Κατευθυντήριες γραμμές 1/2026 για την καλή νομοθέτηση σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα

(2012), Recommendation of the Council on Regulatory Policy and Governance, OECD Publishing, Paris, https://doi.org/10.1787/9789264209022-en, σελ. 29 επ. 6 βαθμό που συνιστά περιορισμό των ατομικών δικαιωμάτων της προστασίας των προσωπικών δεδομένων και του σεβασμού της ιδιωτικής ζωής πρέπει - να προβλέπεται γενικώς και αντικειμενικώς με τυπικό νόμο ή με κανονιστική πράξη, εκδιδόμενη βάσει ειδικής νομοθετικής εξουσιοδότησης, - να δικαιολογείται από αποχρώντες λόγους δημοσίου συμφέροντος, - να τελεί σε πρόδηλη λογική συνάφεια με τον επιδιωκόμενο σκοπό, - να είναι πρόσφορη, κατάλληλη και αναγκαία για την επίτευξη του σκοπού αυτού, - να μη θίγει τον πυρήνα του δικαιώματος και - να μην απονέμει στη διοίκηση ευρεία διακριτική ευχέρεια16. 2.3. Αναγκαιότητα και αναλογικότητα προτεινόμενου νομοθετικού μέτρου Η αρχή της αναλογικότητας προβλέπεται στο άρθρο 25 παρ. 1 Συντάγματος. Το Συμβούλιο της Επικρατείας (ΣτΕ) έχει διαμορφώσει πλούσια νομολογία γύρω από αυτήν17. Δεν περιορίζεται μόνο σε μια γενική ιδέα «μέτρου», αλλά η εν λόγω αρχή αναλύεται σε επιμέρους έννοιες ελέγχου και αξιολόγησης, οι οποίες είναι σταθερά αναγνωρισμένες: • Καταλληλότητα (ή προσφορότητα) Το μέτρο που επιλέγεται, το οποίο περιλαμβάνει επεξεργασία προσωπικών δεδομένων και ως εκ τούτου περιορίζει τα δικαιώματα της προστασίας των προσωπικών δεδομένων και της ιδιωτικής ζωής, πρέπει να είναι ικανό και πρόσφορο να συμβάλει αντικειμενικά στην επίτευξη του επιδιωκόμενου θεμιτού και νόμιμου σκοπού. Αν ένα μέτρο δεν μπορεί να συμβάλει στην πραγμάτωση του επιδιωκόμενου σκοπού, είναι προδήλως ακατάλληλο και άρα δυσανάλογο. • Αναγκαιότητα Το μέτρο πρέπει να είναι το λιγότερο επαχθές από άποψη περιορισμού των δικαιωμάτων, εφόσον υπάρχουν άλλα μέσα, λιγότερο παρεμβατικά στα δικαιώματα, επαρκή για την επίτευξη του ίδιου σκοπού18. Η αναγκαιότητα αναφέρεται στο κατά πόσον είναι απαραίτητη η λήψη ενός νομοθετικού μέτρου για την επίτευξη ενός θεμιτού σκοπού. Η σχετική νομολογία του ΔΕΕ έχει διαμορφώσει αυστηρά κριτήρια ελέγχου της αναγκαιότητας, ιδίως σε περιπτώσεις γενικευμένων ή προληπτικών μέτρων επεξεργασίας προσωπικών δεδομένων, όπως στην υπόθεση Digital Rights Ireland (υποθ. C-293/12)19 ή Schrems II (C311/18)20, όπου κρίθηκε ότι η μαζική και απροσδιόριστη συλλογή δεδομένων χωρίς προηγούμενη αξιολόγηση της αναγκαιότητας αντίκειται στο ενωσιακό δίκαιο. Ένα μέτρο θεωρείται αναγκαίο όταν δεν υπάρχει άλλο, λιγότερο παρεμβατικό μέσο, το οποίο να είναι επαρκές για την επίτευξη του ιδίου νόμιμου σκοπού δημοσίου συμφέροντος. Με άλλα λόγια, η αναγκαιότητα σημαίνει ότι η λήψη του συγκεκριμένου μέτρου, το οποίο προβλέπει ή συνεπάγεται την επεξεργασία προσωπικών δεδομένων, είναι πραγματικά απαραίτητη για την επίτευξη του επιδιωκόμενου αποτελέσματος και δεν μπορεί ο σκοπός να επιτευχθεί με λιγότερο παρεμβατικά μέσα. 16 Βλ. ιδίως αποφάσεις ΟλΣτΕ 1210/2010, σκ. 24, ΟλΣτΕ 3031/2008, σκ. 9. Ενδεικτικά βλ. ΣτΕ 1185/2010, ΣτΕ 1031/2015, ΣτΕ 2151/2017, ΣτΕ Ολ 1534-6/2023, ΣτΕ 1838/2022. 18 Βλ. απόφαση ΔΕΕ C-524/06 από 16.12.2008 (Heinz Huber κατά Bundesrepublik Deutschland), σκ. 66, απόφαση ΔΕΕ C-73/16 από 27.09.2017 (Peter Puškár) σκ. 113, Γνώμη 28/2024 ΕΣΠΔ, σκ. 70-75. 19 Διαθέσιμη σε https://curia.europa.eu/juris/liste.jsf?num=C-293/12 20 Διαθέσιμη σε https://curia.europa.eu/juris/liste.jsf?num=C-311/18 17 7 • Αναλογικότητα υπό στενή έννοια (stricto sensu) Απαιτείται ισορροπία μεταξύ του δημόσιου συμφέροντος που εξυπηρετεί το μέτρο και της βλάβης που προκαλείται στα ατομικά δικαιώματα. Ελέγχεται αν το όφελος για το δημόσιο συμφέρον υπερτερεί του περιορισμού που επιβάλλεται. Η αναλογικότητα αναφέρεται στη σχέση μεταξύ του επιδιωκόμενου σκοπού και των μέτρων που χρησιμοποιούνται.21 Ειδικότερα, ένα μέτρο είναι αναλογικό, όταν η βαρύτητά του, το περιεχόμενό του και οι συνέπειές του βρίσκονται σε εύλογη συνάρτηση με τον σκοπό που επιδιώκεται. Δηλαδή, όταν το μέτρο δεν υπερβαίνει το αναγκαίο για την επίτευξη του επιδιωκόμενου στόχου και δεν επιφέρει δυσανάλογη ή υπέρμετρη επιβάρυνση σε σχέση με το δημόσιο συμφέρον που εξυπηρετεί. Το ΣτΕ, σε σειρά αποφάσεών του (π.χ. ΣτΕ Ολ. 3470/2011, ΣτΕ Ολ. 668/2012, ΣτΕ 2192/2014, ΣτΕ Ολ. 660/2018), έχει ρητά υιοθετήσει αυτά τα τρία στάδια, ακολουθώντας και τη σχετική ευρωπαϊκή θεωρία και νομολογία (ιδίως ΕΔΔΑ και ΔΕΕ). Ειδικότερα, στο πλαίσιο της καλής νομοθέτησης σε σχέση με την επεξεργασία των προσωπικών δεδομένων, η αξιολόγηση της αναγκαιότητας και της αναλογικότητας είναι βασικό εργαλείο για να διαπιστωθεί αν ένα προτεινόμενο νομοθετικό μέτρο που περιλαμβάνει την επεξεργασία προσωπικών δεδομένων είναι τεκμηριωμένο, κατάλληλο και ποιοτικό σε σχέση με τον επιδιωκόμενο σκοπό. Η διαδικασία αυτή εντάσσεται στην “αρχή της νομοθετικής τεκμηρίωσης”, που σημαίνει ότι κάθε κανόνας δικαίου πρέπει να συνοδεύεται από αιτιολογία και ανάλυση των συνεπειών του, και συνδέεται επίσης με τις αρχές της χρηστής διοίκησης, δηλαδή της ορθής, διαφανούς και δίκαιης λειτουργίας της διοίκησης και του κράτους δικαίου, όπου η δημόσια εξουσία δεσμεύεται από τον νόμο και τις αρχές της δικαιοσύνης. Είναι σημαντικό να τονιστεί ότι η αναγκαιότητα και η αναλογικότητα, παρόλο που συνδέονται στενά μεταξύ τους (και οι δύο προϋποθέσεις πρέπει να πληρούνται από τη νομοθεσία), συνεπάγονται δύο διαφορετικά κριτήρια22. Τονίζεται ότι η αναγκαιότητα είναι προϋπόθεση της αναλογικότητας και για τον λόγο αυτό η αξιολόγησή της προηγείται της αναλογικότητας κατά την κατάρτιση του κανόνα δικαίου. Ως εκ τούτου αν ένα προτεινόμενο μέτρο, με το οποίο επηρεάζονται τα δικαιώματα προστασίας των προσωπικών δεδομένων και της ιδιωτικής ζωής λόγω της επεξεργασίας των προσωπικών δεδομένων δεν είναι αναγκαίο, δεν μπορεί να είναι αναλογικό. 2.4. Επιλογή αποτελεσματικού και λιγότερο παρεμβατικού μέτρου Για την επιλογή αποτελεσματικού και λιγότερο παρεμβατικού μέτρου, το οποίο προβλέπει ή συνεπάγεται την επεξεργασία προσωπικών δεδομένων, σύμφωνα με την αρχή της αναλογικότητας, πρέπει να ακολουθούνται τα παρακάτω τέσσερα βήματα / στάδια. Τα αποτελέσματα των τεσσάρων αυτών σταδίων θα πρέπει να καταγράφονται στην Α.ΣΥ.Ρ ή/και σε εμπεριστατωμένο υπόμνημα, το οποίο συνοδεύει το σχετικό αίτημα παροχής γνώμης που υποβάλλεται στην Αρχή23. 1. Προσδιορισμός του επιδιωκόμενου σκοπού 21 Βλ. ενδεικτικά αποφάσεις ΔΕΕ C-293/12 και C-594/12 – Digital Rights Ireland, C-524/06 – Huber, C311/18 – Schrems II, όπου το Δικαστήριο έκρινε ότι η αναλογικότητα αφορά την λογική σχέση μεταξύ του περιορισμού που επιβάλλεται και του θεμιτού σκοπού που επιδιώκεται. 22 Αναγκαιότητα σημαίνει ότι δεν υπάρχει ηπιότερο αποτελεσματικό μέτρο για να επιτευχθεί ο σκοπός, ενώ αναλογικότητα σημαίνει ότι η ένταση του μέτρου είναι ανάλογη του σκοπού, δεν υπερβαίνει δηλαδή το μέτρο του αναγκαίου. 23 Βλ. άρθρο 11 παρ. 8 του Κανονισμού Λειτουργίας της Αρχής (ΦΕΚ Β΄ 879/25.02.2022) και ενότητα 2.6. 8 Ορίζεται με σαφήνεια ο σκοπός δημοσίου συμφέροντος, τον οποίο το μέτρο αποσκοπεί να εξυπηρετήσει. Ο σκοπός αυτός πρέπει να είναι θεμιτός, σύμφωνα με το άρθρο 52 παρ. 1 ΧΘΔΕΕ, και να προσδιορίζεται με επαρκή σαφήνεια και νομιμότητα24. Ειδικότερα, ο σκοπός είναι θεμιτός, όταν αποσκοπεί, καταρχήν, στην εξυπηρέτηση συγκεκριμένης συνταγματικής επιταγής (π.χ. λήψη μέτρων για την αντιμετώπιση της πανδημικής κρίσης χάριν προστασίας της δημόσιας υγείας, άρθρο 21 παρ. 3 Σ) ή τίθεται για την εξυπηρέτηση γενικότερων λόγων δημοσίου συμφέροντος (πχ. εγκατάσταση συστημάτων βιντεοεπιτήρησης για την προστασία της δημόσιας ασφάλειας). Θεμιτός σκοπός μπορεί να τεθεί ακόμα για την προστασία δικαιωμάτων και ελευθεριών τρίτων (π.χ. ν. 4939/2022, ΦΕΚ Α΄111, Κύρωση Κώδικα Νομοθεσίας για την υποδοχή, τη διεθνή προστασία πολιτών τρίτων χωρών και ανιθαγενών και την προσωρινή προστασία σε περίπτωση μαζικής εισροής εκτοπισθέντων αλλοδαπών). Σε κάθε περίπτωση ο θεμιτός σκοπός, μέσω του οποίου περιορίζεται το ατομικό δικαίωμα του άρθρου 9Α Σ, δεν αρκεί να αναφέρεται τυπικά αλλά πρέπει να διατυπώνεται με σαφήνεια και ακρίβεια στην κανονιστική ρύθμιση25. Παράδειγμα θεμιτού σκοπού: Γνωμοδότηση ΑΠΔ 4/2025 Η Αρχή γνωμοδότησε επί του σχεδίου τροπολογίας του άρθρου 14 του ν.3917/2011 «Διατήρηση δεδομένων που παράγονται ή υποβάλλονται σε επεξεργασία σε συνάρτηση με την παροχή διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών ή δημόσιων δικτύων επικοινωνιών, χρήση συστημάτων επιτήρησης με τη λήψη ή καταγραφή ήχου ή εικόνας σε δημόσιους χώρους και συναφείς διατάξεις» (Α΄ 22) και του π.δ. 75/2020 «Χρήση συστημάτων επιτήρησης με τη λήψη ή καταγραφή ήχου ή εικόνας σε δημόσιους χώρους» (Α΄ 173) κατόπιν σχετικού αιτήματος του Υπουργείου Προστασίας του Πολίτη. Έκρινε, μεταξύ άλλων, ότι οι τροποποιήσεις που εισάγονται με την προτεινόμενη τροπολογία φαίνεται να προσαρμόζουν τους κανόνες του υφιστάμενου θεσμικού πλαισίου σε νέες τεχνολογίες και τροποποιημένους κινδύνους, εισάγοντας περαιτέρω εξειδικεύσεις σε συγκεκριμένα ζητήματα χωρίς να τροποποιούν ουσιαστικά το θεσμικό αυτό πλαίσιο. Η Αρχή αξιολόγησε τη διεύρυνση του καταλόγου των εγκλημάτων, για τα οποία επιτρέπεται η σχετική επεξεργασία26 για την επίτευξη των επιδιωκόμενων σκοπών ως εύλογη και πρόσφορη. (βλ. σκ. 5i). Με άλλα λόγια, στην εν λόγω γνωμοδότηση, η Αρχή αναγνώρισε ως θεμιτό δημόσιο σκοπό την αποτελεσματικότερη αντιμετώπιση σοβαρών μορφών εγκληματικότητας και την προστασία της δημόσιας ασφάλειας υπό συνθήκες τεχνολογικής εξέλιξης και αυξημένων κινδύνων, κρίνοντας συναφώς εύλογη και πρόσφορη τη διεύρυνση του σχετικού ρυθμιστικού πλαισίου 24 Βλ. ιδίως αποφάσεις ΕΔΔΑ υπόθεση Μάργαρη κατά Ελλάδας από 20.06.2023 (αρ. προσφυγής 36705/2016) σκ. 50, υποθέσεις O.G. ET AUTRES c. GRÈCE από 23.01.2024 (αρ. προσφυγών 71555/12 και 48256/13) σκ. 148, ΕΔΔΑ, υπόθεση Liberty κ.λπ. κατά Ηνωμένου Βασιλείου της 1ης Ιουλίου 2008, (αρ. προσφυγής 58243/00) σκ. 58, υπόθεση M. K. κατά Γαλλίας της 18ης Απριλίου 2013 (αρ. προσφυγής 19522/09), σκ. 35 και αποφάσεις ΔΕΕ C-73/07 από 16.12.2008 (Satakunnan Markkinapörssi και Satamedia), σκ. 56, συνεκδικαθείσες αποφάσεις ΔΕΕ C‑92/09 και C‑93/09 από 09.11.2010 (Volker und Markus Schecke GbR (C-92/09) Hartmut Eifert (C-93/09), σκ. 74-75, ΔΕΕ C‑473/12 από 07.11.2013 (Institut professionnel des agents immobiliers (IPI), σκ. 39 -40. 25 Πρβλ. Γενική Γραμματεία Νομικών και Κοινοβουλευτικών Θεμάτων, Εγχειρίδιο Ανάλυσης Συνεπειών Ρύθμισης, 2020, ενότητες «Έκθεση Νομιμότητας» Α΄ και Β΄ Μέρους, σελ. 25 και 55, αντίστοιχα. 26 η επεξεργασία σχετικά με την εγκατάσταση και λειτουργία συστημάτων επιτήρησης, με τη λήψη ή καταγραφή ήχου ή εικόνας σε δημόσιους χώρους, εφόσον προϋποθέτει ή συνεπάγεται την επεξεργασία δεδομένων προσωπικού χαρακτήρα. 9 Παράδειγμα θεμιτού σκοπού και πρόσφορου μέσου: Γνωμοδότηση ΑΠΔ 8/2021 Η Αρχή γνωμοδότησε επί προτεινόμενης ρύθμισης (ΚΥΑ), κατόπιν σχετικού αιτήματος του Διοικητή της ΑΑΔΕ, σχετικά με τη δημοσιοποίηση των προστίμων σε βάρος των παραβατών των διατάξεων περί εγκατάστασης των συστημάτων παρακολούθησης και ηλεκτρονικής μετάδοσης δεδομένων εισροών-εκροών καυσίμων. Η Αρχή έκρινε, ότι οι προβαλλόμενοι σκοποί27 για τη δημοσιοποίηση στο Διαδίκτυο, απλών δεδομένων προσωπικού χαρακτήρα των παραβατών του νόμου 3784/2009 φυσικών προσώπων, ως ισχύει τροποποιηθείς και της υπό κρίση ΣχΚΥΑ είναι καταρχήν καθορισμένοι, σαφείς και νόμιμοι, σύμφωνα µε το άρθρο 5 ΓΚΠΔ. Υπό την έννοια αυτή, οι εν λόγω επιδιωκόμενοι σκοποί επεξεργασίας αυτοί καθαυτοί δικαιολογούν καταρχήν περιορισμό σε δικαιώματα που απορρέουν από κανόνες υπέρτερης τυπικής ισχύος, όπως το άρθρο 9Α του Συντάγματος (βλ. σκ. 13). Ακόμα, η Αρχή έκρινε ότι το μέτρο της δημοσιοποίησης α) είναι καταρχήν πρόσφορο, καθώς επιδιώκει τον έννομο σκοπό της προστασίας του δημοσίου συμφέροντος και των δικαιωμάτων των τρίτων συναλλασσόμενων με τις εν λόγω επιχειρήσεις, συνδράμοντας στην πάταξη του λαθρεμπορίου καυσίμων, της φοροδιαφυγής και στην προστασία των καταναλωτών και β) συνιστά μία ανεκτή επεξεργασία προσωπικών δεδομένων των αναφερομένων φυσικών προσώπων, η οποία δεν εξέρχεται των ορίων της προσφορότητας και της αναγκαιότητας. Κατά συνέπεια, δεν έρχεται σε αντίθεση προς κανόνες υπέρτερης τυπικής ισχύος, εφόσον ληφθούν υπόψη και εφαρμοστούν οι αναφερθείσες στην Γνωμοδότηση της Αρχή προϋποθέσεις, ιδίως όσον αφορά τον κατάλληλο μηχανισμό έννομης προστασίας του διοικούμενου (βλ. σκ. 19). 2. Αξιολόγηση της αναγκαιότητας Κατά τη διαδικασία αξιολόγησης της αναγκαιότητας, εξετάζεται αν η επεξεργασία δεδομένων μέσω της προτεινόμενης ρύθμισης είναι απαραίτητη, αναγκαία για την επίτευξη ενός θεμιτού κατά τα ανωτέρω σκοπού28. Ο εν λόγω σκοπός θα πρέπει να παρίσταται πράγματι αναγκαίος στη σχεδιαζόμενη ρύθμιση, με την οποία επέρχεται περιορισμός στα δικαιώματα στην προστασία των προσωπικών δεδομένων και στην ιδιωτική ζωή, ώστε να δικαιολογείται ο λόγος για τον οποίο δεν μπορεί να επιτευχθεί με λιγότερο επεμβατικά μέτρα29. 27 ήτοι η εμπέδωση της εφαρμογής του νόμου και της φορολογικής δικαιοσύνης µε τη συνεπή εκπλήρωση από τις φορολογούμενες επιχειρήσεις των φορολογικών υποχρεώσεών τους µέσω της ενίσχυσης της διαφάνειας, της πληροφόρησης και ενημέρωσης των πολιτών και η έγκαιρη είσπραξη των δημοσίων εσόδων ως αναγκαία προϋπόθεση ιδίως για τη διασφάλιση της εκπλήρωσης του δημόσιου σκοπού της εκτέλεσης των κρατικών υποχρεώσεων, καθώς το λαθρεμπόριο καυσίμων και η φοροδιαφυγή είναι πλήγμα στο κράτος δικαίου και τη νομιμότητα σε βάρος των νομοταγών πολιτών, ειδικά στην περίπτωση που οι παραβάσεις αφορούν θέματα που άπτονται της ασφάλειας των πολιτών. 28 Βλ. σχετικά και το κείμενο του EDPS, με τίτλο “Assessing the necessity of measures that limit the fundamental right to the protection of personal data: A Toolkit”, 11 Aπριλίου 2017, διαθέσιμο σε: https://edps.europa.eu/sites/edp/files/publication/17-06-01_necessity_toolkit_final_en_0.pdf. 29 Βλ. αποφάσεις ΔΕΕ C‑293/12 και C‑594/12 από 08.04.2014 (Digital Rights Ireland Ltd από 08.04.2014) σκ. 51, Γνωμοδότηση 7/2015 της Αρχής, σκ. 4 στοιχ. ε’ (κάρτα φιλάθλου), διαθέσιμη στο σύνδεσμο https://www.dpa.gr/sites/default/files/2019-10/gnom7_2015anonym.pdf, καθώς και υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/331/19.01.2024 έγγραφο παροχής γνώμης (βλ. Ετήσια Έκθεση 2024, ενότητα 3.2.1, σελ. 106-107) και Γνωμοδότηση 3/2025, σκ. 5α (Εθνικό Μητρώο Παροχών και Ενισχύσεων), διαθέσιμη στο 10 Κατά την αξιολόγηση της αναγκαιότητας εξετάζονται ειδικότερα τα εξής: - Εάν το μέτρο είναι πρόσφορο και αποτελεσματικό για την επίτευξη του επιδιωκόμενου σκοπού. - Εάν το μέτρο αποτελεί τον ηπιότερο τρόπο επίτευξης του σκοπού, δηλαδή εάν υφίστανται εναλλακτικά μέσα, λιγότερο παρεμβατικά στα δικαιώματα, τα οποία είναι επαρκή για την επίτευξη του ίδιου σκοπού. Παράδειγμα αξιολόγησης αναγκαιότητας: Γνωμοδότηση ΑΠΔ 1/2019 Η Αρχή γνωμοδότησε αυτεπαγγέλτως επί κατατεθέντος Σχεδίου Νόμου του Υπουργείου Υποδομών και Μεταφορών με τίτλο «Δοκιμασία προσόντων και συμπεριφοράς υποψήφιων οδηγών και οδηγών για τη χορήγηση αδειών οδήγησης οχημάτων, άλλες διατάξεις για τις άδειες οδήγησης και λοιπές διατάξεις». Έκρινε ότι κατ’ αρχήν υπάρχει λόγος δημοσίου συμφέροντος που δικαιολογεί την επεξεργασία των προσωπικών δεδομένων που συνίσταται στην οπτικοακουστική καταγραφή των ενεργειών των εμπλεκομένων στη διαδικασία εξέτασης καθότι έχουν διαπιστωθεί προβλήματα σε σχέση με τη διαφάνεια, την αξιοκρατία και τη διασφάλιση του αδιάβλητου του συνόλου της διαδικασίας ενώ σχετίζεται άμεσα με την προαγωγή του επιπέδου της οδικής ασφάλειας της χώρας (βλ. σκ. 8). Ως προς την αναγκαιότητα του προτεινόμενου μέτρου, έκρινε ότι η επεξεργασία μπορεί να θεωρηθεί αναγκαία για την επίτευξη του επιδιωκόμενου σκοπού σε σχέση με την πρακτική εξέταση. Διαπίστωσε ότι δεν προκύπτει από το προτεινόμενο νομοθέτημα και τα συνοδευτικά κείμενα η αναγκαιότητα της καταγραφής με οπτικοακουστικά μέσα της θεωρητικής εξέτασης ιδίως αν ληφθεί υπόψη, όπως προβλέπεται στο ΣχΝ, ότι αυτή είναι κυρίως αυτοματοποιημένη και άρα σε μικρό βαθμό επηρεάζεται από τα εμπλεκόμενα πρόσωπα εκτός του εξεταζόμενου, ενώ ο σκοπός μπορεί να επιτευχθεί με άλλα λιγότερο επαχθή μέσα (βλ. σκ. 9). 3. Αξιολόγηση της αναλογικότητας Κατά την αξιολόγηση της αναλογικότητας, ο θεμιτός και πράγματι αναγκαίος σκοπός μέσω του οποίου σχεδιάζεται η επεξεργασία προσωπικών δεδομένων πρέπει να παρίσταται και αναλογικός κατά την εξεύρεση του λιγότερου επαχθούς μέσου σε σχέση με το διακυβευόμενο δικαίωμα στην προστασία των δεδομένων30. Ειδικότερα, η εκτίμηση της αναλογικότητας ενός μέτρου προϋποθέτει μια πολυεπίπεδη αξιολόγηση, η οποία ξεκινά από τη σημασία και τη νομιμότητα του επιδιωκόμενου σκοπού και καταλήγει στην τελική στάθμιση των συνεπειών του. • Αρχικά, εκτιμάται ο βαθμός θεμιτότητας και σπουδαιότητας του σκοπού δημοσίου συμφέροντος που επιδιώκεται, καθώς και ο βαθμός, στον οποίο το προτεινόμενο μέτρο https://www.dpa.gr/el/enimerwtiko/prakseisArxis/exetasi-rythmiseon-shedioy-nomoy-toyypoyrgeioy-oikonomias-kai 30 Βλ. απόφαση ΕΔΔΑ υποθέσεις O.G. ET AUTRES c. GRÈCE από 23.01.2024 (αρ. προσφυγών 71555/12 και 48256/13) σκ. 156. Απόφαση ΔΕΕ (συνεκδικαζόμενες υποθέσεις) C‑92/09 και C‑93/09 από 09.11.2010 σκ. 81. 11 ανταποκρίνεται ουσιαστικά στο πρόβλημα που επιχειρεί να αντιμετωπίσει, δηλαδή το προσδοκώμενο όφελός του. • Στη συνέχεια, αξιολογείται η ένταση της επέμβασης στα θεμελιώδη δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων, τόσο ποιοτικά όσο και ποσοτικά, με ιδιαίτερη έμφαση στο δικαίωμα στην προστασία των προσωπικών δεδομένων και στην ιδιωτική ζωή, λαμβάνοντας υπόψη το εύρος, τη διάρκεια και τις επιπτώσεις της επέμβασης. • Ακολουθεί η στάθμιση της αναλογικότητας υπό στενή έννοια (proportionality stricto sensu), όπου εξετάζεται αν υπάρχει εύλογη σχέση μεταξύ του δημόσιου οφέλους που επιδιώκεται και της επιβάρυνσης που προκαλείται στα θεμελιώδη δικαιώματα, ώστε να διαπιστωθεί αν η προσβολή είναι ή όχι δυσανάλογη. • Τέλος, με βάση το αποτέλεσμα αυτής της στάθμισης λαμβάνεται η τελική απόφαση για το αν το μέτρο είναι κατάλληλο προς υιοθέτηση. Αν κριθεί μη αναλογικό, μπορεί να τροποποιηθεί με πρόσθετες εγγυήσεις ή περιορισμούς, ώστε να καταστεί συμβατό, διαφορετικά απορρίπτεται ως μη θεμιτό υπό το πρίσμα των θεμελιωδών δικαιωμάτων. Παράδειγμα αξιολόγησης της αναλογικότητας: Υπ’ αριθμ. πρωτ. ΑΠΔ Γ/ΕΞ/2221/20-08-2024 έγγραφο παροχής γνώμης Η Αρχή εξέτασε σχέδιο Υπουργικής Απόφασης (πλέον ΥΑ 54313/2024 - ΦΕΚ 7646/Β/31-122024), κατόπιν σχετικού αιτήματος του Υπουργείου Εργασίας, Κοινωνικής Ασφάλισης και Πρόνοιας, το οποίο ρυθμίζει, δυνάμει της εξουσιοδοτικής διάταξης του άρθρου 9 παρ. 15 στοιχ. θ’ του ν.3029/2002, την πρόσβαση της Εθνικής Αναλογιστικής Αρχής (ΕΑΑ) σε δεδομένα προσωπικού χαρακτήρα για την εκπλήρωση των αρμοδιοτήτων της. Η Αρχή διαπίστωσε ότι ο σκοπός της επεξεργασίας επιτυγχάνεται με ψευδωνυμοποιημένα δεδομένα και πρότεινε την απάλειψη της πρόβλεψης σχετικά με τη συλλογή και τήρηση των επιμέρους τομεακών αναγνωριστικών ή τυχόν άλλων στοιχείων ταυτότητας των υποκειμένων των δεδομένων. Ακόμα παρατήρησε ότι φαίνεται να μην δικαιολογείται η από την ΕΑΑ απευθείας συλλογή δεδομένων από τους ίδιους τους ασφαλισμένους ή συνταξιούχους αφού αυτά συλλέγονται από τους αρμόδιους ασφαλιστικούς και άλλους φορείς, οι οποίοι διαθέτουν ή μπορούν να συλλέξουν από το υποκείμενο των δεδομένων τα απαιτούμενα στοιχεία και πρότεινε την απάλειψη της πρόβλεψης για απόκτηση πρόσβασης της ΕΑΑ στα δεδομένα από τον άμεσα ενδιαφερόμενο (ασφαλισμένο ή συνταξιούχο) (Βλ. Ετήσια Έκθεση ΑΠΔ 2024, ενότητα 3.2.1, σελ. 111-112). 4. Αξιολόγηση της προβλεψιμότητας Για την επίτευξη του θεμιτού σκοπού κατά τρόπο αναγκαίο και αναλογικό πρέπει με βάση τις πραγματικές περιστάσεις να πληρούται το κριτήριο της προβλεψιμότητας στον σχεδιαζόμενο κανόνα δικαίου, δηλαδή να τίθενται σαφείς και ακριβείς κανόνες που να διέπουν την έκταση και την εφαρμογή του σχεδιαζόμενου μέτρου και να επιβάλλουν έναν ελάχιστο αριθμό απαιτήσεων ούτως ώστε τα πρόσωπα των οποίων τα δικαιώματα θίγονται να έχουν επαρκείς εγγυήσεις ότι προστατεύονται αποτελεσματικά τα δεδομένα τους από 12 κινδύνους καταχρήσεως, καθώς και από οποιασδήποτε αθέμιτη πρόσβαση και οποιασδήποτε αθέμιτη χρήση των δεδομένων αυτών31. Κατά την κατάρτιση κανόνων δικαίου, πρέπει να διασφαλίζεται η προβλεψιμότητα της διοικητικής δράσης, δηλ. να παρέχεται η δυνατότητα στον διοικούμενο/ενδιαφερόμενο υποκείμενο των δεδομένων να γνωρίζει εκ των προτέρων: α) την αρμόδια αρχή στην οποία μπορεί να απευθυνθεί για το συγκεκριμένο ζήτημα, β) την διαδικασία που η αρχή αυτή οφείλει να τηρήσει, γ) τα κριτήρια της προκριθείσας επιλογής κανονιστικής ρύθμισης και δ) τις δυνατότητες για την αποτελεσματική άσκηση του δικαιώματος στη δικαστική προστασία32. Ο ελάχιστος αριθμός των απαιτήσεων για την πλήρωση της προβλεψιμότητας του σχεδιαζόμενου κανόνα δικαίου (τυπικού νόμου, ΠΔ) θα πρέπει ιδίως να περιλαμβάνει:

1. i)τις κατηγορίες και τη φύση των δεδομένων π.χ. δεδομένα ειδικής κατηγορίας (άρθρο 9 ΓΚΠΔ) ή δεδομένα σχετικά με ποινικές καταδίκες και αδικήματα (άρθρο 10 ΓΚΠΔ)33,
2. ii)τις κατηγορίες των επηρεαζόμενων φυσικών προσώπων καθώς και το εύρος/ομάδες στις οποίες ανήκουν π.χ. επεξεργασία δεδομένων σε περιοχές ή υποδομές όπου συχνάζει τακτικά πολύ μεγάλος αριθμός προσώπων ή όταν η επεξεργασία αφορά το σύνολο των πολιτών (πχ. ΑΗΦΥ) ή σημαντικό αριθμό ευάλωτων υποκείμενων των δεδομένων όπως παιδιά, ηλικιωμένους, ψυχικά νοσούντες, ασθενείς, αιτούντες άσυλο, εργαζομένους κλπ., iii) τη διασφάλιση εγγυήσεων για την κατάρτιση προφίλ και την αυτοματοποιημένη λήψη αποφάσεων34 όταν μέσω τέτοιων αποφάσεων επηρεάζεται σημαντικά το υποκείμενο των δεδομένων,
3. iv)τη χρονική περίοδο κατά την οποία τίθεται περιορισμός στα δικαιώματα στην προστασία των προσωπικών δεδομένων και της ιδιωτικής ζωής35,
4. v)τους ρόλους των εμπλεκομένων μερών (υπεύθυνος επεξεργασίας, από κοινού υπεύθυνοι επεξεργασίας, εκτελών την επεξεργασία) στην επεξεργασία των δεδομένων ώστε να καθορίζονται οι αρμοδιότητες μεταξύ τους και να διασφαλίζεται υπό την απαίτηση της αρχής της λογοδοσίας του άρθρου 5 παρ. 2 ΓΚΠΔ η αποτελεσματική προστασία των δεδομένων36. 31 Βλ. απόφαση ΕΔΔΑ υποθέσεις Liberty κ.λπ. κατά Ηνωμένου Βασιλείου της 1ης Ιουλίου 2008 (αρ. προσφυγής 58243/00) σκ. 62: απόφαση ΕΔΔΑ Rotaru κατά Ρουμανίας από 04.05.2000, (αρ. προσφυγής 28341/95) σκ. 57: απόφαση ΔΕΕ (συνεκδικασθείσες αποφάσεις) C‑293/12 και C‑594/12 Digital Rights Ireland Ltd από 08.04.2014, σκ. 54. 32 Βλ. και αποφάσεις ΕΔΔΑ Liberty κ.λπ. κατά Ηνωμένου Βασιλείου από 01.07.2008, αριθ. 58243/00, §§ 62 και 63 και Rotaru κατά Ρουμανίας από 04.05.2000, αρ. προσφυγής 28341/95 σκ 55. 33 Βλ. απόφαση ΕΔΔΑ υπόθεση Μάργαρη κατά Ελλάδας από 20.06.2023 (αρ. προσφυγής 36705/2016) σκ. 59. 34 Βλ. Απόφαση ΔΕΕ C-817/19 Ligue des droits humains από 21.06.2022 σκ. 194, Βλ. και Κατευθυντήριες γραμμές για την αυτοματοποιημένη λήψη αποφάσεων και την κατάρτιση προφίλ για τους σκοπούς του κανονισμού 2016/679 διαθέσιμες στο σύνδεσμο https://ec.europa.eu/newsroom/article29/items/612053 35 Απόφαση ΕΔΔΑ υπόθεση MEMLICA κατά Ελλάδος από 06.10.2015 σκ. 55. Απόφαση ΔΕΕ (συνεκδικαθείσες υποθέσεις) C‑293/12 και C‑594/12 Digital Rights Ireland Ltd από 08.04.2014 σκ. 63, σκ. 64. 36 Βλ. αιτ. σκ. 39 ΓΚΠΔ «Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα θα πρέπει να είναι σύννομη και δίκαιη […]. Αυτή η αρχή αφορά ιδίως την ενημέρωση των υποκειμένων των δεδομένων σχετικά με την ταυτότητα του υπευθύνου επεξεργασίας και τους σκοπούς της επεξεργασίας και την περαιτέρω ενημέρωση ώστε να διασφαλιστεί δίκαιη και διαφανής επεξεργασία σε σχέση με τα εν λόγω φυσικά πρόσωπα και το δικαίωμά τους να λαμβάνουν επιβεβαίωση και να επιτυγχάνουν ανακοίνωση των σχετικών με αυτά δεδομένων προσωπικού χαρακτήρα που υπόκεινται σε επεξεργασία […].». Πρβλ. όμως και αποφάσεις ΔΕΕ C‑231/22 από 11.01.2024 σκ. 30, C-638/23 από 13 2.5. Εκτίμηση αντικτύπου στο πλαίσιο της καλής νομοθέτησης Η διενέργεια εκτίμησης αντικτύπου σχετικά με την προστασία δεδομένων (ΕΑΠΔ) είναι ιδιαίτερα σημαντικά και αναγκαία δεδομένου ότι αποτελεί βασικό εργαλείο για τη διασφάλιση του σεβασμού της κατ’ άρθρο 5 παρ. 2 σε συνδυασμό με τα άρθρα 24 παρ. 1 και 32 ΓΚΠΔ αρχής της λογοδοσίας καθώς επιτρέπει στον υπεύθυνο επεξεργασίας να συμμορφώνεται με τις απαιτήσεις του ΓΚΠΔ όποτε σχεδιάζεται ή υλοποιείται επεξεργασία δεδομένων με υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων αλλά και να αποδεικνύει ότι εφαρμόζει και εν γένει λαμβάνει τα ενδεδειγμένα μέτρα για τη διασφάλιση της συμμόρφωσης αυτής37. Η ΕΑΠΔ απαιτείται όταν η σχεδιαζόμενη επεξεργασία ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων ιδίως με τη χρήση νέων τεχνολογιών και συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας. Ενδεικτικά είδη πράξεων επεξεργασίας, τα οποία υπόκεινται σε απαίτηση διενέργειας ΕΑΠΔ παρατίθενται στο άρθρο 35 παρ. 3 του ΓΚΠΔ (βλ. αιτ. σκ. 91 ΓΚΠΔ). Η Αρχή εξέδωσε κατάλογο38 (ΦΕΚ Β΄ 1622/10-5-2019) με τις πράξεις επεξεργασίας για τις οποίες απαιτείται διενέργεια ΕΑΠΔ, σύμφωνα με το άρθρο 35 παρ. 4 του ΓΚΠΔ, ο οποίος συμπληρώνει και εξειδικεύει τις σχετικές κατευθυντήριες γραμμές WP 248 αναθ. 01 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων39. Συναφώς, απαιτείται αξιολόγηση, σε διαρκή βάση, του επίπεδου του κινδύνου των πράξεων επεξεργασίας προκειμένου να διενεργείται ΕΑΠΔ για αυτές που ενέχουν υψηλό κίνδυνο και να προσδιορίζονται τα ενδεδειγμένα μέτρα για τη μείωση του κινδύνου σε αποδεκτό επίπεδο προς απόδειξη της συμμόρφωσης με τον ΓΚΠΔ. Η ΕΑΠΔ επίσης υπόκειται σε περιοδική επαναξιολόγηση. Βασικά ζητήματα που πρέπει να ληφθούν υπόψη σχετικά με την ΕΑΠΔ κατά την κατάρτιση κανόνων δικαίου είναι τα ακόλουθα: ✓ Η ΕΑΠΔ διενεργείται πριν την έναρξη της σχεδιαζόμενης επεξεργασίας που ενέχει υψηλό κίνδυνο. ✓ Η ΕΑΠΔ διενεργείται είτε από τον καταρτίζοντα κανόνα δικαίου κατά το στάδιο έκδοσης40 του κανόνα δικαίου που παρέχει τη νομική βάση της επεξεργασίας και ο 27.02.2025 σκ. 40, σύμφωνα με τις οποίες ο ορισμός του υπευθύνου της επεξεργασίας από το εθνικό δίκαιο μπορούν να γίνονται όχι μόνο ρητώς, αλλά επίσης και εμμέσως. Στην τελευταία αυτή περίπτωση, απαιτείται εντούτοις ο ορισμός του υπευθύνου της επεξεργασίας να συνάγεται με επαρκή βεβαιότητα από τον ρόλο, την αποστολή και τα καθήκοντα που ανατίθενται στο συγκεκριμένο πρόσωπο ή στη συγκεκριμένη οντότητα. 37 Αντίστοιχες υποχρεώσεις για τη διενέργεια ΕΑΠΔ απορρέουν από το άρθρο……. της Οδηγίας 2016/680 και το άρθρο 65 του ν.4624/2029. 38 Ο σχετικός κατάλογος (απόφαση ΑΠΔ 65/2018) είναι διαθέσιμος στον σύνδεσμο https://www.dpa.gr/el/foreis/ektimisi_adiktipou_kai_diavouleush/ektimisi_adiktipou. 39 Οι κατευθυντήριες οδηγίες WP 248 αναθ. 01 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων είναι διαθέσιμες στον σύνδεσμο https://www.dataprotection.gov.cy/DATAPROTECTION/DATAPROTECTION.NSF/5B52A2BFEAB89ADC C225820A003F19D8/$file/%CE%9A%CE%B1%CE%B8%CE%BF%CE%B4%CE%B7%CE%B3%CE%B7%CF% 84%CE%B9%CE%BA%CE%AD%CF%82%20%CE%B3%CF%81%CE%B1%CE%BC%CE%BC%CE%AD%CF%82 %20%CE%B3%CE%B9%CE%B1%20%CF%84%CE%B7%CE%BD%20%CE%B5%CE%BA%CF%84%CE%AF%C E%BC%CE%B7%CF%83%CE%B7%20%CE%B1%CE%BD%CF%84%CE%B9%CE%BA%CF%84%CF%8D%CF% 80%CE%BF%CF%85%20el.pdf 40 Βλ. άρθρο 35.10 και αιτ. σκ. 93 ΓΚΠΔ. 14 οποίος ρυθμίζει τη συγκεκριμένη πράξη ή σειρά πράξεων επεξεργασίας41 είτε από τον υπεύθυνο της επεξεργασίας42 πριν την έναρξη της επεξεργασίας. ✓ Στην περίπτωση που έχει διενεργηθεί ΕΑΠΔ στο στάδιο έκδοσης του κανόνα δικαίου, δεν απαιτείται η διενέργεια αυτής από τον υπεύθυνο επεξεργασίας. Ωστόσο είναι απαραίτητη η αναθεώρηση και η εξειδίκευση των προβλεπόμενων μέτρων αντιμετώπισης των κινδύνων στο στάδιο της εφαρμογής43. ✓ Οι απαιτήσεις ως προς το περιεχόμενο44 και την πληρότητά της45 ΕΑΠΔ ισχύουν ανεξαρτήτως του σταδίου στο οποίο αυτή εκπονείται. ✓ Διαβούλευση με τα υποκείμενα των δεδομένων ή τους εκπροσώπους τους για τη σχεδιαζόμενη επεξεργασία πραγματοποιείται όπου ενδείκνυται46 και όταν η ΕΑΠΔ διενεργείται κατά το στάδιο κατάρτισης του κανόνα δικαίου. ✓ Η ΕΑΠΔ συνιστά διαρκή διαδικασία, ειδικά όταν η πράξη επεξεργασίας είναι δυναμική και υπόκειται σε διαρκείς μεταβολές και δεν αποτελεί πράξη που διενεργείται άπαξ47. ✓ Ο σχεδιαζόμενος κανόνας δικαίου δύναται να περιλαμβάνει πρόβλεψη σχετικά με την υποχρέωση διενέργειας ΕΑΠΔ καθώς αυτό τεκμηριώνει την αξιολόγηση υψηλού κινδύνου και τη συνδρομή των σχετικών προϋποθέσεων και κριτηρίων. Τονίζεται, ωστόσο, ότι η έλλειψη τέτοιας πρόβλεψης δεν αίρει την υποχρέωση του υπευθύνου επεξεργασίας να εξετάσει τη συνδρομή των προϋποθέσεων των άρθρων 35 ΓΚΠΔ και 65 ν.4624/2019 καθώς και των κριτηρίων του εθνικού καταλόγου και να πραγματοποιήσει την απαιτούμενη ΕΑΠΔ πριν την έναρξη της επεξεργασίας. ✓ Όταν θεσπίζεται κανόνας δικαίου άμεσης εφαρμογής (ΥΑ, ΚΥΑ) για τον οποίο, βάσει του άρθρου 35 ΓΚΠΔ και του σχετικού καταλόγου της Αρχής, προκύπτει υποχρέωση διενέργειας ΕΑΠΔ, αυτή πρέπει να έχει προηγουμένως ολοκληρωθεί και να μνημονεύεται ρητώς στο προοίμιο του σχετικού κανονιστικού κειμένου. ✓ Σε περίπτωση έκδοσης ΠΝΠ, η ΕΑΠΔ πρέπει να έχει διενεργηθεί πριν από την κύρωσή της. ✓ Σε περίπτωση πρόβλεψης χρήσης συστήματος Τεχνητής Νοημοσύνης (ΤΝ) υψηλού κινδύνου στο πλαίσιο επίτευξης του επιδιωκόμενου σκοπού πρέπει να λαμβάνονται υπόψη και οι υποχρεώσεις που απορρέουν από το άρθρο 27 του Κανονισμού για την 41 Αυτό συνάδει με τις αρχές της εξ ορισμού και της εκ σχεδιασμού προστασίας των δεδομένων (άρθρο 25 και αιτ. σκ. 78 ΓΚΠΔ). 42 Βλ. άρθρο 35.1 και αιτ. σκ. 90 ΓΚΠΔ καθώς και άρθρο 65.1 ν.4624/2019. 43 Ενδέχεται να απαιτείται επανεξέταση της ΕΑΠΔ πριν από την εφαρμογή της, διότι η ψηφισθείσα νομοθεσία ενδέχεται να διαφέρει από τη νομοθετική πρόταση με τρόπο που να επηρεάζει ζητήματα προστασίας των δεδομένων και της ιδιωτικής ζωής. Επιπλέον, μπορεί να μη διατίθενται επαρκή τεχνικά στοιχεία που αφορούν την πραγματική επεξεργασία κατά τον χρόνο θέσπισης της νομοθετικής ρύθμισης, ακόμη και αν αυτή συνοδευόταν από ΕΑΠΔ. Στις εν λόγω περιπτώσεις, ενδέχεται να παραμένει αναγκαία η διενέργεια ΕΑΠΔ πριν από τη διενέργεια των δραστηριοτήτων επεξεργασίας και εξειδίκευση των μέτρων κατά την εφαρμογή (βλ. Κατευθυντήριες Γραμμές ΕΣΠΔ WP 248 αναθ. 01). 44 Βλ. άρθρο 35.7 ΓΚΠΔ. 45 Βλ. Απαραίτητα τυπικά κριτήρια πληρότητας της ΕΑΠΔ βάσει του άρθρου 35 παρ. 2 και 7-9 του ΓΚΠΔ και των κατευθυντήριων γραμμών WP248, διαθέσιμα στον σύνδεσμο https://www.dpa.gr/el/foreis/ektimisi_adiktipou_kai_diavouleush/ektimisi_adiktipou 46 Βλ. άρθρο 35.9 ΓΚΠΔ. 47 βλ. Κατευθυντήριες Γραμμές ΕΣΠΔ WP 248 αναθ. 01, σελ.18. 15 ΤΝ48 (εκτίμηση των επιπτώσεων από τη χρήση του συστήματος ΤΝ στα θεμελιώδη δικαιώματα). Παράδειγμα σχετικά με τη διενέργεια ΕΑΠΔ: ν.5256/2025 - ΦΕΚ 223/Α/8-12-2025 «Ψηφιακή ενίσχυση της οδικής ασφάλειας και λοιπές διατάξεις» Στο άρθρο 7 παρ. 3 «Εγκατάσταση και λειτουργία συστήματος οπτικών αισθητήρων ελέγχου» του εν λόγω νόμου προβλέπεται η διενέργεια μελέτης ΕΑΠΔ καθώς και μελέτης εκτίμησης επιπτώσεων στα θεμελιώδη δικαιώματα, σύμφωνα με το άρθρο 27 του Κανονισμού για την ΤΝ, πριν την εγκατάσταση και λειτουργία καμερών με ενσωματωμένο σύστημα ΤΝ. 2.6. Παροχή γνώμης της ΑΠΔ κατά τον σχεδιασμό της νομοθετικής ρύθμισης Από τις διατάξεις των άρθρων 57 παρ. 1 στοιχ. γ΄ ΓΚΠΔ, 36 παρ. 4 ΓΚΠΔ, 13 παρ. 1 στοιχ. γ΄ ν. 4624/201949 (ΦΕΚ Α΄ 137), 67 παρ. 2 ν. 4624/2019 και 11 παρ. 8 του Κανονισμού Λειτουργίας της ΑΠΔ (ΦΕΚ Β΄ 879/25.02.2022, όπως τροποποιήθηκε και ισχύει), λαμβάνοντας υπόψη τη σχετική νομολογία50, προκύπτει η συμβουλευτική αρμοδιότητα της Αρχής επί ρυθμίσεων, οι οποίες πρόκειται να περιληφθούν σε κανόνα δικαίου, και οι οποίες αφορούν ιδίως σε επεξεργασίες δεδομένων προσωπικού χαρακτήρα που συνεπάγονται υψηλό κίνδυνο. Προκειμένου η άσκηση της ανωτέρω αρμοδιότητας της Αρχής να είναι αποτελεσματική, πρέπει να υποβάλλεται τεκμηριωμένο αίτημα κατά το στάδιο διαμόρφωσης της ρύθμισης, με ουσιώδη στοιχεία των προτεινόμενων ρυθμίσεων και να παρέχεται εύλογος χρόνος στην Αρχή για την διατύπωση τεκμηριωμένων απόψεων. Συγκεκριμένα, ιδίως σε επεξεργασίες υψηλού κινδύνου, θα πρέπει να προσκομίζεται η διενεργηθείσα ΕΑΠΔ ενώ αν δεν έχει διενεργηθεί, το αίτημα πρέπει να συνοδεύεται από εμπεριστατωμένο υπόμνημα το οποίο να περιέχει τουλάχιστον τα εξής: α) περιγραφή των πράξεων επεξεργασίας δεδομένων προσωπικού χαρακτήρα για τις οποίες ζητείται η γνώμη της Αρχής, και β) επεξήγηση του τρόπου με τον οποίο με την σχεδιαζόμενη ρύθμιση επιτυγχάνονται οι γενικές αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα, όπως προσδιορίζονται στο άρθρο 5 του ΓΚΠΔ ή στο άρθρο 45 του ν. 4624/2019, ανάλογα με το πεδίο εφαρμογής της προτεινόμενης ρύθμισης. 48 Κανονισμός (ΕΕ) 2024/1689 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 13ης Ιουνίου 2024, για τη θέσπιση εναρμονισμένων κανόνων σχετικά με την τεχνητή νοημοσύνη και την τροποποίηση των κανονισμών (ΕΚ) αριθ. 300/2008, (ΕΕ) αριθ. 167/2013, (ΕΕ) αριθ. 168/2013, (ΕΕ) 2018/858, (ΕΕ) 2018/1139 και (ΕΕ) 2019/2144 και των οδηγιών 2014/90/ΕΕ, (ΕΕ) 2016/797 και (ΕΕ) 2020/1828 (κανονισμός για την τεχνητή νοημοσύνη). 49 «1. Επιπλέον των καθηκόντων της δυνάμει του άρθρου 57 του ΓΚΠΔ, η Αρχή: α) ... γ) παρέχει γνώμη για κάθε ρύθμιση που πρόκειται να περιληφθεί σε νόμο ή σε κανονιστική πράξη, η οποία αφορά επεξεργασία δεδομένων προσωπικού χαρακτήρα. Η διαβούλευση πραγματοποιείται κατά το στάδιο εκπόνησης της ρύθμισης σε χρόνο και με τρόπο που καθιστά εφικτή την έγκαιρη διατύπωση γνώμης από την Αρχή και τη σχετική διαβούλευση επί του περιεχομένου του σχεδίου ρύθμισης, δ) ...». 50 Όπως κρίθηκε με την υπ’ αριθ. 1478/202250 απόφαση του Συμβουλίου Επικρατείας (ΣτΕ), σκ. 14, τα κράτη-μέλη οφείλουν να ζητούν την έκδοση γνώμης της εποπτικής αρχής πριν την έκδοση νομοθετικού ή κανονιστικού μέτρου όπως προβλέπεται στο άρθρο 36 παράγραφος 4 του ΓΚΠΔ και ιδίως στις περιπτώσεις σοβαρής παρέμβασης λόγω επεξεργασίας ειδικών κατηγοριών δεδομένων, επεξεργασίας που τελείται σε μεγάλη κλίμακα καθώς και επεξεργασίας που ενέχει αυτοματοποιημένη λήψη απόφασης (αιτ. 96 ΓΚΠΔ). 16 Επισημαίνεται ότι στις περιπτώσεις των ΠΝΠ, λόγω του επείγοντος χαρακτήρα της διαδικασίας νομοθέτησης, η διαβούλευση με την ΑΠΔ πρέπει να γίνεται τουλάχιστον πριν από την υποβολή της ΠΝΠ στο Κοινοβούλιο για κύρωση, κατά το άρθρο 44 Συντάγματος, και πάντως η σχετική διαδικασία να έχει ολοκληρωθεί πριν από την κύρωση την ίδια. 2.7. Διαβούλευση με τα εμπλεκόμενα μέρη Μια καλή πρακτική κατά τη διαμόρφωση κανόνων δικαίου είναι η διαβούλευση με τα ενδιαφερόμενα μέρη, καθώς η ενεργή συμμετοχή των ενδιαφερομένων μερών που φαίνεται πως επηρεάζονται από τον κανόνα δικαίου, όπως επιχειρήσεις, οργανισμοί και πολίτες, μπορεί να προσφέρει σημαντικά και σε πολλά επίπεδα. Η συμμετοχή μπορεί να επιτευχθεί μέσω της διαβούλευσης, κατά την οποία ζητείται η γνώμη των εμπλεκόμενων μερών για τη διασφάλιση του ορθού σχεδιασμού και εφαρμογής του κανόνα δικαίου, βασιζόμενη σε συγκεκριμένα και προκαθορισμένα κριτήρια. Στόχος της διαβούλευσης είναι η εξασφάλιση της διαφάνειας και της λογοδοσίας μέσω της ευαισθητοποίησης των ενδιαφερομένων μερών να συμμετάσχουν ενεργά και να συνεργαστούν κατά την διαμόρφωση ενός κανόνα δικαίου παρέχοντας απόψεις και διαφορετικά είδη πρωτοβουλιών. Σκόπιμη κρίνεται η συλλογή γνωμών, στοιχείων και δεδομένων για ένα συγκεκριμένο ζήτημα να πραγματοποιείται σε πολύ αρχικό στάδιο, ενώ για την αποφυγή πρόσθετου φόρτου και πίεσης χρόνου ενδείκνυται να πραγματοποιείται καθορισμός των κατάλληλων ενδιαφερόμενων φορέων ώστε η συλλογή των απαραίτητων στοιχείων για πιο τεχνικά ζητήματα να πραγματώνεται μέσω στοχευμένων διαβουλεύσεων σε συγκεκριμένο κοινό ως καταλληλότερο μέσο. Επισημαίνεται δε ότι αποτελεί καλή πρακτική κατά την κατάρτιση κανόνα δικαίου και στο πλαίσιο διαβούλευσης με τα εμπλεκόμενα μέρη να περιλαμβάνεται χώρος στην πλατφόρμα της διαβούλευσης για την ανάρτηση των εγγράφων που αφορούν τις αναλύσεις σε σχέση με τα προσωπικά δεδομένα51. 3. ΜΕΡΟΣ Β: Προσδιορισμός των βασικών χαρακτηριστικών επεξεργασίας κατά την κατάρτιση κανόνων δικαίου της Κατά την κατάρτιση κανόνων δικαίου, οι οποίοι περιλαμβάνουν επεξεργασία προσωπικών δεδομένων (όπως συλλογή, αποθήκευση, χρήση, κοινοποίηση), πρέπει να προσδιορίζονται με ακρίβεια τα βασικά χαρακτηριστικά της προβλεπόμενης επεξεργασίας ώστε να πληρούνται οι απαιτήσεις της αναγκαιότητας και αναλογικότητας. Κατά την πάγια νομολογία της Αρχής, τα βασικά χαρακτηριστικά της επεξεργασίας, ήτοι - ο υπεύθυνος της επεξεργασίας, - ο σκοπός της επεξεργασίας, - οι κατηγορίες των δεδομένων, - το χρονικό διάστημα τήρησης των δεδομένων, - καθώς και οι αποδέκτες ή οι κατηγορίες αποδεκτών των δεδομένων, πρέπει να προσδιορίζονται δυνάμει διατάξεων είτε τυπικού νόμου είτε ΠΔ που εκδίδεται κατά το άρθρο 43 παρ. 2 εδ. α’ Συντάγματος, στις οποίες προβλέπεται η αντίστοιχη επεξεργασία. 51 Καλή πρακτική επίσης συνιστά να περιλαμβάνεται και χώρος στην πλατφόρμα της διαβούλευσης για την προβλεπόμενη στο άρθρο 35.9 ΓΚΠΔ διαβούλευση με τα υποκείμενα των δεδομένων ή τους εκπροσώπους τους. 17 Με κανονιστική πράξη υποδεέστερων του Προέδρου της Δημοκρατίας οργάνων της Διοίκησης μπορεί να ρυθμίζονται μόνον ειδικότερα, τεχνικά ή λεπτομερειακά θέματα, όπως ο σχεδιασμός των απαιτούμενων τεχνικών και λειτουργικών προδιαγραφών των χρησιμοποιούμενων συστημάτων και πλατφορμών καθώς και τα εν γένει οργανωτικά και τεχνικά μέτρα για την ασφάλεια της επεξεργασίας των δεδομένων, ή θέματα τοπικού ενδιαφέροντος, καθώς και κάθε άλλη αναγκαία λεπτομέρεια, όπως ορίζεται κατά το άρθρο 43 παρ. 2 εδ. β’ Συντάγματος. Στην ανάλυση που ακολουθεί προσδιορίζεται ειδικότερα η ανωτέρω διάκριση ως προς το είδος της ρύθμισης σε συνάρτηση με τα βασικά χαρακτηριστικά της επεξεργασίας. 3.1. Σκοπός της επεξεργασίας Τυπικός νόμος, ΠΔ: Ο σκοπός επεξεργασίας πρέπει να προσδιορίζεται με ακρίβεια και σαφήνεια στον σχεδιαζόμενο κανόνα δικαίου και να έχει εξετασθεί προηγουμένως ότι η προτεινόμενη επιλογή είναι πράγματι αναγκαία και κατάλληλη και δεν υπάρχει άλλο λιγότερο επεμβατικό μέσο (=ηπιότερο μέσο) για την επίτευξή του. ΥΑ: Ο ήδη καθορισμένος και σαφής σκοπός της επεξεργασίας δύναται να εξειδικεύεται με κανονιστική απόφαση κατ’ εξουσιοδότηση νόμου, χωρίς να τροποποιείται ή να εισάγονται νέοι σκοποί επεξεργασίας. Ειδικότερα, τα ερωτήματα που πρέπει να εξετάζονται στο στάδιο της κατάρτισης κανόνων δικαίου είναι τα ακόλουθα: ✓ Προσδιορίζεται ορισμένος σκοπός επεξεργασίας; (αρχή της νομιμότητας - άρθρο 5 παρ. 1 στοιχ. α‘ και β’ ΓΚΠΔ) ✓ Είναι ο σκοπός αυτός θεμιτός; (αρχή της νομιμότητας - άρθρο 5 παρ. 1 στοιχ. α΄ΓΚΠΔ) ✓ Παρίσταται ο σκοπός αυτός πράγματι αναγκαίος στον σχεδιαζόμενο κανόνα δικαίου για την επίτευξη στόχου δημοσίου συμφέροντος; (άρθρα 7, 8 και 52.1 Χάρτη, αρχή της ελαχιστοποίησης - άρθρο 5 παρ. 1 στοιχ. γ’ ΓΚΠΔ) ✓ Έχει γίνει αξιολόγηση λιγότερου επαχθούς μέσου για την επίτευξη του σκοπού; (άρθρα 7, 8 και 52.1 Χάρτη, αρχή της ελαχιστοποίησης - άρθρο 5 παρ. 1 στοιχ. γ’ ΓΚΠΔ) ✓ Διατυπώνεται ο σκοπός επεξεργασίας με ακρίβεια και σαφήνεια στον σχεδιαζόμενο κανόνα δικαίου; (αρχή της διαφάνειας - άρθρο 5 παρ. 1 στοιχ. α΄ ΓΚΠΔ) ✓ Προβλέπεται, εφόσον έχει εφαρμογή, η περαιτέρω αξιοποίηση των δεδομένων για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς κατά το άρθρο 89 παρ. 1 ΓΚΠΔ; (τεκμήριο συμβατότητας – άρθρο 5 παρ. 1 στοιχ. β’ ΓΚΠΔ). 3.2. Συνδρομή λοιπών γενικών αρχών επεξεργασίας Περαιτέρω, όσον αφορά τις αρχές επεξεργασίας εκ του άρθρου 5 ΓΚΠΔ πρέπει να εξετάζονται τα ακόλουθα σε σχέση με τον καθορισμένο επιδιωκόμενο σκοπό επεξεργασίας: ✓ Αποτυπώνονται στον σχεδιαζόμενο κανόνα δικαίου οι αναγκαίες κατηγορίες των προσωπικών δεδομένων (είδος/φύση των δεδομένων) που θα τύχουν επεξεργασίας; (αρχή της ελαχιστοποίησης και της ακρίβειας – άρθρο 5 παρ. 1 στοιχ. γ΄ και δ’ ΓΚΠΔ) 18 ✓ Πληρούται η απαίτηση για τη λήψη μέτρων σχετικά με τη διαγραφή ή διόρθωση δεδομένων, τα οποία είναι ανακριβή σε σχέση με τον επιδιωκόμενο σκοπό επεξεργασίας; (αρχή της ακρίβειας – άρθρο 5 παρ. 1 στοιχ. δ΄ ΓΚΠΔ) ✓ Προβλέπεται ορισμένος χρόνος τήρησης των δεδομένων για την επίτευξη του επιδιωκόμενου σκοπού της επεξεργασίας; (αρχή του περιορισμού της περιόδου αποθήκευσης – άρθρο 5 παρ. 1 στοιχ. ε΄ ΓΚΠΔ) ✓ Για την πέραν της ορισμένης και νόμιμης περιόδου διατήρησης χρήση των δεδομένων για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς κατά το άρθρο 89 παρ. 1 ΓΚΠΔ, πληρούται, εφόσον έχει εφαρμογή, η απαίτηση λήψης τεχνικών και οργανωτικών μέτρων για την διασφάλιση των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων (άρθρο 5 παρ. 1 στοιχ ε’ τελ. εδάφιο ΓΚΠΔ); ✓ Πληρούται η απαίτηση της ακεραιότητας και εμπιστευτικότητας με τη λήψη των κατάλληλων τεχνικών και οργανωτικών μέτρων για την ασφάλεια των δεδομένων, ιδίως από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία, απώλεια, καταστροφή ή φθορά; (αρχή της ακεραιότητας και εμπιστευτικότητας, άρθρο 5 παρ. 1 στοιχ. στ΄ ΓΚΠΔ). 3.3. Νομική βάση επεξεργασίας σε σχέση με τον επιδιωκόμενο σκοπό Κατά την κατάρτιση κανόνων δικαίου κατά τρόπο σύμφωνο με τις απαιτήσεις εκ του ΓΚΠΔ, ο καταρτίζων κανόνα δικαίου οφείλει σωρευτικά να εξετάζει τη συνδρομή των γενικών αρχών επεξεργασίας (άρθρο 5 παρ. 1 ΓΚΠΔ) με τις νόμιμες βάσεις επεξεργασίας σε σχέση με τον καθορισμένο επιδιωκόμενο σκοπό (άρθρα 6, 9 και 10 ΓΚΠΔ, αναλόγως της φύσης των δεδομένων)52. Ειδικότερα, ερώτημα που πρέπει να εξετάζεται στο στάδιο της κατάρτισης κανόνων δικαίου είναι το ακόλουθο: ✓ Τεκμηριώνεται η επιλογή της κατάλληλης νομικής βάσης σε σχέση με τον επιδιωκόμενο σκοπό επεξεργασίας του σχεδιαζόμενου κανόνα δικαίου (άρθρα 6, 9 και 10 ΓΚΠΔ); 3.4. Ρόλοι εμπλεκόμενων στην επεξεργασία δεδομένων Τυπικός νόμος, ΠΔ: Σε κάθε κανόνα δικαίου, ο οποίος περιλαμβάνει/εμπεριέχει επεξεργασία προσωπικών δεδομένων πρέπει να προσδιορίζονται/αποδίδονται οι ρόλοι των εμπλεκομένων φορέων ώστε να πληρούται η αρχή της λογοδοσίας του άρθρου 5 παρ. 2 ΓΚΠΔ αφενός για τη συμμόρφωση με τις γενικές αρχές επεξεργασίας53. Αφετέρου δε για την αποτελεσματική προστασία των δικαιωμάτων των ενδιαφερόμενων υποκειμένων (άρθρο 12 παρ. 1 ΓΚΠΔ) και την εν γένει συμμόρφωση με τις απαιτήσεις εκ του ΓΚΠΔ (άρθρα 24, 25, 30, 32, 33, 35 και 36 ΓΚΠΔ). 52 Απόφαση ΔΕΕ C-496/2017 από 16.01.2019 (Deutsche Post AG κατά Hauptzollamt Köln), σκ. 57,59. Η έννοια της λογοδοσίας ενσωματώνει τον τρόπο με τον οποίο ασκείται η ευθύνη, καθώς και τη δυνατότητα σχετικής επαλήθευσης στο πλαίσιο της χρηστής διακυβέρνησης βλ. ΟΕ άρθρου 29 Γνώμη 3/2010 σχετικά με την αρχή της λογοδοσίας σκ. 21, διαθέσιμη στο σύνδεσμο https://ec.europa.eu/justice/article-29/documentation/opinionrecommendation/files/2010/wp173_el.pdf 53 19 Για τον καθορισμό των ρόλων πρέπει να λαμβάνονται υπόψη οι σχετικοί ορισμοί που παρέχονται στον ΓΚΠΔ, αναφορικά ιδίως με τον «υπεύθυνο επεξεργασίας54», τον «εκτελούντα την επεξεργασία55» και τους «από κοινού υπεύθυνους επεξεργασίας56» όπως περαιτέρω έχουν εξειδικευθεί από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων57. 3.4.1. Υπεύθυνος επεξεργασίας ➢ Σύμφωνα με την νομολογία του ΔΕΕ, ο ορισμός του υπευθύνου της επεξεργασίας από το εθνικό δίκαιο μπορεί να γίνεται όχι μόνο ρητώς, αλλά και εμμέσως. Στην τελευταία περίπτωση, απαιτείται εντούτοις ο ορισμός του υπευθύνου της επεξεργασίας να συνάγεται με επαρκή βεβαιότητα από τον ρόλο, την αποστολή και τα καθήκοντα που ανατίθενται στο συγκεκριμένο πρόσωπο ή στη συγκεκριμένη οντότητα58. ➢ Ο υπεύθυνος επεξεργασίας δεν είναι αναγκαίο να έχει πράγματι πρόσβαση στα δεδομένα που υποβάλλονται σε επεξεργασία για να θεωρηθεί υπεύθυνος επεξεργασίας59. 3.4.2. Από κοινού υπεύθυνοι επεξεργασίας 54 Ως «υπεύθυνος επεξεργασίας» ορίζεται στο άρθρο 4 στοιχ. 7 ΓΚΠΔ: «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους». 55 Ως «εκτελών την επεξεργασία» ορίζεται στο άρθρο 4 στοιχ. 8 ΓΚΠΔ: «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου της επεξεργασίας». 56 Άρθρο 26 ΓΚΠΔ: «1. Σε περίπτωση που δύο ή περισσότεροι υπεύθυνοι επεξεργασίας καθορίζουν από κοινού τους σκοπούς και τα μέσα της επεξεργασίας, αποτελούν από κοινού υπευθύνους επεξεργασίας. Αυτοί καθορίζουν με διαφανή τρόπο τις αντίστοιχες ευθύνες τους για συμμόρφωση προς τις υποχρεώσεις που απορρέουν από τον παρόντα κανονισμό, ιδίως όσον αφορά την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων και τα αντίστοιχα καθήκοντά τους για να παρέχουν τις πληροφορίες που αναφέρονται στα άρθρα 13 και 14, μέσω συμφωνίας μεταξύ τους, εκτός εάν και στον βαθμό που οι αντίστοιχες αρμοδιότητες των υπευθύνων επεξεργασίας καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους στο οποίο υπόκεινται οι υπεύθυνοι επεξεργασίας. Στη συμφωνία μπορεί να αναφέρεται ένα σημείο επικοινωνίας για τα υποκείμενα των δεδομένων. 2. Η συμφωνία που αναφέρεται στην παράγραφο 1 αντανακλά δεόντως τους αντίστοιχους ρόλους και σχέσεις των από κοινού υπευθύνων επεξεργασίας έναντι των υποκειμένων των δεδομένων. Η ουσία της συμφωνίας τίθεται στη διάθεση του υποκειμένου των δεδομένων.3.Ανεξάρτητα από τους όρους της συμφωνίας που αναφέρεται στην παράγραφο 1, το υποκείμενο των δεδομένων μπορεί να ασκήσει τα δικαιώματά του δυνάμει του παρόντος κανονισμού έναντι και κατά καθενός από τους υπευθύνους επεξεργασίας.». 57 Βλ. Κατευθυντήριες γραμμές 07/2020 σχετικά με τις έννοιες του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία στον ΓΚΠΔ του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων, διαθέσιμες στο σύνδεσμο https://www.edpb.europa.eu/system/files/202310/edpb_guidelines_202007_controllerprocessor_final_el.pdf 58 Αποφάσεις ΔΕΕ C‑231/22 από 11.01.2024 σκ. 30 και ΔΕΕ C-638/23 από 27.02.2025 σκ. 40. 59 ΚΓ 7/2020 ΕΣΠΔ, σελ. 3 και 16 και σκ. 56, διαθέσιμες στο σύνδεσμο https://www.edpb.europa.eu/system/files/202310/edpb_guidelines_202007_controllerprocessor_final_el.pdf και απόφαση ΔΕΕ C-25/17, ECLI:EU:C:2018:551, σκέψη 75. 20 ➢ Οι από κοινού υπεύθυνοι επεξεργασίας υποχρεούνται να καθορίζουν, με διαφανή τρόπο, τις αντίστοιχες ευθύνες τους ως προς τη συμμόρφωση με τις υποχρεώσεις προστασίας δεδομένων, μέσω συμφωνίας μεταξύ τους (άρθρο 26.1 και αιτ. 79 ΓΚΠΔ)60. ➢ Η χρήση κοινών συστημάτων ή κοινής υποδομής από περισσότερα εμπλεκόμενα μέρη δεν αρκεί για την απόδοση του ρόλου των από κοινού υπευθύνων επεξεργασίας61. ➢ Απλώς η ύπαρξη αμοιβαίου οφέλους (π.χ. εμπορικού οφέλους) που απορρέει από τη δραστηριότητα επεξεργασίας δεν στοιχειοθετεί κοινή ευθύνη επεξεργασίας62. 3.4.3. Εκτελών την επεξεργασία ➢ Η ανάθεση δραστηριότητας επεξεργασίας σε εκτελούντα την επεξεργασία πρέπει να διέπεται από δεσμευτική σύμβαση ή άλλη νομική πράξη, στην οποία να προβλέπονται τουλάχιστον τα στοιχεία του άρθρου 28.3 ΓΚΠΔ63. ➢ Ο υπεύθυνος επεξεργασίας πρέπει να επιλέγει μόνο εκτελούντες την επεξεργασία που παρέχουν επαρκείς διαβεβαιώσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων, κατά τρόπο ώστε η επεξεργασία να πληροί τις απαιτήσεις του ΓΚΠΔ, συμπεριλαμβανομένης της ασφάλειας της επεξεργασίας, και να διασφαλίζεται η προστασία των δικαιωμάτων του υποκειμένου των δεδομένων. Παράδειγμα σχετικά με την απόδοση των ρόλων των εμπλεκόμενων φορέων: ν.5256/2025 - ΦΕΚ 223/Α/8-12-2025 «Ψηφιακή ενίσχυση της οδικής ασφάλειας και λοιπές διατάξεις» Στο άρθρο 16 «Ζητήματα προστασίας δεδομένων προσωπικού χαρακτήρα» προσδιορίζονται οι υπεύθυνοι επεξεργασίας, οι από κοινού υπεύθυνοι επεξεργασίας και ο εκτελών την επεξεργασία, σύμφωνα με τις αρμοδιότητες των εμπλεκόμενων φορέων, για την επίτευξη του σκοπού της επεξεργασίας. 3.5. Αποδέκτες των δεδομένων ή κατηγορίες αποδεκτών Τυπικός νόμος, ΠΔ: Κατ’ απαίτηση της αρχής της διαφάνειας, στον σχεδιαζόμενο κανόνα δικαίου πρέπει να προσδιορίζονται οι αποδέκτες64 των δεδομένων ή οι κατηγορίες των αποδεκτών65 οσάκις ο υπεύθυνος επεξεργασίας κοινοποιεί δεδομένα προσωπικού χαρακτήρα σε άλλες οντότητες, ανεξαρτήτως του αν αυτές είναι εκτελούντες την επεξεργασία ή τρίτοι. 60 Βλ. ΔΕΕ C-683/21 από 5/12/2023 (Nacionalinis visuomenės sveikatos centras), σκ. 46 «Ο χαρακτηρισμός δύο οντοτήτων ως από κοινού υπευθύνων επεξεργασίας δεν προϋποθέτει την ύπαρξη συμφωνίας μεταξύ τους για τον καθορισμό των σκοπών και των μέσων της επεξεργασίας ούτε την ύπαρξη συμφωνίας η οποία να καθορίζει τους όρους που διέπουν την από κοινού ευθύνη για την επεξεργασία». 61 Βλ.ΚΓ 7/2022 ΕΣΠΔ ό.π. σκ. 68 και 71. 62 Βλ. ΚΓ 7/2020 ΕΣΠΔ ό.π. σκ. 62. 63 Βλ. ΚΓ 7/2020 ΕΣΠΔ ό.π. σκ. 111 επ. 64 Ως «αποδέκτης» ορίζεται στο άρθρο 4 στοιχ. 9 ΓΚΠΔ: «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας, στα οποία κοινολογούνται τα δεδομένα προσωπικού χαρακτήρα, είτε πρόκειται για τρίτον είτε όχι. Ωστόσο, οι δημόσιες αρχές που ενδέχεται να λάβουν δεδομένα προσωπικού χαρακτήρα στο πλαίσιο συγκεκριμένης έρευνας σύμφωνα με το δίκαιο της Ένωσης ή κράτους μέλους δεν θεωρούνται ως αποδέκτες· η επεξεργασία των δεδομένων αυτών από τις εν λόγω δημόσιες αρχές πραγματοποιείται σύμφωνα με τους ισχύοντες κανόνες προστασίας των δεδομένων ανάλογα με τους σκοπούς της επεξεργασίας». 65 Βλ. άρθρα 13 παρ. 1 στοιχ ε’, 14 παρ. 1 στοιχ. ε’ και 15 παρ. 1 στοιχ. γ΄ ΓΚΠΔ. 21 Οι δημόσιες αρχές ή φορείς, οι οποίοι αποκτούν πρόσβαση στα δεδομένα ή αντλούν δεδομένα μέσω διαλειτουργικότητας66 από τα μητρώα και συστήματα του δημοσίου τομέα, συνιστούν αποδέκτες προσωπικών δεδομένων. Στην περίπτωση αυτή στον σχεδιαζόμενο κανόνα δικαίου πρέπει να προσδιορίζονται σαφώς η σχετική κοινολόγηση ή πρόσβαση ή άντληση δεδομένων, ο σκοπός της κοινολόγησης σε συνάρτηση με την επακόλουθη χρήση των δεδομένων και οι κατηγορίες/φύση των δεδομένων που είναι απαραίτητο να κοινολογούνται σε συνάρτηση με τα μητρώα/συστήματα από τα οποία γίνεται η άντληση. ΥΑ: Οι εν λόγω δημόσιες αρχές ή φορείς δύναται να εξειδικεύονται με κανονιστική απόφαση κατ’ εξουσιοδότηση νόμου, χωρίς ωστόσο να εισάγεται νέα κοινολόγηση δεδομένων. Παράδειγμα σχετικά με τις κατηγορίες αποδεκτών: Η Αρχή εξέδωσε τη Γνωμοδότηση 1/2026 επί του Σχεδίου Νόμου «GOV CRM - Ενιαία Ψηφιακή Υποδομή για την Εξυπηρέτηση Πολιτών και Επιχειρήσεων». Η Αρχή διαπίστωσε ότι σε διάταξη (άρθρο 5) του Σχεδίου Νόμου απαριθμούνταν ενδεικτικά τα πρωτογενή μητρώα του Δημοσίου από τα οποία μπορεί να αντλούνται δεδομένα. Επεσήμανε ότι οι δημόσιες αρχές ή φορείς, οι οποίοι αποκτούν πρόσβαση στα δεδομένα ή αντλούν δεδομένα μέσω διαλειτουργικότητας από άλλα πρωτογενή μητρώα, συνιστούν αποδέκτες προσωπικών δεδομένων και συνέστησε, στην περίπτωση αυτή, να προσδιοριστεί ρητώς η σχετική πρόσβαση ή άντληση δεδομένων, ο σκοπός αυτής της κοινολόγησης και οι κατηγορίες των δεδομένων που είναι απαραίτητο να κοινολογούνται. 3.6. Κατηγορίες και φύση των προσωπικών δεδομένων Για τον καθορισμό των κατηγοριών προσωπικών δεδομένων και της φύσης αυτών πρέπει να λαμβάνονται υπόψη οι σχετικοί ορισμοί που παρέχονται στον ΓΚΠΔ, αναφορικά με τα «δεδομένα προσωπικού χαρακτήρα67», «γενετικά δεδομένα»68, «βιομετρικά δεδομένα»69, και «δεδομένα που αφορούν την υγεία»70. Τυπικός νόμος, ΠΔ: Στον σχεδιαζόμενο κανόνα δικαίου πρέπει να προσδιορίζονται ρητώς και ακριβώς τα δεδομένα ή οι κατηγορίες των δεδομένων που τυγχάνουν επεξεργασίας με εξαντλητική απαρίθμηση. Προηγουμένως πρέπει να εξετάζεται αν η επεξεργασία των δεδομένων αυτών είναι πράγματι αναγκαία και πρόσφορη για την επίτευξη του επιδιωκόμενου σκοπού σύμφωνα με την αρχή της ελαχιστοποίησης των δεδομένων (άρθρο 5.1.γ ΓΚΠΔ). Επιπλέον για την επεξεργασία των ειδικών κατηγοριών δεδομένων ή δεδομένων 66 Βλ. άρθρο 47 ν.4623/2019, άρθρο 84 ν.4727/2020 και απόφαση Αριθμ. 118944 ΕΞ 2019 ΦΕΚ 3990/Β/1-11-2019. 67 Ως «δεδομένα προσωπικού χαρακτήρα» ορίζεται στο άρθρο 4, στοιχ. 1 ΓΚΠΔ: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων») 68 Ως «γενετικά δεδομένα» τα δεδομένα προσωπικού χαρακτήρα που αφορούν τα γενετικά χαρακτηριστικά φυσικού προσώπου που κληρονομήθηκαν ή αποκτήθηκαν, όπως προκύπτουν, ιδίως, από ανάλυση βιολογικού δείγματος του εν λόγω φυσικού προσώπου και τα οποία παρέχουν μοναδικές πληροφορίες σχετικά με την φυσιολογία ή την υγεία του εν λόγω φυσικού προσώπου, 69 Ως «βιομετρικά δεδομένα» δεδομένα προσωπικού χαρακτήρα τα οποία προκύπτουν από ειδική τεχνική επεξεργασία συνδεόμενη με φυσικά, βιολογικά ή συμπεριφορικά χαρακτηριστικά φυσικού προσώπου και τα οποία επιτρέπουν ή επιβεβαιώνουν την αδιαμφισβήτητη ταυτοποίηση του εν λόγω φυσικού προσώπου, όπως εικόνες προσώπου ή δακτυλοσκοπικά δεδομένα 70 Ως «δεδομένα που αφορούν την υγεία» δεδομένα προσωπικού χαρακτήρα τα οποία σχετίζονται με τη σωματική ή ψυχική υγεία ενός φυσικού προσώπου, περιλαμβανομένης της παροχής υπηρεσιών υγειονομικής φροντίδας, και τα οποία αποκαλύπτουν πληροφορίες σχετικά με την κατάσταση της υγείας του 22 που αφορούν ποινικές καταδίκες και αδικήματα πρέπει να διασφαλίζεται ότι πληρούνται οι προϋποθέσεις των άρθρων 9 και 10 ΓΚΠΔ αντίστοιχα. ΥΑ: Οι ήδη καθορισμένες κατηγορίες δεδομένων δύνανται να εξειδικεύονται περαιτέρω με κανονιστική απόφαση κατ’ εξουσιοδότηση νόμου, χωρίς να εισάγονται νέες κατηγορίες δεδομένων. Παραδείγματα σε σχέση με τις κατηγορίες των δεδομένων: ν.5083/2024 - ΦΕΚ 12/Α/26-1-2024 «Εκλογή ευρωβουλευτών, διευκόλυνση εκλογέων μέσω επιστολικής ψήφου, εκκαθάριση εκλογικών καταλόγων και λοιπές διατάξεις του Υπουργείου Εσωτερικών»: Στο άρθρο 7 «Ειδικοί εκλογικοί κατάλογοι εκλογέων επιστολικής ψήφου» του εν λόγω νόμου προσδιορίζονται εξαντλητικά οι κατηγορίες των δεδομένων κάθε εκλογέα που περιλαμβάνονται στους ειδικούς εκλογικούς καταλόγους εκλογέων επιστολικής ψήφου. ν.4972/202271 - ΦΕΚ 181 Α΄/ 23.09.2022: Στο άρθρο 53 «Δεδομένα Οικονομικής Συμπεριφοράς» προσδιορίζονται τα συλλεγόμενα δεδομένα των φυσικών προσώπων υποκειμένων δεδομένων οικονομικής συμπεριφοράς. 3.7. Κατηγορίες υποκειμένων των δεδομένων Για τον προσδιορισμό των κατηγοριών των υποκειμένων των δεδομένων πρέπει να λαμβάνεται υπόψη ο σχετικός ορισμός που παρέχεται στον ΓΚΠΔ, αναφορικά με το «υποκείμενο των δεδομένων72» καθώς και η διάκριση μεταξύ διαφορετικών κατηγοριών υποκειμένων των δεδομένων σύμφωνα με το άρθρο 70 ν.4624/201973. Τυπικός νόμος, ΠΔ: Στον σχεδιαζόμενο κανόνα δικαίου πρέπει να προσδιορίζονται σαφώς και επαρκώς οι κατηγορίες υποκειμένων των δεδομένων, οι οποίες είναι αναγκαίες για την 71 ν. 4972/2022: Εταιρική διακυβέρνηση των Ανωνύμων Εταιρειών του Δημοσίου και των λοιπών θυγατρικών της Ελληνικής Εταιρείας Συμμετοχών και Περιουσίας, διαχείριση συμμετοχών του Δημοσίου σε ανώνυμες εταιρείες και ρυθμίσεις για την Ελληνική Εταιρεία Συμμετοχών και Περιουσίας, αξιολόγηση της έναντι του Δημοσίου φερεγγυότητας και πιστοληπτικής ικανότητας φυσικών και νομικών προσώπων και σύσταση Ανεξάρτητης Αρχής Πιστοληπτικής Αξιολόγησης, ίδρυση και λειτουργία Κεντρικού Μητρώου Πιστώσεων, Συμπληρωματικός Κρατικός Προϋπολογισμός οικονομικού έτους 2022 και λοιπές διατάξεις οικονομικού και αναπτυξιακού χαρακτήρα. 72 Ως «υποκείμενο των δεδομένων» ορίζεται στο άρθρο 4, στοιχ. 1 ΓΚΠΔ: το ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου. 73 Η διάκριση μεταξύ των διαφορετικών κατηγοριών υποκειμένων των δεδομένων πρέπει να είναι σαφής ιδίως για τις ακόλουθες κατηγορίες: α) προσώπων για τα οποία υπάρχουν σοβαροί λόγοι να πιστεύεται ότι έχουν διαπράξει ποινικό αδίκημα· β) προσώπων για τα οποία υπάρχουν σοβαροί λόγοι να πιστεύεται ότι πρόκειται να διαπράξουν ποινικό αδίκημα· γ) προσώπων που έχουν καταδικαστεί για ποινικό αδίκημα· δ) θυμάτων εκ ποινικού αδικήματος ή προσώπων για τα οποία ορισμένα πραγματικά περιστατικά δημιουργούν την πεποίθηση ότι μπορεί να είναι θύματα εκ ποινικού αδικήματος· και ε) άλλων προσώπων, όπως μαρτύρων, πληροφοριοδοτών ή συνδέσμων ή συνεργατών των προσώπων που αναφέρονται στις περιπτώσεις α έως και δ (βλ. άρθρο 70 ν.4624/2019, άρθρο 6 και αιτ. σκ. 31 της Οδηγίας 2016/680). 23 επίτευξη του επιδιωκόμενου σκοπού74 ή να προκύπτουν με αδιαμφισβήτητο τρόπο από το κείμενο της ρύθμισης. 3.8. Χρόνος τήρησης των δεδομένων Για τον καθορισμό του χρόνου τήρησης των δεδομένων πρέπει να λαμβάνεται υπόψη η αρχή του περιορισμού της περιόδου αποθήκευσης75 καθώς και οι σχετικές προβλέψεις ενημέρωσης των υποκειμένων των δεδομένων για τη διασφάλιση σύννομης και διαφανούς επεξεργασίας76. Τυπικός νόμος, ΠΔ: Στον σχεδιαζόμενο κανόνα δικαίου πρέπει να προσδιορίζεται ρητώς, με σαφήνεια και ακρίβεια συγκεκριμένο χρονικό διάστημα αποθήκευσης των δεδομένων (πχ «τα δεδομένα τηρούνται για 2 έτη»). Γενικές διατυπώσεις όπως «τα δεδομένα τηρούνται για όσο χρόνο απαιτείται για την εκπλήρωση του σκοπού της επεξεργασίας» δεν πληρούν τις απαιτήσεις σαφήνειας και προβλεψιμότητας. Ο χρόνος τήρησης των δεδομένων πρέπει να τεκμηριώνεται βάσει του σκοπού της επεξεργασίας, να είναι δικαιολογημένος και να περιορίζεται στον απολύτως απαραίτητο για την εκπλήρωση του σκοπού και σε κάθε περίπτωση να είναι ο ελάχιστος δυνατός (βλ. αιτ. 39 ΓΚΠΔ). Επισημαίνεται ότι μπορεί να καθορίζεται διαφορετικός χρόνος τήρησης των δεδομένων ανάλογα με τη φύση τους, την κατηγορία στην οποία ανήκουν και την συχνότητα χρήσης τους. Εάν τεκμηριωμένα δεν είναι δυνατόν να προσδιοριστεί συγκεκριμένο χρονικό διάστημα τήρησης, πρέπει να προσδιορίζονται στον σχεδιαζόμενο κανόνα δικαίου σαφή και αντικειμενικά κριτήρια καθορισμού του εν λόγω διαστήματος ή/και των συναφών προθεσμιών διαγραφής ή περιοδικής επανεξέτασης των δεδομένων (βλ. αιτ. 39 ΓΚΠΔ)77. Παράδειγμα σχετικά με τον χρόνο τήρησης των δεδομένων: ν.5256/2025 - ΦΕΚ 223/Α/812-2025 «Ψηφιακή ενίσχυση της οδικής ασφάλειας και λοιπές διατάξεις» Στο άρθρο 16 «Ζητήματα προστασίας δεδομένων προσωπικού χαρακτήρα» παρ. 4 και 5 του εν λόγω νόμου προβλέπονται συγκεκριμένα χρονικά διαστήματα τήρησης ανά κατηγορία δεδομένων, καθώς και κριτήρια διατήρησης σε περίπτωση περαιτέρω επεξεργασίας, σε συνάρτηση με τον επιμέρους σκοπό επεξεργασίας που εξυπηρετεί κάθε υποσύστημα του ενιαίου ηλεκτρονικού συστήματος καταγραφής και διαχείρισης παραβάσεων Κώδικα Οδικής Κυκλοφορίας και προστίμων. 74 Ειδική αναφορά περιλαμβάνεται στον ΓΚΠΔ για τα παιδιά (Βλ. αιτ. σκέψ. 38, 58, 65, 71 και 75 ΓΚΠΔ και άρθρα 6 παρ. 1 στοιχ. στ’, 8, 12 παρ. 1 και 40 παρ. 2 στοιχ. ζ’ ΓΚΠΔ). 75 Ως «περιορισμός της περιόδου αποθήκευσης» ορίζεται στο άρθρο 5 παρ. 1 στοιχ. ε’ ΓΚΠΔ ότι τα προσωπικά δεδομένα διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα· τα δεδομένα προσωπικού χαρακτήρα μπορούν να αποθηκεύονται για μεγαλύτερα διαστήματα, εφόσον τα δεδομένα προσωπικού χαρακτήρα θα υποβάλλονται σε επεξεργασία μόνο για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς, σύμφωνα με το άρθρο 89 παράγραφος 1 και εφόσον εφαρμόζονται τα κατάλληλα τεχνικά και οργανωτικά μέτρα που απαιτεί ο παρών κανονισμός για τη διασφάλιση των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων (βλ. άρθρο 5.1.ε ΓΚΠΔ). 76 Βλ. άρθρα 13.2.α, 14.2.α και 15.1.δ ΓΚΠΔ: ο υπεύθυνος επεξεργασίας παρέχει πληροφορίες για το χρονικό διάστημα αποθήκευσης των δεδομένων ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω χρονικό διάστημα. 77 Βλ. αιτ. σκ. 118 ΚΓ 01/2022 σχετικά με τα δικαιώματα των υποκειμένων -Δικαίωμα πρόσβασης https://www.edpb.europa.eu/system/files/202404/edpb_guidelines_202201_data_subject_rights_access_v2_el.pdf 24 3.9. Δικαιώματα των υποκειμένων των δεδομένων Στο πλαίσιο της αρχής της διαφάνειας, ο ΓΚΠΔ κατοχυρώνει την υποχρέωση παροχής σαφούς, πλήρους και κατανοητής ενημέρωσης στα υποκείμενα των δεδομένων σχετικά με την επεξεργασία των δεδομένων τους, καθώς και την υποχρέωση διασφάλισης αποτελεσματικής επικοινωνίας με αυτά για τη διευκόλυνση της άσκησης των δικαιωμάτων τους78. Οι εν λόγω κανόνες που θεσπίζει ο ΓΚΠΔ οφείλουν να εφαρμόζονται ενώ τυχόν περαιτέρω νομοθετική εξειδίκευση των μέτρων εφαρμογής έχει νόημα στον βαθμό που αποσκοπεί στη διευκόλυνση της άσκησης των δικαιωμάτων των υποκειμένων των δεδομένων. ΥΑ: Κατά την κατάρτιση κανόνων δικαίου, δύναται να εξειδικεύεται με εξουσιοδοτική διάταξη, η ρύθμιση ειδικότερων θεμάτων που αφορούν τον τρόπο και τα κριτήρια παροχής αποτελεσματικής ενημέρωσης ανάλογα με τις ειδικές συνθήκες, το πλαίσιο και τα χαρακτηριστικά της προβλεπόμενης επεξεργασίας καθώς και η διαδικασία άσκησης των δικαιωμάτων με τρόπο που διευκολύνει το υποκείμενο των δεδομένων (όπως η παροχή κατάλληλων μέσων για την ηλεκτρονική υποβολή αιτημάτων ή διάφορων τρόπων για την επικοινωνία με τον υπεύθυνο επεξεργασίας). Αν ο κανόνας δικαίου εισάγει περιορισμό των δικαιωμάτων των υποκειμένων των δεδομένων που κατοχυρώνονται στον ΓΚΠΔ, τότε πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις νόμιμου περιορισμού που τίθενται στο άρθρο 23 ΓΚΠΔ. Με το εν λόγω άρθρο παρέχεται η δυνατότητα περιορισμού των δικαιωμάτων αυτών με νομοθετικό μέτρο για την εξυπηρέτηση σημαντικών σκοπών γενικού δημοσίου συμφέροντος που απαριθμούνται στο ίδιο άρθρο και με την προϋπόθεση ότι οι εισαγόμενοι περιορισμοί σέβονται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών και συνιστούν αναγκαίο και αναλογικό μέτρο σε μία δημοκρατική κοινωνία. Δεν μπορούν να δικαιολογηθούν περιορισμοί οι οποίοι είναι εκτεταμένοι και παρεμβατικοί σε τέτοιον βαθμό που να ακυρώνουν το βασικό περιεχόμενο ενός θεμελιώδους δικαιώματος (βλ. ΚΓ 10/2020 του ΕΣΠΔ). Η νομοθετική διάταξη που θέτει περιορισμό σε δικαίωμα των υποκειμένων των δεδομένων, πρέπει να έχει σαφή και ακριβή διατύπωση και να αποδεικνύει τη σαφή σύνδεση μεταξύ περιορισμού και επιδιωκόμενου στόχου, ώστε τα πρόσωπα που υπόκεινται στον εκάστοτε περιορισμό, να δύνανται να προβλέψουν ευχερώς την εφαρμογή του περιορισμού (βλ. αιτ. σκ. 41 ΓΚΠΔ). Επισημαίνεται ότι ο περιορισμός των δικαιωμάτων των υποκειμένων των δεδομένων επιτρέπεται εφόσον θεσπίζεται με νομοθετικό μέτρο που πληροί τις απαιτήσεις του άρθρου 23 ΓΚΠΔ και δεν μπορεί να βασίζεται στα άρθρα 31-35 του ν.4624/2019, χωρίς τουλάχιστον περαιτέρω εξειδίκευση στην οικεία νομοθεσία του φορέα που να πληροί τις απαιτήσεις του άρθρου 23 ΓΚΠΔ79. Παράδειγμα σχετικά με τη ρύθμιση ειδικότερων ζητημάτων για τον τρόπο άσκησης των δικαιωμάτων των υποκειμένων των δεδομένων: ν.5256/2025 - ΦΕΚ 223/Α/8-12-2025 «Ψηφιακή ενίσχυση της οδικής ασφάλειας και λοιπές διατάξεις» Πέραν των δικαιωμάτων που κατοχυρώνονται στον ΓΚΠΔ υπέρ των υποκειμένων των δεδομένων, στο άρθρο 13 παρ. 2 «Ένσταση επί Πράξης Βεβαίωσης Παράβασης» του εν λόγω νόμου προβλέπεται ότι ο ενιστάμενος πολίτης αποκτά μέσω της εφαρμογής πρόσβαση σε όλα τα δεδομένα που συλλέγονται και τυγχάνουν επεξεργασίας για την τεκμηρίωση και 78 79 Βλ. άρθρο 5 παρ. 1 στοιχ. α΄, άρθρα 12-22 ΓΚΠΔ και αιτ. 39 ΓΚΠΔ. Βλ. Γνωμοδότηση ΑΠΔ 1/2020 για τα άρθρα 31-35 του ν.4624/2019 και απόφαση ΑΠΔ 19/2024, σκ. 7. 25 βεβαίωση της παράβασης (βίντεο, φωτογραφίες και μεταδεδομένα που πιστοποιούν τον τόπο και τον χρόνο της παράβασης), καθώς και επεξηγήσεις σχετικά με τον ρόλο του συστήματος τεχνητής νοημοσύνης στη διαδικασία επιβολής του προστίμου. 3.10. Μέτρα ασφαλείας Η αρχή της εμπιστευτικότητας και ακεραιότητας του ΓΚΠΔ, όπως κατοχυρώνεται στο άρθρο 5 παράγραφος 1 στοιχείο στ), σε συνδυασμό με το άρθρο 32 ΓΚΠΔ, θεμελιώνει την υποχρέωση του υπευθύνου επεξεργασίας και των εκτελούντων την επεξεργασία να διασφαλίζουν κατάλληλο επίπεδο ασφάλειας των δεδομένων, ανάλογο προς τον κίνδυνο που ενέχει η επεξεργασία. Τυπικός νόμος, ΠΔ: Στον σχεδιαζόμενο κανόνα δικαίου δύναται να καθορίζεται ένα ελάχιστο επίπεδο ασφάλειας ή ειδικότερες υποχρεώσεις προς ενίσχυση της υποχρέωσης διατήρησης της ασφάλειας της επεξεργασίας σε σχέση με τους αντίστοιχους κινδύνους. ΥΑ: Με κανονιστική απόφαση εκδιδόμενη κατ’ εξουσιοδότηση νόμου δύναται να εξειδικεύεται περαιτέρω το ελάχιστο επίπεδο ασφάλειας καθώς και η εφαρμογή των αναγκαίων οργανωτικών και τεχνικών μέτρων για την προστασία των προσωπικών δεδομένων. Επισημαίνεται ότι, μεταξύ άλλων, η κατάρτιση και έγκριση εσωτερικής πολιτικής80 που περιλαμβάνει κανόνες προστασίας και ασφάλειας δεδομένων και η οποία ενσωματώνεται στους ευρύτερους κανονισμούς και γνωστοποιείται στους χρήστες των δεδομένων, συνιστά καλή πρακτική στο πλαίσιο της εφαρμογής κατάλληλων οργανωτικών μέτρων. Ακόμα, η υιοθέτηση επιμέρους πολιτικών όπως διαβάθμισης των δεδομένων, ελέγχου πρόσβασης και ορθής χρήσης των ηλεκτρονικών μέσων καθώς και η εκπαίδευση του προσωπικού, οι ρήτρες εμπιστευτικότητας με τους εκτελούντες την επεξεργασία και η περιοδική αξιολόγηση της αποτελεσματικότητας των εφαρμοζόμενων μέτρων συμβάλλουν στην ορθή διαμόρφωση κατάλληλων οργανωτικών μέτρων. Περαιτέρω, η εφαρμογή κατάλληλων τεχνικών μέτρων περιλαμβάνει ενδεικτικά τη χρήση ασφαλούς εξοπλισμού και υποδομών για τη διασφάλιση της αξιοπιστίας των πληροφοριακών συστημάτων, τη χρήση ασφαλών σταθμών εργασίας, τη φυσική προστασία των εγκαταστάσεων, την επαλήθευση της ταυτότητας των χρηστών καθώς και την χρήση τεχνικών κρυπτογράφησης, ψευδωνυμοποίησης και ανωνυμοποίησης δεδομένων81. Παράδειγμα σχετικά με μέτρα ενίσχυσης της ασφάλειας της επεξεργασίας: ν.5256/2025 ΦΕΚ 223/Α/8-12-2025 «Ψηφιακή ενίσχυση της οδικής ασφάλειας και λοιπές διατάξεις» Στο πλαίσιο εξειδίκευσης των σχετικών υποχρεώσεων που προβλέπονται στον ΓΚΠΔ, στο άρθρο 63 «Απόρρητο και ασφάλεια επεξεργασίας του Συστήματος» του εν λόγω νόμου προβλέπεται η υποχρέωση α) διαρκούς λειτουργίας πιστοποιημένου συστήματος διαχείρισης ασφάλειας πληροφοριών και των ελάχιστων μέτρων που περιλαμβάνονται σε αυτό όπως μελέτη επικινδυνότητας και πολιτική ασφαλείας, β) εφαρμογής ειδικότερων μέτρων για την αποφυγή, ανίχνευση και διερεύνηση περιστατικών παραβίασης των 80 Βλ. αιτ. σκέψη 78 ΓΚΔΠ, καθώς και την ενότητα «Ασφαλή προσωπικά δεδομένα» διαθέσιμη στο σύνδεσμο https://www.edpb.europa.eu/sme-data-protection-guide/secure-personal-data_el 81 Βλ. ενότητα «Τεχνικά Μέτρα» διαθέσιμη στο σύνδεσμο https://www.edpb.europa.eu/sme-dataprotection-guide/secure-personal-data_el#toc-5 26 δεδομένων και γ) περιοδικής αξιολόγησης της αποτελεσματικής λειτουργίας των καθορισμένων τεχνικών και οργανωτικών μέτρων. 3.11. Διεθνείς διαβιβάσεις Εφόσον στο σχεδιαζόμενο κανόνα δικαίου προβλέπεται διαβίβαση δεδομένων σε τρίτες χώρες (εκτός ΕΟΧ) ή σε διεθνείς οργανισμούς, η διαβίβαση αυτής πρέπει να πληροί τις γενικές αρχές νόμιμης επεξεργασίας (ιδίως άρθρα 5, 6 και 9 ΓΚΠΔ) και επιπλέον τους ειδικούς όρους του Κεφαλαίου V του ΓΚΠΔ. Ως βάση νομιμότητας της διεθνούς διαβίβασης προτιμώνται οι αποφάσεις επάρκειας (άρθρο 45 ΓΚΠΔ). Ελλείψει απόφασης επάρκειας, ειδικά για το δημόσιο προβλέπεται η δυνατότητα διαβίβασης βάσει κατάλληλων εγγυήσεων και ειδικότερα α) μέσω ενός νομικά δεσμευτικού και εκτελεστού μέσου μεταξύ δημόσιων αρχών ή φορέων κατά το άρθρο 46.2α ΓΚΠΔ) (χωρίς να απαιτείται ειδική άδεια της ΑΠΔ) ή β) μέσω διατάξεων προς συμπερίληψη σε διοικητικές ρυθμίσεις μεταξύ δημόσιων αρχών ή φορέων οι οποίες περιλαμβάνουν εκτελεστά και ουσιαστικά δικαιώματα υποκειμένων των δεδομένων κατά το άρθρο 46.3β ΓΚΠΔ (με την επιφύλαξη της άδειας από την ΑΠΔ). Στην περίπτωση που δεν μπορούν να εφαρμοστούν οι παραπάνω μηχανισμοί των άρθρων 45 ή 46 του ΓΚΠΔ, υπάρχει η δυνατότητα εφαρμογής, υπό συγκεκριμένες προϋποθέσεις, των παρεκκλίσεων του άρθρου 49 του ΓΚΠΔ, αλλά κατ’ εξαίρεση και για μεμονωμένες περιπτώσεις. 27 4. ΜΕΡΟΣ Γ: Συνολικά σημεία ελέγχου (checklist) κατά την κατάρτιση κανόνων δικαίου 1. Προσδιορισμός του επιδιωκόμενου σκοπού ✓  Προσδιορίζεται ορισμένος σκοπός επεξεργασίας; ✓  Τεκμηριώνεται ότι ο σκοπός αυτός είναι θεμιτός; ✓  Τεκμηριώνεται ότι αποσκοπεί στην εξυπηρέτηση συγκεκριμένης συνταγματικής επιταγής ✓  ή ότι τίθεται για την εξυπηρέτηση συγκεκριμένων λόγων δημοσίου συμφέροντος; 2. Αξιολόγηση της αναγκαιότητας ✓  Είναι πράγματι αναγκαία η επεξεργασία δεδομένων μέσω της προτεινόμενης ρύθμισης για την επίτευξη του θεμιτού σκοπού επεξεργασίας; ✓  Είναι το μέτρο που επιλέγεται πρόσφορο και αποτελεσματικό για την επίτευξη του θεμιτού και νόμιμου επιδιωκόμενου σκοπού; ✓  Έχει γίνει αξιολόγηση αν ο σκοπός της επεξεργασίας δύναται να επιτευχθεί με λιγότερο επαχθή μέτρα; ✓  Αποτελεί το μέτρο που επιλέγεται τον λιγότερο παρεμβατικό τρόπο επίτευξης του σκοπού της επεξεργασίας; 3. Αξιολόγηση της αναλογικότητας stricto sensu ✓  Έχει γίνει στάθμιση μεταξύ της επιβάρυνσης που επιφέρει το μέτρο και του οφέλους/πλεονεκτημάτων για το δημόσιο συμφέρον από την εφαρμογή του; ✓  Έχει αξιολογηθεί αν το μέτρο επιφέρει δυσανάλογη ή υπέρμετρη επιβάρυνση σε σχέση με το δημόσιο συμφέρον που εξυπηρετεί; ✓  Έχουν ληφθεί πρόσθετες εγγυήσεις ώστε το αναγκαίο μέτρο να κριθεί και αναλογικό; 4. Εκτίμηση αντικτύπου στην προστασία δεδομένων (ΕΑΠΔ) ✓  Τεκμηριώνεται η απαίτηση σχετικά με τη διενέργεια ΕΑΠΔ (άρθρα 35 ΓΚΠΔ, 27 Οδηγίας 2016/680, 65 ν.4624/2029, εθνικός κατάλογος); ✓  Έχει διενεργηθεί η ΕΑΠΔ κατά το στάδιο κατάρτισης του προτεινόμενου μέτρου (άρθρο 35 παρ. 10 ΓΚΠΔ); ✓  Έχει διενεργηθεί ήδη ΕΑΠΔ για κανόνα δικαίου άμεσης εφαρμογής (ΥΑ, ΚΥΑ) και τούτο μνημονεύεται ρητώς στο προοίμιο του σχετικού κανόνα δικαίου; 28 ✓  Σε περίπτωση έκδοσης ΠΝΠ, έχει η ΕΑΠΔ διενεργηθεί πριν από την κύρωσή της; ✓  Έχει πραγματοποιηθεί διαβούλευση με τα υποκείμενα των δεδομένων ή τους εκπροσώπους τους (άρθρο 35 παρ. 9 ΓΚΠΔ); ✓  Σε περίπτωση πρόβλεψης χρήσης συστήματος ΤΝ υψηλού κινδύνου στο πλαίσιο επίτευξης του επιδιωκόμενου σκοπού έχουν ληφθεί υπόψη οι υποχρεώσεις που απορρέουν από το άρθρο 27 του Κανονισμού για την ΤΝ (εκτίμηση των επιπτώσεων από τη χρήση του συστήματος ΤΝ στα θεμελιώδη δικαιώματα); 5. Παροχή γνώμης της ΑΠΔ ✓  Πρόκειται για επεξεργασία που ενέχει υψηλό κίνδυνο; ✓  Έχει ζητηθεί η γνώμη της ΑΠΔ κατά το στάδιο κατάρτισης της ρύθμισης; ✓  Παρέχεται εύλογος χρόνος στην ΑΠΔ για τη διατύπωση τεκμηριωμένων απόψεων; ✓  Υποβάλλεται τεκμηριωμένο αίτημα κατά το στάδιο διαμόρφωσης της ρύθμισης, συνοδευόμενο από o  τη μελέτη ΕΑΠΔ αν έχει διενεργηθεί ή/και o  εμπεριστατωμένο υπόμνημα; ✓  Περιέχει το εμπεριστατωμένο υπόμνημα τουλάχιστον τα εξής: o  περιγραφή των πράξεων επεξεργασίας δεδομένων για τις οποίες ζητείται η γνώμη της ΑΠΔ; και o  επεξήγηση του τρόπου με τον οποίο με την σχεδιαζόμενη ρύθμιση επιτυγχάνονται οι γενικές αρχές που διέπουν την επεξεργασία δεδομένων, όπως προσδιορίζονται στο άρθρο 5 του ΓΚΠΔ ή στο άρθρο 45 του ν.4624/2019, ανάλογα με το πεδίο εφαρμογής της προτεινόμενης ρύθμισης; 6. Προσδιορισμός των βασικών χαρακτηριστικών της επεξεργασίας στον κανόνα δικαίου 29 6.1 Σκοπός επεξεργασίας ✓  Διατυπώνεται ο σκοπός της επεξεργασίας με ακρίβεια και σαφήνεια στον σχεδιαζόμενο κανόνα δικαίου (τυπικός νόμος, ΠΔ); ✓  Προβλέπεται, εφόσον έχει εφαρμογή, η περαιτέρω αξιοποίηση των δεδομένων για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς κατά το άρθρο 89 παρ. 1 ΓΚΠΔ; 6.2 Ρόλοι εμπλεκόμενων στην επεξεργασία δεδομένων (υπεύθυνος επεξεργασίας, από κοινού υπεύθυνοι επεξεργασίας, εκτελών την επεξεργασία) ✓  Προσδιορίζεται στον σχεδιαζόμενο κανόνα δικαίου (τυπικός νόμος, ΠΔ) η ταυτότητα του υπεύθυνου επεξεργασίας σε συνάρτηση με τον επιδιωκόμενο σκοπό επεξεργασίας; o  Εναλλακτικά, προβλέπονται στον σχεδιαζόμενο κανόνα δικαίου σαφή κριτήρια για τον προσδιορισμό τυχόν υπευθύνου επεξεργασίας με επαρκή βεβαιότητα; ✓  Αποδίδεται στον σχεδιαζόμενο κανόνα δικαίου ο ρόλος κάθε φορέα/οντότητας που εμπλέκεται στην επεξεργασία (υπεύθυνος επεξεργασίας, από κοινού υπεύθυνοι επεξεργασίας, εκτελών την επεξεργασία); ✓  Σε περίπτωση ανάθεσης επεξεργασίας σε εκτελούντα την επεξεργασία, διασφαλίζονται οι προϋποθέσεις του άρθρου 28 ΓΚΠΔ (επαρκείς διαβεβαιώσεις, πρόσληψη άλλου εκτελούντος, κατάρτιση σύμβασης); 6.3 Αποδέκτες των δεδομένων ή κατηγορίες αποδεκτών ✓  Προσδιορίζονται επαρκώς στον σχεδιαζόμενο κανόνα δικαίου (τυπικός νόμος, ΠΔ) οι αποδέκτες ή οι κατηγορίες αποδεκτών των δεδομένων; ✓  Προσδιορίζονται επαρκώς οι δημόσιοι φορείς/αρχές που αντλούν, αποκτούν πρόσβαση ή στους οποίους κοινολογούνται τα δεδομένα μέσω διαλειτουργικότητας; o  Τεκμηριώνεται εάν απαιτείται η περαιτέρω εξειδίκευση των ανωτέρω φορέων με εξουσιοδοτική απόφαση, χωρίς να εισάγεται νέα κοινολόγηση δεδομένων; ✓  Προσδιορίζεται με σαφήνεια ο σκοπός της κοινολόγησης δεδομένων μέσω διαλειτουργικότητας; ✓  Προσδιορίζονται οι κατηγορίες των δεδομένων που είναι απολύτως αναγκαίο να κοινολογούνται μέσω διαλειτουργικότητας για την επίτευξη του σκοπού της κοινολόγησης; 6.4 Κατηγορίες και φύση των προσωπικών δεδομένων ✓  Αποτυπώνονται με ακρίβεια και σαφήνεια στον σχεδιαζόμενο κανόνα δικαίου (τυπικός νόμος, ΠΔ) τα αναγκαία δεδομένα ή κατηγορίες δεδομένων που υπόκεινται σε επεξεργασία; 30 o  Τεκμηριώνεται εάν απαιτείται η περαιτέρω εξειδίκευση των ήδη καθορισμένων κατηγοριών δεδομένων με εξουσιοδοτική απόφαση, χωρίς να εισάγονται νέες κατηγορίες δεδομένων; ✓  Προσδιορίζονται οι κατηγορίες των δεδομένων χωρίς αόριστες διατυπώσεις ή ενδεικτική απαρίθμηση; ✓  Τεκμηριώνεται η αναγκαιότητα επεξεργασίας κάθε κατηγορίας δεδομένων για την επίτευξη του σκοπού της επεξεργασίας; ✓  Σε περίπτωση επεξεργασίας των ειδικών κατηγοριών δεδομένων ή των δεδομένων που αφορούν ποινικές καταδίκες και αδικήματα, διασφαλίζεται ότι πληρούνται οι προϋποθέσεις των άρθρων 9 και 10 ΓΚΠΔ αντιστοίχως; 6.5 Κατηγορίες υποκειμένων των δεδομένων ✓  Αποτυπώνονται με ακρίβεια και σαφήνεια στον σχεδιαζόμενο κανόνα δικαίου (τυπικός νόμος, ΠΔ) οι κατηγορίες των υποκειμένων των δεδομένων; o  Τεκμηριώνεται εάν απαιτείται η περαιτέρω εξειδίκευση των ήδη καθορισμένων κατηγοριών υποκειμένων των δεδομένων με εξουσιοδοτική απόφαση, χωρίς να εισάγονται νέες κατηγορίες; ✓  Προσδιορίζονται οι κατηγορίες των υποκειμένων των δεδομένων χωρίς αόριστες διατυπώσεις ή ενδεικτική απαρίθμηση;  Τεκμηριώνεται η αναγκαιότητα της επεξεργασίας των δεδομένων για κάθε κατηγορία υποκειμένων των δεδομένων για την επίτευξη του επιδιωκόμενου σκοπού; 6.6 Χρόνος τήρησης των δεδομένων ✓  Προσδιορίζεται στον σχεδιαζόμενο κανόνα δικαίου (τυπικός νόμος, ΠΔ) συγκεκριμένο χρονικό διάστημα αποθήκευσης των δεδομένων (όπως «τα δεδομένα τηρούνται για 2 έτη»); Τεκμηριώνεται ότι το προβλεπόμενο χρονικό διάστημα περιορίζεται στο ελάχιστο δυνατό για την επίτευξη του σκοπού της επεξεργασίας; ✓  Εάν τεκμηριωμένα δεν είναι δυνατόν να προσδιοριστεί συγκεκριμένο χρονικό διάστημα, προβλέπονται στον σχεδιαζόμενο κανόνα δικαίου σαφή και αντικειμενικά κριτήρια για τον καθορισμό της διάρκειας τήρησης των δεδομένων ή των συναφών προθεσμιών διαγραφής ή περιοδικής επανεξέτασής τους; ✓  Διασφαλίζεται ότι αποφεύγονται αόριστες διατυπώσεις που δεν προσδιορίζουν ορισμένο χρόνο διατήρησης των δεδομένων (όπως «τα δεδομένα τηρούνται για όσο χρόνο απαιτείται για την εκπλήρωση του σκοπού της επεξεργασίας»); 31 6.7 Δικαιώματα των υποκειμένων των δεδομένων ✓  Διασφαλίζεται η παροχή σαφούς, κατανοητής και ευχερώς προσβάσιμης ενημέρωσης προς τα υποκείμενα των δεδομένων λαμβανομένων υπόψη των ειδικών συνθηκών, του πλαισίου και των χαρακτηριστικών της προβλεπόμενης επεξεργασίας; ✓  Διασφαλίζεται η ουσιαστική διευκόλυνση των υποκειμένων των δεδομένων για την άσκηση των δικαιωμάτων τους; ✓  Προβλέπεται, εφόσον απαιτείται, η περαιτέρω εξειδίκευση, μέσω εξουσιοδοτικής διάταξης, των μέτρων εφαρμογής για τη διευκόλυνση της άσκησης των δικαιωμάτων των υποκειμένων των δεδομένων; o  Τεκμηριώνεται ότι η εν λόγω εξειδίκευση σέβεται τις επιταγές των άρθρων 12-22 ΓΚΠΔ; ✓  Συμμορφώνεται τυχόν περιορισμός των δικαιωμάτων των υποκειμένων των δεδομένων με τις σωρευτικές προϋποθέσεις του άρθρου 23 ΓΚΠΔ; 6.8 Μέτρα ασφάλειας ✓  Προβλέπεται, εφόσον απαιτείται, ο καθορισμός στον σχεδιαζόμενο κανόνα δικαίου ελάχιστου επιπέδου ασφαλείας των δεδομένων, ανάλογου προς τους κινδύνους που ενέχει η επεξεργασία; ✓  Προβλέπεται, εφόσον απαιτείται, η περαιτέρω εξειδίκευση, μέσω εξουσιοδοτικής διάταξης, της εφαρμογής των τεχνικών και οργανωτικών μέτρων για τη διασφάλιση κατάλληλου επιπέδου ασφάλειας; ✓  Διασφαλίζεται η υποχρέωση περιοδικής αξιολόγησης και επικαιροποίησης των μέτρων ασφάλειας βάσει των σύγχρονων διεθνών προτύπων ώστε να ανταποκρίνονται στις τεχνολογικές εξελίξεις; 6.9 Διεθνείς διαβιβάσεις ✓  Βασίζεται τυχόν προβλεπόμενη διεθνής διαβίβαση σε απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής (άρθρο 45 ΓΚΠΔ); ✓  Ελλείψει απόφασης επάρκειας, προβλέπεται η διεθνής διαβίβαση βάσει κατάλληλων εγγυήσεων, και ειδικότερα: o  μέσω νομικά δεσμευτικού και εκτελεστού μέσου μεταξύ δημόσιων αρχών ή φορέων (άρθρο 46 παρ. 2 στοιχ. α΄ ΓΚΠΔ); o  μέσω διατάξεων προς συμπερίληψη σε διοικητικές ρυθμίσεις μεταξύ δημόσιων αρχών ή φορέων, οι οποίες προβλέπουν εκτελεστά και ουσιαστικά δικαιώματα υποκειμένων των δεδομένων (άρθρο 46 παρ. 3 στοιχ. β΄ ΓΚΠΔ); 32 33