Α Π Ο Φ Α Σ Η
Παράλειψη υποβολής Γνωστοποίησης
Ο περί Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα (Προστασία του Ατόμου) Νόμος του 2001 δημοσιεύθηκε στην Επίσημη Εφημερίδα της Δημοκρατίας στις 23/11/2001 (στη συνέχεια θα αναφέρεται ως «ο Νόμος»).
Το άρθρο 7(1) του Νόμου προβλέπει ότι ο υπεύθυνος επεξεργασίας υποχρεούται να γνωστοποιήσει εγγράφως στον Επίτροπο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (που στο εξής θα αναφέρεται ως «ο Επίτροπος») τη σύσταση και λειτουργία αρχείου ή την έναρξη επεξεργασίας.
«Υπεύθυνος επεξεργασίας» ορίζεται στο άρθρο 2 του Νόμου, ως το πρόσωπο που καθορίζει το σκοπό και τον τρόπο επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Υπεύθυνος επεξεργασίας μπορεί να είναι νομικό ή φυσικό πρόσωπο.
Το εδάφιο (6) του άρθρου 7 του Νόμου προβλέπει για τις περιπτώσεις όπου ο υπεύθυνος επεξεργασίας απαλλάσσεται από την υποχρέωση υποβολής Γνωστοποίησης.
Το εδάφιο (6) έχει ως εξής:
«Ο υπεύθυνος επεξεργασίας απαλλάσσεται από την υποχρέωση γνωστοποίησης δυνάμει του εδαφίου (1) στις περιπτώσεις όπου:-
(α) Η επεξεργασία πραγματοποιείται αποκλειστικά για σκοπούς που συνδέονται άμεσα με τη σχέση εργασίας ή έργου και είναι αναγκαία για την εκπλήρωση υποχρέωσης που επιβάλλει ο νόμος ή για την εκτέλεση της σύμβασης και το υποκείμενο των δεδομένων έχει προηγουμένως ενημερωθεί,
(β) η επεξεργασία αφορά πελάτες ή προμηθευτές, του υποκειμένου των δεδομένων εφόσον τα δεδομένα δε διαβιβάζονται ούτε κοινοποιούνται σε τρίτους.
Για την εφαρμογή της παρούσας διάταξης, τα δικαστήρια και οι δημόσιες αρχές δε λογίζονται ως τρίτοι, εφόσον τη διαβίβαση ή κοινοποίηση επιβάλλει νόμος ή δικαστική απόφαση.
Δεν απαλλάσσονται από την υποχρέωση γνωστοποίησης οι ασφαλιστικές εταιρείες για όλους τους κλάδους ασφάλισης, οι φαρμακευτικές εταιρείες εμπορίας πληροφοριών και τα χρηματοπιστωτικά ιδρύματα, όπως οι τράπεζες και οι εταιρείες έκδοσης πιστωτικών καρτών,
(γ) η επεξεργασία γίνεται από ίδρυμα, σωματείο, εταιρεία ή πολιτικά κόμματα και αφορά δεδομένα των μελών τους, εφόσον τα μέλη αυτά έχουν δώσει τη συγκατάθεσή τους και τα δεδομένα δε διαβιβάζονται ούτε κοινοποιούνται σε τρίτους.
Δε λογίζονται τρίτοι τα μέλη εφόσον η διαβίβαση γίνεται προς αυτούς για τους σκοπούς των πιο πάνω ιδρυμάτων, σωματείων, εταιρειών ή πολιτικών κομμάτων, ούτε τα δικαστήρια και οι δημόσιες αρχές, εφόσον τη διαβίβαση επιβάλλει νόμος ή δικαστική απόφαση,(δ) η επεξεργασία γίνεται από ιατρούς ή άλλα πρόσωπα που παρέχουν υπηρεσίες υγείας και αφορά ιατρικά δεδομένα, εφόσον ο υπεύθυνος επεξεργασίας δεσμεύεται από το ιατρικό απόρρητο ή άλλο απόρρητο που προβλέπει νόμος ή κώδικας δεοντολογίας και τα δεδομένα δε διαβιβάζονται ούτε κοινοποιούνται σε τρίτους.
Δεν εμπίπτουν στην απαλλαγή της παρούσας διάταξης τα πρόσωπα που παρέχουν υπηρεσίες υγείας, όπως κλινικές, νοσοκομεία, κέντρα υγείας, κέντρα αποθεραπείας και αποτοξίνωσης, ασφαλιστικά ταμεία και ασφαλιστικές εταιρείες, καθώς και οι υπεύθυνοι επεξεργασίας δεδομένων προσωπικού χαρακτήρα όταν η επεξεργασία διεξάγεται στο πλαίσιο προγραμμάτων τηλεϊατρικής ή παροχής ιατρικών υπηρεσιών μέσω δικτύου,
(ε) η επεξεργασία γίνεται από δικηγόρους και αφορά την παροχή νομικών υπηρεσιών προς πελάτες τους, εφόσον ο υπεύθυνος επεξεργασίας δεσμεύεται από υποχρέωση απορρήτου που προβλέπει νόμος και τα δεδομένα δε διαβιβάζονται ούτε κοινοποιούνται σε τρίτους, εκτός από τις περιπτώσεις που αυτό είναι αναγκαίο και συνδέεται άμεσα με την εκπλήρωση εντολής του πελάτη.»
Ο Νόμος προβλέπει επίσης, στο άρθρο 28(1) αυτού, ότι οι υπεύθυνοι επεξεργασίας αρχείων που λειτουργούσαν κατά την έναρξη ισχύος του Νόμου καθώς και υπεύθυνοι επεξεργασίας που εκτελούσαν επεξεργασία κατά την έναρξη ισχύος του, υποχρεούνται να υποβάλουν την από το άρθρο 7 προβλεπόμενη γνωστοποίηση μέσα σε έξι μήνες από το διορισμό του Επιτρόπου.
Ο Επίτροπος διορίστηκε από το Υπουργικό Συμβούλιο για περίοδο 4 χρόνων από την 1η Μαρτίου 2002.
Ο Νόμος εφαρμόζεται στην εν όλω ή εν μέρει αυτοματοποιημένη επεξεργασία προσωπικών δεδομένων, καθώς και στη μη αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονται ή πρόκειται να περιληφθούν σε αρχείο.
Στις 8 Μαίου 2002 απέστειλα επιστολή στην Ένωση Δήμων με την οποία την πληροφορούσα για τις σχετικές με την υποβολή Γνωστοποίησης διατάξεις του Νόμου, η δε Ένωση Δήμων με επιστολή της ημερομ. 23 Μαίου 2002 ενημέρωσε σχετικά όλους τους Δήμους.
Επειδή ο Δήμος Έγκωμης δεν υπόβαλε οποιαδήποτε Γνωστοποίηση, απέστειλα σχετικές επιστολές στις 28 Μαίου 2004 και 7 Ιουλίου 2004, στις οποίες όμως δεν υπήρξε ανταπόκριση.
Στις 7 Σεπτεμβρίου απεστάλη συστημένη επιστολή στο Δήμο Έγκωμης στην οποία ανάφερα ότι εκ πρώτης όψεως φαίνεται ότι υπήρξε παράβαση του άρθρου 7 του Νόμου και τον καλούσα όπως μέσα σε τρεις εβδομάδες από τη λήψη της επιστολής, αναφέρει οποιοδήποτε λόγο για τον οποίο πιστεύει ότι δεν πρέπει να επιβληθεί στο Δήμο οποιαδήποτε από τις ποινές/κυρώσεις που προβλέπονται στο άρθρο 25 του Νόμου.
Μέχρι σήμερα δεν πήρα οποιαδήποτε απάντηση στην τελευταία επιστολή μου, ούτε έχει υποβληθεί οποιαδήποτε Γνωστοποίηση.
Το άρθρο 25 του Νόμου προβλέπει ότι ο Επίτροπος μπορεί να επιβάλει στους υπεύθυνους επεξεργασίας τις διοικητικές κυρώσεις που αναφέρονται στο εδάφιο (1) αυτού για παράβαση των υποχρεώσεών τους που απορρέουν από το Νόμο.
Το εδάφιο (2) του ίδιου άρθρου προβλέπει ότι οι διοικητικές κυρώσεις που αναφέρονται στις παραγράφους (β), (γ), (δ) και (ε) του εδαφίου (1) επιβάλλονται ύστερα από ακρόαση του υπεύθυνου επεξεργασίας ή εκπροσώπου του και είναι ανάλογες με τη βαρύτητα της παράβασης που καταλογίζεται.
Η παρ. (β) του εδαφίου (1) προβλέπει για τη δυνατότητα επιβολής χρηματικής ποινής μέχρι £5.000.
Έχοντας υπόψη τα πιο πάνω καθώς και τις αρμοδιότητες των Δήμων, μεταξύ των οποίων είναι η επιβολή τελών και φόρων και η χορήγηση αδειών, θεωρώ ότι ο Δήμος Έγκωμης εκτελεί επεξεργασία προσωπικών δεδομένων / διατηρεί αρχεία με προσωπικά δεδομένα και λόγω της φύσεως των αρμοδιοτήτων του που αναφέρονται πιο πάνω, οι επεξεργασίες αυτές δεν εμπίπτουν σε οποιαδήποτε από τις περιπτώσεις όπου ο υπεύθυνος επεξεργασίας απαλλάττεται από την υποχρέωση για την υποβολή Γνωστοποίησης και συνεπώς ο Δήμος Έγκωμης όφειλε να υποβάλει Γνωστοποίηση/Γνωστοποιήσεις για τη λειτουργία αρχείων/εκτέλεση επεξεργασίας, η δε παράλειψή του αυτή συνιστά παράβαση του άρθρου 7(1) του Νόμου.
Η υποβολή της Γνωστοποίησης στόχο έχει τη διασφάλιση της δημοσιότητας των σκοπών της επεξεργασίας και των κύριων χαρακτηριστικών της, δεδομένου ότι οι Γνωστοποιήσεις που υποβάλλονται στην Επίτροπο περιλαμβάνονται/καταχωρούνται στο Μητρώο Αρχείων και Επεξεργασιών που τηρείται δυνάμει του άθρου 24(1) του Νόμου και το οποίο είναι προσβάσιμο στο κοινό. Αποτελεί επίσης και την κύρια πηγή των πληροφοριών με βάση τις οποίες διαπιστώνεται αν η συγκεκριμένη επεξεργασία είναι νόμιμη και σύμφωνη με τις διατάξεις του Νόμου.
Γι’ αυτό ασκώντας τις εξουσίες που μου παρέχει το άρθρο 25(1) του Νόμου στην απουσία υποβολής, από το Δήμο Έγκωμης, οποιουδήποτε λόγου ο οποίος θα δικαιολογούσε τη μέχρι σήμερα παράλειψη υποβολής των προβλεπόμενων από το Νόμο Γνωστοποιήσεων και/ή της μη επιβολής οποιασδήποτε ποινής/κυρώσεως εναντίον του και λαμβάνοντας υπόψη τη φύση της συγκεκριμένης παράβασης, επιβάλλω στο Δήμο Έγκωμης χρηματική ποινή πεντακοσίων λιρών (£500).
Γούλλα Φράγκου,
Επίτροπος Προστασίας Δεδομένων
Προσωπικού Χαρακτήρα.
4 Νοεμβρίου 2004