Τα προβλήματα προστασίας προσωπικών δεδομένων στις παιδικές κατασκηνώσεις και τις δομές ανηλίκων

Η προστασία της ιδιωτικής ζωής των παιδιών στις κατασκηνώσεις και τις δομές δημιουργικής απασχόλησης δεν περιορίζεται στο ζήτημα της φωτογράφισης και της δημοσίευσης εικόνων τους στο διαδίκτυο. Πίσω από αυτή τη συχνά προβεβλημένη πτυχή της προστασίας προσωπικών δεδομένων βρίσκονται λιγότερο εμφανείς, αλλά εξίσου σημαντικοί κίνδυνοι, οι οποίοι συνδέονται με την επεξεργασία δεδομένων υγείας, τον έλεγχο του ποινικού μητρώου των εργαζομένων και τη συμμόρφωση των φορέων με τις υποχρεώσεις του Γενικού Κανονισμού Προστασίας Δεδομένων.

Αυτή είναι η βασική διαπίστωση της βελγικής αρχής προστασίας δεδομένων (APD), η οποία, με ανακοίνωσή της παρουσίασε τα προβλήματα που εντόπισε κατά τη διερεύνηση της συμμόρφωσης φορέων που παρέχουν υπηρεσίες φιλοξενίας, φροντίδας και απασχόλησης ανηλίκων.

Η επεξεργασία ευαίσθητων δεδομένων και οι νέες νομοθετικές υποχρεώσεις

Σύμφωνα με την APD, η αύξηση των νομοθετικών υποχρεώσεων σε εθνικό και σε περιφερειακό επίπεδο κατά την τελευταία τριετία έχει καταστήσει σημαντικά πιο σύνθετη τη συμμόρφωση των συγκεκριμένων οργανισμών, δημιουργώντας παράλληλα κινδύνους εσφαλμένης ερμηνείας των εφαρμοστέων διατάξεων.

Χαρακτηριστικό παράδειγμα αποτελεί η διεύρυνση της υποχρέωσης ελέγχου του ποινικού μητρώου των προσώπων που αναλαμβάνουν την επίβλεψη παιδιών, βάσει περιφερειακών νομοθετικών ρυθμίσεων που αποσκοπούν στην πρόληψη περιστατικών κακοποίησης. Η αρχή επισημαίνει ότι οι σχετικές υποχρεώσεις δεν ερμηνεύονται πάντοτε ορθά, αναφέροντας ως χαρακτηριστική παρανόηση την αντίληψη ότι κάθε υποψήφιος εργαζόμενος πρέπει υποχρεωτικά να διαθέτει λευκό ποινικό μητρώο.

Αντίστοιχα προβλήματα ανακύπτουν από τη διαβίβαση πληροφοριών υγείας των παιδιών, όπως στοιχεία σχετικά με αλλεργίες, μέσω ηλεκτρονικού ταχυδρομείου ή διαδικτυακών πλατφορμών. Η βελγική αρχή υπενθυμίζει τους αυστηρούς περιορισμούς που διέπουν την επεξεργασία ειδικών κατηγοριών δεδομένων και επισημαίνει τη δυνατότητα αξιοποίησης ασφαλέστερων διαδικασιών μέσω των υπηρεσιών υγείας.

Τα όρια της γονικής συγκατάθεσης

Ξεχωριστή αναφορά γίνεται στη συγκατάθεση των γονέων, η οποία δεν αποτελεί πάντοτε επαρκές ή κατάλληλο έρεισμα για την επεξεργασία των δεδομένων των παιδιών.

Η αρχή συνδέει το ζήτημα με το φαινόμενο του sharenting, δηλαδή τη δημοσίευση φωτογραφιών και πληροφοριών για τα παιδιά από τους ίδιους τους γονείς τους, επισημαίνοντας την ανάγκη ουσιαστικής αξιολόγησης των σχετικών κινδύνων.

Παράλληλα, διαπιστώνει προβλήματα ως προς τις προϋποθέσεις εγκυρότητας της συγκατάθεσης, ιδίως όταν δεν παρέχεται επαρκής ενημέρωση, δεν προσδιορίζεται σαφώς ο χρόνος διατήρησης των δεδομένων ή δεν διασφαλίζονται κατάλληλες διαδικασίες για τη χορήγηση, την ανάκληση και την απόδειξή της.

Η υποχρέωση ορισμού DPO και η ελλιπής αξιολόγηση κινδύνων

Αξιοσημείωτο εύρημα της ελεγκτικής δραστηριότητας αφορά την παράλειψη ορισμού Υπευθύνου Προστασίας Δεδομένων (DPO). Ελέγχοντας τα κείμενα πολιτικών προστασίας προσωπικών δεδομένων των φορέων αυτών, οι ελεγκτές της APD διαπίστωσαν ότι, μολονότι η προβλεπόμενη ενημέρωση υπήρχε, σπανίως γινόταν αναφορά στον DPO που είχε οριστεί.

Η βελγική αρχή επισημαίνει ότι η υποχρέωση ορισμού Υπευθύνου Προστασίας Δεδομένων δεν απορρέει αποκλειστικά από τις διατάξεις του ΓΚΠΔ, αλλά μπορεί να προβλέπεται και από ειδικές διατάξεις της εθνικής νομοθεσίας. Στην προκειμένη περίπτωση, αναφέρεται στο άρθρο 10 του βελγικού νόμου της 8ης Αυγούστου 1983, το οποίο προβλέπει την υποχρεωτική συμμετοχή DPO στην επεξεργασία δεδομένων που περιλαμβάνουν τον αριθμό του Εθνικού Μητρώου, ο οποίος αποτελεί μοναδικό αριθμό ταυτοποίησης των πολιτών στο Βέλγιο. Κατά συνέπεια, οι οργανισμοί που χρησιμοποιούν τους αριθμούς μητρώου γονέων και παιδιών για την έκδοση των προβλεπόμενων φορολογικών βεβαιώσεων υπάγονται στη συγκεκριμένη υποχρέωση ήδη από τα τέλη του 2018, ανεξάρτητα από το αν πληρούν τις γενικές προϋποθέσεις υποχρεωτικού ορισμού DPO κατά το άρθρο 37 ΓΚΠΔ.

Πέραν του ζητήματος αυτού, η αρχή διαπιστώνει ότι πολλοί φορείς δεν διαθέτουν επαρκείς πόρους για τη συστηματική αξιολόγηση των κινδύνων που συνεπάγεται η επεξεργασία προσωπικών δεδομένων, ούτε αναζητούν εγκαίρως την αναγκαία εξειδικευμένη υποστήριξη. Υπενθυμίζει, μάλιστα, ότι κατά τη διενέργεια των ελέγχων της δεν περιορίζεται στην εξέταση μεμονωμένων περιστατικών παραβίασης, αλλά αξιολογεί συνολικότερα τη συμμόρφωση των οργανισμών με τον ΓΚΠΔ, ελέγχοντας, μεταξύ άλλων, αν παρέχεται ορθή και πλήρης ενημέρωση στα υποκείμενα των δεδομένων, αν έχει οριστεί DPO όπου απαιτείται και αν έχει διενεργηθεί κατάλληλη εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων, όταν η φύση και οι κίνδυνοι της επεξεργασίας καθιστούν αναγκαία τη διενέργειά της.

Η προσφυγή σε εργαλεία τεχνητής νοημοσύνης για την ερμηνεία των νομικών υποχρεώσεων

Ξεχωριστή αναφορά κάνει η βελγική αρχή στην αυξανόμενη χρήση εργαλείων τεχνητής νοημοσύνης από οργανισμούς που αναζητούν καθοδήγηση σχετικά με τις υποχρεώσεις τους βάσει του ΓΚΠΔ. Όπως επισημαίνει, η πρακτική αυτή ενέχει κινδύνους, καθώς οι απαντήσεις που παρέχουν τα συγκεκριμένα εργαλεία ενδέχεται να περιέχουν ανακρίβειες, να παραλείπουν κρίσιμες νομικές προϋποθέσεις ή να μην ανταποκρίνονται στις ιδιαίτερες περιστάσεις της εκάστοτε επεξεργασίας.

Για τον λόγο αυτό, η αρχή συνιστά στους οργανισμούς να μην αντιμετωπίζουν τις απαντήσεις της τεχνητής νοημοσύνης ως υποκατάστατο της εξειδικευμένης νομικής συμβουλής, αλλά να αξιοποιούν τις επίσημες κατευθυντήριες οδηγίες και να αναζητούν την κατάλληλη επαγγελματική υποστήριξη, ιδίως όταν πρόκειται για σύνθετα ζητήματα συμμόρφωσης. Υπογραμμίζει, παράλληλα, ότι η έλλειψη επαρκών πόρων ή η απροθυμία επένδυσης στην προστασία προσωπικών δεδομένων δεν μπορούν να αποτελέσουν δικαιολογία για τη συνέχιση πρακτικών που παραβιάζουν τον ΓΚΠΔ.