Θέμα: Υποβολή Γνωστοποιήσεων Σύστασης και Λειτουργίας Αρχείων/Έναρξη Επεξεργασίας σύμφωνα με τις διατάξεις του περί Επεξεργασίας Προσωπικού Χαρακτήρα (Προστασίας του Ατόμου) Νόμου του 2001 (Ν. 138(Ι)/2001), ως εκάστοτε τροποποιείται Αναφέρομαι στο πιο πάνω θέμα και σε συνέχεια της εγκυκλίου σας ημερομηνίας 10 Αυγούστου 2016, επιθυμούμε όπως αποσαφηνιστούν τα θέματα που αφορούν σε μέλη μας, υποβάλλοντας τα ακόλουθα ερωτήματα: 1. Βάσει του άρθρου 4(1)(δ), ο υπεύθυνος επεξεργασίας διασφαλίζει ότι τα δεδομένα προσωπικού χαρακτήρα είναι ακριβή και, εφόσον χρειάζεται, υποβάλλονται σε ενημέρωση. Ερώτημα: Σε περίπτωση που το υποκείμενο των δεδομένων δεν συνεργάζεται ώστε να επικαιροποιηθούν τα δεδομένα του, ποιες είναι οι υποχρεώσεις/ευθύνες που βαραίνουν τον υπεύθυνο επεξεργασίας; Απάντηση: Η επικαιροποίηση των δεδομένων των υποκείμενων των δεδομένων ως απορρέουσα από την Αρχή της ενημέρωσης των δεδομένων (βλ. άρθρο 4(1) του Νόμου) αποτελεί υποχρέωση έκαστου υπεύθυνου επεξεργασίας να εξεύρει τον τρόπο και να καθορίσει σχετική διαδικασία με βάση την οποία κατά τακτά χρονικά διαστήματα ενημερώνει τα αρχεία του για τυχόν αλλαγές στις πληροφορίες/προσωπικά δεδομένα των πελατών/υποκειμένων των δεδομένων του. Σε περίπτωση που ο υπεύθυνος επεξεργασίας από την πλευρά του προβαίνει σε κάθε εύλογη προσπάθεια για ενημέρωση των δεδομένων ενώ το υποκείμενο των δεδομένων δεν συνεργάζεται μαζί του ώστε να εκπληρώσει την δυνάμει του Νόμου υποχρέωση του, το γεγονός αυτό εφόσον υπάρχει σχετική μαρτυρία θα μπορούσε να αποτελέσει υπεράσπιση του υπεύθυνου επεξεργασίας την οποία θα λάβει υπόψιν η Επίτροπος στην περίπτωση που εξετάζει θέμα παράβασης της αρχής αυτής. Όλα αυτά όμως είναι υποθετικά λαμβάνοντας υπόψη ότι η Επίτροπος θα εξετάσει γενικά τη διαδικασία της ενημέρωσης επικαιροποίησης και όχι μεμονωμένα και αποσπασματικά σε ότι αφορά σχετικό υποκείμενο των δεδομένων εκτός εάν εξετάζει σχετικό παράπονο. 2. Βάσει του άρθρου 7(6)(α), ο υπεύθυνος επεξεργασίας απαλλάσσεται από την υποχρέωση γνωστοποίησης εγγράφως στον Επίτροπο της σύστασης και λειτουργίας αρχείου ή την έναρξη επεξεργασίας στην περίπτωση όπου η επεξεργασία πραγματοποιείται αποκλειστικά για σκοπούς που συνδέονται άμεσα με τη σχέση εργασία ή έργου και είναι αναγκαία για την εκπλήρωση υποχρέωσης που επιβάλλει ο νόμος ή για την εκτέλεση της σύμβασης και το υποκείμενο των δεδομένων έχει προηγουμένως ενημερωθεί.
Ερώτημα: 1. Νοείται ότι η απλή ενημέρωση είναι επαρκής και δεν είναι απαραίτητη η ρητή συγκατάθεση του υποκείμενου των δεδομένων; 2. Το άρθρο (α) καλύπτει όλων των ειδών επιχειρήσεων; 3. Η επιφύλαξη του άρθρου 7(6)(β) δεν ισχύει για την παράγραφο (α); Απάντηση: Η προβλεπόμενη από τις διατάξεις του άρθρου 7(6)(α) εξαίρεση από την υποβολή Γνωστοποίησης στο Γραφείο της Επιτρόπου αφορά τις επεξεργασίες δεδομένων του προσωπικού/ εργοδοτουμένων των υπεύθυνων επεξεργασίας (ιδιωτικού ή δημόσιου δικαίου) εφόσον είναι αναγκαία δυνάμει νόμου ή στο πλαίσιο της σχετικής σύμβασης και το υποκείμενο των δεδομένων έχει προηγουμένως ενημερωθεί. Η σχετική ενημέρωση του υποκειμένου των δεδομένων γίνεται πάντοτε σύμφωνα με τα προβλεπόμενα στο άρθρο 11 του Νόμου. Η παραπάνω απάντηση καλύπτει τα ερωτήματα (1) και (2). Αναφορικά με την εξαίρεση του άρθρου 7(6)(β) είναι διαφορετική από την προβλεπόμενη στο άρθρο 7(6)(α) και αφορά στους πελάτες των υπεύθυνων επεξεργασίας. 3. Βάσει του άρθρου 9(1), η διαβίβαση δεδομένων προσωπικού χαρακτήρα τα οποία έχουν υποστεί ή πρόκειται να υποστούν επεξεργασία προς οποιαδήποτε χώρα επιτρέπεται ύστερα από άδεια του Επιτρόπου και νοουμένου ότι κριθεί ότι η εν λόγω χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας. Ερώτημα: 1. Πως ελέγχεται το ικανοποιητικό επίπεδο προστασίας μιας χώρας; 2. Εάν μεταβιβάζονται δεδομένα σε μια συγκεκριμένη χώρα πολλαπλές φορές, πρέπει να ενημερώνεται σε κάθε περίπτωση η Επίτροπος ή είναι επαρκής μια ενημέρωση ανά χώρα; 3. Εάν η διαβίβαση διαφόρων δεδομένων γίνεται προς διάφορες χώρες, τότε η ενημέρωση προς τη Επίτροπο θα γίνεται με ένα έντυπο για όλες τις χώρες ή θα αποστέλλεται ξεχωριστό έντυπο για κάθε χώρα; Απάντηση: Η διαβίβαση προσωπικών δεδομένων σε τρίτες χώρες (μη μέλη της Ε.Ε και του Ε.Ο.Χ) για τις οποίες δεν υπάρχει σε ισχύ Απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής τότε μόνο καθίσταται νόμιμη εφόσον έχει ληφθεί για το σκοπό αυτό η άδεια της Επιτρόπου Προστασίας Δεδομένων. Η νομική βάση για τη χορήγηση της σχετικής Άδειας από την Επίτροπο μπορεί να είναι μία από τις προϋποθέσεις του άρθρου 9(2) του Νόμου ή η εξασφάλιση επαρκών εγγυήσεων από τον υπεύθυνο επεξεργασίας και ενίοτε εξαγωγέα των δεδομένων οι οποίες απορρέουν είτε από τις κατάλληλες Τυποποιημένες Συμβατικές Ρήτρες (οι οποίες έχουν εγκριθεί με Αποφάσεις της Ευρωπαϊκής Επιτροπής) και
αποτελούν πρότυπα συμβόλαια δέσμευσης για σύννομη επεξεργασία προσωπικών δεδομένων είτε από τους Εταιρικούς Δεσμευτικούς Κανόνες οι οποίοι εγκρίνονται από την επικεφαλής (Lead Authority) συμμετέχουσα στη διαδικασία, Αρχή, μέσω της διαδικασίας Αμοιβαίας Αναγνώρισης (Mutual Recognition Procedure), στην οποία το Γραφείο μας αποτελεί μέρος. Ο σύνδεσμος για τις τρίτες χώρες για τις οποίες υπάρχει σε ισχύ Απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής είναι ο ακόλουθος:http://ec.europa.eu/justice/data-protection/internationaltransfers/adequacy/index_en.htm Διαβίβαση δεδομένων προς τις εταιρίες που είναι εγκατεστημένες στους προορισμούς αυτούς συνήθως η διαβίβαση είναι ελεύθερη δηλαδή δεν απαιτείται η άδεια της Επιτρόπου. Θεωρούμε όμως καλύτερη πρακτική σε κάθε περίπτωση να ενημερώνεται σχετικά η Επίτροπος γιατί υπάρχουν περιπτώσεις όπου οι Αποφάσεις επάρκειας της Ευρωπαϊκής Επιτροπής δεν καλύπτουν συγκεκριμένο είδος επεξεργασίας π.χ μη αυτοματοποιημένη ή δεν καλύπτουν συγκεκριμένες περιοχές χώρας. Η Άδεια Διαβίβασης χορηγείται ανά προορισμό και καλύπτει συγκεκριμένη κατηγορία υποκειμένων των δεδομένων, συγκεκριμένα προσωπικά δεδομένα, συγκεκριμένο σκοπό και συγκεκριμένο/ους αποδέκτη/ες στον προορισμό αυτό. Για κάθε προορισμό υποβάλλεται ξεχωριστή Αίτηση για Άδεια Διαβίβασης. 4. Γίνεται διαβίβαση δεδομένων από μια Κυπριακή εταιρεία που βρίσκεται στην Κύπρο σε μια άλλη εταιρεία που βρίσκεται στην Κύπρο και είναι υποκατάστημα ή θυγατρική άλλης εταιρείας που εδρεύει στον εξωτερικό. Ερώτημα: Αν τα δεδομένα που διαβιβάζει η πρώτη εταιρεία στη δεύτερη διαβιβαστούν από τη δεύτερη στο εξωτερικό, ποιες είναι οι ευθύνες/υποχρεώσεις της πρώτης σε σχέση με τις γνωστοποιήσεις προς την Επίτροπο; Απάντηση: Δεν νοείται διαβίβαση προσωπικών δεδομένων εντός της Κυπριακής επικράτειας εκτός αν αφορά Πρεσβεία/Διπλωματική Αποστολή τρίτης χώρας στη Δημοκρατία. Καμία εταιρία (θυγατρική ή μητρική η άλλως πως) δεν διαβιβάζει σε αποδέκτη/εισαγωγέα εγκατεστημένο σε τρίτη χώρα χωρίς την προηγούμενη εξασφάλιση άδειας διαβίβασης από την Επίτροπο. Στο έντυπο Γνωστοποίηση υπάρχει σχετικό σημείο που αφορά στη διαβίβαση δεδομένων σε τρίτες χώρες, έκαστος υπεύθυνος επεξεργασίας έχει υποχρέωση να δηλώνει τις χώρες αυτές στο οικείο
έντυπο ή εφόσον η σχετική μεταβολή στα στοιχεία της Γνωστοποίησης επήλθε μετά την καταχώρισή της στο Γραφείο της Επιτρόπου, έκαστος υπεύθυνος επεξεργασίας έχει υποχρέωση δυνάμει του άρθρου 7(5) του Νόμου να ενημερώνει γραπτώς την Επίτροπο σχετικά με κάθε επερχόμενη μεταβολή στα στοιχεία της Γνωστοποίησης. 5. Βάση του άρθρου 8(2), κάθε διασύνδεση γνωστοποιείται στον Επίτροπο με δήλωση την οποία υποβάλλουν από κοινού οι υπεύθυνοι επεξεργασίας ή ο υπεύθυνος επεξεργασίας, που διασυνδέει δύο ή περισσότερα αρχεία που εξυπηρετούν διαφορετικούς σκοπούς. Ερώτημα: εάν πρόκειται περί μητρικής και θυγατρικής εταιρείας και η διασύνδεση αρχείων γίνεται για σκοπούς αξιολόγησης του κινδύνου σε ενοποιημένη βάση που απαιτείται και από τον νόμο, εξακολουθούν να ισχύουν οι υποχρεώσεις γνωστοποίησης στην Επίτροπο; Απάντηση: Η διασύνδεση αρχείων αφορά μόνο ή κυρίως φορείς του δημοσίου τομέα και όχι του ιδιωτικού τομέα λαμβάνοντας υπόψη ότι δυνάμει του άρθρου 8(1) του Νόμου: «8.-(1) Η διασύνδεση αρχείων επιτρέπεται μόνο σύμφωνα με τους όρους που αναφέρονται στο άρθρο 5 και στο παρόν άρθρο, εφόσον συντρέχουν σοβαροί λόγοι δημοσίου συμφέροντος.». Σχετικά με το ερώτημα σας εφόσον πρόκειται για διαφορετικούς υπευθύνους επεξεργασίας (νοείται εγκατεστημένους στην Κυπριακή Δημοκρατία) και δεδομένου ότι η σχετική διασύνδεση δεν αφορά ευαίσθητα προσωπικά δεδομένα ούτε η πραγματοποίηση της πρόκειται να διεξαχθεί μέσω ενιαίου κωδικού αριθμού π.χ αριθμού ταυτότητας, αριθμού κοινωνικών ασφαλίσεων, αριθμός φορολογικής ταυτότητας κ.ο.κ, για όλους τους σκοπούς του Νόμου αρκεί η δήλωση της διασύνδεσης στον καθορισμένο τύπο και δεν απαιτείται η Άδεια της Επιτρόπου. 6. Στις περιπτώσεις διαβίβασης δεδομένων μεταξύ εταιρειών του ιδίου δικτύου 1 (network firms) που συλλέγηκαν κατά την εκτέλεση των εργασιών των εταιρειών και αφορούν στοιχεία των πελατών τους Ερώτημα: 1. Απαιτείται η απόκτηση οποιασδήποτε ρητής συγκατάθεσης από τα υποκείμενα των δεδομένων; 2. Πρέπει να ενημερώνεται η Επίτροπος σε κάθε ξεχωριστή περίπτωση, ή ανά εταιρεία δικτύου συνολικά, ή ανά έτος ή να γίνεται μια αρχική ενημέρωση; 1 Δίκτυο όπως ορίζεται στο Κώδικα Επαγγελματικής Δεοντολογίας της Διεθνούς Ομοσπονδίας Λογιστών: Μεγάλη δομή που έχει ως σκοπό την συνεργασία και που ξεκάθαρα αποσκοπεί στο κέρδος ή επιμερισμό του κόστους ή την συμμετοχή σε κοινή ιδιοκτησία, έλεγχο ή διαχείριση, κοινές πολιτικές ποιοτικού ελέγχου και διαδικασιών, κοινή επιχειρηματική στρατηγική, χρήση μιας κοινή εμπορικής επωνυμία, ή σε σημαντικό μέρος των επαγγελματικών πόρων
3. Υπάρχει διαφορετικός χειρισμός εάν η εταιρεία δικτύου ανήκει σε κράτος μέλος της Ευρωπαϊκής Ένωσης ή σε Τρίτη χώρα; 4. Υπάρχει διαφορετικός χειρισμός εάν οι πληροφορίες αφορούν αρχεία του τμήματος ανθρώπινου δυναμικού μιας εταιρείας δικτύου; Απάντηση: Αναφορικά με τη συμμετοχή των εταιριών στο δίκτυο σας γνωρίζουμε τα ακόλουθα: Σε σχέση με τα υποκείμενα των δεδομένων /τους πελάτες υπεύθυνος επεξεργασίας είναι και λογίζεται η κάθε εταιρία με την οποία έχει συμβληθεί ο πελάτης στον οποίο παρέχονται λογιστικές υπηρεσίες. Κοινοποίηση ή διαβίβαση των δεδομένων του σε άλλη εταιρία εντός του δικτύου στην Κυπριακή Δημοκρατία ή χώρα μέλος της Ε.Ε ή του ΕΟΧ γίνεται τηρουμένων των προϋποθέσεων της νόμιμης επεξεργασίας στη βάση των διατάξεων του άρθρου 5 του Νόμου για απλά δεδομένα και στη βάση των διατάξεων του άρθρου 6 του Νόμου για ευαίσθητα προσωπικά δεδομένα. Η Γνωστοποίηση προσωπικών δεδομένων που υποβάλλεται στην Επίτροπο στο σημείο «αποδεκτές» θα πρέπει να περιλαμβάνει όλες τις περιπτώσεις αποδεκτών. Οποιαδήποτε ουσιώδης μεταβολή στα στοιχεία που δηλώνονται στο οικείο έντυπο θα πρέπει να γνωστοποιείται πάραυτα στο Γραφείο της. Αν εντός του δικτύου γίνεται διαβίβαση προσωπικών δεδομένων σε εταιρίες/μέλη του δικτύου εγκατεστημένες σε τρίτες χώρες ( μη μέλη της Ε.Ε και του ΕΟΧ) τότε απαραίτητη προϋπόθεση είναι η υποβολή Αίτησης/Αιτήσεων για Άδεια Διαβίβασης προς τους προορισμούς αυτούς. Η Αίτηση για Άδεια Διαβίβασης καλύπτει κατά περίπτωση ένα προορισμό/συγκεκριμένο σκοπό/συγκεκριμένα υποκείμενα των δεδομένων κλπ (βλ. απάντηση παρ. 3 της παρούσας επιστολής). Καμία διάκριση δεν γίνεται μεταξύ προσωπικών δεδομένων προσωπικού και προσωπικών δεδομένων πελατών όλα είναι προσωπικά δεδομένα και υπέχουν τον ίδιο βαθμό προστασίας. 7. Αναμένεται η μεταφορά της Ευρωπαϊκής Οδηγίας 95/46/ΕΚ περί Προστασίας Δεδομένων Προσωπικού Χαρακτήρα στη Κυπριακή νομοθεσία κατά το έτος 2018. Ερώτημα: Κατά την μεταβατική αυτή περίοδο, είναι υπόχρεα τα μέλη μας όπως ακολουθούν της πρόνοιες του περί Επεξεργασίας Προσωπικού Χαρακτήρα (Προστασίας του Ατόμου) Νόμου του 2001 (Ν. 138(Ι)/2001), ως εκάστοτε τροποποιείται ή πρέπει να υιοθετούν τις
διαφοροποιημένες πρόνοιες της Οδηγίας 95/46/ΕΚ και των Κανονισμών 679/2016; Απάντηση: Ο νέος Γενικός Κανονισμός για την Προστασία των Δεδομένων, Κανονισμός (ΕΕ) 2016/679 τίθεται σε ισχύ από την 25 η Μαΐου 2018, μέχρι τότε η συμμόρφωση και η τήρηση των προνοιών του περί Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα (Προστασία του Ατόμου) Νόμου του 2001 (Ν.138(1)/2001), ως εκάστοτε τροποποιείται, καθίσταται επιτακτική.