Αθήνα, 01-09-2021 Αριθ. Πρωτ.: 1982 ΓΝΩΜΟΔΟΤΗΣΗ 6/2021 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της σε έκτακτη συνεδρίαση μέσω τηλεδιάσκεψης την 1907-2021, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, και Χαράλαμπος Ανθόπουλος. Επίσης παρέστη το αναπληρωματικό μέλος της Αρχής Γρηγόριος Τσόλιας, ως εισηγητής. Παρόντες χωρίς δικαίωμα ψήφου ήταν η Ελένη Μαραγκού και ο Ιωάννης Λυκοτραφίτης, ειδικοί επιστήμονες, ως βοηθοί εισηγητή, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη τα παρακάτω: Το Υπουργείο Προστασίας του Πολίτη διαβίβασε στην Αρχή, με το υπ΄ αριθμ. πρωτ. Γ/ΕΙΣ/4154/23-06-2021 έγγραφο, προτεινόμενες διατάξεις σχεδίου προεδρικού διατάγματος με τίτλο «Λήψη μέτρων για την εφαρμογή της απόφασης 2008/615/ΔΕΥ του Συμβουλίου της 23ης Ιουνίου 2008 για την αναβάθμιση της διασυνοριακής συνεργασίας, ιδίως όσον αφορά την καταπολέμηση της τρομοκρατίας και του διασυνοριακού εγκλήματος», προκειμένου η Αρχή να γνωμοδοτήσει επ’ αυτών κατ’ εφαρμογή των άρθρων 13 παρ. 1 περ. γ’ και 67 παρ. 2 του ν. 4624/
- 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr Συνοδευτικά εστάλη και παράρτημα με πίνακα με τίτλο «Πίνακας αντιστοιχίας απόφασης 2008/615/ΔΕΥ προς διατάξεις εθνικού δικαίου». Το αντικείμενο του εν λόγω σχεδίου προεδρικού διατάγματος αφορά στην επεξεργασία προσωπικών δεδομένων, συμπεριλαμβανομένων βιομετρικών δεδομένων (γενετικών αποτυπωμάτων και δακτυλικών αποτυπωμάτων), για τους σκοπούς της προαναφερθείσας απόφασης ήτοι, τη διευκόλυνση και βελτίωση της ανταλλαγής πληροφοριών και την αμοιβαία πρόσβαση των κρατών μελών στα αυτοματοποιημένα εθνικά αρχεία DNA, στα συστήματα αυτοματοποιημένης αναγνώρισης δακτυλικών αποτυπωμάτων και τα μητρώα οχημάτων. Η έκδοση του προεδρικού διατάγματος αυτού είναι απαραίτητη και έχει ως σκοπό την λήψη μέτρων εφαρμογής του κεφαλαίου 6 της Απόφασης 2008/615/ΔΕΥ του Συμβουλίου (εφεξής «Απόφαση») με τίτλο «Γενικές Διατάξεις Σχετικά με τη Προστασία Δεδομένων», καθώς, σύμφωνα με το άρθρο 25 παρ. 2 του κεφαλαίου 6 της Απόφασης, δεν είναι δυνατή η παροχή δεδομένων προσωπικού χαρακτήρα πριν μεταφερθούν οι διατάξεις του κεφαλαίου αυτού στο εθνικό δίκαιο των κρατών μελών, δεδομένου ότι η Ελλάδα δεν έχει υπογράψει την Συνθήκη του Prüm, δηλ. τη συνθήκη της 27ης Μαΐου 2005 μεταξύ του Βασιλείου του Βελγίου, της Ομοσπονδιακής Δημοκρατίας της Γερμανίας, του Βασιλείου της Ισπανίας, της Γαλλικής Δημοκρατίας, του Μεγάλου Δουκάτου του Λουξεμβούργου, του Βασιλείου των Κάτω Χωρών και της Δημοκρατίας της Αυστρίας σχετικά με την αναβάθμιση της διασυνοριακής συνεργασίας, ιδιαίτερα όσον αφορά την καταπολέμηση της τρομοκρατίας, του διασυνοριακού εγκλήματος και της παράνομης μετανάστευσης. Σημειώνεται ότι με την εν λόγω Απόφαση, τα βασικά στοιχεία της Συνθήκης του Prüm ενσωματώθηκαν στο νομικό πλαίσιο της Ευρωπαϊκής Ένωσης. Ενόψει αυτού, με το ΠΔ αυτό μεταφέρονται διατάξεις του Κεφαλαίου 6 της Απόφασης 2008/615/ΔΕΥ. Στη συνεδρίαση της Αρχής στις 19-07-2021 παρευρέθηκε, μέσω τηλεδιάσκεψης, κατόπιν σχετικής πρόσκλησης, η Α, … του Υπουργού Προστασίας του Πολίτη, ως εκπρόσωπος του Υπουργείου, η Β, … του Αυτοτελούς Τμήματος Νομοθετικής Πρωτοβουλίας, Καλής Νομοθέτησης, Κωδικοποίησης και Κοινοβουλευτικού Ελέγχου του Υπουργείου, και ο Γ, … Ελληνικού Γραφείου S.I.Re.N.E., οι οποίοι απάντησαν σε 2 ερωτήσεις, παρείχαν διευκρινίσεις και εξέφρασαν τις θέσεις τους επί διαφόρων διατάξεων του σχεδίου προεδρικού διατάγματος. Στη συνέχεια και πριν την διάσκεψη, αποχώρησαν. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και των απόψεων που αναπτύχθηκαν κατά την ακροαματική διαδικασία και αφού άκουσε τον εισηγητή και τους βοηθούς εισηγητή, οι οποίοι αποχώρησαν μετά τη συζήτηση της υπόθεσης και πριν από τη διάσκεψη και τη λήψη απόφασης, μετά από διεξοδική συζήτηση Εκδίδει την ακόλουθη Γνωμοδότηση Α. Εισαγωγικές παρατηρήσεις
- Σύμφωνα με τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (EE) 2016/679 (εφεξής, ΓΚΠΔ) και του άρθρου 9 του ν. 4624/2019 (ΦΕΚ Α΄ 137), η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
- Σύμφωνα με το άρθρο 57 παρ. 1 στοιχ. γ’ ΓΚΠΔ και το άρθρο 13 παρ. 1 του ν. 4624/2019, η Αρχή παρέχει γνώμη για κάθε ρύθμιση που πρόκειται να περιληφθεί σε νόμο ή κανονιστική πράξη, η οποία αφορά επεξεργασία δεδομένων προσωπικού χαρακτήρα.
- Σύμφωνα με το άρθρο 43 του ν. 4624/2019, οι διατάξεις του κεφαλαίου Δ του εν λόγω νόμου που ενσωματώνει στην εθνική νομοθεσία την Οδηγία (ΕΕ) 2016/680, εφαρμόζονται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από δημόσιες αρχές που είναι αρμόδιες για την πρόληψη, διερεύνηση, ανίχνευση ή δίωξη ποινικών αδικημάτων ή την εκτέλεση ποινικών κυρώσεων, περιλαμβανομένων της προστασίας από απειλές κατά της δημόσιας ασφάλειας και της αποτροπής τους. Στις ως άνω περιπτώσεις οι δημόσιες αρχές θεωρούνται πάντοτε ως υπεύθυνοι επεξεργασίας. Όπου στο Κεφάλαιο αυτό περιλαμβάνονται διατάξεις για τους εκτελούντες την 3 επεξεργασία, οι διατάξεις του εφαρμόζονται και σε αυτούς.
- Σύμφωνα με το άρθρο 67 παρ. 2 του ν. 4624/2019, κατά την εκπόνηση σχεδίων νόμου ή κανονιστικών πράξεων, τα οποία αφορούν επεξεργασία δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς του άρθρου 43 ή συνδέονται με αυτή ζητείται εγκαίρως η γνώμη της Αρχής.
- Σύμφωνα με το άρθρο 288 της Συνθήκης για τη Λειτουργία της Ευρωπαϊκής Ένωσης (εφεξής, «ΣΛΕΕ») «Για την άσκηση των αρμοδιοτήτων της Ένωσης, τα θεσμικά όργανα θεσπίζουν κανονισμούς, οδηγίες, αποφάσεις, συστάσεις και γνώμες….Η απόφαση είναι δεσμευτική ως προς όλα τα μέρη της. Όταν ορίζει αποδέκτες, είναι δεσμευτική μόνο για αυτούς…». Επίσης, σύμφωνα με το άρθρο 291 της ΣΛΕΕ «
- Τα κράτη μέλη θεσπίζουν όλα τα μέτρα εσωτερικού δικαίου που είναι αναγκαία για την εφαρμογή των νομικά δεσμευτικών πράξεων της Ένωσης…».
- Σύμφωνα με το άρθρο 16 της ΣΛΕΕ, κάθε πρόσωπο έχει δικαίωμα προστασίας των δεδομένων προσωπικού χαρακτήρα που το αφορούν. Στο ίδιο άρθρο προβλέπεται η θέσπιση κανόνων προστασίας, η τήρηση των οποίων υπόκειται στον έλεγχο ανεξάρτητων αρχών. Σύμφωνα δε με το άρθρο 2 παρ. 2 στοιχ. δ΄ του ΓΚΠΔ, ο Κανονισμός αυτός δεν έχει εφαρμογή για την επεξεργασία προσωπικών δεδομένων που διενεργείται από αρμόδιες αρχές για τους σκοπούς της πρόληψης, της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, συμπεριλαμβανομένης της προστασίας και πρόληψης έναντι κινδύνων που απειλούν τη δημόσια ασφάλεια, δηλαδή για τις περιπτώσεις επεξεργασίας, στις οποίες έχει εφαρμογή η Οδηγία 2016/680, η οποία έχει ενσωματωθεί στην εθνική έννομη τάξη με το Κεφάλαιο Δ’ του ν. 4624/
- Εξάλλου, στο άρθρο 23 ΓΚΠΔ προβλέπεται η δυνατότητα θέσπισης μέσω νομοθετικού μέτρου περιορισμών στα δικαιώματα στις υποχρεώσεις και τα δικαιώματα των άρθρων 12 – 22 και στα άρθρα 34 και 5, όταν οι περιορισμοί αυτοί σέβονται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών και συνιστούν αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση, μεταξύ άλλων, της ασφάλειας του κράτους (στοιχ. α΄), της 4 δημόσιας ασφάλειας (στοιχ. γ΄) και της πρόληψης, της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, περιλαμβανομένης της προστασίας από απειλές κατά της δημόσιας ασφάλειας και της πρόληψης αυτών (στοιχ. δ΄). Αντίστοιχη δυνατότητα θέσπισης, μέσω νομοθετικού μέτρου, περιορισμών στα δικαιώματα προβλέπεται και στην Οδηγία 2016/680 εφόσον και στο βαθμό που ένα τέτοιο μέτρο είναι αναγκαίο και αναλογικό σε μια δημοκρατική κοινωνία, λαμβανομένων δεόντως υπόψη των έννομων συμφερόντων του ενδιαφερόμενου φυσικού προσώπου, με σκοπό, μεταξύ άλλων, την προστασία της δημόσιας ασφάλειας και την προστασία της εθνικής ασφάλειας (βλ. άρθρα 13, 15 και 16 της Οδηγίας). Σχετικοί περιορισμοί τέθηκαν με διατάξεις του εφαρμοστικού ν. 4624/
- Η Αρχή με την υπ’ αρ. 1/2020 Γνωμοδότηση της έχει τοποθετηθεί επί του συνόλου των διατάξεων του ν. 4624/2019 αναφορικά με την συμβατότητα αυτών σε σχέση με τον Γενικό Κανονισμό Προστασίας Δεδομένων (ΓΚΠΔ) και το δίκαιο της Ευρωπαϊκής Ένωσης.
- Ο σεβασμός στην ιδιωτική ζωή των προσώπων και η προστασία των προσωπικών δεδομένων κατοχυρώνονται τόσο στο άρθρο 8 της Ευρωπαϊκής Σύμβασης των Δικαιωμάτων του Ανθρώπου, όσο και στην Σύμβαση 108/1981 του Συμβουλίου της Ευρώπης για την προστασία του ατόμου από την αυτοματοποιημένη επεξεργασία πληροφοριών προσωπικού χαρακτήρα καθώς και στα άρθρα 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, ενώ με το άρθρο 52 προσδιορίζεται η εμβέλεια και η ερμηνεία των δικαιωμάτων και αρχών του Χάρτη. Περαιτέρω, η Σύσταση αριθ. R
(87)15 της 17ης Σεπτεμβρίου 1987 της Επιτροπής των Υπουργών του Συμβουλίου της Ευρώπης προς τα κράτη μέλη για τη ρύθμιση της χρήσης των προσωπικών δεδομένων στον αστυνομικό τομέα, αποτελεί νομικό κείμενο, που εξειδικεύει τις αρχές και κανόνες προστασίας του ατόμου στο πεδίο της επεξεργασίας προσωπικών δεδομένων στον τομέα της αστυνομικής δράσης και ποινικής δικαιοσύνης και αποκτά ad hoc δεσμευτική ισχύ αναφορικά με το πεδίο εφαρμογής της Απόφασης 2008/615/ΔΕΥ, δεδομένου ότι 5 παραπέμπει ρητά σε αυτήν η ίδια η Απόφαση στο άρθρο
- 1
- Σύμφωνα με το άρθρο 10 παρ. 5 του ν. 4624/2019, «η Αρχή δεν είναι αρμόδια να ελέγχει (… ) πράξεις επεξεργασίας διαβαθμισμένων δεδομένων προσωπικού χαρακτήρα που διενεργούνται για τις δραστηριότητες που αφορούν την εθνική ασφάλεια». Ωστόσο, σύμφωνα με την παράγραφο 4 του άρθρου 10 του ν. 4624/2019, «στις περιπτώσεις που σε διεθνείς ή διακρατικές συμβάσεις ή στο δίκαιο της Ευρωπαϊκής Ένωσης ή στην εθνική νομοθεσία προβλέπεται ανεξάρτητος έλεγχος ή εποπτεία, η Αρχή ασκεί τις αντίστοιχες αρμοδιότητες και εξουσίες». Ως τέτοιες αρμοδιότητες νοούνται, βάσει της αιτιολογικής έκθεσης του ν. 4624/2019, μεταξύ άλλων, οι προβλεπόμενες από τις διατάξεις που ρυθμίζουν το Σύστημα Πληροφοριών Σένγκεν, το Σύστημα Πληροφοριών Ευρωπόλ, το Σύστημα Πληροφοριών Eurodac και η Σύμβαση για τη χρήση της πληροφορικής στον τελωνειακό τομέα. Από τη συστηματική ερμηνεία των διατάξεων των παραγράφων 4 και 5 του νόμου 4624/2019 προκύπτει ότι ο νομοθέτης δεν θεσπίζει απόλυτο αποκλεισμό από την αρμοδιότητα της Αρχής των ζητημάτων εθνικής ασφαλείας, καθώς η αρμοδιότητα αυτή διατηρείται εφόσον προβλέπεται ρητά από διεθνείς και διακρατικές συμβάσεις.
- Η Αρχή με την υπ’ αριθμ. 02/2009 Γνωμοδότηση επί σχεδίου διάταξης το οποίο τροποποιούσε το άρθρο 200Α του Κώδικα Ποινικής Δικονομίας, που αφορά την ανάλυση γενετικού υλικού και δημιουργία αρχείου γενετικών αποτυπωμάτων, επανέλαβε τη διαπίστωσή της ότι τα γενετικά αποτυπώματα, τα οποία προέρχονται από την (γενετική) ανάλυση του μη πυρηνικού τμήματος του DNA, αποτελούν προσωπικά δεδομένα, αφού προσδιορίζουν αμέσως ή εμμέσως συγκεκριμένο άτομο από άποψη φυσική ή βιολογική. Στο μέτρο μάλιστα που από αυτά αποκαλύπτεται και η φυλετική προέλευση του ατόμου, αποτελούν ευαίσθητα προσωπικά δεδομένα. Το ίδιο θα μπορούσε να ισχύσει και για το γενετικό υλικό, το οποίο περιέχει το σύνολο της γενετικής πληροφορίας (όχι μόνο δηλαδή το γενετικό αποτύπωμα αλλά ολόκληρο τον γενετικό κώδικα του ανθρώπου, συμπεριλαμβανομένων των πληροφοριών 1 Βλ. σημείο 2.2.
- του Σκεπτικού της Γνωμοδότησης 2/2009 της Αρχής. 6 σχετικά με την υγεία του), ιδίως όταν αυτό αποθηκεύεται για μακρό χρονικό διάστημα, λαμβάνοντας υπόψη και τις τεχνολογικές εξελίξεις. Η επεξεργασία γενετικών αποτυπωμάτων και η δημιουργία σχετικού αρχείου για την εξιχνίαση αξιόποινων πράξεων συνιστά περιορισμό του δικαιώματος της πληροφοριακής αυτοδιάθεσης (άρθρο 9Α Σ) και επέμβαση στην ιδιωτική ζωή (άρθρο 8 της ΕΣΔΑ) για έναν καταρχήν νόμιμο σκοπό, όπως δέχεται η νομολογία του ΕΔΔΑ εφόσον, ωστόσο, πληρούνται συγκεκριμένες, αυστηρές προϋποθέσεις, ώστε να μη θίγεται ο πυρήνας του ατομικού δικαιώματος. Η Αρχή λαμβάνοντας, επιπλέον, υπόψη τις αρχές που διέπουν την ποινική δικονομία, τον χαρακτήρα της εξέτασης DNA ως ειδικής μορφής πραγματογνωμοσύνης και της λήψης αυτού ως ανακριτικής πράξης καθώς και το γεγονός ότι η αρχή της αναλογικότητας βρίσκει ιδιαίτερη εφαρμογή στα μέτρα δικονομικού χαρακτήρα, διαπίστωσε ότι απαιτούνται ιδιαίτερες εγγυήσεις για την επεξεργασία γενετικών αποτυπωμάτων και τη σύσταση σχετικού αρχείου, λόγω της επέμβασης που απαιτείται στο ανθρώπινο σώμα για τη λήψη γενετικού υλικού και της πληροφοριακής αξίας του αποτελέσματος της ανάλυσής του και διατύπωσε συγκεκριμένες παρατηρήσεις ως προς την επίμαχη τροπολογία.
- Το υπό κρίση σχέδιο ΠΔ εκδίδεται με βάση την εξουσιοδότηση που παρέχεται με το ν. 1338/1983 για τη συμμόρφωση προς οδηγίες και αποφάσεις που εκδίδονται από τα όργανα της Ευρωπαϊκής Ένωσης και για τη θέσπιση των αναγκαίων οργανωτικών και εκτελεστικών μέτρων.. Β. Ειδικότερες παρατηρήσεις στη δομή του σχεδίου καθώς και σε επιμέρους άρθρα
- Άρθρο 1 του σχεδίου προεδρικού διατάγματος: Με το άρθρο αυτό οριοθετείται ο σκοπός του εν λόγω προεδρικού διατάγματος. Ωστόσο, ο σκοπός του προτεινόμενου προεδρικού διατάγματος δεν είναι μόνο η «λήψη μέτρων εφαρμογής», όπως αναφέρεται στο άρθρο αυτό, αλλά κυρίως η μεταφορά του κεφαλαίου 6 της Απόφασης στο εθνικό 7 δίκαιο, όπως επιβάλλεται και με το άρθρο 25 παρ. 2 της ίδιας. Συναφώς θα πρέπει προς τούτο να αναδιατυπωθούν το άρθρο 1, όπως και ο τίτλος του σχεδίου διατάγματος.
- Άρθρο 2 του σχεδίου προεδρικού διατάγματος: Στην πρώτη γραμμή της διάταξης δέον είναι να προστεθεί η λέξη «προσωπικά» ως προσδιορισμός των δεδομένων.
- Άρθρο 3 του σχεδίου προεδρικού διατάγματος: Το άρθρο αυτό περιλαμβάνει τους ορισμούς. Σχετικά με τον ορισμό της «επεξεργασίας δεδομένων προσωπικού χαρακτήρα», το σχέδιο ΠΔ παραπέμπει στον ορισμό της έννοιας που περιέχεται στο άρθρο 44 περ. β΄ του ν. 4624/
- Ωστόσο, ο ορισμός του άρθρου 44 περ. β΄ του ν. 4624/2019 δεν είναι ταυτόσημος με τον ορισμό της Απόφασης. Επομένως, τίθεται ζήτημα μη ορθής μεταφοράς και για το λόγο αυτό πρέπει να επαναληφθεί στο σχέδιο προεδρικού διατάγματος ο ορισμός της Απόφασης. Μολονότι στην περίπτωση β΄ του ίδιου άρθρου γίνεται ακριβής μεταφορά του άρθρου 24 της Απόφασης, στον ορισμό της «αυτοματοποιημένης διαδικασίας αναζήτησης» γίνεται αναφορά σε «άμεση πρόσβαση στα αυτοματοποιημένα αρχεία άλλου φορέα, με πλήρως αυτοματοποιημένη ανταπόκριση στη διαδικασία αναζήτησης», δίχως να ορίζεται η έννοια του φορέα. Εν τούτοις, στο άρθρο 3 της Απόφασης γίνεται σχετική αναφορά σε εθνικά σημεία επαφής λοιπών κρατών μελών, υπό την έννοια ότι τα εθνικά σημεία αναφοράς είναι τα αρμόδια όργανα για πρόσβαση και ανταλλαγή των δεδομένων. Επομένως, θα έπρεπε για λόγους νομικής ασφάλειας και ευκρίνειας να διευκρινιστεί ότι η άμεση πρόσβαση γίνεται στα αυτοματοποιημένα αρχεία των εθνικών σημείων επαφής των άλλων κρατών μελών.
- Άρθρο 4 του σχεδίου προεδρικού διατάγματος: 8 Στην παράγραφο 4 του άρθρου 4 με τίτλο «εθνικά σημεία επαφήςαρμοδιότητα» γίνεται αναφορά στην ευθύνη, που φέρουν οι αρμόδιες υπηρεσίες της Ελληνικής Αστυνομίας (εφεξής «ΕΛ.ΑΣ.»), οι οποίες ορίζονται ως τα εθνικά σημεία επαφής για τους σκοπούς της Απόφασης, αναφορικά με την νομοθεσία προστασίας δεδομένων προσωπικού χαρακτήρα. Ωστόσο, ο όρος «ευθύνη» είναι αδόκιμος. Στο παράρτημα του σχεδίου προεδρικού διατάγματος το εν λόγω άρθρο αντιστοιχίζεται στο πρώτο εδάφιο του άρθρου 27 της Απόφασης, το οποίο όμως αναφέρεται σε αρχές, φορείς και δικαστήρια, τα οποία δύνανται να προβαίνουν νομίμως σε επεξεργασία των δεδομένων για τους σκοπούς του άρθρου 26 και όχι στα εθνικά σημεία επαφής του άρθρου 6 της Απόφασης. Συνεπώς, πρέπει να διευκρινιστεί το νόημα της σκοπούμενης ρύθμισης και να αναδιατυπωθεί η διάταξη. Επίσης, πρέπει να αποσαφηνιστεί ειδικότερα, εάν με τη διάταξη αυτή επιδιώκεται η ανάθεση ευθύνης για τη νομιμότητα ή αν ορίζονται τα εθνικά σημεία επαφής ή ακόμη, εάν επιχειρείται ο προσδιορισμός της ταυτότητας του υπεύθυνου επεξεργασίας. Το τελευταίο μάλιστα αποτελεί ουσιώδες στοιχείο, το οποίο στην περίπτωση που με το παρόν άρθρο επιχειρείται ο απαιτούμενος ορισμός των εθνικών σημείων επαφής- πρέπει επιπροσθέτως, να προσδιοριστεί ρητά και με σαφήνεια. Στην περίπτωση δε αυτή, δεν νοείται ως υπεύθυνος επεξεργασίας οποιαδήποτε υπηρεσία σε επίπεδο διεύθυνσης της ΕΛ.ΑΣ, που έχει οριστεί ως εθνικό σημείο επαφής. Θα πρέπει να εξετασθεί το ενδεχόμενο ως υπεύθυνος επεξεργασίας να οριστεί η ΕΛ.ΑΣ. ή το Υπουργείο Προστασίας του Πολίτη. 2 Εξίσου ουσιώδους σημασίας είναι ο προσδιορισμός των φορέων (του άρθρου 27 της Απόφασης) σε εθνικό επίπεδο, καθώς οι «φορείς» και οι «αρχές» αποτελούν εν δυνάμει αποδέκτες των δεδομένων, οι οποίοι προβαίνουν σε επεξεργασία. Η Αρχή έχει κρίνει παγίως ότι η επεξεργασία προσωπικών δεδομένων φυσικών προσώπων από δημόσιες αρχές λειτουργεί και αναπτύσσει τις συνέπειές της στο πλαίσιο του κράτους δικαίου και της αρχής 2 Βλ. σχετικά κεφάλαιο Γ, σημείο 4 της Γνωμοδότησης 3/2020 της Αρχής. 9 της νομιμότητας. Επιπλέον, στο βαθμό που η προβλεπόμενη επεξεργασία συνιστά περιορισμό του ατομικού δικαιώματος του πληροφοριακού αυτοκαθορισµού, θα πρέπει να ορίζεται γενικώς και αντικειμενικώς µε τυπικό νόμο ή κατόπιν ειδικής νομοθετικής εξουσιοδότησης µε διάταγμα, να δικαιολογείται από αποχρώντες λόγους δημοσίου συμφέροντος, να τελεί σε πρόδηλη λογική συνάφεια µε τον επιδιωκόμενο σκοπό, να είναι πρόσφορη, κατάλληλη και αναγκαία για την επίτευξη του σκοπού αυτού, να µην θίγει τον πυρήνα του δικαιώματος και να µην απονέμει στη Διοίκηση ευρεία διακριτική ευχέρεια. Με άλλα λόγια η αρχή της νομιμότητας λειτουργεί και ως όριο της διοικητικής δράσης. Κατά συνέπεια είναι απαραίτητο η σκοπούμενη επεξεργασία να προβλέπεται σε νομοθετική διάταξη, η οποία θα αναφέρει τα βασικά χαρακτηριστικά της επεξεργασίας, δηλαδή τον υπεύθυνο επεξεργασίας, το σκοπό αυτής, τα δεδομένα τα οποία θα τύχουν επεξεργασίας και το χρόνο τήρησης αυτών καθώς και τους αποδέκτες των δεδομένων. Με ειδικότερη νομοθετική εξουσιοδότηση επιτρέπεται να ανατεθεί στον κανονιστικό νομοθέτη η ρύθμιση ειδικότερων, διαδικαστικών, τεχνικών ή λεπτομερειακών θεμάτων, όπως ο τρόπος διαβίβασης των στοιχείων, τυχόν σχεδιασμός συγκεκριμένου συστήματος, τα εν γένει οργανωτικά και τεχνικά μέτρα για την ασφάλεια της επεξεργασίας των δεδομένων, καθώς και κάθε άλλη αναγκαία λεπτομέρεια. Ενόψει αυτού, η ανωτέρω διάταξη που αναφέρεται αορίστως σε φορείς που είναι αρμόδιοι να προβαίνουν σε επεξεργασία δεδομένων χωρίς προσδιορισμό των φορέων αυτών είναι ατελής και δεν πληροί τις ανωτέρω προϋποθέσεις.
- Άρθρο 5 του σχεδίου προεδρικού διατάγματος: Το άρθρο αυτό αναφέρεται στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα ως αρμόδια εποπτική αρχή. Στην πρώτη παράγραφο του άρθρου γίνεται παραπομπή στο νόμο 4624/2019 για τον καθορισμό αρμοδιότητας της εποπτείας στην Αρχή και ειδικότερα στον αποκλεισμό της Αρχής από την εποπτεία πράξεων επεξεργασίας που διενεργούνται για λόγους εθνικής 10 ασφάλειας κατά την παράγραφο 5 του άρθρου 10 και του νόμου. Ωστόσο, στην Απόφαση δεν φαίνεται να προβλέπεται δυνατότητα εξαίρεσης από τις αρμοδιότητες της Αρχής της επεξεργασίας για λόγους εθνικής ασφαλείας, όπως έχει οριστεί με το άρθρο 10 παρ. 5 του ν. 4624/2019 και κατά συνέπεια τίθεται ενδεχομένως ζήτημα μη ορθής μεταφοράς της. Περαιτέρω, αντίθετη τοποθέτηση θα είχε ως συνέπεια να καταστεί κενό γράμμα η επιταγή του ενωσιακού νομοθέτη για εξασφάλιση στο εθνικό δίκαιο επίπεδο προστασίας τουλάχιστον ισοδύναμο με αυτό που απορρέει από την Σύμβαση 108 του Συμβουλίου της Ευρώπης και της Σύστασης R
(87)15, με δεδομένο τον καθοριστικό ρόλο που έχει η εποπτική αρμοδιότητα της Αρχής ως επιπρόσθετη θεσμική εγγύηση για την προστασία των προσωπικών δεδομένων
- Στην υπό κρίση δε περίπτωση που ρυθμίζεται στην Απόφαση 2008/615 φαίνεται ότι είναι ιδιαιτέρως κρίσιμη η ύπαρξη αποτελεσματικής εποπτείας δεδομένου ότι η εν λόγω επεξεργασία αφορά αρχείο με γενετικά και δακτυλικά αποτυπώματα, δεδομένα, τα οποία χρήζουν αυξημένης προστασίας και τα οποία τηρούνται για αναβάθμιση της συνεργασίας στο πεδίο της καταπολέμηση της τρομοκρατίας, στο οποίο είναι κατ’ εξοχήν πιθανόν, να γίνει επίκληση της εξαίρεσης για λόγους εθνικής ασφάλειας. Μολονότι το αρχείο DNA τελεί υπό την εποπτεία εισαγγελικού λειτουργού σύμφωνα με το άρθρο 201 ΚΠΔ, είναι αμφίβολο, αν για τους σκοπούς της Απόφασης, θα υφίσταται ανεξάρτητη εποπτεία για την προστασία προσωπικών δεδομένων, καθώς και δυνατότητα για αποτελεσματική προσφυγή για το υποκείμενο των δεδομένων (ως το ένδικο βοήθημα του άρθρου 31 παρ. 1 της Απόφασης) υπό την παρούσα μορφή του άρθρου του σχεδίου ΠΔ. Επίσης, στην δεύτερη παράγραφο του άρθρου 5 μεταφέρεται μάλλον συσταλτικά ή ασαφώς η αντίστοιχη διάταξη του άρθρου 30 παρ. 5 της Απόφασης, καθώς προβλέπει ότι η Αρχή ελέγχει ότι η πρόσβαση σε δεδομένα προσωπικού χαρακτήρα στα πληροφοριακά συστήματα της ΕΛ.ΑΣ. πραγματοποιείται σύμφωνα με την παράγραφο 1 του άρθρου 15, στην οποία 3 Βλ. σχετικά σημείο 8 της Γνωμοδότησης 2/2009 της Αρχής. 11 απαριθμούνται συγκεκριμένα στοιχεία που πρέπει να προσδιορίζονται στην εντολή της Ελληνικής Αστυνομίας για τη δημιουργία αυτοματοποιημένου αρχείου δεδομένων προσωπικού χαρακτήρα. Στην Απόφαση όμως, γίνεται μνεία για έλεγχο νομιμότητας εν γένει, από τις εθνικές αρχές προστασίας, χωρίς να περιορίζεται σε συγκεκριμένα στοιχεία. Επομένως, η διατύπωση του σχεδίου θα έπρεπε να προσαρμοστεί προς την Απόφαση ώστε να μη τεθεί ζήτημα ορθής ενσωμάτωσης. Περαιτέρω, το άρθρο της Απόφασης αναφέρει ότι ο προαναφερόμενος έλεγχος διενεργείται τυχαία ή/και κατόπιν αιτήματος. Δεν προκύπτει από την Απόφαση απαίτηση για συγκεκριμένη χρονική περιοδικότητα του ελέγχου, που διενεργεί η Αρχή πολλώ δε μάλλον η ρύθμιση για έλεγχο κάθε δύο χρόνια που αναγράφεται. Σημειώνεται, ότι στις περιπτώσεις που ο ενωσιακός νομοθέτης προκρίνει την αυστηρή τήρηση περιοδικότητας ελέγχων από τις εποπτικές αρχές, το ορίζει ρητώς (βλ. πχ. Κανονισμό (ΕΚ) 767/2008 (VIS), Κανονισμό (ΕΚ) 1987/2006 (SIS II). Σε κάθε περίπτωση η διενέργεια ελέγχων αποτελεί μέρος της οργάνωσης του έργου της Αρχής. Ως εκ τούτου, προτείνεται η απαλοιφή του ελάχιστου χρονικού διαστήματος που ορίζεται για τον έλεγχο της Αρχής .
- Άρθρο 6 του σχεδίου προεδρικού διατάγματος: Παραλείπεται ο γενικότερος σκοπός της πρόληψης και διερεύνησης αξιόποινων πράξεων, όπως περιγράφεται στο άρθρο 1 της Απόφασης και στο άρθρου 1 του παρόντος σχεδίου προεδρικού διατάγματος. Θα ήταν ασφαλέστερο να αναφέρεται ρητά ή κατά παραπομπή ο συγκεκριμένος σκοπός επεξεργασίας των δεδομένων προσωπικού χαρακτήρα. Περαιτέρω, πρέπει να διατυπωθούν με μεγαλύτερη σαφήνεια οι επιμέρους σκοποί και να διαχωριστούν ευκρινώς οι διαφορετικοί σκοποί ανάλογα με την επεξεργασία δεδομένων. Ειδικότερα, πρέπει να διευκρινιστεί ότι η επεξεργασία δεδομένων για την αυτοματοποιημένη αναζήτηση και σύγκριση προφίλ πραγματοποιείται μόνο για την διερεύνηση αξιόποινων πράξεων, ενώ 12 η αυτοματοποιημένη αναζήτηση δακτυλικών αποτυπωμάτων, δεδομένων σχετικά με τις άδειες οχημάτων γίνεται για την πρόληψη και διερεύνηση αξιόποινων πράξεων καθώς και ότι η ανταλλαγή δεδομένων προσωπικού χαρακτήρα στην περίπτωση σημαντικών γεγονότων με διασυνοριακή διάσταση όπως, αθλητικές εκδηλώσεις ή συνόδους του Ευρωπαϊκού Συμβουλίου και για την πρόληψη τρομοκρατικών πράξεων γίνονται για την πρόληψη αξιόποινων πράξεων και τη διατήρηση της δημόσιας τάξης και ασφάλειας, σύμφωνα με τους όρους του άρθρου 14 και 15 της Απόφασης 2008/615/ΔΕΥ. Κατά συνέπεια για την σαφή διατύπωση των σκοπών της επεξεργασίας θα πρέπει να πλέον της διάταξης του άρθρου 26 της Απόφασης να ληφθούν υπόψη και οι ρυθμίσεις των άρθρων 3, 4, 7, 9, 12, 13, 14, 16 της ίδιας Απόφασης. Στο τέλος της παραγράφου 2 φαίνεται να έχει παραλειφθεί η λέξη «εδάφιο» της παραγράφου 1 του άρθρου 12 και κατά συνέπεια πρέπει να γίνει ορθή παραπομπή στη διάταξη.
- Άρθρο 7 του σχεδίου προεδρικού διατάγματος: Το άρθρο αυτό ρυθμίζει την επεξεργασία για άλλο σκοπό κατόπιν άδειας χωρίς όμως, να προσδιορίζεται ποιος χορηγεί την άδεια. Πρέπει να καταστεί σαφές ότι το άρθρο αυτό αναφέρεται σε δεδομένα που λαμβάνει η Ελλάδα από άλλο ΚΜ και η λήψη άδειας αναφέρεται στο παρέχον τα δεδομένα κράτος. Συναφώς, επειδή στην Απόφαση γίνεται αναφορά και στην ανάγκη συμφωνίας με το εθνικό δίκαιο, θα πρέπει να είναι καθορισμένοι σε ελληνικό νομοθέτημα αυτοί οι διαφορετικοί σκοποί. Επομένως, η διάταξη στο σημείο αυτό πρέπει να διαμορφωθεί ως εξής; «Η επεξεργασία …επιτρέπεται …μετά από άδεια του παρέχοντος κράτους μέλους και εφόσον τέτοια επεξεργασία προβλέπεται ρητά από το εθνικό μας δίκαιο». Επιπλέον, πρέπει να προσδιορίζονται οι άλλες οντότητες ως πιθανοί, κατά το άρθρο 27 εδάφιο δεύτερο της Απόφασης, αποδέκτες/κατηγορίες αποδεκτών (βλ. σχόλιο παραπάνω για το άρθρο 4 αναφορικά με τον προσδιορισμό των «φορέων»). 13 Επιπλέον, η παραπομπή απευθείας σε διατάξεις της Απόφασης, οι οποίες όμως δεν έχουν μεταφερθεί στο εθνικό δίκαιο αν και περιλαμβάνονται στο κεφάλαιο για το οποίο απαιτείται μεταφορά, ελέγχεται ως μη ορθή.
- Άρθρο 8 του σχεδίου προεδρικού διατάγματος: Δεν είναι σαφές και δεν προκύπτει από το Παράρτημα του πίνακα αντιστοίχισης των διατάξεων που απέστειλε το Υπουργείο Προστασίας του Πολίτη, ποια διάταξη της Απόφασης μεταφέρεται με αυτό το άρθρο. Αυτοματοποιημένη αναζήτηση για DNA και δακτυλικά αποτυπώματα προβλέπεται, υπό προϋποθέσεις, στο άρθρο 6 του σχεδίου με το οποίο μεταφέρεται το άρθρο 26 της Απόφασης. Επομένως, το άρθρο 8, για το οποίο δεν προκύπτει ότι αποτελεί μεταφορά ρύθμισης της Απόφασης, η ενσωμάτωση της οποίας αποτελεί το σκοπό του παρόντος σχεδίου, πρέπει να διαγραφεί δεδομένου και ότι δεν είναι επιτρεπτή η γενική και αόριστη διεύρυνση της δυνατότητας αυτοματοποιημένης επεξεργασίας πέραν των περιπτώσεων που προβλέπονται από την Απόφαση.
- Άρθρο 9 του σχεδίου προεδρικού διατάγματος: Το εν λόγω άρθρο επί της ουσίας αποτυπώνει την διάταξη του άρθρου 28 παρ. 2 εδάφιο πρώτο της Απόφασης μολονότι δεν αντιστοιχίζεται στο Παράρτημα του Πίνακα αντιστοίχισης με άρθρο της Απόφασης, ενώ το δεύτερο εδάφιο της παραγράφου αυτής ενσωματώνεται με την παρ. 1 του άρθρου 11 του σχεδίου ΠΔ . Η διατύπωση του άρθρου «κατά τα οριζόμενα στην παρ. 2 του άρθρου 28 της απόφασης 2008/615/ΔΕΥ του Συμβουλίου» δημιουργεί εσφαλμένα την εντύπωση ότι η αποθήκευση πραγματοποιείται με βάση τα οριζόμενα, ενώ η παραπομπή θα έπρεπε να αναφέρεται στην αμφισβήτηση της ακρίβειας των δεδομένων σύμφωνα με το άρθρο 28 της Απόφασης. Περαιτέρω, σύμφωνα με το ίδιο άρθρο (δεύτερο εδάφιο της παραγράφου 2 της Απόφασης), η επισήμανση γίνεται κατόπιν αίτησης του υποκειμένου των 14 δεδομένων, το οποίο ωστόσο απουσιάζει από τις διατάξεις του άρθρου του σχεδίου προεδρικού διατάγματος. Τέλος, δεν καθίσταται σαφής η προστιθέμενη αξία του του παρόντος άρθρου στη ρύθμιση του άρθρου 11 παρ.
- του σχεδίου προεδρικού διατάγματος που μεταφέρει τις ρυθμίσεις του άρθρου
- Σε κάθε περίπτωση η συνολική ρύθμιση πρέπει να περιληφθεί σε ενιαία διάταξη.
- Άρθρο 10 του σχεδίου προεδρικού διατάγματος: Το περιεχόμενο του άρθρου αυτού δεν συνιστά μέτρο εφαρμογής και δεν προέρχεται από την Απόφαση. Παρά ταύτα, κατ’ αρχήν περιλαμβάνει διατάξεις με τις οποίες αυξάνεται το επίπεδο προστασίας προσωπικών δεδομένων. Στην στάθμιση και ανάγκη εξισορρόπησης μεταξύ της αρχής της ελαχιστοποίησης των δεδομένων και της προστασίας υποκειμένων, είναι μάλλον χρήσιμος ο προσδιορισμός και η κατηγοριοποίηση των υποκειμένων των δεδομένων υπό την προϋπόθεση ότι θα τύχουν διαφορετικής μεταχείρισης ως προς την επεξεργασία των δεδομένων τους (π.χ. στην περίπτωση που αποδειχθεί ότι τα αποτυπώματα αφορούσαν θύματα, μάρτυρες ή και στην περίπτωση διάκρισης μεταξύ ταυτοποιημένων και αταυτοποίητων).
- Άρθρο 11 του σχεδίου προεδρικού διατάγματος: Έχει παραλειφθεί από το άρθρο αυτό η δυνατότητα αφαίρεσης της επισήμανσης των αμφισβητουμένων ως προς την ακρίβεια δεδομένων κατόπιν απόφασης αρμόδιου δικαστηρίου ρύθμιση, που προβλέπεται ρητά στην παράγραφο 2 του άρθρου 28 της Απόφασης. Πρέπει να συμπληρωθεί η σχετική ρητή αναφορά στο σχέδιο προεδρικού διατάγματος. Στην παράγραφο 1 του σχεδίου ΠΔ ορίζεται ότι η υποχρέωση διόρθωσης «εκπληρώνεται με σχετική επισημείωση στο αρχείο ή με άλλο τρόπο». Εν τούτοις, στο άρθρο 28 παρ. 1 της Απόφασης γίνεται λόγος για υποχρέωση διόρθωσης ή διαγραφής στην περίπτωση που προκύπτει ότι έχουν 15 παρασχεθεί εσφαλμένα δεδομένα ή δεδομένα, τα οποία δεν έπρεπε να έχουν παρασχεθεί. Η υποχρέωση αυτή δεν αποτυπώνεται στην προαναφερθείσα πρόταση, ενώ γίνεται μνεία της επισήμανσης. Ωστόσο, η επισήμανση σύμφωνα με την Απόφαση έχει εφαρμογή μόνο στην περίπτωση των αμφισβητούμενων δεδομένων και όχι για τα δεδομένα για τα οποία προκύπτει υποχρέωση διόρθωσης και διαγραφής. Συνεπώς, δεν έχει μεταφερθεί ορθά η ρύθμιση που περιέχεται στην Απόφαση και επομένως θα πρέπει να αναδιατυπωθεί η διάταξη του σχεδίου ΠΔ, ώστε να καθίσταται σαφές, ότι υφίσταται η σχετική υποχρέωση. Σημειώνεται επικουρικά, ότι αυτή η αναδιατύπωση και ορθή μεταφορά της υποχρέωσης διόρθωσης/διαγραφής νομοτεχνικά πρέπει να εισαχθεί στη παράγραφο 2 του άρθρου 11 του σχεδίου ΠΔ, το οποίο μεταφέρει την παράγραφο 1 του άρθρο 28 της Απόφασης και όχι στην παράγραφο 1, που αφορά την επισήμανση των αμφισβητούμενων δεδομένων. Επίσης, στην παράγραφο 2 γίνεται αναφορά μόνο «στις αυτοματοποιημένες αναζητήσεις ή συγκρίσεις δεδομένων στο πλαίσιο της διασυνοριακής συνεργασίας των υπηρεσιών της Ελληνικής Αστυνομίας με τις αρχές άλλων κρατών μελών της Ευρωπαϊκής Ένωσης». Αντίθετα, το άρθρο 28 της Απόφασης δεν θέτει αυτόν τον περιορισμό. Πρέπει να γίνει αναδιατύπωση του άρθρου, ώστε οι ρυθμίσεις να καταλαμβάνουν την επεξεργασία όλων των προσωπικών δεδομένων. Συμπληρωματικά, στην παράγραφο 2, γίνεται αναφορά στις υποχρεώσεις των λαμβανόντων κρατών μελών να διορθώσουν ή διαγράψουν δεδομένα. Ωστόσο, δεν είναι επιτρεπτό σε εθνικό νομοθέτημα να εισάγονται ρυθμίσεις οι οποίες προβλέπουν υποχρεώσεις αρχών άλλων χωρών, έστω και αν εκδίδεται για τη μεταφορά ενωσιακού νομοθετήματος. Οι σχετικές υποχρεώσεις που προβλέπονται σε εθνικό νόμο, οφείλουν να αναφέρονται μόνο σε εθνικές αρχές. Με την παράγραφο 3, φαίνεται ότι μεταφέρεται η διάταξη του άρθρου 28 παρ. 3 της Απόφασης, η οποία, όμως, έχει ευρύτερη διατύπωση και δεν περιορίζεται στις περιπτώσεις αυτοματοποιημένης αναζήτησης και σύγκρισης, που αναφέρονται στη διάταξη του σχεδίου. 16 Επίσης, στην ίδια παράγραφο απαιτείται διόρθωση του στοιχ. β΄ όπου γίνεται αναφορά στην «περ. α΄» («όταν παρέχονται δεδομένα της περ. α΄ χωρίς να έχουν ζητηθεί…» κτλ.) ενώ, κατά λογική ακολουθία η αναφορά συναρτάται στο πρώτο εδάφιο της παραγράφου. Στο στοιχ. β΄ της παρ. 3 σχετικά με το χρόνο τήρησης δεδομένων αναφέρεται ότι «μετά τη παρέλευση της μέγιστης περιόδου διατήρησης που ορίζεται στο παρόν προεδρικό διάταγμα ή από άλλες νομικές διατάξεις…[διαγράφονται τα δεδομένα]». Εν τούτοις, δεν υπάρχει στο σχέδιο προεδρικού διατάγματος προσδιορισμένος χρόνος τήρησης των δεδομένων. Αναφορικά με τα δακτυλικά αποτυπώματα, ο χρόνος τήρησής τους ορίζεται στο Π.Δ. 245/1997 – εκκαθάριση αρχείων των Υπηρεσιών της Ελληνικής Αστυνομίας. Αντίστοιχα για τις άδειες κυκλοφορίας και το σχετικό αρχείο, το οποίο τηρείται στο Υπουργείο Μεταφορών, ο χρόνος τήρησής τους προσδιορίζεται στο Π.Δ. 176/2007 ενώ, τυγχάνει, επίσης, εφαρμογής το άρθρο 201 ΚΠΔ αναφορικά με το αρχείο DNA. Ωστόσο, θα πρέπει να αποσαφηνιστεί περαιτέρω η διάταξη και να περιληφθούν εναργώς οι χρόνοι τήρησης για κάθε περίπτωση έστω και με ρητή παραπομπή σε επιμέρους νομοθετήματα. Συναφώς, δέον να διερευνηθεί η δυνατότητα ειδικότερης (της ρύθμισης του άρθρου 201 ΚΠΔ) πρόβλεψης αναφορικά με τον χρόνο τήρησης των γενετικών αποτυπωμάτων για τους σκοπούς της Απόφασης 2008/615 (βλ. Γνωμοδότηση 2/2009 της Αρχής αναφορικά με την διαφοροποίηση του χρόνου τήρησης δεδομένων ανάλογα με τη διάκριση ανάμεσα σε καταδικασθέντες και αθωωθέντες, σε ενήλικες και ανηλίκους κατ’ επιταγή της αρχής της αναλογικότητας.4). Η περίπτωση παράλειψης της διαγραφής και καταστροφής αρχείου που αναφέρεται στην παράγραφο 7 στοιχ. γ’ προβλέπεται και στο άρθρο 56 παρ. 3 στοιχ. γ΄ του νόμου 4624/
- Ενόψει αυτού ενδείκνυται η απάλειψη του εν λόγω στοιχ. γ’ του σχεδίου αφενός διότι η ρύθμιση περιέχεται ήδη σε εθνικό νόμο για την προστασία των προσωπικών δεδομένων και αφετέρου, η εφαρμογή της κρίνεται ανά περίπτωση. Εν προκειμένω, μάλιστα, ο τρόπος 4 Βλ. σημείο 4 της Γνωμοδότησης 2/2009 17 αποθήκευσης των επίμαχων δεδομένων είναι προσδιορισμένος και εν γνώσει του νομοθέτη όπως και των υπεύθυνων επεξεργασίας.
- Άρθρο 12 του σχεδίου προεδρικού διατάγματος: Το άρθρο αυτό αποσκοπεί στην μεταφορά του άρθρου 30 της Απόφασης. Ωστόσο, στο τελευταίο εδάφιο της παραγράφου 1 αφενός παρατηρείται επανάληψη της πληροφορίας που αναφέρεται και υπό στοιχ. α΄ της ίδιας παραγράφου και αφετέρου καταγράφεται επιπλέον και ο «μοναδικός αναγνωριστικός αριθμός» του κάθε χρήστη, που δεν περιέχεται στις πληροφορίες που μνημονεύονται στο άρθρο 30 της Απόφασης, προβλέπεται δε και στο επόμενο άρθρο του σχεδίου. για λόγους παροχής αυξημένης εποπτείας και για το οποίο η Αρχή εκφράζει εκεί τη γνώμη της. Με τα δεδομένα αυτά η διάταξη σχετικά με τον αναγνωριστικό αριθμό ενδείκνυται να συμπεριληφθεί στην ρύθμιση του επόμενου άρθρου. Στο δεύτερο εδάφιο της παραγράφου 1 του άρθρου αυτού (που αντιστοιχεί στις παραγράφους 1 και 2 του άρθρου 30 της Απόφασης) συγχέεται η καταγραφή για μη αυτοματοποιημένη παροχή/λήψη με την αυτοματοποιημένη παροχή/λήψη και συμπτύσσονται οι ρυθμίσεις για την καταγραφή αναφορικά με την αυτοματοποιημένη και μη αυτοματοποιημένη παροχή δεδομένων, με συνέπεια να δημιουργείται ασάφεια δικαίου. Προτείνεται αναδιατύπωση με διακριτές διατάξεις αφενός για την μη αυτοματοποιημένη παροχή/λήψη και αφετέρου την αυτοματοποιημένη. Επιπλέον, στην παράγραφο 2 αναφέρεται ότι «Ο φορέας που πραγματοποιεί την καταχώριση…», ενώ ο αντίστοιχος όρος στην Απόφαση είναι «καταγραφή». Ομοίως και στην παράγραφο 3 χρησιμοποιείται ο όρος «καταχωρισθέντα δεδομένα», και όχι «καταγραφέντα», καθώς και ο όρος «επιτήρηση» της προστασίας δεδομένων αντί του όρου «παρακολούθηση» (όπως στην Απόφαση). Για την αποφυγή αμφιβολιών και νομικής ασάφειας προτείνεται να ακολουθηθεί η ορολογία της Απόφασης. Στην ίδια παράγραφο 2, η φράση «το λαμβάνον κράτος» που χρησιμοποιείται στην Απόφαση δεν προσήκει σε εθνικό νομοθέτημα. Αντ’ αυτού, πρέπει να 18 οριστεί ότι η ελληνική αρχή (π.χ. η Ελληνική Αστυνομία) προβαίνει στην οριζόμενη ενέργεια (ενημερώνει το παρέχον κράτος). Περαιτέρω, με τις παραγράφους 2 και 5 του εν λόγω άρθρου μεταφέρεται, σύμφωνα με το Παράρτημα του Πίνακα αντιστοίχισης των άρθρων, η παράγραφος 2 του άρθρου 30 της Απόφασης. Το δε τελευταίο εδάφιο της περίπτωσης β΄ της παραγράφου 2 του άρθρου 30 της Απόφασης, σύμφωνα με τον ίδιο Πίνακα, μεταφέρεται με την παράγραφο 1 του άρθρου 12 και με το τρίτο εδάφιο του άρθρου 13 του σχεδίου ΠΔ. Εν τούτοις, τα παραπάνω φαίνονται ανακριβή. Το άρθρο 13 δεν αντιστοιχεί σε διάταξη της Απόφασης, ενώ οι παράγραφοι 2 και 5 του άρθρου 12 μεταφέρουν ελλιπώς τη διάταξη της παραγράφου 2 του άρθρου 30 της Απόφασης τόσο ως προς την περ. α΄ όσο και ως προς την περ. β΄. Προτείνεται η πλήρης ενσωμάτωση του συνόλου των ρυθμίσεων και ιδίως της παρ. 2 του άρθρου 30 της Απόφασης σε ενιαία διάταξη.
- Άρθρο 13 του σχεδίου προεδρικού διατάγματος: Το περιεχόμενο του άρθρου αυτού δεν αποτελεί μεταφορά ρυθμίσεων της Απόφασης ούτε συνιστά μέτρο εφαρμογής διατάξεών της. Πρόκειται για επιλογή του εθνικού νομοθέτη να ορίσει την αναφερόμενη απόδοση «μοναδικού αναγνωριστικού αριθμού» στους εξουσιοδοτημένους χρήστες πιθανώς με σκοπό τη βελτιστοποίηση της εποπτείας της καταγραφής αρχείων. Επίσης, γίνεται αναφορά σε «επεξεργασία αρχείου» από τους χρήστες στους οποίους θα αποδοθεί αναγνωριστικός αριθμός, και όχι σε χρήστες που προβαίνουν σε αναζήτηση ή παροχή, όπως διατυπώνεται στην Απόφαση. Επομένως, προτείνεται η εναρμόνιση της διατύπωσης με την ορολογία της Απόφασης.
- Άρθρο 14 του σχεδίου προεδρικού διατάγματος: Η παράγραφος 1 χρήζει νομοτεχνικής βελτίωσης, καθώς γίνεται επανάληψη της λέξης «μέτρα». 19 Στην παράγραφο 2, η παραπομπή δεν πρέπει να γίνεται σε άρθρα της Απόφασης τα οποία άλλωστε, μεταφέρονται με το παρόν σχέδιο ΠΔ αλλά στην αντίστοιχη διάταξη του διατάγματος.
- Άρθρο 15 του σχεδίου προεδρικού διατάγματος: Το περιεχόμενο του άρθρου αυτού δημιουργεί σύγχυση, καθώς δεν είναι σαφές σε τι είδους αρχεία αναφέρεται. Με βάση το Παράρτημα του σχεδίου προεδρικού διατάγματος, το άρθρο αυτό δεν αντιστοιχίζεται με κάποιο άρθρο της Απόφασης με συνέπεια να δημιουργείται εύλογη απορία για το είδος αρχείων, που ενδεχομένως απαιτηθεί να δημιουργηθούν. Σημειώνεται ότι δεν υφίσταται νόμιμη δυνατότητα πρόβλεψης τυχόν περαιτέρω αρχείων εκτός αυτών, που προβλέπονται στην Απόφαση 2008/
- Συναφώς, δεν προκύπτει από την διατύπωση του άρθρου ποιος θα δίνει την εντολή στην ΕΛ.ΑΣ. για την δημιουργία αρχείων, ποια είναι η νομική βάση για την δημιουργία τους και ειδικότερα ο νόμος στον οποίο προβλέπεται η τυχόν τήρησή τους. Στην παράγραφο 2 του ίδιου άρθρου προβλέπεται η λήψη γνώμης από την Αρχή. Ωστόσο, δεν υφίσταται τέτοια αρμοδιότητα της Αρχής βάσει του άρθρου 13 του ν. 4624/2019 υπό το πρίσμα και της αρχής της λογοδοσίας (εκτός αν πρόκειται για προηγούμενη διαβούλευση στο πλαίσιο της εκτίμησης αντικτύπου), ενώ με τις εξουσιοδοτικές διατάξεις, με βάση τις οποίες προτείνεται το σχέδιο, δεν παρέχεται δυνατότητα ορισμού αρμοδιοτήτων της Αρχής.
- Άρθρο 16 του σχεδίου προεδρικού διατάγματος: Με το πρώτο εδάφιο γίνεται παραπομπή στην παρ. 1 του άρθρου 63 του ν. 4624/2019 για γνωστοποίηση περιστατικού παραβίασης δεδομένων στην Αρχή. Όμως παραλείπεται η παραπομπή στο άρθρο 64 για γνωστοποίηση στα υποκείμενα των δεδομένων. Μολονότι η προαναφερθείσα διάταξη παραμένει σε ισχύ ως μέρος της νομοθεσίας περί προστασίας προσωπικών 20 δεδομένων, δημιουργείται αμφιβολία σχετικά με τυχόν βούληση του νομοθέτη να εξαιρεθεί η εφαρμογή της διάταξης αυτής. Σε θετική περίπτωση, θα έπρεπε ρητά να προβλεφθεί η εν λόγω εξαίρεση συνοδευόμενη από τις σχετικές προϋποθέσεις που την δικαιολογούν. Συνεπώς, θα πρέπει να εξετασθούν τα ανωτέρω ενδεχόμενα σε σχέση με τη ρύθμιση του άρθρου 64 του ν. 4624/
- Στο ίδιο άρθρο γίνεται παραπομπή στο άρθρο 63 παρ. 6 του ν. 4624/2019, το οποίο αφορά σε διασυνοριακή διαβίβαση προσωπικών δεδομένων. Ωστόσο, η διατύπωση στο άρθρο του σχεδίου προεδρικού διατάγματος («οι υπηρεσίες που μετέχουν στα πληροφοριακά συστήματα της Ελληνικής Αστυνομίας») φαίνεται να αφορά υπηρεσίες που βρίσκονται εντός της Ελληνικής επικράτειας. Απαιτείται αποσαφήνιση και διόρθωση.
- Άρθρο 17 του σχεδίου προεδρικού διατάγματος: Στο άρθρο αυτό με τίτλο «Δικαιώματα του υποκειμένου των δεδομένων» γίνεται μνεία στα άρθρα 55 και 56 του ν. 4624/2019 αλλά ακολούθως γίνεται αναφορά μόνο στο δικαίωμα πρόσβασης. Εν τούτοις, το άρθρο 56 αφορά επιπλέον και το δικαίωμα διόρθωσης/διαγραφής, το οποίο δύνανται να ασκήσουν τα υποκείμενα των δεδομένων. Σε κάθε περίπτωση η διατύπωση είναι ασαφής και ανακόλουθη προς τον τίτλο του άρθρου. Φαίνεται ότι καταλαμβάνει εν μέρει την υποχρέωση ενημέρωσης του άρθρου 53 του ν. 4624/2019 και εν μέρει τα δικαιώματα πρόσβασης, διόρθωσης/ διαγραφής. Απαιτείται γενική αναδιατύπωση προκειμένου η διάταξη να συμπεριλάβει εναργώς όλα τα δικαιώματα των υποκειμένων των δεδομένων.
- Άρθρο 19 του σχεδίου προεδρικού διατάγματος: Η διάταξη της πρώτης παραγράφου του άρθρου αυτού δεν είναι σαφής. Επιπροσθέτως, φαίνεται να έχει μεταφερθεί εσφαλμένα ως προς την επιφύλαξη που προβλέπει σύμφωνα με όσα ορίζονται στο πρώτο εδάφιο της παραγράφου 2 του άρθρου 31 της Απόφασης. Με το προαναφερόμενο 21 εδάφιο της Απόφασης δεν εκφράζεται επιφύλαξη. Αντίθετα, τονίζεται ότι δεν είναι η δυνατή η επίκληση ανακριβών παρασχεθέντων δεδομένων ως λόγος αποφυγής της ευθύνης αποζημίωσης. Απαιτείται αναδιατύπωση προκειμένου να αποτυπωθεί ορθά και με σαφήνεια η αντίστοιχη διάταξη της Απόφασης.
- Άρθρο 20 του σχεδίου προεδρικού διατάγματος: Η διατύπωση «λαμβάνουσα εθνική αρχή» αποτελεί επανάληψη διατύπωσης της Απόφασης και πρέπει να αναδιατυπωθεί ώστε η διάταξη να προσήκει σε εθνικό νομοθέτημα (π.χ. «Όταν η αρμόδια ελληνική αρχή λαμβάνει δεδομένα από άλλο κράτος μέλος, ενημερώνει την αρχή του κράτους αυτού»).
- Λοιπά ζητήματα: Α. Σημειώνεται ότι δεν εμπεριέχεται στο σχέδιο ΠΔ διάταξη ή οποιαδήποτε πρόβλεψη σε Υπεύθυνο Προστασίας Δεδομένων (DPO), ως εργαλείο συμμόρφωσης. Μολονότι, ο σκοπός του νομοθετήματος αυτού είναι η μεταφορά του κεφαλαίου 6 της Απόφασης σχετικά με τις διατάξεις προστασίας των προσωπικών δεδομένων, παρατηρείται σε πολλά σημεία της Απόφασης παραπομπή σε εθνικές διατάξεις περί προστασίας προσωπικών δεδομένων. Με δεδομένη την προαναφερθείσα παραπομπή και λαμβάνοντας υπόψη τον χρόνο έκδοσης αυτής σε συνάρτηση με το νέο ευρωπαϊκό δίκαιο προστασίας δεδομένων (ΓΚΠΔ και Οδηγία 680/2016) και την πλέον υποχρεωτική θέσπιση Υπεύθυνου Προστασίας Δεδομένων σε όλους τους δημόσιους φορείς λόγω της αυξημένης σημασίας που αποδίδεται στον ρόλο του, θα ήταν προσήκουσα η πρόβλεψη και ρύθμιση του Υπεύθυνου Προστασίας στον σχέδιο ΠΔ. Άλλωστε, στο σχέδιο ΠΔ εμπεριέχονται διατάξεις που δεν προβλέπονται στην Απόφαση, αλλά αποτελούν ρυθμιστικές επιλογές του εθνικού νομοθέτη και συνδέονται με την εφαρμογή της Απόφασης. Συναφώς, διευκρινίζεται ότι οι παράμετροι, οι οποίες πρέπει να τηρηθούν κατά την απαιτούμενη μεταφορά των διατάξεων του κεφαλαίου 6 της 22 Απόφασης, αφορούν την εναρμόνιση και προς το εθνικό δίκαιο για την προστασία των προσωπικών δεδομένων, αποσκοπώντας στην εξασφάλιση ικανοποιητικού επιπέδου προστασίας ελλείψει ενιαίας ενωσιακής νομοθετικής ρύθμισης για την προστασία προσωπικών δεδομένων στον τομέα της αστυνομικής δράσης και ποινικής διερεύνησης διασυνοριακών αδικημάτων κατά τον χρόνο έκδοσης της Απόφασης. Υπό αυτό το πρίσμα και εφόσον έχουν μεταφερθεί ορθά οι επίμαχες διατάξεις, φαίνεται να είναι δυνατή η προσθήκη μικρού αριθμού διατάξεων, οι οποίες αποβλέπουν στην ενίσχυση της παρεχόμενης προστασίας δεδομένων, πέραν των οριζόμενων στην Απόφαση υπό την προϋπόθεση ότι δεν παραλλάσσουν την ουσία της Απόφασης και είναι σύμφωνες με τις σχετικές διατάξεις του εθνικού δικαίου για την προστασία προσωπικών δεδομένων καίτοι κατ’ αρχήν τα μέτρα εφαρμογής για νομοθετικές πράξεις της Ευρωπαϊκής Ένωσης δεν δύνανται να τροποποιούν ή να προσθέτουν διατάξεις. Για τον λόγο αυτό άλλωστε, κρίνεται ως αποδεκτή η ρύθμιση του άρθρου 10 και 13 του σχεδίου ΠΔ. Β. Κατά την ενσωμάτωση των διατάξεων της Απόφασης ακολουθείται διαφορετική δομή με αποτέλεσμα να διασπάται η ενότητα ρυθμίσεων που έχουν περιληφθεί στο ίδιο άρθρο της Απόφασης και, περαιτέρω, να είναι λίαν δυσχερής η αντιστοίχιση των διατάξεων της με τα άρθρα του σχεδίου ΠΔ και να υπάρχει κίνδυνος ατελούς ενσωμάτωσης και, πάντως, να καθίσταται δυσχερής ο σχετικός έλεγχος. Ορθότερο θα ήταν να διατηρηθεί η δομή της Απόφασης, εκτός αν υπάρχει λόγος που επιβάλλει τη μεταφορά ορισμένων διατάξεων σε διαφορετική ενότητα ρυθμίσεων. Γ. Από τις διατάξεις του άρθρου 60 Οδηγίας (ΕΕ) 2016/680 προκύπτει ότι δεν θίγονται οι ειδικές διατάξεις για την προστασία προσωπικών δεδομένων που περιέχονται σε νομικές πράξεις της Ένωσης που άρχισαν να ισχύουν πριν τις 06-05-2016 στον τομέα της δικαστικής συνεργασίας σε ποινικές υποθέσεις και της αστυνομικής συνεργασίας και ρυθμίζουν την επεξεργασία μεταξύ των κρατών μελών και την πρόσβαση συγκεκριμένων αρχών των κρατών μελών σε 23 συστήματα πληροφοριών θεσπισθέντα δυνάμει των Συνθηκών εντός του πεδίου εφαρμογής της Οδηγίας. Από την αιτιολογική σκέψη 94 της Οδηγίας (ΕΕ) 2016/680 προκύπτει ρητά ότι τέτοια νομική πράξη περιέχουσα διατάξεις για την προστασία των προσωπικών δεδομένων συνιστά η Απόφαση, επιπλέον δε θα πρέπει η Επιτροπή να αξιολογήσει την κατάσταση όσον αφορά στη σχέση μεταξύ της Οδηγίας και της Απόφασης προκειμένου να εκτιμηθεί η αναγκαιότητα εναρμόνισης των εν λόγω ειδικών διατάξεων με την Οδηγία. Ήδη η Επιτροπή με την από 24-06-2020 Ανακοίνωσή της [COM
(2020)262 final] προς το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο με τίτλο «Μελλοντική πορεία όσον αφορά την εναρμόνιση του πρώην τρίτου πυλώνα με τους κανόνες προστασίας των δεδομένων»5 διαπίστωσε την αναγκαιότητα αναθεώρησης της Απόφασης 2008/615/ΔΕΥ 6 προκειμένου να εξασφαλιστεί η πλήρης εναρμόνιση με τις διατάξεις της Οδηγίας (ΕΕ) 2016/680, παραθέτοντας και σχετικό κατάλογο με τα επιμέρους σημεία, διευκρινίζοντας παράλληλα ότι στη συγκεκριμένη περίπτωση, οποιαδήποτε ανταλλαγή πληροφοριών εξυπηρετεί μόνο τον σκοπό της πρόληψης και της διερεύνησης αξιόποινων πράξεων και τη διατήρηση της δημόσιας τάξης. Ανεξαρτήτως αυτού, από τις διατάξεις του άρθρου 8 παρ. 1 ΧΘΔΕΕ σε συνδυασμό με το άρθρο 16 παρ. 1 της ΣΛΕΕ προκύπτει ότι η προστασία των προσωπικών δεδομένων αποτελεί θεμελιώδες δικαίωμα. Επομένως, για την κατάρτιση εθνικών διατάξεων που αφορούν την προστασία προσωπικών δεδομένων πρέπει να λαμβάνονται υπόψη οι ανωτέρω διατάξεις των άρθρων 8 παρ. 1 ΧΘΔΕΕ και 16 παρ. 1 ΣΛΕΕ. Βλ. και Παράρτημα ΙΙ της Ανακοίνωσης. Στο ίδιο συμπέρασμα κατέληξε η Επιτροπή και ως προς την ανάγκη τροποποίησης της Απόφασης 2008/616/ΔΕΥ για την εφαρμογή της Απόφασης 2008/615/ΔΕΥ. 5 6 24 Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 25