Δέκα ερωτήσεις και απαντήσεις για τον νέο Κανονισμό των προσωπικών δεδομένων

Σημα­ντι­κές αλλαγές θα υπάρ­ξουν από τις 25 Μαΐου στην Ελλάδα και στις άλλες χώρες της Ευρω­παϊ­κής Ένωσης, με την εφαρ­μογή του νέου ευρω­παϊ­κού Γενικού Κανο­νι­σμού για την Προ­στα­σία των Δεδο­μέ­νων, ο οποίος αφορά τη συλλογή, χρήση και απο­θή­κευση των προ­σω­πι­κών δεδο­μέ­νων. Πρό­κει­ται για την πιο σοβαρή μεταρ­ρύθ­μιση σε αυτό τον τομέα από την ίδρυση του δια­δι­κτύου.

Στόχος είναι η εφαρ­μογή αυστη­ρό­τε­ρων κανόνων, προ­κει­μέ­νου οι 250 εκα­τομ­μύ­ρια καθη­με­ρι­νοί χρήστες του δια­δι­κτύου στην Ευρώπη και γενι­κό­τερα οι πολίτες να ελέγ­χουν καλύ­τερα τα online δεδο­μένα τους προ­σω­πι­κού χαρα­κτήρα, τα οποία άλλοι (συνήθως επι­χει­ρή­σεις και μέσα κοι­νω­νι­κής δικτύ­ω­σης) συλ­λέ­γουν και μοι­ρά­ζο­νται με τρίτους (π.χ. δια­φη­μι­στι­κές εται­ρείες).

Οι νέοι κανόνες για την προ­στα­σία της ιδιω­τι­κό­τη­τας θα είναι οι αυστη­ρό­τε­ροι στον κόσμο και προ­βλέ­πουν βαριές ποινές για τις εται­ρείες που θα τους παρα­βιά­σουν. Το πρό­στιμο μπορεί να φθάσει το 4% των ετήσιων εσόδων μιας εται­ρείας, δηλαδή περίπου 1,6 δισε­κα­τομ­μύ­ρια δολάρια στην περί­πτωση του Facebook. Οι ίδιοι κανόνες για την προ­στα­σία των δεδο­μέ­νων των πολιτών και κατα­να­λω­τών θα ισχύουν για όλες τις εται­ρείες που δρα­στη­ριο­ποιού­νται στην ΕΕ, όπου και εάν βρί­σκε­ται η έδρα τους.

Όταν επε­ξερ­γά­ζο­νται τα προ­σω­πικά δεδο­μένα, οι εται­ρείες (τεχνο­λο­γίας, τρά­πε­ζες, ασφα­λι­στι­κές, υγείας, λια­νε­μπο­ρίου κ.α.) πρέπει πλέον να παρέ­χουν σαφείς πλη­ρο­φο­ρίες για ποιούς σκοπούς τα χρη­σι­μο­ποιούν, για πόσο χρονικό διά­στημα τα απο­θη­κεύ­ουν, σε ποιούς άλλους τα κοι­νο­ποιούν και εάν τα δεδο­μένα θα δια­βι­βα­σθούν εκτός της ΕΕ. Οι εται­ρείες πρέπει να παρέ­χουν στοι­χεία επι­κοι­νω­νίας των υπεύ­θυ­νων για την επε­ξερ­γα­σία και προ­στα­σία των δεδο­μέ­νων. Όλες αυτές οι πλη­ρο­φο­ρίες θα πρέπει να δια­τυ­πώ­νο­νται σε σαφή και απλή γλώσσα.

Τα δεδο­μένα προ­σω­πι­κού χαρα­κτήρα μπορούν να συλ­λέ­γο­νται και να απο­τε­λούν αντι­κεί­μενο επε­ξερ­γα­σίας μόνο για σαφώς καθο­ρι­σμένο σκοπό. Κατά τη συλλογή τους, οι εται­ρείες θα ενη­με­ρώ­νουν για ποιό σκοπό θα χρη­σι­μο­ποι­η­θούν τα δεδο­μένα και θα δια­σφα­λί­ζουν ότι δεν θα δια­τη­ρού­νται περισ­σό­τερο χρόνο από όσο είναι ανα­γκαίο.

Οι χρήστες θα έχουν δικαί­ωμα να ζητή­σουν δωρεάν πρό­σβαση στα δεδο­μένα προ­σω­πι­κού χαρα­κτήρα που δια­θέ­τει ένας οργα­νι­σμός και να λάβουν αντί­γραφο. Αν π.χ. κάποιος έχει αγο­ρά­σει μια συσκευή παρα­κο­λού­θη­σης της φυσικής κατά­στα­σής του και έχει εγγρα­φεί σε μια online εφαρ­μογή υγείας που παρα­κο­λου­θεί τη δρα­στη­ριό­τητά του, μπορεί να ζητήσει από τον φορέα εκμε­τάλ­λευ­σης της εφαρ­μο­γής όλες τις πλη­ρο­φο­ρίες που έχουν υπο­βλη­θεί σε επε­ξερ­γα­σία για το άτομό του (όπως οι καρ­δια­κοί παλμοί, οι επι­δό­σεις του κ.α.).

Εφόσον κάποιος έχει αγο­ρά­σει προ­ϊ­ό­ντα από μια επι­χεί­ρηση λια­νι­κής πώλησης στο δια­δί­κτυο, μπορεί να ζητήσει από την εται­ρεία να του δώσει όλα τα δεδο­μένα προ­σω­πι­κού χαρα­κτήρα που αυτή δια­τη­ρεί, ακόμη και των ημε­ρο­μη­νιών και των ειδών των αγορών του.

Ο χρήστης-καταναλωτής έχει επίσης το δικαί­ωμα αντί­τα­ξης στη λήψη online δια­φη­μι­στι­κού υλικού. Αν π.χ. αγόρασε εισι­τή­ρια στο δια­δί­κτυο για μια μουσική συναυ­λία και στη συνέ­χεια βομ­βαρ­δί­ζε­ται με ηλε­κτρο­νι­κές δια­φη­μί­σεις για εκδη­λώ­σεις για τις οποίες δεν ενδια­φέ­ρε­ται, μπορεί να ενη­με­ρώ­σει την εται­ρεία ηλε­κτρο­νι­κής έκδοσης εισι­τη­ρίων ότι δεν θέλει να λαμ­βά­νει πια online δια­φη­μι­στικό υλικό και αυτή πρέπει αμέσως να στα­μα­τή­σει να στέλνει ηλε­κτρο­νικά μηνύ­ματα.

Ακο­λου­θούν δέκα ερω­τα­πα­ντή­σεις που θα βοη­θή­σουν τον καθένα να κατα­λά­βει καλύ­τερα τις επερ­χό­με­νες αλλαγές.

1. Τι αφορά και ποιούς καλύ­πτει ο νέος Κανο­νι­σμός;

Ο νέος Γενικός Κανο­νι­σμός για την Προ­στα­σία Δεδο­μέ­νων (ΓΚΠΔ) της ΕΕ ρυθ­μί­ζει την επε­ξερ­γα­σία από άτομα, εται­ρείες ή οργα­νι­σμούς των δεδο­μέ­νων προ­σω­πι­κού χαρα­κτήρα που αφορούν άτομα στην ΕΕ.

Δεν υπά­γε­ται σε αυτόν η επε­ξερ­γα­σία δεδο­μέ­νων προ­σω­πι­κού χαρα­κτήρα απο­θα­νό­ντων προ­σώ­πων ή νομικών προ­σώ­πων.

2. Πότε δεν θα εφαρ­μό­ζε­ται ο κανο­νι­σμός;

Οι νέοι κανόνες δεν εφαρ­μό­ζο­νται σε δεδο­μένα που υπο­βάλ­λο­νται σε επε­ξερ­γα­σία από ένα άτομο για αυστηρά προ­σω­πι­κούς λόγους ή για δρα­στη­ριό­τη­τες που διε­νερ­γού­νται κατ’ οίκον, εφόσον δεν συν­δέ­ο­νται με επαγ­γελ­μα­τική ή εμπο­ρική δρα­στη­ριό­τητα. Δεν θα εφαρ­μό­ζο­νται αν π.χ. ένα άτομο χρη­σι­μο­ποιεί το ιδιω­τικό του βιβλίο διευ­θύν­σεων για να προ­σκα­λέ­σει φίλους μέσω ηλε­κτρο­νι­κού μηνύ­μα­τος σε μια γιορτή που διορ­γα­νώ­νει (ισχύει η εξαί­ρεση των οικια­κών δρα­στη­ριο­τή­των).

3. Ποιά θεω­ρού­νται δεδο­μένα προ­σω­πι­κού χαρα­κτήρα;

Τα δεδο­μένα προ­σω­πι­κού χαρα­κτήρα είναι πλη­ρο­φο­ρίες που αφορούν ένα ταυ­το­ποι­η­μένο ή ταυ­το­ποι­ή­σιμο εν ζωή άτομο. Δια­φο­ρε­τι­κές πλη­ρο­φο­ρίες οι οποίες, εάν συγκε­ντρω­θούν όλες μαζί, μπορούν να οδη­γή­σουν στην ταυ­το­ποί­ηση ενός συγκε­κρι­μέ­νου ατόμου, απο­τε­λούν επίσης δεδο­μένα προ­σω­πι­κού χαρα­κτήρα.

Τα δεδο­μένα προ­σω­πι­κού χαρα­κτήρα που έχουν κατα­στεί ανώνυμα, έχουν κρυ­πτο­γρα­φη­θεί ή για τα οποία έχουν χρη­σι­μο­ποι­η­θεί ψευ­δώ­νυμα, αλλά τα οποία μπορούν να χρη­σι­μο­ποι­η­θούν για την επα­να­ταυ­το­ποί­ηση ενός ατόμου, παρα­μέ­νουν δεδο­μένα προ­σω­πι­κού χαρα­κτήρα και εμπί­πτουν στο πεδίο εφαρ­μο­γής του ΓΚΠΔ.

Τα δεδο­μένα προ­σω­πι­κού χαρα­κτήρα που έχουν κατα­στεί ανώνυμα έτσι ώστε το άτομο να μην είναι ταυ­το­ποι­ή­σιμο, δεν θεω­ρού­νται πλέον δεδο­μένα προ­σω­πι­κού χαρα­κτήρα. Για να είναι πραγ­μα­τικά ανώνυμα τα δεδο­μένα, η ανω­νυ­μο­ποί­ηση πρέπει να είναι μη αντι­στρέ­ψιμη.

Ο ΓΚΠΔ προ­στα­τεύει τα δεδο­μένα προ­σω­πι­κού χαρα­κτήρα ανε­ξάρ­τητα από την τεχνο­λο­γία που χρη­σι­μο­ποιεί­ται για την επε­ξερ­γα­σία τους. Είναι τεχνο­λο­γικά ουδέ­τε­ρος και εφαρ­μό­ζε­ται τόσο στην αυτο­μα­το­ποι­η­μένη όσο και στη χει­ρο­κί­νητη επε­ξερ­γα­σία. Επίσης, δεν έχει σημασία ο τρόπος που απο­θη­κεύ­ο­νται τα δεδο­μένα – σε ψηφιακή ή έντυπη μορφή.

4. Ποιά είναι χαρα­κτη­ρι­στικά παρα­δείγ­ματα δεδο­μέ­νων προ­σω­πι­κού χαρα­κτήρα και ποιά όχι;

Το όνομα και επώνυμο, η διεύ­θυνση κατοι­κίας, ο αριθμός ταυ­τό­τη­τας, η προ­σω­πική ηλε­κτρο­νική διεύ­θυνση (e-mail), o ανα­γνω­ρι­στι­κός αριθμός τρα­πε­ζι­κής κάρτας, τα δεδο­μένα τοπο­θε­σίας (π.χ. GPS σε κινητό τηλέ­φωνο), η διεύ­θυνση δια­δι­κτυα­κού πρω­το­κόλ­λου (IP) και τα δεδο­μένα υγείας που φυλάσ­σο­νται από νοσο­κο­μείο ή γιατρό.

Παρα­δείγ­ματα δεδο­μέ­νων που δεν θεω­ρού­νται προ­σω­πι­κού χαρα­κτήρα, είναι ο αριθμός μητρώου εται­ρείας, η εται­ρική ηλε­κτρο­νική διεύ­θυνση του τύπου «πλη­ρο­φο­ρίες@εται­ρεία.com» και κάθε είδους ανώνυμα δεδο­μένα.

5. Τι απο­τε­λεί επε­ξερ­γα­σία δεδο­μέ­νων;

Ο όρος «επε­ξερ­γα­σία» καλύ­πτει ένα ευρύ φάσμα πράξεων που πραγ­μα­το­ποιού­νται σε δεδο­μένα προ­σω­πι­κού χαρα­κτήρα, είτε με χει­ρο­κί­νητα είτε με αυτο­μα­το­ποι­η­μένα μέσα. Περι­λαμ­βά­νει τη συλλογή, κατα­χώ­ριση, οργά­νωση, διάρ­θρωση, απο­θή­κευση, προ­σαρ­μογή ή μετα­βολή, ανά­κτηση, ανα­ζή­τηση πλη­ρο­φο­ριών, χρήση, κοι­νο­λό­γηση με δια­βί­βαση, διάδοση ή κάθε άλλη μορφή διά­θε­σης, συσχέ­τιση ή συν­δυα­σμό, περιο­ρι­σμό, δια­γραφή ή κατα­στροφή δεδο­μέ­νων προ­σω­πι­κού χαρα­κτήρα.

Παρα­δείγ­ματα επε­ξερ­γα­σίας απο­τε­λούν η δια­χεί­ριση προ­σω­πι­κού και η μισθο­δο­σία, η προ­σπέ­λαση/ανα­ζή­τηση πλη­ρο­φο­ριών σε βάση δεδο­μέ­νων επαφών που περι­λαμ­βά­νει δεδο­μένα προ­σω­πι­κού χαρα­κτήρα, η απο­στολή δια­φη­μι­στι­κών ηλε­κτρο­νι­κών μηνυ­μά­των, η δημο­σί­ευση/ανάρ­τηση φωτο­γρα­φίας ενός ατόμου σε ιστό­τοπο, η απο­θή­κευση διευ­θύν­σεων IP και η μαγνη­το­σκό­πηση με τηλε­ό­ραση κλει­στού κυκλώ­μα­τος.

6. Θα δει αλλαγές ο χρήστης στο Δια­δί­κτυο μετά τις 25 Μαΐου;

Όχι αισθη­τές. Μια αλλαγή για όσους ζουν στην ΕΕ, θα είναι ότι θα βλέπουν πια να τους «ακο­λου­θούν» λιγό­τε­ρες online δια­φη­μί­σεις μετά από κάποια ηλε­κτρο­νική αγορά τους. Με τους νέους κανόνες, θα γίνει πιο δύσκολη η στο­χευ­μένη ηλε­κτρο­νική δια­φή­μιση που παίρνει «κατά πόδας» τον χρήστη από ιστο­σε­λίδα σε ιστο­σε­λίδα που επι­σκέ­πτε­ται, καθώς θα είναι πιο δύσκολο για τις εται­ρείες να συλ­λέ­γουν και να πουλάνε πλη­ρο­φο­ρίες για τις δια­δι­κτυα­κές συνή­θειες των χρηστών, αφού πρώτα πάρουν την άδεια τους. Έτσι, η online δια­φή­μιση στην Ευρώπη θα τείνει να γίνει πιο γενική, όπως αυτή στην τηλε­ό­ραση, και όχι τόσο στο­χευ­μένη όπως στις ΗΠΑ.

7. Ποιά θα είναι τα νέα δικαιώ­ματα των χρηστών;

Θα έχουν το δικαί­ωμα να λαμ­βά­νουν σαφείς και κατα­νοη­τές πλη­ρο­φο­ρίες για το ποιός επε­ξερ­γά­ζε­ται τα προ­σω­πικά δεδο­μένα τους και γιατί. Θα μπορούν να ζητούν από όλες τις εται­ρείες να έχουν οι ίδιοι πρό­σβαση και να μαθαί­νουν ποιά ακριβώς στοι­χεία οι εται­ρείες δια­τη­ρούν γι’ αυτούς.

Θα έχουν επίσης το δικαί­ωμα στη «λήθη», δηλαδή, αν θέλουν, θα απαι­τούν αυτά τα δεδο­μένα να δια­γρα­φούν από τις βάσεις δεδο­μέ­νων των εται­ρειών. Αυτό δεν θα αφορά μόνο τις εται­ρείες τεχνο­λο­γίας (π.χ. Facebook ή Google), αλλά τρά­πε­ζες, κατα­στή­ματα λια­νε­μπο­ρίου και οποια­δή­ποτε άλλη εται­ρεία ή οργα­νι­σμό κρατά προ­σω­πικά δεδο­μένα, του εργο­δότη συμπε­ρι­λαμ­βα­νο­μέ­νου.

Για παρά­δειγμα, θα μπορεί κανείς, αν δεν είναι δημόσιο πρόσωπο, να ζητήσει από μία μηχανή ανα­ζή­τη­σης (π.χ. Google) να δια­γρά­ψει τους συν­δέ­σμους (links), όπως ένα άρθρο εφη­με­ρί­δας, που ανα­φέ­ρο­νται σε μια προ­σω­πική υπόθεση του παρελ­θό­ντος.

Αν, αντί­στροφα, online προ­σω­πικά δεδο­μένα χαθούν ή κλαπούν, η εται­ρεία πρέπει μέσα σε 72 ώρες να ενη­με­ρώ­σει το άτομο και, αν δεν το κάνει, κιν­δυ­νεύει με πρό­στιμο. Εάν κάποιος έχει υποστεί ζημία, μπορεί επίσης να ζητήσει απο­ζη­μί­ωση προ­σφεύ­γο­ντας στη δικαιο­σύνη. Με δεδο­μέ­νες τις συχνές κυβερ­νο­ε­πι­θέ­σεις χάκερ κατά εται­ρειών, γίνεται αντι­λη­πτή η σημασία αυτού του δικαιώ­μα­τος.

Αν ο χρήστης-πολίτης υπο­ψιά­ζε­ται ότι γίνεται κατά­χρηση στη συλλογή δεδο­μέ­νων που τον αφορούν, μπορεί να προ­σφύ­γει στην αρμόδια εθνική αρχή προ­στα­σίας προ­σω­πι­κών δεδο­μέ­νων, η οποία υπο­χρε­ού­ται να ερευ­νή­σει το ζήτημα. Οι πολίτες μπορούν να προ­σφύ­γουν και ομαδικά ενα­ντίον κάποιας εται­ρείας, κάτι που έως τώρα ήταν ασυ­νή­θι­στο στην Ευρώπη, αντί­θετα με τις ΗΠΑ.

Οργα­νώ­σεις πολιτών μπορούν να προ­σφύ­γουν για λογα­ρια­σμό ομάδων πολιτών. Αν μία υπόθεση κερ­δη­θεί, ανα­μέ­νε­ται να δημιουρ­γη­θεί νομικό προη­γού­μενο και για άλλες υπο­θέ­σεις, κάτι που θα ανα­γκά­σει τις εται­ρείες να πάρουν το ζήτημα της ιδιω­τι­κό­τη­τας πιο σοβαρά.

Επίσης, δίνεται το δικαί­ωμα της «φορη­τό­τη­τας δεδο­μέ­νων», δηλαδή δεν θα επι­τρέ­πε­ται τα δεδο­μένα ενός προ­σώ­που να «κλει­δώ­νο­νται» σε μια εται­ρεία ή πάροχο υπη­ρε­σιών. Οι εται­ρείες είναι υπο­χρε­ω­μέ­νες να επι­τρέ­πουν στο χρήστη-καταναλωτή να «κατε­βά­ζει» τα προ­σω­πικά δεδο­μένα του και να τα μετα­φέ­ρει σε αντα­γω­νι­στική εται­ρεία, είτε πρό­κει­ται για οικο­νο­μικά στοι­χεία από τράπεζα σε τράπεζα, είτε για τη μετα­φορά μιας playlist τρα­γου­διών από το Spotify σε αντα­γω­νι­στική μουσική υπη­ρε­σία streaming.

8. Οι χρήστες-καταναλωτές έχουν κατα­λά­βει τι γίνεται;

Πολλοί όχι δυστυ­χώς. Ήδη αρκετές εται­ρείες ενη­με­ρώ­νουν με e-mail και άλλους τρόπους τους χρήστες για τη νέα πολι­τική τους σχετικά με τα προ­σω­πικά δεδο­μένα, αλλά ο νόμος επι­βάλ­λει οι όροι να είναι γραμ­μέ­νοι απλά και όχι νομι­κί­στικα, κάτι που συχνά δεν συμ­βαί­νει. Επίσης οι εται­ρείες πρέπει να δίνουν στον καθένα την επιλογή να μπλο­κά­ρει τη συλλογή πλη­ρο­φο­ριών που τον αφορούν. Όμως συχνά οι χρήστες συναι­νούν βια­στικά, χωρίς να κατα­λα­βαί­νουν και χωρίς να αξιο­ποιούν τις νέες δυνα­τό­τη­τες που έχουν.

9. Εκτός από τους χρήστες, οι εται­ρείες έχουν κάτι να ωφε­λη­θούν από τους νέους κανόνες;

Οι εται­ρείες πλέον θα έχουν να κάνουν όχι με μια γρα­φειο­κρα­τική παν­σπερ­μία δια­φο­ρε­τι­κών εθνικών κανο­νι­σμών, αλλά με ενιαί­ους πανευ­ρω­παϊ­κούς και προ­βλέ­ψι­μους κανόνες. Αυτό θα διευ­κο­λύ­νει, σύμφωνα με την Ευρω­παϊκή Επι­τροπή, τις διε­θνείς ψηφια­κές συναλ­λα­γές και την επέ­κταση σε άλλες χώρες και νέες αγορές, ιδίως όσον αφορά τις μικρό­τε­ρες εται­ρείες. Οι κανόνες θα είναι ίδιοι για τις εγκα­τε­στη­μέ­νες στην ΕΕ εται­ρείες και για όσες έχουν έδρα εκτός ΕΕ (π.χ. ΗΠΑ), αλλά λει­τουρ­γούν στην ΕΕ. Η αύξηση της εμπι­στο­σύ­νης των κατα­να­λω­τών χάρη στους νέους κανόνες προ­στα­σίας των προ­σω­πι­κών δεδο­μέ­νων τελικά θα ωφε­λή­σει οικο­νο­μικά τις εται­ρείες.

10. Πόσο απο­τε­λε­σμα­τι­κός θα είναι ο νέος Κανο­νι­σμός στην πράξη;

Είναι πολύ νωρίς να εκτι­μή­σει κανείς, ίσως χρεια­σθούν χρόνια. Πολλά θα εξαρ­τη­θούν από το πόσο αυστηρά οι εθνικές επο­πτι­κές αρχές θα εφαρ­μό­σουν τους νέους κανόνες. Δυστυ­χώς, μια πρό­σφατη έρευνα του πρα­κτο­ρείου Ρόιτερς μεταξύ των ρυθ­μι­στι­κών αρχών των χωρών της ΕΕ, κατέ­ληξε στο συμπέ­ρα­σμα ότι πολλοί από αυτούς τους ανε­ξάρ­τη­τους φορείς δεν είναι έτοιμοι ακόμη.

Οι 17 από τις 24 Αρχές που απά­ντη­σαν, δήλωσαν ότι είτε δεν έχουν την ανα­γκαία χρη­μα­το­δό­τηση, είτε επαρκές προ­σω­πικό, είτε τις ανα­γκαίες εξου­σίες για να εφαρ­μό­σουν τους νέους κανόνες. Επι­πλέον, σε αρκετές χώρες θα περά­σουν μήνες, εωσότου οι κυβερ­νή­σεις ενσω­μα­τώ­σουν το νέο ευρω­παϊκό κανο­νι­σμό στην εθνική νομο­θε­σία τους. Οι περισ­σό­τε­ρες Αρχές θα αντα­πο­κρι­θούν στα παρά­πονα των πολιτών, αλλά ελά­χι­στες θα δράσουν αυτό­βουλα για να δια­σφα­λί­σουν ότι οι εται­ρείες συμ­μορ­φώ­νο­νται με τους νέους κανόνες.

Έτσι, κρίσιμο ρόλο στην Ελλάδα και κάθε άλλη χώρα θα παίξει πόσο απο­φα­σι­στικά οι χρήστες-πολίτες θα διεκ­δι­κή­σουν τα δικαιώ­ματά τους και θα αξιο­ποι­ή­σουν το νέο θεσμικό πλαίσιο. Τελικά, θα φανεί πόσο πράγ­ματι νοιά­ζο­νται οι άνθρω­ποι για τα προ­σω­πικά δεδο­μένα τους.

Πηγή: ΑΠΕ-ΜΠΕ