Συχνές Ερωτήσεις (FAQs)
Ο Κανονισμός 2016/679 της Ευρωπαϊκής Ένωσης, ευρύτερα γνωστός ως Γενικός Κανονισμός για την Προστασία Δεδομένων - ΓΚΠΔ (General Data Protection Regulation - GDPR), έχει τεθεί σε ισχύ στις 4 Μαΐου 2016 και εφαρμόζεται ΥΠΟΧΡΕΩΤΙΚΑ από τις 25 Μαΐου 2018 σε όλα τα κράτη μέλη της Ευρωπαϊκής Ένωσης. Ο Κανονισμός καταργεί την Οδηγία 95/46/ΕΚ, η οποία είχε ενσωματωθεί από τα κράτη μέλη της Ε.Ε., και συγκεκριμένα στην Ελλάδα με τον Νόμο 2472/1997. Να σημειωθεί ότι ο εν λόγω Κανονισμός δεν απαιτεί προηγουμένως συγκεκριμένη νομοθετική πράξη του Κράτους Μέλους προκειμένου να εφαρμοστεί.
Με τον νέο Κανονισμό ενισχύονται τα δικαιώματα των υποκειμένων των δεδομένων, αυξάνονται οι υποχρεώσεις των υπεύθυνων και εκτελούντων την επεξεργασία και προστατεύονται τα προσωπικά δεδομένα των φυσικών προσώπων.
Πρόκειται για ένα καινούριο, ενιαίο και άμεσα εφαρμόσιμο νομικό πλαίσιο, το οποίο ρυθμίζει την επεξεργασία δεδομένων προσωπικού χαρακτήρα ατόμων που βρίσκονται στην Ευρωπαϊκή Ένωση, από άλλα άτομα, εταιρίες ή οργανισμούς.
Ο Κανονισμός δεν αφορά στην επεξεργασία δεδομένων προσωπικού χαρακτήρα προσώπων που δεν βρίσκονται στη ζωή ή νομικών προσώπων, όπως, για παράδειγμα, εταιριών με εξαίρεση τις ατομικές εταιρίες.
Επίσης, ο Κανονισμός δεν εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από φυσικό πρόσωπο στο πλαίσιο αποκλειστικά προσωπικής ή οικιακής δραστηριότητας και, άρα, χωρίς σύνδεση με κάποια επαγγελματική ή εμπορική δραστηριότητα. Επιπρόσθετα, να σημειωθεί ότι ο Κανονισμός δεν εφαρμόζεται στα δεδομένα προσωπικού χαρακτήρα θανόντων.
Ναι ο Κανονισμός έχει τεθεί σε υποχρεωτική εφαρμογή από τις 25 Μαΐου 2018.
Με τον όρο προσωπικά δεδομένα νοείται κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»).
Παραδείγματα Προσωπικών Δεδομένων: (ΑΜΚΑ, e-mail, Οικονομικές πληροφορίες, Επάγγελμα, εμπειρία, εκπαίδευση, Δεδομένα συμπεριφοράς (προτιμήσεις, συνήθειες, συμπεριφορά στην διαδικτυακή περιήγηση), διεύθυνση IP.
Ειδικές Κατηγορίες Δεδομένων (ευαίσθητα): φυλετική, εθνοτική καταγωγή, πολιτικά φρονήματα, θρησκευτικές, φιλοσοφικές πεποιθήσεις, συμμετοχή σε συνδικαλιστική οργάνωση, γενετικά, βιομετρικά δεδομένα, δεδομένα υγείας, σεξουαλική ζωή, γενετήσιος προσανατολισμός.
Η ενίσχυση των δικαιωμάτων των υποκειμένων των δεδομένων είναι ένας από τους βασικούς στόχους του Κανονισμού.
Στο Κεφάλαιο ΙΙΙ του Κανονισμού παρουσιάζονται τα δικαιώματα των υποκειμένων των δεδομένων. Τα βασικά δικαιώματα των φυσικών προσώπων σχετικά με τα προσωπικά τους δεδομένα είναι:
Δικαίωμα ενημέρωσης
Ο υπεύθυνος επεξεργασίας οφείλει να λαμβάνει τα κατάλληλα μέτρα, ώστε να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία και κάθε ανακοίνωση σχετικά με την επεξεργασία σε συνοπτική, διαφανή καθώς και κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας απλή και σαφή διατύπωση, ιδίως όταν η πληροφορία απευθύνεται σε παιδιά. Οφείλει να διευκολύνει την άσκηση των δικαιωμάτων για τα υποκείμενα και να παρέχει στο υποκείμενο πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματός στηριζόμενο στα άρθρα 15 έως 22, χωρίς καθυστέρηση και μάλιστα εντός ενός μήνα από την παραλαβή του αιτήματος. Να σημειωθεί ότι ο Κανονισμός διακρίνει το δικαίωμα ενημέρωσης αναφορικά με το αν η συλλογή των δεδομένων πραγματοποιείται από το ίδιο το υποκείμενο (άρθρο 13) ή από τρίτο πρόσωπο (άρθρο 14).
Δικαίωμα πρόσβασης
Tο υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα που το αφορούν υφίστανται επεξεργασία και εφόσον συμβαίνει αυτό έχει το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις πληροφορίες όπως αναλυτικά αναφέρονται άρθρο 15 του Κανονισμού.
Δικαίωμα Διόρθωσης
Το υποκείμενο των δεδομένων έχει το δικαίωμα να απαιτήσει από τον υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση τη διόρθωση ανακριβών δεδομένων προσωπικού χαρακτήρα που το αφορούν. Έχοντας υπόψη τους σκοπούς της επεξεργασίας, το υποκείμενο των δεδομένων έχει το δικαίωμα να απαιτήσει τη συμπλήρωση ελλιπών δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων μέσω συμπληρωματικής δήλωσης.
- εάν τα δεδομένα προσωπικού χαρακτήρα δεν είναι πλέον απαραίτητα για τους σκοπούς για τους οποίους συλλέχθηκαν ή υποβλήθηκαν κατ’άλλο τρόπο σε επεξεργασία
- εάν το υποκείμενο των δεδομένων ανακαλέσει τη συγκατάθεσή του και δεν υπάρχει άλλη νομική βάση για την επεξεργασία
- εάν το υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία για σκοπούς κατάρτισης προφίλ και σκοπούς απευθείας εμπορικής προώθησης (άρθρο 21α & 21β)
- τα δεδομένα προσωπικού χαρακτήρα υποβλήθηκαν σε επεξεργασία παράνομα
- εάν τα δεδομένα πρέπει να διαγραφούν ώστε να τηρηθεί νομική υποχρέωση βάση του ενωσιακού δικαίου ή του δικαίου κράτους μέλους, στην οποία υπόκειται ο υπεύθυνος επεξεργασίας
- ένα τα δεδομένα προσωπικού χαρακτήρα έχουν συλλεχθεί και αφορούν σε παιδί (άρθρο 8 §1)
Το υποκείμενο των δεδομένων μπορεί να ζητήσει από τον υπεύθυνο επεξεργασίας τον περιορισμό της επεξεργασίας όταν ισχύει ένα από τα ακόλουθα: α) η ακρίβεια των δεδομένων αμφισβητείται ή β) η επεξεργασία είναι παράνομη ή γ) ο υπεύθυνος επεξεργασίας δεν χρειάζεται πλέον τα δεδομένα προσωπικού χαρακτήρα για τους σκοπούς της επεξεργασίας, αλλά τα δεδομένα αυτά απαιτούνται από το υποκείμενο των δεδομένων για τη θεμελίωση, την άσκηση ή την υποστήριξη νομικών αξιώσεων ή δ) το υποκείμενο των δεδομένων έχει αντιρρήσεις για την επεξεργασία, εν αναμονή της επαλήθευσης του κατά πόσον οι νόμιμοι λόγοι του υπεύθυνου επεξεργασίας υπερισχύουν έναντι των λόγων του υποκειμένου των δεδομένων.
Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει τα δεδομένα προσωπικού χαρακτήρα που το αφορούν, και τα οποία έχει παράσχει σε υπεύθυνο επεξεργασίας, σε δομημένο, κοινώς χρησιμοποιούμενο και αναγνώσιμο από μηχανήματα μορφότυπο, καθώς και το δικαίωμα να διαβιβάζει τα εν λόγω δεδομένα σε άλλον υπεύθυνο επεξεργασίας, χωρίς αντίρρηση από τον υπεύθυνο επεξεργασίας, στον οποίο παρασχέθηκαν τα δεδομένα προσωπικού χαρακτήρα όταν πληρούνται οι προύποθέσεις που αναφέρονται στο άρθρο 20.
Το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν (επεξεργασία από δημόσιες αρχές ή από ιδιώτες), περιλαμβανομένης της κατάρτισης προφίλ βάσει των εν λόγω διατάξεων. Εάν δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία για σκοπούς απευθείας εμπορικής προώθησης, το υποκείμενο των δεδομένων δικαιούται να αντιταχθεί ανά πάσα στιγμή στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν για την εν λόγω εμπορική προώθηση, περιλαμβανομένης της κατάρτισης προφίλ, εάν σχετίζεται με αυτήν την απευθείας εμπορική προώθηση.
Δικαίωμα να μην υπόκειται σε απόφαση που λαμβάνεται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας, συμπεριλαμβανομένης της κατάρτισης προφίλ (άρθρο 22).
Το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα . Όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους.
Ο Υπεύθυνος Προστασίας Δεδομένων (DPO) είναι ένας ιδιαίτερα σημαντικός ρόλος για την κάθε εταιρία ή οργανισμό που απαιτείται από τον Γενικό Κανονισμό Προστασίας Δεδομένων (GDPR). Οι Υπεύθυνοι Προστασίας Δεδομένων είναι αρμόδιοι για την επίβλεψη και την εφαρμογή των οργανωτικών και τεχνικών μέτρων ασφάλειας σε σχέση με την προστασία των δεδομένων προσωπικού χαρακτήρα, προκειμένου να διασφαλιστεί η συμμόρφωση μιας επιχείρησης ή ενός οργανισμού με τις απαιτήσεις του GDPR.
Ο Υπεύθυνος Προστασίας Δεδομένων διορίζεται βάσει επαγγελματικών προσόντων και ιδίως βάσει της εμπειρίας και της γνώσης που διαθέτει στον τομέα του δικαίου και των πρακτικών περί προστασίας δεδομένων, καθώς και βάσει της ικανότητας εκπλήρωσης των καθηκόντων που αναφέρονται στο άρθρο 39 του Κανονισμού.
Ως Υπεύθυνος Προστασίας Δεδομένων μπορεί να οριστεί κάποιο μέλος του προσωπικού του Υπευθύνου Επεξεργασίας ή του Εκτελούντος την Επεξεργασία ή να ασκεί τα καθήκοντά του βάσει σύμβασης παροχής υπηρεσιών. Ο Υπεύθυνος Επεξεργασίας ή ο Εκτελών την Επεξεργασία θα πρέπει να δημοσιεύουν τα στοιχεία επικοινωνίας του Υπευθύνου Προστασίας Δεδομένων και να τα ανακοινώνουν στην εποπτική αρχή (Αρχή Προστασίας Προσωπικών Δεδομένων).
Ο ορισμός DPO είναι υποχρεωτικός όταν:
- Η επεξεργασία διενεργείται από δημόσια αρχή ή δημόσιο φορέα (συμπεριλαμβανομένων και φυσικών ή νομικών προσώπων δημοσίου ή ιδιωτικού δικαίου που ασκούν δημόσια εξουσία). Εξαιρούνται τα δικαστήρια όταν ενεργούν υπό τη δικαιοδοτική τους αρμοδιότητα. Απαιτείται τακτική και συστηματική παρακολούθηση των υποκειμένων των δεδομένων σε μεγάλη κλίμακα (π.χ. ασφαλιστικές ή τραπεζικές υπηρεσίες, υπηρεσίες τηλεφωνίας ή διαδικτύου, παροχή υπηρεσιών ασφαλείας, όλες οι μορφές παρακολούθησης και διαμόρφωσης «προφίλ» στο διαδίκτυο, όπως για σκοπούς συμπεριφορικής διαφήμισης).
- Διενεργείται μεγάλης κλίμακας επεξεργασία ειδικών κατηγοριών δεδομένων (π.χ. στο πλαίσιο παροχής υπηρεσιών υγείας από νοσοκομεία) ή δεδομένων προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες και αδικήματα.
Για τον προσδιορισμό της μεγάλης κλίμακας επεξεργασίας πρέπει να λαμβάνονται υπόψη:
- ο αριθμός των εμπλεκομένων υποκειμένων, είτε ως συγκεκριμένος αριθμός είτε ως ποσοστό επί του πληθυσμού
- ο όγκος και το εύρος των δεδομένων
- η διάρκεια ή ο μόνιμος χαρακτήρας της επεξεργασίας
- η γεωγραφική έκταση της επεξεργασίας.
Παραδείγματα που δεν συνιστούν επεξεργασία μεγάλης κλίμακας είναι, μεταξύ άλλων, η επεξεργασία δεδομένων ασθενών από ιδιώτη ιατρό και η επεξεργασία δεδομένων που αφορούν ποινικές καταδίκες και αδικήματα από ιδιώτη δικηγόρο.
Ως Εκτελών την Επεξεργασία ορίζεται το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου της επεξεργασίας.
Ο Κανονισμός αναφέρει ότι η πιστοποίηση από εγκεκριμένους και διαπιστευμένους φορείς πιστοποίησης είναι ένας αποδεκτός τρόπος επίδειξης συμμόρφωσης σε σχέση με τον GDPR ωστόσο δεν έχει δημιουργηθεί κάποιος φορέας στην Ελλάδα ο οποίος να πιστοποιεί επιχειρήσεις και οργανισμούς σε σχέση με τον GDPR.
Η γονική συναίνεση απαιτείται για την επεξεργασία των προσωπικών δεδομένων παιδιών ηλικίας κάτω των 16 ετών σε ό,τι αφορά στις ηλεκτρονικές υπηρεσίες. Τα κράτη μέλη μπορούν να νομοθετούν για τον ορισμό ηλικίας συγκατάθεσης μικρότερη των 16 ετών ωστόσο η εν λόγω ηλικία δεν θα πρέπει να είναι μικρότερη των 13 ετών.
Είναι και πάλι υποχρεωτική η συμμόρφωση; Ο κανονισμός GDPR είναι κανονισμός της ΕΕ. Ωστόσο η εφαρμογή του είναι αρκετά ευρεία. Επηρεάζει οποιονδήποτε οργανισμό απευθύνεται ενεργά σε πελάτες ή χρήστες εντός ΕΕ. Δεν αφορά μόνο οργανισμούς με φυσική παρουσία στην ΕΕ. Και πού θα το καταλάβουν; Αυτό μπορεί να γίνει με αρκετούς τρόπους. Για παράδειγμα, μήπως ο τομέας της εταιρείας σας στο διαδίκτυο είναι .eu; Η ιστοσελίδα σας είναι μεταφρασμένη σε ευρωπαϊκές γλώσσες; Αναφέρεται ως συνάλλαγμα το ευρώ; Υπάρχουν παραδείγματα πελατών από την Ευρώπη; Αν απαντήσατε «ναι» σε οποιαδήποτε από τις παραπάνω ερωτήσεις, τότε θα πρέπει να ακολουθήσετε τον κανονισμό GDPR. Είναι αρκετά πιθανό ο οργανισμός σας να χειρίζεται δεδομένα πολιτών της ΕΕ με κάποια μορφή ή τρόπο. Αν νομίζετε ότι αυτό δεν ισχύει, δείτε λίγο τι εννοεί ο κανονισμός όταν αναφέρεται σε προσωπικά δεδομένα. Δεν περιλαμβάνονται μόνο στοιχεία τραπεζικών λογαριασμών, διευθύνσεις email, ευαίσθητες προσωπικές πληροφορίες, αλλά και διευθύνσεις IP. Αν αναλογιστείτε πόσες εταιρείες χρησιμοποιούν στη δουλειά τους διευθύνσεις IP, τότε η νομοθεσία αφορά πολύ περισσότερους. Δείτε λίγο τη μεγαλύτερη εικόνα. Λαμβάνοντας μέτρα για την προστασία των δεδομένων σας, έχετε πολύ μεγαλύτερη ευκαιρία να προστατέψετε την επιχείρησή σας έναντι ηλεκτρονικών απειλών. Είναι ένα τεράστιο βήμα προς τα εμπρός στην αντίληψη του κόσμου για την προστασία των δεδομένων και παράλληλα μια θετική αλλαγή για τους πελάτες σας.
Η Εποπτική Αρχή του κάθε Υπεύθυνου ή Εκτελούντος την Επεξεργασία προσδιορίζεται με βάση την χώρα δραστηριότητά τους. Σε κάθε χώρα ορίζεται μια συγκεκριμένη Εποπτική Αρχή, η οποία παρακολουθεί την δραστηριότητα και την συμμόρφωση με τις επιταγές του Κανονισμού. Στην Ελλάδα έχει οριστεί συνταγματικά η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), η οποία διοικητικά αποτελεί Ανεξάρτητη Διοικητική Αρχή. Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ) είναι ένας ανεξάρτητος ευρωπαϊκός οργανισμός, ο οποίος συμβάλλει στη συνεκτική εφαρμογή των κανόνων προστασίας δεδομένων σε ολόκληρη την Ευρωπαϊκή Ένωση και προάγει τη συνεργασία μεταξύ των αρχών προστασίας δεδομένων της ΕΕ. Συστάθηκε με τον Γενικό Κανονισμό για την Προστασία Δεδομένων (ΓΚΠΔ) και έχει την έδρα του στις Βρυξέλλες. Η Ευρωπαϊκή Επιτροπή και -όσον αφορά θέματα συναφή με τον ΓΚΠΔ- η Εποπτεύουσα Αρχή της ΕΖΕΣ έχουν το δικαίωμα να συμμετέχουν στις δραστηριότητες και στις συνεδριάσεις του ΕΣΠΔ χωρίς δικαίωμα ψήφου.
Ο Κανονισμός αυξάνει σημαντικά τους κινδύνους σχετικά με τη μη συμμόρφωση για τα φυσικά ή νομικά πρόσωπα που επεξεργάζονται δεδομένα. Τα πρόστιμα που προβλέπονται σε περίπτωση παραβίασης της νομοθεσίας για την προστασία των προσωπικών δεδομένων μπορούν να αγγίξουν τα 20 εκατομμύρια ευρώ ή το 4% του ετήσιου παγκόσμιου κύκλου εργασιών, ανάλογα με το ποιο είναι υψηλότερο. Επιπρόσθετα, αυξάνονται οι ελεγκτικές αρμοδιότητες των αρχών για την προστασία των προσωπικών δεδομένων, οι οποίες μπορούν να διενεργούν ελέγχους και επιτόπιες εφόδους, να ζητούν πρόσβαση στα προσωπικά δεδομένα που αποτελούν αντικείμενο επεξεργασίας, κτλπ. Να σημειωθεί ότι σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ο Υπεύθυνος Επεξεργασίας μέσω του Υπεύθυνου Προστασίας Προσωπικών Δεδομένων γνωστοποιεί αμελλητί και εντός 72 ωρών από τη στιγμή που αποκτά γνώση του γεγονότος της παραβίασης των δεδομένων προσωπικού χαρακτήρα στην εποπτική αρχή που είναι αρμόδια, εκτός εάν η παραβίαση δεδομένων προσωπικού χαρακτήρα δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων.
