Tο Σεπτέμβριο του 2007 υποβλήθηκε καταγγελία σχετικά με την απαίτηση εταιρείας παροχής τηλεπικοινωνιακών υπηρεσιών ότι, προκειμένου να συμβληθεί με αυτήν ο παραπονούμενος, αυτός υποχρεώθηκε να προσκομίσει φωτοαντίγραφο του δελτίου ταυτότητάς του. Ο καταγγέλλων αμφισβήτησε την πρακτική αυτή της εταιρείας προβάλλοντας αφενός μεν τον ισχυρισμό ότι αρκούσε για το συγκεκριμένο σκοπό (επιβεβαίωση της ταυτότητάς του) η απλή παρουσίαση του δελτίου ταυτότητας στον υπάλληλο της εταιρείας, αφετέρου δε ότι η εν λόγω πρακτική αντίκειται στον Νόμο 138(Ι)/2001, όπως τροποποιήθηκε.
Η εταιρεία ισχυρίστηκε ότι η συλλογή και επεξεργασία των φωτοαντιγράφων των δελτίων ταυτότητας των πελατών της είναι απαραίτητη για σκοπούς επιβεβαίωσης της ταυτότητας των πελατών / υποψηφίων πελατών, καθώς και την αποφυγή καταχώρησης εσφαλμένων / ανακριβών πληροφοριών.
Η Επίτροπος έκρινε ότι ένα δελτίο ταυτότητας περιλαμβάνει πολύ περισσότερα στοιχεία από όσα η εταιρεία πραγματικά χρειάζεται για τους πιο πάνω σκοπούς και ότι οι σκοποί αυτοί θα μπορούσαν να επιτευχθούν και χωρίς τη συλλογή και διατήρηση των φωτοαντιγράφων των δελτίων ταυτότητας των πελατών με την απλή επίδειξη του δελτίου ταυτότητας για σκοπούς επιβεβαίωσής της.
Δεδομένης της κατάληξης αυτής, η Επίτροπος κάλεσε την εταιρεία όπως, μέσα σε δύο μήνες από την παραλαβή της Απόφασης, τερματίσει την πρακτική συλλογής και επεξεργασίας του φωτοαντιγράφου του δελτίου ταυτότητας των πελατών /υποψήφιων πελατών της και να καταστρέψει όλα τα φωτοαντίγραφα που έχει ήδη στην κατοχή της.
Ακολούθως είχε σχετική επικοινωνία με το Γραφείο του Επιτρόπου Ρυθμίσεως Ηλεκτρονικών Επικοινωνιών και Ταχυδρομείων (ΕΡΗΕΤ), απ’ όπου ενημερώθηκε ότι όλοι οι πάροχοι τηλεπικοινωνιακών υπηρεσιών συνέλεγαν και διατηρούσαν το φωτοαντίγραφο του δελτίου ταυτότητας σύμφωνα με Πίνακα των περί Φορητότητας Κανονισμών που είχε εκδώσει το Γραφείο αυτό. Ωστόσο, συμφώνησαν με τις θέσεις της Επιτρόπου, όπως είχαν διατυπωθεί στην πιο πάνω Απόφαση, και αποφάσισαν να μεριμνήσουν το συντομότερο ώστε να τροποποιηθούν οι σχετικοί Κανονισμοί με απώτερο σκοπό να μην αντίκεινται στον Νόμο 138(Ι)/2001, όπως τροποποιήθηκε.
Οι περί Φορητότητας Κανονισμοί τροποποιήθηκαν με σχετική Απόφαση του ΕΡΗΕΤ ημερομηνίας 22/5/2009 και έχει απαλειφθεί από την Αίτηση Φορητότητας το στοιχείο «αντίγραφο ταυτότητας».
Περί το Νοέμβριο του 2009, για σκοπούς ενιαίας και ομοιόμορφης εφαρμογής του Νόμου, η Επίτροπος απηύθυνε επιστολή προς όλους τους πάροχους τηλεπικοινωνιακών υπηρεσιών, τους οποίους ενημέρωσε σχετικά με την Απόφαση της, τη σχετική τροποποίηση των Κανονισμών του ΕΡΗΕΤ, και τους κάλεσε μέσα σε χρονική περίοδο ενός έτους να καταστρέψουν όλα τα φωτοαντίγραφα των δελτίων ταυτότητας που είχαν συλλέξει και διατηρούσαν στα αρχεία τους.
ΑΠΟΦΑΣΗ 72/2007
Συλλογή και επεξεργασία υπερβολικών προσωπικών δεδομένων
Υποβλήθηκε στις 28 Σεπτεμβρίου 2007 στο Γραφείο μου καταγγελία από τον κ. Κ.Τ σχετικά με την απαίτηση της εταιρείας ΜΤΝ όπως προκειμένου να συμβληθεί με αυτήν προσκομίσει φωτοαντίγραφο του δελτίου ταυτότητάς του. Ο καταγγέλλων αμφισβήτησε την πρακτική αυτή της εταιρείας προβάλλοντας αφενός μεν τον ισχυρισμό ότι αρκούσε για το συγκεκριμένο σκοπό (επιβεβαίωση της ταυτότητάς του) η απλή παρουσίαση του δελτίου ταυτότητας στον υπάλληλο της εταιρείας και αφετέρου δε ότι η εν λόγω πρακτική αντίκειται στον περί Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα (Προστασία του Ατόμου) Νόμο του 2001, (ο Νόμος).
Ακολούθως με την επιστολή μου ημερομηνίας 14/11/2007 έθεσα υπόψην της εταιρείας τους ισχυρισμούς του καταγγέλλοντος στο πλαίσιο της εξέτασης/διερεύνησης της πιο πάνω καταγγελίας και ανέμενα τις θέσεις της επί της ουσίας του θέματος, τις οποίες τελικά έλαβα περί τις 8 Ιουλίου 2008 μετά από αρκετές υπενθυμίσεις.
Στην πρώτη επιστολή μου έθεσα υπόψη της εταιρείας μεταξύ άλλων και τα ακόλουθα:
“Σύμφωνα με την αρχή της αναλογικότητας όπως προνοείται στον πιο πάνω Νόμο και συγκεκριμένα τις διατάξεις του άρθρου 4(1)(γ) «ο υπεύθυνος επεξεργασίας διασφαλίζει ότι τα δεδομένα είναι συναφή, πρόσφορα και όχι περισσότερα από ότι κάθε φορά απαιτείται ενόψει των σκοπών της επεξεργασίας».
Το δελτίο ταυτότητας περιλαμβάνει προσωπικά δεδομένα και μάλιστα κάποια από αυτά ευαίσθητα όπως η καταγωγή/εθνικότητα.
Έχω μελετήσει τους λόγους τους οποίους η εταιρεία εξέθεσε για να υποστηρίξει ότι θεωρεί απαραίτητη τη συλλογή και επεξεργασία αντιγράφων των δελτίων ταυτότητας των πελατών της οι οποίοι μπορούν να συνοψιστούν στους ακόλουθους:
α) Για σκοπούς επιβεβαίωσης της ταυτότητας των υποψηφίων πελατών οι οποίοι προτίθενται να συμβληθούν με την εταιρεία σας,
β) για αποφυγή καταχώρησης λανθασμένων και/ή ανακριβών πληροφοριών κατά τη συμπλήρωση των συμβολαίων δεδομένου ότι το δελτίο ταυτότητας του κάθε πολίτη συνιστά τον πιο ακριβή και αποτελεσματικό τρόπο συλλογής και καταχώρησης ορθών και ενημερωμένων πληροφοριών,
γ) για σκοπούς διεκπεραίωσης αιτημάτων παραλαβής αναλυτικών λογαριασμών ένεκα της εμπιστευτικής φύσης της εν λόγω υπηρεσίας αφού χωρίς το δελτίο ταυτότητας δεν είναι δυνατή η επιβεβαίωση ότι ο αιτητής είναι ο ιδιοκτήτης του λογαριασμού, και
δ) η αποθήκευση των φωτοαντιγράφων των δελτίων ταυτότητας των πελατών είναι απαραίτητη μόνο ως προϋπόθεση παροχής υπηρεσιών στους πελάτες, ενώ τα δεδομένα αυτά δεν τυγχάνουν άλλης επεξεργασίας παρά μόνο στην περίπτωση που ο πελάτης υποβάλει αίτηση για να λαμβάνει αναλυτικό λογαριασμό,
και έχω καταλήξει στα πιο κάτω:
Αναφορικά με όλους τους λόγους που έχουν αναφερθεί και οι οποίοι εκτίθενται στην προηγούμενη παράγραφο έχω την άποψη ότι όλες οι περιπτώσεις θα μπορούσαν να ικανοποιηθούν με μόνη την παρουσίαση του δελτίου ταυτότητας των υποψήφιων πελατών κατά τη σύναψη της σύμβασης με την εταιρεία, τόσο για σκοπούς επιβεβαίωσης της ταυτότητας τους, αποφυγή καταχώρησης ανακριβών πληροφοριών στο αρχείο πελατών της εταιρείας όσο και για σκοπούς διεκπεραίωσης αιτημάτων παραλαβής αναλυτικών λογαριασμών από τους πελάτες της εταιρείας.
Κατά την παρουσίαση του δελτίου ταυτότητας ο αρμόδιος υπάλληλος της εταιρείας θα είναι σε θέση να επιβεβαιώσει τα στοιχεία ταυτότητας του υποψήφιου πελάτη καθώς επίσης και την ακρίβεια / ορθότητα των πληροφοριών που περιλαμβάνει η αίτηση που συμπληρώνει ο υποψήφιος πελάτης και να προβεί στις απαραίτητες διορθώσεις που τυχόν προκύψουν, ενώ περαιτέρω κατά τον πιο πάνω τρόπο θα μπορεί να επιβεβαιώσει ότι ο αιτητής για παραλαβή αναλυτικού λογαριασμού είναι πράγματι ο ιδιοκτήτης του λογαριασμού.
Καταλήγοντας αναφορικά με τον υπό αναφορά (δ) ισχυρισμό ότι τα συλλεχθέντα και αποθηκευθέντα δελτία ταυτότητας των πελατών είναι απαραίτητα μόνο αρχικά, με σκοπό τη πραγματοποίηση της σύμβασης ενώ στη συνέχεια δεν τυγχάνουν οποιασδήποτε επεξεργασίας με μόνη εξαίρεση τα αιτήματα παροχής αναλυτικών λογαριασμών για σκοπούς επιβεβαίωσης της ταυτότητας του αιτητή, ότι πράγματι πρόκειται για τον ιδιοκτήτη του λογαριασμού, θα ήθελα να επισημάνω σύμφωνα με τις διατάξεις του Νόμου και συγκεκριμένα αυτές του άρθρου 2 αυτού, «επεξεργασία δεδομένων» περιλαμβάνει την αποθήκευση ακόμη και την απλή διατήρηση των δεδομένων.
Ενόψει όσων έχουν αναφερθεί πιο πάνω έχω τη γνώμη ότι οι λόγοι που έχουν προβληθεί από την εταιρεία για υποστήριξη της θέσης της ότι η συλλογή και επεξεργασία των φωτοαντιγράφων των δελτίων ταυτότητας των πελατών της είναι απαραίτητη για σκοπούς επιβεβαίωσης της ταυτότητας των πελατών / υποψηφίων πελατών καθώς και την αποφυγή καταχώρησης εσφαλμένων / ανακριβών πληροφοριών δεν ευσταθούν και ότι έχει παραβιαστεί η αρχή της αναλογικότητας όπως αυτή εκτίθεται στο άρθρο 4(1)(γ) του Νόμου, σύμφωνα με την οποία «ο υπεύθυνος επεξεργασίας διασφαλίζει ότι τα δεδομένα είναι συναφή, πρόσφορα και όχι περισσότερα από ότι κάθε φορά απαιτείται ενόψει των σκοπών της επεξεργασίας», δεδομένου ότι αφενός μεν ένα δελτίο ταυτότητας περιλαμβάνει πολύ περισσότερα στοιχεία από όσα η εταιρεία πραγματικά χρειάζεται για τους πιο πάνω σκοπούς, αφετέρου δε ότι οι πιο πάνω σκοποί θα μπορούσαν να επιτευχθούν και χωρίς τη συλλογή και διατήρηση των φωτοαντιγράφων των δελτίων ταυτότητας των πελατών με την απλή επίδειξη του δελτίου ταυτότητας για σκοπούς επιβεβαίωσης της ταυτότητας των υποψηφίων πελατών /πελατών της εταιρείας.
Δεδομένης της κατάληξής μου αυτής και με βάση τις εξουσίες που μου χορηγούν οι διατάξεις του άρθρου 25(1)(α) και 25(1)(ε) του Νόμου καλείστε όπως μέσα σε δύο μήνες από την παραλαβή της παρούσας Απόφασης σταματήσετε να συλλέγετε και επεξεργάζεστε το φωτοαντίγραφο του δελτίου ταυτότητας των πελατών /υποψήφιων πελατών σας και, όπως καταστρέψετε τα πιο πάνω φωτοαντίγραφα που έχετε ήδη συλλέξει.
Καλείστε όπως με ενημερώσετε για τις σχετικές ενέργειές σας κατά την εκπνοή της πιο πάνω προθεσμίας.
Γούλλα Φράγκου
Επίτροπος Προστασίας Δεδομένων
Προσωπικού Χαρακτήρα.
ΛΕΥΚΩΣΙΑ, 12 Ιανουαρίου 2009