Άρθρο 35 : Εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων

Η Αρχή γνωμοδότησε σε σχέση με Σχέδιο Νόμου του Υπουργείου Οικονομικών για την ενσωμάτωση της Οδηγίας (ΕΕ) 2019/1153 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για τη θέσπιση κανόνων με σκοπό τη διευκόλυνση της χρήσης χρηματοοικονομικών και άλλων πληροφοριών για την πρόληψη, την ανίχνευση, τη διερεύνηση ή τη δίωξη ορισμένων ποινικών αδικημάτων και την κατάργηση της απόφασης 2000/642/ΔΕΥ του Συμβουλίου. Η Αρχή διατύπωσε παρατηρήσεις σε συγκεκριμένες διατάξεις του Σχεδίου Νόμου, οι οποίες χρήζουν βελτίωσης ή/και αποσαφήνισης.

Η Αρχή εξέδωσε τη γνωμοδότηση 5/2020, κατόπιν αιτήματος του Υπουργείου Εθνικής Άμυνας, επί σχεδίου νόμου αναφορικά με την επεξεργασία προσωπικών δεδομένων από τις αποστολές των Ενόπλων Δυνάμεων (ΕΔ) εκτός επικράτειας, με κύριο σκοπό τη  συλλογή και περαιτέρω επεξεργασία προσωπικών δεδομένων για την αναγνώριση - αποκάλυψη και ταυτοποίηση ατόμων που συνιστούν απειλή για τις εθνικές και τις συμμαχικές δυνάμεις, καθώς και εν γένει για την άμυνα και ασφάλεια της χώρας.

Η Αρχή, με την εν λόγω Γνωμοδότηση, έκρινε ότι καίτοι το ειδικότερο αντικείμενο του νομοσχεδίου, στον βαθμό που αφορά τον τομέα της εθνικής ασφάλειας, είναι σαφώς εκτός πεδίου εφαρμογής τόσο του ΓΚΠΔ όσο και της Οδηγίας 2016/680, εν τούτοις με το εν λόγω νομοσχέδιο διαφαίνεται η βούληση του εθνικού νομοθέτη να εντάξει εκούσια στο νομικό καθεστώς του ΓΚΠΔ και στην εποπτεία από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα την σκοπούμενη επεξεργασία και η Αρχή αποτιμά ως θετική των εν λόγω επιλογή του νομοθέτη. Εξάλλου, η επεξεργασία προσωπικών δεδομένων που συντελείται στον τομέα της Εθνικής Άμυνας ουδόλως εκφεύγει συνολικά από το πεδίο εφαρμογής της νομοθεσίας για την προστασία δεδομένων προσωπικού χαρακτήρα.

Βάσει των ανωτέρω, η Αρχή προσδιόρισε συγκεκριμένα σημεία του σχεδίου νόμου τα οποία χρήζουν βελτίωσης ή/και αποσαφήνισης.

Απόρριψη αιτήματος εκδόσεως προσωρινής διαταγής περί αναστολής διενέργειας ηλεκτρονικής ψηφοφορίας για την εκλογή αιρετών εκπροσώπων στα υπηρεσιακά συµβούλια των εκπαιδευτικών Πρωτοβάθµιας και ∆ευτεροβάθµιας εκπαίδευσης λόγω του ότι δεν συντρέχει περίπτωση απειλής κινδύνου για τα προσωπικά δεδοµένα των θιγόμενων υποκειμένων από τη σκοπούμενη επεξεργασία. Με την εν λόγω απόφαση  αιτιολογείται το γεγονός αφενός του ότι δεν προκύπτει το ενδεχόμενο να πλήττεται ανεπανόρθωτα κάποιο εκ των δικαιωμάτων των υποκειμένων των δεδομένων διά της χρησιμοποίησης της μεθόδου της ηλεκτρονικής ψηφοφορίας, αφετέρου του ότι δεν πρόκειται για περιστατικό παραβίασης με την έννοια του άρθρου 4 παρ. 12 του ΓΚΠΔ. Επιπλέον, εκτίθενται οι λόγοι για τους οποίους η μη διενέργεια της τυχόν απαιτούμενης μελέτης εκτίμησης αντικτύπου δεν συνιστά λόγο απαγόρευσης της επεξεργασίας.

Η Αρχή εξέδωσε την γνωμοδότηση 2/2020 κατόπιν αιτήματος του ΑΣΕΠ σχετικά με υπολειπόμενο κίνδυνο κατά την ανάρτηση στον διαδικτυακό του τόπο (www.asep.gr) πινάκων κατάταξης και διοριστέων, οι οποίοι δύναται να περιλαμβάνουν ειδικές κατηγορίες δεδομένων. Η Αρχή έκρινε ότι με την ανάρτηση αυτή ικανοποιείται το συνταγματικά κατοχυρωμένο δικαίωμα στη διαφάνεια. Προκειμένου, όμως, να είναι σύμφωνη με τους κανόνες προστασίας δεδομένων, η ανάρτηση αυτή πρέπει να ενεργείται υπό όρους ήτοι: Οι συνυποψήφιοι έχουν πρόσβαση σε όλα τα στοιχεία (τόσο των ιδίων όσο και των λοιπών υποψηφίων) που περιέχουν οι ως άνω πίνακες με τη χρήση μοναδικού ατομικού λογαριασμού πρόσβασης. Το ευρύτερο κοινό ενημερώνεται για τα αποτελέσματα των μικτών πινάκων με απάλειψη των ειδικών κατηγοριών δεδομένων από τα πεδία των αντίστοιχων στηλών και αντικατάσταση των επικεφαλίδων τους χωρίς επεξηγηματική ένδειξη της συγκεκριμένης κατηγορίας. Το κοινό επίσης ενημερώνεται για τα αποτελέσματα των πινάκων ειδικών κατηγοριών χωρίς τη συμπερίληψη σε αυτούς των στοιχείων ταυτοποίησης αλλά με παράθεση των υπολοίπων στοιχείων. Τα ως άνω προτεινόμενα μέτρα ισχύουν κατ’ αναλογία για την ανάρτηση των επίμαχων πινάκων και από τον εκάστοτε δημόσιο φορέα πρόσληψης, είτε στο κατάστημα της υπηρεσίας του είτε στον διαδικτυακό του τόπο.

Αίτηση της ΤΕΙΡΕΣΙΑΣ ΑΕ να εγκρίνει η Αρχή την αυτόνομη-άμεση πρόσβαση των Εταιριών Διαχείρισης Απαιτήσεων, ως υπευθύνων επεξεργασίας (ή από κοινού υπευθύνων) όταν ενεργούν για λογαριασμό των Εταιρειών Απόκτησης Απαιτήσεων (πέραν της τυχόν έμμεσης πρόσβασής τους ως εκτελούντων την επεξεργασία όταν ενεργούν για λογαριασμό των τραπεζών) στα αρχεία της ΤΕΙΡΕΣΙΑΣ (αρχεία ΣΑΥ και ΣΣΧ), διευρύνοντας ουσιαστικά τους αποδέκτες των εν λόγω αρχείων.

Υπό τον ΓΚΠΔ, ο υπεύθυνος επεξεργασίας, στην προκειμένη περίπτωση, η ΤΕΙΡΕΣΙΑΣ ΑΕ και η αιτούσα την αυτόνομη, ως υπεύθυνη επεξεργασίας, πρόσβαση στα εν λόγω αρχεία της ΤΕΙΡΕΣΙΑΣ Εταιρεία Διαχείρισης Απαιτήσεων, πρέπει να διενεργήσουν, σύμφωνα με τα αναφερόμενα στην απόφαση της Αρχής, εκτίμηση αντικτύπου των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία δεδομένων προσωπικού χαρακτήρα.

Η Αρχή, με την υπ’ αριθμ. 65/2018 απόφασή της, αποφάσισε, σύμφωνα με το άρθρο 64 παρ. 7 του ΓΚΠΔ, την τροποποίηση του καταλόγου ΕΑΠΔ βάσει των συστάσεων της γνώμης 7/2018 του ΕΣΠΔ και την ανακοίνωσή του στο ΕΣΠΔ. Συγκεκριμένα, η Αρχή έκρινε ομόφωνα, αφού έλαβε υπόψη και εξέτασε τις εν λόγω συστάσεις, ότι η γνώμη 7/2018 του ΕΣΠ∆ πρέπει να γίνει δεκτή, να επέλθουν οι αναγκαίες μεταβολές στο σχέδιο του καταλόγου που είχε υποβάλει αρχικά στο ΕΣΠ∆ και να ανακοινωθεί ο τροποποιημένος κατάλογος στο ΕΣΠ∆. Για τον σκοπό αυτό, α) προσέθεσε αναφορά ότι ο κατάλογος ΕΑΠ∆ βασίζεται στις κατευθυντήριες γραμμές WP248, τις οποίες συμπληρώνει και εξειδικεύει περαιτέρω, β) αφαίρεσε τα ποσοτικά κριτήρια που είχαν περιληφθεί στο αρχικό σχέδιο καταλόγου για τον ορισμό της μεγάλης κλίμακας επεξεργασίας και προσέθεσε αναφορά στους σχετικούς ορισμούς των κατευθυντήριων γραμμών WP243 και WP248 και γ) αναμόρφωσε το σημείο 2.2.5 του καταλόγου με αφαίρεση της πρόβλεψης για τη χρήση εμφυτευμάτων, δεδομένου ότι η επεξεργασία δεδομένων υγείας με τη χρήση εμφυτευμάτων καλύπτεται από το σημείο 2.1 και σε συνδυασμό με το σημείο 3.1. Η απόφαση 65/2018 της Αρχής με τον κατάλογο ΕΑΠΔ δημοσιεύτηκε στο ΦΕΚ Β ́ 1622/10-5-2019. Ο κατάλογος αυτός ομαδοποιεί και εξειδικεύει περαιτέρω τα είδη των πράξεων επεξεργασίας που υπόκεινται στην απαίτηση για διενέργεια ΕΑΠ∆ με παράθεση και ενδεικτικών παραδειγμάτων. Ο εν λόγω κατάλογος δεν είναι εξαντλητικός και δεν αίρεται ούτε μεταβάλλεται η υποχρέωση να διενεργείται ΕΑΠΔ σε κάθε περίπτωση συνδρομής των προϋποθέσεων του άρθρου 35 παρ. 1 του ΓΚΠΔ, ούτε η γενικότερη υποχρέωση του υπευθύνου επεξεργασίας να συμμορφώνεται με το σύνολο των υποχρεώσεων που απορρέουν από τον ΓΚΠΔ. Ο εν λόγω κατάλογος βασίζεται στο άρθρο 35 του ΓΚΠ∆ και, ιδίως, στις παρ. 1 και 3 αυτού καθώς και στις κατευθυντήριες γραμμές για την εκτίμηση αντικτύπου (WP248), τις οποίες συμπληρώνει και εξειδικεύει περαιτέρω.

Η Αρχή εξέτασε αυτεπάγγελτα κατατεθέν Σχέδιο Νόμου του Υπουργείου Μεταφορών σε σχέση με την αναβάθμιση της διαδικασίας εξέτασης υποψηφίων οδηγών. Έκρινε ότι κατ’ αρχήν υπάρχει λόγος δημοσίου συμφέροντος που δικαιολογεί την επεξεργασία, αλλά επισήμανε ειδικότερα ζητήματα σε σχέση με το προτεινόμενο μέτρο. Κατ’ αρχάς, διαπίστωσε ότι δεν προκύπτει από το προτεινόμενο νομοθέτημα η αναγκαιότητα της καταγραφής με οπτικοακουστικά μέσα της θεωρητικής εξέτασης. Περαιτέρω, έκρινε ότι με το νομοθέτημα πρέπει να ορίζονται ορθά ο υπεύθυνος και οι εκτελούντες την επεξεργασία και να διασφαλιστεί ότι ο χρησιμοποιούμενος εξοπλισμός θα λειτουργεί μόνο κατά τη διάρκεια των εξετάσεων. Επισήμανε, επίσης, ότι το νομοθέτημα δεν κάνει αναφορά στις αρχές της προστασίας των δεδομένων ήδη από τον σχεδιασμό, ούτε έχει προβλέψει την υποχρέωση εκτίμησης αντικτύπου σχετικά με την προστασία δεδομένων, τα οποία είναι σκόπιμο να αντιμετωπίζονται σε αρχικό στάδιο. Με τη γνωμοδότηση τίθεται επίσης ζήτημα ικανοποίησης της αρχής του χρονικού περιορισμού με μείωση του χρόνου τήρησης των δεδομένων. Τέλος, η Αρχή επισήμανε και διατάξεις που μπορεί να βελτιωθούν νομοτεχνικά.

Η Αρχή, κατόπιν αναφορών της ΟΙΕΛΕ και της ΔΟΕ και καταγγελίας γονέα, εξέτασε τη νομιμότητα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά την εφαρμογή διαδικασιών σύγχρονης εξ αποστάσεως εκπαίδευσης από σχολικές μονάδες πρωτοβάθμιας και δευτεροβάθμιας εκπαίδευσης, η οποία υλοποιήθηκε κατόπιν της υπ’ αριθ. 57233/Υ1 Υπουργικής απόφασης. Προ της εν λόγω Υ.Α. το Υπουργείο Παιδείας και Θρησκευμάτων διενήργησε μελέτη εκτίμησης αντικτύπου (ΕΑΠΔ), όπως προβλέπεται στο άρθρο 63 του ν. 4686/20 και το άρθρο 35 του ΓΚΠΔ. Η Αρχή, έκρινε νόμιμη τη διαδικασία σύγχρονης εξ αποστάσεως εκπαίδευσης, διαπιστώνοντας όμως ότι η διενεργηθείσα ΕΑΠΔ δεν έχει εξετάσει με πληρότητα μια σειρά από παράγοντες και κινδύνους σε σχέση με τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων. Αναγνωρίζοντας την αναγκαιότητα της σύγχρονης εξ αποστάσεως εκπαίδευσης, ιδίως σε περιπτώσεις πανδημίας, η Αρχή παρείχε γνώμη προς το Υπουργείο, ώστε να αντιμετωπισθούν οι ανωτέρω ελλείψεις και το κάλεσε, όπως εντός αποκλειστικού διαστήματος τριών μηνών προβεί στις απαραίτητες ενέργειες τροποποίησης και συμπλήρωσης της ΕΑΠΔ και των λαμβανόμενων μέτρων.