Άρθρο 6.1.ε : Νομική βάση εκπλήρωσης δημόσιου καθήκοντος

Η Αρχή απορρίπτει ως αβάσιμο τον ισχυρισμό του 401 ΓΣΝΑ ότι δεν έχει αρμοδιότητα να επιληφθεί της καταγγελίας σε βάρος του για λόγους εθνικής ασφάλειας, δυνάμει του άρθρου 10 του νόμου 4624/2019. Η Αρχή απορρίπτει ως αβάσιμη την καταγγελία του υποκειμένου των δεδομένων κατά του 401 ΓΣΝΑ και κρίνει ότι η επεξεργασία των προσωπικών δεδομένων που πραγματοποιείται στην πύλη του Νοσοκομείου είναι νόμιμη. Η Αρχή κρίνει ότι ο ορισμός ενός ΥΠΔ στο Γενικό Επιτελείο Εθνικής Άμυνας δεν διασφαλίζει την αποτελεσματική άσκηση των καθηκόντων του για την υπαγόμενη σ΄ αυτό μονάδα, ήτοι το 401 ΓΣΝΑ, και καλεί το 401 ΓΣΝΑ να μεριμνήσει για τον ορισμό ΥΠΔ κατά τρόπο που να ανταποκρίνεται στις απαιτήσεις της νομοθεσίας περί προσωπικών δεδομένων. 

Η Αρχή εξέδωσε την γνωμοδότηση 2/2020 κατόπιν αιτήματος του ΑΣΕΠ σχετικά με υπολειπόμενο κίνδυνο κατά την ανάρτηση στον διαδικτυακό του τόπο (www.asep.gr) πινάκων κατάταξης και διοριστέων, οι οποίοι δύναται να περιλαμβάνουν ειδικές κατηγορίες δεδομένων. Η Αρχή έκρινε ότι με την ανάρτηση αυτή ικανοποιείται το συνταγματικά κατοχυρωμένο δικαίωμα στη διαφάνεια. Προκειμένου, όμως, να είναι σύμφωνη με τους κανόνες προστασίας δεδομένων, η ανάρτηση αυτή πρέπει να ενεργείται υπό όρους ήτοι: Οι συνυποψήφιοι έχουν πρόσβαση σε όλα τα στοιχεία (τόσο των ιδίων όσο και των λοιπών υποψηφίων) που περιέχουν οι ως άνω πίνακες με τη χρήση μοναδικού ατομικού λογαριασμού πρόσβασης. Το ευρύτερο κοινό ενημερώνεται για τα αποτελέσματα των μικτών πινάκων με απάλειψη των ειδικών κατηγοριών δεδομένων από τα πεδία των αντίστοιχων στηλών και αντικατάσταση των επικεφαλίδων τους χωρίς επεξηγηματική ένδειξη της συγκεκριμένης κατηγορίας. Το κοινό επίσης ενημερώνεται για τα αποτελέσματα των πινάκων ειδικών κατηγοριών χωρίς τη συμπερίληψη σε αυτούς των στοιχείων ταυτοποίησης αλλά με παράθεση των υπολοίπων στοιχείων. Τα ως άνω προτεινόμενα μέτρα ισχύουν κατ’ αναλογία για την ανάρτηση των επίμαχων πινάκων και από τον εκάστοτε δημόσιο φορέα πρόσληψης, είτε στο κατάστημα της υπηρεσίας του είτε στον διαδικτυακό του τόπο.

Η Αρχή, κατόπιν της υπ’ αρ. 5/2020 απόφασης της Ολομέλειάς της, εξέδωσε κείμενο Κατευθυντήριων Γραμμών αναφορικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της διαχείρισης του COVID-19. Με το κείμενο αυτό η Αρχή προδιέγραψε τις νομικές δυνατότητες επεξεργασίας από τις αρμόδιες δημόσιες αρχές και τους ιδιωτικούς φορείς, ως υπευθύνους επεξεργασίας, βάσει του Γενικού Κανονισμού Προστασίας Δεδομένων 2016/679, του νόμου 4624/2019 και της λοιπής σχετικής νομοθεσίας, υπό τις συνθήκες ανάγκης της αντιμετώπισης της εξάπλωσης του ιού. Μεταξύ άλλων, για το θέμα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα εκ μέρους των εργοδοτών για τον σκοπό του περιορισμού διάδοσης του COVID-19, η Αρχή αναφέρεται σε συγκεκριμένα ζητήματα σύννομης επεξεργασίας δεδομένων προσωπικού χαρακτήρα των εργαζομένων. Ακόμα, η Αρχή επισήμανε τους κανόνες επεξεργασίας προσωπικών δεδομένων συγγενών ή οικείων ατόμων θανόντων από τον κορωνοϊό COVID-19, καθώς και τους κανόνες επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα ίδια τα υποκείμενα-νοσούντες του κορωνοϊού. Τέλος, η Αρχή ασχολήθηκε με το ζήτημα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα για δημοσιογραφικούς σκοπούς.

Η Αρχή εξέτασε αυτεπάγγελτα κατατεθέν Σχέδιο Νόμου του Υπουργείου Μεταφορών σε σχέση με την αναβάθμιση της διαδικασίας εξέτασης υποψηφίων οδηγών. Έκρινε ότι κατ’ αρχήν υπάρχει λόγος δημοσίου συμφέροντος που δικαιολογεί την επεξεργασία, αλλά επισήμανε ειδικότερα ζητήματα σε σχέση με το προτεινόμενο μέτρο. Κατ’ αρχάς, διαπίστωσε ότι δεν προκύπτει από το προτεινόμενο νομοθέτημα η αναγκαιότητα της καταγραφής με οπτικοακουστικά μέσα της θεωρητικής εξέτασης. Περαιτέρω, έκρινε ότι με το νομοθέτημα πρέπει να ορίζονται ορθά ο υπεύθυνος και οι εκτελούντες την επεξεργασία και να διασφαλιστεί ότι ο χρησιμοποιούμενος εξοπλισμός θα λειτουργεί μόνο κατά τη διάρκεια των εξετάσεων. Επισήμανε, επίσης, ότι το νομοθέτημα δεν κάνει αναφορά στις αρχές της προστασίας των δεδομένων ήδη από τον σχεδιασμό, ούτε έχει προβλέψει την υποχρέωση εκτίμησης αντικτύπου σχετικά με την προστασία δεδομένων, τα οποία είναι σκόπιμο να αντιμετωπίζονται σε αρχικό στάδιο. Με τη γνωμοδότηση τίθεται επίσης ζήτημα ικανοποίησης της αρχής του χρονικού περιορισμού με μείωση του χρόνου τήρησης των δεδομένων. Τέλος, η Αρχή επισήμανε και διατάξεις που μπορεί να βελτιωθούν νομοτεχνικά.

Η Αρχή απέρριψε την καταγγελία του Συνδέσμου Ιδιωτικών Σχολείων σχετικά με την καταχώριση δεδομένων μαθητών/γονέων-κηδεμόνων και εκπαιδευτικών των ιδιωτικών σχολείων στην ενιαία κεντρική βάση δεδομένων του ΥΠΕΘ με την ονομασία «mySchool». Ειδικότερα έκρινε ότι είναι νόμιμη η καταχώριση στο σύστημα «mySchool» μόνο των δεδομένων των εκπαιδευτικών των ιδιωτικών σχολείων που κρίνονται αναγκαία για τον σκοπό της άσκησης της ιεραρχικής και διαβαθμισμένης εποπτείας του ΥΠΕΘ και των δεδομένων των μαθητών/γονέων-κηδεμόνων των ιδιωτικών σχολείων, η συλλογή και τήρηση των οποίων προβλέπεται ειδικώς από το ισχύον νομοθετικό καθεστώς ή είναι αναγκαία για την άσκηση των αρμοδιοτήτων εποπτείας των οικείων υπηρεσιών του ΥΠΕΘ.

Η Αρχή, κατόπιν αναφορών της ΟΙΕΛΕ και της ΔΟΕ και καταγγελίας γονέα, εξέτασε τη νομιμότητα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά την εφαρμογή διαδικασιών σύγχρονης εξ αποστάσεως εκπαίδευσης από σχολικές μονάδες πρωτοβάθμιας και δευτεροβάθμιας εκπαίδευσης, η οποία υλοποιήθηκε κατόπιν της υπ’ αριθ. 57233/Υ1 Υπουργικής απόφασης. Προ της εν λόγω Υ.Α. το Υπουργείο Παιδείας και Θρησκευμάτων διενήργησε μελέτη εκτίμησης αντικτύπου (ΕΑΠΔ), όπως προβλέπεται στο άρθρο 63 του ν. 4686/20 και το άρθρο 35 του ΓΚΠΔ. Η Αρχή, έκρινε νόμιμη τη διαδικασία σύγχρονης εξ αποστάσεως εκπαίδευσης, διαπιστώνοντας όμως ότι η διενεργηθείσα ΕΑΠΔ δεν έχει εξετάσει με πληρότητα μια σειρά από παράγοντες και κινδύνους σε σχέση με τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων. Αναγνωρίζοντας την αναγκαιότητα της σύγχρονης εξ αποστάσεως εκπαίδευσης, ιδίως σε περιπτώσεις πανδημίας, η Αρχή παρείχε γνώμη προς το Υπουργείο, ώστε να αντιμετωπισθούν οι ανωτέρω ελλείψεις και το κάλεσε, όπως εντός αποκλειστικού διαστήματος τριών μηνών προβεί στις απαραίτητες ενέργειες τροποποίησης και συμπλήρωσης της ΕΑΠΔ και των λαμβανόμενων μέτρων.