B. Σωτηρόπουλος: «Η ελευθερία της έκφρασης και η προστασία των προσωπικών δεδομένων»

Κύριε Σωτη­ρό­πουλε, θα κρίνατε ως επι­τυ­χη­μένη την μέχρι τώρα εφαρ­μογή του Γενικού Κανο­νι­σμού για τα Προ­σω­πικά Δεδο­μένα; Ποια είναι η εικόνα (σχεδόν) δύο χρόνια μετά;

Θα είμαι κάπως από­λυ­τος και θα σας πω ότι η εφαρ­μογή δεν είναι επι­τυ­χη­μένη. Διότι δύο χρόνια μετά, ένα ελά­χι­στο ποσοστό του δημό­σιου και του ιδιω­τι­κού τομέα έχουν συμ­μορ­φω­θεί. Δεν μπο­ρούμε να μιλή­σουμε βέβαια ακόμη με αριθ­μούς, ωστόσο θεωρώ ότι η επιβολή προ­στί­μων δεκάδων ή και εκα­το­ντά­δων χιλιά­δων ευρώ, ανα­γκα­στικά θα οδη­γή­σει στην συμ­μόρ­φωση.

Η Ολο­μέ­λεια της Βουλής με τη δια­δι­κα­σία του κατε­πεί­γο­ντος ψήφισε στις 26/08/2019 το νέο νόμο για την προ­στα­σία δεδο­μέ­νων προ­σω­πι­κού χαρα­κτήρα, όπως δια­μορ­φώ­θηκε, ύστερα από τις αλλαγές που έγιναν στο στάδιο της δια­βού­λευ­σης. Τι αλλάζει πλέον;

Οι σημα­ντι­κές αλλαγές αφορούν αρχικά την Αστυ­νο­μία και τις διω­κτι­κές αρχές, όπως το Λιμε­νικό και η Εισαγ­γε­λία, οι οποίες οφεί­λουν πλέον ρητώς να εφαρ­μό­σουν όλες τις δια­τά­ξεις προ­στα­σίας προ­σω­πι­κών δεδο­μέ­νων, προ­σαρ­μο­σμέ­νες βέβαια στις δικές τους συν­θή­κες. Η εκτί­μησή μου είναι ότι η Οδηγία δεν έχει ενσω­μα­τω­θεί ορθά στο εθνικό δίκαιο και θα έχουμε σύντομα σχετική δια­δι­κα­σία συμ­μόρ­φω­σης από την Ε.Ε. Ήσσονος σημα­σίας αλλαγές αφορούν την επε­ξερ­γα­σία δεδο­μέ­νων στον εργα­σιακό τομέα, καθώς και στα μέσα ενη­μέ­ρω­σης. Στην πρώτη περί­πτωση επι­τρέ­πε­ται με κάποιες προ­ϋ­πο­θέ­σεις η επε­ξερ­γα­σία δεδο­μέ­νων στην βάση της συγκα­τά­θε­σης του εργα­ζο­μέ­νου, κάτι το οποίο δεν ήταν ιδιαί­τερα ευδιά­κριτο από τον ίδιο τον Γενικό Κανο­νι­σμό. Στην δεύτερη περί­πτωση υπάρχει σημα­ντική χαλά­ρωση της αυστη­ρό­τη­τας όσον αφορά την χρήση δεδο­μέ­νων από τα μέσα ενη­μέ­ρω­σης.

Σε ποιες περι­πτώ­σεις καθί­στα­ται υπο­χρε­ω­τική η θέση του Υπευ­θύ­νου Προ­στα­σίας Δεδο­μέ­νων (Data Protection Officer);

Υπάρ­χουν δύο κατη­γο­ρίες οργα­νι­σμών που η λει­τουρ­γία ενός Υπεύ­θυ­νου Προ­στα­σίας Δεδο­μέ­νων είναι υπο­χρε­ω­τική. Η πρώτη κατη­γο­ρία αφορά τους δημό­σιους φορείς: σε κάθε δημόσιο φορέα πρέπει να υπη­ρε­τεί Υπεύ­θυ­νος Προ­στα­σίας Δεδο­μέ­νων. Η δεύτερη κατη­γο­ρία αφορά τους ιδιω­τι­κούς φορείς που επε­ξερ­γά­ζο­νται σε μεγάλη κλίμακα (δηλαδή όχι απλά σε τοπικό επίπεδο, αλλά σε επίπεδο περι­φέ­ρειας και πάνω) ευαί­σθητα δεδο­μένα, δηλαδή πλη­ρο­φο­ρίες υγείας, φυλε­τι­κής – εθνικής κατα­γω­γής, πεποι­θή­σεων πολι­τι­κών ή θρη­σκευ­τι­κών και φιλο­σο­φι­κών, συμ­με­το­χής σε συν­δι­κα­λι­στική οργά­νωση και σχε­τι­κών με την σεξουα­λική ζωή και τον προ­σα­να­το­λι­σμό του ατόμου. Σε αυτή την δεύτερη κατη­γο­ρία ανήκουν και οι επι­χει­ρή­σεις και οι μη κερ­δο­σκο­πι­κοί ιδιω­τι­κοί φορείς που ως βασική δρα­στη­ριό­τητά τους περι­λαμ­βά­νε­ται και η συστη­μα­τική παρα­κο­λού­θηση προ­σώ­πων. Έτσι, ο Υπεύ­θυ­νος Προ­στα­σίας Δεδο­μέ­νων είναι υπο­χρε­ω­τι­κός σε δομές του­ρι­σμού, ιατρι­κών υπη­ρε­σιών, εκπαί­δευ­σης, καθώς και δια­δι­κτυα­κών συναλ­λα­γών που επε­ξερ­γά­ζο­νται δεδο­μένα σε επίπεδο που υπερ­βαί­νει το τοπικό.

Έχουν επι­βλη­θεί πρό­στιμα από την Αρχή Προ­στα­σίας Δεδο­μέ­νων Προ­σω­πι­κού Χαρα­κτήρα; Ποιες οι συχνό­τε­ρες παρα­βά­σεις;

Τα σημα­ντικά πρό­στιμα (της τάξης των 150.000 ευρώ) που έχουν επι­βλη­θεί από την Αρχή αφορούν κατά κύριο λόγο την μη συμ­μόρ­φωση με δια­τά­ξεις που αφορούν την επε­ξερ­γα­σία των δεδο­μέ­νων των εργα­ζο­μέ­νων από μεγάλες επι­χει­ρή­σεις. Αφορούν δηλαδή την εργο­δο­σία στον ιδιω­τικό τομέα που δεν έχει ακόμη συμ­μορ­φω­θεί με τις δια­τά­ξεις του Γενικού Κανο­νι­σμού, αλλά και του Ν.4624/2019.

Ο Δημό­σιος τομέας έχει αντα­πο­κρι­θεί στις απαι­τή­σεις του Γενικού Κανο­νι­σμού Προ­στα­σίας Δεδο­μέ­νων; Πως μπορεί να προ­ε­τοι­μα­στεί ένας φορέας του δημο­σίου τομέα για την εφαρ­μογή του GDPR;

Υπάρ­χουν ακόμη και τώρα σημα­ντικά κενά, αλλά υπάρ­χουν προ­κη­ρύ­ξεις δημό­σιων φορέων που ζητούν ειδι­κούς επι­στή­μο­νες για να ανα­λά­βουν την συμ­μόρ­φωσή τους. Η ασφα­λέ­στερη λύση είναι η ανάθεση της συμ­μόρ­φω­σης σε εξει­δι­κευ­μένο δικη­γο­ρικό γραφείο. Το γραφείο μου έχει ανα­λά­βει σημα­ντι­κούς φορείς του δημό­σιου τομέα ήδη πριν την θέση σε εφαρ­μογή του Γενικού Κανο­νι­σμού, κυρίως στον χώρο της τοπικής αυτο­διοί­κη­σης.

Πώς μπορούν τα ξενο­δο­χεία να ανα­βαθ­μί­σουν τις μεθό­δους προ­στα­σίας των προ­σω­πι­κών δεδο­μέ­νων που δια­χει­ρί­ζο­νται;

Τα ξενο­δο­χεία οφεί­λουν αρχικά να έχουν ανά πάσα στιγμή δια­θέ­σιμο το “Αρχείο δρα­στη­ριο­τή­των επε­ξερ­γα­σίας” που επι­βάλ­λει το άρθρο 30 του Γενικού Κανο­νι­σμού Προ­στα­σίας Δεδο­μέ­νων. Έπειτα, εφόσον λει­τουρ­γούν συστή­ματα κλει­στών κυκλω­μά­των τηλε­ό­ρα­σης (CCTV), θα πρέπει να έχει εκπο­νη­θεί για την νόμιμη λει­τουρ­γία τους η “Εκτί­μηση Αντί­κτυ­που” που ορίζει το άρθρο 35 του Γενικού Κανο­νι­σμού. Αυτό σημαί­νει ότι δεν αρκεί η τυχόν παλαιό­τερη γνω­στο­ποί­ηση της λει­τουρ­γίας του CCTV στην Αρχή, αφού η σχετική διάταξη και δια­δι­κα­σία έχει καταρ­γη­θεί νομο­θε­τικά. Έπειτα, τα ξενο­δο­χεία οφεί­λουν να έχουν δια­θέ­τουν μια εσω­τε­ρική Πολι­τική Προ­στα­σίας Προ­σω­πι­κών Δεδο­μέ­νων, ώστε να είναι σε θέση ανά πάσα στιγμή να εκπλη­ρώ­σουν τις υπο­χρε­ώ­σεις γνω­στο­ποί­η­σης περι­στα­τι­κών παρα­βί­α­σης στην Επο­πτική Αρχή. Τέλος, τα ξενο­δο­χεία με διεθνή πελα­τεία, οφεί­λουν σίγουρα να έχουν ορίσει έναν Υπεύ­θυνο Προ­στα­σίας Δεδο­μέ­νων και να έχουν ενη­με­ρώ­σει κατάλ­ληλα τους πελάτες τους για τα στοι­χεία επι­κοι­νω­νίας μαζί του. Από εκεί και πέρα, υπάρ­χουν και άλλες επι­μέ­ρους υπο­χρε­ώ­σεις δια­φά­νειας, όπως το γνωστό έντυπο ενη­μέ­ρω­σης που δίνουν στους πελάτες τους να υπο­γρά­ψουν, το οποίο δεν είναι πάντοτε επι­και­ρο­ποι­η­μένο σωστά κατά τα σχετικά άρθρα του Γενικού Κανο­νι­σμού. Τέλος, υπάρχει και το ζήτημα της εκπαί­δευ­σης του ανθρώ­πι­νου δυνα­μι­κού, ώστε η επε­ξερ­γα­σία δεδο­μέ­νων στην οποία προ­βαί­νει να είναι σε αρμονία με τις ισχύ­ου­σες δια­τά­ξεις. Η συμ­μόρ­φωση είναι μια δια­δι­κα­σία που απαιτεί αφιέ­ρωση σημα­ντι­κών πόρων ώστε μια ξενο­δο­χειακή επι­χεί­ρηση να θωρα­κί­σει την λει­τουρ­γία της.

Τι συμ­βαί­νει με τα μέσα κοι­νω­νι­κής δικτύ­ω­σης; Εκθέ­τουμε εμείς οι ίδιοι -ηθελημένα ή άθελα- τα προ­σω­πικά μας δεδο­μένα ή τα προ­σω­πικά δεδο­μένα τρίτων;

Κεντρι­κός στόχος του ευρω­παίου νομο­θέτη του Γενικού Κανο­νι­σμού Προ­στα­σίας Δεδο­μέ­νων ήταν ακριβώς η εφαρ­μογή κανόνων στα μέσα κοι­νω­νι­κής δικτύ­ω­σης. Αλλά και πριν από την θέση σε εφαρ­μογή του Κανο­νι­σμού ίσχυε ότι δεν επι­τρέ­πε­ται η ανάρ­τηση φωτο­γρα­φιών χωρίς την συγκα­τά­θεση του εικο­νι­ζό­με­νου. Εξαί­ρεση εισά­γε­ται με το άρθρο 28 του Ν.4624/2019 όταν πρό­κει­ται για θέμα γενικού ενδια­φέ­ρο­ντος!