Α Π Ο Φ Α Σ Η
Παράλειψη γνωστοποίησης μεταβολής των στοιχείων που περιλαμβάνονται
στη Γνωστοποίηση που υποβάλλεται δυνάμει του άρθρου 7(1) του Νόμου 138(Ι)/2001
1. Στις 13 Ιανουαρίου 2003 υποβλήθηκε στο Γραφείο μου από τον κ. Ν.Θ., Πρώτο Λειτουργό Εκπαίδευσης στο Υπουργείο Παιδείας και Πολιτισμού, Γνωστοποίηση σύστασης και λειτουργίας αρχείου / έναρξης επεξεργασίας προσωπικών δεδομένων με ημερομηνία 4 Νοεμβρίου 2002 αναφορικά με τις εισαγωγικές εξετάσεις για τα ανώτερα και ανώτατα εκπαιδευτικά ιδρύματα της Κύπρου και Ελλάδας.
2.1 Στη Γνωστοποίηση η υποβολή της οποίας προβλέπεται στο άρθρο 7(1) του περί Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα (Προστασία του Ατόμου) Νόμου του 2001 («ο Νόμος»), ο κ. Θ. είχε κατονομαστεί ως ο υπεύθυνος επεξεργασίας του πιο πάνω αρχείου.
2.2 Ο υπεύθυνος επεξεργασίας είναι το πρόσωπο που καθορίζει το σκοπό και τον τρόπο επεξεργασίας των προσωπικών δεδομένων (άρθρο 2 του Νόμου) και έχει την ευθύνη να διασφαλίζει ότι τηρούνται οι προϋποθέσεις για νόμιμη επεξεργασία (άρθρο 4(1) του Νόμου) καθώς και η ασφάλεια και το απόρρητο των προσωπικών δεδομένων (άρθρο 10 του Νόμου).
3.1 Σύμφωνα με το εδάφιο (4) του άρθρου 7 του Νόμου τα στοιχεία που δηλώνονται στη Γνωστοποίηση και που αναφέρονται στο εδάφιο (2) αυτού καταχωρίζονται στο Μητρώο Αρχείων και Επεξεργασιών που τηρεί ο Επίτροπος Προστασίας Προσωπικών Δεδομένων.
3.2 Το εδάφιο (5) του άρθρου 7 του Νόμου προβλέπει ότι κάθε μεταβολή των στοιχείων που αναφέρονται στο εδάφιο (2) αυτού πρέπει να γνωστοποιείται εγγράφως και χωρίς καθυστέρηση στον Επίτροπο.
4.1 Κατά ή περί τον Ιούλιο 2008 ύστερα από την υποβολή στο Γραφείο μου παραπόνου σχετικά με ισχυριζόμενη παράνομη χρησιμοποίηση προσωπικών δεδομένων προσώπων που παρακάθισαν στις εισαγωγικές εξετάσεις για τα ανώτερα και ανώτατα εκπαιδευτικά ιδρύματα της Κύπρου και της Ελλάδας, σε τηλεφωνική επικοινωνία που είχε λειτουργός του Γραφείου μου με τον κ. Θ. στον αριθμό τηλεφώνου που αναγράφετο στη Γνωστοποίηση (που φαίνεται ήταν ο αριθμός τηλεφώνου της οικίας του) πληροφορηθήκαμε ότι ο κ. Θ. είχε αφυπηρετήσει.
4.2 Σε μεταγενέστερη τηλεφωνική συνομιλία μας με λειτουργό του Υπουργείου Παιδείας και Πολιτισμού πληροφορηθήκαμε ότι ο κ. Θ. είχε αφυπηρετήσει την 1η Δεκεμβρίου 2005.
5. Ουδεμία γνωστοποίηση για το γεγονός αυτό ούτε γνωστοποίηση για ορισμό άλλου προσώπου ως υπεύθυνου επεξεργασίας του αρχείου που αναφέρεται στην παρ. 1 έχει υποβληθεί μέχρι σήμερα στο Γραφείο μου.
6.1 Σε επιστολή μου προς τη Γενική Διευθύντρια του Υπουργείου Παιδείας και Πολιτισμού με ημερομηνία 23 Ιουλίου 2008 ανέφερα όλα τα πιο πάνω για τα οποία ζήτησα τις απόψεις/θέσεις της.
6.2 Επειδή δεν είχα οποιαδήποτε απάντηση, στις 10 Σεπτεμβρίου 2008 απέστειλα στη Γενική Διευθύντρια του Υπουργείου δεύτερη επιστολή στην οποία ανάφερα ότι υπάρχει εκ πρώτης όψεως παράβαση του άρθρου 7(4) του Νόμου και την κάλεσα και πάλι να εκφέρει τις θέσεις της μέσα σε τρεις εβδομάδες από τη λήψη της επιστολής.
6.3 Η επιστολή της 10ης Σεπτεμβρίου 2008 έχει σταλεί με το χέρι στις 11 του ιδίου μηνός.
6.4 Ούτε σε αυτή την επιστολή υπήρξε οποιαδήποτε απάντηση από τη Γενική Διευθύντρια.7. Στην απουσία υπεύθυνου επεξεργασίας θεωρώ ότι η Γενική Διευθύντρια του Υπουργείου Παιδείας και Πολιτισμού, το οποίο διατηρεί το πιο πάνω αρχείο, είχε την ευθύνη να γνωστοποιήσει στο Γραφείο μου την αφυπηρέτηση του κ. Θ. και να ορίσει άλλο πρόσωπο ως υπεύθυνο επεξεργασίας.
Για όλα όσα αναφέρονται πιο πάνω, βρίσκω ότι υπήρξε παράλειψη γνωστοποίησης της μεταβολής του στοιχείου για τον υπεύθυνο επεξεργασίας που αναφέρεται στη Γνωστοποίηση που έχει υποβληθεί στο Γραφείο μου τον Ιανουάριο του 2003 κατά παράβαση του άρθρου 7(5) του Νόμου και ότι η Γενική Διευθύντρια του Υπουργείου Παιδείας και Πολιτισμού είχε την ευθύνη για αποστολή γνωστοποίησης της μεταβολής αυτής, καθώς και του ορισμού νέου υπεύθυνου επεξεργασίας.
Γι’ αυτό αφού έλαβα υπόψη όλα τα πιο πάνω όπως επίσης και το γεγονός ότι ο υπεύθυνος επεξεργασίας είναι το πρόσωπο το οποίο -
(α) Έχει υποχρέωση να διασφαλίζει ότι τηρούνται οι προϋποθέσεις για τη νόμιμη επεξεργασία των προσωπικών δεδομένων όπως αυτές εκτίθενται στο άρθρο 4(1) του Νόμου, και
(β) Έχει επίσης υποχρέωση να τηρεί το απόρρητο της επεξεργασίας και να λαμβάνει όλα τα κατάλληλα οργανωτικά και τεχνικά μέτρα για την ασφάλεια των δεδομένων και την προστασία τους από, μεταξύ άλλων, απαγορευμένη διάδοση ή πρόσβαση ή κάθε άλλης μορφής αθέμιτης επεξεργασίας,
ασκώντας τις εξουσίες που μου παρέχονται από το άρθρο 25(1) του Νόμου, αποφάσισα όπως επιβάλω στη Γενική Διευθύντρια του Υπουργείου χρηματική ποινή χιλίων πεντακοσίων ευρώ (€1500) για την πιο πάνω παράβαση.
Για την επιμέτρηση της ποινής έλαβα επίσης υπόψη μου το γεγονός ότι η απουσία οποιουδήποτε υπεύθυνου επεξεργασίας του σχετικού αρχείου έχει σαν συνέπεια το γεγονός ότι δεν υπάρχει οποιοδήποτε πρόσωπο το οποίο σύμφωνα με το Νόμο, θα έχει την ευθύνη να διασφαλίζει ότι τηρούνται οι προϋποθέσεις για νόμιμη επεξεργασία, καθώς και το απόρρητο και η ασφάλεια των δεδομένων.
Γούλλα Φράγκου
Επίτροπος Προστασίας Δεδομένων
Προσωπικού Χαρακτήρα
7 Νοεμβρίου 2008