Υποχρέωση καταστροφής δεδομένων προσωπικού χαρακτήρα από τους νόμιμους επεξεργαστές αυτών μετά από ορισμένο χρονικό διάστημα
Ο νόμος 2472/1997 περί προστασίας του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα, όπως ισχύει, περιλαμβάνει διατάξεις που σκοπό έχουν τη διατήρηση για ορισμένο χρονικό διάστημα δεδομένων που παράγονται ή τυγχάνουν επεξεργασίας από τους παρόχους διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών ή δημοσίων δικτύων.
Σύμφωνα με το άρθρο 4 παρ. 1δ, τα δεδομένα προσωπικού χαρακτήρα για να τύχουν νόμιμης επεξεργασίας πρέπει να διατηρούνται σε μορφή που να επιτρέπει τον προσδιορισμό της τουτότητας των υποκειμένων τους μόνο κατά τη διάρκεια της περιόδου που απαιτείται, κατά την κρίση της Αρχής, για την πραγματοποίηση των σκοπών της συλλογής τους και της επεξεργασίας τους, μετά πρέπει να καταστρέφονται. Μετά την παρέλευση της περιόδου αυτής, η Αρχή μπορεί, με αιτιολογημένη απόφασή της, να επιτρέπει τη διατήρηση δεδομένων προσωπικού χαρακτήρα για ιστορικούς, επιστημονικούς ή στατιστικούς σκοπούς, εφόσον κρίνει ότι δεν θίγονται σε κάθε συγκεκριμένη περίπτωση τα δικαιώματα των υποκειμένων τους ή και τρίτων.
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα («Αρχή»), με την υπ’ αρ. 1/2005 οδηγία της, δεδομένου ότι βάσει του άρθρου 10 του ανωτέρω νόμου πρέπει να λαμβάνονται όλα τα οργανωτικά και τεχνικά μέτρα για την ασφάλεια των δεδομένων και την προστασία του από τυχαία ή αθέμιτη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευμένη διάδοση ή πρόσβαση και κάθε άλλη μορφή αθέμιτης επεξεργασίας, προσδιόρισε τη διαδικασία καταστροφής των δεδομένων αυτών μετά το πέρας της περιόδου που απαιτείται για την πραγματοποίηση του σκοπού της επεξεργασίας. Η οδηγία ορίζει ότι ανάλογα με το μέσο που χρησιμοποιείται για την τήρηση και την περαιτέρω επεξεργασία τους, διακρίνονται οι παρακάτω τύποι προσωπικών δεδομένων προς καταστροφή:
• Προσωπικά δεδομένα σε έντυπη μορφή (έγγραφα).
• Προσωπικά δεδομένα σε ηλεκτρονική μορφή που τηρούνται σε οποιοδήποτε φυσικό υπόστρωμα (σκληρούς δίσκους υπολογιστών, CD, DVD, δισκέττες, κ.λ.π). Τα δεδομένα αυτά μπορεί να βρίσκονται είτε σε δομημένη μορφή (π.χ. βάση δεδομένων), είτε να αποτελούν ένα σύνολο επιμέρους ηλεκτρονικών αρχείων (π.χ. αρχεία κειμένου, εικόνες, κ.λ.π).
• Προσωπικά δεδομένα σε άλλη μορφή (π.χ. δεδομένα που τηρούνται σε βιντεοκασέτες, μικροφίλμ, κλπ).
Οι ανωτέρω τύποι δεδομένων μπορεί να απαντώνται ταυτόχρονα.
Τα προσωπικά δεδομένα πρέπει να καταστρέφονται με ευθύνη του υπεύθυνου επεξεργασίας αμέσως μετά το πέρας της περιόδου που απαιτείται για την πραγματοποίηση του σκοπού της επεξεργασίας. Ανάλογα με την περίοδο που απαιτείται για την πραγματοποίηση του σκοπού της επεξεργασίας, διακρίνονται οι παρακάτω περιπτώσεις καταστροφής προσωπικών δεδομένων:
• Καθημερινή καταστροφή των δεδομένων. Η περίπτωση αυτή αφορά προσωπικά δεδομένα που παράγονται ή/και χρησιμοποιούνται καθημερινά στο πλαίσιο των εργασιών του υπεύθυνου επεξεργασίας και τα οποία, μετά από την διεκπεραίωση της συγκεκριμένης εργασίας, είναι πλέον άχρηστα (π.χ. αντίγραφα, πρόχειρες εκθέσεις, σημειώσεις των υπαλλήλων, πληροφοριακό υλικό, κ.α. σε έντυπη ή/και ηλεκτρονική μορφή).
• Προγραμματισμένη καταστροφή μέρους ή του συνόλου των δεδομένων. Η περίπτωση αφορά μαζική καταστροφή δεδομένων που πραγματοποιείται είτε επειδή παρήλθε η περίοδος που απαιτείται για την πραγματοποίηση του σκοπού της επεξεργασίας (σύμφωνα με τον εκάστοτε ισχύοντα χρόνο τήρησης των δεδομένων) για τα συγκεκριμένα δεδομένα, είτε για άλλους λόγους, όπως π.χ. παύση ή τροποποίηση εργασιών του υπεύθυνου επεξεργασίας.
Τα προσωπικά δεδομένα πρέπει να καταστρέφονται από τον υπεύθυνο επεξεργασίας με ασφαλή τρόπο, ώστε να αποκλειστεί η περαιτέρω μη νόμιμη και αθέμιτη επεξεργασία τους, όπως είναι η κάθε μορφή διάθεσης σε τρίτους. Ως ασφαλής τρόπος καταστροφής των δεδομένων θεωρείται κάθε σύνολο διαδικασιών και μέτρων που μετά από την ολοκλήρωση της εφαρμογής τους δεν είναι δυνατό να αναγνωρισθούν τα υποκείμενα των δεδομένων. Σε κάθε ασφαλή τρόπο καταστροφής δεδομένων η καταστροφή είναι μη αναστρέψιμη, δηλαδή δεν είναι δυνατή η ανάκτηση των δεδομένων μετά την καταστροφή με τεχνικά ή άλλα μέσα. Ο υπεύθυνος επεξεργασίας υποχρεούται να εφαρμόζει συγκεκριμένη διαδικασία για την ασφαλή καταστροφή των προσωπικών δεδομένων μετά το πέρας της περιόδου που απαιτείται για την πραγματοποίηση του σκοπού της επεξεργασίας. Υποχρεούται επίσης να εφαρμόζει τους κατάλληλους μηχανισμούς ελέγχου της ορθής τήρησης της παραπάνω διαδικασίας. Ο έλεγχος θα ανατίθεται σε εξουσιοδοτημένους για το σκοπό αυτό υπαλλήλους του υπεύθυνου επεξεργασίας. Η διαδικασία του ελέγχου θα είναι γραπτώς διατυπωμένη και θα υπογράφεται από τον υπεύθυνο επεξεργασίας. Στην ως άνω οδηγία προβλέπεται τεχνικά λεπτομερώς η διαδικασία καταστροφής των δεδομένων ηλεκτρονικής ή έντυπης μορφής. Οι παραβάτες της ανωτέρω οδηγίας και του άρθρου 4 του ν. 2472/1997 υφίστανται τις κυρώσεις του άρθρου 21 του νόμου αυτού.
Ευγενία Φωτοπούλου
info@efotopoulou.gr