Παραβίαση του GDPR σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της δήλωσης αποτελεσμάτων self-tests

Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, στο πλαίσιο άσκησης της αυτεπάγγελτης αρμοδιότητας βάσει του ΓΚΠΔ 2016/679 και του ν. 4624/2019 εξέτασε την επεξεργασία δεδομένων προσωπικού χαρακτήρα που έλαβε χώρα δυνάμει επτά (7) συνολικά Κοινών Υπουργικών Αποφάσεων, όπως τροποποιήθηκαν και ίσχυσαν, κατ’ εξουσιοδότηση σχετικών διατάξεων νόμων (άρθρων 2 παρ. 1 και 46 ν. 4790/2021 και 27 παρ. 6 ν. 4792/2021) σχετικά με την δωρεάν διάθεση αυτοδιαγνωστικών ελέγχων (self tests) στα δικαιούμενα πρόσωπα, την δήλωση των αποτελεσμάτων των σχετικών δοκιμασιών στην ειδική ηλεκτρονική εφαρμογή self-testing.gov.gr και την περαιτέρω επεξεργασία δεδομένων μετά την δήλωση των αποτελεσμάτων. 

Στο πλαίσιο αυτό εξετάστηκε η συμμόρφωση των συνολικά πέντε (5) κατονομαζόμενων στις σχετικές ΚΥΑ υπευθύνων επεξεργασίας ήτοι της ΗΔΙΚΑ Α.Ε., του Υπουργείου Εργασίας και Κοινωνικών Υποθέσεων, του Υπουργείου Εσωτερικών, του Υπουργείου Παιδείας και Θρησκευμάτων και του ΝΑΤ,  με ειδικότερες απαιτήσεις βάσει του ΓΚΠΔ 2016/2019 και του ν.4624/2019. Καταρχάς κρίθηκε ότι παρόλο που οι εξεταζόμενες ΚΥΑ καταργήθηκαν, η Αρχή έχει αρμοδιότητα να επιληφθεί των επεξεργασιών δεδομένων προσωπικού χαρακτήρα, καθώς έλαβε χώρα εκτενής και συστηματική επεξεργασία ειδικής κατηγορίας δεδομένων, η οποία επάγονταν έννομα αποτελέσματα (περικοπή αποδοχών, απαλλαγή από την υποχρέωση καταβολής αποδοχών). 

Ακολούθως, διαπιστώθηκε ότι το Υπουργείο Παιδείας και Θρησκευμάτων εσφαλμένα προσδιορίστηκε ως υπεύθυνος επεξεργασίας στην συγκεκριμένη ΚΥΑ, για την κατηγορία των θρησκευτικών λειτουργών που είναι εγγεγραμμένοι στο μητρώο του άρθρου 14 ν. 4301/2014, σύμφωνα με το άρθρο 1 στοιχ. β΄ αυτής. 

Επιπλέον, η Αρχή διαπίστωσε ότι η ΗΔΙΚΑ Α.Ε., το Υπουργείο Εργασίας και Κοινωνικών Υποθέσεων, το Υπουργείο Εσωτερικών και το ΝΑΤ, ως υπεύθυνοι επεξεργασίας βάσει των σχετικών ΚΥΑ, παρέλειψαν να περιλάβουν στην ενημέρωση που παρείχαν στα ενδιαφερόμενα υποκείμενα των δεδομένων, επιμέρους πληροφορίες του άρθρου 13 ΓΚΠΔ 2016/679 προς διασφάλιση της απαίτησης για διαφανή ενημέρωση, και απηύθυνε επίπληξη για την παραβίαση αυτή. Περαιτέρω κρίθηκε ότι η ΗΔΙΚΑ ΑΕ, ως υπεύθυνος επεξεργασίας βάσει των σχετικών ΚΥΑ, παραβίασε την αρχή του περιορισμού της περιόδου αποθήκευσης (άρθρο 5 παρ. 1 στοιχ. ε΄ ΓΚΠΔ) λόγω μη λήψης κατάλληλων οργανωτικών και τεχνικών μέτρων ασφαλείας (κατ’ άρθρο 25 ΓΚΠΔ) και επιβλήθηκε διοικητικό πρόστιμο. 

Επιπλέον, όσον αφορά την συμμόρφωση με την αρχή του περιορισμού της περιόδου αποθήκευσης, η Αρχή έδωσε εντολή στο ΝΑΤ να αφαιρέσει την εφαρμογή που ανέπτυξε στο πληροφοριακό σύστημά του κατ’ εφαρμογή της υπ’ αρ. Δ1/ΓΠ.οικ.26389/24-04-2021 (ΦΕΚ Β΄1685) και να διαγράψει τυχόν δεδομένα των ναυτικών – μελών πληρωμάτων πλοίων που τυχόν υπάρχουν σ’ αυτήν σε συμμόρφωση προς την αρχή του άρθρου 5 παρ. 1 στοιχ. ε΄ ΓΚΠΔ. 

Τέλος, η Αρχή απηύθυνε επίπληξη στην ΗΔΙΚΑ Α.Ε. και το Υπουργείο Εργασίας και Κοινωνικών Υποθέσεων για την εκπρόθεσμη εκπόνηση και την ελλιπή εκτίμηση αντικτύπου που προσκόμισαν και διοικητικό πρόστιμο στο Υπουργείο Εσωτερικών και το ΝΑΤ για την μη συμμόρφωσή τους με την υποχρέωση διενέργειας εκτίμησης αντικτύπου. (πηγη dpa.gr)

Δείτε την απόφαση 41/2022 εδώ