1. Εισαγωγικά
1.1. Μορφολογία της έκθεσης.
Παρουσιάζοντας την ετήσια έκθεση για το έτος 2009, θα ήθελα, καταρχάς, να επισημάνω μία σημαντική καινοτομία σε σχέση με τα προηγούμενα έτη. Η δραστηριότητα της Αρχής, που εκδηλώνεται κυρίως με τα απαντητικά έγγραφα προς τους ερωτώντες ή προσφεύγοντες, αποτυπώνεται κατά τομείς με ευρεία περίληψη του περιεχομένου της απάντησης. Φυσικά στα ευρετηριασμένα κείμενα περιέχονται περιληπτικά οι Αποφάσεις και οι Γνωμοδοτήσεις της Αρχής.
Η καινοτομία αυτή επιτρέπει στους χρήστες της ετήσιας έκθεσης να έχουν εύκολη πρόσβαση, με βάση τον πίνακα περιεχομένων, στη θέση της Αρχής στο συγκεκριμένο θέμα. Με δεδομένο ότι η ετήσια έκθεση δημοσιεύεται και στο διαδίκτυο, οι υπεύθυνοι επεξεργασίας, οι πολίτες, οι δικηγόροι και κάθε άλλος ενδιαφερόμενος αποκτά εύκολη πληροφόρηση για το ζήτημα προστασίας προσωπικών δεδομένων που τον απασχολεί. Περαιτέρω διευκολύνεται το προσωπικό της Αρχής στην έρευνα των διαφόρων ζητημάτων, ενώ παράλληλα έχει την ευχέρεια να παραπέμπει τον ερωτώντα στο κείμενο της έκθεσης για ζήτημα που έχει ήδη κριθεί.
Τέλος, σημειώνω, ότι η έκθεση έγινε περισσότερο ευανάγνωστη με τη χρήση μεγαλύτερης γραμματοσειράς και μονόστηλης γραφής. Απομένει να μελετηθούν στο μέλλον και άλλες καινοτομίες που θα καταστήσουν την έκδοση περισσότερο ελκυστική στον αναγνώστη.
1.2. Στατιστικά στοιχεία.
Το 2009 η Αρχή διεκπεραίωσε 1804 υποθέσεις, στις οποίες συγκαταλέγονται προσφυγές ή καταγγελίες, ερωτήματα, γνωστοποιήσεις και αιτήσεις για άδεια τήρησης αρχείου ευαίσθητων δεδομένων ή διαβίβασης σε χώρες εκτός Ε.Ε. Σε 91 περιπτώσεις η εξέταση των υποθέσεων ολοκληρώθηκε με την έκδοση Απόφασης από την Ολομέλεια ή το Τμήμα.
Ειδικότερα, η Αρχή εξέτασε 276 προσφυγές/καταγγελίες και 691 ερωτήματα υπευθύνων επεξεργασίας ή πολιτών σχετικά με τη νομιμότητα συγκεκριμένης επεξεργασίας ή τον τρόπο εφαρμογής της σχετικής νομοθεσίας. Ερεύνησε 837 γνωστοποιήσεις αρχείων και επεξεργασιών, από τις οποίες οι 459 αφορούσαν στην εγκατάσταση και λειτουργία κλειστών κυκλωμάτων τηλεόρασης. Χορήγησε ή ανανέωσε 87 άδειες τήρησης αρχείων ευαίσθητων δεδομένων, διασύνδεσης αρχείων και διαβίβασης δεδομένων σε χώρες εκτός ΕΕ.
Ακόμη η Αρχή ασχολήθηκε με 39 υποθέσεις πρόσβασης και αντίρρησης σχετικά με το Σύστημα Πληροφοριών Σενγκεν.
Τον ίδιο χρόνο η Αρχή εξέδωσε 3 γνωμοδοτήσεις σε καίρια θέματα που απασχολούν την κοινωνική ζωή και τη δικαστική πρακτική, όπως είναι η λειτουργία κλειστών κυκλωμάτων τηλεόρασης σε δημόσιους χώρους, η ανάλυση DNA και η δημιουργία αρχείου γενετικών αποτυπωμάτων και οι έννομες συνέπειες της εισαγγελικής παραγγελίας για τη χορήγηση δημοσίων εγγράφων.
Οι δύο πρώτες γνωμοδοτήσεις εκδόθηκαν, κατόπιν αιτήματος του Υπουργείου Δικαιοσύνης, σε στενά χρονικά περιθώρια με αφορμή τροπολογίες σε σχέδιο νόμου. Η τρίτη αφορά σε θέμα μεγάλης πρακτικής σημασίας για το οποίο έχουν διατυπωθεί αντιτιθέμενες ερμηνευτικές εκδοχές. Οι τρείς αυτές γνωμοδοτήσεις, ας μου επιτραπεί να υπογραμμίσω, υπερβαίνουν τα συνήθη όρια επιστημονικής τεκμηρίωσης κειμένων των ανεξάρτητων αρχών και αποτελούν υπόδειγμα εργασίας για το μέλλον. Θα ήθελα και από τη θέση αυτή να συγχαρώ και να ευχαριστήσω όσους ελεγκτές της Αρχής συνέβαλαν με τις εισηγήσεις τους στην άρτια επεξεργασία των θεμάτων.
Καθόσον αφορά τους διοικητικούς ελέγχους, πραγματοποιήθηκαν, κατά το προηγούμενο έτος 17 έλεγχοι σε αρχεία υπεύθυνων επεξεργασίας. Οι 7 αφορούσαν τους παρόχους υπηρεσιών ηλεκτρονικών επικοινωνιών Forthnet, Hellas On Line, Wind, Cosmote, OTE, Vodafone και On Telecoms. Αποσκοπούσαν στη διερεύνηση του επιπέδου συμμόρφωσής τους με την Οδηγία 2006/24/ΕΚ και των πρακτικών τους ως προς τα είδη και το χρόνο τήρησης δεδομένων που παράγονται ή υποβάλλονται σε επεξεργασία σε συνάρτηση με την παροχή διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών υπηρεσιών. Ο έλεγχος εργασίας εντάσσονταν σε σχετική δράση της ομάδας εργασίας του άρθρου 29 της Οδηγίας 95/46/ΕΚ που διενεργήθηκε σε όλα τα κράτη μέλη της ΕΕ. Οι υπόλοιποι έλεγχοι αφορούσαν τους υπεύθυνους επεξεργασίας IBM ΕΛΛΑΣ, IBM BTO ΕΛΛΑΣ SA, EKO ABEE, εφημερίδα ‘Οικονομία’, Νέο Μουσείο Ακρόπολης, Αναλυτικά Εργαστήρια Αθηνών Α.Ε., Cosmote-Κινητές Τηλεπικοινωνίες Α.Ε., ΤΕΙΡΕΣΙΑΣ Α.Ε., Εθνικό Τμήμα Συστήματος Πληροφοριών Σένγκεν και ADACOM και πραγματοποιήθηκαν στο πλαίσιο προληπτικού ελέγχου ή εξέτασης προσφυγών/καταγγελιών.
Συμπερασματικά, θα έλεγα, ότι το 2009 υπήρξε μία γόνιμη ποιοτικά και ποσοτικά χρονιά για την Αρχή. Με το ολιγάριθμο επιστημονικό προσωπικό κατόρθωσε να ανταποκριθεί με επιτυχία στα σημαντικά θέματα που κλήθηκε να αντιμετωπίσει. Τούτο οφείλεται εν μέρει και στην λειτουργία της Αρχής με την άτυπη συγκρότηση πέντε γραφείων, στα οποία έχουν κατανεμηθεί τα διάφορα θεματικά αντικείμενα.
Η εμπειρία από την πιλοτική εφαρμογή του Τμήματος Ελεγκτών με Γραφεία είναι θετική. Συνεπώς πρέπει να τροποποιηθεί ο Οργανισμός με τη σύσταση των αντίστοιχων Γραφείων, καθώς και αυτοτελούς Τμήματος Πληροφορικής για την υποστήριξη του ηλεκτρονικού συστήματος αρχειοθέτησης της Αρχής.
1.3. Κυρώσεις
Σε 17 από τις αποφάσεις της Αρχής επιβάλλονται κυρώσεις σε υπεύθυνους επεξεργασίας. Σε οκτώ περιπτώσεις η Αρχή επέβαλε πρόστιμο το ύψος του οποίου κυμάνθηκε από 1.000 έως 65.000 Ευρώ. Συνολικά, η Αρχή επέβαλε πρόστιμα ύψους 137.000 Ευρώ. Σε εννέα περιπτώσεις επιβλήθηκε η κύρωση της προειδοποίησης, σε μία περίπτωση αποφασίστηκε η μερική ανάκληση αδείας και σε τέσσερεις περιπτώσεις η Αρχή διέταξε την ολική ή μερική καταστροφή αρχείων δεδομένων. Η Αρχή επέβαλε τις κυρώσεις για παραβίαση κυρίως των διατάξεων που αναφέρονται στις προϋποθέσεις επεξεργασίας, τη γνωστοποίηση και την υποχρέωση λήψης άδειας επεξεργασίας ευαίσθητων δεδομένων ή διαβίβασης δεδομένων σε χώρες εκτός ΕΕ, την ενημέρωση και το δικαίωμα πρόσβασης και αντίρρησης των υποκειμένων και την ασφάλεια των δεδομένων, αλλά και των διατάξεων της Οδηγίας 1122/2000 της Αρχής για τα κλειστά κυκλώματα τηλεόρασης.
1.4. Ο δικαστικός έλεγχος των αποφάσεων της Αρχής.
Παρουσιάζει ενδιαφέρον να παρουσιάσουμε κάποια στατιστικά στοιχεία από την άσκηση ενδίκων μέσων κατά εκτελεστών πράξεων της Αρχής. Υπενθυμίζουμε ότι η Αρχή νομιμοποιείται ενεργητικά και παθητικά να παρίσταται ενώπιον του αρμόδιου δικαστηρίου. Η Διοίκηση, δια του αρμόδιου Υπουργού, μπορεί επίσης να προσβάλει πράξεις της Αρχής και είναι από τις λίγες περιπτώσεις που η κειμένη νομοθεσία αναγνωρίζει την αποκαλούμενη «ενδοστρεφή» δίκη. Υπό το ισχύον καθεστώς, ο δικαστικός έλεγχος νομιμότητας των αποφάσεων των ανεξάρτητων αρχών γίνεται από το Συμβούλιο της Επικρατείας. Από πρόσφατη έρευνα στη βάση δεδομένων του ανωτάτου δικαστηρίου προέκυψε ότι από το 2000 και εντεύθεν έχουν ασκηθεί 139 αιτήσεις ακυρώσεως. Ορισμένες στρέφονται κατά της ίδιας προσβαλλόμενης πράξης. Από το σύνολο των αιτήσεων 94 είναι εκκρεμείς και σε 14 έχουν υποβληθεί παραιτήσεις. Από τις εκδοθείσες αποφάσεις 26 είναι απορριπτικές, 4 ακυρωτικές και 1 καταργεί τη δίκη. Επίσης στις αιτήσεις αναστολών 8 απορρίπτουν και μόνο 1 δέχεται και αναστέλλει. Αν και ο μεγάλος όγκος των υποθέσεων δεν έχει εκδικασθεί, τα μέχρι τώρα στοιχεία είναι αποθαρρυντικά για τους αμφισβητίες των πράξεων της Αρχής και ενθαρρυντικά για τα μέλη και το προσωπικό της Αρχής.
2. Προληπτική δράση για το έτος 2010.
Όπως σας είχα ανακοινώσει κατά τον εορτασμό της Ευρωπαϊκής Ημέρας Προστασίας Προσωπικών Δεδομένων, η Αρχή αποφάσισε να καθορίσει ως στόχο του 2010 την προληπτική δράση. Η αλματώδης πρόοδος και εφαρμογή της ψηφιακής τεχνολογίας επιβάλλει στην Αρχή να διαδραματίσει ρόλο Προμηθέα και όχι Επιμηθέα. Άλλωστε, είναι ανώφελο ή ακόμη και ανέφικτο να σπαταλάται το ολιγάριθμο επιστημονικό προσωπικό της Αρχής στη διεκπεραίωση ατομικών υποθέσεων που δεν παρουσιάζουν γενικότερο ενδιαφέρον ή που αναφέρονται σε αντικείμενα για τα οποία η Αρχή έχει ήδη λάβει θέση σε ρυθμιστικό ή ατομικό επίπεδο.
Στο πλαίσιο της προληπτικής δράσης η Αρχή επεξεργάζεται ήδη δύο σχέδια οδηγιών για τη λειτουργία συστημάτων βιντεοεπιτήρησης σε ιδιωτικούς χώρους και την πολιτική επικοινωνία. Δύο άλλες οδηγίες προετοιμάζονται για την παροχή συγκατάθεσης με ηλεκτρονικά μέσα και την πρόσβαση πολιτών σε έγγραφα για χρήση ενώπιον διοικητικών και δικαστικών αρχών. Επίσης, στο μέτρο του δυνατού, η Αρχή επιλέγει θέματα επίκαιρα και γενικότερου ενδιαφέροντος, όπως η απογραφή των δημοσίων υπαλλήλων, η αναγραφή του ΑΜΚΑ των ιατρών στα συνταγολόγια, η δημοσιοποίηση ονομάτων ελευθέρων επαγγελματιών για φορολογικές παραβάσεις, η καταπολέμηση της αζήτητης επικοινωνίας (spam).
Για την επίτευξη του στόχου της προληπτικής δράσης απομένει να καταρτισθούν οδηγίες ή να απευθυνθούν συστάσεις και σε άλλους τομείς, όπως στις εργασιακές σχέσεις, στην υγεία, στα μέτρα ασφαλείας, στη χρήση του διαδικτύου από ανηλίκους, στη εμπορία προσωπικών δεδομένων κλπ.
Στα μεγάλα νοσοκομεία της χώρας έχει ήδη αρχίσει έλεγχος από πληροφοριακούς ελεγκτές προκειμένου να διαπιστωθεί η υφιστάμενη πραγματική κατάσταση.
3. Λειτουργικά προβλήματα – προτάσεις.
Τα λειτουργικά προβλήματα της Αρχής περιγράφονται στις σελ. 13-16 της έκθεσης και έχουν επισημανθεί και στις εκθέσεις προηγούμενων ετών. Θα ήθελα να σταθώ σε τρία σημεία:
3.1. Προσωπικό
Από το Μάιο του 2009 υποβλήθηκε προς τους αρμόδιους Υπουργούς πρόταση διπλασιασμού σταδιακά σε μία τριετία των οργανικών θέσεων της Αρχής. Η πρόταση έτυχε της σύμφωνης γνώμης του Υπουργού Εσωτερικών, πριν και μετά την κυβερνητική μεταβολή, αλλά βραδυπορεί προ των πυλών του Υπουργείου Οικονομικών. Τελικά μας διαμηνύθηκε εγγράφως ότι το Υπουργείο συναινεί στην σύσταση 25 νέων θέσεων στην τριετία 2011-2013 και υποβλήθηκε νέα αναθεωρημένη πρόταση. Πρέπει να γίνει κατανοητό ότι η Αρχή είναι σε αδυναμία να ανταποκριθεί στην αποστολή της με το ολιγάριθμο δυναμικό που διαθέτει. Αρκεί να λάβουμε υπόψη ότι ο Συνήγορος του Πολίτη διεκπεραιώνει ανάλογο όγκο εργασίας με πενταπλάσιο επιστημονικό δυναμικό.
Συναφές είναι και το ζήτημα της ένταξης στο ειδικό επιστημονικό προσωπικό των ελεγκτών της Αρχής, οι οποίοι έχουν τα ίδια ή υψηλότερα προσόντα των ομολόγων τους σε άλλες ανεξάρτητες αρχές. Είναι πρόδηλο ότι πρέπει να θεσπιστεί ενιαία βαθμολογική και μισθολογική μεταχείριση για το προσωπικό των πέντε συνταγματικώς κατοχυρωμένων αρχών.
3.2. Τροποποίηση ν.2472/97
Ο ιδρυτικός νόμος της Αρχής πρέπει να τροποποιηθεί σε πολλά σημεία, όπως κατέδειξε η εμπειρία της δεκαετούς εφαρμογής του και όπως επιβάλλουν οι νεώτερες τεχνολογικές εξελίξεις. Γνωρίζω ότι η σχετική πρωτοβουλία πρέπει να ξεκινήσει από τον Πρόεδρο, τα μέλη και το επιστημονικό προσωπικό της Αρχής. Ο όγκος όμως και οι συνθήκες εργασίας της Αρχής δεν επέτρεψαν μέχρι τώρα την ανάληψη της σημαντικής αυτής πρωτοβουλίας για το μέλλον της Αρχής. Ελπίζω ότι από τον προσεχή Οκτώβριο θα βρεθεί λύση που θα δρομολογήσει την τροποποίηση του ν.2472/97. Πάντως η Αρχή, όπως εκτίθεται και στην ετήσια έκθεση, έχει λάβει ορισμένα εσωτερικά οργανωτικά μετρά που βελτίωσαν την αποτελεσματικότητά της.
3.3. Συγχώνευση Α.Π.Δ.Π.Χ. και Α.Δ.Α.Ε.
Όπως είναι γνωστό, το Σύνταγμα μετά την τελευταία αναθεώρηση, προβλέπει στα άρθρα 9Α και 19 παρ. 2 τη διασφάλιση της προστασίας των προσωπικών δεδομένων και του απορρήτου των επικοινωνιών από ανεξάρτητες αρχές. Η συγκρότηση και η λειτουργία της ανεξάρτητης αρχής καταλείπεται στον κοινό νομοθέτη. Η προσωπική μου άποψη, την οποία ασπάζονται και άλλοι δημοσιολόγοι είναι ότι το Σύνταγμα κατοχυρώνει την προστασία των δύο αυτών ατομικών δικαιωμάτων από ανεξάρτητη αρχή και δεν απαιτεί οργανωτικά τη λειτουργία δύο ανεξάρτητων αρχών. Συνεπώς δεν υπάρχει συνταγματικό κώλυμα για τον κοινό νομοθέτη να συγκροτήσει μία ενιαία αρχή για τη διασφάλιση της προστασίας των προσωπικών δεδομένων και του απορρήτου των επικοινωνιών.
Η μέχρι τούδε λειτουργία των δύο ανεξάρτητων αρχών, Α.Π.Δ.Π.Χ. και Α.Δ.Α.Ε. καταδεικνύει ότι υπάρχουν επικαλύψεις, αφού η ηλεκτρονική επικοινωνία επηρεάζει τόσο την επεξεργασία προσωπικών δεδομένων όσο και το απόρρητο της επικοινωνίας. Έτσι η σαφής οριοθέτηση των αρμοδιοτήτων των δύο αρχών είναι δυσχερής, ενώ είναι δυνατόν να επιβληθούν δύο κυρώσεις για την ίδια παραβατική συμπεριφορά. Και ναι μεν το ΣτΕ έχει δεχθεί ότι δεν παραβιάζεται η εφαρμογή της αρχής ne bis in idem, διότι προσβάλλονται δύο αυτοτελή έννομα αγαθά, αλλά έχω ισχυρές αμφιβολίες αν η άποψη αυτή θα υιοθετηθεί από το Ευρωπαϊκό Δικαστήριο Δικαιωμάτων του Ανθρώπου.
Σε μία εποχή δημοσιονομικής κρίσης, νομίζω ότι πρέπει να εκπονηθεί μελέτη για τη σκοπιμότητα συγχώνευσης των δύο αρχών, οι οποίες αυτή τη στιγμή επιδιώκουν παραλλήλως την αύξηση των οργανικών θέσεων. Η συγχώνευση θα εξοικονομήσει χρηματικούς πόρους αλλά και θα αξιοποιήσει καλλίτερα το υφιστάμενο ανθρώπινο δυναμικό.
4. Δραστηριότητα της Αρχής κατά τομείς
Στις σελ. 31 έως 84 της ετήσιας έκθεσης παρουσιάζονται συνοπτικά, σε θεματικές ενότητες, οι θέσεις της Αρχής στα διάφορα ζητήματα που τέθηκαν υπό την κρίση της. Η καινοτομία αυτή, όπως σας είπα, διευκολύνει τους χρήστες αλλά και τα ΜΜΕ, να προβάλουν τα θέματα που ενδιαφέρουν την κοινή γνώμη.
Στη σημερινή συνέντευξη θα περιοριστώ να αναφερθώ σε 6 θέματα, παραπέμποντας κατά τα λοιπά στην ετήσια έκθεση.
4.1. Δημοτικοί σύμβουλοι
Οι δημοτικοί σύμβουλοι, ως μέλη της Διοίκησης και εκφραστές της βούλησης του νομικού προσώπου της τοπικής αυτοδιοίκησης, επέχουν θέση υπεύθυνου επεξεργασίας και δεν είναι τρίτοι, υπό την προϋπόθεση ότι ενεργούν στο πλαίσιο των καθηκόντων τους και όχι για ιδιωτικούς σκοπούς. Συνεπώς δικαιούνται χωρίς επίκληση ειδικού έννομου συμφέροντος να έχουν πρόσβαση σε στοιχεία του ΟΤΑ με προσωπικά δεδομένα των δημοτών, εφόσον τα στοιχεία αυτά είναι απαραίτητα για την άσκηση των καθηκόντων τους. Στα καθήκοντα αυτά ανήκει ο έλεγχος της τηρήσεως των αρχών της νομιμότητας, της διαφάνειας και της χρηστής διοίκησης (βλ. σελ. 45 και 164).
4.2. Υγεία
Ο ασθενής, ως υποκείμενο των δεδομένων, έχει δικαίωμα πρόσβασης στον ιατρικό του φάκελο, που τηρείται από το νοσηλευτικό ίδρυμα, το διαγνωστικό κέντρο, τον ιατρό κλπ υποχρεωτικά, για συγκεκριμένο χρονικό διάστημα. Το δικαίωμα ασκείται είτε αυτοπροσώπως είτε από το νόμιμο αντιπρόσωπο είτε με εξουσιοδοτημένο από τον ασθενή πρόσωπο, το οποίο δεν απαιτείται να είναι συγγενής του. Ο γονέας ανήλικου τέκνου, εφόσον ασκεί τη γονική μέριμνα και ανεξάρτητα αν έχει και την επιμέλεια, δικαιούται να έχει πρόσβαση στον ιατρικό φάκελο του τέκνου, διότι ενεργεί ως νόμιμος αντιπρόσωπος αυτού.
Τα δεδομένα υγείας είναι ευαίσθητα και επιτρέπεται η χορήγηση αυτών σε τρίτους μόνον κατόπιν άδειας της Αρχής. Οι περισσότερες περιπτώσεις τέτοιων αιτημάτων αφορούν τη χρήση ιατρικών εξετάσεων και γνωματεύσεων ως αποδεικτικών μέσων ενώπιον δικαστηρίων. Οι αιτήσεις προέρχονται συνήθως από συζύγους που τελούν σε διάσταση ή από νοσηλευθέντες για την εκδίκαση αγωγών και μηνύσεων κατά ιατρών και νοσηλευτικών ιδρυμάτων. Η Αρχή κρίνει, κατά περίπτωση, με μεγάλη προσοχή κατά πόσο τα αιτούμενα στοιχεία είναι απαραίτητα για την άσκηση ή υπεράσπιση δικαιωμάτων ενώπιον δικαστηρίων. Προκρίνει τη χορήγηση ιατρικών βεβαιώσεων αντί αυτούσιου του ιατρικού φακέλου και αποφεύγει να επιληφθεί όταν τα σχετικά στοιχεία βρίσκονται ήδη στο φάκελο της δικογραφίας, με το αιτιολογικό ότι το αρμόδιο δικαστήριο μπορεί να ζητήσει τα στοιχεία χωρίς προηγούμενη άδεια της Αρχής.
Είναι κοινή η αντίληψη ότι στην περίπτωση αιτημάτων για δικαστική χρήση ιατρικών δεδομένων πρέπει ο νομοθέτης κα καταστήσει αποκλειστικά αρμόδιο το δικαστήριο και να καταργηθεί η παράλληλη αρμοδιότητα της Αρχής (βλ. σελ. 49 έως 52).
4.3. Επιστημονική έρευνα
Η αναζήτηση ευαίσθητων προσωπικών δεδομένων σε δημόσια και ιδιωτικά αρχεία για ερευνητικούς και επιστημονικούς σκοπούς απασχολεί, όλο και περισσότερο, την Αρχή. (πχ έρευνα που συνδέεται με πολιτικά φρονήματα ή ποινικές καταδίκες). Τίθενται σχετικά περιορισμοί για την εξασφάλιση της απαιτούμενης από το νόμο ανωνυμίας των ζώντων προσώπων. Ωστόσο προκαλεί προβληματισμό η περίπτωση που η φύση της έρευνας απαιτεί την αποκάλυψη των ονομάτων. Υπάρχει εκκρεμής υπόθεση, η οποία θέτει το ζήτημα της εναρμονισμένης ερμηνείας του άρθρου 7 παρ. 2, στοιχ. ζ του ν.2472/97 με τις διατάξεις του ν.1946/1991 για τα Γενικά Αρχεία του Κράτους. (βλ. σελ. 56 έως 58).
4.4. Εικονική περιήγηση σε δρόμους πόλεων (street view)
Η γνωστή εταιρεία Google εγκαινίασε την παροχή από το Διαδίκτυο υπηρεσιών τρισδιάστατης εικονικής περιήγησης δρόμων πόλεων. Έχουν γίνει διαβουλεύσεις και υπάρχει αλληλογραφία με την Google, η οποία δεν έχει ακόμη ορίσει εκπρόσωπο της στην Ελλάδα. Η Αρχή είχε την ευκαιρία να επιληφθεί του γενικότερου θέματος, κατόπιν γνωστοποίησης της εταιρείας ΚΑΠΟΥ, η οποία προσφέρει παρόμοιες υπηρεσίες εικονικής περιήγησης σε ελληνικές πόλεις. Με την απόφαση 91/2009 τέθηκαν οι προϋποθέσεις, υπό τις οποίες είναι σύμφωνη με το ν.2472/97 η παροχή της καινοφανούς διαδικτυακής υπηρεσίας της περιήγησης πόλεων.
Ήδη η Ομάδα Εργασίας του άρθρου 29 της Οδηγίας 95/46/ΕΚ ασχολείται με την παροχή των εν λόγω υπηρεσιών σε ευρωπαϊκό επίπεδο (βλ. σελ. 60, 166).
4.5. Συγκρότηση αρχείων δεδομένων με βάση δημοσιοποιημένα στοιχεία
Φαίνεται ότι στην αγορά κυκλοφορούν ηλεκτρονικά προϊόντα με προσωπικά δεδομένα, για το σκοπό της στοχευμένης διαφήμισης Τα δεδομένα συλλέγονται είτε από ιστοσελίδες με τις ηλεκτρονικές διευθύνσεις, είτε από καταλόγους επαγγελματικών ενώσεων, είτε από τηλεφωνικούς καταλόγους του ΟΤΕ. Τα δεδομένα αυτά συνδυάζονται συνήθως με γεωγραφικές πληροφορίες π.χ. οι γιατροί ή οι ηλεκτρολόγοι μίας περιοχής. Στην πρώτη περίπτωση η κατάρτιση του αρχείου είναι παράνομη, διότι το υποκείμενο των δεδομένων, δηλ. ο κάτοχος της ιστοσελίδας, έχει δημοσιοποιήσει τα στοιχεία του για τελείως διαφορετικούς σκοπούς, όπως αποστολή μηνυμάτων προσωπικής επικοινωνίας ή συμμετοχή σε ομάδες συζήτησης. Στη δεύτερη περίπτωση η συλλογή είναι καταρχήν νόμιμη αλλά απαιτείται προηγούμενη ενημέρωση των υποκειμένων των δεδομένων. Στη τρίτη περίπτωση παραβιάζεται το άρθρο 10 παρ. 4 του ν.3471/2006 διότι ο σκοπός που επιδιώκει ο υπεύθυνος επεξεργασίας – πώληση του νέου καταλόγου για πραγματοποίηση στοχευμένων διαφημιστικών ενεργειών – διαφοροποιείται από εκείνο του δημόσιου καταλόγου του ΟΤΕ. (βλ. σελ. 61, 160).
4.6. Εργασιακές σχέσεις
Μία πλούσια δραστηριότητα της Αρχής παρατηρείται στο πεδίο των εργασιακών σχέσεων, όπως το δικαίωμα πρόσβασης των εργαζομένων στα προσωπικά τους δεδομένα, η χορήγηση προσωπικών δεδομένων συναδέλφων τους, ο έλεγχος του ωραρίου, η ανάρτηση πίνακα με στοιχεία των εργαζομένων στο χώρο εργασίας, η απαλλαγή των συμβουλίων εργαζομένων, ως υπευθύνων επεξεργασίας, από την υποχρέωση γνωστοποίησης και λήψης άδειας από την Αρχή (βλ. σελ. 66 επ. και 116)
5. Διεθνείς εξελίξεις
Η Αρχή συμμετέχει ενεργώς με εκπροσώπους της σε διάφορες επιτροπές και όργανα της Ε.Ε. καθώς και σε διεθνείς και ευρωπαϊκές συνόδους των αρχών προστασίας δεδομένων.
Ιδιαίτερη σημασία έχει η δραστηριότητα της επονομαζόμενης «ομάδας εργασίας του άρθρου 29», η οποία συγκροτείται από αντιπροσώπους των αρχών των 27 κρατών μελών της Ε.Ε. και του Ευρωπαίου Επόπτη για την προστασία των προσωπικών δεδομένων. Η Ο.Ε. γνωμοδοτεί ή επεξεργάζεται κείμενα για οποιοδήποτε θέμα προσωπικών δεδομένων απασχολεί τα ενωσιακά και εθνικά όργανα και βεβαίως γνωμοδοτεί για κάθε οδηγία ή μέτρο που αφορά τη διασφάλιση των δικαιωμάτων φυσικών προσώπων από την επεξεργασία προσωπικών δεδομένων. Κατά το έτος 2009 η Ο.Ε. εξέδωσε 11 γνωμοδοτήσεις και κείμενα εργασίας.
5.1. Το μέλλον της Οδηγίας 95/46/ΕΚ
Δέκα πέντε χρόνια μετά την έναρξη της ισχύος της Οδηγίας 95/46/ΕΚ τίθεται ο προβληματισμός αν οι ρυθμίσεις της ανταποκρίνονται στις εξελίξεις της τεχνολογίας και τις προκλήσεις της παγκοσμοποιημένης οικονομίας. Η ανάγκη τροποποίησης της Οδηγίας ανακύπτει και από τη Συνθήκη της Λισαβόνας, η οποία καταργεί τους τρείς πυλώνες.
Η Ευρωπαϊκή Επιτροπή πραγματοποίησε το 2009 δημόσια διαβούλευση με αντικείμενο το μέλλον του ατομικού δικαιώματος στην προστασία των προσωπικών δεδομένων. Στο πλαίσιο αυτό η Ο.Ε. εκπόνησε ένα στρατηγικής σημασίας κείμενο, το οποίο εστιάζεται στα ακόλουθα σημεία: α) Επέκταση της ρύθμισης της Οδηγίας στα θέματα αστυνομικής και δικαστικής συνεργασίας σε ποινικές υποθέσεις (π.χ. διασυνοριακή τρομοκρατία), β) ενίσχυση του θεσμού της διαφάνειας στο διαδίκτυο μέσω της ρητής συγκατάθεσης, γ) θεσμοθέτηση της υποχρέωσης φιλικού για την προστασία των προσωπικών δεδομένων σχεδιασμού των εφαρμογών/υπηρεσιών (privacy by design) δ) καθιέρωση της αρχής της υπευθυνότητας των υπευθύνων επεξεργασίας μέσω διάφορων μέτρων, όπως η πρόβλεψη υπευθύνου για την προστασία των προσωπικών δεδομένων στο εσωτερικό του οργανισμού, η εκπόνηση πολιτικής ασφάλειας και μελέτης επιπτώσεων, η οργάνωση γραφείου παραπόνων και η συμμετοχή σε σχήματα εξωδικαστικής επίλυσης των διαφορών, και ε) η βελτίωση της αποτελεσματικότητας των αρχών προστασίας προσωπικών δεδομένων με τη μείωση της γραφειοκρατίας και την επιλεκτική εξέταση των υποθέσεων.
5.2. Ηλεκτρονικές επικοινωνίες
Τον περασμένο Νοέμβριο τροποποιήθηκε η Οδηγία 2002/58/ΕΚ που μεταφέρθηκε στην ελληνική έννομη τάξη με το ν.3471/2006. Η νέα τροποποιητική Οδηγία (2009/136/ΕΚ) επιφέρει ορισμένες σημαντικές αλλαγές ως προς τις υποχρεώσεις και τα δικαιώματα των παρόχων, τις αρμοδιότητες των αρχών προστασίας δεδομένων, ενισχύοντας την προστασία των συνδρομητών και χρηστών υπηρεσιών ηλεκτρονικών επικοινωνιών. Ειδικότερα, οι συσκευές ταυτοποίησης με τη βοήθεια ραδιοσυχνοτήτων (RFIDs) όταν συνδέονται σε διαθέσιμο στο κοινό δίκτυο ηλεκτρονικών επικοινωνιών καταλαμβάνονται από τις σχετικές διατάξεις της Οδηγίας. Η καταπολέμηση του spam ενισχύεται με την υποχρέωση των παρόχων για τη λήψη κατάλληλων μέτρων προστασίας και τη θέσπιση υπέρ αυτών αγώγιμης αξίωσης κατά των αποστολέων spam. Τα περιστατικά ασφάλειας δηλαδή περιστατικά που αφορούν τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, διαβίβαση ή πρόσβαση σε προσωπικά δεδομένα αναδεικνύονται, με τη θέσπιση υποχρέωσης των παρόχων να τα γνωστοποιούν στις αρμόδιες αρχές ελέγχου και όταν είναι σημαντικά και στα θιγόμενα πρόσωπα. Τέλος, ενισχύονται οι αρμοδιότητες των αρχών ελέγχου, οι οποίες λαμβάνουν και αξιολογούν τις γνωστοποιήσεις περιστατικών ασφάλειας, προτείνουν μέτρα περιορισμού των συνεπειών σε σχέση με το δηλούμενο περιστατικό ασφάλειας, κρίνουν εάν επιβάλλεται η γνωστοποίηση του περιστατικού και στα θιγόμενα πρόσωπα.
5.3. Δικαίωμα πρόσβασης με τη Σύμβαση Εφαρμογής Συνθήκης Σένγκεν
Με τη συμμετοχή της Ελληνικής Αρχής, η Κοινή Αρχή Ελέγχου Σένγκεν εξέδωσε τον Οδηγό άσκησης του δικαιώματος πρόσβασης, ο οποίος περιέχει πληροφορίες σχετικές με την άσκηση του δικαιώματος αυτού, όπως προβλέπεται από το άρθρο 109 της Σύμβασης Εφαρμογής της Συνθήκης Σένγκεν, γενική περιγραφή της διαδικασίας άσκησής του σε όλα τα κράτη μέλη, καθώς και πρακτικές συμβουλές και ενημέρωση για τον τρόπο άσκησης του δικαιώματος αυτού (διευθύνσεις, τηλέφωνα κ.λπ.). Απευθύνεται κυρίως στα υποκείμενα των δεδομένων αλλά και σε όσους έχουν επαγγελματικό ενδιαφέρον και ανάμειξη στο θέμα, όπως για παράδειγμα οι δικηγόροι. Ο Οδηγός αυτός και πρότυπα αιτήσεων άσκησης του δικαιώματος πρόσβασης βρίσκονται ήδη αναρτημένα στην ιστοσελίδα της Ελληνικής Αρχής (www.dpa.gr), τόσο στην ελληνική όσο και στην αγγλική γλώσσα, έτσι ώστε μέσω της δημοσιοποίησης αυτής να επιτευχθεί πληρέστερη ενημέρωση και αποτελεσματικότερη προστασία των υποκειμένων των δεδομένων.
Για τα λοιπά θέματα των διεθνών εξελίξεων σας παραπέμπω στο οικείο κεφάλαιο της ετήσιας έκθεσης (σελ. 88 έως 105).
6. Επεξήγηση σε τρία θέματα
Θα ήθελα να κλείσω τη συνέντευξη με την επισήμανση τριών θεμάτων για τα οποία παρατηρείται μία κάποια σύγχυση στους υπεύθυνους επεξεργασίας, στους πολίτες αλλά και στους δημοσιογράφους.
6.1. Η επεξεργασία και η ελεύθερη χρήση προσωπικών δεδομένων
Η έννοια των προσωπικών δεδομένων είναι πολύ ευρεία, αφού επεκτείνεται σε κάθε πληροφορία που μπορεί να προσδιορίσει αμέσως ή εμμέσως συγκεκριμένο εν ζωή φυσικό πρόσωπο. Περαιτέρω η προστασία των προσωπικών δεδομένων περιορίζεται με την παρεμβολή της έννοιας του αρχείου, ως διαρθρωμένου συνόλου δεδομένων προσωπικού χαρακτήρα. Ωστόσο ο περιορισμός αυτός καθίσταται σχετικός στη συνήθη πλέον περίπτωση του ηλεκτρονικού αρχείου, διότι η αυτοματοποιημένη μέθοδος συνιστά εξ ορισμού επεξεργασία προσωπικών δεδομένων που εμπίπτει στην αρμοδιότητα της Αρχής.
Για τη νομιμότητα της επεξεργασίας απαιτείται κατά κανόνα η συγκατάθεση του υποκειμένου, αλλά ο κανόνας αυτός συνοδεύεται από πολλές εξαιρέσεις που επιτρέπουν την επεξεργασία για συγκεκριμένο σκοπό. Στη Διοίκηση και στους πολίτες υπάρχει συχνά η εσφαλμένη εντύπωση ότι, άπαξ και ένα στοιχείο θεωρηθεί προσωπικό δεδομένο, απαγορεύεται η συλλογή του ή η διάδοσή του. Όταν όμως ο σκοπός της επεξεργασίας προβλέπεται από το νόμο ή η επεξεργασία εξυπηρετεί άλλα νόμιμα δικαιώματα, η συγκατάθεση του υποκειμένου δεν απαιτείται. Έτσι εσφαλμένα αποδίδεται στην Αρχή η μομφή ότι παρεμποδίζει την ελεύθερη κυκλοφορία των πληροφοριών. Αυτό που ερευνά η Αρχή είναι κυρίως αν η συλλογή και επεξεργασία της πληροφορίας είναι πρόσφορη και αναγκαία για το συγκεκριμένο σκοπό.
Η έρευνα αυτή έγινε και κατά την πρόσφατη περίπτωση της απογραφής για τη μισθοδοσία του προσωπικού του Δημοσίου. Είναι θλιβερό το γεγονός ότι στέλεχος μεγάλης απογευματινής εφημερίδας, αγνοώντας παντελώς την έννοια των προσωπικών δεδομένων και το μηχανισμό της νόμιμης επεξεργασίας τους, εκτράπηκε σε ανεπίτρεπτες λοιδορίες κατά της Αρχής, διότι έκρινε κάποια στοιχεία απρόσφορα και μη αναγκαία για τη συγκρότηση αρχείου μισθοδοσίας των δημοσίων υπαλλήλων.
6.2. Κλειστά κυκλώματα τηλεόρασης σε δημόσιους χώρους
Όπως ανέφερα, κατά το προηγούμενο έτος, η Αρχή με την υπ’ αριθ. 1/2009 γνωμοδό-τηση διατύπωσε αιτιολογημένες παρατηρήσεις σε σχέδιο τροπολογίας που περιοριζόταν να αφαιρέσει από την ελεγκτική αρμοδιότητα της Αρχής τη λειτουργία κλειστών κυκλωμάτων τηλεόρασης σε δημόσιους χώρους και περαιτέρω να ορίσει το χρονικό διάστημα διατηρήσεως του συλλεγόμενου υλικού. Η Αρχή χαρακτήρισε τη τροπολογία ως αποθετική (αρνητική) ρύθμιση που δεν είναι συμβατή με την ΕΣΔΑ και το Σύνταγμα. Κατόπιν ερωτήματος του Υπουργού Δικαιοσύνης για το πώς θα μπορούσε να αντικατασταθεί η εν λόγω διάταξη με ρύθμιση σύμφωνη με το Σύνταγμα, την ΕΣΔΑ και το ενωσιακό δίκαιο, η Αρχή εξέδωσε τη γνωμοδότηση 2/2010. Με την τελευταία γνωμοδότηση η Αρχή πρότεινε συγκεκριμένη νομοθετική ρύθμιση και, συμπληρώνοντας την προηγούμενη γνωμοδότηση, διατύπωσε μία σειρά σκέψεων για τη νόμιμη λειτουργία από δημόσιες αρχές συσκευών βιντεοεπιτήρησης σε δημόσιους χώρους για συγκεκριμένους σκοπούς.
Είναι προφανές ότι δεν υπάρχει οποιαδήποτε αντίθεση μεταξύ των δύο γνωμοδοτήσεων, εφόσον η Αρχή δεν απέκλεισε τη νομική δυνατότητα εγκατάστασης και λειτουργίας κλειστών κυκλωμάτων τηλεόρασης σε δημόσιους χώρους για την πρόληψη και καταστολή της εγκληματικότητας.
Έτσι, νομίζω, ότι είναι εσφαλμένη η εντύπωση που σχημάτισε μερίδα του τύπου ότι υπάρχει μεταστροφή στις θέσεις της Αρχής και ότι επιτρέπονται παντού οι κάμερες. Στο σημείο αυτό, πρέπει να προσθέσω ότι είναι διαφορετικό το ζήτημα της εγκατάστασης καμερών, από τους ιδιοκτήτες ή διαχειριστές ιδιωτικών χώρων προσπελάσιμων στο κοινό, για την προστασία προσώπων και αγαθών. Η Αρχή έχει πλούσια «νομολογία» για τις διάφορες χρήσεις που ήδη κωδικοποιείται με την έκδοση σχετικής Οδηγίας.
6.3. Βιομετρικά δεδομένα
Ως βιομετρικές μέθοδοι νοούνται οι τεχνικές πιστοποίησης της ταυτότητας του ατόμου μέσω ανάλυσης ενός ή περισσοτέρων φυσικών (π.χ. δακτυλικό αποτύπωμα, ίριδα του ματιού, γεωμετρία του προσώπου) ή/και δυναμικών (π.χ. τρόπος βαδίσματος ή πραγματοποίησης συγκεκριμένων κινήσεων) χαρακτηριστικών του. Τα βιομετρικά δεδομένα, που εξάγονται κατά την εφαρμογή των ανωτέρω μεθόδων, αποτελούν δεδομένα προσωπικού χαρακτήρα. Λόγω του αποκλειστικού δεσμού μεταξύ του κάθε ατόμου και των βιομετρικών του δεδομένων, η βιομετρία θεωρείται σήμερα ως αρκετά ακριβής και αποδοτική μέθοδος ταυτοποίησης, ιδίως στο πλαίσιο συστημάτων ελέγχου πρόσβασης κτιριακών εγκαταστάσεων ή/και ηλεκτρονικών υποδομών.
Η ιδιαιτερότητα όμως αυτή των βιομετρικών δεδομένων δημιουργεί συγχρόνως ανησυχίες ως προς την επεξεργασία τους, καθώς η επισφαλής ή κακόβουλη συλλογή και περαιτέρω χρήση τους μπορεί να οδηγήσει στην παραβίαση θεμελιωδών δικαιωμάτων και ελευθεριών του ατόμου, όπως στην συνεχή παρακολούθηση ή ανάλυση της συμπεριφοράς του.
Η Αρχή, λαμβάνοντας υπόψη τα παραπάνω, θέτει ως κριτήριο νομιμότητας της λειτουργίας των βιομετρικών συστημάτων, την αρχή της αναλογικότητας, κατά την οποία πρέπει κάθε φορά να εξετάζεται αν η επεξεργασία των συγκεκριμένων δεδομένων είναι πρόσφορη και αναγκαία για τον επιδιωκόμενο σκοπό, ο οποίος δεν μπορεί να επιτευχθεί με λιγότερο επαχθή για το πρόσωπο μέσα. Υπό το πρίσμα αυτό, γίνεται καταρχήν διάκριση ανάμεσα στις περιπτώσεις που αφορούν την πιλοτική λειτουργία ερευνητικών βιομετρικών συστημάτων από εκείνες που αφορούν τη λειτουργία βιομετρικών συστημάτων σε πραγματικές συνθήκες.
Στην πρώτη περίπτωση η Αρχή, θεωρώντας την έρευνα ως τον επιδιωκόμενο σκοπό επεξεργασίας, εξετάζει περαιτέρω την αναλογικότητα ως προς τον τρόπο και το χρονικό διάστημα διεξαγωγής των πειραμάτων. Η Αρχή ενέκρινε πρόσφατα, με την απόφαση 31/2010, την λειτουργία πιλοτικού βιομετρικού συστήματος, που στοχεύει στην ανάπτυξη μίας φιλικής προς την ιδιωτικότητα μεθόδου βιομετρίας βάσει τεχνικών μονόδρομης κρυπτογράφησης, αποκλειστικά για ερευνητικούς σκοπούς σε συγκεκριμένες εγκαταστάσεις του αεροδρομίου «Μακεδονία» και για περιορισμένο χρονικό διάστημα.
Αντίθετα, όταν η λειτουργία του βιομετρικού συστήματος γίνεται σε πραγματικές συνθήκες, π.χ. με σκοπό τον έλεγχο πρόσβασης σε εγκαταστάσεις, η Αρχή σταθμίζει την αναλογικότητα της επεξεργασίας με βάση i) την κρισιμότητα και τις απαιτήσεις ασφαλείας των εγκαταστάσεων (π.χ. αν οι απαιτήσεις είναι ιδιαίτερα υψηλές και δεν μπορούν να ικανοποιηθούν με άλλα ηπιότερα μέσα), ii) την αρχιτεκτονική του βιομετρικού συστήματος που θα πρέπει να είναι όσο το δυνατό περισσότερο φιλική προς την ιδιωτικότητα (π.χ. με αποθήκευση των δεδομένων σε κάρτες και όχι σε κεντρική βάση), και iii) τα λαμβανόμενα μέτρα ασφάλειας (π.χ. κρυπτογράφηση των δεδομένων). Κατά τον τρόπο αυτό, η Αρχή έχει ήδη εξετάσει εφαρμογές βιομετρικών συστημάτων σε πραγματικές συνθήκες και σε ορισμένες περιπτώσεις έχει επιβάλει τη διακοπή της λειτουργίας τους, ως υπερβαίνουσα το σκοπό της επεξεργασίας (βλ. αποφάσεις 245/9/2000, 52/2003, 50/2007, 62/2007, 74/2009), ενώ σε άλλες έχει επιτρέψει την λειτουργία τους υπό όρους (βλ. αποφάσεις 9/2003, 39/2004, 52/2008, 56/2009).
Τέλος, καθόσον αφορά το νέο σύστημα εισόδου-εξόδου της Εθνικής Τράπεζας, τη λειτουργία του οποίου η Αρχή έχει επιτρέψει προσωρινά σε ορισμένα καταστήματα με την απόφαση 45/2009, επισημαίνεται ότι, δεν πρόκειται για γνήσια βιομετρική μέθοδο ταυτοποίησης ατόμων, καθώς, τα λαμβανόμενα από την φωτογραφική εικόνα γεωμετρικά στοιχεία του προσώπου δεν αποθηκεύονται, αλλά συγκρίνονται σε χρόνο δευτερολέπτου με υφιστάμενα πρότυπα. Με άλλα λόγια, το ανωτέρω σύστημα δεν χρησιμοποιείται για την αναγνώριση της ταυτότητας των εισερχομένων στα καταστήματα της τράπεζας προσώπων με χρήση βιομετρικών δεδομένων, αλλά για τη διαπίστωση της εισόδου προσώπων με ακάλυπτο το πρόσωπο.
Χρίστος Γεραρής
Πρόεδρος της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα
