Γνωμοδότηση επί σχεδίου νόμου του Υπουργείου Υποδομών και Μεταφορών

(4)μήνες λαμβάνοντας τα απαραίτητα τεχνικά και οργανωτικά μέτρα για την ασφάλεια της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (άρθρο 10 παρ. 2). • Δειγματοληπτικός έλεγχος ταυτοπροσωπίας των ψηφιακών φωτογραφιών με μέριμνα οργανικής μονάδας του Υπουργείου Υποδομών και Μεταφορών (άρθρο 10 παρ. 1). • Χρήση ψηφιακών διαπιστευτηρίων με δυνατότητα ταυτοποίησης δύο παραγόντων για τον έλεγχο ταυτοπροσωπίας κατά την είσοδο των υποψηφίων στο εξεταστικό σύστημα (άρθρο 9 παρ. 3 β). • Λοιπά μέτρα ασφάλειας που περιλαμβάνουν την απενεργοποίηση, συλλογή και φύλαξη όλων των ηλεκτρονικών συσκευών των υποψηφίων πριν την έναρξη της θεωρητικής εξέτασης (άρθρο 9 παρ. 5). • Ότι τα μέλη του Μητρώου Εποπτών, όταν ασκούν δραστηριότητες εποπτείας ή ελέγχου, έχουν πρόσβαση στο παραπάνω υλικό (άρθρο 9 παρ. 6). 2 β) Στο άρθρο 16 προβλέπεται οπτικοακουστική καταγραφή της πρακτικής δοκιμασίας υποψήφιων οδηγών και οδηγών, η οποία ορίζεται στο άρθρο 15 του ΣχΝ. Ειδικότερα, προβλέπονται τα εξής, συνοπτικώς αναφερόμενα: • Η επεξεργασία διενεργείται για τους σκοπούς της διαφάνειας, της αξιοπιστίας, του ελέγχου και της εποπτείας της διενέργειας της πρακτικής δοκιμασίας των υποψήφιων οδηγών και οδηγών όλων των κατηγοριών οχημάτων, καθώς και τη διασφάλιση των υποψηφίων οδηγών και της άσκησης των δικαιωμάτων τους (άρθρο 16 παρ. 7). • Χρήση φορητής κάμερας που χορηγείται από την αρμόδια Διεύθυνση Μεταφορών και Επικοινωνιών της Περιφέρειας στον αρμόδιο εξεταστή, με ελάχιστα χαρακτηριστικά που επιτρέπουν τη λήψη εικόνας υψηλής ευκρίνειας και τριακοσίων εξήντα

(360)μοιρών. Η φορητή κάμερα διαθέτει μικρόφωνο και ειδική αποσπώμενη κάρτα μνήμης στην οποία αποθηκεύεται όλη η διαδικασία της πρακτικής δοκιμασίας (άρθρο 16 παρ. 2). Η κάμερα απεικονίζει ευδιάκριτα ολόκληρη την καμπίνα του οχήματος και τους συμμετέχοντες στη διαδικασία και τοποθετείται με ευθύνη του εξεταστή (άρθρο 16 παρ. 3). Εξεταστές μπορεί να είναι υπάλληλοι του Δημοσίου και του ευρύτερου Δημοσίου τομέα, συμπεριλαμβανομένων των ΝΠΔΔ, ΟΤΑ α’ και β’ βαθμού, καθώς και ιδιώτες (άρθρο 3 παρ. 2 και άρθρο 18 παρ. 5) οι οποίοι αναλαμβάνουν να εκτελέσουν μια σειρά από ενέργειες. • Ασφαλής φύλαξη των συσκευών και των καρτών με το αποθηκευμένο οπτικοακουστικό υλικό της πρακτικής δοκιμασίας με ευθύνη της Διεύθυνσης Μεταφορών και Επικοινωνιών (άρθρο 16 παρ. 5). Για την επίτευξη του αναγκαίου επιπέδου ασφάλειας, η αρμόδια υπηρεσία του Υπουργείου Υποδομών και Μεταφορών, εκδίδει δεσμευτικές πολιτικές και διαδικασίες ασφάλειας, οι οποίες εφαρμόζονται με ευθύνη των Περιφερειών (άρθρο 16 παρ. 10 β). • Το καταγεγραμμένο υλικό περιλαμβάνει εικόνα από το εσωτερικό του εκπαιδευτικού οχήματος, και από το εξωτερικό του εκπαιδευτικού οχήματος, όπου απεικονίζεται το οδικό δίκτυο στο οποίο κινείται το εκπαιδευτικό όχημα 3 και το οποίο περιορίζεται στο απολύτως αναγκαίο για τους σκοπούς της αξιολόγησης και εποπτείας της πρακτικής δοκιμασίας (άρθρο 16 παρ. 7), με τεχνικά μέτρα για τα οποία προβλέπεται να εκδοθεί υπουργική απόφαση με βάση το άρθρο 33 παρ. 2. Με την απόφαση αυτή μπορεί να ορισθούν οι ανατιθέμενες στον εκτελούντα την επεξεργασία πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα, η διενέργεια εκτίμησης των επιπτώσεων των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία δεδομένων προσωπικού χαρακτήρα (ΕΑΠΔ), ο τρόπος ικανοποίησης των δικαιωμάτων των υποκειμένων των δεδομένων, καθώς και κάθε άλλη αναγκαία λεπτομέρεια για την εφαρμογή του νόμου. • Το καταγεγραμμένο υλικό τηρείται για έξι

(6)μήνες από τη διενέργεια της πρακτικής εξέτασης, εκτός αν με βάση αυτό έχει κινηθεί οποιαδήποτε διοικητική ή πειθαρχική ή δικαστική διαδικασία ή διαδικασία εξέτασης ενστάσεως (άρθρο 16 παρ. 8 και 9). • Το Υπουργείο Υποδομών και Μεταφορών ορίζεται υπεύθυνος επεξεργασίας, ενώ οι Περιφέρειες της χώρας εκτελούντες την επεξεργασία (άρθρο 16 παρ. 10). • Τα μέλη του Μητρώου Εποπτών, όταν ασκούν δραστηριότητες απομακρυσμένης εποπτείας, έχουν πρόσβαση στο παραπάνω υλικό (άρθρο 20). γ) Στο άρθρο 17 προβλέπεται η δημιουργία ολοκληρωμένου πληροφοριακού συστήματος με την ονομασία «Τέθριππον». Ως προς αυτό προβλέπονται τα εξής, συνοπτικώς αναφερόμενα: • Σκοπός επεξεργασίας είναι η υποστήριξη και διεκπεραίωση όλων των διαδικασιών που σχετίζονται με τη χορήγηση, επέκταση, ανανέωση και διαχείριση της άδειας οδήγησης ή του Πιστοποιητικού Επαγγελματικής Ικανότητας (Π.Ε.Ι.) (άρθρο 17 παρ. 1). • Το Υπουργείο Υποδομών και Μεταφορών ορίζεται ως υπεύθυνος επεξεργασίας για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται μέσω του πληροφοριακού συστήματος και των 4 μηχανογραφικών εφαρμογών που το πλαισιώνουν. Κάθε άλλη εμπλεκόμενη Υπηρεσία ορίζεται ως εκτελούσα την επεξεργασία (άρθρο 17 παρ. 3). • Το σύστημα υποστηρίζει όλες τις σχετιζόμενες διαδικασίες, όπως την υποβολή της αίτησης και των δικαιολογητικών των ενδιαφερομένων, τη διενέργεια των θεωρητικών εξετάσεων, τον προγραμματισμό της πρακτικής δοκιμασίας και των οικείων επιτροπών, την επιλογή και διαχείριση των εξεταστών και εποπτών, την καταχώρηση των αποτελεσμάτων, την παρακολούθηση του σταδίου κάθε διαδικασίας, την υποστήριξη του έργου της εποπτείας, της αξιολόγησης και διασφάλισης ποιότητας, καθώς και της έκδοσης της προσωρινής άδειας οδήγησης ή της εκτύπωσης της άδειας οδήγησης (άρθρο 17 παρ. 4). Από αυτό καθίσταται σαφές ότι περιλαμβάνονται δεδομένα προσωπικού χαρακτήρα διαφόρων ειδών και διαφόρων κατηγοριών υποκειμένων των δεδομένων, μεταξύ των οποίων και δεδομένα ειδικών κατηγοριών (βλ. ενδεικτικά άρθρο 5 παρ. 1 β έως δ). • Όπως προκύπτει από το άρθρο 22 του ΣχΝ, στις αρμοδιότητες του τμήματος Αδειών Οδήγησης και Επιμόρφωσης Οδηγών περιλαμβάνεται όχι μόνο η συλλογή στοιχείων των εμπλεκομένων στη διαδικασία εκπαίδευσης και εξέτασης υποψηφίων οδηγών και οδηγών αλλά και η στατιστική επεξεργασία των δεδομένων αυτών. δ) Στα άρθρα 18 και 19 προβλέπεται η δημιουργία μητρώων εξεταστών και εποπτών για τις διαδικασίες εξετάσεων. Ειδικότερα, σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα προβλέπονται τα εξής, συνοπτικώς αναφερόμενα: • Τα δεδομένα των εγγεγραμμένων στα μητρώα προσώπων αποθηκεύονται σε ειδική βάση δεδομένων του Υπουργείου Υποδομών και Μεταφορών. • Τα δεδομένα των ανωτέρω προσώπων τηρούνται για όσο χρόνο τα μέλη είναι εγγεγραμμένα στο Μητρώο και για χρονικό διάστημα πέντε

(5)ετών από την για οποιαδήποτε λόγο διαγραφή τους από αυτό. Τα δεδομένα διαγράφονται μετά το πέρας του ανωτέρω χρονικού διαστήματος, εκτός εάν έχει κινηθεί οποιαδήποτε διοικητική ή πειθαρχική ή δικαστική διαδικασία. Στην περίπτωση αυτή τα δεδομένα διατηρούνται μέχρι την ολοκλήρωση των 5 σχετικών διαδικασιών. • Το Υπουργείο Υποδομών και Μεταφορών, ως εκ του ρόλου του, είναι ο Υπεύθυνος Επεξεργασίας των εν λόγω δεδομένων. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τους βοηθούς εισηγητές, οι οποίοι παρέστησαν χωρίς δικαίωμα ψήφου και αποχώρησαν μετά από τη συζήτηση της υποθέσεως και πριν από τη διάσκεψη και τη λήψη αποφάσεως, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

1. Η Αρχή γνωμοδοτεί επί του σχεδίου Νόμου με βάση τις διατάξεις του άρθρου 57 παρ. 1 γ’ του Κανονισμού (ΕΕ) 2016/679 (Γενικός Κανονισμός για την Προστασία Δεδομένων – εφεξής ΓΚΠΔ) σε συνδυασμό με το άρθρο 13 παρ.
2. γ’ του ν. 4624/
4. Η επεξεργασία προσωπικών δεδομένων φυσικών προσώπων από δημόσιες αρχές λειτουργεί και αναπτύσσει τις συνέπειές της στο πλαίσιο του κράτους δικαίου και της αρχής της νομιμότητας. Επιπλέον, η επεξεργασία, στο βαθμό που συνιστά περιορισμό του ατομικού δικαιώματος του πληροφοριακού αυτοκαθορισμού, πρέπει να ορίζεται γενικώς και αντικειμενικώς με τυπικό νόμο ή κατόπιν ειδικής νομοθετικής εξουσιοδότησης με διάταγμα, να δικαιολογείται από αποχρώντες λόγους δημοσίου συμφέροντος, να τελεί σε πρόδηλη λογική συνάφεια με τον επιδιωκόμενο σκοπό, να είναι πρόσφορη, κατάλληλη και αναγκαία για την επίτευξη του σκοπού αυτού, να μην θίγει τον πυρήνα του δικαιώματος και να μην απονέμει στη Διοίκηση ευρεία διακριτική ευχέρεια. Κατά συνέπεια, είναι απαραίτητο η επεξεργασία να προβλέπεται σε νομοθετική διάταξη, η οποία θα προσδιορίζει τα βασικά χαρακτηριστικά της επεξεργασίας, δηλαδή τον υπεύθυνο επεξεργασίας, το σκοπό αυτής, τα δεδομένα τα οποία θα τύχουν επεξεργασίας και το χρόνο τήρησης αυτών καθώς και τους αποδέκτες των δεδομένων. Με ειδικότερη νομοθετική εξουσιοδότηση επιτρέπεται να ανατεθεί στον κανονιστικό νομοθέτη η ρύθμιση ειδικότερων, τεχνικών ή λεπτομερειακών θεμάτων, όπως ο σχεδιασμός των 6 συγκεκριμένων συστημάτων και συγκεκριμένα των απαιτούμενων τεχνικών και λειτουργικών προδιαγραφών του ΟΠΣ, τα εν γένει οργανωτικά και τεχνικά μέτρα για την ασφάλεια της επεξεργασίας των δεδομένων, καθώς και κάθε άλλη αναγκαία λεπτομέρεια.
5. Στο άρθρο 6 παρ. 1 του ΓΚΠΔ ορίζεται ότι μια επεξεργασία μπορεί να είναι νόμιμη εφόσον ισχύει μία από τις ακόλουθες προϋποθέσεις «… γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας, … ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας». Στην παρ. 3 του ιδίου άρθρου ορίζεται ότι «Η βάση για την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχεία γ) και ε) ορίζεται σύμφωνα με: α) το δίκαιο της Ένωσης, ή β) το δίκαιο του κράτους μέλος στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας. Ο σκοπός της επεξεργασίας καθορίζεται στην εν λόγω νομική βάση ή, όσον αφορά την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχείο ε), είναι η αναγκαιότητα της επεξεργασίας για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας. Η εν λόγω νομική βάση μπορεί να περιλαμβάνει ειδικές διατάξεις για την προσαρμογή της εφαρμογής των κανόνων του παρόντος κανονισμού, μεταξύ άλλων: τις γενικές προϋποθέσεις που διέπουν τη σύννομη επεξεργασία από τον υπεύθυνο επεξεργασίας· τα είδη των δεδομένων που υποβάλλονται σε επεξεργασία· τα οικεία υποκείμενα των δεδομένων· τις οντότητες στις οποίες μπορούν να κοινοποιούνται τα δεδομένα προσωπικού χαρακτήρα και τους σκοπούς αυτής της κοινοποίησης· τον περιορισμό του σκοπού· τις περιόδους αποθήκευσης· και τις πράξεις επεξεργασίας και τις διαδικασίες επεξεργασίας, συμπεριλαμβανομένων των μέτρων για τη διασφάλιση σύννομης και θεμιτής επεξεργασίας, όπως εκείνα για άλλες ειδικές περιπτώσεις επεξεργασίας όπως προβλέπονται στο κεφάλαιο ΙΧ. Το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους ανταποκρίνεται σε σκοπό δημόσιου συμφέροντος και είναι ανάλογο προς τον επιδιωκόμενο νόμιμο σκοπό.» Ειδικά για την επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα, στις οποίες περιλαμβάνονται τα δεδομένα που αφορούν την υγεία, στο άρθρο 9 παρ. 1 του ΓΚΠΔ προβλέπεται γενική απαγόρευση της επεξεργασίας τους, εκτός από τις 7 προβλεπόμενες στην παράγραφο 2 εξαιρέσεις, στις οποίες περιλαμβάνεται η περίπτωση, κατά την οποία «…ζ) η επεξεργασία είναι απαραίτητη για λόγους ουσιαστικού δημόσιου συμφέροντος, βάσει του δικαίου της Ένωσης ή κράτους μέλους, το οποίο είναι ανάλογο προς τον επιδιωκόμενο στόχο, σέβεται την ουσία του δικαιώματος στην προστασία των δεδομένων και προβλέπει κατάλληλα και συγκεκριμένα μέτρα για τη διασφάλιση των θεμελιωδών δικαιωμάτων και των συμφερόντων του υποκειμένου των δεδομένων».
6. Ως υπεύθυνος επεξεργασίας ορίζεται, στο άρθρο 4 παρ. 7 του ΓΚΠΔ, «…το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους». Περαιτέρω, ως εκτελών την επεξεργασία ορίζεται στην επόμενη παράγραφο «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου της επεξεργασία». Εξάλλου, το υποκειμενικό πεδίο εφαρμογής, σε σχέση με το δημόσιο τομέα, της έννοιας του υπευθύνου επεξεργασίας, η οποία αποτελεί αυτόνομη έννοια του ενωσιακού δικαίου, και, ειδικότερα, σε σχέση με το περιεχόμενο των όρων δημόσια αρχή και δημόσια υπηρεσία, συναρτάται με τη διοικητική οργάνωση των εθνικών εννόμων τάξεων. Βασικό για τον προσδιορισμό του υπευθύνου επεξεργασίας είναι το λειτουργικό κριτήριο. Δηλαδή υπεύθυνος επεξεργασίας είναι αυτός που καθορίζει το σκοπό ή/και τα ουσιώδη, τουλάχιστον, στοιχεία του τρόπου της επεξεργασίας (πρβλ. για την έννοια του υπευθύνου και εκτελούντος την επεξεργασία τη Γνώμη 1/2010 της Ο.Ε. του Άρθρου 29 1, στην οποία και αναφέρεται μεταξύ άλλων ότι ο καθορισμός των στόχων και του τρόπου ισοδυναμεί με τον καθορισμό, αντίστοιχα, του «γιατί» και του «πώς» ορισμένων δραστηριοτήτων επεξεργασίας). Στη Δημόσια Διοίκηση το λειτουργικό κριτήριο συνάπτεται κατ’ αρχήν με τις αρμοδιότητες συγκεκριμένης Παρόμοια θεώρηση υπάρχει και στη Γνώμη 07/2020 του ΕΣΠΔ η οποία βρίσκεται σε στάδιο δημόσιας διαβούλευσης - https://edpb.europa.eu/our-work-tools/public-consultations-art704/2020/guidelines-072020-concepts-controller-and-processor_en 1 8 αρχής, υπηρεσίας ή νομικού προσώπου δημοσίου δικαίου, οι οποίες, επιπλέον, πρέπει στην πράξη να ασκούνται από τα οικεία όργανά τους. Συνεπώς, η επεξεργασία προσωπικών δεδομένων από δημόσια υπηρεσία πρέπει να λειτουργεί και αναπτύσσει τις συνέπειές της στο πλαίσιο του κράτους δικαίου και της αρχής της νομιμότητας. Όπως παγίως γίνεται δεκτό, σύμφωνα με την αρχή της νομιμότητας, που λειτουργεί ως περιοριστικό όριο της διοικητικής δράσης, η διοικητική ενέργεια πρέπει να είναι σύμφωνη προς τον κανόνα δικαίου που διέπει τη δράση της Διοίκησης.
7. Οι αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα αναλύονται στο άρθρο 5 του ΓΚΠΔ και είναι, κατά βάση: α) νομιμότητα, αντικειμενικότητα και διαφάνεια, β) περιορισμός του σκοπού, γ) ελαχιστοποίηση των δεδομένων, δ) ακρίβεια, ε) περιορισμός της περιόδου αποθήκευσης, στ) ακεραιότητα και εμπιστευτικότητα και ζ) λογοδοσία.
8. Με το ΓΚΠΔ, στο άρθρο 25, εισάγεται ρητά η υποχρέωση για προστασία των δεδομένων ήδη από το σχεδιασμό και εξ ορισμού. Συγκεκριμένα, ορίζεται ότι «
9. Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων από την επεξεργασία, ο υπεύθυνος επεξεργασίας εφαρμόζει αποτελεσματικά, τόσο κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας όσο και κατά τη στιγμή της επεξεργασίας, κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως η ψευδωνυμοποίηση, σχεδιασμένα για την εφαρμογή αρχών προστασίας των δεδομένων, όπως η ελαχιστοποίηση των δεδομένων, και την ενσωμάτωση των απαραίτητων εγγυήσεων στην επεξεργασία κατά τρόπο ώστε να πληρούνται οι απαιτήσεις του παρόντος κανονισμού και να προστατεύονται τα δικαιώματα των υποκειμένων των δεδομένων.
10. Ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για να διασφαλίζει ότι, εξ ορισμού, υφίστανται επεξεργασία μόνο τα δεδομένα προσωπικού χαρακτήρα που είναι απαραίτητα για τον εκάστοτε σκοπό της επεξεργασίας. Αυτή η υποχρέωση ισχύει για το εύρος των δεδομένων προσωπικού χαρακτήρα που συλλέγονται, τον βαθμό της επεξεργασίας τους, την περίοδο αποθήκευσης και την προσβασιμότητά τους. Ειδικότερα, τα εν λόγω μέτρα διασφαλίζουν ότι, εξ ορισμού, τα δεδομένα 9 προσωπικού χαρακτήρα δεν καθίστανται προσβάσιμα χωρίς την παρέμβαση του φυσικού προσώπου σε αόριστο αριθμό φυσικών προσώπων».
11. Στο άρθρο 35 παρ. 1 του ΓΚΠΔ προβλέπεται ότι «Όταν ένα είδος επεξεργασίας, ιδίως με χρήση νέων τεχνολογιών και συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας διενεργεί, πριν από την επεξεργασία, εκτίμηση των επιπτώσεων των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία δεδομένων προσωπικού χαρακτήρα. Σε μία εκτίμηση μπορεί να εξετάζεται ένα σύνολο παρόμοιων πράξεων επεξεργασίας οι οποίες ενέχουν παρόμοιους υψηλούς κινδύνους». Η Αρχή, με βάση την παράγραφο 4 του άρθρου αυτού έχει καταρτίσει και δημοσιοποιήσει κατάλογο (βλ. υπ’ αριθμ. πρωτ. Γ/ΕΞ/8187/16-10-2018 διαθέσιμο στην ιστοσελίδα της Αρχής) με τα είδη των πράξεων επεξεργασίας που υπόκεινται στην απαίτηση για διενέργεια εκτίμησης αντικτύπου σχετικά με την προστασία των δεδομένων.
12. Σε σχέση με τον έλεγχο ταυτοπροσωπίας υποψήφιων οδηγών και οδηγών κατά τη διαδικασία θεωρητικής εξέτασης του άρθρου 9, η Αρχή επισημαίνει ότι από τις διατάξεις του ΣχΝ φαίνεται ότι η επεξεργασία της φωτογραφίας για το σκοπό της ταυτοπροσωπίας είναι σύμφωνη με τις βασικές αρχές του άρθρου 5 ΓΚΠΔ. Ειδικότερα παρατηρούνται τα εξής: α) Στο σχέδιο ορίζεται χρόνος τεσσάρων

(4)μηνών την τήρηση φωτογραφιών με σκοπό τον έλεγχο ταυτοπροσωπίας. Δεν είναι σαφές αν είναι το μόνο στοιχείο που τηρείται αποκλειστικά για έλεγχο ταυτοπροσωπίας, καθώς χρησιμοποιούνται και άλλα δεδομένα, όπως στοιχεία ταυτότητας, τα οποία όμως ενδέχεται να διατηρούνται και για λοιπούς σκοπούς, όπως για την τήρηση συστήματος αρχειοθέτησης των στοιχείων εξεταζόμενων/αδειούχων. Συναφώς θα πρέπει να καθοριστεί ο χρόνος τήρησης και για τυχόν άλλα δεδομένα, ο οποίος μπορεί να ποικίλλει ανάλογα με τα δεδομένα και να παρατείνεται εφόσον διαπιστωθεί παράβαση, μέχρι να ολοκληρωθούν οι σχετικές διαδικασίες (πρβλ. Γνμδ 1/2019 αρ. 14). β) Η διατύπωση «η ψηφιακή φωτογραφία του υποψηφίου διασταυρώνεται, με τη χρήση ηλεκτρονικών μέσων, με την αντίστοιχη φωτογραφία που συμπεριλαμβάνεται στο Δ.Ε.Ε. του υποψηφίου» αφήνει περιθώριο παρερμηνείας. Από το πνεύμα της 10 διάταξης προκύπτει ότι πραγματοποιείται δειγματοληπτικός έλεγχος με απόφαση ανθρώπου (μη αυτοματοποιημένη), υποστηριζόμενος από ηλεκτρονικά μέσα. Επισημαίνεται ότι σε περίπτωση αυτοματοποιημένης απόφασης, απαιτούνται αυστηρότερες προϋποθέσεις. γ) Η αναφορά σε χρήση ψηφιακών διαπιστευτηρίων με δυνατότητα ταυτοποίησης δύο παραγόντων γίνεται χωρίς να έχει ορισθεί διαδικασία απόδοσης αυτών. Σκόπιμο είναι να προβλεφθεί. δ) Στο άρθρο 10 παρ. 2 του ΣχΝ ορίζεται ότι «… λαμβάνοντας τα απαραίτητα τεχνικά και οργανωτικά μέτρα για την ασφάλεια της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα…» χωρίς αυτό να προσδιορίζεται αναλυτικότερα. Τα μέτρα ενδέχεται να διαφοροποιούνται ανά εμπλεκόμενο φορέα (τόσο για τον υπεύθυνο όσο και για τους εκτελούντες την επεξεργασία, δηλαδή κάθε Περιφέρεια). Σκόπιμο είναι να προστεθεί ρητή πρόβλεψη ότι τα εν λόγω μέτρα καταγράφονται σε κατάλληλες πολιτικές, τόσο για τον υπεύθυνο, όσο και για τους εκτελούντες την επεξεργασία. Με τον τρόπο αυτό εξασφαλίζεται, ως προς αυτό το σημείο, η αρχή της λογοδοσίας.

1. Σε σχέση με την οπτικοακουστική καταγραφή της πρακτικής δοκιμασίας υποψήφιων οδηγών και οδηγών, η Αρχή έχει ήδη κρίνει με την Γνμδ 1/2019 ότι μια τέτοια διαδικασία δεν προσβάλλει, κατ’ αρχήν, υπέρμετρα το δικαίωμα στην προστασία των προσωπικών δεδομένων. Περαιτέρω η καταγραφή περιορίζεται στο χώρο εντός του οχήματος και σε αυτόν, τον οποίο αφορά η διαδικασία εξέτασης, ενώ αντιμετωπίζονται κίνδυνοι που είχαν επισημανθεί με την εν λόγω γνωμοδότηση, όπως με την φύλαξη του εξοπλισμού από δημόσιους φορείς. Ως επιμέρους παρατηρήσεις η Αρχή επισημαίνει τα εξής: α) Απαιτείται περαιτέρω αιτιολόγηση της ανάγκης επεξεργασίας δεδομένων ήχου. β) Τα μέτρα που προβλέπονται στο άρθρο 16 παρ. 5 είναι σκόπιμο να καταγράφονται για κάθε εμπλεκόμενο φορέα, όπως αναλύθηκε παραπάνω. Για παράδειγμα, οι πολιτικές που εκδίδει το Υπουργείο πρέπει να ενσωματώνονται στις πολιτικές των Περιφερειών και να καταγράφονται. γ) Από το άρθρο 35 του ΓΚΠΔ και τα κριτήρια που έχει εκδώσει η Αρχή γίνεται σαφές ότι απαιτείται διενέργεια εκτίμησης των επιπτώσεων των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία δεδομένων προσωπικού χαρακτήρα (ΕΑΠΔ) 11 ανεξάρτητα από την υπουργική απόφαση που προβλέπεται στο άρθρο 33 παρ. 2 του ΣχΝ. Δεδομένου ότι από την εν λόγω εκτίμηση ενδέχεται να προκύψουν κρίσιμες απαιτήσεις για τις τεχνικές προδιαγραφές των χρησιμοποιούμενων συστημάτων και του συναφούς εξοπλισμού και ότι δεν έχει διενεργηθεί εκτίμηση αντικτύπου στο πλαίσιο της διαμόρφωσης των διατάξεων του σχεδίου νόμου, είναι απαραίτητο η ΕΑΠΔ να έχει ολοκληρωθεί πριν την έκδοση των σχετικών ΥΑ καθορισμού των εν λόγω απαιτήσεων. Στο πλαίσιο της ΕΑΠΔ θα πρέπει επίσης να εξεταστούν οι απαραίτητες τεχνικές ελαχιστοποίησης δεδομένων, όπως π.χ. η θόλωση των εικόνων φυσικών προσώπων που βρίσκονται στα τμήματα της δημόσιας οδού από την οποία λαμβάνεται εικόνα ή παράπλευρων οχημάτων τα οποία δε σχετίζονται με τη διαδικασία πρακτικής εξέτασης, αλλά και λοιπές παράμετροι που ενδείκνυται να ρυθμιστούν με την ΥΑ, όπως για παράδειγμα πρόσφοροι τρόποι για την ικανοποίηση της αρχής της διαφάνειας.
2. Σε σχέση με το Ολοκληρωμένο Πληροφοριακό Σύστημα Αδειών Οδήγησης «Τέθριππον» η Αρχή επισημαίνει τα εξής: α) Η αρμοδιότητα για την έκδοση αδειών, με βάση το άρθρο 16 του Π.Δ. 51/2012, ανήκει στις Περιφέρειες, μέσω των οικείων Διευθύνσεων Μεταφορών και Επικοινωνιών. Με την εισαγωγή του νέου συστήματος, με το οποίο το Υπουργείο αποκτά ρόλο όχι μόνο ως προς τα τεχνικά μέσα, αλλά και ως προς τον έλεγχο και την εποπτεία των διαδικασιών των Διευθύνσεων Μεταφορών και Επικοινωνιών των Περιφερειών, προκύπτει ενοποίηση των διαδικασιών. Τα μέσα της επεξεργασίας είναι, πλέον, στην αποκλειστική αρμοδιότητα του Υπουργείου το οποίο, μέσω των διαδικασιών ελέγχου, έχει και την ουσιαστική εποπτεία της εφαρμογής της ρύθμισης. Συνεπώς, φαίνεται ότι ορθώς ορίζονται οι ρόλοι του υπεύθυνου και των εκτελούντων την επεξεργασία, στους οποίους καταλείπεται σειρά επιλογών σε σχέση με επιμέρους τεχνικά και οργανωτικά ζητήματα. β) Η στατιστική επεξεργασία στοιχείων που σχετίζονται με τη διαδικασία εκπαίδευσης και εξέτασης υποψηφίων οδηγών και οδηγών (αρ. 22 ΣχΝ) θα πρέπει να αναφερθεί ως διακριτός σκοπός, ο οποίος είναι συμβατός με τον αρχικό σκοπό της επεξεργασίας. γ) Στο ΣχΝ δεν υπάρχει πρόβλεψη σε σχέση με τη λήψη μέτρων ασφάλειας για το ΟΠΣ, αν και γίνεται αναφορά σε λήψη μέτρων ασφάλειας για επιμέρους συστήματα 12 αυτού. Σκόπιμη είναι η πρόβλεψη εξουσιοδότησης για την έκδοση απόφασης για τον καθορισμό κατάλληλων μέτρων ασφάλειας και ως προς το σύστημα αυτό. Ανεξάρτητα από την εξουσιοδότηση, και δεδομένου ότι μέσω του ΟΠΣ πραγματοποιείται επεξεργασία δεδομένων σε μεγάλη κλίμακα, ότι τα δεδομένα περιλαμβάνουν και ειδικές κατηγορίες και ότι πραγματοποιείται συνδυασμός πληροφοριών από διάφορα συστήματα, προκύπτει η ανάγκη για διενέργεια ΕΑΠΔ, προ της λήψης των μέτρων.
3. Σε σχέση με τη δημιουργία μητρώων εξεταστών και εποπτών για τις διαδικασίες εξετάσεων (άρθρα 18 και 19) η Αρχή επισημαίνει τα εξής: α) Ως χρόνος τήρησης ορίζεται η πενταετία μετά την για οποιοδήποτε λόγο διαγραφή από τα μητρώα. Από τις διατάξεις που αφορούν το χρόνο τήρησης του μητρώου σε περίπτωση διαγραφής, χωρίς να υπάρχει στις διατάξεις αυτές και γενικότερα στο ΣχΝ πρόβλεψη για τη δυνατότητα ή όχι επανεγγραφής, δημιουργείται αμφιβολία κατά πόσο είναι επιτρεπτή η επανεγγραφή προσώπου που έχει διαγραφεί λόγω παραβάσεων ή για κάποιον άλλο από τους προβλεπόμενους λόγους διαγραφής, μετά την πάροδο της πενταετίας. β) Εξεταστές και επόπτες εκτελούν δραστηριότητες επεξεργασίας δεδομένων για λογαριασμό του Υπουργείου. Εξεταστές μπορεί να ορίζονται και πρόσωπα εκτός των υπαλλήλων του Δημοσίου. Στις περιπτώσεις που οι εξεταστές είναι υπάλληλοι του δημοσίου έχουν πειθαρχική ευθύνη (άρθρο 18 παρ. 10). Συνεπώς μπορεί να υποστηριχθεί ότι, αν και εκτός ωραρίου, ενεργούν υπό την άμεση εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία και είναι πρόσωπα εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα, άρα δεν αποτελούν τρίτο με την έννοια του άρθρου 4 παρ. 10 του ΓΚΠΔ. Στις περιπτώσεις όμως που οι εξεταστές είναι ιδιώτες, καθώς αναλαμβάνουν τη διενέργεια δραστηριότητας που αφορά επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να θεωρούνται ως εκτελούντες την επεξεργασία και να δεσμεύονται με κατάλληλους όρους, με βάση το άρθρο 28 παρ. 3 ΓΚΠΔ. Στις περιπτώσεις υπαλλήλων του δημοσίου που δεν προέρχονται από το Υπουργείο Υποδομών και Μεταφορών ή τις Περιφέρειες, σκόπιμο είναι να προσδιορισθεί ο τρόπος άμεσης εποπτείας του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία ως προς αυτούς τους 13 υπαλλήλους, καθώς κατ’ αρχήν ελέγχονται πειθαρχικά από τα όργανα του φορέα τους.
4. Τέλος, όσον αφορά επιμέρους προβλέψεις των προτεινόμενων ρυθμίσεων, η Αρχή παρατηρεί επίσης τα εξής: α) Σκόπιμη είναι η πρόβλεψη ευρύτερης εξουσιοδότησης για απόφαση σχετικά με τη λήψη κατάλληλων μέτρων ασφάλειας σε σχέση με τα διάφορα συστήματα που αφορά το ΣχΝ. β) Δεν είναι σαφές αν με την ψήφιση του ΣχΝ πρόκειται να καταργηθεί και ο Ν. 4599/2019, ή τουλάχιστον όσες διατάξεις του έρχονται σε αντίθεση με το σχέδιο. γ) Η διατύπωση του άρθρου 18 παρ. 8 είναι σκόπιμο να βελτιωθεί: «…εξειδικεύονται κατά τα προβλεπόμενα στην περ. 5 (και όχι ε) της παρ. 1 του άρθρου 33 του παρόντος», και αντίστοιχα η διατύπωση του άρθρου 19 παρ. 7 (περ. 6 και όχι στ). δ) Εξυπακούεται ότι οι ρυθμίσεις του ΓΚΠΔ που αφορούν τον υπεύθυνο επεξεργασίας, ιδίως όσον αφορά τη διαφάνεια και τα δικαιώματα των υποκειμένων, πρέπει να εξασφαλιστούν πριν την εφαρμογή του συστήματος, αλλά και να εφαρμόζονται σε κάθε περίπτωση. Επομένως, ορθώς αποφεύγεται στις περισσότερες περιπτώσεις η επανάληψή τους σε επιμέρους διατάξεις του ΣχΝ και ορίζεται στο άρθρο 33 παρ. 2 ότι με υπουργική απόφαση θα ρυθμιστούν, πλην άλλων, τα θέματα που αφορούν τη διενέργεια εκτίμησης αντικτύπου των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία δεδομένων προσωπικού χαρακτήρα και τον τρόπο ικανοποίησης των δικαιωμάτων των υποκειμένων των δεδομένων που προβλέπονται από το ΓΚΠΔ και το ν. 4624/
5. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 14