Διενέργεια τακτικού διοικητικού ελέγχου στο σύστημα ELVIS

Αθήνα, 11-08-2020 Αριθ. Πρωτ.: Γ/ΕΞ/5588/11-08-2020 ΕΛΛΗΝΙΚΗ ΔΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΑΠΟΦΑΣΗ ΑΡ. 27/2020 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε στην έδρα της την 30/7/2020 και ώρα 10:00 μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, ως εισηγητής, και Χαράλαμπος Ανθόπουλος. Στη συνεδρίαση παρέστησαν, επίσης, με εντολή του Προέδρου, οι Ι. Λυκοτραφίτης και Κ. Λιμνιώτης, πληροφορικοί ελεγκτές, ως βοηθοί εισηγητή, οι οποίοι παρείχαν διευκρινίσεις και αποχώρησαν πριν από τη διάσκεψη και τη λήψη απόφασης, και η Γεωργία Παλαιολόγου, υπάλληλος του Τμήματος Διοικητικών Υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Η Αρχή πραγματοποίησε επιτόπιο διοικητικό έλεγχο στο εθνικό Πληροφοριακό Σύστημα Θεωρήσεων το οποίο συνδέεται με το Σύστημα Πληροφοριών για τις Θεωρήσεις (Visa Information System – εφεξής, VIS), σύμφωνα με τα όσα προβλέπονται στον Κανονισμό (ΕΚ) αριθ. 767/2008 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 9ης Ιουλίου 2008 για το σύστημα πληροφοριών για τις θεωρήσεις και την ανταλλαγή στοιχείων μεταξύ των κρατών μελών για τις θεωρήσεις μικρής διάρκειας (εφεξής, Κανονισμός VIS). Ο έλεγχος, ο οποίος εστίασε ιδίως σε ζητήματα ασφάλειας των προσωπικών δεδομένων που υφίστανται επεξεργασία στο πλαίσιο του εν λόγω συστήματος, πραγματοποιήθηκε στις 4/4/2016 στο χώρο εγκατάστασης-λειτουργίας του Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -1- εθνικού συστήματος (εφεξής, ELVIS) στην οδό Ακαδημίας 1, Αθήνα (ΣΤ2 Διεύθυνση Επικοινωνιών και Πληροφορικής), καθώς επίσης και στις εγκαταστάσεις της Κεντρικής Υπηρεσίας του Υπουργείου Εξωτερικών (Γ4 Διεύθυνση) επί της οδού Βασιλίσσης Σοφίας 1, Αθήνα, από τους ελεγκτές της Αρχής Ιωάννη Λυκοτραφίτη και Κωνσταντίνο Λιμνιώτη (εφεξής, ομάδα ελέγχου), μετά από την υπ’ αριθμ. πρωτ. Γ/ΕΞ/2075/01-04-2016 εντολή διενέργειας ελέγχου του Προέδρου της Αρχής. Ο έλεγχος ήταν τακτικός. Ειδικότερα, το σύστημα VIS αποτελεί ένα μεγάλο πληροφοριακό σύστημα για την ανταλλαγή δεδομένων μεταξύ των κρατών που βρίσκονται στο εσωτερικό του «χώρου Σένγκεν», με σκοπό τη βελτίωση της εφαρμογής της κοινής πολιτικής στον τομέα των θεωρήσεων, την προξενική συνεργασία και τη διαβούλευση με τις κεντρικές αρχές για τις θεωρήσεις. Το αντικείμενο, οι λειτουργικές δυνατότητες και λοιπά ζητήματα του VIS, συμπεριλαμβανομένων θεμάτων προστασίας προσωπικών δεδομένων, καθορίζονται στον Κανονισμό VIS, ο οποίος προβλέπει τους όρους και τις διαδικασίες ανταλλαγής στοιχείων μεταξύ των χωρών και συνδεδεμένων χωρών της Ευρωπαϊκής Ένωσης (ΕΕ) που εφαρμόζουν την κοινή πολιτική για τις θεωρήσεις. Μέσω του συστήματος VIS, διευκολύνονται η εξέταση των αιτήσεων για θεωρήσεις μικρής διάρκειας και των αποφάσεων παράτασης, ανάκλησης ή ακύρωσης θεωρήσεων καθώς και οι έλεγχοι των θεωρήσεων και η επαλήθευση και ο προσδιορισμός της ταυτότητας των ατόμων που ζητούν και κατέχουν θεωρήσεις, έτσι ώστε να αποφεύγεται η καταστρατήγηση των κριτηρίων προσδιορισμού του Κράτους-Μέλους που είναι υπεύθυνο για την εξέταση μίας αίτησης, να διευκολυνθεί η καταπολέμηση της απάτης, να διευκολυνθούν οι έλεγχοι στα εξωτερικά σημεία συνοριακής διέλευσης των Κρατών-Μελών και στην επικράτεια αυτών, να βοηθά στον εντοπισμό των προσώπων που δεν πληρούν τους όρους που διέπουν την είσοδο, την παραμονή ή την κατοικία στο έδαφος των Κρατών-Μελών, να διευκολυνθεί η εφαρμογή τού Κανονισμού (ΕΚ) 343/2003 (Κανονισμός Δουβλίνο ΙΙ) για τον προσδιορισμό της χώρας της ΕΕ που είναι υπεύθυνη για την εξέταση αίτησης ασύλου που υποβάλλεται από υπήκοο τρίτης χώρας, καθώς επίσης και να συμβάλλει στην αποτροπή των απειλών κατά της εσωτερικής ασφάλειας των Κρατών-Μελών. Βασικό δομικό στοιχείο του VIS αποτελεί μία κεντρική βάση δεδομένων, η οποία αναπτύχθηκε σύμφωνα με την Απόφαση του Συμβουλίου 2004/512/ΕΚ για τη δημιουργία του Συστήματος Πληροφοριών για τις Θεωρήσεις. Στη βάση δεδομένων του VIS καταχωρίζονται και τηρούνται τα εξής δεδομένα : α) τα αλφαριθμητικά δεδομένα για τον αιτούντα και τις αιτούμενες, εκδοθείσες, -2- απορριφθείσες, ακυρωθείσες, ανακληθείσες ή παραταθείσες θεωρήσεις, β) οι φωτογραφίες, γ) τα δακτυλικά αποτυπώματα, και δ) οι σύνδεσμοι με προηγούμενες αιτήσεις θεώρησης και με φακέλους αιτήσεων προσώπων που συνταξιδεύουν. Πρόσβαση στο VIS για την εισαγωγή, τροποποίηση ή διαγραφή των δεδομένων έχει αποκλειστικά το δεόντως εξουσιοδοτημένο προσωπικό των αρχών θεώρησης. Ως προς την αναζήτηση δεδομένων πρόσβαση έχει αποκλειστικά το δεόντως εξουσιοδοτημένο προσωπικό των αρχών θεώρησης και των αρχών που είναι αρμόδιες για τους ελέγχους στα εξωτερικά σημεία συνοριακής διέλευσης, για τους ελέγχους σε θέματα μετανάστευσης και ασύλου, και η πρόσβαση αυτή περιορίζεται στον βαθμό που τα δεδομένα αυτά είναι απαραίτητα για την εκτέλεση των καθηκόντων του εν λόγω προσωπικού. Σε συγκεκριμένες περιπτώσεις, οι εθνικές αρχές και η Ευρωπόλ δύνανται να ζητήσουν πρόσβαση σε δεδομένα που έχουν εισαχθεί στο VIS, με σκοπό την αποτροπή, την εξακρίβωση ή τη διερεύνηση τρομοκρατικών και αξιόποινων πράξεων. Οι διαδικασίες και οι όροι για την αναζήτηση δεδομένων υπό αυτές τις συνθήκες, καθώς και ζητήματα προστασίας προσωπικών δεδομένων, καθορίζονται με την Απόφαση του Συμβουλίου 2008/633/ΔΕΥ του Συμβουλίου της 23ης Ιουνίου 2008 σχετικά με την πρόσβαση στο σύστημα πληροφοριών για τις θεωρήσεις των εντεταλμένων αρχών των κρατών μελών καθώς και της Ευρωπόλ, προς αναζήτηση δεδομένων για την πρόληψη, εξακρίβωση και διερεύνηση τρομοκρατικών πράξεων και άλλων σοβαρών αξιόποινων πράξεων (εφεξής, Απόφαση VIS). Οι αναζητήσεις δεδομένων αυτές διεξάγονται μέσω κεντρικών σημείων επαφής στις συμμετέχουσες χώρες και την Ευρωπόλ, τα οποία ελέγχουν τα αιτήματα και εξασφαλίζουν τη νομιμότητα, σύμφωνα με την ανωτέρω απόφαση. Εφόσον θεωρηθεί αποδεκτή μια αίτηση σύμφωνα με τον Κώδικα Θεωρήσεων1, η επιφορτισμένη με τις θεωρήσεις αρχή ανοίγει τον φάκελο της αίτησης, εισάγοντας σειρά δεδομένων στο VIS όπως αυτά προσδιορίζονται ανωτέρω. Αφότου ληφθεί η απόφαση να χορηγηθεί η θεώρηση, η επιφορτισμένη με τις θεωρήσεις αρχή προσθέτει άλλα ενδεδειγμένα δεδομένα, μεταξύ άλλων το είδος θεώρησης, το έδαφος στο οποίο ο κάτοχος της θεώρησης έχει δικαίωμα να ταξιδεύει, την περίοδο ισχύος, τον αριθμό εισόδων που επιτρέπει η θεώρηση στην επικράτεια και τη διάρκεια της επιτρεπόμενης διαμονής. Επίσης, πρέπει να δίδονται επιπρόσθετα στοιχεία αν η επιφορτισμένη με τις θεωρήσεις Κανονισμός (ΕΚ) αριθ. 810/2009 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 13ης Ιουλίου 2009 για τη θέσπιση κοινοτικού κώδικα θεωρήσεων 1 -3- αρχή που εκπροσωπεί άλλη χώρα της ΕΕ διακόψει την εξέταση μιας αίτησης καθώς και όταν λαμβάνεται απόφαση για άρνηση, ακύρωση ή ανάκληση θεώρησης, ή παράταση της διάρκειας ισχύος μιας θεώρησης. Η αρμόδια αρχή για τις θεωρήσεις μπορεί να συμβουλεύεται το VIS με σκοπό την εξέταση των αιτήσεων και των αποφάσεων έκδοσης, άρνησης, παράτασης, ακύρωσης ή ανάκλησης της θεώρησης, ή μείωσης της διάρκειας ισχύος. Είναι εξουσιοδοτημένη να πραγματοποιήσει έρευνες με ορισμένα από τα στοιχεία που συμπεριλαμβάνονται στο έντυπο και το φάκελο της αίτησης. Εάν η διεξαγόμενη έρευνα δείξει ότι το VIS περιέχει στοιχεία για τον αιτούντα, η επιφορτισμένη με τις θεωρήσεις αρχή αποκτά πρόσβαση στον φάκελο της αίτησης και τους συνδεδεμένους φακέλους αίτησης. Για πρότερη αναζήτηση στοιχείων, η χώρα που είναι αρμόδια για την εξέταση της αίτησης διαβιβάζει κάθε αίτημα πρόσβασης για αναζήτηση στοιχείων, με τον αριθμό της αίτησης, στο VIS, υποδεικνύοντας τη χώρα ή τις χώρες από τις οποίες πρέπει να ζητηθεί γνώμη. Το VIS διαβιβάζει το αίτημα στην ενδιαφερόμενη χώρα που, με τη σειρά της, διαβιβάζει την απάντηση στο VIS το οποίο, κατόπιν, αποστέλλει την απάντηση στη χώρα που διατύπωσε το αίτημα. Οι επιφορτισμένες με τους ελέγχους στα εξωτερικά σύνορα και στα εθνικά εδάφη αρχές, εξουσιοδοτούνται να πραγματοποιούν έρευνες στο VIS βάσει του αριθμού της αυτοκόλλητης θεώρησης μαζί με τα δακτυλικά αποτυπώματα. Μπορούν επίσης να πραγματοποιούν έρευνες με σκοπό να ελέγχουν την ταυτότητα του προσώπου και/ή την αυθεντικότητα της θεώρησης και/ή κατά πόσο το εν λόγω πρόσωπο πληροί τους όρους εισόδου, παραμονής ή κατοικίας στα εθνικά εδάφη. Αν, βάσει αυτής της αναζήτησης, βρεθούν στοιχεία για τον κάτοχο της θεώρησης στο VIS, οι αρμόδιες αρχές μπορούν να συμβουλευτούν ορισμένα στοιχεία του φακέλου της αίτησης. Για το εντοπισμό προσώπου, το οποίο δεν πληροί ή δεν πληροί πλέον τους απαιτούμενους όρους, οι αρμόδιες αρχές εξουσιοδοτούνται να πραγματοποιούν έρευνες με τα δακτυλικά αποτυπώματα. Εάν τα δακτυλικά αποτυπώματα του εν λόγω προσώπου δεν μπορούν να χρησιμοποιηθούν ή αν η έρευνα με τα δακτυλικά αποτυπώματα αποτύχει, οι αρμόδιες αρχές δύνανται να πραγματοποιήσουν έρευνα στο VIS με το όνομα, το φύλο, την ημερομηνία και τον τόπο γέννησης και/ή με πληροφορίες από το ταξιδιωτικό έγγραφο. Αυτά μπορούν να χρησιμοποιηθούν σε συνδυασμό με την εθνικότητα του προσώπου. Οι αρμόδιες αρχές για το άσυλο εξουσιοδοτούνται να πραγματοποιούν έρευνες στο VIS με βάση τα δακτυλικά αποτυπώματα, αλλά με μόνο σκοπό τον προσδιορισμό του -4- Κράτους-Μέλους που είναι υπεύθυνο να εξετάσει αίτηση ασύλου, και την εξέταση της αίτησης ασύλου. Εντούτοις, αν τα δακτυλικά αποτυπώματα του αιτούντος άσυλο δεν μπορούν να χρησιμοποιηθούν ή η έρευνα αποτύχει, οι αρχές δύνανται να πραγματοποιήσουν έρευνα με βάση τα δεδομένα που αναφέρονται ανωτέρω. Κάθε φάκελος αίτησης διατηρείται στο VIS έως πέντε έτη το πολύ. Μόνο το Κράτος-Μέλος το οποίο είναι υπεύθυνο (ήτοι αυτό το οποίο εισήγαγε τα δεδομένα στο VIS) έχει δικαίωμα να τροποποιήσει ή να διαγράψει δεδομένα που διαβίβασε στο VIS. Το VIS τέθηκε σταδιακά σε εφαρμογή από το 2011, ενώ η ανάπτυξη του συστήματος ολοκληρώθηκε περί το τέλος του

1. Το VIS συνδέεται με το εθνικό σύστημα κάθε χώρας μέσω της εθνικής διεπαφής στην εν λόγω χώρα. Οι συμμετέχουσες χώρες διορίζουν εθνική αρχή που συνδέεται με τις εθνικές διεπαφές και η οποία παρέχει πρόσβαση στο VIS μέσω των αρμοδίων αρχών. Στην Ελλάδα, αρμόδιος φορέας για την εθνική επαφή ELVIS είναι το Υπουργείο Εξωτερικών. Σύμφωνα με το άρθρο 41 του Κανονισμού VIS, η ανεξάρτητη εθνική Αρχή ελέγχου κάθε Κράτους-Μέλους που είναι επιφορτισμένη με τις αρμοδιότητες που αναφέρονται στο άρθρο 28 της Οδηγίας 95/46/ΕΚ ελέγχει τη νομιμότητα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που διενεργείται από το συγκεκριμένο Κράτος-Μέλος ως προς το σύστημα VIS, συμπεριλαμβανομένης της διαβίβασης των δεδομένων από και προς το VIS. Η εθνική Αρχή ελέγχου μεριμνά ώστε να διενεργείται, τουλάχιστον ανά τετραετία, έλεγχος των λειτουργιών επεξεργασίας δεδομένων που επιτελούνται στο εθνικό σύστημα, σύμφωνα με τα διεθνή πρότυπα ελέγχου. Αντιστοίχως, στο άρθρο 8 της Απόφασης VIS, αναφέρεται ότι ο αρμόδιος φορέας που σύμφωνα με το Εθνικό Δίκαιο επιβλέπει την επεξεργασία δεδομένων προσωπικού χαρακτήρα από τις εντεταλμένες αρχές δυνάμει της εν λόγω Απόφασης, ελέγχει τη νομιμότητα της επεξεργασίας σύμφωνα με τα όσα προβλέπονται στην Απόφαση αυτή. Ο φορέας αυτός διασφαλίζει ότι τουλάχιστον ανά τετραετία διενεργείται έλεγχος της επεξεργασίας δεδομένων προσωπικού χαρακτήρα δυνάμει της ως άνω Απόφασης και σύμφωνα με τα διεθνή πρότυπα ελέγχου. Για την Ελλάδα, η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα αποτελεί την αρμόδια Αρχή που προβλέπεται στο άρθρο 41 του Κανονισμού VIS, καθώς επίσης και τον αρμόδιο φορέα που προβλέπεται στο άρθρο 8 της Απόφασης VIS. Τούτο ίσχυε τόσο κατά την περίοδο πραγματοποίησης του εν λόγω ελέγχου, σύμφωνα με τον τότε εν ισχύ ν. 2472/1997 ο οποίος ενσωμάτωνε στην εθνική έννομη τάξη την Οδηγία 95/46/ΕΚ, όσο και μετά την 25η Μαΐου 2018, οπότε και τέθηκε σε εφαρμογή ο -5- Κανονισμός (ΕΕ) 2016/679 (Γενικός Κανονισμός Προστασίας Δεδομένων – εφεξής, ΓΚΠΔ), ο οποίος κατήργησε την Οδηγία 95/46/ΕΚ. Βάσει των ανωτέρω, η Αρχή πραγματοποίησε επιτόπιο διοικητικό έλεγχο στο εθνικό πληροφοριακό σύστημα N-VIS αναφορικά με την προστασία και την ασφάλεια των προσωπικών δεδομένων που υφίστανται επεξεργασία στο πλαίσιο της λειτουργίας του εν λόγω συστήματος, σύμφωνα με το άρθρο 19 παρ. 1 στοιχείο η’ ν. 2472/1997 (το οποίο ήταν σε ισχύ κατά την περίοδο του ελέγχου), με το άρθρο 41 παρ. 2 του Κανονισμού VIS αλλά και με το άρθρο 8 παρ. 6 της Απόφασης VIS. Για την πραγματοποίηση του εν λόγω ελέγχου, όσον αφορά ιδίως στα θέματα ασφάλειας του πληροφοριακού συστήματος N.SIS II, υιοθετήθηκε το πλαίσιο διενέργειας ελέγχων που καταρτίστηκε από την υπό-ομάδα εμπειρογνωμόνων-πληροφορικών της Ομάδας Συντονισμού Εποπτείας του Συστήματος Πληροφοριών Σένγκεν 2ης γενιάς. Το κοινό αυτό πλαίσιο διενέργειας ελέγχων ασφαλείας σε μεγάλης κλίμακας ολοκληρωμένα πληροφοριακά συστήματα καταρτίστηκε με στόχο, μεταξύ άλλων, να παράγονται συγκρίσιμα αποτελέσματα τόσο από ελέγχους μεταξύ διαφορετικών Κρατών Μελών όσο και από ελέγχους στο ίδιο Κράτος Μέλος αλλά σε διαφορετικές χρονικές περιόδους. Δεδομένου ότι στον Κανονισμό VIS αναφέρεται ότι η εθνική εποπτική αρχή μερινά για την πραγματοποίηση ελέγχων των λειτουργιών επεξεργασίας δεδομένων που επιτελούνται στο εθνικό σύστημα VIS σύμφωνα με τα διεθνή πρότυπα ελέγχου, το πλαίσιο αυτό βασίστηκε στο διεθνές πρότυπο ασφαλείας ISO 27001, ως το πιο διαδεδομένο σχετικό πρότυπο (βλ. επίσης σχετικά και την υπ’ αριθμ. 50/2018 Απόφαση της Αρχής). Στο πλαίσιο εκπόνησης του εν λόγω διοικητικού ελέγχου στο σύστημα ELVIS, η Αρχή απέστειλε αρχικά προς τις Γ4 και ΣΤ2 Διευθύνσεις του Υπουργείου Εξωτερικών το υπ’ αριθμ. πρωτ. Γ/ΕΞ/5441/22-10-2015 έγγραφο, με το οποίο ενημέρωσε περί του επικείμενου ελέγχου και του σκοπού αυτού – ήτοι να διαπιστωθεί ότι η επεξεργασία δεδομένων που επιτελείται στο πλαίσιο της λειτουργίας του εν λόγω πληροφοριακού συστήματος είναι σύμφωνη με τις διατάξεις για την προστασία προσωπικών δεδομένων που προβλέπονται στον Κανονισμό VIS, στην Απόφαση VIS καθώς και στο ν.2472/
2. Με το ίδιο έγγραφο η Αρχή απέστειλε επίσης ερωτηματολόγιο ειδικά για τα θέματα ασφαλείας του πληροφοριακού συστήματος ELVIS, στα οποία – μεταξύ άλλων – επρόκειτο να επικεντρωθεί ο έλεγχος, προκειμένου να αποσταλούν - προ του επιτόπιου ελέγχου - απαντήσεις επ’ αυτού. Επίσης, για κάθε ερώτηση του ερωτηματολογίου, αναφερόταν και κατάλογος ενδεικτικών πειστηρίων για την τεκμηρίωση της απάντησης. -6- Το ερωτηματολόγιο αυτό εντάσσεται στο ως άνω αναφερόμενο κοινό πλαίσιο ελέγχων. Το Υπουργείο Εξωτερικών απέστειλε στην Αρχή τις απαντήσεις του στο εν λόγω ερωτηματολόγιο με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/962/17-02-2016 έγγραφο. Μαζί με το εν λόγω έγγραφο το Υπουργείο Εξωτερικών υπέβαλε και ένα σύνολο πειστηρίων, σε ηλεκτρονική μορφή. Στη συνέχεια, η Αρχή προσδιόρισε από κοινού με το Υπουργείο Εξωτερικών (Διευθύνσεις Γ4 και ΣΤ2) την ημερομηνία του επιτόπιου ελέγχου, και η ομάδα ελέγχου πραγματοποίησε την 4η Απριλίου 2016, βάσει της προαναφερθείσας εντολής ελέγχου του Προέδρου της Αρχής, έλεγχο στις εγκαταστάσεις του Υπουργείου Εξωτερικών επί της Λ. Βασιλίσσης Σοφίας 1 στην Αθήνα, όπου στεγάζεται η Γ4 Διεύθυνση, και επί της Ακαδημίας 1, Αθήνα, όπου βρίσκεται το πληροφοριακό σύστημα ELVIS και επίσης στεγάζεται η αρμόδια ΣΤ2 Διεύθυνση του Υπουργείου Εξωτερικών. Από την πλευρά του Υπουργείου Εξωτερικών στον έλεγχο παρέστησαν ο κ. Λεωνίδας Νικολόπουλος από την Γ4 Διεύθυνση και οι κκ. Γεώργιος Τσαχτσίρης και Σοφία Μητράκου από τη ΣΤ2 Διεύθυνση, στους οποίους και επιδόθηκε η ως άνω εντολή διενέργειας ελέγχου.. Ο έλεγχος επικεντρώθηκε ιδίως στα οργανωτικά, τεχνικά και μέτρα φυσικής ασφαλείας που εφαρμόζονται κατά την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της λειτουργίας του συστήματος ELVIS. Οι εκπρόσωποι του Υπουργείου Εξωτερικών παρείχαν στην ομάδα ελέγχου πληροφορίες τόσο για τις διαδικασίες που συνολικά ακολουθούνται στο πλαίσιο της λειτουργίας του συστήματος ELVIS, όσο και σχετικά με τις οργανωτικές και τεχνολογικές υποδομές του συστήματος. Κατά τον επιτόπιο έλεγχο, η ομάδα ελέγχου πραγματοποίησε παράλληλα συνεντεύξεις με αρμόδιους υπαλλήλους του Υπουργείου Εξωτερικών. Μετά την ολοκλήρωση του επιτόπιου ελέγχου, το Υπουργείο Εξωτερικών υπέβαλε στην Αρχή το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/3038/13-052016 έγγραφο, με το οποίο παρείχε πρόσθετες διευκρινίσεις επί θεμάτων που τέθηκαν από την ομάδα ελέγχου κατά τον επιτόπιο έλεγχο, καθώς και σύνολο συμπληρωματικών ηλεκτρονικών πειστηρίων τα οποία επίσης ζητήθηκαν από την ομάδα ελέγχου κατά τον επιτόπιο έλεγχο. Ακολούθως, η ομάδα ελέγχου συνέταξε τα Πρακτικά του ελέγχου (εφεξής Πρακτικά), στα οποία καταγράφονται οι απαντήσεις/διευκρινήσεις του ελεγχόμενου φορέα, καθώς και επιτόπιες παρατηρήσεις της ομάδας ελέγχου. Τα Πρακτικά απεστάλησαν στον ελεγχόμενο φορέα με μήνυμα ηλεκτρονικού ταχυδρομείου στις 10-07-2017 για -7- υποβολή σχολίων ή/και παρατηρήσεων. Ο ελεγχόμενος φορέας απάντησε με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/5299/14-06-2018 μήνυμα ηλεκτρονικού ταχυδρομείου, ενώ τα σχετικά συμπληρωματικά αρχεία σε ψηφιακή μορφή υποβλήθηκαν ακολούθως στην Αρχή με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/4147/10-06-2019 έγγραφο, οπότε και τα εν λόγω Πρακτικά οριστικοποιήθηκαν (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/ Γ/ΕΙΣ/6064/06-09-2019). Τα Πρακτικά περιέχουν επίσης συνημμένο τον κατάλογο με τα Πειστήρια. Στη συνέχεια, η ομάδα ελέγχου μελέτησε τα Πρακτικά σε συνδυασμό με τα Πειστήρια. Ακολούθως συνέταξε Πόρισμα Διοικητικού Ελέγχου (εφεξής, Πόρισμα), το οποίο υπέβαλε στην Αρχή με το υπ’ αρ. πρωτ. Α/ΕΙΣ/93/20-12-2019 έγγραφο και στο οποίο καταγράφονται μεταξύ άλλων τα ευρήματα αναφορικά με οργανωτικά και τεχνικά μέτρα ασφάλειας, καθώς και συστάσεις για την αντιμετώπιση των κινδύνων που δημιουργούνται. Η Αρχή, μετά από εξέταση των προαναφερόμενων στοιχείων, αφού άκουσε τον εισηγητή και τους βοηθούς εισηγητές, οι οποίοι στη συνέχεια αποχώρησαν μετά τη συζήτηση και πριν από τη διάσκεψη και τη λήψη αποφάσεως, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
3. Σύμφωνα με το άρθρο 9 του ν. 4624/2019, ο οποίος έχει ως σκοπό – μεταξύ άλλων τη λήψη μέτρων εφαρμογής του ΓΚΠΔ, η εποπτεία της εφαρμογής των διατάξεων του ΓΚΠΔ στην Ελληνική Επικράτεια ασκείται από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.
4. Στο άρθρο 10 παρ. 4 του ν. 4624/2019 αναφέρεται ότι στις περιπτώσεις που στο δίκαιο της Ευρωπαϊκής Ένωσης ή στην εθνική νομοθεσία προβλέπεται ανεξάρτητος έλεγχος ή εποπτεία, η Αρχή ασκεί τις αντίστοιχες αρμοδιότητες και εξουσίες.
5. Σύμφωνα με το άρθρο 94 παρ. 2 του ΓΚΠΔ, οι παραπομπές στην καταργηθείσα Οδηγία 95/46/ΕΚ θεωρούνται παραπομπές στο ΓΚΠΔ.
6. Σύμφωνα με τα ανωτέρω και λαμβάνοντας υπόψη όσα αναφέρονται στο άρθρο 41 παρ. 1 του Κανονισμού VIS («η αρχή ή οι αρχές που ορίζονται από κάθε κράτος μέλος και είναι επιφορτισμένες με τις αρμοδιότητες που αναφέρονται στο άρθρο 28 της Οδηγίας 95/46/ΕΚ (…) ελέγχουν, με ανεξαρτησία, τη νομιμότητα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα (…) συμπεριλαμβανομένης της διαβίβασης των δεδομένων από και προς το VIS» αλλά και στο άρθρο 8 παρ. 5 της Απόφασης VIS («ο -8- αρμόδιος φορέας ή φορείς που σύμφωνα με το Εθνικό Δίκαιο επιβλέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα από τις εντεταλμένες αρχές δυνάμει της παρούσας Απόφασης, ελέγχουν τη νομιμότητα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σύμφωνα με την παρούσα Απόφαση», η Αρχή είναι αρμόδια για τον έλεγχο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, η οποία πραγματοποιείται στο πλαίσιο του συστήματος ELVIS.
7. Σύμφωνα με το άρθρο 4 του ΓΚΠΔ, νοούνται ως «δεδομένα προσωπικού χαρακτήρα» κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»), ενώ ως «επεξεργασία» νοείται κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή. Περαιτέρω, ως «υπεύθυνος επεξεργασίας» νοείται το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, ενώ όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους.
8. Για την περίπτωση της επεξεργασίας δεδομένων, σύμφωνα με τα οριζόμενα στον Κανονισμό VIS και στην Απόφαση VIS, η οποία διενεργείται μέσω του συστήματος ELVIS, υπεύθυνος επεξεργασίας είναι το Υπουργείο Εξωτερικών.
9. Αναφορικά με την ασφάλεια της επεξεργασίας, το άρθρο 32 του ΓΚΠΔ ορίζει2: «Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, περιλαμβανομένων, μεταξύ άλλων, κατά περίπτωση: α) της ψευδωνυμοποίησης και της Το προηγούμενο νομικό πλαίσιο (ήτοι ο ν. 2472/1997) είχε επίσης σχετική πρόβλεψη για την απαίτηση περί ασφάλειας της επεξεργασίας (όπως σχετικώς αναφέρεται στο πόρισμα του εν λόγω ελέγχου). 2 -9- κρυπτογράφησης δεδομένων προσωπικού χαρακτήρα, β) της δυνατότητας διασφάλισης του απορρήτου, της ακεραιότητας, της διαθεσιμότητας και της αξιοπιστίας των συστημάτων και των υπηρεσιών επεξεργασίας σε συνεχή βάση, γ) της δυνατότητας αποκατάστασης της διαθεσιμότητας και της πρόσβασης σε δεδομένα προσωπικού χαρακτήρα σε εύθετο χρόνο σε περίπτωση φυσικού ή τεχνικού συμβάντος, δ) διαδικασίας για την τακτική δοκιμή, εκτίμηση και αξιολόγηση της αποτελεσματικότητας των τεχνικών και των οργανωτικών μέτρων για τη διασφάλιση της ασφάλειας της επεξεργασίας. Κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ' άλλο τρόπο σε επεξεργασία». Περαιτέρω, ειδικά για τα εθνικά πληροφοριακά συστήματα θεωρήσεων, στα οποία ανήκει το ELVIS, ειδικότερες απαιτήσεις ασφαλείας τίθενται τόσο στον Κανονισμό VIS όσο και στην Απόφαση VIS. Πιο συγκεκριμένα, σύμφωνα με το άρθρο 32 του Κανονισμού VIS, το Κράτος Mέλος πρέπει να λαμβάνει για το οικείο εθνικό σύστημα VIS τα αναγκαία μέτρα, συμπεριλαμβανομένου ενός σχεδίου ασφαλείας, ώστε: α) να προβλέπεται η υλική προστασία των δεδομένων, καθώς και σχέδια έκτακτης ανάγκης για την προστασία υποδομών ζωτικής σημασίας· β) να εμποδίζεται η πρόσβαση μη εξουσιοδοτημένων προσώπων στις εθνικές εγκαταστάσεις εντός των οποίων το κράτος μέλος προβαίνει σε ενέργειες σύμφωνα με τους σκοπούς του VIS (έλεγχος εισόδου στην εγκατάσταση)· γ) να εμποδίζεται η μη εξουσιοδοτημένη ανάγνωση, αντιγραφή, τροποποίηση ή διαγραφή των δεδομένων και των υποθεμάτων τους (έλεγχος υποθεμάτων)· δ) να εμποδίζεται η μη εξουσιοδοτημένη εισαγωγή δεδομένων και η μη εξουσιοδοτημένη επιθεώρηση, τροποποίηση ή διαγραφή αποθηκευμένων προσωπικών δεδομένων (έλεγχος αποθήκευσης)· ε) να εμποδίζεται η μη εξουσιοδοτημένη επεξεργασία δεδομένων στο VIS καθώς και οποιαδήποτε μη εξουσιοδοτημένη τροποποίηση ή διαγραφή δεδομένων που έχουν υποστεί επεξεργασία στο VIS (έλεγχος της εισαγωγής δεδομένων)· στ) να εξασφαλίζεται ότι τα πρόσωπα που είναι εξουσιοδοτημένα για πρόσβαση στο VIS έχουν πρόσβαση μόνο σε δεδομένα που καλύπτονται από τις άδειες πρόσβασής τους, με ατομικές και μοναδικές ταυτότητες χρήστη και μόνο με εμπιστευτικούς -10- κωδικούς πρόσβασης (έλεγχος πρόσβασης στα δεδομένα)· ζ) να εξασφαλίζεται ότι όλες οι αρχές που έχουν δικαίωμα πρόσβασης στο VIS δημιουργούν προφίλ τα οποία περιγράφουν τις λειτουργίες και τις ευθύνες των προσώπων που είναι εξουσιοδοτημένα με την πρόσβαση, εισαγωγή, ενημέρωση, διαγραφή και αναζήτηση στα δεδομένα και να διαθέτουν τα προφίλ τους στις εθνικές εποπτικές αρχές που αναφέρονται στο άρθρο 41, χωρίς καθυστέρηση, κατόπιν αιτήσεώς τους (προφίλ προσωπικού)· η) να μπορεί να ελέγχεται και να εξακριβώνεται σε ποιες αρχές μπορούν να διαβιβάζονται προσωπικά δεδομένα μέσω εξοπλισμού διαβίβασης δεδομένων (έλεγχος της διαβίβασης)· θ) να μπορεί να ελέγχεται και να εξακριβώνεται ποια δεδομένα έχουν υποστεί επεξεργασία στο VIS, πότε, από ποιον και για ποιο σκοπό (έλεγχος της καταχώρισης)· ι) να εμποδίζεται η μη εξουσιοδοτημένη ανάγνωση, αντιγραφή, τροποποίηση ή διαγραφή προσωπικών δεδομένων κατά τη διαβίβαση προσωπικών δεδομένων προς ή από το VIS, ή κατά τη μεταφορά μέσων δεδομένων, κυρίως με κατάλληλες τεχνικές κρυπτογράφησης (έλεγχος μεταφοράς)· ια) να παρακολουθείται η αποτελεσματικότητα των μέτρων ασφάλειας της παρούσας παραγράφου και να λαμβάνονται τα απαραίτητα οργανωτικά μέτρα εσωτερικού ελέγχου ώστε να εξασφαλίζεται η συμμόρφωση με τον παρόντα κανονισμό (αυτοέλεγχος). Περαιτέρω, σύμφωνα με το άρθρο 9 της Απόφασης 2008/633/ΔΕΥ του Συμβουλίου, το Κράτος Mέλος πρέπει να λαμβάνει για το οικείο εθνικό σύστημα VIS τα αναγκαία μέτρα όσον αφορά τα δεδομένα που θα αναζητηθούν από το VIS δυνάμει της εν λόγω Απόφασης και, εν συνεχεία, θα αποθηκευτούν, προκειμένου ειδικότερα: α) να προβλέπεται η φυσική προστασία των δεδομένων, καθώς και σχέδια έκτακτης ανάγκης για την προστασία υποδομών ζωτικής σημασίας· β) να απαγορεύεται η είσοδος μη εξουσιοδοτημένων προσώπων στις εθνικές εγκαταστάσεις όπου το κράτος μέλος αποθηκεύει δεδομένα (έλεγχος της εισόδου στην εγκατάσταση)· γ) να αποτρέπεται η μη εξουσιοδοτημένη ανάγνωση, αντιγραφή, τροποποίηση ή απομάκρυνση των μέσων αποθήκευσης αποθήκευσης δεδομένων)· -11- δεδομένων (έλεγχος των μέσων δ) να αποτρέπεται ο μη εξουσιοδοτημένος έλεγχος, καθώς και η μη εξουσιοδοτημένη τροποποίηση ή διαγραφή των καταχωρημένων δεδομένων προσωπικού χαρακτήρα (έλεγχος της καταχώρησης σε αρχείο)· ε) να αποτρέπεται η μη εξουσιοδοτημένη επεξεργασία δεδομένων από το VIS (έλεγχος της επεξεργασίας δεδομένων)· στ) να εξασφαλίζεται ότι τα πρόσωπα που είναι εξουσιοδοτημένα για τη χρησιμοποίηση του VIS έχουν πρόσβαση μόνο στα δεδομένα που καλύπτονται από την εξουσιοδότηση χρησιμοποιώντας έναν ατομικό και αποκλειστικό κωδικό και μόνο εμπιστευτικούς τρόπους πρόσβασης (έλεγχος της πρόσβασης σε δεδομένα)· ζ) να εξασφαλίζεται ότι όλες οι αρχές με δικαίωμα πρόσβασης στο VIS καταρτίζουν καταλόγους που περιγράφουν τα καθήκοντα και τις αρμοδιότητες των προσώπων που έχουν εξουσιοδοτηθεί να έχουν πρόσβαση στο σύστημα και να ερευνούν τα δεδομένα και ότι οι κατάλογοι αυτοί θα είναι προσιτοί στις εθνικές αρχές ελέγχου του άρθρου 8 παράγραφος 5, χωρίς καθυστέρηση, κατόπιν σχετικής αιτήσεώς τους (χαρακτηριστικά του προσωπικού)· η) να εξασφαλίζεται η δυνατότητα να ελέγχεται και να εξακριβώνεται σε ποιες αρχές μπορούν να διαβιβάζονται τα δεδομένα προσωπικού χαρακτήρα με τη χρήση εξοπλισμού διαβίβασης των δεδομένων (έλεγχος της διαβίβασης)· θ) να εξασφαλίζεται η δυνατότητα να ελέγχεται και να εξακριβώνεται εκ των υστέρων ποια δεδομένα προσωπικού χαρακτήρα ανακτήθηκαν από το VIS, πότε, από ποιον και για ποιο σκοπό (έλεγχος της καταχώρησης δεδομένων)· ι) να αποτρέπεται η μη εξουσιοδοτημένη ανάγνωση και αντιγραφή των δεδομένων κατά τη διαβίβασή τους από το VIS, ιδίως με κατάλληλες τεχνικές κρυπτογράφησης (έλεγχος της μεταφοράς)· ια) να ελέγχεται η αποτελεσματικότητα των μέτρων ασφαλείας που εκτίθενται στην παρούσα παράγραφο και να λαμβάνονται τα αναγκαία οργανωτικά μέτρα εσωτερικού ελέγχου για συμμόρφωση με την παρούσα απόφαση (αυτοέλεγχος).
10. Λαμβάνοντας υπόψη τα ανωτέρω και μετά από εξέταση των ευρημάτων που αναφέρονται στο Πόρισμα του ελέγχου, η Αρχή ενέκρινε τις προτάσεις της ομάδας ελέγχου. Η αναλυτική παρουσίαση των ευρημάτων, καθώς και των σχετικών κινδύνων που αυτά ενδέχεται να δημιουργήσουν, καταγράφονται – μαζί με τις αντίστοιχες συστάσεις για βελτίωση - στο επισυναπτόμενο απόρρητο τελικό Πόρισμα. -12- ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή δίνει εντολή, σύμφωνα με το άρθρο 58 παρ. 2 δ΄ του ΓΚΠΔ, στο Υπουργείο Εξωτερικών (Γ4 Διεύθυνση – Δικαιοσύνης, Εσωτερικών Υποθέσεων, Μετανάστευσης και Schengen, καθώς και ΣΤ2 Διεύθυνση – Επικοινωνιών και Πληροφορικής), ως υπεύθυνο επεξεργασίας κατά την έννοια του άρθρου 4 στοιχ. 7 του ΓΚΠΔ, να συμμορφωθεί με τις συστάσεις που αναφέρονται στο επισυναπτόμενο τελικό Πόρισμα του ελέγχου και να ενημερώσει σχετικά την Αρχή εντός ενός έτους από τη λήψη της παρούσας. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Γεωργία Παλαιολόγου -13-