GDPR τι είναι και σημασία του

Το GDPR (General Data Protection Regulation, στα ελληνικά Γενικός Κανονισμός για την Προστασία Δεδομένων) είναι ο νόμος της Ευρωπαϊκής Ένωσης που καθορίζει πώς επιτρέπεται να συλλέγονται, να αποθηκεύονται και να χρησιμοποιούνται τα προσωπικά δεδομένα των ανθρώπων. Απαντώντας με λίγα λόγια στο ερώτημα gdpr τι είναι: πρόκειται για έναν ενιαίο κανονισμό που ισχύει σε όλα τα κράτη-μέλη της ΕΕ από τον Μάιο του 2018 και δίνει στους πολίτες συγκεκριμένα δικαιώματα πάνω στις δικές τους πληροφορίες.

Το ερώτημα τι είναι το gdpr προκύπτει συχνά όταν κάποιος βλέπει ένα κουτάκι συναίνεσης σε μια ιστοσελίδα, λαμβάνει ένα email με ενημέρωση για την πολιτική απορρήτου μιας εταιρείας, ή ακούει για πρόστιμα εκατομμυρίων ευρώ σε μεγάλες πολυεθνικές. Στις παρακάτω ενότητες εξηγούμε αναλυτικά τι καλύπτει ο κανονισμός, ποιους αφορά, ποια δικαιώματα σας δίνει και τι συμβαίνει όταν κάποιος τα παραβιάζει.

Η προέλευση και ο σκοπός του κανονισμού

Ο Γενικός Κανονισμός για την Προστασία Δεδομένων τέθηκε σε ισχύ στις 25 Μαΐου 2018, αντικαθιστώντας μια παλαιότερη οδηγία της ΕΕ του 1995 που δεν κάλυπτε πλέον την ψηφιακή πραγματικότητα του διαδικτύου, των smartphones και των μεγάλων βάσεων δεδομένων. Η ανάγκη για έναν νέο κανονισμό γεννήθηκε από την ταχύτατη αύξηση της συλλογής δεδομένων από εταιρείες τεχνολογίας, τράπεζες, ασφαλιστικές και δημόσιους φορείς.

Ο βασικός σκοπός του GDPR είναι διττός. Από τη μία, θέλει να προστατεύσει το θεμελιώδες δικαίωμα κάθε ανθρώπου στην ιδιωτικότητα και τον έλεγχο των προσωπικών του πληροφοριών. Από την άλλη, επιδιώκει να δημιουργήσει ένα ενιαίο νομικό πλαίσιο για όλη την ΕΕ, ώστε οι επιχειρήσεις να μην χρειάζεται να ακολουθούν 27 διαφορετικούς εθνικούς νόμους.

Ως κανονισμός (regulation) και όχι ως οδηγία (directive), το GDPR έχει άμεση ισχύ σε κάθε κράτος-μέλος χωρίς να απαιτείται μεταφορά σε εθνικό νόμο για να εφαρμοστεί. Αυτό σημαίνει ότι μια επιχείρηση στην Ελλάδα υπόκειται ακριβώς στους ίδιους κανόνες με μια επιχείρηση στη Γερμανία ή στην Ισπανία. Οι εθνικές αρχές προστασίας δεδομένων, όπως η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα στην Ελλάδα, είναι υπεύθυνες για την εποπτεία και την επιβολή του κανονισμού σε τοπικό επίπεδο.

Ποιους αφορά ο κανονισμός

Ο GDPR αφορά κάθε οργανισμό, δημόσιο ή ιδιωτικό, που επεξεργάζεται προσωπικά δεδομένα πολιτών της ΕΕ, ανεξάρτητα από το πού εδρεύει ο ίδιος ο οργανισμός. Αυτό σημαίνει ότι μια εταιρεία με έδρα στις ΗΠΑ που πουλάει προϊόντα σε Έλληνες καταναλωτές μέσω διαδικτύου υπόκειται εξίσου στον κανονισμό, εφόσον επεξεργάζεται δεδομένα ανθρώπων που βρίσκονται στην ΕΕ.

Ο κανονισμός κάνει διάκριση μεταξύ δύο ρόλων: του υπεύθυνου επεξεργασίας (data controller), δηλαδή του οργανισμού που αποφασίζει γιατί και πώς θα επεξεργαστεί τα δεδομένα, και του εκτελούντος την επεξεργασία (data processor), δηλαδή του τρίτου μέρους που επεξεργάζεται δεδομένα εκ μέρους του υπεύθυνου, όπως μια εταιρεία cloud hosting ή ένα λογιστικό γραφείο.

Στην πράξη, ο GDPR αφορά σχεδόν κάθε επιχείρηση, ανεξαρτήτως μεγέθους: από μια μικρή τοπική επιχείρηση που κρατάει λίστα πελατών μέχρι πολυεθνικές τεχνολογικές εταιρείες. Αφορά επίσης δημόσιους φορείς, νοσοκομεία, σχολεία, σωματεία και ακόμη και ελεύθερους επαγγελματίες που τηρούν αρχείο πελατών ή συνεργατών με στοιχεία επικοινωνίας. Εξαιρούνται, με ορισμένες προϋποθέσεις, φυσικά πρόσωπα που επεξεργάζονται δεδομένα αποκλειστικά για προσωπική ή οικιακή χρήση.

Τι θεωρείται προσωπικό δεδομένο

Προσωπικό δεδομένο είναι κάθε πληροφορία που αναφέρεται σε ένα ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Ο ορισμός είναι σκόπιμα ευρύς, ώστε να καλύπτει τόσο προφανείς περιπτώσεις όσο και λιγότερο εμφανείς.

• Στοιχεία ταυτότητας: ονοματεπώνυμο, ημερομηνία γέννησης, αριθμός ταυτότητας ή διαβατηρίου.
• Στοιχεία επικοινωνίας: διεύθυνση κατοικίας, email, τηλέφωνο.
• Ψηφιακά ιχνη: διεύθυνση IP, cookies, δεδομένα εντοπισμού θέσης, ιστορικό περιήγησης.
• Οικονομικά στοιχεία: τραπεζικοί λογαριασμοί, εισόδημα, πιστωτική ιστορία.
• Ειδικές κατηγορίες δεδομένων: πληροφορίες υγείας, γενετικά ή βιομετρικά δεδομένα, φυλετική ή εθνοτική καταγωγή, θρησκευτικές πεποιθήσεις, σεξουαλικός προσανατολισμός.

Οι ειδικές κατηγορίες δεδομένων, γνωστές και ως «ευαίσθητα δεδομένα», τυγχάνουν αυξημένης προστασίας επειδή η κακή χρήση τους μπορεί να οδηγήσει σε διακρίσεις ή σοβαρή βλάβη. Η επεξεργασία τους επιτρέπεται μόνο σε πολύ συγκεκριμένες περιπτώσεις, όπως όταν το πρόσωπο έχει δώσει ρητή συγκατάθεση ή όταν η επεξεργασία είναι απαραίτητη για ιατρικούς σκοπούς.

Οι θεμελιώδεις αρχές επεξεργασίας δεδομένων

Ο κανονισμός δεν απαριθμεί απλά κανόνες· θέτει έναν πυρήνα από αρχές που πρέπει να τηρεί κάθε επεξεργασία δεδομένων, ανεξαρτήτως κλάδου ή σκοπού.

• Νομιμότητα, διαφάνεια και δίκαιη επεξεργασία: τα δεδομένα πρέπει να συλλέγονται με νόμιμο τρόπο και ο οργανισμός να εξηγεί με σαφήνεια πώς θα τα χρησιμοποιήσει.
• Περιορισμός σκοπού: τα δεδομένα συλλέγονται για συγκεκριμένο, σαφή και νόμιμο σκοπό και δεν χρησιμοποιούνται μετέπειτα για κάτι εντελώς διαφορετικό χωρίς νέα βάση.
• Ελαχιστοποίηση δεδομένων: συλλέγονται μόνο τα δεδομένα που είναι πραγματικά απαραίτητα για τον συγκεκριμένο σκοπό, όχι όσα περισσότερα γίνεται «για κάθε ενδεχόμενο».
• Ακρίβεια: τα δεδομένα πρέπει να είναι ορθά και ενημερωμένα, με δυνατότητα διόρθωσης όταν αλλάζουν.
• Περιορισμός χρόνου αποθήκευσης: τα δεδομένα δεν διατηρούνται επ' αόριστον, αλλά μόνο για όσο διάστημα εξυπηρετεί τον σκοπό της συλλογής.
• Ακεραιότητα και εμπιστευτικότητα: ο οργανισμός πρέπει να προστατεύει τα δεδομένα από απώλεια, διαρροή ή μη εξουσιοδοτημένη πρόσβαση με κατάλληλα τεχνικά και οργανωτικά μέτρα.
• Λογοδοσία: ο υπεύθυνος επεξεργασίας πρέπει να μπορεί να αποδείξει ότι συμμορφώνεται με όλες τις παραπάνω αρχές, όχι απλά να δηλώνει ότι το κάνει.

Αυτές οι αρχές λειτουργούν ως το φίλτρο μέσα από το οποίο κρίνεται κάθε επεξεργασία δεδομένων, από ένα απλό ερωτηματολόγιο ικανοποίησης πελατών μέχρι ένα σύστημα τεχνητής νοημοσύνης που αναλύει συμπεριφορά χρηστών.

Τα δικαιώματα των πολιτών

Ο κανονισμός δίνει σε κάθε άνθρωπο, γνωστό ως «υποκείμενο δεδομένων» (data subject), μια σειρά συγκεκριμένων δικαιωμάτων απέναντι σε όσους επεξεργάζονται τα δεδομένα του.

• Δικαίωμα ενημέρωσης: το δικαίωμα να γνωρίζετε ποια δεδομένα σας συλλέγονται, γιατί και από ποιον, συνήθως μέσα από μια πολιτική απορρήτου.
• Δικαίωμα πρόσβασης: το δικαίωμα να ζητήσετε αντίγραφο των δεδομένων που κατέχει ένας οργανισμός για εσάς.
• Δικαίωμα διόρθωσης: το δικαίωμα να διορθώσετε λανθασμένα ή ελλιπή δεδομένα.
• Δικαίωμα διαγραφής («δικαίωμα στη λήθη»): το δικαίωμα να ζητήσετε τη διαγραφή των δεδομένων σας υπό ορισμένες προϋποθέσεις, όπως όταν δεν είναι πλέον απαραίτητα.
• Δικαίωμα περιορισμού της επεξεργασίας: το δικαίωμα να ζητήσετε να «παγώσει» προσωρινά η χρήση των δεδομένων σας.
• Δικαίωμα φορητότητας: το δικαίωμα να λάβετε τα δεδομένα σας σε δομημένη μορφή και να τα μεταφέρετε σε άλλον πάροχο.
• Δικαίωμα εναντίωσης: το δικαίωμα να αντιταχθείτε σε συγκεκριμένες χρήσεις, όπως στο άμεσο μάρκετινγκ.
• Δικαιώματα σχετικά με αυτοματοποιημένη λήψη αποφάσεων: το δικαίωμα να μην υπόκειστε σε αποφάσεις που λαμβάνονται αποκλειστικά από αλγόριθμο και έχουν σημαντικές επιπτώσεις για εσάς, χωρίς ανθρώπινη παρέμβαση.

Αυτά τα δικαιώματα ασκούνται με απλό αίτημα προς τον οργανισμό, ο οποίος οφείλει να απαντήσει κατά κανόνα εντός ενός μήνα. Στην πράξη, τα περισσότερα αιτήματα υποβάλλονται μέσω email ή ειδικής φόρμας που πολλές εταιρείες παρέχουν στη σελίδα τους.

Υποχρεώσεις επιχειρήσεων και οργανισμών

Για να συμμορφωθεί με τον κανονισμό, ένας οργανισμός δεν αρκείται σε μια δήλωση προθέσεων· πρέπει να λάβει πρακτικά, τεκμηριωμένα μέτρα.

Μία από τις πιο γνωστές υποχρεώσεις είναι ο ορισμός Υπεύθυνου Προστασίας Δεδομένων (Data Protection Officer, DPO) σε ορισμένες κατηγορίες οργανισμών, όπως δημόσιους φορείς ή επιχειρήσεις που επεξεργάζονται μεγάλο όγκο ευαίσθητων δεδομένων. Ο DPO λειτουργεί ως ανεξάρτητος εσωτερικός ελεγκτής και σύμβουλος για θέματα προστασίας δεδομένων.

Άλλες βασικές υποχρεώσεις περιλαμβάνουν:

• Τη διεξαγωγή εκτίμησης αντικτύπου (Data Protection Impact Assessment) πριν από επεξεργασίες υψηλού κινδύνου.
• Την εφαρμογή αρχών «προστασίας δεδομένων εκ σχεδιασμού και εξ ορισμού» (privacy by design and by default), δηλαδή το να ενσωματώνεται η προστασία δεδομένων από την αρχική σχεδίαση κάθε συστήματος ή υπηρεσίας.
• Την τήρηση αρχείου δραστηριοτήτων επεξεργασίας, που καταγράφει τι δεδομένα συλλέγονται, γιατί και πού αποθηκεύονται.
• Τη σύναψη συμβάσεων επεξεργασίας δεδομένων με κάθε τρίτο πάροχο που επεξεργάζεται δεδομένα εκ μέρους του οργανισμού.
• Τη γνωστοποίηση παραβιάσεων δεδομένων στην αρμόδια αρχή, συνήθως εντός 72 ωρών από τη στιγμή που αποκτούν γνώση του περιστατικού.

Οι υποχρεώσεις αυτές μπορεί να φαίνονται γραφειοκρατικές, αλλά στην πραγματικότητα αποσκοπούν στο να μετατοπίσουν την κουλτούρα μιας επιχείρησης προς μια πιο υπεύθυνη και διαφανή διαχείριση δεδομένων, μειώνοντας παράλληλα τον κίνδυνο διαρροών.

Παραβιάσεις δεδομένων και κυρώσεις

Όταν συμβαίνει μια παραβίαση δεδομένων, δηλαδή ένα περιστατικό όπου προσωπικά δεδομένα διαρρέουν, καταστρέφονται ή χάνονται χωρίς εξουσιοδότηση, ο οργανισμός έχει συγκεκριμένες υποχρεώσεις γνωστοποίησης. Αν η παραβίαση ενέχει σημαντικό κίνδυνο για τα δικαιώματα των ανθρώπων, ο οργανισμός πρέπει να ενημερώσει τόσο την αρμόδια αρχή προστασίας δεδομένων όσο και τα ίδια τα πρόσωπα που επλήγησαν.

Οι κυρώσεις για μη συμμόρφωση με τον GDPR είναι από τις αυστηρότερες παγκοσμίως στον τομέα της προστασίας δεδομένων. Ο κανονισμός προβλέπει πρόστιμα έως 20 εκατομμύρια ευρώ ή έως το 4% του παγκόσμιου ετήσιου κύκλου εργασιών ενός οργανισμού, όποιο από τα δύο είναι μεγαλύτερο, για τις πιο σοβαρές παραβάσεις. Για ελαφρύτερες παραβάσεις, τα πρόστιμα μπορούν να ανέλθουν έως τα 10 εκατομμύρια ευρώ ή το 2% του κύκλου εργασιών.

Τα τελευταία χρόνια έχουν επιβληθεί πρόστιμα σε μεγάλες τεχνολογικές εταιρείες για ζητήματα όπως η ανεπαρκής ενημέρωση χρηστών, η χρήση δεδομένων για διαφημιστικούς σκοπούς χωρίς έγκυρη συγκατάθεση, ή η ανεπαρκής προστασία δεδομένων που οδήγησε σε διαρροή. Πέρα από το οικονομικό κόστος, οι κυρώσεις αυτές έχουν σημαντικό αντίκτυπο στη φήμη ενός οργανισμού, γεγονός που έχει ωθήσει πολλές επιχειρήσεις να επενδύσουν σε πιο ισχυρές πολιτικές προστασίας δεδομένων.

Πώς εμφανίζεται το GDPR στην καθημερινή ζωή

Ο μέσος χρήστης του διαδικτύου συναντά τις επιπτώσεις του κανονισμού πολύ πιο συχνά απ' όσο συνειδητοποιεί. Το πιο χαρακτηριστικό παράδειγμα είναι τα μπάνερ συγκατάθεσης για cookies που εμφανίζονται σε σχεδόν κάθε ιστοσελίδα, ζητώντας την άδειά σας πριν τοποθετηθούν μη απαραίτητα cookies παρακολούθησης.

Άλλα καθημερινά παραδείγματα περιλαμβάνουν:

• Emails από εταιρείες που σας ενημερώνουν για επικαιροποίηση της πολιτικής απορρήτου τους.
• Τη δυνατότητα να κατεβάσετε αντίγραφο των δεδομένων σας από πλατφόρμες κοινωνικής δικτύωσης ή υπηρεσίες streaming.
• Το κουμπί «κατάργηση εγγραφής» σε ενημερωτικά δελτία (newsletters), που πρέπει να λειτουργεί εύκολα και χωρίς περιπλοκές.
• Τη ρητή, ενεργητική συγκατάθεση που πρέπει να δώσετε πριν εγγραφείτε σε πολλές υπηρεσίες, αντί για προεπιλεγμένα κουτάκια που θεωρούνται αποδεκτά αν δεν τα αποεπιλέξετε.

Αυτή η καθημερινή παρουσία του κανονισμού δείχνει πόσο έχει επηρεάσει τον τρόπο σχεδιασμού ιστοσελίδων, εφαρμογών και υπηρεσιών σε παγκόσμιο επίπεδο, καθώς πολλές εταιρείες εκτός ΕΕ επέλεξαν να εφαρμόσουν τα ίδια πρότυπα σε όλους τους πελάτες τους, για λόγους απλότητας και συνέπειας.

GDPR και άλλοι νόμοι προστασίας δεδομένων παγκοσμίως

Ο GDPR έγινε σημείο αναφοράς για πολλές χώρες εκτός ΕΕ που θέλησαν να αναθεωρήσουν τη δική τους νομοθεσία προστασίας δεδομένων. Χώρες όπως η Βραζιλία, η Νότια Κορέα και ορισμένες πολιτείες των ΗΠΑ, όπως η Καλιφόρνια με τον δικό της νόμο CCPA, διαμόρφωσαν νομοθεσίες που μοιράζονται πολλά κοινά στοιχεία με τον ευρωπαϊκό κανονισμό, όπως τα δικαιώματα πρόσβασης και διαγραφής.

Ωστόσο, ο GDPR παραμένει από τους πιο ολοκληρωμένους και αυστηρούς κανονισμούς, κυρίως λόγω του ευρέος πεδίου εφαρμογής του, των υψηλών προστίμων και της απαίτησης για ρητή, ενεργητική συγκατάθεση σε πολλές περιπτώσεις. Άλλα νομικά συστήματα επιτρέπουν συχνά πιο «χαλαρές» μορφές συγκατάθεσης ή προβλέπουν μικρότερα πρόστιμα.

Για επιχειρήσεις που δραστηριοποιούνται διεθνώς, αυτή η πολυμορφία νομοθεσιών σημαίνει ότι συχνά πρέπει να εφαρμόζουν διαφορετικές πολιτικές ανά περιοχή, ή να υιοθετούν τα αυστηρότερα πρότυπα του GDPR σε παγκόσμιο επίπεδο για να απλοποιήσουν τη συμμόρφωσή τους.

Πώς μπορείτε να ασκήσετε τα δικαιώματά σας στην πράξη

Αν θέλετε να δείτε ή να διορθώσετε τα δεδομένα που κατέχει μια εταιρεία για εσάς, το πρώτο βήμα είναι να εντοπίσετε τα στοιχεία επικοινωνίας για θέματα προστασίας δεδομένων, που συνήθως βρίσκονται στην πολιτική απορρήτου της ιστοσελίδας ή στο τέλος ενός email.

Στη συνέχεια μπορείτε να υποβάλετε ένα γραπτό αίτημα, διευκρινίζοντας ποιο δικαίωμα θέλετε να ασκήσετε: πρόσβαση, διόρθωση, διαγραφή, φορητότητα ή εναντίωση. Ο οργανισμός οφείλει να απαντήσει κατά κανόνα εντός ενός μήνα, με δυνατότητα παράτασης σε πιο σύνθετες περιπτώσεις.

Αν δεν λάβετε απάντηση ή θεωρείτε ότι το αίτημά σας δεν εξυπηρετήθηκε σωστά, έχετε το δικαίωμα να υποβάλετε καταγγελία στην εθνική αρχή προστασίας δεδομένων της χώρας σας. Στην Ελλάδα, αυτή είναι η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, η οποία δέχεται καταγγελίες πολιτών και μπορεί να διερευνήσει την υπόθεση. Για ζητήματα που ξεπερνούν το επίπεδο της γενικής ενημέρωσης, όπως μια πιθανή σοβαρή παραβίαση ή νομική διαφορά, είναι καλή πρακτική να συμβουλευτείτε δικηγόρο ειδικευμένο σε δίκαιο προστασίας δεδομένων.

Συχνές ερωτήσεις για το GDPR

Τι σημαίνει η συντομογραφία GDPR;

Η συντομογραφία GDPR σημαίνει General Data Protection Regulation, δηλαδή Γενικός Κανονισμός για την Προστασία Δεδομένων, ο κανονισμός της ΕΕ που ρυθμίζει την επεξεργασία προσωπικών δεδομένων.

Ποιον αφορά ο GDPR;

Ο GDPR αφορά κάθε οργανισμό, δημόσιο ή ιδιωτικό, που επεξεργάζεται δεδομένα πολιτών της ΕΕ, ανεξάρτητα από το πού εδρεύει ο ίδιος ο οργανισμός. Αφορά επιχειρήσεις κάθε μεγέθους, δημόσιους φορείς και σε κάποιες περιπτώσεις ελεύθερους επαγγελματίες.

Τι πρόστιμα προβλέπει ο GDPR;

Ο κανονισμός προβλέπει πρόστιμα έως 20 εκατομμύρια ευρώ ή έως 4% του παγκόσμιου κύκλου εργασιών, όποιο είναι μεγαλύτερο, για τις πιο σοβαρές παραβάσεις, ενώ για ελαφρύτερες παραβάσεις τα ανώτατα όρια είναι χαμηλότερα.

Ποια είναι τα βασικά δικαιώματα που δίνει ο GDPR στους πολίτες;

Ο GDPR δίνει δικαιώματα ενημέρωσης, πρόσβασης, διόρθωσης, διαγραφής, περιορισμού επεξεργασίας, φορητότητας δεδομένων και εναντίωσης, μεταξύ άλλων. Κάθε πολίτης μπορεί να ασκήσει αυτά τα δικαιώματα με απλό αίτημα προς τον οργανισμό που κατέχει τα δεδομένα του.

Χρειάζεται κάθε επιχείρηση να έχει Υπεύθυνο Προστασίας Δεδομένων;

Όχι κάθε επιχείρηση χρειάζεται DPO· αυτό απαιτείται κυρίως για δημόσιους φορείς και οργανισμούς που επεξεργάζονται συστηματικά μεγάλο όγκο δεδομένων ή ευαίσθητες κατηγορίες δεδομένων σε μεγάλη κλίμακα.

Ισχύει ο GDPR εκτός Ευρωπαϊκής Ένωσης;

Ο GDPR μπορεί να ισχύει και για οργανισμούς εκτός ΕΕ, εφόσον αυτοί επεξεργάζονται δεδομένα ανθρώπων που βρίσκονται στην ΕΕ, για παράδειγμα πουλώντας προϊόντα ή υπηρεσίες σε Ευρωπαίους καταναλωτές μέσω διαδικτύου.

Συνοπτικά

Ο GDPR είναι πλέον ο θεμελιώδης νομικός πυλώνας της προστασίας δεδομένων στην Ευρώπη, θέτοντας σαφή όρια στο πώς επιχειρήσεις και οργανισμοί μπορούν να χρησιμοποιούν τις προσωπικές πληροφορίες των ανθρώπων. Κατανοώντας τις βασικές του αρχές και τα δικαιώματα που σας παρέχει, μπορείτε να αντιμετωπίζετε με μεγαλύτερη σιγουριά τις καθημερινές σας αλληλεπιδράσεις με ιστοσελίδες, εφαρμογές και υπηρεσίες που ζητούν τα δεδομένα σας. Για συγκεκριμένα ζητήματα ή πολύπλοκες περιπτώσεις, ο πιο ασφαλής δρόμος παραμένει η επικοινωνία με την αρμόδια αρχή προστασίας δεδομένων ή με νομικό σύμβουλο εξειδικευμένο στον τομέα.