TaxHeaven – Page 2 – Cool Cave Ice Cream

Τηλεργασία εν καιρώ πανδημίας – Κυβερνοέγκλημα και προσωπικά δεδομένα

Written by Aimilios Koronaios on 17/08/2020. Posted in TaxHeaven, Αρθρογραφία, Ιστοσελίδες.

Πρώτη δημοσίευση: www.taxheaven.gr
Ημερομηνία πρώτης δημοσίευσης: 17/07/2020

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Ι. Γενικά

Η μεγάλη πρόκληση της πανδημίας του κορωνοϊού -COVID19 κατά τη διεθνή ορολογία-, που εξακολουθεί να πλήττει συνολικά την ανθρωπότητα, προκαλεί ραγδαίες αλλαγές στον μέχρι σήμερα τρόπο ζωής μας. Συμπεριφορές και στάσεις δεκαετιών μεταβάλλονται εν μία νυκτί, συχνά απρόσμενα και αιφνίδια, στην προσπάθεια επιτυχούς διαχείρισης της κρίσης. Στον εργασιακό τομέα σημαντική εξέλιξη θεωρείται η μαζική μετάβαση σε ένα νέο μοντέλο οργάνωσης και παροχής της εργασίας, την καλούμενη τηλεργασία. Η τηλεργασία, θεμέλιο της οποίας αποτελεί η χρήση τεχνολογιών πληροφορικής, ιδίως μέσων τηλεπικοινωνίας, ασφαλώς δεν αποτελεί καινοφανές ζήτημα. Για τα ελληνικά δεδομένα όμως, πρωτόγνωρη είναι η ένταση και η έκτασή της κατά την περίοδο την οποία διανύουμε. Η άνευ προηγουμένου διόγκωσή της πολλαπλασιάζει τα κίνητρα του κυβερνοεγκλήματος, καθώς και οι δράστες αυτού εντοπίζουν με μεγαλύτερη ευκολία το θύμα τους. Υπό αυτό το πρίσμα γεννώνται σοβαρά ζητήματα προστασίας προσωπικών δεδομένων τόσο των τηλεργαζόμενων-θυμάτων κυβερνοεγκλημάτων όσο και των προσώπων τα δεδομένα των οποίων εμπλέκονται με τον έναν ή άλλο τρόπο στην τηλεργασία. Πρώτη γραμμή άμυνας σε αυτή τη νέα πραγματικότητα, τις οικείες προκλήσεις και προβληματισμούς, αποτελεί η συνεπής συμμόρφωση με την ισχύουσα νομοθεσία για την προστασία των προσωπικών δεδομένων, ιδίως με την υποχρέωση της λήψης των δεόντων μέτρων ασφαλείας από επιχειρήσεις και οργανισμούς.

ΙΙ. Η τηλεργασία

Α. Ορισμός και βασικά χαρακτηριστικά

Ως τηλεργασία ορίζεται η μορφή οργάνωσης ή/και εκτέλεσης εργασίας που χρησιμοποιεί τεχνολογίες πληροφορικής, στο πλαίσιο μιας σύμβασης ή σχέσης εργασίας, όπου μια εργασία, η οποία θα μπορούσε να εκτελεστεί στις εγκαταστάσεις του εργοδότη, εκτελείται, σε τακτική βάση, εκτός αυτής¹. Ως τηλεργαζόμενος δε ορίζεται ο εργαζόμενος που εκτελεί τηλεργασία σύμφωνα με τον ως άνω ορισμό². Η παροχή της τηλεργασίας είναι αδύνατη χωρίς τη χρήση της ψηφιακής τεχνολογίας, γι’ αυτό και αυτή θεωρείται κλειδί για τον ψηφιακό μετασχηματισμό της οικονομίας.

Αναφορικά με τον τόπο της τηλεργασίας, αυτή μπορεί να είναι κατ’ οίκον, όταν παρέχεται από την κατοικία του τηλεργαζόμενου, ή κινητή, όταν παρέχεται από άλλους προσωρινούς χώρους στο πλαίσιο μετακινήσεων αυτού, ή από τηλεκέντρο, όταν παρέχεται από ειδικά οργανωμένους χώρους που απευθύνονται σε τηλεργαζόμενους διαφόρων εταιρειών³. Ολοένα και περισσότερο, η τηλεργασία παρέχεται μέσω σύνδεσης σε εταιρικό δίκτυο, ώστε να καταστεί εφικτή η πρόσβαση σε απαραίτητα εταιρικά αρχεία για τη διεκπεραίωσή της. Με σκοπό την επιτυχή παροχή της μάλιστα επιστρατεύονται και σειρά εφαρμογών τηλεσυνεργασίας, όπως εφαρμογές τηλεδιάσκεψης.

Η εξέταση της έκτασης της τηλεργασίας προ του κορωνοϊού καταδεικνύει το τότε περιορισμένο αυτής. Έτσι, σύμφωνα με έρευνα του 2017, στην Ευρωπαϊκή Ένωση οι τηλεργαζόμενοι αποτελούσαν περίπου το 17% του συνόλου των μισθωτών, με τη Δανία να βρίσκεται στην πρώτη θέση με ποσοστό 37% και την Ελλάδα να βρίσκεται στην προτελευταία θέση με ποσοστό 9%⁴. Η κατάταξη της Ελλάδας κρινόταν ως αρνητική, αποδιδόμενη στις εν γένει δυσκολίες προσαρμογής της χώρας σε νέες εξελίξεις, την ώρα που η ισχυρή επέκταση της τηλεργασίας ετίθετο ως ζητούμενο λόγω των θετικών χαρακτηριστικών της⁵.

Το 2020 η τηλεργασία εν μέσω κορωνοϊού εκτοξεύθηκε τόσο στην Ευρωπαϊκή Ένωση όσο και στην Ελλάδα. Σύμφωνα με έρευνα του Aπριλίου του 2020, στο ερώτημα «Αρχίσατε να εργάζεστε από το σπίτι σας ως αποτέλεσμα του κορωνοϊού», στις πρώτες θέσεις καταφατικής απάντησης με ποσοστό άνω του 40% βρίσκονταν με 59% η Φινλανδία, με 53,9% η Ολλανδία, με 46,7% η Δανία, με 43,4% η Ιρλανδία, με 41,8% η Σουηδία, με 41,5% η Αυστρία και με 40,8% η Ιταλία⁶. Στην Ελλάδα, το ποσοστό ήταν 26%⁷, εμφανώς μεγαλύτερο των μέχρι τότε μετρηθέντων.

Η τηλεργασία έχει αμοιβαία πλεονεκτήματα τόσο για τους επιχειρήσεις όσο και για τους εργαζόμενους⁸. Για τις μεν πρώτες, σε αυτά εντάσσονται η αύξηση της παραγωγικότητας, το ελκυστικό προφίλ της για νεότερο προσωπικό, η μείωση δαπανών για την επιχείρηση, η ελάττωση των έκτακτων απουσιών των εργαζομένων⁹. Για τους δε δεύτερους, σε αυτά εντοπίζονται η μείωση των εξόδων τους, π.χ. μείωση μετακινήσεων, καθώς και ο πιο ισορροπημένος βίος, δεδομένου ότι γίνεται καλύτερη διαχείριση των επαγγελματικών και προσωπικών υποχρεώσεων¹⁰. Στα αδύναμα σημεία της τηλεργασίας εντοπίζονται το ενδεχόμενο παράτασης της διάρκειας εργασίας και η αποδυνάμωση της διάκρισης μεταξύ επαγγελματικού και προσωπικού βίου¹¹.

Β. Το ρυθμιστικό πλαίσιο

Η τηλεργασία σε ευρωπαϊκό επίπεδο διέπεται από την Ευρωπαϊκή Συμφωνία Πλαίσιο για την Τηλεργασία του 2002. Η εν λόγω Συμφωνία ενσωματώθηκε στο ελληνικό δίκαιο για πρώτη φορά με την Εθνική Γενική Συλλογική Σύμβαση Εργασίας ετών 2006 και 2007 (ΕΓΣΣΕ 2006-2007), ενώ αποτελεί πλέον σταθερά τμήμα όσων τη διαδέχθηκαν. Έτσι, η ΕΓΣΣΕ 2006-2007 στο άρθρο 4 αυτής προβλέπει ότι τα μέρη αποφασίζουν την άμεση εφαρμογή της ευρωπαϊκής συμφωνίας – πλαισίου για την τηλεργασία, που συνήφθη από τη Συνομοσπονδία Ευρωπαϊκών Συνδικάτων (C.E.S.), την Ευρωπαϊκή Εργοδοτική Οργάνωση Επιχειρήσεων Ιδιωτικού Τομέα (UNICE), την Ευρωπαϊκή Οργάνωση Βιοτεχνών Μικρομεσαίων Επιχειρήσεων (UEAPME) και το Ευρωπαϊκό Κέντρο Δημοσίων Επιχειρήσεων (CEEP). Το εν λόγω κείμενο της Συμφωνίας – Πλαίσιο για την Τηλεργασία προσαρτάται μάλιστα στην ΕΓΣΣΕ 2006-2007 ως Προσάρτημα Β, ενώ προβλέπεται ρητά ότι αποτελεί αναπόσπαστο τμήμα της. Με την ως άνω Συμφωνία επιδιώχθηκε η θέσπιση ενός γενικού πλαισίου για την τηλεργασία προς εφαρμογή από τα συμμετέχοντα κράτη¹², ιδίως θεσπίστηκαν κατευθυντήριες γραμμές για την εξασφάλιση των δικαιωμάτων των τηλεργαζομένων¹³. Ειδικότερα, κατά τα προβλεπόμενα σε αυτή, η τηλεργασία έχει οικειοθελή χαρακτήρα¹⁴. Ως γενικός κανόνας προβλέπεται ότι ο εργοδότης είναι υπεύθυνος για την παροχή, εγκατάσταση και συντήρηση του εξοπλισμού της τακτικής τηλεργασίας, εκτός αν ο τηλεργαζόμενος χρησιμοποιεί τον δικό του εξοπλισμό¹⁵. Στην ίδια κατεύθυνση, αν η τηλεργασία παρέχεται σε τακτική βάση, ο εργοδότης είναι υπεύθυνος για τις δαπάνες που προκαλούνται άμεσα από την τηλεργασία, ιδίως αυτές που σχετίζονται με την επικοινωνία¹⁶.

Σε επίπεδο τυπικού νόμου, σχετική πρόβλεψη περιλαμβάνει το άρθρο 5 του Ν. 3846/2010¹⁷. Ειδικότερα, σύμφωνα με την παρ. 1 αυτού, κατά την κατάρτιση σύμβαση εργασίας για τηλεργασία ο εργοδότης υποχρεούται να παραδώσει εγγράφως εντός διαστήματος οκτώ ημερών στον εργαζόμενο το σύνολο των πληροφοριών που αναφέρονται στην εκτέλεση της εργασίας. Οι πληροφορίες αυτές αφορούν στην ιεραρχική σύνδεση του εργαζόμενου με τους προϊσταμένους του στην επιχείρηση, τα λεπτομερή καθήκοντα του, τον τρόπο υπολογισμού της αμοιβής, τον τρόπο μέτρησης του χρόνου εργασίας, την αποκατάσταση του κόστους που προκαλείται από την παροχή της, όπως τηλεπικοινωνίες, εξοπλισμός και βλάβες συσκευών. Αν στη σύμβαση περιέχεται συμφωνία για τηλε-ετοιμότητα ορίζονται τα χρονικά όριά της και οι προθεσμίες ανταπόκρισης του μισθωτού. Περαιτέρω κατά την παρ. 2 του ως άνω άρθρου, αν κανονική εργασία μετατρέπεται σε τηλεργασία, καθορίζεται στη σχετική συμφωνία μια περίοδος προσαρμογής τριών μηνών, κατά την οποία οποιοδήποτε από τα μέρη, μετά από τήρηση προθεσμίας δεκαπέντε ημερών, μπορεί να θέσει τέλος στην τηλεργασία και ο μισθωτός να επιστρέψει στην εργασία του σε αντίστοιχη θέση με αυτήν που κατείχε. Ως προς το κόστος της τηλεργασίας, κατά την παρ. 3 του ως άνω άρθρου, ο εργοδότης αναλαμβάνει σε κάθε περίπτωση το κόστος που προκαλείται στον μισθωτό από τη μορφή αυτή εργασίας και ειδικότερα των τηλεπικοινωνιών, παρέχει στον μισθωτό τεχνική υποστήριξη για την παροχή της εργασίας του και αναλαμβάνει να αποκαταστήσει τις δαπάνες επισκευής των συσκευών που χρησιμοποιούνται για την εκτέλεσή της ή να τις αντικαταστήσει σε περίπτωση βλάβης. Η εν λόγω υποχρέωση του εργοδότη αφορά και στις συσκευές που ανήκουν στον μισθωτό, εκτός εάν στη σύμβαση ή στη σχέση εργασίας ορίζεται διαφορετικά. Στη σύμβαση ή στη σχέση εργασίας ορίζεται επίσης ο τρόπος χρηματικής αποκατάστασης εκ μέρους του εργοδότη της χρησιμοποίησης του οικιακού χώρου εργασίας του μισθωτού.

Πιο πρόσφατα και εν μέσω πανδημίας, με την από 11.3.2020 Πράξη Νομοθετικού Περιεχόμενου¹⁸ προβλέφθηκε στο άρθρο 4 παρ. 2 αυτής η δυνατότητα των εργοδοτών με δική τους απόφαση να εφαρμόσουν σε εργαζόμενους το σύστημα της εξ αποστάσεως εργασίας.

Το ως άνω ρυθμιστικό πλαίσιο της τηλεργασίας κρίνεται σήμερα συνολικά ανεπαρκές, ιδίως κατόπιν της εξαιρετικής διόγκωσης της ως αποτέλεσμα των νέων συνθηκών. Γι’ αυτό τον λόγο συνιστάται η υιοθέτηση ειδικών ρυθμίσεων οι οποίες θα αφορούν, μεταξύ άλλων, τις δαπάνες του εργαζόμενου για τον υλικό εξοπλισμό και την επικοινωνία του, καθώς και την αμοιβή της τηλε-ετοιμότητας, της διαρκούς δηλαδή διαθεσιμότητας του τηλεργαζόμενου¹⁹.

ΙΙΙ. Το κυβερνοέγκλημα

Η διόγκωση της τηλεργασίας εν μέσω πανδημίας πρόσφερε στέρεη βάση στην επακόλουθη πρόβλεψη για ανάλογη διόγκωση του κυβερνοεγκλήματος. Και αυτό γιατί η υιοθέτηση μέσων εξ αποστάσεως εργασίας διευρύνει σημαντικά τη δεξαμενή υποψήφιων θυμάτων για τους κυβερνοεγκληματίες. Έτσι, η Europol ήδη τον Μάρτιο του 2020, προέβλεψε σχετικό κίνδυνο λόγω της αύξησης του αριθμού των εργοδοτών που ενεργοποιούν τη δυνατότητα της τηλεργασίας και επιτρέπουν μέσω αυτής την πρόσβαση στα πληροφοριακά συστήματά τους²⁰. Στην ίδια κατεύθυνση, το Συμβούλιο της Ευρώπης, την ίδια περίοδο, υπογράμμισε ότι η μεγαλύτερη έμφαση που δίδεται κατά τη διάρκεια της πανδημίας για εργασιακούς λόγους, μεταξύ άλλων, σε υπολογιστικά συστήματα, κινητές συσκευές και το διαδίκτυο, έχει οδηγήσει τους κυβερνοεγκληματίες να προσπαθούν να το εκμεταλλευθούν σε όφελός τους²¹.

Ποια μέσα χρησιμοποιούν οι κυβερνοεγκληματίες στο πλαίσιο της εγκληματικής δραστηριότητάς τους σε σχέση με την πανδημία; Πρόκειται ιδίως για: α) εκστρατείες «ηλεκτρονικού ψαρέματος» (phishing) και εγκατάστασης κακόβουλου λογισμικού (malware) μέσω δήθεν γνησίων ιστοσελίδων και εγγράφων που παρέχουν πληροφορίες για την πανδημία, ώστε να επιτυγχάνεται παράνομη πρόσβαση σε προσωπικά δεδομένα, β) εγκατάσταση «κωδικοποιητών αρχείων» (ransomware) σε κινητά τηλέφωνα μέσω της εγκατάστασης ψευδο-εφαρμογών, οι οποίες υποστηρίζουν ότι δήθεν παρέχουν πληροφορίες για την πανδημία, ώστε στη συνέχεια να καθίσταται δυνατή η απόσπαση χρημάτων, και γ) παράνομη απόκτηση πρόσβασης σε εταιρικά δίκτυα μέσω επιθέσεων σε τηλεργαζόμενους²².

Στην Ελλάδα, η περιγραφείσα κατάσταση οδήγησε την Εθνική Αρχή Διαφάνειας στην έκδοση ειδικού Οδηγού προστασίας από τεχνικές εξαπάτησης COVID-19²³. Σε αυτόν υπογραμμίζεται ότι η πανδημία δημιουργεί νέες ευκαιρίες για έκνομες ενέργειες, ιδίως απάτες²⁴. Περαιτέρω, επισημαίνεται ότι στις πρακτικές και τα τεχνάσματα των κυβερνοεγκληματιών περιλαμβάνεται η χειραγώγηση και εξαπάτηση μέσω διαδικτύου, τουτέστιν μέσω «κοινωνικής μηχανικής» (social engineering), με τη χρήση «ηλεκτρονικού ψαρέματος» (phishing) και λοιπών μεθόδων, έχουσα ως σκοπό την παράνομη απόκτησης πρόσβασης σε κωδικούς²⁵. Ιδίως στο πλαίσιο των απατών «ηλεκτρονικού ψαρέματος» (phishing), οι κυβερνοεγκληματίες αυτοπαρουσιάζονται ως δήθεν εκπρόσωποι εθνικών και παγκόσμιων υγειονομικών αρχών, π.χ. του Παγκόσμιου Οργανισμού Υγείας και των Κέντρων Ελέγχου και Πρόληψης Νοσημάτων, ώστε να επιτύχουν την εγκατάσταση από τον τηλεργαζόμενο κακόβουλου λογισμικού και στη συνέχεια να αποκτήσουν παράνομη πρόσβαση σε προσωπικά δεδομένα²⁶.

Σε αντίστοιχη ενημέρωση προέβη επίσης η Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος (ΔΔΗΕ) για προσπάθειες εξαπάτησης μέσω διαδικτύου με αφορμή τον κορωνοϊό²⁷. Επισημαίνοντας ότι κατά την περίοδο της πανδημίας έχουν υποβληθεί καταγγελίες πολιτών, ενώ έχουν δημοσιευθεί και ενημερώσεις από την Interpol και τη Europol, για πλήθος διαδικτυακών απατών, που στηρίζονται στην προσπάθεια εκμετάλλευσης της γενικευμένης ανησυχίας για τον κορωνοϊό, η ΔΔΗΕ παρουσίασε βασικά στοιχεία της μεθοδολογίας των κυβερνοεγκληματιών²⁸. Σε αυτή περιλαμβάνεται και το «ηλεκτρονικό ψάρεμα» (phishing), ήτοι η αποστολή απατηλών μηνυμάτων ηλεκτρονικού ταχυδρομείου, τα οποία δήθεν προέρχονται από εθνικές ή παγκόσμιες υγειονομικές αρχές, με συνδέσμους η συνημμένα αρχεία που υποτίθεται ότι αφορούν την πανδημία. Στην πραγματικότητα όμως, τα εν λόγω μηνύματα περιέχουν κακόβουλο λογισμικό (malware), η εγκατάσταση του οποίου καθιστά εφικτή την παράνομη πρόσβαση σε προσωπικά δεδομένα²⁹.

Την ίδια ώρα, πλήθος διεθνών, ευρωπαϊκών και εθνικών οργανισμών έχουν προβεί στην έκδοση οδηγιών για τα απαιτούμενα μέτρα ασφαλείας που πρέπει να λαμβάνουν, μεταξύ άλλων, οι τηλεργαζόμενοι, ώστε να προφυλαχθούν από τους κυβερνοεγκληματίες³⁰. Επιλεκτική παράθεση των σπουδαιότερων εξ αυτών για την Ελλάδα θα γίνει στη συνέχεια του παρόντος πονήματος.

Υπενθυμίζεται ότι κυβερνοεγκλήματα όπως τα ως άνω αποτελούν αξιόποινες πράξεις που καλούν ιδίως σε εφαρμογή το άρθρο 292Β για την παρακώλυση λειτουργίας πληροφοριακών συστημάτων (διωκόμενο αυτεπαγγέλτως), το άρθρο 370 παρ. 2 ΠΚ για την αθέμιτη πρόσβαση σε ηλεκτρονικό μήνυμα ή ηλεκτρονική αλληλογραφία άλλου (διωκόμενο κατ’ έγκληση), το άρθρο 370Β ΠΚ για την παράνομη πρόσβαση σε σύστημα πληροφοριών ή δεδομένων (διωκόμενο κατ’ έγκληση), το άρθρο 370Γ για την παράνομη συμπεριφορά σε σχέση με κρατικά, επιστημονικά, επαγγελματικά απόρρητα ή απόρρητα επιχείρησης του δημόσιου ή ιδιωτικού τομέα (διωκόμενο κατ’ έγκληση) και το άρθρο 386Α για την απάτη με υπολογιστή (διωκόμενο κατά κανόνα κατ’ έγκληση). Ανάλογα με τις περιστάσεις, ενδέχεται επίσης να στοιχειοθετείται εκβίαση κατά το άρθρο 385 ΠΚ.

IV. Η προστασία των προσωπικών δεδομένων

Α. Το ρυθμιστικό πλαίσιο

Η τηλεργασία είναι αναπόσπαστα συνδεδεμένη με την επεξεργασία προσωπικών δεδομένων. Και αυτό γιατί η παροχή της επιβάλλει δεδομένα ιδίως πελατών, προμηθευτών, συνεργατών, αλλά και των ίδιων των τηλεργαζόμενων, να τύχουν επεξεργασίας, ήτοι, μεταξύ άλλων, συλλογής, αποθήκευσης, χρήσης και διαβίβασης εξ αποστάσεως. Έτσι, κατά την τηλεργασία, τα προσωπικά δεδομένα συχνά βρίσκονται σε ένα διαρκές «ταξίδι» από και προς τις εγκαταστάσεις του εκάστοτε οργανισμού ή επιχείρησης. Αυτή η διαδρομή τους όμως τα καθιστά πρωταρχικό στόχο των κυβερνοεγκληματιών, οι οποίοι επιδιώκουν την παράνομη πρόσβαση σε αυτά, ώστε στη συνέχεια να τα χρησιμοποιήσουν περαιτέρω για την εγκληματική δράση τους, π.χ. για παράνομη πρόσβαση σε τραπεζικούς λογαριασμούς, για εκβίαση κ.ο.κ.. Καθίσταται, λοιπόν, εμφανές ότι η τηλεργασία δημιουργεί νέους κινδύνους για την προστασία των προσωπικών δεδομένων λόγω της αυξημένης χρήσης τηλεπικοινωνιών και τη διευρυμένη χρήση ηλεκτρονικών συσκευών, συχνά μάλιστα προσωπικών συσκευών του τηλεργαζομένου.

Υπογραμμίζεται ότι στις περιπτώσεις που ο τηλεργαζόμενος καθίσταται θύμα κυβερνοεγκλήματος παραβιάζεται όχι μόνο η αρχή της εμπιστευτικότητας των προσωπικών δεδομένων, καθώς τρίτος μη εξουσιοδοτημένος καθίσταται κοινωνός τους, αλλά και ενδεχομένως η αρχή της διαθεσιμότητας των προσωπικών δεδομένων, όπως π.χ. με τη χρήση «κωδικοποιητή αρχείων» (ransomware), οπότε καθίσταται αδύνατη η πρόσβαση σε αυτά μέχρι την πληρωμή του τιμήματος που απαιτεί ο κυβερνοεγκληματίας.

Ποιο είναι, λοιπόν, το οικείο ρυθμιστικό πλαίσιο προστασίας προσωπικών δεδομένων και μάλιστα οι υποχρεώσεις οργανισμών και επιχειρήσεων, καθώς και τηλεργαζομένων, ώστε να θωρακιστούν απέναντι στο κυβερνοέγκλημα;

Καταρχάς, ειδική ρύθμιση για τα προσωπικά δεδομένα στο πλαίσιο της τηλεργασίας περιέχει η προαναφερθείσα Ευρωπαϊκή Συμφωνία Πλαίσιο για την Τηλεργασία του 2002, όπως ενσωματώθηκε στην ελληνική έννομη τάξη με την ΕΓΣΣΕ 2006-2007. Κατά το άρθρο 5 αυτής, το οποίο φέρει τον τίτλο «Προστασία Δεδομένων», η λήψη των κατάλληλων μέτρων εναπόκειται στον εργοδότη, ιδίως σε σχέση με το λογισμικό, για να εξασφαλίσει την προστασία των δεδομένων που χρησιμοποιούνται και γίνονται αντικείμενο επεξεργασίας από τον τηλεργαζόμενο για επαγγελματικούς λόγους. Έτσι, ο εργοδότης ενημερώνει τον τηλεργαζόμενο για όλες τις ισχύουσες διατάξεις και κανόνες της επιχείρησης που αφορούν την προστασία των δεδομένων, ενώ εναπόκειται στον τηλεργαζόμενο να συμμορφωθεί προς αυτούς τους κανόνες.

Περαιτέρω, για τους οργανισμούς και τις επιχειρήσεις που υιοθετούν την τηλεργασία, αναφορικά με τα προσωπικά δεδομένα που επεξεργάζονται οι τηλεργαζόμενοί τους, σημειώνεται ότι σύμφωνα με το άρθρο 24 παρ. 1 του GDPR³¹, ο εκάστοτε υπεύθυνος επεξεργασίας οφείλει να εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με τον GDPR. Κατά τα προβλεπόμενα στην παρ. 2 του ως άνω άρθρου, δεν προβλέπονται συγκεκριμένα τεχνικά και οργανωτικά μέτρα, πλην της της εφαρμογής κατάλληλων πολιτικών προστασίας προσωπικών δεδομένων. Όπως προσδιορίζεται όμως στην ως άνω ρύθμιση, η καταλληλότητα και το ειδικότερο περιεχόμενο αυτών των μέτρων καθορίζεται από τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Έτσι, ο υπεύθυνος επεξεργασίας καλείται να επιλέξει τα κατάλληλα τεχνικά και οργανωτικά μέτρα, στο πλαίσιο όμως που προδιαγράφει το άρθρο 24 του GDPR. O υπεύθυνος επεξεργασίας υποχρεούται επίσης να τα επανεξετάζει και να τα επικαιροποιεί, όταν κρίνεται απαραίτητο, σύμφωνα με το άρθρο 24 παρ. 1 τελ. εδ. του GDPR.

Στην ίδια κατεύθυνση, σύμφωνα με το άρθρο 32 παρ. 1 του GDPR, ο εκάστοτε υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία οφείλουν να εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφαλείας έναντι των κινδύνων για τα προσωπικά δεδομένα. Κατά την παρ. 2 του ως άνω άρθρου, για την εκτίμηση του ενδεδειγμένου επιπέδου ασφαλείας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία η παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση προσωπικών δεδομένων που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία. Σε αντίθεση με το άρθρο 28 του GDPR, εδώ γίνεται εκτενέστερη ενδεικτική απαρίθμηση προτεινόμενων μέτρων, η οποία περιλαμβάνει: α) την ψευδωνυμοποίηση και την κρυπτογράφηση προσωπικών δεδομένων, β) τη δυνατότητα διασφάλισης του απορρήτου, της ακεραιότητας, της διαθεσιμότητας και της αξιοπιστίας των συστημάτων και των υπηρεσιών επεξεργασίας σε συνεχή βάση, γ) τη δυνατότητα αποκατάστασης της διαθεσιμότητας και της πρόσβασης σε δεδομένα προσωπικού χαρακτήρα σε εύθετο χρόνο σε περίπτωση φυσικού ή τεχνικού συμβάντος, δ) τη διαδικασία για την τακτική δοκιμή, εκτίμηση και αξιολόγηση της αποτελεσματικότητας των τεχνικών και των οργανωτικών μέτρων για τη διασφάλιση της ασφάλειας της επεξεργασίας. Ως προς τα λοιπά μέτρα, στην ίδια παράγραφο προβλέπεται ότι τα κατάλληλα τεχνικά και οργανωτικά μέτρα επιλέγονται λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων.

Συμπερασματικά, οι οργανισμοί και οι επιχειρήσεις που υιοθετούν την τηλεργασία έχουν την ευθύνη να προβλέπουν και να θέτουν σε εφαρμογή τα κατάλληλα τεχνικά και οργανωτικά μέτρα, ώστε να διασφαλίζεται η ασφάλεια των προσωπικών δεδομένων που επεξεργάζονται οι τηλεργαζόμενοι. Οι τελευταίοι υποχρεούνται με τη σειρά τους να εφαρμόζουν τα οικεία μέτρα απαρέγκλιτα.

Β. Προτεινόμενα μέτρα ασφαλείας

Tον Απρίλιο του 2020 η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) δημοσίευσε Κατευθυντήριες Γραμμές για τη λήψη μέτρων ασφαλείας στο πλαίσιο της τηλεργασίας³², λόγω της διευρυμένης εφαρμογής της τηλεργασίας από οργανισμούς και επιχειρήσεις. Στόχος αυτών είναι η ευαισθητοποίηση των υπεύθυνων επεξεργασίας, των εκτελούντων την επεξεργασία, των εργαζομένων και του κοινού για τους κινδύνους σε σχέση με την επεξεργασία προσωπικών δεδομένων, αλλά και τις υποχρεώσεις των εμπλεκομένων με αυτήν³³. Κατά την ΑΠΔΠΧ, η επιχείρηση που υιοθετεί την τηλεργασία οφείλει: α) να καθορίσει και να υιοθετήσει συγκεκριμένες διαδικασίες συναφείς με την προστασία των προσωπικών δεδομένων για την τηλεργασία και β) να ενημερώσει, να εκπαιδεύσει και να συνδράμει τους εργαζόμενους στην εφαρμογή των ως άνω διαδικασιών³⁴. Στο οικείο κείμενο έμφαση δίδεται επίσης στην αυξημένη βαρύτητα των υποχρεώσεων του εκάστοτε οργανισμού ή επιχείρησης για την προστασία των προσωπικών δεδομένων των τηλεργαζόμενων, λόγω της αυξημένης προσδοκίας τους για προστασία της ιδιωτικής ζωής τους, όπως αυτή πηγάζει από το γεγονός της παροχής της εργασίας στην οικία τους³⁵.

Το περιεχόμενο των προτεινόμενων από την ΑΠΔΠΧ διαδικασιών συγκεκριμενοποιείται ως προς τέσσερις τομείς: α) πρόσβαση στο δίκτυο, β) χρήση εφαρμογών ηλεκτρονικού ταχυδρομείου / ανταλλαγής μηνυμάτων, γ) χρήση τερματικής συσκευής/αποθηκευτικών μέσων, δ) πραγματοποίηση τηλεδιασκέψεων³⁶.

Για την πρόσβαση στο δίκτυο, προτεινόμενα μέτρα κατά την ΑΠΔΠΧ αποτελούν συνοπτικά τα εξής: α) η διασφάλιση ότι δεν υπάρχει δυνατότητα μη ασφαλούς απομακρυσμένης πρόσβασης σε πόρους πληροφοριακών συστημάτων του φορέα, β) ο καθορισμός και περιορισμών των πόρων στους οποίους επιτρέπεται η απομακρυσμένη πρόσβαση στο απολύτως απαραίτητο, γ) η σύνδεση σε υπολογιστικά συστήματα της επιχείρησης μέσω υπηρεσίας «απομακρυσμένης επιφάνειας εργασίας» μόνο μέσω VPN, δ) η χρήση ασφαλούς πρωτοκόλλου WPA2 με ισχυρό κωδικό, όταν ο τηλεργαζόμενος συνδέεται στο διαδίκτυο μέσω ασύρματου δικτύου, ε) η κατά κανόνα αποφυγή αποθήκευσης αρχείων με προσωπικά δεδομένα σε υπηρεσίες διαδικτυακής αποθήκευσης³⁷.

Για τη χρήση εφαρμογών ηλεκτρονικού ταχυδρομείου/ανταλλαγής μηνυμάτων, προτεινόμενα μέτρα κατά την ΑΠΔΠΧ αποτελούν συνοπτικά τα εξής: α) η κατά κανόνα αποφυγή χρήσης προσωπικού ηλεκτρονικού ταχυδρομείου για σκοπούς τηλεργασίας, β) η κατά κανόνα αποφυγή χρήσης εφαρμογών ανταλλαγής μηνυμάτων για τους σκοπούς τηλεργασίας, όταν αυτά περιέχουν προσωπικά δεδομένα η διαρροή των οποίων θα δημιουργούσε κινδύνους³⁸.

Για τη χρήση τερματικής συσκευής/αποθηκευτικών μέσων, προτεινόμενα μέτρα κατά την ΑΠΔΠΧ αποτελούν συνοπτικά τα εξής: α) η εγκατάσταση στη συσκευή της τηλεργασίας συστήματος εναντίον των ιών (antivirus) και «τείχους προστασίας» (firewall), καθώς και η τακτική ενημέρωσή τους, β) η εγκατάσταση των πλέον πρόσφατων ενημερώσεων του λογισμικού εφαρμογών και του λειτουργικού συστήματος στη συσκευή της τηλεργασίας, γ) η χρήση των πλέον πρόσφατων εκδόσεων προγραμμάτων πλοήγησης στο διαδίκτυο, με μη τήρηση ιστορικού ή διαγραφή του μετά το πέρας της τηλεργασίας, δ) ο διαχωρισμός των προσωπικών δεδομένων τα οποία αφορούν την τηλεργασία στη συσκευή της τηλεργασίας, ε) η χρήση διαδικασιών κατάλληλης κρυπτογράφησης αρχείων που περιέχουν προσωπικά δεδομένα, στ) η χρήση διαδικασιών λήψης αντιγράφων ασφαλείας αρχείων με προσωπικά δεδομένα, ζ) το «κλείδωμα» της συσκευής της τηλεργασίας³⁹.

Για την πραγματοποίηση τηλεδιασκέψεων, προτεινόμενα μέτρα κατά την ΑΠΔΠΧ αποτελούν συνοπτικά τα εξής: α) η αξιοποίηση πλατφόρμων που υποστηρίζουν υπηρεσίες ασφαλείας, όπως κρυπτογράφηση, β) η προστασία του συνδέσμου της προγραμματισμένης τηλεδιάσκεψης, π.χ. με τη μη δημοσιοποίησή του στο διαδίκτυο, γ) η μελέτη σχετικών όρων χρήσης και προστασίας προσωπικών δεδομένων40.

Πέραν της ΑΠΔΠΧ, άξιες μνείας είναι επίσης οι σχετικές ειδικότερες κατευθύνσεις για λήψη μέτρων ασφαλείας που δημοσιεύθηκαν από το Υπουργείο Ψηφιακής Διακυβέρνησης, καθώς και από τον Σύνδεσμο Επιχειρήσεων και Βιομηχανιών.

Κατά το Υπουργείο Ψηφιακής Διακυβέρνησης, στο έγγραφο υπό τον τίτλο «Συμβουλές για την ασφαλή εργασία από το σπίτι», το οποίο δημοσιεύθηκε τον Μάρτιο⁴¹, προτείνονται συνοπτικά ιδίως τα ακόλουθα μέτρα: α) η χρήση εφαρμογών που παρέχουν πλήρη κρυπτογράφηση στην επικοινωνία για την αποστολή ευαίσθητων πληροφοριών, β) η ενεργοποίηση της δυνατότητας σύνδεσης με την ταυτοποίηση δύο βημάτων για κάθε λογαριασμό που ο τηλεργαζόμενος διατηρεί, γ) η ενεργοποίηση στο κινητό τηλέφωνο της λειτουργίας πρόσβασης σε επιγραμμικές (online) υπηρεσίες με χρήση βιομετρικών δεδομένων, δ) η μη διακίνηση διευθύνσεων και οδηγιών μέσω των κοινωνικών δικτύων για τη συμμετοχή σε τηλεδιάσκεψη, ε) η μη χρήση ανοικτών ασύρματων δικτύων, τα οποία είναι περισσότερο ευάλωτα σε κακόβουλες ενέργειες, στ) η χρήση ισχυρών κωδικών πρόσβασης και λογισμικού προστασίας στον οικείο εξοπλισμό.

Κατά τον Σύνδεσμο Επιχειρήσεων και Βιομηχανιών, στο έγγραφο υπό τον τίτλο «Τηλεργασία: Q&A και Οδηγός Εφαρμογής», το οποίο δημοσιεύθηκε τον Μάρτιο⁴², προτείνονται συνοπτικά ιδίως τα ακόλουθα μέτρα: α) η χρήση «εικονικού ιδιωτικού δικτύου» (Virtual Private Network – VPN), β) ο αυστηρός περιορισμός των υπολογιστών που συνδέονται στα εταιρικά συστήματα, γ) ο έλεγχος πρόσβασης σε απαγορευμένες ιστοσελίδες από τους υπολογιστές της τηλεργασίας, σύμφωνα με την αντίστοιχη πολιτική, δ) η επιβολή περιορισμών στα προγράμματα λογισμικού που εγκαθίστανται στους υπολογιστές της τηλεργασίας, ε) ο περιορισμός στη διακίνηση δεδομένων και τα σχετικά μέσα αποθήκευσης που χρησιμοποιούνται, στ) ο περιορισμός στα πληροφοριακά συστήματα που είναι προσβάσιμα στον τηλεργαζόμενο.

Συνοψίζοντας, ο πυρήνας όλων των ως άνω μέτρων ασφαλείας έγκειται στην εκπόνηση των κατάλληλων διαδικασιών/πολιτικών με παράλληλη υιοθέτηση των κατάλληλων μέτρων, στην ενημέρωση και εκπαίδευση των τηλεργαζομένων περί αυτών και στη συνέχεια στη συστηματική εφαρμογή τους. Κατ’ αυτό τον τρόπο μπορεί πράγματι να εκπληρωθούν ουσιωδώς οι υποχρεώσεις που προβλέπουν τα προαναφερθέντα άρθρα 28 και 32 του GDPR, αλλά και το άρθρο 5 της προαναφερθείσας Ευρωπαϊκής Συμφωνίας Πλαίσιο για την Τηλεργασία του 2002, από οργανισμούς και επιχειρήσεις που υιοθετούν την τηλεργασία, με αποτέλεσμα την επιτυχή απόκρουση κυβερνοεγκληματιών και την προστασία των προσωπικών δεδομένων κατά την τηλεργασία. Επισημαίνεται πάντως ότι, όπως προκύπτει και από το γράμμα των εν λόγω προαναφερθεισών ρυθμίσεων του GDPR, τα εκάστοτε μέτρα ασφαλείας απαιτείται να είναι εξατομικευμένα, σύμφωνα με τα κριτήρια που αυτές θέτουν.

Γ. Εν είδει παρέκβασης: η ηλεκτρονική παρακολούθηση του τηλεργαζόμενου

Εν είδει παρέκβασης από τον κύριο άξονα του παρόντος πονήματος, η τηλεργασία θέτει ένα ακόμη σημαντικό ζήτημα στο πεδίο των προσωπικών δεδομένων, πέραν του μείζονος θέματος της ασφάλειας αυτών λόγω του κυβερνοεγκλήματος. Πρόκειται για το την ηλεκτρονική παρακολούθηση του τηλεργαζόμενου από τον εργοδότη του⁴³. Το εν λόγω ζήτημα τίθεται μετ’ επιτάσεως λόγω των επαναλαμβανόμενων ηλεκτρονικών επικοινωνιών μεταξύ εργαζόμενου και εργοδότη και κατ’ επέκταση λόγω του μεγάλου όγκου προσωπικών δεδομένων του εργαζόμενου τα οποία μπορούν να τύχουν πλέον επεξεργασίας⁴⁴, είτε εκούσια είτε ακούσια από την πλευρά οργανισμού ή επιχείρησης. Έτσι, προγράμματα που χρησιμοποιούνται, π.χ. για τηλεδιασκέψεις, παρέχουν τη δυνατότητα στον εργοδότη να εγγράψει ψηφιακά την επικοινωνία του με τηλεργαζόμενους, με αποτέλεσμα να δύναται να καταγραφεί η φωνή των τελευταίων, το πρόσωπό τους, η συμπεριφορά τους, αλλά και το οικιακό περιβάλλόν τους, όπως αποτυπώνεται στην κάμερα που χρησιμοποιείται, ή περαιτέρω αυτός να προβεί με ψηφιακό τρόπο σε ανάλυση της προσοχής που επιδεικνύουν στην τηλεδιάσκεψη οι συμμετέχοντες τηλεργαζόμενοι⁴⁵. Και οι περιπτώσεις αυτές, οι οποίες χρήζουν εξέτασης on a case by case basis, διέπονται σε κάθε περίπτωση από τον GDPR και το οικείο νομοθετικό πλαίσιο, με έμφαση στα άρθρα 5 και 6 του GDPR για τις αρχές επεξεργασίας προσωπικών δεδομένων και τη νομιμότητα της επεξεργασίας. Σε εφαρμογή καλούνται επίσης οι σχετικές Οδηγίες της ΑΠΔΠΧ και της τέως Ομάδας Εργασίας του άρθρου 29⁴⁶. Εξαιρετικά διαφωτιστική είναι επίσης και η μέχρι σήμερα σχετική νομολογία της ΑΠΔΠΧ⁴⁷.

Σημειωτέον είναι πάντως ότι σύμφωνα με την παρ. 5.4.1. της Γνώμης 2/2017 της πρώην Ομάδας Εργασίας του άρθρου 29 σχετικά με την επεξεργασία δεδομένων στην εργασία⁴⁸, που τιτλοφορείται «Παρακολούθηση της κατ’οίκον εργασίας και της τηλεργασίας»⁴⁹, η χρήση λογισμικού που έχει τη δυνατότητα π.χ. καταγραφής της ακολουθίας χαρακτήρων πληκτρολογίου και των κινήσεων του ποντικιού του τηλεργαζόμενου, καταγραφής στιγμιότυπων του τηλεργαζόμενου, καταγραφής των χρησιμοποιούμενων εφαρμογών και του χρόνου χρήσης του τηλεργαζόμενου, καθώς και ενεργοποίησης διαδικτυακών καμερών και συλλογής του μαγνητοσκοπημένου υλικού του τηλεργαζόμενου, οδηγεί σε δυσανάλογη επεξεργασία προσωπικών δεδομένων. Έτσι, κατά την ίδια ως άνω Γνώμη 2/2017 είναι εξαιρετικά απίθανο να έχει ο εργοδότης νομική βάση στο πλαίσιο έννομου συμφέροντος για τέτοιου είδους επεξεργασίες προσωπικών δεδομένων.

Από την πλευρά τους, οι τηλεργαζόμενοι οφείλουν και αυτοί να επιδεικνύουν αυξημένη ευαισθησία για την προστασία των προσωπικών δεδομένων τους κατά την περίοδο της τηλεργασίας, π.χ. να μη χρησιμοποιούν επαγγελματικό εξοπλισμό που έχουν λάβει για τις ανάγκες της τηλεργασίας, π.χ. εταιρικό υπολογιστή, και για προσωπική χρήση, καθώς και να απενεργοποιούν την κάμερα και το μικρόφωνο του υπολογιστή, όταν δεν χρειάζεται να είναι ενεργοποιημένα⁵⁰.

V. Eπίμετρο

Τον Μάιο η εταιρεία Facebook ανακοίνωσε ότι προτίθεται να υιοθετήσει το καθεστώς της τηλεργασίας σε μόνιμη βάση -τη στιγμή που το προσωπικό της απασχολήθηκε εξ αποστάσεως σε ποσοστό 95% κατά τη διάρκεια της πανδημίας-, προβλέποντας ότι εντός της επόμενης δεκαετίας η τηλεργασία θα αφορά σταθερά τουλάχιστον το ήμισυ των εργαζομένων της⁵¹. Σε αυτό το πλαίσιο, το προσωπικό της κλήθηκε να προβεί σε σχετική ενημέρωση της εταιρείας μέχρι την έναρξη του 2021⁵². Κατά τα λεγόμενα του κολοσσού των μέσων κοινωνικής δικτύωσης, οι αποδοχές του εκάστοτε τηλεργαζόμενου θα καθορισθούν λαμβάνοντας υπόψη και το κόστος ζωής της περιοχής στην οποία κατοικεί⁵³. Σε παράταση της τηλεργασίας επίσης προσανατολίζονται -έστω και αν όχι στο ίδιο βάθος χρόνου- και άλλοι τεχνολογικοί γίγαντες, όπως η εταιρεία Google, αλλά και η εταιρεία Amazon⁵⁴. Αντίστοιχη στάση δε με την εταιρεία Facebook φαίνεται ότι υιοθετεί και η εταιρεία στην οποία ανήκει το Twitter⁵⁵. Την ίδια ώρα, εν μέσω πανδημίας, στο Ηνωμένο Βασίλειο η αναλογία των επιθέσεων από κυβερνοεγκληματίες κατά των τηλεργαζομένων αυξήθηκε από 12% τον Μάρτιο, προ της λήψης των αυστηρών μέτρων για την αντιμετώπιση της πανδημίας, σε ποσοστό που υπερβαίνει το 60% λίγες εβδομάδες μετά⁵⁶. Τα ως άνω καταδεικνύουν ότι η τηλεργασία ήλθε για να μείνει, όπως επίσης και η συνακόλουθη αυξημένη δράση των κυβερνοεγκληματιών σε βάρος των τηλεργαζομένων. Πρόκειται για ένα νέο τοπίο στην προστασία των προσωπικών δεδομένων, το οποίο δεν έχει ακόμη πλήρως αποκαλυφθεί. Πρώτο μέλημα οργανισμών, επιχειρήσεων και τηλεργαζομένων είναι η λήψη και εφαρμογή των δεόντων τεχνικών και οργανωτικών μέτρων ασφαλείας, ώστε οι νέες συνθήκες να μην αποτελέσουν ισχυρό πλήγμα στο δικαίωμα προστασίας των προσωπικών δεδομένων. Άλλωστε, η αποτυχία στην προστασία των προσωπικών δεδομένων θα υπονομεύσει μετά βεβαιότητας την όποια προσπάθεια διεύρυνσης της τηλεργασίας, καθώς τα δύο αντικείμενα τελούν σε συμπληρωματική σχέση. Σε δεύτερο χρόνο, εξέτασης χρήζει η υιοθέτηση ενός νέου ολιστικού νομοθετικού πλαισίου για την τηλεργασία στη χώρα μας. Ως προς το τελευταίο, η Κυβέρνηση ανακοίνωσε πρόσφατα σχετικά νομοθετική πρωτοβουλία.
Αναμένεται, λοιπόν, η ψήφιση του σχετικού νόμου και τα νέα ζητήματα που αναπόδραστα αυτή θα θέσει στη σχετική συζήτηση.

__________________________
¹ European Foundation for the Improvement of Living and Working Conditions, <https://www.eurofound.europa.eu/observatories/eurwork/industrial-relations-dictionary/telework>, τελευταία πρόσβαση 14.7.2020.
² ibid.
³ Σύνδεσμος Επιχειρήσεων και Βιομηχανιών, Special Report για την τηλεργασία, 2.5.2019, σελ. 3, <http://www.sev.org.gr/Uploads/Documents/52083/SR_TELEWORK_final.pdf>, τελευταία πρόσβαση 14.7.2020.
⁴ ILO και Eurofound, Working anytime, anywhere: the effects on the world of work, 2017, σελ. 15, <https://www.eurofound.europa.eu/publications/report/2017/working-anytime-anywhere-the-effects-on-the-world-of-work>, τελευταία πρόσβαση 14.7.2020.
⁵ Σύνδεσμος Επιχειρήσεων και Βιομηχανιών, Special Report για την τηλεργασία, 2.5.2019, σελ. 1, <http://www.sev.org.gr/Uploads/Documents/52083/SR_TELEWORK_final.pdf>, τελευταία πρόσβαση 14.7.2020.
⁶ Eurofound, Living, working and COVID-19 e-survey, <https://www.eurofound.europa.eu/data/covid-19/working-teleworking>, τελευταία πρόσβαση 14.7.2020.
⁷ ibid.
⁸ Σύνδεσμος Επιχειρήσεων και Βιομηχανιών, Special Report για την τηλεργασία, 2.5.2019, σελ. 2, <http://www.sev.org.gr/Uploads/Documents/52083/SR_TELEWORK_final.pdf>, τελευταία πρόσβαση 14.7.2020.
⁹ ibid.
¹⁰ ibid.
¹¹ Ευρωπαϊκό Κοινοβούλιο, Τι κάνει η Ευρώπη για εμένα; – Τηλεργαζόμενοι, <https://what-europe-does-for-me.eu/el/portal/2/B55>, τελευταία πρόσβαση 14.7.2020.
¹² Ευρωπαϊκή Συμφωνία Πλαίσιο για την Τηλεργασία του 2002, παρ. 1.
¹³ Ευρωπαϊκό Κοινοβούλιο, Τι κάνει η Ευρώπη για εμένα; – Τηλεργαζόμενοι, <https://what-europe-does-for-me.eu/el/portal/2/B55>, τελευταία πρόσβαση 14.7.2020.
¹⁴ Ευρωπαϊκή Συμφωνία Πλαίσιο για την Τηλεργασία του 2002, παρ. 3.
¹⁵ ibid.
¹⁶ ibid.
¹⁷ «Εγγυήσεις για την εργασιακή ασφάλεια και άλλες διατάξεις», ΦΕΚ Α’ 66/11.05.2010.
¹⁸ «Κατεπείγοντα μέτρα αντιμετώπισης των αρνητικών συνεπειών της εμφάνισης του κορωνοϊού COVID-19 και της ανάγκης περιορισμού της διάδοσής του «, ΦΕΚ Α’ 55/11-03-2020.
¹⁹ Καθηγητής ΑΠΘ: Ανεπαρκές το νομοθετικό πλαίσιο για την τηλεργασία – Γιατί χρειάζεται να υπάρξουν ειδικότερες ρυθμίσεις – Τι αναφέρει ο Δημήτρης Ζερδελής, iefimerida.gr, 18.3.2020, <https://www.iefimerida.gr/ellada/kathigitis-apth-aneparkes-nomothetiko-plaisio-tilergasia>, τελευταία πρόσβαση 14.7.2020.
²⁰ Europol, Press Release, How criminals profit from the COVID-19 pandemic, 27.3.2020, <https://www.europol.europa.eu/newsroom/news/how-criminals-profit-covid-19-pandemic>, τελευταία πρόσβαση 14.7.2020.
²¹ Συμβούλιο της Ευρώπης, News, Cybercrime and COVID-19, <https://www.coe.int/en/web/cybercrime/-/cybercrime-and-covid-19>, τελευταία πρόσβαση 14.7.2020.
²² ibid.
²³ Εθνική Αρχή Διαφάνειας, Οδηγός προστασίας από τεχνικές εξαπάτησης COVID-19, 2020, σελ. 2.
²⁴ ibid.
²⁵ ibid.
²⁶ Εθνική Αρχή Διαφάνειας, Οδηγός προστασίας από τεχνικές εξαπάτησης COVID-19, 2020, σελ. 3.
²⁷ H Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος ενημερώνει τους πολίτες σχετικά με προσπάθειες εξαπάτησης και περιπτώσεις διασποράς ψευδών ειδήσεων, μέσω διαδικτύου, με αφορμή τον κορωνοϊό (COVID-19), 2020, <https://cyberalert.gr/%ce%b7-%ce%b4%ce%b9%ce%b5%cf%8d%ce%b8%cf%85%ce%bd%cf%83%ce%b7-%ce%b4%ce%af%cf%89%ce%be%ce%b7%cf%82-%ce%b7%ce%bb%ce%b5%ce%ba%cf%84%cf%81%ce%bf%ce%bd%ce%b9%ce%ba%ce%bf%cf%8d-%ce%b5%ce%b3%ce%ba%ce%bb/>, τελευταία πρόσβαση 14.7.2020.
²⁸ ibid.
²⁹ ibid.
³⁰ Βλ. αντί πολλών, Commission Nationale de l’Informatique et des Libertés, Les conseils de la CNIL pour mettre en place du télétravail, 12.5.2020, <https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-mettre-en-place-du-teletravail>, τελευταία πρόσβαση 14.7.2020. Αναμένονται επίσης σχετικές κατευθυντήριες γραμμές από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων. Βλ. Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, Press Release, Twentieth plenary session of the European Data Protection Board – scope of upcoming guidance on data processing in the fight against COVID-19, <https://edpb.europa.eu/news/news/2020/twentieth-plenary-session-european-data-protection-board-scope-upcoming-guidance-data_el>, τελευταία πρόσβαση 14.7.2020.
³¹ Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ, Ε.Ε. L 119/4.5.2016, σελ. 1 επ., γνωστός και ως Γενικός Κανονισμός Προστασίας Δεδομένων (ΓΚΠΔ) ή General Data Protection Regulation (GDPR). Ενδεικτική βιβλιογραφία: Ι. Ιγγλεζάκης, Ο Γενικός Κανονισμός Προστασίας Προσωπικών Δεδομένων (Κανονισμός 2016/679), 2η εκδ., 2018· B. Σωτηρόπουλος, Υπεύθυνος Προστασίας Δεδομένων, 2η εκδ., Εκδόσεις Σάκκουλα, 2019· Λ. Κανέλλος, The GDPR Handbook, Νομική Βιβλιοθήκη, 2020.
³² Κατευθυντήριες Γραμμές της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για τη λήψη μέτρων ασφαλείας στο πλαίσιο της τηλεργασίας, 15.4.2020, <https://www.dpa.gr/pls/portal/docs/PAGE/APDPX/HOME/FILES/KATEFTHINTIRIES%20GRAMMES_TILERGASIA.PDF>, τελευταία πρόσβαση 14.7.2020.
³³ ΑΠΔΠΧ, Δελτίο Τύπου – Κατευθυντήριες Γραμμές της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για τη λήψη μέτρων ασφάλειας στο πλαίσιο τηλεργασίας, 15.4.2020, <http://www.dpa.gr/APDPXPortlets/htdocs/documentDisplay.jsp?docid=65,70,126,25,55,137,17,157>, τελευταία πρόσβαση 14.7.2020.
³⁴ Κατευθυντήριες Γραμμές της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για τη λήψη μέτρων ασφαλείας στο πλαίσιο της τηλεργασίας, 15.4.2020, σελ. 1, <https://www.dpa.gr/pls/portal/docs/PAGE/APDPX/HOME/FILES/KATEFTHINTIRIES%20GRAMMES_TILERGASIA.PDF>, τελευταία πρόσβαση 14.7.2020.
³⁵ ibid.
³⁶ Κατευθυντήριες Γραμμές της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για τη λήψη μέτρων ασφαλείας στο πλαίσιο της τηλεργασίας, 15.4.2020, σελ. 1-3, <https://www.dpa.gr/pls/portal/docs/PAGE/APDPX/HOME/FILES/KATEFTHINTIRIES%20GRAMMES_TILERGASIA.PDF>, τελευταία πρόσβαση 14.7.2020.
³⁷ Κατευθυντήριες Γραμμές της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για τη λήψη μέτρων ασφαλείας στο πλαίσιο της τηλεργασίας, 15.4.2020, σελ. 1-2, <https://www.dpa.gr/pls/portal/docs/PAGE/APDPX/HOME/FILES/KATEFTHINTIRIES%20GRAMMES_TILERGASIA.PDF>, τελευταία πρόσβαση 14.7.2020.
³⁸ Κατευθυντήριες Γραμμές της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για τη λήψη μέτρων ασφαλείας στο πλαίσιο της τηλεργασίας, 15.4.2020, σελ. 2, <https://www.dpa.gr/pls/portal/docs/PAGE/APDPX/HOME/FILES/KATEFTHINTIRIES%20GRAMMES_TILERGASIA.PDF>, τελευταία πρόσβαση 14.7.2020.
³⁹ Κατευθυντήριες Γραμμές της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για τη λήψη μέτρων ασφαλείας στο πλαίσιο της τηλεργασίας, 15.4.2020, σελ. 3, <https://www.dpa.gr/pls/portal/docs/PAGE/APDPX/HOME/FILES/KATEFTHINTIRIES%20GRAMMES_TILERGASIA.PDF>, τελευταία πρόσβαση 14.7.2020.
⁴⁰ ibid.
⁴¹ Υπουργείο Ψηφιακής Διακυβέρνησης, Δελτίο Τύπου – Συμβουλές για την ασφαλή εργασία από το σπίτι, 30.3.2020, <https://mindigital.gr/archives/1291>, τελευταία πρόσβαση 14.7.2020.
⁴² Σύνδεσμος Επιχειρήσεων και Βιομηχανιών, Τηλεργασία: Q&A και Οδηγός Εφαρμογής, Μάρτιος 2020, <https://www.sev.org.gr/Uploads/Documents/52761/SEV_Thlergasia%20(1B).pdf>, τελευταία πρόσβαση 14.7.2020.
⁴³ Εν γένει για τη βασική προβληματική, βλ., αντί πολλών, I. Ιγγλεζάκη, Επιτήρηση και παρακολούθηση των ηλεκτρονικών επικοινωνιών στο χώρο εργασίας, ΔiΜΕΕ 1/2005, σελ. 55 επ.,
⁴⁴ O. Proust και S. Crouzet , The risks of online employee monitoring during the COVID-19 crisis, 14.4.2020, <https://www.fieldfisher.com/en/services/privacy-security-and-information/privacy-security-and-information-law-blog/the-risks-of-online-employee-monitoring-during-the>, τελευταία πρόσβαση 14.7.2020.
⁴⁵ ibid.
⁴⁶ Οδηγία 115/2001 ΑΠΔΠΧ για την επεξεργασία δεδομένων των εργαζομένων, <http://www.dpa.gr/pls/portal/url/ITEM/BD66D8402E549E88E040A8C07C242BC7>, τελευταία πρόσβαση 14.7.2020· Γνώμη 2/2017 Ομάδας Εργασίας Άρθρου 29 σχετικά με την επεξεργασία δεδομένων στην εργασία, <https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=610169>, τελευταία πρόσβαση 14.7.2020.
47 ΑΠΔΠΧ, Αποφάσεις θεματικής ενότητας «Εργασιακές σχέσεις», <https://www.dpa.gr/portal/page?_pageid=33%2C15453&_dad=portal&_schema=PORTAL&_piref33_15473_33_15453_15453.etos=-1&_piref33_15473_33_15453_15453.arithmosApofasis=&_piref33_15473_33_15453_
15453.thematikiEnotita=171&_piref33_15473_33_15453_15453.ananeosi=%CE%91%CE%BD%CE%B1%CE%BD%CE%AD%CF%89%CF%83%CE%B7>, τελευταία πρόσβαση 14.7.2020.
⁴⁸ Γνώμη 2/2017 Ομάδας Εργασίας Άρθρου 29 σχετικά με την επεξεργασία δεδομένων στην εργασία, <https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=610169>, τελευταία πρόσβαση 14.7.2020.
⁴⁹ Γνώμη 2/2017 Ομάδας Εργασίας Άρθρου 29 σχετικά με την επεξεργασία δεδομένων στην εργασία, <https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=610169>, σελ. 19-20, τελευταία πρόσβαση 14.7.2020.
⁵⁰ O. Proust και S. Crouzet , The risks of online employee monitoring during the COVID-19 crisis, 14.4.2020, <https://www.fieldfisher.com/en/services/privacy-security-and-information/privacy-security-and-information-law-blog/the-risks-of-online-employee-monitoring-during-the>, τελευταία πρόσβαση 14.7.2020.
⁵¹ Μονιμοποιεί την τηλεργασία η Facebook, Καθημερινή, 23.5.2020, <https://www.kathimerini.gr/1079540/article/oikonomia/die8nhs-oikonomia/monimopoiei-thn-thlergasia-h-facebook>, τελευταία πρόσβαση 14.7.2020.
⁵² ibid.
⁵³ ibid.
⁵⁴ ibid.
⁵⁵ Facebook και Twitter «σπρώχνουν» τους εργαζόμενους σε μόνιμη τηλεργασία, newmoney.gr, 22.5.2020, <https://www.newmoney.gr/roh/diethni/facebook-ke-twitter-sprochnoun-tous-ergazomenous-se-monimi-tilergasia/>, τελευταία πρόσβαση 14.7.2020.
⁵⁶Αυξήθηκαν οι κυβερνοεπιθέσεις κατά εργαζομένων σε τηλεργασία – Εν μέσω lockdown, LiFO, 24.5.2020, <https://www.lifo.gr/now/tech_science/283584/ayksithikan-oi-kyvernoepitheseis-kata-ergazomenon-se-tilergasia-en-meso-lockdown>, τελευταία πρόσβαση 14.7.2020.

GDPR: Κορωνοϊός, τηλεργασία και μέτρα ασφαλείας

Written by Aimilios Koronaios on 13/04/2020. Posted in TaxHeaven, Αρθρογραφία, Ιστοσελίδες.

Πρώτη δημοσίευση: www.taxheaven.gr
Ημερομηνία πρώτης δημοσίευσης: 13/03/2020

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Ο αριθμός των επιχειρήσεων που υιοθετούν την τηλεργασία διαρκώς αυξάνεται, στο πλαίσιο λήψης μέτρων αναχαίτισης του κορωνοϊού. Η εξ αποστάσεως εργασία οδηγεί με τη σειρά της σε μεγέθυνση της εξ αποστάσεως επεξεργασίας προσωπικών δεδομένων. Πρόκειται για τάση που εγκυμονεί ειδικούς κινδύνους για την ασφάλεια των προσωπικών δεδομένων. Εξαιτίας αυτού, η εποπτική αρχή της Ιρλανδίας, όπου εφαρμόζεται ο GDPR, με χθεσινή ανακοίνωσή της παρέχει τις ακόλουθες βασικές συμβουλές για την αντιμετώπισή τους. Οι τελευταίες είναι πολύ χρήσιμες και για την ελληνική πραγματικότητα.

Α. Συσκευές

– Επίδειξη αυξημένης μέριμνας ώστε συσκευές όπως USBs, τηλέφωνα, φορητοί υπολογιστές ή tablets να μην χαθούν ή να παραπέσουν.
– Έλεγχος ότι κάθε συσκευή έχει τις αναγκαίες ενημερώσεις, όπως τις ενημερώσεις για τα λειτουργικά συστήματα και ενημερώσεις προγραμμάτων/antivirus.
– Εξασφάλιση ότι ο υπολογιστής, ο φορητός υπολογιστής ή η συσκευή χρησιμοποιείται σε ασφαλή τοποθεσία, για παράδειγμα σε μέρος εντός του οπτικού πεδίου του χρήστη και ελαχιστοποίηση της δυνατότητας τρίτου να δει την οθόνη, ιδίως εάν εργάζεστε με ευαίσθητα προσωπικά δεδομένα.
– Κλείδωμα της συσκευής, αν χρειαστεί αυτή να μείνει χωρίς εποπτεία για οποιοδήποτε λόγο.
– Έλεγχος ότι οι συσκευές είναι κλειστές, κλειδωμένες ή αποθηκευμένες με ασφάλεια, όταν δεν χρησιμοποιούνται.
– Χρήση αποτελεσματικών ελέγχων πρόσβασης (όπως έλεγχος ταυτότητας πολλαπλών παραγόντων και ισχυροί κωδικοί πρόσβασης) και, όπου είναι διαθέσιμη, κρυπτογράφηση, για να περιορίσετε την πρόσβαση στη συσκευή και να μειώσετε τον κίνδυνο σε περίπτωση όπου η συσκευή κλαπεί ή παραπέσει.
– Όταν μια συσκευή χαθεί ή κλαπεί, λήψη αμέσως μέτρων ώστε να επιτευχθεί η διαγραφή της μνήμης εξ αποστάσεως, όταν αυτό είναι εφικτό.

Β. Ηλεκτρονική αλληλογραφία

– Τήρηση όλων των εφαρμοστέων πολιτικών του οργανισμού σας για την ηλεκτρονική αλληλογραφία.
– Χρήση επαγγελματικών λογαριασμών ηλεκτρονικής αλληλογραφίας αντί προσωπικών λογαριασμών ηλεκτρονικής αλληλογραφίας αναφορικά με επαγγελματική αλληλογραφία που αφορά προσωπικά δεδομένα. Αν είναι αναγκαία η χρήση προσωπικού λογαριασμού ηλεκτρονικής αλληλογραφίας, εξασφάλιση ότι τα περιεχόμενα και τα συνημμένα αρχεία είναι κρυπτογραφημένα και αποφυγή χρήσης προσωπικών ή εμπιστευτικών δεδομένων στο θέμα του μηνύματος ηλεκτρονικής αλληλογραφίας.
– Προ της αποστολής του μηνύματος ηλεκτρονικής αλληλογραφίας, επιβεβαίωση ότι αποστέλλεται στον σωστό παραλήπτη, ιδίως για μηνύματα ηλεκτρονικής αλληλογραφίας που αφορούν μεγάλο όγκο προσωπικών δεδομένων ή ευαίσθητων προσωπικών δεδομένων.

Γ. Cloud και πρόσβαση στο δίκτυο

– Όπου είναι δυνατόν, χρήση μόνο αξιόπιστων δικτύων ή υπηρεσιών cloud του οργανισμού σας και συμμόρφωση με όλους τους κανόνες και διαδικασίες του οργανισμού σας σχετικά με την πρόσβαση στο cloud ή στο δίκτυο, τη σύνδεση και την κοινή χρήση δεδομένων.
– Σε περίπτωση εργασίας χωρίς χρήση cloud ή πρόσβαση στο δίκτυο, εξασφάλιση ότι όλα τα τοπικώς αποθηκευμένα δεδομένα έχουν γίνει backup με τον δέοντα τρόπο και με ασφάλεια.

Οι ως άνω συμβουλές είναι σε ένα βαθμό αυτονόητες για οργανισμούς που έχουν ήδη συμμορφωθεί με τον GDPR. Χρήσιμο είναι πάντως ένα «φρεσκάρισμα» ως προς το περιεχόμενό τους, δεδομένου ότι η τηλεργασία για το προσεχές χρονικό διάστημα φαίνεται πως θα καταστεί ο κανόνας για πολύ μεγάλο αριθμό επιχειρήσεων. Υπό αυτές τις συνθήκες, άλλωστε, πολλαπλασιάζονται και τα κίνητρα για σχετικές κακόβουλες ενέργειες.

Έτσι, προβλέπεται ότι η πιθανότητα παραβίασης προσωπικών δεδομένων με αυτά τα ειδικά χαρακτηριστικά θα αυξηθεί σημαντικά. Απαιτείται, λοιπόν, η δέουσα έμφαση στα οικεία μέτρα ασφαλείας. Προσέχουμε… για να έχουμε (ασφάλεια προσωπικών δεδομένων).

GDPR: Βαθιά προβληματικός ο εθνικός εφαρμοστικός νόμος

Written by Aimilios Koronaios on 24/03/2020. Posted in TaxHeaven, Αρθρογραφία, Ιστοσελίδες.

Πρώτη δημοσίευση: www.taxheaven.gr
Ημερομηνία πρώτης δημοσίευσης: 24/02/2020

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

«Το βασικό νομοθέτημα είναι ο Κανονισμός που έχει υπέρτερη νομική ισχύ.
Ο νόμος 4624/2019 είναι συμπληρωματικός και εφαρμόζεται στο μέτρο
που δεν έρχεται σε αντίθεση με τον Κανονισμό».
Επιστημονική ημερίδα της 28ης Ιανουαρίου 2020
Πρόεδρος ΑΠΔΠΧ

Με την πρόσφατη Γνωμοδότηση υπ’ αριθμ. 1/2020 (Γνωμοδότηση) η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) εκφράζει επιτέλους τη γνώμη της επί των ρυθμίσεων του εθνικού εφαρμοστικού του GDPR Ν. 4624/2019. Υπενθυμίζεται ότι ο τελευταίος δημοσιεύθηκε στην Εφημερίδα της Κυβερνήσεως στις 29 Αυγούστου 2019, δίχως η ΑΠΔΠΧ να έχει προηγουμένως εκφραστεί επί του περιεχομένου του. Οι αντιδράσεις ως προς το περιεχόμενο του ήταν ποικίλες, εστιάζοντας κυρίως στη συμβατότητά του με τον GDPR.

Όπως ήταν αναμενόμενο, η Γνωμοδότηση εντοπίζει κατά τη γνώμη μας ουκ ολίγα προβλήματα τόσο ως προς τη συμβατότητα μεταξύ GDPR και Ν. 4624/2019 όσο και ευρύτερα. Η ΑΠΔΠΧ μάλιστα υπογραμμίζει ότι «…δεν θα τύχουν εφαρμογής από την Αρχή κατά την άσκηση των αρμοδιοτήτων της διατάξεις του ν. 4624/2019, οι οποίες θα κριθούν ότι έρχονται σε αντίθεση µε τον ΓΚΠΔ ή δεν βρίσκουν έρεισμα σε “ρήτρες ανοίγματος – εξειδίκευσης”. Εκ των σημαντικότερων ζητημάτων που τίθενται είναι τα ακόλουθα:

1. Η διάκριση μεταξύ δημόσιων και ιδιωτικών φορέων που επεξεργάζονται προσωπικά δεδομένα, όπως προβλέπεται στο άρθρο 4 του Ν. 4624/2019, είναι γερμανικής προέλευσης, δεν περιλαμβάνεται στον GDPR και «στηρίζεται σε διαφορετική αντίληψη σε σχέση µε εκείνη του επί 20ετία ισχύοντος ν. 2472/1997 (κατ’ εφαρμογή της Οδηγίας 95/46/ΕΚ), αλλά και της παράδοσης που δηµιουργήθηκε από την ερμηνεία του, τόσο από τα δικαστήρια, όσο και από την ΑΠΔΠΧ». Η διάκριση δημιουργεί τον κίνδυνο σύγχυσης μεταξύ των εννοιών «υπεύθυνος επεξεργασίας» και «δημόσιος φορέας», χωρίς πάντως να είναι αντίθετη με τις προβλέψεις του GDPR.

2. Το άρθρο 5 του Ν. 4624/2019 κατά το οποίο «Οι δημόσιοι φορείς επιτρέπεται να επεξεργάζονται δεδομένα προσωπικού χαρακτήρα, όταν η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας» δεν εισάγει νέα ή επικουρική νομική βάση επεξεργασίας προσωπικών δεδομένων, ούτε αποκλείει την εφαρμογή των νομικών βάσεων του άρθρου 6 παρ. 1 του GDPR. Αντίθετα, με αυτό επαναλαμβάνεται η νομική βάση του άρθρου 6 παρ. 1 περ. ε΄ του GDPR, κατά παράβαση του ενωσιακού κανόνα περί μη επανάληψης ρυθμίσεων του GDPR σε εθνικό νόμο.

3. Η εφαρμογή του άρθρου 10 του GDPR για την επεξεργασία προσωπικών δεδομένων που αφορά ποινικές καταδίκες και αδικήματα παραμένει εν πολλοίς αδύνατη, καθώς ο Ν. 4624/2019 δεν συμπεριλαμβάνει ουδεμία σχετική ρύθμιση, μη συμμορφούμενος με τη σχετική επιταγή του GDPR.

4. Για το πολύ κρίσιμο άρθρο 22 του Ν. 4624/2019 αναφορικά με την επεξεργασία ειδικών κατηγοριών προσωπικών δεδομένων, όπως δεδομένων υγείας, κρίνεται ότι η μεν πρώτη παράγραφός του αποτελεί απλώς μη επιτρεπτή επανάληψη των αντίστοιχων ρυθμίσεων του άρθρου 9 παρ. 2 του GDPR, χωρίς να διακρίνεται μάλιστα από την αναγκαία εξειδίκευση. Εντοπίζονται επίσης μεταβολές/παραλείψεις από το κείμενο του GDPR, χωρίς αυτός να προβλέπει σχετική ευχέρεια του εθνικού νομοθέτη. Προβλήματα εντοπίζονται και στη δεύτερη παράγραφο του άρθρου 22 του Ν. 4624/2019, όπου διαπιστώνονται τα ήδη λεχθέντα προβλήματα για την παράγραφο 1. Επιπρόσθετα, σε αυτή περιλαμβάνονται παρεκκλίσεις υπό τις οποίες είναι επιτρεπτή η επεξεργασία των εν λόγω προσωπικών δεδομένων, χωρίς όμως ο GDPR να περιλαμβάνει σχετική εξουσιοδότηση προς τον εθνικό νομοθέτη.

5. Όλως προβληματικές είναι οι ρυθμίσεις των άρθρων 24, 25 και 26 του Ν. 4624/2019 για την επεξεργασία προσωπικών δεδομένων για σκοπούς άλλους από αυτούς για τους οποίους συνελέγησαν. Και αυτό πρωτίστως γιατί ο GDPR δεν παρέχει εξουσιοδότηση στον εθνικό νομοθέτη να προβλέψει νέες νομικές βάσεις επεξεργασίας, όπως η αιτιολογική έκθεση του Ν. 4624/2019 διατείνεται ότι συμβαίνει με τις επίμαχες εθνικές ρυθμίσεις. Επιπρόσθετα, η οικεία ρύθμιση του άρθρου 6 παρ. 4 του GDPR για την περαιτέρω επεξεργασία προσωπικών δεδομένων θεσπίζει ήδη τα σχετικά κριτήρια, δίχως να απαιτείται παρέμβαση εθνικού νομοθέτη.

6. Το πολύ συχνά εφαρμοζόμενο άρθρο 27 του Ν. 4624/2019 για την επεξεργασία προσωπικών δεδομένων στις εργασιακές σχέσεις πάσχει επίσης. Η πρώτη παράγραφός του αποτελεί μη επιτρεπτή επανάληψη του άρθρου 6 παρ. 1 εδ. β΄ του GDPR. Ουδόλως δε η εν λόγω παράγραφος θίγει την εν γένει εφαρμογή του άρθρου 6 παρ. 1 του GDPR και τις εκεί προβλεπόμενες νομικές βάσεις επεξεργασίας. Η εκδοχή ότι με το άρθρο 27 παρ. 1 του Ν. 4624/2019 εισάγεται μοναδική νομική βάση επεξεργασίας στις εργασιακές σχέσεις, με αποτέλεσμα να αποκλείεται η εφαρμογή των λοιπών νομικών βάσεων του άρθρου 6 παρ. 1 του GDPR, δεν μπορεί να γίνει επ’ ουδενί δεκτή. Ανεπάρκειες εντοπίζονται και στις παρ. 3 και 4 του άρθρου 27 του Ν. 4624/2019.

7. Για την πολυσυζητημένη παρέκκλιση του άρθρου 28 παρ. 2 του Ν. 4624/2019, με την οποία αποκλείεται η εφαρμογή ούτε λίγο ούτε πολύ πλέον των 50 άρθρων του GDPR στο πλαίσιο επεξεργασίας προσωπικών δεδομένων για σκοπούς ιδίως δημοσιογραφικούς, καθώς και ακαδημαϊκής, καλλιτεχνικής και λογοτεχνικής έκφρασης, σημειώνεται χαρακτηριστικά ότι «η ευρύτητα των εξαιρέσεων… θέτει υπό διακινδύνευση τον πυρήνα της προστασίας των δεδοµένων προσωπικού χαρακτήρα… ιδίως η εξαίρεση από ορισμένα δικαιώματα, όπως το δικαίωμα αντίρρησης ή ενημέρωσης». Υπογραμμίζεται επίσης ότι οι εξαιρέσεις είναι αναιτιολόγητες, κατ’ αντίθεση με τα επιβαλλόμενα από τον GDPR.

8. Τα άρθρα 31 έως 35 του Ν. 4624/2019, στα οποία προβλέπονται περιορισμοί στα δικαιώματα των υποκειμένων των προσωπικών δεδομένων, έχουν υιοθετηθεί χωρίς να τηρούνται οι προϋποθέσεις που τίθενται στην εξουσιοδοτική ρύθμιση του άρθρου 23 του GDPR. Έτσι, σημειώνεται ότι «Η Αρχή επιφυλάσσεται να κρίνει, κατά την άσκηση των αρμοδιοτήτων της, αν οι εφαρμοζόµενοι σε κάθε περίπτωση, µε βάση τις διατάξεις αυτές του νόμου, περιορισμοί είναι σύμφωνοι µε τον ΓΚΠΔ…».

9. Η διατήρηση σε ισχύ ορισμένων ρυθμίσεων του προηγούμενου νομοθετικού πλαισίου του Ν. 2472/1997 με το άρθρο 84 του Ν. 4624/2019 κρίνεται ανεπιτυχής, ενώ επαναλαμβάνεται η παρατήρηση της Επιστημονικής Υπηρεσίας της Βουλής «νομοτεχνικώς προσφορότερο θα ήταν να ενσωματωθούν στο υπό ψήφιση νομοσχέδιο οι µη καταργηθείσες διατάξεις του ν. 2472/1997».

Συμπερασματικά σημειώνουμε τα εξής:

Α. Η Γνωμοδότηση προσεγγίζει συνολικά τον Ν. 4624/2019 ο οποίος αφενός περιέχει εφαρμοστικά εθνικά μέτρα του GDPR, αφετέρου ενσωματώνει την Οδηγία (ΕΕ) 2016/680, την καλούμενη και Αστυνομική Οδηγία. Οι παρατηρήσεις της ΑΠΔΠΧ ως προς την Αστυνομική Οδηγία παραλείπονται στο παρόν άρθρο, το οποίο εστιάζει στον GDPR. Υπογραμμίζεται πάντως ότι και στην ενσωμάτωση αυτής εντοπίζονται από τη Γνωμοδότηση σημαντικά προβλήματα.

Β. Η εφαρμογή της νομοθεσίας προστασίας προσωπικών δεδομένων στη χώρα μας καθίσταται πλέον ακόμη περισσότερο δαιδαλώδης. Πέραν των όποιων ρυθμίσεων του Ν. 2472/1997 έχουν παραμείνει σε ισχύ, των διατάξεων του GDPR και των προβλέψεων του εθνικού εφαρμοστικού Ν. 4624/2019, εφεξής πρέπει να λαμβάνεται οπωσδήποτε υπόψη και η Γνωμοδότηση, δεδομένου ότι ενώπιον της ΑΠΔΠΧ συγκεκριμένες εθνικές ρυθμίσεις ενδέχεται να κριθούν ανεφάρμοστες. Κατ’ αυτόν τον τρόπο όμως η ανασφάλεια δικαίου «χτυπάει κόκκινο».

Γ. Αποτελεί άμεση αναγκαιότητα η νομοθετική παρέμβαση με πρωτοβουλία του Υπουργείου Δικαιοσύνης, ώστε να αντιμετωπισθεί η ως άνω κατάσταση, χέρι-χέρι με την ΑΠΔΠΧ. Σε αυτή την κατεύθυνση κινήθηκε πολύ πρόσφατα και ο Πρόεδρος της ΑΠΔΠΧ στην πρόσφατη επιστημονική ημερίδα της 28ης Ιανουαρίου 2020 με ομιλητές τα μέλη της ΑΠΔΠΧ και με θέμα «Το δικαίωμα στην προστασία των προσωπικών δεδομένων μετά την εφαρμογή του Κανονισμού (ΕΕ) 2016/679 και την ενσωμάτωση της Οδηγίας (ΕΕ) 2016/680». Όπως τόνισε ο κ. Πρόεδρος «…με βάση τις μέχρι σήμερα διαπιστώσεις της Αρχής και με βάση τα ζητήματα που ανακύπτουν στην πράξη στο πλαίσιο της εφαρμογής του ν. 4624/2019, η Αρχή θα υποβάλει συγκεκριμένες προτάσεις στο Υπουργείο Δικαιοσύνης για τυχόν αναγκαίες τροποποιήσεις του νόμου».

GDPR και ΑΑΔΕ: To «απόσταγμα» της διαδικασίας διαχείρισης αιτημάτων

Written by Aimilios Koronaios on 20/03/2020. Posted in TaxHeaven, Αρθρογραφία, Ιστοσελίδες.

Πρώτη δημοσίευση: www.taxheaven.gr
Ημερομηνία πρώτης δημοσίευσης: 20/02/2020

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Ι. Εισαγωγικά

Με Απόφαση του Διοικητή της Ανεξάρτητης Αρχής Δημοσίων Εσόδων (ΑΑΔΕ), συστάθηκε σε αυτήν από 25-05-2018 Αυτοτελές Τμήμα Υποστήριξης Υπεύθυνου Προστασίας Δεδομένων (Αυτοτελές Τμήμα), σε συμμόρφωση με τον GDPR. O Προϊστάμενός του ορίστηκε ως Υπεύθυνος Προστασίας Δεδομένων αυτής. Η σύσταση Αυτοτελούς Τμήματος ή Γραφείου αποτελεί βέλτιστη πρακτική, αντίστοιχη με αυτή που ακολουθήθηκε, μεταξύ άλλων, στο Υπουργείο Υγείας, στο Υπουργείο Οικονομικών και στο Υπουργείο Ψηφιακής Διακυβέρνησης. Επομένως, ήταν παραπάνω από ευπρόσδεκτη, ώστε να εισέλθει και η ΑΑΔΕ στη μετά GDPR εποχή.

Στο πλαίσιο της λειτουργίας του και σε υλοποίηση των επιμέρους επιταγών συμμόρφωσης με τον GDPR, πολύ πρόσφατα το Αυτοτελές Τμήμα προέβη στην υιοθέτηση και συνακόλουθη δημοσιοποίηση Διαδικασίας Διαχείρισης Αιτημάτων των Υποκειμένων των Δεδομένων περί Άσκησης των Δικαιωμάτων τους που απορρέουν από το Γενικό Κανονισμό για την Προστασία Δεδομένων (υπ’ αριθμ. πρωτ. ΑΤΥΥΠΔ 0002470 ΕΞ 24-12-2019). Η Διαδικασία Διαχείρισης Αιτημάτων αποτελεί ένα έγγραφο εξαιρετικά σημαντικό, λαμβανομένου ιδίως υπόψη του τεράστιου όγκου προσωπικών δεδομένων που επεξεργάζεται η ΑΑΔΕ ως υπεύθυνος επεξεργασίας, των ειδικών χαρακτηριστικών τους, καθώς διέπονται, μεταξύ άλλων, από το φορολογικό απόρρητο κατά τα προβλεπόμενα στον Κώδικα Φορολογικής Διαδικασίας, του πλήθος των υποκειμένων προσωπικών δεδομένων τα οποία αφορά εν προκειμένω και της βαρύτητας που δίνει ο GDPR εν γένει στα δικαιώματά τους.

Σκοπός της υιοθέτησης της ως άνω διαδικασίας είναι η διασφάλιση της σύμφωνης με τον GDPR ικανοποίησης των δικαιωμάτων των υποκειμένων των προσωπικών δεδομένων, κατά κανόνα εντός προθεσμίας ενός μήνα.

Προς επίτευξή αυτού, στη Διαδικασία Διαχείρισης Αιτημάτων περιγράφονται λεπτομερώς τα βήματα που οφείλουν να ακολουθούν οι αρμόδιοι υπάλληλοι της ΑΑΔΕ από την παραλαβή σχετικού αιτήματος μέχρι την οριστική διεκπεραίωσή του. Το πεδίο δε εφαρμογής του ως άνω εγγράφου υπερβαίνει τους πολίτες, καθώς καταλαμβάνει επίσης τόσο τους υπαλλήλους της ΑΑΔΕ όσο και τους αντισυμβαλλόμενους της, οι οποίοι απολαμβάνουν επίσης της προστασίας του GDPR.

Ως προς το περιεχόμενο της Διαδικασίας Διαχείρισης Αιτημάτων, αυτό κατά κύριο λόγο αναπτύσσεται σε δύο κεντρικούς άξονες: α) τα δικαιώματα των υποκειμένων, β) η διαδικασία διαχείρισης των αιτημάτων αυτή καθ’ εαυτή.

ΙΙ. Τα δικαιώματα των υποκειμένων

Το 50% περίπου της της Διαδικασίας Διαχείρισης Αιτημάτων καταλαμβάνεται από την περιγραφή των προβλεπόμενων στον GDPR δικαιωμάτων, προς κατάρτιση των υπαλλήλων της ΑΑΔΕ που θα κληθούν να χειριστούν σχετικά αιτήματα. Για τον σκοπό αυτό επαναλαμβάνονται κατ’ επιλογή σχετικές ρυθμίσεις του Γενικού Κανονισμού και του εφαρμοστικού Ν. 4624/2019. Ως προς όλα τα προβλεπόμενα από τον GDPR δικαιώματα επισημαίνεται ότι «οι υπάλληλοι της ΑΑΔΕ πρέπει να είναι σε θέση να αντιληφθούν από τη διατύπωση και το περιεχόμενο κάθε αιτήματος ότι αυτό αφορά στην άσκηση δικαιώματος που απορρέει από το ΓΚΠΔ, ακόμα και αν αυτό δε δηλώνεται ρητά από τον αιτούντα».

Ειδικότερα ως προς τα επιμέρους δικαιώματα, σταχυολογούνται τα ακόλουθα εξαιρετικά σημαντικά κατά τη γνώμη μας χωρία, τα οποία αποτελούν την υπεραξία αυτού του μέρους του εγγράφου, δεδομένου ότι τόσο ο GDPR όσο και ο Ν. 4624/2019 είναι ήδη γνωστοί.

1. Δικαίωμα ενημέρωσης

Κατά τη Διαδικασία Διαχείρισης Αιτημάτων «η ΑΑΔΕ, με σκοπό την ικανοποίηση του δικαιώματος ενημέρωσης των Υποκειμένων των Δεδομένων, έχει προβεί στην κατάρτιση αφενός εγγράφου για την ενημέρωση των πολιτών σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα τους από την ΑΑΔΕ, το οποίο έχει αναρτηθεί στην ιστοσελίδα της ΑΑΔΕ στον ακόλουθο σύνδεσμο https://www.aade.gr/menoy/aade/prostasia-dedomenon-prosopikoy-haraktira αφετέρου εγγράφου για την ενημέρωση των υπαλλήλων σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα τους από την ΑΑΔΕ, το οποίο έχει αναρτηθεί στον εσωτερικό ιστότοπο της ΑΑΔΕ στον ακόλουθο σύνδεσμο http://home.aade.int/post/prostasia-dedomenon. Εάν το Υποκείμενο των Δεδομένων επιθυμεί να λάβει περισσότερες πληροφορίες σχετικά με την επεξεργασία των προσωπικών δεδομένων του, μπορεί να απευθυνθεί στις υπηρεσίες της ΑΑΔΕ υποβάλλοντας σχετικό αίτημα».

2. Δικαίωμα πρόσβασης

Κατά τη Διαδικασία Διαχείρισης Αιτημάτων «δεδομένου του όγκου των πληροφοριών που επεξεργάζεται η ΑΑΔΕ στο πλαίσιο των αρμοδιοτήτων της, οι υπάλληλοί της δύνανται, σε περίπτωση που το αίτημα του Υποκειμένου των Δεδομένων δεν αναφέρεται σε συγκεκριμένα δεδομένα προσωπικού χαρακτήρα του, να ζητούν από το Υποκείμενο των Δεδομένων να προσδιορίσει τις πληροφορίες ή τις δραστηριότητες επεξεργασίας που σχετίζονται με το αίτημα. Αν το Υποκείμενο των Δεδομένων αρνείται να παράσχει περισσότερες πληροφορίες τότε το αίτημα του Υποκειμένου των Δεδομένων ικανοποιείται με την καταβολή εύλογης προσπάθειας και έρευνας για την ανεύρεση και χορήγηση των δεδομένων που αναφέρονται στο αίτημα».

3. Δικαίωμα διόρθωσης

Ως προς το δικαίωμα διόρθωσης δεν κρίνεται σκόπιμη η παράθεση κάποιου χωρίου.

4. Δικαίωμα περιορισμού επεξεργασίας

Κατά τη Διαδικασία Διαχείρισης Αιτημάτων «σε περίπτωση που κάποιο Υποκείμενο των Δεδομένων υποβάλει σε υπηρεσία της ΑΑΔΕ αίτημα που αφορά στην άσκηση δικαιώματος περιορισμού της επεξεργασίας, το αίτημα αυτό πρέπει να διαβιβάζεται στο Αυτοτελές Τμήμα προς περαιτέρω διαχείριση».

5. Δικαίωμα εναντίωσης

Κατά τη Διαδικασία Διαχείρισης Αιτημάτων «σε περίπτωση που κάποιο Υποκείμενο των Δεδομένων υποβάλει σε υπηρεσία της ΑΑΔΕ αίτημα που αφορά στην άσκηση δικαιώματος εναντίωσης, το αίτημα αυτό πρέπει να διαβιβάζεται στο Αυτοτελές Τμήμα προς περαιτέρω διαχείριση».

6. Δικαίωμα διαγραφής

Κατά τη Διαδικασία Διαχείρισης Αιτημάτων «…μόνο σε εξαιρετικές περιπτώσεις μπορεί να θεμελιωθεί δικαίωμα διαγραφής του Υποκειμένου των Δεδομένων έναντι της ΑΑΔΕ ως υπευθύνου επεξεργασίας. Σε περίπτωση δε που κάποιο Υποκείμενο των Δεδομένων υποβάλει σε υπηρεσία της ΑΑΔΕ αίτημα που αφορά στην άσκηση δικαιώματος διαγραφής, το αίτημα αυτό θα πρέπει να διαβιβάζεται στο Αυτοτελές Τμήμα προς περαιτέρω διαχείριση».

7. Δικαίωμα στη φορητότητα των δεδομένων

Κατά τη Διαδικασία Διαχείρισης Αιτημάτων «…μόνο σε εξαιρετικές περιπτώσεις μπορεί να θεμελιωθεί δικαίωμα φορητότητας του Υποκειμένου των Δεδομένων έναντι της ΑΑΔΕ ως υπευθύνου επεξεργασίας. Σε περίπτωση δε που κάποιο Υποκείμενο των Δεδομένων υποβάλει σε υπηρεσία της ΑΑΔΕ αίτημα που αφορά στην άσκηση δικαιώματος φορητότητας των δεδομένων του, το αίτημα αυτό θα πρέπει να διαβιβάζεται στο Αυτοτελές Τμήμα προς περαιτέρω διαχείριση».

8. Δικαίωμα στην ανθρώπινη παρέμβαση

Κατά τη Διαδικασία Διαχείρισης Αιτημάτων «σε περίπτωση που κάποιο Υποκείμενο των Δεδομένων υποβάλει σε υπηρεσία της ΑΑΔΕ αίτημα που αφορά στην άσκηση δικαιώματος στην ανθρώπινη παρέμβαση, το αίτημα αυτό πρέπει να διαβιβάζεται στο Αυτοτελές Τμήμα προς περαιτέρω διαχείριση».
Από τα ως άνω γίνεται εμφανές ότι για τα περισσότερα δικαιώματα των υποκειμένων (ήτοι για τα δικαιώματα περιορισμού της επεξεργασίας, εναντίωσης, διαγραφής, φορητότητας των δεδομένων και ανθρώπινης παρέμβασης) το Αυτοτελές Γραφείο θα είναι αυτό που θα κληθεί να «βγάλει το φίδι από την τρύπα». Εκτιμάται πάντως ότι την πλειοψηφία των αιτημάτων θα τη διεκπεραιώσουν οι λοιπές υπηρεσίες της ΑΑΔΕ, καθώς κατά κανόνα τα αιτήματα θα αφορούν τα συχνότερα ασκούμενα στην πράξη δικαιώματα ενημέρωσης και πρόσβασης, τα οποία και παραμένουν στην πλήρη αρμοδιότητά τους. Σημειώνεται επίσης ότι σύμφωνα με τη νομική κρίση του Αυτοτελούς Τμήματος, λαμβάνοντας υπόψη το ρυθμιστικό πλαίσιο, τα δικαιώματα διαγραφής και φορητότητας προς την ΑΑΔΕ θα θεμελιώνονται μόνο σε εξαιρετικές περιπτώσεις.

ΙΙΙ. Η διαδικασία διαχείρισης αιτημάτων αυτή καθ’ εαυτή

Ως προς τη διαδικασία διαχείρισης αιτημάτων αυτή καθ’ εαυτή, η οποία καταλαμβάνει περίπου το υπόλοιπο ήμισυ της Διαδικασίας Διαχείρισης Αιτημάτων, αυτή περιλαμβάνει τα ακόλουθα 5 βασικά βήματα.

Βήμα 1: Υποβολή

Όπως είναι αυτονόητο, προκειμένου να ενεργοποιηθεί η διαδικασία διαχείρισης αιτημάτων απαιτείται η υποβολή σχετικού αιτήματος από τον ενδιαφερόμενο. Το αίτημα μπορεί να υποβληθεί μέσα από τα ακόλουθα 5 κανάλια επικοινωνίας: α) την ιστοσελίδα της ΑΑΔΕ, όπου διατίθεται ηλεκτρονική φόρμα υποβολής αιτημάτων, β) με φυσική παρουσία στο Αυτοτελές Τμήμα ή στις υπόλοιπες υπηρεσίες της ΑΑΔΕ, γ) με ταχυδρομική επιστολή στους ως άνω, δ) με τηλεφωνική επικοινωνία στους ως άνω, ε) μέσω των Κέντρων Εξυπηρέτησης Πολιτών. Η επιλογή της τηλεφωνικής επικοινωνίας δεν φαίνεται πάντως ότι παράγει άμεσα αποτελέσματα, δεδομένου ότι κατά τη Διαδικασία Διαχείρισης Αιτημάτων «σημειώνεται επίσης ότι σε περίπτωση τηλεφωνικής επικοινωνίας του Υποκειμένου των Δεδομένων με τις υπηρεσίες της ΑΑΔΕ με σκοπό την υποβολή αιτήματος σχετικά με δικαίωμα που απορρέει από τις διατάξεις του ΓΚΠΔ, το Υποκείμενο των Δεδομένων θα πρέπει να παραπέμπεται σε ένα από τα υπόλοιπα κανάλια λήψεως αιτημάτων». Είναι γεγονός πάντως πως τα μέσα που διατίθενται για την υποβολή αιτημάτων είναι πολυάριθμα προς σημαντική διευκόλυνση πρωτίστως των πολιτών.

Βήμα 2: Ταυτοποίηση

Κατά την παραλαβή του αιτήματος, ο υπάλληλος της ΑΑΔΕ οφείλει να διαπιστώσει την ταυτότητα του αιτούντος. Ο τρόπος ταυτοποίησης διαφοροποιείται ανάλογα με το κανάλι επικοινωνίας που έχει επιλεγεί κατά τα ως άνω. Έτσι: α) για τη φυσική παρουσία απαιτείται επίδειξη δελτίου αστυνομικής ταυτότητας, διαβατηρίου, άδειας οδήγησης ή ατομικού βιβλιαρίου υγείας, β) για την ιστοσελίδα της ΑΑΔΕ εφαρμόζονται τα προβλεπόμενα περί ταυτοποίησης στην επικοινωνία με το Κέντρο Εξυπηρέτησης Φορολογουμένων, γ) για την ταχυδρομική επιστολή, το έγγραφο του αιτήματος πρέπει να φέρει βεβαίωση γνησίου υπογραφής, δ) για τα Κέντρα Εξυπηρέτησης Πολιτών η ταυτοποίηση πραγματοποιείται από τα εν λόγω Κέντρα.

Βήμα 3: Παραλαβή

Και εδώ ο τρόπος παραλαβής των αιτημάτων διαφοροποιείται ανάλογα με το κανάλι επικοινωνίας που έχει επιλεγεί κατά τα ως άνω. Έτσι: α) για την ιστοσελίδα της ΑΑΔΕ, στο αίτημα έχει πρόσβαση ο Προϊστάμενος του Αυτοτελούς Τμήματος και Υπεύθυνος Προστασίας Δεδομένων της ΑΑΔΕ, ο οποίος το χρεώνει σε υπάλληλο του Τμήματος, β) για την υποβολή με φυσική παρουσία ή ταχυδρομική επιστολή, ο αρμόδιος υπάλληλος πρωτοκολλεί το αίτημα και το παραδίδει στον Προϊστάμενο της Υπηρεσίας, ο οποίο το χρεώνει σε υπάλληλο, ενώ προβλέπεται και χορήγηση βεβαίωσης καταχώρησης αιτήματος προς το υποκείμενο των δεδομένων, όταν ζητηθεί από αυτό.

Βήμα 4: Αξιολόγηση

Το βήμα αυτό διαιρείται σε τρία επιμέρους βήματα.
Το πρώτο επιμέρους βήμα αφορά την παραλαβή του αιτήματος. Το περιεχόμενο αυτού του επιμέρους βήματος διαφοροποιείται ανάλογα με τον αν το αίτημα παραλαμβάνεται από το Αυτοτελές Τμήμα ή τις λοιπές υπηρεσίες της ΑΑΔΕ. Αν η λήψη του αιτήματος γίνει από το Αυτοτελές Τμήμα, αυτό, όπως έχει γίνει ήδη εμφανές, δύναται σε κάθε περίπτωση να το διεκπεραιώσει, ζητώντας αν χρειαστεί πρόσθετες πληροφορίες από τις αρμόδιες υπηρεσίες της ΑΑΔΕ. Διαβίβαση στις αρμόδιες υπηρεσίες της ΑΑΕΔΕ λαμβάνει χώρα «εάν η ικανοποίησή του προϋποθέτει ενέργειες που εμπίπτουν στην καθ’ ύλην και κατά τόπον αρμοδιότητα μίας ή περισσοτέρων υπηρεσιών της ΑΑΔΕ». Αν η λήψη του αιτήματος γίνει από λοιπές υπηρεσίες της ΑΑΔΕ, αυτές το διεκπεραιώνουν εκτός εάν «αυτό αφορά σε άσκηση δικαιώματος διαγραφής (άρθρο 17 ΓΚΠΔ), περιορισμού της επεξεργασίας (άρθρο 18 ΓΚΠΔ), φορητότητας (άρθρο 20 ΓΚΠΔ), εναντίωσης (άρθρο 17 ΓΚΠΔ), του δικαιώματος στην ανθρώπινη παρέμβαση (άρθρο 22 ΓΚΠΔ)» ή «η διαχείρισή του απαιτεί εξειδικευμένη γνώση σε θέματα προστασίας δεδομένων προσωπικού χαρακτήρα», οπότε διαβιβάζεται στο Αυτοτελές Τμήμα. Διαβίβαση σε άλλη υπηρεσία της ΑΑΔΕ λαμβάνει χώρα εφόσον κριθεί ότι αυτή είναι καθ’ ύλην και κατά τόπο αρμόδια για τη διεκπεραίωσή του.
Το δεύτερο επιμέρους βήμα αφορά την αξιολόγηση του περιεχόμενου του αιτήματος. Κατ’ αυτό αξιολογείται από την υπηρεσία διαχείρισης του αιτήματος αν οι διαθέσιμες πληροφορίες είναι επαρκείς για τη διεκπεραίωσή του. Για την εν λόγω κρίση προβλέπεται η υποχρέωση αναζήτησης πληροφοριών «που διατίθενται μέσω των πληροφοριακών συστημάτων ή βρίσκονται στο φυσικό αρχείο άλλων υπηρεσιών της ΑΑΔΕ επικοινωνώντας σχετικά με αυτές. Σε περίπτωση που οι διαθέσιμες πληροφορίες κριθούν ως ελλιπείς, η υπηρεσία που διαχειρίζεται το αίτημα ζητά πρόσθετες πληροφορίες από το Υποκείμενο των Δεδομένων». Εφόσον οι διαθέσιμες πληροφορίες κριθούν επαρκείς, αξιολογείται αν το αίτημα είναι προδήλως αβάσιμο ή υπερβολικό ιδίως λόγω του επαναλαμβανόμενου χαρακτήρα του, οπότε δεν θα ικανοποιηθεί.

Βήμα 5: Διεκπεραίωση και ενημέρωση

Προβλέπεται η διενέργεια των αναγκαίων πράξεων για τη διεκπεραίωση του αιτήματος και η παροχή τεκμηριωμένης απάντησης στο υποκείμενο των δεδομένων, όταν αυτή είναι αναγκαία. Η τελευταία χορηγείται στο υποκείμενο των δεδομένων μέσω του καναλιού επικοινωνίας που αυτό είχε επιλέξει.

ΙV. Kαταληκτικές παρατηρήσεις

Ως προς το ως άνω έγγραφο, κατόπιν της επιλεγμένης και πολύ σύντομης παρουσίασής του, σημειώνουμε επιγραμματικά τα εξής:

Α) Είναι αξιέπαινη και κατ’ επέκταση ευπρόσδεκτη η εκπόνηση και δημοσίευση της Διαδικασίας Διαχείρισης Αιτημάτων από το Αυτοτελές Τμήμα της ΑΑΔΕ. Η προβλεπόμενη διαδικασία διακρίνεται κατά κανόνα από πληρότητα. Πέραν της εφαρμογής της εντός των κόλπων της ΑΑΔΕ, αυτή, λόγω των αρετών της, μπορεί να χρησιμεύσει επίσης ως πυξίδα εκπόνησης αντίστοιχης διαδικασίας για υπεύθυνους επεξεργασίας που δραστηριοποιούνται στο δημόσιο ή στον ιδιωτικό τομέα.

Β) Ο συνδυασμός των ανθρώπινων πόρων τόσο του Αυτοτελούς Τμήματος όσο και των λοιπών υπηρεσιών της ΑΑΔΕ κρίνεται προς τη σωστή κατεύθυνση, σε όφελος των υποκειμένων των προσωπικών δεδομένων. Η μεταξύ τους αλληλεπίδραση έχει προβλεφθεί με σαφήνεια, για την επιτυχή ικανοποίηση των δικαιωμάτων των υποκειμένων των προσωπικών δεδομένων. Το αποτέλεσμα είναι η δημιουργία ενός συστήματος ικανοποίησης αιτημάτων με δόσεις συγκέντρωσης και αποκέντρωσης. Τελικό κριτή πάντως θα αποτελέσει η δοκιμασία του στην πράξη.

Γ) Όλα τα τμήματά της Διαδικασίας Διαχείρισης Αιτημάτων θα μπορούσαν μελλοντικά να καταστούν ευκολότερα στην προσέγγιση και ευχερέστερα κατανοητά με τη χρήση εικόνων και σχημάτων. Αυτό θα συνέβαλε στην ταχύτερη εμπέδωσή της από τους υπαλλήλους της ΑΑΔΕ που θα κληθούν να την εφαρμόσουν.

Δ) Χρήσιμη θα ήταν επίσης μελλοντικά η εκπόνηση και διάχυση πρακτικών παραδειγμάτων εφαρμογής της διαδικασίας προς διευκόλυνση όλων των ενδιαφερομένων.

Ε) Τέλος, αναγκαία κρίνεται η διαρκής εκπαίδευση και επιμόρφωση όλων των εμπλεκομένων υπαλλήλων σχετικά με την προστασία των προσωπικών δεδομένων. Δίχως την εκπλήρωση αυτής της προϋπόθεσης που συνιστά conditio sine qua non, η ορθή εφαρμογή της Διαδικασίας Διαχείρισης Αιτημάτων κινδυνεύει να αποτύχει.

Το παρόν άρθρο έχει αποκλειστικά ενημερωτικό χαρακτήρα, με αποτέλεσμα την επιλεκτικότητα και συνοπτικότητα του περιεχομένου του. Οι ενδιαφερόμενοι πρέπει σε κάθε περίπτωση να προσεγγίζουν πλήρως τα αναφερόμενα κείμενα στα οποία εκτίθενται πρωτογενώς οι σχετικές πληροφορίες

GDPR: «Φουρτούνα» προστίμων στον χώρο της ναυτιλίας

Written by Aimilios Koronaios on 03/03/2020. Posted in TaxHeaven, Αρθρογραφία, Ιστοσελίδες.

Πρώτη δημοσίευση: www.taxheaven.gr
Ημερομηνία πρώτης δημοσίευσης: 3/02/2020

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Λίγες ημέρες μετά την επιβολή προστίμου 15.000 ευρώ σε ναυτιλιακή εταιρεία για παραβάσεις σε βάρος εργαζομένων (απόφαση υπ’ αριθμ. 43/2019), η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) «ξαναχτυπά» στο χώρο της ναυτιλίας με δεκαπλάσιο αυτή τη φορά πρόστιμο. Πρόκειται για την απόφαση υπ’ αριθμ. 44/2019 που δημοσιεύθηκε στις 22-1-2020.

Τα πραγματικά περιστατικά αφορούν εταιρεία προμήθειας καυσίμων για πλοία (εταιρεία A) η οποία προέβη τον Ιούνιο του 2018 σε γνωστοποίηση περιστατικού παραβίασης προσωπικών δεδομένων. Παράλληλα, για τα ίδια συμβάντα, η εταιρεία Α υπέβαλε και αναφορά-καταγγελία κατά της μητρικής της εταιρείας, δραστηριοποιούμενης ομοίως στο χώρο προμήθειας καυσίμων για πλοία (εταιρεία B), καθώς και κατά μεγάλης εταιρείας παροχής λογιστικών υπηρεσιών και συμβουλών (εταιρεία Γ). Κατά τα υποστηριχθέντα στην αναφορά, οι καταγγελθείσες εταιρείες Β και Γ εισήλθαν παρανόμως και αντέγραψαν σε φορητά μέσα αποθήκευσης το σύνολο ψηφιακού περιεχομένου διακομιστή (server) της εταιρείας Α, το οποίο περιείχε ηλεκτρονικά αρχεία, μηνύματα ηλεκτρονικού ταχυδρομείου και άλλες επικοινωνίες τόσο εργαζομένων της εταιρείας Α όσο και εργαζομένων τρίτων εταιρειών.

Για τα ίδια συμβάντα υποβλήθηκαν επίσης ενώπιον της ΑΠΔΠΧ συνολικά 12 καταγγελίες φυσικών προσώπων κατά των εταιρειών Β και Γ. Τα εν λόγω πρόσωπα κατήγγειλαν την παραβίαση των προσωπικών δεδομένων τους που τηρούνταν στον ως άνω διακομιστή (server) λόγω της παράνομης αντιγραφής τους από τις εταιρείες Β και Γ.

Όπως υποστήριξε η καταγγελθείσα εταιρεία Β, οι ως άνω ενέργειές της ήταν νόμιμες και αναγκαίες, ιδίως στο πλαίσιο εσωτερικού ελέγχου που διεξήγαγε για οικονομικά θέματά της, συμπεριλαμβανομένης της πιθανής τέλεσης αδικημάτων σε βάρος της. Η δε καταγγελθείσα εταιρεία Γ υποστήριξε ότι ουδεμία σχέση είχε με τα καταγγελθέντα.

Προβαίνοντας στη συνέχεια σε σχετικό έλεγχο, η ΑΠΔΠΧ διαπίστωσε ότι τόσο η καταγγελθείσα εταιρεία Β και οι θυγατρικές της, μεταξύ των οποίων η καταγγείλασα εταιρεία Α, όσο και τρίτες εταιρείες έκαναν χρήση και είχαν φυσική πρόσβαση στον ίδιο χώρο όπου ήταν εγκατεστημένοι και λειτουργούσαν περισσότεροι διακομιστές (servers). Οι ως άνω εταιρείες είχαν επίσης πρόσβαση στην ίδια υπολογιστική υποδομή (υλικού και λογισμικού) για τη διεκπεραίωση της ηλεκτρονικής αλληλογραφίας εργαζομένων και στελεχών τους, προβαίνοντας σε επεξεργασία των συστημάτων αρχειοθέτησης ηλεκτρονικών επικοινωνιών. Οι ανωτέρω επεξεργασίες δεδομένων προσωπικού χαρακτήρα λάμβαναν χώρα χωρίς τη λήψη κανενός μέτρου φυσικού και λογικού διαχωρισμού μεταξύ των εμπλεκόμενων εταιρειών. Λάμβαναν επίσης χώρα άτυπα, καθώς δεν υπήρχε καμία ειδική συμφωνία μεταξύ τους.

Κατά την ΑΠΔΠΧ, η καταγγελθείσα εταιρεία Β ως υπεύθυνος επεξεργασίας δεν είχε λάβει ουδένα μέτρο συμμόρφωσης με τον GDPR κατ’ άρθρο 5 παρ. 1 και 6 παρ. 1 αυτού στη λειτουργία της ως άνω υπολογιστικής υποδομής, η οποία υποστήριζε την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, παρά την αντίθετη υποχρέωσή της. Ομοίως, παράνομες ήταν οι εν συνεχεία αυτοτελείς και διακριτές πράξεις επεξεργασίας τις οποίες αυτή επιχείρησε σύμφωνα με τα καταγγελθέντα, λόγω της αρχικής παράνομης επεξεργασίας προσωπικών δεδομένων, ήτοι η αντιγραφή του συνόλου του περιεχομένου της ως άνω υπολογιστικής υποδομής και η δημιουργία ενός νέου συστήματος αρχειοθέτησης -αντίγραφο του πρωτοτύπου-, το οποίο αυτή διαβίβασε στο Ηνωμένο Βασίλειο.

Έτσι, η ΑΠΔΠΧ, κρίνοντας προηγουμένως ότι η επίσης καταγγελθείσα εταιρεία Γ δεν συμμετείχε ή παρείχε συνδρομή στην παράνομη επεξεργασία προσωπικών δεδομένων από πλευράς της εταιρείας Β, αποφάσισε, αποκλειστικά σε βάρος της καταγγελθείσας εταιρείας B: α) να δώσει εντολή η εταιρεία Β να καταστήσει σύμφωνες με τις διατάξεις του GDPR τις πράξεις επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονται τόσο στην χρησιμοποιούμενη ως άνω υπολογιστική υποδομή όσο και στα νέο σύστημα αρχειοθέτησης που απεστάλη στο Ηνωμένο Βασίλειο, καθώς και να λάβει όλα τα αναγκαία μέτρα συμμόρφωσης με τον GDPR εντός διαστήματος τριών μηνών, β) να επιβάλει πρόστιμο στην εταιρεία Β ποσού ύψους 150.000 ευρώ.

Ως προς την εν λόγω υπόθεση σημειώνουμε επιγραμματικά τα εξής:

1. Η προσεκτική προσέγγιση των σχετικών ημερομηνιών, ειδικότερα το ότι η γνωστοποίηση του περιστατικού παραβίασης από την καταγγείλασα εταιρεία Α έλαβε χώρα στις 18-6-2018, όπως και η σχετική αναφορά-καταγγελία της, ενώ εν τέλει η απόφαση της ΑΠΔΠΧ δημοσιεύθηκε στην ιστοσελίδα της στις 22-1-2020, καθιστά εμφανείς τις ενίοτε μεγάλες καθυστερήσεις στην έκδοση των αποφάσεων από την εποπτική αρχή. Πρόκειται για πρόβλημα που πρέπει να αντιμετωπιστεί, δεδομένου ότι οι συναφείς καθυστερήσεις αποβαίνουν σε βάρος της προστασίας του υποκειμένου των προσωπικών δεδομένων, καθώς δημιουργούν αίσθηση αρρυθμίας στη λειτουργία της εποπτικής αρχής.

2. Εν προκειμένω η εκπλήρωση της υποχρέωσης γνωστοποίησης περιστατικού παραβίασης οδήγησε σε έλεγχο της ΑΠΔΠΧ, ο οποίος κατέληξε στην επιβολή προστίμου. Εδώ εντοπίζεται ένα κλασικό πλέον σχήμα (γνωστοποίηση – έλεγχος – επιβολή προστίμου) που επαναλαμβάνεται στη νομολογία των εποπτικών αρχών εντός της Ε.Ε. Σημειώνεται επίσης ότι η ρύθμιση για την υποχρέωση γνωστοποίησης περιστατικού παραβίασης κατά τον GDPR λειτουργεί ως δίκοπο μαχαίρι. Η μεν μη γνωστοποίηση περιστατικού παραβίασης αποτελεί υπό προϋποθέσεις παράβαση του GDPR και οδηγεί σε επιβολή κυρώσεων, μόλις γίνει αντιληπτή. Η δε γνωστοποίηση με τη σειρά της ανοίγει τον ασκό του Αιόλου για τη διαπίστωση λοιπών παραβάσεων από την εποπτική αρχή και την επιβολή προστίμων.

3. Το ύψος του επιβληθέντος προστίμου κρίνεται αναμενόμενο, δεδομένου ότι εν προκειμένω η καταγγελθείσα εταιρεία Β, όπως επισημαίνεται στην εν λόγω απόφαση «αγνοούσε παντελώς τις υποχρεώσεις συμμόρφωσης της προς τις επιταγές του ΓΚΠΔ, επιπλέον δε, ουδεμία διάθεση συμμόρφωσης επέδειξε». Αυτό ενδέχεται πάντως να οφειλόταν στο ότι η εταιρεία Β θεωρούσε εσφαλμένα, όπως προέβαλε με ένσταση ενώπιον της ΑΠΔΠΧ, ότι δεν υπάγεται στο πεδίο εφαρμογής του GDPR, επικαλούμενη συγκεκριμένα συνδετικά στοιχεία της με τρίτα κράτη εκτός Ευρωπαϊκής Ένωσης.

GDPR: Ημέρα προστασίας δεδομένων – Top 14 προστίμων

Written by Aimilios Koronaios on 24/02/2020. Posted in TaxHeaven, Αρθρογραφία, Ιστοσελίδες.

Πρώτη δημοσίευση: www.taxheaven.gr
Ημερομηνία πρώτης δημοσίευσης: 24/01/2020

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Η 28η Ιανουαρίου έχει καθιερωθεί από το Συμβούλιο Υπουργών του Συμβουλίου της Ευρώπης, ήδη από το 2007, ως Ευρωπαϊκή Ημέρα Προστασίας Προσωπικών Δεδομένων. Ο 14ος εορτασμός της, που θα λάβει χώρα πολύ σύντομα, αποσκοπεί στην ενημέρωση και ευαισθητοποίηση των πολιτών για τα οικεία ζητήματα. Με έναυσμα, λοιπόν, την ημέρα αυτή, παρουσιάζονται τα 14 μεγαλύτερα πρόστιμα που επιβλήθηκαν σε 14 διαφορετικά κράτη μέλη κατά την εφαρμογή του GDPR για το έτος 2019. Επιλέγονται από το σύνολο των δημοσιευθέντων αποφάσεων στην ιστοσελίδα του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (ΕΣΠΔ).

Υπενθυμίζεται ότι το ΕΣΠΔ αποτελεί δημιούργημα του GDPR, ως ένας ανεξάρτητος ευρωπαϊκός οργανισμός. Αποστολή του είναι να συμβάλει στη συνεκτική εφαρμογή των κανόνων προστασίας δεδομένων στην Ευρωπαϊκή Ένωση και να προάγει τη συνεργασία μεταξύ των εθνικών εποπτικών αρχών.

Τονίζεται επίσης ότι ο GDPR αποτελεί νομοθετικό κείμενο πανευρωπαϊκής εφαρμογής. Γι’ αυτό, παρά τις όποιες διαφοροποιήσεις που εισάγουν εθνικοί νόμοι, οι αποφάσεις επιβολής προστίμων σε άλλα κράτη μέλη αποτελούν χρήσιμο μπούσουλα και για την Ελλάδα.

14. Βέλγιο – πρόστιμο 10.000 ευρώ

Η υπόθεση (Σεπτέμβριος 2019) αφορούσε επιχειρηματία ο οποίος για την έκδοση κάρτας επιβράβευσης σε πελάτη απαιτούσε οπωσδήποτε τη χρήση της ταυτότητας του. Το πρόστιμο επιβλήθηκε τόσο για παραβίαση της αρχής της ελαχιστοποίησης όσο και για την απουσία νόμιμης βάσης επεξεργασίας των προσωπικών δεδομένων. Έτσι, κρίθηκε ιδίως ότι τα προσωπικά δεδομένα που συλλέγονταν υπερέβαιναν το αναγκαίο μέτρο για τον συγκεκριμένο σκοπό, ήτοι την έκδοση κάρτας επιβράβευσης.

13. Ισπανία – πρόστιμο 30.000 ευρώ

Η υπόθεση (Οκτώβριος 2019) αφορούσε αεροπορική εταιρεία, η οποία στην ιστοσελίδα της δεν παρείχε τη δυνατότητα καθορισμού των cookies που θα εγκαθίσταντο στον υπολογιστή του επισκέπτη. Το πρόστιμο επιβλήθηκε γιατί οι επισκέπτες ενημερώνονταν μεν με σχετική Πολιτική για τα cookies, δεν υπήρχε όμως μηχανισμός αποδοχής ή απόρριψης των cookies.

12. Ουγγαρία – πρόστιμο 35.000 ευρώ

Η υπόθεση (Μάρτιος 2019) αφορούσε ιστοσελίδα πολιτικού κόμματος από την οποία μέσω hacking είχε αφαιρεθεί λίστα με προσωπικά δεδομένων περίπου 6.000 υποστηρικτών του. Στη συνέχεια, η λίστα είχε καταστεί ελευθέρως προσβάσιμη. Ο hacker είχε μάλιστα την ευγένεια να ενημερώσει σχετικά την εποπτική αρχή! Το πρόστιμο επιβλήθηκε γιατί δεν έλαβε χώρα γνωστοποίηση του περιστατικού παραβίασης προσωπικών δεδομένων στην εποπτική αρχή και στα υποκείμενα των προσωπικών δεδομένων από το πολιτικό κόμμα. Σημειώνεται ότι τα πολιτικά φρονήματα αποτελούν κατηγορία προσωπικών δεδομένων που χρήζουν αυξημένης προστασίας κατά τον GDPR.

11. Σουηδία – πρόστιμο 35.000 ευρώ

Η υπόθεση (Δεκέμβριος 2019) αφορούσε ιστοσελίδα εταιρείας, στην οποία δημοσιεύονται προσωπικά δεδομένα Σουηδών άνω των 16 ετών, ήτοι περισσότερων από 8.000.000 ατόμων. Το πρόστιμο επιβλήθηκε για την παράνομη δημοσίευση πληροφοριών σχετικά με ιστορικό μη πληρωμών και ιστορικό για ποινικές καταδίκες. Σημειώνεται ότι οι ποινικές καταδίκες αποτελούν κατηγορία προσωπικών δεδομένων που χρήζουν αυξημένης προστασίας κατά τον GDPR.

10. Λιθουανία – πρόστιμο 61.500 ευρώ

Η υπόθεση (Μάιος 2019) αφορούσε εταιρεία παροχής τραπεζικών υπηρεσιών, στην ιστοσελίδα της οποίας κατέστη δημόσια η λίστα των πληρωμών που είχαν πραγματοποιηθεί μέσω αυτής, καθώς και άλλα στοιχεία. Το πρόστιμο επιβλήθηκε ιδίως γιατί η εταιρεία συνέλεγε περισσότερα προσωπικά δεδομένα από όσα ήταν αναγκαίο, τα διατηρούσε περισσότερο χρόνο από όσο ήταν αναγκαίο, δεν είχε λάβει τα δέοντα τεχνικά και οργανωτικά μέτρα για την προστασία των προσωπικών δεδομένων και δεν προέβη σε γνωστοποίηση περιστατικού παραβίασης στην εποπτική αρχή.

9. Ρουμανία – πρόστιμο 150.000 ευρώ

Η υπόθεση (Οκτώβριος 2019) αφορούσε τράπεζα η οποία προέβη σε γνωστοποίηση περιστατικού παραβίασης στην εποπτική αρχή. Το περιστατικό παραβίασης έλαβε χώρα μέσω δύο υπαλλήλων της τράπεζας, οι οποίοι λάμβαναν προσωπικά δεδομένα φυσικών προσώπων από άλλη εταιρεία, τα οποία στη συνέχεια επεξεργάζονταν, προκειμένου να κριθεί η χορήγηση πιστώσεων. Τα τυχόν αρνητικά αποτελέσματα των σχετικών αξιολογήσεων κοινοποιούνταν στη συνέχεια στην εταιρεία που τους τροφοδοτούσε με προσωπικά δεδομένα, κατά παράβαση εσωτερικών διαδικασιών. Το πρόστιμο επιβλήθηκε γιατί η τράπεζα δεν είχε λάβει τα δέοντα μέτρα, με αποτέλεσμα να λάβουν χώρα τα ως άνω για περίπου 1.200 πρόσωπα.

8. Νορβηγία – πρόστιμο 170.000 ευρώ

H υπόθεση (Μάρτιος 2019) αφορούσε ονόματα χρήστη και κωδικούς μαθητών, καθώς και εργαζομένων σχολείων στο δίκτυο υπολογιστών του δήμου, τα οποία ήταν ελευθέρως προσβάσιμα. Ο αριθμός των εν λόγω λογαριασμών υπερέβαινε τους 35.000. Το πρόστιμο επιβλήθηκε για την απουσία των δεόντων μέτρων ασφαλείας, με αποτέλεσμα να είναι εφικτή για οποιονδήποτε η δυνατότητα σύνδεσης στα πληροφοριακά συστήματα σχολείου και η απόκτηση πρόσβασης σε προσωπικά δεδομένα μαθητών και εργαζομένων. Σημειώνεται ότι κατά τον GDPR τα παιδιά αποτελούν υποκείμενα προσωπικών δεδομένων που χρήζουν αυξημένης προστασίας.

7. Δανία – πρόστιμο 200.000 ευρώ

Η υπόθεση (Ιούνιος 2019) αφορούσε εταιρεία πώλησης επίπλων για την αποθήκευση προσωπικών δεδομένων περίπου 385.000 πελατών σε σύστημα επεξεργασίας προσωπικών δεδομένων, στο οποίο αυτά τηρούνταν εσαεί. Το πρόστιμο επιβλήθηκε για την επεξεργασία προσωπικών δεδομένων για μεγαλύτερο διάστημα από αυτό που απαιτείτο.

6. Ελλάδα – πρόστιμο 200.000 ευρώ επί 2

Πρόκειται για τη γνωστή υπόθεση (Οκτώβριος 2019) εταιρείας τηλεπικοινωνιών, η οποία έχει τύχει ειδικότερης ανάλυσης στη διαδικτυακή πύλη. Υπενθυμίζεται ότι εν προκειμένω επιβλήθηκε διπλό πρόστιμο ύψους 200.000 ευρώ έκαστο λόγω τεχνικών προβλημάτων εφαρμογών που οδηγούσαν στην ανακρίβεια των τηρούμενων προσωπικών δεδομένων, με αποτέλεσμα την παράνομη διενέργεια προωθητικών κλήσεων. Επίσης, για τεχνική δυσλειτουργία που στερούσε τη δυνατότητα διαγραφής από λίστες παραληπτών διαφημιστικών emails.

5. Πολωνία – πρόστιμο 645.000 ευρώ

Η υπόθεση (Σεπτέμβριος 2019) αφορούσε διαδικτυακό κατάστημα (e-shop), στο οποίο έλαβε χώρα περιστατικό παραβίασης, με αποτέλεσμα τη διαρροή προσωπικών δεδομένων περίπου 2.200.000 προσώπων. Τα εν λόγω πρόσωπα αντιμετώπισαν υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες τους λόγω του περιστατικού. Το πρόστιμο επιβλήθηκε για παραβίαση της αρχής της εμπιστευτικότητας των προσωπικών δεδομένων, καθώς και την απουσία των αναγκαίων τεχνικών και οργανωτικών μέτρων για την προστασία των προσωπικών δεδομένων.

4. Γερμανία – πρόστιμο 14.500.000 ευρώ

Η υπόθεση (Οκτώβριος 2019) αφορούσε εταιρεία που χώρου του real estate, η οποία χρησιμοποιούσε σύστημα αρχειοθέτησης προσωπικών δεδομένων ενοικιαστών δίχως δυνατότητα διαγραφής. Το πρόστιμο επιβλήθηκε για παραβίαση των αρχών επεξεργασίας και μη προστασία των προσωπικών δεδομένων από το σχεδιασμό και εξ ορισμού. Σημειώνεται ότι κατά την επιβολή του προστίμου λήφθηκε υπόψη ότι η εταιρεία είχε το 2018 κύκλο εργασιών που υπερέβαινε το 1,4 δις ευρώ.

3. Αυστρία – πρόστιμο 18.000.000 ευρώ

Η υπόθεση (Οκτώβριος 2019) αφορούσε την εθνική εταιρεία ταχυδρομικών υπηρεσιών η οποία προέβη στην επεξεργασία προσωπικών δεδομένων πολιτών για να βγάλει συμπεράσματα ως προς τις πολιτικές πεποιθήσεις τους. Tα προσωπικά δεδομένα αξιοποιούνταν στη συνέχεια για την προσφορά προωθητικών πακέτων σε πολιτικά κόμματα ή πωλούνταν σε αυτά για στοχευμένες προωθητικές ενέργειες. Παράνομη επεξεργασία προσωπικών δεδομένων διαπιστώθηκε και ως προς την επεξεργασία δεδομένων σχετικά με τη συχνότητα κατά την οποία παραδίδονταν δέματα, καθώς και τη συχνότητα αλλαγής διεύθυνσης των πελατών.

2. Γαλλία – πρόστιμο 50.000.000 ευρώ

Η πολύ γνωστή υπόθεση (Ιανουάριος 2019) αφορούσε τη Google και πιο συγκεκριμένα καταγγελίες σε βάρος της για την απουσία νόμιμης βάσης ως προς την επεξεργασία προσωπικών δεδομένων των χρηστών των υπηρεσιών της, ιδίως για τον σκοπό της εξατομικευμένης διαφήμισης. Το πρόστιμο επιβλήθηκε για απουσία διαφάνειας, ακατάλληλη ενημέρωση και απουσία έγκυρης συγκατάθεσης σχετικά με την επεξεργασία προσωπικών δεδομένων για εξατομικευμένες διαφημίσεις.

1. Ηνωμένο Βασίλειο – πρόστιμο 220.000.000 ευρώ

Και την 1η θέση του πρωταθλητή καταλαμβάνει το Ηνωμένο Βασίλειο, για το οποίο το μεγαλύτερο πρόστιμο δημοσιευθέν στην ιστοσελίδα του ΕΣΠΔ είναι περίπου 220.000.000 ευρώ (Ιούλιος 2019). Η υπόθεση αφορούσε περιστατικό παραβίασης σε ιστοσελίδα αεροπορικής εταιρείας. Η εν λόγω ιστοσελίδα κατηύθυνε τους επισκέπτες της σε τρίτη κακόβουλη ιστοσελίδα. Μέσω της τρίτης ιστοσελίδας συλλέγονταν τα προσωπικά δεδομένα των επισκεπτών από κακόβουλους. Το περιστατικό αφορούσε περίπου 500.000 χρήστες. Πέραν αυτού, εν γένει η ιστοσελίδα της αεροπορικής εταιρείας έπασχε από άποψη ασφαλείας. Σημειώνεται ότι το ως άνω ποσό αφορά ανακοίνωση πρόθεσης επιβολής προστίμου από την αρμόδια εποπτική αρχή. Η επιβολή του οριστικού προστίμου ακόμη αναμένεται.

GDPR και ναυτιλιακή εταιρεία: Νέο πρόστιμο για παραβάσεις σε βάρος εργαζομένων

Written by Aimilios Koronaios on 16/02/2020. Posted in TaxHeaven, Αρθρογραφία, Ιστοσελίδες.

Πρώτη δημοσίευση: www.taxheaven.gr
Ημερομηνία πρώτης δημοσίευσης: 16/01/2020

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Με την υπ’ αριθμ. 43/2019 ογκωδέστατη απόφαση (48 σελίδες) της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, η οποία αναρτήθηκε στην ιστοσελίδα της στις 15-1-2020, η Αρχή επανήλθε σε ένα καίριο θέμα που την έχει απασχολήσει και κατά το παρελθόν (βλ. ιδίως την υπ’ αριθμ. 34/2018 απόφαση). Πρόκειται για τον έλεγχο ηλεκτρονικών αρχείων του εργαζομένου στον χώρο εργασίας του, από τον εργοδότη του, κατά το κρίσιμο στάδιο της λήξης της εργασιακής του σχέσης.

Κατά τα καταγγελλόμενα, ναυτιλιακή εταιρεία, κατόπιν της γνωστοποίησης της παραίτησης του εργαζομένου της, προέβη, μεταξύ άλλων, αιφνιδίως σε: α) έρευνα στα «ηλεκτροεπικοινωνιακά συστήματα» που χειριζόταν ο ως άνω εργαζόμενος στην εταιρεία, β) αποκλεισμό της πρόσβασής του στα εν λόγω συστήματα, ιδίως στο εταιρικό email του, στον διακομιστή (server) της εταιρείας εξ αποστάσεως και στον υπολογιστή του εντός της εταιρείας. Ο τελευταίος μάλιστα, ο οποίος περιείχε προσωπικά δεδομένα του, υπέστη έρευνα εν τη απουσία του, ενώ αφαιρέθηκε και ο σκληρός δίσκος. Αντίστοιχη έρευνα έλαβε χώρα και στον λογαριασμό της ηλεκτρονικής αλληλογραφίας του εργαζομένου, στη φυσική αλληλογραφία του και στα ιδιωτικά έγγραφά του στον χώρο της εταιρείας. Περαιτέρω, κατά τον καταγγέλλοντα, προσωπικά δεδομένα του ήταν αποθηκευμένα και στον υπολογιστή της γραμματέας του, η πρόσβασή του στον οποίο επίσης αποκλείστηκε.

Εν συνεχεία, με εξώδικα που ο εργαζόμενος απηύθυνε στην εταιρεία, αιτήθηκε να παρευρεθεί σε σχετικό έλεγχο των ως άνω «ηλεκτροεπικοινωνιακών συστημάτων» και αντικειμένων του στον χώρο εργασίας, ώστε να γίνει ο αναγκαίος διαχωρισμός μεταξύ προσωπικών και επαγγελματικών αρχείων, καθώς και να του αποδοθούν προσωπικά δεδομένα και αντικείμενα, χωρίς όμως αυτό να λάβει χώρα. Κατά τον καταγγέλλοντα μάλιστα, η εταιρεία παρουσίαζε εν γένει σημαντικά προβλήματα ως προς τη συμμόρφωσή της με τον GDPR, όπως η απουσία Πολιτικής Απορρήτου, η απουσία Εσωτερικού Κανονισμού για την ορθή χρήση και λειτουργία του εξοπλισμού και του δικτύου πληροφορικής και επικοινωνιών από τους εργαζόμενους, καθώς και η λειτουργία παράνομου συστήματος βιντεοεπιτήρησης.

Η εταιρεία από την πλευρά της υποστήριξε ότι, διαπιστώνοντας τη διαγραφή σημαντικού αριθμού ηλεκτρονικών αρχείων και μηνυμάτων ηλεκτρονικής αλληλογραφίας από τα πληροφοριακά συστήματα της, διενήργησε εσωτερική έρευνα και προέβη σε ανάκτηση αυτών. Αυτό είχε ως αποτέλεσμα να διαπιστώσει την τέλεση αξιόποινων πράξεων σε βάρος της από πλευράς του εργαζομένου της, ο οποίος ήταν όχι μόνο Γενικός Διευθυντής της, αλλά και ο de facto Υπεύθυνος Προστασίας Δεδομένων της! Σε αυτό το πλαίσιο, μεταξύ άλλων, η εταιρεία ισχυρίστηκε ότι απέκτησε πρόσβαση μόνο σε μηνύματα του εταιρικού λογαριασμού ηλεκτρονικής αλληλογραφίας του καταγγέλλοντος, όπως αυτά ανακτήθηκαν από τον εταιρικό διακομιστή (server), και όχι στον υπολογιστή του. Yποστήριξε επίσης ότι οι λοιπές συναφείς ενέργειές της δικαιολογούνταν λόγω της αξιόποινης συμπεριφοράς του εργαζομένου της. Ως προς τις καταγγελθείσες παραλείψεις συμμόρφωσης με τον GDPR, η εταιρεία υποστήριξε ότι δεν συνέτρεχαν.

Η Αρχή, λαμβάνοντας υπόψη τα ως άνω, διαπίστωσε ιδίως ότι η εταιρεία διέθετε πράγματι Εσωτερικό Κανονισμό εργαζομένων και εταιρικές Πολιτικές σε συμμόρφωση προς τον GDPR. Αυτές περιείχαν προβλέψεις, μεταξύ άλλων, για απαγόρευση χρήσης των υπολογιστικών και επικοινωνιακών συστημάτων της εταιρείας για προσωπικούς σκοπούς, καθώς και για τις προϋποθέσεις υπό τις οποίες η εταιρεία μπορούσε να αποκτήσει πρόσβαση σε αυτά. Ο καταγγέλλων είχε μάλιστα γνώση των ως άνω κειμένων. Ομοίως, αυτός είχε ενημερωθεί από την εταιρεία για τη διεξαγωγή έρευνας σε βάρος του. Έτσι, κρίθηκε ότι η εταιρεία νομίμως απέκτησε πρόσβαση σε διαγραμμένα ηλεκτρονικά αρχεία που ανακτήθηκαν από τον διακομιστή της (server), τα οποία αφορούσαν την τέλεση αξιόποινων πράξεων από τον εργαζόμενο, στο πλαίσιο του υπέρτερου εννόμου συμφέροντός της κατά τα άρθρα 5 και 6 παρ. 1 περ. στ΄ GDPR. Στην αντίθεση κατεύθυνση κρίθηκε όμως ότι η εταιρεία παραβίασε το δικαίωμα ενημέρωσης και πρόσβασης του καταγγέλλοντος, ως προς τα προσωπικά δεδομένα του εταιρικού ηλεκτρονικού υπολογιστή του, με το να μην απαντήσει με τον δέοντα τρόπο στα ως άνω εξώδικά του. Και αυτό γιατί δεν ανταποκρίθηκε στο υποβληθέν αίτημά του και δεν τον ενημέρωσε για τα δικαιώματά του σύμφωνα με τον GDPR, με αποτέλεσμα αυτή να παραβιάσει τα άρθρα 12, 13 και 15 του GDPR.

H Aρχή κατέληξε επίσης ότι η εταιρεία λειτουργούσε παρανόμως σύστημα βιντεοεπιτήρησης, κατά παράβαση του άρθρου 5 GDPR, καθώς δεν είχε προβεί σε συναφή έγγραφη τεκμηρίωση της νόμιμης λειτουργίας του συστήματος, ενώ δεν υπήρχε πρόβλεψη περί της λειτουργίας του στις εταιρικές Πολιτικές και στον Κανονισμό των εργαζομένων.

Υπό τις ως άνω κρίσεις, η Αρχή έλαβε τις ακόλουθες αποφάσεις: α) να απευθύνει εντολή στην εταιρεία να ικανοποιήσει αμέσως το αίτημα του καταγγέλλοντος για άσκηση του δικαιώματος πρόσβασης και ενημέρωσης σε σχέση με τα προσωπικά δεδομένα του στον εταιρικό ηλεκτρονικό υπολογιστή του, β) να απευθύνει εντολή προς την εταιρεία να συμμορφώσει εντός ενός μήνα τη λειτουργία του συστήματος βιντεοεπιτήρησής της, γ) να επιβάλλει πρόστιμο στην εταιρεία για την παράνομη λειτουργία του συστήματος βιντεοεπιτήρησης ύψους 15.000 ευρώ.

Ως προς την ως άνω απόφαση, σημειώνουμε επιγραμματικά τα εξής:

1. Είναι εμφανές ότι η συμμόρφωση της εταιρείας με τον GDPR δεν ήταν επαρκής. Το σύστημα βιντεοεπιτήρησης, που κατ’ επανάληψη έχει αποδειχθεί ότι αποτελεί κόκκινο πανί για την Αρχή, δεν λειτουργούσε νόμιμα, ο Υπεύθυνος Προστασίας Δεδομένων δεν είχε γνωστοποιηθεί στην Αρχή, ενώ φαίνεται ότι ήταν και Γενικός Διευθυντής, κατά εμφανή σύγκρουση καθηκόντων, η δε απόκριση στο αίτημα άσκησης δικαιωμάτων του εργαζομένου ήταν μη ικανοποιητική. Υπό αυτές τις συνθήκες, η επιβολή χρηματικού προστίμου μόνο για την παράνομη λειτουργία συστήματος βιντεοεπιτήρησης κρίνεται επιεικής.

2. Είναι δυσάρεστο, αλλά κατανοητό, το ότι τόσο σε αυτή όσο και σε άλλες αντίστοιχες υποθέσεις που έχουν απασχολήσει την ΑΠΔΠΧ, οι εργαζόμενοι προβαίνουν σε σχετικές καταγγελίες μόνο κατόπιν της λήξης της εργασιακής σχέσης τους ή εν μέσω σύγκρουσης με τον εργοδότη τους, με τους υπόλοιπους εργαζομένους μέχρι τότε να σιωπούν. Οι ενέργειες συμμόρφωσης πρέπει να λαμβάνουν χώρα όμως αμέσως μετά τη συνειδητοποίηση των όποιων παρατυπιών και όχι να μετατίθενται στο αβέβαιο μέλλον. Σε αυτό μπορεί να διαδραματίσει σημαντικό ρόλο ο Υπεύθυνος Προστασίας Δεδομένων, που διασφαλίζεται με σημαντικές εγγυήσεις ανεξαρτησίας από τον GDPR.

3. Το κείμενο της απόφασης δεν προσεγγίζει λεπτομερώς το σύνολο των καταγγελιών του καταγγέλλοντος, υποθέτουμε λόγω του ανυπόστατου μέρους αυτών. Η υπόθεση αποτελούσε πάντως μια καλή ευκαιρία για την Αρχή να προσεγγίσει όλα τα ζητήματα που έθεσε ο καταγγέλλων, τα οποία εμφανίζονται κατ’ επανάληψη σε σχετικές υποθέσεις και αγγίζουν το εύρος των ζητημάτων που ανακύπτουν κατά την «επεισοδιακή» λήξη μιας εργασιακής σχέσης. Έτσι, θα επιτυγχανόταν η πλήρης νομολογιακή κωδικοποίησή τους. Δυστυχώς, αυτό δεν επετεύχθη.

GDPR και τηλεφωνία: Νέο διπλό πρόστιμο-ρεκόρ ύψους 400.000 ευρώ

Written by Aimilios Koronaios on 08/11/2019. Posted in TaxHeaven, Αρθρογραφία, Ιστοσελίδες.

Πρώτη δημοσίευση: www.taxheaven.gr
Ημερομηνία πρώτης δημοσίευσης: 8/10/2019

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Με τις υπ’ αρ. 31/2019 και 34/2019 αποφάσεις της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), που αναρτήθηκαν στην ιστοσελίδα της στις 7 Οκτωβρίου, καταγράφεται νέο πρόστιμο-ρεκόρ στη μετά GDPR εποχή. Με κάθε μία εξ αυτών επιβάλλεται πρόστιμο ύψους 200.000 ευρώ στην ίδια πολύ μεγάλη εταιρεία παροχής υπηρεσιών τηλεφωνίας για παραβάσεις του GDPR. Είτε μεμονωμένα (200.000 ευρώ έκαστο) είτε αθροιστικά (400.000 ευρώ) τα εν λόγω πρόστιμα ανεβάζουν σημαντικά τον πήχη για τα ελληνικά δεδομένα. Υπενθυμίζεται ότι το σχετικό ρεκόρ κατείχε μέχρι προ ολίγων ημερών η υπ’ αρ. 26/2019 απόφαση της ΑΠΔΠΧ για πρόστιμο ύψους 150.000 ευρώ. Το εν λόγω πρόστιμο είχε επιβληθεί σε μεγάλη εταιρεία παροχής επιχειρηματικών και λογιστικών υπηρεσιών κατόπιν καταγγελίας λογιστών.

Λίγα λόγια για εκάστη εκ των δύο νέων υποθέσεων. Η απόφαση υπ’ αρ. 31/2019 αφορά τα μητρώα αντιρρήσεων, τα οποία προβλέπονται στο άρθρο 11 παρ. 2 του Ν. 3471/2006 και τηρούνται υποχρεωτικά από τις εταιρείες παροχής υπηρεσιών τηλεφωνίας. Σε αυτά δικαιούνται να εγγράφονται συνδρομητές τους δωρεάν, ώστε να μη λαμβάνουν ανεπιθύμητες τηλεφωνικές κλήσεις, ιδίως για προώθηση προϊόντων και υπηρεσιών. Για την επίτευξη αυτού του στόχου, τα μητρώα αντιρρήσεων είναι δημόσια. Έτσι, κάθε ενδιαφερόμενος που επιθυμεί να προβεί σε προωθητικές κλήσεις δικαιούται να τα λάβει, ώστε να μην καλεί τους εγγεγραμμένους σε αυτά.

Στην εν λόγω υπόθεση η ΑΠΔΠΧ κινητοποιήθηκε κατόπιν καταγγελιών δύο συνδρομητών της εμπλεκόμενης εταιρείας τηλεφωνίας. Τα τηλέφωνα αυτών δεν περιλαμβάνονταν στα ειδικά μητρώα αντιρρήσεων (opt-out), τα οποία χορηγούσε η εταιρεία τηλεφωνίας σε διαφημιζόμενες εταιρείες, παρά το ότι αυτοί είχαν προβεί στη σχετική εγγραφή. Αυτό συνέβαινε εξαιτίας τεχνικού προβλήματος της εταιρείας τηλεφωνίας, ήτοι τη μη καλή αλληλεπίδραση μεταξύ δύο εφαρμογών. Έτσι, η μη ορθή τήρηση του μητρώου αντιρρήσεων είχε ως αποτέλεσμα συνδρομητές, όπως οι καταγγέλλοντες, να λαμβάνουν προωθητικές κλήσεις, παρά τη δήλωσή τους ότι δεν το επιθυμούσαν. Η παράλειψη αυτή έθιξε περισσότερους από 16.000 συνδρομητές για περισσότερο από 3 χρόνια.

Κατά την ΑΠΔΠΧ, εν προκειμένω παραβιάστηκε η αρχή της ακρίβειας των προσωπικών δεδομένων (άρθρο 5 παρ. 1 περ. δ΄ GDPR), καθώς τα προσωπικά δεδομένα που τηρούσε η εταιρεία τηλεφωνίας ήταν ανακριβή. Παραβιάστηκε επίσης και η υποχρέωση της προστασίας προσωπικών δεδομένων ήδη από τον σχεδιασμό των σχετικών συστημάτων τήρησής τους (άρθρο 25 GDPR), με αποτέλεσμα την ανακρίβεια των δεδομένων. Για τους λόγους αυτούς η ΑΠΔΠΧ αποφάσισε την επιβολή προστίμου ύψους 200.000 ευρώ, λαμβάνοντας υπόψη, μεταξύ άλλων, τα ετήσια έσοδα της εταιρείας τηλεφωνίας, που για το 2018 ήταν σε επίπεδο ομίλου περίπου 2,9 δις ευρώ.

Στην απόφαση υπ’ αρ. 34/2019, η ΑΠΔΠΧ κινητοποιήθηκε εκ νέου κατόπιν δύο καταγγελιών συνδρομητών της ίδιας εταιρείας τηλεφωνίας. Οι καταγγελίες αφορούσαν τη μη λειτουργία, λόγω τεχνικού σφάλματος, της δυνατότητας διαγραφής από τις λίστες παραληπτών διαφημιστικών emails της εταιρείας τηλεφωνίας, για όσους παραλήπτες ασκούσαν αυτό το δικαίωμα μέσω του συνδέσμου “unsubscribe”. Στην εταιρεία τηλεφωνίας είχε γνωστοποιηθεί το σχετικό πρόβλημα από συνδρομητή, χωρίς όμως αυτή να προβεί σε αντιμετώπισή του. Η δυσλειτουργία είχε εκδηλωθεί ήδη από το 2013, με αποτέλεσμα 8.000 περίπου συνδρομητές να επιχειρήσουν ανεπιτυχώς να διαγραφούν.

Κατά την ΑΠΔΠΧ, εν προκειμένω δεν μπορούσε να ικανοποιηθεί το δικαίωμα εναντίωσης του συνδρομή (άρθρο 21 GDPR), δεδομένου ότι η προσπάθεια του να διαγραφεί από τη λίστα παραληπτών διαφημιστικών emails δεν είχε κανένα αποτέλεσμα. Απουσίαζε επίσης και το κατάλληλο οργανωτικό μέτρο από την πλευρά της εταιρείας τηλεφωνίας (άρθρο 25 ΓΚΠΔ), ώστε να μπορέσει να διαπιστώσει τη δυσλειτουργία. Για τους λόγους αυτούς η ΑΠΔΠΧ αποφάσισε και σε αυτή την περίπτωση την επιβολή δεύτερου προστίμου ύψους 200.000 ευρώ, λαμβάνοντας υπόψη, μεταξύ άλλων, για μια ακόμη φορά τα ετήσια έσοδα της εταιρείας τηλεφωνίας σε επίπεδο ομίλου.

Τρεις σύντομες παρατηρήσεις για τις ως άνω δύο αποφάσεις. Παρατήρηση πρώτη: το δις εξαμαρτείν ουκ ανδρός σοφού. Δεν πάει πολύς καιρός από την επιβολή στην ίδια εταιρεία τηλεφωνίας προστίμου ύψους 150.000 ευρώ από την ΑΠΔΠΧ (απόφαση υπ’ αρ. 62/2018, 9-10-2018) για πραγματοποίηση εκατομμύριων μη νόμιμων ανεπιθύμητων τηλεφωνικών κλήσεων. Το εν λόγω πρόστιμο είχε επιβληθεί βέβαια υπό το προ του GDPR καθεστώς του Ν. 2472/1997 και αποτελούσε τότε το μεγαλύτερο δυνατό. Με τις νέες αποφάσεις σε αυτό έρχεται να προστεθεί νέο συνολικό πρόστιμο ύψους 400.000 ευρώ για νέες παραβάσεις. Παρατήρηση δεύτερη: η συμμόρφωση με τον GDPR δεν πρέπει να είναι μόνο νομικού, αλλά και τεχνικού χαρακτήρα. Και τα δύο τεχνικά προβλήματα που αντιμετώπισε η εταιρεία τηλεφωνίας, τα οποία οδήγησαν στα οικεία πρόστιμα, θα μπορούσαν να είχαν αποφευχθεί αν είχε δοθεί η δέουσα προσοχή σε τεχνικό επίπεδο. Παρατήρηση τρίτη: η συμμόρφωση με τον GDPR επιβάλλει έμφαση στη λεπτομέρεια και βλέμμα στραμμένο όχι μόνο στο μέλλον, αλλά και στο παρελθόν. Οι αστοχίες της εταιρείας τηλεφωνίας δεν οφείλονταν σε δόλο, όπως υπογράμμισε η ΑΠΔΠΧ στις σχετικές αποφάσεις της. Έρχονταν όμως από παλιά και κρύβονταν στη λεπτομέρεια, με αποτέλεσμα να αποδειχθεί μοιραία η μη επίδειξη της απαιτούμενης προσοχής.

GDPR και εθνικός νόμος: “Habemus Papam!”

Written by Aimilios Koronaios on 02/10/2019. Posted in TaxHeaven, Αρθρογραφία, Ιστοσελίδες.

Πρώτη δημοσίευση: www.taxheaven.gr
Ημερομηνία πρώτης δημοσίευσης: 2/09/2019

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Στις 29 Αυγούστου δημοσιεύθηκε στην Εφημερίδα της Κυβερνήσεως ο Ν. 4624/2019 με τα εθνικά μέτρα εφαρμογής του Γενικού Κανονισμού Προστασίας Δεδομένων, γνωστού και ως GDPR. Πρόκειται για νομοθετικό κείμενο με ευρύτερο περιεχόμενο, καθώς με αυτό ενσωματώνεται επίσης στην ελληνική έννομη τάξη η ενωσιακή Οδηγία 2016/680 για την προστασία των προσωπικών δεδομένων κατά την επεξεργασία τους από διωκτικές αρχές, ιδίως τις αστυνομικές αρχές, γνωστή και ως LED.

Η πορεία προς την υιοθέτηση του Ν. 4624/2019 θυμίζει, δυστυχώς, σίριαλ τεσσάρων σεζόν. Σημείο εκκίνησης αποτέλεσε η υιοθέτηση του GDPR και της LED από τα ενωσιακά όργανα τον Απρίλιο του 2016. Ως προς τον GDPR, δεδομένου ότι αποτελεί ενωσιακό Κανονισμό, αυτός εξ ορισμού απολαμβάνει άμεσης εφαρμογής από τον Μάιο του 2018, χωρίς να απαιτείται η υιοθέτηση εθνικού νόμου. Κατ’ εξαίρεση πάντως, οι ρυθμίσεις του περιλαμβάνουν τη δυνατότητα του εθνικού νομοθέτη να λάβει και συμπληρωματικά μέτρα εφαρμογής.

Ως προς τη LED, αυτή απαιτεί για την ενσωμάτωσή της εθνικό νόμο, ο οποίος έπρεπε να υιοθετηθεί μέχρι τον Μάιο του 2018. Σε αυτό το πλαίσιο, ακολούθησε η ταχύτατη σύσταση ειδικής νομοπαρασκευαστικής επιτροπής από το Υπουργείο Δικαιοσύνης τον Ιούνιο του 2016 (σεζόν πρώτη). Η εν λόγω επιτροπή προχώρησε στην εκπόνηση σχεδίου νόμου, επιχειρώντας τη ζεύξη εθνικών μέτρων τόσο για τον GDPR όσο και για τη LED στο ίδιο νομοθετικό κείμενο, το οποίο τέθηκε σε δημόσια διαβούλευση τον Φεβρουάριο του 2018 (σεζόν δεύτερη και τρίτη).

Σε αντίθεση με άλλα νομοσχέδια όμως, η ολοκλήρωση της δημόσιας διαβούλευσης τον Μάρτιο του 2018 δεν οδήγησε σε σύντομη κατάθεση του νομοσχεδίου στη Βουλή προς ψήφιση. Αντίθετα, τόσο τον Νοέμβριο του 2018 όσο και τον Ιανουάριο του 2019 (σεζόν τέταρτη) μεταβλήθηκε εκ νέου η σύσταση της ειδικής νομοπαρακευαστικής επιτροπής και τέθηκαν νέες προθεσμίες για την περάτωση των εργασιών της.

Η ως άνω μεταβληθείσα ειδική νομοπαρασκευαστική επιτροπή εκπόνησε νέο νομοσχέδιο τον Φεβρουάριο του 2019, που ποτέ δεν υποβλήθηκε όμως σε δημόσια διαβούλευση. Ακολούθησε η διενέργεια των εθνικών εκλογών, χωρίς ακόμη να έχει υιοθετηθεί εθνικός νόμος, με την Ευρωπαϊκή Επιτροπή να παραπέμπει την Ελλάδα στο Δικαστήριο της Ε.Ε. τον Ιούλιο του 2019, με την απειλή επιβολής υπέρογκου προστίμου για μη έγκαιρη ενσωμάτωση της LED.

Τέλος, προ ολίγων ημερών τέθηκε εκ νέου σε δημόσια διαβούλευση το νομοσχέδιο για τα προσωπικά δεδομένα, το οποίο βασιζόταν στις εργασίες της ειδικής νομοπαρασκευαστικής επιτροπής με την μεταβληθείσα σύνθεση, όπως αυτό είχε εκπονηθεί τον Φεβρουάριο του 2019.

Η δημόσια διαβούλευση είχε μικρή διάρκεια και αμέσως μετά ακολούθησε η κατάθεση του νομοσχεδίου στη Βουλή, το οποίο ψηφίστηκε σε χρόνο ντετέ με τη διαδικασία του κατεπείγοντος. Τελικά, το ψηφισθέν νομοσχέδιο διαφέρει σημαντικά από αυτό που τέθηκε σε δημόσια διαβούλευση, καθώς λήφθηκε υπόψη σειρά ενστάσεων που προβλήθηκαν. Έτσι, μετά την πάροδο περισσότερων των τριών χρόνων από την υιοθέτηση του GDPR και της LED, καθώς και την πάροδο περισσότερου από ένα έτος από την έναρξη της εφαρμογής του πρώτου και τη λήξη της προθεσμίας ενσωμάτωσης της δεύτερης, βγήκε λευκός καπνός και η Ελλάδα απέκτησε επιτέλους εθνικό νόμο!

Η χώρα μας για μια ακόμη φορά βρέθηκε σχεδόν τελευταία και καταϊδρωμένη στο σχετικό στίβο, ως προς τη λήψη εθνικών μέτρων σε σύγκριση με τα άλλα κράτη μέλη, δεδομένου ότι αυτά στη συντριπτική πλειοψηφία τους έπραξαν το ίδιο αρκετά νωρίτερα.

Ως προς τα εθνικά μέτρα εφαρμογής του GDPR, ο Ν. 4624/2019 βασίζεται στον αντίστοιχο γερμανικό νόμο. Οι σχετικές ρυθμίσεις του εντοπίζονται στη συντριπτική πλειοψηφία τους στο Κεφάλαιο Α΄ – Γενικές Διατάξεις (άρθρα 1-8), στο Κεφάλαιο Β΄ – Eποπτική Αρχή (άρθρα 9-20) και στο Κεφάλαιο Γ΄ – Συμπληρωματικά Μέτρα Εφαρμογής του ΓΚΠΔ (άρθρα 21-42), με το Κεφάλαιο Δ΄ να αφορά τη LED (άρθρα 43-82). Ο παλαιότερος Ν. 2472/1997 για την προστασία των προσωπικών δεδομένων καταργείται, πλην ελαχίστων εξαιρέσεων, όπως των ορισμών που περιέχει στο άρθρο 2, ιδίως της προβλεπόμενης ρύθμισης για ανακοίνωση και δημοσιοποίηση προσωπικών δεδομένων σχετικά με ποινικές διώξεις ή καταδίκες.

Εκκινώντας από το Κεφάλαιο Α΄, αυτό, μεταξύ άλλων, επαναλαμβάνει το πεδίο εφαρμογής του GDPR, θέτει τον ορισμό δημόσιου και ιδιωτικού φορέα, σύμφωνα με τη νέα διάκριση που ακολουθείται σε πλήθος ρυθμίσεων του εθνικού νόμου, και αναπτύσσει ευρέως τις ρυθμίσεις του GDPR για τον Υπεύθυνο Προστασίας Δεδομένων.

Το Κεφάλαιο Β΄ ρυθμίζει εξαντλητικά τη σύσταση και λειτουργία της αρμόδιας εποπτικής αρχής για την εφαρμογή του GDPR, ήτοι της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ). Μεταξύ άλλων, προβλέπονται η αρμοδιότητά της, τα κωλύματα – ασυμβίβαστα των μελών της, τα καθήκοντα και οι εξουσίες της, οι υποχρεώσεις και τα δικαιώματά των μελών της, καθώς και ζητήματα της εν γένει λειτουργίας της.

Το Κεφάλαιο Γ΄ αποτελεί ίσως το ουσιαστικότερο μέρος του Ν. 4624/2019 από άποψη περιεχόμενου ως προς τα ειδικά μέτρα εφαρμογής του GDPR και αντιμετωπίζει σημαντικές μέχρι σήμερα γκρίζες ζώνες. Θέτει όμως συνάμα νέους προβληματισμούς για τη σχέση του Ν. 4624/2019 με τον GDPR, ιδίως το βαθμό που ο πρώτος λειτουργεί συμπληρωματικά ή/και ενδεχομένως τροποποιητικά, καθ’ υπέρβαση των εξουσιών του εθνικού νομοθέτη. Από τις ρυθμίσεις του ξεχωρίζουν κυρίως η πρόβλεψη για το έγκυρο της συγκατάθεσης του ανηλίκου σε συγκεκριμένες περιπτώσεις εφόσον έχει συμπληρώσει το 15ο έτος της ηλικίας του (ο GDPR προέβλεπε το 16ο έτος), η απαγόρευση επεξεργασίας γενετικών δεδομένων για σκοπούς ασφάλισης υγείας και ζωής, οι προϋποθέσεις επεξεργασίας προσωπικών δεδομένων για σκοπούς άλλους από αυτούς της συλλογής τους, οι ρυθμίσεις για τα ζητήματα επεξεργασίας προσωπικών δεδομένων εργαζομένων, ιδίως η πρόβλεψη για την εγκυρότητα της κατ’ εξαίρεση συγκατάθεσής τους, οι προβλέψεις για την επεξεργασία προσωπικών δεδομένων από ΜΜΕ, ιδίως η σειρά παρεκκλίσεων από τον GDPR που δημιουργεί ένα προνομιακό καθεστώς γι’ αυτά, η ρύθμιση για τη διαπίστευση φορέων που χορηγούν τις προβλεπόμενες από τον GDPR πιστοποιήσεις, η οποία πραγματοποιείται από το Εθνικό Σύστημα Διαπίστευσης, καθώς και οι προβλεπόμενες ποινικές κυρώσεις για παράνομη επεξεργασία προσωπικών δεδομένων, με την εν γένει άμβλυνση της οικείας ποινικής μεταχείρισης.

Συνολικά, ο Ν. 4624/2019 είναι ευπρόσδεκτος, δεδομένου ότι η απουσία λήψης των ειδικών μέτρων εφαρμογής του GDPR σε εθνικό επίπεδο ήταν πολύ σημαντική, εξέθετε τη χώρα σε επίπεδο Ευρωπαϊκής Ένωσης, δημιουργούσε ανασφάλεια δικαίου και αποτελούσε αντικίνητρο για την εκούσια συμμόρφωση φυσικών και νομικών προσώπων με τις ρυθμίσεις του GDPR.

Έχει όμως αδύναμα σημεία και έχει ήδη δεχθεί βέλη κριτικής για το κατά πόσο συνιστά από κοινού με τον GDPR ένα αρμονικό σύνολο, το οποίο διακρίνεται από συνοχή και διαύγεια ή όχι.

Σε κάθε περίπτωση, είναι βέβαιο πως η εφαρμογή του νέου νόμου θα οδηγήσει σε περαιτέρω ευαισθητοποίηση των υπεύθυνων και εκτελούντων την επεξεργασία προσωπικών δεδομένων, καθώς τα περιθώρια στενεύουν ως προς αυτούς που επιμένουν να αγνοούν τις οικείες υποχρεώσεις τους.

Ομοίως, η νέα νομοθεσία αναμένεται να περιορίσει έτι περαιτέρω τη διάθεση επιείκειας που διέκρινε την ΑΠΔΠΧ κατά την πρώτη περίοδο εφαρμογής του GDPR, καθώς ολοκληρώνεται πλέον το παζλ του εφαρμοστέου νομοθετικού πλαισίου και λιγοστεύουν δραματικά οι δικαιολογίες μη συμμόρφωσης.

Πρώτη «GDPR-βόμβα» 150.000 ευρώ κατόπιν καταγγελίας λογιστών

Written by Aimilios Koronaios on 02/09/2019. Posted in TaxHeaven, Αρθρογραφία, Ιστοσελίδες.

Πρώτη δημοσίευση: www.taxheaven.gr
Ημερομηνία πρώτης δημοσίευσης: 2/08/2019

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Στις 30 Ιουλίου η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) ανάρτησε στην ιστοσελίδα της την υπ’ αρ. 26/2019 απόφασή της. Με αυτήν επιβάλλεται πρόστιμο-μαμούθ ύψους 150.000 ευρώ σε εταιρεία για παραβίαση του GDPR. Πρόκειται για την πρώτη απόφαση της ΑΠΔΠΧ με την οποία επιβάλλεται τόσο υψηλό πρόστιμο από την έναρξη εφαρμογής του νέου Κανονισμού τον Μάιο του 2018. Υπενθυμίζεται ότι τα 150.000 ευρώ αποτελούσαν το μέγιστο πρόστιμο που μπορούσε να επιβληθεί με το προηγούμενο καθεστώς προστασίας των προσωπικών δεδομένων, ήτοι τον Ν. 2472/1997. Στην επίμαχη απόφαση, το ως άνω ποσό φαίνεται ότι αποτελεί πλέον σημείο εκκίνησης της ΑΠΔΠΧ ως προς την επιβολή υψηλών προστίμων στη μετά GDPR εποχή. Τα τελευταία άλλωστε, σύμφωνα με τις νέες ρυθμίσεις, μπορούν να αγγίξουν εφεξής τα 20.000.0000 ευρώ ή το 4% του παγκόσμιου τζίρου της εμπλεκόμενης εταιρείας, ανάλογα με ποιο ποσό είναι μεγαλύτερο.

Κατά το ιστορικό της υπόθεσης, ένωση λογιστών υπέβαλε καταγγελία ενώπιον της ΑΠΔΠΧ για παράνομη επεξεργασία προσωπικών δεδομένων 485 εργαζομένων πολύ μεγάλης εταιρείας παροχής επιχειρηματικών και λογιστικών υπηρεσιών. Η εν λόγω εταιρεία είχε διανείμει στους εργαζομένους της παράρτημα για την ενημέρωσή τους ως προς την επεξεργασία των προσωπικών δεδομένων τους και τη λήψη της συγκατάθεσής τους.

Με αυτό, οι εργαζόμενοι κλήθηκαν επίσης να αναγνωρίσουν ότι τα παρεχόμενα προσωπικά δεδομένα τους συνδέονταν άμεσα με την εργασιακή σχέση τους, καθώς και ότι ήταν συναφή και πρόσφορα στο πλαίσιο αυτής.

Η ΑΠΔΠΧ, αφού εξέτασε την καταγγελία, κατέληξε ότι εν προκειμένω συνέτρεχε παραβίαση του GDPR. Κατά την κρίση της, η συγκατάθεση δεν αποτελούσε τη δέουσα νομική βάση επεξεργασίας για όλους τους επιδιωκόμενους σκοπούς και κακώς είχε επιδιωχθεί η λήψη της από τους εργαζόμενους. Το ίδιο ίσχυε και για τη νομική βάση της εκτέλεσης της σύμβασης που επικαλέστηκε στη συνέχεια η εργοδότρια εταιρεία, η οποία επίσης δεν κάλυπτε όλους τους επιδιωκόμενους σκοπούς επεξεργασίας. Αυτό είχε ως αποτέλεσμα τη μη σύννομη επεξεργασία των προσωπικών δεδομένων των εργαζομένων, καθώς λοιπές παραβάσεις, όπως τη μη ορθή ενημέρωση αυτών για τη δέουσα νομική βάση επεξεργασίας. Παράβαση αποτελούσε επίσης η μεταφορά του βάρους της απόδειξης της συμμόρφωσης με τον GDPR στους εργαζομένους, δεδομένου ότι αυτοί κλήθηκαν να αναγνωρίσουν τη σύνδεση, συνάφεια και προσφορότητα των προσωπικών δεδομένων υπό επεξεργασία από την εργοδότρια εταιρεία, όταν την εν λόγω υποχρέωση έφερε η τελευταία.

Η απόφαση 26/2019 αποτελεί «το πρώτο αίμα», κατά μία σίγουρα προσφιλή σε σινεφίλ έκφραση, η οποία στέλνει ένα ηχηρό μήνυμα ως προς την αναγκαιότητα συμμόρφωσης με τον GDPR. Το επιβαλλόμενο πρόστιμο φαντάζει πάντως υπερβολικό, δεδομένου ότι οι δέουσες νομικές βάσεις για την επεξεργασία των προσωπικών δεδομένων, ήτοι η εκτέλεση της σύμβασης, η εκπλήρωση έννομης υποχρέωσης και το υπέρτερο έννομο συμφέρον της εργοδότριας εταιρείας συνέτρεχαν για την επεξεργασία προσωπικών δεδομένων εργαζομένων. Στην ίδια κατεύθυνση ως προς το υπερβολικό του προστίμου συνηγορεί η σύντομη επισκόπηση αποφάσεων με μεγάλα πρόστιμα σε άλλα κράτη μέλη που εφαρμόζουν τον GDPR, με τις όποιες υψηλές κυρώσεις μέχρι σήμερα να έχουν επιβληθεί συνήθως σε κραυγαλέα περιστατικά διαρροής πολύ μεγάλου όγκου προσωπικών δεδομένων ή παράνομες προωθητικές ενέργειες σημαντικών διαστάσεων.

Από την άλλη μεριά, δεν μπορεί να αγνοηθεί ότι οι εν λόγω παραβάσεις ήταν κατά την Αρχή δείκτες ανεπίτρεπτων νομικών αμφιβολιών αναφορικά με την εφαρμογή του GDPR. Όπως σημειώνει η Αρχή χαρακτηριστικά στην επίμαχη απόφαση «οι παραβιάσεις δεν έλαβαν χώρα από δόλο, αλλά (…) υπήρξαν αποτέλεσμα ανεπαρκούς γνώσης και εφαρμογής των διατάξεων του ΓΚΠΔ».

Σε κάθε περίπτωση, η αναμενόμενη δικαστική εξέλιξη της υπόθεσης θα καταδείξει την τελική ορθότητα ή μη της κρίσης της ΑΠΔΠΧ.

Εν κατακλείδι, η απόφαση 26/2019 της ΑΠΔΠΧ θέτει ως δεδομένο ότι η πρακτική της γενικευμένης λήψης συγκατάθεσης, όταν δεν χρειάζεται, δημιουργεί σοβαρά προβλήματα, αντί να τα επιλύει. Η εφαρμογή του GDPR απαιτεί, πέραν πολλών άλλων, και νομική ακρίβεια.

Αιμίλιος Κορωναίος Δικηγόρος παρ’ Αρείω Πάγω LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος Δικηγόρος παρ’ Αρείω Πάγω LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος Δικηγόρος παρ’ Αρείω Πάγω LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος Δικηγόρος παρ’ Αρείω Πάγω LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος Δικηγόρος παρ’ Αρείω Πάγω LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος Δικηγόρος παρ’ Αρείω Πάγω LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος Δικηγόρος παρ’ Αρείω Πάγω LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος Δικηγόρος παρ’ Αρείω Πάγω LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος Δικηγόρος παρ’ Αρείω Πάγω LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος Δικηγόρος παρ’ Αρείω Πάγω LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)

Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)