Προδικαστικό ερώτημα προς το ΔΕΕ σχετικά με τη δικαιοδοσία των εθνικών αρχών προστασίας προσωπικών δεδομένων

Στο ΔΕΕ παραπέμπεται μια υπόθεση (C-230/14) που αφορά την προστασία προσωπικών δεδομένων και τη δικαιοδοσία, συγκεκριμένα, μιας εθνικής αρχής προστασίας προσωπικών δεδομένων, έναντι κατόχου ιστοσελίδας με εγκατάσταση σε άλλο κράτος μέλος της ΕΕ.

H συγκεκριμένη υπόθεση έχει ως εξής: Η Ουγγρική αρχή προστασίας προσωπικών δεδομένων επέβαλε το μέγιστο προβλεπόμενο διοικητικό πρόστιμο (€ 35.700) σε ένα διαδικτυακό μεσιτικό κατάστημα για παράνομη επεξεργασία προσωπικών δεδομένων που έχει ως έδρα τη Σλοβακία. Η εν λόγω εταιρία εξαπατούσε τους καταναλωτές, προσφέροντας αρχικώς δωρεάν υπηρεσίες, αλλά μετά από δοκιμαστική περίοδο τους χρέωνε με υψηλά ποσά. Ο υπεύθυνος επεξεργασίας αρνούνταν στους πελάτες να υπαναχωρήσουν και να αφαιρέσουν τις αγγελίες που έβαζαν, η ισχύς των οποίων έληγε εφόσον ο πελάτης δεν πλήρωνε. Και επίσης, μεταβίβαζαν τα δεδομένα των πελατών σε εξωτερικούς παροχείς χωρίς τη συναίνεσή τους και χωρίς ενημέρωση (βλ. αναλυτικά εδώ). Η Ουγγρική Αρχή προστασίας προσωπικών δεδομένων που διερεύνησε τις καταγγελίες των πελατών του καταστήματος αυτού καταδίκασε την εταιρία σε πρόστιμο και η τελευταία άσκησε προσφυγή ενώπιον δικαστηρίου. Στην κατ' έφεση δίκη, το δικαστήριο απηύθυνε προδικαστικό ερώτημα προς το ΔΕΕ σχετικά με τη δικαιοδοσία της Ουγγρικής Αρχής και το εφαρμοστέο δίκαιο.

Ειδικότερα, τα προδικαστικά ερωτήματα είναι τα εξής:

Έχει το άρθρο 28, παράγραφος 1, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (στο εξής: οδηγία για την προστασία των δεδομένων), την έννοια ότι η εθνική νομοθεσία κράτους μέλους μπορεί να εφαρμοσθεί, εντός του εδάφους του κράτους μέλους αυτού στην περίπτωση υπευθύνου επεξεργασίας δεδομένων με πλήρη εγκατάσταση σε άλλο κράτος μέλος, ο οποίος εκμεταλλεύεται διαδικτυακό ιστότοπο μεσιτείας ακινήτων και προωθεί, μεταξύ άλλων, ακίνητα ευρισκόμενα στο έδαφος του πρώτου κράτους μέλους, των οποίων οι ιδιοκτήτες διαβίβασαν τα δεδομένα προσωπικού χαρακτήρα που τους αφορούν σε μέσο (εξυπηρετητή) αποθηκεύσεως και επεξεργασίας δεδομένων που ανήκει στον διαχειριστή του δικτυακού τόπου και βρίσκεται σε άλλο κράτος μέλος;

Έχει το άρθρο 4, παράγραφος 1, στοιχείο α΄, της οδηγίας για την προστασία των δεδομένων, υπό το πρίσμα των αιτιολογικών σκέψεων 18 έως 20 και των άρθρων 1, παράγραφος 2, και 28, παράγραφος 1, την έννοια ότι η Magyar Adatvédelmi és Információszabadság Hatóság (στο εξής: αρχή προστασίας δεδομένων) δεν μπορεί να εφαρμόσει το ουγγρικό δίκαιο περί προστασίας δεδομένων, ως εθνικό δίκαιο, στην περίπτωση διαχειριστή δικτυακού τόπου μεσιτείας ακινήτων εγκαταστημένου αποκλειστικώς σε άλλο κράτος μέλος, ούτε καν όταν αυτός προωθεί, μεταξύ άλλων, ουγγρικά ακίνητα των οποίων οι ιδιοκτήτες διαβίβασαν, πιθανώς από την Ουγγαρία, τα δεδομένα που αφορούν τα ακίνητά τους σε μέσο (εξυπηρετητή) αποθηκεύσεως και επεξεργασίας δεδομένων που ανήκει στον διαχειριστή του δικτυακού τόπου και βρίσκεται σε άλλο κράτος μέλος;

Έχει σημασία για την ερμηνεία το γεγονός ότι η υπηρεσία που παρέχει ο υπεύθυνος επεξεργασίας δεδομένων, ο οποίος εκμεταλλεύεται τον διαδικτυακό ιστότοπο, αφορά το έδαφος άλλου κράτους μέλους;

Έχει σημασία για την ερμηνεία το γεγονός ότι τα δεδομένα που αφορούν τα ακίνητα που βρίσκονται στο έδαφος του άλλου κράτους μέλους και τα δεδομένα προσωπικού χαρακτήρα των ιδιοκτητών των ακινήτων μεταφορτώθηκαν εντός του εδάφους του εν λόγω άλλου κράτους μέλους;

Έχει σημασία για την ερμηνεία το γεγονός ότι τα δεδομένα προσωπικού χαρακτήρα που αφορούν τα εν λόγω ακίνητα είναι δεδομένα προσωπικού χαρακτήρα πολιτών άλλου κράτους μέλους;

Έχει σημασία για την ερμηνεία το γεγονός ότι οι ιδιοκτήτες της εγκαταστημένης στη Σλοβακία επιχειρήσεως διαμένουν στην Ουγγαρία;

Εάν από τις απαντήσεις στα προηγούμενα ερωτήματα προκύπτει ότι η ουγγρική αρχή προστασίας των δεδομένων μπορεί να κινήσει διαδικασία, αλλά δεν μπορεί να εφαρμόσει το εθνικό δίκαιο και πρέπει να εφαρμόσει το δίκαιο του κράτους μέλους εγκαταστάσεως, έχει το άρθρο 28, παράγραφος 6, της οδηγίας για την προστασία των δεδομένων την έννοια ότι η ουγγρική αρχή προστασίας δεδομένων μπορεί να ασκήσει μόνον τις εξουσίες που προβλέπονται στο άρθρο 28, παράγραφος 3, της οδηγίας για την προστασία των δεδομένων σύμφωνα με τα οριζόμενα στη νομοθεσία του κράτους μέλους εγκαταστάσεως και ότι, για τον λόγο αυτό, δεν έχει εξουσία επιβολής προστίμου;

Βλ. σχετικά:CARLO PILTZ, Vorlagefragen an den EuGH: Wie weit reicht der Arm nationaler Datenschutzbehörden? Posted on 17. AUGUST 2014.

Προστασία προσωπικών δεδομένων κατά την πολιτική επικοινωνία

Με την υπ' αριθ. 1/2010 απόφαση η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα έκρινε σχετικά με την επεξεργασία δεδομένων προς το σκοπό της πολιτικής επικοινωνίας, όποτε και αν πραγματοποιείται αυτή. Ως πολιτική επικοινωνία ορίζεται εκείνη που πραγματοποιείται για την προώθηση πολιτικών ιδεών, προγραμμάτων δράσης ή άλλων δραστηριοτήτων από πολιτικά πρόσωπα με σκοπό την υποστήριξή τους και τη διαμόρφωση πολιτικής συμπεριφοράς.

Οι μέθοδοι που χρησιμοποιούνται για την επικοινωνία των πολιτικών προσώπων με τους πολίτες είναι η απευθείας ή και εξατομικευμένη/στοχευμένη επικοινωνία, και επιπλέον στο μέσο που χρησιμοποιείται, ηλεκτρονικό (τηλέφωνο, τηλεομοιοτυπία, ηλεκτρονικό ταχυδρομείο, γραπτά μηνύματα μέσω κινητού τηλεφώνου - SMS, MMS), ή μη ηλεκτρονικό (ταχυδρομείο).

Γίνεται σαφές, όπως αναφέρει η Αρχή, ότι για την πολιτική επικοινωνία είναι κατά κανόνα απαραίτητη η επεξεργασία μεγάλου όγκου προσωπικών δεδομένων, αφού η επικοινωνία αποσκοπεί στην υποστήριξη των ενδιαφερομένων από κατά το δυνατόν μεγάλο αριθμό ατόμων, ενώ δεν αποκλείεται και η δημιουργία προφίλ προς το σκοπό της στοχευμένης επικοινωνίας. Συνεπώς, εύλογη καθίσταται η ανάγκη προστασίας των προσωπικών δεδομένων των υποκειμένων.

Συνακόλουθα, η πολιτική επικοινωνία ελέγχεται με βάση τις διατάξεις του δικαίου προστασίας προσωπικών δεδομένων, εφόσον αντικείμενό της αποτελούν προσωπικά δεδομένα. Ως εκ τούτου, η Αρχή με την παραπάνω απόφασή της προέβη σε εξειδίκευση των κανόνων για τη σύννομη επεξεργασία προσωπικών δεδομένων προς το σκοπό της πολιτικής επικοινωνίας.

Καταρχήν, λοιπόν, η συλλογή προσωπικών δεδομένων με σκοπό την πολιτική επικοινωνία από τον υπεύθυνο επεξεργασίας πρέπει να είναι θεμιτή και νόμιμη, δηλαδή να πραγματοποιείται με τη συγκατάθεση των υποκειμένων των δεδομένων είτε χωρίς αυτή υπό την προϋπόθεση ότι τα δεδομένα προέρχονται από άλλες νόμιμες πηγές και η επεξεργασία τους προς το σκοπό της πολιτικής επικοινωνίας είναι συμβατή με το σκοπό για τον οποίο αρχικώς συλλέχθηκαν. Προσέτι δε, με τη συγκατάθεση του υποκειμένου των δεδομένων επιτρέπεται η συλλογή και περαιτέρω επεξεργασία των δεδομένων που το αφορούν, απλών όσο και ευαίσθητων.

Η Αρχή παραθέτει και ένα παράδειγμα δήλωσης συγκατάθεσης, η οποία δύναται να έχει ως εξής:

"Επιθυμώ να λαμβάνω πολιτική επικοινωνία από/σχετικά με τον Χ στην [ταχυδρομική διεύθυνση / διεύθυνση ηλεκτρονικού ταχυδρομείου / στο κινητό τηλέφωνο] που έχω δηλώσει για το σκοπό αυτό ή/και να διαβιβασθούν τα δεδομένα μου (με αναφορά σε ορισμένα ή όλα τα στοιχεία επαφής) [στον Χ /στην κατηγορία αποδεκτών Χ] προς το σκοπό της πολιτικής επικοινωνίας."

Περαιτέρω, τα προσωπικά δεδομένα πρέπει να περιορίζονται στα απολύτως απαραίτητα για την επίτευξη του επιδιωκόμενου σκοπού και να είναι σε κάθε χρονική στιγμή ακριβή. Για παράδειγμα, εφόσον η πολιτική επικοινωνία πραγματοποιείται με την αποστολή ταχυδρομικής επιστολής δεν είναι αναγκαία η τήρηση ή η διαβίβαση των τηλεφωνικών αριθμών στον εκτελούντα την επεξεργασία, π.χ. στην εταιρεία που αναλαμβάνει την αποστολή των επιστολών. Ακόμα, η επεξεργασία των προσωπικών δεδομένων επιτρέπεται μόνο για όσο χρονικό διάστημα είναι απαραίτητο προς το σκοπό της πολιτικής επικοινωνίας.

Ο υπεύθυνος επεξεργασίας οφείλει να γνωστοποιεί στην Αρχή την επεξεργασία και, εφόσον πρόκειται να επεξεργασθεί ευαίσθητα δεδομένα, να λαμβάνει άδεια, αλλά και να ικανοποιεί τα δικαιώματα ενημέρωσης, πρόσβασης και αντίρρησης των υποκειμένων των δεδομένων.

Όταν η πολιτική επικοινωνία πραγματοποιείται μέσω ταχυδρομείου, η επεξεργασία προσωπικών δεδομένων επιτρέπεται με τη συγκατάθεση των υποκειμένων των δεδομένων ή χωρίς αυτή, εφόσον πρόκειται για απλά δεδομένα, εφόσον τα δεδομένα προέρχονται από νόμιμες πηγές, δηλαδή να συλλέχθηκαν με νόμιμο τρόπο και η χρήση τους να μην είναι ασυμβίβαστη με το σκοπό της πολιτικής επικοινωνίας. Τέτοιες πηγές είναι οι εξής:

(α) Οι δημόσια προσβάσιμοι κατάλογοι, τηλεφωνικοί (π.χ. ο κατάλογος του ΟΤΕ), ή επαγγελματικοί κατάλογοι (π.χ. ο Χρυσός Οδηγός), οι κατάλογοι εμπορικών εκθέσεων καθώς και μητρώα που καθίστανται εκ του νόμου δημόσια προσβάσιμα.

(β) Τα μητρώα των επιμελητηρίων και επαγγελματικών συλλόγων, που λειτουργούν ως Ν.Π.Δ.Δ. με υποχρεωτική συμμετοχή των μελών τους.

(γ) Οι εκλογικοί κατάλογοι αποτελούν νόμιμη πηγή υπό τις εξής κατά νόμο προϋποθέσεις: Τα κόμματα λαμβάνουν πλήρη σειρά των εκλογικών καταλόγων, οι βουλευτές, ευρωβουλευτές, κάτοχοι αιρετών θέσεων στην τοπική αυτοδιοίκηση και οι υποψήφιοι λαμβάνουν απόσπασμα για την εκλογική περιφέρεια όπου έχουν εκλεγεί ή είναι υποψήφιοι. Οι κατάλογοι χορηγούνται αποκλειστικώς για εκλογική χρήση ενώ η παραχώρηση και η χρήση τους για άλλο σκοπό ή από οποιονδήποτε τρίτο απαγορεύεται. Κατά συνέπεια, απαγορεύεται η διαβίβαση των εκλογικών καταλόγων ή των αποσπασμάτων τους σε τρίτα πρόσωπα και επιβάλλεται η καταστροφή τους σε εύλογο χρονικό διάστημα, το οποίο να μην υπερβαίνει τους τρεις μήνες μετά τη λήξη της προεκλογικής περιόδου.

Τονίζεται ότι ακόμη και όταν τα προσωπικά δεδομένα προέρχονται από νόμιμες πηγές σύμφωνα με την παρ. 1 του παρόντος άρθρου, ο υπεύθυνος επεξεργασίας οφείλει πριν από την πραγματοποίηση της πολιτικής επικοινωνίας να συμβουλεύεται το μητρώο του άρθρου 13 παρ. 3 ν. 2472/1997 που τηρεί η ΑΠΔΠΧ, και στο οποίο εγγράφονται όσα πρόσωπα δεν επιθυμούν τα στοιχεία τους να αποτελέσουν αντικείμενο επεξεργασίας για διαφημιστικούς σκοπούς.

Όταν η πολιτική επικοινωνία πραγματοποιείται με χρήση ηλεκτρονικών μέσων επικοινωνίας, με ή χωρίς ανθρώπινη παρέμβαση (τηλεφωνικές κλήσεις, φαξ, φωνητικά μηνύματα, γραπτά μηνύματα (SMS), μηνύματα ηλεκτρονικού ταχυδρομείου), εφαρμόζονται οι ειδικότερες διατάξεις του άρθρου 11 ν. 3471/2006. Η χρήση όλων των ανωτέρω τρόπων επικοινωνίας προϋποθέτει την προηγούμενη συγκατάθεση του υποκειμένου των δεδομένων. Η λήψη της συγκατάθεσης είναι απαραίτητη ακόμα και όταν ο υπεύθυνος επεξεργασίας έχει στη διάθεσή του τα ηλεκτρονικά στοιχεία επικοινωνίας από νόμιμες πηγές, όπως για παράδειγμα τους τηλεφωνικούς αριθμούς από τον τηλεφωνικό κατάλογο.

Η συγκατάθεση του υποκειμένου των δεδομένων πρέπει, σύμφωνα με την ειδικότερη διάταξη του άρθρου 5 παρ. 3 ν. 3471/2006, να δίδεται εγγράφως ή με ηλεκτρονικά μέσα, ανεξαρτήτως αν πρόκειται για απλά ή ευαίσθητα δεδομένα.

Κατ' εξαίρεση επιτρέπεται η αποστολή μηνυμάτων ηλεκτρονικού ταχυδρομείου, σύντομων γραπτών μηνυμάτων (SMS) και μηνυμάτων πολυμέσων (MMS), χωρίς τη συγκατάθεση του υποκειμένου των δεδομένων εφόσον συντρέχουν σωρευτικά οι ακόλουθες προϋποθέσεις: (i) τα στοιχεία επικοινωνίας έχουν αποκτηθεί νομίμως στο πλαίσιο προηγούμενης, παρόμοιας επαφής με τα υποκείμενα των δεδομένων. Η προηγούμενη επαφή δεν είναι απαραίτητο να έχει αμιγώς πολιτικό χαρακτήρα, πχ. είναι νόμιμη η αποστολή μηνυμάτων όταν τα στοιχεία ηλεκτρονικού ταχυδρομείου συλλέχθηκαν στο πλαίσιο προηγούμενης πρόσκλησης για συμμετοχή σε κάποια εκδήλωση ή δράση, ανεξαρτήτως του πολιτικού χαρακτήρα της. Αρκεί συνεπώς ο υπεύθυνος επεξεργασίας να ανήκει σε μια από τις κατηγορίες προσώπων που αναφέρονται στο άρθρο 1 παρ. 1 της παρούσας Οδηγίας. Αντιθέτως, δεν θεωρείται παρόμοια επαφή και δεν είναι νόμιμη η χρήση των ηλεκτρονικών στοιχείων επικοινωνίας προς το σκοπό της πολιτικής επικοινωνίας όταν τα στοιχεία αυτά αποκτήθηκαν στο πλαίσιο επαγγελματικής σχέσης, όπως για παράδειγμα η χρήση του αρχείου πελατών από υποψήφιο βουλευτή. (ii) O υπεύθυνος επεξεργασίας οφείλει να παρέχει στο υποκείμενο των δεδομένων τη δυνατότητα να ασκεί το δικαίωμα αντίρρησης με τρόπο εύκολο και σαφή, και αυτό σε κάθε μήνυμα πολιτικής επικοινωνίας.

Επεξεργασία των δεδομένων ταυτότητας επισκεπτών των κτιριακών εγκαταστάσεων εταιρείας αμερικανικών αυμφερόντων

Στην υπόθεση αυτή, η Αρχή αντιμετώπισε αίτηση της εταιρείας FORD MOTOR ΕΛΛΑΣ, η οποία ζητούσε να πληροφορηθεί κατά πόσο είναι νόμιμη η επεξεργασία δεδομένων στην οποία προέβαινε. Συγκεκριμένα, η εν λόγω εταιρία προέβαινε στην καταγραφή στο ημερήσιο δελτίο επισκέψεων της εταιρείας, το όνομα και το επώνυμο κάθε προσώπου, που επισκεπτόταν με οποιαδήποτε ιδιότητα την έδρα της, καθώς επίσης και τον αριθμό της αστυνομικής του ταυτότητας ή του διαβατηρίου του. Τα στοιχεία αυτά αποτελούν απλά δεδομένα προσωπικού χαρακτήρα του υποκειμένου τους, σύμφωνα με την Αρχή.
Η Αρχή διαπίστωσε, επίσης, ότι η σύσταση και λειτουργία του αρχείου αυτού από την εταιρεία FORD MOTOR ΕΛΛΑΣ AEBE, ως υπεύθυνο επεξεργασίας, υπόκειται, καταρχήν, στην υποχρέωση γνωστοποίησης στην Αρχή, ενώ δεν εμπίπτει σε οποιαδήποτε από τις περιπτώσεις απαλλαγής από την υποχρέωση γνωστοποίησης του άρθρου 6, που προβλέπει κατά τρόπο περιοριστικό το άρθρο 7Α του νόμου αυτού. Από τα στοιχεία του φακέλου δεν προκύπτει ότι το εν λόγω αρχείο έχει γνωστοποιηθεί στην Αρχή. Συνεπώς, η εταιρεία FORD MOTOR ΕΛΛΑΣ AEBE, ως υπεύθυνος επεξεργασίας, έχει προβεί στη σύσταση και λειτουργία του εν λόγω αρχείου κατά παράβαση των διατάξεων του άρθρου 6 του Ν. 2472/1997.
Περαιτέρω, έκρινε ότι επειδή, ωστόσο – και κυρίως – η κατά τα ανωτέρω καταγραφή των στοιχείων ταυτότητας κάθε προσώπου, που – με οποιαδήποτε ιδιότητα – επισκέπτεται την έδρα της εν λόγω εταιρείας, όπου συστεγάζονται οι διοικητικές υπηρεσίες της και το υποκατάστημα της χρηματοδοτικής τράπεζας Ford Credit Europe Bank Pic, αντιβαίνει στις διατάξεις του άρθρου 4 παρ. 1 του Ν. 2472/1997, καθόσον η συλλογή και περαιτέρω επεξεργασία των δεδομένων ταυτότητας των ενδιαφερομένων προσώπων, καθώς, επίσης, και η σύσταση και λειτουργία του σχετικού αρχείου, δεν συνάδουν με την αρχή της αναλογικότητας των δεδομένων σε σχέση με τον προβαλλόμενο στην κρινόμενη υπόθεση σκοπό επεξεργασίας.

Και τούτο, διότι, καταρχάς, οι συγκεκριμένες κτιριακές εγκαταστάσεις, όπου συστεγάζονται οι διοικητικές υπηρεσίες της FORD MOTOR ΕΛΛΑΣ AEBE και το υποκατάστημα της χρηματοδοτικής τράπεζας Ford Credit Europe Bank Pic, αποτελούν τμήματα ιδιωτικών εμπορικών επιχειρήσεων εκ της φύσεώς τους προσιτά σε ευρύ κοινό και, συνεπώς, η συγκεκριμένη πρακτική είναι απρόσφορη για την εκπλήρωση του προβαλλόμενου από την εν λόγω εταιρεία σκοπού επεξεργασίας. Στο πλαίσιο αυτό, η εν λόγω εταιρεία αλυσιτελώς επικαλείται το γεγονός ότι η ίδια «ανήκει στον όμιλο εταιριών της FORD, αμερικανικών συμφερόντων, καθώς και όλες οι εταιρείες αμερικάνικων συμφερόντων, αντιμετωπίζουν με ιδιαίτερη ευαισθησία το θέμα της ασφάλειας στις εγκαταστάσεις και στα διοικητικά γραφεία τους». Η Ελληνική Δημοκρατία, ως χώρα, ουδόλως αντιμετωπίζει γενικευμένο πρόβλημα τρομοκρατικών επιθέσεων, που θα μπορούσε να δικαιολογήσει ενδεχομένως, τέτοιου είδους πρακτικές επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Συνεπώς, μόνο μετά από την επίκληση συγκεκριμένου περιστατικού εξαιρετικού χαρακτήρα, ικανού να δικαιολογήσει την προσωρινή χρήση αυτού του μέτρου, η FORD MOTOR ΕΛΛΑΣ AEBE – όπως και οποιαδήποτε άλλη εμπορική εταιρεία – θα μπορούσε ενδεχομένως να προβεί σε σύσταση και λειτουργία του αρχείου αυτού για περιορισμένο χρονικό διάστημα. Εξάλλου, η ίδια η FORD MOTOR ΕΛΛΑΣ AEBE συνομολογεί ότι ήδη διαθέτει προσωπικό ασφαλείας για το σκοπό της προστασίας των χώρων των κτιριακών της εγκαταστάσεων και των προσώπων, που βρίσκονται στους χώρους αυτούς. Ο σκοπός αυτός μπορεί να επιτευχθεί και με επεξεργασίες δεδομένων προσωπικού χαρακτήρα ηπιότερες από εκείνη της συλλογής και περαιτέρω επεξεργασίας των δεδομένων ταυτότητας των εισερχομένων στις κτιριακές εγκαταστάσεις της εν λόγω εταιρείας. Τέτοιου είδους επεξεργασία συνιστά, για παράδειγμα, η εγκατάσταση και λειτουργία κλειστού κυκλώματος τηλεόρασης, σύμφωνα με τα οριζόμενα στις οικείες διατάξεις του Ν. 2472/1997 και στην Οδηγία 1122/26.09.2000 της Αρχής για τα κλειστά κυκλώματα τηλεόρασης, στις εισόδους των κτιριακών εγκαταστάσεων της εν λόγω εταιρείας. Επιπλέον, το υποκατάστημα της χρηματοδοτικής τράπεζας Ford Credit Europe Bank Pic, που συστεγάζεται στις εν λόγω κτιριακές εγκαταστάσεις, υπόκειται εκ της φύσεως των εργασιών του στην ειδική νομοθεσία, που διέπει την πρόβλεψη μέτρων ασφαλείας στις εγκαταστάσεις τραπεζικών ιδρυμάτων. Το εν λόγω υποκατάστημα, ως υπεύθυνος επεξεργασίας, δικαιούται να προβαίνει στη συλλογή και περαιτέρω επεξεργασία των δεδομένων ταυτότητας των συναλλασσομένων με τις υπηρεσίες του μόνον στις ειδικές περιπτώσεις, που αυτό ορίζεται ρητά από τις οικείες διατάξεις που διέπουν τη λειτουργία των τραπεζικών εργασιών του (όπως είναι, ιδίως, εκείνες του Ν. 3691/2008 για την πρόληψη κλπ, νομιμοποίησης παράνομων εσόδων, τρομοκρατίας, κλπ.) και σύμφωνα και με τα οριζόμενα στις προαναφερόμενες διατάξεις των άρθρων 6 και 7Α του Ν. 2472/1997.

Διάλογος μεταξύ της Google και της επιτροπής του άρθρου 29 για ζητήματα προστασίας δεδομένων

Σε προηγούμενη ανάρτηση, σημειώσαμε τα ζητήματα προστασίας δεδομένων σε σχέση με τις μηχανές αναζήτησης. Η αντίδραση της Google στη γνωμοδότηση της επιτροπής του άρθρου 29 ήταν να ανακοινώσει συγκεκριμένες δράσεις.

Ειδικότερα, η εταιρία Google απάντησε στις 8.09.2008 δηλώνοντας το ενδιαφέρον της για τη λύση των ζητημάτων προστασίας προσωπικών δεδομένων.

Συγκεκριμένα, δήλωσε ότι θα προβεί σε δύο κινήσεις: α) την ανωνυμοποίηση των διευθύνσεων ΙΡ που συνδέονται με τις αναζητήσεις των χρηστών, μετά από 9 μήνες, αντί για 18 μήνες και β) την εισαγωγή συνδέσμου στην αρχική σελίδα της Google που θα παραπέμπει στην πολιτική προστασίας δεδομένων της εταιρίας.

Η Επιτροπή του άρθρου 29 δια του προέδρου της, Alex TÜRK, δήλωσε ικανοποίηση σε σχέση με τις αλλαγές αυτές. Ωστόσο, παραμένουν μια σειρά προβλήματα, όπως είναι η θεώρηση της εταιρίας ότι το ευρωπαϊκό δίκαιο προστασίας δεδομένων δεν βρίσκει εφαρμογή, η διατήρηση δεδομένων των χρηστών πέραν των 6 μηνών, η μη βελτίωση των μηχανισμών ανωνυμοποίησης, το ότι η Google δεν θεωρεί τις διευθύνσεις ΙΡ ως προσωπικά δεδομένα και δεν παρέχει δικαιώματα στους χρήστες, τέλος, δε το γεγονός ότι δεν προσφεύγει σε διαφανή αναζήτηση συγκατάθεσης.

Τα RFID-Tags και η προστασία της ιδιωτικότητας

Η ανίχνευση ραδιοσυχνοτήτων είναι μια αυτόματη μέθοδος ταυτοποίησης που βασίζεται στην αποθήκευση και αυτόματη ανάκτηση δεδομένων μέσω συστημάτων αναγνώρισης με ραδιοσυχνότητες (RFID tag) ή ανεπαφικών πλινθίων (RFID chips) ή πομποδεκτών. Ένα τέτοιο σύστημα αποτελείται από ένα ηλεκτρονικό κύκλωμα που τοποθετείται σε ένα αντικείμενο, το οποίο αποθηκεύει τον σειριακό αριθμό αναγνώρισης και άλλες πληροφορίες, και έναν δέκτη που εντοπίζει το κύκλωμα και "διαβάζει" τα στοιχεία που το κύκλωμα αποθηκεύει.

Η ανάγνωση δεδομένων από το RFID tag γίνεται από απόσταση 10 εκατοστών έως και μερικών μέτρων, με τη βοήθεια ενός αναγνώστη. Επίσης, διακρίνονται σε παθητικά και ενεργητικά, από τα οποία τα πρώρα τροφοδοτούνται με ενέργεια από τον πομποδέκτη, ενώ τα δεύτερα, έχουν αυτόνομη τροφοδοσία.

Οι εφαρμογές των RFID tags διευρύνονται συνεχώς, τελευταία δε χρησιμοποιούνται στα βιομετρικά διαβατήρια της ΕΕ, ενώ αναμένεται να διευρυνθεί περαιτέρω η χρήση τους.

Παρά τα θετικά στοιχεία που προσφέρει η τεχνολογία αυτή, συνεπάγεται μια σειρά από προβλήματα που πρέπει να αντιμετωπισθούν. Πέρα από τα προβλήματα ασφάλειας δεδομένων που μπορούν να προκύψουν από την υποκλοπή δεδομένων (skimming), η οποία συνιστά σημαντικό κίνδυνο, ανακύπτουν ζητήματα προστασίας προσωπικών δεδομένων

Το δίκαιο προστασίας προσωπικών δεδομένων, δηλ. ο ν. 2472/1997 στη χώρα μας, ο οποίος
αποτελεί την πράξη εφαρμογής της οδηγίας 95/46/ΕΟΚ, βρίσκει εφαρμογή όταν τα εν λόγω κυκλώματα έχουν αποθηκευμένα προσωπικά δεδομένα ή όταν δεν έχουν αποθηκευμένα τέτοια δεδομένα, αλλά χρησιμεύουν στην ταυτοτοποίηση φυσικών προσώπων.

Σε αυτή την περίπτωση, η επεξεργασία προσωπικών δεδομένων πρέπει να λαμβάνει χώρα με σεβασμό των κανόνων του δικαίου προστασίας των εν λόγω δεδομένων (βλ. σχετικά Article 29 Working Group, Working Document on data protection issues related to RFID technology). Ειδικότερα, πρέπει να εξασφαλίζεται ότι τα δεδομένα είναι πρόσφορα, αναγκαία και όχι περισσότερα από όσα χρειάζεται για την επίτευξη του σκοπού της επεξεργασίας, να είναι ακριβή και να μη διατηρούνται για περισσότερο από όσο απαιτείται (βλ. άρθρο 4 ν. 2472/1997). Επίσης, θα πρέπει να διασφαλίζεται η ασφάλεια δεδομένων, κατά τρόπο ώστε να είναι αδύνατη η υποκλοπή δεδομένων, πράγμα που γίνεται με τη χρησιμοποίηση κρυπτογράφησης.

Επιπλέον, η επεξεργασία θα πρέπει να είναι νόμιμη, δηλ. σύμφωνη με το άρθρο 5 του ν. 2472/1997, που σημαίνει ότι θα πρέπει να στηρίζεται στη συγκατάθεση του υποκειμένου των δεδομένων, ή σε κάποια άλλη προϋπόθεση, όπως το έννομο συμφέρον του υπεύθυνου της επεξεργασίας. Επίσης, θα πρέπει να ενημερώνονται τα υποκείμενα των δεδομένων για την επεξεργασία και τις επιμέρους συνθήκες αυτής.

Σε ειδικές περιπτώσεις, θα πρέπει να γίνει στάθμιση των εκάστοτε δεδομένων. Έτσι, λ.χ., η παρακολούθηση των εργαζομένων με παρόμοια συστήματα δεν μπορεί να θεωρηθεί θεμιτή μέθοδος, ενώ η χρήση της για την παρακολούθηση της μετακίνησης προσώπων θα είναι οριακά νόμιμη, εφόσον και μόνο εξυπηρετεί έναν θεμιτό και νόμιμο σκοπό. Γίνεται μνεία της υπ΄αριθ. 52/2003 απόφασης της Αρχής, με την οποία σε συναφή περίπτωση, κρίθηκε μη νόμιμη η επεξεργασία βιομετρικών στοιχείων με σκοπό την ασφάλεια των πτήσεων (βλ. ΠοινΔικ 2004, 37).

Σημαντική είναι η δράση της Ευρωπαϊκής Επιτροπής, η οποία δεν έχει μείνει απαθής μπροστά στα ζητήματα που ανακύπτουν από τις εφαρμογές της νέας αυτής τεχνολογίας, αλλά κινητοποιεί τους ενδιαφερόμενους φορείς μέσα από τον δικτυακό τόπο Information Society. Ειδικότερα, η Επιτροπή διοργάνωσε ημερίδες και ειδικές δράσεις για το ζήτημα, αλλά και διαβούλευση μέσω του δικτυακού τόπου www.rfidconsultation.eu, ενώ οργανώνει δημόσια διαβούλευση στην οποία μπορεί κάθε ενδιαφερόμενος να συμμετέχει (κάνε κλικ εδώ).

Ιωάννης Ιγγλεζάκης