από την Μαρία Κοτσώνη, ερευνήτρια της ομάδας «Διεθνές & Ευρωπαϊκό Δίκαιο»

Πρόλογος

Η Ευρωπαϊκή Ένωση παρέχει πλέον σε παγκόσμια κλίμακα το πιο οργανωτικά δομημένο και ολοκληρωμένο νομοθετικό πλαίσιο στην προστασία των προσωπικών δεδομένων. Πυρήνας της προστατευτικής αυτής δομής αποτελεί αφενός ο Γενικός Κανονισμός Προστασίας Προσωπικών Δεδομένων, ο οποίος αντικατέστησε την Οδηγία 95/ 46/ ΕΚ, και αφετέρου η Οδηγία Προστασίας των Δεδομένων στον τομέα της επιβολής του νόμου, που αντικατέστησε την Απόφαση- πλαίσιο του 2008 για την προστασία των δεδομένων.

Ο Κανονισμός για την Προστασία των Προσωπικών Δεδομένων τέθηκε σε εφαρμογή στις 25 Μαΐου 2018, ωστόσο η πορεία προς αυτόν είναι μακρά, ξεκινώντας από το 2012, όταν η Ευρωπαϊκή Επιτροπή πρότεινε στις 25 Ιανουαρίου την μεταρρύθμιση των κανόνων προστασίας προσωπικών δεδομένων στην Ευρωπαϊκή Ένωση. Η μεταρρύθμιση αυτή του νομικού πλαισίου σχετικά με την προστασία των προσωπικών δεδομένων υπήρξε επιτακτική λόγω της ανάγκης εκσυγχρονισμού που δημιουργήθηκε από την ίδια την ροή της τοτινής επικαιρότητας.

Η προστασία των προσωπικών δεδομένων είναι ένα καίριο ζήτημα που απασχολεί την νομική σκέψη του σήμερα αλλά και του αύριο, καθώς οι δραστηριότητες του ατόμου στο διαδίκτυο ολοένα και αυξάνονται, με αποτέλεσμα κάθε τομέας της κοινωνικής και προσωπικής του ζωής να μεταφέρεται και να επεκτείνεται στον χώρο αυτό. Από τις μηχανές αναζήτησης και τις διαδικτυακές αγορές, μέχρι την παρουσία του ατόμου στα μέσα κοινωνικής δικτύωσης, το θέμα που προκύπτει είναι το εξής: πώς ο χρήστης δύναται να διασφαλίσει την ιδιωτικότητα των κινήσεών του απέναντι σε τρίτους.

Σε απάντηση των ανωτέρω προβληματισμών, η παρούσα έρευνα αποτελείται από τρία μέρη, ένα εισαγωγικό στο οποίο ορίζονται οι θεμελιώδεις έννοιες και ορολογίες, ένα κυρίως όπου αναπτύσσεται το κανονιστικό περιεχόμενο του Γενικού Κανονισμού για την Προστασία των Προσωπικών Δεδομένων, οι νέες ρυθμίσεις που εισάγει στην ευρωπαϊκή έννομη τάξη, καθώς και η προσπάθεια πρακτικής εναρμόνισης των υποκειμένων των δεδομένων και των εταιρειών, ενώ ακολουθεί και το τρίτο απολογιστικό μέρος.

Ορισμός δεδομένων προσωπικού χαρακτήρα[1]

Ως δεδομένα προσωπικού χαρακτήρα ορίζονται το σύνολο των πληροφοριών που αφορούν ένα ταυτοποιημένο ή ταυτοποιήσιμο εν ζωή άτομο. Οι πληροφορίες αυτές μπορεί να είναι ανόμοιου μεταξύ τους περιεχομένου, ενώ αν έχουν καταστεί ανώνυμες, αν είναι κρυπτογραφημένες ή χαρακτηρίζονται από την χρήση ψευδωνύμων, αλλά μπορούν να χρησιμοποιηθούν για την επαναταυτοποίηση ενός προσώπου, δεν παύουν να συνιστούν σε κάθε μία από τις παραπάνω περιπτώσεις δεδομένα προσωπικού χαρακτήρα. Κρίσιμο λοιπόν στο να θεωρηθεί μια πληροφορία δεδομένο προσωπικού χαρακτήρα είναι το αν οδηγεί στην ταυτοποίηση ενός ατόμου. Ορισμένα παραδείγματα προσωπικών δεδομένων αποτελούν το ονοματεπώνυμο ενός ατόμου, η διεύθυνση κατοικίας του, η ηλεκτρονική διεύθυνση ταχυδρομείου του, ο αναγνωριστικός αριθμός κάρτας, τα δεδομένα τοποθεσίας, καθώς και τα δεδομένα που φυλάσσονται σε νοσοκομείο ή από γιατρό και προσδιορίζουν- ταυτοποιούν δηλαδή- αποκλειστικά ένα άτομο.

Επεξεργασία δεδομένων προσωπικού χαρακτήρα[2]

Επεξεργασία δεδομένων προσωπικού χαρακτήρα συνιστά κάθε εργασία που πραγματοποιείται με αυτοματοποιημένα ή μη μέσα σε δεδομένα προσωπικού χαρακτήρα και ειδικότερα ενέργειες όπως, η συλλογή, η καταχώριση, η οργάνωση, η διατήρηση, η αποθήκευση, η τροποποίηση, η εξαγωγή, η χρήση, η διαβίβαση, η διάδοση ακόμη και η καταστροφή και η διαγραφή.

Υπεύθυνος επεξεργασίας[3] ονομάζεται κάθε φυσικό ή νομικό πρόσωπο δημοσίου ή ιδιωτικού τομέα που τηρεί και επεξεργάζεται προσωπικά δεδομένα, ενώ αντιστοίχως εκτελών την επεξεργασία ονομάζεται κάθε φυσικό ή νομικό πρόσωπο που τηρεί και επεξεργάζεται δεδομένα για λογαριασμό κάποιου υπεύθυνου επεξεργασίας.

Μερικά παραδείγματα επεξεργασίας των προσωπικών δεδομένων μπορεί να είναι η μισθοδοσία, η αποστολή διαφημιστικών ηλεκτρονικών μηνυμάτων, η δημοσίευση φωτογραφίας ατόμου σε κάποιο ιστότοπο, καθώς και η μαγνητοσκόπηση με τηλεόραση κλειστού κυκλώματος.

Γενικές Αρχές Προστασίας Δεδομένων στα κράτη μέλη της Ε.Ε.

Σε κάθε κράτος μέλος της Ευρωπαϊκής Ένωσης υπάρχει μία Αρχή Προστασίας Δεδομένων, η οποία, ως ανεξάρτητη δημόσια αρχή, επιβλέπει την εφαρμογή του δικαίου περί προστασίας των προσωπικών δεδομένων. Δρώντας ως εποπτική αρχή, οι κύριες εξουσίες μιας Γενικής Αρχής Προστασίας Προσωπικών Δεδομένων είναι η έρευνα και οι διορθωτικές εξουσίες σε όποια ενδεχόμενη παράβαση ανιχνευτεί.

Η συνεργασία μεταξύ των Αρχών Προστασίας Προσωπικών Δεδομένων των κρατών μελών της Ε.Ε. προάγεται από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ). Το ΕΣΠΔ συστάθηκε με τον Γενικό Κανονισμό Προστασίας Προσωπικών Δεδομένων (ΓΚΠΠΔ) και εδρεύει στις Βρυξέλλες. Είναι ένας ανεξάρτητος ευρωπαϊκός μηχανισμός με νομική προσωπικότητα, που απαρτίζεται από εκπροσώπους των εκάστοτε Εθνικών Αρχών και τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων (ΕΕΠΔ)[4]. Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων στοχεύει στην αποτελεσματική εφαρμογή του Γενικού Κανονισμού για την Προστασία Προσωπικών Δεδομένων και της αντίστοιχης Οδηγίας για την επιβολή του νόμου στην Ε.Ε. Η δράση του χαρακτηρίζεται από ανεξαρτησία και προορατικότητα. Αναλύοντας το πεδίο εργασίας του Συμβουλίου, υπογραμμίζεται ότι αυτό δεν απαντά σε μεμονωμένα αιτήματα, αλλά παρέχει γενικές κατευθυντήριες γραμμές και συστάσεις που αποσκοπούν στην αποσαφήνιση της νομοθεσίας. Επίσης, έχει συμβουλευτικό ρόλο προς την Ευρωπαϊκή Ένωση και επιχειρεί να διευκολύνει με πορίσματα συνεκτικότητας που εκδίδει, διασυνοριακές υποθέσεις περί προστασίας των προσωπικών δεδομένων.

Ρυθμιστικό Πλαίσιο Κανονισμού

Ο Γενικός Κανονισμός Προστασίας Προσωπικών Δεδομένων, που τέθηκε σε ισχύ στις 25 Μαΐου 2018, αποτελεί την μεγαλύτερη νομοθετική ρύθμιση σχετικά με την προστασία των προσωπικών δεδομένων στην Ευρωπαϊκή Ένωση την τελευταία εικοσαετία. Αντικατέστησε την Οδηγία 95/46 ΕΚ,  παρέχοντας νέα δικαιώματα στους κατοίκους της Ευρωπαϊκής Ένωσης ως προς την επεξεργασία και διάθεση των προσωπικών τους δεδομένων[5]. Συγκεκριμένα οι άνθρωποι που βρίσκονται εντός της Ευρωπαϊκής Ένωσης[6], έχουν το δικαίωμα να λαμβάνουν σαφείς και κατανοητές πληροφορίες σχετικά με το ποιος επεξεργάζεται τα προσωπικά τους δεδομένα, να μπορούν να έχουν πρόσβαση στα δεδομένα που συλλέγονται για αυτούς, καθώς και να ζητήσουν να διαγραφούν προσωπικά τους δεδομένα για τα οποία πλέον δεν υπάρχει νόμιμος λόγος διατήρησής τους. Επίσης, έχουν το δικαίωμα να ζητήσουν διόρθωση των δεδομένων τους αν αυτά είναι λανθασμένα, αλλά και να αιτηθούν την μεταφορά των προσωπικών τους δεδομένων από έναν πάροχο υπηρεσιών ή κοινωνικού δικτύου σε κάποιον άλλο.

Αναλυτικότερα, παρατίθενται οι κυριότερες ρυθμίσεις που εισέρχονται στην ευρωπαϊκή έννομη τάξη με τον Γενικό Κανονισμό για την Προστασία των Προσωπικών Δεδομένων.

Η ειδοποίηση για γενόμενη παραβίαση εντός 72 ωρών από την πρώτη στιγμή της συνειδητοποίησής της είναι μια εκ των ρυθμίσεων αυτών που βαραίνει υποχρεωτικά τους επεξεργαστές δεδομένων. Επιπροσθέτως, το δικαίωμα των ατόμων να λαμβάνουν ενημέρωση και δωρεάν αντίγραφο σε ηλεκτρονική μορφή των προσωπικών τους δεδομένων που συλλέγονται, του τρόπου επεξεργασίας τους και του σκοπού για τον οποίο προορίζονται από τον υπεύθυνο επεξεργασίας αποτελεί εξίσου νέα ρύθμιση. Σύμφωνα με το άρθρο 23 του Κανονισμού, για την αποτελεσματικότερη προστασία της ιδιωτικής ζωής προβάλλεται η ελαχιστοποίηση της επεξεργασίας των δεδομένων, δηλαδή η συλλογή μόνο των απαραίτητα αναγκαίων προσωπικών δεδομένων για την επίτευξη ενός συγκεκριμένου σκοπού.

Αξίζει να σημειωθεί ότι στους τελούντες παραβίαση του Κανονισμού επιβάλλεται πρόστιμο, ύψους έως και 4 % του ετήσιου τζίρου τους.

Εξωεδαφική Εφαρμογή Κανονισμού- Διασυνοριακή Επεξεργασία Δεδομένων [7]

Η μεγαλύτερη αλλαγή που εισάγει ο Γενικός Κανονισμός για την Προστασία των Προσωπικών Δεδομένων είναι το πεδίο εφαρμογής του, καθώς σε αντίθεση με το προηγούμενο διφορούμενο καθεστώς, φέρει εκτεταμένη αρμοδιότητα. Αυτό σημαίνει ότι όλες οι εταιρείες που επεξεργάζονται δεδομένα ατόμων που βρίσκονται εντός της Ε.Ε. δεσμεύονται από τον Κανονισμό, ανεξάρτητα από την έδρα της εταιρείας.

Εταιρείες- κολοσσοί που δραστηριοποιούνται και επεξεργάζονται δεδομένα σε κάθε σημείο της Ευρωπαϊκή Ένωσης, θα έχουν ως επικεφαλής αρχή αυτήν που εδρεύει στη χώρα που βρίσκεται η κύρια εγκατάστασή τους. Η επικεφαλής αρχής θα επιβλέπει την συμμόρφωση της εταιρείας με τον Κανονισμό, θα διευκολύνει και θα συντονίζει την επικοινωνία με άλλες αρχές στις περιπτώσεις που εμπλέκονται πολίτες από διαφορετικές χώρες[8].

Συναίνεση

Όπως αναφέρθηκε παραπάνω, το άτομο πλέον παρέχει την συγκατάθεσή του για την επεξεργασία των προσωπικών του δεδομένων ως απάντηση σε σαφείς, απλές και κατανοητές αιτήσεις συγκατάθεσης. Οι μακροσκελείς, δυσανάγνωστες αιτήσεις με πληθώρα άγνωστων νομικών όρων αποτελούν πλέον παρελθόν. Είναι ζήτημα ουσίας το άτομο να έχει την δυνατότητα να άρει την συγκατάθεση του, με την ίδια ευκολία που την παρείχε σε προσιτή, σαφή και απλή γλώσσα.

Ωστόσο, το παραπάνω αναλυόμενο ρυθμιστικό πλαίσιο έρχεται σε αντίθεση με την πρακτική που ακολουθήθηκε από μερίδα εταιρειών, όταν ουσιαστικά ωθούσαν τους χρήστες σε «αναγκαστική συγκατάθεση», παρουσιάζοντας τους μεν την επιλογή να αποδεχτούν ή να απορρίψουν τον τρόπο επεξεργασίας των προσωπικών τους δεδομένων υπό τον όρο- απειλή όμως ότι η υπηρεσία δεν θα μπορεί να χρησιμοποιηθεί αν οι χρήστες δεν συμφωνήσουν. Ο ΓΚΠΠΔ απαγορεύει την αναγκαστική συναίνεση[9]. Επομένως, η μη συγκατάθεση του χρήστη δεν μπορεί να οδηγεί σε μια δέσμια κατάσταση αποκλεισμού του από την πρόσβαση σε κάποια υπηρεσία.

Συμπληρωματικά, ο ΓΚΠΠΔ αφενός επιτρέπει την επεξεργασία προσωπικών δεδομένων- όταν αυτά χρησιμοποιούνται για νόμιμο λόγο και είναι απολύτως αναγκαία για την παροχή της υπηρεσίας- αφετέρου είναι ασυμβίβαστο η αίτηση συγκατάθεσης να καταστεί αλιευτική κίνηση συναίνεσης με στόχο την συλλογή περιττών δεδομένων προς αξιοποίηση τους για διαφημιστικούς σκοπούς[10].

Το δικαίωμα στη Λήθη[11]

Το δικαίωμα στην λήθη, γνωστό και ως Right to be forgotten, περιλαμβάνεται στο νέο ΓΚΠΠΔ και αποτελεί ένα κατοχυρωμένο ψηφιακό δικαίωμα, έχοντας ήδη απασχολήσει την νομολογία τα προηγούμενα χρόνια. Το δικαίωμα στην λήθη[12] ουσιαστικά περιλαμβάνει το δικαίωμα του ατόμου να ζητήσει την διαγραφή των προσωπικών δεδομένων του, την παύση διάδοσής τους και εμφάνισής τους σε μηχανές αναζήτησης[13] ή και χρήσης από τρίτους. Ωστόσο, πρέπει να υπογραμμιστεί το γεγονός ότι δεν αποτελεί ένα νέο δικαίωμα, αλλά όπως αναφέρεται στην νομολογία του Δικαστηρίου για την υπόθεση C-131/12[14] πηγάζει από την Οδηγία 95/46 ΕΟΚ.

Επίλογος

Ο Γενικός Κανονισμός Προστασίας Προσωπικών Δεδομένων σηματοδοτεί μια περίοδο- τομή στην προστασία της ιδιωτικότητας. Το άτομο τοποθετείται στο επίκεντρο της προστασίας, δεδομένου ότι συσσωρεύεται σε εκείνο μια σημαντική ποσότητα ισχύος. Επιτυγχάνεται η εύρεση μιας πιο ισορροπημένης διόδου στην μέχρι πρότινος ανισόρροπη σχέση ατόμου και γιγαντιαίων εταιρειών ψηφιακού marketing. Κατ’ επέκταση, δίνεται ένα πρώτο λαμπρό παράδειγμα άσκησης πίεσης προς τις εταιρείες να προστατεύσουν τους χρήστες τους. Ο ΓΚΠΠΔ δύναται να αλλάξει το τοπίο και εκτός Ένωσης, προάγοντας την ανάγκη για τις απαραίτητες μεταρρυθμίσεις και στους υπόλοιπους χρήστες, που παραδειγματίζονται από την προστασία που απολαμβάνουν οι εντός Ευρώπης ομόλογοι τους.

[1] Άρθρο 4, ΓΚΠΠΔ.

[2] Άρθρο 4, ΓΚΠΠΔ.

[3] Άρθρο 4, ΓΚΠΠΔ.

[4] Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων είναι η ανεξάρτητη εποπτική αρχή που συστάθηκε το 2014 από το Κοινοβούλιο και το Συμβούλιο για να συμβουλεύει τις διοικήσεις της ΕΕ σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα καθώς και για την εποπτεία αυτών των οργανισμών προκειμένου να διασφαλιστεί η συμμόρφωση με τους δικούς τους κανονισμούς. Ο ΕΕΠΔ χειρίζεται επίσης τις καταγγελίες και παρακολουθεί τις νέες τεχνολογίες που σχετίζονται με την επεξεργασία των προσωπικών δεδομένων.

[5] Ο ΓΚΠΠΔ έχει άμεση εφαρμογή σε ολόκληρη την Ε.Ε. και δεν υπόκειται σε διαδικασία μεταφοράς και ενσωμάτωσης στο εθνικό δίκαιο από τα κράτη- μέλη, όπως συμβαίνει με τις Οδηγίες.

[6] Και όχι μόνο οι κάτοικοι ή οι Ευρωπαίοι πολίτες.

[7] Άρθρο 4, ΓΚΠΠΔ

[8] Για παράδειγμα για το Facebook η επικεφαλής αρχή εδρεύει στην Ιρλανδία, όπου και βρίσκεται η κύρια εγκατάστασή του.

[9] Άρθρο 7 παρ. 4, ΓΚΠΠΔ

[10]Κατά την πρώτη ημέρα εφαρμογής του ΓΚΠΠΔ, το noyb.eu υπέβαλε τέσσερα παράπονα για αναγκαστική εκτέλεση εναντίον της Google( Android), Facebook, WhatsApp και Instagram. To NOYB (European Center of Digital Rights) είναι μια μη κερδοσκοπική οργάνωση με έδρα την Βιέννη που ιδρύθηκε το 2017 από τον Αυστριακό δικηγόρο και ακτιβιστή ζητημάτων ιδιωτικότητας Max Schrems, γνωστό για την δράση του κατά του Facebook για ζητήματα παραβίασης της ιδιωτικότητας, συμπεριλαμβανομένων παραβιάσεων αντίστοιχων κανόνων του ευρωπαϊκού δικαίου.

[11] Άρθρο 17, ΓΚΠΠΔ

[12] Δεν κατοχυρώνεται ως απόλυτο δικαίωμα, καθώς η ελευθερία της έκφρασης δύναται να περιορίσει το πεδίο εφαρμογής του.

[13] Google, Bing και Yahoo ακολούθως, είναι από τις πρώτες εταιρείες που δημοσίευσαν αίτηση για αιτήματα διαγραφής online.

[14] Υπόθεση C-131/12, Google Spain SL, Google Inc. κατά Agencia Espanola de Proteccion de Datos, Mario Costeja Gonzalez. Στην απόφαση του Δικαστηρίου για την υπόθεση αυτή αναγνωρίστηκε το δικαίωμα της αφαίρεσης συνδέσμων σχετικά με προσωπικά δεδομένα ατόμου, τα οποία δεν ήταν σχετικά με την αναζήτηση ή και χρονικά ξεπερασμένα. Επιπροσθέτως, το Δικαστήριο προεκτείνοντας την σκέψη του έκρινε ότι το δικαίωμα του υποκειμένου των δεδομένων να ζητά την αφαίρεση των αφορούμενων αυτό πληροφοριών από τις μηχανές αναζήτησης βρίσκει έρεισμα και στα άρθρα 7 και 8 του Χάρτη Θεμελιωδών Δικαιωμάτων της Ε.Ε.

Παραπομπές:

[1] European Commission, (2018). What is Personal Data?. [online] Available here. [Accessed 18 Nov. 2018].

[2] Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, (2018). Δέκα Ερωτήσεις- Απαντήσεις για τα Προσωπικά Δεδομένα [online] Available here. [Accessed 18 Nov. 2018].

[3] European Commission, (2018). What constitutes data processing?. [online] Available here: [Accessed 18 Nov. 2018].

[4] Lawspot.gr, (2018). Οι Αρχές Προστασίας Δεδομένων στα κράτη- μέλη της Ευρωπαϊκής Ένωσης. [online] Available here. [Accessed 18 Nov. 2018].

[5] European Data Protection Board, (2018). About EDPB. [online] Available here. [Accessed 18 Nov. 2018].

[6] EU GDPR.org, (2018). The European Union Legislative Process. [online] Available here. [Accessed 18 Nov. 2018].

[7] EUR-Lex, (2016). Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (Text with EEA relevance). [online] Available here. [Accessed 18 Nov. 2018].

[8] EUR-Lex, (2016). Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA.  [online] Available here. [Accessed 18 Nov. 2018].

[9] EU GDPR.org, (2018). Timeline of Events. [online] Available here. [Accessed 18 Nov. 2018].

[10] EUR-Lex, Οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 24ης Οκτωβρίου 1995 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών. [online] Available here. [Accessed 18 Nov. 2018].

[11] Solon, O. (2018) How Europe’s ‘breakthrough’ privacy law takes on Facebook and Google. The Guardian [online] Available here. [Accessed 18 Nov. 2018].

[12] Fioretti, J. (2018). Factbox: Europe’s new data protection law – what will change?. Reuters [online] Available here. [Accessed 18 Nov. 2018].

[13] NOYB, (2018). GDPR: noyb.eu filed four complaints over «forced consent» against Google, Instagram, WhatsApp and Facebook. [online] Available here. [Accessed 18 Nov. 2018].

[14] Kaplan, M. (2018) Facebook and Google are already facing lawsuits under new data rules. CNNBusiness  [online] Available here. [Accessed 18 Nov. 2018].

[15] Dredge, S. (2014). Microsoft and Yahoo respond to European ‘right to be forgotten’ requests. The Guardian [online] Available here. [Accessed 18 Nov. 2018].

[16] Lawspot.gr, (2017). Το δικαίωμα στην λήθη: Ένα νέο ψηφιακό δικαίωμα για τον Κυβερνοχώρο. [online] Available here.  [Accessed 18 Nov. 2018].

[17] Υπόθεση C-131/12, Google Spain SL, Google Inc. κατά Agencia Espanola de Proteccion de Datos, Mario Costeja Gonzalez.