Γνωμοδότηση επί Σχεδίου Νόμου του Υπουργείου Οικονομικών για την ενσωμάτωση της Οδηγίας (ΕΕ) 2019/1153

Αθήνα, 11-08-2021 Αριθ. Πρωτ.: 1849 ΓΝΩΜΟΔΟΤΗΣΗ 4/2021 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, συνήλθε, μετά από πρόσκληση του Προέδρου της, σε έκτακτη συνεδρίαση μέσω τηλεδιάσκεψης την 2307-2021, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Κωνσταντίνος Μενουδάκος, Πρόεδρος της Αρχής, τα τακτικά μέλη Σπυρίδων Βλαχόπουλος, ως εισηγητής, Κωνσταντίνος Λαμπρινουδάκης και Χαράλαμπος Ανθόπουλος. Στη συνεδρίαση, χωρίς δικαίωμα ψήφου, παρέστησαν, με εντολή του Προέδρου, οι ελεγκτές Γεώργιος Ρουσόπουλος, ειδικός επιστήμονας πληροφορικής και η Στεφανία Πλώτα, ειδική νομική επιστήμονας ως βοηθοί εισηγητή, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Τμήματος Διοικητικών Υποθέσεων, ως γραμματέας. H Αρχή έλαβε υπόψη τα ακόλουθα: Οι Υπεύθυνοι Προστασίας Δεδομένων του Υπουργείου Οικονομικών και της Ανεξάρτητης Αρχής Δημοσίων Εσόδων (εφεξής ΑΑΔΕ) διαβίβασαν στην Αρχή, με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/4342/01-07-2021 έγγραφο, Σχέδιο Νόμου του Υπουργείου Οικονομικών για την ενσωμάτωση στην ελληνική έννομη τάξη της Οδηγίας (ΕΕ) 2019/1153 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 20ης Ιουνίου 2019 για τη θέσπιση κανόνων με σκοπό τη διευκόλυνση της χρήσης χρηματοοικονομικών και άλλων πληροφοριών για την πρόληψη, την ανίχνευση, τη διερεύνηση ή τη δίωξη ορισμένων ποινικών αδικημάτων και την κατάργηση της απόφασης 2000/642/ΔΕΥ του Συμβουλίου, συνοδευόμενο από την «Ανάλυση Συνεπειών Ρύθμισης», για την παροχή γνώμης επί των διατάξεων του σχεδίου αυτού. Ακολούθως, η Υπεύθυνη Προστασίας Δεδομένων της ΑΑΔΕ απέστειλε συμπληρωματικό ερώτημα για την παροχή γνώμης επί συγκεκριμένου άρθρου του ανωτέρω Σχεδίου Νόμου. 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr Η Αρχή, μετά από εξέταση του ανωτέρω Σχεδίου Νόμου από την άποψη της νομοθεσίας για την προστασία των προσωπικών δεδομένων και αφού άκουσε τον εισηγητή και τους βοηθούς εισηγητή, οι οποίοι αποχώρησαν μετά από τη συζήτηση της υποθέσεως και πριν από τη διάσκεψη, κατόπιν διεξοδικής συζητήσεως ΕΚΔΙΔΕΙ ΤΗΝ ΑΚΟΛΟΥΘΗ ΓΝΩΜΟΔΟΤΗΣΗ

1. Η Αρχή γνωμοδοτεί επί του Σχεδίου Νόμου με βάση τις διατάξεις του άρθρου 57 παρ. 1 γ’ του Κανονισμού (ΕΕ) 2016/679 (Γενικός Κανονισμός για την Προστασία Δεδομένων – εφεξής ΓΚΠΔ) σε συνδυασμό με το άρθρο 13 παρ. 1 γ’ του ν. 4624/
3. Ως υπεύθυνος επεξεργασίας ορίζεται, στο άρθρο 4 παρ. 7 του ΓΚΠΔ, «…το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους». Περαιτέρω, ως εκτελών την επεξεργασία ορίζεται στην επόμενη παράγραφο «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου της επεξεργασία». Εξάλλου, το υποκειμενικό πεδίο εφαρμογής, σε σχέση με τον δημόσιο τομέα, της έννοιας του υπευθύνου επεξεργασίας, η οποία αποτελεί αυτόνομη έννοια του ενωσιακού δικαίου, και, ειδικότερα, σε σχέση με το περιεχόμενο των όρων δημόσια αρχή και δημόσια υπηρεσία, συναρτάται με τη διοικητική οργάνωση των εθνικών εννόμων τάξεων. Βασικό για τον προσδιορισμό του υπευθύνου επεξεργασίας είναι το λειτουργικό κριτήριο. Δηλαδή υπεύθυνος επεξεργασίας είναι αυτός που καθορίζει τον σκοπό ή/και τα ουσιώδη, τουλάχιστον, στοιχεία του τρόπου της επεξεργασίας (πρβλ. για την έννοια του υπευθύνου και εκτελούντος την επεξεργασία τη Γνώμη 1/2010 της Ο.Ε. του Άρθρου 29, στην οποία και αναφέρεται μεταξύ άλλων ότι ο καθορισμός των στόχων και του τρόπου ισοδυναμεί με τον καθορισμό, αντίστοιχα, του «γιατί» και του «πώς» ορισμένων 2 δραστηριοτήτων επεξεργασίας, καθώς και τις σκέψεις 22 – 24 των κατευθυντηρίων γραμμών 07/2020 του ΕΣΠΔ για τις έννοιες του υπεύθυνου επεξεργασίας και του εκτελούντος την επεξεργασία στον ΓΚΠΔ 1). Συνεπώς, επειδή στο άρθρο 2 του Σχεδίου Νόμου δεν αναφέρεται ο υπεύθυνος επεξεργασίας και ποια αρμοδιότητα ως προς την επεξεργασία των δεδομένων προσωπικού χαρακτήρα έχει επωμιστεί έκαστος φορέας, είναι σκόπιμο να προσδιορίζονται με αντίστοιχες διατάξεις ο υπεύθυνος επεξεργασίας και οι εκτελούντες την επεξεργασία για λογαριασμό του. Ανάλογη σύσταση περιλαμβάνεται και στο εμπιστευτικό πόρισμα, το οποίο έχει διαβιβαστεί στην ΓΓΔΕ (νυν ΑΑΔΕ) μετά την υπ’ αρ. 75/2016 Απόφαση της Αρχής, με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/5137/10-08-2016 έγγραφο της Αρχής.
4. Σύμφωνα με τις αιτιολογικές σκέψεις 9, 10 και 11 της προς ενσωμάτωση Οδηγίας, οι αρχές ή φορείς που θα ορίζονται να έχουν πρόσβαση στις εν θέματι πληροφορίες θα πρέπει να περιλαμβάνουν στο πλαίσιο των αρμοδιοτήτων τους την πρόληψη, ανίχνευση ή διερεύνηση συγκεκριμένου σοβαρού ποινικού αδικήματος ή την υποστήριξη συγκεκριμένης ποινικής έρευνας. Αντίθετα, «οι διοικητικές έρευνες, εκτός εκείνων που διεξάγονται από τις ΜΧΠ στο πλαίσιο της πρόληψης, της ανίχνευσης και της αποτελεσματικής καταπολέμησης της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας, δεν θα πρέπει να εμπίπτουν στο πεδίο εφαρμογής της παρούσας οδηγίας». Στο άρθρο 3 παρ. 1 του Σχεδίου Νόμου παρατίθεται ένας μεγάλος αριθμός αρμοδίων αρχών που συνδέονται με την ποινική έρευνα και «δύναται να ζητούν και να λαμβάνουν χρηματοοικονομικές πληροφορίες ή χρηματοοικονομική ανάλυση από την Α΄ Μονάδα της Αρχής». Εφόσον έχει διερευνηθεί από την εισηγηθείσα του Σχεδίου Νόμου Υπηρεσία ότι οι εν λόγω Αρχές έχουν αρμοδιότητα ποινικής διερεύνησης με βάση τα ανωτέρω αναφερθέντα, κρίνεται σκόπιμο να προσδιοριστούν ειδικότερα και να αναφερθούν οι συγκεκριμένες υπηρεσίες - μονάδες αυτών που θα μπορούν να έχουν πρόσβαση στις πληροφορίες με βάση τις διατάξεις του εν λόγω Σχεδίου Νόμου. Περαιτέρω, η ΑΑΔΕ, εφόσον αποσαφηνισθεί και οριστεί ότι, με βάση όσα αναφέρθηκαν στην παράγραφο 2 του παρόντος, είναι ο υπεύθυνος επεξεργασίας του Συστήματος Μητρώων Τραπεζικών Λογαριασμών και Λογαριασμών Πληρωμών https://edpb.europa.eu/our-work-tools/public-consultations-art-704/2020/guidelines-072020concepts-controller-and-processor_en 1 3 (στο εξής «Σύστημα»), θα πρέπει πριν από την εκχώρηση δικαιωμάτων πρόσβασης στο Σύστημα να εξετάζει αναλυτικά τη συνδρομή των σχετικών προϋποθέσεων ώστε η πρόσβαση να πραγματοποιείται μόνο για τους σκοπούς του Σχεδίου Νόμου και να περιορίζεται μόνο στις ορισθείσες αρμόδιες υπηρεσίες – μονάδες εκάστης Αρχής.
5. Το άρθρο 5 παρ. 1 της προς ενσωμάτωση Οδηγίας αναφέρει ότι «Η πρόσβαση σε πληροφορίες τραπεζικών λογαριασμών και η αναζήτηση τέτοιων πληροφοριών σύμφωνα με το άρθρο 4 διενεργείται μόνο από τα πρόσωπα κάθε αρμόδιας αρχής τα οποία έχουν οριστεί και εξουσιοδοτηθεί ειδικά για την εκτέλεση των εν λόγω καθηκόντων και βάσει κατά περίπτωση εξέτασης». Συνεπώς, με βάση το πνεύμα και γράμμα της Οδηγίας πρέπει στο άρθρο 5 παρ. 1 του Σχεδίου Νόμου να προβλέπεται με σαφήνεια η εξατομικευμένη έκδοση απόφασης και εξουσιοδότησης για τον κάθε χρήστη του Συστήματος.
6. Στο άρθρο 5 παρ. 3 του Σχεδίου Νόμου θα πρέπει να αναφερθεί με ποιες διαδικασίες και από ποιον φορέα ορίζονται τα προβλεπόμενα τεχνικά και οργανωτικά μέτρα. Επισημαίνεται ότι, άνευ της λήψης κατάλληλων μέτρων μείωσης του κινδύνου, η επεξεργασία δεδομένων μέσω του εν λόγω Συστήματος ενδέχεται να επιφέρει υψηλό κίνδυνο 2 για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Και τούτο καθώς πρόκειται για σύστημα μεγάλης κλίμακας, το οποίο περιλαμβάνει δεδομένα που προέρχονται από όλους τους υπεύθυνους επεξεργασίας του τραπεζικού τομέα και τα οποία μπορεί να χρησιμοποιηθούν για την άσκηση ποινικών διώξεων. Συνεπώς, μετά την εφαρμογή του ΓΚΠΔ και του ν. 4624/2019 είναι απαραίτητη 3 η διενέργεια εκτίμησης αντικτύπου με βάση το άρθρο 35 του ΓΚΠΔ και το άρθρο 65 του ν. 4624/
7. Στην προσκομισθείσα ανάλυση συνεπειών της ρύθμισης (σημείο 20: κίνδυνοι αξιολογούμενης ρύθμισης, σελ. 36 έως 45) περιλαμβάνεται εκτίμηση αντικτύπου στο πλαίσιο της έγκρισης της εν λόγω νομικής βάσης, συνεπώς, ενώ τυγχάνει εφαρμογής η διάταξη του άρθρου 35 παρ. 10 του ΓΚΠΔ, καθώς οι σκοποί της επεξεργασίας εμπίπτουν και στο κεφ. Δ του ν. Βλ. αιτ. 75 ΓΚΠΔ Βλ. και απόφαση 65/2018 για την κανονιστική πράξη της Αρχής σχετικά με τα είδη των πράξεων επεξεργασίας που υπόκεινται στην απαίτηση για διενέργεια εκτίμησης αντίκτυπου (ΦΕΚ Β΄ 1622/10-5-2019) 2 3 4 4624/2019, εφαρμοστέο είναι και το άρθρο 65 του εν λόγω νόμου. Συνεπώς, προκύπτει ότι σε κάθε περίπτωση απαιτείται η διενέργεια ειδικής εκτίμησης αντικτύπου, καθώς και ο τακτικός έλεγχος κατά πόσο η επεξεργασία ακολουθεί τις απαιτήσεις που προέκυψαν από αυτή, με βάση την παρ. 4 του προαναφερθέντος άρθρου του ν. 4624/
9. Αναφορικά με το συμπληρωματικό ερώτημα της Υπευθύνου Προστασίας της ΑΑΔΕ για το εάν συνάδει η διάταξη του άρθρου 6 του Σχεδίου Νόμου επί του ζητήματος του ελέγχου των αρχείων καταγραφής με τη νομοθεσία για την προστασία των δεδομένων προσωπικού χαρακτήρα αλλά και με τα καθήκοντα του Υπευθύνου Προστασίας Δεδομένων της ΑΑΔΕ, στο άρθρο 6 της προς ενσωμάτωση Οδηγίας προβλέπεται ότι «τα αρχεία καταχωρίσεων ελέγχονται τακτικά από τους υπεύθυνους προστασίας δεδομένων των κεντρικών μητρώων τραπεζικών λογαριασμών». Συνεπώς, το Κράτος Μέλος έχει την υποχρέωση να ενσωματώσει την Οδηγία, όπου προβλέπεται ρητά ο έλεγχος από τον Υπεύθυνο Προστασίας Δεδομένων του υπευθύνου επεξεργασίας και, ως εκ τούτου, ορθά έχει εισαχθεί η εν λόγω διάταξη, με την οποία υπογραμμίζεται ο σημαντικός ρόλος που η ΑΑΔΕ και ο Υπεύθυνος Προστασίας Δεδομένων καλούνται να αναλάβουν κατά την επεξεργασία των εν λόγω δεδομένων προσωπικού χαρακτήρα. Είναι όμως, σκόπιμο να επισημανθεί ότι ο υπεύθυνος επεξεργασίας οφείλει να στηρίζει τον Υπεύθυνο Προστασίας Δεδομένων παρέχοντας απαραίτητους πόρους για την άσκηση των καθηκόντων του, όπως προβλέπεται στο άρθρο 38 παρ. 2 του Κανονισμού (ΕΕ) 2016/679 και το άρθρο 7 παρ. 2 του ν. 4624/
10. Περαιτέρω, η έννοια του όρου «τακτικά» στο άρθρο 6 παρ. 2 του Σχεδίου Νόμου δεν προσδιορίζεται χρονικά. Κρίνουμε ότι είναι σκόπιμο να προβλεφθεί στο Σχέδιο Νόμου χρονικός προσδιορισμός του όρου «τακτικά».
11. Επειδή η διάταξη του άρθρου 7 παρ. 2 του Σχεδίου Νόμου αποτελεί στην ουσία επανάληψη του άρθρου 47 του ν.4624/2019, προτείνεται να απαλειφθεί, καθώς δεν είναι σαφές αν η προτεινόμενη διάταξη έχει πρόσθετη αξία σε σχέση με τις υφιστάμενες διατάξεις.
12. Στο άρθρο 23 παρ. 2 του ΓΚΠΔ προβλέπονται τα κριτήρια για τους περιορισμούς των δικαιωμάτων των υποκειμένων στα δεδομένα που το αφορούν και ορίζεται ότι κάθε νομοθετικό μέτρο, με το οποίο επιβάλλονται περιορισμοί στα δικαιώματα κατά την 5 παρ. 1 του ίδιου άρθρου, περιέχει συγκεκριμένες διατάξεις τουλάχιστον, ανάλογα με την περίπτωση, όσον αφορά : «α) τους σκοπούς της επεξεργασίας ή τις κατηγορίες επεξεργασίας, β) τις κατηγορίες δεδομένων προσωπικού χαρακτήρα, γ) το πεδίο εφαρμογής των περιορισμών που επιβλήθηκαν, δ) τις εγγυήσεις για την πρόληψη καταχρήσεων ή παράνομης πρόσβασης ή διαβίβασης, ε) την ειδική περιγραφή του υπευθύνου επεξεργασίας ή των κατηγοριών των υπευθύνων επεξεργασίας, στ) τις περιόδους αποθήκευσης και τις ισχύουσες εγγυήσεις, λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής και τους σκοπούς της επεξεργασίας ή τις κατηγορίες επεξεργασίας, ζ) τους κινδύνους για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων, και η) το δικαίωμα των υποκειμένων των δεδομένων να ενημερώνονται σχετικά με τον περιορισμό, εκτός εάν αυτό μπορεί να αποβεί επιζήμιο για τους σκοπούς του περιορισμού. Επομένως, οι εν λόγω περιορισμοί θα πρέπει να αναφέρονται συγκεκριμένα, και να εφαρμόζονται για τον ορισμό τους τα ανωτέρω κριτήρια
13. Αντιθέτως, στο άρθρο 18 του Σχεδίου Νόμου προβλέπεται ότι «Τα δικαιώματα των υποκειμένων στα δεδομένα που το αφορούν και τα οποία υπόκεινται σε επεξεργασία για τους σκοπούς του παρόντος υπόκεινται στους περιορισμούς των άρθρων 53 έως 59 του ν. 4624/2019», με αποτέλεσμα ο μόνος προσδιορισμός των περιορισμών των δικαιωμάτων των υποκειμένων στα δεδομένα που το αφορούν να γίνεται με παραπομπή στον ν. 4624/
14. Ως προς την εν λόγω αναφορά όμως, στο Σχέδιο Νόμου των άρθρων 53 έως 59 του ν. 4624/2019 επισημαίνεται ότι τα αναφερθέντα άρθρα δεν αφορούν το πεδίο εφαρμογής του ΓΚΠΔ αλλά την ενσωμάτωση στην εθνική νομοθεσία της Οδηγίας 2016/680 και επιπροσθέτως η Αρχή Προστασίας Δεδομένων έχει επισημάνει στην υπ΄ αρ. 1/2020 Γνωμοδότησή της ότι σε σχέση με το άρθρο 55 του ν.4624/2019 η προβλεπόμενη από την Οδηγία Βλ. και γνωμοδότηση 1/2020 της Αρχής, σελ.
15. Οι περιορισμοί πρέπει να είναι «σύμφωνοι με τον ΓΚΠ∆ και με τις επιταγές που απορρέουν από τον ΧΘ∆ΕΕ και την ΕΣ∆Α (βλ. αιτ. σκ. 73 ΓΚΠ∆) και ιδίως από τα άρθρα 7, 8 και 52 ΧΘ∆ΕΕ και 8 ΕΣ∆Α» 4 6 2016/680 δυνατότητα άσκησης των δικαιωμάτων του υποκειμένου των δεδομένων μέσω της Αρχής ενσωματώθηκε εσφαλμένα. Συνεπώς, το άρθρο 18 του Σχεδίου Νόμου θα πρέπει να τροποποιηθεί και να συγκεκριμενοποιηθούν οι περιορισμοί των δικαιωμάτων των υποκειμένων στα δεδομένα που τα αφορούν σύμφωνα με τα κριτήρια του αρ. 23 παρ. 2 του ΓΚΠΔ για όσες επεξεργασίες δεδομένων προσωπικού χαρακτήρα εμπίπτουν στους περιορισμούς αυτούς, καθώς και να προσδιοριστούν μέτρα για να γίνεται σεβαστή η ουσία των εν λόγω δικαιωμάτων. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 7