Το Τμήμα Κτηματολογίου και Χωρομετρίας αποκάλυψε προσωπικά δεδομένα της παραπονούμενης σε τρίτο, μη εξουσιοδοτημένο πρόσωπο και συγκεκριμένα τον πρώην σύζυγό της.
Ο Διευθυντής Τμήματος Κτηματολογίου και Χωρομετρίας ισχυρίστηκε ότι η κοινοποίηση των δεδομένων έγινε νόμιμα βάσει του άρθρου 51Α του περί Ακίνητης Ιδιοκτησίας (Διακατοχή, Εγγραφή και Εκτίμηση) Νόμου, Κεφ. 224, με έκδοση πιστοποιητικού έρευνας που δόθηκε σε δικηγόρο που επικαλέστηκε νομική διαδικασία ενώπιον Δικαστηρίου για διευθέτηση εκκρεμοτήτων μεταξύ διαζευγμένων αλλά δεν ήταν σε θέση να εντοπίσει τη σχετική αίτηση που κατατέθηκε από το δικηγόρο, λόγω του τεράστιου αριθμού αιτήσεων για έκδοση πιστοποιητικού έρευνας που αρχειοθετούνται.
Η παραπονούμενη έλαβε γνώση της κοινοποίησης των προσωπικών δεδομένων της στο δικηγόρο του πρώην συζύγου της από επιστολή που της απεύθυνε ο εν λόγω δικηγόρος. Επίσης, το Τμήμα Κτηματολογίου και Χωρομετρίας δεν απήντησε στην επιστολή της με την οποία ουσιαστικά ασκούσε το δικαίωμα πρόσβασης που της παρέχει ο Νόμος 138(Ι)/2001, όπως τροποποιήθηκε, και με το οποίο ζητούσε να πληροφορηθεί από το Τμήμα Κτηματολογίου και Χωρομετρίας για τους αποδέκτες των προσωπικών της δεδομένων.
Η επεξεργασία ευαίσθητων δεδομένων επιτρέπεται όταν αυτή αφορά αποκλειστικά δεδομένα τα οποία είναι αναγκαία για την αναγνώριση ή άσκηση ή υπεράσπιση δικαιώματος ενώπιον Δικαστηρίου. Η διάταξη αυτή, που αναφέρεται σε ευαίσθητα δεδομένα, ισχύει και σε μη ευαίσθητα δεδομένα, όπως περιουσιακά δεδομένα. Στην υπό εξέταση περίπτωση η επεξεργασία των δεδομένων θα μπορούσε να ήταν επιτρεπτή και χωρίς τη συγκατάθεση της παραπονούμενης αν ήταν απαραίτητη για την ικανοποίηση έννομου συμφέροντος του πρώην συζύγου της, υπό την προϋπόθεση ότι το εν λόγω έννομο συμφέρον υπερέχει των δικαιωμάτων, συμφερόντων και θεμελιωδών ελευθεριών της.
Παρόλον που, εκ πρώτης όψεως, φαίνεται ότι η επεξεργασία των δεδομένων θα μπορούσε να ήταν επιτρεπτή, απαιτείται εξειδίκευση του σκοπού της επεξεργασίας και δεν αρκεί η γενική αναφορά της επίκλησης νομικής διαδικασίας ενώπιον δικαστηρίου για διευθέτηση εκκρεμοτήτων μεταξύ των διαζευγμένων και τούτο θα μπορούσε να κριθεί μόνο αν είχε τεθεί ενώπιον της Επιτρόπου η σχετική αίτηση για έκδοση πιστοποιητικού έρευνας. Η αδυναμία εντοπισμού της σχετικής αίτησης δημιουργεί αμφιβολία κατά πόσο ο Διευθυντής του Τμήματος Κτηματολογίου και Χωρομετρίας λαμβάνει τα κατάλληλα οργανωτικά και τεχνικά μέτρα για την ασφάλεια των δεδομένων και την προστασία τους από απαγορευμένη διάδοση ή πρόσβαση ή κάθε άλλη μορφή αθέμιτης επεξεργασίας, ως έχει υποχρέωση εκ του άρθρου 10(3) του Νόμου 138(Ι)/2001, όπως τροποποιήθηκε, ο υπεύθυνος επεξεργασίας, όπως π.χ. μέτρα για την αρχειοθέτηση των σχετικών αιτήσεων κατά τρόπο που να είναι δυνατός ο εντοπισμός τους και έκδοση σχετικών οδηγιών προς το προσωπικό του Τμήματος.
Η Επίτροπος απηύθυνε αυστηρή προειδοποίηση στο Διευθυντή Τμήματος Κτηματολογίου και Χωρομετρίας για τη λήψη των κατάλληλων οργανωτικών και τεχνικών μέτρων για την ασφάλεια των δεδομένων και την προστασία τους, μέσα σε έξι μήνες από την ημερομηνία της απόφασής της. Επιπρόσθετα, ανεξάρτητα από τη νομιμότητα της κοινοποίησης των προσωπικών δεδομένων της παραπονούμενης στο δικηγόρο του πρώην συζύγου της, ο Διευθυντής του Τμήματος Κτηματολογίου και Χωρομετρίας, ως ο υπεύθυνος επεξεργασίας, όφειλε κατά την ανακοίνωση των δεδομένων να την είχε ενημερώσει, πράγμα που δεν έπραξε, κατά παράβαση του άρθρου 11(1)(3) του Νόμου 138(Ι)/2001, όπως τροποποιήθηκε. Για την παράβαση αυτή η Επίτροπος επέβαλε τη χρηματική ποινή των €500.
ΑΠΟΦΑΣΗ
Αυτεπάγγελτη έρευνα για παράνομη αποκάλυψη/κοινοποίηση προσωπικών δεδομένων από το Τμήμα Κτηματολογίου σε τρίτο μη εξουσιοδοτημένο πρόσωπο
Ο κύριος Γ. Μ., με επιστολή του προς το Διευθυντή Τμήματος Κτηματολογίου και Χωρομετρίας με ημερομηνία 26/2/2009, την οποία κοινοποίησε, μεταξύ άλλων, και σε εμένα, κατάγγειλε παράνομη αποκάλυψη/κοινοποίηση προσωπικών δεδομένων της θυγατέρας του κυρίας Η. Μ. από το Τμήμα Κτηματολογίου σε τρίτο μη εξουσιοδοτημένο πρόσωπο, τον πρώην σύζυγο της.
2.1. Ο υπεύθυνος επεξεργασίας έχει την, εκ του άρθρου 4(1)(α)(β) των περί Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα Νόμων του 2001 και του 2003 (Ν.138(Ι)/2001 και Ν.37(Ι)/2003), υποχρέωση να διασφαλίζει ότι τα δεδομένα προσωπικού χαρακτήρα υφίστανται θεμιτή και νόμιμη επεξεργασία και συλλέγονται για προσδιορισμένους, σαφείς και νόμιμους σκοπούς και δεν υφίστανται μεταγενέστερη επεξεργασία ασυμβίβαστη με τους σκοπούς αυτούς.
2.2. Η επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται όταν το υποκείμενο των δεδομένων έχει δώσει τη ρητή συγκατάθεση του (άρθρο 5(1) του Νόμου). Επεξεργασία δεδομένων επιτρέπεται και χωρίς τη συγκατάθεση του υποκειμένου των δεδομένων όταν συντρέχουν μία ή περισσότερες από τις προϋποθέσεις του εδαφίου (2) του άρθρου 5 του Νόμου, όπως όταν η επεξεργασία είναι απαραίτητη για την εκπλήρωση υποχρεώσεως του υπεύθυνου επεξεργασίας η οποία επιβάλλεται από νόμο ή/και όταν η επεξεργασία είναι απαραίτητη για την ικανοποίηση του έννομου συμφέροντος που επιδιώκει τρίτος στον οποίο ανακοινώνονται τα δεδομένα υπό τον όρο ότι τούτο υπερέχει των δικαιωμάτων, συμφερόντων και θεμελιωδών ελευθεριών του υποκειμένου των δεδομένων.
2.3. Επίσης, βάσει του άρθρου 11(1)(3) του Νόμου, ο υπεύθυνος επεξεργασίας οφείλει κατά την ανακοίνωση των δεδομένων σε τρίτο να ενημερώσει το υποκείμενο των δεδομένων.
3. Βάσει της αρμοδιότητας που μου παρέχει η παράγραφος (η) του άρθρου 23 του Νόμου, προχώρησα στη διεξαγωγή αυτεπάγγελτης έρευνας, σχετικά με την εκ πρώτης όψεως παράνομη αποκάλυψη/κοινοποίηση προσωπικών δεδομένων.
4. Σε απάντηση σχετικής επιστολής μου, ο Διευθυντής Τμήματος Κτηματολογίου και Χωρομετρίας, με επιστολή του με Αρ. Φακ. Κ.Χ.Τ. 5.19.13 και ημερομηνία 15/6/2009, με πληροφόρησε ότι η κοινοποίηση των δεδομένων έγινε νόμιμα βάσει του άρθρου 51Α του περί Ακίνητης Ιδιοκτησίας (Διακατοχή, Εγγραφή και Εκτίμηση) Νόμου, Κεφ. 224, με έκδοση πιστοποιητικού έρευνας που δόθηκε σε δικηγόρο που επικαλέστηκε νομική διαδικασία ενώπιον δικαστηρίου για διευθέτηση εκκρεμοτήτων μεταξύ διαζευγμένων, αλλά δεν ήταν σε θέση να εντοπίσει τη σχετική αίτηση που κατατέθηκε από το δικηγόρο, λόγω του τεράστιου αριθμού αιτήσεων για έκδοση πιστοποιητικού έρευνας που αρχειοθετούνται.
5. Ο εξουσιοδοτημένος από τη θυγατέρα του/παραπονούμενη κύριος Γ. Μ., με επιστολή του με ημερομηνία 30/7/2009, με πληροφόρησε ότι η θυγατέρα του έλαβε γνώση της κοινοποίησης των προσωπικών δεδομένων της από το Τμήμα Κτηματολογίου και Χωρομετρίας στο δικηγόρο του πρώην συζύγου της, από επιστολή που της απεύθυνε ο εν λόγω δικηγόρος. Επίσης, με πληροφόρησε ότι το Τμήμα Κτηματολογίου και Χωρομετρίας δεν απάντησε στην επιστολή του με ημερομηνία 26/2/2009. Βάσει του άρθρου 12 του Νόμου, «καθένας έχει δικαίωμα να γνωρίζει αν δεδομένα προσωπικού χαρακτήρα που τον αφορούν, αποτελούν ή αποτέλεσαν αντικείμενο επεξεργασίας» (Δικαίωμα Πρόσβασης). «Προς τούτο, ο υπεύθυνος επεξεργασίας έχει υποχρέωση να του απαντήσει εγγράφως. Το υποκείμενο των δεδομένων έχει δικαίωμα να ζητεί και να λαμβάνει από τον υπεύθυνο επεξεργασίας, χωρίς υπερβολική καθυστέρηση και δαπάνη, πληροφορίες ως προς όλα τα δεδομένα προσωπικού χαρακτήρα που το αφορούν, τα οποία έχουν υποστεί επεξεργασία…, τους σκοπούς της επεξεργασίας, τους αποδέκτες…».
6. Η επεξεργασία ευαίσθητων δεδομένων επιτρέπεται όταν αυτή αφορά αποκλειστικά δεδομένα τα οποία είναι αναγκαία για την αναγνώριση ή άσκηση ή υπεράσπιση δικαιώματος ενώπιον δικαστηρίου (άρθρο 6(2)(ε) του Νόμου). Η διάταξη αυτή, που αναφέρεται σε ευαίσθητα δεδομένα, ισχύει και σε μη ευαίσθητα δεδομένα, όπως περιουσιακά δεδομένα. Στην υπό εξέταση περίπτωση, η επεξεργασία των δεδομένων θα μπορούσε να ήταν επιτρεπτή και χωρίς τη συγκατάθεση της κυρίας Η. Μ. αν ήταν απαραίτητα για την ικανοποίηση έννομου συμφέροντος του πρώην συζύγου της, υπό τον όρο ότι το εν λόγω έννομο συμφέρον υπερέχει των δικαιωμάτων, συμφερόντων και θεμελιωδών ελευθεριών της (άρθρο 5(2)(ε) του Νόμου). Παρόλο που εκ πρώτης όψεως φαίνεται ότι η επεξεργασία των δεδομένων θα μπορούσε να ήταν επιτρεπτή, απαιτείται εξειδίκευση του σκοπού της επεξεργασίας και δεν αρκεί η γενική αναφορά της επίκλησης νομικής διαδικασίας ενώπιον δικαστηρίου για διευθέτηση εκκρεμοτήτων μεταξύ των διαζευγμένων και τούτο θα μπορούσε να κριθεί μόνο αν είχε τεθεί ενώπιον μου η σχετική αίτηση για έκδοση πιστοποιητικού έρευνας. Η αδυναμία εντοπισμού της σχετικής αίτησης δημιουργεί αμφιβολία κατά πόσον ο Διευθυντής του Τμήματος Κτηματολογίου και Χωρομετρίας λαμβάνει τα κατάλληλα οργανωτικά και τεχνικά μέτρα για την ασφάλεια των δεδομένων και την προστασία τους από απαγορευμένη διάδοση ή πρόσβαση ή κάθε άλλη μορφή αθέμιτης επεξεργασίας, ως έχει υποχρέωση εκ του άρθρου 10(3) του Νόμου ο υπεύθυνος επεξεργασίας, όπως π.χ. μέτρα για την αρχειοθέτηση των σχετικών αιτήσεων με τρόπο που να είναι δυνατός ο εντοπισμός τους και έκδοση σχετικών οδηγιών προς το προσωπικό του Τμήματος.
7. Αφού έλαβα υπόψη τις εξηγήσεις του Διευθυντή Τμήματος Κτηματολογίου και Χωρομετρίας, περιορίζομαι στο να απευθύνω αυστηρή προειδοποίηση με βάση το άρθρο 25(1)(α) του Νόμου 138(Ι)/2001 για τη λήψη των κατάλληλων οργανωτικών και τεχνικών μέτρων για την ασφάλεια των δεδομένων και την προστασία τους μέσα σε έξι μήνες από την ημερομηνία της παρούσας Απόφασης.
8. Επιπρόσθετα, ανεξάρτητα από τη νομιμότητα της κοινοποίησης των προσωπικών δεδομένων της κυρίας Η. Μ. στο δικηγόρο του πρώην συζύγου της, ο Διευθυντής του Τμήματος Κτηματολογίου και Χωρομετρίας, ως ο υπεύθυνος επεξεργασίας όφειλε κατά την ανακοίνωση των δεδομένων να την είχε ενημερώσει, πράγμα που δεν έπραξε, κατά παράβαση της εκ του άρθρου 11(1)(3) του Νόμου υποχρέωσης του και για την παράβαση αυτή επιβάλλω τη χρηματική ποινή των €500 (πεντακοσίων ευρώ).
Γούλλα Φράγκου
Επίτροπος Προστασίας Δεδομένων
Προσωπικού Χαρακτήρα
9 Σεπτεμβρίου 2009