Γνωμοδότηση για την αναγραφή του Προσωπικού Αριθμού στο Δελτίο Ταυτότητας

Αθήνα, 12-02-2025 Αριθ. Πρωτ.: 579 ΓΝΩΜΟΔΟΤΗΣΗ 1/2025 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της σε συνεδρίαση μέσω τηλεδιασκέψεως την Τρίτη 5/2/2025 και ώρα 18:30 σε συνέχεια της συνεδρίασης της 21/1/2025 προκειμένου να εκδώσει γνώμη επί σχεδίου διάταξης κατόπιν αιτήματος του Υπουργείου Ψηφιακής Διακυβέρνησης. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, ως εισηγητής, Χαράλαμπος Ανθόπουλος, Χρήστος Καλλονιάτης, Αικατερίνη Ηλιάδου και Γρηγόριος Τσόλιας. Παρόντες, χωρίς δικαίωμα ψήφου, ήταν οι Κωνσταντίνος Λιμνιώτης, Ελένη Μαραγκού, Γεωργία Παναγοπούλου, Γεώργιος Ρουσόπουλος και Αναστασία Τριτάκη ειδικοί επιστήμονες, ως βοηθοί εισηγητή και η Γεωργία Παλαιολόγου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Το Υπουργείο Ψηφιακής Διακυβέρνησης (εφεξής ΥΨΔ) με το αρ. πρωτ. Γ/ΕΙΣ/386/16-01-2025 έγγραφο του Γενικού Γραμματέα Πληροφοριακών Συστημάτων και Ψηφιακής Διακυβέρνησης Δημοσθένη Αναγνωστόπουλου, υπέβαλε προς την Αρχή σχέδιο διάταξης νόμου για την αναγραφή του Προσωπικού Αριθμού στο Δελτίο Ταυτότητας, με το οποίο προσκομίζονται επιπροσθέτως τα εξής σχετικά:

1. Σχέδιο διάταξης, με το οποίο προβλέπεται ότι στις συναλλαγές φυσικών προσώπων με φορείς του ιδιωτικού τομέα για τη διεκπεραίωση των οποίων υπάρχει έννομη υποχρέωση για την τήρηση φωτοαντιγράφου 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr Δελτίου Ταυτότητας, η υποβολή του αντιγράφου διενεργείται με τη χρήση ψηφιακών υπηρεσιών, κατά τρόπο ώστε να καταργείται η τήρηση σχετικού φωτοαντιγράφου,
2. Αντίγραφο του ν. 5099/2024 (ΦΕΚ Α’/48/05-04-2024), στο άρθρο 31 του οποίου προβλέπεται η κατάργηση φωτοαντιγράφου Δελτίου Αστυνομικής Ταυτότητας στο Δημόσιο Τομέα, και
3. Το επικαιροποιημένο σχέδιο του προβλεπόμενου στο άρθρο 107 παρ. 6 του ν. 4727/2020 Προεδρικού Διατάγματος (εφεξής ΠΔ), που αφορά τον Προσωπικό Αριθμό μετά από την ενσωμάτωση των σχολίων που έγιναν από το ΣτΕ. Με το έγγραφο αυτό το Υπουργείο Ψηφιακής Διακυβέρνησης δηλώνει επίσης ότι δεσμεύεται για την υλοποίηση εφαρμογής, η οποία θα περιλαμβάνει αρχείο καταγραφής της χρήσης του Προσωπικού Αριθμού από φορείς της Δημόσιας Διοίκησης και η οποία θα είναι προσβάσιμη από τα ενδιαφερόμενα φυσικά πρόσωπα. Το σχέδιο της διάταξης, για την οποία ζητείται η γνώμη της Αρχής, περιλαμβάνεται στο Παράρτημα της παρούσας Γνωμοδότησης. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και αφού άκουσε τον εισηγητή και τους βοηθούς εισηγητή, οι οποίοι παρέστησαν χωρίς δικαίωμα ψήφου, μετά από διεξοδική συζήτηση ΕΚΔΙΔΕΙ ΤΗΝ ΑΚΟΛΟΥΘΗ ΓΝΩΜΟΔΟΤΗΣΗ
4. Η Αρχή, με τη Γνωμοδότηση 1/2024 (Γνωμοδότηση επί του προβλεπόμενου στο άρθρο 107 παρ. 6 του ν. 4727/2020 Προεδρικού Διατάγματος που αφορά τον Προσωπικό Αριθμό) είχε επισημάνει ότι έως το στάδιο έκδοσης της γνωμοδότησης αυτής δεν υφίστατο πρόβλεψη σχετικά με δημόσιο έγγραφο στο οποίο θα αναγράφεται ο Προσωπικός Αριθμός (εφεξής ΠΑ) (όπως δελτίο αστυνομικής ταυτότητας ή άλλο) και επομένως η αξιολόγηση ως επαρκούς του επιπέδου προστασίας της χρήσης του ΠΑ ως δεδομένου προσωπικού χαρακτήρα 2 στο πλαίσιο της παραπάνω αναφερόμενης επεξεργασίας (τήρηση της αρχής της ελαχιστοποίησης), είχε διενεργηθεί με την παραδοχή ότι δεν αναγράφεται σε κάποιο δημόσιο έγγραφο. Πλέον, με την εισαγωγή της προτεινόμενης διάταξης, ο ΠΑ αναγράφεται υποχρεωτικά στο Δελτίο Ταυτότητας των Ελλήνων πολιτών (εφεξής ΔΤ) και αποθηκεύεται στο ενσωματωμένο ηλεκτρονικό μέσο αποθήκευσης του ΔΤ, με σκοπό την παροχή Υπηρεσιών Ηλεκτρονικής Διακυβέρνησης και την διευκόλυνση των πολιτών σε συναλλαγές τους με το Δημόσιο. Συνεπώς, προκύπτουν τα εξής ζητήματα: α) η αναγραφή του ΠΑ σε ένα δημόσιο έγγραφο δημιουργεί νέους κινδύνους για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, καθώς το ΔΤ είναι μεν στη διάθεση του εκάστοτε κατόχου του, υποκειμένου των δεδομένων το οποίο έχει την ευθύνη για την ασφαλή τήρησή του, ωστόσο παγίως χρησιμοποιείται για σκοπούς αναγνώρισης, όχι μόνο από φορείς του δημοσίου αλλά και από ιδιώτες, ενώ σε αρκετές περιπτώσεις, προβλέπεται η τήρηση αντιγράφου του ΔΤ από φορείς. Συνεπώς, προκύπτει ο κίνδυνος να λαμβάνουν γνώση του ΠΑ, καθώς και να τηρούν αντίγραφα του ΔΤ στα οποία περιέχεται ο ΠΑ τρίτοι, με αποτέλεσμα να είναι δυνατό να χρησιμοποιηθεί σε βάρος του υποκειμένου των δεδομένων (π.χ. ως στοιχείο ενέργειας υποκλοπής ταυτότητας), ενώ κίνδυνοι ανακύπτουν και από πιθανή παράνομη χρήση του ΠΑ σε περίπτωση απώλειας ή κλοπής του ΔΤ. Επισημαίνεται εξάλλου ότι, από τον τρόπο δημιουργίας του, τυχόν αποκάλυψη του ΠΑ ενός προσώπου σε τρίτους συνεπάγεται αυτομάτως και αποκάλυψη και του ΑΦΜ αυτού. β) ο ΠΑ καταγράφεται και τηρείται επίσης από την Ελληνική Αστυνομία, στο πλαίσιο της διαδικασίας έκδοσης ταυτότητας.
5. Ο σκοπός της αναγραφής του ΠΑ στο ΔΤ, σύμφωνα με το σχέδιο διάταξης είναι «η παροχή Υπηρεσιών Ηλεκτρονικής Διακυβέρνησης και η διευκόλυνση των πολιτών σε συναλλαγές τους με το Δημόσιο». Η Αρχή κρίνει ότι η βελτίωση της εξυπηρέτησης των πολιτών από τη Δημόσια Διοίκηση αποτελεί κατ’ αρχήν νόμιμο και θεμιτό σκοπό, προς την εξυπηρέτηση του οποίου μπορεί να θεωρηθεί κατάλληλη η συμπερίληψή του ΠΑ στο ΔΤ, καθώς αποτελεί το κατ’ εξοχήν χρησιμοποιούμενο έγγραφο του πολίτη στις δημόσιες συναλλαγές (και ιδίως κατά τη διαδικασία επαλήθευσης της ταυτότητας με φυσική παρουσία, που 3 μπορεί να προϋποθέτει έλεγχο εγκυρότητας του ΠΑ από υπάλληλο του δημοσίου φορέα, ακριβώς πριν ξεκινήσει η ηλεκτρονική ταυτοποίηση). Συναφώς η Αρχή παρατηρεί ότι ο σκοπός είναι καλύτερο να αναδιατυπωθεί σε «…με σκοπό την παροχή Υπηρεσιών Ηλεκτρονικής Διακυβέρνησης και τη διευκόλυνση των συναλλαγών του Δημοσίου με τους πολίτες», προκειμένου να αντανακλάται ακριβέστερα ο προσδοκώμενος σκοπός της εν λόγω διάταξης.
6. Καθώς προκύπτουν νέοι κίνδυνοι για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων, κρίσιμο είναι να εξεταστεί αν προβλέπονται ήδη μέτρα περιορισμού των κινδύνων αυτών. Με το αίτημά του το Υπουργείο Ψηφιακής Διακυβέρνησης προσκομίζει μέτρα αντιμετώπισης των κινδύνων αυτών. Συγκεκριμένα, ήδη έχει νομοθετηθεί η κατάργηση τήρησης αντιγράφου ταυτότητας για το Δημόσιο (άρθρο. 31 του ν. 5099/2024) ενώ προσκομίζεται σχέδιο διάταξης με το οποίο προβλέπεται ότι, όταν εκ του νόμου απαιτείται η τήρηση φωτοαντιγράφου ΔΤ για συναλλαγές φυσικών προσώπων με φορείς του ιδιωτικού τομέα θα λαμβάνεται ηλεκτρονικά αντίγραφο του ΔΤ που δεν θα περιέχει τον ΠΑ. Επισημαίνεται ότι με τη διάταξη αυτή πρέπει να καθίσταται σαφές ότι αντίγραφο του ΔΤ θα τηρείται αποκλειστικά με ψηφιακά μέσα, απαγορευομένης της τήρησης φωτοαντιγράφου. Με τον τρόπο αυτό περιορίζεται ο κίνδυνος γνώσης του ΠΑ από τρίτους κατά τη λήψη από αυτούς αντιγράφου ΔΤ. Ως επιπλέον μέτρο το Υπουργείο Ψηφιακής Διακυβέρνησης αναφέρει την υλοποίηση εφαρμογής η οποία θα τηρεί αρχείο καταγραφής της χρήσης του ΠΑ από φορείς της Δημόσιας Διοίκησης. Το μέτρο αυτό, πέραν από μέτρο ασφάλειας, είναι επίσης μέτρο που διασφαλίζει συμμόρφωση με τις αρχές προστασίας δεδομένων του άρθρου 5 του ΓΚΠΔ, καθώς ενισχύει τη διαφάνεια της επεξεργασίας και άρα τον έλεγχο από το υποκείμενο των δεδομένων του. Η Αρχή υπογραμμίζει ωστόσο, ότι παρά τα μέτρα αυτά, παραμένει κίνδυνος αποκάλυψης του ΠΑ, ιδίως σε συναλλαγές μεταξύ ιδιωτών. Συνεπώς η σχετική νομοθέτηση πρέπει να συνδυαστεί με κατάλληλες συντονισμένες και εντατικές δράσεις ενημέρωσης και ευαισθητοποίησης, ώστε να καταστεί γνωστό στους πολίτες και στους φορείς ότι δεν πρέπει να τηρείται αντίγραφο του φυσικού ΔΤ. Επιπλέον, και λόγω της παραδοχής ότι παραμένουν κίνδυνοι από την αναγραφή του ΠΑ στα ΔΤ, η Αρχή επισημαίνει, ότι κατόπιν ικανού χρονικού διαστήματος κατά τη 4 διάρκεια του οποίου η χρήση του ΠΑ θα έχει γενικευθεί και αποκρυσταλλωθεί τόσο στη συνείδηση του πολίτη όσο και στις συναλλαγές του με φορείς του δημόσιου όσο και του ιδιωτικού τομέα, καθώς και θα έχει επιτευχθεί – δεδομένου ότι δεν είναι άμεσα εφικτό – ο εφοδιασμός του συνόλου των φορέων του δημοσίου με τον αναγκαίο ηλεκτρονικό εξοπλισμό που θα επιτρέπει την ανάγνωση του ηλεκτρονικού μέσου αποθήκευσης των ΔΤ, δεν θα είναι πλέον απαραίτητη η αναγραφή του ΠΑ στα ΔΤ και συνεπώς συστήνεται η επαναξιολόγηση της διάταξης περί υποχρεωτικής αναγραφής του ΠΑ στο ΔΤ.
7. Η Ελληνική Αστυνομία λαμβάνει και επεξεργάζεται τον ΠΑ στο πλαίσιο της διαδικασίας έκδοσης ταυτοτήτων και αποτελεί ως προς αυτή τη δραστηριότητα ανεξάρτητο υπεύθυνο επεξεργασίας. Ο ΠΑ αναγράφεται επί της αίτησης και τηρείται στο ειδικό αρχείο ταυτοτήτων της Ελληνικής Αστυνομίας, με τα ήδη προβλεπόμενα στο σχετικό θεσμικό πλαίσιο μέτρα ασφάλειας.
8. Η Αρχή υπενθυμίζει ότι σύμφωνα με το άρθρο 3 παρ. 10 του Κανονισμού (ΕΕ) 2019/1157 [για την ενίσχυση της ασφάλειας των δελτίων ταυτότητας των πολιτών της Ένωσης και των εγγράφων διαμονής που εκδίδονται για πολίτες της Ένωσης και τα μέλη των οικογενειών τους που ασκούν το δικαίωμα ελεύθερης κυκλοφορίας], εφόσον ένα Κράτος Μέλος αποθηκεύει στα δελτία ταυτότητας δεδομένα για ηλεκτρονικές υπηρεσίες όπως η ηλεκτρονική διακυβέρνηση, τότε τα εν λόγω εθνικά δεδομένα πρέπει να είναι φυσικά ή λογικά διαχωρισμένα από τα βιομετρικά δεδομένα που αναφέρονται στην παράγραφο 5 του Κανονισμού και τα οποία αποθηκεύονται στο εν λόγω ηλεκτρονικό μέσο αποθήκευσης. Επομένως, πρέπει να διασφαλιστεί ότι η προβλεπόμενη αποθήκευση του ΠΑ θα είναι σαφώς διακριτή από την αποθήκευση των τηρούμενων στο Δελτίο Ταυτότητας βιομετρικών δεδομένων, λαμβάνοντας υπόψη μάλιστα, ότι σύμφωνα με την παρ. 4 του άρθρου 3 της ΥΑ 820//2018 (ΥΑ 8200/0-297647 ΦΕΚ Β 1476 2018: Έκδοση νέου τύπου Δελτίου Ταυτότητας Ελλήνων πολιτών) όπως τροποποιήθηκε και ισχύει, στο ηλεκτρονικό μέσο αποθήκευσης εμπεριέχονται πλέον των βιομετρικών δεδομένων, τα στοιχεία της μηχανικώς αναγνώσιμης ζώνης καθώς και άλλα στοιχεία που περιλαμβάνονται στο νέο τύπου δελτίου ταυτότητας, τα οποία ομοίως πρέπει να είναι λογικά και φυσικά διαχωρισμένα. 5
9. Η Αρχή επισημαίνει περαιτέρω ότι οι προβλεπόμενες από το άρθρο 35 του ΓΚΠΔ εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων, τόσο για την επεξεργασία του ΠΑ από το ΥΨΔ, όσο και από την Ελληνική Αστυνομία πρέπει να επικαιροποιηθούν, εν όψει της νέας διάταξης, ώστε να προσδιοριστούν τυχόν νέα, πρόσθετα μέτρα. Κατά τα λοιπά, η Αρχή υπενθυμίζει ότι συνεχίζουν να ισχύουν τα διαλαμβανόμενα στη Γνωμοδότηση 1/2024 για τον Προσωπικό Αριθμό και στην Απόφαση 32/2024 για το νέο τύπο δελτίων ταυτότητας των Ελλήνων πολιτών.
10. Εν όψει των ανωτέρω η Αρχή κρίνει ότι η προτεινόμενη διάταξη, εφόσον συνοδεύεται από μέτρα μετριασμού των κινδύνων όπως αναφέρονται παραπάνω, δεν προσκρούει στις διατάξεις για την προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Γεωργία Παλαιολόγου 6 ΠΑΡΑΡΤΗΜΑ
11. Ο Προσωπικός Αριθμός του άρθρου 11 του ν. 4727/2020 (Α΄ 184), αναγράφεται υποχρεωτικά στο Δελτίο Ταυτότητας Ελλήνων πολιτών, όπως αυτό ορίζεται στο Ν.Δ. 127/1969 (Α’ 26) και στην Κοινή Υπουργική Απόφαση 8200/0-297647/2018 (Β’ 1476) και αποθηκεύεται στο ενσωματωμένο ηλεκτρονικό μέσο αποθήκευσης του δελτίου ταυτότητας, με σκοπό την παροχή Υπηρεσιών Ηλεκτρονικής Διακυβέρνησης και την διευκόλυνση των πολιτών σε συναλλαγές τους με το Δημόσιο.
12. Κατά παρέκκλιση των παρ. 6 και 7 του άρθρου 11 του Ν. 4727/2020 και για τις ανάγκες εκτύπωσης του Προσωπικού Αριθμού στα δελτία ταυτότητας και αποθήκευσης στο ενσωματωμένο ηλεκτρονικό μέσο αποθήκευσης, αυτός αντλείται κατά τη διαδικασία έκδοσης, μέσω διαλειτουργικότητας, από το Μητρώο Προσωπικού Αριθμού (Μητρώο Π.Α.) της Γενικής Γραμματείας Πληροφοριακών Συστημάτων και Ψηφιακής Διακυβέρνηση (Γ.Γ.Π.Σ.Ψ.Δ.) του Υπουργείου Ψηφιακής Διακυβέρνησης. Ο Π.Α. αναγράφεται επί της σχετικής αίτησης και τηρείται στο ειδικό αρχείο ταυτοτήτων της Ελληνικής Αστυνομίας του άρθρου 3 του Ν.Δ 127/
14. Δελτία ταυτότητας που εκδόθηκαν μέχρι τη δημοσίευση του παρόντος, δυνάμει της υπ’ αριθ. 8200/0-297647/2018 (Β’ 1476) κ.υ.α. και δεν περιλαμβάνουν τον Π.Α., ισχύουν μέχρι την αντικατάστασή τους ή μέχρι την ημερομηνία λήξης τους. Η υποχρέωση της πρώτης παραγράφου δεν εφαρμόζεται στις περιπτώσεις μη επιτυχούς ολοκλήρωσης της διαδικασίας έκδοσης Π.Α. 7