«Καμπανάκι» για τις ανέπαφες συναλλαγές έως 25 ευρώ

Στην απόφαση (υπ΄α­ριθ­μόν 48/2018) η Αρχή επι­ση­μαί­νει πως η χρήση της νέας κάρτας ανέ­πα­φων συναλ­λα­γών, εγείρει σοβα­ρούς κιν­δύ­νους για τους χρήστες της ενώ, ταυ­τό­χρονα, απευ­θύ­νει αυστηρή σύσταση σε δύο τρα­πε­ζικά ιδρύ­ματα, προ­κει­μέ­νου να παρέ­χουν τη δυνα­τό­τητα στους πελάτες τους, είτε απε­νερ­γο­ποί­η­σης της ανέ­πα­φης λει­τουρ­γίας είτε τη χορή­γηση νέας κάρτας, χωρίς αυτό το χαρα­κτη­ρι­στικό.

Η Αρχή επι­λή­φθηκε του ζητή­μα­τος με αφορμή τις καταγ­γε­λίες δύο πολιτών οι οποίες δια­βι­βά­στη­καν ενώπιον της από τη Διεύ­θυνση Προ­στα­σίας του Κατα­να­λωτή του Υπουρ­γείου Οικο­νο­μίας, Υπο­δο­μών, Ναυ­τι­λίας και Του­ρι­σμού και τον Συνή­γορο του Κατα­να­λωτή. Σημειώ­νε­ται πως η Αρχή με έγγραφο της ζήτησε πλη­ρο­φο­ρίες για τις ανέ­πα­φες κάρτες από όλα τα πιστω­τικά ιδρύ­ματα της χώρας, πέραν των δύο τα οποία αφο­ρού­σαν οι καταγ­γε­λίες των πολιτών που έφτασαν ενώπιον της. Μετά από τους ελέγ­χους που έκανε, κατέ­ληξε πως η χρήση των εν λόγω χρε­ω­στι­κών καρτών εγκυ­μο­νεί δύο σοβα­ρούς κιν­δύ­νους για τους πολίτες.

Πρώτον, εάν η κάρτα έρθει στα χέρια κακό­βου­λου τρίτου (π.χ. απώλεια από τον κάτοχο της) τότε αυτός θα μπορεί χωρίς την γνώση του PIN να πραγ­μα­το­ποιεί σειρά αγορών, αξίας μέχρι 25 ευρώ έκαστη και, δεύ­τε­ρον, δεδο­μέ­νου ότι μία τέτοια κάρτα μπορεί να εκπέμ­ψει μέσω ραδιο­κυ­μά­των υψηλής συχνό­τη­τας, προ­σω­πικά δεδο­μένα όπως τον αριθμό και την ημε­ρο­μη­νία λήξης της, δίνεται η δυνα­τό­τητα σε κάποιον που δια­θέ­τει συσκευή ανά­γνω­σης αυτών των σημάτων και βρεθεί στην εμβέ­λεια τους, να τα κατα­γρά­ψει.

Με χαμηλού κόστους λογι­σμικό

Όπως ανα­φέ­ρε­ται στην απόφαση της Αρχής «η κατα­γραφή αυτή μπορεί να γίνει με κατάλ­ληλο εξο­πλι­σμό που δεν είναι δαπα­νη­ρός ή με επίσης χαμηλού κόστους λογι­σμικό που μπορεί να εγκα­τα­στα­θεί σε «έξυπνες κινητές συσκευές», προ­σθέ­το­ντας πως «έχοντας κάποιος κακό­βου­λος γνώση του αριθμού της κάρτας και της ημε­ρο­μη­νίας λήξης αυτής, μπορεί να επι­χει­ρή­σει να πραγ­μα­το­ποι­ή­σει αγορά προ­ϊ­ό­ντος μέσω Δια­δι­κτύου με χρέωση-πίστωση στον τρα­πε­ζικό λογα­ρια­σμό με τον οποίο είναι συν­δε­δε­μένη η κάρτα, η αγορά δε αυτή ενδέ­χε­ται να ολο­κλη­ρω­θεί επι­τυ­χώς εφόσον το σχετικό ηλε­κτρο­νικό κατά­στημα δεν εφαρ­μό­ζει τα δέοντα μέτρα ασφά­λειας».

Στις περι­πτώ­σεις που εξέτασε η Αρχή Προ­στα­σίας Δεδο­μέ­νων Προ­σω­πι­κού Χαρα­κτήρα οι τρά­πε­ζες αντι­κα­τέ­στη­σαν τις χρε­ω­στι­κές κάρτες των καταγ­γελ­λό­ντων πελατών τους με τις νέες, υπο­χρε­ω­τικά, χωρίς ανα­λυ­τική ενη­μέ­ρωση για τα επι­μέ­ρους χαρα­κτη­ρι­στικά της εν λόγω επε­ξερ­γα­σίας όπως τα ποια δεδο­μένα μετα­δί­δο­νται ανέπαφα ή ποια δεδο­μένα τηρού­νται στο chip της κάρτας.

Δυνα­τό­τητα απε­νερ­γο­ποί­η­σης

Τελικά, η Αρχή Προ­στα­σίας Δεδο­μέ­νων Προ­σω­πι­κού Χαρα­κτήρα καταλήγει-στην απόφαση της- ότι, ενόψει των κιν­δύ­νων, των πιθα­νο­τή­των εμφά­νι­σής τους και της σοβα­ρό­τη­τάς τους για τα δικαιώ­ματα και τις ελευ­θε­ρίες των φυσικών προ­σώ­πων πρέπει οι Τρά­πε­ζες σε κάθε περί­πτωση να λαμ­βά­νουν την συγκα­τά­θεση των πελατών τους προ­κει­μέ­νου να τους χορη­γή­σουν τις κάρτες αλλά και επι­πλέον να τους «παρέ­χουν είτε τη δυνα­τό­τητα απε­νερ­γο­ποί­η­σης της ανέ­πα­φης λει­τουρ­γίας ή, εναλ­λα­κτι­κώς, τη χορή­γηση νέας κάρτας χωρίς ανέπαφη λει­τουρ­γία».

Επι­πλέον, η Αρχή απευ­θύ­νει σύσταση στα πιστω­τικά ιδρύ­ματα στη περί­πτωση που η κάρτα που έχει χορη­γη­θεί σε πελάτη έχει ενερ­γο­ποι­η­μένη τη δυνα­τό­τητα τήρησης ιστο­ρι­κού συναλ­λα­γών στο chip της χωρίς αυτός να έχει δώσει την συγκα­τά­θεσή του, τότε, θα πρέπει να ενη­με­ρω­θεί με κάθε πρό­σφορο τρόπο (π.χ. μέσω μηνύ­μα­τος ηλε­κτρο­νι­κού ταχυ­δρο­μείου, μέσω μηνύ­μα­τος κατά τη σύνδεσή του σε προ­σω­πο­ποι­η­μέ­νες ηλε­κτρο­νι­κές υπη­ρε­σίες του υπεύ­θυ­νου επε­ξερ­γα­σίας, μέσω ταχυ­δρο­μι­κής επι­στο­λής, κτλ.).

Σε κάθε περίπτωση-σύμφωνα με την απόφαση- οι τρά­πε­ζες θα πρέπει να δίνουν στους πελάτες του τη δυνα­τό­τητα να δια­κό­ψουν τη δυνα­τό­τητα τήρησης ιστο­ρι­κού. Επι­πλέον, σε κάθε νέα έκδοση-χορήγηση κάρτας, η εν λόγω δυνα­τό­τητα θα πρέπει να είναι εξ αρχής απε­νερ­γο­ποι­η­μένη, και να ενερ­γο­ποιεί­ται μόνο με συγκα­τά­θεση του χρήστη της, κατα­λή­γει η Αρχή στο σκε­πτικό της από­φα­σης της.