GDPR και ΑΑΔΕ: To «απόσταγμα» της διαδικασίας διαχείρισης αιτημάτων
Πρώτη δημοσίευση: www.taxheaven.gr
Ημερομηνία πρώτης δημοσίευσης: 20/02/2020
Αιμίλιος Κορωναίος
Δικηγόρος παρ’ Αρείω Πάγω
LL.M. (Aberdeen), ΜΔΕ (Αθήνα)
Ι. Εισαγωγικά
Με Απόφαση του Διοικητή της Ανεξάρτητης Αρχής Δημοσίων Εσόδων (ΑΑΔΕ), συστάθηκε σε αυτήν από 25-05-2018 Αυτοτελές Τμήμα Υποστήριξης Υπεύθυνου Προστασίας Δεδομένων (Αυτοτελές Τμήμα), σε συμμόρφωση με τον GDPR. O Προϊστάμενός του ορίστηκε ως Υπεύθυνος Προστασίας Δεδομένων αυτής. Η σύσταση Αυτοτελούς Τμήματος ή Γραφείου αποτελεί βέλτιστη πρακτική, αντίστοιχη με αυτή που ακολουθήθηκε, μεταξύ άλλων, στο Υπουργείο Υγείας, στο Υπουργείο Οικονομικών και στο Υπουργείο Ψηφιακής Διακυβέρνησης. Επομένως, ήταν παραπάνω από ευπρόσδεκτη, ώστε να εισέλθει και η ΑΑΔΕ στη μετά GDPR εποχή.
Στο πλαίσιο της λειτουργίας του και σε υλοποίηση των επιμέρους επιταγών συμμόρφωσης με τον GDPR, πολύ πρόσφατα το Αυτοτελές Τμήμα προέβη στην υιοθέτηση και συνακόλουθη δημοσιοποίηση Διαδικασίας Διαχείρισης Αιτημάτων των Υποκειμένων των Δεδομένων περί Άσκησης των Δικαιωμάτων τους που απορρέουν από το Γενικό Κανονισμό για την Προστασία Δεδομένων (υπ’ αριθμ. πρωτ. ΑΤΥΥΠΔ 0002470 ΕΞ 24-12-2019). Η Διαδικασία Διαχείρισης Αιτημάτων αποτελεί ένα έγγραφο εξαιρετικά σημαντικό, λαμβανομένου ιδίως υπόψη του τεράστιου όγκου προσωπικών δεδομένων που επεξεργάζεται η ΑΑΔΕ ως υπεύθυνος επεξεργασίας, των ειδικών χαρακτηριστικών τους, καθώς διέπονται, μεταξύ άλλων, από το φορολογικό απόρρητο κατά τα προβλεπόμενα στον Κώδικα Φορολογικής Διαδικασίας, του πλήθος των υποκειμένων προσωπικών δεδομένων τα οποία αφορά εν προκειμένω και της βαρύτητας που δίνει ο GDPR εν γένει στα δικαιώματά τους.
Σκοπός της υιοθέτησης της ως άνω διαδικασίας είναι η διασφάλιση της σύμφωνης με τον GDPR ικανοποίησης των δικαιωμάτων των υποκειμένων των προσωπικών δεδομένων, κατά κανόνα εντός προθεσμίας ενός μήνα.
Προς επίτευξή αυτού, στη Διαδικασία Διαχείρισης Αιτημάτων περιγράφονται λεπτομερώς τα βήματα που οφείλουν να ακολουθούν οι αρμόδιοι υπάλληλοι της ΑΑΔΕ από την παραλαβή σχετικού αιτήματος μέχρι την οριστική διεκπεραίωσή του. Το πεδίο δε εφαρμογής του ως άνω εγγράφου υπερβαίνει τους πολίτες, καθώς καταλαμβάνει επίσης τόσο τους υπαλλήλους της ΑΑΔΕ όσο και τους αντισυμβαλλόμενους της, οι οποίοι απολαμβάνουν επίσης της προστασίας του GDPR.
Ως προς το περιεχόμενο της Διαδικασίας Διαχείρισης Αιτημάτων, αυτό κατά κύριο λόγο αναπτύσσεται σε δύο κεντρικούς άξονες: α) τα δικαιώματα των υποκειμένων, β) η διαδικασία διαχείρισης των αιτημάτων αυτή καθ’ εαυτή.
ΙΙ. Τα δικαιώματα των υποκειμένων
Το 50% περίπου της της Διαδικασίας Διαχείρισης Αιτημάτων καταλαμβάνεται από την περιγραφή των προβλεπόμενων στον GDPR δικαιωμάτων, προς κατάρτιση των υπαλλήλων της ΑΑΔΕ που θα κληθούν να χειριστούν σχετικά αιτήματα. Για τον σκοπό αυτό επαναλαμβάνονται κατ’ επιλογή σχετικές ρυθμίσεις του Γενικού Κανονισμού και του εφαρμοστικού Ν. 4624/2019. Ως προς όλα τα προβλεπόμενα από τον GDPR δικαιώματα επισημαίνεται ότι «οι υπάλληλοι της ΑΑΔΕ πρέπει να είναι σε θέση να αντιληφθούν από τη διατύπωση και το περιεχόμενο κάθε αιτήματος ότι αυτό αφορά στην άσκηση δικαιώματος που απορρέει από το ΓΚΠΔ, ακόμα και αν αυτό δε δηλώνεται ρητά από τον αιτούντα».
Ειδικότερα ως προς τα επιμέρους δικαιώματα, σταχυολογούνται τα ακόλουθα εξαιρετικά σημαντικά κατά τη γνώμη μας χωρία, τα οποία αποτελούν την υπεραξία αυτού του μέρους του εγγράφου, δεδομένου ότι τόσο ο GDPR όσο και ο Ν. 4624/2019 είναι ήδη γνωστοί.
1. Δικαίωμα ενημέρωσης
Κατά τη Διαδικασία Διαχείρισης Αιτημάτων «η ΑΑΔΕ, με σκοπό την ικανοποίηση του δικαιώματος ενημέρωσης των Υποκειμένων των Δεδομένων, έχει προβεί στην κατάρτιση αφενός εγγράφου για την ενημέρωση των πολιτών σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα τους από την ΑΑΔΕ, το οποίο έχει αναρτηθεί στην ιστοσελίδα της ΑΑΔΕ στον ακόλουθο σύνδεσμο https://www.aade.gr/menoy/aade/prostasia-dedomenon-prosopikoy-haraktira αφετέρου εγγράφου για την ενημέρωση των υπαλλήλων σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα τους από την ΑΑΔΕ, το οποίο έχει αναρτηθεί στον εσωτερικό ιστότοπο της ΑΑΔΕ στον ακόλουθο σύνδεσμο http://home.aade.int/post/prostasia-dedomenon. Εάν το Υποκείμενο των Δεδομένων επιθυμεί να λάβει περισσότερες πληροφορίες σχετικά με την επεξεργασία των προσωπικών δεδομένων του, μπορεί να απευθυνθεί στις υπηρεσίες της ΑΑΔΕ υποβάλλοντας σχετικό αίτημα».
2. Δικαίωμα πρόσβασης
Κατά τη Διαδικασία Διαχείρισης Αιτημάτων «δεδομένου του όγκου των πληροφοριών που επεξεργάζεται η ΑΑΔΕ στο πλαίσιο των αρμοδιοτήτων της, οι υπάλληλοί της δύνανται, σε περίπτωση που το αίτημα του Υποκειμένου των Δεδομένων δεν αναφέρεται σε συγκεκριμένα δεδομένα προσωπικού χαρακτήρα του, να ζητούν από το Υποκείμενο των Δεδομένων να προσδιορίσει τις πληροφορίες ή τις δραστηριότητες επεξεργασίας που σχετίζονται με το αίτημα. Αν το Υποκείμενο των Δεδομένων αρνείται να παράσχει περισσότερες πληροφορίες τότε το αίτημα του Υποκειμένου των Δεδομένων ικανοποιείται με την καταβολή εύλογης προσπάθειας και έρευνας για την ανεύρεση και χορήγηση των δεδομένων που αναφέρονται στο αίτημα».
3. Δικαίωμα διόρθωσης
Ως προς το δικαίωμα διόρθωσης δεν κρίνεται σκόπιμη η παράθεση κάποιου χωρίου.
4. Δικαίωμα περιορισμού επεξεργασίας
Κατά τη Διαδικασία Διαχείρισης Αιτημάτων «σε περίπτωση που κάποιο Υποκείμενο των Δεδομένων υποβάλει σε υπηρεσία της ΑΑΔΕ αίτημα που αφορά στην άσκηση δικαιώματος περιορισμού της επεξεργασίας, το αίτημα αυτό πρέπει να διαβιβάζεται στο Αυτοτελές Τμήμα προς περαιτέρω διαχείριση».
5. Δικαίωμα εναντίωσης
Κατά τη Διαδικασία Διαχείρισης Αιτημάτων «σε περίπτωση που κάποιο Υποκείμενο των Δεδομένων υποβάλει σε υπηρεσία της ΑΑΔΕ αίτημα που αφορά στην άσκηση δικαιώματος εναντίωσης, το αίτημα αυτό πρέπει να διαβιβάζεται στο Αυτοτελές Τμήμα προς περαιτέρω διαχείριση».
6. Δικαίωμα διαγραφής
Κατά τη Διαδικασία Διαχείρισης Αιτημάτων «…μόνο σε εξαιρετικές περιπτώσεις μπορεί να θεμελιωθεί δικαίωμα διαγραφής του Υποκειμένου των Δεδομένων έναντι της ΑΑΔΕ ως υπευθύνου επεξεργασίας. Σε περίπτωση δε που κάποιο Υποκείμενο των Δεδομένων υποβάλει σε υπηρεσία της ΑΑΔΕ αίτημα που αφορά στην άσκηση δικαιώματος διαγραφής, το αίτημα αυτό θα πρέπει να διαβιβάζεται στο Αυτοτελές Τμήμα προς περαιτέρω διαχείριση».
7. Δικαίωμα στη φορητότητα των δεδομένων
Κατά τη Διαδικασία Διαχείρισης Αιτημάτων «…μόνο σε εξαιρετικές περιπτώσεις μπορεί να θεμελιωθεί δικαίωμα φορητότητας του Υποκειμένου των Δεδομένων έναντι της ΑΑΔΕ ως υπευθύνου επεξεργασίας. Σε περίπτωση δε που κάποιο Υποκείμενο των Δεδομένων υποβάλει σε υπηρεσία της ΑΑΔΕ αίτημα που αφορά στην άσκηση δικαιώματος φορητότητας των δεδομένων του, το αίτημα αυτό θα πρέπει να διαβιβάζεται στο Αυτοτελές Τμήμα προς περαιτέρω διαχείριση».
8. Δικαίωμα στην ανθρώπινη παρέμβαση
Κατά τη Διαδικασία Διαχείρισης Αιτημάτων «σε περίπτωση που κάποιο Υποκείμενο των Δεδομένων υποβάλει σε υπηρεσία της ΑΑΔΕ αίτημα που αφορά στην άσκηση δικαιώματος στην ανθρώπινη παρέμβαση, το αίτημα αυτό πρέπει να διαβιβάζεται στο Αυτοτελές Τμήμα προς περαιτέρω διαχείριση».
Από τα ως άνω γίνεται εμφανές ότι για τα περισσότερα δικαιώματα των υποκειμένων (ήτοι για τα δικαιώματα περιορισμού της επεξεργασίας, εναντίωσης, διαγραφής, φορητότητας των δεδομένων και ανθρώπινης παρέμβασης) το Αυτοτελές Γραφείο θα είναι αυτό που θα κληθεί να «βγάλει το φίδι από την τρύπα». Εκτιμάται πάντως ότι την πλειοψηφία των αιτημάτων θα τη διεκπεραιώσουν οι λοιπές υπηρεσίες της ΑΑΔΕ, καθώς κατά κανόνα τα αιτήματα θα αφορούν τα συχνότερα ασκούμενα στην πράξη δικαιώματα ενημέρωσης και πρόσβασης, τα οποία και παραμένουν στην πλήρη αρμοδιότητά τους. Σημειώνεται επίσης ότι σύμφωνα με τη νομική κρίση του Αυτοτελούς Τμήματος, λαμβάνοντας υπόψη το ρυθμιστικό πλαίσιο, τα δικαιώματα διαγραφής και φορητότητας προς την ΑΑΔΕ θα θεμελιώνονται μόνο σε εξαιρετικές περιπτώσεις.
ΙΙΙ. Η διαδικασία διαχείρισης αιτημάτων αυτή καθ’ εαυτή
Ως προς τη διαδικασία διαχείρισης αιτημάτων αυτή καθ’ εαυτή, η οποία καταλαμβάνει περίπου το υπόλοιπο ήμισυ της Διαδικασίας Διαχείρισης Αιτημάτων, αυτή περιλαμβάνει τα ακόλουθα 5 βασικά βήματα.
Βήμα 1: Υποβολή
Όπως είναι αυτονόητο, προκειμένου να ενεργοποιηθεί η διαδικασία διαχείρισης αιτημάτων απαιτείται η υποβολή σχετικού αιτήματος από τον ενδιαφερόμενο. Το αίτημα μπορεί να υποβληθεί μέσα από τα ακόλουθα 5 κανάλια επικοινωνίας: α) την ιστοσελίδα της ΑΑΔΕ, όπου διατίθεται ηλεκτρονική φόρμα υποβολής αιτημάτων, β) με φυσική παρουσία στο Αυτοτελές Τμήμα ή στις υπόλοιπες υπηρεσίες της ΑΑΔΕ, γ) με ταχυδρομική επιστολή στους ως άνω, δ) με τηλεφωνική επικοινωνία στους ως άνω, ε) μέσω των Κέντρων Εξυπηρέτησης Πολιτών. Η επιλογή της τηλεφωνικής επικοινωνίας δεν φαίνεται πάντως ότι παράγει άμεσα αποτελέσματα, δεδομένου ότι κατά τη Διαδικασία Διαχείρισης Αιτημάτων «σημειώνεται επίσης ότι σε περίπτωση τηλεφωνικής επικοινωνίας του Υποκειμένου των Δεδομένων με τις υπηρεσίες της ΑΑΔΕ με σκοπό την υποβολή αιτήματος σχετικά με δικαίωμα που απορρέει από τις διατάξεις του ΓΚΠΔ, το Υποκείμενο των Δεδομένων θα πρέπει να παραπέμπεται σε ένα από τα υπόλοιπα κανάλια λήψεως αιτημάτων». Είναι γεγονός πάντως πως τα μέσα που διατίθενται για την υποβολή αιτημάτων είναι πολυάριθμα προς σημαντική διευκόλυνση πρωτίστως των πολιτών.
Βήμα 2: Ταυτοποίηση
Κατά την παραλαβή του αιτήματος, ο υπάλληλος της ΑΑΔΕ οφείλει να διαπιστώσει την ταυτότητα του αιτούντος. Ο τρόπος ταυτοποίησης διαφοροποιείται ανάλογα με το κανάλι επικοινωνίας που έχει επιλεγεί κατά τα ως άνω. Έτσι: α) για τη φυσική παρουσία απαιτείται επίδειξη δελτίου αστυνομικής ταυτότητας, διαβατηρίου, άδειας οδήγησης ή ατομικού βιβλιαρίου υγείας, β) για την ιστοσελίδα της ΑΑΔΕ εφαρμόζονται τα προβλεπόμενα περί ταυτοποίησης στην επικοινωνία με το Κέντρο Εξυπηρέτησης Φορολογουμένων, γ) για την ταχυδρομική επιστολή, το έγγραφο του αιτήματος πρέπει να φέρει βεβαίωση γνησίου υπογραφής, δ) για τα Κέντρα Εξυπηρέτησης Πολιτών η ταυτοποίηση πραγματοποιείται από τα εν λόγω Κέντρα.
Βήμα 3: Παραλαβή
Και εδώ ο τρόπος παραλαβής των αιτημάτων διαφοροποιείται ανάλογα με το κανάλι επικοινωνίας που έχει επιλεγεί κατά τα ως άνω. Έτσι: α) για την ιστοσελίδα της ΑΑΔΕ, στο αίτημα έχει πρόσβαση ο Προϊστάμενος του Αυτοτελούς Τμήματος και Υπεύθυνος Προστασίας Δεδομένων της ΑΑΔΕ, ο οποίος το χρεώνει σε υπάλληλο του Τμήματος, β) για την υποβολή με φυσική παρουσία ή ταχυδρομική επιστολή, ο αρμόδιος υπάλληλος πρωτοκολλεί το αίτημα και το παραδίδει στον Προϊστάμενο της Υπηρεσίας, ο οποίο το χρεώνει σε υπάλληλο, ενώ προβλέπεται και χορήγηση βεβαίωσης καταχώρησης αιτήματος προς το υποκείμενο των δεδομένων, όταν ζητηθεί από αυτό.
Βήμα 4: Αξιολόγηση
Το βήμα αυτό διαιρείται σε τρία επιμέρους βήματα.
Το πρώτο επιμέρους βήμα αφορά την παραλαβή του αιτήματος. Το περιεχόμενο αυτού του επιμέρους βήματος διαφοροποιείται ανάλογα με τον αν το αίτημα παραλαμβάνεται από το Αυτοτελές Τμήμα ή τις λοιπές υπηρεσίες της ΑΑΔΕ. Αν η λήψη του αιτήματος γίνει από το Αυτοτελές Τμήμα, αυτό, όπως έχει γίνει ήδη εμφανές, δύναται σε κάθε περίπτωση να το διεκπεραιώσει, ζητώντας αν χρειαστεί πρόσθετες πληροφορίες από τις αρμόδιες υπηρεσίες της ΑΑΔΕ. Διαβίβαση στις αρμόδιες υπηρεσίες της ΑΑΕΔΕ λαμβάνει χώρα «εάν η ικανοποίησή του προϋποθέτει ενέργειες που εμπίπτουν στην καθ’ ύλην και κατά τόπον αρμοδιότητα μίας ή περισσοτέρων υπηρεσιών της ΑΑΔΕ». Αν η λήψη του αιτήματος γίνει από λοιπές υπηρεσίες της ΑΑΔΕ, αυτές το διεκπεραιώνουν εκτός εάν «αυτό αφορά σε άσκηση δικαιώματος διαγραφής (άρθρο 17 ΓΚΠΔ), περιορισμού της επεξεργασίας (άρθρο 18 ΓΚΠΔ), φορητότητας (άρθρο 20 ΓΚΠΔ), εναντίωσης (άρθρο 17 ΓΚΠΔ), του δικαιώματος στην ανθρώπινη παρέμβαση (άρθρο 22 ΓΚΠΔ)» ή «η διαχείρισή του απαιτεί εξειδικευμένη γνώση σε θέματα προστασίας δεδομένων προσωπικού χαρακτήρα», οπότε διαβιβάζεται στο Αυτοτελές Τμήμα. Διαβίβαση σε άλλη υπηρεσία της ΑΑΔΕ λαμβάνει χώρα εφόσον κριθεί ότι αυτή είναι καθ’ ύλην και κατά τόπο αρμόδια για τη διεκπεραίωσή του.
Το δεύτερο επιμέρους βήμα αφορά την αξιολόγηση του περιεχόμενου του αιτήματος. Κατ’ αυτό αξιολογείται από την υπηρεσία διαχείρισης του αιτήματος αν οι διαθέσιμες πληροφορίες είναι επαρκείς για τη διεκπεραίωσή του. Για την εν λόγω κρίση προβλέπεται η υποχρέωση αναζήτησης πληροφοριών «που διατίθενται μέσω των πληροφοριακών συστημάτων ή βρίσκονται στο φυσικό αρχείο άλλων υπηρεσιών της ΑΑΔΕ επικοινωνώντας σχετικά με αυτές. Σε περίπτωση που οι διαθέσιμες πληροφορίες κριθούν ως ελλιπείς, η υπηρεσία που διαχειρίζεται το αίτημα ζητά πρόσθετες πληροφορίες από το Υποκείμενο των Δεδομένων». Εφόσον οι διαθέσιμες πληροφορίες κριθούν επαρκείς, αξιολογείται αν το αίτημα είναι προδήλως αβάσιμο ή υπερβολικό ιδίως λόγω του επαναλαμβανόμενου χαρακτήρα του, οπότε δεν θα ικανοποιηθεί.
Βήμα 5: Διεκπεραίωση και ενημέρωση
Προβλέπεται η διενέργεια των αναγκαίων πράξεων για τη διεκπεραίωση του αιτήματος και η παροχή τεκμηριωμένης απάντησης στο υποκείμενο των δεδομένων, όταν αυτή είναι αναγκαία. Η τελευταία χορηγείται στο υποκείμενο των δεδομένων μέσω του καναλιού επικοινωνίας που αυτό είχε επιλέξει.
ΙV. Kαταληκτικές παρατηρήσεις
Ως προς το ως άνω έγγραφο, κατόπιν της επιλεγμένης και πολύ σύντομης παρουσίασής του, σημειώνουμε επιγραμματικά τα εξής:
Α) Είναι αξιέπαινη και κατ’ επέκταση ευπρόσδεκτη η εκπόνηση και δημοσίευση της Διαδικασίας Διαχείρισης Αιτημάτων από το Αυτοτελές Τμήμα της ΑΑΔΕ. Η προβλεπόμενη διαδικασία διακρίνεται κατά κανόνα από πληρότητα. Πέραν της εφαρμογής της εντός των κόλπων της ΑΑΔΕ, αυτή, λόγω των αρετών της, μπορεί να χρησιμεύσει επίσης ως πυξίδα εκπόνησης αντίστοιχης διαδικασίας για υπεύθυνους επεξεργασίας που δραστηριοποιούνται στο δημόσιο ή στον ιδιωτικό τομέα.
Β) Ο συνδυασμός των ανθρώπινων πόρων τόσο του Αυτοτελούς Τμήματος όσο και των λοιπών υπηρεσιών της ΑΑΔΕ κρίνεται προς τη σωστή κατεύθυνση, σε όφελος των υποκειμένων των προσωπικών δεδομένων. Η μεταξύ τους αλληλεπίδραση έχει προβλεφθεί με σαφήνεια, για την επιτυχή ικανοποίηση των δικαιωμάτων των υποκειμένων των προσωπικών δεδομένων. Το αποτέλεσμα είναι η δημιουργία ενός συστήματος ικανοποίησης αιτημάτων με δόσεις συγκέντρωσης και αποκέντρωσης. Τελικό κριτή πάντως θα αποτελέσει η δοκιμασία του στην πράξη.
Γ) Όλα τα τμήματά της Διαδικασίας Διαχείρισης Αιτημάτων θα μπορούσαν μελλοντικά να καταστούν ευκολότερα στην προσέγγιση και ευχερέστερα κατανοητά με τη χρήση εικόνων και σχημάτων. Αυτό θα συνέβαλε στην ταχύτερη εμπέδωσή της από τους υπαλλήλους της ΑΑΔΕ που θα κληθούν να την εφαρμόσουν.
Δ) Χρήσιμη θα ήταν επίσης μελλοντικά η εκπόνηση και διάχυση πρακτικών παραδειγμάτων εφαρμογής της διαδικασίας προς διευκόλυνση όλων των ενδιαφερομένων.
Ε) Τέλος, αναγκαία κρίνεται η διαρκής εκπαίδευση και επιμόρφωση όλων των εμπλεκομένων υπαλλήλων σχετικά με την προστασία των προσωπικών δεδομένων. Δίχως την εκπλήρωση αυτής της προϋπόθεσης που συνιστά conditio sine qua non, η ορθή εφαρμογή της Διαδικασίας Διαχείρισης Αιτημάτων κινδυνεύει να αποτύχει.
Το παρόν άρθρο έχει αποκλειστικά ενημερωτικό χαρακτήρα, με αποτέλεσμα την επιλεκτικότητα και συνοπτικότητα του περιεχομένου του. Οι ενδιαφερόμενοι πρέπει σε κάθε περίπτωση να προσεγγίζουν πλήρως τα αναφερόμενα κείμενα στα οποία εκτίθενται πρωτογενώς οι σχετικές πληροφορίες