Νέες ταυτότητες: Αλλάζει το νομικό πλαίσιο για τη διαδικασία έκδοσης

«Καμπάνα» 150χιλ. ευρώ έριξε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα στο υπουργείο Προστασίας του Πολίτη σχετικά με την έκδοση των νέων ταυτοτήτων.
Ειδικότερα, διοικητικά πρόστιμα συνολικού ύψους 150.000 ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα στο υπουργείο Προστασίας του Πολίτη με απόφασή της, για σοβαρά ζητήματα επεξεργασίας προσωπικών δεδομένων που προέκυψαν από την εισαγωγή των νέων δελτίων ταυτότητας.
Έτσι με  ανακοίνωση το Υπουργείο Προστασίας του Πολίτη σημειώνει μεταξύ άλλων ότι «ήδη έχουν ξεκινήσει ενέργειες για την τροποποίηση του νομικού πλαισίου σχετικά με την διαδικασία έκδοσης των νέων αστυνομικών ταυτοτήτων, σύμφωνα με την πρόσφατη εκδοθείσα σχετική απόφαση της Αρχής και προς πλήρη συμμόρφωση με τις οδηγίες της και ιδίως για: α) την εφαρμογή της αρχής ελαχιστοποίησης σε σχέση με την αποθήκευση των δεδομένων προσωπικού χαρακτήρα και β) την επικαιροποίηση του σχετικού ενημερωτικού υλικού προς τους πολίτες στην ιστοσελίδα της Ελληνικής Αστυνομίας. Οι ενέργειες αυτές θα έχουν ολοκληρωθεί εντός έξι (6) μηνών».
Αναλυτικά η ανακοίνωση του υπ. Προστασίας του Πολίτη
«Το Υπουργείο Προστασίας του Πολίτη και η Ελληνική Αστυνομία αποδίδουν ιδιαίτερη βαρύτητα στις αποφάσεις των ανεξάρτητων Αρχών, όπως η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, με στόχο τη διαρκή βελτίωση των διαδικασιών και την ενίσχυση της προστασίας των προσωπικών δεδομένων των πολιτών.
Ως εκ τούτου, έχουν ήδη ξεκινήσει ενέργειες για την τροποποίηση του νομικού πλαισίου σχετικά με την διαδικασία έκδοσης των νέων αστυνομικών ταυτοτήτων, σύμφωνα με την πρόσφατη εκδοθείσα σχετική απόφαση της Αρχής και προς πλήρη συμμόρφωση με τις οδηγίες της και ιδίως για: α) την εφαρμογή της αρχής ελαχιστοποίησης σε σχέση με την αποθήκευση των δεδομένων προσωπικού χαρακτήρα και β) την επικαιροποίηση του σχετικού ενημερωτικού υλικού προς τους πολίτες στην ιστοσελίδα της Ελληνικής Αστυνομίας. Οι ενέργειες αυτές θα έχουν ολοκληρωθεί εντός έξι (6) μηνών.
Επισημαίνεται ότι η ισχύς των ήδη εκδοθέντων δελτίων ταυτότητας παραμένει αμετάβλητη, καθώς και ότι η διαδικασία έκδοσης τους, έως την ολοκλήρωση των ανωτέρω ενεργειών, συνεχίζεται κανονικά».
Η έρευνα της Αρχής
Η ιστορία της έρευνας γύρω από τη νομιμότητα της επεξεργασίας δεδομένων για την έκδοση των νέων τύπων δελτίων ταυτότητας ξεκίνησε στις 26 Σεπτεμβρίου 2023, πριν ένα ακριβώς έτος, όταν ένας πολίτης υπέβαλε καταγγελία ενώπιον της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Ο πολίτης ανέφερε ότι, στο πλαίσιο της έκδοσης των νέων δελτίων ταυτότητας, είχε απευθύνει στις 25 Αυγούστου 2023 αίτημα προς το Υπουργείο Προστασίας του Πολίτη, ζητώντας πληροφορίες σχετικά με την επεξεργασία των προσωπικών δεδομένων που σχετίζονται με την έκδοση των νέων ταυτοτήτων. Παρά το γεγονός ότι ο πολίτης απέστειλε υπενθύμιση στις 19 Σεπτεμβρίου 2023, το υπουργείο δεν απάντησε στο αίτημά του.
Η Αρχή μεταξύ άλλων διαπίστωσε ότι η ενημέρωση για την επεξεργασία προσωπικών δεδομένων από την Ελληνική Αστυνομία (ΕΛ.ΑΣ.), η οποία ήταν υπεύθυνη για την έκδοση των νέων ταυτοτήτων, δεν ήταν επαρκής και συνολική. Η ΕΛ.ΑΣ. είχε δημοσιεύσει στον ιστότοπό της πληροφορίες σχετικά με την επεξεργασία των δεδομένων, ωστόσο, αυτές οι πληροφορίες κρίθηκαν ελλιπείς, καθυστερημένες και εν μέρει εσφαλμένες. Συγκεκριμένα, η ενημέρωση αυτή δεν είχε αναρτηθεί εγκαίρως, ενώ οι πολίτες δεν είχαν λάβει σαφή πληροφόρηση σχετικά με το πώς θα επεξεργάζονταν τα βιομετρικά τους δεδομένα, όπως τα δακτυλικά αποτυπώματα και η φωτογραφία τους, που απαιτούνται για την έκδοση των νέων ταυτοτήτων. Παράλληλα, ανακριβείς αναφορές στο νομικό καθεστώς γύρω από την επεξεργασία αυτών των δεδομένων, όπως η χρήση της έννοιας της "πρόδηλης ενεργής συγκατάθεσης" αντί της επιβαλλόμενης από το νόμο επεξεργασίας, παραβίαζαν το άρθρο 6 του ΓΚΠΔ.
Επιπρόσθετα, η Αρχή έκρινε ανεπαρκή και τη διαδικασία εκτίμησης αντικτύπου για την προστασία των δεδομένων (DPIA), η οποία ορίζεται ως υποχρεωτική από το άρθρο 35 του ΓΚΠΔ. Η εκτίμηση αντικτύπου, που είχε ως στόχο να εντοπίσει και να διαχειριστεί πιθανούς κινδύνους για τα προσωπικά δεδομένα των πολιτών, πραγματοποιήθηκε με καθυστέρηση, μετά από την έναρξη της επεξεργασίας, κάτι που αποτελεί σοβαρή παράβαση. Η εκτίμηση αυτή δεν κάλυπτε επαρκώς τα τεχνικά και οργανωτικά μέτρα που θα έπρεπε να είχαν ληφθεί για να προστατευθούν τα δεδομένα κατά τη διαδικασία έκδοσης των νέων δελτίων ταυτότητας.