Σύμφωνα με το άρθρο 22 (ΕΕ) 2016/679 (“GDPR”) με τίτλο “Αυτοματοποιημένη ατομική λήψη αποφάσεων, περιλαμβανομένης της κατάρτισης προφίλ”, προβλέπεται ότι:
“1. Το υποκείμενο των δεδομένων έχει το δικαίωμα να μην υπόκειται σε απόφαση που λαμβάνεται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας, συμπεριλαμβανομένης της κατάρτισης προφίλ, η οποία παράγει έννομα αποτελέσματα που το αφορούν ή το επηρεάζει σημαντικά με παρόμοιο τρόπο.
2. Η παράγραφος 1 δεν εφαρμόζεται όταν η απόφαση:
|
α)
|
είναι αναγκαία για τη σύναψη ή την εκτέλεση σύμβασης μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας των δεδομένων,
|
|
β)
|
επιτρέπεται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας και το οποίο προβλέπει επίσης κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων ή
|
|
γ)
|
βασίζεται στη ρητή συγκατάθεση του υποκειμένου των δεδομένων.
|
3. Στις περιπτώσεις που αναφέρονται στην παράγραφο 2 στοιχεία α) και γ), ο υπεύθυνος επεξεργασίας των δεδομένων εφαρμόζει κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων, τουλάχιστον του δικαιώματος εξασφάλισης ανθρώπινης παρέμβασης από την πλευρά του υπευθύνου επεξεργασίας, έκφρασης άποψης και αμφισβήτησης της απόφασης.
4. Οι αποφάσεις που αναφέρονται στην παράγραφο 2 δεν βασίζονται στις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που αναφέρονται στο άρθρο 9 παράγραφος 1, εκτός αν ισχύει το άρθρο 9 παράγραφος 2 στοιχείο α) ή ζ) και αν υφίστανται κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων.
Σχετική με την παραπάνω διάταξη είναι η απόφαση ΣτΕ 1863/2021, που πραγματεύεται την τραπεζική πρακτική της αυτοματοποιημένης βαθμολόγησης πελατών αναφορικά με την πιστοληπτική τους ικανότητα, με σκοπό την προώθηση και χορήγηση πιστωτικών προιόντων σε αυτούς. Η Αρχή Προστασίας Προσωπικών Δεδομένων, βασιζόμενη σε προγενέστερη αλλά παρόμοιας λογικής νομική βάση, επέβαλε στην τράπεζα της υπόθεσης πρόστιμο για παράνομη συλλογή και επεξεργασία των δεδομένων πελάτη της, που τηρούνταν στην ΤΕΙΡΕΣΙΑΣ, λόγω έλλειψης ειδικής και ενήμερης συγκατάθεσης αυτού για την υποβολή του στην εν λόγω πρακτική. Το ΣτΕ επικυρώνει την απόφαση, με το παρακάτω σκεπτικό (απόσπασμα από NOMOS):
“16. Επειδή, περαιτέρω, κατά την συνδυασμένη έννοια των άρθρων 40 παρ. 2 ν. 3259/2004 και 5 παράγραφοι 1, 2 ν. 2472/1997, προκειμένου πιστωτικό ίδρυμα να καταρτίσει νέα συμβατική σχέση με κάποιο υποκείμενο δεδομένων προσωπικού χαρακτήρα, τηρουμένων σε «αρχείο δεδομένων οικονομικής συμπεριφοράς που λειτουργεί νόμιμα», απαιτείται η ειδική εκάστοτε συγκατάθεση του υποκειμένου, ώστε το πιστωτικό αυτό ίδρυμα να έχει πρόσβαση και να επεξεργασθεί περαιτέρω νομίμως τέτοια προσωπικά δεδομένα, πάντως και οπωσδήποτε, κατά τρόπο που συνεπάγεται χρήση «Συστήματος Βαθμολογικής Συμπεριφοράς», το οποίο και διέπεται από λογική αυτοματοποιημένης επεξεργασίας τους. Νομίμως, άρα, έκρινε η Αρχή, ότι απαιτείτο εν προκειμένω η συγκατάθεση του υποκειμένου και αβασίμως προβάλλονται τ’ αντίθετα.
17. Επειδή, με άλλον λόγο ακυρώσεως η Τράπεζα αμφισβητεί την κρίση της Αρχής περί της ελλείψεως ειδικής, in casu χορηγηθείσης, συγκαταθέσεως του πελάτη της. Θεωρεί ότι τέτοια συγκατάθεση πάντως παρεσχέθη εν όψει του περιεχομένου αιτήσεων του …, αναγομένων στα έτη 2006, 2011 και 2012, για χορήγηση αντιστοίχως προσωπικού – καταναλωτικού δανείου και πιστωτικής κάρτας, χρεωστικής κάρτας και ανοίγματος τρεχούμενου καταθετικού λογαριασμού και, τέλος. προπληρωμένης κάρτας «Prepaid». Στις σχετικές αιτήσεις υφίστατο ενημέρωση για την επεξεργασία προσωπικών δεδομένων του και ο πελάτης αποδεχόταν συναφώς Γενικούς Όρους Συναλλαγών. Δεδομένου, όμως, ότι, όπως βεβαιώνει η Αρχή και δεν αμφισβητείται από την αιτούσα, δεν υπήρχε πουθενά εκ των προτέρων διατυπωμένη συγκατάθεση του …, που να επιτρέπει ειδικώς την μελλοντική εκ μέρους της Τράπεζας προσφυγή σε «υπηρεσίες scoring» της συναλλακτικής συμπεριφοράς του ιδίου, παρίσταται νόμιμη (βάσει των προεκτεθέντων) και επαρκής η προέχουσα αιτιολογία που διαλαμβάνεται στην προσβαλλομένη πράξη επί του θέματος αυτού. Είναι κατόπιν αυτού απορριπτέα εν μέρει ως αβάσιμα και εν μέρει ως αλυσιτελή όσα αντίθετα προβάλλονται.”
