L'autorité hellénique de protection des données a émis un avis sur un projet de décret présidentiel du ministère de la Marine et de la Politique insulaire concernant la création d'un système électronique centralisé pour le transport maritime.

Le projet vise à mettre en place un Système Électronique de Réservation de places, d'Émission et de Production de billets et documents de transport maritime (HSKEPPA). Ce système a pour but de moderniser l'émission de titres de transport et de collecter des données à des fins d'intérêt public variées, telles que le contrôle, la sécurité, la prévention de la criminalité, la vérification des bénéficiaires de l'aide au coût insulaire (ANIKO) et le traitement statistique. L'autorité reconnaît ces objectifs mais relève des manquements majeurs : les finalités multiples et hétérogènes du traitement ne sont pas associées à des bases légales suffisamment distinctes. De plus, des éléments essentiels comme la détermination du responsable du traitement, les durées de conservation, les garanties de sécurité et les modalités d'exercice des droits des personnes concernées sont insuffisamment définis, en violation des principes de protection des données dès la conception et par défaut prévus à l'article 25 du RGPD.

L'autorité formule plusieurs recommandations pour mettre le projet en conformité. Elle souligne que la finalité de prévention et de répression des infractions pénales relève d'un régime juridique spécifique (loi 4624/2019) et exige une justification de sa nécessité et de sa proportionnalité, ainsi que des garanties dédiées. Elle insiste sur le respect du principe de minimisation des données, conformément à l'article 5, paragraphe 1, point c) du RGPD, en réévaluant la nécessité de collecter un nombre étendu de données personnelles et en exigeant une liste exhaustive et précise des catégories de données traitées. L'autorité demande également de définir clairement la durée de conservation de cinq ans en fonction des finalités, de spécifier les mesures techniques et organisationnelles de sécurité, et de clarifier les conditions d'accès aux données par des tiers. Enfin, elle juge indispensable de prévoir l'obligation de réaliser une analyse d'impact relative à la protection des données (AIPD) en vertu de l'article 35 du RGPD, compte tenu des risques élevés pour les droits et libertés des personnes.