Η Ελληνική Πολιτική Προστασία Προσωπικών Δεδομένων: Από το Γενικό Δίκαιο στο Ειδικό Νόμιμο Πλαίσιο

Η προστασία των προσωπικών δεδομένων αποτελεί ένα από τα πιο σημαντικά θέματα της σύγχρονης νομοθεσίας, ιδιαίτερα μετά την ευρωπαϊκή οδηγία GDPR. Στην Ελλάδα, το πλαίσιο αυτό έχει εξελιχθεί από τη γενική φύση του Ελληνικού Κώδικα Πολιτικής Προστασίας Προσωπικών Δεδομένων (Κ.Π.Π.Δ.) του 2000, που παρέμενε ασαφές και περιορισμένο, προς ένα πιο ολοκληρωμένο και διεθνώς σύγχρονο νομικό σύστημα. Το νέο πλαίσιο, που εισήχθη με τον αυτός ο σύνδεσμος, αποτελεί μια προσπάθεια να συγχρονιστεί η ελληνική νομοθεσία με τις ευρωπαϊκές προδιαγραφές, ενώ παράλληλα να προσαρμοστεί στις τοπικές ανάγκες.

Ο τελευταίος νόμος, που υιοθετήθηκε με το ΦΕΚ 149/Α/2022, βασίζεται στο Γενικό Δίκαιο Προστασίας Δεδομένων της Ευρωπαϊκής Ένωσης (GDPR) και εισάγει αυστηρότερα ελάχιστα πρότυπα για την επεξεργασία προσωπικών δεδομένων. Ο νόμος ορίζει συγκεκριμένες υποχρεώσεις για τις επιχειρήσεις και τους οργανισμούς, όπως η ενημέρωση των ατόμων σχετικά με τη συλλογή και επεξεργασία δεδομένων τους, η δυνατότητα άσκησης δικαιωμάτων (όπως το δικαίωμα απογραφής), καθώς και η υποχρέωση να διατηρούν ασφαλή συστήματα για την προστασία αυτών. Οι επιχειρήσεις που δεν συμμορφώνονται με αυτές τις κανονισμούς αντιμετωπίζουν σοβαρές ποινικές και διοικητικές συνέπειες, όπως πρόστιμα μέχρι και 20 εκατομμύρια ευρώ ή το 4% του παγκόσμιου ετήσιου κέρδους, ανάλογα με το ποσό.

Μια σημαντική διαφορά μεταξύ του παλαιού και του νέου νόμου είναι η εισαγωγή του όρου «υποχρεωτική επεξεργασία» για συγκεκριμένες δραστηριότητες, όπως η διαχείριση δεδομένων για ιατρικούς σκοπούς ή την προστασία της δημόσιας ασφάλειας. Επιπλέον, ο νέος νόμος ενισχύει την επιβολή των κανονισμών από την Εθνική Αρχή Προστασίας Δεδομένων (ΕΑΠΔ), η οποία έχει αυξημένες εξουσίες για έλεγχο και καταδίκη παραβιάσεων. Αυτό σημαίνει ότι οι επιχειρήσεις που ασχολούνται με την επεξεργασία δεδομένων θα πρέπει να αποκτήσουν μεγαλύτερη προσοχή στην επιλογή των συνεργατών τους και να διασφαλίσουν ότι οι τρίτοι που έχουν πρόσβαση στα δεδομένα τους συμμορφώνονται επίσης με τις απαιτήσεις του νόμου.

Η εφαρμογή του νόμου έχει ήδη ξεκινήσει και οι επιχειρήσεις έχουν μέχρι τις 25 Μαΐου 2024 να προσαρμοστούν. Ωστόσο, πολλοί οργανισμοί αντιμετωπίζουν δυσκολίες λόγω της σύγχρονης φύσης του νόμου και της έλλειψης επαρκούς εκπαίδευσης. Για παράδειγμα, πολλές μικρές επιχειρήσεις δεν έχουν τα οικονομικά ή το προσωπικό για να αναλάβουν τις απαραίτητες μεταρρυθμίσεις, ενώ άλλες δεν κατανοούν πλήρως τις υποχρεώσεις τους. Αυτό έχει οδηγήσει σε μια σειρά από περιπτώσεις παραβίασης, όπως η μη ενημέρωση των πελατών ή η μη σωστή διαχείριση των δεδομένων τους.

Μια ενδιαφέρουσα πτυχή του νόμου είναι η εισαγωγή του δικαιώματος της «προσαρμογής» (right to be forgotten), το οποίο επιτρέπει στους ατόμους να ζητήσουν την διαγραφή δεδομένων τους από συστήματα επεξεργασίας. Αυτό έχει προκαλέσει συζήτηση σχετικά με την ισορροπία μεταξύ της προστασίας των προσωπικών δεδομένων και της ελευθερίας της έκφρασης. Για παράδειγμα, σε περιπτώσεις όπου τα δεδομένα σχετίζονται με δημοσιογραφικές δραστηριότητες ή την προστασία της δημόσιας συμφέρωσης, μπορεί να υπάρχουν εξαιρέσεις.

Επιπλέον, ο νόμος έχει εισαγάγει αυστηρότερα μέτρα για την προστασία των δεδομένων των παιδιών. Κάθε επιχείρηση που συλλέγει δεδομένα από άτομα κάτω των 16 ετών πρέπει να ζητήσει ειδική άδεια από τους γονείς τους και να διασφαλίσει ότι τα δεδομένα αυτά χρησιμοποιούνται μόνο για ασφαλείς και εθικώς αποδεκτούς σκοπούς. Αυτή η προστασία είναι ιδιαίτερα σημαντική σε ένα κράτος όπως η Ελλάδα, όπου η χρήση της διαδικτυακής πλατφόρμας από παιδιά είναι ιδιαίτερα διαδεδομένη.

Η εφαρμογή του νόμου δεν περιορίζεται μόνο στις επιχειρήσεις, αλλά επηρεάζει επίσης τους δημόσιους οργανισμούς και τις δημόσιες υπηρεσίες. Οι δημόσιοι οργανισμοί πρέπει να συμμορφώνονται με τις ίδιες κανονισμούς, κάτι που έχει προκαλέσει κάποιες δυσκολίες στην υλοποίηση των προγραμμάτων τους. Για παράδειγμα, ορισμένοι δημόσιοι οργανισμοί έχουν δυσκολία να διασφαλίσουν την προστασία των δεδομένων των πολιτών τους λόγω της έλλειψης τεχνολογικών πόρων ή της έλλειψης επαρκούς εκπαίδευσης.

• Ο νέος νόμος εισάγει ποινές μέχρι 20 εκατομμύρια ευρώ ή το 4% του παγκόσμιου ετήσιου κέρδους για παραβιάσεις.
• Οι επιχειρήσεις έχουν μέχρι τις 25 Μαΐου 2024 για να προσαρμοστούν.
• Η Εθνική Αρχή Προστασίας Δεδομένων (ΕΑΠΔ) έχει αυξημένες εξουσίες για έλεγχο και καταδίκη.
• Η εισαγωγή του δικαιώματος της «προσαρμογής» προκαλεί συζήτηση για ισορροπία μεταξύ προστασίας δεδομένων και ελευθερίας έκφρασης.
• Οι δημόσιοι οργανισμοί πρέπει να συμμορφώνονται με τους ίδιους κανονισμούς, κάτι που είναι δύσκολο λόγω τεχνολογικών και εκπαιδευτικών περιορισμών.