Αθήνα, 06-08-2020 Αριθ. πρωτ.: Γ/ΕΞ/5512/06-08-2020 ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΑΠΟΦΑΣΗ 26/2020 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (εφεξής, Αρχή) συνήλθε, μετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση την 5-8-2020, σε συνέχεια της από 22-7-2020 συνεδρίασης, προκειμένου να εξετάσει το θέμα που περιγράφεται στο ιστορικό της παρούσας. Παρέστησαν o Προέδρος, Κωνσταντίνος Μενουδάκος, και τα τακτικά μέλη Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, ως εισηγητής, και Χαράλαμπος Ανθόπουλος, επίσης ως εισηγητής. Στη συνεδρίαση παρέστησαν, επίσης, με εντολή του Προέδρου, χωρίς δικαίωμα ψήφου, οι ειδικοί επιστήμονες Φωτεινή Καρβέλα, νομική ελέγκτρια, Κωνσταντίνος Λιμνιώτης, πληροφορικός ελεγκτής, Ευφροσύνη Σιουγλέ, πληροφορικός ελέγκτρια και Ευμορφία-Ιωσηφίνα Τσακιρίδου, νομική ελέγκτρια, ως βοηθοί εισηγητών, καθώς και η Γεωργία Παλαιολόγου, υπάλληλος του Τμήματος Διοικητικών Υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη τα παρακάτω: Η Αρχή, με την Απόφαση 9/2020, αποφάσισε – σύμφωνα με το άρθρο 57 παρ. 1 στοιχ. ιστ’ του Γενικού Κανονισμού Προστασίας Δεδομένων (εφεξής, ΓΚΠΔ) – την κατάρτιση σχεδίου στο οποίο περιγράφονται οι απαιτήσεις για τη διαπίστευση των φορέων παρακολούθησης, όπως αυτοί ορίζονται στο άρθρο 41 του ΓΚΠΔ, που σχετίζονται με κώδικα δεοντολογίας για τον οποίο η Αρχή είναι αρμόδια σύμφωνα με το άρθρο 55 του ΓΚΠΔ. Για την οριστικοποίηση των εν λόγω απαιτήσεων, η Αρχή, σύμφωνα με το άρθρο 41 παρ. 3 του ΓΚΠΔ, εφάρμοσε το μηχανισμό συνεκτικότητας που αναφέρεται στο άρθρο 63 του ΓΚΠΔ υποβάλλοντας το σχέδιο των απαιτήσεων προς έγκριση στο Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (εφεξής, Συμβούλιο), όπως προβλέπεται και στο άρθρο 64 παρ. 1 στοιχ. γ’ του ΓΚΠΔ. Το 1 Συμβούλιο, κατόπιν γραπτής διαδικασίας (written procedure), η οποία προβλέπεται στο άρθρο 24 παρ. 3 του εσωτερικού του Κανονισμού και η οποία ολοκληρώθηκε στις 23 Ιουλίου 2020, εξέδωσε τη γνώμη 20/2020 σχετικά με το εν λόγω σχέδιο της Αρχής βάσει του άρθρου 64 παρ. 3 του ΓΚΠΔ. Με τη γνώμη αυτή, η οποία εστάλη στην Αρχή με ηλεκτρονικό τρόπο στις 29 Ιουλίου 2020, το Συμβούλιο ζήτησε από την Αρχή την τροποποίηση του εν λόγω σχεδίου βάσει των περιλαμβανομένων σε αυτή συστάσεων προκειμένου για τη συνεκτική εφαρμογή της διαπίστευσης των φορέων παρακολούθησης κωδίκων δεοντολογίας. Η Αρχή, αφού άκουσε τους εισηγητές και τους βοηθούς εισηγητών, οι οποίοι στη συνέχεια αποχώρησαν, και κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΘΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
- Σύμφωνα με το άρθρο 9 του ν. 4624/2019, ο οποίος έχει ως σκοπό, – μεταξύ άλλων, - τη λήψη μέτρων εφαρμογής του ΓΚΠΔ, η εποπτεία της εφαρμογής των διατάξεων του ΓΚΠΔ στην Ελληνική Επικράτεια ασκείται από την Αρχή.
- Σύμφωνα με το άρθρο 15 παρ. 10 του ν.4624/2019 «Οι κανονιστικές πράξεις της Αρχής, για τις οποίες δεν προβλέπεται δημοσίευσή τους στην Εφημερίδα της Κυβερνήσεως, δημοσιεύονται στην ιστοσελίδα της Αρχής».
- Σύμφωνα με το άρθρο 41 παρ. 3 του ΓΚΠΔ, η αρμόδια εποπτική αρχή υποβάλλει τα σχέδια απαιτήσεων διαπίστευσης του φορέα παρακολούθησης στο Συμβούλιο σύμφωνα με τον μηχανισμό συνεκτικότητας που αναφέρεται στο άρθρο 63 του ΓΚΠΔ. Περαιτέρω, σύμφωνα με το άρθρο 64 παρ. 1 του ΓΚΠΔ, «Το Συμβούλιο εκδίδει γνώμη όποτε μια αρμόδια εποπτική αρχή προτίθεται να θεσπίσει οποιοδήποτε από τα κατωτέρω μέτρα. Για τον σκοπό αυτό, η αρμόδια εποπτική αρχή ανακοινώνει το σχέδιο απόφασης στο Συμβούλιο, όταν: (…) γ) αποσκοπεί στην έγκριση των απαιτήσεων για τη διαπίστευση φορέα σύμφωνα με το άρθρο 41 παράγραφος 3 (…)». Σύμφωνα με το άρθρο 64 παρ. 3 του ΓΚΠΔ, «Στις περιπτώσεις που αναφέρονται στις παραγράφους 1 και 2, το Συμβούλιο Προστασίας Δεδομένων εκδίδει γνώμη σχετικά με το αντικείμενο που του υποβάλλεται, εφόσον δεν έχει ήδη εκδώσει γνώμη επί του ίδιου θέματος. Η γνώμη αυτή εκδίδεται εντός προθεσμίας οκτώ εβδομάδων 2 με απλή πλειοψηφία των μελών του Συμβουλίου Προστασίας Δεδομένων (…)». Περαιτέρω, σύμφωνα με το άρθρο 64 παρ. 7 του ΓΚΠΔ, «η αρμόδια εποπτική αρχή που αναφέρεται στην παράγραφο 1 λαμβάνει ιδιαιτέρως υπόψη τη γνώμη του Συμβουλίου Προστασίας Δεδομένων και, εντός δύο εβδομάδων από την παραλαβή της γνώμης, ανακοινώνει στον Πρόεδρο του Συμβουλίου Προστασίας Δεδομένων με ηλεκτρονικά μέσα κατά πόσο θα διατηρήσει ή θα τροποποιήσει το σχέδιο απόφασης και, εφόσον συντρέχει περίπτωση, το τροποποιημένο σχέδιο απόφασης, χρησιμοποιώντας τυποποιημένο μορφότυπο».
- Ενόψει των ανωτέρω, η Αρχή, αφού έλαβε υπόψη και εξέτασε τις συστάσεις, περιλαμβανομένων των ενθαρρύνσεων, της γνώμης 20/2020 του Συμβουλίου, έκρινε ομόφωνα ότι όλες οι συστάσεις της εν λόγω γνώμης πρέπει να γίνει δεκτές, να επέλθουν οι αναγκαίες μεταβολές στο σχέδιο των απαιτήσεων διαπίστευσης που είχε υποβάλει αρχικά στο Συμβούλιο και να ανακοινώσει στο Συμβούλιο τροποποιημένο σχέδιο εντός της προαναφερθείσας προθεσμίας.
- Για το σκοπό αυτό πραγματοποιήθηκαν επί του σχεδίου των απαιτήσεων διαπίστευσης που είχε καταρτιστεί με την υπ’ αριθμ. 9/2020 Απόφαση της Αρχής, οι αναγκαίες μεταβολές προς εκπλήρωση του συνόλου των συστάσεων αλλά και ενθαρρύνσεων της γνώμης 20/2020 του Συμβουλίου. Οι τροποποιημένες απαιτήσεις παρατίθεται στο Παράρτημα της παρούσας απόφασης. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, αποφασίζει ομόφωνα, την τροποποίηση του σχεδίου των απαιτήσεων διαπίστευσης για τους φορείς παρακολούθησης κωδίκων δεοντολογίας, βάσει των συστάσεων της γνώμης 20/2020 του Συμβουλίου, και την ανακοίνωση του τροποποιημένου σχεδίου στο Συμβούλιο, σύμφωνα με το άρθρο 64 παρ. 7 του ΓΚΠΔ. Το τροποποιημένο σχέδιο, το οποίο παρατίθεται στο Παράρτημα της παρούσας απόφασης, θα δημοσιοποιηθεί από την Αρχή με δημοσίευση στο διαδικτυακό τόπο της – σύμφωνα με το άρθρο 57 παρ. 1 στοιχ. ιστ’ του ΓΚΠΔ και με το άρθρο 15 παρ. 10 του ν.4624/2019 - μετά την ολοκλήρωση της εν λόγω διαδικασίας. 3 Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Γεωργία Παλαιολόγου 4 ΠΑΡΑΡΤΗΜΑ Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα Απαιτήσεις διαπίστευσης φορέων παρακολούθησης κωδίκων δεοντολογίας Εισαγωγή Ο Κανονισμός (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη διακίνηση των δεδομένων αυτών (Γενικός Κανονισμός Προστασίας Δεδομένων – εφεξής, ΓΚΠΔ) είναι σε εφαρμογή από τις 25 Μαΐου
- Οι κώδικες δεοντολογίας προβλέπονται στο άρθρο 40 του ΓΚΠΔ. Εκπονούνται από ενώσεις ή άλλους φορείς που εκπροσωπούν κατηγορίες υπευθύνων επεξεργασίας ή εκτελούντων επεξεργασία. Αποσκοπούν στη διευκόλυνση της ουσιαστικής εφαρμογής του ΓΚΠΔ, ρυθμίζοντας ειδικές υποχρεώσεις τόσο υπευθύνων επεξεργασίας όσο και εκτελούντων την επεξεργασία, για ειδικούς τομείς δραστηριότητας. Καίτοι είναι προαιρετικοί και όχι υποχρεωτικοί, η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (εφεξής, Αρχή) σαφώς ενθαρρύνει την εκπόνησή τους σύμφωνα με όσα προδιαγράφονται στο άρθρο 40 του ΓΚΠΔ, υπό την έννοια ότι μπορεί να αποτελούν σύνολο ειδικών κανόνων/πρακτικών που συμβάλλουν στη συμμόρφωση με τις συνολικές προϋποθέσεις νόμιμης επεξεργασίας προσωπικών δεδομένων που θέτει ο ΓΚΠΔ, λαμβάνοντας υπόψη τα ειδικά χαρακτηριστικά των διαφόρων τομέων επεξεργασίας 1 . Το σχέδιο ενός τέτοιου κώδικα υποβάλλεται στην Αρχή, η οποία γνωμοδοτεί (σύμφωνα με το άρθρο 40 παρ. 5 του ΓΚΠΔ) αν ο εν λόγω κώδικας είναι σύμφωνος με τον ΓΚΠΔ και τον εγκρίνει εφόσον κρίνει ότι παρέχει επαρκείς εγγυήσεις (είτε πρόκειται για αρχικό κώδικα είτε για τροποποίηση ή επέκταση ήδη εγκεκριμένου κώδικα). Ένας εγκεκριμένος από την Αρχή κώδικας δεοντολογίας, εφόσον τηρείται από υπεύθυνο επεξεργασίας ή εκτελούντα επεξεργασία, δύναται να χρησιμοποιηθεί ως στοιχείο για την απόδειξη της συμμόρφωσης με τις υποχρεώσεις του υπευθύνου επεξεργασίας (άρ. 24 παρ. 3 ΓΚΠΔ) ή ως στοιχείο για να Σύμφωνα με την εισαγωγική σκέψη 98 του ΓΚΔΠ, «Οι ενώσεις ή οι άλλοι φορείς που εκπροσωπούν κατηγορίες υπευθύνων επεξεργασίας ή εκτελούντων την επεξεργασία θα πρέπει να παροτρύνονται να καταρτίζουν κώδικες δεοντολογίας, εντός των ορίων του παρόντος κανονισμού, προκειμένου να διευκολύνεται η ουσιαστική εφαρμογή του παρόντος κανονισμού, λαμβάνοντας υπόψη τα συγκεκριμένα χαρακτηριστικά της επεξεργασίας που διενεργείται σε ορισμένους τομείς και τις ιδιαίτερες ανάγκες των πολύ μικρών, των μικρών και των μεσαίων επιχειρήσεων. Ειδικότερα, οι εν λόγω κώδικες δεοντολογίας θα μπορούσαν να ρυθμίζουν τις υποχρεώσεις των υπευθύνων επεξεργασίας και των εκτελούντων την επεξεργασία, λαμβάνοντας υπόψη τον κίνδυνο που θα μπορούσε να προκύψει από την επεξεργασία για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων.» 1 5 αποδειχθεί ότι ο εκτελών την επεξεργασία παρέχει επαρκείς διαβεβαιώσεις σύμφωνα με τις παρ. 1 και 4 του άρθρο 28 (άρθρο 28 παρ. 5). Σύμφωνα με το άρθρο 41 παρ. 1 του ΓΚΠΔ, η παρακολούθηση της συμμόρφωσης με κώδικα δεοντολογίας δυνάμει του άρθρου 40 μπορεί να διεξάγεται από φορέα (εφεξής, φορέα παρακολούθησης) που διαθέτει το ενδεδειγμένο επίπεδο εμπειρογνωμοσύνης σε σχέση με το αντικείμενο του κώδικα και είναι διαπιστευμένος για τον σκοπό αυτόν από την αρμόδια εποπτική αρχή. Σύμφωνα με το άρθρο 41 παρ. 2 του ΓΚΠΔ, ο φορέας παρακολούθησης μπορεί να είναι διαπιστευμένος για την παρακολούθηση της συμμόρφωσης με κώδικα δεοντολογίας, εφόσον: α) έχει αποδείξει την ανεξαρτησία και την εμπειρογνωμοσύνη του σε σχέση με το αντικείμενο του κώδικα κατά την κρίση της Αρχής, β) έχει καθιερώσει διαδικασίες που του επιτρέπουν την εκτίμηση της επιλεξιμότητας των σχετικών υπευθύνων επεξεργασίας και των εκτελούντων την επεξεργασία προκειμένου να εφαρμόσουν τον κώδικα, την παρακολούθηση της συμμόρφωσής τους με τις διατάξεις του και την περιοδική επανεξέταση της λειτουργίας του, γ) έχει θεσπίσει διαδικασίες και δομές για την αντιμετώπιση καταγγελιών περί παραβάσεων του κώδικα ή περί του τρόπου με τον οποίον ο κώδικας έχει εφαρμοστεί ή εφαρμόζεται από έναν υπεύθυνο επεξεργασίας ή εκτελούντα την επεξεργασία, καθώς και για να καταστούν οι διαδικασίες και οι δομές αυτές διαφανείς στα υποκείμενα των δεδομένων και στο ευρύ κοινό, και δ) αποδεικνύει, κατά την κρίση της Αρχής, ότι τα καθήκοντα και οι υποχρεώσεις του δεν συνεπάγονται σύγκρουση συμφερόντων. Σύμφωνα με το άρθρο 41 παρ. 3 του ΓΚΠΔ, η αρμόδια εποπτική αρχή υποβάλλει τα σχέδια απαιτήσεων διαπίστευσης του φορέα παρακολούθησης στο Συμβούλιο Προστασίας Δεδομένων (εφεξής, Συμβούλιο) σύμφωνα με τον μηχανισμό συνεκτικότητας που αναφέρεται στο άρθρο 63 του ΓΚΠΔ. Το Συμβούλιο έχει εκδώσει σχετικά τις κατευθυντήριες γραμμές 1/2019 αναφορικά με τους κώδικες δεοντολογίας (εφεξής, κώδικες) και τους φορείς παρακολούθησης, υπό το πρίσμα του ΓΚΠΔ. Το παρόν αποτελεί το σύνολο των απαιτήσεων διαπίστευσης φορέων παρακολούθησης της Αρχής, οι οποίες υποβάλλονται στο Συμβούλιο σύμφωνα με το άρθρο 41 παρ. 3 του ΓΚΠΔ. Για την κατάρτισή τους λήφθηκε υπόψη και το ως άνω σχετικό κείμενο του Συμβουλίου. Σημειώνεται ότι κάθε φορά που θα υποβάλλεται προς έγκριση κάποιος κώδικας δεοντολογίας, ο εκάστοτε ιδιοκτήτης του κώδικα (όπως ορίζεται στη συνέχεια) θα πρέπει να καταδεικνύει πώς ο προτεινόμενος από αυτόν φορέας παρακολούθησης πληροί τις εν λόγω απαιτήσεις. Επισημαίνεται ότι η διαπίστευση φορέα παρακολούθησης ισχύει μόνο για έναν συγκεκριμένο κώδικα: σε περίπτωση κατά την οποία ο ίδιος φορέας θέλει να διαπιστευτεί για άλλον κώδικα, απαιτείται εκ νέου διαπίστευσή του. 6 Η διαπίστευση φορέα παρακολούθησης πραγματοποιείται κατόπιν γραπτής αίτησης προς την Αρχή. Η αίτηση διαπίστευσης περιλαμβάνει τα εξής στοιχεία: i) πληροφορίες ταυτοποίησης του φορέα παρακολούθησης, ii) αριθμό Γενικού Εμπορικού Μητρώου (κατά περίπτωση), iii) ΑΦΜ, iv) έδρα του φορέα παρακολούθησης , v) στοιχεία επικοινωνίας των προσώπων που είναι αρμόδια για την παροχή πρόσθετων πληροφοριών σχετικά με την αίτηση διαπίστευσης, vi) διευκρινίσεις για το αν πρόκειται για εσωτερικό ή εξωτερικό φορέα παρακολούθησης (όπως ορίζεται στη συνέχεια). Στην αίτηση περιλαμβάνονται αποδεικτικά στοιχεία για την εκπλήρωση των απαιτήσεων με την προσκόμιση σχετικών εγγράφων, όπως ορίζεται στις εν λόγω απαιτήσεις. Η διαπίστευση φορέα από την Αρχή, ισχύει για διάστημα πέντε
(5)ετών – εκτός αν ο ίδιος ο κώδικας προβλέπει μικρότερο διάστημα. Οι απαιτήσεις μπορούν να επανεξετάζονται πριν από την παρέλευση της πενταετίας. Η διαπίστευση μπορεί να αρθεί οποτεδήποτε, εφόσον συντρέχουν οι προϋποθέσεις που περιγράφονται στη συνέχεια. Τρεις μήνες πριν τη λήξη της διαπίστευσης, ο φορέας παρακολούθησης πρέπει να υποβάλει στην Αρχή αίτημα ανανέωσης αυτής, παραθέτοντας εκ νέου όλα τα πειστήρια για την εκπλήρωση των απαιτήσεων (με ειδική αναφορά σε όσα είναι επικαιροποιημένα): η Αρχή δύναται, στο πλαίσιο εξέτασης του αιτήματος ανανέωσης, να ζητήσει περαιτέρω αναλυτικές πληροφορίες σχετικά με τις δράσεις του φορέα ως προς την παρακολούθηση της συμμόρφωσης των μελών του κώδικα καθ’ όλο το προηγούμενο διάστημα. Το παρόν δεν αφορά, κατ’ αρχάς, την περίπτωση φορέων παρακολούθησης κωδίκων δεοντολογίας του άρθρου 40 παρ. 3 του ΓΚΠΔ, οι οποίοι μπορούν να τηρούνται από υπευθύνους επεξεργασίας και εκτελούντες την επεξεργασία προκειμένου να παρέχονται οι κατάλληλες εγγυήσεις στο πλαίσιο των διαβιβάσεων δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες ή διεθνείς οργανισμούς, σύμφωνα με τους όρους που περιγράφονται στο άρθρο 46 παρ. 2 στοιχ. ε’. Οι ως άνω κατευθυντήριες γραμμές 1/2019 εξαιρούν αυτήν την περίπτωση. Βασικοί ορισμοί α) Ιδιοκτήτης κώδικα 2 : Ένωση ή φορέας που κατάρτισε τον κώδικα και τον υπέβαλε στην Αρχή β) Μέλος κώδικα: οποιοσδήποτε υπεύθυνος επεξεργασίας (άρθρο 4 στοιχ. 7 του ΓΚΠΔ) ή εκτελών την επεξεργασία (άρθρο 4 στοιχ. 8 του ΓΚΠΔ) έχει προσχωρήσει στον κώδικα. Απαιτήσεις διαπίστευσης Τα κατωτέρω ισχύουν τόσο για εξωτερικό φορέα παρακολούθησης όσο και για εσωτερικό φορέα παρακολούθησης σε σχέση με τον ιδιοκτήτη του κώδικα 3 (π.χ. ad hoc εσωτερική επιτροπή ή ένα χωριστό τμήμα του οργανισμού του ιδιοκτήτη του κώδικα, ανεξάρτητα του γεγονότος ότι, σε κάποιες περιπτώσεις, οι απαιτήσεις μπορούν να ικανοποιηθούν ευχερέστερα για εξωτερικό φορέα από ό,τι για εσωτερικό. Σε συγκεκριμένες περιπτώσεις απαιτήσεων οι οποίες αφορούν μόνο εσωτερικό φορέα παρακολούθησης, τότε γίνεται ειδική μνεία σε αυτό. Βλ. σχετικά και τον ορισμό «code owner» στις κατευθυντήριες γραμμές 1/2019 του ΕΣΠΔ Βλ. επίσης σχετικά τις κατευθυντήριες γραμμές 1/2019 του ΕΣΠΔ, αναφορικά με το ζήτημα εξωτερικών και εσωτερικών φορέων παρακολούθησης 2 3 7 1. Γενική απαίτηση ανεξαρτησίας του φορέα παρακολούθησης (άρθρο 41, παρ. 2, στοιχ. α’) Ο φορέας παρακολούθησης ενός κώδικα πρέπει να είναι ανεξάρτητος τόσο από τον ιδιοκτήτη του κώδικα όσο και από το κάθε μέλος αυτού. Η ανεξαρτησία ενός φορέα παρακολούθησης θα πρέπει να νοείται ως μια σειρά επίσημων κανόνων και διαδικασιών για την ανάθεση, τις αρμοδιότητες και τη λειτουργία του φορέα παρακολούθησης, που επιτρέπουν στον φορέα παρακολούθησης να παρακολουθεί τη συμμόρφωση με τον κώδικα δεοντολογίας με πλήρη αυτονομία, χωρίς άμεσες ή έμμεσες επιρροές ούτε άσκηση πίεσης οποιασδήποτε μορφής που ενδέχεται να επηρεάσει τις αποφάσεις που λαμβάνει. Αυτό σημαίνει ότι ο φορέας παρακολούθησης δεν μπορεί να λαμβάνει εντολές για την άσκηση των καθηκόντων του από μέλη του κώδικα, το επάγγελμα, τον κλάδο ή τον τομέα όπου πρόκειται να εφαρμόζεται ο κώδικας ή από τον ίδιο τον ιδιοκτήτη του κώδικα. Η ανεξαρτησία έγκειται σε τέσσερις τομείς 4 :
- i)Νομική ανεξαρτησία ως προς τις διαδικασίες λήψης αποφάσεων,
- ii)Οικονομική ανεξαρτησία, iii) Οργανωτική ανεξαρτησία,
- iv)Ανεξαρτησία ως προς τη λογοδοσία. Η ανεξαρτησία – όπως εξειδικεύεται στη συνέχεια – πρέπει να προκύπτει από καθιερωμένους σαφείς κανόνες και διαδικασίες, προκειμένου να διασφαλίζεται ότι ο φορέας παρακολούθησης λειτουργεί αυτόνομα και χωρίς καμία πίεση από τον ιδιοκτήτη ή τα μέλη του κώδικα, σύμφωνα με τα ανωτέρω. Η ανεξαρτησία αυτή πρέπει να αποδεικνύεται στην Αρχή. Ο φορέας παρακολούθησης δύναται να είναι τόσο εξωτερικός όσο και εσωτερικός σε σχέση με τον ιδιοκτήτη του κώδικα, εφόσον βέβαια τεκμηριώνεται πλήρως η ως άνω αναφερθείσα ανεξαρτησία αυτού, όπως εξειδικεύεται στη συνέχεια.
- i)Νομικές διαδικασίες και διαδικασίες λήψης αποφάσεων Α) Ο φορέας παρακολούθησης πρέπει να είναι ανεξάρτητος ως προς τις διαδικασίες λήψης αποφάσεων σχετικά με την παρακολούθηση της συμμόρφωσης με τον κώδικα, από τον ιδιοκτήτη του κώδικα, τα μέλη του κώδικα, αλλά και γενικότερα από τον τομέα/κλάδο τον οποίο ο κώδικας αφορά. Β) Ο φορέας παρακολούθησης πρέπει να αποδεικνύει στην Αρχή ότι ενεργεί πλήρως ανεξάρτητα ως προς τη λήψη αποφάσεων σχετικά με τη συμμόρφωση με τον κώδικα. Αυτό δύναται να καταδεικνύεται μέσω σαφώς ορισμένων διαδικασιών για την επιλογή του προσωπικού που θα συμμετέχει τόσο σε επιθεωρήσεις/ελέγχους συμμόρφωσης όσο και στη λήψη αποφάσεων. Οι καθορισμένες διαδικασίες του φορέα πρέπει να εξασφαλίζουν ότι τα στελέχη του λειτουργούν ανεπηρέαστα κατά την άσκηση των καθηκόντων τους τόσο σε προσωπικό επίπεδο όσο και σε επαγγελματικό επίπεδο (π.χ. 4 Βλ. σχετικά και τη Γνώμη 9/2019 του ΕΣΠΔ 8 αναφορικά με επαγγελματικές συνεργασίες). Επίσης θα πρέπει να αποδεικνύεται, ότι ο φορέας παρακολούθησης, με βάση τη νομική υπόστασή του, θα είναι νομικά σε θέση να εκδίδει πλήρως ανεξάρτητα εκτελεστές αποφάσεις (π.χ. οι αποφάσεις του θα πρέπει είναι άμεσα εκτελεστές χωρίς να απαιτείται κάποια άλλη έγκριση ή διαβούλευση, ακόμα κι αν πρόκειται για εσωτερικό φορέα παρακολούθησης ή αν ο φορέας είναι εξωτερικός αλλά αποτελεί τμήμα ενός ευρύτερου οργανισμού ή ομίλου επιχειρήσεων/οργανισμών). Για την έκδοση αποφάσεων, πρέπει να εξασφαλίζεται ότι ο φορέας δεν δέχεται/αναμένει εντολές/κατευθύνσεις από κανέναν. Αυτή η απαίτηση ισχύει όχι μόνο για τον φορέα παρακολούθησης αλλά και για το προσωπικό του που θα συμμετέχει στη διαδικασία λήψης αποφάσεων. Ιδίως δε για την περίπτωση εσωτερικού φορέα παρακολούθησης, πρόσθετες διασφαλίσεις ως προς την ανεξαρτησία λήψης αποφάσεων πρέπει να παρέχονται στην Αρχή, προκειμένου να προκύπτει ότι o ιδιοκτήτης του κώδικα στo οποίο υπάγεται δεν επηρεάζει επ’ ουδενί την ανεξαρτησία του (π.χ. έγγραφα και καταγεγραμμένες διαδικασίες που κατοχυρώνουν την ανεξαρτησία του στη λήψη αποφάσεων). Γ) Ο φορέας παρακολούθησης δεν πρέπει να παρέχει καμία άλλη υπηρεσία προς τα μέλη του κώδικα ή/και τον ιδιοκτήτη του κώδικα (π.χ. συμβουλευτικές υπηρεσίες αναφορικά με θέματα προστασίας προσωπικών δεδομένων), η οποία θα μπορούσε να επηρεάσει την ανεξαρτησία του ως προς την λήψη αποφάσεων αναφορικά με τη συμμόρφωση των μελών του κώδικα με αυτόν. Δεν νοείται εσωτερικός φορέας παρακολούθησης ο οποίος να υπάγεται σε μέλος του κώδικα.
- ii)Οικονομική ανεξαρτησία Α) Ο φορέας παρακολούθησης πρέπει να αποδεικνύει στην Αρχή ότι έχει την οικονομική δυνατότητα και τους απαιτούμενους υλικούς πόρους προκειμένου να ασκεί τα καθήκοντά του ως προς την παρακολούθηση της συμμόρφωσης με τον κώδικα. Πρέπει να διασφαλίζεται μακροπρόθεσμη οικονομική δυνατότητα ώστε να εξασφαλίζεται η παρακολούθηση του κώδικα δεοντολογίας σε βάθος χρόνου. Για παράδειγμα, εάν μέλος του κώδικα, το οποίο είναι υπό παρακολούθηση από το φορέα, δύναται να διακόψει την οικονομική του συμβολή προς το φορέα έτσι ώστε να καθίσταται δυσχερές ή αδύνατο στον τελευταίο να ασκήσει τα καθήκοντα παρακολούθησης του μέλους αυτού ως προς τη συμμόρφωσή του με τον κώδικα, τότε δεν συνάγεται οικονομική ανεξαρτησία του φορέα 5 ). Β) Ο φορέας παρακολούθησης θα πρέπει να έχει πλήρη αυτονομία στην οικονομική του διαχείριση (ήτοι να είναι σε θέση να λαμβάνει αυτόνομα αποφάσεις οικονομικής φύσεως – π.χ. με ποιον τρόπο θα κατανεμηθεί ο προϋπολογισμός του) και αυτό πρέπει να αποδεικνύεται στην Αρχή. Αυτό δεν αποκλείει κατ’ αρχήν τη δυνατότητα να παρέχεται πληρωμή στους φορείς παρακολούθησης, μέσω π.χ. σύμβασης, από τα μέλη του κώδικα ή τον ιδιοκτήτη αυτού, προκειμένου ο φορέας να παρέχει ως υπηρεσία την παρακολούθηση συμμόρφωσης με τον κώδικα. Επίσης δεν αποκλείει την περίπτωση εσωτερικού ανεξάρτητου φορέα παρακολούθησης. Σε κάθε περίπτωση ωστόσο, θα πρέπει να αποδεικνύεται ότι δεν υπάρχει οικονομική εξάρτηση η οποία θα μπορούσε να επηρεάσει την αμεροληψία του φορέα παρακολούθησης. 5 9 iii)Οργανωτική ανεξαρτησία Α) Ο φορέας παρακολούθησης πρέπει να διαθέτει τους αναγκαίους ανθρώπινους και τεχνικούς πόρους για την αποτελεσματική εκτέλεση των καθηκόντων του. Ο φορέας παρακολούθησης πρέπει να αποδεικνύει στην Αρχή ότι διαθέτει ικανοποιητικό αριθμό επαρκώς ειδικευμένου προσωπικού προκειμένου να ασκεί τα καθήκοντά του ως προς την παρακολούθηση της συμμόρφωσης με τον κώδικα, κατά τρόπο τέτοιο ώστε να ενεργεί ανεξάρτητα από τα μέλη του κώδικα και τον ιδιοκτήτη αυτού. Επίσης πρέπει να αποδεικνύει ότι είναι πλήρως ανεξάρτητος ως προς τις διαδικασίες που ακολουθεί σε σχέση με το προσωπικό του (όπως οργανόγραμμα, κατανομή αρμοδιοτήτων, διαδικασίες πρόσληψης και ανάθεσης καθηκόντων κτλ.) Το προσωπικό του φορέα παρακολούθησης δεν πρέπει να υπόκειται σε καμία δυσμενή συνέπεια/κύρωση επειδή επιτέλεσε τα καθήκοντά του. Β) Σε περίπτωση εσωτερικού φορέα παρακολούθησης, πρέπει να τεκμηριώνεται η οργανωτική του ανεξαρτησία σε σχέση με τον ευρύτερο φορέα/οργανισμό στον οποίο υπάγεται, παρέχοντας τις κατάλληλες αποδείξεις (π.χ. αναλυτική περιγραφή συνολικής οργανωτικής δομής, ύπαρξη ανεξάρτητων διαδικασιών αναφορών/διαχείρισης εγγράφων και διαχείρισης προσωπικού, προστασία/εμπιστευτικότητα πληροφοριών, ξεχωριστή επωνυμία/λογότυπο). Σε κάθε περίπτωση, η λειτουργία του φορέα παρακολούθησης πρέπει να είναι ανεξάρτητη της λειτουργίας άλλων εργαλείων λογοδοσίας τα οποία προβλέπονται στο ΓΚΠΔ και τα οποία το ελεγχόμενο μέλος του κώδικα μπορεί να χρησιμοποιεί στο πλαίσιο συμμόρφωσής του, ως υπεύθυνος επεξεργασίας ή εκτελών την επεξεργασία, με το ΓΚΠΔ. Γ) Σε περίπτωση κατά την οποία ο φορέας παρακολούθησης αναθέτει σε τρίτους (αναδόχους/εργολάβους) τη διαδικασία παρακολούθησης της συμμόρφωσης με τον κώδικα, δεν απαλλάσσεται ο ίδιος από καμία εκ των σχετικών υποχρεώσεων και ευθυνών του οι οποίες προβλέπονται στο ΓΚΠΔ 6 . Οι υποχρεώσεις που ισχύουν για τον φορέα παρακολούθησης ισχύουν ομοίως και για τον ανάδοχο. Η σχετική ανάθεση πρέπει να γίνεται εγγράφως και με τρόπο τέτοιο ώστε να διασφαλίζεται ότι οι τρίτοι αυτοί παρέχουν τις ίδιες εγγυήσεις ως προς την ορθή παρακολούθηση της συμμόρφωσης με τον κώδικα με αυτές που ισχύουν για τον φορέα παρακολούθησης. Ο φορέας παρακολούθησης πρέπει να αποδεικνύει στην Αρχή ότι έχουν ληφθεί οι εγγυήσεις αυτές – όπως:
- i)Σχετικές συμβάσεις/συμφωνίες στις οποίες θα περιγράφονται οι σχετικές υποχρεώσεις του αναδόχου και θα υπάρχουν δεσμεύσεις τήρησης εμπιστευτικότητας, ακριβής περιγραφή του είδους των δεδομένων τα οποία Τούτο συνεπάγεται, μεταξύ άλλων, ότι η Αρχή ανακαλεί τη διαπίστευση του φορέα παρακολούθησης εάν ο ανάδοχος δεν παρέχει ή δεν παρέχει πλέον τις κατάλληλες εγγυήσεις ή αν οι ενέργειες που αναλήφθηκαν από τον ανάδοχο παραβαίνουν τον ΓΚΠΔ (βλ. άρ. 41. παρ.5 του ΓΚΠΔ). 6 10 μπορούν να επεξεργαστούν καθώς και του σκοπού της επεξεργασίας, καθώς και απαιτήσεις ασφάλειας των δεδομένων. Στις συμβάσεις θα πρέπει να υπάρχει ειδική αναφορά στο ότι ο ανάδοχος ενεργεί αποκλειστικά μόνο βάσει καταγεγραμμένων εντολών του φορέα παρακολούθησης με την υποχρέωση για συστηματική ενημέρωση του φορέα παρακολούθησης ως προς τα ευρήματα/συμπεράσματα αναφορικά με τη συμμόρφωση των μελών του κώδικα με αυτόν βάσει των ελέγχων/επιθεωρήσεων που διενεργεί, αλλά και με την υποχρέωση για αμελλητί ενημέρωση του φορέα παρακολούθησης σε περίπτωση που κάποιο μέλος του κώδικα τον παραβιάζει.
- ii)Ο ανάδοχος δεν θα μπορεί να προσλάβει άλλον υπο-εργολάβο/ανάδοχο για να του αναθέσει με τη σειρά του την παρακολούθηση της συμμόρφωσης με τον κώδικα. Αποφάσεις ως προς τη συμμόρφωση ή μη με τον κώδικα, δεν λαμβάνονται από τον ανάδοχο αλλά από τον φορέα παρακολούθησης. O φορέας παρακολούθησης πρέπει να αποδεικνύει στην Αρχή ότι ο κάθε ανάδοχος πληροί τις απαιτήσεις της ανεξαρτησίας του σε σχέση με τα μέλη του κώδικα και τον ιδιοκτήτη του, καθώς και τις απαιτήσεις της εμπειρογνωμοσύνης και της μη σύγκρουσης συμφερόντων (περιγράφοντας, και υποβάλλοντας στην Αρχή σχετικά τεκμήρια, με ποιον τρόπο ο ίδιος ο φορέας παρακολούθησης εξέτασε την εκπλήρωση των απαιτήσεων αυτών). Ο φορέας παρακολούθησης πρέπει να διασφαλίζει την αποτελεσματική παρακολούθηση των υπηρεσιών που παρέχουν οι συμβαλλόμενοι ανάδοχοι.
- iv)Λογοδοσία Α) Ο φορέας παρακολούθησης πρέπει να παρέχει στην Αρχή τεκμήρια ως προς το ότι είναι σε θέση να αποδεικνύει την ανεξαρτησία του (λογοδοσία) αναφορικά με τις ενέργειές του και τις αποφάσεις του (π.χ. περιγράφοντας επακριβώς τις διαδικασίες που θα ακολουθεί και πώς αυτές θα αποδεικνύονται, παρέχοντας αποδεικτικά στοιχεία σχετικά με την καταλληλότητα και την επάρκεια των μηχανισμών εντοπισμού και μετριασμού των κινδύνων διακύβευσης της ανεξαρτησίας). 2. Γενική απαίτηση για μη ύπαρξη σύγκρουσης συμφερόντων (άρθρο 41, παρ. 2, στοιχ. δ’) Ο φορέας παρακολούθησης πρέπει να έχει σε εφαρμογή σαφείς διαδικασίες οι οποίες να διασφαλίζουν ότι κανένα φυσικό ή νομικό πρόσωπο το οποίο θα ασκεί τα καθήκοντα παρακολούθησης συμμόρφωσης με τον κώδικα δεν θα συνδέεται, άμεσα ή έμμεσα, με το ελεγχόμενο μέλος κώδικα, καθώς και με τον ιδιοκτήτη του κώδικα, με δεσμό τέτοιο ο οποίος να μπορεί να οδηγήσει σε σύγκρουση συμφερόντων. 11 Ο φορέας παρακολούθησης πρέπει να είναι σε θέση να αποδεικνύει ότι έχει εξετάσει πιθανά ενδεχόμενα εμφάνισης σύγκρουσης συμφερόντων και έχει διαδικασίες εντοπισμού και αποτελεσματικής αντιμετώπισής τους (π.χ. πλήρης εξαίρεση των εργαζομένων για τους οποίους υπάρχουν εύλογες υπόνοιες για σύγκρουση συμφερόντων, με τεκμηριωμένη διασφάλιση ότι η παρακολούθηση του αντίστοιχου μέλους κώδικα δεν θα επηρεαστεί επ’ ουδενί). Οι διαδικασίες αυτές πρέπει να είναι συνεχείς και δεσμευτικές για το προσωπικό του φορέα παρακολούθησης, το οποίο θα έχει την υποχρέωση να ενημερώνει το φορέα σε περίπτωση κατά την οποία κρίνει ότι τίθεται κάποιο ζήτημα σύγκρουσης συμφερόντων. Ως παράδειγμα σύγκρουσης συμφερόντων θα μπορούσε να θεωρηθεί η περίπτωση κατά την οποία το προσωπικό του φορέα παρακολούθησης διερευνά καταγγελίες κατά του οργανισμού στον οποίο εργάζεται ή εργαζόταν κατά το παρελθόν. Άλλα παραδείγματα πιθανών αιτιών σύγκρουσης συμφερόντων θα μπορούσαν να αφορούν την ιδιοκτησία, τη διοίκηση, την εξωτερική ανάθεση και την εκπαίδευση. Σε κάθε περίπτωση, ο φορέας παρακολούθησης πρέπει να διασφαλίσει ότι το προσωπικό του δεν πρέπει να έχει άλλη απασχόληση τέτοια ώστε, από το αποτέλεσμα της παρακολούθησης της συμμόρφωσης με τον κώδικα, να μπορεί να αποκτήσει κάποιο συγκριτικό πλεονέκτημα ως προς την άλλη αυτή απασχόληση, έτσι ώστε να τίθεται εν αμφιβόλω η αμεροληψία του στη λήψη απόφασης. 3. Γενική απαίτηση για εμπειρογνωμοσύνη σε σχέση με το αντικείμενο του κώδικα (άρθρο 41, παρ. 2, στοιχ. α’) Ο φορέας παρακολούθησης πρέπει να υποβάλει στην Αρχή τεκμήρια τα οποία να αποδεικνύουν ότι διαθέτει την εμπειρογνωμοσύνη για την αποτελεσματική παρακολούθηση της συμμόρφωσης με τον κώδικα (π.χ. για το προσωπικό του συναφείς σπουδές, όπως αναλύεται στη συνέχεια, προϋπηρεσία, τυχόν σχετικές αναγνωρίσεις κτλ.). H εμπειρογνωμοσύνη αφορά το αντικείμενο (τομέα) του κώδικα, οπότε και οι σχετικές απαιτήσεις που πρέπει να πληρούνται μπορεί να είναι ειδικές, βάσει του τομέα τον οποίο αφορά ο κώδικας: σε αυτήν την περίπτωση, ο ίδιος ο κώδικας πρέπει να τις θέτει. Επιπλέον, θα πρέπει να συνεκτιμώνται οι κίνδυνοι των δραστηριοτήτων επεξεργασίας που καλύπτει ο κώδικας και τα διάφορα εμπλεκόμενα συμφέροντα. Όσον αφορά τις συναφείς σπουδές, πρέπει να αποδεικνύεται επιπρόσθετα η σε βάθος κατανόηση των ζητημάτων προστασίας δεδομένων, η εμπειρία σχετικά με τις συγκεκριμένες δραστηριότητες επεξεργασίας δεδομένων, καθώς και η επαρκής επιχειρησιακή εμπειρία πραγματοποίησης κατάλληλων ελέγχων συμμόρφωσης (για παράδειγμα, με πανεπιστημιακούς τίτλους σπουδών, πιστοποιήσεις, συναφή προγράμματα κατάρτισης κ.λπ. ). Ο φορέας θα πρέπει να διαθέτει το επαγγελματικό προφίλ των υπαλλήλων του ως προς την εμπειρογνωμοσύνη, με την κατάλληλη τεκμηρίωση για τον κάθε ένα. 12 4. Γενική απαίτηση για καθιέρωση διαδικασιών που επιτρέπουν την εκτίμηση της ικανότητας των μελών του κώδικα να εφαρμόσουν τον κώδικα, την παρακολούθηση της συμμόρφωσής τους με τις διατάξεις του και την περιοδική επανεξέταση της λειτουργίας του (άρθρο 41, παρ. 2, στοιχ. β’) Ο φορέας παρακολούθησης πρέπει να αποδεικνύει στην Αρχή ότι διαθέτει και εφαρμόζει αποτελεσματικούς μηχανισμούς ελέγχου της συμμόρφωσης υπευθύνων επεξεργασίας και εκτελούντων την επεξεργασία με τον κώδικα με κατάλληλες διαδικασίες επανεξέτασης, στις οποίες μπορούν να περιλαμβάνονται έλεγχοι, επιθεωρήσεις, υποβολή αναφορών και χρήση εκθέσεων ή ερωτηματολογίων αυτοπαρακολούθησης. Επιπλέον, ο φορέας παρακολούθησης πρέπει να αποδεικνύει ότι διαθέτει διαδικασία έρευνας, αναγνώρισης και διαχείρισης παραβάσεων του κώδικα από μέλη του καθώς και πρόσθετους ελέγχους ώστε να διασφαλίζεται ότι λαμβάνονται κατάλληλα μέτρα για την επανόρθωση αυτών των παραβάσεων, όπως ορίζεται στον σχετικό κώδικα. Στο πλαίσιο αυτό, θα πρέπει να περιγράφει σε επίσημη πολιτική (π.χ. εγκεκριμένη από τον Γενικό Διευθυντή του φορέα παρακολούθησης) τουλάχιστον τα εξής: 1) Πληροφορίες χρονοπρογραμματισμού των ελέγχων τους οποίους θα πραγματοποιεί (π.χ. κάθε πότε θα διενεργούνται έλεγχοι, αν θα είναι αιφνίδιοι και, σε καταφατική περίπτωση, με ποια κριτήρια θα αποφασίζεται η διενέργεια αυτών κτλ.), με κατάλληλη τεκμηρίωση για την αποτελεσματικότητα του χρονοπρογραμματισμού αυτού, λαμβάνοντας υπόψη την περιοδική επανεξέταση της συμμόρφωσης που απαιτείται να γίνεται, το σύνολο των μελών του κώδικα, τη γεωγραφική τους κατανομή, τα χαρακτηριστικά του τομέα τον οποίο αφορά ο κώδικας αλλά και τα παράπονα τα οποία θα υποβάλλονται κατά μελών του κώδικα. 2) Πληροφορίες περί της μεθοδολογίας ελέγχου που θα ακολουθείται (π.χ. επιτόπιοι έλεγχοι, συνεντεύξεις, ερωτηματολόγια κτλ.), καθώς και τεκμηρίωση της αποτελεσματικότητας της μεθοδολογίας (π.χ. σημεία ελέγχου, πώς θα διαπιστώνεται η συμμόρφωση με αυτά κτλ.). Ο φορέας παρακολούθησης πρέπει να έχει συγκεκριμένες και αποτελεσματικές εξουσίες ελέγχου (π.χ. να έχει προβλεφθεί ρητά ότι οι ελεγχόμενοι/υποκείμενοι στον κώδικα υποχρεούνται να διευκολύνουν πλήρως τον έλεγχο συμμόρφωσης με τον κώδικα). Σε περίπτωση κατά την οποία η υιοθετηθείσα μεθοδολογία ελέγχου βασίζεται σε κάποιο σχετικό πρότυπο ελέγχου, θα πρέπει να αναφέρεται και να τεκμηριώνεται. 3) Πληροφορίες περί του πώς θα αντιμετωπίζονται τυχόν παραβάσεις που διαπιστώνονται ως προς τη συμμόρφωση με τον κώδικα, δηλαδή με ποιον τρόπο ο φορέας παρακολούθησης θα επιβάλει τις σχετικές κυρώσεις που προβλέπει ο κώδικας ή θα υλοποιούνται τα κατάλληλα διορθωτικά μέτρα προκειμένου να διασφαλίζεται η συμμόρφωση. Σε περιπτώσεις κατά τις οποίες το ελεγχόμενο μέλος του κώδικα πρέπει να προβεί σε διορθωτικές ενέργειες, πληροφορίες περί του τρόπου με τον οποίο ο φορέας θα εξακριβώσει την υλοποίηση αυτών. 4) Πληροφορίες περί του τρόπου με τον οποίο θα παράγονται αναφορές/πορίσματα των ελέγχων, τι πληροφορίες θα εμπεριέχουν και ποια θα είναι η εν γένει διαχείρισή τους (π.χ. τα μέλη που συμμετέχουν σε έναν έλεγχο και συγγράφουν το τελικό πόρισμα θα πρέπει να είναι σε καθεστώς εχεμύθειας και εμπιστευτικότητας, θα πρέπει να αποσαφηνίζεται υπό ποιες προϋποθέσεις το πόρισμα ενός ελέγχου δημοσιεύεται η 13 κοινοποιείται σε τρίτους και, σε μία τέτοια περίπτωση, τι βαθμό λεπτομέρειας αυτό θα φέρει κτλ.) Επιπλέον, ο φορέας παρακολούθησης πρέπει να παρέχει στοιχεία που να αποδεικνύουν ότι διαθέτει εξ αρχής ad hoc τακτικές διαδικασίες για την παρακολούθηση της συμμόρφωσης των μελών εντός σαφώς καθορισμένου χρονοδιαγράμματος, και ότι ελέγχει την επιλεξιμότητα των μελών πριν από τη συμμετοχή τους στον κώδικα (όπως διαδικασίες οι οποίες προβλέπουν τον προγραμματισμό ελέγχων εντός ορισμένου χρονικού διαστήματος). 5. Γενική απαίτηση για θέσπιση διαδικασιών και δομών για την αντιμετώπιση καταγγελιών περί παραβάσεων του κώδικα ή του τρόπου με τον οποίο αυτός έχει εφαρμοστεί ή εφαρμόζεται, καθώς και για να καταστούν οι διαδικασίες και οι δομές αυτές διαφανείς στα υποκείμενα των δεδομένων και στο ευρύ κοινό (άρθρο 41, παρ. 2, στοιχ. γ’) Ο φορέας παρακολούθησης πρέπει να διαθέτει απολύτως διαφανείς και κατανοητές διαδικασίες αναφορικά με τον τρόπο με τον οποίο μπορεί κάποιος να υποβάλει σχετική καταγγελία, είτε κατά μέλους του κώδικα είτε κατά του ίδιου του φορέα. Περαιτέρω, ο φορέας παρακολούθησης θα πρέπει να αποδεικνύει ότι διαθέτει τους απαιτούμενους πόρους προκειμένου να υποστηρίζει απρόσκοπτα τις διαδικασίες αυτές. Επίσης, στο πλαίσιο της διαφάνειας των σχετικών διαδικασιών, αποφάσεις οι οποίες λαμβάνονται από το φορέα παρακολούθησης θα πρέπει να δημοσιοποιούνται καταλλήλως (όπως εξειδικεύεται στη συνέχεια). Ο φορέας παρακολούθησης πρέπει να είναι σε θέση να αποδεικνύει, ανά πάσα στιγμή, ότι διαθέτει τις εν λόγω διαδικασίες σε έγγραφη μορφή (ηλεκτρονική ή μη) και ότι έχει προβεί στις απαιτούμενες ενέργειες όπως περιγράφονται κατωτέρω. Ειδικότερα, ο φορέας παρακολούθησης πρέπει να ικανοποιεί τα εξής: Α. Καταγγελίες κατά μελών του κώδικα α) Ο φορέας παρακολούθησης πρέπει να είναι σε θέση να αποδεικνύει ότι η διαδικασία σχετικά με την υποβολή καταγγελιών κατά μελών του κώδικα είναι ευκόλως προσβάσιμη στο ευρύ κοινό, πλήρως κατανοητή, διαφανής και ευχερής. Η διαδικασία πρέπει να καθιστά σαφή τα ελάχιστα στοιχεία τα οποία απαιτούνται προκειμένου μία καταγγελία να μην κριθεί ως αόριστη ή μη τεκμηριωμένη. β) Με την υποβολή της καταγγελίας, ο φορέας πρέπει να ενημερώνει τον καταγγέλλοντα ότι έλαβε την καταγγελία, καθώς επίσης και να τον ενημερώσει για την πρόοδο ή την έκβαση της καταγγελίας εντός συγκεκριμένης ημερομηνίας και όχι πέραν των τριών μηνών. O φορέας θα πρέπει να τεκμηριώνει ότι έχει τις απαραίτητες διαδικασίες για είναι 14 εφικτός ο γρήγορος και αποτελεσματικός έλεγχος. Ο φορέας παρακολούθησης πρέπει να επικοινωνεί με τον καταγγέλλοντα προκειμένου να του δίδει την ευκαιρία να τεκμηριώσει περαιτέρω την καταγγελία ή να συμπληρώσει πληροφορίες που λείπουν, αν είναι απαραίτητο. Οι εν λόγω υποχρεώσεις του φορέα θα πρέπει να αναγράφονται ρητώς και στην περιγραφή της διαδικασίας υποβολής καταγγελιών. γ) Ο φορέας παρακολούθησης θα πρέπει να αναλαμβάνει κατάλληλες αποτελεσματικές δράσεις σε περίπτωση παράβασης του κώδικα από μέλος του. Τέτοιες δράσεις, τις οποίες ο κώδικας θα πρέπει να προβλέπει, μπορεί να είναι κατάλληλη ενημέρωση, σύσταση, ειδική αναφορά προς τη Διοίκηση του μέλους του κώδικα, απόφαση επίπληξης ή/και προειδοποίηση προκειμένου να ληφθούν αμελλητί συγκεκριμένα διορθωτικά μέτρα, αναστολή της προσχώρησής του στον κώδικα ή και εξαίρεση από τον κώδικα. Οι δράσεις αυτές πρέπει να κοινοποιούνται στον καταγγέλλοντα, αλλά και στον ιδιοκτήτη του κώδικα. δ) Ο φορέας παρακολούθησης πρέπει να καταγράφει κάθε καταγγελία η οποία έχει υποβληθεί σε αυτόν, με όλες τις σχετικές πληροφορίες σχετικά με τις ενέργειες που πραγματοποίησε στο πλαίσιο εξέτασης της καταγγελίας, συμπεριλαμβανομένων των τελικών δράσεων. Το σχετικό αρχείο καταγραφών πρέπει να είναι ανά πάσα στιγμή διαθέσιμο στην Αρχή. ε) Ο φορέας παρακολούθησης πρέπει να δημοσιοποιεί τις δράσεις τις οποίες ανέλαβε, όπως αυτές περιγράφονται στο ανωτέρω σημείο γ’. Η δημοσιοποίηση αυτή δεν συνεπάγεται απαραίτητα δημοσιοποίηση τυχόν πορίσματος ελέγχου ή τυχόν απόφασης του φορέα στην πλήρη της μορφή. Η δημοσιοποίηση θα πρέπει να αφορά τα απαραίτητα εκείνα στοιχεία τα οποία επιτρέπουν στο ευρύ κοινό να αποκτά γνώση για τη συμμόρφωση ή μη μέλους του κώδικα (π.χ. σύντομη περίληψη σχετικής απόφασης), χωρίς λεπτομέρειες οι οποίες έχουν εμπιστευτικό χαρακτήρα. Επισημαίνεται ότι το ως άνω σημείο ε’ της περίπτωσης Α αφορά αντιστοίχως όχι μόνο δράσεις του φορέα κατόπιν καταγγελίας αλλά και δράσεις κατόπιν αυτεπάγγελτων ελέγχων τους οποίους πραγματοποίησε στο πλαίσιο της παρακολούθησης της συμμόρφωσης. Β. Καταγγελίες κατά του ίδιου του φορέα α) Ο φορέας παρακολούθησης πρέπει να αποδεικνύει ότι η διαδικασία σχετικά με την υποβολή καταγγελιών/παραπόνων κατά αποφάσεων που έλαβε ή δράσεων που ανέλαβε είναι ευκόλως προσβάσιμη στο ευρύ κοινό, πλήρως κατανοητή, διαφανής και ευχερής. Ο φορέας παρακολούθησης πρέπει να αποδεικνύει ότι, σε περίπτωση κατά την οποία έγινε δέκτης τέτοιας αναφοράς/παραπόνου, πραγματοποίησε κατάλληλες ενέργειες εξέτασής του και ενημέρωσε σχετικά τον καταγγέλλοντα τη σχετική αναφορά/παράπονο. Σε περίπτωση κατά την οποία, κατόπιν εξέτασης σχετικής καταγγελίας/παραπόνου, ο 15 φορέας προβαίνει σε νέα δράση ή τροποποιεί τη σχετική δράση την οποία είχε αναλάβει (π.χ. τροποποίηση απόφασης), τότε ισχύουν κατ΄ αναλογία τα όσα περιγράφονται ανωτέρω, στα σημεία γ’-ε’ της περίπτωσης Α. β) Ο φορέας παρακολούθησης πρέπει να ενημερώνει τον ιδιοκτήτη του κώδικα για κάθε τέτοια αναφορά/παράπονο που υποβάλλεται στον ίδιο. γ) Σε περίπτωσης υποβολής καταγγελίας στην Αρχή κατά φορέα παρακολούθησης, ο τελευταίος διευκολύνει πλήρως την Αρχή σε κάθε σχετικό έλεγχο που αυτή θα πραγματοποιήσει. 6. Γενική απαίτηση για ενημέρωση της αρμόδιας εποπτικής αρχής για τις δράσεις του φορέα σε περίπτωση παράβασης του κώδικα από μέλος του (άρθρο 41, παρ. 4) ή για σημαντική αλλαγή στο φορέα Ο φορέας παρακολούθησης πρέπει να διαθέτει απολύτως διαφανείς και σαφείς διαδικασίες αναφορικά με το τρόπο με τον οποίο θα ενημερώνει την Αρχή για τις δράσεις του και το βαθμό λεπτομέρειας της σχετικής ενημέρωσης. Περαιτέρω, ο φορέας παρακολούθησης πρέπει να διαθέτει αντιστοίχως διαφανείς και σαφείς διαδικασίες σχετικά με τον τρόπο με τον οποίο θα ενημερώνει την Αρχή αναφορικά με ουσιαστικές αλλαγές που λαμβάνουν χώρα στο φορέα, οι οποίες θέτουν την απαίτηση εκ νέου διαπίστευσής του (π.χ. οποιαδήποτε αλλαγή επηρεάζει την ικανότητα του φορέα παρακολούθησης να εκτελεί τα καθήκοντά του ανεξάρτητα και αποτελεσματικά ή θα μπορούσε να θέτει υπό αμφισβήτηση την ανεξαρτησία, την εμπειρογνωμοσύνη και την απουσία τυχόν σύγκρουσης συμφερόντων ή να έχει δυσμενείς επιπτώσεις στη συνολική του λειτουργία). Οι παραπάνω διαδικασίες πρέπει να καθίστανται ευχερώς διαθέσιμες στην Αρχή. Ειδικότερα, ο φορέας παρακολούθησης πρέπει να ικανοποιεί τα εξής: α) Ο φορέας παρακολούθησης πρέπει να διαθέτει σαφή και διαφανή διαδικασία σχετικά με το πότε θα ενημερώνει την Αρχή για τις δράσεις του, καθώς και για τον τρόπο ενημέρωσης. Η ενημέρωση στην Αρχή πρέπει πάντοτε να είναι έγγραφη (ηλεκτρονική ή μη). β) Σε περίπτωση κατά την οποία ο φορέας παρακολούθησης έλαβε απόφαση για αναστολή της προσχώρησης μέλους του κώδικα σε αυτόν ή για εξαίρεσή του από τον κώδικα, πρέπει να γίνεται αμελλητί ενημέρωση στην Αρχή με πρωτοβουλία του φορέα. Σε κάθε τέτοια περίπτωση, θα πρέπει να υποβάλλονται στην Αρχή σχετικά τεκμήρια τα οποία λήφθηκαν υπόψη προκειμένου ο φορέας παρακολούθησης να εκδώσει την εν λόγω απόφαση (π.χ. πληροφορίες σχετικά με τις λεπτομέρειες της παράβασης, το πόρισμα ή τα ευρήματα του ελέγχου και τα μέτρα που ελήφθησαν). γ) Ο φορέας παρακολούθησης θα πρέπει ανά πάσα στιγμή να είναι σε θέση να διαθέτει στην Αρχή συγκεντρωτικές πληροφορίες στατιστικού τύπου σχετικά με τις ενέργειες στις οποίες έχει προβεί προκειμένου να ελέγξει τη συμμόρφωση μελών του κώδικα με αυτόν, καθώς επίσης και τις σχετικές δράσεις που έχει αναλάβει στο πλαίσιο αυτών των ελέγχων. 16 Προς τούτο, πρέπει να διαθέτει κατάλληλους μηχανισμούς για την χωρίς καθυστέρηση εξαγωγή αυτών των στατιστικών. Σε κάθε περίπτωση, εφόσον η Αρχή ζητήσει αναλυτικότερες πληροφορίες για κάποια υπόθεση (π.χ. έλεγχο, εξέταση καταγγελίας κτλ.) την οποία εξέτασε ο φορέας, ο τελευταίος θα πρέπει αμελλητί να διαθέτει στην Αρχή τις πληροφορίες αυτές. δ) Σε περίπτωση κατά την οποία λαμβάνουν χώρα σημαντικές αλλαγές στη δομή και τη λειτουργία του φορέα παρακολούθησης, οι οποίες δύνανται να επηρεάζουν τις απαιτήσεις βάσει των οποίων έλαβε διαπίστευση, τότε ο φορέας θα πρέπει να ενημερώσει αμελλητί την Αρχή: προς τούτο, θα πρέπει να αποδεικνύει ότι έχει σε εφαρμογή τις κατάλληλες διαδικασίες για την έγκαιρη αναγνώριση των σημαντικών αυτών αλλαγών. Στις εν λόγω διαδικασίες πρέπει να προδιαγράφεται το είδος των αλλαγών αυτών οι οποίες θα επιτάσσουν την υποχρέωση ενημέρωσης της Αρχής προκειμένου ακολούθως η Αρχή να εξετάσει εάν εξακολουθούν να πληρούνται οι απαιτήσεις διαπίστευσης. 7. Γενική απαίτηση για περιοδική επανεξέταση της λειτουργίας του κώδικα και για συμβολή στην αναθεώρηση αυτού (άρθρο 41, παρ. 2, στοιχ. β’) Ο φορέας παρακολούθησης πρέπει να συμβάλει στις αναθεωρήσεις του κώδικα, κατ’ απαίτηση του ιδιοκτήτη του κώδικα, καθώς επίσης και να παρακολουθεί κατάλληλα τη λειτουργία του προκειμένου να είναι σε θέση και ο ίδιος να αναγνωρίζει εάν ο κώδικας χρήζει αναθεώρησης. Για τον σκοπό αυτό, ο φορέας παρακολούθησης πρέπει να διασφαλίζει ότι διαθέτει τεκμηριωμένα σχέδια και διαδικασίες για την επανεξέταση της λειτουργίας του κώδικα ώστε να διασφαλίζει ότι ο κώδικας παραμένει σχετικός με τα μέλη και εξακολουθεί να προσαρμόζεται σε τυχόν μεταβολές στην εφαρμογή και την ερμηνεία του νόμου ή σε τυχόν νέες τεχνολογικές εξελίξεις που μπορεί να έχουν αντίκτυπο στην επεξεργασία των δεδομένων από τα μέλη του κώδικα ή στις διατάξεις του κώδικα. Προς τούτο, ο φορέας παρακολούθησης πρέπει να ικανοποιεί τα εξής: α) Ο φορέας παρακολούθησης πρέπει να υποβάλει σε τακτά διαστήματα, και τουλάχιστον μία φορά ετησίως, αναφορά στον ιδιοκτήτη του κώδικα σχετικά με τη λειτουργία του κώδικα, καθώς επίσης και τυχόν προτάσεις για αναθεώρηση αυτού. Η εν λόγω έκθεση θα πρέπει να περιέχει πληροφορίες, όπως τις ημερομηνίες των ελέγχων, το πεδίο εφαρμογής τους, την ταυτότητα των ελεγχόμενων, τα συμπεράσματα των ελέγχων, κατά πόσον έχουν υποβληθεί σχετικές καταγγελία, κ.λπ. Τούτο δεν αίρει την υποχρέωση του φορέα να ενημερώνει αμελλητί τον ιδιοκτήτη του κώδικα σε περίπτωση κατά την οποία ο φορέας διαπιστώσει ότι πρέπει να υπάρξει αμέσως αναθεώρηση του κώδικα. β) Ο φορέας πρέπει να διαθέτει συγκεκριμένες διαδικασίες προκειμένου να αποτιμά τη λειτουργία του κώδικα και να είναι σε θέση να εντοπίζει τυχόν ανάγκη αναθεώρησής του. 17 γ) Σε περίπτωση κατά την οποία η αναθεώρηση του κώδικα επηρεάζει το φορέα παρακολούθησης καθ’ οιονδήποτε τρόπο (π.χ. διεύρυνση του πεδίου ελέγχου στο οποίο πρέπει να εστιάζει ο φορέας), ο φορέας θα πρέπει ανά πάσα στιγμή να είναι σε θέση να αποδείξει ότι διαθέτει κατάλληλες διαδικασίες προκειμένου να ανταπεξέρχεται στις υποχρεώσεις του, καθώς και ότι γενικότερα πληρούνται όλες οι απαιτήσεις διαπίστευσής του. Σε περίπτωση κατά την οποία η αναθεώρηση του κώδικα επιφέρει σημαντική αλλαγή στο φορέα η οποία δύναται να επηρεάζει τις απαιτήσεις βάσει των οποίων έλαβε διαπίστευση, τότε ισχύουν αναλογικώς τα όσα αναφέρονται ανωτέρω στο σημείο δ’ της απαίτησης υπ’ αριθμ. 6. Γενική απαίτηση ως προς τη νομική υπόσταση του φορέα (σε σχέση με τα όσα προδιαγράφονται ιδίως στο άρθρο 41 παρ. 4 αλλά και στο άρθρο 83, παρ. 4, στοιχ. γ’) Ο φορέας παρακολούθησης (π.χ. ανώνυμος εταιρεία, ένωση, εσωτερικό τμήμα του οργανισμού του ιδιοκτήτη του κώδικα κ.λπ.) πρέπει να έχει την κατάλληλη νομική υπόσταση προκειμένου να μπορεί να ασκεί τα καθήκοντά του σύμφωνα με το άρθρο 41 του ΓΚΠΔ. Καίτοι ο φορέας παρακολούθησης αποτελεί αυτοτελώς υπεύθυνο επεξεργασίας κατά την έννοια του άρθρου 4 στοιχ. 7 του ΓΚΠΔ, η διαπίστευσή του δεν σημαίνει απαραιτήτως και αξιολόγηση της συμμόρφωσής του ως υπευθύνου επεξεργασίας με τον ΓΚΠΔ. Σύμφωνα με την αρχή της λογοδοσίας του ΓΚΠΔ (άρθρο 5 παρ. 2), ο φορέας παρακολούθησης φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωσή του με το ΓΚΠΔ. Σε περίπτωση κατά την οποία, ανά πάσα στιγμή, διαπιστωθεί μη συμμόρφωση του φορέα παρακολούθησης με τον ΓΚΠΔ, η Αρχή μπορεί να ανακαλέσει τη διαπίστευσή του. Οι απαιτήσεις ως προς τη φύση/υπόσταση του φορέα είναι οι εξής: α) Αν και δεν υπάρχει συγκεκριμένη προϋπόθεση για τη νομική υπόσταση του φορέα, πρέπει ο τελευταίος να διαθέτει αναλυτική τεκμηρίωση προκειμένου να καταδεικνύει ότι έχει νομική μορφή η οποία του επιτρέπει να ασκεί τις αρμοδιότητες οι οποίες προβλέπονται στο άρθρο 41 παρ. 4 του ΓΚΠΔ, καθώς επίσης και ότι η Αρχή μπορεί να επιβάλλει τις σχετικές κυρώσεις κατά το άρθρο 83 παρ. 4 στοιχ. γ’ του ΓΚΠΔ. β) Ο φορέας παρακολούθησης πρέπει να διαθέτει πλήρες και επικαιροποιημένο οργανόγραμμά του. Ο εσωτερικός φορέας παρακολούθησης πρέπει να διαθέτει και περιγραφή με τις ακριβείς συσχετίσεις του με τον ιδιοκτήτη του κώδικα (παρέχοντας τις εγγυήσεις ανεξαρτησίας του κατά τα ανωτέρω). γ) Η κύρια εγκατάσταση του φορέα παρακολούθησης πρέπει να βρίσκεται εντός του ΕΟΧ. δ) Πρέπει να υποβάλλεται αναλυτική, πλήρη και επικαιροποιημένη λίστα των νομίμων εκπροσώπων του φορέα καθώς επίσης και λίστα ατόμων που είναι αρμόδια για επικοινωνία με την Αρχή. Ο φορέας παρακολούθησης πρέπει να καθιστά τα παραπάνω στοιχεία ευχερώς διαθέσιμα στην Αρχή. Όλα τα υποστηρικτικά έγγραφα πρέπει να υποβάλλονται στην Αρχή από το φορέα στην ελληνική γλώσσα (σε περίπτωση που πρόκειται για μετάφραση, αυτή 18 θα πρέπει να είναι επίσημη). Αν πρόκειται για κώδικα που έχει διασυνοριακό χαρακτήρα, τότε θα πρέπει να υποβάλλεται και στην αγγλική γλώσσα. O Πρόεδρος της Αρχής Η Γραμματέας Κωνσταντίνος Μενουδάκος Γεωργία Παλαιολόγου 19 20 Τίτλος: Ενσωμάτωση των συστάσεων του σχεδίου γνώμης του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων σχετικά με τις απαιτήσεις της Αρχής για τη διαπίστευση των φορέων παρακολούθησης των κωδίκων δεοντολογίας Η Αρχή, με την Απόφαση 26/2020, τροποποίησε το σχέδιο των απαιτήσεων διαπίστευσης για τους φορείς παρακολούθησης κωδίκων δεοντολογίας, βάσει των συστάσεων της γνώμης 20/2020 του Συμβουλίου Προστασίας Δεδομένων. Το αρχικό σχέδιο, όπως είχε διαμορφωθεί με την υπ’ αριθμ. 9/2020 Απόφαση της Αρχής, είχε υποβληθεί στο Συμβούλιο στο πλαίσιο του μηχανισμού συνεκτικότητας του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ). Με την Απόφαση 26/2020 αποφασίστηκε η ανακοίνωση του τροποποιημένου σχεδίου απαιτήσεων διαπίστευσης στο Συμβούλιο, σύμφωνα με το άρθρο 64 παρ. 7 του ΓΚΠΔ. Το τροποποιημένο σχέδιο θα δημοσιοποιηθεί από την Αρχή με δημοσίευση στο διαδικτυακό τόπο της – σύμφωνα με το άρθρο 57 παρ. 1 στοιχ. ιστ’ του ΓΚΠΔ και με το άρθρο 15 παρ. 10 του ν.4624/2019 - μετά την ολοκλήρωση της εν λόγω διαδικασίας. 21 22