Αθήνα, 03-12-2024 Αριθ. Πρωτ.: 3396 ΓΝΩΜΟΔΟΤΗΣΗ 4 / 2024 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της σε συνεδρίαση μέσω τηλεδιασκέψεως την Τρίτη 15/10/2024 και ώρα 10:00 π.μ. προκειμένου να εξετάσει το αίτημα προηγούμενης διαβούλευσης για τη λειτουργία συστήματος επιτήρησης (σταθερών και περιστρεφόμενων εικονοληπτών) αναφορικά με τις ανάγκες της Γενικής Αστυνομικής Διεύθυνσης Αττικής. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής, Κωνσταντίνος Λαμπρινουδάκης, Χρήστος Καλλονιάτης ως εισηγητής και Γρηγόριος Τσόλιας, ως εισηγητής, καθώς και τα αναπληρωματικά μέλη Χρήστος Παπαθεοδώρου, Νικόλαος Λίβος και Νικόλαος Φαλδαμής σε αντικατάσταση των τακτικών μελών Σπυρίδωνα Βλαχόπουλου, Χαράλαμπου Ανθόπουλου και Αικατερίνης Ηλιάδου, οι οποίοι, αν και εκλήθησαν νομίμως, δεν παρέστησαν λόγω κωλύματος. Παρόντες, χωρίς δικαίωμα ψήφου, ήταν οι Κωνσταντίνος Λιμνιώτης, Ιωάννης Λυκοτραφίτης, Ελένη Μαραγκού, και Γεώργιος Ρουσόπουλος, ειδικοί επιστήμονες, ως βοηθοί εισηγητών και η Ευαγγελία Ζερβού, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Δεν παρέστη η Αναστασία Τριτάκη, ειδική επιστήμονας, βοηθός εισηγητών, λόγω κωλύματος. Η Αρχή έλαβε υπόψη της τα παρακάτω: Η Ελληνική Αστυνομία υπέβαλε στην Αρχή το υπ’ αριθμ. πρωτ. … και από … έγγραφο (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/258/12-01-2024), με το οποίο ενημέρωσε ότι πραγματοποιήθηκαν προπαρασκευαστικές ενέργειες προκειμένου να προμηθευτεί, 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr για τις ανάγκες της Γενικής Αστυνομικής Διεύθυνσης Αττικής (εφεξής, Γ.Α.Δ.Α.), σύστημα επιτήρησης αποτελούμενο από σταθερούς και περιστρεφόμενους εικονολήπτες, οι οποίοι λαμβάνουν και ήχο, για το σκοπό της πρόληψης και καταστολής της εγκληματικότητας και για τη διαχείριση της κυκλοφορίας και των συνεπειών τροχαίων ατυχημάτων – δυστυχημάτων. Στο πλαίσιο των ως άνω ενεργειών, καταρτίστηκε έκθεση αναγκαιότητας στην οποία περιγράφονται οι λόγοι που τεκμηριώνουν την ανάγκη εγκατάστασης και χρήσης ενός τέτοιου συστήματος, ενώ πριν τη προμήθεια αυτού διενεργήθηκε και εκτίμηση αντικτύπου για τα προσωπικά δεδομένα, η οποία τέθηκε και υπόψη του Υπευθύνου Προστασίας Δεδομένων της Ελληνικής Αστυνομίας. Με το ως άνω έγγραφο συνυποβλήθηκαν στην Αρχή τόσο οι δύο ανωτέρω μελέτες (ήτοι η έκθεση αναγκαιότητας και η εκτίμηση αντικτύπου), όσο και το σχέδιο του τεύχους των τεχνικών προδιαγραφών του συστήματος αλλά και εσωτερική αλληλογραφία που αφορά σε σχόλια επί των τεχνικών προδιαγραφών. Βάσει αυτών, η Ελληνική Αστυνομία ζήτησε με το εν λόγω έγγραφο τη διατύπωση των απόψεων της Αρχής, ιδίως αναφορικά με το ζήτημα αν η σκοπούμενη επεξεργασία είναι σύμφωνη με τα οριζόμενα στο Π.Δ. 75/2020 και την σχετική υπ’ αριθμ. 3/2020 Γνωμοδότηση της Αρχής, με το ν. 4624/2019 και το άρθρο 4 παρ. 2 του ν. 4961/
- H Αρχή, σε απάντηση του ως άνω εγγράφου, απέστειλε στην Ελληνική Αστυνομία το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/400/25-01-2024 έγγραφο, με το οποίο, μεταξύ άλλων, ζήτησε διευκρινίσεις στα εξής: α) επί ποιας νομικής βάσης ζητείται διαβούλευση με την Αρχή (ήτοι σύμφωνα με το άρθρο 36 του ΓΚΠΔ ή σύμφωνα με το άρθρο 67 παρ. 1 του ν. 4624/2019) και β) να εξειδικευθούν οι αναφορές σε «σύγχρονες τεχνολογίες διερεύνησης», «videoanalytics» ή «εργαλείων τεχνητής νοημοσύνης» που μνημονεύονται στην έκθεση αναγκαιότητας, περιγράφοντας τη διάταξη στην οποία εδράζεται η εν λόγω δραστηριότητα. Ακολούθως, η Ελληνική Αστυνομία απάντησε στην Αρχή με το υπ’ αριθμ. πρωτ. 7512/3/1/2-α και από 29/01/2024 έγγραφο (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/724/30-01-2024), στο οποίο αναφέρει συνοπτικά τα εξής: α) Με βάση τη μελέτη εκτίμησης αντικτύπου για τα προσωπικά δεδομένα (εφεξής και ΕΑΠΔ) που διενεργήθηκε, δεν προκύπτει υψηλός κίνδυνος για δικαιώματα και τις ελευθερίες των φυσικών προσώπων, λόγω μέτρων που έχουν 2 ληφθεί για την αντιμετώπιση των κινδύνων. Η διαβούλευση αποφασίστηκε διότι ο πρόσθετος εξοπλισμός (video analytics – ενδεχόμενη χρήση τεχνητής νοημοσύνης – λογισμικό αυτόματης αναγνώρισης πινακίδων) που προέβλεπε το τεύχος τεχνικών προδιαγραφών (επί του οποίου είχε κάνει παρατηρήσεις και το Ε.Σ.Κ.Ε.ΔΙ.Κ./Α.Ε.Α. ως αρμόδια Υπηρεσία της Ελληνικής Αστυνομίας για να ενεργεί σε θέματα που απορρέουν από τον ορισμό της Ελληνικής Αστυνομίας ως υπευθύνου επεξεργασίας σύμφωνα με το Π.Δ. 75/2020) αποτελεί χρήση που εμπίπτει στην παράγραφο β’ του άρθρου 67 του ν. 4624/
- Περαιτέρω, η διαβούλευση ζητείται την παρούσα χρονική στιγμή λόγω υψηλού κόστους του εν λόγω συστήματος και οποιοδήποτε «σχεδιαστικό» λάθος κατά την προμήθεια θα αποβεί σε βάρος της ορθής εν γένει λειτουργίας του. β) Οι αναφορές σε «σύγχρονες τεχνολογίες διερεύνησης» ή «εργαλεία τεχνητής νοημοσύνης» δεν έχουν αποτυπωθεί στο τεύχος τεχνικών προδιαγραφών. Ο όρος «video analytics» αναφέρεται σε τεχνολογία που επεξεργάζεται ψηφιακό σήμα βίντεο για την εκτέλεση μίας λειτουργίας που σχετίζεται με την ασφάλεια. Η επεξεργασία γίνεται επί το πλείστον με σταθερό αλγόριθμο που έχει σχεδιαστεί για να αναζητά συγκεκριμένη συμπεριφορά. Για παράδειγμα, συνήθεις συμπεριφορές που αναζητούν οι αναλύσεις σταθερού αλγορίθμου περιλαμβάνουν, όπως αναφέρεται και στις τεχνικές προδιαγραφές, μεταξύ άλλων τα εξής: α) ανίχνευση κίνησης σε προκαθορισμένη περιοχή, β) ανίχνευση όταν κινούμενο αντικείμενο περάσει από μία εικονική γραμμή, γ) ανίχνευση αντικειμένου που έχει προγραμματίσει ο χρήστης το οποίο εμφανίζεται σε συγκεκριμένη περιοχή ή όταν σταματά και παραμένει ακίνητο σε αυτή για συγκεκριμένα χρονικά διαστήματα, δ) διάκριση ανθρώπου από ζώο, κατηγοριοποίηση αντικειμένων (αυτοκίνητο, μηχανή, ποδήλατο κ.α.), ε) θόλωμα εικόνας (privacy mask) για περιορισμό εύρους θέασης κ.α. Περαιτέρω, το λογισμικό αυτόματης αναγνώρισης πινακίδων είναι τεχνολογία που χρησιμοποιεί οπτική αναγνώριση χαρακτήρων σε πινακίδες αυτοκινήτων για την ανάγνωση του αριθμού κυκλοφορίας αυτού. Το υπό προμήθεια λογισμικό θα διασυνδεθεί με βάσεις δεδομένων και θα δύναται να κάνει αναζητήσεις παράγοντας ειδοποιήσεις τουλάχιστον στις εξής περιπτώσεις: i) αν προκαθορισμένη πινακίδα εντοπιστεί από οποιονδήποτε εικονολήπτη, ii) αν η πινακίδα ανήκει σε προκαθορισμένη ομάδα (π.χ. καταζητούμενες πινακίδες), iii) αν κατόπιν αναζήτησης σε συγκεκριμένη ομάδα 3 προκύπτει ασυμβατότητα (π.χ. στο χρώμα ή στη μάρκα του οχήματος). Όσον αφορά τα συστήματα τεχνητής νοημοσύνης, χρησιμοποιούν αλγορίθμους βαθιάς μάθησης (deep learning) οι οποίοι εκπαιδεύονται με δεδομένα μεγάλου όγκου (ροή κάμερας για κάποια χρονική περίοδο, όπου το σύστημα μαθαίνει τι είναι φυσιολογικό για την εικόνα της κάμερας αυτής για τις διάφορες μέρες και ώρες), με στόχο να δημιουργηθεί αυτόνομο πρόγραμμα ικανό να αναγνωρίζει ύποπτες συμπεριφορές/δραστηριότητες. Επιπλέον, μπορεί να ενσωματώνονται με άλλα συστήματα ασφαλείας, όπως συστήματα ελέγχου πρόσβασης ή συναγερμού (π.χ. αν μία κάμερα ανιχνεύσει ύποπτο άτομο, τότε να ενεργοποιείται συναγερμός). Στις τεχνικές προδιαγραφές δεν περιγράφεται κανένα λογισμικό τεχνητής νοημοσύνης. Σε συνέχεια των ανωτέρω, η Αρχή, με το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/666/28-022024 έγγραφό της, ενημέρωσε την Ελληνική Αστυνομία, ως υπεύθυνο επεξεργασίας κατά την έννοια του άρθρου 44 παρ. 1 στοιχ. ζ’ του ν. 4624/2019, ότι, καθώς η εν λόγω επεξεργασία είναι ιδιαίτερα περίπλοκη, παρατείνει την προθεσμία των έξι
(6)εβδομάδων για την παροχή εγγράφων συστάσεων κατά ένα μήνα με βάση το άρθρο 67 παρ. 5 του ν. 4624/2019. Στη συνέχεια, αφού πραγματοποιήθηκε συνάντηση σε επίπεδο εμπειρογνωμόνων, η Ελληνική Αστυνομία με το υπ’ αριθμ. πρωτ. … και από … έγγραφό της (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/2374/13-03-2023) ζήτησε την προσωρινή παύση της διαδικασίας διαβούλευσης, έως ότου διαβιβάσει στην Αρχή επικαιροποιημένη μελέτη εκτίμησης αντικτύπου. Η επικαιροποιημένη μελέτη εκτίμησης αντικτύπου1 υποβλήθηκε στην Αρχή με το υπ’ αριθμ. πρωτ. … και από … (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/5409/21-06-2024) μαζί με σειρά ερωτημάτων προς την Αρχή, τα οποία δεν σχετίζονται άμεσα με την ΕΑΠΔ. Στο πλαίσιο εξέτασής της, η Αρχή, με το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/2079/02-08-2024 έγγραφό της, ενημέρωσε την Ελληνική Αστυνομία ότι, καθώς η εν λόγω επεξεργασία είναι ιδιαίτερα περίπλοκη, παρατείνει την προθεσμία των έξι
(6)εβδομάδων για την παροχή εγγράφων συστάσεων κατά ένα μήνα με βάση το άρθρο 67 παρ. 5 του ν. 4624/
- Με το ίδιο έγγραφο η Αρχή ζήτησε την αποστολή όλων των σχετικών εγγράφων (συμπεριλαμβανομένης της μελέτης εκτίμησης αντικτύπου) σε ηλεκτρονική και επεξεργάσιμη μορφή, ενώ επίσης ζήτησε να προσκομιστεί η «πολιτική ασφαλείας συστημάτων επιτήρησης σε 1 Με εσωτερικό αρ. πρωτ. … (έκδοση …) 4 δημόσιους χώρους» η οποία μνημονεύεται στην εκτίμηση αντικτύπου. Όλα τα ζητούμενα έγγραφα υποβλήθηκαν ακολούθως από την Ελληνική Αστυνομία με το υπ’ αριθμ. πρωτ. … και από … έγγραφο (αρ. πρωτ. Αρχής: Γ/ΕΙΣ/6445/06-08-2024). Ειδικότερα, υποβλήθηκαν τα εξής έγγραφα: 1) Το υπ' αριθμ. … από … έγγραφο Ε.Σ.Κ.Ε.ΔΙ.Κ./Α.Ε.Α. 2) Η υπ΄αριθμ. … από 3/4/2023… υποβληθείσα Έκθεση Αναγκαιότητας της Γ.Α.Δ.Α. 3) Το υπ' αριθμό … από … έγγραφο (Ε.Σ.Κ.Ε.ΔΙ.Κ.) μετά της συνημμένης σε αυτό Μελέτης Εκτίμησης Αντικτύπου Γ.Α.Δ.Α. 4) Το υπ' αριθμό … από ... έγγραφο (Δ.Α.Δ.Α.) μετά του συνημμένου σε αυτό τεύχους τεχνικών προδιαγραφών για τις κάμερες της Γ.Α.Δ.Α. 5) Το υπ' αριθμό … από … έγγραφο (Ε.Σ.Κ.Ε.ΔΙ.Κ.), παρατηρήσεις του Ε.Σ.Κ.Ε.ΔΙ.Κ. επί των Τεχνικών Προδιαγραφών 6) Το υπ' αριθμό … από … έγγραφο (Δ.Ο.Ν.Υ.) 7) Το υπ' αριθμό … από … έγγραφο (ΓΔΟΥΕΣ) 8) Το υπ' αριθμό … από … έγγραφο (Δ.Α.Δ.Α.) 9) Το υπ' αριθμό … από … έγγραφο (Ε.Σ.Κ.Ε.ΔΙ.Κ.) 10) Το υπ' αριθμό … από … έγγραφο (ΓΔΟΥΕΣ) 11) Το υπ' αριθμό … από … έγγραφο (Προϊσταμένου Επιτελείου Α.Ε.Α.) 12) Το υπ' αριθμό … από … έγγραφο (Ε.Σ.Κ.Ε.ΔΙ.Κ.) 13) Το υπ' αριθμό … από … έγγραφο (Διεύθυνσης Αστυνομίας Αθηνών). 14) Το υπ' αριθμό … από … έγγραφο (Ε.Σ.Κ.Ε.ΔΙ.Κ.) 15) Το υπ' αριθμό … από … έγγραφο (Ε.Σ.Κ.Ε.ΔΙ.Κ.) 16) Το υπ' αριθμό … σχέδιο μελέτης εκτίμησης αντικτύπου μετά του πρακτικού της ομάδας εργασίας (Ε.Σ.Κ.Ε.ΔΙ.Κ.) 5 17) Το υπ' αριθμό … από … έγγραφο (Διεύθυνσης Άμεσης Δράσης Αττικής) 18) Το από … έγγραφο – ενημερωτικό σημείωμα (Υπευθύνου Προστασίας Δεδομένων Ελληνικής Αστυνομίας) Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και αφού άκουσε τους εισηγητές και τους/τις βοηθούς εισηγητών, οι οποίοι/ες παρέστησαν χωρίς δικαίωμα ψήφου, μετά από διεξοδική συζήτηση ΕΚΔΙΔΕΙ ΤΗΝ ΑΚΟΛΟΥΘΗ ΓΝΩΜΟΔΟΤΗΣΗ Α) Θεσμικό πλαίσιο
- Σύμφωνα με τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (EE) 2016/679 (εφεξής, ΓΚΠΔ) και του άρθρου 9 του ν. 4624/2019 (ΦΕΚ Α΄ 137), η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
- Σύμφωνα με το άρθρο 35 παρ. 1 του ΓΚΠΔ, όταν ένα είδος επεξεργασίας, ιδίως με χρήση νέων τεχνολογιών και συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας διενεργεί, πριν από την επεξεργασία, εκτίμηση των επιπτώσεων των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία δεδομένων προσωπικού χαρακτήρα. Μία εκτίμηση αντικτύπου πρέπει να περιέχει κατ’ ελάχιστο τα στοιχεία εκείνα που περιγράφονται στην παρ. 7 του ιδίου άρθρου.
- Περαιτέρω, σύμφωνα με την παρ. 4 του ιδίου άρθρου, η αρμόδια εποπτική αρχή καταρτίζει και δημοσιοποιεί κατάλογο με τα είδη των πράξεων επεξεργασίας που υπόκεινται στην απαίτηση για διενέργεια εκτίμησης αντικτύπου σχετικά με την προστασία των δεδομένων δυνάμει της παραγράφου
- Η Αρχή, δυνάμει της εν λόγω διάταξης, έχει εκδώσει τον κατάλογο με τα είδη των πράξεων επεξεργασίας 6 που υπόκεινται στην απαίτηση για διενέργεια εκτίμησης αντικτύπου σχετικά με την προστασία δεδομένων σύμφωνα με το άρθρο 35 παρ. 4 του ΓΚΠΔ (Απόφαση 65/2018 της Αρχής, ΦΕΚ Β΄ 1622/10-5-2019). Στον εν λόγω κατάλογο αναφέρεται ότι είναι υποχρεωτική η εκπόνηση εκτίμησης αντικτύπου, μεταξύ άλλων, όταν πρόκειται για συστηματική και σε μεγάλη κλίμακα επεξεργασία για την παρακολούθηση, την παρατήρηση ή τον έλεγχο των φυσικών προσώπων με χρήση δεδομένων που συλλέγονται μέσω συστημάτων βιντεοεπιτήρησης ή μέσω δικτύων ή με οποιοδήποτε άλλο μέσο σε δημόσιο χώρο, δημοσίως προσβάσιμο χώρο ή ιδιωτικό χώρο προσιτό σε απεριόριστο αριθμό προσώπων. Η εν λόγω περίπτωση περιλαμβάνει την παρακολούθηση των κινήσεων ή της τοποθεσίας/γεωγραφικής θέσης σε πραγματικό ή μη χρόνο ταυτοποιημένων ή ταυτοποιήσιμων φυσικών προσώπων.
- Εξάλλου, σύμφωνα με το άρθρο 36 παρ. 1 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας ζητεί τη γνώμη της εποπτικής αρχής πριν από την επεξεργασία, όταν η δυνάμει του άρθρου 35 εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων υποδεικνύει ότι η επεξεργασία θα προκαλούσε υψηλό κίνδυνο ελλείψει μέτρων μετριασμού του κινδύνου από τον υπεύθυνο επεξεργασίας. Τα στοιχεία τα οποία πρέπει να παρέχει ο υπεύθυνος επεξεργασίας προς την Αρχή κατά την εν λόγω διαβούλευση προσδιορίζονται στην παρ. 3 του ιδίου άρθρου. Επίσης, σύμφωνα με την παρ. 2 του ιδίου άρθρου, όταν η εποπτική αρχή φρονεί ότι η σχεδιαζόμενη επεξεργασία παραβαίνει τον ΓΚΠΔ, ιδίως εάν ο υπεύθυνος επεξεργασίας δεν έχει προσδιορίσει ή μετριάσει επαρκώς τον κίνδυνο, η εποπτική αρχή παρέχει γραπτώς συμβουλές στον υπεύθυνο επεξεργασίας εντός προθεσμίας μέχρι οκτώ εβδομάδων από την παραλαβή του αιτήματος διαβούλευσης, ενώ η εν λόγω προθεσμία μπορεί να παραταθεί κατά έξι εβδομάδες, λόγω της πολυπλοκότητας που χαρακτηρίζει τη σχεδιαζόμενη επεξεργασία.
- Για την επεξεργασία δεδομένων προσωπικού χαρακτήρα από δημόσιες αρχές που είναι αρμόδιες για την πρόληψη, διερεύνηση, ανίχνευση ή δίωξη ποινικών αδικημάτων ή την εκτέλεση ποινικών κυρώσεων, περιλαμβανομένων της προστασίας από απειλές κατά της δημόσιας ασφάλειας και της αποτροπής τους, εφαρμόζονται, σύμφωνα με το άρθρο 43 του ν. 4624/2019, οι διατάξεις του κεφαλαίου Δ του εν λόγω νόμου το οποίο ενσωματώνει στην εθνική νομοθεσία 7 την Οδηγία (ΕΕ) 2016/
- Στις ως άνω περιπτώσεις οι δημόσιες αρχές θεωρούνται πάντοτε ως υπεύθυνοι επεξεργασίας (βλ. άρθρο 44 περ. ζ’ και άρθρο 45 Α παρ. 2 του ν. 4624/2019, όπως τροποποιήθηκαν με το ν. 5002/2022). Όπου στο Κεφάλαιο αυτό περιλαμβάνονται διατάξεις για τους εκτελούντες την επεξεργασία, οι διατάξεις του εφαρμόζονται και σε αυτούς όπως άλλωστε ορίζεται στο άρθρο 60 του ν. 4624/2019 .
- Σύμφωνα με το άρθρο 65 παρ. 1 του ν. 4624/2019 (άρθρο 27 της Οδηγίας 2016/680), εάν μια μορφή επεξεργασίας, ιδίως όταν χρησιμοποιούνται νέες τεχνολογίες, ενδέχεται να δημιουργήσει σημαντικό κίνδυνο για τα προστατευόμενα έννομα συμφέροντα των ενδιαφερομένων λόγω της φύσης, του πεδίου εφαρμογής, των συνθηκών και των σκοπών της επεξεργασίας, ο υπεύθυνος επεξεργασίας αξιολογεί πρώτα τις συνέπειες της εκτέλεσης της επεξεργασίας για τα υποκείμενα των δεδομένων. Περαιτέρω, στην παρ. 3 του ιδίου άρθρου αναφέρεται ότι η εκτίμηση αντικτύπου λαμβάνει υπόψη τα δικαιώματα του υποκειμένου που επηρεάζονται από την επεξεργασία και πρέπει να περιέχει τουλάχιστον τα ακόλουθα: «α) συστηματική περιγραφή των προβλεπόμενων πράξεων και σκοπών της επεξεργασίας, β) εκτίμηση της αναγκαιότητας και αναλογικότητας των πράξεων επεξεργασίας σε συνάρτηση με τους επιδιωκόμενους σκοπούς, γ) εκτίμηση των κινδύνων για τα προστατευόμενα έννομα συμφέροντα του υποκειμένου των δεδομένων και δ) τα μέτρα που πρέπει να ληφθούν για την αντιμετώπιση των υφιστάμενων κινδύνων, συμπεριλαμβανομένων των εγγυήσεων, των διασφαλίσεων και των διαδικασιών για την εξασφάλιση της προστασίας των δεδομένων προσωπικού χαρακτήρα και για την απόδειξη της συμμόρφωσης με τις νομικές απαιτήσεις».
- Συναφώς, στο άρθρο 67 παρ. 1 του ν. 4624/2019 (άρθρο 28 της Οδηγίας 2016/680), ορίζεται ότι ο υπεύθυνος επεξεργασίας διαβουλεύεται με την Αρχή πριν από την επεξεργασία δεδομένων προσωπικού χαρακτήρα, τα οποία θα περιληφθούν σε νέο σύστημα αρχειοθέτησης που πρόκειται να δημιουργηθεί, εφόσον: α) προκύπτει από την εκτίμηση του άρθρου 65 ότι η επεξεργασία θα προκαλέσει σημαντικό κίνδυνο στα προστατευόμενα έννομα συμφέροντα του υποκειμένου των δεδομένων εάν ο υπεύθυνος επεξεργασίας δεν λάβει μέτρα για τον μετριασμό του ή β) ο τύπος επεξεργασίας, ιδίως λόγω της χρήσης νέων 8 τεχνολογιών, μηχανισμών ή διαδικασιών, ενέχει σημαντικό κίνδυνο για τα προστατευόμενα έννομα συμφέροντα του υποκειμένου των δεδομένων. Περαιτέρω, στην παρ. 4 του ιδίου άρθρου προσδιορίζονται τα στοιχεία τα οποία οφείλει να υποβάλει στην Αρχή ο υπεύθυνος επεξεργασίας στο πλαίσιο της προηγούμενης διαβούλευσης, τα οποία συνίστανται στα εξής: «α) η εκτίμηση αντικτύπου για την προστασία των δεδομένων που διενεργείται σύμφωνα με το άρθρο 65, β) κατά περίπτωση, πληροφορίες σχετικά με τις αρμοδιότητες του υπεύθυνου επεξεργασίας, των από κοινού υπεύθυνων επεξεργασίας και των εμπλεκομένων εκτελούντων την επεξεργασία, γ) πληροφορίες σχετικά με τους σκοπούς και τα μέσα της σχεδιαζόμενης επεξεργασίας, δ) πληροφορίες σχετικά με τα μέτρα και τις διασφαλίσεις που αποσκοπούν στην προστασία των έννομων συμφερόντων των υποκειμένων των δεδομένων· και ε) το όνομα και τα στοιχεία επικοινωνίας του ΥΠΔ». Εξάλλου, κατόπιν αιτήματος, η Αρχή λαμβάνει κάθε άλλη πληροφορία που απαιτείται για να εκτιμήσει τη νομιμότητα της επεξεργασίας και, ιδίως, τους υφιστάμενους κινδύνους για την προστασία των δεδομένων προσωπικού χαρακτήρα των υποκειμένων των δεδομένων και τις σχετικές διασφαλίσεις, όπως προκύπτει από το άρθρο 15 παρ. 1 του ν. 4624/2019 ( βλ. και το άρθρο 47 παρ. 1 της οδηγίας (ΕΕ) 2016/680). Σύμφωνα την παράγραφο 5 του ως άνω άρθρου 67 του ν. 4624/2019, «εάν η Αρχή πιστεύει ότι η προβλεπόμενη επεξεργασία θα παραβίαζε το νόμο, ιδίως επειδή ο υπεύθυνος επεξεργασίας δεν έχει προσδιορίσει επαρκώς τον κίνδυνο ή δεν έχει λάβει επαρκή μέτρα για τον μετριασμό του κινδύνου, μπορεί να παράσχει, εντός προθεσμίας έξι
(6)εβδομάδων από την λήψη της αίτησης διαβούλευσης, έγγραφες συστάσεις στον υπεύθυνο επεξεργασίας, και κατά περίπτωση, στον εκτελούντα την επεξεργασία, όσον αφορά τα πρόσθετα μέτρα που πρέπει να ληφθούν. Η Αρχή μπορεί να παρατείνει την προθεσμία αυτή κατά ένα
(1)μήνα εάν η προγραμματισμένη επεξεργασία είναι ιδιαίτερα περίπλοκη (…)».
- Σύμφωνα με το άρθρο 14 παρ. 1 του ν. 3917/2011, «η εγκατάσταση και λειτουργία συστημάτων επιτήρησης με τη λήψη ή καταγραφή ήχου ή εικόνας σε δημόσιους χώρους, εφόσον συνεπάγεται την επεξεργασία δεδομένων προσωπικού χαρακτήρα, επιτρέπεται μόνο για: α) τη διαφύλαξη της εθνικής άμυνας, β) την προστασία του πολιτεύματος και την αποτροπή εγκλημάτων προδοσίας της 9 χώρας, γ) την αποτροπή και καταστολή εγκλημάτων που συνιστούν επιβουλή της δημόσιας τάξης, δ) την αποτροπή και καταστολή εγκλημάτων βίας, εμπορίας ναρκωτικών, κοινώς επικίνδυνων εγκλημάτων, εγκλημάτων κατά της ασφάλειας των συγκοινωνιών και εγκλημάτων κατά της ιδιοκτησίας, όταν με βάση πραγματικά στοιχεία συντρέχουν επαρκείς ενδείξεις ότι τελέσθηκαν ή πρόκειται να τελεσθούν τέτοιες πράξεις και ε) τη διαχείριση της κυκλοφορίας». Περαιτέρω, στην παρ. 2 του ιδίου άρθρου αναφέρεται ότι η εγκατάσταση και λειτουργία των συστημάτων επιτήρησης σε δημόσιους χώρους γίνεται μόνο από κρατικές αρχές με τήρηση της αρχής της αναλογικότητας, ενώ η παρ. 4 του ιδίου άρθρου ορίζει ότι «Με προεδρικό διάταγμα που εκδίδεται με πρόταση του Υπουργού Δικαιοσύνης, Διαφάνειας και Ανθρωπίνων Δικαιωμάτων και του αρμόδιου κατά περίπτωση Υπουργού, ύστερα από γνώμη της Α.Π.Δ.Π.Χ., ορίζονται οι αρμόδιες κρατικές αρχές, η διαδικασία και οι προϋποθέσεις για την εγκατάσταση και λειτουργία των συστημάτων επιτήρησης, τα κριτήρια για την τήρηση της αναλογικότητας μεταξύ των χρησιμοποιούμενων μέσων και του επιδιωκόμενου σκοπού, το είδος των προσωπικών δεδομένων που τυγχάνουν επεξεργασίας, η συλλογή, αποθήκευση, χρήση, διαβίβαση και οι αποδέκτες, ο χρόνος αποθήκευσης, η διαδικασία καταστροφής, τα οργανωτικά και τεχνικά μέτρα για την ασφάλεια της επεξεργασίας των δεδομένων, οι βασικές λειτουργίες και η περιοδική αξιολόγηση της αποτελεσματικότητας των συστημάτων επιτήρησης, τα δικαιώματα των φυσικών προσώπων στα οποία αφορούν τα δεδομένα, η έννομη προστασία, η γνωστοποίηση της επεξεργασίας και ο έλεγχος από την Α.Π.Δ.Π.Χ. και κάθε σχετικό θέμα (…)».
- Το υπ’ αριθμ. 75/2020 Π.Δ., το οποίο ερείδεται στην ως άνω εξουσιοδοτική διάταξη του άρθρου 14 παρ. 4 του ν. 3917/2011, και το οποίο εκδόθηκε κατόπιν την υπ’ αριθμ. 3/2020 Γνωμοδότησης της Αρχής, ορίζει στο άρθρο 4 παρ. 1 ότι «οι δημόσιες αρχές που είναι αρμόδιες για την πρόληψη, διερεύνηση, ανίχνευση ή δίωξη των εγκλημάτων ή την εκτέλεση των ποινικών κυρώσεων, περιλαμβανομένων της προστασίας από απειλές κατά της δημόσιας ασφάλειας και της αποτροπής τους, εν προκειμένω η Ελληνική Αστυνομία, το Πυροσβεστικό Σώμα και το Λιμενικό Σώμα Ελληνική Ακτοφυλακή, είναι υπεύθυνοι επεξεργασίας κατά τα οριζόμενα στο άρθρο 43 του ν. 4624/2019 (Α΄ 137)». Περαιτέρω, στην 10 παρ. 2 του ιδίου άρθρου αναφέρεται ότι «για τη ρύθμιση της κυκλοφορίας των οχημάτων, την πρόληψη και διαχείριση τροχαίων ατυχημάτων και την αντιμετώπιση εκτάκτων καταστάσεων στο οδικό δίκτυο, ως υπεύθυνος επεξεργασίας ορίζεται η/οι δημόσια αρχή/δημόσιες αρχές, που εγκαθιστά/ούν το σύστημα επιτήρησης, δηλαδή η Ελληνική Αστυνομία».
- Περαιτέρω, σύμφωνα με το άρθρο 12 παρ. 1 του υπ’ αριθμ. 75/2020 Π.Δ., η απόφαση εγκατάστασης συστημάτων επιτήρησης εκδίδεται ύστερα από διενέργεια εκτίμησης αντικτύπου των επιπτώσεων της επεξεργασίας στην προστασία των δεδομένων προσωπικού χαρακτήρα. Εξάλλου, στην παρ. 2 του ιδίου άρθρου αναφέρεται ότι μελέτη εκτίμησης αντικτύπου των επιπτώσεων της επεξεργασίας στην προστασία των δεδομένων προσωπικού χαρακτήρα, διενεργείται τόσο για την προμήθεια, όσο και πριν την αρχική θέση σε λειτουργία των φορητών συστημάτων επιτήρησης, καθώς επίσης και ότι η μελέτη διενεργείται επίσης για την προμήθεια και εγκατάσταση νέου λογισμικού και εν γένει πρόσθετου εξοπλισμού σε λειτουργούντα συστήματα επιτήρησης, όταν ο νέος αυτός εξοπλισμός συνεπάγεται ουσιώδη διαφοροποίηση των τεχνικών χαρακτηριστικών των συστημάτων και παρέχει τη δυνατότητα εκτέλεσης νέων μορφών επεξεργασίας των δεδομένων. Β) Εκτίμηση και συμβουλές της Αρχής
- Από τα στοιχεία του φακέλου, προκύπτει ότι η Ελληνική Αστυνομία συνέταξε και υπέβαλε στην Αρχή για διαβούλευση με βάση το άρθρο 67 του ν. 4624/2019 την «Μελέτη εκτίμησης αντικτύπου στην προστασία δεδομένων (Θέμα: Data Privacy Impact Assessment- ΕΑΠΔ) συστήματος επιτήρησης με σκοπό την αποτροπή και καταστολή αξιόποινων πράξεων καθώς και τη διαχείριση της κυκλοφορίας για τις ανάγκες της Γενικής Αστυνομικής Διεύθυνσης Αττικής, (έκδοση 3.0)». Η εν λόγω μελέτη περιλαμβάνει το σύνολο των πληροφοριών που απαιτείται, όπως αυτά ορίζονται στο άρθρο 65 παρ. 3 του ν. 4624/2019 και στο άρθρο 35 παρ. 7 του ΓΚΠΔ. Δεδομένου δε ότι στο σκοπό της επεξεργασίας περιλαμβάνονται δραστηριότητες επεξεργασίας προσωπικών δεδομένων, οι οποίες εμπίπτουν τόσο στο πεδίο εφαρμογής του ΓΚΠΔ (π.χ. διαχείριση κυκλοφορίας) όσο και στο 11 κεφ. Δ του ν. 4624/2019 (οδηγία 2016/680), η Αρχή εξετάζει την ΕΑΠΔ υπό το φως του συνόλου των ανωτέρω διατάξεων και διαπιστώνει την πληρότητα της ΕΑΠΔ καθώς: 1) ο σκοπός της επεξεργασίας εξειδικεύεται ρητά στην ΕΑΠΔ (ενότητα 2.3) 2) περιλαμβάνεται συστηματική περιγραφή των προβλεπόμενων πράξεων (ενότητα 3) 3) περιλαμβάνεται εκτίμηση της αναγκαιότητας και αναλογικότητας των πράξεων επεξεργασίας σε συνάρτηση με τους επιδιωκόμενους σκοπούς (ενότητα 4.1 καθώς και η σχετική έκθεση αναγκαιότητας) 4) πραγματοποιείται εκτίμηση των κινδύνων για τα προστατευόμενα έννομα συμφέροντα του υποκειμένου των δεδομένων (ενότητες 4.2 και 6) 5) προσδιορίζονται τα μέτρα που πρέπει να ληφθούν για την αντιμετώπιση των υφιστάμενων κινδύνων, συμπεριλαμβανομένων των εγγυήσεων, των διασφαλίσεων και των διαδικασιών για την εξασφάλιση της προστασίας των δεδομένων προσωπικού χαρακτήρα και για την απόδειξη της συμμόρφωσης με τις νομικές απαιτήσεις (ενότητα 7). 6) Περιλαμβάνεται εμπεριστατωμένη γνωμοδότηση του Υπεύθυνου Προστασίας Δεδομένων της ΕΛ.ΑΣ.
- Η Αρχή διαπιστώνει ότι το αντικείμενο της εν λόγω ΕΑΠΔ δεν αφορά δραστηριότητες επεξεργασίας σε σχέση με πρόσθετο εξοπλισμό εικονοληπτών (video analytics – ενδεχόμενη χρήση τεχνητής νοημοσύνης – λογισμικό αυτόματης αναγνώρισης πινακίδων). Άλλωστε, το υφιστάμενο θεσμικό πλαίσιο που διέπει τη λειτουργία της ΕΛ.ΑΣ. δεν προβλέπει τη δυνατότητα χρήσης μεθόδων αυτοματοποιημένης επεξεργασίας, ιδίως με μεθόδους που περιλαμβάνουν χρήση αλγορίθμων τεχνητής νοημοσύνης ή αυτόματη αναγνώριση πινακίδων. Πέραν αυτού, τέτοιες δραστηριότητες επεξεργασίας απαιτείται, κατ’ αρχήν, να βασίζονται σε νόμο με συγκεκριμένα χαρακτηριστικά (βλ. άρθρο 45Α του ν. 4624/2019, το οποίο εισήχθη με το ν. 5002/2022). Περαιτέρω, η εισαγωγή και χρήση μεθόδων τεχνητής νοημοσύνης για σκοπούς που σχετίζονται με την εκτέλεση των αρμοδιοτήτων της ΕΛ.ΑΣ. απαιτεί τη διενέργεια ειδικής ΕΑΠΔ, ενώ θα πρέπει να έχουν ληφθεί υπόψη οι νέες 12 απαιτήσεις που τίθενται από τον Κανονισμό (ΕΕ) 2024/16892 για τη θέσπιση εναρμονισμένων κανόνων σχετικά με την τεχνητή νοημοσύνη και την τροποποίηση των κανονισμών (ΕΚ) αριθ. 300/2008, (ΕΕ) αριθ. 167/2013, (ΕΕ) αριθ. 168/2013, (ΕΕ) 2018/858, (ΕΕ) 2018/1139 και (ΕΕ) 2019/2144 και των οδηγιών 2014/90/ΕΕ, (ΕΕ) 2016/797 και (ΕΕ) 2020/1828 (κανονισμός για την τεχνητή νοημοσύνη). Συνεπώς οι περιεχόμενες στην παρούσα Γνωμοδότηση συμβουλές δεν αφορούν στην εισαγωγή και χρήση μεθόδων τεχνητής νοημοσύνης για σκοπούς που σχετίζονται με την εκτέλεση των αρμοδιοτήτων της ΕΛ.ΑΣ.
- Η Αρχή κρίνει ότι σε σχέση με τα περιγραφόμενα στη σκέψη 11 στοιχεία, η εν λόγω ΕΑΠΔ αντιμετωπίζει σε ικανοποιητικό βαθμό τους κινδύνους οι οποίοι δημιουργούνται για τα προστατευόμενα έννομα συμφέροντα των υποκειμένων των δεδομένων και με βάση το άρθρο 67 παρ. 5 του ν. 4624/2019 και το άρθρο 36 παρ. 2 του ΓΚΠΔ παρέχει προς την Ελληνική Αστυνομία (Υπεύθυνος Επεξεργασίας) τις παρακάτω συμβουλές: 1) Σε σχέση με την ενίσχυση της διαφάνειας: Η διαφάνεια αποτελεί βασικό μέτρο αντιμετώπισης των δυσμενών επιπτώσεων στα προστατευόμενα δικαιώματα των υποκειμένων, όπως άλλωστε έχει ορθώς αποτυπωθεί στην ΕΑΠΔ (ενότητα 6.
- Μέτρα προστασίας των Δικαιωμάτων και Ελευθεριών). Η παροχή των πληροφοριών προς τα υποκείμενα των δεδομένων, όπως περιγράφεται στην ΕΑΠΔ (βλ. ιδίως ενότητα 4.2.1), ακολουθεί τις συστάσεις της Αρχής για τα απλά συστήματα βιντεοεπιτήρησης
- Οι εν λόγω συστάσεις απευθύνονται όμως προς υπεύθυνους επεξεργασίας εγκατεστημένους στην Ελλάδα οι οποίοι χρησιμοποιούν σύστημα βιντεοεπιτήρησης για σκοπούς προστασίας προσώπων και αγαθών. Λαμβάνοντας υπόψη τη φύση, τα χαρακτηριστικά και το εύρος της επεξεργασίας (επιτήρησης) κρίνεται απαραίτητο η ακολουθουμένη μέθοδος πολυεπίπεδης παροχής πληροφόρησης προς τα υποκείμενα των δεδομένων να ενισχυθεί ώστε να μεγιστοποιηθεί η 2 Βλ. ιδίως το άρθρο 5 για τις απαγορευμένες πρακτικές ΤΝ Βλ. https://www.dpa.gr/el/enimerwtiko/prakseisArxis/systaseis-ypodeigmata-gia-tin-ikanopoiisitoy-dikaiomatos-enimerosis-kata 3 13 πιθανότητα να παρασχεθεί η εν λόγω πληροφόρηση σε κάθε φυσικό πρόσωπο που προτίθεται να κινηθεί στην περιοχή που βρίσκεται στην εμβέλεια του συστήματος επιτήρησης. Η προτεινόμενη με την ΕΑΠΔ μέθοδος (πινακίδες στο πρώτο επίπεδο και δεύτερο επίπεδο πληροφόρησης στην ιστοσελίδα) δεν καλύπτει επαρκώς την υποχρέωση για παροχή των πληροφοριών με απλό, εύκολο και ευρέως προσβάσιμο τρόπο. Λαμβάνοντας υπόψη τις διαθέσιμες σήμερα τεχνολογίες απεικόνισης και το κόστος εφαρμογής τους, συστήνεται, επιπλέον της προσέγγισης που προτείνεται με την ΕΑΠΔ, να γίνει αξιοποίηση σύγχρονων τεχνολογιών απεικόνισης των επιτηρούμενων χώρων (όπως ενδεικτικά σε εφαρμογή διαδικτυακών χαρτών), η οποία εξασφαλίζει ευκολία πρόσβασης τόσο από σταθερές όσο και από κινητές συσκευές (ιδίως έξυπνα τηλέφωνα) και με βάση τα ισχύοντα πρότυπα προσβασιμότητας. Σκόπιμο είναι επίσης, οι εν λόγω πληροφορίες να παρέχονται ως ανοιχτά δεδομένα για την αξιοποίηση από τρίτες εφαρμογές. Σημειώνεται ότι δεν είναι απαραίτητο να προσδιορίζεται η ακριβής θέση μιας κάμερας, αλλά να προκύπτει ο επιτηρούμενος χώρος. Περαιτέρω, είναι απαραίτητο, για την πλήρη ικανοποίηση της αρχής της διαφάνειας να συνοδεύεται η ενημέρωση αυτή και από σύνδεσμο στο πλήρες κείμενο της απόφασης εγκατάστασης των συστημάτων (άρθρο 12 Π.Δ. 75/2020) ώστε, επιπλέον, να διασφαλίζεται το δικαίωμα δικαστικής προσφυγής (άρθρο 13 Π.Δ. 75/2020). Προς τούτο επισημαίνεται ότι η δημοσίευση περίληψης ή κάποιων στοιχείων της απόφασης δεν επαρκεί. 2) Σε σχέση με την επάρκεια πόρων του Υπεύθυνου Προστασίας Δεδομένων (ΥΠΔ): Στη ΕΑΠΔ αναφέρεται ο ορισμός ΥΠΔ ως μέτρο προστασίας των δικαιωμάτων των υποκειμένων των δεδομένων. Ωστόσο η ΕΛ.ΑΣ. ως δημόσιος φορέας, οφείλει να διαθέτει ΥΠΔ (άρθρο 37 παρ. 1 του ΓΚΠΔ) και συνεπώς ο ορισμός του δεν μπορεί να θεωρηθεί ως ειδικό μέτρο που μειώνει τους κινδύνους από μια επεξεργασία αφού αποτελεί βασική υποχρέωση για την διασφάλιση των δικαιωμάτων των υποκειμένων των δεδομένων. Η Αρχή επισημαίνει επίσης ότι, δεδομένου ότι ο υπεύθυνος επεξεργασίας πρέπει να στηρίζει τον υπεύθυνο επεξεργασίας στην 14 άσκηση των καθηκόντων του παρέχοντας απαραίτητους πόρους (σύμφωνα με το άρθρο 38 του ΓΚΠΔ και το άρθρο 7 του ν. 4624/2019), ο ορισμός ενός και μόνο προσώπου, το οποίο έχει αρμοδιότητα για το σύνολο των δραστηριοτήτων επεξεργασίας που διενεργεί η ΕΛ.ΑΣ. χωρίς να επικουρείται κατάλληλα, δεν φαίνεται ότι καλύπτει την ως άνω απαίτηση. Και τούτο επειδή είναι εξαιρετικά δυσχερές (και, ενδεχομένως, πρακτικά αδύνατο) για ένα μόνο πρόσωπο να ασκεί τις αρμοδιότητές του για το σύνολο των υπηρεσιών της ΕΛ.ΑΣ., συμπεριλαμβανομένων των αρμοδιοτήτων του σε σχέση με το (μεγάλης κλίμακας) εξεταζόμενο σύστημα. Συνεπώς, η ΕΛ.ΑΣ. οφείλει να προβεί σε κατάλληλες ενέργειες για την παροχή πόρων στον ΥΠΔ ή/και τον ορισμό προσώπων που θα τον επικουρούν σε συγκεκριμένες αρμοδιότητές του, ιδίως όσον αφορά στις δραστηριότητες που αφορούν τα μεγάλης κλίμακας συστήματα επιτήρησης με εικόνα και ήχο. 3) Ορισμός ελάχιστων προδιαγραφών συσκευών: Στη ενότητα 5.3.
- της ΕΑΠΔ (Προστασία Δεδομένων ήδη από το Σχεδιασμό - σελ. 64, 65) επαναλαμβάνεται η υποχρέωση η οποία προκύπτει από το ΓΚΠΔ (άρθρο 25 παρ. 1) και την οδηγία 2016/680 (άρθρο 69 παρ. 1 ν. 4624/2019) για προστασία των δεδομένων από το σχεδιασμό. Γίνεται αναφορά σε συσκευές καμερών οι οποίες θα πρέπει να είναι τελευταίας τεχνολογίας, σύμφωνα με την αρχή της προσαρμοστικότητας των δημοσίων υπηρεσιών. Η αναφορά αυτή ωστόσο, δεν επαρκεί για την ικανοποίηση των προαναφερθεισών διατάξεων. Η Αρχή συστήνει να προσδιοριστούν συγκεκριμένες ελάχιστες προδιαγραφές των συσκευών (π.χ. λειτουργίες απόκρυψης περιοχών, αυθεντικοποίησης, θόλωσης, επαναφοράς ασφαλούς εστίασης, κ.α.) οι μετάδοσης, οποίες να επικαιροποιούνται σε τακτά διαστήματα και ανάλογα με τις διαθέσιμες τεχνολογίες και το κόστος εφαρμογής τους. 4) Χρήση δεδομένων για εκπαιδευτικούς σκοπούς: Στη σελ.34 της ΕΑΠΔ αναφέρεται για την έννοια της Προσαρμογής: «περιλαμβάνει την ανωνυμοποίηση των δεδομένων (κάλυψη εικόνας ή αφαίρεση ηχητικού αποσπάσματος) που πρόκειται να χρησιμοποιηθούν για εκπαιδευτικούς 15 σκοπούς». Η χρήση των δεδομένων για το σκοπό της εκπαίδευσης προβλέπεται στο Π.Δ. 75/2020 (βλ. άρθρο 8 παρ. 3 για τους χρόνους τήρησης και καταστροφής δεδομένων). Ο σκοπός αυτός μπορεί να θεωρηθεί ως απαραίτητος επιμέρους σκοπός, συμβατός με τον αρχικό, στο βαθμό που αφορά την εκπαίδευση των χειριστών του συστήματος βιντεοεπιτήρησης. Δεν προκύπτει όμως από την ΕΑΠΔ αν η ανωνυμοποίηση δεδομένων για εκπαιδευτικούς σκοπούς αφορά άλλου είδους εκπαίδευση, περιλαμβανομένης της αλγοριθμικής. Στην περίπτωση αυτή απαιτείται να ελεγχθεί αν υφίσταται σχετική πρόβλεψη για τη χρήση ανώνυμων δεδομένων από βίντεο με σκοπό την εκπαίδευση προσωπικού της ΕΛΑΣ για τις ενέργειες που αναλαμβάνουν, καθώς η πρόβλεψη του άρθρου 8 παρ. 2 του Π.Δ. 75/2020 αφορά μόνο τους σκοπούς αυτού του Π.Δ. και όχι οποιαδήποτε εκπαίδευση. Επίσης, η ανωτέρω διαδικασία ανωνυμοποίησης πρέπει να υλοποιείται με συγκεκριμένες προδιαγραφές, ώστε να εξασφαλίζεται ότι δεν είναι δυνατή η εκ των υστέρων ταυτοποίηση προσώπων, λόγω π.χ. σωματωμετρικών χαρακτηριστικών ή ενδυμασίας. Εξάλλου, η συνάφεια του επιμέρους αυτού σκοπού με τον αρχικό σκοπό συναρτάται, μεταξύ άλλων, και από την ύπαρξη κατάλληλων εγγυήσεων, όπως άλλωστε προβλέπεται και εξειδικεύεται μέσω της διάταξης της παραγράφου 3 του άρθρου 8 του Π.Δ. 75/2020 για την ανωνυμοποίηση του υλικού (βλ. άρθρο 6 παρ. 4 στοιχ. ε’ του ΓΚΠΔ).
- Τέλος, κατά την εξέταση της ΕΑΠΔ η Αρχή διαπιστώνει επιμέρους ασάφειες ή λεκτικές αστοχίες, οι οποίες δεν συνεπάγονται υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων, αλλά είναι χρήσιμο να εξετασθούν από τον Υπεύθυνο Επεξεργασίας, ώστε, μεταξύ άλλων, να βελτιώσει τα τεχνικά και οργανωτικά μέτρα που εφαρμόζει και να μην δημιουργείται αμφιβολία σε σχέση με συγκεκριμένες αναφορές. Ως προς αυτά τα σημεία, η Αρχή θα παράσχει τις παρατηρήσεις της με ιδιαίτερο έγγραφο. 16 Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Γεωργία Παλαιολόγου 17