Η Αρχή με την υπ’ αρ. 32/2024 εξέτασε ζητήματα που προκύπτουν από τη θέσπιση του νέου τύπου δελτίων ταυτότητας των Ελλήνων πολιτών στις οποίες περιλαμβάνονται βιομετρικά δεδομένα.

Ειδικότερα, η Αρχή διαπίστωσε πλημμέλειες αναφορικά με την παροχή γενικής ενημέρωσης προς τα υποκείμενα των δεδομένων, ενώ περαιτέρω έκρινε ότι η απαιτούμενη εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων διενεργήθηκε με καθυστέρηση και παρουσιάζει ελλείψεις.

Πιο συγκεκριμένα, κατόπιν καταγγελίας πολίτη έπειτα από την μη ικανοποίηση του αιτήματος του σχετικά με την παροχή ενημέρωσης και την εν γένει νομιμότητα της επεξεργασίας έκδοσης του νέου τύπου ταυτότητας που υπέβαλε προς το Υπουργείο του Πολίτη υποκείμενο δεδομένων, η Αρχή απεύθυνε προς την ΕΛ.ΑΣ ερωτήματα σχετικά με το είδος της επεξεργασίας που μπορεί να τύχουν τα προσωπικά δεδομένα τα οποία τηρούνται στο ηλεκτρονικό μέσο αποθήκευσης της νέας ταυτότητας, τους φορείς που νομιμοποιούνται να πραγματοποιούν την επεξεργασία, με ποιον τρόπο και με ποια μέσα και για ποιους σκοπούς, τον τρόπο ικανοποίησης των δικαιωμάτων των υποκειμένων των δεδομένων (και, ιδίως, το δικαίωμα πρόσβασης στα δεδομένα που τηρούνται στο ηλεκτρονικό μέσο αποθήκευσης της ταυτότητας) και τον τρόπο διαχωρισμού των εθνικών δεδομένων από τα βιομετρικά δεδομένα.

Στο πλαίσιο αυτό, αναφέρεται ότι ως «βιομετρικά δεδομένα», ορίζονται από το άρθρο 4 στοιχ. 14 ΓΚΠΔ, τα «δεδομένα προσωπικού χαρακτήρα τα οποία προκύπτουν από ειδική τεχνική επεξεργασία συνδεόμενη με φυσικά, βιολογικά ή συμπεριφορικά χαρακτηριστικά φυσικού προσώπου και τα οποία επιτρέπουν ή επιβεβαιώνουν την αδιαμφισβήτητη ταυτοποίηση του εν λόγω φυσικού προσώπου, όπως εικόνες προσώπου ή δακτυλοσκοπικά δεδομένα» και ως βιομετρικές μέθοδοι νοούνται οι τεχνικές πιστοποίησης της ταυτότητας των φυσικών προσώπων μέσω ανάλυσης σταθερών χαρακτηριστικών τους. Οι βιομετρικές μέθοδοι μπορούν να ταξινομηθούν σε δύο κατηγορίες: i. στις τεχνικές που στηρίζονται στην ανάλυση φυσικών ή γενετικών χαρακτηριστικών (όπως δακτυλικών αποτυπωμάτων, γεωμετρίας της παλάμης, ανάλυσης της κόρης του ματιού, των χαρακτηριστικών του προσώπου, του DNA) και ii. στις τεχνικές που στηρίζονται στην ανάλυση συμπεριφοράς (όπως υπογραφής, φωνής, τρόπου πληκτρολόγησης).

Σύμφωνα με την απόφαση της Αρχής, το Υπουργείο Προστασίας του Πολίτη παραβίασε τα άρθρα 13 και 14 του ΓΚΠΔ, κατ’ απαίτηση της αρχής της διαφάνειας, λόγω της απουσίας ενημέρωσης για μεγάλο χρονικό διάστημα, καθώς και λόγω μη ορθών πληροφοριών στο κείμενο ενημέρωσης των πολιτών [ιδίως, εσφαλμένη νομική βάση αναφορικά με τα βιομετρικά δεδομένα, αφού αναφέρεται η «πρόδηλη ενεργή συγκατάθεση» η οποία δεν μπορεί να αποτελεί έγκυρη νομική βάση για την εν λόγω επεξεργασία , δεδομένου ότι η υποχρέωση έκδοσης ταυτότητας απορρέει από διάταξη αναγκαστικού δικαίου κατά την άσκηση δημόσιας εξουσίας (άρθρο 6 παρ. 1 εδ. γ) ε) ΓΚΠΔ)], το οποίο αναρτήθηκε καθυστερημένα στην ιστοσελίδα του Υπουργείου. Περαιτέρω, Υπουργείο Προστασίας του Πολίτη δεν τεκμηρίωσε την τήρηση της αρχής της ελαχιστοποίησης των δεδομένων αναφορικά με συγκεκριμένα στοιχεία (όπως το επώνυμο πατέρα, επώνυμο μητέρας, ο Δήμος εγγραφής, ο αριθμός δημοτολογίου και ο τόπος έκδοσης του δελτίου) που περιέχονται στο ηλεκτρονικό μέσο αποθήκευσης, κατά παράβαση των κατά το άρθρο 24 ΓΚΠΔ υποχρεώσεων, ενώ παραβίασε το άρθρο 35 παρ. 1 ΓΚΠΔ, αφού δεν διενήργησε, ως όφειλε, την απαιτούμενη εκτίμηση αντικτύπου, παρά μόνο μετά την έναρξη της επεξεργασίας και μόνο κατόπιν της σχετικής επικοινωνίας της Αρχής, ενώ η εκτίμηση αντικτύπου δεν φαίνεται να έχει εντοπίσει όλους τους κινδύνους, όπως προκύπτει και από τις ανωτέρω διαπιστωθείσες παραβάσεις.

Για τις ως άνω παραβάσεις, η αρχή επέβαλε συνολικά στο Υπουργείο Προστασίας του Πολίτη, ως υπεύθυνο επεξεργασίας, χρηματικό Πρόστιμο ύψους 150.000 ευρώ ενώ παράλληλα απηύθυνε στο Υπουργείο εντολή συμμόρφωσης εντός εξαμήνου.

Τέλος, η Αρχή μολονότι επισήμανε ότι δεν τίθεται εν αμφιβολία το κύρος των ταυτοτήτων, εντούτοις τόνισε την υποχρέωση επικαιροποίησης και κωδικοποίησης του νομικού πλαισίου αναφορικά με τα στοιχεία του νέου τύπου δελτίων ταυτότητας των Ελλήνων πολιτών.

Για το πλήρες κείμενο της απόφασης: εδώ