GDPR – Γενικό Νοσοκομείο Ηλείας – Ανδρέας Παπανδρέου

GDPR – Γενικός Κανονισμός για την Προστασία Δεδομένων (ΓΚΠΔ)

Ο ΓΚΠΔ καθορίζει λεπτομερώς τις απαιτήσεις για τη συλλογή, την αποθήκευση και τη διαχείριση προσωπικών δεδομένων από επιχειρήσεις και οργανισμούς. Οι απαιτήσεις ισχύουν για ευρωπαϊκούς οργανισμούς που επεξεργάζονται προσωπικά δεδομένα ατόμων στην ΕΕ, αλλά και για οργανισμούς εκτός της ΕΕ οι οποίοι στοχεύουν άτομα που ζουν στην ΕΕ.

Με τον Γενικό Κανονισμό Προστασίας Δεδομένων (ΕΕ) 2016/679 (ΓΚΠΔ) καθιερώνεται ενιαίο νομικό πλαίσιο για την προστασία των προσωπικών δεδομένων σε όλα τα κράτη μέλη της ΕΕ.

Bασικά δικαιώματα των πολιτών (υποκειμένων των δεδομένων)

Δικαίωμα ενημέρωσης (άρθρα 13-14) και πρόσβασης (άρθρο 15) στα δεδομένα: Θα έχετε περισσότερη και σαφέστερη ενημέρωση κατά τη συλλογή των δεδομένων για την επεξεργασία τους και το δικαίωμα πρόσβασης σε αυτά.
Δικαίωμα διόρθωσης (άρθρο 16): Έχετε το δικαίωμα να απαιτήσετε από τον υπεύθυνο επεξεργασίας τη διόρθωση ανακριβών δεδομένων, καθώς και τη συμπλήρωση ελλιπών δεδομένων που σας αφορούν.
Δικαίωμα διαγραφής («δικαίωμα στη λήθη») (άρθρο 17): Όταν δεν επιθυμείτε πλέον την επεξεργασία και διατήρηση προσωπικών σας δεδομένων, έχετε το δικαίωμα να ζητήσετε τη διαγραφή τους, υπό την προϋπόθεση ότι τα δεδομένα δεν τηρούνται για κάποιο συγκεκριμένο νόμιμο και δηλωμένο σκοπό.
Δικαίωμα περιορισμού της επεξεργασίας (άρθρο 18): Δικαιούστε να εξασφαλίζετε από τον υπεύθυνο επεξεργασίας τον περιορισμό της επεξεργασίας υπό συγκεκριμένες προϋποθέσεις.
Δικαίωμα στη φορητότητα των δεδομένων (άρθρο 20): Δικαιούστε να λάβετε ή να ζητήσετε τη μεταφορά των δεδομένων σας, σε μηχαναγνώσιμη μορφή, από έναν υπεύθυνο επεξεργασίας σε άλλον υπό συγκεκριμένες προϋποθέσεις, εφόσον το επιθυμείτε.
Δικαίωμα εναντίωσης στην επεξεργασία (άρθρο 21): Έχετε το δικαίωμα να αντιταχθείτε στην επεξεργασία των δεδομένων σας υπό συγκεκριμένες προϋποθέσεις, ιδίως όταν πρόκειται για κατάρτιση «προφίλ» ή για σκοπούς απευθείας εμπορικής προώθησης.

Βασικές υποχρεώσεις για τους υπευθύνους επεξεργασίας

Ο ΓΚΠΔ επιβάλλει μια σειρά υποχρεώσεων στους υπεύθυνους επεξεργασίας, οι οποίες απορρέουν από τις βασικές αρχές και ιδίως την ενισχυμένη αρχή της διαφάνειας στον τρόπο συλλογής, επεξεργασίας και τήρησης δεδομένων και την αρχή της λογοδοσίας, σύμφωνα με την οποία ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωσή του με όλες τις αρχές που διέπουν την επεξεργασία προσωπικών δεδομένων:

Ευθύνη: Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη να αποδεικνύει ότι λαμβάνει όλα τα κατάλληλα οργανωτικά και τεχνικά μέτρα προστασίας των προσωπικών δεδομένων και ότι συμμορφώνεται με τον ΓΚΠΔ.
Προστασία δεδομένων κατά τον σχεδιασμό («Data protection by design»): Ο ΓΚΠΔ επιβάλλει την εφαρμογή προϊόντων και υπηρεσιών (ηλεκτρονικών και μη) που κατά τον αρχικό σχεδιασμό τους δημιουργούν φιλικές συνθήκες για την προστασία των δεδομένων σας. Για παράδειγμα, στις υπηρεσίες ηλεκτρονικής κοινωνικής δικτύωσης πρέπει να σας δίνεται η δυνατότητα να επιλέγετε ρυθμίσεις που θα προστατεύουν περισσότερο τα προσωπικά σας δεδομένα.
Προστασία δεδομένων εξ ορισμού («Data protection by default»): Ο ΓΚΠΔ επιβάλλει την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων που να διασφαλίζουν ότι, εξ ορισμού, υφίστανται επεξεργασία μόνο τα δεδομένα που είναι απαραίτητα για τον σκοπό της επεξεργασίας.
Ασφάλεια επεξεργασίας: O υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία πρέπει να εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το ενδεδειγμένο επίπεδο ασφάλειας.
Γνωστοποίηση παραβιάσεων δεδομένων: Ο υπεύθυνος επεξεργασίας έχει υποχρέωση, μόλις αντιληφθεί παραβίαση, να ενημερώσει τις αρμόδιες εποπτικές Αρχές και εσάς, εφόσον η παραβίαση σας θέτει σε σοβαρό κίνδυνο.
Εκτίμηση αντικτύπου και προηγούμενη διαβούλευση: Όταν η επεξεργασία ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα των ατόμων, ιδίως επειδή είναι συστηματική, μεγάλης κλίμακας, αφορά ειδικές κατηγορίες δεδομένων και βασίζεται στη χρήση νέων τεχνολογιών, ο υπεύθυνος επεξεργασίας πρέπει να διενεργήσει εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων (Data protection impact assessment). Όταν βάσει της διενεργηθείσας εκτίμησης αντικτύπου και παρά την πρόβλεψη μέτρων προστασίας παραμένει υψηλή επικινδυνότητα της επεξεργασίας, ο υπεύθυνος επεξεργασίας υποχρεούται να προβεί σε προηγούμενη διαβούλευση με την εποπτική Αρχή.
Υπεύθυνος προστασίας δεδομένων: Προβλέπεται, υπό προϋποθέσεις, ο ορισμός «υπευθύνου προστασίας δεδομένων» ο οποίος έχει εχέγγυα ανεξαρτησίας και παρακολουθεί τη συμμόρφωση με τον νόμο αποτελώντας, συγχρόνως, το σημείο επαφής με την εποπτική Αρχή.
Κώδικες δεοντολογίας: Ενθαρρύνεται η εκπόνηση κωδίκων δεοντολογίας από τους υπευθύνους επεξεργασίας, οι οποίοι υποβάλλονται προς έγκριση στην εποπτική Αρχή. Σε περίπτωση διευρωπαϊκής δραστηριότητας ζητείται και η γνώμη του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων. Οι κώδικες δεοντολογίας είναι προαιρετικοί.
Πιστοποίηση: Ενθαρρύνεται η θέσπιση μηχανισμών πιστοποίησης, σφραγίδων και σημάτων προστασίας δεδομένων για την απόδειξη της συμμόρφωσης προς τον ΓΚΠΔ ή για την απόδειξη παροχής κατάλληλων εγγυήσεων κατά την επεξεργασία. Η πιστοποίηση είναι εθελοντική.

Εποπτικές Αρχές – Συνεργασία και συμπεράσματα

Όταν κάποιος υπεύθυνος επεξεργασίας είναι εγκατεστημένος σε περισσότερα του ενός κράτη μέλη και προβαίνει σε διασυνοριακή επεξεργασία δεδομένων εντός ΕΕ, είναι σκόπιμο να καθορίσει το κράτος μέλος της κύριας εγκατάστασής του στην ΕΕ, ώστε να μπορεί να απευθύνεται στην εποπτική Αρχή του κράτους αυτού –η οποία θεωρείται η επικεφαλής εποπτική Αρχή– σε σχέση με τις διάφορες υποχρεώσεις συμμόρφωσης που πηγάζουν από τον ΓΚΠΔ. Αυτό αποτελεί τον λεγόμενο μηχανισμό μίας στάσης («One stop shop»), σύμφωνα με τον οποίο προβλέπεται συνεργασία μεταξύ της επικεφαλής εποπτικής Αρχής και των ενδιαφερόμενων εθνικών εποπτικών Αρχών στην αρμοδιότητα των οποίων μπορεί να εμπίπτει μια υπόθεση ώστε να διασφαλίζεται ομοιογένεια στην αντιμετώπιση υποθέσεων διευρωπαϊκού ενδιαφέροντος και ασφάλεια δικαίου, τόσο για τους υπευθύνους επεξεργασίας όσο και για τους πολίτες της Ένωσης.

Περαιτέρω, προκειμένου να υπάρχει συνεκτική εφαρμογή του σχετικού νομικού πλαισίου στο πλαίσιο της Ένωσης, προβλέπεται ο λεγόμενος «μηχανισμός συνεκτικότητας», σημαντικό ρόλο στον οποίο διαδραματίζει το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων όπου εκπροσωπούνται όλες οι εθνικές εποπτικές Αρχές και το οποίο έχει δεσμευτικές αποφασιστικές αρμοδιότητες.