Μη έγκαιρη γνωστοποίηση παραβίασης - υπ’ αριθμ. 69/2018 απόφαση ΑΠΔΠΧ
Στο άρθρο 33 του Γενικού Κανονισµού Προστασίας ∆εδοµένων (ΓΚΠΔ), ο οποίος αντικατέστησε την Οδηγία 95/56/ΕΚ, ορίζεται ότι σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας γνωστοποιεί αμελλητί και, αν είναι δυνατό, εντός 72 ωρών από τη στιγμή που αποκτά γνώση του γεγονότος την παραβίαση των δεδομένων προσωπικού χαρακτήρα στην εποπτική αρχή που είναι αρμόδια σύμφωνα με το άρθρο 55, εκτός εάν η παραβίαση δεδομένων προσωπικού χαρακτήρα δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Όταν η γνωστοποίηση στην εποπτική αρχή δεν πραγματοποιείται εντός 72 ωρών, συνοδεύεται από αιτιολόγηση για την καθυστέρηση.
Στην προκειµένη περίπτωση, ο υπεύθυνος επεξεργασίας υπέβαλε τη γνωστοποίηση παραβίασης δεδοµένων προσωπικού χαρακτήρα µε καθυστέρηση 24 ηµερών από τη στιγµή κατά την οποία για πρώτη φορά ενηµερώθηκε για το περιστατικό. Η αιτιολογία που αναφέρει για την καθυστερηµένη γνωστοποίηση, ήτοι η διερεύνηση και επιβεβαίωση των περιστατικών και των αιτιών αυτών, δεν µπορεί να δικαιολογήσει την ως άνω καθυστέρηση, καθώς ο χρόνος των 24 ηµερών είναι σαφώς υπερβολικός, λαµβάνοντας υπόψη τη φύση του εν λόγω περιστατικού. Εξάλλου, αναφορικά µε τη διαδικασία υποβολής γνωστοποίησης στην Αρχή, ο εκάστοτε υπεύθυνος επεξεργασίας έχει τη δυνατότητα να υποβάλλει τη γνωστοποίηση και σταδιακά – ήτοι να προβεί σε γνωστοποίηση στην Αρχή ακόµα και αν δεν διαθέτει όλες τις σχετικές πληροφορίες κατά τη στιγµή της αρχικής υποβολής. Συνεπώς, προκύπτει καθυστερηµένη ενεργοποίηση της διαδικασίας χειρισµού περιστατικών παραβίασης δεδοµένων προσωπικού χαρακτήρα. Το περιστατικό βέβαια ήταν εξαιρετικά περιορισµένο, αφορούσε µόνο πέντε πελάτες της Τράπεζας και, από τη στιγµή που ξεκίνησαν οι διαδικασίες χειρισµού του, φαίνεται να αντιµετωπίστηκε ορθά.
Ενόψει της διαπιστωθείσας παράβασης, δηλαδή της καθυστερηµένης κατά πλέον των είκοσι ηµερών υποβολής γνωστοποίησης περιστατικού παραβίασης δεδοµένων προσωπικού χαρακτήρα, και λαµβάνοντας επίσης υπόψη τη µικρή βαρύτητα του περιστατικού, ότι ο ΓΚΠ∆ είχε µόλις τεθεί σε εφαρµογή και ότι ο υπεύθυνος επεξεργασίας προχώρησε σε ενέργειες αντιµετώπισής του περιστατικού, η Αρχή έκρινε οµόφωνα ότι πρέπει να ασκήσει την προβλεπόµενη στο άρθρο 58 παρ. 2 εδ. β΄ ΓΚΠ∆ εξουσία της, δηλαδή να απευθύνει επίπληξη στην Τράπεζα για την παραβίαση της καθυστερηµένης υποβολής γνωστοποίησης περιστατικού παραβίασης δεδοµένων προσωπικού χαρακτήρα.
Επιμέλεια: Βασιλική Γεωργίου / Επιστημονική Συνεργάτης e-Θέμις
Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας γνωστοποιεί αμελλητί και, αν είναι δυνατό, εντός 72 ωρών από τη στιγμή που αποκτά γνώση του γεγονότος την παραβίαση των δεδομένων προσωπικού χαρακτήρα στην εποπτική αρχή που είναι αρμόδια σύμφωνα με το άρθρο 55, εκτός εάν η παραβίαση δεδομένων προσωπικού χαρακτήρα δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων.
