην οποία διαβιβάστηκαν τα δεδομένα, ως εταιρεία ενημέρωσης οφειλετών, υπάγεται στην ευρύτερη κατηγορία αποδεκτών "εταιρίες είσπραξης απαιτήσεων" λαμβάνονας υπόψη αφενός μεν ότι εταιρείες με τέτοιο αντικείμενο δραστηριότητος θεσπίσθηκαν το πρώτον με το ν. 3578/2009, δηλαδή πολύ μετά την κατάρτιση της συμβάσεως δανείου μεταξύ των διαδίκων, αφετέρου δε το γεγονός ότι σαφώς, η δραστηριότητα της ως άνω εταιρείας αποτελεί μέρος της δραστηριότητας των "εταιρειών είσπραξης απαιτήσεων", οι οποίες, πέραν του σκοπού της ενημέρωσης των οφειλετών για το χρέος, είχαν σκοπό και την είσπραξη των απαιτήσεων.»
Σύμφωνα μάλιστα με το Δικαστήριο: «Όταν ο υπεύθυνος επεξεργασίας των δεδομένων μεταβιβάσει αυτά στον εκτελούντα την επεξεργασία, ο οποίος υπάγεται σε κάποια από τις αναφερόμενες κατηγορίες αποδεκτών για την οποία έχει γίνει η ενημέρωση, δεν είναι αναγκαίο ο υπεύθυνος επεξεργασίας να προβεί σε νέα ενημέρωση του υποκειμένου των δεδομένων, όταν ανακοινώσει στον εκτελούντα την επεξεργασία τα δεδομένα προσωπικού χαρακτήρα του υποκειμένου. Τούτο, μάλιστα, διότι, ο εκτελών την επεξεργασία, ενεργεί την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, για λογαριασμό του υπεύθυνου επεξεργασίας αυτών και όχι για δικό του λογαριασμό. Έτσι, η πρόβλεψη του άρθρου 11 παρ. 3 περί υποχρέωσης του υπεύθυνου επεξεργασίας να ενημερώσει το υποκείμενο για την ανακοίνωση των δεδομένων σε τρίτο, πριν από την ανακοίνωση των δεδομένων στον τρίτο, δεν έχει εφαρμογή και για την περίπτωση μεταβίβασης των δεδομένων στον εκτελούντα την επεξεργασία για λογαριασμό του υπεύθυνου επεξεργασίας. Η ως άνω κρίση, εκτός της αναφοράς της ενημέρωσης σε "κατηγορίες αποδεκτών", στηρίζεται και στο ότι η ίδια διατύπωση διαλαμβάνεται και στο άρθρο 12 παρ. 2 περ. β' του νόμου αυτού, που ορίζει ότι, μεταξύ των πληροφοριών τις οποίες το υποκείμενο έχει δικαίωμα να λαμβάνει από τον υπεύθυνο της επεξεργασίας των δεδομένων, είναι και "οι κατηγορίες των αποδεκτών" των δεδομένων, χωρίς να απαιτεί συγκεκριμένη ταυτότητα του αποδέκτη.»
Σύμφωνα, ωστόσο, με τη μειοψηφία 10 μελών της Ολομέλειας του Αρείου Πάγου: «η γενόμενη, ως άνω, κατά τη συλλογή των προσωπικών δεδομένων, με την αίτηση δανειοδότησης, ενημέρωση του αναιρεσίβλητου, υποκειμένου των δεδομένων, δεν πληροί την εκ του άρθρου 11 του Ν. 2472/1997 υποχρέωση ενημέρωσης από την αναιρεσείουσα, υπεύθυνη επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, του αναιρεσίβλητου, υποκειμένου αυτών των δεδομένων, για τους αποδέκτες των δεδομένων του, καθόσον η αναιρεσείουσα ήταν υποχρεωμένη να ενημερώσει τον αναιρεσίβλητο ειδικά για την εταιρεία ενημέρωσης οφειλετών στην οποία θα διαβιβάζονταν τα προσωπικά του δεδομένα, δηλαδή για τη διαβίβασή τους στην εταιρεία "E", η οποία και θα τον καλούσε προς ενημέρωση και διευθέτηση της οφειλής του. […..] Με την αίτηση που συμπλήρωσε και υπέγραψε ο αναιρεσίβλητος κατά την κατάρτιση της σύμβασης δανείου, η αναιρεσείουσα φέρεται να τον ενημερώνει για τις κατηγορίες αποδεκτών των δεδομένων του, ήτοι "εταιρίες είσπραξης απαιτήσεων, δικηγόροι, συμβολαιογράφοι και δικαστικοί επιμελητές στα πλαίσια των αρμοδιοτήτων τους". Όμως, η ανώνυμη εταιρεία "E", δεν υπάγεται σε κάποια από τις κατηγορίες αυτές και ειδικότερα στην κατηγορία των "εταιριών είσπραξης απαιτήσεων", αλλά, κατά τις παραδοχές της απόφασης, αποτελεί εταιρεία ενημέρωσης οφειλετών. Έτσι, δεν υπάγεται στην κατηγορία αποδεκτών στους οποίους αναφέρεται η επικαλούμενη από την αναιρεσείουσα ενημέρωση. Άλλωστε, κατά τον επικαλούμενο χρόνο πραγματοποίησης της ενημέρωσης του αναιρεσίβλητου για τους αποδέκτες των προσωπικών του δεδομένων, δεν ίσχυε ο ν. 3758/2009, με τον οποίο προβλέφθηκε και ρυθμίστηκε η λειτουργία των εταιρειών ενημέρωσης οφειλετών, και συνεπώς, δεν υπήρχε αυτή η κατηγορία αποδεκτών, στην οποία εντάσσεται η ως άνω εταιρεία. […..] Συνεπώς, κατά τη μειοψηφία, έπρεπε η αναιρεσείουσα, πριν από τη μεταβίβαση των δεδομένων προσωπικού χαρακτήρα του αναιρεσίβλητου στην εταιρεία αυτή, να τον ενημερώσει ότι η συγκεκριμένη εταιρεία θα είναι αποδέκτης των δεδομένων του.».
ΙΙ. Η σχολιαζόμενη απόφαση αποτελεί σημαντική νομολογιακή εξέλιξη που έρχεται πάντως σε σύγκρουση με την έως σήμερα τοποθέτηση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (εφεξής, ΑΠΔΠΧ) επί της ειδικής ατομικής ενημέρωσης του οφειλέτη για τη διαβίβαση των προσωπικών του δεδομένων στην εκάστοτε συγκεκριμένη εταιρεία ενημέρωσης οφειλετών, όπως αυτή είχε διατυπωθεί με την υπ’ αριθμ. 98/2017 απόφαση της ΑΠΔΠΧ.
Η ΑΠΔΠΧ, πριν από απόφαση 98/2017, ειδικά ως προς το ζήτηµα της ενηµέρωσης των υποκειµένων για την ανακοίνωση των δεδοµένων τους σε εταιρείες ενηµέρωσης οφειλετών (άρθρο 11 του ν. 2472/1997 σε συνδυασµό µε άρθρο 4 παρ. 4 εδ. α΄ του ν. 3758/2009), είχε κρίνει σύμφωνα με τις υπ’ αριθµ. πρωτ. Γ/ΕΞ/4744/12-07-2013 Συστάσεις σε Τράπεζες ότι  « … η ενηµέρωση αυτή µπορεί να πραγµατοποιείται εναλλακτικά: α) Κατά την σύναψη της σύµβασης µε τον πελάτη, με σαφή και ακριβή όρο ενημέρωσής του ότι ο δανειστής έχει δικαίωµα µε βάση το ν. 3758/2009, σε περίπτωση που η οφειλή καταστεί ληξιπρόθεσµη, να ανακοινώσει τα δεδοµένα του πελάτη σε εταιρεία ενηµέρωσης οφειλετών. Οι δε παλαιοί πελάτες, δηλαδή εκείνοι που υπέγραψαν συµβάσεις µε τους δανειστές πριν την έναρξη ισχύος του ν. 3758/2009 (05-05- 2009), πρέπει να ενηµερώνονται για την εν λόγω νέα επεξεργασία µε τρόπο πρόσφορο και σαφή, για παράδειγµα µε συστηµένη επιστολή που θα περιλαµβάνει την ανωτέρω πληροφόρηση ή µε ενσωµάτωση της σχετικής πληροφόρησης στα αντίγραφα λογαριασµών και β) Κατά την τελευταία έγγραφη ενηµέρωση του οφειλέτη ότι η οφειλή του κατέστη ληξιπρόθεσµη και ότι, σε περίπτωση µη τακτοποίησης αυτής, τα δεδοµένα του (στοιχεία επικοινωνίας και στοιχεία σχετικά µε την οφειλή) θα ανακοινωθούν σε εταιρία ενηµέρωσης οφειλετών µε σκοπό τη σχετική ενηµέρωσή του σύµφωνα µε το ν. 3758/2009. Στο στάδιο αυτό, προτείνεται να ζητείται από τον οφειλέτη να διατυπώσει τυχόν αντιρρήσεις του σχετικά µε την ακρίβεια των στοιχείων του (ιδίως ύψος της οφειλής και στοιχεία επικοινωνίας) εντός ευλόγου προθεσµίας, έτσι ώστε να πραγµατοποιείται ταυτόχρονα και η επικαιροποίηση των δεδοµένων στο αρχείο που τηρεί ο δανειστής».
Στην απόφαση 98/2017 η ΑΠΔΠΧ, λόγω της πληθώρας των καταγγελιών, υιοθετώντας αυστηρότερη θέση, αφού σημείωσε, όπως και η μειοψηφία της σχολιαζόμενης απόφασης της ΟλομΑΠ, ότι οι «εταιρείες ενημέρωσης οφειλετών» αποτελούν νέα κατηγορία αποδεκτών, διαφορετική από τις «εταιρίες είσπραξης απαιτήσεων», έκρινε ότι: «όταν η ενημέρωση του υποκειμένου των δεδομένων για τη διαβίβαση αυτών στις εταιρείες ενημέρωσης οφειλετών πραγματοποιείται µε τρόπο γενικό, τυποποιημένο και µη ευκρινή (π.χ. ιδίως αν πρόκειται για προδιατυπωµένο όρο σύμβασης που αναφέρεται γενικά στο «δικαίωμα» του δανειστή να διαθέσει τα δεδομένα του οφειλέτη σε εταιρείες ενημέρωσης οφειλετών βάσει του ν. 3758/2009), το υποκείμενο των δεδομένων απλώς πληροφορείται για το «ενδεχόμενο» να διατεθούν τα στοιχεία του σε µία ειδική κατηγορία αποδεκτών, σε περίπτωση που οι οφειλές του καταστούν ληξιπρόθεσμες. Ωστόσο, όταν τελικώς ο δανειστής αποφασίζει να ασκήσει το δικαίωμά του αυτό, δηλαδή να διαθέσει τα στοιχεία του οφειλέτη σε συγκεκριμένη εταιρεία ενημέρωσης οφειλετών µε σκοπό να διαπραγματευθεί εκείνη για λογαριασμό του δανειστή την αποπληρωμή της οφειλής, το υποκείμενο των δεδομένων δεν ενημερώνεται για την απόφαση αυτή του δανειστή, δηλαδή για την πραγματική διενέργεια της επεξεργασίας (και όχι απλώς για το ενδεχόμενο διενέργειας αυτής) µε όλες τις δυσμενείς συνέπειες που αυτή συνεπάγεται. Ως αποτέλεσμα της ανωτέρω πρακτικής, ήτοι της µη προσήκουσας ενημέρωσης από τους δανειστές, τα υποκείμενα των δεδομένων δεν ενημερώνονται επαρκώς, µε αποτέλεσμα, μεταξύ άλλων, να στερούνται εύλογου χρόνου για την έγκαιρη άσκηση των δικαιωμάτων πρόσβασης και αντίρρησης κατά τα άρθρα 12 και 13 του ν. 2472/1997, καθώς και για κάθε άλλη νόμιμη ενέργεια σχετικά µε τον διακανονισμό της οφειλής τους µε τον ίδιο το δανειστή, ώστε να αποφευχθούν ή έστω να περιοριστούν οι δυσμενείς συνέπειες που επιφέρει η διάθεση των δεδομένων τους σε Εταιρείες Ενημέρωσης Οφειλετών. Για όλους τους προαναφερόμενους λόγους, η Αρχή κρίνει αναγκαίο να γίνεται ειδική ατομική ενημέρωση των οφειλετών για τη διάθεση των δεδομένων τους από τους δανειστές σε Εταιρείες Ενημέρωσης Οφειλετών, δηλαδή ο δανειστής, ως υπεύθυνος επεξεργασίας, οφείλει να ενημερώνει τους οφειλέτες για τη διάθεση των δεδομένων τους στην εκάστοτε σ υ γ κ ε κ ρ ι µ έ ν η Εταιρεία Ενημέρωσης Οφειλετών, να παρέχει ένα εύλογο διάστημα (π.χ., ενδεικτικά, 10-15 ημερών) π ρ ι ν από τη διάθεση για την άσκηση των δικαιωμάτων πρόσβασης και αντίρρησης και να μεριμνήσει, ώστε η ενημέρωση αυτή να γίνεται µε κάθε πρόσφορο τρόπο, π.χ. µε ενσωμάτωση της σχετικής πληροφόρησης στα αντίγραφα λογαριασμών και σε ευδιάκριτο σημείο αυτών ή µέσω ηλεκτρονικού ταχυδρομείου (e-mail), σε όλες τις περιπτώσεις, στις οποίες τούτο καθίσταται εφικτό, και ιδίως εφόσον τα σχετικά στοιχεία έχουν χορηγηθεί στον υπεύθυνο επεξεργασίας από τα υποκείμενα των δεδομένων. Αυτονόητο είναι ότι ο δανειστής, ως υπεύθυνος επεξεργασίας, οφείλει να ενημερώνει εκ νέου, σύμφωνα µε τα παραπάνω, κάθε φορά που τα στοιχεία των οφειλετών του διατίθενται σε διαφορετική Εταιρεία Ενημέρωσης Οφειλετών.».
ΙΙΙ. Επισημαίνουμε ότι η ΑΠΔΠΧ, ως Ανεξάρτητη Διοικητική Αρχή κατά το άρθρο 9Α του Συντάγματος, ασκούσα την εποπτεία της εφαρμογής των διατάξεων του ΓΚΠΔ και άλλων ρυθμίσεων που αφορούν στην προστασία του ατόμου έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, δεν αποστερείται της δυνατότητας να επιληφθεί καταγγελιών/ερωτημάτων που αφορούν στις πρακτικές ενηµέρωσης οφειλετών από πιστωτικά ιδρύµατα, ασφαλιστικές εταιρίες, εταιρείες παροχής υπηρεσιών και πώλησης αγαθών και να κρίνει διαφορετικά από την σχολιαζόμενη απόφαση (βλ. αιτιολογική σκέψη 150 GDPR), επιβάλλοντας κυρώσεις (βλ.  άρθρο 83 του G.D.P.R. ), στους υπεύθυνους επεξεργασίας, σε περίπτωση παραβίασης της μέχρι σήμερα νομολογίας, συστάσεων της κ.λ.π.
Οι Εταιρείες Ενηµέρωσης Οφειλετών ως έχουσες διπλό ρόλο, καθώς είναι και εκτελούσες την επεξεργασία για τις πράξεις που διενεργούν κατ’ εντολή και για λογαριασµό του δανειστή και ταυτόχρονα υπεύθυνες επεξεργασίας για τα δυο αρχεία που περιέχουν δεδοµένα σχετικά µε τηλεφωνικές επικοινωνίες (βλ. ά. 6 παρ. 7 και ά. 8 παρ. 2 του ν. 3758/2009), ως προς την επιβολή κυρώσεων εις βάρος τους, υπόκεινται, αφενός μεν στον Υπουργό Ανάπτυξης, όσον αφορά στην παραβίαση του ν. 3758/2009, αφετέρου δε στην ΑΠΔΠΧ, σύµφωνα µε το άρθρο 10 του ν. 3758/2009 [«Ειδικά για τις παραβιάσεις των παραγράφων 4 και 5 του άρθρου 4, της παραγράφου 7 του άρθρου 6 και της παραγράφου 2 του άρθρου 8 από τις οποίες θίγεται το δικαίωμα στην προστασία προσωπικών δεδομένων φυσικών προσώπων αρμόδια είναι η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.» (άρθρο 36 παρ.5 Ν.4038/2012,ΦΕΚ Α 14/2.2.2012)].
Με δεδομένο ότι ο Κανονισµός (ΕΕ) 2016/679 προτάσσει πλέον ρητώς την αρχή της διαφάνειας της επεξεργασίας και ενισχύει, ακολούθως, το δικαίωµα ενηµέρωσης του υποκειµένου (βλ. άρθρα 5, 13 και 14 του Κανονισµού και αντίστοιχες αιτιολογικές σκέψεις στο προοίµιο αυτού), αναμένεται με ενδιαφέρον η θέση της Αρχής Προστασίας επί του σχολιαζόμενης νομολογιακής εξέλιξης, με «ultimum refugium»  την εφαρμογή της διάταξης του άρθρου 20 του ν. 4624/2019 - Δικαστική προστασία κατά της Αρχής- σύμφωνα με την οποία, οι κανονιστικές αποφάσεις και οι ατομικές διοικητικές πράξεις της Αρχής, συμπεριλαμβανομένων των αποφάσεων με τις οποίες επιβάλλονται κυρώσεις, προσβάλλονται με αίτηση ακυρώσεως ενώπιον του Συμβουλίου της Επικρατείας.

Ευαγγελία Παλαιολόγου – Δικηγόρος
D.E.A Ευρωπαϊκού Δικαίου
D.E.A Δημόσιου Διεθνούς Δικαίου
Paris I (Πάνθεον – Σορβόννη)