← Ελλάδα

Γνωμοδότηση 5/2020 επί σχεδίου νόμου του Υπουργείου Εθνικής Άμυνας

Αθήνα, 31-12-2020 Αριθ. Πρωτ. Γ/ΕΞ/8949 ΓΝΩΜΟΔΟΤΗΣΗ 5/2020 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της σε τακτική συνεδρίαση την 26.06.2020, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής Κωνσταντίνος Μενουδάκος, και τα τακτικά μέλη της Αρχής Σπυρίδων Βλαχόπουλος, ως εισηγητής, Κωνσταντίνος Λαμπρινουδάκης, Χαράλαμπος Ανθόπουλος και Ελένη Μαρτσούκου. Παρόντες χωρίς δικαίωμα ψήφου ήταν οι Ελένη Μαραγκού και Κωνσταντίνος Λιμνιώτης, ειδικοί επιστήμονες, ως βοηθοί εισηγητή, οι οποίοι αποχώρησαν μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη τα παρακάτω: Το Υπουργείο Εθνικής Άμυνας διαβίβασε στην Αρχή, με το υπ΄ αριθμ. πρωτ. Γ/ΕΙΣ/2142/19-03-2020 έγγραφο, προτεινόμενες διατάξεις – μαζί με την αντίστοιχη αιτιολογική έκθεση - σχεδίου νόμου αναφορικά με την επεξεργασία προσωπικών δεδομένων από τις αποστολές των Ενόπλων Δυνάμεων (εφεξής, ΕΔ) εκτός επικράτειας, προκειμένου η Αρχή να γνωμοδοτήσει επ’ αυτών. Με τις ως άνω αναφερόμενες διατάξεις, υποβλήθηκαν επίσης και τα πρακτικά σχετικών συσκέψεων επί του εν λόγω ζητήματος οι οποίες πραγματοποιήθηκαν στο Υπουργείο Εθνικής Άμυνας, στις 7/6/2018 και 5/7/2018 αντίστοιχα, και στις οποίες συμμετείχαν και εκπρόσωποι της Αρχής. Το εν λόγω σχέδιο νόμου αφορά στην επεξεργασία προσωπικών δεδομένων συμπεριλαμβανομένων βιομετρικών και γενετικών δεδομένων - από τις ελληνικές ΕΔ σε αποστολές εκτός Ελλάδος, κυρίως (αλλά όχι αποκλειστικά) στο πλαίσιο του ΝΑΤΟ. Πρόκειται για προσωπικά δεδομένα επτά κατηγοριών προσώπων (όπως οι κατηγορίες αυτές περιγράφονται εντός του σχεδίου νόμου), και, κατά κύριο λόγο, προσώπων που έχουν 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr εμπλακεί σε εχθροπραξίες κατά των ελληνικών ή/και συμμαχικών ενόπλων δυνάμεων1, προσώπων που αποτελούν ή πιθανολογείται βάσιμα ότι αποτελούν απειλή κατά των ΕΔ αλλά και συνεργατών των ελληνικών και των συμμαχικών ΕΔ και αμάχων. Η επεξεργασία πραγματοποιείται τόσο στον τόπο επιχειρήσεων των εθνικών ΕΔ, όσο και στην Ελλάδα, όπου θα τηρείται η κεντρική βάση. Το χρονικό διάστημα για το οποίο τηρείται το αρχείο, εξαρτάται από την κατηγορία του υποκειμένου των δεδομένων. Ειδικότερα, οι κατηγορίες των υποκειμένων των δεδομένων είναι οι εξής, όπως προβλέπονται στο άρθρο 5 του σχεδίου νόμου: α. Πρόσωπα που αποδεδειγμένα ενεπλάκησαν σε εχθροπραξίες κατά των ελληνικών ΕΔ ή των συμμαχικών δυνάμεων ή των συνεργαζόμενων με τις ελληνικές ΕΔ ή προέβησαν σε ενέργειες πειρατείας, κατασκοπείας ή αποπειράθηκαν τις ανωτέρω ενέργειες (κατηγορία Α). β. Πρόσωπα που από επιβεβαιωμένες πληροφορίες χαρακτηρίζονται ως απειλή για τις ελληνικές ΕΔ ή τις συμμαχικές δυνάμεις ή για τις συνεργαζόμενες με τις ελληνικές ΕΔ (κατηγορία Β). γ. Πρόσωπα για τα οποία υφίστανται σοβαρές υπόνοιες ότι συνιστούν απειλή για τις ελληνικές ΕΔ ή τις συμμαχικές δυνάμεις ή για τις συνεργαζόμενες με τις ελληνικές ΕΔ (κατηγορία Γ). δ. Πρόσωπα που με τις πράξεις τους αποδεδειγμένα υποστηρίζουν την απειλή για τις ελληνικές ΕΔ ή τις συμμαχικές δυνάμεις ή για τις συνεργαζόμενες με τις ελληνικές ΕΔ (κατηγορία Δ). ε. Πρόσωπα για τα οποία υπάρχουν σοβαρές υπόνοιες ότι υποστηρίζουν την απειλή για τις ελληνικές ΕΔ ή τις συμμαχικές δυνάμεις ή για τις συνεργαζόμενες με τις ελληνικές ΕΔ (κατηγορία Ε). στ. Συνεργάτες των ελληνικών ΕΔ ή/και των συμμαχικών ΕΔ ή/και των συνεργαζόμενων με αυτές ΕΔ (κατηγορία ΣΤ). ζ. Άμαχοι (κατηγορία Ζ). Η κατηγοριοποίηση των υποκειμένων βασίζεται στις εκάστοτε διαθέσιμες πληροφορίες και διενεργείται κατόπιν αιτιολογημένης πράξης του υπευθύνου επεξεργασίας, ο οποίος, σύμφωνα με το άρθρο 3 του σχεδίου νόμου, ορίζεται να είναι το Γενικό Επιτελείο Εθνικής Άμυνας (ΓΕΕΘΑ). Σύμφωνα με το άρθρο 2 του σχεδίου νόμου, τα κράτη μέλη του Οργανισμού Βορειοατλαντικού Συμφώνου (ΝΑΤΟ) και της Ευρωπαϊκής Ένωσης (ΕΕ) αποτελούν τις συμμαχικές χώρες 2 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr Όπως αναφέρεται στο άρθρο 3 παρ. 1 του σχεδίου νόμου, ο κύριος σκοπός συλλογής προσωπικών δεδομένων στο πλαίσιο αποστολών ΕΔ όταν ενεργούν εκτός επικράτειας στο πλαίσιο διεθνών επιχειρήσεων/αποστολών που προκύπτουν από τη συμμετοχή της χώρας μας σε διεθνείς οργανισμούς ή άλλων εθνικών και πολυεθνικών αποστολών είναι η αναγνώριση - αποκάλυψη και ταυτοποίηση ατόμων που συνιστούν απειλή για τις εθνικές και τις συμμαχικές δυνάμεις, καθώς και εν γένει για την άμυνα και ασφάλεια της χώρας ή διεθνών οργανισμών. Επιμέρους στόχοι της επεξεργασίας ανάλογα με την επιχειρούμενη αποστολή, όπως προβλέπονται στην παράγραφο 2 του ιδίου άρθρου, μπορεί να είναι: α. Η προστασία της ανθρώπινης ζωής του στρατιωτικού προσωπικού και των εγκαταστάσεων των ΕΔ που συμβάλλουν στην εθνική ή συμμαχική άμυνα ή ασφάλεια. β. Η διαφύλαξη και ενίσχυση της άμυνας ή ασφάλειας της χώρας και των συμμαχικών χωρών. γ. Η εκπλήρωση ανειλημμένων διεθνών υποχρεώσεων της χώρας μας, στο πλαίσιο διεθνών επιχειρήσεων/αποστολών που προκύπτουν από τη συμμετοχή της χώρας σε διεθνείς οργανισμούς ή άλλων εθνικών και πολυεθνικών αποστολών στο εξωτερικό. δ. Η συμβολή σε άλλες εξειδικευμένες αποστολές/επιχειρήσεις, στις οποίες συμμετέχει η χώρα δυνάμει διεθνών συμβάσεων/συμφωνιών. Όπως αναφέρεται στο άρθρο 4 του σχεδίου νόμου, η επεξεργασία από τις ΕΔ προσωπικών δεδομένων που συλλέγονται στο έδαφος τρίτης χώρας (ήτοι οποιασδήποτε μη συμμαχικής χώρας), εξαρτάται είτε από τη συναίνεση της χώρας αυτής, που εξασφαλίζεται διμερώς σε περίπτωση εθνικής αποστολής της χώρας μας ή με πρωτοβουλία ενός διεθνούς οργανισμού σε περίπτωση συμμετοχής της χώρας σε διεθνή αποστολή υπό την αιγίδα του, είτε από την ύπαρξη Ψηφίσματος του Συμβουλίου Ασφαλείας των Ηνωμένων Εθνών που εξουσιοδοτεί τη διεξαγωγή επιχείρησης στην τρίτη χώρα. Σε περίπτωση που η επιχείρηση έχει ως νομική βάση το άρθρο 51 του Καταστατικού Χάρτη των Ηνωμένων Εθνών, δεν απαιτείται η ύπαρξη της ανωτέρω συναίνεσης. Στο άρθρο 8 του σχεδίου νόμου αναφέρεται ότι «τα υποκείμενα των δεδομένων έχουν αναλόγως όλα τα δικαιώματα που προβλέπονται στο κεφάλαιο III του ΓΚΠΔ, όπως εξειδικεύονται στα άρθρα 31 έως 35 του ν. 4624/2019, τηρουμένων των προβλεπόμενων επιφυλάξεων για λόγους εθνικής/συμμαχικής άμυνας ή ασφάλειας». Στο ίδιο άρθρο αναφέρεται ότι «ο υπεύθυνος επεξεργασίας μπορεί να αρνηθεί εν όλω ή εν μέρει την άσκηση κάποιου ή και όλων των ανωτέρω δικαιωμάτων, εφόσον είναι σε θέση να αποδείξει ότι ο περιορισμός είναι αναγκαίος για την εκπλήρωση του σκοπού της παρ.1 του άρθρου

  1. Σε περίπτωση που ο υπεύθυνος επεξεργασίας αρνείται εν όλω ή εν μέρει την ικανοποίηση των 3 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr δικαιωμάτων, το υποκείμενο των δεδομένων δύναται να απευθυνθεί στην αρμόδια εποπτική αρχή, η οποία μπορεί να ερευνήσει τη συνδρομή των προϋποθέσεων του περιορισμού των δικαιωμάτων και να ενημερώσει σχετικά το υποκείμενο, εφόσον και στο μέτρο που η ενημέρωση αυτή δεν είναι επιζήμια για την εκπλήρωση του σκοπού της παρ.1 του άρθρου 3». Στο σχέδιο νόμου προβλέπονται διατάξεις για την ασφάλεια της επεξεργασίας, συμπεριλαμβανομένης της υποβολής γνωστοποίησης περιστατικού παραβίασης δεδομένων προσωπικού χαρακτήρα, στα άρθρα 7 και 9 αντίστοιχα. Περαιτέρω, στο άρθρο 10 αναφέρεται ότι «οι ελληνικές Ένοπλες Δυνάμεις δύνανται να ανταλλάσσουν πληροφορίες με τις αρμόδιες εθνικές υπηρεσίες με σκοπό την αναγνώριση και τον εντοπισμό ατόμων που εισέρχονται στην ελληνική επικράτεια και είναι δυνατόν να συνιστούν απειλή για τη δημόσια, εθνική ή διεθνή ασφάλεια. Το αντικείμενο και η διαδικασία της ως άνω ανταλλαγής πληροφοριών καθορίζονται με απόφαση του Υπουργού Εθνικής Άμυνας και του κατά περίπτωση αρμόδιου υπουργού». Προς τούτο, το άρθρο 13 του σχεδίου νόμου προβλέπει τη συμπλήρωση της παραγράφου 2 του άρθρου 11 του νόμου 4249/2014 (Α'73), με την προσθήκη του εξής τελευταίου εδαφίου: «Η συνεργασία της Ελληνικής Αστυνομίας με τις Ένοπλες Δυνάμεις περιλαμβάνει την ανταλλαγή πληροφοριών και δεδομένων, που τηρούνται σε αρχεία και βάσεις δεδομένων των αρμόδιων υπηρεσιών τους, με σκοπό τη διαφύλαξη της άμυνας και ασφάλειας της χώρας και των συμμαχικών χωρών, την προστασία της δημόσιας τάξης και ασφάλειας, την εκπλήρωση συναφών ανειλημμένων διεθνών υποχρεώσεων της χώρας και την προστασία του προσωπικού και των κρίσιμων υποδομών των Ενόπλων Δυνάμεων και των Σωμάτων Ασφαλείας». Αντίστοιχα, στο άρθρο 11 ρυθμίζεται το ζήτημα της ανταλλαγής συγκεκριμένων δεδομένων προσωπικού χαρακτήρα με άλλες χώρες, διεθνείς οργανισμούς και υπηρεσίες. Τέλος, στο άρθρο 12 του σχεδίου νόμου αναφέρεται: «
  2. Με προεδρικό διάταγμα, που εκδίδεται εντός έτους από τη θέση του παρόντος σε ισχύ κατόπιν πρότασης του Υπουργού Εθνικής Άμυνας, κυρώνεται Διακλαδικός Κώδικας Δεοντολογίας για την Επεξεργασία Δεδομένων Προσωπικού Χαρακτήρα σε Αποστολές των Ενόπλων Δυνάμεων Εκτός Επικράτειας (Κώδικας), ο οποίος καθορίζει στο πλαίσιο του παρόντος νόμου λεπτομέρειες για: α. Τις μεθόδους συλλογής δεδομένων προσωπικού χαρακτήρα. β. Την ψευδωνυμοποίηση και κρυπτογράφηση των δεδομένων προσωπικού χαρακτήρα. 4 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr γ. Τη διαδικασία ενημέρωσης του κοινού και των υποκειμένων των δεδομένων για την επεξεργασία των δεδομένων τους. δ. Την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων. ε. Την ενημέρωση και την προστασία των παιδιών και τον τρόπο απόκτησης της συγκατάθεσης του ασκούντος τη γονική μέριμνα του παιδιού. στ. Τα μέτρα για τη διασφάλιση της ασφάλειας επεξεργασίας. ζ. Τη γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα στην αρμόδια εποπτική αρχή και την ανακοίνωση των εν λόγω παραβιάσεων δεδομένων, στα υποκείμενα των δεδομένων. η. Τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε άλλες χώρες ή διεθνείς οργανισμούς. θ. Τις περιπτώσεις που απαιτείται παρέκκλιση για σημαντικούς λόγους δημοσίου συμφέροντος.
  3. Με κοινή απόφαση του Υπουργού Εθνικής Άμυνας και του κατά περίπτωση αρμόδιου υπουργού, καθορίζονται το αντικείμενο και η διαδικασία της ανταλλαγής πληροφοριών του άρθρου 10». Όπως αναφέρεται στην αιτιολογική έκθεση του νόμου, με τις προωθούμενες διατάξεις επιχειρείται στάθμιση της ανάγκης προστασίας δεδομένων προσωπικού χαρακτήρα και της ανάγκης για προστασία της εδαφικής ακεραιότητας της χώρας μας και της εθνικής ασφάλειας, καθώς και της ανάγκης εξυπηρέτησης άλλων σοβαρών λόγων δημοσίου συμφέροντος, όπως ιδίως η τήρηση των διεθνών υποχρεώσεων τις χώρας μας, με βάση την αρχή της αναλογικότητας. Στην αιτιολογική έκθεση επίσης παρατίθεται επιχειρηματολογία ως προς την αναγκαιότητα λήψης βιομετρικών και γενετικών δεδομένων για την αναγνώριση/αποκάλυψη και την ταυτοποίηση ατόμων που συνιστούν απειλή. Στη συνεδρίαση της Αρχής στις 26-6-2020 παρευρέθηκαν, κατόπιν σχετικής πρόσκλησης, οι: α) Πλοίαρχος Α ΠΝ, β) Ταγματάρχης (ΝΟΜ) Β, γ) Λοχαγός (ΝΟΜ) Γ ως εκπρόσωποι του Υπουργείου, οι οποίοι εξέφρασαν προφορικά τις απόψεις τους επί διαφόρων σημείων του σχεδίου νόμου, παρέχοντας αποσαφηνίσεις όπου χρειάστηκε, και οι οποίοι στη συνέχεια αποχώρησαν, πριν από τη διάσκεψη. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, την ακροαματική διαδικασία και αφού άκουσε τον εισηγητή και τους βοηθούς εισηγητές, οι οποίοι αποχώρησαν μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης, μετά από διεξοδική συζήτηση 5 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr Εκδίδει την ακόλουθη γνωμοδότηση Εισαγωγικές παρατηρήσεις
  4. Σύμφωνα με τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (EE) 2016/679 (εφεξής, ΓΚΠΔ) και του άρθρου 9 ν. 4624/2019 (ΦΕΚ Α΄ 137), η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
  5. Σύμφωνα με το άρθρο 16 της Συνθήκης για τη Λειτουργία της Ευρωπαϊκής Ένωσης, κάθε πρόσωπο έχει δικαίωμα προστασίας των δεδομένων προσωπικού χαρακτήρα που το αφορούν. Στο ίδιο άρθρο προβλέπεται η θέσπιση κανόνων προστασίας, η τήρηση των οποίων υπόκειται στον έλεγχο ανεξάρτητων αρχών. Όπως αναφέρεται και στην αιτιολογική έκθεση του υποβληθέντος σχεδίου νόμου, σύμφωνα με το δεύτερο εδάφιο της παρ. 2 του άρθρου 4 της ΣΛΕΕ, η τελευταία «σέβεται τις ουσιώδεις λειτουργίες του κράτους, ιδίως δε τις λειτουργίες που αποβλέπουν στη διασφάλιση της εδαφικής ακεραιότητας, τη διατήρηση της δημόσιας τάξης και την προστασία της εθνικής ασφάλειας. Ειδικότερα, η εθνική ασφάλεια παραμένει στην ευθύνη κάθε κράτους μέλους». Περαιτέρω, σύμφωνα με την παράγραφο 2 του άρθρου 5 της ως άνω Συνθήκης, «η Ένωση ενεργεί μόνον εντός των ορίων των αρμοδιοτήτων που της απονέμουν τα κράτη μέλη με τις Συνθήκες για την επίτευξη των στόχων που οι Συνθήκες αυτές ορίζουν. Κάθε αρμοδιότητα η οποία δεν απονέμεται στην Ένωση με τις Συνθήκες ανήκει στα κράτη μέλη». Εξάλλου, με τις διατάξεις του άρθρου 2 του ΓΚΠΔ, που αφορούν το ουσιαστικό πεδίο εφαρμογής του, προβλέπεται ότι ο ΓΚΠΔ δεν εφαρμόζεται «στο πλαίσιο δραστηριότητας η οποία δεν εμπίπτει στο πεδίο εφαρμογής του δικαίου της Ένωσης» (παρ. 2 στοιχ. α΄) και «από αρμόδιες αρχές για τους σκοπούς της πρόληψης, της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, συμπεριλαμβανομένης της προστασίας και πρόληψης έναντι κινδύνων που απειλούν τη δημόσια ασφάλεια» (παρ. 2 στοιχ. δ΄).Στο ίδιο πνεύμα άλλωστε κινείται και η αιτιολογική σκέψη 16 του ΓΚΠΔ, σύμφωνα με την οποία ο Κανονισμός δεν εφαρμόζεται σε ζητήματα προστασίας θεμελιωδών δικαιωμάτων και ελευθεριών ή 6 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr στην ελεύθερη κυκλοφορία δεδομένων προσωπικού χαρακτήρα που σχετίζονται με δραστηριότητες μη υπαγόμενες στο πεδίο εφαρμογής του ενωσιακού δικαίου, όπως δραστηριότητες που αφορούν την εθνική ασφάλεια. Για τη δε περίπτωση του άρθρου 2 παρ. 2 στοιχ. δ΄ του ΓΚΠΔ, έχει εφαρμογή η Οδηγία 2016/680, η οποία έχει ενσωματωθεί στην εθνική έννομη τάξη με το Κεφάλαιο Δ’ του ν. 4624/
  6. Ωστόσο, όπως αναφέρεται στην αιτιολογική σκέψη 14 της ως εν λόγω Οδηγίας «καθώς η (…) οδηγία δεν θα πρέπει να εφαρμόζεται για την επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά τη διάρκεια δραστηριότητας που δεν εμπίπτει στο πεδίο εφαρμογής του ενωσιακού δικαίου, δραστηριότητες που αφορούν την εθνική ασφάλεια, δραστηριότητες υπηρεσιών ή μονάδων που ασχολούνται με θέματα εθνικής ασφάλειας και η επεξεργασία δεδομένων προσωπικού χαρακτήρα από τα κράτη μέλη κατά την εκτέλεση δραστηριοτήτων που εμπίπτουν στο πεδίο του τίτλου V κεφάλαιο 2 της Συνθήκης για την Ευρωπαϊκή Ένωση (ΣΕΕ) δεν θα πρέπει να θεωρούνται δραστηριότητες που εμπίπτουν στο πεδίο εφαρμογής της (…) οδηγίας».
  7. Επιπλέον, ο σεβασμός στην ιδιωτική ζωή των προσώπων και η προστασία των προσωπικών δεδομένων κατοχυρώνονται τόσο στο άρθρο 8 της Ευρωπαϊκής Σύμβασης των Δικαιωμάτων του Ανθρώπου, όσο και στην Σύμβαση 108/1981 του Συμβουλίου της Ευρώπης για την προστασία του ατόμου από την αυτοματοποιημένη επεξεργασία πληροφοριών προσωπικού χαρακτήρα καθώς και στα άρθρα 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης.
  8. Ειδικότερα, στο άρθρο 23 ΓΚΠΔ προβλέπεται η δυνατότητα θέσπισης μέσω νομοθετικού μέτρου περιορισμών στα δικαιώματα στις υποχρεώσεις και τα δικαιώματα των άρθρων 12 – 22 και στα άρθρα 34 και 5, όταν οι περιορισμοί αυτοί σέβονται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών και συνιστούν αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση, μεταξύ άλλων, της ασφάλειας του κράτους (στοιχ. α΄), της δημόσιας ασφάλειας (στοιχ. γ΄) και της πρόληψης, της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, περιλαμβανομένης της προστασίας από απειλές κατά της δημόσιας ασφάλειας και της πρόληψης αυτών (στοιχ. δ΄). Αντίστοιχη δυνατότητα θέσπισης, μέσω νομοθετικού μέτρου, περιορισμών στα δικαιώματα προβλέπεται και στην Οδηγία 2016/680 εφόσον και στο βαθμό που ένα τέτοιο μέτρο είναι αναγκαίο και αναλογικό σε μια δημοκρατική κοινωνία, λαμβανομένων δεόντως υπόψη των έννομων συμφερόντων του 7 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr ενδιαφερόμενου φυσικού προσώπου, με σκοπό, μεταξύ άλλων, την προστασία της δημόσιας ασφάλειας και την προστασία της εθνικής ασφάλειας (βλ. άρθρα 13, 15 και 16) της Οδηγίας). Σχετικοί περιορισμοί τέθηκαν με διατάξεις του εφαρμοστικού ν. 4624/2019 (βλ. άρθρο 54 αυτού αναφορικά με το δικαίωμα ενημέρωσης του υποκειμένου των δεδομένων).
  9. Επιπροσθέτως, στο άρθρο 45 παρ. 2 ΓΚΠΔ αναφορικά με τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα ή διεθνή οργανισμό ορίζεται ότι κατά την εκτίμηση της επάρκειας του επιπέδου προστασίας, η Επιτροπή λαμβάνει υπόψη, ιδίως, τα ακόλουθα στοιχεία: «το κράτος δικαίου, τον σεβασμό των ανθρώπινων δικαιωμάτων και των θεμελιωδών ελευθεριών, τη σχετική νομοθεσία, τόσο τη γενική όσο και την τομεακή, μεταξύ άλλων όσον αφορά τη δημόσια ασφάλεια, την άμυνα, την εθνική ασφάλεια και το ποινικό δίκαιο και την πρόσβαση των δημόσιων αρχών σε δεδομένα προσωπικού χαρακτήρα, καθώς και την εφαρμογή αυτής της νομοθεσίας (…)» (στοιχ. α’). Από τις ανωτέρω διατάξεις προκύπτει ότι η έννοια της εθνικής ασφάλειας συναντάται στο άρθρο 45 του ΓΚΠΔ που αφορά στις διαβιβάσεις βάσει απόφασης επάρκειας (και στις αιτ. σκ. 16- πεδίο εφαρμογής και 104 – διαβιβάσεις), ενώ κυρίως γίνεται αναφορά στην έννοια της δημόσιας ασφάλειας (άρθρα 2, 23 και 45 και αιτ. σκ. 19, 50, 73, 104) και ασφάλειας του κράτους (άρθρο 23).
  10. Σύμφωνα με το άρθρο 10 παρ. 5 του ν. 4624/2019, «η Αρχή δεν είναι αρμόδια να ελέγχει (… ) πράξεις επεξεργασίας διαβαθμισμένων δεδομένων προσωπικού χαρακτήρα που διενεργούνται για τις δραστηριότητες που αφορούν την εθνική ασφάλεια». Ωστόσο, σύμφωνα με την παράγραφο 4 του άρθρου 10 του ν. 4624/2019, «στις περιπτώσεις που σε διεθνείς ή διακρατικές συμβάσεις ή στο δίκαιο της Ευρωπαϊκής Ένωσης ή στην εθνική νομοθεσία προβλέπεται ανεξάρτητος έλεγχος ή εποπτεία, η Αρχή ασκεί τις αντίστοιχες αρμοδιότητες και εξουσίες». Ως τέτοιες αρμοδιότητες νοούνται, βάσει της αιτιολογικής έκθεσης του ν. 4624/2019, μεταξύ άλλων, οι προβλεπόμενες από τις διατάξεις που ρυθμίζουν το Σύστημα Πληροφοριών Σένγκεν, το Σύστημα Πληροφοριών Ευρωπόλ, το Σύστημα Πληροφοριών Eurodac και η Σύμβαση για τη χρήση της πληροφορικής στον τελωνειακό τομέα. Από τη συστηματική ερμηνεία των διατάξεων των παραγράφων 4 και 5 του νόμου 4624/2019 προκύπτει ότι ο νομοθέτης δεν εξαιρεί εν γένει τα ζητήματα εθνικής ασφάλειας από την αρμοδιότητα της Αρχής, καθώς όπου από διεθνείς και διακρατικές συμβάσεις προβλέπεται ρητά αρμοδιότητα της Αρχής, η 8 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr τελευταία διατηρεί τη σχετική αρμοδιότητα.
  11. Η Αρχή με την υπ’ αρ. 01/2020 Γνωμοδότηση έκρινε αναφορικά με την προαναφερθείσα διάταξη του άρθρου 10 παρ. 5 του νόμου 4624/2019 ότι «λόγω της γενικότητας της διάταξης, κατά την οποία εξαιρούνται του ελέγχου της Αρχής οι πράξεις επεξεργασίας διαβαθμισμένων δεδομένων προσωπικού χαρακτήρα που διενεργούνται για τις δραστηριότητες που αφορούν την εθνική ασφάλεια, ανακύπτουν δυσχέρειες στον χαρακτηρισμό των πράξεων αυτών». Περαιτέρω, και λαμβάνοντας υπόψη και την προαναφερθείσα αιτιολογική σκέψη 16 του ΓΚΠΔ, η Αρχή έχει κρίνει, με την Απόφαση 20/2020, ότι ένας σχετικός περιορισμός της άσκησης των αρμοδιοτήτων της μέσω του εφαρμοστικού νόμου για λόγους εθνικής ασφάλειας δεν έρχεται, καταρχήν, σε αντίθεση με τον ΓΚΠΔ. Περαιτέρω, με την ίδια Απόφαση η Αρχή έχει κρίνει ότι δεν έχει αρμοδιότητα ελέγχου των πράξεων επεξεργασίας που διενεργούνται για δραστηριότητες που αφορούν την εθνική ασφάλεια εφόσον συντρέχουν σωρευτικά οι ακόλουθες δυο προϋποθέσεις: α) πρόκειται για πράξεις επεξεργασίας διαβαθμισμένων δεδομένων προσωπικού χαρακτήρα, και ορθότερα, πληροφοριών καταχωρημένων σε συστήματα αρχειοθέτησης που έχουν αρμοδίως διαβαθμισθεί και οι οποίες συνιστούν δεδομένα προσωπικού χαρακτήρα και β) πρόκειται για πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα που διενεργούνται για δραστηριότητες που αφορούν την εθνική ασφάλεια.
  12. H «εθνική ασφάλεια» συνιστά αόριστη νομική έννοια, η οποία πρέπει, με βάση τα δεδομένα που συντρέχουν σε κάθε περίπτωση, να ερμηνεύεται, προσδιορίζεται και τεκμηριώνεται ad hoc 2 από τον υπεύθυνο επεξεργασίας. Συνεπώς, όπως έχει κρίνει η Αρχή με την ανωτέρω Απόφαση 20/2020, δεν αρκεί η αόριστη και γενική επίκληση της συνδρομής της εθνικής ασφάλειας για τον αποκλεισμό της Αρχής από την άσκηση των αρμοδιοτήτων της, αλλά απαιτείται στη συγκεκριμένη περίπτωση τεκμηρίωση ότι η επεξεργασία διενεργείται για δραστηριότητα που αφορά την εθνική ασφάλεια της Ελλάδας, εκτός αν είναι πρόδηλη η συνδρομή της εννοίας αυτής (π.χ. αμιγώς στρατιωτικές εγκαταστάσεις με πολεμικό υλικό, μη προσβάσιμες στο κοινό).
  13. Βάσει των ανωτέρω, το ειδικότερο αντικείμενο του νομοσχεδίου ως προς το πυρήνα του είναι σαφώς εκτός πεδίου εφαρμογής τόσο του ΓΚΠΔ όσο και της Οδηγίας Για την έννοια της εθνικής ασφάλειας βλ. σχετικά Γρ. Τσόλια, Ειδικοί Ποινικοί Νόμοι, Απόρρητο Ηλεκτρονικών Επικοινωνιών, τ. ΙΙ, σελ. 13 επ., 2η ενημ. (Ιούνιος 2013), εκδόσεις Σάκκουλας, με τις εκεί παραπομπές στη σχετική βιβλιογραφία. 9 2 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr 2016/680, στο βαθμό που αφορά τον τομέα της εθνικής ασφάλειας (βλ. αιτ. 16 ΓΚΠΔ και αιτ. σκ. 14 Οδηγίας). Πράγματι, οι προωθούμενες διατάξεις αφορούν επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο αποστολών των ΕΔ εκτός επικράτειας για την ανάγκη προστασίας της εδαφικής ακεραιότητας της χώρας και της εθνικής ασφάλειας, η επεξεργασία δε αυτή υπάγεται και στο πλαίσιο διεθνών υποχρεώσεων της χώρας (συγκεκριμένα, σύμφωνα και με την αιτιολογική έκθεση του υπό εξέταση σχεδίου νόμου, για την ασφάλεια της συμμαχίας του ΝΑΤΟ που έχει μεταξύ άλλων ως προτεραιότητα την προώθηση της εφαρμογής των βιομετρικών δεδομένων για την αντιμετώπιση των απειλών, αλλά και άλλων διεθνών οργανισμών (βλ. Απόφαση Σ.Α. ΟΗΕ 2396/2017)).
  14. Παράλληλα, και υπό το φως των ανωτέρω σημειώνεται ότι η επεξεργασία προσωπικών δεδομένων που συντελείται στον τομέα της Εθνικής Άμυνας ουδόλως εκφεύγει συνολικά από το πεδίο εφαρμογής της νομοθεσίας για την προστασία δεδομένων προσωπικού χαρακτήρα και ειδικότερα του ΓΚΠΔ και του ν. 4624/
  15. Αναλόγως του είδους της επεξεργασίας που πραγματοποιείται, τυγχάνουν εφαρμογής είτε οι διατάξεις του ΓΚΠΔ (και οι συντρέχουσες εφαρμοστικές διατάξεις του ν. 4624/2019) είτε οι σχετικές διατάξεις του προαναφερόμενου νόμου, οι οποίες ενσωμάτωσαν τις διατάξεις της Οδηγίας (ΕΕ) 2016/
  16. Τούτο άλλωστε, προκύπτει από την απουσία διάταξης, η οποία να εξαιρεί από το ρυθμιστικό πεδίο την Εθνική Άμυνα εν όλω, την διάσπαρτη, σε ειδικότερες διατάξεις, αναφορά σε λόγους εθνικής άμυνας και εθνικής ασφάλειας (βλ. ενδ. άρθ. 22 παρ. 2 στ. β΄, 24 παρ. 1 του ν. 4624/2019) και την παρεχόμενη από τον ΓΚΠΔ δυνατότητα θέσπισης περιορισμών των δικαιωμάτων των υποκειμένων των δεδομένων (βλ. άρθρ. 23 ΓΚΠΔ). Άλλωστε το ΓΕΕΘΑ έχει ήδη συμμορφωθεί προς τις διατάξεις του ΓΚΠΔ προβαίνοντας σε ανακοίνωση του ορισθέντος Υπεύθυνου Προστασίας Δεδομένων. Επομένως, μόνο οι ειδικότερες επεξεργασίες που αφορούν θέματα εθνικής ασφάλειας εξαιρούνται από το ρυθμιστικό πεδίο του ν. 4624/
  18. Με το νομοσχέδιο αυτό διαφαίνεται η βούληση του εθνικού νομοθέτη να εντάξει εκούσια στο νομικό καθεστώς του ΓΚΠΔ και στην εποπτεία από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα την σκοπούμενη επεξεργασία (εκ μέρους των ελληνικών ένοπλων δυνάμεων) προσωπικών δεδομένων που αφορούν την εθνική ασφάλεια. Η Αρχή αποτιμά ως θετική την επιλογή αυτή του νομοθέτη, που είναι απολύτως εναρμονισμένη με το άρθρο 9Α του Συντάγματος, κατά το οποίο «Καθένας 10 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr έχει δικαίωμα προστασίας από τη συλλογή, επεξεργασία και χρήση, ιδίως με ηλεκτρονικά μέσα, των προσωπικών του δεδομένων, όπως νόμος ορίζει», δεδομένου και ότι αφενός οι ρυθμίσεις που εμπεριέχονται στο σχέδιο νόμου βρίσκονται σε συνάρτηση με διατάξεις του ΓΚΠΔ και αφετέρου κατά τον κανόνα που εισάγεται με το άρθρο 2 του ν. 4624/2019, οι διατάξεις του νόμου αυτού εφαρμόζονται στην επεξεργασία, η οποία πραγματοποιείται από δημόσιους φορείς.
  19. Με βάση τα παραπάνω και ενόψει της διάταξης της παρ. 5 του άρθρ. 10 του ν. 4624/2019 θα πρέπει να αποσαφηνιστεί ότι ο έλεγχος της τήρησης των διατάξεων του σχεδίου νόμου και η άσκηση της εποπτείας ανατίθεται στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Ως εκ τούτου, πρέπει να αναδιατυπωθεί η αναφορά σε επιμέρους άρθρα του σχεδίου νόμου (άρθρο 8 παρ. 2 και άρθρο 9) του όρου «αρμόδια εποπτική αρχή». Αντί αυτού να γίνει ρητή αναφορά στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Ειδικότερες παρατηρήσεις σε επιμέρους άρθρα
  20. Άρθρο 3 του σχεδίου νόμου: Στην παράγραφο 1 του εν λόγω άρθρου περιγράφεται ο κύριος σκοπός επεξεργασίας, αλλά γίνεται αναφορά μόνο στη συλλογή των προσωπικών δεδομένων. Προς τούτο, θα πρέπει να τροποποιηθεί κατάλληλα η διατύπωση ως εξής: «Ο κύριος σκοπός συλλογής και περαιτέρω επεξεργασίας προσωπικών δεδομένων στο πλαίσιο των ως άνω αποστολών είναι (…)» Η παράγραφος 2 του ίδιου άρθρου δέον είναι, να αναδιατυπωθεί ως εξής: «ο κύριος σκοπός ανάλογα με την επιχειρούμενη αποστολή μπορεί να αναλυθεί στους παρακάτω επιμέρους συναφείς σκοπούς». Περαιτέρω, το άρθρο «Η», με το οποίο αρχίζουν οι περιπτώσεις α, β, γ και δ που ακολουθούν, πρέπει είτε να διαγραφεί είτε να διατυπωθεί στην αιτιατική «Την».
  21. Άρθρο 4 του σχεδίου νόμου: Στην παράγραφο 2 αναφέρεται: «Τα ανωτέρω δεδομένα που τυγχάνουν επεξεργασίας είναι τα απολύτως αναγκαία σε σχέση με τους στόχους της 11 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr επεξεργασίας. Κατ' εξαίρεση, στις περιπτώσεις που συντρέχουν σοβαροί λόγοι εθνικής/συμμαχικής άμυνας ή ασφάλειας είναι δυνατόν να τηρούνται περισσότερα ή και όλα τα είδη δεδομένων που διασφαλίζουν την αναγνώριση-ταυτοποίηση του υποκειμένου, κατόπιν αιτιολογημένης απόφασης του υπεύθυνου επεξεργασίας». Η διάταξη αυτή δεν φαίνεται κατ’ αρχάς να είναι σύμφωνη με αρχή της ελαχιστοποίησης των δεδομένων εν όψει του επιδιωκόμενου σκοπού (άρθρο 5 παρ. 1 στοιχ. γ’ του ΓΚΠΔ) αφού, κατ΄ ουσίαν, επιτρέπει τη δυνατότητα συλλογής περισσότερων δεδομένων σε σχέση με τα απαραίτητα για τους σκοπούς επεξεργασίας χωρίς τις κατάλληλες εγγυήσεις ή, αντιστοίχως, επιτρέπει διαφοροποίηση στους σκοπούς επεξεργασίας, χωρίς να επεξηγείται αυτή η διαφοροποίηση προκειμένου να διαπιστωθεί αν υπάρχει συνάφεια με τον αρχικό σκοπό και αν αιτιολογείται η επιπρόσθετη επέκταση του είδους των δεδομένων που μπορούν να συλλεγούν. Η σχετική τεκμηρίωση η οποία παρατίθεται στην αιτιολογική έκθεση του σχεδίου νόμου θα πρέπει να συμπληρωθεί κατάλληλα, προκειμένου να καθίσταται σαφές ότι για την έκδοση της ως άνω απόφασης πρέπει να λαμβάνονται υπόψη τυχόν κίνδυνοι για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων κ.λπ., και ότι η απόφαση πρέπει να αιτιολογείται ειδικώς τόσο από την άποψη αυτή όσο και ως προς την επέκταση του είδους των δεδομένων που μπορούν να συλλεγούν.
  22. Άρθρο 5 του σχεδίου νόμου: Το άρθρο 5 περιγράφει τις κατηγορίες των υποκειμένων των δεδομένων, οι οποίες καθορίζουν επιμέρους πτυχές της επεξεργασίας για το κάθε υποκείμενο. Με βάση τα όσα σχετικώς αναφέρονται στην αιτιολογική έκθεση, ένα υποκείμενο μπορεί να ενταχθεί σε περισσότερες από τις προβλεπόμενες στο σχέδιο νόμου κατηγορίες και σε αυτήν την περίπτωση επικρατεί η ένταξή του στην υψηλότερη (από πλευράς απειλής σε θέματα ασφάλειας και άμυνας). Τούτο σημαίνει ότι πρόσωπο που ανήκει κατ’ αρχήν στην κατηγορία αμάχου, μπορεί να ενταχθεί σε κατηγορία προσώπου που αποτελεί απειλή ήτοι, στο δυσμενέστερο καθεστώς που εισάγεται με τη ρύθμιση του επόμενου άρθρου 6, το οποίο προβλέπει μεγαλύτερο χρονικό διάστημα τήρησης των δεδομένων για άτομα, που αποτελούν απειλή. 12 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr Σημειώνεται ότι σύμφωνα με την περιγραφή των κατηγοριών των υποκειμένων των δεδομένων, οι κατηγορίες από Γ μέχρι Ε ουσιαστικά περιλαμβάνουν υπόπτους τέλεσης πράξεων κατά της εθνικής ασφάλειας. Το ΕΔΔΑ προσφάτως στην υπόθεση P.N. v. Germany 3 έκρινε ότι η συλλογή και διατήρηση δεδομένων προσωπικού χαρακτήρα (φωτογραφία, δακτυλικά και παλαμικά αποτυπώματα, στοιχεία επικοινωνίας και φυσική περιγραφή) ενός υπόπτου για τέλεση μελλοντικών εγκλημάτων και προς διευκόλυνση μιας μελλοντικής διαδικασίας αναγνώρισής του ως πιθανού δράστη συνιστά δικαιολογημένη επέμβαση στο δικαίωμα σεβασμού του άρθρου 8 της ΕΣΔΑ, με την οποία επιδιώκεται νόμιμος σκοπός, όπως η πρόληψη του εγκλήματος καθώς και η προστασία των δικαιωμάτων των άλλων ατόμων (παρ. 68)
  23. Ωστόσο, στην υπό εξέταση διάταξη δεν περιλαμβάνεται κανενός είδους κριτήριο χαρακτηρισμού ενός φυσικού προσώπου ως υπόπτου και, ως εκ τούτου, θα πρέπει τέτοια κριτήρια να καθοριστούν. Θα πρέπει δε επιπροσθέτως να σημειωθεί ότι η αναφορά της εν λόγω διάταξης σε «σοβαρές υπόνοιες» σε βάρος του «υπόπτου» προσώπου, καθώς αποτελεί αόριστη έννοια, δέον είναι να εξειδικευθεί.
  24. Άρθρο 6 του σχεδίου νόμου: Στο άρθρο 6 περιγράφονται οι χρόνοι τήρησης των δεδομένων για την κάθε κατηγορία υποκειμένου των δεδομένων, χωρίς ωστόσο να παρουσιάζεται – ούτε στην αιτιολογική έκθεση - κάποια αιτιολόγηση της επιλογής των χρόνων αυτών (πέραν του ότι βαίνει κλιμακούμενη, βάσει σπουδαιότητας της κατηγορίας των υποκειμένων). Προβλέπεται δε και ανανέωση του χρόνου τήρησης βάσει σχετικής (και όχι αιτιολογημένης – σε αντίθεση με την πρόβλεψη για αιτιολογημένη απόφαση που προβλέπεται στο άρθρο 4 σχετικά με την τήρηση και επεξεργασία δεδομένων) απόφασης αρμόδιας επιτροπής. Επισημαίνεται ότι ο χρόνος τήρησης των δεδομένων αποτελεί ουσιώδη πτυχή της επεξεργασίας, αφού συνδέεται άμεσα με την αρχή του περιορισμού της περιόδου αποθήκευσης (άρθρο 5 παρ. 1 στοιχ. ε’ του ΓΚΠΔ), υπό την έννοια ότι τα δεδομένα πρέπει να τηρούνται υπό μορφή τέτοια που να επιτρέπει την ταυτοποίηση των 3 4 Αρ. προσφ. 74440/17 της 11.6.2020 Βλ. σχετική αναφορά και στη Γνωμοδότηση 3/2020 της Αρχής Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr 13 υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας και όχι για μεγαλύτερο. Η τήρηση αυτής της αρχής επεξεργασίας δεν προκύπτει από την προτεινόμενη διάταξη, ούτε τεκμηριώνεται από την αιτιολογική έκθεση. (για παράδειγμα, δεν τεκμηριώνεται η ανάγκη τήρησης των δεδομένων των αμάχως για 25 έτη).
  25. Άρθρο 8 του σχεδίου νόμου: Στο άρθρο 8 του σχεδίου νόμου αναγνωρίζονται τα δικαιώματα των υποκειμένων των δεδομένων, με αναφορά σε περιπτώσεις όπου μπορούν να υπάρχουν παρεκκλίσεις (βλ. σχετικά και την ανωτέρω Σκέψη 3 στις εισαγωγικές παρατηρήσεις). Ως προς τούτο, αναφέρεται στο εν λόγω άρθρο ότι «σε περίπτωση που ο υπεύθυνος επεξεργασίας αρνείται εν όλω ή εν μέρει την ικανοποίηση των δικαιωμάτων, το υποκείμενο των δεδομένων δύναται να απευθυνθεί στην αρμόδια εποπτική αρχή, η οποία μπορεί να ερευνήσει τη συνδρομή των προϋποθέσεων του περιορισμού των δικαιωμάτων και να ενημερώσει σχετικά το υποκείμενο, εφόσον και στο μέτρο που η ενημέρωση αυτή δεν είναι επιζήμια για την εκπλήρωση του σκοπού της παρ.1 του άρθρου 3». Δεδομένου ότι η εποπτική αρχή είναι αρμόδια για τον έλεγχο της συμμόρφωσης των υπευθύνων επεξεργασίας αναφορικά με την προστασία των προσωπικών δεδομένων, συμπεριλαμβανομένης της υποχρέωσης ικανοποίησης των δικαιωμάτων των υποκειμένων των δεδομένων, με βάση το οικείο νομικό πλαίσιο που προδιαγράφει σαφώς τις περιπτώσεις, στις οποίες είναι επιτρεπτές αποκλίσεις από την υποχρέωση αυτή,, το τελευταίο εδάφιο (ήτοι «εφόσον και στο μέτρο που η ενημέρωση αυτή δεν είναι επιζήμια για την εκπλήρωση του σκοπού της παρ.1 του άρθρου 3») θα πρέπει να παραλειφθεί ως πλεονασμός.
  26. Άρθρο 9 παρ. 2 του σχεδίου νόμου: Δεδομένου του ειδικότερου αντικειμένου του σχεδίου νόμου το οποίο αφορά την εθνική ασφάλεια, και ως εκ τούτου ο ΓΚΠΔ και ο ν. 4624/2019 εφαρμόζονται μόνο συμπληρωματικά, η Αρχή αποτιμά θετικά τη συμπερίληψη της διάταξης για τη γνωστοποίηση περιστατικών παραβίασης δεδομένων προσωπικού χαρακτήρα.
  27. Άρθρο 11 του σχεδίου νόμου: 14 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr Στο άρθρο αυτό ρυθμίζονται οι όροι ανταλλαγής δεδομένων με άλλες χώρες και διεθνείς οργανισμούς ενώ, γίνεται και παραπομπή σε σχετικές επιφυλάξεις και παρεκκλίσεις του ΓΚΠΔ και του ν. 4624/
  28. Ειδικότερα στην παράγραφο 4 του άρθρου αυτού ορίζεται ότι «στο πλαίσιο συμφωνιών που συνάπτονται μεταξύ της Ελλάδας και άλλων χωρών ή διεθνών οργανισμών, ρυθμίζονται ειδικότερα θέματα της ανταλλαγής πληροφοριών και της επεξεργασίας δεδομένων, όπως ο σκοπός ανταλλαγής και οι τεχνικοί όροι της επεξεργασίας». Δεδομένου ότι στην παράγραφο 5 του ίδιου άρθρου προβλέπεται η εφαρμογή των σχετικών επιφυλάξεων και παρεκκλίσεων του ΓΚΠΔ και του ν. 4624/2019 για τις διαβιβάσεις σε τρίτες χώρες και διεθνείς οργανισμούς, θα πρέπει, σε εναρμόνιση προς τις σχετικές αυτές διατάξεις, στα ενδεικτικώς μνημονευόμενα στην παράγραφο 4 ειδικότερα θέματα που μπορούν να ρυθμιστούν στο πλαίσιο συμφωνιών που συνάπτει η Ελλάδα με τρίτες χώρες (εκτός ΕΕ) και διεθνείς οργανισμούς, να προστεθούν και τα θέματα παροχής εγγυήσεων προστασίας δεδομένων.
  29. Άρθρο 12 του σχεδίου νόμου Με το άρθρο αυτό παρέχεται η απαιτούμενη εξουσιοδότηση για την έκδοση προεδρικού διατάγματος σχετικά με την ρύθμιση ρητώς απαριθμούμενων ζητημάτων. Στην υποπερίπτωση (ε) προβλέπεται η έκδοση προεδρικού διατάγματος «για την ενημέρωση και την προστασία των παιδιών και τον τρόπο απόκτησης της συγκατάθεσης του ασκούντος τη γονική μέριμνα του παιδιού.». Ωστόσο, καμία από τις επεξεργασίες προσωπικών δεδομένων, τις οποίες αφορά το παρόν σχέδιο νόμου, δεν έχει ως νομική βάση τη συγκατάθεση του υποκειμένου των δεδομένων. Για το λόγο αυτό και προς αποφυγή νομικής ασάφειας θα πρέπει να απαλειφθεί το δεύτερο μέρος της πρότασης, που αναφέρεται στην απόκτηση συγκατάθεσης.
  30. Λοιπά ζητήματα Η διενέργεια εκτίμησης αντικτύπου σχετικά με την προστασία δεδομένων, όπως προσδιορίζεται τόσο στο άρθρο 35 του ΓΚΠΔ όσο και στο άρθρο 65 του ν. 4624/2019, αποτελεί μέσο προσδιορισμού των προβλεπόμενων μέτρων αντιμετώπισης των 15 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr κινδύνων, περιλαμβανομένων των εγγυήσεων, των μέτρων και μηχανισμών ασφάλειας, ώστε να διασφαλίζεται η προστασία των δεδομένων προσωπικού χαρακτήρα των επιτηρούμενων φυσικών προσώπων. Η Αρχή έχει σχετικώς εκδώσει την υπ’ αριθ. 65/2019 απόφασή της (βλ. και ΦΕΚ Β΄ 1622/10-5-2019) «Κατάλογος με τα είδη των πράξεων επεξεργασίας που υπόκεινται στην απαίτηση για διενέργεια εκτίμησης αντίκτυπου σχετικά με την προστασία δεδομένων σύμφωνα με το άρθρο 35 παρ. 4 του ΓΚΠΔ». Ο κατάλογος αυτός καθιστά υποχρεωτική τη διενέργεια εκτίμησης αντικτύπου σε περιπτώσεις όπου η επεξεργασία αφορά συστηματική αξιολόγηση, βαθμολόγηση, πρόβλεψη, πρόγνωση και κατάρτιση προφίλ. Επίσης, ανεξάρτητα της προαναφερθείσας προϋπόθεσης, υποχρεωτική καθίσταται η εκτίμηση αντικτύπου σε περίπτωση μεγάλης κλίμακας επεξεργασίας των ειδικών κατηγοριών δεδομένων κατά το άρθρο 9 του ΓΚΠΔ, περιλαμβανομένων των γενετικών και των βιομετρικών με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου. Ως εκ τούτου, για την επεξεργασία που περιγράφεται στο υπό εξέταση σχέδιο νόμου, είναι υποχρεωτική η εκπόνηση εκτίμησης αντικτύπου για τους σκοπούς επεξεργασίας οι οποίοι εμπίπτουν στο πεδίο εφαρμογής του ΓΚΠΔ. Όπως αναφέρεται στην σκέψη 90 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας, πριν από την επεξεργασία, θα πρέπει να διενεργεί εκτίμηση αντικτύπου όσον αφορά την προστασία των δεδομένων, ώστε να εκτιμήσει την ιδιαίτερη πιθανότητα και τη σοβαρότητα του υψηλού κινδύνου, λαμβάνοντας υπόψη τη φύση, την έκταση, το πλαίσιο και τους σκοπούς της επεξεργασίας και τις πηγές του κινδύνου. Στην προκειμένη περίπτωση, οι εκπρόσωποι του Υπουργείου ανέφεραν, κατά τη συνεδρίαση της 26/6/2020, ότι η εκτίμηση αντικτύπου αποτυπώνεται ουσιαστικά στην αιτιολογική έκθεση του σχεδίου νόμου. Αν και πράγματι η αιτιολογική έκθεση παρέχει σε διάφορα σημεία τεκμηρίωση περί πτυχών επεξεργασίας που άπτονται κάποιων σχεδιαστικών επιλογών – όπως, ιδίως, τεκμηρίωση για την ανάγκη χρήσης βιομετρικών και γενετικών δεδομένων για την αναγνώριση προσώπων – εν τούτοις δεν υποκαθιστά την εκτίμηση αντικτύπου αφού δεν πληροί τις σχετικές απαιτήσεις που ορίζονται στις παραπάνω διατάξεις και, πάντως, δεν προκύπτει ότι έχουν εντοπιστεί όλοι οι κίνδυνοι, στο πλαίσιο και όσων αναφέρονται στις ανωτέρω 16 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr σκέψεις 2-5 των ειδικότερων παρατηρήσεων. Εξάλλου, αποτελεί θετική ρύθμιση η ρητή πρόβλεψη για την κύρωση Διακλαδικού Κώδικα Δεοντολογίας 5 για την Επεξεργασία Δεδομένων Προσωπικού Χαρακτήρα με Προεδρικό Διάταγμα, επισημαίνεται δε ότι η εκτίμηση αντικτύπου θα πρέπει να έχει εκπονηθεί πριν την έκδοση του εν λόγω Διατάγματος. Δεδομένου ότι τα θέματα, για οποία παρέχεται η εξουσιοδότηση να ρυθμιστούν με Προεδρικό Διάταγμα, αφορούν στο σύνολό τους προσωπικά δεδομένα, ορισμένα από τα οποία μάλιστα έχουν ιδιαίτερη σημασία για την προστασία των δικαιωμάτων των υποκειμένων, ενδείκνυται να ζητηθεί η γνώμη της Αρχής Προστασίας Δεδομένων, κατ’ εφαρμογή των άρθρων 57 του ΓΚΠΔ και 13 του ν. 4624/2019, πριν την έκδοση του σχετικού Προεδρικού Διατάγματος. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου Θα πρέπει να αποσαφηνιστεί ότι αυτός ο Κώδικας Δεοντολογίας δεν ταυτίζεται, ως έννοια, με τους κώδικες δεοντολογίας που προβλέπονται στο άρθρο 40 του ΓΚΠΔ. 17 5 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr

🔗 Στην επίσημη πηγή

Επεξήγηση AI βάσει του επίσημου κειμένου του νόμου. Ενδεικτική, δεν υποκαθιστά νομική συμβουλή.