Η κίνηση αυτή έπεται της επιβολής προστίμου 150.000€ από την Αρχή Προστασίας Προσωπικών Δεδομένων, λόγω παρατυπιών που διαπιστώθηκαν κατόπιν αυτεπάγγελτης εξέτασης.
Η έρευνα της Αρχής αποκάλυψε ελλείψεις στον τρόπο πληροφόρησης των πολιτών σχετικά με τη διαχείριση των προσωπικών τους στοιχείων κατά την έκδοση νέων ταυτοτήτων, κάτι που συνιστά παραβίαση της αρχής της διαφάνειας, όπως αυτή ορίζεται στο Γενικό Κανονισμό για την Προστασία Δεδομένων (GDPR).
Με βάση την απόφαση που είναι διαθέσιμη εδώ, η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα εντόπισε τις εξής βασικές πλημμέλειες στη διαδικασία έκδοσης των νέων ταυτοτήτων:
1. Παραβίαση των άρθρων 13 και 14 του ΓΚΠΔ (GDPR) σχετικά με την ενημέρωση των υποκειμένων των δεδομένων:
– Απουσία ενημέρωσης για μεγάλο χρονικό διάστημα μετά την έναρξη έκδοσης των νέων ταυτοτήτων.
– Καθυστερημένη ανάρτηση του κειμένου ενημέρωσης στην ιστοσελίδα του υπεύθυνου επεξεργασίας.
– Εσφαλμένες πληροφορίες στο κείμενο ενημέρωσης, όπως λανθασμένη αναφορά στη νομική βάση επεξεργασίας των βιομετρικών δεδομένων.
2. Παραβίαση του άρθρου 35 παρ. 1 του ΓΚΠΔ (GDPR) σχετικά με την εκτίμηση αντικτύπου:
– Μη διενέργεια εκτίμησης αντικτύπου πριν την έναρξη της επεξεργασίας, όπως απαιτείται.
– Διενέργεια εκτίμησης αντικτύπου μόνο μετά από επικοινωνία της Αρχής και αφού είχε ήδη ξεκινήσει η έκδοση των νέων ταυτοτήτων.
– Η εκτίμηση αντικτύπου που τελικά διενεργήθηκε δεν φαίνεται να εντόπισε όλους τους κινδύνους.
3. Παραβίαση της αρχής της ελαχιστοποίησης των δεδομένων (άρθρο 5 παρ. 1 στοιχ. γ’ ΓΚΠΔ):
– Αποθήκευση στο ηλεκτρονικό μέσο (τσιπ) στοιχείων που δεν απαιτούνται από τον Κανονισμό (ΕΕ) 2019/1157, όπως επώνυμο πατέρα, επώνυμο μητέρας, Δήμος εγγραφής, αριθμός δημοτολογίου και τόπος έκδοσης του δελτίου.
– Μη επαρκής τεκμηρίωση της αναγκαιότητας συμπερίληψης αυτών των επιπλέον στοιχείων.
– Έλλειψη σαφήνειας σχετικά με το πώς, από ποιους και για ποιους σκοπούς θα χρησιμοποιούνται αυτά τα επιπλέον στοιχεία.
4. Παραβίαση των υποχρεώσεων του υπεύθυνου επεξεργασίας σύμφωνα με το άρθρο 24 του ΓΚΠΔ:
– Μη επαρκής τεκμηρίωση της τήρησης της αρχής της ελαχιστοποίησης των δεδομένων.
– Έλλειψη σαφούς νομικής βάσης για την επεξεργασία ορισμένων δεδομένων.
Η ολοκλήρωση των προαναφερθέντων διαδικασιών προβλέπεται να πραγματοποιηθεί μέσα στο επόμενο εξάμηνο. Αξίζει να σημειωθεί πως τα δελτία ταυτότητας που έχουν ήδη εκδοθεί διατηρούν την εγκυρότητά τους ενώ παράλληλα, η διαδικασία χορήγησης νέων δελτίων θα συνεχιστεί απρόσκοπτα μέχρι την περάτωση των σχεδιαζόμενων τροποποιήσεων.
Σύμφωνα με την ανακοίνωση, το πρόστιμο των 150.000€ που επέβαλε η Αρχή διαχωρίζεται σε 50.000€ για την παραβίαση των άρθρων 13 και 14 του ΓΚΠΔ και 100.000€ για την παραβίαση του άρθρου 35 παρ. 1 του ΓΚΠΔ.
VIA: Insomnia.gr
