Γνωμοδότηση επί σχεδίου ΠΔ του Υπουργείου Ναυτιλίας και Νησιωτικής Πολιτικής

Αθήνα, 27-05-2026 Αριθ. Πρωτ.: 2390 ΓΝΩΜΟΔΟΤΗΣΗ 5/2026 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του εκτελούντος χρέη Προέδρου Αναπληρωτή Προέδρου της σε συνεδρίαση μέσω τηλεδιασκέψεως την Τρίτη 07/04/2026 και ώρα 11:00, εξ αναβολής της από 31/03/2026 συνεδρίασης, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Αναπληρωτής Πρόεδρος της Αρχής, Γεώργιος Μπατζαλέξης παραιτηθέντος του Προέδρου Κωνσταντίνου Μενουδάκου και τα τακτικά μέλη της Αρχής Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, Χαράλαμπος Ανθόπουλος, Χρήστος Καλλονιάτης, Αικατερίνη Ηλιάδου, ως εισηγήτρια, και Γρηγόριος Τσόλιας. Παρόντες, χωρίς δικαίωμα ψήφου, ήταν οι Μαρία Αλικάκου και Αικατερίνη Χατζηδιάκου, ειδικοί επιστήμονες, ως βοηθοί εισηγητών και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Το Υπουργείο Ναυτιλίας και Νησιωτικής Πολιτικής (εφεξής Υπουργείο) υπέβαλε στην Αρχή το με αριθμ. πρωτ. Γ/ΕΙΣ/2296/18-02-2026 μήνυμα ηλεκτρονικού ταχυδρομείου με το οποίο ζήτησε την παροχή γνώμης της Αρχής σύμφωνα με το άρθρο 13 παρ. 1 περ. γ΄ του ν. 4624/2019, για το σχέδιο προεδρικού διατάγματος με τίτλο 1 “Ηλεκτρονικό Σύστημα Κράτησης θέσεων, Έκδοσης και Παραγωγής εισιτηρίων επιβατών, αποδείξεων μεταφοράς οχημάτων και λοιπών Παραστατικών θαλάσσιας μεταφοράς στα Επιβατηγά, Επιβατηγά Οχηματαγωγά και Οχηματαγωγά Πλοία (Η.Σ.Κ.Ε.Π.ΠΑ) ”. Στο ανωτέρω μήνυμα γίνεται αναφορά στις προηγηθείσες συζητήσεις, που έλαβαν μέρος μεταξύ εκπροσώπων του Υπουργείου και της Αρχής σχετικά με το αρχικό αίτημα που είχε υποβάλει το Υπουργείο για παροχή γνώμης από την Αρχή σε σχέση με το αρχικό σχέδιο προεδρικού διατάγματος. Συγκεκριμένα, το Υπουργείο με το με αριθμ. πρωτ. Γ/ΕΙΣ/4241/19-05-2025 έγγραφό του είχε αποστείλει προς γνωμοδότηση αρχικό σχέδιο προεδρικού διατάγματος, επί του οποίου η Αρχή, σε συνέχεια και της διά ζώσης συνάντησης με το Υπουργείο, η οποία πραγματοποιήθηκε στα γραφεία της στις 30 Ιουνίου 2025, διατύπωσε συγκεκριμένα ερωτήματα. Ειδικότερα, με το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/2353/01-07-2025 μήνυμα ηλεκτρονικού ταχυδρομείου, η Αρχή ζήτησε από το Υπουργείο να επανεξετάσει και αποσαφηνίσει ορισμένα σημεία που συζητήθηκαν κατά τη συνάντηση, ώστε να είναι σε θέση να εξετάσει τυχόν νεότερο αίτημα γνωμοδότησης. Ακολούθως, το Υπουργείο απέστειλε, με το ανωτέρω με αριθμ. πρωτ. Γ/ΕΙΣ/2296/18-022026 μήνυμα ηλεκτρονικού ταχυδρομείου, το αναθεωρημένο προτεινόμενο προσχέδιο προεδρικού διατάγματος. Από τα στοιχεία του φακέλου προκύπτει ότι έχει ολοκληρωθεί ο σχεδιασμός του προβλεπόμενου πληροφοριακού συστήματος και πλέον βρίσκεται στη φάση ανάπτυξης. Σύμφωνα με το υπό εξέταση προσχέδιο, το «Ηλεκτρονικό Σύστημα Κράτησης θέσεων, Έκδοσης και Παραγωγής εισιτηρίων επιβατών, αποδείξεων μεταφοράς οχημάτων και λοιπών Παραστατικών θαλάσσιας μεταφοράς» (εφεξής Η.Σ.Κ.Ε.Π.Π.Α) αποτελεί ένα ολοκληρωμένο ηλεκτρονικό πληροφοριακό σύστημα του Μεταφορέα με στόχο την εξασφάλιση της ηλεκτρονικής κράτησης, έκδοσης και παραγωγής παραστατικών θαλάσσιας μεταφοράς επιβατών, βρεφών, οχημάτων, μεγαλόσωμων ζώων συντροφιάς και πραγμάτων, από τα υπόχρεα πλοία και μέσω του οποίου γίνεται συγκέντρωση και αξιολόγηση στοιχείων που αφορούν στις θαλάσσιες μεταφορές. Κατά τα αναφερόμενα στο υπό εξέταση σχέδιο, το εν λόγω σύστημα αποσκοπεί, αφενός, στον εκσυγχρονισμό του πλαισίου έκδοσης παραστατικών θαλάσσιας μεταφοράς και, αφετέρου, στη 2 συλλογή και επεξεργασία δεδομένων για την εξυπηρέτηση διαφόρων σκοπών, όπως ο έλεγχος και η επιβεβαίωση στοιχείων επιβατών, οχημάτων και μεταφερόμενων αντικειμένων στο πλαίσιο της ασφάλειας της ναυσιπλοΐας και της πρόληψης και καταστολής εγκλημάτων, εξακρίβωση των δικαιούχων του Αντισταθμίσματος Νησιωτικού Κόστους (Α.ΝΗ.ΚΟ.) στο πλαίσιο εφαρμογής του μεταφορικού ισοδυνάμου, καθώς και η στατιστική επεξεργασία των συλλεγόμενων δεδομένων. Περαιτέρω, όπως προβλέπεται στο άρθρο 14 του εν λόγω σχεδίου προεδρικού διατάγματος, για την εξυπηρέτηση του άρθρου 1 παρ. 2 στο οποίο προβλέπεται η δημιουργία και λειτουργία του Η.Σ.Κ.Ε.Π.Π.Α, προβλέπεται η δημιουργία και λειτουργία ολοκληρωμένου πληροφοριακού συστήματος, αποτελούμενο από μια πλειάδα υποσυστημάτων, όπως τα παρακάτω: • υποσύστημα μητρώου πλοίων υπόχρεων σε λειτουργία συστήματος Η.Σ.Κ.Ε.Π.Π.Α, • υποσύστημα μητρώου μεταφορέων, • υποσύστημα μητρώου υπευθύνων διαβίβασης δεδομένων, • υποσύστημα μητρώου ναυτικών πρακτόρων, • υποσύστημα μητρώου παρόχων υπηρεσιών παραστατικών θαλάσσιας μεταφοράς, • υποσύστημα διαχείρισης αιτήσεων και δηλώσεων συμμόρφωσης, • υποσύστημα διαχείρισης ελέγχων και επιθεωρήσεων, • υποσύστημα διαχείρισης βεβαιώσεων, • υποσύστημα διαχείρισης διεπαφών (apis), • υποσύστημα διαχείρισης διαβιβαζόμενων δεδομένων από μεταφορείς, και • υποσύστημα διαχείρισης και ανταλλαγής δεδομένων με τρίτα συστήματα (όπως ενδεικτικά η Εθνική Ενιαία Ναυτιλιακή Θυρίδα). Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και αφού άκουσε την εισηγήτρια και τις βοηθούς εισηγήτριας, οι οποίες παρέστησαν χωρίς δικαίωμα ψήφου, μετά από διεξοδική συζήτηση 3 ΕΚΔΙΔΕΙ ΤΗΝ ΑΚΟΛΟΥΘΗ ΓΝΩΜΟΔΟΤΗΣΗ Α. Εισαγωγικές παρατηρήσεις 1) Σύμφωνα με τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (EE) 2016/679 (εφεξής, ΓΚΠΔ) και του άρθρου 9 του ν. 4624/2019 (ΦΕΚ Α΄ 137), η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. 2) Ειδικότερα, στο άρθρο 57 παρ. 1 στοιχ. γ’ ΓΚΠΔ και το άρθρο 13 1 παρ. 1 του ν. 4624/2019, προβλέπεται ότι με την επιφύλαξη των άλλων καθηκόντων που ορίζονται στον ΓΚΠΔ, κάθε εποπτική αρχή στο έδαφός της συμβουλεύει, σύμφωνα με το δίκαιο του κράτους μέλους, το εθνικό κοινοβούλιο, την κυβέρνηση και άλλα όργανα και οργανισμούς, για νομοθετικά και διοικητικά μέτρα που σχετίζονται με την προστασία των δικαιωμάτων και ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας. Επιπλέον, στο άρθρο 36 παρ. 4 του ΓΚΠΔ προβλέπεται ότι τα κράτη μέλη ζητούν τη γνώμη της εποπτικής αρχής, κατά την εκπόνηση προτάσεων νομοθετικών μέτρων προς θέσπιση από τα εθνικά κοινοβούλια ή κανονιστικών μέτρων, που βασίζονται σε τέτοια νομοθετικά μέτρα τα οποία αφορούν την επεξεργασία. Η αιτιολογική σκέψη 96 του ΓΚΠΔ επεξηγεί την εν λόγω ρύθμιση, αναφέροντας ότι «Διαβούλευση με την εποπτική αρχή θα πρέπει επίσης να πραγματοποιείται κατά την εκπόνηση ενός νομοθετικού ή κανονιστικού μέτρου που προβλέπει την επεξεργασία δεδομένων προσωπικού χαρακτήρα, προκειμένου να διασφαλίζεται η συμμόρφωση της σχεδιαζόμενης επεξεργασίας προς τον παρόντα κανονισμό και, ιδίως, να μετριάζονται οι κίνδυνοι για το υποκείμενο των δεδομένων.» Με το άρθρο 13 παρ.

1. γ’ του ν. 4624/2019 προσδιορίστηκε η εν λόγω διαδικασία και ορίστηκε ότι η Αρχή «παρέχει γνώμη για κάθε ρύθμιση που πρόκειται να περιληφθεί σε νόμο ή σε κανονιστική πράξη, η οποία αφορά επεξεργασία δεδομένων προσωπικού χαρακτήρα. Η διαβούλευση πραγματοποιείται κατά το στάδιο εκπόνησης της ρύθμισης σε χρόνο και με τρόπο που καθιστά εφικτή την έγκαιρη διατύπωση γνώμης από την Αρχή και τη σχετική διαβούλευση επί του περιεχομένου του σχεδίου ρύθμισης.» 1 4 3) Η επεξεργασία προσωπικών δεδομένων φυσικών προσώπων από δημόσιες αρχές λειτουργεί και αναπτύσσει τις συνέπειές της στο πλαίσιο του κράτους δικαίου και της αρχής της νομιμότητας. Περαιτέρω, στον βαθμό που η επεξεργασία συνιστά περιορισμό του θεμελιώδους δικαιώματος στην προστασία των προσωπικών δεδομένων (άρθρο 9Α Σ), πρέπει να ορίζεται γενικώς και αντικειμενικώς με τυπικό νόμο ή κατόπιν ειδικής νομοθετικής εξουσιοδότησης με προεδρικό διάταγμα. Η σχετική ρύθμιση οφείλει να δικαιολογείται από αποχρώντες λόγους δημοσίου συμφέροντος, να τελεί σε πρόδηλη λογική συνάφεια με τον επιδιωκόμενο σκοπό, να είναι πρόσφορη, κατάλληλη και αναγκαία για την επίτευξη του σκοπού αυτού, να μην θίγει τον πυρήνα του δικαιώματος και να μην απονέμει στη Διοίκηση ευρεία διακριτική ευχέρεια. Κατά συνέπεια, είναι αναγκαίο η σχεδιαζόμενη επεξεργασία να προβλέπεται σε νομοθετική διάταξη, από την οποία θα προκύπτουν τα βασικά χαρακτηριστικά της επεξεργασίας, δηλαδή ο υπεύθυνος επεξεργασίας, ο σκοπός αυτής, τα δεδομένα τα οποία θα τύχουν επεξεργασίας και ο χρόνος τήρησης αυτών καθώς και οι αποδέκτες των δεδομένων. Με νομοθετική εξουσιοδότηση σύμφωνα με όσα προβλέπονται στο άρθρο 43 παρ. 2 β’ Σ, επιτρέπεται να ανατεθεί στον κανονιστικό νομοθέτη η ρύθμιση ειδικότερων, τεχνικών ή λεπτομερειακών θεμάτων, όπως ο σχεδιασμός των συγκεκριμένων συστημάτων και συγκεκριμένα των απαιτούμενων τεχνικών και λειτουργικών προδιαγραφών, τα εν γένει οργανωτικά και τεχνικά μέτρα για την ασφάλεια της επεξεργασίας των δεδομένων, καθώς και κάθε άλλη αναγκαία λεπτομέρεια. Στην ίδια κατεύθυνση κινείται η αιτιολογική σκέψη 41 του ΓΚΠΔ αναφέρει ότι «[ο]ποτεδήποτε ο παρών κανονισμός αναφέρεται σε νομική βάση ή νομοθετικό μέτρο, αυτό δεν προϋποθέτει απαραιτήτως νομοθετική πράξη εγκεκριμένη από ένα κοινοβούλιο, με την επιφύλαξη των απαιτήσεων σύμφωνα με τη συνταγματική τάξη του συγκεκριμένου κράτους μέλους. Ωστόσο, αυτή η νομική βάση ή το νομοθετικό μέτρο θα πρέπει να είναι διατυπωμένο με σαφήνεια και ακρίβεια και η εφαρμογή του να είναι προβλέψιμη για πρόσωπα που υπόκεινται σε αυτό, σύμφωνα με τη νομολογία του Δικαστηρίου της Ευρωπαϊκής 5 Ένωσης (το «Δικαστήριο») και του Ευρωπαϊκού Δικαστηρίου των Δικαιωμάτων του Ανθρώπου.» 4) Η Αρχή αναγνωρίζει ότι το υπό εξέταση σχέδιο προεδρικού διατάγματος επιδιώκει θεμιτούς σκοπούς δημοσίου συμφέροντος, ιδίως τον εκσυγχρονισμό των διαδικασιών θαλάσσιας μεταφοράς και τη βελτίωση της διαχείρισης των σχετικών υπηρεσιών. Ωστόσο, από τη ρύθμιση προκύπτει ότι το σύστημα εξυπηρετεί πλείονες και ετερογενείς σκοπούς επεξεργασίας, ενώ παράλληλα προβλέπεται εκτεταμένη συλλογή και διαβίβαση δεδομένων προσωπικού χαρακτήρα, χωρίς να διασφαλίζεται επαρκώς ότι η επεξεργασία περιορίζεται στα απολύτως αναγκαία για την επίτευξη εκάστου σκοπού. Επιπλέον, διαπιστώνονται ουσιώδεις ελλείψεις ως προς τον σαφή προσδιορισμό βασικών στοιχείων της επεξεργασίας, όπως ο υπεύθυνος επεξεργασίας, ο χρόνος τήρησης των δεδομένων, οι ειδικότερες εγγυήσεις ασφάλειας και η διασφάλιση των δικαιωμάτων των υποκειμένων καθώς και διαβιβάσεις προς τρίτους. 5) Ειδικότερα, στο προβλεπόμενο σύστημα εμπλέκονται πολλοί φορείς (όπως μεταφορείς, πάροχοι υπηρεσιών, ναυτικοί πράκτορες και δημόσιες αρχές), οι οποίοι φαίνεται να συμμετέχουν σε επιμέρους στάδια της επεξεργασίας. Η έλλειψη σαφούς καθορισμού του υπευθύνου επεξεργασίας, καθώς και, κατά περίπτωση, των εκτελούντων την επεξεργασία ή των από κοινού υπευθύνων, δεν συνάδει με τις απαιτήσεις των άρθρων 4 παρ. 7, 26 και 28 ΓΚΠΔ και ενδέχεται να δημιουργήσει ασάφεια ως προς την κατανομή ευθυνών και την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων. 6) Περαιτέρω, σύμφωνα με το άρθρο 25 παρ. 1 του ΓΚΠΔ για την προστασία των δεδομένων από το σχεδιασμό «Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων από την επεξεργασία, ο υπεύθυνος επεξεργασίας εφαρμόζει αποτελεσματικά τόσο κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας όσο και κατά τη στιγμή της 6 επεξεργασίας, κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως η ψευδωνυμοποίηση, σχεδιασμένα για την εφαρμογή αρχών προστασίας των δεδομένων, όπως η ελαχιστοποίηση των δεδομένων, και την ενσωμάτωση των απαραίτητων εγγυήσεων στην επεξεργασία κατά τρόπο ώστε να πληρούνται οι απαιτήσεις του παρόντος κανονισμού και να προστατεύονται τα δικαιώματα των υποκειμένων των δεδομένων.» Η υποχρέωση αυτή καταλαμβάνει σαφώς και τον δημόσιο τομέα, ιδίως κατά τον σχεδιασμό μεγάλων πληροφοριακών έργων, τα οποία, λόγω της έκτασης και της φύσης της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, ενδέχεται να επιφέρουν νέους και σημαντικούς κινδύνους για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων ή να μεταβάλλουν ουσιωδώς τους κινδύνους από την επεξεργασία. Η προσέγγιση αυτή αποτυπώνεται και στην αιτιολογική σκέψη 78 του ΓΚΠΔ όπου επισημαίνεται ότι οι «αρχές της προστασίας των δεδομένων ήδη από τον σχεδιασμό και εξ ορισμού θα πρέπει επίσης να λαμβάνονται υπόψη στο πλαίσιο των δημόσιων διαγωνισμών.» 7) Επιπροσθέτως, σύμφωνα με το άρθρο 35 παρ. 1 του ΓΚΠΔ «[ό]ταν ένα είδος επεξεργασίας, ιδίως με χρήση νέων τεχνολογιών και συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας διενεργεί, πριν από την επεξεργασία, εκτίμηση των επιπτώσεων των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία δεδομένων προσωπικού χαρακτήρα. Σε μία εκτίμηση μπορεί να εξετάζεται ένα σύνολο παρόμοιων πράξεων επεξεργασίας οι οποίες ενέχουν παρόμοιους υψηλούς κινδύνους». Ο ΓΚΠΔ παρέχει τη δυνατότητα στα κράτη μέλη να διενεργούν γενική εκτίμηση αντικτύπου κατά τη θέσπιση νομοθετικού μέτρου που προβλέπει επεξεργασία στο πλαίσιο της έγκρισης ενός νομοθετικού μέτρου (βλ. άρθρο 35 παρ. 10 ΓΚΠΔ). Περαιτέρω, στην αιτιολογική σκέψη 92 ΓΚΠΔ διευκρινίζεται ότι, όταν το αντικείμενο της επεξεργασίας υπερβαίνει ένα μεμονωμένο έργο, όπως, για παράδειγμα, όταν δημόσιες αρχές ή φορείς σκοπεύουν να εγκαθιδρύσουν μια κοινή εφαρμογή ή πλατφόρμα επεξεργασίας, ενδέχεται να είναι σκόπιμο και 7 οικονομικά πρόσφορο να διενεργείται ενιαία εκτίμηση αντικτύπου κατά το στάδιο θέσπισης της σχετικής κανονιστικής ρύθμισης. 8) Οι προτεινόμενες διατάξεις φαίνεται, καταρχήν, να λαμβάνουν υπόψη ζητήματα που είχαν επισημανθεί από την Αρχή. Ωστόσο, η Αρχή επισημαίνει στη συνέχεια επιμέρους ζητήματα, τα οποία κρίνεται σκόπιμο να ληφθούν υπόψη και να αντιμετωπισθούν στο τελικό σχέδιο του προεδρικού διατάγματος. Β. Ειδικότερες επισημάνσεις και παρατηρήσεις στα επιμέρους άρθρα του σχεδίου προεδρικού διατάγματος
2. Άρθρο 1 Σύμφωνα με την περιγραφή των σκοπών επεξεργασίας στο εν λόγω άρθρο, προκύπτει ότι το σύστημα προβλέπεται να εξυπηρετεί πλείονες και ετερογενείς σκοπούς επεξεργασίας, χωρίς επαρκή διακριτό προσδιορισμό της νομικής βάσης ανά σκοπό επεξεργασίας, γεγονός που δημιουργεί ασάφεια ως προς το εφαρμοστέο κανονιστικό πλαίσιο και την κατανομή των σχετικών υποχρεώσεων. Ειδικότερα, αναφέρεται ότι το σύστημα αποσκοπεί, αφενός, στον εκσυγχρονισμό του πλαισίου έκδοσης παραστατικών θαλάσσιας μεταφοράς και, αφετέρου, στη συλλογή και επεξεργασία δεδομένων για την εξυπηρέτηση διαφόρων σκοπών, όπως ο έλεγχος και η επιβεβαίωση στοιχείων επιβατών, οχημάτων και μεταφερόμενων αντικειμένων στο πλαίσιο της ασφάλειας της ναυσιπλοΐας και της πρόληψης και καταστολής εγκλημάτων, εξακρίβωση των δικαιούχων του Αντισταθμίσματος Νησιωτικού Κόστους (Α.ΝΗ.ΚΟ.) στο πλαίσιο εφαρμογής του μεταφορικού ισοδυνάμου, καθώς και η στατιστική επεξεργασία των συλλεγόμενων δεδομένων. Οι εν λόγω σκοποί θα πρέπει να προσδιορίζονται με σαφήνεια και να τεκμηριώνεται ειδικώς η αναγκαιότητα και η καταλληλότητα της επεξεργασίας των προβλεπόμενων κατηγοριών δεδομένων για καθέναν από αυτούς, σύμφωνα με τις αρχές του άρθρου 5 ΓΚΠΔ. 8 Ειδικότερα, καθόσον η προβλεπόμενη επεξεργασία εξυπηρετεί, μεταξύ άλλων, και σκοπούς πρόληψης και καταστολής εγκλημάτων, εμπίπτει στο πεδίο εφαρμογής των διατάξεων του ν. 4624/2019 που ενσωματώνουν την Οδηγία (ΕΕ) 2016/
3. Επισημαίνεται ότι ο σκοπός αυτός λόγω της φύσης του, συνιστά ιδιαίτερα παρεμβατική μορφή επεξεργασίας δεδομένων προσωπικού χαρακτήρα και υπόκειται σε ειδικό κανονιστικό πλαίσιο. Κατά συνέπεια, κρίνεται σκόπιμο ο εν λόγω σκοπός να προσδιορίζεται αυτοτελώς και με σαφήνεια, και να τεκμηριώνεται ειδικώς η αναγκαιότητα και η αναλογικότητα της επεξεργασίας για την επίτευξή του, καθώς και να προβλέπονται οι αντίστοιχες κατάλληλες και ειδικές εγγυήσεις, όπως απαιτείται από το εφαρμοστέο κανονιστικό πλαίσιο. Υπό τα δεδομένα αυτά, κρίνεται ότι η σχετική ρύθμιση χρήζει ουσιώδους αναδιατύπωσης, προκειμένου να διασφαλισθεί η συμμόρφωσή της με τις απαιτήσεις του ν. 4624/2019 και τις αρχές της αναγκαιότητας και της αναλογικότητας. Επιπροσθέτως, συστήνεται να εξετασθεί και τεκμηριωθεί κατάλληλα η αναγκαιότητα συγκέντρωσης ονομαστικών δεδομένων στο ΟΠΣ του άρθρου 14 του σχεδίου προεδρικού διατάγματος για την επίτευξη των σκοπών α, β και γ του άρθρου 1 παρ. 2 του εν λόγω σχεδίου και δεν αρκεί για την επίτευξή τους η διαβίβαση από το Η.Σ.Κ.Ε.Π.ΠΑ ψευδωνυμοποιημένων ή ανωνυμοποιημένων δεδομένων. Και ιδίως όσον αφορά την τήρηση ψευδωνυμοποιημένων δεδομένων για την επίτευξη των σκοπών της προστασίας της ζωής και της ασφάλειας των επιβατών, του πλου και του πλοίου, της έρευνας και διάσωσης, της πρόληψης και καταστολής του εγκλήματος στον χώρο αρμοδιότητας της Αρχής, καθώς και της προστασίας των θαλάσσιων συνόρων, όπως ορίζεται από την ισχύουσα νομοθεσία (άρθρο 1.2α του υπό εξέταση σχεδίου) και της εξακρίβωσης των δικαιούχων του Α.ΝΗ.ΚΟ. (άρθρο 1.2β) καθώς και ανωνυμοποιημένων δεδομένων για τον σκοπό της στατιστικής επεξεργασίας των δεδομένων (άρθρο 1.2γ). Επισημαίνεται ότι είναι απαραίτητο να εξετασθεί και τεκμηριωθεί αν για την επίτευξη των παραπάνω σκοπών απαιτείται η δημιουργία του ΟΠΣ με το σύνολο των ονομαστικών μετακινήσεων των επιβατών. 9
4. Άρθρο 4 Όπως προκύπτει από το άρθρο 4 του υπό εξέταση σχεδίου, το Η.Σ.Κ.Ε.Π.ΠΑ, συλλέγει και επεξεργάζεται εκτεταμένο αριθμό προσωπικών δεδομένων επιβατών (όπως μεταξύ άλλων στοιχεία ταυτοποίησης ημερομηνία γέννησης, ιθαγένεια, κλπ.). Ωστόσο, κατά τον καθορισμό των κατηγοριών προσωπικών δεδομένων, που υποβάλλονται σε επεξεργασία, πρέπει προηγουμένως να εξετάζεται αν η συλλογή και επεξεργασία τους είναι πράγματι αναγκαία και πρόσφορη για την επίτευξη των επιδιωκόμενων σκοπών επεξεργασίας, σύμφωνα με την αρχή της ελαχιστοποίησης των δεδομένων που κατοχυρώνεται στο άρθρο 5 παρ.1 στοιχ. γ ΓΚΠΔ. Ομοίως, στην περίπτωση της τήρησης κατάστασης αναμονής αναφορικά με πράγματα και μεγαλόσωμα ζώα συντροφιάς (άρθρο 4 περ. εγ), προβλέπεται ότι συλλέγονται, μεταξύ άλλων, και λοιπά στοιχεία χωρίς αυτά να προσδιορίζονται ειδικότερα. Ωστόσο, οι κατηγορίες προσωπικών δεδομένων που υποβάλλονται σε επεξεργασία στο πλαίσιο του συστήματος θα πρέπει να προσδιορίζονται με σαφήνεια, ακρίβεια και εξαντλητική απαρίθμηση στο κανονιστικό κείμενο, ώστε να διασφαλίζεται η τήρηση των αρχών της νομιμότητας, της διαφάνειας και της ελαχιστοποίησης των δεδομένων. Συνιστάται, συνεπώς, να επανεξετασθεί η αναγκαιότητα συλλογής των προβλεπόμενων κατηγοριών δεδομένων και να περιοριστεί η επεξεργασία στα απολύτως αναγκαία για την επίτευξη εκάστου εκ των προβλεπόμενων σκοπών επεξεργασίας.
5. Άρθρο 8 Στο υπό εξέταση σχέδιο προεδρικού διατάγματος μεταξύ των προδιαγραφών λειτουργίας του Η.Σ.Κ.Ε.Π.ΠΑ αναφέρεται η διασφάλιση της προστασίας δεδομένων από τυχαία ή σκόπιμη καταστροφή, ή και απώλεια, καθώς και από μη εξουσιοδοτημένες προσβάσεις ή αλλοιώσεις. Ωστόσο, δεν προσδιορίζονται ειδικότερα τα τεχνικά και οργανωτικά μέτρα που πρέπει να λαμβάνονται για τη διασφάλιση της ασφάλειας της επεξεργασίας, όπως ενδεικτικά, μηχανισμοί καταγραφής και παρακολούθησης προσβάσεων, κρυπτογράφηση δεδομένων, 10 έλεγχος δικαιωμάτων πρόσβασης βάσει ρόλων και διαδικασίες ελέγχου της λειτουργίας του συστήματος. Δεδομένου ότι πρόκειται για πληροφοριακό σύστημα μεγάλης κλίμακας που αφορά την επεξεργασία δεδομένων μετακινήσεων επιβατών, κρίνεται σκόπιμο να καθοριστεί το ελάχιστο επίπεδο στόχων ασφάλειας ή ειδικότερες υποχρεώσεις προς ενίσχυση της υποχρέωσης διατήρησης της ασφάλειας της επεξεργασίας και να εξειδικευθούν τα αναγκαία οργανωτικά και τεχνικά μέτρα για την προστασία των προσωπικών δεδομένων σύμφωνα με τις απαιτήσεις του άρθρου 32 ΓΚΠΔ είτε στο προεδρικό διάταγμα είτε σε κανονιστικές πράξεις που θα εκδοθούν κατ’ εξουσιοδότηση αυτού. Περαιτέρω, στο άρθρο 8 παρ. 8 προβλέπεται ότι τα ηλεκτρονικά αρχεία των παραπάνω δεδομένων τηρούνται στο Η.Σ.Κ.Ε.Π.ΠΑ για χρονικό διάστημα πέντε