Αθήνα, 25-07-2022 Αριθ. Πρωτ.: 1904 ΓΝΩΜΟΔΟΤΗΣΗ 1/2022 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της σε συνεδρίαση μέσω τηλεδιασκέψεως την Πέμπτη 21.07.2022 και ώρα 11:30 π.μ, εξ αναβολής από την 19η.07.2022, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, Χαράλαμπος Ανθόπουλος, Χρήστος Καλλονιάτης, ως εισηγητής, Αικατερίνη Ηλιάδου και Γρηγόριος Τσόλιας, ως εισηγητής. Παρόντες, χωρίς δικαίωμα ψήφου, ήταν οι Χαρίκλεια Λάτσιου, Γεωργία Παναγοπούλου και Γιώργος Ρουσόπουλος, ως βοηθοί εισηγητών και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Στην Αρχή υποβλήθηκε το υπ’ αρ. πρωτ. ΔΙΔΑΔ/Φ.64/829/οικ.10741/1.7.2022 (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/8511/05.07.2022) έγγραφο του Υπουργείου Εσωτερικών, με το οποίο διαβιβάζεται προσχέδιο προεδρικού διατάγματος για τη ρύθμιση θεμάτων προστασίας δεδομένων προσωπικού χαρακτήρα κατά την τηλεργασία στον δημόσιο τομέα, κατ’ εξουσιοδότηση της παρ. 1 του άρθρου 19 ν. 4807/2021 «Θεσμικό πλαίσιο τηλεργασίας, διατάξεις για το ανθρώπινο δυναμικό του δημοσίου τομέα και άλλες επείγουσες ρυθμίσεις», και ζητείται η γνώμη της Αρχής. Το άρθρο 19 παρ. 1 ν. 4807/2021 προβλέπει: «Με διάταγμα, που εκδίδεται ύστερα από πρόταση των Υπουργών Εσωτερικών, Ψηφιακής Διακυβέρνησης και Δικαιοσύνης και κατόπιν γνώμης της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, μέσα σε έξι
(6)1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr μήνες από τη δημοσίευση του παρόντος, ρυθμίζονται ειδικότερα τα θέματα προστασίας των προσωπικών δεδομένων, όπως ορίζονται στο Κεφάλαιο Β΄. Με το ίδιο διάταγμα, δύναται να εξειδικεύονται περαιτέρω τα κατάλληλα τεχνικά και οργανωτικά μέτρα ασφαλείας για την προστασία των δεδομένων των τηλεργαζομένων και τρίτων φυσικών προσώπων, οι υποχρεώσεις των υπευθύνων επεξεργασίας δεδομένων και κάθε άλλη αναγκαία λεπτομέρεια για την προστασία των δεδομένων κατά την εκτέλεση της τηλεργασίας. Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα εκδίδει τη γνώμη της εντός αποκλειστικής προθεσμίας δεκαπέντε
(15)ημερών από την αποστολή σε αυτήν του σχεδίου προεδρικού διατάγματος από το επισπεύδον Υπουργείο. Η άπρακτη παρέλευση της ως άνω προθεσμίας δεν κωλύει την έκδοση του προεδρικού διατάγματος». Το κεφάλαιο Β΄ του ανωτέρω αναφερόμενου νόμου (άρθρα 5 – 7) καθορίζει τις αρχές της τηλεργασίας και προβλέπει ρυθμίσεις για την προστασία των δεδομένων προσωπικού χαρακτήρα. Επιπλέον, στις διατάξεις των άρθρων 1, 3, 4, 8, 9, 10 του εξεταζόμενου προσχεδίου Προεδρικού Διατάγματος, το οποίο παρατίθεται ως παράρτημα της παρούσης, εξειδικεύονται το πεδίο εφαρμογής, το αντικείμενο της ρύθμισης και η νομική βάση, οι κατηγορίες δεδομένων προσωπικού χαρακτήρα, τα δικαιώματα των υποκειμένων των δεδομένων, οι πολιτικές και οι διαδικασίες ασφάλειας δεδομένων προσωπικού χαρακτήρα και οι υποχρεώσεις του τηλεργαζόμενου, αντίστοιχα, και ως εκ τούτου οι σχετικές ρυθμίσεις δικαιολογούν την διατύπωση γνώμης της Αρχής. Η Αρχή, μετά από εξέταση των ρυθμίσεων σχετικά με την προστασία δεδομένων προσωπικού χαρακτήρα στο υποβληθέν προσχέδιο Προεδρικού Διατάγματος του Υπουργείου Εσωτερικών κατ’ εξουσιοδότηση του άρθρου 19 παρ. 1 ν. 4807/2021, αφού άκουσε τους εισηγητές και τις διευκρινίσεις από τους βοηθούς εισηγητών, οι οποίοι παρέστησαν χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΕΚΔΙΔΕΙ ΤΗΝ ΑΚΟΛΟΥΘΗ ΓΝΩΜΟΔΟΤΗΣΗ 2
- Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (εφεξής ΓΚΠΔ) (Κανονισμού 2016/679) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Περαιτέρω, η Αρχή έχει αρμοδιότητα να επιληφθεί νομοθετικών ρυθμίσεων σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά την θέσπιση της τηλεργασίας στον δημόσιο τομέα, στο πλαίσιο της συμβουλευτικής της αρμοδιότητας, δυνάμει των άρθρων 57 παρ. 3 στοιχ. β’ ΓΚΠΔ και 13 παρ. 1 στοιχ. γ΄ ν. 4624/
- Εξάλλου, με την διάταξη του άρθρου 19 παρ. 1 ν.4807/2021 ανατίθεται αρμοδιότητα στην Αρχή να ασκήσει την ανωτέρω συμβουλευτική της εξουσία με την έκδοση γνωμοδότησης για τη ρύθμιση ειδικότερων θεμάτων με βάση την εξουσιοδοτική αυτή διάταξη.
- Επειδή, περαιτέρω, η Αρχή εξέδωσε τις Κατευθυντήριες Γραμμές 2/2020 1 σχετικά με την ομαλή εφαρμογή των κανόνων προστασίας δεδομένων προσωπικού χαρακτήρα κατά την λήψη μέτρων ασφαλείας στο πλαίσιο της τηλεργασίας, όπως την πρόσβαση στο δίκτυο, ταχυδρομείου/ανταλλαγής την χρήση μηνυμάτων, εφαρμογών την χρήση ηλεκτρονικού τερματικής συσκευής/αποθηκευτικών μέσων και τον τρόπο πραγματοποίησης τηλεδιασκέψεων. Ακολούθως, η Αρχή με την απόφαση 32/2021 εξέδωσε τις Κατευθυντήριες Γραμμές 1/2021 2 ειδικά για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται κατά την παροχή εργασίας εξ αποστάσεως, ανεξαρτήτως μορφής και είδους απασχόλησης, τόσο στον ιδιωτικό όσο και στον δημόσιο τομέα, με σκοπό να εξειδικευθούν αφενός οι κίνδυνοι, οι κανόνες, οι εγγυήσεις και τα δικαιώματα των υποκειμένων των δεδομένων, και αφετέρου οι υποχρεώσεις των δημοσίων αρχών και ιδιωτικών φορέων, ως υπευθύνων επεξεργασίας, σε συμμόρφωση προς το θεσμικό πλαίσιο προστασίας δεδομένων προσωπικού χαρακτήρα. Διαθέσιμες στην ιστοσελίδα της Αρχής https://www.dpa.gr/el/enimerwtiko/prakseisArxis/kateythyntiries-grammes-gia-ti-lipsi-metronasfaleias-sto-plaisio 2 Διαθέσιμες στην ιστοσελίδα της Αρχής https://www.dpa.gr/el/enimerwtiko/prakseisArxis/kateythyntiries-grammes-12021-shetika-me-tinefarmogi-ton-kanonon. 1 3
- Αναφορικά με το υποβληθέν προσχέδιο Προεδρικού Διατάγματος επισημαίνονται ως γενικές παρατηρήσεις τα ακόλουθα: (α) επανάληψη διατυπώσεων νόμου Το υποβληθέν προσχέδιο Π. Δ/τος επαναλαμβάνει ρυθμίσεις του ν. 4807/2021 και του ΓΚΠΔ 2016/679, χωρίς να εξειδικεύει ειδικότερα τις ρυθμίσεις αυτές (βλ. ιδίως, άρθρα 3 τελευταία παράγραφος, 6, 8, 9 παρ. 3 και 10 προσχεδίου Π. Δ/τος). (β) καθορισμός του ρόλου του υπευθύνου επεξεργασίας σε σχέση με την διαδικτυακή πύλη τηλεργασίας στον δημόσιο τομέα. Στον ν. 4807/2021 καθορίζεται ως υπεύθυνος επεξεργασίας ο φορέας του δημοσίου, ο οποίος ενεργοποιεί την τηλεργασία για τους υπαλλήλους του (άρθρο 6 παρ. 1). Ο εκάστοτε φορέας του δημοσίου, όπως περιγράφεται στο νόμο, προσδιορίζει τόσο τον σκοπό επεξεργασίας (δηλ. την παροχή τηλεργασίας από τους υπαλλήλους) όσο και τα μέσα αυτής (πρόσβαση στο δίκτυο, αποκλειστική χρήση επίσημου ηλεκτρονικού ταχυδρομείου, χρήση τερματικής συσκευής και αποθηκευτικών μέσων, καταρχήν απαγόρευση χρήσης συστημάτων λήψης και εγγραφής κινούμενων εικόνων, χρήση πλατφορμών που υποστηρίζουν υπηρεσίες ασφάλειας για την πραγματοποίηση τηλεδιασκέψεων), σύμφωνα με τα οριζόμενα στις διατάξεις των άρθρων 6 παρ. 1 και 6 παρ. 3 – 9 ν. 4807/
- Στο υποβληθέν προσχέδιο Π. Δ/τος προβλέπεται η δημιουργία μιας διαδικτυακής πύλης τηλεργασίας για το δημόσιο τομέα (άρθρο 5). Εισαγωγικά παρατηρείται ότι η δημιουργία της διαδικτυακής πύλης τηλεργασίας δεν φαίνεται να επιβάλλεται από τον νόμο (άρθρο 6 ν.4807/2021), χωρίς πάντως να αποκλείεται η πρόβλεψή της με το προεδρικό διάταγμα που εκδίδεται με βάση την ανωτέρω εξουσιοδότηση. Από την διατύπωση της σχετικής διάταξης του άρθρου 5 του υποβληθέντος προσχεδίου προκύπτει ότι η Γενική Γραμματεία Πληροφοριακών Συστημάτων Δημόσιας Διοίκησης (εφεξής ΓΓΠΣΔΔ) του Υπουργείου Ψηφιακής Διακυβέρνησης διαδραματίζει καθοριστικό ρόλο στον προσδιορισμό του σκοπού και τον καθορισμό των μέσων για την επίτευξή του και ως εκ τούτου αναλαμβάνει ρόλο υπευθύνου επεξεργασίας (από κοινού με κάθε φορέα). Προκειμένου η δημιουργία της διαδικτυακής πύλης τηλεργασίας στον δημόσιο τομέα 4 κατά το άρθρο 5 του υποβληθέντος προσχεδίου Π. Δ/τος να είναι σύμφωνη με τους κανόνες προστασίας δεδομένων προσωπικού χαρακτήρα σύμφωνα με τις διατάξεις του ΓΚΠΔ και του ν. 4624/2019, ιδίως τους όρους διαφάνειας και νομιμότητας (άρθρο 5 παρ. 1 στοιχ. α΄ ΓΚΠΔ), πρέπει να ρυθμίζεται ειδικώς. Ενδεικτικά, πρέπει κατ’ ελάχιστον να προσδιορίζεται ο ρόλος της ΓΓΠΣΔΔ του Υπουργείου Ψηφιακής Διακυβέρνησης και να καθορίζονται ειδικά μέτρα αναφορικά με την επεξεργασία των δεδομένων (π.χ. πρόβλεψη για διαχωρισμό των δεδομένων ανά φορέα, μη συσχέτιση με την χρήση ψευδωνύμων).
- Αναφορικά με τις ειδικότερες ρυθμίσεις του υποβληθέντος Π. Δ/τος παρατηρούνται τα ακόλουθα στα επιμέρους άρθρα αυτού: (α) άρθρο 1 προσχεδίου Π. Δ/τος Στο άρθρο αυτό καθορίζεται το πεδίο εφαρμογής του Π. Δ/τος κατ’ εξουσιοδότηση του άρθρου 19 παρ. 1 ν. 4807/
- Εξαρχής παρατηρείται ότι το υποβληθέν προσχέδιο πρέπει να αναλύει και να εξειδικεύει τα κατάλληλα τεχνικά και οργανωτικά μέτρα ασφάλειας για την προστασία των δεδομένων, να καθορίζει τις επιμέρους επεξεργασίες δεδομένων που πραγματοποιούνται στο πλαίσιο της τηλεργασίας, να καθορίζει τον ρόλο του φορέα που παρέχει, ως μορφή οργάνωσης και εκτέλεσης της εργασίας, την τηλεργασία και να εξειδικεύει τον ρόλο των τρίτων φορέων που μετέχουν στην οργάνωση και εκτέλεσή της. Τέλος, το Π. Δ/γμα πρέπει να ρυθμίζει κάθε αναγκαία λεπτομέρεια για την προστασία των δεδομένων κατά την εκτέλεση της τηλεργασίας. Από το σύνολο των επιμέρους ρυθμίσεων στο υποβληθέν προσχέδιο Π. Δ/τος παρατηρείται ότι δεν εξειδικεύονται επιμέρους ζητήματα που αναφέρονται στο δεύτερο εδάφιο της παρ. 1 του άρθρου 19 ν. 4807/
- Συγκεκριμένα, η παράλειψη ρύθμισης των ζητημάτων αυτών με το προσχέδιο Π. Δ/τος δεν καλύπτεται από την παραπομπή στην εκτίμηση επιπτώσεων των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία δεδομένων προσωπικού χαρακτήρα του άρθρου 35 ΓΚΠΔ, όπως προβλέπεται στις διατάξεις των άρθρων 3, 5 παρ. 3 στοιχ. γ΄ και 6 παρ. 1 του υποβληθέντος προσχεδίου Π. Δ/τος. Περαιτέρω, η εφαρμογή των τεχνικών και οργανωτικών μέτρων ασφάλειας πρέπει να είναι αποτέλεσμα της εκτίμησης επιπτώσεων των σχεδιαζόμενων πράξεων επεξεργασίας και να εξειδικεύει ή και να 5 συμπληρώνει τις ρυθμίσεις των αναφερόμενων στο άρθρο 6 ν. 4807/2021 θεμάτων, στο μέτρο που είναι εφικτό. (β) άρθρο 3 προσχεδίου Π. Δ/τος Στο άρθρο αυτό προσδιορίζεται το αντικείμενο της ρύθμισης και οι νομικές βάσεις της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Η δεύτερη περίοδος της πρώτης παραγράφου του υποβληθέντος προσχεδίου Π. Δ/τος, στην οποία προβλέπεται ότι ο φορέας δύναται να ζητεί πρόσθετη επιβεβαίωση (αυθεντικοποίηση) από τον τηλεργαζόμενο, αφορά μία συγκεκριμένη δυνατότητα του φορέα. Δηλαδή, δεν φαίνεται ότι η ειδική αυτή αναφορά αντιστοιχεί στη γενική περιγραφή του σκοπού που γίνεται σε αυτό το άρθρο. Επιπλέον, όπως προαναφέρθηκε, ο προσδιορισμός των ειδικότερων σκοπών, η τεκμηρίωση της νομιμότητας και ο καθορισμός των κατηγοριών δεδομένων προσωπικού χαρακτήρα που τυγχάνουν επεξεργασίας δεν δύναται να εξαντλείται στην παραπομπή στην εκτίμηση επιπτώσεων των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία δεδομένων προσωπικού χαρακτήρα του άρθρου 35 ΓΚΠΔ, αλλά πρέπει τα περιγραφόμενα στο άρθρο αυτό στοιχεία να εξειδικεύονται στο υποβληθέν προσχέδιο Π. Δ/τος. Περαιτέρω, όσον αφορά την δυνατότητα εγκατάστασης και λειτουργίας συστήματος για την παρακολούθηση του χρόνου εργασίας, πρέπει να εξειδικεύεται ο επιδιωκόμενος σκοπός, η πλήρωση της αναλογικότητας, καθώς επίσης να καθορίζονται οι λειτουργικές ανάγκες του φορέα που δικαιολογούν την υλοποίηση της δυνατότητας αυτής. (γ) άρθρο 4 προσχεδίου Π. Δ/τος Στο άρθρο αυτό εξειδικεύονται οι κατηγορίες δεδομένων προσωπικού χαρακτήρα που τυγχάνουν επεξεργασίας κατά την παροχή εργασίας εξ αποστάσεως. Κατ’ αρχάς παρατηρείται ότι στο πλαίσιο του παρόντος άρθρου περιλαμβάνονται αορίστως και κατηγορίες υποκειμένων των δεδομένων, ως «τρίτα φυσικά πρόσωπα», χωρίς να προσδιορίζεται η έννοιά τους. Οι αναφερόμενες ως ελάχιστες πληροφορίες που τυγχάνουν επεξεργασίας και αναφέρονται στα στοιχεία α-γ της πρώτης παραγράφου εξαρτώνται από το είδος της επιλεγείσας εφαρμογής/ 6 συστήματος και ως εκ τούτου η επεξεργασία τους δεν παρίσταται άνευ τινός ετέρου ως αναγκαία. Επιπλέον, προβλέπεται η επεξεργασία και άλλων κατηγοριών δεδομένων προσωπικού χαρακτήρα, χωρίς ωστόσο, κατ’ εφαρμογή ιδίως των αρχών της νομιμότητας και διαφάνειας του άρθρου 5 παρ. 1 στοιχ. α’ ΓΚΠΔ, να επεξηγούνται οι λειτουργικές ανάγκες και ο σκοπός του φορέα ώστε να δικαιολογούν την επεξεργασία πρόσθετων κατηγοριών δεδομένων προσωπικού χαρακτήρα. Αναφορικά με τις κατηγορίες των δεδομένων προσωπικού χαρακτήρα (δεδομένα ήχου) που τυγχάνουν επεξεργασίας στο πλαίσιο της τηλεργασίας παρατηρείται ότι πρέπει να γίνει αναδιατύπωση της σχετικής παραγράφου. Και τούτο διότι από την συνδυαστική εφαρμογή των άρθρων 3 και 4 του προσχεδίου του Π. Δ/τος προκύπτει ότι η παρούσα διατύπωση αφήνει να εννοηθεί ότι η επεξεργασία της κατηγορίας των δεδομένων ήχου πραγματοποιείται για τον σκοπό των τηλεδιασκέψεων, ο οποίος όμως δεν μπορεί να αποτελέσει διακριτό σκοπό επεξεργασίας, αλλά επιμέρους είδος επεξεργασίας που δικαιολογείται από τις συγκεκριμένες, ρητά προσδιορισμένες, λειτουργικές ανάγκες του φορέα. Λαμβάνοντας περαιτέρω υπόψη και την αρχή της ελαχιστοποίησης των δεδομένων του άρθρου 5 παρ. 1 στοιχ. γ’ ΓΚΠΔ, καθώς και τις ειδικότερες σκέψεις 9-10 των ΚΓ 1/2021 της Αρχής, προτείνεται η εξειδίκευση των κατηγοριών δεδομένων κατά την διενέργεια τηλεδιασκέψεων να αναδιατυπωθεί ως εξής «σε περίπτωση διενέργειας τηλεδιασκέψεων, επεξεργασία/καταγραφή δεδομένων ήχου…». Επιπλέον, και κατ’ εφαρμογή της προαναφερθείσας αρχής της ελαχιστοποίησης της δεδομένων προτείνεται να εισαχθεί ως καταρχήν απαγόρευση η επεξεργασία της κατηγορίας των δεδομένων εικόνων και κινούμενων εικόνων (κάμερα), και εφόσον οι ειδικότερες συγκεκριμένες λειτουργικές ανάγκες της υπηρεσίας το δικαιολογούν και είναι σαφείς, νόμιμες και διαφανείς να προβλέπεται κατ’ εξαίρεση η επεξεργασία και της κατηγορίας αυτής των δεδομένων προσωπικού χαρακτήρα. Τέλος, η πρόβλεψη καθιέρωσης υποχρέωσης του τηλεργαζομένου να θέτει σε εφαρμογή την δυνατότητα απόκρυψης φόντου (background) με θόλωση (blurred) ή με προσθήκη εικόνας (virtual background) γεννά υποχρέωση για τον τελευταίο που δεν προβλέπεται από τον νόμο. 7 Περαιτέρω παρατηρείται ότι η αναφορά σε ειδικής κατηγορίας δεδομένα προσωπικού χαρακτήρα του άρθρου 9 ΓΚΠΔ, ως κατηγορίας δεδομένων προσωπικού χαρακτήρα, είναι γενική και δεν εξειδικεύεται σε ποια επιμέρους κατηγορία αναφέρεται, ούτε αν αυτή η επιμέρους κατηγορία αφορά την παροχή τηλεργασίας εν γένει, ή την επεξεργασία που πραγματοποιείται στο πλαίσιο των τηλεδιασκέψεων. (δ) άρθρο 5 προσχεδίου Π. Δ/τος Στο άρθρο αυτό καθιερώνεται η διαδικτυακή πύλη τηλεργασίας στον δημόσιο τομέα. Πέραν όσων εισαγωγικά παρατηρήθηκαν ανωτέρω επισημαίνονται συμπληρωματικά τα ακόλουθα: Η λειτουργία της προβλεπόμενης διαδικτυακής πύλης τηλεργασίας προϋποθέτει, κατ’ εφαρμογή ιδίως των αρχών της νομιμότητας και διαφάνειας, καθώς και της ακεραιότητας και εμπιστευτικότητας των άρθρων 5 παρ. 1 στοιχ. α΄ και στ’ του ΓΚΠΔ αντίστοιχα, την πρόβλεψη στο προσχέδιο Π. Δ/τος των λειτουργικών απαιτήσεων και δυνατοτήτων της διαδικτυακής πύλης, ώστε εν συνεχεία να προσδιοριστούν, μετά από την διενέργεια εκτίμησης των επιπτώσεων των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία δεδομένων προσωπικού χαρακτήρα, τα εφαρμοστέα κατάλληλα τεχνικά και οργανωτικά μέτρα ασφάλειας. (ε) άρθρο 6 προσχεδίου Π. Δ/τος Με το άρθρο 6 εξειδικεύονται οι υποχρεώσεις του φορέα, ο οποίος κατ’ εφαρμογή του άρθρου 6 παρ. 1 ν. 4807/2021 προσδιορίζεται ως υπεύθυνος επεξεργασίας και ο οποίος λόγω του ρόλου αυτού βαρύνεται με τις υποχρεώσεις που καθιερώνει ο ΓΚΠΔ και ο νόμος 4624/
- Λόγω της πρόβλεψης στον προαναφερθέν άρθρο 5 του προσχεδίου του Π. Δ/τος για την λειτουργία διαδικτυακής πύλης τηλεργασίας στην ΓΓΠΣΔΔ του Υπουργείου Ψηφιακής Διακυβέρνησης, και με την επιφύλαξη των όσων διατυπώθηκαν ανωτέρω σχετικά το περιεχόμενο της σχετικής εξουσιοδότησης του άρθρου 19 παρ. 1 ν. 4807/2021, πρέπει να επανοριοθετηθούν οι υποχρεώσεις έκαστου φορέα, ως υπευθύνου επεξεργασίας, με τις υποχρεώσεις της ΓΓΠΣΔΔ του Υπουργείου Ψηφιακής Διακυβέρνησης, λόγω του ρόλου που αναλαμβάνει κατά την λειτουργία αυτής. 8 Ακόμα, στις υποχρεώσεις του φορέα πρέπει να ενσωματωθούν και οι υποχρεώσεις που απορρέουν από την χρήση προσωπικών συσκευών (B.Y.O.D.) των τηλεργαζόμενων 3, όπως ειδικότερα έχουν εξειδικευτεί στις ΚΓ 1/2021 της Αρχής (σημ. 11). (στ) άρθρο 7 προσχεδίου Π. Δ/τος Κατ’ εφαρμογή της αρχής του περιορισμού της περιόδου αποθήκευσης του άρθρου 5 παρ. 1 στοιχ. ε’ ΓΚΠΔ προσδιορίζεται στη διάταξη του άρθρου αυτού ο χρόνος τήρησης των δεδομένων. Στην πρώτη παράγραφο του άρθρου προβλέπεται η διατήρηση των δεδομένων των τηλεδιασκέψεων, χωρίς ωστόσο να προσδιορίζεται η κατηγορία των δεδομένων που αποθηκεύονται, αν δηλ. τηρούνται τα δεδομένα ήχου ή/και εικόνας, με τις ειδικότερες παρατηρήσεις που διατυπώθηκαν ανωτέρω στο άρθρο 4 του προσχεδίου Π. Δ/τος. Επιπλέον, δεν κατονομάζονται οι εξαιρετικοί λόγοι σε συνάρτηση με τους συγκεκριμένους προσδιορισμένους σκοπούς επεξεργασίας για τους οποίους η διατήρηση των δεδομένων παρίσταται αναγκαία. Συνακόλουθα παρατηρείται ότι η διατήρηση των δεδομένων σε κρυπτογραφημένη μορφή δεν δύναται να εξαρτάται από την ύπαρξη σχετικής τεχνικής δυνατότητας, απεναντίας η σχετική δυνατότητα συνιστά προϋπόθεση ασφάλειας κατ’ άρθρο 5 παρ. 1 στοιχ. στ΄ ΓΚΠΔ για την σύννομη διατήρηση των επίμαχων κατηγοριών δεδομένων προσωπικού χαρακτήρα για συγκεκριμένο χρονικό διάστημα προς εκπλήρωση προσδιορισμένου και νόμιμου σκοπού επεξεργασίας. Στην δεύτερη παράγραφο προσδιορίζεται ο χρόνος τήρησης των δεδομένων των εξωτερικών στοιχείων της ηλεκτρονικής επικοινωνίας χωρίς να προσδιορίζεται ο σκοπός επεξεργασίας για τον οποίο η τήρηση τους παρίσταται αναγκαία για διάστημα δώδεκα
(12)μηνών. Αναφορικά με τον χρόνο διατήρησης των δεδομένων στις προσωπικές συσκευές των τηλεργαζομένων πρέπει να προσδιοριστεί ο σκοπός επεξεργασίας Ιδίως διότι η χρήση των προσωπικών συσκευών αποτελεί αντικείμενο ρύθμισης του υποβληθέντος προσχεδίου ΠΔ/τος (βλ. άρθρο 7 παρ. 3). 3 9 καθώς και ο υπεύθυνος, ο οποίος βαρύνεται με την σχετική υποχρέωση (τηλεργαζόμενος ή φορέας). Με την επιφύλαξη των ειδικότερων παρατηρήσεων που διατυπώθηκαν ανωτέρω αναφορικά με το άρθρο 5 του προσχεδίου Π. Δ/τος για την λειτουργία της διαδικτυακής πύλης τηλεργασίας στον δημόσιο τομέα, ιδίως αναφορικά με τον ρόλο της ΓΓΠΣΔΔ του Υπουργείου Ψηφιακής Διακυβέρνησης, επισημαίνεται ότι, για λόγους ασφάλειας δικαίου και σύννομης επεξεργασίας δεδομένων κατά τον ΓΚΠΔ, τα κριτήρια για τον χρόνο διατήρησης ή ακόμη και ο χρόνος διατήρησης των δεδομένων πρέπει να προσδιορίζεται στο παρόν Π.Δ/γμα και να μην καταλείπεται στην πολιτική διατήρησης των δεδομένων της ΓΓΠΣΔΔ του Υπουργείου Ψηφιακής Διακυβέρνησης. (ζ) άρθρο 8 προσχεδίου Π. Δ/τος Με το άρθρο 8 προσδιορίζονται τα δικαιώματα των υποκειμένων των δεδομένων κατ’ εφαρμογή των διατάξεων των άρθρων 12-22 ΓΚΠΔ και 33-35 ν. 4624/
- Με την επιφύλαξη των ειδικότερων παρατηρήσεων που διατυπώθηκαν ανωτέρω αναφορικά με το άρθρο 5 του προσχεδίου Π. Δ/τος για την λειτουργία της διαδικτυακής πύλης τηλεργασίας στον δημόσιο τομέα, πρέπει να προσδιοριστούν οι υποχρεώσεις της ΓΓΠΣΔΔ του Υπουργείου Ψηφιακής Διακυβέρνησης στην εκπλήρωση των σχετικών δικαιωμάτων των υποκειμένων των δεδομένων, βάσει του ρόλου που αναλαμβάνει. (η) άρθρο 9 προσχεδίου Π. Δ/τος Με το άρθρο αυτό προσδιορίζονται τα τεχνικά και οργανωτικά μέτρα ασφαλείας κατ’ εφαρμογή του άρθρου 5 παρ. 1 στοιχ. στ΄ ΓΚΠΔ. Πρέπει να προσδιοριστεί ο λόγος αρμοδιότητας έκαστου φορέα, ως υπευθύνου επεξεργασίας κατ’ άρθρο 6 παρ. 1 ν. 4807/2021 και της ΓΓΠΣΔΔ του Υπουργείου Ψηφιακής Διακυβέρνησης για την λειτουργία διαδικτυακής πύλης τηλεργασίας κατ’ άρθρο 5 προσχεδίου Π. Δ/τος, αν δηλ. πρόκειται για από κοινού υπευθύνους επεξεργασίας, για την εκπλήρωση των σχετικών υποχρεώσεων του άρθρου 5 παρ. 1 στοιχ. στ΄ ΓΚΠΔ και την απόδοση ευθυνών (λογοδοσία). 10 Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 11 ΠΑΡΑΡΤΗΜΑ Προσχέδιο Προεδρικού Διατάγματος του Υπουργείου Εσωτερικών για την «Προστασία δεδομένων προσωπικού χαρακτήρα κατά την τηλεργασία στον δημόσιο τομέα» Η ΠΡΟΕΔΡΟΣ ΤΗΣ ΕΛΛΗΝΙΚΗΣ ΔΗΜΟΚΡΑΤΙΑΣ Έχοντας υπόψη
- Τις διατάξεις: α) της παρ. 1 του άρθρου 19 του ν. 4807/2021 «Θεσμικό πλαίσιο τηλεργασίας, διατάξεις για το ανθρώπινο δυναμικό του δημοσίου τομέα και άλλες επείγουσες ρυθμίσεις» (Α΄ 96). β) του Κανονισμού (ΕΕ) υπ’ αρ. 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (OJ L 119/4.5.2016). γ) του ν. 4624/2019 «Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, Μέτρα εφαρμογής του Κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και ενσωμάτωση στην εθνική νομοθεσία της Οδηγίας (ΕΕ) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 και άλλες διατάξεις» (Α΄ 137). δ) του π.δ. 2/2021 «Διορισμός Υπουργών, Αναπληρωτών Υπουργών και Υφυπουργών» (Α' 2). ε) της υπ’ αρ. Υ6/09.07.2019 απόφασης του Πρωθυπουργού «Ανάθεση αρμοδιοτήτων στον Υπουργό Επικρατείας» (Β’ 2902).
- Την υπό στοιχείο … εισήγηση του Προϊσταμένου της Γενικής Διεύθυνσης Οικονομικών Υπηρεσιών και Επιτελικού Σχεδιασμού του Υπουργείου για πρόσθετη οικονομική επιβάρυνση
- Την …... Γνωμοδότηση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.
- Την υπ’ αρ. ….. Γνωμοδότηση του Συμβουλίου της Επικρατείας, ύστερα από πρόταση των… αποφασίζουμε: 12 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr Άρθρο 1 Πεδίο εφαρμογής Με το παρόν διάταγμα θεσπίζονται οι όροι και οι προϋποθέσεις της επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά την τηλεργασία στον δημόσιο τομέα, κατά την εφαρμογή των διατάξεων του ν. 4807/2021 (Α΄ 96), εξειδικεύονται τα κατάλληλα τεχνικά και οργανωτικά μέτρα ασφαλείας για την προστασία των δεδομένων προσωπικού χαρακτήρα των τηλεργαζομένων και τρίτων φυσικών προσώπων, καθορίζονται οι υποχρεώσεις των Φορέων ως υπευθύνων επεξεργασίας και ρυθμίζεται κάθε άλλη αναγκαία λεπτομέρεια για την προστασία των δεδομένων προσωπικού χαρακτήρα κατά την εκτέλεση της τηλεργασίας. Άρθρο 2 Ορισμοί Για την εφαρμογή του παρόντος, ισχύουν οι ορισμοί των άρθρων 3 και 4 του ν. 4807/
- Άρθρο 3 Αντικείμενο ρύθμισης και νομικές βάσεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα Αντικείμενο ρύθμισης του παρόντος αποτελεί η προστασία των δεδομένων προσωπικού χαρακτήρα των συμμετεχόντων φυσικών προσώπων στην τηλεργασία στον δημόσιο τομέα, τόσο σε κανονικές όσο και σε έκτακτες συνθήκες, μέσω της αξιοποίησης των τεχνολογιών πληροφορικής και επικοινωνιών. Στο πλαίσιο της τηλεργασίας ο Φορέας δύναται να ζητεί πρόσθετη επιβεβαίωση (αυθεντικοποίηση) από τον τηλεργαζόμενο ότι αυτός πράγματι παρέχει τη συμφωνηθείσα εργασία και να διατηρεί τη σχετική πληροφορία. Ο εκάστοτε Φορέας υποβάλλει τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία κατά την τηλεργασία, όταν αυτό είναι απαραίτητο για την εκπλήρωση του καθήκοντός του, που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που του έχει ανατεθεί σύμφωνα με την περ. β της παρ. 3 του άρθρου 6 του Γενικού Κανονισμού για την Προστασία των Δεδομένων (εφεξής: ΓΚΠΔ) σε συνδυασμό με το άρθρο 5 του ν. 4624/2019 (Α΄137), και του άρθρου 27 του ν.4624/2019, στην τελευταία περίπτωση στο μέτρο που η επεξεργασία δεδομένων προσωπικού χαρακτήρα γίνεται στο πλαίσιο των σχέσεων απασχόλησης. Ο προσδιορισμός των ειδικότερων σκοπών, η τεκμηρίωση της νομιμότητάς τους και ο καθορισμός των κατηγοριών δεδομένων προσωπικού χαρακτήρα που τυγχάνουν επεξεργασίας γίνονται από τον Φορέα στο πλαίσιο της εκτίμησης αντικτύπου, την οποία υποχρεούται να διενεργήσει πριν από την έναρξη της τηλεργασίας, σύμφωνα με την παράγραφο 9 του άρθρου 6 του ν. 4807/2021 (Α΄ 96). Εφόσον ο Φορέας επιλέγει, για την κάλυψη των λειτουργικών του αναγκών, να θέσει σε λειτουργία οιοδήποτε σύστημα παρακολούθησης του χρόνου εργασίας, αυτό θα είναι επιτρεπτό, εφόσον είναι ανάλογο του στόχου που υπηρετεί, περιορίζεται στο πλαίσιο του επιδιωκόμενου σκοπού και δεν προκύπτει, από την διενεργηθείσα εκτίμηση αντικτύπου της παραγράφου 1 του άρθρου 6 του παρόντος, ότι ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των τηλεργαζόμενων, συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας. 13 Ο Φορέας υποχρεούται, πριν από την έναρξη της τηλεργασίας, να κοινοποιεί στους τηλεργαζόμενους αναλυτικά τους σκοπούς επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, τις νομικές βάσεις της επεξεργασίας τους, τυχόν αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, το χρονικό διάστημα για το οποίο αποθηκεύονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και κάθε άλλη πληροφορία που απαιτείται σύμφωνα με τα άρθρα 13 και 14 του ΓΚΠΔ. Άρθρο 4 Κατηγορίες δεδομένων προσωπικού χαρακτήρα Κατά την τηλεργασία, η επεξεργασία δεδομένων προσωπικού χαρακτήρα περιλαμβάνει κατ’ ελάχιστον τις παρακάτω κατηγορίες, οι οποίες ενδέχεται να αφορούν τόσο σε τηλεργαζόμενους όσο και σε τρίτα φυσικά πρόσωπα, ιδίως: α) Δεδομένα ταυτότητας, όπως ονοματεπώνυμο, όνομα χρήστη β) Δεδομένα επικοινωνίας, όπως διεύθυνση ηλεκτρονικού ταχυδρομείου γ) Τεχνικά δεδομένα, όπως διεύθυνση πρωτοκόλλου διαδικτύου (IP). Ανάλογα με τις λειτουργικές ανάγκες του Φορέα και στο πλαίσιο του σκοπού που του έχει ανατεθεί, ο Φορέας δύναται να καθορίζει και άλλες κατηγορίες δεδομένων προσωπικού χαρακτήρα που, υποβάλλονται σε επεξεργασία στο πλαίσιο της τηλεργασίας, τηρώντας την αρχή της ελαχιστοποίησης των δεδομένων, σύμφωνα με την περ. γ της παραγράφου 1 του άρθρου 5 του ΓΚΠΔ. Σε περίπτωση που τυγχάνουν επεξεργασίας δεδομένα ήχου, η επεξεργασία αυτή περιορίζεται στην απολύτως απαραίτητη για τη διενέργεια τηλεδιασκέψεων. Η επεξεργασία δεδομένων ήχου ή/ και εικόνας του τηλεργαζόμενου με τη χρήση συστημάτων λήψης και εγγραφής ήχου ή/ και κινούμενων εικόνων (μέσω καταγραφέα ήχου ή/ και κάμερας) που είναι ενσωματωμένα στη συσκευή τηλεργασίας, είτε αυτή παρέχεται από τον Φορέα είτε αποτελεί προσωπικό εξοπλισμό του τηλεργαζόμενου, επιτρέπεται κατά τη διενέργεια τηλεδιασκέψεων και για τον έλεγχο της ορθής διεξαγωγής της τηλεργασίας, μόνο εφόσον επιβάλλεται από τις λειτουργικές ανάγκες της υπηρεσίας που παρέχει ο Φορέας, περιορίζεται στο πλαίσιο του επιδιωκόμενου σκοπού, είναι ανάλογη του στόχου που υπηρετεί και από την διενεργηθείσα εκτίμηση αντικτύπου της παραγράφου 1 του άρθρου 6 του παρόντος δεν προκύπτει ότι ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των τηλεργαζόμενων, συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας. Στις περιπτώσεις που κρίνεται απαραίτητη η θέση σε λειτουργία της κάμερας εκ μέρους του τηλεργαζόμενου, αυτός πρέπει να θέτει σε εφαρμογή τη δυνατότητα απόκρυψης φόντου (background) με θόλωση ή με προσθήκη εικόνας (virtual background), προκειμένου να αποφευχθεί ο κίνδυνος αποκάλυψης προσωπικών πληροφοριών που μπορεί να προκύψουν από τη θέαση. 14 Η επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα, όπως αυτά προσδιορίζονται στο άρθρο 9 του ΓΚΠΔ, επιτρέπεται μόνο κατ’ εξαίρεση και μετά από γνωμοδότηση του Υπεύθυνου Προστασίας Δεδομένων του Φορέα, στον οποίο αυτός υπάγεται, για την αναγκαιότητα της επεξεργασίας τέτοιων δεδομένων από ειδικά ορισμένους χρήστες και εφόσον δεν ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των τηλεργαζόμενων, συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας. Άρθρο 5 Διαδικτυακή Πύλη Τηλεργασίας στον δημόσιο τομέα
- Με σκοπό τη διασφάλιση των κατάλληλων τεχνικών για την εφαρμογή της τηλεργασίας στον δημόσιο τομέα, στη Γενική Γραμματεία Πληροφοριακών Συστημάτων Δημόσιας Διοίκησης του Υπουργείου Ψηφιακής Διακυβέρνησης λειτουργεί Διαδικτυακή Πύλη Τηλεργασίας, μέσω της οποίας οι τηλεργαζόμενοι αποκτούν πρόσβαση σε εφαρμογές λογισμικού που και επιλέγονται από τον φορέα και είναι απαραίτητες για την παροχή τηλεργασίας στις εξής κατηγορίες: α) Εργαλεία Συνεργασίας, β) Εργαλεία σχεδιασμού, εκτέλεσης και παρακολούθησης έργων και αναθέσεων εργασιών, γ) Περιβάλλοντα τηλεδιασκέψεων και Τηλεσυνεργασίας και δ) Εξειδικευμένα περιβάλλοντα Εικονικής Υποδομής Περιβάλλοντος Εργασίας (VDI), και προσδιορίζει τα τεχνικά χαρακτηριστικά των εφαρμογών της Διαδικτυακής Πύλης Τηλεργασίας που είναι κοινά για όλους τους Φορείς.
- Με κοινή απόφαση των Υπουργών Εσωτερικών και Ψηφιακής Διακυβέρνησης δύναται να τροποποιούνται οι ανωτέρω κατηγορίες και οι εφαρμογές που εντάσσονται σε αυτές, υπό την προϋπόθεση ότι πληρούνται οι απαιτήσεις της παραγράφου 3 του παρόντος άρθρου.
- Για την ένταξη σε παραγωγική λειτουργία οποιασδήποτε εφαρμογής στη Διαδικτυακή Πύλη Τηλεργασίας απαιτείται προηγουμένως: α) Το Υπουργείο Εσωτερικών να επικυρώσει την επιχειρησιακή συμμόρφωση της εφαρμογής με τις ανάγκες των Φορέων και τις προσαρμογές λειτουργικότητας ανά κατηγορία χρηστών / Φορέα. β) Το Υπουργείο Εσωτερικών να διασφαλίσει την ύπαρξη εκπαιδευτικού υλικού, καθώς και μηχανισμού υποστήριξης χρηστών για τη λειτουργία της εφαρμογής. γ) Το Υπουργείο Ψηφιακής Διακυβέρνησης να διαπιστώσει την ύπαρξη: γα) μελέτης συμμόρφωσης με τον ΓΚΠΔ:,γβ) πολιτικής ορθής χρήσης εφαρμογής, γγ) πολιτικής ασφάλειας λειτουργίας εφαρμογής σύμφωνα με την Πολιτική Ασφαλείας της ΓΓΠΣΔΔ, γδ) εκτίμησης αντικτύπου για την προστασία προσωπικών δεδομένων των υποκειμένων (Data Protection Impact Assessment) και γε) πολιτικής για ανταπόκριση στα συμβάντα ασφάλειας για μετριασμό και αποκατάσταση απειλών, σύμφωνα και με τα οριζόμενα στο άρθρο 6 της παρούσας. Άρθρο 6 Υποχρεώσεις Φορέα
- Ο Φορέας, με την ιδιότητα του υπεύθυνου επεξεργασίας κατά την έννοια της παρ. 4 του άρθρου 7 του ΓΚΠΔ εφαρμόζει τα κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως αυτά προβλέπονται στον ΓΚΠΔ και την εθνική νομοθεσία και, ιδίως, τον ν. 4624/2019, προκειμένου 15 να διασφαλίζεται το κατάλληλο επίπεδο ασφαλείας έναντι των κινδύνων για τα δεδομένα προσωπικού χαρακτήρα. Η διενέργεια εκτίμησης επιπτώσεων (αντικτύπου) κατά την παρ. 1 του άρθρου 35 του ΓΚΠΔ, η εκπόνηση πολιτικής ορθής χρήσης εφαρμογής, πολιτικής ασφάλειας λειτουργίας εφαρμογής, και πολιτικής για ανταπόκριση στα συμβάντα ασφάλειας για μετριασμό και αποκατάσταση απειλών εκπονούνται από τον Φορέα, με την επιφύλαξη των διατάξεων της παραγράφου 9 του άρθρου 6 του ν. 4807/2021,πριν από την έκδοση της απόφασης τηλεργασίας, όπως προβλέπεται ειδικότερα στο άρθρο 14 του Κεφαλαίου Ε’ του ν. 4807/
- Οι ανωτέρω ενέργειες πρέπει να καλύπτουν τις πράξεις επεξεργασίας που αφορούν τις ειδικές λειτουργικές του ανάγκες, τελούν υπό επικύρωση, σύμφωνα με το άρθρο 5 του παρόντος και αναρτώνται στη Διαδικτυακή Πύλη Τηλεργασίας.
- Για την πραγματοποίηση τηλεργασίας, ο Φορέας θα δύναται να επιλέξει μία ή περισσότερες από τις ηλεκτρονικές εφαρμογές της Διαδικτυακής Πύλης Τηλεργασίας. Εφόσον κατά την παροχή τηλεργασίας λαμβάνει χώρα διαβίβαση δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες, ο Φορέας επιλέγει και χρησιμοποιεί ηλεκτρονικές εφαρμογές, λαμβάνοντας υπόψη τις διατάξεις του Κεφαλαίου V και ειδικότερα τα άρθρα 44 επ. του ΓΚΠΔ για τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες.
- Η υπηρεσία του Φορέα που είναι αρμόδια για την παροχή εξοπλισμού και την πληροφοριακή υποστήριξη, προμηθεύει τον τηλεργαζόμενο με τον τηλεπικοινωνιακό εξοπλισμό και την τεχνολογική συσκευή (εφεξής «Σταθμός Τηλεργασίας»), που είναι απαραίτητα και κατάλληλα για την αποτελεσματική εκτέλεση των καθηκόντων του μέσω τηλεργασίας. Ο Σταθμός Τηλεργασίας που παρέχει ο Φορέας χρησιμοποιείται από τον τηλεργαζόμενο αποκλειστικά και μόνο στο πλαίσιο άσκησης των καθηκόντων του προς τον Φορέα, τηρώντας κατ’ ελάχιστον τα μέτρα που προβλέπονται στο άρθρο 10 του παρόντος και τις σχετικές πολιτικές ασφαλείας που του κοινοποιεί ο Φορέας.
- O Φορέας παρέχει στον τηλεργαζόμενο οδηγίες για την κατάλληλη χωροθέτηση και διαμόρφωση του Σταθμού Τηλεργασίας, τις πολιτικές ασφαλείας και τους όρους χρήσης του Σταθμού Τηλεργασίας, καθώς και εκπαίδευση και τεχνική υποστήριξη για την εγκατάσταση και ορθή χρήση του, ώστε να διασφαλίζονται, σε κάθε περίπτωση, οι ελάχιστες προϋποθέσεις εργονομίας και ασφάλειας. Κάθε τηλεργαζόμενος μπορεί να απευθύνεται για οιοδήποτε θέμα αφορά τον Σταθμό Τηλεργασίας, τη χρήση και την ασφάλειά του, κατά τις εργάσιμες ημέρες και ώρες, στην αρμόδια υπηρεσία του Φορέα που παρέχει εξειδικευμένη τεχνική υποστήριξη. Εφόσον, ο Φορέας δεν έχει τη δυνατότητα να παράσχει Σταθμό Τηλεργασίας, ο τηλεργαζόμενος δύναται, εφόσον το επιθυμεί, να κάνει χρήση του προσωπικού του τεχνολογικού εξοπλισμού, υπό τους όρους που τίθενται στην παράγραφο 4 του άρθρου 9 του παρόντος. Η χρήση προσωπικού εξοπλισμού του τηλεργαζόμενου επιτρέπεται μόνο έπειτα από απόφαση του Φορέα, σύμφωνα με τα οριζόμενα στην παράγραφο 1 του άρθρου 12 και την περ. γ’ του άρθρου 15 του ν. 4807/2021, αφού συνεκτιμηθούν τα οφέλη και οι κίνδυνοι που δημιουργούνται από τη χρήση αυτή. Ο Φορέας οφείλει να προσδιορίσει τους κινδύνους, λαμβάνοντας υπόψη τις ιδιαιτερότητες της εκάστοτε περίπτωσης, ήτοι τον εξοπλισμό, τις τεχνικές εφαρμογές, το είδος και τη φύση των δεδομένων και να τους εκτιμήσει ως προς τη 16 σοβαρότητα και την πιθανότητα εμφάνισης περιστατικών παραβίασης, προκειμένου να καθορίσει τα μέτρα που πρέπει να ληφθούν και να ενταχθούν στην πολιτική ασφάλειας. Ο Φορέας, λαμβάνοντας υπόψη τις ανωτέρω πολιτικές, δύναται να αποκλείει τη δυνατότητα πρόσβασης σε ηλεκτρονικά συστήματα που χαρακτηρίζονται ως κρίσιμα ή ευαίσθητα, σε περίπτωση χρήσης προσωπικού εξοπλισμού από τηλεργαζόμενους.
- Ο Φορέας, με τη συνδρομή του Υπεύθυνου Προστασίας Δεδομένων που έχει ορίσει, είναι υπεύθυνος να ενημερώνει επαρκώς, να εκπαιδεύει και να συνδράμει τους τηλεργαζόμενους στην εφαρμογή των πολιτικών και των διαδικασιών για την προστασία των δεδομένων προσωπικού χαρακτήρα. Μεταξύ άλλων, ο Φορέας παρέχει οδηγίες και ενημέρωση στους τηλεργαζόμενους, σε κατανοητή και εύκολα προσβάσιμη μορφή, σχετικά με την ασφαλή διαμόρφωση και χρήση του εξοπλισμού τους, τη χρήση ισχυρών κωδικών πρόσβασης, την ασφαλή χρήση του ηλεκτρονικού ταχυδρομείου και εξωτερικών μέσων αποθήκευσης, καθώς και την τήρηση μέτρων για την εν γένει ασφαλή πλοήγηση στο διαδίκτυο.
- Στο πλαίσιο άσκησης του διευθυντικού δικαιώματος ο Φορέας μπορεί να λαμβάνει τα αναγκαία μέτρα προκειμένου να ασκεί τον αναγκαίο και πρόσφορο έλεγχο για την παρεχόμενη εργασία. Ο Φορέας μπορεί να έχει πρόσβαση στα δεδομένα προσωπικού χαρακτήρα των εργαζομένων στο πλαίσιο των εργασιακών σχέσεων μέσω ηλεκτρονικών μέσων, να οριοθετεί και να θέτει περιορισμούς στον τρόπο χρήσης της υποδομής υπολογιστών και επικοινωνιών του Φορέα, τηρουμένης της αρχής της αναλογικότητας. Οι προϋποθέσεις, οι όροι και οι διαδικασίες πρόσβασης του Φορέα στα παραπάνω δεδομένα προσωπικού χαρακτήρα, καθώς και οι τιθέμενοι περιορισμοί, περιλαμβάνονται στην Πολιτική του Φορέα, η οποία πρέπει να γνωστοποιείται στους τηλεργαζόμενους πριν από την έναρξη της τηλεργασίας. Άρθρο 7 Χρόνος διατήρησης δεδομένων
- Οι τηλεδιασκέψεις μόνο κατ’ εξαίρεση καταγράφονται και αποθηκεύονται. Στην περίπτωση επιτρεπόμενης καταγραφής της τηλεδιάσκεψης η ενεργοποίηση της σχετικής λειτουργίας γίνεται αποκλειστικά από ειδικά εξουσιοδοτημένους χρήστες, οι οποίοι οφείλουν να ενημερώσουν τους συμμετέχοντες ότι η τηλεδιάσκεψη καταγράφεται εν όλω ή εν μέρει. Οι καταγραφές των τηλεδιασκέψεων γίνονται από τον Φορέα σε κρυπτογραφημένη μορφή, εφόσον αυτό καθίσταται τεχνικά δυνατό. Όταν ο κίνδυνος είναι υψηλός η κρυπτογράφηση είναι υποχρεωτική για τον Φορέα.
- Τα εξωτερικά στοιχεία της ηλεκτρονικής επικοινωνίας (όπως ονοματεπώνυμο συμμετέχοντος, ώρα και ημέρα σύνδεσης, διεύθυνση ΙP) διατηρούνται για διάστημα δώδεκα
(12)μηνών.
- Τα δεδομένα που περιλαμβάνονται σε αρχεία που μεταφορτώνονται σε προσωπικές συσκευές τηλεργαζομένων διαγράφονται αμέσως μόλις ολοκληρωθεί ο σκοπός επεξεργασίας τους. 17
- Τα δεδομένα που αποθηκεύονται στην κεντρική πλατφόρμα τηλεργασίας του άρθρου 5 του παρόντος διατηρούνται για όσο χρόνο κρίνεται αναγκαίο για την εκτέλεση των καθηκόντων του Φορέα. Το χρονικό διάστημα διατήρησης των εν λόγω δεδομένων καθορίζεται από την αντίστοιχη πολιτική της Γενικής Γραμματείας Πληροφοριακών Συστημάτων Δημόσιας Διοίκησης, τηρουμένης πάντοτε της αρχής του περιορισμού της περιόδου αποθήκευσης κατά την περ. ε της παραγράφου 1 του άρθρου 5 του ΓΚΠΔ.
- Στους μετέχοντες στην τηλεργασία/τηλεδιάσκεψη γίνεται γνωστό ότι η φανερή ή κρυφή καταγραφή των δεδομένων ήχου ή/και εικόνας, η αποθήκευση και η διάδοση τέτοιων μαγνητοσκοπήσεων μπορεί να συνιστά αξιόποινη πράξη. Άρθρο 8 Δικαιώματα του υποκειμένου των δεδομένων
- Το υποκείμενο των δεδομένων, στο πλαίσιο άσκησης των δικαιωμάτων του που καθορίζεται στα άρθρα 12 έως 22 του ΓΚΠΔ και στα άρθρα 33 έως 35 του ν. 4624/2019 , έχει το δικαίωμα να αιτείται και να λαμβάνει από τον Φορέα πληροφορίες για τα δεδομένα προσωπικού χαρακτήρα που το αφορούν, προσδιορίζοντας, με την αίτησή του, κατά το δυνατόν, τον χρόνο και τον τόπο συλλογής των δεδομένων. Ο Φορέας οφείλει να απαντήσει στον αιτούντα χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή της αιτήσεώς του. Η εν λόγω προθεσμία μπορεί να παραταθεί για δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας και του αριθμού των αιτήσεων. Ο Φορέας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή της αιτήσεως, καθώς και για τους λόγους της καθυστέρησης. Εάν το υποκείμενο των δεδομένων υποβάλλει την αίτηση με ηλεκτρονικά μέσα, η ενημέρωση παρέχεται, εάν είναι δυνατόν, με τον ίδιο τρόπο εκτός εάν το υποκείμενο των δεδομένων ζητήσει διαφορετικό τρόπο ενημέρωσης. Κατά την απάντησή του ο Φορέας μεριμνά για τη διασφάλιση των δικαιωμάτων τυχόν τρίτων προσώπων τα οποία αφορά επίσης η επεξεργασία. Οι αιτήσεις ενημέρωσης και οι πληροφορίες που παρέχονται στο υποκείμενο των δεδομένων δεν υπόκεινται σε κανένα τέλος. Όταν η αίτηση υποβάλλεται προδήλως αβάσιμα ή καταχρηστικά, ο Φορέας μπορεί να επιβάλλει ένα εύλογο τέλος βάσει των εξόδων του.
- Ο Φορέας μπορεί να αρνηθεί την ικανοποίηση δικαιωμάτων μόνο για τους λόγους που αναφέρονται στις διατάξεις του ΓΚΠΔ και του ν. 4624/
- Εάν ο Φορέας αρνηθεί να ικανοποιήσει το αίτημα παροχής πληροφοριών ή δεν απαντήσει εντός της ανωτέρω προθεσμίας, ο αιτών μπορεί να προσφύγει στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ).
- Ο Φορέας διασφαλίζει ότι οι τηλεργαζόμενοι και κάθε φυσικό πρόσωπο που τυχόν μετέχει στην διαδικασία της τηλεργασίας, είναι επαρκώς ενήμεροι για τη δυνατότητα άσκησης των δικαιωμάτων τους. Η εν λόγω ενημέρωση μπορεί να γίνεται με κάθε πρόσφορο μέσο, ιδίως με ανάρτηση των απαραίτητων πληροφοριών στην ιστοσελίδα του Φορέα. Άρθρο 9 Πολιτικές και Διαδικασίες ασφάλειας δεδομένων προσωπικού χαρακτήρα 18
- Ο Φορέας και η Γενική Γραμματεία Πληροφοριακών Συστημάτων Δημόσιας Διοίκησης κατά λόγο αρμοδιότητας εφαρμόζουν τα κατάλληλα τεχνικά και οργανωτικά μέτρα ώστε να προστατεύουν αποτελεσματικά τα δεδομένα προσωπικού χαρακτήρα από τυχαία ή παράνομη καταστροφή και απώλεια, καθώς και από κάθε άλλη παράνομη επεξεργασία, όπως είναι ιδίως η μη εξουσιοδοτημένη κοινοποίηση, διάδοση, πρόσβαση ή αλλοίωση, ενώ σε περίπτωση που καταστεί αναγκαίο, θα πρέπει να διασφαλίζει την αποκατάστασή τους. Προς τούτο, καταρτίζει πολιτική ασφάλειας, η οποία περιέχει κατάλληλη διαδικασία για την αναθεώρησή της και, εφόσον συντρέχει περίπτωση, αναφορές σε ειδικότερες διαδικασίες του συστήματος διαχείρισης ασφάλειας. Επιπλέον εξειδικεύει τα μέτρα ασφάλειας και μεριμνά για την αδιάλειπτη τήρηση και περιοδική αξιολόγησή τους. Ο Φορέας, σε συνεργασία με τη Γενική Γραμματεία Πληροφοριακών Συστημάτων Δημόσιας Διοίκησης εφόσον τα συστήματά του φιλοξενούνται σε υποδομή της ΓΓΠΣΔΔ, : α) διασφαλίζει ότι υπάρχει δυνατότητα ασφαλούς απομακρυσμένης πρόσβασης σε πόρους πληροφοριακών συστημάτων του, και β) καθορίζει τις τεχνολογίες, τους όρους και τις προϋποθέσεις σύμφωνα με τις οποίες επιτρέπεται η απομακρυσμένη πρόσβαση.
- Για τη χρήση τερματικής συσκευής και αποθηκευτικών μέσων, με επιμέλεια του Φορέα εγκαθίσταται στον Σταθμό Τηλεργασίας που έχει παρασχεθεί από αυτόν, σύστημα εναντίον των ιών (antivirus) και «τείχος προστασίας» (firewall). Ο Φορέας επιμελείται για: α) την τακτική ενημέρωση των προαναφερόμενων συστημάτων, β) την εγκατάσταση των πλέον πρόσφατων ενημερώσεων του λογισμικού εφαρμογών και του λειτουργικού συστήματος στον Σταθμό Τηλεργασίας και γ) τη χρήση των πλέον πρόσφατων εκδόσεων προγραμμάτων πλοήγησης στο διαδίκτυο από τον τηλεργαζόμενο.
- Ο Φορέας οφείλει να διαθέτει εγκεκριμένη από την ανώτατη διοίκησή του πολιτική για την απομακρυσμένη πρόσβαση και την ορθή χρήση προσωπικού εξοπλισμού του τηλεργαζόμενου, πριν από την έναρξη της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Η πολιτική πρέπει να περιγράφει κατ’ ελάχιστον το πεδίο εφαρμογής, τους ρόλους και τις ευθύνες των εμπλεκομένων, καθώς και τις διαδικασίες υλοποίησης της πολιτικής και των σχετικών μέτρων προστασίας. Άρθρο 10 Υποχρεώσεις Τηλεργαζόμενου
- Ο τηλεργαζόμενος είναι υπεύθυνος για την τήρηση του συνόλου των πολιτικών για την ασφάλεια των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία.
- Ο τηλεργαζόμενος οφείλει να τηρεί απαρέγκλιτα τις πολιτικές και τις διαδικασίες ασφαλείας που του έχουν κοινοποιηθεί από τον Φορέα σε σχέση με τις εφαρμογές τηλεργασίας,όπως αυτές θα αναρτώνται στη Διαδικτυακή Πύλη Τηλεργασίας, καθώς και την πολιτική απομακρυσμένης πρόσβασης και ορθής χρήσης προσωπικού εξοπλισμού .
- Κατά την παροχή τηλεργασίας εφαρμόζονται οι διατάξεις του ν. 3528/2007 όσον αφορά την υποχρέωση εχεμύθειας για γεγονότα ή πληροφορίες των οποίων ο τηλεργαζόμενος λαμβάνει γνώση κατά την εκτέλεση των καθηκόντων του ή επ’ ευκαιρία 19 αυτής, καθώς και όσον αφορά τη χρήση του Σταθμού Τηλεργασίας. Ειδικότερα, κατά την παροχή της τηλεργασίας ο τηλεργαζόμενος δεσμεύεται από την υποχρέωση τήρησης εχεμύθειας κατ΄ εφαρμογή του άρθρου 26 του ν. 3528/2007 και κάθε άλλης οικείας διάταξης νόμου και υποχρεούται να διασφαλίσει ότι τρίτα πρόσωπα προς τη σχέση απασχόλησης, όπως ενδεικτικά τα μέλη της οικογένειάς του, δεν αποκτούν πρόσβαση στα αρχεία του Φορέα. Η εκτύπωση εγγράφων του Φορέα στην οικία του τηλεργαζόμενου ή σε οποιονδήποτε χώρο πέραν του χώρου εργασίας πραγματοποιείται με ευθύνη του τηλεργαζόμενου, κατά τρόπο που να διασφαλίζεται ότι δεδομένα προσωπικού χαρακτήρα δεν μπορούν να γνωστοποιηθούν σε τρίτα μη δικαιούμενα πρόσωπα. Στην περίπτωση της μη προσήκουσας χρήσης των Σταθμών Τηλεργασίας εφαρμόζονται οι διατάξεις των άρθρων 107 επ. του ν. 3528/
- Η τηλεργασία μπορεί να παρασχεθεί από οποιονδήποτε χώρο εκτός των εγκαταστάσεων του Φορέα όπου υπηρετεί ο τηλεργαζόμενος, καθώς και από την οικεία του, και εντός των συνόρων των κρατών μελών του Συμβουλίου της Ευρώπης, υπό την προϋπόθεση έγκρισης από τον Προϊστάμενο της κάθε Διεύθυνσης του Φορέα σύμφωνα με το άρθρο 14 του ν. 4807/
- Ο τηλεργαζόμενος οφείλει να διασφαλίσει, ότι ο επιλεγόμενος χώρος πληροί τις ελάχιστες απαιτούμενες προδιαγραφές που καθιστούν εφικτή την απρόσκοπτη και αποτελεσματική εκτέλεση των καθηκόντων του μέσω τηλεργασίας και ότι συνάδει με τους γενικούς κανόνες πρόληψης, υγιεινής και ασφάλειας. Σε περίπτωση που ο Φορέας εγκρίνει την παροχή της τηλεργασίας εκτός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ), θα πρέπει να διενεργεί ειδική εκτίμηση αντικτύπου για την διαβίβαση δεδομένων προσωπικού χαρακτήρα εκτός ΕΟΧ.
- Σε περίπτωση προγραμματισμένης τηλεδιάσκεψης, ο σύνδεσμος (link) αυτής πρέπει να τηρείται εμπιστευτικός και να μην κοινοποιείται σε οιονδήποτε τρίτο ή να δημοσιοποιείται. Άρθρο 11 Εφαρμογή των διατάξεων του ΓΚΠΔ και του ν. 4624/2019 Τα θέματα που δεν ρυθμίζονται ειδικώς από τις διατάξεις του ν. 4807/2021 και του παρόντος διατάγματος, διέπονται από τις διατάξεις του ΓΚΠΔ και του ν. 4624/
- Άρθρο 12 Έναρξη ισχύος Η ισχύς του παρόντος διατάγματος αρχίζει από τη δημοσίευσή του στην Εφημερίδα της Κυβερνήσεως. Στον Υπουργό Εσωτερικών αναθέτουμε τη δημοσίευση και εκτέλεση του παρόντος διατάγματος. 20