Απαιτήσεις διαπίστευσης φορέων παρακολούθησης της συμμόρφωσης των υπευθύνων επεξεργασίας / εκτελούντων την επεξεργασία με κώδικες δεοντολογίας

Αθήνα,07-05-2020 Αριθ. πρωτ.: Γ/ΕΞ/3105/07-05-2020 ΑΡΧΗ ΠΡΟ ΤΑ ΙΑ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟ ΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΑΠΟΦΑΣΗ 9/2020 Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνήλθε, µετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση µέσω τηλεδιάσκεψης την 0704-2020 σε συνέχεια των από 25.02.2020, 03.03.2020 και 10.03.2020 συνεδριάσεων στην έδρα της, προκειµένου να εξετάσει το θέµα που περιγράφεται στο ιστορικό της παρούσας. Παρέστησαν o Προέδρος, Κωνσταντίνος Μενουδάκος, και τα τακτικά µέλη πυρίδων Βλαχόπουλος, Κωνσταντίνος Λαµπρινουδάκης, Χαράλαµπος Ανθόπουλος, ως εισηγητής και Ελένη Μαρτσούκου, επίσης ως εισηγήτρια. τη συνεδρίαση παρέστησαν, επίσης, µε εντολή του Προέδρου, χωρίς δικαίωµα ψήφου, οι ειδικοί επιστήµονες Φωτεινή Καρβέλα, νοµική ελέγκτρια, Κωνσταντίνος Λιµνιώτης, πληροφορικός ελεγκτής, Ευφροσύνη ιουγλέ, πληροφορικός ελέγκτρια και ΕυµορφίαΙωσηφίνα Τσακιρίδου, νοµική ελέγκτρια, ως βοηθοί εισηγητών, καθώς και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Τµήµατος ∆ιοικητικών Υποθέσεων, ως γραµµατέας. Η Αρχή έλαβε υπόψη τα παρακάτω: ύµφωνα µε το άρθρο 40 παρ. 1 του Κανονισµού (ΕΕ) 2016/679 (Γενικός Κανονισµός Προστασίας ∆εδοµένων – εφεξής, ΓΚΠ∆), τα Κράτη Μέλη, οι εποπτικές αρχές, το Ευρωπαϊκό υµβούλιο Προστασίας ∆εδοµένων (εφεξής, Ε Π∆) και η Επιτροπή ενθαρρύνουν την εκπόνηση κωδίκων δεοντολογίας που έχουν ως στόχο να συµβάλουν στην ορθή εφαρµογή του ΓΚΠ∆, λαµβάνοντας υπόψη τα ειδικά χαρακτηριστικά των διάφορων τοµέων επεξεργασίας και τις ειδικές ανάγκες των πολύ µικρών, των µικρών και των µεσαίων επιχειρήσεων. την παρ. 2 του ίδιου άρθρου αναφέρεται ότι ενώσεις 1 και άλλοι φορείς που εκπροσωπούν κατηγορίες υπευθύνων επεξεργασίας ή εκτελούντων την επεξεργασία µπορούν να εκπονούν κώδικες δεοντολογίας ή να τροποποιούν ή να επεκτείνουν υφιστάµενους κώδικες δεοντολογίας, προκειµένου να προσδιορίσουν την εφαρµογή του ΓΚΠ∆, όπως όσον αφορά: α) τη θεµιτή και µε διαφάνεια επεξεργασία, β) τα έννοµα συµφέροντα που επιδιώκουν οι υπεύθυνοι επεξεργασίας σε συγκεκριµένα πλαίσια, γ) τη συλλογή δεδοµένων προσωπικού χαρακτήρα, δ) την ψευδωνυµοποίηση δεδοµένων προσωπικού χαρακτήρα, ε) την ενηµέρωση του κοινού και των υποκειµένων των δεδοµένων, στ) την άσκηση των δικαιωµάτων των υποκειµένων των δεδοµένων, ζ) την ενηµέρωση και την προστασία των παιδιών και τον τρόπο απόκτησης της συγκατάθεσης του ασκούντος τη γονική µέριµνα του παιδιού, η) τα µέτρα και τις διαδικασίες που αναφέρονται στα άρθρα 24 και 25 και τα µέτρα για τη διασφάλιση της ασφάλειας της επεξεργασίας που αναφέρεται στο άρθρο 32, θ) τη γνωστοποίηση παραβιάσεων δεδοµένων προσωπικού χαρακτήρα στις εποπτικές αρχές και την ανακοίνωση των εν λόγω παραβιάσεων δεδοµένων προσωπικού χαρακτήρα στα υποκείµενα των δεδοµένων, ι) τη διαβίβαση δεδοµένων προσωπικού χαρακτήρα σε τρίτες χώρες ή διεθνείς οργανισµούς, ή ια) εξωδικαστικές διαδικασίες και άλλες διαδικασίες επίλυσης διαφορών για την επίλυση διαφορών µεταξύ υπευθύνων επεξεργασίας και υποκειµένων των δεδοµένων όσον αφορά την επεξεργασία, µε την επιφύλαξη των δικαιωµάτων των υποκειµένων των δεδοµένων δυνάµει των άρθρων 77 και 79 του ΓΚΠ∆. ύµφωνα µε το άρθρο 40 παρ. 5 του ΓΚΠ∆, ενώσεις και άλλοι φορείς που εκπροσωπούν κατηγορίες υπευθύνων επεξεργασίας ή εκτελούντων την επεξεργασία και προτίθενται να εκπονήσουν κώδικα δεοντολογίας ή να τροποποιήσουν ή να επεκτείνουν υφιστάµενο κώδικα, υποβάλλουν το σχέδιο κώδικα στην εποπτική αρχή που είναι αρµόδια σύµφωνα µε το άρθρο

1. Η εποπτική αρχή γνωµοδοτεί ως προς τη συµµόρφωση του σχεδίου κώδικα, της τροποποίησης ή της επέκτασης προς το ΓΚΠ∆ και εγκρίνει το εν λόγω σχέδιο κώδικα, τροποποίηση ή επέκταση, εάν κρίνει ότι παρέχει επαρκείς κατάλληλες εγγυήσεις. Όταν το σχέδιο κώδικα ή η τροποποίηση ή επέκταση εγκρίνεται σύµφωνα µε τα ανωτέρω και όταν ο σχετικός κώδικας δεοντολογίας δεν έχει σχέση µε δραστηριότητες επεξεργασίας σε περισσότερα του ενός κράτη µέλη, η εποπτική αρχή καταχωρίζει και δηµοσιεύει τον κώδικα (βλ. άρθρο 40 παρ. 6 του ΓΚΠ∆). Εφόσον ο κώδικας σχετίζεται µε δραστηριότητες επεξεργασίας σε περισσότερα από ένα κράτη µέλη, ακολουθούνται οι διαδικασίες οι οποίες 2 περιγράφονται στις παραγράφους 7, 8 και 9 του ιδίου άρθρου. Περαιτέρω, όπως αναφέρεται στην παρ. 3 του ιδίου άρθρου, πέραν της τήρησής τους από υπεύθυνους επεξεργασίας ή εκτελούντες την επεξεργασία υπαγόµενους στο ΓΚΠ∆, οι κώδικες δεοντολογίας που εγκρίνονται βάσει της παραγράφου 5 του ιδίου άρθρου και έχουν γενική ισχύ εντός της Ένωσης (βάσει της παραγράφου 9 του ιδίου άρθρου) µπορούν επίσης να τηρούνται από υπευθύνους επεξεργασίας ή εκτελούντες την επεξεργασία µη υπαγόµενους στο ΓΚΠ∆, προκειµένου να παρέχονται οι κατάλληλες εγγυήσεις στο πλαίσιο των διαβιβάσεων δεδοµένων προσωπικού χαρακτήρα σε τρίτες χώρες ή διεθνείς οργανισµούς, σύµφωνα µε τους όρους που αναφέρονται στο άρθρο 46 παράγραφος 2 στοιχείο ε). Επισηµαίνεται ότι η τήρηση εγκεκριµένου κώδικα δεοντολογίας δύναται να χρησιµοποιηθεί ως στοιχείο για την απόδειξη της συµµόρφωσης µε τις απαιτήσεις της παραγράφου 1 του άρθρου. 32 αναφορικά µε την ασφάλεια της επεξεργασίας (βλ. άρθρο 32, παρ. 3), ενώ περαιτέρω η συµµόρφωση µε εγκεκριµένους κώδικες δεοντολογίας από υπευθύνους επεξεργασίας ή εκτελούντες την επεξεργασία λαµβάνεται δεόντως υπόψη κατά την εκτίµηση αντικτύπου των πράξεων επεξεργασίας που εκτελούνται από τους εν λόγω υπευθύνους ή εκτελούντες την επεξεργασία, ιδίως για τους σκοπούς εκτίµησης αντικτύπου σχετικά µε την προστασία δεδοµένων (βλ. άρθρο 35, παρ. 8). Εξάλλου, σύµφωνα µε το άρθρο 83 παρ. 2, κατά τη λήψη απόφασης σχετικά µε την επιβολή διοικητικού προστίµου, καθώς και σχετικά µε το ύψος του διοικητικού προστίµου για κάθε µεµονωµένη περίπτωση, λαµβάνονται δεόντως υπόψη, µεταξύ άλλων, και η τήρηση εγκεκριµένων κωδίκων δεοντολογίας. Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα, αφού άκουσε τους εισηγητές και τους βοηθούς εισηγητές, οι οποίες στη συνέχεια αποχώρησαν, και κατόπιν διεξοδικής συζήτησης, Σ ΕΦΘΗ Ε ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
2. ύµφωνα µε το άρθρο 9 του ν. 4624/2019, ο οποίος έχει ως σκοπό – µεταξύ άλλων - τη λήψη µέτρων εφαρµογής του ΓΚΠ∆, η εποπτεία της εφαρµογής των διατάξεων του ΓΚΠ∆ στην Ελληνική Επικράτεια ασκείται από την Αρχή 3 Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα (εφεξής, Αρχή).
3. ύµφωνα µε το άρθρο 40 παρ. 4 του ΓΚΠ∆, ο κώδικας δεοντολογίας περιέχει µηχανισµούς που επιτρέπουν στον αναφερόµενο στο άρθρο 41 παρ. 1 φορέα να διενεργεί την υποχρεωτική παρακολούθηση της συµµόρφωσης προς τις διατάξεις του από τους υπευθύνους επεξεργασίας ή τους εκτελούντες την επεξεργασία που έχουν αναλάβει να τον εφαρµόζουν, µε την επιφύλαξη των καθηκόντων και των αρµοδιοτήτων των εποπτικών αρχών που είναι αρµόδιες σύµφωνα µε το άρθρο 55 ή
5. Το άρθρο 41 παρ 1 του ΓΚΠ∆ αναφέρει ότι, µε την επιφύλαξη των καθηκόντων και των αρµοδιοτήτων της αρµόδιας εποπτικής αρχής σύµφωνα µε τα άρθρα 57 και 58, η παρακολούθηση της συµµόρφωσης µε κώδικα δεοντολογίας δυνάµει του άρθρου 40 µπορεί να διεξάγεται από φορέα (εφεξής, φορέας παρακολούθησης) που διαθέτει το ενδεδειγµένο επίπεδο εµπειρογνωµοσύνης σε σχέση µε το αντικείµενο του κώδικα και είναι διαπιστευµένος για τον σκοπό αυτόν από την αρµόδια εποπτική αρχή.
6. Το άρθρο 41, στο σύνολό του, δεν εφαρµόζεται στην επεξεργασία που διενεργείται από δηµόσιες αρχές και δηµόσιους φορείς1 (βλ. παρ. 6 αυτού). Ωστόσο, σε περιπτώσεις κωδίκων δεοντολογίας για τη συµµόρφωση υπευθύνων επεξεργασίας ή εκτελούντων την επεξεργασία οι οποίοι δεν είναι δηµόσιες αρχές ή δηµόσιοι φορείς, η ύπαρξη του ως άνω αναφερόµενου φορέα παρακολούθησης – ο οποίος πρέπει να είναι προς τούτο διαπιστευµένος από την αρµόδια εποπτική Αρχή – είναι υποχρεωτική (βλ. σχετικά τις κατευθυντήριες γραµµές 1/2019 του Ε Π∆, σκέψη 27).
7. Οι γενικές απαιτήσεις που πρέπει να πληρούνται για τη διαπίστευση φορέα παρακολούθησης περιγράφονται στην παρ. 2 του άρθρου 41 του ΓΚΠ∆.
8. ύµφωνα µε το άρθρο 41 παρ. 3 του ΓΚΠ∆, η αρµόδια εποπτική αρχή υποβάλλει τα σχέδια απαιτήσεων διαπίστευσης του φορέα παρακολούθησης στο Ε Π∆ σύµφωνα µε τον µηχανισµό συνεκτικότητας που αναφέρεται στο άρθρο 63 του ΓΚΠ∆. 1 ύµφωνα µε το άρθρο 4 στοιχ. α’ του ν. 4624/2019, ως ««δηµόσιος φορέας» νοούνται οι δηµόσιες αρχές, οι ανεξάρτητες και ρυθµιστικές διοικητικές αρχές, τα νοµικά πρόσωπα δηµοσίου δικαίου, οι οργανισµοί τοπικής αυτοδιοίκησης πρώτου και δεύτερου βαθµού και τα νοµικά πρόσωπα και οι επιχειρήσεις αυτών, οι κρατικές ή δηµόσιες επιχειρήσεις και οργανισµοί, τα νοµικά πρόσωπα ιδιωτικού δικαίου που ανήκουν στο κράτος ή επιχορηγούνται κατά 50% τουλάχιστον του ετήσιου προϋπολογισµού τους ή η διοίκησή τους ορίζεται από αυτό. 4 ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, αποφασίζει τον ορισµό απαιτήσεων για τη διαπίστευση των φορέων παρακολούθησης, όπως αυτοί ορίζονται στο άρθρο 41 του ΓΚΠ∆, και οι οποίοι σχετίζονται µε κώδικα δεοντολογίας για τον οποίο η Αρχή είναι αρµόδια σύµφωνα µε το άρθρο 55 του ΓΚΠ∆. Οι εν λόγω απαιτήσεις διαπίστευσης, οι οποίες βασίζονται στις κατευθυντήριες γραµµές 1/2019 του Ε Π∆,. δεν αφορούν, κατ’ αρχάς, την περίπτωση φορέων παρακολούθησης κωδίκων δεοντολογίας του άρθρου. 40 παρ. 3 του ΓΚΠ∆, η οποία έχει εξαιρεθεί και από τις ως άνω κατευθυντήριες γραµµές και θα εξεταστεί ειδικώς σε άλλες κατευθυντήριες γραµµές του Ε Π∆. Οι παρούσες απαιτήσεις διαπίστευσης υποβάλλονται στο Ε Π∆ σύµφωνα µε τον προβλεπόµενο στο άρθρο 63 του ΓΚΠ∆ µηχανισµό συνεκτικότητας και θα δηµοσιοποιηθούν από την Αρχή µετά την ολοκλήρωση της εν λόγω διαδικασίας. Ο Πρόεδρος Η Γραµµατέας ωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου 5