Διοικητικὰ πρόστιμα συνολικοῦ ὕψους 150.000 εὐρὼ ἐπέβαλε ἡ Ἀρχὴ Προστασίας Δεδομένων Προσωπικοῦ Χαρακτῆρα στὸ ὑπουργεῖο Προστασίας τοῦ Πολίτη μὲ ἀπόφασή της, γιὰ σοβαρὰ ζητήματα ἐπεξεργασίας προσωπικῶν δεδομένων ποὺ προέκυψαν ἀπὸ τὴν εἰσαγωγὴ τῶν νέων δελτίων ταυτότητας.
Ἡ ἱστορία τῆς ἔρευνας γύρω ἀπὸ τὴν νομιμότητα τῆς ἐπεξεργασίας δεδομένων γιὰ τὴν ἔκδοση τῶν νέων τύπων δελτίων ταυτότητας ξεκίνησε στὶς 26 Σεπτεμβρίου 2023, πρὶν ἕνα ἀκριβῶς ἔτος, ὅταν ἕνας πολίτης ὑπέβαλε καταγγελία ἐνώπιον τῆς Ἀρχῆς Προστασίας Δεδομένων Προσωπικοῦ Χαρακτῆρα. Ὁ πολίτης ἀνέφερε ὅτι, στὸ πλαίσιο τῆς ἔκδοσης τῶν νέων δελτίων ταυτότητας, εἶχε ἀπευθύνει... στὶς 25 Αὐγούστου 2023 αἴτημα πρὸς τὸ Ὑπουργεῖο Προστασίας τοῦ Πολίτη, ζητῶντας πληροφορίες σχετικὰ μὲ τὴν ἐπεξεργασία τῶν προσωπικῶν δεδομένων ποὺ σχετίζονται μὲ τὴν ἔκδοση τῶν νέων ταυτοτήτων. Παρὰ τὸ γεγονὸς ὅτι ὁ πολίτης ἀπέστειλε ὑπενθύμιση στὶς 19 Σεπτεμβρίου 2023, τὸ ὑπουργεῖο δὲν ἀπάντησε στὸ αἴτημά του.
Ἡ καταγγελία αὐτὴ ἔφτασε στὴν Ἀρχή, ἡ ὁποία ἀποφάσισε νὰ προχωρήσει σὲ αὐτεπάγγελτη ἐξέταση τῆς ὑπόθεσης, λαμβάνοντας ὑπόψη καὶ τὴν γενικότερη δημόσια συζήτηση καὶ ἀνησυχία σχετικὰ μὲ τὰ νέα δελτία ταυτότητας. Ἡ ὑπόθεση εἶχε ἤδη ἀρχίσει νὰ ἀπασχολεῖ τὴν κοινὴ γνώμη, καθὼς ὑπῆρχαν ἀνησυχίες γιὰ τὴν διαφάνεια καὶ τὴν νομιμότητα τῆς ἐπεξεργασίας προσωπικῶν δεδομένων, ἰδιαίτερα τῶν βιομετρικῶν, στὰ νέα δελτία. Ἡ Ἀρχὴ Προστασίας Δεδομένων Προσωπικοῦ Χαρακτῆρα διαπίστωσε σημαντικὲς παραβάσεις κατὰ τὴν ἐξέταση τῆς διαδικασίας ἔκδοσης τῶν νέων δελτίων ταυτότητας, ποὺ ἀφοροῦσαν κυρίως τὴν ἐνημέρωση τῶν πολιτῶν καὶ τὴν ἐπεξεργασία προσωπικῶν δεδομένων, ὅπως τὰ βιομετρικὰ στοιχεῖα.
Ἡ Ἀρχὴ Προστασίας Δεδομένων Προσωπικοῦ Χαρακτῆρα προχώρησε σὲ διεξοδικὴ ἐξέταση τῶν διαδικασιῶν ποὺ ἀφοροῦν τὴν ἔκδοση τῶν νέων τύπων δελτίων ταυτότητας γιὰ τοὺς Ἕλληνες πολῖτες, μετὰ ἀπὸ καταγγελίες καὶ ἀνησυχίες ποὺ προέκυψαν σχετικὰ μὲ τὴν προστασία τῶν προσωπικῶν δεδομένων. Στὴ διάρκεια τῆς ἔρευνας, ἡ Ἀρχὴ ἐντόπισε σοβαρὲς πλημμέλειες σὲ σχέση μὲ τὴν ἐνημέρωση ποὺ παρέχεται στὰ ὑποκείμενα τῶν δεδομένων, δηλαδὴ τοὺς πολῖτες, σχετικὰ μὲ τὴν ἐπεξεργασία τῶν προσωπικῶν τους πληροφοριῶν, παραβιάζοντας ἔτσι τὴ θεμελιώδη ἀρχὴ τῆς διαφάνειας ὅπως αὐτὴ καθορίζεται ἀπὸ τὸν Γενικὸ Κανονισμὸ Προστασίας Δεδομένων (ΓΚΠΔ).
Ὅσα ἐντόπισε ἡ Ἀρχὴ Προστασίας Προσωπικῶν Δεδομένων
Πιὸ συγκεκριμένα, ἡ Ἀρχὴ διαπίστωσε ὅτι ἡ ἐνημέρωση γιὰ τὴν ἐπεξεργασία προσωπικῶν δεδομένων ἀπὸ τὴν Ἑλληνικὴ Ἀστυνομία (ΕΛ.ΑΣ.), ἡ ὁποία ἦταν ὑπεύθυνη γιὰ τὴν ἔκδοση τῶν νέων ταυτοτήτων, δὲν ἦταν ἐπαρκὴς καὶ συνολική. Ἡ ΕΛ.ΑΣ. εἶχε δημοσιεύσει στὸν ἱστότοπό της πληροφορίες σχετικὰ μὲ τὴν ἐπεξεργασία τῶν δεδομένων, ὡστόσο, αὐτὲς οἱ πληροφορίες κρίθηκαν ἐλλιπεῖς, καθυστερημένες καὶ ἐν μέρει ἐσφαλμένες. Συγκεκριμένα, ἡ ἐνημέρωση αὐτὴ δὲν εἶχε ἀναρτηθεῖ ἐγκαίρως, ἐνῷ οἱ πολῖτες δὲν εἶχαν λάβει σαφῆ πληροφόρηση σχετικὰ μὲ τὸ πῶς θὰ ἐπεξεργάζονταν τὰ βιομετρικά τους δεδομένα, ὅπως τὰ δακτυλικὰ ἀποτυπώματα καὶ ἡ φωτογραφία τους, ποὺ ἀπαιτοῦνται γιὰ τὴν ἔκδοση τῶν νέων ταυτοτήτων. Παράλληλα, ἀνακριβεῖς ἀναφορὲς στὸ νομικὸ καθεστὼς γύρω ἀπὸ τὴν ἐπεξεργασία αὐτῶν τῶν δεδομένων, ὅπως ἡ χρήση τῆς ἔννοιας τῆς "πρόδηλης ἐνεργῆς συγκατάθεσης" ἀντὶ τῆς ἐπιβαλλόμενης ἀπὸ τὸ νόμο ἐπεξεργασίας, παραβίαζαν τὸ ἄρθρο 6 τοῦ ΓΚΠΔ.
Ἐπιπρόσθετα, ἡ Ἀρχὴ ἔκρινε ἀνεπαρκῆ καὶ τὴν διαδικασία ἐκτίμησης ἀντικτύπου γιὰ τὴν προστασία τῶν δεδομένων (DPIA), ἡ ὁποία ὁρίζεται ὡς ὑποχρεωτικὴ ἀπὸ τὸ ἄρθρο 35 τοῦ ΓΚΠΔ. Ἡ ἐκτίμηση ἀντικτύπου, ποὺ εἶχε ὡς στόχο νὰ ἐντοπίσει καὶ νὰ διαχειριστεῖ πιθανοὺς κινδύνους γιὰ τὰ προσωπικὰ δεδομένα τῶν πολιτῶν, πραγματοποιήθηκε μὲ καθυστέρηση, μετὰ ἀπὸ τὴν ἔναρξη τῆς ἐπεξεργασίας, κάτι ποὺ ἀποτελεῖ σοβαρὴ παράβαση. Ἡ ἐκτίμηση αὐτὴ ΔΕΝ κάλυπτε ἐπαρκῶς τὰ τεχνικὰ καὶ ὀργανωτικὰ μέτρα ποὺ θὰ ἔπρεπε νὰ εἶχαν ληφθεῖ γιὰ νὰ προστατευθοῦν τὰ δεδομένα κατὰ τὴν διαδικασία ἔκδοσης τῶν νέων δελτίων ταυτότητας.
Ἐπιπρόσθετα, ἡ Ἀρχὴ ἔκρινε ἀνεπαρκῆ καὶ τὴν διαδικασία ἐκτίμησης ἀντικτύπου γιὰ τὴν προστασία τῶν δεδομένων (DPIA), ἡ ὁποία ὁρίζεται ὡς ὑποχρεωτικὴ ἀπὸ τὸ ἄρθρο 35 τοῦ ΓΚΠΔ. Ἡ ἐκτίμηση ἀντικτύπου, ποὺ εἶχε ὡς στόχο νὰ ἐντοπίσει καὶ νὰ διαχειριστεῖ πιθανοὺς κινδύνους γιὰ τὰ προσωπικὰ δεδομένα τῶν πολιτῶν, πραγματοποιήθηκε μὲ καθυστέρηση, μετὰ ἀπὸ τὴν ἔναρξη τῆς ἐπεξεργασίας, κάτι ποὺ ἀποτελεῖ σοβαρὴ παράβαση. Ἡ ἐκτίμηση αὐτὴ ΔΕΝ κάλυπτε ἐπαρκῶς τὰ τεχνικὰ καὶ ὀργανωτικὰ μέτρα ποὺ θὰ ἔπρεπε νὰ εἶχαν ληφθεῖ γιὰ νὰ προστατευθοῦν τὰ δεδομένα κατὰ τὴν διαδικασία ἔκδοσης τῶν νέων δελτίων ταυτότητας.
Τὰ πρόστιμα στὸ ὑπουργεῖο Προστασίας τοῦ Πολίτη
Ἡ Ἀρχὴ ἐπέβαλε στὸ ὑπουργεῖο Προστασίας τοῦ Πολίτη, τὸ ὁποῖο εἶναι ὑπεύθυνο γιὰ τὴν διαχείριση τῆς διαδικασίας ἔκδοσης τῶν νέων ταυτοτήτων, διοικητικὸ πρόστιμο ὕψους 150.000 εὐρώ. Τὸ πρόστιμο αὐτὸ διασπάστηκε σὲ δύο μέρη: 50.000 εὐρὼ γιὰ τὴν πλημμελῆ ἐνημέρωση τῶν πολιτῶν σχετικὰ μὲ τὴν ἐπεξεργασία τῶν προσωπικῶν τους δεδομένων καὶ 100.000 εὐρὼ γιὰ τὴν καθυστέρηση καὶ τὴν πλημμελῆ διεξαγωγὴ τῆς ἐκτίμησης ἀντικτύπου.
Παράλληλα, ἡ Ἀρχὴ ἔδωσε σαφεῖς ὁδηγίες στὸ ὑπουργεῖο Προστασίας τοῦ Πολίτη γιὰ τὴν λήψη διορθωτικῶν μέτρων, τὰ ὁποῖα πρέπει νὰ ὑλοποιηθοῦν ἐντὸς ἑξαμήνου. Τὸ ὑπουργεῖο ὀφείλει νὰ τεκμηριώσει τὴν ἀναγκαιότητα συμπερίληψης ὁρισμένων πρόσθετων στοιχείων, ὅπως τὸ ἐπώνυμο τοῦ πατέρα, τῆς μητέρας, ὁ ἀριθμὸς δημοτολογίου καὶ ὁ Δῆμος ἐγγραφῆς, τὰ ὁποῖα δὲν περιλαμβάνονται στὶς ὑποχρεώσεις ποὺ προβλέπονται ἀπὸ τὸν Κανονισμὸ 2019/1157 τῆς Εὐρωπαϊκῆς Ἕνωσης, ὁ ὁποῖος καθορίζει τὰ ἐλάχιστα δεδομένα ποὺ πρέπει νὰ περιέχει ἕνα δελτίο ταυτότητας. Αὐτὰ τὰ στοιχεῖα βασίζονται σὲ παλαιὲς ἐθνικὲς διατάξεις, οἱ ὁποῖες ἔχουν ἤδη κριθεῖ παράνομες ἤ/καὶ ἀντισυνταγματικὲς ἀπὸ τὸ Συμβούλιο τῆς Ἐπικρατείας (ΣτΕ), χωρὶς ὡστόσο νὰ ἔχουν τροποποιηθεῖ ἢ καταργηθεῖ.
Παράλληλα, ἡ Ἀρχὴ ἔδωσε σαφεῖς ὁδηγίες στὸ ὑπουργεῖο Προστασίας τοῦ Πολίτη γιὰ τὴν λήψη διορθωτικῶν μέτρων, τὰ ὁποῖα πρέπει νὰ ὑλοποιηθοῦν ἐντὸς ἑξαμήνου. Τὸ ὑπουργεῖο ὀφείλει νὰ τεκμηριώσει τὴν ἀναγκαιότητα συμπερίληψης ὁρισμένων πρόσθετων στοιχείων, ὅπως τὸ ἐπώνυμο τοῦ πατέρα, τῆς μητέρας, ὁ ἀριθμὸς δημοτολογίου καὶ ὁ Δῆμος ἐγγραφῆς, τὰ ὁποῖα δὲν περιλαμβάνονται στὶς ὑποχρεώσεις ποὺ προβλέπονται ἀπὸ τὸν Κανονισμὸ 2019/1157 τῆς Εὐρωπαϊκῆς Ἕνωσης, ὁ ὁποῖος καθορίζει τὰ ἐλάχιστα δεδομένα ποὺ πρέπει νὰ περιέχει ἕνα δελτίο ταυτότητας. Αὐτὰ τὰ στοιχεῖα βασίζονται σὲ παλαιὲς ἐθνικὲς διατάξεις, οἱ ὁποῖες ἔχουν ἤδη κριθεῖ παράνομες ἤ/καὶ ἀντισυνταγματικὲς ἀπὸ τὸ Συμβούλιο τῆς Ἐπικρατείας (ΣτΕ), χωρὶς ὡστόσο νὰ ἔχουν τροποποιηθεῖ ἢ καταργηθεῖ.
Ἡ Ἀρχὴ τόνισε τὴν ἀνάγκη ἐπικαιροποίησης καὶ κωδικοποίησης τοῦ νομικοῦ πλαισίου σχετικὰ μὲ τὰ νέα δελτία ταυτότητας, καθὼς οἱ ὑφιστάμενες διατάξεις εἶναι περίπλοκες καὶ κατακερματισμένες, δημιουργῶντας νομικὰ κενὰ καὶ ἀντιφάσεις. Ἐπιπλέον, ὑπογράμμισε ὅτι τὰ στοιχεῖα ποὺ ἀποθηκεύονται στὸ ἠλεκτρονικὸ μέσο (τσὶπ) τῶν ταυτοτήτων θὰ πρέπει νὰ σχετίζονται ἀποκλειστικὰ μὲ τὴν παροχὴ ἠλεκτρονικῶν ὑπηρεσιῶν, σύμφωνα μὲ τὸν εὐρωπαϊκὸ κανονισμό, καὶ ὄχι μὲ ἁπλὲς πληροφορίες ταυτοποίησης, οἱ ὁποῖες θὰ μποροῦσαν νὰ βρίσκονται στὸ φυσικὸ δελτίο ταυτότητας.
Παρ' ὅλο ποὺ ἡ Ἀρχὴ δὲν ἀμφισβητεῖ τὸ κῦρος τῶν ταυτοτήτων ποὺ ἔχουν ἤδη ἐκδοθεῖ ἐπισημαίνει τὴν ὑποχρέωση νὰ ἐπικαιροποιηθεῖ καὶ νὰ κωδικοποιηθεῖ τὸ νομικὸ πλαίσιο ἀναφορικὰ μὲ τὰ στοιχεῖα στὸ νέο τύπο δελτίων ταυτότητας Ἑλλήνων πολιτῶν καὶ τῆς διαδικασίας ἔκδοσης αὐτῶν, προκειμένου νὰ ρυθμίζονται μὲ ἑνιαῖο τρόπο ζητήματα ποὺ εἶχαν δημιουργηθεῖ ἀφ' ἑνός, ἀπὸ τὴν κατάργηση σχετικῶν διατάξεων καὶ ἀφ' ἑτέρου, ἀπὸ τὴν παράλληλη ἰσχὺ διαφορετικῶν νομοθετημάτων, τόσο κατὰ τὴν ἔκδοση τῶν παλαιῶν, ὅσο καὶ κατὰ τὴν ἔκδοση τῶν νέων δελτίων ταυτότητας, λαμβάνοντας ὑπόψη καὶ τὰ ὅσα ἐπί μέρους ζητήματα ἀναλύονται στὴν ἀπόφασή της.
Παρακάτω ὁλόκληρη ἡ ἀπόφαση τῆς Ἀρχῆς Προστασίας Προσωπικῶν Δεδομένων γιὰ τὶς νέες Ταυτότητες:
Δεν υπάρχουν σχόλια:
Δημοσίευση σχολίου