Κατάργηση των γνωστοποιήσεων τήρησης αρχείου/επεξεργασιών και της χορήγησης αδειών

(89)Η οδηγία 95/46/Ε προέβλεπε γενική υποχρέωση γνωστοποίησης της επεξεργασίας δεδοµένων προσωπικού χαρακτήρα στις εποπτικές αρχές. Παρότι η υποχρέωση αυτή συνεπάγεται διοικητικό και οικονοµικό φόρτο, δεν συνέβαλε σε όλες τις περιπτώσεις στη βελτ ωση της προστασ ας των δεδοµένων προσωπικού χαρακτήρα. Εποµένως, γενικές υποχρεώσεις γνωστοποίησης τέτοιου είδους, χωρίς διαφοροποιήσεις, θα πρέπει να καταργηθούν και να αντικατασταθούν µε αποτελεσµατικές διαδικασίες και µηχανισµούς που επικεντρώνονται σε εκείνους τους τύπους πράξεων επεξεργασίας που ενδέχεται να έχουν ως αποτέλεσµα υψηλό κίνδυνο για τα δικαιώµατα και τις ελευθερίες των φυσικών προσώπων λόγω της φύσης, του πεδίου εφαρµογής, του πλαισίου και των σκοπών τους. Αυτά τα ε δη ενεργειών επεξεργασ ας ενδέχεται να ε ναι εκε να που, ιδ ως, περιλαµβάνουν τη χρήση νέων τεχνολογιών ή που ε ναι νέου τύπου και όταν δεν έχει διενεργηθε προηγουµένως εκτ µηση αντικτύπου όσον αφορά την προστασ α των δεδοµένων από τον υπεύθυνο επεξεργασ ας ή όταν καθ στανται αναγκα α λόγω του χρόνου που έχει παρέλθει από την αρχική επεξεργασ α.» «

(90)Σε αυτές τις περιπτώσεις, ο υπεύθυνος επεξεργασίας, πριν από την επεξεργασία, θα πρέπει να διενεργεί εκτίµηση αντικτύπου όσον αφορά την προστασία των δεδοµένων, ώστε να εκτιµήσει την ιδιαίτερη πιθανότητα και τη σοβαρότητα του υψηλού κινδύνου, λαµβάνοντας υπόψη τη φύση, την έκταση, το πλαίσιο και τους σκοπούς της επεξεργασίας και τις πηγές του κινδύνου. Η εν λόγω εκτ µηση αντικτύπου θα πρέπει να περιλαµβάνει, ιδ ως, τα προβλεπόµενα µέτρα, εγγυήσεις και µηχανισµούς που µετριάζουν αυτόν τον κ νδυνο, διασφαλ ζουν την προστασ α των δεδοµένων προσωπικού χαρακτήρα και αποδεικνύουν τη συµµόρφωση προς τον παρόντα κανονισµό.» Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 2 «

(91)Αυτό θα πρέπει να ισχύει ιδίως για πράξεις επεξεργασ ας µεγάλης κλίµακας που στοχεύουν στην επεξεργασ α σηµαντικής ποσότητας δεδοµένων προσωπικού χαρακτήρα σε περιφερειακό, εθνικό ή υπερεθνικό επ πεδο, οι οπο ες θα µπορούσαν να επηρεάσουν µεγάλο αριθµό υποκειµένων των δεδοµένων και οι οπο ες ε ναι πιθανόν να έχουν ως αποτέλεσµα υψηλό κίνδυνο, για παράδειγµα λόγω της ευαισθησίας τους, όταν σύµφωνα µε τα υφιστάµενα επ πεδα τεχνολογικής γνώσης χρησιµοποιε ται µια νέα τεχνολογ α σε ευρε α κλ µακα, καθώς και για άλλες πράξεις επεξεργασ ας οι οπο ες έχουν ως αποτέλεσµα υψηλό κ νδυνο για τα δικαιώµατα και τις ελευθερ ες των υποκειµένων των δεδοµένων, ιδ ως όταν οι πράξεις αυτές δυσχερα νουν την άσκηση των δικαιωµάτων των υποκειµένων των δεδοµένων. Θα πρέπει επ σης να διενεργε ται εκτ µηση αντικτύπου όσον αφορά την προστασ α των δεδοµένων όταν τα δεδοµένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασ α ενόψει της λήψης αποφάσεων σε σχέση µε συγκεκριµένα φυσικά πρόσωπα έπειτα από συστηµατική και εκτενή αξιολόγηση προσωπικών πτυχών που αφορούν φυσικά πρόσωπα και βασ ζονται στην κατάρτιση προφ λ βάσει των εν λόγω δεδοµένων ή έπειτα από την επεξεργασ α συγκεκριµένων κατηγοριών δεδοµένων προσωπικού χαρακτήρα, βιοµετρικών δεδοµένων ή δεδοµένων που αφορούν ποινικές καταδ κες και αδικήµατα ή σχετικά µέτρα ασφάλειας. Εκτ µηση αντικτύπου σχετικά µε την προστασ α των δεδοµένων απαιτε ται επ σης για την παρακολούθηση δηµόσια προσπελάσιµων χώρων σε µεγάλη κλ µακα, ιδ ως όταν χρησιµοποιούνται οπτικοηλεκτρονικές συσκευές ή για οποιεσδήποτε άλλες εργασ ες όποτε η αρµόδια εποπτική αρχή θεωρε ότι η επεξεργασ α ενδέχεται να έχει ως αποτέλεσµα υψηλό κ νδυνο για τα δικαιώµατα και τις ελευθερ ες των υποκειµένων των δεδοµένων, ιδ ως επειδή εµποδ ζει τα υποκε µενα των δεδοµένων να ασκήσουν κάποιο δικα ωµα ή να χρησιµοποιήσουν µια υπηρεσ α ή σύµβαση ή επειδή πραγµατοποιούνται συστηµατικά σε µεγάλη κλ µακα. Η επεξεργασ α δεδοµένων προσωπικού χαρακτήρα δεν θα πρέπει να θεωρε ται ότι ε ναι µεγάλης κλ µακας, εάν η επεξεργασ α αφορά δεδοµένα προσωπικού χαρακτήρα ασθενών ή πελατών ιδιώτη ιατρού, άλλου επαγγελµατ α του τοµέα της υγε ας ή δικηγόρου. Στις περιπτώσεις αυτές, η εκτ µηση αντικτύπου της προστασ ας δεδοµένων δεν θα πρέπει να ε ναι υποχρεωτική.» «

(171)Η οδηγία 95/46/Ε θα πρέπει να καταργηθεί µε τον παρόντα κανονισµό. Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 3 Επεξεργασ α που βρ σκεται ήδη σε εξέλιξη κατά την ηµεροµην α εφαρµογής του παρόντος κανονισµού θα πρέπει να εναρµονιστε µε τον παρόντα κανονισµό εντός δύο ετών από την έναρξη ισχύος του παρόντος κανονισµού. Όταν η επεξεργασ α βασ ζεται σε συγκατάθεση δυνάµει της οδηγ ας 95/46/EΚ, δεν ε ναι αναγκα α νέα συγκατάθεση του υποκειµένου των δεδοµένων, εάν ο τρόπος µε τον οπο ο έχει δοθε η συγκατάθεση ε ναι σύµφωνος µε τους όρους του παρόντος κανονισµού, προκειµένου ο υπεύθυνος επεξεργασ ας να συνεχ σει την επεξεργασ α µετά την ηµεροµην α εφαρµογής του παρόντος κανονισµού. Οι αποφάσεις της Επιτροπής και οι εγκρίσεις εποπτικών αρχών που εκδόθηκαν βάσει της οδηγίας 95/46/Ε παραµένουν σε ισχύ µέχρι την τροποποίηση, αντικατάσταση ή κατάργησή τους.» Σύµφωνα δε µε το άρθρο 9 παρ. 4 του ΓΚΠ∆ «Τα κράτη µέλη µπορούν να διατηρούν ή να θεσπ ζουν περαιτέρω όρους, µεταξύ άλλων και περιορισµούς, όσον αφορά την επεξεργασία γενετικών δεδοµένων, βιοµετρικών δεδοµένων ή δεδοµένων που αφορούν την υγεία.» Εξάλλου, µε το άρθρο 7 του ν. 2472/1997, προβλέπεται η έκδοση αδε ας της Αρχής για την επεξεργασ α των κατά το νόµο αυτό ευα σθητων προσωπικών δεδοµένων καθώς και για την δρυση και λειτουργ α σχετικού αρχε ου.

1. Ο Γενικός Κανονισµός για την Προστασ α ∆εδοµένων, που τ θεται σε εφαρµογή από τις 25.05.2018, καταργε τη γενική υποχρέωση γνωστοπο ησης της επεξεργασ ας δεδοµένων προσωπικού χαρακτήρα στις εποπτικές αρχές που προέβλεπε η Οδηγ α 95/46/ΕΚ. Παρέχεται δε η εξουσιοδότηση στα κράτη-µέλη, στο πλα σιο των ειδικότερων εθνικών ρυθµ σεων που επιτρέπεται να εισαχθούν για την εφαρµογή του ΓΚΠ∆, να διατηρήσουν ή να θεσπ σουν περαιτέρω όρους, µεταξύ άλλων και περιορισµούς, µόνον όσον αφορά την επεξεργασ α γενετικών δεδοµένων, βιοµετρικών δεδοµένων ή δεδοµένων που αφορούν την υγε α. Από τις ανωτέρω διατάξεις του ΓΚΠ∆ συνάγεται ότι παρέχεται στον εθνικό νοµοθέτη η εξουσ α να θεσπ σει ή να διατηρήσει ήδη προβλεπόµενους περαιτέρω όρους για την επεξεργασ α δεδοµένων που περιοριστικώς αναφέρονται στην παρ. 4 του άρθρου 9 αυτού, στους όρους δε αυτούς µπορε να περιλαµβάνεται και η υποχρέωση λήψης Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 4 αδε ας από την Αρχή για την επεξεργασ α των δεδοµένων αυτών. Η ευχέρεια, όµως, αυτή, τόσο για τη θέσπιση νέων όσο και για τη διατήρηση υφισταµένων όρων, πρέπει να ασκηθε στο πλα σιο του εισαγόµενου µε τον ΓΚΠ∆ συστήµατος, σύµφωνα µε το οπο ο δεν προβλέπεται αδειοδότηση για την παραπάνω επεξεργασ α. Κατ’ ακολουθ α τούτων, και εφόσον δεν έχει εισέτι εκδοθε ο εθνικός νόµος, ο οπο ος κατά τα ανωτέρω θα µπορούσε να προβλέψει, µεταξύ άλλων, την έκδοση αδε ας ως προϋπόθεση της επεξεργασ ας των αναφερόµενων στο άρθρο 9 παρ. 4 του ΓΚΠ∆ κατηγοριών δεδοµένων, οι διατάξεις του άρθρου 7 του ν. 2472/1997, κατά το µέρος που προβλέπουν άδεια της Αρχής δεν έχουν πλέον εφαρµογή από 25.05.2018 ως αντ θετες προς τον ΓΚΠ∆, οπο ος έχει άµεση εφαρµογή, δεδοµένου, µάλιστα, ότι οι κατηγορ ες δεδοµένων, τις οπο ες αφορά το άρθρο αυτό του εθνικού νόµου, δεν ταυτ ζονται µε εκε νες που αναφέρονται στο άρθρο 9 παρ. 4 του ΓΚΠ∆. Συνεπώς, η Αρχή δεν έχει πλέον αρµοδιότητα χορηγήσεως αδειών για την επεξεργασ α και για την δρυση και λειτουργ α αρχε ου µε βάση το άρθρο 7 του ν. 2472/
2. Τούτο ισχύει και για τις αιτήσεις οι οπο ες ε ναι εκκρεµε ς στην Αρχή κατά την ανωτέρω ηµεροµην α, η αποδοχή των οπο ων θα ήταν, άλλωστε, αλυσιτελής, αφού η χορήγηση αδε ας της Αρχής δεν αποτελε προϋπόθεση της επεξεργασ ας. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, αποφα νεται οµοφώνως, ότι
3. ∆εν έχει πλέον αρµοδιότητα χορήγησης των αδειών του άρθρου 7 του ν. 2472/
5. Τυχόν εκκρεµε ς αιτήσεις δεν θα εξετασθούν και θα τεθούν στο αρχε ο. Ο Πρόεδρος Η Γραµµατέας ωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 5