Διενέργεια τακτικού διοικητικού ελέγχου στο σύστημα N.SIS II

Αθήνα, 14-06-2018 Αριθ. Πρωτ.: Γ/ΕΞ/5331/14-06-2018 ΕΛΛΗΝΙΚΗ ΔΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΑΠΟΦΑΣΗ ΑΡ. 50/2018 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος στην έδρα της την 24/04/2018 και ώρα 10:00 μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Κωνσταντίνος Χριστοδούλου, Αντώνιος Συμβώνης, Σπυρίδων Βλαχόπουλος, ως εισηγητής, Κωνσταντίνος Λαμπρινουδάκης, επίσης ως εισηγητής, Χαράλαμπος Ανθόπουλος και Ελένη Μαρτσούκου. Στη συνεδρίαση παρέστησαν, επίσης, με εντολή του Προέδρου, η Ε. Μαραγκού, δικηγόρος-νομική ελέγκτρια και οι Ι. Λυκοτραφίτης και Κ. Λιμνιώτης, πληροφορικοί ελεγκτές, ως βοηθοί εισηγητών, οι οποίοι παρέσχαν διευκρινίσεις και αποχώρησαν πριν από τη διάσκεψη και τη λήψη απόφασης, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Τμήματος Διοικητικών Υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Η Αρχή πραγματοποίησε επιτόπιο διοικητικό έλεγχο στο εθνικό Σύστημα Πληροφοριών Schengen δεύτερης γενιάς (N. SIS II) σύμφωνα με το άρθρο 19 παρ.1 στοιχείο ιε’ ν. 2472/1997, καθώς και με το άρθρο 44 παρ. 2 Κανονισμού SIS II, αναφορικά με την προστασία και την ασφάλεια των προσωπικών δεδομένων που υφίστανται επεξεργασία στο πλαίσιο της λειτουργίας του εν λόγω συστήματος. Ο επιτόπιος έλεγχος πραγματοποιήθηκε στις 02-03/11/2015, στις εγκαταστάσεις του Αρχηγείου της Ελληνικής Αστυνομίας επί της οδού Κανελλοπούλου 4, Τ.Κ. 101 77, στην Αθήνα, όπου και είναι Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr -1- εγκατεστημένο το εν λόγω σύστημα και επίσης στεγάζονται και τα αρμόδια για το σύστημα Τμήματα της Ελληνικής Αστυνομίας, όπως αυτά περιγράφονται στη συνέχεια, από τους Φίλιππο Μίτλεττον, Προϊστάμενο – κατά την περίοδο του ελέγχου – του Τμήματος Ελεγκτών της Αρχής, και του ελεγκτές της Αρχής Έλενα Μαραγκού, Ιωάννη Λυκοτραφίτη και Κωνσταντίνο Λιμνιώτη (εφεξής, ομάδα ελέγχου) μετά από την υπ’ αριθμ. πρωτ. Γ/ΕΞ/5547/27-10-2015 εντολή διενέργειας ελέγχου του Προέδρου της Αρχής. Ο έλεγχος ήταν τακτικός. Ειδικότερα, η Συμφωνία Σένγκεν του 1985 και η Σύμβαση Εφαρμογής της Συμφωνίας Σένγκεν (στο εξής και ΣΕΣΣ), η οποία τέθηκε σε εφαρμογή το 1995, οδήγησαν στην κατάργηση των ελέγχων στα εσωτερικά σύνορα των κρατών που την είχαν υπογράψει, καθώς και στη δημιουργία ενιαίων εξωτερικών συνόρων, στα οποία οι έλεγχοι εισόδου στο «χώρο Σένγκεν» πραγματοποιούνται με βάση τις ίδιες διαδικασίες. Με την ίδια Σύμβαση καθιερώθηκαν κοινοί κανόνες για την έκδοση θεωρήσεων, την παροχή ασύλου και τον έλεγχο στα εξωτερικά σύνορα, ώστε να είναι εφικτή η ελεύθερη κυκλοφορία των προσώπων στο εσωτερικό του «χώρου Σένγκεν» χωρίς παράλληλα να διαταράσσεται η δημόσια ασφάλεια. Το Ελληνικό Κοινοβούλιο επικύρωσε τη Συμφωνία και τη Σύμβαση Εφαρμογής της Συμφωνίας Σένγκεν με το νόμο 2514/26-06-

1. Το Σύστημα Πληροφοριών Schengen (Schengen Information System - εφεξής, SIS) είναι ένα μεγάλο πληροφοριακό σύστημα, το οποίο αναπτύχθηκε ως μέτρο αντισταθμιστικού χαρακτήρα έναντι της κατάργησης των ελέγχων στα εσωτερικά σύνορα της Ε.Ε., και αποσκοπεί στην εξασφάλιση υψηλού επίπεδου ασφάλειας εντός ενός χώρου ελευθερίας, ασφάλειας και δικαιοσύνης, συμπεριλαμβανομένης της τήρησης της δημόσιας ασφάλειας και τάξης και της προστασίας της ασφάλειας στο έδαφος των κρατών μελών. Βάσει συγκεκριμένων άρθρων της Συνθήκης, τα κράτη μέλη τροφοδοτούν το SIS με πληροφορίες, οι οποίες υπάγονται σε δύο κατηγορίες: η πρώτη αφορά αναζητούμενα πρόσωπα (διωκόμενοι, εξαφανισμένοι ενήλικες και ανήλικοι κλπ.), ενώ η δεύτερη αφορά αναζητούμενα οχήματα ή αντικείμενα. Δεδομένης της προόδου που πραγματοποιήθηκε στον τομέα των τεχνολογιών της πληροφορικής, κρίθηκε απαραίτητη η ανάπτυξη ενός νέου συστήματος με πλέον προηγμένες λειτουργίες, βασισμένου σε τεχνολογίες αιχμής. Κατά συνέπεια, στον Κανονισμό (EΚ) αριθ. 1987/2006 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 20ής Δεκεμβρίου 2006 και στην Απόφαση 2007/533/ΔΕΥ του Συμβουλίου της 12ης Ιουνίου 2007, θεσπίζονται ρυθμίσεις σχετικά με τη δημιουργία, τη λειτουργία και τη χρήση -2- του Συστήματος Πληροφοριών Σένγκεν δεύτερης γενιάς (εφεξής, SIS II). Με απόφασή του, το αρμόδιο Συμβούλιο Υπουργών Δικαιοσύνης και Εσωτερικών Υποθέσεων της 7-32013, όρισε την 9η Απριλίου 2013 ως ημέρα μετάπτωσης όλου του χώρου Σένγκεν από το αρχικό σύστημα SIS (αναφερόμενο και ως SIS I) στο SIS II. Το SIS II εφαρμόζεται, με επιμέρους εξαιρέσεις, σε όλα τα κράτη μέλη της ΕΕ, αλλά και στα τέσσερα συνδεδεμένα κράτη - μέλη της Ευρωπαϊκής Ζώνης Ελευθέρων Συναλλαγών: Ισλανδία, Νορβηγία, Ελβετία και Λιχτενστάιν. Το SIS II εστιάζει – όπως και το SIS I - σε δύο μεγάλες κατηγορίες πληροφοριών οι οποίες λαμβάνουν τη μορφή καταχωρίσεων σχετικά, κατά πρώτον, με πρόσωπα - τα οποία καταζητούνται, έχουν εξαφανιστεί, αναζητούνται για συνδρομή σε δικαστική διαδικασία, για διακριτικούς ή συγκεκριμένους ελέγχους, ή είναι υπήκοοι τρίτων χωρών οι οποίοι υπόκεινται σε απαγόρευση εισόδου ή διαμονής στον χώρο Σένγκεν, και, δεύτερον, με αντικείμενα - όπως οχήματα, ταξιδιωτικά έγγραφα, πιστωτικές κάρτες, για κατάσχεση ή χρήση ως αποδεικτικά στοιχεία σε δικαστικές διαδικασίες, ή για διακριτικούς ή συγκεκριμένους ελέγχους. Ανάλογα με το είδος της καταχώρισης, το SIS II διέπεται είτε από τον Κανονισμό (ΕΚ) αριθ. 1987/2006 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 20ής Δεκεμβρίου 2006 σχετικά με τη δημιουργία, τη λειτουργία και τη χρήση του Συστήματος Πληροφοριών Σένγκεν δεύτερης γενιάς για τις διαδικασίες καταχώρισης που εμπίπτουν στον Τίτλο IV της συνθήκης για την ίδρυση της Ευρωπαϊκής Κοινότητας - πρώην πρώτος πυλώνας - (εφεξής καλούμενος «Κανονισμός SIS II») ή από την απόφαση 2007/533/ΔΕΥ του Συμβουλίου της 12ης Ιουνίου 2007 σχετικά με την εγκατάσταση, τη λειτουργία και τη χρήση του συστήματος πληροφοριών Σένγκεν δεύτερης γενιάς (SIS II) όσον αφορά τις διαδικασίες που εμπίπτουν στον Τίτλο VI της συνθήκης για την ίδρυση της Ευρωπαϊκής Κοινότητας - πρώην τρίτος πυλώνας - (εφεξής καλούμενη «Απόφαση SIS II»). Περαιτέρω, το SIS II διέπεται και από τον Κανονισμό (ΕΚ) 1986/2006 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με την πρόσβαση σε αυτό των υπηρεσιών των Κρατών Μελών που είναι υπεύθυνες για την έκδοση αδειών κυκλοφορίας οχημάτων, ο οποίος αντικατέστησε το άρθρο 102Α της Συνθήκης Σένγκεν. Οι κύριες μεταβολές που επέφερε το SIS II αφορούν τις τεχνικές δυνατότητες του συστήματος, την καλύτερη δυνατότητα αναζήτησης δεδομένων (αυξημένα κριτήρια αναζήτησης) και παροχή περισσότερων πληροφοριών στα δεδομένα του συστήματος. Όταν η καταχώριση στο SIS II αφορά πρόσωπο, πρέπει πάντα να περιλαμβάνονται το όνομα, το επώνυμο και τυχόν ψευδώνυμα, το φύλο, στοιχεία της απόφασης βάσει της -3- οποίας εισάγεται η καταχώριση και η ακολουθητέα τακτική. Η καταχώριση μπορεί επίσης να περιλαμβάνει, αν υπάρχουν, πληροφορίες, όπως ιδιαίτερα, αντικειμενικά και αναλλοίωτα φυσικά χαρακτηριστικά, τον τόπο και την ημερομηνία γέννησης, φωτογραφίες, δακτυλικά αποτυπώματα, την ιθαγένεια ή ιθαγένειες, ένδειξη ότι το εν λόγω πρόσωπο οπλοφορεί, είναι βίαιο ή έχει αποδράσει, τον λόγο της καταχώρισης, την αρχή που εισάγει την καταχώριση, συνδέσμους με άλλες καταχωρίσεις που έχουν εισαχθεί στο SIS II δυνάμει του άρθρου 37 του κανονισμού για το SIS II ή του άρθρου 52 της απόφασης για το SIS II. Το SIS II απαρτίζεται από ένα κεντρικό σύστημα (εφεξής «κεντρικό SIS II»), ένα εθνικό σύστημα (εφεξής «N.SIS II») σε κάθε κράτος μέλος, το οποίο επικοινωνεί με το Κεντρικό SIS II, και μία επικοινωνιακή υποδομή ανάμεσα στο κεντρικό σύστημα και τα εθνικά συστήματα που παρέχει κρυπτογραφημένο εικονικό δίκτυο χρησιμοποιούμενο μόνο για τα δεδομένα του SIS II και την ανταλλαγή δεδομένων μεταξύ των αρχών που είναι υπεύθυνες για την ανταλλαγή όλων των συμπληρωματικών πληροφοριών. Κάθε κράτος μέλος είναι υπεύθυνο για τη δημιουργία, τη λειτουργία και τη συντήρηση του εθνικού συστήματός του και για τη σύνδεσή του με το κεντρικό σύστημα και ορίζει μια αρχή, την εθνική υπηρεσία SIS II (υπηρεσία N.SIS II), η οποία έχει την κεντρική ευθύνη για το εθνικό σχέδιο SIS II. Η αρχή αυτή είναι υπεύθυνη για την ομαλή λειτουργία και ασφάλεια του εθνικού της συστήματος. Περαιτέρω, κάθε κράτος μέλος του χώρου Σένγκεν, οφείλει να συγκροτήσει κεντρική αρχή, η οποία θα λειτουργεί ως ενιαίο σημείο επαφής και συντονισμού για την ανταλλαγή συμπληρωματικών πληροφοριών σχετικά με δεδομένα που είναι καταχωρημένα στο σύστημα. Το εν λόγω σημείο επαφής, καλείται «Τμήμα SIRENE» (Supplementary Information REquest at the National Entries). Σε εθνικό επίπεδο, την ευθύνη της εύρυθμης λειτουργίας του Ν.SIS II (εγκατάσταση, τεχνική υποστήριξη, παρακολούθηση της απόδοσης και εξασφάλιση της ομαλής λειτουργίας) έχει το Τμήμα Επιχειρησιακής Λειτουργίας της Διεύθυνσης Πληροφορικής του Αρχηγείου της Ελληνικής Αστυνομίας (βλ. άρ. 22 παρ. 4 του Π.Δ. 178/2014 σχετικά με την οργάνωση των Υπηρεσιών της Ελληνικής Αστυνομίας). Επίσης, το 3ο Τμήμα SIRENE της Διεύθυνσης Διεθνούς Αστυνομικής Συνεργασίας του Αρχηγείου της Ελληνικής Αστυνομίας έχει την ευθύνη της διαχείρισης των πληροφοριών που είναι καταχωρημένα στο SIS II (σύμφωνα με το άρ. 8 παρ. 4 του Π.Δ. 178/2014), κατά τα προβλεπόμενα στα άρ. 7 παρ. 2 της Απόφασης SIS II και του Κανονισμού SIS II αναφορικά με την ανταλλαγή συμπληρωματικών πληροφοριών σχετικών με τα δεδομένα -4- που είναι καταχωρημένα στο SIS II. Ως εγγύηση των δικαιωμάτων των πολιτών, η ΣΕΣΣ περιέχει ειδικό κεφάλαιο για την προστασία των προσωπικών δεδομένων και την ασφάλεια αυτών στο πλαίσιο λειτουργίας του Συστήματος Πληροφοριών Schengen (άρθρα 102 – 118). Ειδικότερα, η ΣΕΣΣ προβλέπει, μεταξύ άλλων, τη λειτουργία μιας ανεξάρτητης Αρχής Ελέγχου σε κάθε συμβαλλόμενο κράτος, η οποία είναι αρμόδια να ασκεί ανεξάρτητο έλεγχο του αρχείου του εθνικού τμήματος του συστήματος πληροφοριών Σένγκεν και να ελέγχει αν η επεξεργασία και η χρήση των καταχωρημένων στο σύστημα πληροφοριών Σένγκεν δεδομένων παραβιάζουν τα δικαιώματα των ενδιαφερομένων προσώπων (άρθρο 114 ΣΕΣΣ). Αντίστοιχα, τόσο o Κανονισμός SIS II όσο και η Απόφαση SIS II περιέχουν επίσης ειδικό Κεφάλαιο για την προστασία των προσωπικών δεδομένων. Στο κεφάλαιο αυτό προβλέπεται ότι ανεξάρτητη αρχή σε κάθε Κράτος Μέλος θα ασκεί ανεξάρτητο έλεγχο ως προς τη νομιμότητα της επεξεργασίας των προσωπικών δεδομένων του SIS II στο έδαφος του κράτους μέλους στο οποίο υπάγονται και τη διαβίβασή τους από το έδαφος αυτό, καθώς και ως προς την ανταλλαγή και περαιτέρω επεξεργασία συμπληρωματικών πληροφοριών. Ειδικότερα, ορίζεται ότι η εθνική εποπτική αρχή μεριμνά ώστε να διενεργείται τουλάχιστον ανά τετραετία έλεγχος των λειτουργιών επεξεργασίας δεδομένων που επιτελούνται στο N.SIS II σύμφωνα με τα διεθνή πρότυπα ελέγχου. Στην Ελλάδα η σχετική αρμοδιότητα εποπτείας έχει ανατεθεί με το άρθρο 19 παρ. 1 στοιχ. ιε΄ του ν. 2472/1997 στην Αρχή. Στο πλαίσιο της αρμοδιότητας αυτής η Αρχή πραγματοποίησε τον ως άνω αναφερόμενο επιτόπιο διοικητικό έλεγχο στο εθνικό Σύστημα Πληροφοριών Schengen δεύτερης γενιάς (N. SIS II) αναφορικά με την προστασία και την ασφάλεια των προσωπικών δεδομένων που υφίστανται επεξεργάζονται στο πλαίσιο της λειτουργίας του εν λόγω συστήματος. Για την πραγματοποίηση του εν λόγω ελέγχου, όσον αφορά ιδίως στα θέματα ασφάλειας του πληροφοριακού συστήματος N.SIS II, υιοθετήθηκε το πλαίσιο διενέργειας ελέγχων που καταρτίστηκε από την υπό-ομάδα εμπειρογνωμόνων-πληροφορικών της Ομάδας Συντονισμού Εποπτείας του Συστήματος Πληροφοριών Σένγκεν 2ης γενιάς (στην οποία συμμετέχει, από την Ελληνική Αρχή, ο Ι. Λυκοτραφίτης, πληροφορικός ελεγκτής). Το κοινό αυτό πλαίσιο διενέργειας ελέγχων ασφαλείας σε μεγάλης κλίμακας ολοκληρωμένα πληροφοριακά συστήματα, όπως είναι το SIS II, καταρτίστηκε με στόχο, μεταξύ άλλων, να παράγονται συγκρίσιμα αποτελέσματα τόσο από ελέγχους μεταξύ διαφορετικών Κρατών Μελών όσο και από ελέγχους από το ίδιο Κράτους Μέλος αλλά σε -5- διαφορετικές χρονικές περιόδους. Δεδομένου ότι στον Κανονισμό SIS II (άρ. 44, παρ. 2) αναφέρεται ότι η εθνική εποπτική αρχή μερινά για την πραγματοποίηση ελέγχων των λειτουργιών επεξεργασίας δεδομένων που επιτελούνται στο N.SIS II σύμφωνα με τα διεθνή πρότυπα ελέγχου, το πλαίσιο αυτό βασίστηκε στα διεθνή πρότυπα ασφαλείας ISO 27001 και 27002, ως τα πιο διαδεδομένα σχετικά πρότυπα. Στο πλαίσιο εκπόνησης του εν λόγω διοικητικού ελέγχου στο εθνικό N.SIS II, η Αρχή απέστειλε αρχικά προς το Τμήμα SIRENE της Δ/νσης Διεθνούς Αστυνομικής Συνεργασίας της Ελληνικής Αστυνομίας το υπ’ αριθμ. πρωτ. Γ/ΕΞ/4155-2/09-10-2015 έγγραφο, με το οποίο ενημέρωσε περί του επικείμενου ελέγχου και του σκοπού αυτού – ήτοι να διαπιστωθεί ότι η επεξεργασία δεδομένων που επιτελείται στο N.SIS II είναι σύμφωνη με τις διατάξεις για την προστασία προσωπικών δεδομένων που προβλέπονται στον Κανονισμό SIS II, στην Απόφαση SIS II, καθώς και στο ν. 2472/
2. Με το ίδιο έγγραφο η Αρχή απέστειλε επίσης ερωτηματολόγιο ειδικά για τα θέματα ασφαλείας του πληροφοριακού συστήματος N.SIS II, στα οποία – μεταξύ άλλων – επρόκειτο να επικεντρωθεί ο έλεγχος, προκειμένου να αποσταλούν - προ του επιτόπιου ελέγχου απαντήσεις επ’ αυτού. Επίσης, για κάθε ερώτηση του ερωτηματολογίου, αναφερόταν και λίστα ενδεικτικών πειστηρίων για την τεκμηρίωση της απάντησης. Το ερωτηματολόγιο αυτό εντάσσεται στο ως άνω αναφερόμενο κοινό πλαίσιο ελέγχων. Η Ελληνική Αστυνομία απέστειλε στην Αρχή τις απαντήσεις της στο εν λόγω ερωτηματολόγιο με το υπ’ αριθμ. πρωτ. Αρχής Α/ΕΙΣ/133/29-10-2015 έγγραφο. Στη συνέχεια, η Αρχή ενημέρωσε το Τμήμα SIRENE της Δ/νσης Διεθνούς Αστυνομικής Συνεργασίας της Ελληνικής Αστυνομίας, με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/5548/27-10-2015 έγγραφο, περί των ημερομηνιών όπου θα πραγματοποιείτο ο επιτόπιος έλεγχος. Σε συνέχεια αυτού, σύμφωνα και με την ως άνω αναφερόμενη εντολή διενέργειας ελέγχου του Προέδρου της Αρχής, η ομάδα ελέγχου πραγματοποίησε στις 2 και 3 Νοεμβρίου 2015 έλεγχο στις εγκαταστάσεις της Ελληνικής Αστυνομίας επί της διεύθυνσης Κανελλοπούλου 4, Τ.Κ. 101 77, Αθήνα, όπου βρίσκεται το πληροφοριακό σύστημα N.SIS II και επίσης στεγάζονται οι αρμόδιες Υπηρεσίες της Ελληνικής Αστυνομίας. Από την πλευρά της Ελληνικής Αστυνομίας στον έλεγχο παρέστησαν από το Γραφείο SIRENE της Διεύθυνσης Διεθνούς Αστυνομικής Συνεργασίας οι κκ. Α, Προϊστάμενος του Τμήματος, και Β, από τη Διεύθυνση Πληροφορικής οι κκ. Γ, Προϊστάμενος Τμ. Ασφάλειας Πληροφοριών -6- και Προσωπικών Δεδομένων, Δ, Προϊστάμενος Γραφείου Ασφάλειας Πληροφοριών και Ανάλυσης Επικινδυνότητας, Ε, Προϊστάμενος Γρ. Τεχνικής Υποστήριξης N.SIS ΙΙ του Τμήματος Επιχειρησιακής Λειτουργίας, και ΣΤ, υπάλληλος του Τμήματος Ασφάλειας Πληροφοριών και Προσωπικών Δεδομένων, και από την Διεύθυνση Αλλοδαπών, ο κ. Ζ, Διευθυντής. Ο έλεγχος επικεντρώθηκε: α) στην τήρηση των βασικών αρχών επεξεργασίας των δεομένων, ήτοι αρχή του σκοπού, της αναλογικότητας και χρόνου τήρησης των δεδομένων καθώς και στον τρόπο και στη διαδικασία άσκησης των δικαιωμάτων των υποκειμένων, και β) στα οργανωτικά, τεχνικά και μέτρα φυσικής ασφαλείας που εφαρμόζονται κατά την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της λειτουργίας του συστήματος N.SIS II. Η ως άνω εντολή διενέργειας ελέγχου επιδόθηκε στους εκπροσώπους της Ελληνικής Αστυνομίας, οι οποίοι παρείχαν στην ομάδα ελέγχου πληροφορίες τόσο για τις διαδικασίες που συνολικά ακολουθούνται στο πλαίσιο της λειτουργίας του συστήματος N.SIS II, όσο και σχετικά με οργανωτικές και τεχνολογικές υποδομές του συστήματος. Κατά τον επιτόπιο έλεγχο, η ομάδα ελέγχου πραγματοποίησε παράλληλα συνεντεύξεις με αρμόδιους υπαλλήλους της Ελληνικής Αστυνομίας της Διεύθυνσης Διεθνούς Αστυνομικής Συνεργασίας (Τμήμα SIRENE), της Διεύθυνσης Πληροφορικής (Τμήμα Επιχειρησιακής Λειτουργίας και Τμήμα Ασφάλειας Πληροφοριών και Προστασίας Προσωπικών Δεδομένων) και της Διεύθυνσης Αλλοδαπών. Οι αρμοδιότητες των εν λόγω Τμημάτων και της Διεύθυνσης, σε σχέση με το N.SIS II, είναι οι ακόλουθες: α) Το Τμήμα SIRENE ανταλλάσσει πληροφορίες με τα Εθνικά Γραφεία SIRENE των λοιπών συμβαλλομένων μερών της ΣΕΣΣ, διενεργεί διαβουλεύσεις με τα συμβαλλόμενα μέρη, όπου αυτό απαιτείται, για την καταχώριση ή μη συμπληρωματικών στοιχείων ή τη διαγραφή στοιχείων στο Ν.SIS, στα πλαίσια εφαρμογής της ΣΕΣΣ, μεριμνά για την εξασφάλιση της συνεργασίας με τις λοιπές εθνικές Υπηρεσίες και τους διεθνείς φορείς, στην αρμοδιότητα των οποίων ανάγεται ο χειρισμός θεμάτων αναφερομένων στη ΣΕΣΣ κ.α. (βλ. άρ. 8 παρ. 4 του Π.Δ. 178/2014 σχετικά με την οργάνωση των Υπηρεσιών της Ελληνικής Αστυνομίας). β) Στο Τμήμα Επιχειρησιακής Λειτουργίας υπάγεται το λεγόμενο ως Γραφείο SIS, το οποίο είναι υπεύθυνο για την εγκατάσταση, τεχνική υποστήριξη, παρακολούθηση της απόδοσης και εξασφάλιση της ομαλής λειτουργίας του N.SIS II, συμπεριλαμβανομένων των διασυνδέσεών του με πληροφοριακά συστήματα τρίτων φορέων, καθώς και της τήρησης της αντίστοιχης βάσης δεδομένων (βλ. άρ. 22 παρ. 4 του Π.Δ. 178/2014 σχετικά -7- με την οργάνωση των Υπηρεσιών της Ελληνικής Αστυνομίας). γ) Το Τμήμα Ασφάλειας Πληροφοριών και Προστασίας Προσωπικών Δεδομένων είναι αρμόδιο για συνολικά θέματα ασφάλειας πληροφοριών των συστημάτων και υποδομών της Ελληνικής Αστυνομίας, όπως η σύνταξη, ανασκόπηση και επικαιροποίηση της Πολιτικής Ασφάλειας Πληροφοριών και Πληροφοριακών Συστημάτων, η παρακολούθηση και η γνωμάτευση επί περιστατικών που σχετίζονται με την ασφάλεια πληροφοριών και την προστασία προσωπικών δεδομένων κτλ. (βλ. άρ. 22 παρ. 5 του Π.Δ. 178/2014 σχετικά με την οργάνωση των Υπηρεσιών της Ελληνικής Αστυνομίας). δ) Η Διεύθυνση Αλλοδαπών είναι αρμόδια για τη καταχώριση ή διαγραφή κατά περίπτωση στους καταλόγους ανεπιθύμητων ( βλ. άρθρ. 12 του Π.Δ. 178/2014 σχετικά με την οργάνωση των Υπηρεσιών της Ελληνικής Αστυνομίας). Η αρμοδιότητα αυτή συγκεκριμενοποιείται περαιτέρω, στο άρθρο 2 της υπ’ αριθμ. 4000/4/32-λα΄ από 5.10.2012 κοινής υπουργικής απόφασης για τα κριτήρια και διαδικασία εγγραφής και διαγραφής αλλοδαπών στον Εθνικό Κατάλογο Ανεπιθύμητων Αλλοδαπών, όπως τροποποιήθηκε με την υπ’ αριθμ. 4000/4/32-ν΄ κοινή υπουργική απόφαση από 31.3.2017 προκειμένου να εναρμονιστούν οι διατάξεις της με αυτές των ν. 4055/2012 και ν. 4322/
3. Παράλληλα, η Διεύθυνση Αλλοδαπών έχει την αρμοδιότητα για τις καταχωρίσεις με σκοπό την απαγόρευση εισόδου ή διαμονής υπηκόων τρίτης χώρας κατά το άρθρ. 24 του Κανονισμού 1987/2006, οι οποίες πραγματοποιούνται με απόφαση του Διευθυντή της Διεύθυνσης Αλλοδαπών, εφόσον υπάρχει εγγραφή στον Εθνικό Κατάλογο Ανεπιθύμητων Αλλοδαπών. Ειδικότερα, η Διεύθυνση Αλλοδαπών του Αρχηγείου της ΕΛ.ΑΣ. είναι αρμόδια για τις καταχωρίσεις που πραγματοποιούνται μέσω πληροφοριών και στοιχείων, οι οποίες τροφοδοτούνται από τις ελληνικές πρεσβείες και προξενεία στην περίπτωση που συντρέχουν λόγοι δημοσίας τάξης και ασφάλειας, που σχετίζονται με ενδείξεις τέλεσης σοβαρής αξιόποινης πράξης στο εξωτερικό, ενώ για όλες τις υπόλοιπες καταχωρίσεις η αρμοδιότητα ανήκει στη Διεύθυνση Αλλοδαπών Αττικής, στα περιφερειακά γραφεία Αλλοδαπών και στη Διεύθυνση Κρατικής Ασφάλειας της ΕΛ.ΑΣ. Επίσης, στο πλαίσιο του ελέγχου, ως προς τα θέματα ασφαλείας του πληροφοριακού συστήματος N.SIS II, η ομάδα ελέγχου ζήτησε μια σειρά ηλεκτρονικών πειστηρίων (εφεξής Πειστήρια). Τα πειστήρια ήταν ηλεκτρονικά, συγκεντρώθηκαν και παραδόθηκαν από το Τμήμα Ασφάλειας Πληροφοριών και Προστασίας Προσωπικών Δεδομένων κατά τον έλεγχο ως συμπιεσμένο ηλεκτρονικό αρχείο. Τα εν λόγω πειστήρια υποβλήθηκαν στην Αρχή με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/5776/06-11-2015 έγγραφο: για τη -8- διασφάλιση της ακεραιότητας των ηλεκτρονικών πειστηρίων εφαρμόστηκε κρυπτογραφικός αλγόριθμος κατακερματισμού (cryptographic hash function) με χρήση κατάλληλου λογισμικού. Στη συνέχεια, το πρωτόκολλο παραλαβής των πειστηρίων εστάλη, με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/5866/11-11-2015 έγγραφο, στο ως άνω Τμήμα. Ακολούθως, η ομάδα ελέγχου συνέταξε τα Πρακτικά του ελέγχου (εφεξής Πρακτικά) ως προς το σκέλος της ασφάλειας του πληροφοριακού συστήματος N.SIS II, στα οποία καταγράφονται οι απαντήσεις/διευκρινήσεις του ελεγχόμενου φορέα, καθώς και επιτόπιες παρατηρήσεις της ομάδας ελέγχου. Τα Πρακτικά απεστάλησαν με το υπ’ αριθμ. πρωτ. Α/ΕΞ/29/09-03-2016 έγγραφο της Αρχής στον ελεγχόμενο φορέα για υποβολή σχολίων ή/και παρατηρήσεων. Ο ελεγχόμενος φορέας απάντησε με το με αρ. πρωτ. 1795/16/609085 και από 29-03-2016 έγγραφο (αρ. πρωτ. Αρχής: Α/ΕΙΣ/38/01-04-2016), ενώ ακολούθως ζητήθηκαν από την Αρχή νέες διευκρινίσεις με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/2511/19-04-2016 έγγραφο, οι οποίες παρασχέθηκαν με το με αρ. πρωτ. 1795/16/800627 και από 23-04-2016 έγγραφο της Δ/νσης Πληροφορικής της Ελληνικής Αστυνομίας (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/2798/28-04-2016), οπότε και τα εν λόγω Πρακτικά – λαμβάνοντας υπόψη και τα σχόλια του ελεγχόμενου φορέα – οριστικοποιήθηκαν με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/4830/29-07-2016) έγγραφο. Τα Πρακτικά περιέχουν επίσης συνημμένη τη λίστα με τα Πειστήρια. Στη συνέχεια, η ομάδα ελέγχου μελέτησε τα Πρακτικά σε συνδυασμό με τα Πειστήρια. Ακολούθως συνέταξε Πόρισμα Διοικητικού Ελέγχου (εφεξής, Πόρισμα), το οποίο υπέβαλε στην Αρχή με το υπ’ αρ. πρωτ. Α/ΕΙΣ/20/06-03-2018 έγγραφο και στο οποίο καταγράφονται μεταξύ άλλων τα ευρήματα αναφορικά με μέτρα ασφάλειας ή διαδικασίες προστασίας προσωπικών δεδομένων που εντοπίστηκαν, καθώς και συστάσεις για την αντιμετώπιση των κινδύνων που δημιουργούνται. Η Αρχή, μετά από εξέταση των προαναφερομένων στοιχείων, αφού άκουσε τον εισηγητή και τους βοηθούς εισηγητές, οι οποίοι στη συνέχεια αποχώρησαν, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
4. Το άρθρο 2 ν. 2472/1997 ορίζει ότι «δεδομένα προσωπικού χαρακτήρα» είναι «κάθε πληροφορία που αναφέρεται στο υποκείμενο των δεδομένων». «Υποκείμενο των δεδομένων» είναι «το φυσικό πρόσωπο στο οποίο αναφέρονται τα δεδομένα, και του -9- οποίου η ταυτότητα είναι γνωστή ή μπορεί να εξακριβωθεί, δηλαδή μπορεί να προσδιορισθεί αμέσως ή εμμέσως, ιδίως βάσει αριθμού ταυτότητας ή βάσει ενός η περισσότερων συγκεκριμένων στοιχείων που χαρακτηρίζουν την υπόστασή του από άποψη φυσική, βιολογική, ψυχική, οικονομική, πολιτιστική, πολιτική ή κοινωνική». Στο ίδιο άρθρο ορίζεται ως επεξεργασία δεδομένων προσωπικού χαρακτήρα «κάθε εργασία ή σειρά εργασιών που πραγματοποιείται, από το Δημόσιο ή από νομικό πρόσωπο δημοσίου δικαίου ή ιδιωτικού δικαίου ή ένωση προσώπων ή φυσικό πρόσωπο με ή χωρίς τη βοήθεια αυτοματοποιημένων μεθόδων και εφαρμόζονται σε δεδομένα προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διατήρηση ή αποθήκευση, η τροποποίηση, η εξαγωγή, η χρήση, η διαβίβαση, η διάδοση ή κάθε άλλης μορφής διάθεση, η συσχέτιση ή ο συνδυασμός, η διασύνδεση, η δέσμευση (κλείδωμα), η διαγραφή, η καταστροφή» και ως υπεύθυνος επεξεργασίας «οποιοσδήποτε καθορίζει το σκοπό και τον τρόπο επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, όπως φυσικό ή νομικό πρόσωπο, δημόσια αρχή ή υπηρεσία ή οποιοσδήποτε άλλος οργανισμός», ενώ ως εκτελών την επεξεργασία ορίζεται «οποιοσδήποτε επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό υπευθύνου επεξεργασίας, όπως φυσικό ή νομικό πρόσωπο, δημόσια αρχή ή υπηρεσία ή οποιοσδήποτε άλλος οργανισμός».
5. Το άρθρο 4 του ν. 2472/1997 προβλέπει ότι «Τα δεδομένα προσωπικού χαρακτήρα για να τύχουν νόμιμης επεξεργασίας πρέπει : α) Να συλλέγονται κατά τρόπο θεμιτό και νόμιμο για καθορισμένους, σαφείς και νόμιμους σκοπούς και να υφίστανται θεμιτή και νόμιμη επεξεργασία ενόψει των σκοπών αυτών. β) Να είναι συναφή, πρόσφορα, και όχι περισσότερα από όσα κάθε φορά απαιτείται εν όψει των σκοπών της επεξεργασίας. γ) Να είναι ακριβή και, εφόσον χρειάζεται, να υποβάλλονται σε ενημέρωση. δ) Να διατηρούνται σε μορφή που να επιτρέπει τον προσδιορισμό της ταυτότητας των υποκειμένων τους μόνο κατά τη διάρκεια της περιόδου που απαιτείται, κατά την κρίση της Αρχής, για την πραγματοποίηση των σκοπών της συλλογής τους και της επεξεργασίας τους.» Ιδίως ως προς το χρόνο τήρησης, σημειώνεται ότι, σύμφωνα με τα άρθρ. 29 του Κανονισμού SIS II και του άρθρ. 44 της Απόφασης SIS II, η σκοπιμότητα της διατήρησης των καταχωρίσεων επανεξετάζεται εντός τριετίας, ενώ για τις καταχωρίσεις που αφορούν πρόσωπα με σκοπό τη διακριτική παρακολούθηση ή τον ειδικό έλεγχο η εν λόγω επανεξέταση γίνεται εντός ενός έτους. -10-
6. Σύμφωνα με τα άρθρ. 12 και 13 του ν. 2472/1997 το υποκείμενο των δεδομένων έχει δικαίωμα πρόσβασης στα δεδομένα που το αφορούν και το δικαίωμα να προβάλλει αντιρρήσεις για την επεξεργασία που το αφορά, αντίστοιχα. Τα ίδια αυτά δικαιώματα περιλαμβάνονται και στο άρθρ. 41 του Κανονισμού 1987/2006 SIS II και στο άρθρ. 58 της Απόφασης 2007/533 SIS II. Συγκεκριμένα, βάσει των ανωτέρω, το υποκείμενο των δεδομένων έχει δικαίωμα αφενός, να ζητεί και να λαμβάνει από τον υπεύθυνο επεξεργασίας πρόσβαση στα δεδομένα που το αφορούν και καταχωρίζονται στο SIS II και αφετέρου, να ζητεί τη διόρθωση ή και διαγραφή δεδομένων, ως ειδικότερη μορφή του δικαιώματος αντίρρησης, που το αφορούν και περιέχουν πραγματικό ή νομικό σφάλμα. Ο υπεύθυνος επεξεργασίας υποχρεούται να απαντήσει εντός δεκαπέντε