Γνωμοδότηση επί του ΣχΝ σχετικά με τη λήψη μέτρων για την εφαρμογή του Κανονισμού (ΕΕ) 2022/868 (Πράξη για τη διακυβέρνηση δεδομένων)

Αθήνα, 20-02-2025 Αριθ. Πρωτ.: 640 ΓΝΩΜΟΔΟΤΗΣΗ 2 / 2025 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της σε συνεδρίαση μέσω τηλεδιασκέψεως την Τετάρτη 12.02.2025 και ώρα 15.30 μ.μ. προκειμένου να εκδώσει γνώμη επί σχεδίου νόμου κατόπιν σχετικού αιτήματος του Υπουργείου Ψηφιακής Διακυβέρνησης. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής, Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, Χαράλαμπος Ανθόπουλος, Χρήστος Καλλονιάτης ως εισηγητής και Αικατερίνη Ηλιάδου, ως εισηγήτρια, καθώς και το αναπληρωματικό μέλος Μαρία Ψάλλα σε αντικατάσταση του τακτικού μέλους Γρηγορίου Τσόλια, ο οποίος, αν και εκλήθηκε νομίμως, δεν παρέστη λόγω κωλύματος. Παρόντες, χωρίς δικαίωμα ψήφου, ήταν η Μαρία Αλικάκου και η Ευφροσύνη Σιουγλέ, ειδικοί επιστήμονες, ως βοηθοί εισηγητών και η Γεωργία Παλαιολόγου, υπάλληλος του Τμήματος Διοικητικών Υποθέσεων και Γραμματείας Υποστήριξης, ως γραμματέας. Η Αρχή έλαβε υπόψη τα παρακάτω: 1 Το Υπουργείο Ψηφιακής Διακυβέρνησης (εφεξής ΥΨΗΔ) με το υπ’ αριθμ. πρωτ. ΑΠΔ Γ/ΕΙΣ/592/22-01-2025 αίτημά του, απέστειλε στην Αρχή Σχέδιο Νόμου1 (εφεξής ΣχΝ) με τίτλο «Λήψη μέτρων για την εφαρμογή του Κανονισμού (ΕΕ) 2022/868 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 30ής Μαΐου 2022 σχετικά με την ευρωπαϊκή διακυβέρνηση δεδομένων και την τροποποίηση του κανονισμού (ΕΕ) 2018/1724 (Πράξη για τη διακυβέρνηση δεδομένων)» και ζήτησε τη γνώμη της Αρχής σύμφωνα με άρθρο 57 παρ. 1 στοιχ. γ’ ΓΚΠΔ και την περ. γ) της παρ. 1 του άρθρου 13 του ν. 4624/

1. Ο Κανονισμός (ΕΕ) 2018/1724 - Πράξη για τη Διακυβέρνηση των Δεδομένων (εφεξής Πράξη) τέθηκε σε εφαρμογή στις 24.09.
2. Σύμφωνα με το άρθρο 288 ΣΛΕΕ, η Πράξη έχει άμεση εφαρμογή σε όλα τα κράτη μέλη, τα οποία υποχρεούνται να λάβουν τα αναγκαία μέτρα για την προσαρμογή της εθνικής νομοθεσίας τους. Η Πράξη επιδιώκει την αύξηση της εμπιστοσύνης στην κοινοχρησία δεδομένων, την ενίσχυση των μηχανισμών για την αύξηση της διαθεσιμότητας δεδομένων και την διευκόλυνση της ανταλλαγής δεδομένων σε ασφαλές περιβάλλον μεταξύ τομέων και κρατών μελών της ΕΕ, προκειμένου να αξιοποιηθεί το τεράστιο δυναμικό των δεδομένων προς όφελος των ευρωπαίων πολιτών και της κοινωνίας στο σύνολό της, των επιχειρήσεων και της καινοτομίας με πλήρη σεβασμό στα θεμελιώδη δικαιώματα και στις αξίες και αρχές της ΕΕ. Ο στόχος της Πράξης εντάσσεται στο ευρύτερο πλαίσιο της συνολικής μεταρρύθμισης για την αξιοποίηση των δεδομένων που ξεκίνησε με την Ευρωπαϊκή Στρατηγική για τα δεδομένα3 με γνώμονα την ανάπτυξη ανθρωποκεντρικής, αξιόπιστης, διαφανούς και ασφαλούς κοινωνίας και οικονομίας δεδομένων. Ειδικότερα, η Πράξη θεσπίζει το πλαίσιο, τις απαιτήσεις και τις προϋποθέσεις για τη διευκόλυνση της περαιτέρω χρήσης των δεδομένων που βρίσκονται στην κατοχή φορέων του δημοσίου τομέα (εφεξής ΦΔΤ) και τα οποία προστατεύονται, μεταξύ άλλων, για λόγους προστασίας των προσωπικών δεδομένων, για την ενίσχυση της κοινοχρησίας δεδομένων μέσω αξιόπιστων και ουδέτερων παρόχων υπηρεσιών διαμεσολάβησης δεδομένων και για την ενθάρρυνση της οικειοθελούς και χωρίς ανταμοιβή διάθεσης δεδομένων από τα υποκείμενα των δεδομένων και τους κατόχους δεδομένων για αλτρουιστικούς σκοπούς 1 Το υποβληθέν ΣχΝ περιλαμβάνεται στο παράρτημα της παρούσας Γνωμοδότησης. 2 Στις 25 Νοεμβρίου 2020 η Επιτροπή δημοσίευσε την πρόταση κανονισμού του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με την ευρωπαϊκή διακυβέρνηση δεδομένων, επί της οποίας εκδόθηκε η κοινή γνωμοδότηση 3/2021 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (ΕΣΠΔ) και του Ευρωπαίου Επόπτη Προστασίας Δεδομένων (ΕΕΠΔ) διαθέσιμη στον σύνδεσμο https://www.edpb.europa.eu/our-work-tools/ourdocuments/edpbedps-joint-opinion/edpb-edps-joint-opinion-032021-proposal_el. 3 https://commission.europa.eu/strategy-and-policy/priorities-2019-2024/europe-fit-digital-age/ european-data-strategy_el 2 γενικού συμφέροντος μέσω οργανώσεων αλτρουισμού δεδομένων. Η Πράξη διασφαλίζει την εφαρμογή των κανόνων προστασίας των προσωπικών δεδομένων καθώς προβλέπεται ρητά ότι το ενωσιακό και το εθνικό δίκαιο για την προστασία των προσωπικών δεδομένων εφαρμόζεται σε όλα τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία στο πλαίσιο της Πράξης (άρθρο 1.3 της Πράξης), συμπεριλαμβανομένων των περιπτώσεων, στις οποίες τα δεδομένα προσωπικού και μη προσωπικού χαρακτήρα σε ένα σύνολο δεδομένων είναι άρρηκτα συνδεδεμένα (αιτιολογική σκέψη 4 της Πράξης). Ειδικότερα, η Πράξη εφαρμόζεται με την επιφύλαξη των κανονισμών (ΕΕ) 2016/679 και (ΕΕ) 2018/1725 και των οδηγιών 2002/58/ΕΚ και (ΕΕ) 2016/680, μεταξύ άλλων, όσον αφορά τις εξουσίες και τις αρμοδιότητες των εποπτικών αρχών, σε περίπτωση δε σύγκρουσης μεταξύ της Πράξης και του ενωσιακού ή εθνικού δικαίου για την προστασία των προσωπικών δεδομένων υπερισχύει το δεύτερο. Το υπό εξέταση ΣχΝ έχει ως σκοπό τη δημιουργία ενός αποτελεσματικού πλαισίου διακυβέρνησης των δεδομένων του δημοσίου τομέα με τη λήψη μέτρων εσωτερικού δικαίου για την εφαρμογή στην εθνική έννομη τάξη της Πράξης και για τον λόγο αυτό συμπληρώνει τις απαραίτητες ρυθμίσεις με τη θέσπιση διατάξεων σχετικά με τα εξής:
3. Τη διασφάλιση ότι η χορήγηση ή άρνηση πρόσβασης περαιτέρω χρήσης δεδομένων από τους αρμόδιους εθνικούς φορείς του δημοσίου τομέα πληρούν κατά το περιεχόμενό τους τις απαιτήσεις της Πράξης.
4. Τον ορισμό του αρμόδιου φορέα, κατά το άρθρο 7 παρ. 1 της Πράξης, στον οποίο παρέχεται η εξουσία να υποστηρίζει τους φορείς του δημόσιου τομέα που χορηγούν ή αρνούνται πρόσβαση για περαιτέρω χρήση των κατηγοριών δεδομένων που αναφέρονται στο άρθρο 3 παράγραφος 1 της Πράξης, καθώς και τη ρύθμιση των επιμέρους αρμοδιοτήτων του.
5. Τον ορισμό φορέα ως ενιαίου σημείου πληροφόρησης κατά το άρθρο 8 παρ. 1 της Πράξης, καθώς και τη ρύθμιση των επιμέρους αρμοδιοτήτων του.
6. Τον ορισμό φορέα ως αρμόδιας αρχής για τις υπηρεσίες διαμεσολάβησης δεδομένων, κατά το άρθρο 13 παρ. 1 της Πράξης, καθώς και τη ρύθμιση των επιμέρους αρμοδιοτήτων του.
7. Τον ορισμό φορέα ως αρμόδιας αρχής για την καταχώριση οργανώσεων αλτρουισμού δεδομένων, κατά το άρθρο 23 παρ. 1 της Πράξης, καθώς και τη ρύθμιση των επιμέρους αρμοδιοτήτων του.
8. Τη ρύθμιση ζητημάτων έννομης προστασίας και του δικαιώματος προσφυγής κατά των αποφάσεων που εκδίδονται βάσει της Πράξης και του ΣχΝ. 3
9. Τη θέσπιση μέτρων εφαρμογής της Πράξης, και ιδίως τον καθορισμό και τη διαδικασία επιβολής αναλογικών και αποτελεσματικών κυρώσεων που δύναται να επιβληθούν από τις αρμόδιες αρχές για τις παραβιάσεις των διατάξεων της Πράξης και του ΣχΝ.
10. Τη βελτίωση του εθνικού πλαισίου και των μηχανισμών διακυβέρνησης των δεδομένων του δημοσίου τομέα, μέσω του ορισμού υπευθύνου για τη χρήση δεδομένων, την κατάρτιση εθνικής στρατηγικής και τη δημιουργία συντονιστικής επιτροπής για τα δεδομένα του δημοσίου τομέα. Στη συνεδρίαση της Αρχής παρευρέθηκαν κατόπιν προσκλήσεως που εστάλη στο ΥΨΗΔ με το από 10.02.2025 μήνυμα ηλεκτρονικού ταχυδρομείου οι Βασίλειος Καρκατζούνης, Νομικός Σύμβουλος Υπουργού Ψηφιακής Διακυβέρνησης με ΑΜΔΣΑ …, Βασιλική Βλάχου, Μετακλητή Νομικός Σύμβουλος στο γραφείο Υπουργού Ψηφιακής Διακυβέρνησης με ΑΜΔΣΠ … και Α, Προϊσταμένη Γραφείου Νομικών και Κοινοβουλευτικών Θεμάτων, οι οποίοι απάντησαν σε ερωτήσεις, παρείχαν διευκρινίσεις και εξέφρασαν τις θέσεις του ΥΨΗΔ επί διαφόρων διατάξεων του ΣχΝ. Η Αρχή, μετά από εξέταση των ανωτέρω διατάξεων του υποβληθέντος ΣχΝ σε σχέση με την εφαρμογή της Πράξης, αφού έλαβε υπόψη της τις διευκρινίσεις και εξηγήσεις των εκπροσώπων του ΥΨΗΔ που δόθηκαν κατά τη συνεδρίασή της και αφού άκουσε τους εισηγητές και τις διευκρινίσεις των βοηθών εισηγητών, κατόπιν διεξοδικής συζήτησης, ΕΚΔΙΔΕΙ ΤΗΝ ΑΚΟΛΟΥΘΗ ΓΝΩΜΟΔΟΤΗΣΗ Εισαγωγικές παρατηρήσεις
11. Σύμφωνα με τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (EE) 2016/679 (εφεξής, ΓΚΠΔ) και του άρθρου 9 του ν. 4624/2019 (ΦΕΚ Α΄ 137), η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
12. Σύμφωνα με το άρθρο 57 παρ. 1 στοιχ. γ’ ΓΚΠΔ και το άρθρο 13 παρ. 1 του ν. 4624/2019, η Αρχή παρέχει γνώμη για κάθε ρύθμιση που πρόκειται να περιληφθεί σε 4 νόμο ή κανονιστική πράξη, η οποία αφορά επεξεργασία δεδομένων προσωπικού χαρακτήρα.
13. Ο σεβασμός στην ιδιωτική ζωή των προσώπων και η προστασία των προσωπικών δεδομένων κατοχυρώνονται τόσο στο άρθρο 8 της Ευρωπαϊκής Σύμβασης των Δικαιωμάτων του Ανθρώπου (ΕΣΔΑ), όσο και στην Σύμβαση 108/1981 του Συμβουλίου της Ευρώπης για την προστασία του ατόμου από την αυτοματοποιημένη επεξεργασία πληροφοριών προσωπικού χαρακτήρα καθώς και στα άρθρα 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης.
14. Σύμφωνα με το άρθρο 9Α του Συντάγματος «Καθένας έχει δικαίωμα προστασίας από τη συλλογή, επεξεργασία και χρήση, ιδίως με ηλεκτρονικά μέσα, των προσωπικών του δεδομένων, όπως νόμος ορίζει. Η προστασία των προσωπικών δεδομένων διασφαλίζεται από ανεξάρτητη αρχή, που συγκροτείται και λειτουργεί, όπως νόμος ορίζει». Παρατηρήσεις στα επιμέρους άρθρα του ΣχΝ Άρθρο 4 του ΣχΝ: Υποχρέωση των χρηστών δεδομένων για παροχή πληροφοριών Σύμφωνα με τη συγκεκριμένη διάταξη, οι ΦΔΤ που επιτρέπουν την περαιτέρω χρήση δεδομένων δύνανται να ζητούν από τους περαιτέρω χρήστες κάθε πληροφορία που είναι απαραίτητη για τη διασφάλιση της προστασίας των δικαιωμάτων και των συμφερόντων τρίτων μερών. Σκόπιμο κρίνεται να διευκρινισθεί στο ΣχΝ, εάν «τρίτα μέρη» αποτελούν υποκείμενα των δεδομένων. Σε καταφατική περίπτωση, συστήνεται η αντικατάσταση της εν λόγω φράσης από τη φράση «υποκείμενα των δεδομένων». Σε αποφατική απάντηση, συστήνεται η προσθήκη στο εν λόγω άρθρο αναφοράς στη δυνατότητα να ζητείται κάθε απαραίτητη πληροφορία και για τη διασφάλιση της προστασίας των δικαιωμάτων και συμφερόντων των υποκειμένων των δεδομένων. Άρθρο 5 του ΣχΝ: Αρμόδιος φορέας για την παροχή συνδρομής σε φορείς του δημοσίου τομέα Σύμφωνα με τη διάταξη του άρθρου 5 παρ. 1 ΣχΝ, ως αρμόδιος φορέας για παροχή συνδρομής σε ΦΔΤ που χορηγούν ή αρνούνται πρόσβαση για περαιτέρω χρήση δεδομένων ορίζεται το ΥΨΗΔ, το οποίο ασκεί όλες τις εξουσίες και αρμοδιότητες που απονέμονται σε 5 αυτό από το ΣχΝ και την Πράξη. Σύμφωνα με το άρθρο 5 παρ. 2 ΣχΝ, κατόπιν πρότασης του εκάστοτε ΦΔΤ και σύμφωνης γνώμης του ΥΨΗΔ, η εξουσία χορήγησης ή άρνησης πρόσβασης για περαιτέρω χρήση δεδομένων μπορεί να ανατεθεί στο ΥΨΗΔ. Στο άρθρο 7.1 της Πράξης γεννάται η υποχρέωση για κάθε κράτος μέλος να ορίσει έναν ή περισσότερους αρμόδιους φορείς, ενδεχομένως με αρμοδιότητα για ειδικούς τομείς, οι οποίοι βοηθούν τους ΦΔΤ που χορηγούν ή αρνούνται πρόσβαση για περαιτέρω χρήση των κατηγοριών δεδομένων που αναφέρονται στο άρθρο 3.1 της Πράξης. Σύμφωνα με το άρθρο 7.2 της Πράξης, μπορεί να ανατεθεί στους αρμόδιους φορείς η εξουσία να χορηγούν πρόσβαση για περαιτέρω χρήση των κατηγοριών δεδομένων που αναφέρονται στο άρθρο 3.1, δυνάμει του ενωσιακού ή του εθνικού δικαίου που προβλέπει τη χορήγηση της εν λόγω πρόσβασης. Όταν χορηγούν ή αρνούνται πρόσβαση για περαιτέρω χρήση, εφαρμόζονται τα άρθρα 4 (απαγόρευση αποκλειστικών ρυθμίσεων), 5 (προϋποθέσεις περαιτέρω χρήσης), 6 (τέλη) και 9 (διαδικασία αιτημάτων για περαιτέρω χρήση) της Πράξης στους εν λόγω αρμόδιους φορείς. Σύμφωνα με την αιτιολογική σκέψη 26 της Πράξης, οι αρμόδιοι φορείς θα στηρίζουν τις δραστηριότητες των ΦΔΤ που επιτρέπουν την περαιτέρω χρήση ορισμένων κατηγοριών προστατευόμενων δεδομένων και θα πρέπει να παρέχουν συνδρομή στους ΦΔΤ με υπερσύγχρονες τεχνικές, μεταξύ άλλων, για τον τρόπο βέλτιστης διάρθρωσης και αποθήκευσης δεδομένων, ούτως ώστε να καθίστανται τα δεδομένα εύκολα προσβάσιμα. Στα καθήκοντά τους μπορεί να περιλαμβάνονται η χορήγηση πρόσβασης σε δεδομένα, στις περιπτώσεις που προβλέπεται από την τομεακή ενωσιακή νομοθεσία ή την εθνική νομοθεσία. Οι αρμόδιοι φορείς θα πρέπει να ενεργούν σύμφωνα με τις οδηγίες που τους παρέχει ο ΦΔΤ. Οι αρμόδιοι φορείς δεν θα πρέπει να έχουν εποπτικά καθήκοντα, τα οποία επιφυλάσσονται για τις εποπτικές αρχές προστασίας δεδομένων δυνάμει του ΓΚΠΔ. Με την επιφύλαξη των εξουσιών των εποπτικών αρχών προστασίας δεδομένων, η επεξεργασία των δεδομένων θα πρέπει να διενεργείται υπό την ευθύνη του ΦΔΤ που είναι υπεύθυνος για το μητρώο που περιέχει τα δεδομένα και ο οποίος εξακολουθεί να είναι ο υπεύθυνος επεξεργασίας των δεδομένων, όπως ορίζεται στον ΓΚΠΔ όσον αφορά τα δεδομένα προσωπικού χαρακτήρα. Ακόμα, στην ίδια αιτιολογική σκέψη 26 της Πράξης αναγράφεται ότι «(…) Αρμόδιος φορέας θα μπορούσε να είναι φορέας του δημόσιου τομέα που συνδράμει άλλους φορείς του δημόσιου τομέα όταν επιτρέπουν την περαιτέρω χρήση δεδομένων, κατά περίπτωση, ή φορέας του δημόσιου τομέα που επιτρέπει ο ίδιος την περαιτέρω χρήση. Η συνδρομή σε 6 άλλους φορείς του δημόσιου τομέα θα πρέπει να συνεπάγεται την κατόπιν αιτήματος πληροφόρησή τους σχετικά με τις βέλτιστες πρακτικές όσον αφορά τον τρόπο εκπλήρωσης των απαιτήσεων που καθορίζονται με τον παρόντα κανονισμό, όπως τα τεχνικά μέσα για τη διάθεση ασφαλούς περιβάλλοντος επεξεργασίας ή τα τεχνικά μέσα για τη διασφάλιση της ιδιωτικότητας και της εμπιστευτικότητας όταν παρέχεται πρόσβαση στην περαιτέρω χρήση δεδομένων εντός του πεδίου εφαρμογής του παρόντος κανονισμού.». Επιπλέον, στο έγγραφο με τίτλο «Εφαρμογή της πράξης για τη διακυβέρνηση δεδομένων — έγγραφο καθοδήγησης» (Implementing the Data Governance Act – guidance document 4) αναγράφεται ότι «(…) Δεδομένου ότι οι αρμόδιοι φορείς δεν θα εποπτεύουν τους φορείς του δημόσιου τομέα και, ως εκ τούτου, δεν θα ασκούν δημόσιες εξουσίες, η DGA δεν θέτει συγκεκριμένες απαιτήσεις όσον αφορά το νομικό καθεστώς ή τη μορφή τους. Για παράδειγμα, ένα τμήμα ενός φορέα του δημόσιου τομέα μπορεί να οριστεί ως αρμόδιος φορέας ή ένα κράτος μέλος μπορεί να αποφασίσει να συστήσει εντελώς νέα οντότητα για τον σκοπό αυτό. Τα κράτη μέλη μπορούν επίσης να αποφασίσουν ότι ο αρμόδιος φορέας έχει την εντολή να επιτρέπει ο ίδιος την περαιτέρω χρήση». Με βάση τα παραπάνω, ακόμα και στην περίπτωση που το κράτος μέλος αποφασίσει να ανατίθεται, όπως εν προκειμένω, στον αρμόδιο φορέα η εξουσία χορήγησης ή άρνησης πρόσβασης για περαιτέρω χρήση των δεδομένων, υπεύθυνος επεξεργασίας σύμφωνα με τον ΓΚΠΔ για το σύνολο των πράξεων επεξεργασίας, περιλαμβανομένων των πράξεων επεξεργασίας που αφορούν τη διάθεση των δεδομένων προς περαιτέρω χρήση, εξακολουθεί να είναι ο εκάστοτε ΦΔΤ. Ως εκ τούτου, σκόπιμο κρίνεται να οριστεί στο ΣχΝ ο ρόλος του αρμόδιου φορέα5 σε σχέση με τον ΓΚΠΔ (υπεύθυνος επεξεργασίας, από κοινού υπεύθυνος επεξεργασίας, εκτελών την επεξεργασία) και στην περίπτωση που του ανατίθεται από τον εκάστοτε ΦΔΤ κατ’ αίτημα περαιτέρω χρήσης η εξουσία χορήγησης ή άρνησης πρόσβασης για τον σκοπό της περαιτέρω χρήσης δεδομένων βάσει του εκάστοτε αιτήματος, ώστε να μην υπάρχει αμφιβολία ως προς τις υποχρεώσεις του βάσει του ΓΚΠΔ. 4 διαθέσιμο στον σύνδεσμο https://digital-strategy.ec.europa.eu/el/library/new-practical-guide-datagovernance-act 5 Το ΕΣΠΔ και ο ΕΕΠΔ υπογραμμίζουν στην κοινή 3/2021 γνωμοδότησή τους ότι θα πρέπει να ορισθούν οι ρόλοι σε σχέση με τη νομοθεσία για την προστασία των δεδομένων προσωπικού χαρακτήρα (υπεύθυνος επεξεργασίας, εκτελών την επεξεργασία ή από κοινού υπεύθυνος επεξεργασίας) κάθε είδους «παράγοντα» (πάροχος υπηρεσιών κοινοχρησίας δεδομένων, οργάνωση αλτρουισμού δεδομένων, χρήστης δεδομένων) όχι μόνο για την αποφυγή αμφισημιών όσον αφορά τις ισχύουσες υποχρεώσεις βάσει του ΓΚΠΔ, αλλά και για τη βελτίωση της αναγνωσιμότητας του νομικού κειμένου (σκ. 39, σελ. 14-15). 7 Ακόμα, σκόπιμο κρίνεται να προβλεφθεί στη διάταξη του ΣχΝ η υποχρέωση της προβλεπόμενης στην αιτιολογική σκέψη 26 της Πράξης παροχής πληροφόρησης από τον αρμόδιο φορέα προς τον ΦΔΤ κατόπιν σχετικού αιτήματος του τελευταίου. Άρθρο 7 του ΣχΝ: Δικαίωμα δικαστικής προσφυγής Σύμφωνα με το άρθρο 9.1 της Πράξης, «Οποιοδήποτε φυσικό ή νομικό πρόσωπο θίγεται άμεσα από απόφαση όπως αναφέρεται στην παράγραφο 1, έχει δικαίωμα πραγματικής προσφυγής στο κράτος μέλος όπου βρίσκεται ο σχετικός φορέας. Το δικαίωμα προσφυγής θεσπίζεται στο εθνικό δίκαιο και περιλαμβάνει τη δυνατότητα επανεξέτασης από αμερόληπτο φορέα με την κατάλληλη εμπειρογνωμοσύνη, όπως η εθνική αρχή ανταγωνισμού, η αρμόδια αρχή για την πρόσβαση στα έγγραφα, η εποπτική αρχή που έχει συσταθεί σύμφωνα με τον κανονισμό (ΕΕ) 2016/679, ή εθνική δικαστική αρχή, των οποίων οι αποφάσεις είναι δεσμευτικές για τον αντίστοιχο φορέα του δημόσιου τομέα ή για τον αντίστοιχο αρμόδιο φορέα.» Με το εν λόγω άρθρο 7 παρ. 1 του ΣχΝ προβλέπεται η δυνατότητα άσκησης του δικαιώματος πραγματικής δικαστικής προσφυγής κατά των αποφάσεων των ΦΔΤ επί αιτήματος παροχής πρόσβασης για περαιτέρω χρήση σε δεδομένα με προσφυγή ενώπιον του κατά τόπον αρμόδιου Διοικητικού Εφετείου. Με το άρθρο
15. παρ. 3 ΣχΝ προβλέπεται ότι κατά των Αποφάσεων του Διοικητικού Εφετείου μπορεί να ασκηθεί αίτηση αναίρεσης ενώπιον του Συμβουλίου της Επικρατείας, εξασφαλίζοντας με τον τρόπο αυτό τον έλεγχο της ορθής εφαρμογής του νόμου από το δικαστήριο της ουσίας. Επιπλέον, το άρθρο 7 παρ. 2 του ΣχΝ ορίζεται ότι η προθεσμία για την άσκηση των προαναφερόμενων ενδίκων βοηθημάτων δεν αναπτύσσει κατ’ αρχήν ανασταλτικό αποτέλεσμα ως προς τις εκάστοτε προσβαλλόμενες διοικητικές πράξεις και προβλέπεται περαιτέρω, αν και εκ περισσού, ότι η εκτέλεση της προσβαλλόμενης πράξης μπορεί να ανασταλεί ολικώς ή μερικώς με απόφαση του οικείου δικαστηρίου εκδιδόμενη ύστερα από άσκηση αίτησης αναστολής κατά τις οικείες δικονομικές διατάξεις. Σκόπιμο είναι να εξεταστεί αν κατάλληλο ένδικο βοήθημα κατά των σχετικών αποφάσεων των ΦΔΤ θα ήταν η αίτηση ακυρώσεως ενώπιον του κατά τόπο αρμόδιου Διοικητικού Εφετείου και, στην περίπτωση αυτή, να διαγραφεί η παράγραφος 3 και να αναδιατυπωθεί αναλόγως ή και να διαγραφεί ως περιττή η παράγραφος
16. 8 Κεφάλαιο Γ΄: Απαιτήσεις για τις υπηρεσίες διαμεσολάβησης δεδομένων και του αλτρουισμού δεδομένων Σύμφωνα με την αιτιολογική σκέψη 35 της Πράξης, η Πράξη δεν θα πρέπει να θίγει την υποχρέωση των παρόχων υπηρεσιών διαμεσολάβησης δεδομένων να συμμορφώνονται με τον ΓΚΠΔ και την ευθύνη των εποπτικών αρχών να διασφαλίζουν τη συμμόρφωση με τον εν λόγω κανονισμό. Στις περιπτώσεις που οι πάροχοι υπηρεσιών διαμεσολάβησης δεδομένων επεξεργάζονται δεδομένα προσωπικού χαρακτήρα, η Πράξη δεν θα πρέπει να θίγει την προστασία των δεδομένων προσωπικού χαρακτήρα. Στις περιπτώσεις που οι πάροχοι υπηρεσιών διαμεσολάβησης δεδομένων είναι υπεύθυνοι επεξεργασίας δεδομένων ή εκτελούντες την επεξεργασία δεδομένων όπως αυτοί ορίζονται ΓΚΠΔ, δεσμεύονται από τους κανόνες του εν λόγω κανονισμού. Ακόμα, στο έγγραφο «Εφαρμογή της πράξης για τη διακυβέρνηση δεδομένων — έγγραφο καθοδήγησης6» αναγράφεται το εξής: (…) Το άρθρο 12 καθορίζει τις προϋποθέσεις για την παροχή υπηρεσιών διαμεσολάβησης δεδομένων, επιτρέποντας στους διαμεσολαβητές δεδομένων να λειτουργούν ως ουδέτερα τρίτα μέρη. Δεν μπορούν να ανταλλάσσουν τα δεδομένα με άλλα μέρη πέραν εκείνων που επιλέγει ο χρήστης και τυχόν δεδομένα και μεταδεδομένα που αποκτώνται μπορούν να χρησιμοποιηθούν μόνο για τη βελτίωση της υπηρεσίας διαμεσολάβησης δεδομένων (κατά την επεξεργασία δεδομένων προσωπικού χαρακτήρα για τον σκοπό αυτό, αυτό θα απαιτούσε νομική βάση βάσει του ΓΚΠΔ). Επιπλέον, σύμφωνα με την αιτιολογική σκέψη 50 της Πράξης, οι αναγνωρισμένες οργανώσεις αλτρουισμού δεδομένων θα πρέπει να είναι σε θέση να συλλέγουν σχετικά δεδομένα απευθείας από φυσικά και νομικά πρόσωπα ή να επεξεργάζονται δεδομένα που έχουν συλλέξει άλλοι. Η επεξεργασία των συλλεγόμενων δεδομένων θα μπορούσε να πραγματοποιείται από οργανώσεις αλτρουισμού δεδομένων για σκοπούς που ορίζουν οι ίδιες ή, κατά περίπτωση, θα μπορούσαν να επιτρέπουν την επεξεργασία από τρίτους για τους εν λόγω σκοπούς. Στις περιπτώσεις που οι αναγνωρισμένες οργανώσεις αλτρουισμού δεδομένων είναι υπεύθυνοι επεξεργασίας δεδομένων ή εκτελούντες την επεξεργασία δεδομένων όπως ορίζεται στον ΓΚΠΔ, θα πρέπει να συμμορφώνονται προς τους κανόνες του εν λόγω κανονισμού. Κατά κανόνα, ο αλτρουισμός δεδομένων θα βασίζεται στη συγκατάθεση των υποκειμένων των δεδομένων κατά την έννοια του άρθρου 6 παράγραφος 1 στοιχείο α) και του άρθρου 9 παράγραφος 2 στοιχείο α) του ΓΚΠΔ σε συμμόρφωση με τις 6 διαθέσιμο στον σύνδεσμο https://digital-strategy.ec.europa.eu/el/library/new-practical-guide-datagovernance-act 9 απαιτήσεις σύννομης συγκατάθεσης σύμφωνα με τα άρθρα 7 και 8 του εν λόγω κανονισμού. Κρίνεται σκόπιμο να διευκρινιστεί στο ΣχΝ ο ρόλος του παρόχου υπηρεσιών διαμεσολάβησης δεδομένων καθώς και ο ρόλος της οργάνωσης αλτρουισμού δεδομένων σε σχέση με τον ΓΚΠΔ (υπεύθυνος επεξεργασίας, από κοινού υπεύθυνος επεξεργασίας, εκτελών την επεξεργασία), ώστε να μην υπάρχει αμφιβολία ως προς τις υποχρεώσεις τους βάσει του ΓΚΠΔ. Άρθρο 10: Μητρώο αναγνωρισμένων οργανώσεων αλτρουισμού δεδομένων Στο άρθρο 10 παρ. 1 του ΣχΝ προβλέπεται η δημιουργία, θέση σε λειτουργία και τήρηση από το ΥΨΗΔ, ως αρμόδιας αρχής για την καταχώριση οργανώσεων αλτρουισμού δεδομένων σύμφωνα με το άρθρο 9 του ΣχΝ, μητρώου αναγνωρισμένων οργανώσεων αλτρουισμού δεδομένων σε ηλεκτρονική μορφή και η δημοσίευση των πληροφοριών που αναφέρονται στην παράγραφο 4 στοιχεία α), β), στ), ζ) και η) του άρθρου 19 της Πράξης. Ωστόσο, δεν προβλέπεται ο τρόπος δημοσίευσης των πληροφοριών που αναφέρονται στην παρ. 4 στοιχείο θ) του άρθρου 19 της Πράξης και αφορούν «τη φύση των δεδομένων που προτίθεται να ελέγχει ή να επεξεργάζεται η οντότητα και, στην περίπτωση δεδομένων προσωπικού χαρακτήρα, ένδειξη των κατηγοριών δεδομένων προσωπικού χαρακτήρα». Σκόπιμο κρίνεται να προστεθεί στο άρθρο 10 παράγραφο 1 του ΣχΝ και η δημοσίευση των πληροφοριών που αναφέρεται στην παράγραφο 4 στοιχείο θ) του άρθρου 19 της Πράξης, οι οποίες περιλαμβάνουν και δεδομένα προσωπικού χαρακτήρα. Στο ίδιο άρθρο 10 παράγραφο 2 ΣχΝ, αναφορικά με τις προϋποθέσεις εγγραφής των οργανώσεων αλτρουισμού δεδομένων στο οικείο Μητρώο, συστήνεται η προσθήκη και της μόνης εγκατάστασης στην Ελλάδα σύμφωνα με το άρθρο 19.1 της Πράξης, ήτοι η εξής διατύπωση «Στο Μητρώο εγγράφονται, οι οργανώσεις αλτρουισμού δεδομένων που πληρούν τις προϋποθέσεις κατά το άρθρο 19 της Πράξης και έχουν τη μόνη ή την κύρια εγκατάστασή τους στην Ελλάδα (…)». Άρθρο 11 του ΣχΝ: Πρόστιμα Στο άρθρο 11 στοιχ. ιη’ του ΣχΝ προβλέπεται, μεταξύ άλλων, η επιβολή προστίμου από το ΥΨΗΔ σε όποιον, ενεργώντας με πρόθεση ή εξ αμελείας, δεν προβαίνει σε ενημέρωση των 10 υποκειμένων ή των κατόχων δεδομένων κατά παράβαση του άρθρου 12 στοιχ. ιγ’ ή του άρθρου 21.1 της Πράξης. Σύμφωνα με το άρθρο 12.ιγ’ της Πράξης «ο πάροχος υπηρεσιών διαμεσολάβησης δεδομένων που προσφέρει υπηρεσίες σε υποκείμενα των δεδομένων ενεργεί προς το βέλτιστο συμφέρον των υποκειμένων όταν διευκολύνει την άσκηση των δικαιωμάτων τους, ιδίως παρέχοντας πληροφορίες και, κατά περίπτωση, συμβουλές στα υποκείμενα των δεδομένων σε συνοπτικό, κατανοητό και εύκολα προσβάσιμο τρόπο και με διαφάνεια για τις σκοπούμενες χρήσεις των δεδομένων από τους χρήστες δεδομένων και για τους γενικούς όρους και προϋποθέσεις που συνοδεύουν τις εν λόγω χρήσεις προτού τα υποκείμενα των δεδομένων δώσουν τη συγκατάθεσή τους». Συνεπώς, σκόπιμο κρίνεται το άρθρο 1 στοιχ. ιη’ ΣχΝ να αναδιατυπωθεί ως εξής: «ιη) δεν διευκολύνει την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων και ιδίως δεν προβαίνει σε ενημέρωση των υποκειμένων των δεδομένων κατά παράβαση του άρθρου 12 στοιχ. ιγ’ της Πράξης (…)». Άρθρο 12 του ΣχΝ: Δικαίωμα δικαστικής προσφυγής Στο άρθρο 12 παρ. 1 στοιχ. α’ και β’ προβλέπεται δικαστική προσφυγή κατά των αποφάσεων επιβολής προστίμου, ενώ στο στοιχ. γ’ προβλέπεται δικαστική προσφυγή κατά αποφάσεων που δεν αφορούν σε επιβολή προστίμου, αλλά απόρριψη καταγγελίας που έχει υποβληθεί ενώπιον της αρμόδιας αρχής προς εξέταση. Κατόπιν τούτου, συνιστάται η αναδιατύπωση των στοιχ. α’ και β’ ως εξής: «Κατά των αποφάσεων του Υπουργείου Ψηφιακής Διακυβέρνησης, με τις οποίες επιβάλλονται κυρώσεις α) σε παρόχους υπηρεσιών διαμεσολάβησης δεδομένων σύμφωνα με το άρθρο 14 της Πράξης και τo άρθρο 11 του παρόντος Νόμου, και β) σε οργανώσεις αλτρουισμού δεδομένων σύμφωνα με τα άρθρο 19 και 24 της Πράξης και το άρθρο 11 του παρόντος Νόμου, ασκείται προσφυγή ενώπιον του αρμόδιου Διοικητικού Εφετείου.». Επισημαίνεται δε ότι για τη ρητή ή σιωπηρή απόρριψη που προβλέπεται στο στοιχ. γ’, το προσήκον ένδικο βοήθημα είναι η αίτηση ακύρωσης ενώπιον του αρμόδιου Διοικητικού Εφετείου και για τον λόγο αυτό, συνιστάται η σχετική διόρθωση και προσθήκη. Ακολούθως, στην παράγραφο 2 πρέπει να διευκρινισθεί ότι αναίρεση ενώπιον του Συμβουλίου της Επικρατείας μπορεί να ασκηθεί μόνο κατά των αποφάσεων του 11 Διοικητικού Εφετείου που εκδίδονται σύμφωνα με την παρ. 1 στοιχ. α’ και β’. Αντιθέτως, και κατά τα ανωτέρω αναφερόμενα, σκόπιμο είναι να επισημανθεί ότι κατά των αποφάσεων του Διοικητικού Εφετείου που εκδίδονται σύμφωνα με την παράγραφο 1 στοιχ. γ’ μπορεί να ασκηθεί έφεση αντί της αναφερόμενης αναίρεσης. Άρθρο 15 του ΣχΝ: Συντονιστική Επιτροπή για τα Δεδομένα του Δημοσίου Τομέα Στο άρθρο 15 παρ. 1 του ΣχΝ προβλέπεται η σύσταση στο ΥΨΗΔ μη αμειβόμενης Συντονιστικής Επιτροπής για τα Δεδομένα του Δημοσίου Τομέα, η οποία αποτελεί το συντονιστικό όργανο για θέματα διαχείρισης των δεδομένων του δημοσίου τομέα. Επισημαίνεται η ανάγκη προσθήκης της συμμετοχής της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα στην Συντονιστική Επιτροπή της παραγράφου 3 του εν λόγω άρθρου ως παρατηρητή. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Γεωργία Παλαιολόγου 12 Παράρτημα ΣΧΕΔΙΟ ΝΟΜΟΥ ΤΟΥ ΥΠΟΥΡΓΕΙΟΥ ΨΗΦΙΑΚΗΣ ΔΙΑΚΥΒΕΡΝΗΣΗΣ με τίτλο Λήψη μέτρων για την εφαρμογή του Κανονισμού (ΕΕ) 2022/868 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 30ής Μαΐου 2022 σχετικά με την ευρωπαϊκή διακυβέρνηση δεδομένων και την τροποποίηση του κανονισμού (ΕΕ) 2018/1724 (Πράξη για τη διακυβέρνηση δεδομένων) ΚΕΦΑΛΑΙΟ Α’ ΣΚΟΠΟΣ ΚΑΙ ΑΝΤΙΚΕΙΜΕΝΟ Άρθρο 1 Άρθρο 2 Σκοπός Αντικείμενο ΚΕΦΑΛΑΙΟ Β’ ΠΕΡΑΙΤΕΡΩ ΧΡΗΣΗ ΟΡΙΣΜΕΝΩΝ ΚΑΤΗΓΟΡΙΩΝ ΠΡΟΣΤΑΤΕΥΟΜΕΝΩΝ ΔΕΔΟΜΕΝΩΝ ΣΤΗΝ ΚΑΤΟΧΗ ΔΗΜΟΣΙΩΝ ΦΟΡΕΩΝ Άρθρο 3 Άρθρο 4 Άρθρο 5 Άρθρο 6 Άρθρο 7 Αρχή της εκ σχεδιασμού και εξ ορισμού διάθεσης Υποχρέωση των περαιτέρω χρηστών δεδομένων για παροχή πληροφοριών Αρμόδιοι φορείς για περαιτέρω χρήση δεδομένων Ενιαίο σημείο πληροφόρησης Δικαίωμα δικαστικής προσφυγής ΚΕΦΑΛΑΙΟ Γ’ AΠΑΙΤΗΣΕΙΣ ΓΙΑ ΤΙΣ ΥΠΗΡΕΣΙΕΣ ΔΙΑΜΕΣΟΛΑΒΗΣΗΣ ΔΕΔΟΜΕΝΩΝ ΚΑΙ ΤΟΥ ΑΛΤΡΟΥΙΣΜΟΥ ΔΕΔΟΜΕΝΩΝ Άρθρο 8 Αρμόδια αρχή για τις υπηρεσίες διαμεσολάβησης δεδομένων Άρθρο 9 Αρμόδια αρχή για την καταχώριση οργανώσεων αλτρουισμού δεδομένων Άρθρο 10 Μητρώο αναγνωρισμένων οργανώσεων αλτρουισμού δεδομένων ΚΕΦΑΛΑΙΟ Δ΄ ΜΕΤΡΑ ΕΦΑΡΜΟΓΗΣ ΤΗΣ ΠΡΑΞΗΣ Άρθρο 11 Πρόστιμα Άρθρο 12 Δικαίωμα δικαστικής προσφυγής ΚΕΦΑΛΑΙΟ Ε ΔΙΑΤΑΞΕΙΣ ΓΙΑ ΤΗ ΣΤΡΑΤΗΓΙΚΗ ΔΕΔΟΜΕΝΩΝ Άρθρο 13 Ορισμός Υπεύθυνου για τη Χρήση Δεδομένων Άρθρο 14 Εθνική Στρατηγική για τα Δεδομένα του Δημοσίου Τομέα Άρθρο 15 Συντονιστική Επιτροπή για τα Δεδομένα του Δημοσίου Τομέα ΚΕΦΑΛΑΙΟ ΣΤ΄ ΕΞΟΥΣΙΟΔΟΤΙΚΕΣ ΔΙΑΤΑΞΕΙΣ Άρθρο 16 Εξουσιοδοτικές διατάξεις ΚΕΦΑΛΑΙΟ Ζ΄ ΕΝΑΡΞΗ ΙΣΧΥΟΣ Άρθρο 17 Έναρξη ισχύος 13 ΚΕΦΑΛΑΙΟ Α’ ΣΚΟΠΟΣ ΚΑΙ ΑΝΤΙΚΕΙΜΕΝΟ Άρθρο 1 Σκοπός Σκοπός του παρόντος είναι η δημιουργία ενός αποτελεσματικού πλαισίου διακυβέρνησης των δεδομένων του δημοσίου τομέα με τη λήψη μέτρων εσωτερικού δικαίου για την εφαρμογή στην εθνική έννομη τάξη του Κανονισμού (ΕΕ) 2022/868 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 30ής Μαΐου 2022 σχετικά με την ευρωπαϊκή διακυβέρνηση δεδομένων και την τροποποίηση του Κανονισμού (ΕΕ) 2018/1724 («Πράξη για τη διακυβέρνηση δεδομένων» , L152 εφεξής Πράξη). Άρθρο 2 Αντικείμενο Αντικείμενο του παρόντος είναι η θέσπιση διατάξεων που καθιστούν δυνατή την εφαρμογή της Πράξης, και ειδικότερα:
17. Η διασφάλιση ότι η χορήγηση ή άρνηση πρόσβασης περαιτέρω χρήσης δεδομένων από τους αρμόδιους εθνικούς φορείς του δημοσίου τομέα πληρούν κατά το περιεχόμενό τους τις απαιτήσεις της Πράξης.
18. Ο ορισμός του αρμόδιου φορέα, κατά το άρθρο 7 παρ. 1 της Πράξης, στον οποίο παρέχεται η εξουσία να υποστηρίζει τους φορείς του δημόσιου τομέα που χορηγούν ή αρνούνται πρόσβαση για περαιτέρω χρήση των κατηγοριών δεδομένων που αναφέρονται στο άρθρο 3 παράγραφος 1 της Πράξης, καθώς και η ρύθμιση των επιμέρους αρμοδιοτήτων του.
19. Ο ορισμός φορέα ως ενιαίου σημείου πληροφόρησης κατά το άρθρο 8 παρ. 1 της Πράξης, καθώς και η ρύθμιση των επιμέρους αρμοδιοτήτων του.
20. Ο ορισμός φορέα ως αρμόδιας αρχής για τις υπηρεσίες διαμεσολάβησης δεδομένων, κατά το άρθρο 13 παρ. 1 της Πράξης, καθώς και η ρύθμιση των επιμέρους αρμοδιοτήτων του.
21. Ο ορισμός φορέα ως αρμόδιας αρχής για την καταχώριση οργανώσεων αλτρουισμού δεδομένων, κατά το άρθρο 23 παρ. 1 της Πράξης, καθώς και η ρύθμιση των επιμέρους αρμοδιοτήτων του.
22. Η ρύθμιση ζητημάτων έννομης προστασίας και του δικαιώματος προσφυγής κατά των αποφάσεων που εκδίδονται βάσει της Πράξης και του παρόντος νόμου.
23. Η θέσπιση μέτρων εφαρμογής της Πράξης, και ιδίως ο καθορισμός και η διαδικασία επιβολής αναλογικών και αποτελεσματικών κυρώσεων που δύναται να επιβληθούν από τις αρμόδιες αρχές για τις παραβάσεις της Πράξης και του παρόντος νόμου.
24. Η βελτίωση του εθνικού πλαισίου και των μηχανισμών διακυβέρνησης των δεδομένων του δημοσίου τομέα, μέσω του ορισμού υπεύθυνου για τη χρήση δεδομένων, την κατάρτιση εθνικής στρατηγικής και τη 14 δημιουργία συντονιστικής επιτροπής για τα δεδομένα του δημοσίου τομέα. ΚΕΦΑΛΑΙΟ Β΄ ΠΕΡΑΙΤΕΡΩ ΧΡΗΣΗ ΟΡΙΣΜΕΝΩΝ ΚΑΤΗΓΟΡΙΩΝ ΠΡΟΣΤΑΤΕΥΟΜΕΝΩΝ ΔΕΔΟΜΕΝΩΝ ΣΤΗΝ ΚΑΤΟΧΗ ΔΗΜΟΣΙΩΝ ΦΟΡΕΩΝ Άρθρο 3 Αρχή της εκ σχεδιασμού και εξ ορισμού διάθεσης Προς το σκοπό της προστασίας των δεδομένων προσωπικού χαρακτήρα και των εμπιστευτικών δεδομένων, καθώς και της επιτάχυνσης της διαδικασίας διάθεσης των δεδομένων για περαιτέρω χρήση, οι φορείς του δημόσιου τομέα οφείλουν να δημιουργούν και να καθιστούν τα δεδομένα διαθέσιμα σύμφωνα με την αρχή της «εκ σχεδιασμού και εξ ορισμού διάθεσης», που αναφέρεται στο άρθρο 63 του ν. 4727/2020 (Α’184) και στο άρθρο 5 της Οδηγίας (ΕΕ) 2019/1024, και να προάγουν τη δημιουργία και την παροχή δεδομένων σε μορφοτύπους και δομές που διευκολύνουν την ανωνυμοποίηση. Άρθρο 4 Υποχρέωση των χρηστών δεδομένων για παροχή πληροφοριών Οι φορείς του δημοσίου τομέα που επιτρέπουν την περαιτέρω χρήση δεδομένων, σύμφωνα με τους ορισμούς του άρθρου 2 της Πράξης, δύνανται να ζητούν από τους περαιτέρω χρήστες κάθε πληροφορία που είναι απαραίτητη για τη διασφάλιση της προστασίας των δικαιωμάτων και των συμφερόντων τρίτων μερών. Άρθρο 5 Αρμόδιος φορέας για την παροχή συνδρομής σε φορείς του δημοσίου τομέα
25. Το Υπουργείο Ψηφιακής Διακυβέρνησης ορίζεται ως αρμόδιος φορέας για την παροχή συνδρομής σε φορείς του δημοσίου τομέα που χορηγούν ή αρνούνται πρόσβαση για περαιτέρω χρήση δεδομένων, σύμφωνα με το άρθρο 7 παρ. 1 της Πράξης, και ασκεί όλες τις εξουσίες και αρμοδιότητες που απονέμονται σε αυτές από τον παρόντα νόμο και την Πράξη.
26. Κατόπιν πρότασης του εκάστοτε φορέα του δημοσίου τομέα και σύμφωνης γνώμης του αρμόδιου φορέα, η εξουσία χορήγησης ή άρνησης πρόσβασης για περαιτέρω χρήση δεδομένων μπορεί να ανατίθεται στον αρμόδιο φορέα της παρ. 1 του παρόντος άρθρου. Άρθρο 6 Ενιαίο σημείο πληροφόρησης 15
27. Το Υπουργείο Ψηφιακής Διακυβέρνησης ορίζεται ως ενιαίο σημείο πληροφόρησης κατά το άρθρο 8 παρ. 1 της Πράξης και ασκεί όλες τις εξουσίες και αρμοδιότητες που απονέμονται σε αυτήν από τον παρόντα νόμο και την Πράξη.
28. Για τους σκοπούς της διασφάλισης της παροχής πληροφοριών σύμφωνα με το άρθρο 8 παρ. 1 της Πράξης και την κατάρτιση του καταλόγου στοιχείων που προβλέπεται στο άρθρο 8 παρ. 2 της Πράξης, οι φορείς του δημοσίου τομέα που διαθέτουν δεδομένα, παρέχουν στο Υπουργείο Ψηφιακής Διακυβέρνησης όλες τις σχετικές πληροφορίες σχετικά με την εφαρμογή των άρθρων 5 και 6 της Πράξης. Οι φορείς του δημοσίου τομέα ενημερώνουν το Υπουργείο Ψηφιακής Διακυβέρνησης για τυχόν μεταβολές στις πληροφορίες αυτές. Άρθρο 7 Δικαίωμα δικαστικής προσφυγής
29. Κατά των αποφάσεων των φορέων του δημόσιου τομέα επί αιτήματος παροχής πρόσβασης για περαιτέρω χρήση σε δεδομένα που υπάγονται στο άρθρο 3 παρ. 1 της Πράξης, μπορεί να ασκηθεί προσφυγή ενώπιον του κατά τόπον αρμόδιου Διοικητικού Εφετείου.
30. Η προθεσμία για την άσκηση της προσφυγής και η άσκησή της δεν αναστέλλουν την εκτέλεση των προσβαλλόμενων αποφάσεων των αρμόδιων φορέων της παρ. 1 του άρθρου 7 της Πράξης εκτός εάν, μετά από αίτηση του προσφεύγοντος, το δικαστήριο, με αιτιολογημένη απόφασή του, αναστείλει, εν όλω ή εν μέρει την εκτέλεση της Πράξης, κατά τις ισχύουσες διατάξεις.
31. Κατά των αποφάσεων του Διοικητικού Εφετείου που εκδίδονται σύμφωνα με την παρ. 1 μπορεί να ασκηθεί αίτηση αναίρεσης ενώπιον του Συμβουλίου της Επικρατείας. ΚΕΦΑΛΑΙΟ Γ΄ AΠΑΙΤΗΣΕΙΣ ΓΙΑ ΤΙΣ ΥΠΗΡΕΣΙΕΣ ΔΙΑΜΕΣΟΛΑΒΗΣΗΣ ΔΕΔΟΜΕΝΩΝ ΚΑΙ ΤΟΥ ΑΛΤΡΟΥΙΣΜΟΥ ΔΕΔΟΜΕΝΩΝ Άρθρο 8 Αρμόδια αρχή για τις υπηρεσίες διαμεσολάβησης δεδομένων Το Υπουργείο Ψηφιακής Διακυβέρνησης ορίζεται ως αρμόδια αρχή για τις υπηρεσίες διαμεσολάβησης δεδομένων, σύμφωνα με το άρθρο 13 παρ. 1 της Πράξης, και ασκεί όλες τις εξουσίες και αρμοδιότητες που απονέμονται σε αυτήν από τον παρόντα νόμο και την Πράξη. Άρθρο 9 Αρμόδια αρχή για την καταχώριση οργανώσεων αλτρουισμού δεδομένων 16 Το Υπουργείο Ψηφιακής Διακυβέρνησης ορίζεται ως αρμόδια αρχή για την καταχώριση οργανώσεων αλτρουισμού δεδομένων, σύμφωνα με το άρθρο 23 παρ. 1 της Πράξης και ασκεί όλες τις εξουσίες και αρμοδιότητες που απονέμονται σε αυτήν από τον παρόντα νόμο και την Πράξη. Άρθρο 10 Μητρώο αναγνωρισμένων οργανώσεων αλτρουισμού δεδομένων
32. Το Υπουργείο Ψηφιακής Διακυβέρνησης δημιουργεί, θέτει σε λειτουργία και τηρεί Μητρώο αναγνωρισμένων οργανώσεων αλτρουισμού δεδομένων (εφεξής «Μητρώο») σε ηλεκτρονική μορφή, σύμφωνα με τις απαιτήσεις του άρθρου 19 της Πράξης και δημοσιεύει τις πληροφορίες που αναφέρονται στην παρ. 4 στοιχεία α), β), στ), ζ) και η) του άρθρου 19 της Πράξης.
33. Στο Μητρώο εγγράφονται, οι οργανώσεις αλτρουισμού δεδομένων που πληρούν τις προϋποθέσεις κατά το άρθρο 19 της Πράξης και έχουν την κύρια εγκατάστασή τους στην Ελλάδα ή ο νόμιμος εκπρόσωπος τους κατά το άρθρο 19 της Πράξης διαμένει ή είναι εγκατεστημένος στην Ελλάδα εφόσον στην δεύτερη περίπτωση, δεν διαθέτουν εγκατάσταση στην Ένωση αλλά προσφέρουν υπηρεσίες στην Ένωση, συμπεριλαμβανομένης της Ελλάδας. Με την εγγραφή αποδίδεται αριθμός Μητρώου.
34. Για την εγγραφή στο Μητρώο απαιτείται η υποβολή αίτησης καταχώρισης στο Μητρώο από την υποψήφια οργάνωση αλτρουισμού δεδομένων, η οποία κατ’ ελάχιστο περιέχει τις απαιτούμενες πληροφορίες που προβλέπονται στην παρ. 4 του άρθρου 19 της Πράξης. ΚΕΦΑΛΑΙΟ Δ΄ ΜΕΤΡΑ ΕΦΑΡΜΟΓΗΣ ΤΗΣ ΠΡΑΞΗΣ Άρθρο 11 Πρόστιμα
35. Επιβάλλεται πρόστιμο από το Υπουργείο Ψηφιακής Διακυβέρνησης σε όποιον, ενεργώντας με πρόθεση ή εξ αμελείας: α) έχοντας δικαίωμα περαιτέρω χρήσης δεδομένων, διαβιβάζει δεδομένα σε τρίτες χώρες, κατά παράβαση του άρθρου 5 παρ. 14 της Πράξης· β) παρέχει υπηρεσίες διαμεσολάβησης δεδομένων χωρίς κοινοποίηση στην αρμόδια αρχή του άρθρου 8 του παρόντος νόμου, κατά παράβαση του άρθρου 11 παρ. 1 της Πράξης· γ) παρέχει υπηρεσίες διαμεσολάβησης δεδομένων ως οντότητα με εγκατάσταση εκτός της Ε.Ε. χωρίς να έχει ορίσει νόμιμο εκπρόσωπο, κατά παράβαση του άρθρου 11 παρ. 3 της Πράξης· δ) δεν κοινοποιεί ή κοινοποιεί εσφαλμένα ή καθυστερημένα πληροφορίες, κατά παράβαση του άρθρου 11 παρ. 12 ή του άρθρου 19 παρ. 7 της Πράξης· 17 ε) δεν ενημερώνει ή ενημερώνει καθυστερημένα την αρμόδια αρχή για τις υπηρεσίεςδιαμεσολάβησης δεδομένων σχετικά με την παύση των δραστηριοτήτων του, κατά παράβαση του άρθρου 11 παρ. 13 της Πράξης· στ) χρησιμοποιεί τα δεδομένα για τα οποία παρέχει τις υπηρεσίες διαμεσολάβησης δεδομένων για άλλους σκοπούς πέραν της διάθεσής τους στους χρήστες δεδομένων ή δεν παρέχει υπηρεσίες διαμεσολάβησης δεδομένων μέσω χωριστού νομικού προσώπου, κατά παράβαση του άρθρου 12 στοιχ. α’ της Πράξης· ζ) εξαρτά τους όρους της παροχής υπηρεσιών διαμεσολάβησης δεδομένων σε κάτοχο ή χρήστη δεδομένων από το αν ο κάτοχος ή χρήστης δεδομένων χρησιμοποιεί άλλες υπηρεσίες του ίδιου παρόχου ή συνδεδεμένης με αυτόν οντότητας ή από τον βαθμό της χρήσης αυτών των άλλων υπηρεσιών, κατά παράβαση του άρθρου 12 στοιχ. β’ της Πράξης· η) χρησιμοποιεί δεδομένα για άλλον σκοπό από την ανάπτυξη της υπηρεσίας διαμεσολάβησης δεδομένων, η οποία μπορεί να συμπεριλαμβάνει τη χρήση των δεδομένων για τον εντοπισμό απάτης ή για λόγους κυβερνοασφάλειας, ή δεν διαθέτει τα δεδομένα στους κατόχους κατόπιν αιτήματός της, πλήρως ή έγκαιρα, κατά παράβαση του άρθρου 12 στοιχ. γ’ της Πράξης· θ) δεν διευκολύνει την ανταλλαγή δεδομένων, μετατρέπει δεδομένα ή δεν προσφέρει δυνατότητα εξαίρεσης από τη μετατροπή δεδομένων, κατά παράβαση του άρθρου 12 στοιχ. δ’ της Πράξης· ι) χρησιμοποιεί πρόσθετα ειδικά εργαλεία ή υπηρεσίες χωρίς ρητό αίτημα ή έγκριση του κατόχου ή του υποκειμένου των δεδομένων ή χρησιμοποιεί εργαλεία τρίτων για σκοπούς άλλους από την διευκόλυνση της ανταλλαγής δεδομένων, κατά παράβαση του άρθρου 12 στοιχ. ε’ της Πράξης· ια) προβλέπει διαδικασία πρόσβασης στην υπηρεσία διαμεσολάβησης δεδομένων που δεν είναι δίκαιη ή δεν είναι διαφανής ή εισάγει διακρίσεις, κατά παράβαση του άρθρου 12 στοιχ. στ’ της Πράξης· ιβ) δεν προβλέπει διαδικασίες με στόχο την πρόληψη δόλιων ή καταχρηστικών πρακτικών σε σχέση με μέρη που επιδιώκουν την πρόσβαση μέσω των υπηρεσιών του διαμεσολάβησης δεδομένων, κατά παράβαση του άρθρου 12 στοιχ. ζ’ της Πράξης· ιγ) σε περίπτωση αφερεγγυότητάς του δεν διασφαλίζει την εύλογη συνέχιση της παροχής των υπηρεσιών του διαμεσολάβησης δεδομένων ή δεν διαθέτει μηχανισμούς που να επιτρέπουν στους κατόχους και στους χρήστες δεδομένων να αποκτούν πρόσβαση στα αποθηκευμένα δεδομένα τους, να τα διαβιβάζουν ή να τα ανακτούν και στα υποκείμενα των δεδομένων να ασκούν τα δικαιώματά τους, κατά παράβαση του άρθρου 12 στοιχ. η’ της Πράξης· 18 ιδ) παρέχει υπηρεσία διαμεσολάβησης δεδομένων χωρίς να λαμβάνει κατάλληλα μέτρα για να διασφαλίσει τη διαλειτουργικότητα με άλλες υπηρεσίες διαμεσολάβησης δεδομένων, κατά παράβαση του άρθρου 12 στοιχ. θ’ της Πράξης· ιε) παρέχει υπηρεσία διαμεσολάβησης δεδομένων χωρίς να εφαρμόζει επαρκή τεχνικά, νομικά και οργανωτικά μέτρα για να εμποδίζει την παράνομη πρόσβαση σε μη προσωπικά δεδομένα ή την παράνομη διαβίβαση αυτών, κατά παράβαση του άρθρου 12 στοιχ. ι’ της Πράξης· ιστ) Δεν ενημερώνει ή ενημερώνει με καθυστέρηση τους κατόχους δεδομένων κατά παράβαση του άρθρου 12 στοιχ. ια’ ή του άρθρου 21 παρ. 5 ή του άρθρου 31 παρ. 5 της Πράξης· ιζ) παρέχει υπηρεσία διαμεσολάβησης δεδομένων χωρίς να λαμβάνει τα απαραίτητα μέτρα για να διασφαλίσει κατάλληλο επίπεδο ασφάλειας για την αποθήκευση, την επεξεργασία και τη διαβίβαση δεδομένων μη προσωπικού χαρακτήρα και το υψηλότερο επίπεδο ασφάλειας για την αποθήκευση και τη διαβίβαση ευαίσθητων για τον ανταγωνισμό πληροφοριών, κατά παράβαση του άρθρου 12 στοιχ. ιβ’ της Πράξης· ιη) δεν προβαίνει σε ενημέρωση των υποκειμένων ή των κατόχων δεδομένων κατά παράβαση του άρθρου 12 στοιχ. ιγ’ ή του άρθρου 21 παρ. 1 της Πράξης· ιθ) παρέχει υπηρεσία διαμεσολάβησης δεδομένων χωρίς να αναφέρει τη δικαιοδοσία τρίτης χώρας, στην οποία πρόκειται να πραγματοποιηθεί η χρήση των δεδομένων, ή δεν παρέχει τα κατάλληλα εργαλεία για την παροχή ή ανάκληση συγκατάθεσης ή άδειας για την επεξεργασία δεδομένων, κατά παράβαση του άρθρου 12 στοιχ. ιδ’ της Πράξης· κ) παρέχει υπηρεσία διαμεσολάβησης δεδομένων χωρίς τηρεί αρχείο των δραστηριοτήτων διαμεσολάβησης δεδομένων, κατά παράβαση του άρθρου 12 στοιχ. ιε’ της Πράξης· κα) δραστηριοποιείται ως οργάνωση αλτρουϊσμού δεδομένων με εγκατάσταση εκτός της Ε.Ε. χωρίς να έχει ορίσει νόμιμο εκπρόσωπο, κατά παράβαση του άρθρου 19 παρ. 3 της Πράξης· κβ)παρέχει ελλιπείς ή εσφαλμένες πληροφορίες, κατά παράβαση του άρθρου 19 παρ. 4 της Πράξης· κγ) δεν τηρεί αρχεία ή τηρεί αρχεία που δεν είναι πλήρη και ακριβή, κατά παράβαση του άρθρου 20 παρ. 1 της Πράξης· κδ) δεν καταρτίζει ή δεν διαβιβάζει ετήσια έκθεση δραστηριοτήτων, κατά παράβαση του άρθρου 20 παρ. 2 της Πράξης· κε) δεν ενημερώνει τα υποκείμενα των δεδομένων ή τους κατόχους των δεδομένων πριν από οποιαδήποτε επεξεργασία των δεδομένων τους με σαφή και κατανοητό τρόπο κατά παράβαση του άρθρου 21 παρ. 1 της Πράξης 19 κστ) χρησιμοποιεί δεδομένα για άλλο σκοπό, πέραν των στόχων γενικού συμφέροντος για τους οποίους το υποκείμενο των δεδομένων ή ο κάτοχος δεδομένων επιτρέπει την επεξεργασία, κατά παράβαση του άρθρου 21 παρ. 2 εδ. α’ της Πράξης· κζ) χρησιμοποιεί παραπλανητικές πρακτικές εμπορικής προώθησης για την απόκτηση δεδομένων, κατά παράβαση του άρθρου 21 παρ. 2 εδ. β’ της Πράξης· κη) δεν παρέχει εργαλεία για την παροχή και ανάκληση συγκατάθεσης ή άδειας για την επεξεργασία δεδομένων που παρέχονται από τους κατόχους δεδομένων, κατά παράβαση του άρθρου 21 παρ. 3 της Πράξης· κθ) δεν λαμβάνει μέτρα για να διασφαλίζει κατάλληλο επίπεδο ασφάλειας για την αποθήκευση και την επεξεργασία δεδομένων μη προσωπικού χαρακτήρα που έχει συλλέξει με βάση τον αλτρουισμό δεδομένων, κατά παράβαση του άρθρου 21 παρ. 4 της Πράξης· λ) δεν ενημερώνει χωρίς αδικαιολόγητη καθυστέρηση τους κατόχους δεδομένων σε περίπτωση τυχόν μη εξουσιοδοτημένης διαβίβασης, πρόσβασης ή χρήσης των δεδομένων μη προσωπικού χαρακτήρα που έχει κοινοποιήσει, κατά παράβαση του άρθρου 21 παρ. 5 της Πράξης· λα) στην περίπτωση που, λειτουργώντας ως αναγνωρισμένη οργάνωση αλτρουισμού που διευκολύνει την επεξεργασία δεδομένων από τρίτους, μεταξύ άλλων παρέχοντας εργαλεία για την εξασφάλιση της συγκατάθεσης των υποκειμένων των δεδομένων ή αδειών για την επεξεργασία των δεδομένων που παρέχονται από κατόχους δεδομένων, δεν αναφέρει τη δικαιοδοσία τρίτης χώρας στις οποίες πρόκειται να πραγματοποιηθεί η χρήση των δεδομένων κατά παράβαση του άρθρου 21 παρ. 6 της Πράξης· λβ) δεν λαμβάνει όλα τα εύλογα τεχνικά, νομικά και οργανωτικά μέτρα, συμπεριλαμβανομένων συμβατικών ρυθμίσεων, προκειμένου να εμποδίσει τη διεθνή διαβίβαση δεδομένων μη προσωπικού χαρακτήρα, κατά παράβαση του άρθρου 31 παρ. 1 της Πράξης· λγ) διαβιβάζει δεδομένα ή παρέχει πρόσβαση σε δεδομένα κατά παράβαση του άρθρου 31 παρ. 3 της Πράξης· λδ) παρέχει περισσότερο από τον ελάχιστο επιτρεπόμενο όγκο δεδομένων ως απάντηση στο αίτημα, βάσει εύλογης ερμηνείας του αιτήματος, κατά παράβαση του άρθρου 31 παρ. 4 της Πράξης·
36. Σε περίπτωση παράβασης που εμπίπτει στις περιπτώσεις των στοιχείων α, στ, η, ια, ιβ, ιε, ιστ, ιζ, ιη, ιθ, κε, κστ, κζ, κη, κθ, λ, λα, λβ, λγ της παρ. 1 επιβάλλεται πρόστιμο από δέκα χιλιάδες (10.000€) έως εκατό χιλιάδες (100.000€) ευρώ.
37. Σε περίπτωση παράβασης που εμπίπτει στις περιπτώσεις των στοιχείων β, γ, ζ, θ, ι, ιγ, ιδ, κ, κα, κγ, κδ και κε της παρ. 1 επιβάλλεται πρόστιμο από χίλια (1.000)έως δέκα χιλιάδες (10.000) ευρώ. 20
38. Σε περίπτωση παράβασης που εμπίπτει στις περιπτώσεις των στοιχείων δ, ε, κβ και λδ της παρ. 1 επιβάλλεται πρόστιμο από διακόσια