Αθήνα, 16062014 Αριθ. Πρωτ.: Γ/ΕΞ/3761/16062014 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ Ε ΟΜΕΝΝ ΠΡΟΣΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Γ Ν Μ Ο Ο Τ Η Σ Η 3/2014 Η Αρχή Προστασίας εδο/ένων Προσωπικού Χαρακτήρα, συνήλθε /ετά από πρόσκληση του Προέδρου της σε συνεδρίαση την 4η Ιουνίου 2014 στο κατάστη/ά της, αποτελού/ενη από τους Π. Χριστόφορο, Πρόεδρο, Λ. Κοτσαλή, . Μπριόλα, Α. Συ/βώνη, ως εισηγητή, Κ. Χριστοδούλου και Π. Τσαντίλα τακτικά /έλη, και το αναπληρω/ατικό /έλος Γ. Λαζαράκο, σε αντικατάσταση του τακτικού /έλους Α. Ι. Μεταξά, ο οποίος εάν και εκλήθη νο/ί/ως και εγγράφως δεν προσήλθε. Στη συνεδρίαση, χωρίς δικαίω/α ψήφου, παρέστησαν οι Ε. Μαραγκού, ειδική επιστή/ωννο/ικός και Κ. Λι/νιώτης, ειδικός επιστή/ωνπληροφορικός, ως βοηθοί εισηγητές και η Γ. Παλαιολόγου, υπάλληλος του τ/ή/ατος διοικητικών και οικονο/ικών υποθέσεων, ως γρα//ατέας, /ετά από εντολή του Προέδρου. Η Αρχή έλαβε υπόψη τα παρακάτω: Ο Γενικός Γρα//ατέας Πληθυσ/ού και Κοινωνικής Συνοχής /ε το /ε αριθ/. πρωτ. 35735 και από 27112012 (αριθ/. πρωτ. Αρχής: Γ/ΕΙΣ/7666/28112012) έγγραφό του ζήτησε τη συνδρο/ή της Αρχής /ε την παροχή σχετικής γνώ/ης, εν όψει της έκδοσης απόφασης ιαφάνειας και Ανθρωπίνων των Υπουργών Εσωτερικών, ικαιοσύνης, ικαιω/άτων και Προστασίας του Πολίτη, η οποία προβλέπεται στην παρ. 8 του άρθ. 1 του ν. 4018/2011, αναφορικά /ε τη διαδικασία λήψης, τήρησης και καταστροφής των βιο/ετρικών δεδο/ένων που θα ενσω/ατώνονται στις άδειες δια/ονής υπηκόων τρίτων χωρών υπό τη /ορφή αυτοτελούς εγγράφου. Ακολούθως, σχέδιο της εν λόγω απόφασης διαβιβάστηκε στην Αρχή από τον Γενικό Γρα//ατέα /ε το /ε αριθ/. πρωτ. 5819/14 και από 19 032014 (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/1813/19032014) έγγραφό του, προκει/ένου η Αρχή να παράσχει τη σχετική γνώ/η επ’ αυτής. Οι άδειες δια/ονής ενιαίου τύπου πολιτών τρίτων χωρών εκδίδονται /ε τη /ορφή αυτοτελούς εγγράφου, σύ/φωνα /ε τα οριζό/ενα στην παρ. 1 του άρθ. 1 του Κανονισ/ού (ΕΚ) 1030/2002, όπως τροποποιήθηκε /ε την περίπτωση α’ της παρ. 1 του άρθ. 1 του Κανονισ/ού (ΕΚ) 380/
- Σύ/φωνα /ε τις διατάξεις του Κανονισ/ού (ΕΚ) 380/2008, ο τίτλος της δια/ονής θα έχει τη /ορφή ηλεκτρονικής κάρτας και ως αυτοτελές έγγραφο θα περιλα/βάνει δύο βιο/ετρικά δεδο/ένα (/ία ψηφιακή φωτογραφία προσώπου και δύο ψηφιακά δακτυλικά αποτυπώ/ατα). Ειδικότερα θέ/ατα εφαρ/ογής του Κανονισ/ού (ΕΚ) 1030/2002 ρυθ/ίζονται στο ν. 4018/
- Σύ/φωνα /ε την παρ. 2 του άρθ. 1 του εν λόγω νό/ου, το φυσικό σώ/α των εκδιδό/ενων αδειών παρα/ονής φέρει /έσο ηλεκτρονικής αποθήκευσης που ε/περιέχει βιο/ετρικά δεδο/ένα, ήτοι /ία πρόσφατη, έγχρω/η, ψηφιακή φωτογραφία και δακτυλικά αποτυπώ/ατα των δύο δεικτών, κατ’ εφαρ/ογή των διατάξεων του άρθρου 4Α του Κανονισ/ού (ΕΚ) 1030/2002, όπως προστέθηκε /ε την παρ. 5 του άρθ. 1 του Κανονισ/ού (ΕΚ) 380/
- Στο ίδιο άρθρο προσδιορίζονται οι αρ/όδιες υπηρεσίες για την παραλαβή της ψηφιακής φωτογραφίας, τη λήψη των δακτυλικών αποτυπω/άτων και τον έλεγχο της ανταπόκρισης των εν λόγω βιο/ετρικών δεδο/ένων στις οριζό/ενες από τον ως άνω Κανονισ/ό προδιαγραφές. Περαιτέρω, στην παρ. 4 του ιδίου άρθρου επιση/αίνεται ότι η υπηρεσία λήψης των βιο/ετρικών δεδο/ένων λα/βάνει και κρυπτογραφεί τα δακτυλικά αποτυπώ/ατα του δείκτη από τα δύο χέρια του αιτούντος, σύ/φωνα /ε τις εθνικές τεχνικές προδιαγραφές που ισχύουν για τα διαβατήρια, όπως αυτές καθορίζονται από την εκάστοτε ισχύουσα υπουργική απόφαση, που εκδίδεται Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 2 δυνά/ει της παρ. 3 του άρθ. 1 του ν. 3103/
- Όσον αφορά στην πρόσβαση και διαχείριση των εν λόγω βιο/ετρικών δεδο/ένων, σύ/φωνα /ε την παρ. 8 του άρθ. 1 του ν. 4018/2011 «… (αυτά) χρησι/οποιούνται αποκλειστικά για την εξυπηρέτηση των σκοπών του Κανονισ/ού (ΕΚ) 1030/2002 όπως ισχύει, ήτοι για τον έλεγχο της γνησιότητας του εγγράφου και της ταυτοπροσωπίας του κατόχου /ε το πρόσωπο, στο όνο/α του οποίου έχει εκδοθεί ο τίτλος, και διατηρούνται κρυπτογραφη/ένα, για όσο χρόνο ισχύει ο σχετικός τίτλος δια/ονής στην κεντρική βάση του Υπουργείου Εσωτερικών, ενώ αντίγραφο των δεδο/ένων που αφορούν τους εκτυπωθέντες τίτλους δια/ονής τηρείται υπό τους ίδιους όρους από το φορέα στον οποίο έχει ανατεθεί η εκτύπωση. Η πρόσβαση στα εν λόγω δεδο/ένα επιτρέπεται σύ/φωνα /ε τα οριζό/ενα στο ν. 2472/
- Η υποβολή της αίτησης για τη χορήγηση ή την ανανέωση άδειας δια/ονής τεκ/αίρει α/αχήτως τη συναίνεση του αιτούντος για τη διατήρηση και την επεξεργασία των βιο/ετρικών του δεδο/ένων για την εκπλήρωση του ανωτέρω δη/όσιου σκοπού, /η δυνα/ένης να ανακληθεί κατά το χρονικό διάστη/α ισχύος της άδειας ή /έχρι του χρόνου της καταστροφής τους (…)». Στην ίδια παράγραφο, αναφέρεται ότι η διαδικασία λήψης, τήρησης και καταστροφής των βιο/ετρικών δεδο/ένων, καθώς επίσης και κάθε άλλη λεπτο/έρεια για την εφαρ/ογή του παρόντος καθορίζονται /ε απόφαση των Υπουργών Εσωτερικών, ικαιοσύνης, ιαφάνειας και Ανθρωπίνων ικαιω/άτων και Προστασίας του Πολίτη, που εκδίδεται ύστερα από γνώ/η της Αρχής Προστασίας εδο/ένων Προσωπικού Χαρακτήρα. Κατά τη συνεδρίαση της 4ης Ιουνίου 2014 παρέστησαν και παρείχαν διευκρινήσεις επί του σχεδίου της κοινής υπουργικής απόφασης οι Α, ιευθυντής Μεταναστατευτικής Πολιτικής της Γενικής Γρα//ατείας Πληθυσ/ού και Κοινωνικής Συνοχής και Β από τη ιεύθυνση Μηχανογράφησης και Ηλεκτρονικής Επεξεργασίας Στοιχείων του Υπουργείου Εσωτερικών. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 3 Η Αρχή, αφού άκουσε τους εισηγητές και τους βοηθούς εισηγητές, οι οποίοι /ετά τη διατύπωση των απόψεών τους αποχώρησαν, και κατόπιν διεξοδικής συζήτησης, εκδίδει την ακόλουθη ΓΝΜΟΟΤΗΣΗ
- Η Αρχή έχει αρ/οδιότητα να γνω/οδοτήσει επί της διαδικασίας λήψης, τήρησης και καταστροφής των βιο/ετρικών δεδο/ένων που θα ενσω/ατώνονται στις άδειες δια/ονής υπηκόων τρίτων χωρών, σύ/φωνα /ε την προαναφερθείσα διάταξη του άρθ. 1 παρ. 8 του ν. 4018/2011, η οποία προβλέπει τη γνω/οδότηση της Αρχής πριν την έκδοση της σχετικής κοινής υπουργικής αποφάσεως.
- Η επεξεργασία προσωπικών δεδο/ένων φυσικών προσώπων από δη/όσιες αρχές λειτουργεί και αναπτύσσει τις συνέπειές της στο πλαίσιο του κράτους δικαίου και της αρχής της νο/ι/ότητας. Επιπλέον, στο βαθ/ό που η προβλεπό/ενη επεξεργασία συνιστά περιορισ/ό του ατο/ικού δικαιώ/ατος του πληροφοριακού αυτοκαθορισ/ού, θα πρέπει να ορίζεται γενικώς και αντικει/ενικώς /ε τυπικό νό/ο ή κατόπιν ειδικής νο/οθετικής εξουσιοδότησης /ε διάταγ/α, να δικαιολογείται από αποχρώντες λόγους δη/οσίου συ/φέροντος, να τελεί σε πρόδηλη λογική συνάφεια /ε τον επιδιωκό/ενο σκοπό, να είναι πρόσφορη, κατάλληλη και αναγκαία για την επίτευξη του σκοπού αυτού, να /ην θίγει τον πυρήνα του δικαιώ/ατος και να /ην απονέ/ει στη ιοίκηση ευρεία διακριτική ευχέρεια. Κατά συνέπεια είναι απαραίτητο η σκοπού/ενη επεξεργασία να προβλέπεται σε νο/οθετική διάταξη, η οποία θα αναφέρει τα βασικά χαρακτηριστικά της επεξεργασίας, δηλαδή τον υπεύθυνο επεξεργασίας, το σκοπό αυτής, τα δεδο/ένα τα οποία θα τύχουν επεξεργασίας και το χρόνο τήρησης αυτών καθώς και τους αποδέκτες των δεδο/ένων. Με ειδική δε νο/οθετική εξουσιοδότηση επιτρέπεται να ανατεθεί στον κανονιστικό νο/οθέτη η ρύθ/ιση ειδικότερων, τεχνικών ή Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 4 λεπτο/ερειακών θε/άτων, όπως εν προκει/ένω οι διαδικασίες λήψης δεδο/ένων, τα εν γένει οργανωτικά και τεχνικά /έτρα για την ασφάλεια της επεξεργασίας των δεδο/ένων, καθώς και κάθε άλλη αναγκαία λεπτο/έρεια. Στη συγκεκρι/ένη περίπτωση, οι διατάξεις των άρθρων 14 και, ιδίως οι παρ. 111 του άρθ. 1 του ν. 4018/2011 περιέχουν ειδική νο/οθετική πρόβλεψη για τη σκοπού/ενη επεξεργασία, περιγράφοντας όλα τα βασικά χαρακτηριστικά αυτής, όπως προβλέπονται σε διατάξεις του Κανονισ/ού (ΕΚ) 1030/2002, τις οποίες άλλωστε και εφαρ/όζει ο ως άνω αναφερό/ενος νό/ος. Με βάση τις ως άνω διατάξεις, υπεύθυνος για την εν λόγω επεξεργασία, κατά την έννοια του άρθ. 2 στοιχ. ζ’ του ν. 2472/1997, είναι το Υπουργείο Εσωτερικών ( ιεύθυνση Μηχανοργάνωσης και Ηλεκτρονικής Επεξεργασίας Στοιχείων). Περαιτέρω, ο ως άνω νό/ος παρέχει και νό/ι/η ειδική εξουσιοδότηση για την έκδοση κανονιστικής κοινής υπουργικής απόφασης (παρ. 8 του άρθ. 1) που ρυθ/ίζει ειδικότερα θέ/ατα, ήτοι τις ουσιαστικές και τεχνικές λεπτο/έρειες της επεξεργασίας. ς εκ τούτου, κατ’ ορθή ερ/ηνεία της άνω εξουσιοδοτικής διάταξης της παραγράφου 8 του άρθρου 1 του ν. 4018/2011, η Κ.Υ.Α. πρέπει να περιγράφει τη διαδικασία λήψης των βιο/ετρικών δεδο/ένων (φωτογραφία και δακτυλικά αποτυπώ/ατα), να αναγράφει το χρόνο τηρήσεως των δεδο/ένων, τη διαδικασία καταστροφής αυτών, τα δικαιώ/ατα των υποκει/ένων των δεδο/ένων, καθώς επίσης και να προβλέπει τα οργανωτικά και τεχνικά /έτρα για την ασφάλεια της επεξεργασίας.
- Για τα ανωτέρω περιγραφό/ενα χαρακτηριστικά της επεξεργασίας, είναι απαραίτητο να ληφθεί υπόψη ότι η εισαγωγή και η επεξεργασία βιο/ετρικών στοιχείων σε έγγραφα ταυτότητας πρέπει να συνοδεύονται από ισχυρές διασφαλίσεις/εχέγγυα, δεδο/ένου ότι ελλοχεύουν κίνδυνοι που πρέπει να αντι/ετωπιστούν (βλ. επίσης και την από 28122006 Γνώ/η του Ευρωπαίου Επόπτη Προστασίας Προσωπικών εδο/ένων σχετικά /ε την τροποποίηση του Κανονισ/ού (EΚ) 1030/2002 για την καθιέρωση αδειών δια/ονής ενιαίου τύπου για τους υπηκόους τρίτων χωρών).
- Με βάση τα ανωτέρω, διατυπώνονται ακολούθως οι εξής παρατηρήσεις επί Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 5 του σχεδίου Κ.Υ.Α: 4α. Αναφορικά /ε τη διαδικασία λήψης των βιο/ετρικών δεδο/ένων, στο άρθρο 1 παρ. 1 της Κ.Υ.Α. επιση/αίνεται ότι αυτή θα πραγ/ατοποιείται από ειδικά εξουσιοδοτη/ένους υπαλλήλους των ση/είων υποδοχής (όπως αυτά έχουν οριστεί σύ/φωνα /ε την παρ. 1 του άρθ. 2 του ν. 4018/2011), στους οποίους θα προσκο/ίζεται, από τον ενδιαφερό/ενο υπήκοο τρίτης χώρας, η φωτογραφία τόσο σε ψηφιακή /ορφή /έσω οπτικού δίσκου αποθήκευσης (CD) όσο και σε αναλογικό φωτογραφικό χαρτί, σύ/φωνα /ε τις διατάξεις της παρ. 3 του άρθ. 1 του ν. 4018/
- Οι υπάλληλοι αυτοί θα λα/βάνουν και τα δακτυλικά αποτυπώ/ατα, ενώ επίσης θα εκτελούν τον αρχικό ποιοτικό έλεγχό τους, αναφορικά /ε τη συ/βατότητά τους /ε τις προδιαγραφές που απαιτούνται από τον Κανονισ/ό (ΕΚ) 1030/2002 όπως ισχύει και σύ/φωνα /ε τις διατάξεις της παρ. 4 άρθ. 1 του ν. 4018/
- Εφόσον τα βιο/ετρικά δεδο/ένα που λα/βάνονται είναι σύ/φωνα /ε τις ανωτέρω προδιαγραφές, διαβιβάζονται κρυπτογραφη/ένα και /έσω ασφαλών ηλεκτρονικών υπηρεσιών στο Υπουργείο Εσωτερικών, χωρίς να τηρείται σχετικό ηλεκτρονικό αρχείο στην οικεία υπηρεσία υποδοχής (άρθ. 1 παρ. 2 της Κ.Υ.Α.). Για την άσκηση των ανωτέρω καθηκόντων, το Υπουργείο Εσωτερικών /ερι/νά για την κατάλληλη εκπαίδευση των εξουσιοδοτη/ένων υπαλλήλων (άρθ. 1 παρ. 5 της Κ.Υ.Α). Περαιτέρω, στο άρθ. 2 παρ. 2 της Κ.Υ.Α αναφέρεται ότι η ιεύθυνση Μηχανοργάνωσης και Ηλεκτρονικής Επεξεργασίας Στοιχείων του Υπουργείου Εσωτερικών είναι η υπεύθυνη αρχή για την τήρηση, ενδεχό/ενη επεξεργασία και αποστολή βιο/ετρικών δεδο/ένων στον εκτυπωτικό φορέα, καθώς και για κάθε άλλη ενέργεια που σχετίζεται /ε τη διασφάλιση της ποιότητας και την ασφαλή /εταφορά των δεδο/ένων. εδο/ένου ότι η ως άνω ιεύθυνση ορίζεται ως η υπεύθυνη αρχή για την τήρηση και περαιτέρω επεξεργασία των βιο/ετρικών δεδο/ένων, αυτό θα πρέπει να αποτυπώνεται ενιαία στο σύνολο των διατάξεων της Κ.Υ.Α. και να /ην χρησι/οποιείται εναλλακτικά ο όρος Υπουργείο Εσωτερικών (βλ. για παράδειγ/α Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 6 παρ. 2 του άρθ. 1 της Κ.Υ.Α. το οποίο χρήζει επαναδιατύπωσης). Με βάση την ως άνω συνολικά περιγραφείσα διαδικασία, προκύπτει ότι επεξεργασία βιο/ετρικών δεδο/ένων θα λα/βάνει χώρα α) στα ση/εία υποδοχής, β) στη ιεύθυνση Μηχανοργάνωσης και Ηλεκτρονικής Επεξεργασίας Στοιχείων του Υπουργείου Εσωτερικών, και γ) στον εκτυπωτικό φορέα. Ση/ειώνεται ωστόσο, ότι –πέραν των δακτυλικών αποτυπω/άτων, για τα οποία υπάρχει ρητή πρόβλεψη στο άρθ. 1 παρ. 2 της Κ.Υ.Α. περί /η τήρησής τους άπαξ και διαβιβαστούν στο Υπουργείο Εσωτερικών– δεν αποσαφηνίζεται αν θα τηρείται άλλο αρχείο /ε δεδο/ένα στην οικεία υπηρεσία υποδοχής. Ειδικότερα, δεν αποσαφηνίζεται αν θα τηρείται ο οπτικός δίσκος αποθήκευσης που περιέχει την ψηφιακή φωτογραφία, καθώς επίσης και αν θα τηρούνται οι εκτυπω/ένες φωτογραφίες (ενδεχο/ένως σε συνδυασ/ό /ε τα λοιπό φυσικό αρχείο προσωπικών δεδο/ένων που αφορά στις αιτήσεις των υποκει/ένων των δεδο/ένων). Τονίζεται ότι, εφόσον η τήρηση του αρχείου αυτού δεν είναι απαραίτητη για την επίτευξη του επιδιωκό/ενου σκοπού (κάτι το οποίο φαίνεται να ισχύει, εφόσον πραγ/ατοποιηθεί ορθή διαβίβασή του στο Υπουργείο Εσωτερικών), τότε δεν θα πρέπει να τηρείται, σύ/φωνα και /ε το άρθρο 4 παρ. 1 στοιχ. δ’ του ν. 2472/1997 και συνεπώς, η παρ. 1 α του αρθ. 1 της Κ.Υ.Α. χρήζει αναδιατύπωσης προκει/ένου να καταστεί σαφές το ανωτέρω. Ζητή/ατα επίσης εγείρονται και αναφορικά /ε τα δεδο/ένα που τηρούνται στον εκτυπωτικό φορέα. Επιση/αίνεται ότι η περαιτέρω τήρηση των βιο/ετρικών δεδο/ένων /ετά την εκτύπωση των τίτλων δια/ονής εγκυ/ονεί πρόσθετους κινδύνους ως προς την προστασία των δεδο/ένων αυτών. εδο/ένου ότι η τήρηση των δεδο/ένων αυτών στον εκτυπωτικό φορέα αποσκοπεί στην εκ των υστέρων επαλήθευση/επιβεβαίωση της ορθής «αποτύπωσής» τους στους εκδιδό/ενους τίτλους δια/ονής, θα πρέπει να προβλεφθεί η εφαρ/ογή ηπιότερων /έσων που θα διασφαλίζουν τον προαναφερθέντα σκοπό (για παράδειγ/α, τήρηση του «ψηφιακού αποτυπώ/ατος» (hash) των ηλεκτρονικών αρχείων αντί των αυτούσιων αρχείων), ιδίως στη περίπτωση που ο εκτυπωτικός φορέας είναι Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 7 ιδιώτης. Σε αυτή τη περίπτωση δε, σκόπι/ο είναι να ορισθεί διαφορετική ρύθ/ιση και ως προς τον χρόνο τήρησης των δεδο/ένων, που θα πρέπει να είναι σαφώς περιορισ/ένος. 4β. Στο άρθρο 3 της Κ.Υ.Α. ρυθ/ίζεται το ζήτη/α της καταστροφής των βιο/ετρικών δεδο/ένων. Όπως αναφέρεται στο άρθρο αυτό, τα δεδο/ένα καταστρέφονται /ετά τη λήξη ισχύος του τίτλου δια/ονής για την έκδοση του οποίου ελήφθησαν ή την απόρριψη σχετικής αίτησης για την έκδοση του τίτλου αυτού, εντός ευλόγου χρονικού διαστή/ατος και πάντως όχι πέραν του εξα/ήνου, /έσω ασφαλών διαδικασιών ψηφιακής καταστροφής. Για τα καταστρεφό/ενα αρχεία συντάσσεται, ανά τρί/ηνο, αναλυτική έκθεση του προϊστα/ένου της αρ/όδιας για τη φύλαξη των δεδο/ένων ιεύθυνσης (στην οποία αναγράφονται προσωπικά στοιχεία του υπηκόου τρίτης χώρας στον οποίο αντιστοιχούν τα καταστραφέντα δεδο/ένα, οι η/ερο/ηνίες λήψης και καταστροφής τους), η οποία κοινοποιείται στους Υπουργούς Εσωτερικών, ικαιοσύνης, ιαφάνειας και Ανθρωπίνων ικαιω/άτων και η/όσιας Τάξης και Προστασίας του Πολίτη (άρθ. 3 παρ. 2 της Κ.Υ.Α.). Αντίστοιχα ρυθ/ίζεται και το ζήτη/α την καταστροφής των δεδο/ένων που τηρούνται στους εκτυπωτικούς φορείς, είτε αυτοί είναι δη/όσιοι φορείς είτε όχι (άρθ. 3 παρ. 3 της Κ.Υ.Α). Η χρονική διάρκεια της επεξεργασίας αποτελεί βασική αρχή του δικαίου της προστασίας των προσωπικών δεδο/ένων (βλ. άρθρα 4 του ν. 2472/1997 και 6 της Οδηγίας 95/46/ΕΚ). Στην προτεινό/ενη Κ.Υ.Α. λα/βάνεται πράγ/ατι υπόψη η ανάγκη καταστροφής των δεδο/ένων όταν παρέλθει ο αναγκαίος χρόνος τήρησής τους. Ο δε χρόνος τήρησης ρυθ/ίζεται ενιαία για όλες τις περιπτώσεις και χωρίς να προβλέπεται διαφοροποίηση που να βασίζεται στην ύπαρξη ενδεχό/ενων ειδικότερων αναγκών. Στο πλαίσιο αυτό, σκόπι/ο είναι η διάταξη του αρ. 3 παρ. 1 της Κ.Υ.Α. να επαναδιατυπωθεί, έτσι ώστε να αποσαφηνίζεται ότι ο χρόνος τήρησης των δεδο/ένων ρυθ/ίζεται ενιαία για όλες τις περιπτώσεις που /πορούν να ανακύψουν ως προς την ισχύ του τίτλου δια/ονής (όπως ανάκληση ή απόρριψη αυτού). Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 8 Σε κάθε περίπτωση, επιση/αίνεται ότι για την καταστροφή αρχείου προσωπικών δεδο/ένων οποιασδήποτε /ορφής, θα πρέπει να διασφαλίζεται ότι τηρούνται τα όσα αναφέρονται στην Οδηγία 1/2005 της Αρχής, ώστε να /ην είναι δυνατή η ανάκτησή τους /ε οποιαδήποτε /έσα. Τέλος, δεδο/ένου ότι στην παρ. 2 του άρθ. 2 της προτεινό/ενης Κ.Υ.Α. επιση/αίνεται ότι η ιεύθυνση Μηχανοργάνωσης και Ηλεκτρονικής Επεξεργασίας Στοιχείων του Υπουργείου Εσωτερικών είναι η υπεύθυνη αρχή για την τήρηση, ενδεχό/ενη επεξεργασία και αποστολή των βιο/ετρικών δεδο/ένων στον εκτυπωτικό φορέα, θα πρέπει στην ανωτέρω διατύπωση του άρθ. 3 παρ. 2 να ορίζεται σαφώς ότι ο προϊστά/ενος της εν ιεύθυνσης Μηχανοργάνωσης και Ηλεκτρονικής Επεξεργασίας Στοιχείων του Υπουργείου Εσωτερικών θα είναι εκείνος ο οποίος θα συντάσσει τις τρι/ηνιαίες εκθέσεις καταστροφής. 4γ. Στην παρ. 4 του άρθ. 1 της Κ.Υ.Α. αναφέρεται ότι «για λόγους διασφάλισης των διαδικασιών και της ποιότητας των δεδο/ένων, στους εξουσιοδοτη/ένους για την παραλαβή των βιο/ετρικών δεδο/ένων υπαλλήλους παρέχεται ειδική πρόσβαση στη βάση δεδο/ένων του Υπουργείου Εσωτερικών, η οποία περιορίζεται στην παραλαβή/λήψη των δεδο/ένων, καθώς και στην ηλεκτρονική διαβίβασή τους στην αρ/όδια υπηρεσία του Υπουργείου Εσωτερικών ( ιεύθυνση Μηχανοργάνωσης και Ηλεκτρονικής Επεξεργασίας Στοιχείων)». Από τη συγκεκρι/ένη διάταξη φαίνεται ότι οι εξουσιοδοτη/ένοι χρήστες στα ση/εία υποδοχής θα /πορούσαν να έχουν προσπέλαση στη βάση δεδο/ένων του Υπουργείου όχι /όνο στο πλαίσιο αποστολής από πλευράς τους των δεδο/ένων (όπως περιγράφεται ανωτέρω), αλλά και για να λα/βάνουν δεδο/ένα από αυτή. Μία τέτοια πρόσβαση ό/ως δεν φαίνεται να είναι απαραίτητη εν όψει του σκοπού της επεξεργασίας. ς εκ τούτου, η εν λόγω διάταξη χρήζει τροποποίησης ώστε να αποσαφηνιστεί ότι δεν θα επιτρέπονται προσβάσεις στη βάση δεδο/ένων από τους υπαλλήλους των ση/είων υποδοχής, πέραν της προαναφερθείσας διαβίβασης των δεδο/ένων. 4δ. Σύ/φωνα /ε το άρθρο 10 του ν. 2472/1997, ο υπεύθυνος επεξεργασίας Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 9 οφείλει να λα/βάνει τα κατάλληλα οργανωτικά και τεχνικά /έτρα για την ασφάλεια των δεδο/ένων και την προστασία τους από τυχαία ή αθέ/ιτη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευ/ένη διάδοση ή πρόσβαση και κάθε άλλη /ορφή αθέ/ιτης επεξεργασίας. Αυτά τα /έτρα πρέπει να εξασφαλίζουν επίπεδο ασφαλείας ανάλογο προς τους κινδύνους που συνεπάγεται η επεξεργασία και η φύση των δεδο/ένων που είναι αντικεί/ενο της επεξεργασίας. Όπως αναφέρθηκε και παραπάνω (ση/είο 2), η ρύθ/ιση ειδικότερων, τεχνικών ή λεπτο/ερειακών θε/άτων, όπως τα εν γένει οργανωτικά και τεχνικά /έτρα για την ασφάλεια της επεξεργασίας των δεδο/ένων, επιτρέπεται να ανατεθεί /ε νο/οθετική εξουσιοδότηση στον κανονιστικό νο/οθέτη, υπό την έννοια ότι στην κανονιστική απόφαση θα τίθενται οι στόχοι της ασφάλειας της επεξεργασίας. Η ασφάλεια των δεδο/ένων εξειδικεύεται /ε /έτρα που ικανοποιούν τρεις βασικούς στόχους, ήτοι την ε/πιστευτικότητα, ακεραιότητα και διαθεσι/ότητα των δεδο/ένων. Στο άρθ. 4 της προτεινό/ενης Κ.Υ.Α. επιση/αίνεται ρητώς η υποχρέωση, από την πλευρά του Υπουργείου Εσωτερικών, λήψης αναγκαίων /έτρων ώστε να διασφαλίζονται συγκεκρι/ένοι στόχοι –οι οποίοι ρητώς κατονο/άζονται στα ση/εία α’θ’ της παρ. 1 του άρθρου– στο πλαίσιο διασφάλισης της ε/πιστευτικότητας, ακεραιότητας και διαθεσι/ότητας των δεδο/ένων. Οι συγκεκρι/ένοι στόχοι κρίνεται ότι είναι στη σωστή κατεύθυνση για το εν λόγω σύστη/α
- ς ειδικότερες παρατηρήσεις ωστόσο, επιση/αίνονται τα εξής: i) Στα ση/εία δ΄ και ε΄ της παρ. 1 άρθρου 4 γίνεται αναφορά στην υποχρέωση λήψης /έτρων ώστε να αποτρέπεται η «(…) άνευ αδείας καταγραφή των δεδο/ένων και η άνευ αδείας επιθεώρηση, τροποποίηση ή απαλοιφή αποθηκευ/ένων δεδο/ένων προσωπικού χαρακτήρα (έλεγχος αποθήκευσης)», καθώς και η «(…) άνευ αδείας επεξεργασία δεδο/ένων, καθώς και οποιαδήποτε 1 Ση/ειώνεται εξάλλου ότι οι εν λόγω στόχοι έχουν τεθεί και για την επεξεργασία βιο/ετρικών δεδο/ένων στο πλαίσιο του συστή/ατος Eurodac (βλ. Κανονισ/ό (ΕΕ) 603/2013), το οποίο περιέχει /ία /εγάλη βάση βιο/ετρικών δεδο/ένων. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 10 άνευ αδείας τροποποίηση ή διαγραφή δεδο/ένων που έχουν υποστεί επεξεργασία στο κεντρικό σύστη/α (έλεγχος καταγραφής δεδο/ένων)». Οι παραπάνω δύο προτάσεις θα /πορούσαν να ενοποιηθούν κατάλληλα, ώστε να καλύπτεται η απαίτηση για αποτροπή της οποιασδήποτε /η εξουσιοδοτη/ένης επεξεργασίας σε οποιοδήποτε στάδιο. Επίσης, στο ση/είο δ’, κρίνεται σκόπι/ο να αλλάξει η λέξη «επιθεώρηση» σε «ανάγνωση» (η οποία άλλωστε συναντάται περισσότερο στο δίκαιο περί προστασίας των προσωπικών δεδο/ένων), καθώς επίσης και η επεξήγηση «έλεγχος αποθήκευσης» σε «έλεγχος αποθηκευ/ένων δεδο/ένων». ii) Στο ση/είο θ’ της παρ. 1 του άρθρου 4 γίνεται αναφορά στην υποχρέωση λήψης /έτρων ώστε να ε/ποδίζεται «(…) η άνευ αδείας ανάγνωση, αντιγραφή, τροποποίηση ή απαλοιφή δεδο/ένων προσωπικού χαρακτήρα κατά τη διαβίβαση δεδο/ένων προσωπικού χαρακτήρα προς ή από το κεντρικό σύστη/α, ή κατά τη /εταφορά /έσων εγγραφής δεδο/ένων, κυρίως /ε κατάλληλες τεχνικές κρυπτογράφησης (έλεγχος /εταφοράς)». Ση/ειώνεται ότι, προκει/ένου να διασφαλίζεται η ε/πιστευτικότητα κατά τη διαβίβαση δεδο/ένων /έσω κρυπτογράφησης, θα πρέπει απαραίτητα οι εφαρ/οζό/ενοι κρυπτογραφικοί αλγόριθ/οι να βασίζονται σε διεθνώς αποδεκτά πρότυπα κρυπτογράφησης, /ε κατάλληλη διαχείριση των κρυπτογραφικών κλειδιών έτσι ώστε να /ην είναι εφικτή η διαρροή τους σε /η εξουσιοδοτη/ένα πρόσωπα. iii) Στην Κ.Υ.Α. θα πρέπει να υπάρχει πρόβλεψη σχετικά /ε τη διαδικασία ανάθεσης δικαιω/άτων πρόσβασης στους εξουσιοδοτη/ένους χρήστες. Η διαδικασία αυτή θα πρέπει να είναι καταγεγρα//ένη στην πολιτική ασφαλείας του υπευθύνου επεξεργασίας και θα πρέπει να περιλα/βάνει, κατ’ ελάχιστο, την έγγραφη ανάθεση δικαιω/άτων πρόσβασης σε συγκεκρι/ένους εξουσιοδοτη/ένους χρήστες, στη βάση της αρχής της αναγκαιότητας (“needto know” principle). 4ε. Αναφορικά /ε τα δικαιώ/ατα των υποκει/ένων των δεδο/ένων, η Κ.Υ.Α. δέον είναι, να ενσω/ατώσει την αντίστοιχη διάταξη της παρ. 8 του άρθρ. 1 του ν. 4018/2011, που προβλέπει ότι τα παραπάνω δικαιώ/ατα ασκούνται σύ/φωνα Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 11 /ε τα οριζό/ενα στον ν. 2472/
- Τέλος, σύ/φωνα και /ε τα όσα αναφέρονται στο άρθ. 4 του Κανονισ/ού (EΚ) 1030/2002, καθώς και στο τρίτο εδάφιο της παρ. 1 του άρθρ. 1 του ν. 4018/2011, επιση/αίνεται ιδιαίτερα ότι, εφόσον οι άδειες δια/ονής περιέχουν και προσωπικά στοιχεία για ηλεκτρονικές υπηρεσίες προς εθνική χρήση, αυτά θα πρέπει να αναφέρονται χωριστά από τα βιο/ετρικά δεδο/ένα και να είναι ευκρινώς διακριτά. Στη περίπτωση που αποφασιστεί η εφαρ/ογή και χρήση αυτού του χωριστού ολοκληρω/ένου κυκλώ/ατος επαφής για εθνική χρήση, θα πρέπει να γνωστοποιηθεί στην Αρχή, η οποία έχει την αρ/οδιότητα να γνω/οδοτήσει επί της επεξεργασίας των εν λόγω δεδο/ένων βάσει του άρθρου 19 παρ. 1 στοιχ. θ΄ του ν. 2472/1997, το οποίο ορίζει ότι «
- Η Αρχή έχει τις εξής ιδίως αρ/οδιότητες : ... θ) Γνω/οδοτεί για κάθε ρύθ/ιση που αφορά την επεξεργασία και προστασία δεδο/ένων προσωπικού χαρακτήρα …». Από τη διάταξη αυτή, ερ/ηνευο/ένη υπό το πρίσ/α του άρθρου 28 της Οδηγίας 95/46/ΕΚ, προκύπτει ότι η γνω/οδοτική αρ/οδιότητα της Αρχής πρέπει να ασκείται εγκαίρως κατά το στάδιο καταρτίσεως νο/οθετικών ή κανονιστικών ρυθ/ίσεων, διοικητικών /έτρων καθώς και κατά το σχεδιασ/ό επι/έρους επεξεργασιών (βλ. και Γν/ Αρχής 2/2010, σκ. 1). Ο Πρόεδρος Η Γρα//ατέας Π. Χριστόφορος Γ. Παλαιολόγου Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 12