Υποχρεώσεις Επιχειρήσεων για Προσωπικά Δεδομένα κατά τον ΓΚΠΔ και τον Ν. 4624/2019
Η προστασία των δεδομένων προσωπικού χαρακτήρα αποτελεί πλέον βασική υποχρέωση κάθε επιχείρησης που δραστηριοποιείται στην Ελλάδα και στην Ευρωπαϊκή Ένωση.
Νομικό Πλαίσιο
Τα κύρια νομοθετικά κείμενα που ρυθμίζουν το συγκεκριμένο θέμα, είναι τα εξής:
- Ο Κανονισμός (ΕΕ) 2016/679 (Γενικός Κανονισμός Προστασίας Δεδομένων, ΓΚΠΔ/GDPR)
- Ο Ν. 4624/2019, εφαρμοστικός νόμο του ΓΚΠΔ/GDPR στην ελληνική έννομη τάξη
- Οι κατευθυντήριες γραμμές του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (EDPB)
- Οι αποφάσεις και οδηγίες της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ)
Αρχές Επεξεργασίας Δεδομένων
Ο ΓΚΠΔ θεμελιώνεται σε έξι βασικές αρχές (άρθρο 5), τις οποίες κάθε επιχείρηση οφείλει να τηρεί σε κάθε πράξη επεξεργασίας, ενώ οι αρχές αυτές λειτουργούν ως πυξίδα για κάθε απόφαση που αφορά προσωπικά δεδομένα.
Η αρχή της νομιμότητας, αντικειμενικότητας και διαφάνειας απαιτεί τα δεδομένα να υποβάλλονται σε επεξεργασία με βάση νομική βάση, κατά τρόπο θεμιτό και με διαφάνεια ως προς τα υποκείμενα.
Η αρχή του περιορισμού του σκοπού σημαίνει ότι τα δεδομένα συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία ασυμβίβαστη με αυτούς.
Η αρχή της ελαχιστοποίησης των δεδομένων επιβάλλει τη συλλογή μόνο των δεδομένων που είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο. Η αρχή της ακρίβειας, η αρχή του περιορισμού της περιόδου αποθήκευσης και η αρχή της ακεραιότητας και εμπιστευτικότητας συμπληρώνουν το πλαίσιο.
Ιδιαίτερη σημασία έχει η αρχή της λογοδοσίας (accountability, άρθρο 5 παρ. 2 ΓΚΠΔ), σύμφωνα με την οποία ο υπεύθυνος επεξεργασίας (controller) φέρει το βάρος απόδειξης της συμμόρφωσής του.
Τούτο διότι δεν αρκεί η τυπική τήρηση των κανόνων. Η επιχείρηση πρέπει να μπορεί να αποδείξει, με τεκμηρίωση, ότι τηρεί τις αρχές του Κανονισμού.
Εξάλλου, το Δικαστήριο της ΕΕ (ΔΕΕ), στην υπόθεση C-807/21 (Deutsche Wohnen, 5.12.2023), έκρινε ότι η επιβολή προστίμου σε νομικό πρόσωπο δεν προϋποθέτει τον εντοπισμό συγκεκριμένου φυσικού προσώπου που υπέπεσε στην παράβαση.
Αρκεί η διαπίστωση ότι η επιχείρηση, ως υπεύθυνος επεξεργασίας, ενήργησε με δόλο ή έστω αμέλεια.
Νομικές Βάσεις Επεξεργασίας
Κάθε πράξη επεξεργασίας πρέπει να στηρίζεται σε μία τουλάχιστον από τις έξι νομικές βάσεις του άρθρου 6 ΓΚΠΔ. Οι τρεις βάσεις που αφορούν κατ’ εξοχήν τις επιχειρήσεις είναι:
- η συγκατάθεση του υποκειμένου (άρθρο 6 παρ. 1 στοιχ. α’)
- η αναγκαιότητα για την εκτέλεση σύμβασης (άρθρο 6 παρ. 1 στοιχ. β’) και
- το έννομο συμφέρον του υπευθύνου επεξεργασίας (άρθρο 6 παρ. 1 στοιχ. στ’).
Περαιτέρω, η συγκατάθεση πρέπει να είναι ελεύθερη, ρητή, ειδική και εν πλήρει γνώσει (άρθρο 7 ΓΚΠΔ).
Στην πράξη, η συγκατάθεση δεν αποτελεί πάντοτε την καταλληλότερη βάση, ιδίως σε εργασιακό πλαίσιο, όπου η ανισορροπία δύναμης μεταξύ εργοδότη και εργαζομένου θέτει υπό αμφισβήτηση τον ελεύθερο χαρακτήρα της.
Σε τέτοιες περιπτώσεις, η επεξεργασία στηρίζεται κατά κανόνα στην εκτέλεση της σύμβασης εργασίας ή στο έννομο συμφέρον, με τους περιορισμούς που θέτει η σχετική ανάλυση για την προστασία της ιδιωτικής ζωής των εργαζομένων.
Τέλος, το έννομο συμφέρον προϋποθέτει στάθμιση μεταξύ των συμφερόντων της επιχείρησης και των δικαιωμάτων του υποκειμένου. Η στάθμιση αυτή πρέπει να τεκμηριώνεται εγγράφως (“legitimate interest assessment“) και να λαμβάνει υπόψη τη φύση των δεδομένων, τις εύλογες προσδοκίες του υποκειμένου και τα μέτρα προστασίας που εφαρμόζει η επιχείρηση.
Ειδικές Κατηγορίες Δεδομένων
Τα δεδομένα ειδικών κατηγοριών (ευαίσθητα δεδομένα – άρθρο 9 ΓΚΠΔ) περιλαμβάνουν, μεταξύ άλλων, δεδομένα υγείας, βιομετρικά δεδομένα, δεδομένα πολιτικών φρονημάτων και σεξουαλικού προσανατολισμού.
Η επεξεργασία τους απαγορεύεται κατ’ αρχήν, εκτός αν συντρέχει μία από τις εξαιρέσεις του άρθρου 9 παρ. 2 ΓΚΠΔ.
Επιπλέον, ο Ν. 4624/2019 (άρθρα 22 – 27) εισάγει πρόσθετες προϋποθέσεις για την επεξεργασία ευαίσθητων δεδομένων στην Ελλάδα, ιδίως ως προς τα γενετικά δεδομένα και τα δεδομένα υγείας στον ασφαλιστικό τομέα.
Στην πράξη, πολλές επιχειρήσεις επεξεργάζονται ευαίσθητα δεδομένα χωρίς να το αντιλαμβάνονται.
Ενδεικτικά, η λήψη βιομετρικών δεδομένων για έλεγχο πρόσβασης εργαζομένων ή η διαχείριση αναρρωτικών αδειών συνιστούν επεξεργασία ευαίσθητων δεδομένων που χρήζει ειδικής νομικής βάσης.
Δικαιώματα Υποκειμένων
Ο ΓΚΠΔ κατοχυρώνει δέσμη δικαιωμάτων υπέρ των φυσικών προσώπων (άρθρα 15-22), τα οποία η επιχείρηση πρέπει να ικανοποιεί εντός προθεσμίας ενός μηνός (με δυνατότητα παράτασης δύο ακόμη μηνών σε σύνθετες περιπτώσεις).
Τα κυριότερα δικαιώματα περιλαμβάνουν το δικαίωμα πρόσβασης, διόρθωσης, διαγραφής («δικαίωμα στη λήθη»), περιορισμού της επεξεργασίας, φορητότητας δεδομένων και εναντίωσης.
Το ΔΕΕ, στην υπόθεση C-154/21 (Österreichische Post, 12.1.2023), έκρινε ότι κατά την άσκηση του δικαιώματος πρόσβασης, το υποκείμενο δικαιούται να λάβει πληροφορίες για τους συγκεκριμένους αποδέκτες στους οποίους διαβιβάστηκαν τα δεδομένα του, και όχι απλώς τις κατηγορίες αποδεκτών.
Η απόφαση αυτή έχει πρακτικές συνέπειες για τις επιχειρήσεις, οι οποίες οφείλουν να τηρούν αναλυτικά αρχεία διαβιβάσεων.
Τέλος, η ΑΠΔΠΧ έχει επιβάλει πρόστιμα ύψους 220.000 ευρώ σε τράπεζα για σοβαρές καθυστερήσεις στην ικανοποίηση αιτημάτων πρόσβασης (ΑΠΔΠΧ 1/2025), καθιστώντας σαφές ότι η εμπρόθεσμη ανταπόκριση δεν αποτελεί απλή τυπική υποχρέωση.
Υπεύθυνος Επεξεργασίας και Εκτελών
Η διάκριση μεταξύ υπευθύνου επεξεργασίας (controller) και εκτελούντος την επεξεργασία (processor) αποτελεί θεμέλιο του ΓΚΠΔ, καθώς καθορίζει τις υποχρεώσεις και τις ευθύνες κάθε μέρους.
Ο υπεύθυνος επεξεργασίας καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας, ενώ ο εκτελών την επεξεργασία ενεργεί κατ’ εντολή του υπευθύνου.
Στις σύγχρονες επιχειρηματικές σχέσεις, η διάκριση αυτή δεν είναι πάντοτε ευχερής.
Το ΔΕΕ, στην υπόθεση C-683/21 (Nacionalinis visuomenės sveikatos centras, 5.12.2023), αποσαφήνισε ότι η ιδιότητα του από κοινού υπευθύνου επεξεργασίας (“joint controller“) μπορεί να προκύψει ακόμη και χωρίς τυπική συμφωνία ή κοινή απόφαση μεταξύ των μερών, αρκεί τα μέρη να ασκούν από κοινού επιρροή στην επεξεργασία.
Παράλληλα, έκρινε ότι ο υπεύθυνος επεξεργασίας δεν ευθύνεται για πράξεις του εκτελούντος που γίνονται για ίδιους σκοπούς του τελευταίου, πέραν των εντολών του υπευθύνου.
Σε τέτοιες περιπτώσεις, ο εκτελών καθίσταται ο ίδιος υπεύθυνος επεξεργασίας (άρθρο 28 παρ. 10 ΓΚΠΔ).
Η σύμβαση επεξεργασίας (data processing agreement – DPA) μεταξύ υπευθύνου και εκτελούντος αποτελεί νομική υποχρέωση (άρθρο 28 παρ. 3 ΓΚΠΔ) και πρέπει να ρυθμίζει, τουλάχιστον, το αντικείμενο και τη διάρκεια της επεξεργασίας, τη φύση και τον σκοπό, τον τύπο δεδομένων, τα μέτρα ασφαλείας και τις υποχρεώσεις του εκτελούντος.
Η σύναψη τέτοιων συμβάσεων είναι ιδιαίτερα κρίσιμη στις σχέσεις με παρόχους υπηρεσιών λογισμικού ως υπηρεσίας (SaaS), cloud hosting, μισθοδοσίας και εξωτερικών λογιστών.
Υπεύθυνος Προστασίας Δεδομένων (DPO)
Ο ορισμός Υπευθύνου Προστασίας Δεδομένων (Data Protection Officer, DPO) είναι υποχρεωτικός σε τρεις περιπτώσεις (άρθρο 37 ΓΚΠΔ):
- Πρώτον, όταν η επεξεργασία διενεργείται από δημόσια αρχή ή φορέα.
- Δεύτερον, όταν οι βασικές δραστηριότητες της επιχείρησης συνίστανται σε πράξεις επεξεργασίας που απαιτούν τακτική και συστηματική παρακολούθηση υποκειμένων σε μεγάλη κλίμακα.
- Τρίτον, όταν οι βασικές δραστηριότητες συνίστανται στην επεξεργασία ειδικών κατηγοριών δεδομένων σε μεγάλη κλίμακα.
Ο ρόλος του DPO είναι συμβουλευτικός και εποπτικός, χωρίς ο ίδιος να φέρει προσωπική ευθύνη για τη μη συμμόρφωση, ενώ ο Ν. 4624/2019 (άρθρο 6) εξειδικεύει τις προϋποθέσεις ορισμού DPO στους δημόσιους φορείς.
Η ΑΠΔΠΧ έχει ήδη επιβάλει πρόστιμα σε δημόσιους φορείς για μη ορισμό DPO (ενδεικτικά, ΑΠΔΠΧ 43/2024, πρόστιμο 50.000 ευρώ σε Υπουργείο), γεγονός που υπογραμμίζει τη σημασία της υποχρέωσης αυτής.
Ακόμη και στις περιπτώσεις που ο ορισμός DPO δεν είναι υποχρεωτικός, η ύπαρξη ενός ατόμου ή εξωτερικού συνεργάτη με αρμοδιότητα εποπτείας της συμμόρφωσης διευκολύνει σημαντικά τη λειτουργία της επιχείρησης.
Εκτίμηση Αντικτύπου (DPIA)
Η εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (Data Protection Impact Assessment, DPIA) απαιτείται όταν μια μορφή επεξεργασίας ενδέχεται να δημιουργήσει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες φυσικών προσώπων (άρθρο 35 ΓΚΠΔ).
Ενδεικτικές περιπτώσεις ανάγκης ύπαρξης εκτίμησης αντικτύπου για τη επιχείρηση είναι: (i) η συστηματική αξιολόγηση προσωπικών πτυχών (profiling), (ii) η μεγάλης κλίμακας επεξεργασία ευαίσθητων δεδομένων και (iii) η συστηματική παρακολούθηση δημόσια προσβάσιμων χώρων, όπως η βιντεοεπιτήρηση εργασιακών χώρων.
Η ΑΠΔΠΧ έχει δημοσιεύσει κατάλογο με τα είδη πράξεων επεξεργασίας που υπόκεινται σε DPIA. Η παράλειψη διενέργειας DPIA, όταν αυτή απαιτείται, συνιστά αυτοτελή παράβαση του ΓΚΠΔ.
Γνωστοποίηση Παραβιάσεων Δεδομένων
Σε περίπτωση παραβίασης δεδομένων (“data breach“), ο υπεύθυνος επεξεργασίας υποχρεούται να γνωστοποιήσει το περιστατικό στην ΑΠΔΠΧ εντός 72 ωρών από τη στιγμή που λαμβάνει γνώση (άρθρο 33 ΓΚΠΔ), εκτός αν η παραβίαση δεν ενδέχεται να θέσει σε κίνδυνο τα δικαιώματα των υποκειμένων.
Αν η παραβίαση ενέχει υψηλό κίνδυνο, ο υπεύθυνος πρέπει να ανακοινώσει το περιστατικό και στα ίδια τα υποκείμενα (άρθρο 34 ΓΚΠΔ).
Το ΔΕΕ, στην υπόθεση C-340/21 (Natsionalna agentsia za prihodite, 14.12.2023), αποσαφήνισε τρία κρίσιμα ζητήματα σχετικά με την ευθύνη σε περίπτωση παραβίασης:
- Πρώτον, η απλή διαπίστωση παραβίασης δεν αρκεί από μόνη της για να θεμελιώσει ευθύνη του υπευθύνου επεξεργασίας. Ο υπεύθυνος μπορεί να αποδείξει ότι έλαβε κατάλληλα τεχνικά και οργανωτικά μέτρα.
- Δεύτερον, ο φόβος του υποκειμένου για πιθανή κατάχρηση των δεδομένων του μετά από κυβερνοεπίθεση μπορεί να συνιστά ηθική βλάβη (μη υλική ζημία) κατά το άρθρο 82 ΓΚΠΔ.
- Τρίτον, το βάρος απόδειξης της καταλληλότητας των μέτρων ασφαλείας φέρει ο υπεύθυνος επεξεργασίας.
Η παραπάνω απόφαση έχει μεγάλη πρακτική σημασία, καθώς διευρύνει τις περιπτώσεις αποζημίωσης και καθιστά επιτακτική την τήρηση απ΄ο τις επιχειρήσεις αυστηρών μέτρων κυβερνοασφάλειας.
Αρχεία Δραστηριοτήτων Επεξεργασίας
Κάθε επιχείρηση με περισσότερους από 250 εργαζομένους, καθώς και κάθε επιχείρηση ανεξαρτήτως μεγέθους που διενεργεί επεξεργασία η οποία ενδέχεται να δημιουργήσει κίνδυνο, είναι τακτική ή αφορά ευαίσθητα δεδομένα, υποχρεούται να τηρεί αρχεία δραστηριοτήτων επεξεργασίας (άρθρο 30 ΓΚΠΔ).
Στην πράξη, η εξαίρεση αφορά ελάχιστες επιχειρήσεις, καθώς σχεδόν κάθε εταιρεία επεξεργάζεται δεδομένα εργαζομένων και πελατών τακτικά.
Τα αρχεία πρέπει να περιλαμβάνουν, μεταξύ άλλων, τα στοιχεία του υπευθύνου επεξεργασίας, τους σκοπούς, τις κατηγορίες δεδομένων και υποκειμένων, τους αποδέκτες, τις προθεσμίες διαγραφής και τα μέτρα ασφαλείας.
Διαβίβαση Δεδομένων σε Τρίτες Χώρες
Η διαβίβαση προσωπικών δεδομένων εκτός ΕΕ/ΕΟΧ επιτρέπεται μόνο υπό τις προϋποθέσεις των άρθρων 44 – 49 ΓΚΠΔ.
Οι κυριότεροι μηχανισμοί ελέγχου είναι (i) η απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής (άρθρο 45), (ii) οι τυποποιημένες συμβατικές ρήτρες (Standard Contractual Clauses, SCCs, άρθρο 46 παρ. 2 στοιχ. γ΄) και (iii) οι δεσμευτικοί εταιρικοί κανόνες (Binding Corporate Rules, BCRs, άρθρο 47).
Μετά την απόφαση του ΔΕΕ στην υπόθεση Schrems II (C-311/18, 16.7.2020), κάθε διαβίβαση στηριζόμενη σε SCCs πρέπει να συνοδεύεται από εκτίμηση αντικτύπου της διαβίβασης (Transfer Impact Assessment, TIA), η οποία αξιολογεί αν η νομοθεσία της τρίτης χώρας παρέχει ουσιαστικά ισοδύναμη προστασία.
Για τις ΗΠΑ, ισχύει πλέον το EU-US Data Privacy Framework (απόφαση επάρκειας της 10.7.2023), το οποίο παρέχει νομική βάση για τη διαβίβαση σε πιστοποιημένους αμερικανικούς οργανισμούς.
Για τις επιχειρήσεις που χρησιμοποιούν υπηρεσίες cloud computing ή ηλεκτρονικού εμπορίου, η ταυτοποίηση του τόπου αποθήκευσης και επεξεργασίας των δεδομένων αποτελεί προϋπόθεση συμμόρφωσης.
Κυρώσεις
Ο ΓΚΠΔ προβλέπει δύο βαθμίδες διοικητικών προστίμων (άρθρο 83). Για παραβάσεις οργανωτικής φύσεως (π.χ. μη τήρηση αρχείων, μη ορισμός DPO), τα πρόστιμα ανέρχονται έως 10.000.000 ευρώ ή 2% του ετήσιου παγκόσμιου κύκλου εργασιών.
Για παραβάσεις ουσιαστικής φύσεως (π.χ. επεξεργασία χωρίς νομική βάση, παραβίαση δικαιωμάτων υποκειμένων), τα πρόστιμα φθάνουν τα 20.000.000 ευρώ ή 4% του κύκλου εργασιών.
Περαιτέρω, αξίζει να σημειωθεί ότι η ΑΠΔΠΧ εφαρμόζει ενεργά τις κυρώσεις. Ενδεικτικά, τα τελευταία έτη έχει επιβάλει πρόστιμο 210.000 ευρώ σε τράπεζα για επεξεργασία δεδομένων 23.259 πελατών χωρίς νόμιμη αιτία (ΑΠΔΠΧ 25/2023), πρόστιμο 400.000 ευρώ σε Υπουργείο για διαρροή εκλογικής λίστας (ΑΠΔΠΧ 16/2024) και πρόστιμα σε δημόσιους φορείς για μη ορισμό DPO.
Η Ελλάδα κατατάσσεται μεταξύ των κρατών μελών με τη μεγαλύτερη δραστηριότητα επιβολής προστίμων GDPR ως προς τον αριθμό αποφάσεων.
Πέραν των διοικητικών κυρώσεων, ο Ν. 4624/2019 (άρθρα 38 – 39) προβλέπει ποινικές κυρώσεις για σοβαρές παραβάσεις, ενώ η αστική ευθύνη (αποζημίωση κατά το άρθρο 82 ΓΚΠΔ) αποτελεί αυτοτελή βάση αξίωσης του θιγέντος.
Πρακτικές Επισημάνσεις
Χαρτογράφηση δεδομένων («data mapping»)
Η πρώτη ενέργεια κάθε προγράμματος συμμόρφωσης είναι η καταγραφή όλων των κατηγοριών δεδομένων που συλλέγει, αποθηκεύει και διαβιβάζει η επιχείρηση. Χωρίς αυτή, κανένα μέτρο δεν μπορεί να εφαρμοστεί στοχευμένα.
Πολιτικές απορρήτου
Κάθε ιστοσελίδα, e-shop ή εφαρμογή, πρέπει να διαθέτει ενημερωμένη πολιτική απορρήτου που περιγράφει με σαφήνεια τους σκοπούς επεξεργασίας, τις νομικές βάσεις, τους αποδέκτες, τις περιόδους αποθήκευσης και τα δικαιώματα του υποκειμένου.
Σύμβαση επεξεργασίας με τρίτους
Κάθε εξωτερικός συνεργάτης που αποκτά πρόσβαση σε προσωπικά δεδομένα (λογιστής, πάροχος μισθοδοσίας, hosting, CRM, marketing tools) πρέπει να έχει υπογράψει σύμβαση επεξεργασίας (DPA) σύμφωνη με το άρθρο 28 ΓΚΠΔ.
Πρωτόκολλο αντιμετώπισης παραβιάσεων.
Η επιχείρηση πρέπει να έχει εκ των προτέρων σχέδιο δράσης (incident response plan) που καθορίζει ποιος ειδοποιεί, πώς αξιολογείται η σοβαρότητα και πώς γίνεται η γνωστοποίηση εντός 72 ωρών. Η απουσία πρωτοκόλλου σε περίπτωση παραβίασης πολλαπλασιάζει τις αρνητικές συνέπειες.
Τεκμηρίωση και αρχή λογοδοσίας
Η τήρηση αρχείων επεξεργασίας, εκτιμήσεων αντικτύπου, σταθμίσεων εννόμου συμφέροντος και αποδεικτικών συγκατάθεσης δεν αποτελεί γραφειοκρατική υπερβολή. Αποτελεί το μέσο με το οποίο η επιχείρηση αποδεικνύει τη συμμόρφωσή της σε περίπτωση ελέγχου.
Εκπαίδευση προσωπικού
Η πλειονότητα των παραβιάσεων οφείλεται σε ανθρώπινο σφάλμα. Η τακτική εκπαίδευση του προσωπικού σε θέματα προστασίας δεδομένων στον χώρο εργασίας και εμπιστευτικότητας αποτελεί μέτρο υψηλής απόδοσης και χαμηλού κόστους.
Το Δικηγορικό μας Γραφείο, για περισσότερα από 20 χρόνια εξειδικεύεται στο Εταιρικό και Εμπορικό Δίκαιο. Επικοινωνήστε μαζί μας για σας καθοδηγήσουμε και να σας συμβουλεύσουμε για τη συμμόρφωση σχετικά με τον GDPR.





