ΟΡΘΗ ΕΠ Ν ΛΗΨΗ ( ς προς τον αριθό της Γνωοδότησης) Αθήνα, 20-09-2013 Αριθ. Πρωτ.: Γ/ΕΞ/5668-2/20-09-2013 ΑΡΧΗ ΠΡΟ ΤΑ ΙΑ Ε ΟΜΕΝΝ ΠΡΟ ΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΓΝ Η Αρχή Προστασίας Μ Ο Ο Τ Η Σ Η 5/2013 εδο"ένων Προσωπικού Χαρακτήρα, συνήλθε "ετά από πρόσκληση του Προέδρου της σε έκτακτη συνεδρίαση την 19η κατάστη"ά της, σε συνέχεια της από επτε"βρίου 2013 στο 18.9.2013 τακτικής συνεδρίασής της, αποτελού"ενη από τους Π. Χριστόφορο, Πρόεδρο, Λ. Κοτσαλή, Α.Ι. Μεταξά, . Μπριόλα Α. υ"βώνη, ως εισηγητή, Κ. Χριστοδούλου και Π. Τσαντίλα τακτικά "έλη. Μετά από εντολή του Προέδρου συ""ετείχε επίσης το αναπληρω"ατικό "έλος της Αρχής Βλαχόπουλος, ως εισηγητής, "ε δικαίω"α ψήφου. . τη συνεδρίαση, χωρίς δικαίω"α ψήφου, παρέστησαν η Ζ. Καρδασιάδου, ειδική επιστή"ων-νο"ικός, προϊστα"ένη του τ"ή"ατος ελεγκτών, Κ. Λωσταράκου, ειδική επιστή"ων-νο"ικός, Ε. Χατζηλιάση, ειδική επιστή"ων-νο"ικός και Κ. Λι"νιώτης, ειδικός επιστή"ων-πληροφορικός, ως βοηθοί εισηγητές και η Μ. Γιαννάκη, υπάλληλος του τ"ή"ατος διοικητικών και οικονο"ικών υποθέσεων, ως γρα""ατέας, "ετά από εντολή του Προέδρου. Η Αρχή συνεδρίασε προκει"ένου να γνω"οδοτήσει, σύ"φωνα "ε το άρθρο 19 παρ. 1 στοιχ. θ΄ του ν. 2472/1997, επί ερωτή"ατος του Γενικού Γρα""ατέα η"οσίων Εσόδων κατά τα α"έσως κατωτέρω αναφερό"ενα. τη συνεδρίαση και "ετά από πρόσκληση της Αρχής (Γ/ΕΞ/5668-1/16-09-2013) παρέστησαν και εξέφρασαν τις απόψεις τους ο A, σύ"βουλος του Γενικού Γρα""ατέα η"όσιων Εσόδων, και ο B, υπάλληλος του Γραφείου Ασφάλειας Πληροφοριακών υστη"άτων και Προστασίας Υποδο"ών της Γενικής Γρα""ατείας Πληροφοριακών υστη"άτων. Η Αρχή έλαβε υπόψη τα παρακάτω: εδο"ένων και Ο Γενικός Γρα""ατέας η"οσίων Εσόδων "ε το "ε αριθ". πρωτ. Γ.Γ. .Ε 0006891 ΕΞ 2013/4.9.2013 (αριθ". πρωτ. Αρχής Γ/ΕΙ /5668/4.9.2013) έγγραφό του ζήτησε τη γνω"οδότηση της Αρχής επί του σχεδίου υπουργικής απόφασης για την ενεργοποίηση και λειτουργία του υστή"ατος Μητρώων Τραπεζικών Λογαριασ"ών και Λογαριασ"ών Πληρω"ών (στο εξής και .Μ.Τ.Λ. και Λ.Π.). Ακολούθως, στις 13.9.2013 (αριθ". πρωτ. Αρχής Γ/ΕΙ /5846/13.9.2013) και 19.9.2013 (αριθ". πρωτ. της Αρχής Γ/ΕΙ /5951/19.9.2013) διαβιβάσθηκαν στην Αρχή το σχέδιο Κανονισ"ού ιαχείρισης και Λειτουργίας καθώς και κεί"ενο τεχνικών προδιαγραφών του ίδιου συστή"ατος αντίστοιχα. Το ύστη"α Μητρώων Τραπεζικών Λογαριασ"ών και Λογαριασ"ών Πληρω"ών συνιστάται "ε το άρθρο 62 του ν. 4170/2013· σε αυτό δε εντάσσονται δη"όσιες αρχές και υπηρεσίες που ασκούν ελεγκτικό και διωκτικό έργο στις οποίες "έσω του συστή"ατος παρέχεται η δυνατότητα αυτο"ατοποιη"ένης πρόσβασης σε στοιχεία τραπεζικών λογαριασ"ών και λογαριασ"ών πληρω"ών που τηρούν τα πιστωτικά ιδρύ"ατα και τα ιδρύ"ατα πληρω"ών για φυσικά και νο"ικά πρόσωπα. Με την παράγραφο 6 της ανωτέρω διάταξης παρέχεται εξουσιοδότηση στον Υπουργό Οικονο"ικών να ρυθ"ίσει "ε απόφασή του «το χρόνο ναρξης λειτουργίας του Συστήατος Μητρώων Τραπεζικών Λογαριασών και Λογαριασών Πληρωών, τη λεπτοερή διαδικασία νταξης των φορ ων και πρόσβασης τους στο Σύστηα, τα διαβιβαζόενα και τηρούενα στοιχεία από τα πιστωτικά ιδρύατα και τα ιδρύατα πληρωών, τις προθεσίες και τα θ ατα παροχής πληροφοριών από τα υπόχρεα πρόσωπα προς τις αρχ ς, τις υπηρεσίες και τους φορείς του %ηοσίου στις περιπτώσεις που η παροχή αυτών των πληροφοριών διενεργείται εκτός Σ.Μ.Τ.Λ. και Λ.Π., καθώς και κάθε σχετικό θ α για την εφαρογή των διατάξεων του παρόντος». Παράλληλα σύ"φωνα "ε την παράγραφο 2 του ίδιου άρθρου «ε απόφαση του Υπουργού Οικονοικών ετά από εισήγηση της Γενικής Γραατείας Πληροφοριακών Συστηάτων ορίζεται υπεύθυνος διαχείρισης του Σ.Μ.Τ.Λ. και Λ.Π. και χωρίς προηγούενη άδεια από την Αρχή Προστασίας Προσωπικών %εδο νων εκδίδεται Κανονισός %ιαχείρισης της Λειτουργίας του εντός αποκλειστικής προθεσίας δύο
(2)ηνών στον οποίο ειδικότερα ορίζεται η διαδικασία διασύνδεσης και επικοινωνίας των αρχών, υπηρεσιών και φορ ων του %ηοσίου ε τα υπόχρεα πρόσωπα, ο τρόπος καταγραφής των πληροφοριών και στοιχείων που επιτρ πει την προσήκουσα αποτύπωση και διαβίβαση τους, οι ορφότυποι παροχής των πληροφοριών και στοιχείων και κάθε άλλο σχετικό θ α ε τη Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 2 διαχείριση της λειτουργίας του Σ.Μ.Τ.Λ. και Λ.Π.». Το .Μ.Τ.Λ. και Λ.Π, όπως ορίζεται στο άρθρο 62 του ν. 4170/2013, αποσκοπεί στη διευκόλυνση της διαβίβασης αιτη"άτων άρσης του τραπεζικού απορρήτου από τις αρ"όδιες δη"όσιες αρχές και υπηρεσίες (συγκεκρι"ένα από τη Γενική Γρα""ατεία η"οσίων Εσόδων του Υπουργείου Οικονο"ικών, το ώ"α ίωξης Οικονο"ικού Εγκλή"ατος, την Οικονο"ική Αστυνο"ία, τον Οικονο"ικό Εισαγγελέα, τον Εισαγγελέα Εγκλη"άτων ιαφθοράς και την Αρχή Καταπολέ"ησης της νο"ι"οποίησης εσόδων από εγκλη"ατικές δραστηριότητες) προς τα πιστωτικά ιδρύ"ατα και τα ιδρύ"ατα πληρω"ών και στην ά"εση λήψη των σχετικών απαντήσεων χωρίς πρόθεση να θιγεί η κεί"ενη νο"οθεσία περί άρσης του τραπεζικού και επαγγελ"ατικού απορρήτου. Από το σύνολο των διαβιβασθεισών ρυθ"ίσεων (δηλαδή το σχέδιο απόφασης του Υπουργού Οικονο"ικών και τον Κανονισ"ό ιαχείρισης και Λειτουργίας του συστή"ατος) και το κεί"ενο τεχνικών προδιαγραφών του συστή"ατος προκύπτουν, ό"ως, τα παρακάτω: α) η πρόσβαση των δη"όσιων αρχών και υπηρεσιών στο πραγ"ατοποιείται "έσω της Γενικής Γρα""ατείας Πληροφοριακών .Μ.Τ.Λ. και Λ.Π υστη"άτων (στο εξής και Γ.Γ.Π. .) του Υπουργείου Οικονο"ικών, β) η Γ.Γ.Π. . δεν λειτουργεί απλώς ως "οναδικός κό"βος διασύνδεσης και επικοινωνίας "εταξύ των αρχών αυτών και των πιστωτικών ιδρυ"άτων αλλά και ως αποθετήριο των αιτη"άτων και των απαντήσεων, από τις οποίες ένα "ήνα "ετά διαγράφονται οι επονο"αζό"ενες «ευαίσθητες πληροφορίες», δηλαδή το περιεχό"ενο των απαντήσεων, γ) προβλέπεται η πρόσβαση των δη"οσίων αρχών και υπηρεσιών όχι "όνο στα βασικά στοιχεία των τραπεζικών λογαριασ"ών αλλά και σε επιπλέον στοιχεία, όπως για παράδειγ"α στο πρόση"ο του λογαριασ"ού, στο υπόλοιπο και στην η"ερο"ηνία τελευταίας κίνησης του λογαριασ"ού (βλ. Παράρτη"α Γ΄ του σχεδίου της υπουργικής απόφασης), δ) ο έλεγχος νο"ι"ότητας των αιτη"άτων παροχής πληροφοριών – άρσης του τραπεζικού απορρήτου ανατίθεται εξ’ ολοκλήρου στις δη"όσιες αρχές και υπηρεσίες που έχουν πρόσβαση στο .Μ.Τ.Λ. και Λ.Π (άρ. 62 παρ. 1 εδ. γ΄ του ν. 4170/2013), οι οποίες αναλα"βάνουν και την ευθύνη σε περίπτωση παραβίασης του (άρ. 63 παρ. 1 εδ. β΄ του ν. 4170/2013), ε) ο χρόνος τήρησης των στοιχείων των τραπεζικών λογαριασ"ών στο συγκροτού"ενο .Μ.Τ.Λ. και Λ.Π δεν προβλέπεται σε διάταξη νό"ου (τυπικού ή ουσιαστικού) αλλά "όνο στο κεί"ενο τεχνικών προδιαγραφών του συστή"ατος (10 έτη από τη στιγ"ή που ο λογαριασ"ός έπαψε να είναι ενεργός), στ) προβλέπεται η τήρηση αρχείων καταγραφής από τη Γενική Γρα""ατεία Πληροφοριακών υστη"άτων, τη διατραπεζική εταιρεία «Τειρεσίας Α.Ε.» και Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 3 τα πιστωτικά ιδρύ"ατα χωρίς εντούτοις να ορίζεται και ο χρόνος τήρησης αυτών (Παράρτη"α 6 του Κανονισ"ού ιαχείρισης και Λειτουργίας του συστή"ατος). το ση"είο αυτό πρέπει να ση"ειωθεί ότι τόσο το σχέδιο υπουργικής απόφασης όσο και το σχέδιο Κανονισ"ού ιαχείρισης και Λειτουργίας του συστή"ατος περιέχουν ουσιώδεις ρυθ"ίσεις στα παραρτή"ατά τους, τέσσερα (σε σύνολο εννέα) από τα οποία είναι κενά. Η Αρχή, αφού άκουσε τους εισηγητές και τους βοηθούς εισηγητές, οι οποίοι "ετά τη διατύπωση των απόψεών τους αποχώρησαν, και κατόπιν διεξοδικής συζήτησης, εκδίδει την ακόλουθη ΓΝΜΟ ΟΤΗ Η
- Η Αρχή έχει αρ"οδιότητα να γνω"οδοτήσει επί του σχεδιασ"ού και της υλοποίησης του προτεινό"ενου συστή"ατος βάσει του άρθρου 19 παρ. 1 στοιχ. θ΄ του ν. 2472/1997, το οποίο ορίζει ότι «
- Η Αρχή χει τις εξής ιδίως αροδιότητες : ... θ) Γνωοδοτεί για κάθε ρύθιση που αφορά την επεξεργασία και προστασία δεδο νων προσωπικού χαρακτήρα …». Από τη διάταξη αυτή, ερ"ηνευο"ένη υπό το πρίσ"α του άρθρου 28 της Οδηγίας 95/46/ΕΚ, προκύπτει ότι η γνω"οδοτική αρ"οδιότητα της Αρχής πρέπει να ασκείται εγκαίρως κατά το στάδιο καταρτίσεως νο"οθετικών ή κανονιστικών ρυθ"ίσεων, διοικητικών "έτρων καθώς και κατά το σχεδιασ"ό επι"έρους επεξεργασιών (βλ. και Γν" Αρχής 2/2010, σκ. 1).
- Η επεξεργασία προσωπικών δεδο"ένων φυσικών προσώπων από δη"όσιες αρχές λειτουργεί και αναπτύσσει τις συνέπειές της στο πλαίσιο του κράτους δικαίου και της αρχής της νο"ι"ότητας. Επιπλέον, στο βαθ"ό που η προβλεπό"ενη επεξεργασία συνιστά περιορισ"ό του ατο"ικού δικαιώ"ατος του πληροφοριακού αυτοκαθορισ"ού, θα πρέπει να ορίζεται γενικώς και αντικει"ενικώς "ε τυπικό νό"ο ή κατόπιν ειδικής νο"οθετικής εξουσιοδότησης "ε διάταγ"α, να δικαιολογείται από αποχρώντες λόγους δη"οσίου συ"φέροντος, να τελεί σε πρόδηλη λογική συνάφεια "ε τον επιδιωκό"ενο σκοπό, να είναι πρόσφορη, κατάλληλη και αναγκαία για την επίτευξη του σκοπού αυτού, να "ην θίγει τον πυρήνα του δικαιώ"ατος και να "ην απονέ"ει στη ιοίκηση ευρεία διακριτική ευχέρεια. Κατά συνέπεια είναι απαραίτητο η σκοπού"ενη επεξεργασία να προβλέπεται σε νο"οθετική διάταξη, η οποία θα αναφέρει τα βασικά χαρακτηριστικά της επεξεργασίας, δηλαδή τον υπεύθυνο επεξεργασίας, το σκοπό αυτής, τα δεδο"ένα τα οποία θα τύχουν επεξεργασίας και το χρόνο τήρησης αυτών καθώς και τους αποδέκτες των δεδο"ένων. Με ειδικότερη νο"οθετική εξουσιοδότηση επιτρέπεται να ανατεθεί στον Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 4 κανονιστικό νο"οθέτη η ρύθ"ιση ειδικότερων, τεχνικών ή λεπτο"ερειακών θε"άτων, όπως ο σχεδιασ"ός του συγκεκρι"ένου συστή"ατος, δηλαδή οι τεχνικές προδιαγραφές των απαιτού"ενων για τη λειτουργία του .Μ.Τ.Λ. και Λ.Π. εφαρ"ογών, τα εν γένει οργανωτικά και τεχνικά "έτρα για την ασφάλεια της επεξεργασίας των δεδο"ένων, καθώς και κάθε άλλη αναγκαία λεπτο"έρεια.
- Το άρθρο 62 παρ. 2 του ν. 4170/2013 ορίζει ότι «Η πρόσβαση των αρχών και υπηρεσιών του πρώτου εδαφίου της παραγράφου 1 του παρόντος στο Σ.Μ.Τ.Λ. και Λ.Π. πραγατοποιείται ηλεκτρονικά σω της Γενικής Γραατείας Πληροφοριακών Συστηάτων (Γ.Γ.Π.Σ.) του Υπουργείου Οικονοικών, η οποία λειτουργεί ως οναδικός κόβος διασύνδεσης και επικοινωνίας εταξύ αυτών των αρχών και υπηρεσιών ε τα υπόχρεα πρόσωπα. Αντίστο χα, ως κόβος ηλεκτρονικής διασύνδεσης και επικοινωνίας των υπόχρεων προσώπων ε τη Γ.Γ.Π.Σ. για τις ανάγκες του παρόντος, ορίζεται η διατραπεζική εταιρεία “Τραπεζικά Συστήατα Πληροφοριών – Τειρεσίας Α.Ε.”». Από την ανωτέρω διάταξη προκύπτει ότι η Γ.Γ.Π. οφείλει να λειτουργεί ως απλός κό"βος διασύνδεσης και επικοινωνίας "εταξύ των δη"οσίων αρχών και υπηρεσιών και των πιστωτικών ιδρυ"άτων και κατά συνέπεια ο χρόνος τήρησης της «ευαίσθητης πληροφορίας» (των απαντήσεων δηλαδή των πιστωτικών ιδρυ"άτων) από την ίδια θα πρέπει να περιοριστεί στον απολύτως αναγκαίο για τη λειτουργία του συστή"ατος. ς εκ τούτου η διάταξη του άρ. 4.
- του σχεδίου Κανονισ"ού ιαχείρισης και Λειτουργίας του συστή"ατος στο "έτρο που προβλέπει τη λειτουργία της Γ.Γ.Π. . και ως αποθετηρίου «ευαίσθητων πληροφοριών» που περιέχουν προσωπικά δεδο"ένα για χρονικό διάστη"α ενός "ηνός δεν συνάδει "ε την προαναφερθείσα διάταξη του άρ. 62 παρ. 2 του ν. 4170/2013 και για το λόγο αυτό οι «ευαίσθητες πληροφορίες» θα πρέπει να διαγράφονται από το σύστη"α α"έσως "όλις διαπιστώνεται η λήψη της απάντησης από τις αρ"όδιες δη"όσιες αρχές και υπηρεσίες. Προς τούτο επιπλέον τεχνικά "έτρα θα πρέπει να εφαρ"οσθούν για την ασφαλή διαπίστωση ότι η απάντηση ελήφθη από τον αιτούντα χρήστη. Τα «διαβιβαζόενα και τηρούενα στοιχεία από τα πιστωτικά ιδρύατα και τα ιδρύατα πληρωών» (κατά τις προβλέψεις της παραγράφου 6 του άρ. 62 του ν. 4170/2013) συνιστούν ουσιώδη στοιχεία της επεξεργασίας και ως εκ τούτου ο προσδιορισ"ός τους θα πρέπει λάβει χώρα "ε τυπικό νό"ο. Κατά συνέπεια, η πρόβλεψη των "εν πρώτων στο παράρτη"α Γ΄ του σχεδίου της υπουργικής απόφασης των δε δεύτερων στο παράρτη"α ΄ του κει"ένου τεχνικών προδιαγραφών, δεν είναι ισχυρή. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 5 Η παραπάνω παρατήρηση ισχύει και για τον προσδιορισ"ό του χρόνου τήρησης των στοιχείων του "ητρώου, διότι η χρονική διάρκεια της επεξεργασίας αποτελεί βασική αρχή του δικαίου της προστασίας των προσωπικών δεδο"ένων (βλ. άρθρα 4 του ν. 2472/1997 και 6 της Οδηγίας 95/46/ΕΚ). ς εκ τούτου η πρόβλεψη στο κεί"ενο τεχνικών προδιαγραφών του συστή"ατος του χρόνου τήρησης των στοιχείων των τραπεζικών λογαριασ"ών στο συγκροτού"ενο .Μ.Τ.Λ. και Λ.Π (10 έτη από τη στιγ"ή που ο λογαριασ"ός έπαψε να είναι ενεργός) δεν είναι ισχυρή.
- Όπως και παραπάνω (υπό ση"είο 2) αναφέρθηκε, η ρύθ"ιση ειδικότερων, τεχνικών ή λεπτο"ερειακών θε"άτων, όπως τα εν γένει οργανωτικά και τεχνικά "έτρα για την ασφάλεια της επεξεργασίας των δεδο"ένων επιτρέπεται να ανατεθεί "ε νο"οθετική εξουσιοδότηση στον κανονιστικό νο"οθέτη, υπό την έννοια ότι στην κανονιστική απόφαση θα τίθενται οι στόχοι της ασφάλειας της επεξεργασίας, οι οποίοι δύναται να εξειδικεύονται "ε την υιοθέτηση πολιτικής και σχεδίου ασφαλείας, τα οποία "ε τη σειρά τους επιβάλλεται να επικαιροποιούνται. 4.
- Η ασφάλεια των δεδο"ένων εξειδικεύεται "ε "έτρα που ικανοποιούν τρεις βασικούς στόχους, ήτοι την ε"πιστευτικότητα, ακεραιότητα και διαθεσι"ότητα των δεδο"ένων, ενώ συ"πληρω"ατικοί στόχοι, ιδίως από τη σκοπιά της προστασίας των προσωπικών δεδο"ένων, αποτελούν η "η αποποίηση της ευθύνης καθώς και ο διαχωρισ"ός των δεδο"ένων ανάλογα "ε το σκοπό της επεξεργασίας. ς εκ τούτου, για το συγκεκρι"ένο σύστη"α, θα πρέπει στην κανονιστική πράξη να υπάρχει ρητή αναφορά στην υποχρέωση λήψης "έτρων ώστε: α) να απαγορεύεται η καθ’ οιονδήποτε τρόπο ανάγνωση, αντιγραφή, τροποποίηση ή διαγραφή δεδο"ένων από "η δικαιού"ενα και εξουσιοδοτη"ένα πρόσωπα, β) να διασφαλίζεται η δυνατότητα ελέγχου και εξακρίβωσης: i) των δεδο"ένων που έχουν τύχει επεξεργασίας στο πλαίσιο λειτουργίας του συστή"ατος, ii) της επι"έρους ενέργειας, iii) του χρόνου της ενέργειας, iv) του προσώπου που προέβη στην ενέργεια (όχι "όνο σε επίπεδο φορέα, αλλά και σε επίπεδο φυσικού προσώπου που προέβη στη σχετική ενέργεια), γ) να εξασφαλίζεται ότι τα εξουσιοδοτη"ένα πρόσωπα έχουν πρόσβαση "όνο στα δεδο"ένα που ε"πίπτουν στον το"έα της αρ"οδιότητάς τους βάσει των ειδικών διατάξεων, δ) να διασφαλίζεται η ασφαλής "ετάδοση (ε"πιστευτικότητα και ακεραιότητα) των δεδο"ένων, τόσο από τα υπόχρεα πρόσωπα προς τη ΓΓΠ , όσο και από τη ΓΓΠ προς Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 6 τους αρ"όδιους φορείς. 4.
- Από το περιεχό"ενο των αρχείων καταγραφής (Παράρτη"α 6 του σχεδίου Κανονισ"ού ιαχείρισης και Λειτουργίας του συστή"ατος) προκύπτει ότι δεν καθίσταται πλήρως εφικτός ο εκ των υστέρων έλεγχος της ορθής χρήσης του συστή"ατος – και τούτο διότι στα αρχεία καταγραφής (όπου και αποτυπώνονται οι αναζητήσεις που έλαβαν χώρα "έσω του συστή"ατος) δεν τηρείται η κρίσι"η πληροφορία αναφορικά "ε το πρόσωπο στο οποίο αφορά η κάθε αναζήτηση καθώς και το περιεχό"ενο της απάντησης του πιστωτικού ιδρύ"ατος. Η εδώ περιγραφό"ενη διαδικαστική εγγύηση εξυπηρετεί την προστασία των προσωπικών δεδο"ένων και την παροχή αποτελεσ"ατικής έννο"ης προστασίας, αφού καθιστά δυνατό τον έλεγχο από τις αρ"όδιες δικαστικές αρχές και την Αρχή Προστασίας εδο"ένων Προσωπικού Χαρακτήρα, ενώ παράλληλα επιβεβαιώνει ότι δεν διαφοροποιείται η "έχρι σή"ερα πρακτική άρσης του απορρήτου, κατά την οποία τα πιστωτικά ιδρύ"ατα προβαίνουν σε έλεγχο της αρ"οδιότητας της αιτούσας δη"όσιας αρχής, έλεγχος ο οποίος "ε το προτεινό"ενο σύστη"α "πορεί να λάβει χώρα "όνον εκ των υστέρων. Προς αυτήν την κατεύθυνση, επιση"αίνου"ε ότι ως πλέον πρόσφορη λύση παρουσιάζεται η επιβολή υποχρέωσης τήρησης αυτής της πληροφορίας στα πιστωτικά ιδρύ"ατα και όχι στη Γ.Γ.Π. ., η οποία λειτουργεί ως κό"βος διασύνδεσης και επικοινωνίας. Επίσης, κατά την αρχή του χρονικού περιορισ"ού θα πρέπει να προβλεφθεί ο χρόνος τήρησης των αρχείων καταγραφής από τα ε"πλεκό"ενα "έρη, ο οποίος θα πρέπει να προσδιορίζεται ευλόγως ώστε να συνάδει "ε τη συνταγ"ατικώς κατοχυρω"ένη αρχή της αποτελεσ"ατικής έννο"ης προστασίας. 4.
- Ο περιγραφό"ενος "ηχανισ"ός αυθεντικοποίησης των χρηστών του συστή"ατος βασίζεται στη χρήση των κωδικών πρόσβασης που οι ίδιοι χρησι"οποιούν για τις υπηρεσίες του Υπουργείου Οικονο"ικών (κωδικοί TAXISnet), χωρίς να περιγράφεται συ"πληρω"ατικός "ηχανισ"ός αυθεντικοποίησής τους, όπως για παράδειγ"α βάσει διαδικτυακής (IP) διεύθυνσης ή βάσει ψηφιακού πιστοποιητικού. ς εκ τούτου, ο ανωτέρω "ηχανισ"ός, όπως περιγράφεται, είναι προβλη"ατικός, διότι η επιλογή συνθη"ατικού είναι ιδιαίτερα κρίσι"η για την ασφάλεια του συστή"ατος και, ως εκ τούτου, η χρήση κωδικού πρόσβασης που ήδη χρησι"οποιείται από τους ίδιους χρήστες στο ιαδίκτυο για άλλους σκοπούς, και "άλιστα και από σταθ"ούς εργασίας εκτός των χώρων εργασίας τους, πρέπει να αποφεύγεται.
- Η παράγραφος 2 του άρθρου 62 του ν. 4170/2013 προβλέπει ότι "ε απόφαση του Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 7 Υπουργού Οικονο"ικών και «χωρίς προηγούενη άδεια από την Αρχή Προστασίας Προσωπικών %εδο νων» εκδίδεται Κανονισ"ός ιαχείρισης της Λειτουργίας του .Μ.Τ.Λ. και Λ.Π, στον οποίο ορίζεται η διαδικασία διασύνδεσης και επικοινωνίας των αρχών, υπηρεσιών και φορέων του η"οσίου "ε τα υπόχρεα πρόσωπα, ο τρόπος καταγραφής των πληροφοριών και στοιχείων που επιτρέπει την προσήκουσα αποτύπωση και διαβίβασή τους, οι "ορφότυποι παροχής των πληροφοριών και στοιχείων και κάθε άλλο σχετικό θέ"α "ε τη διαχείριση της λειτουργίας του .Μ.Τ.Λ. και Λ.Π. το ση"είο αυτό πρέπει να διευκρινισθεί ότι, υπό το καθεστώς του ν. 2472/1997, η προηγού"ενη άδεια της Αρχής δεν συνιστά προαπαιτού"ενο όρο για την έκδοση ("ε κανονιστική πράξη) του κανονισ"ού λειτουργίας ενός συστή"ατος επεξεργασίας προσωπικών δεδο"ένων. Άδεια απαιτείται "όνο για τη λειτουργία ενός συστή"ατος, στην περίπτωση που το εν λόγω σύστη"α επεξεργάζεται ευαίσθητα προσωπικά δεδο"ένα, κατά την έννοια του άρθρου 2 στοιχ. β΄ του ν. 2472/1997, γεγονός που δεν συντρέχει εν προκει"ένω. ε κάθε περίπτωση παρα"ένει η γενική γνω"οδοτική αρ"οδιότητα της Αρχής, όπως αυτή προβλέπεται στο άρθρο 19 παρ. 1 στοιχ. θ΄ του ν. 2472/1997, αλλά και η εκ του άρθρου 6 του ίδιου νό"ου υποχρέωση του υπεύθυνου επεξεργασίας να γνωστοποιήσει στην Αρχή την πραγ"ατοποιού"ενη επεξεργασία και "άλιστα πριν από την έναρξη αυτής.
- Η απαλλαγή, βάσει της παραγράφου 5 του άρθρου 62 του ν. 4170/2013, από την ευθύνη σε περίπτωση διαβίβασης δεδο"ένων, τα οποία δεν περιλα"βάνονται στο αίτη"α των δη"οσίων αρχών και υπηρεσιών, πρέπει, κατ’ ορθή ερ"ηνεία της σχετικής διάταξης, να διευκρινισθεί ότι για λόγους ισότητας αφορά και στις τράπεζες και είναι για τις τράπεζες εντελώς περιορισ"ένη. Περιλα"βάνει "όνο την περίπτωση κατά την οποία η διαβίβαση διαφορετικών από τα αιτηθέντα δεδο"ένων οφείλεται στον ίδιο τον αλγόριθ"ο που προβλέπεται στο παράρτη"α Α΄ του σχεδίου της υπουργικής απόφασης, εφόσον αυτός ορίζεται σε κανονιστική πράξη και οι τράπεζες οφείλουν να τον εφαρ"όσουν. ε κα"ία περίπτωση, όσον αφορά την προστασία των προσωπικών δεδο"ένων, η προαναφερθείσα διάταξη δεν "πορεί να θεωρηθεί ότι προβλέπει την απαλλαγή των τραπεζών από την ευθύνη τους για τη "η λήψη των κατάλληλων "έτρων αποτροπής απαγορευ"ένης πρόσβασης ή απαγορευ"ένης διαβίβασης δεδο"ένων κατά τη λειτουργία του Μητρώου Τραπεζικών Λογαριασ"ών και Λογαριασ"ών Πληρω"ών, καθώς κάτι τέτοιο θα ήταν αντίθετο "ε το ενωσιακό δίκαιο περί προστασίας των Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 8 προσωπικών δεδο"ένων και ειδικότερα "ε τα άρθρα 6 και 17 της Οδηγίας 95/46/ΕΚ. Ο Πρόεδρος Η Γρα""ατέας Π. Χριστόφορος Μ. Γιαννάκη Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 9