Εισαγωγή στην Προστασία των Προσωπικών Δεδομένων

Εισαγωγή στην Προστασία των Προσωπικών Δεδομένων

Ιωάννης Ιγγλεζάκης

Eπικ. Καθηγητής Τμ. Νομικής

Ορισμός της προστασίας προσωπικών δεδομένων

Η έννομη προστασία του ατόμου όσον αφορά την επεξεργασία προσωπικών δεδομένων που το αφορούν

Προστασία του δικαιώματος ιδιωτικής ζωής έναντι της επεξεργασίας πληροφοριών

Προστασία ιδιωτικού βίου

“το δικαίωμα του ατόμου στη μόνωση” (Warren/Brandeis, 1890)

Ελληνικό Σύνταγμα 1975: αρθρ. 9 § 1 β΄: Η ιδιωτική και οικογενειακή ζωή του ατόμου είναι απαραβίαστη

Προστασία προσωπικών δεδομένων

Σχέση με το γενικό δικαίωμα της προσωπικότητας

Διαφοροποίηση του δικαιώματος ιδιωτικής ζωής και της προστασίας προσωπικών δεδομένων1978 Lindop Report (Sweden): “a data protection law should be different from that of a law on privacy: rather than establishing rights, it should provide a framework for finding a balance between the interests of the individual, the data user and the community at large”.

Δικαίωμα πληροφοριακού αυτοκαθορισμού

Απόφαση γερμανικού Ομοσπονδιακού Συνταγματικού Δικαστηρίου 15.12.1983 (απογραφή πληθυσμού):«Το δικαίωμα του ατόμου να αποφασίζει και να συμπροσδιορίζει πότε και υπό ποιες προϋποθέσεις είναι δυνατή η επεξεργασία των πληροφοριών που το αφορούν»

Συνταγματική προστασία της προστασίας των προσωπικών δεδομένων

Άρθρο 9A - πιο σύγχρονη προσέγγιση σε σχέση με το άρθρο 9 Σ – αμυντικό δικαίωμα

Καθένας έχει δικαίωμα προστασίας από τη συλλογή, επεξεργασία και χρήση, ιδίως με ηλεκτρονικά μέσα, των προσωπικών του δεδομένων, όπως νόμος ορίζει. Η προστασία των προσωπικών δεδομένων διασφαλίζεται από ανεξάρτητη αρχή, που συγκροτείται και λειτουργεί, όπως νόμος ορίζει.

Διεθνή κείμενα προστασίας προσωπικών δεδομένων

Σύμβαση αρ. 108 του Συμβουλίου της Ευρώπης

Κατευθυντήριες Οδηγίες του ΟΟΣΑ

Οδηγίες του ΟΗΕ

Κοινοτική Οδηγία 95/46/ΕΟΚ

ΣΥΝΘΗΚΗ ΓΙΑ ΤΗΝ ΕΥΡΩΠΑΪΚΗ ΕΝΩΣΗ

Άρθρο 6 1. Η Ένωση βασίζεται στις αρχές της

ελευθερίας, της δημοκρατίας, του σεβασμού των δικαιωμάτων του ανθρώπου και των θεμελιωδών ελευθεριών και του κράτους δικαίου, αρχές οι οποίες είναι κοινές στα κράτη μέλη.

2. Η Ένωση σέβεται τα θεμελιώδη δικαιώματα, όπως κατοχυρώνονται με την Ευρωπαϊκή Σύμβαση για την Προστασία των Δικαιωμάτων του Ανθρώπου και των Θεμελιωδών Ελευθεριών, που υπογράφηκε στη Ρώμη στις 4 Nοεμβρίου 1950, και όπως προκύπτουν από τις κοινές συνταγματικές παραδόσεις των κρατών μελών, ως γενικές αρχές του κοινοτικού δικαίου. (...)

Ευρωπαϊκή Σύμβαση Δικαιωμάτων του Ανθρώπου

Άρθρο 8 – Δικαίωμα σεβασμού της ιδιωτικής ζωής και οικογενειακής ζωής

1. Παν πρόσωπον δικαιούται εις τον σεβασμόν της ιδιωτικής και οικογενειακής ζωής του, της κατοικίας του και της αλληλογραφίας του.

2. Δεν επιτρέπεται να υπάρξη επέμβασης δημοσίας αρχής εν τη ασκήσει του δικαιώματος τούτου, εκτός εάν η επέμβασις αύτη προβλέπεται υπό του νόμου και αποτελεί μέτρον το οποίον, εις μίαν δημοκρατικήν κοινωνίαν, είναι αναγκαίον διά την εθνικήν ασφάλειαν, την δημόσιαν ασφάλειαν, την οικονομικήν ευημερίαν της χώρας, την προάσπισιν της τάξεως και την πρόληψιν ποινικών παραβάσεων, την προστασίαν της υγείας ή της ηθικής, ή την προστασίαν των δικαιωμάτων και ελευθεριών άλλων.

Χάρτης Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης

Άρθρο 8 1. Κάθε πρόσωπο έχει δικαίωμα στην προστασία

των δεδομένων προσωπικού χαρακτήρα που το αφορούν.

2. Η επεξεργασία αυτών των δεδομένων πρέπει να γίνεται νομίμως, για καθορισμένους σκοπούς και με βάση τη συγκατάθεση ή για άλλους θεμιτούς σκοπούς που προβλέπονται από το νόμο. Κάθε πρόσωπο έχει δικαίωμα να έχει πρόσβαση στα συλλεγέντα δεδομένα που το αφορούν και να επιτυγχάνει τη διόρθωσή τους.

3. Ο σεβασμός των κανόνων αυτών υπόκειται στον έλεγχο της ανεξάρτητης αρχής. (…)

Κοινοτική οδηγία 95/46/ΕΚ

Στόχοι της οδηγίας: Α) Προστασία των θεμελιωδών

ελευθερίών και δικαιωμάτων, ιδίως της ιδιωτικής ζωής, από την επεξεργασία προσωπικών δεδομένων

Β) Διασφάλιση ελεύθερης κυκλοφορίας προσωπικών δεδομένων μεταξύ κρατών μελών

Η πράξη εφαρμογής της οδηγίας 95/46 στο ελληνικό δίκαιο - N. 2472/1997

Πιστή μεταφορά της οδηγίας, με ορισμένες εξαιρέσεις

Αναθεωρήθηκε 5 φορές! Κεντρικό ρόλο έχει η εφαρμογή του μέσω

της Αρχής Προστασίας Δεδομένων Πρ. Χαρακτήρα που είναι επιφορτισμένη με το ρόλο αυτό

Σημαντικές υποθέσεις (αστυνομικές ταυτότητες, «Ζούγκλα», εργασιακή παρακολούθηση, βιντεοκάμερες κοκ)

Ν. 2472/1997

Πεδίο εφαρμογής Οι διατάξεις της οδηγίας βρίσκουν

εφαρμογή στην αυτοματοποιημένη επεξεργασία προσωπικών δεδομένων και στη μη αυτοματοποιημένη επεξεργασία δεδομένων περιλαμβανομένων σε αρχείο

Εξαιρέσεις: επεξεργασία για προσωπικούς σκοπούς Επεξεργασία από τις δικαστικές αρχές

Ν. 2472/1997

Προσωπικά δεδομένα: Κάθε πληροφορία που αναφέρεται σε φυσικό

πρόσωπο του οποίου η ταυτότητα είναι γνωστή ή μπορεί να εξακριβωθεί (ιδίως βάσει αριθμού ταυτότητας ή βάσει ενός ή περισσότερων στοιχείων που χαρακτηρίζουν την υπόστασή του)

Επεξεργασία δεδομένων: Κάθε εργασία με ή χωρίς τη βοήθεια

αυτοματοποιημένων διαδικασιών, όπως η συλλογή, η καταχώρηση, η οργάνωση, αποθήκευση, η προσαρμογή ή τροποποίηση, η ανάκτηση, αναζήτηση πληροφοριών, η χρήση, η ανακοίνωση με διαβίβαση κοκ.

Ν. 2472/1997

Φυσικά μόνο και όχι νομικά πρόσωπα εμπίπτουν στο πεδίο εφαρμογής της οδηγίας.

Όχι προστασία για αποβιώσαντες. Υποκείμενο δεδομένων: πρόσωπο του οποίου η

ταυτότητα είναι γνωστή ή μπορεί να εξακριβωθεί.

Η ταυτότητα ενός προσώπου μπορεί να εξακριβωθεί είτε μέσω ενός αριθμού ταυτότητας ή βάσει ενός η περισσότερων συγκεκριμένων στοιχείων που χαρακτηρίζουν την υπόστασή του από άποψη φυσική, βιολογική, ψυχική, οικονομική, πολιτιστική, πολιτική ή κοινωνική.

Ν. 2472/1997

Δεν λογίζονται ως δεδομένα προσωπικού χαρακτήρα τα στατιστικής φύσεως συγκεντρωτικά στοιχεία, από τα οποία δεν μπορούν πλέον να προσδιορισθούν τα υποκείμενα των δεδομένων.

Ν. 2472/1997

UK: Court of Appeal in the case Durant v Financial Services Authority

data will relate to an individual if it: “is information that affects [a person’s] privacy,

whether in his personal or family life, business or professional capacity”.

Where an individual’s name appears in information the name will only be ‘personal data’ where its inclusion in the information affects the named individual’s privacy. Simply because an individual’s name appears on a document, the information contained in that document will not necessarily be personal data about the named individual.

Ν. 2472/1997

(Durant v Financial Services Authority) examples of information which will not normally

be personal data: • mere reference to a person’s name where the

name is not associated with any other personal information;

• incidental mention in the minutes of a business meeting of an individual’s attendance at that meeting in an official capacity; or

• where an individual’s name appears on a document or e-mail indicating only that it has been sent or copied to that particular individual, the content of that document or e-mail does not amount to personal data about the individual unless there is other information about the individual within it.

Αρχές ως προς την ποιότητα των δεδομένων

Τα δεδομένα προσωπικού χαρακτήρα πρέπει:

α) να υφίστανται σύννομη και θεμιτή επεξεργασία

β) να συλλέγονται για καθορισμένους, σαφείς και νόμιμους σκοπούς και η μεταγενέστερη επεξεργασία τους να συμβιβάζεται με τους σκοπούς αυτούς

γ) να είναι κατάλληλα, συναφή προς το θέμα και όχι υπερβολικά σε σχέση με τους σκοπούς για τους οποίους συλλέγονται και υφίστανται επεξεργασία

Αρχές ως προς την ποιότητα των δεδομένων

δ) να είναι ακριβή και, εφόσον χρειάζεται, να ενημερώνονται (δεδομένα ανακριβή ή ελλιπή πρέπει να διαγράφονται ή να διορθώνονται)

ε) να διατηρούνται με μορφή που επιτρέπει τον προσδιορισμό της ταυτότητας προσώπων μόνο κατά την περίοδο που διαρκεί η επεξεργασία

Ν. 2472/1997

Η επεξεργασία θα είναι νόμιμη, εφόσον: α) το πρόσωπο στο οποίο αναφέρονται τα

δεδομένα έχει δώσει τη ρητή συγκατάθεσή του ή

β) είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το ενδιαφερόμενο πρόσωπο είναι συμβαλλόμενο μέρος ή για την εκτέλεση προσυμβατικών μέτρων ή

γ) είναι απαραίτητη για την τήρηση εκ του νόμου υποχρεώσεως του υπεύθυνου επεξεργασίας

Ν. 2472/1997

δ) είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του προσώπου στο οποίο αναφέρονται τα δεδομένα ή

ε) για την εκπλήρωση έργου δημοσίου συμφέροντος ή εμπίπτοντος στην άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας ή στον τρίτο στον οποίο ανακοινώνονται τα δεδομένα ή

ε) για την επίτευξη του έννομου συμφέροντος που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, υπό τον όρο ότι δεν προέχει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του προσώπου στο οποίο αναφέρονται τα δεδομένα.

Ν. 2472/1997

Ευαίσθητα δεδομένα: άρθρο 7 Ορισμός: Δεδομένα που αφορούν τη

φυλετική ή εθνική καταγωγή καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις, συμμετοχή σε συνδικαλιστικές οργανώσεις, υγεία και σεξουαλική ζωή

Κανόνας η απαγόρευση επεξεργασίας

Ευαίσθητα Δεδομένα

Εναλλακτική προσέγγιση: η ευαισθησία προσδιορίζεται ανάλογα με το πλαίσιο αναφοράς. Οποιαδήποτε προσωπική πληροφορία μπορεί να θεωρηθεί ευαίσθητη, ανάλογα με τις συνθήκες της επεξεργασίας.

Ευαίσθητα Δεδομένα

Συμβούλιο της Ευρώπης (2005): πρόταση για διαφορετική προσέγγιση των ευαίσθητων δεδομένων, με βάση το σκοπό της επεξεργασίας:

Θα πρέπει να ερευνάται σε κάθε συγκεκριμένη περίπτωση κατά πόσο η επεξεργασία, ανάλογα με το σκοπό της, οδηγεί σε αποκάλυψη ευαίσθητων δεδομένων.

Αυτό σημαίνει ότι η επεξεργασία δεδομένων χαρακτηρίζεται από ευαισθησία και όχι τα ίδια τα δεδομένα. Το αποτέλεσμα αυτό μπορεί να προκύψει και όταν δεν χρησιμοποιούνται ευαίσθητα δεδομένα. Π.χ., αν κάποιος αγοράζει μέσω του Ιστού θρησκευτικά βιβλία ή επισκέπτεται σελίδες θρησκευτικού περιεχομένου, μπορεί να θεωρηθεί ότι η σχετική καταχώριση (στη Google, δηλ. το ΙΡ) αφορά θρησκευτικές πεποιθήσεις.

Εξαιρέσεις

α) Γραπτή συγκατάθεση β) απαραίτητη για τη διασφάλιση ζωτικού

συμφέροντος αν τελεί σε φυσική ή νομική αδυναμία να δώσει συγκατάθεση

γ) δεδομένα που δημοσιοποιεί το ίδιο το υποκείμενο

δ) τα δεδομένα είναι αναγκαία για άσκηση δικ/τος ενώπιον δικαστηρίου

ε) η επεξεργασία αφορά θέματα υγείας στ) η επεξεργασία εκτελείται από δημόσια αρχή ζ) η επεξεργασία πραγματοποιείται για

ερευνητικούς και επιστημονικούς σκοπούς η) δεδομένα δημοσίων προσώπων κατά την

άσκηση του δημοσιογραφικού επαγγέλματος

Δικαιώματα των ενδιαφερόμενων προσώπων

Ενημέρωση του ενδιαφερόμενου προσώπου

Δικαίωμα πρόσβασης Δικαίωμα αντίταξης Αυτοματοποιημένες αποφάσεις

Απόρρητο και ασφάλεια της επεξεργασίας

Απόρρητο της επεξεργασίαςΗ επεξεργασία δεδομένων είναι απόρρητη –

διεξάγεται από πρόσωπα που τελούν υπό έλεγχο του υπεύθυνου ή του εκτελούντος την επεξεργασία

Ασφάλεια της επεξεργασίαςΟ υπεύθυνος επεξεργασίας λαμβάνει τεχνικά και

οργανωτικά μέτρα για την προστασία από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, απαγορευμένη διάδοση ή πρόσβαση σε δεδομένα (κωδικοί πρόσβασης, firewall)

Διαδικαστικές προϋποθέσεις

Γνωστοποίηση της επεξεργασίας στον Επίτροπο Προστασίας Δεδομένων

Προηγούμενοι έλεγχοι (λήψης άδειας)

Δημοσιότητα των επεξεργασιών (μητρώα επεξεργασιών)

Απαλλαγή από την υποχρέωση γνωστοποίησης

Άρθρο 7Α

επεξεργασία για σκοπούς που συνδέονται άμεσα με σχέση εργασίας ή έργου

αφορά πελάτες ή προμηθευτές γίνεται από σωματεία, εταιρίες,

ενώσεις και πολιτικά κόμματα από ιατρούς ή άλλα πρόσωπα από δικηγόρους

Διασύνδεση αρχείων

Κάθε διασύνδεση γνωστοποιείται στην Αρχή

Εάν ένα τουλάχιστον από τα αρχεία που πρόκειται να διασυνδεθούν περιέχει ευαίσθητα δεδομένα, ή εάν η διασύνδεση έχει ως συνέπεια την αποκάλυψη ευαίσθητων δεδομένων, ή εάν για την πραγματοποίηση της διασύνδεσης, πρόκειται να γίνει χρήση ενιαίου κωδικού αριθμού, η διασύνδεση επιτρέπεται μόνον με προηγούμενη άδεια της Αρχής

Οργάνωση του ελέγχου της επεξεργασίας προσωπικών δεδομένων

Ο έλεγχος της εφαρμογής της οδηγίας ανατίθεται σε μία ή περισσότερες δημόσιες αρχές.

Η αρχή διαθέτει μέσα για τη διεξαγωγή ερευνών, εξουσίες παρέμβασης (γνωμοδότηση, διαγραφή κλπ. δεδομένων, απαγόρευση επεξεργασίας, κοκ), δικαίωμα παράστασης ενώπιον δικαστηρίου

Ελλάδα: Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (www.dpa.gr)

Συνέπειες από τη μη συμμόρφωση με τους κανόνες προστασίας προσωπικών δεδομένων

Διοικητικές κυρώσεις (Αρχή)

1) Προειδοποίηση, 2) χρηματική ποινή, 3) προσωρινή ανάκληση άδειας, 4) οριστική ανάκληση άδειας, καταστροφή αρχείου ή διακοπή επεξεργασίας

Κυρώσεις (άρθρ.24 οδηγίας)- Ποινικές κυρώσεις- Αστικές κυρώσεις

Διασυνοριακή διαβίβαση δεδομένων

Η διαβίβαση προσωπικών δεδομένων σε κράτη μέλη της ΕΕ είναι ελεύθερη

Η διαβίβαση προς τρίτη χώρα επιτρέπεται μόνο αν η χώρα αυτή εξασφαλίζει ικανοποιητικό επίπεδο προστασίας. Η διαπίστωση αυτή γίνεται από την Επιτροπή της ΕΕ.


Για τη διαπίστωση ικανοποιητικού επιπέδου λαμβάνονται υπόψη:

η φύση των δεδομένων, οι σκοποί και η διάρκειά της ή των

προβλεπομένων επεξεργασιών, η χώρα προέλευσης και τελικού προορισμού, οι γενικοί ή τομεακοί κανόνες δικαίου οι επαγγελματικοί κανόνες και τα μέτρα ασφαλείας που ισχύουν στην εν λόγω

τρίτη χώρα


Ικανοποιητικό επίπεδο προστασίας υφίσταται στις χώρες:

Ελβετία Καναδά Αργεντινή Guernsey Νήσο Μαν ΗΠΑ (αρχές «ασφαλούς λιμένα»)

Διαβίβαση δεδομένων σε τρίτες χώρες

Εξαιρέσεις: α) συναίνεση του ενδιαφερόμενου

προσώπου β) η διαβίβαση είναι αναγκαία για την

εκτέλεση σύμβασης γ) η διαβίβαση είναι αναγκαία για τη

διασφάλιση σημαντικού δημοσίου συμφέροντος ή αναγνώριση δικ/τος

δ) διασφάλιση ζωτικού συμφέροντος ε) η διαβίβαση γίνεται από δημόσιο

μητρώο


Εξαιρέσεις (συνέχεια): ο υπεύθυνος της επεξεργασίας παρέχει

επαρκείς εγγυήσεις για την προστασία της ιδιωτικής ζωής και των θεμελιωδών δικαιωμάτων και ελευθεριών των προσώπων καθώς και την άσκηση των σχετικών δικαιωμάτων

οι εγγυήσεις μπορούν ιδίως να απορρέουν από κατάλληλες συμβατικές ρήτρες


Τυποποιημένες συμβατικές ρήτρες Η Επιτροπή της ΕΕ μπορεί να

αποφασίζει ότι ορισμένες τυποποιημένες συμβατικές ρήτρες παρέχουν επαρκείς εγγυήσεις (αρθρ. 26§4 Οδηγίας)


Απόφαση 2001/497/ΕΚ – προβλέπει σχέδιο σύμβασης για εξαγωγή δεδομένων προς τρίτη χώρα που δεν διαθέτει ικανοποιητικό επίπεδο προστασίας

Απόφαση 2004/915/ΕΚ – τροποποιεί την πρώτη απόφαση, συμπληρώνει δεύτερη δέσμη ρητρών


Υποχρεώσεις του εξαγωγέα δεδομένων:

η επεξεργασία δεδομένων θα συνεχίζει να είναι σύμφωνη με το δίκαιο της χώρας εξαγωγής,

αν περιλαμβάνονται ευαίσθητα δεδομένα ενημερώνεται το υποκείμενο,

Θα δίδεται αντίγραφο στο υποκείμενο και Θα απαντά σε αιτήματα της Αρχής Ελέγχου


Υποχρεώσεις του εισαγωγέα δεδομένων: Βεβαιώνει ότι η νομοθεσία που διέπει τις

δραστηριότητές δεν το εμποδίζει από την τήρηση των υποχρεώσεών του, σύμφωνα με τη σύμβαση

Επεξεργάζεται τα δεδομένα σύμφωνα με τις αρχές του Παραρτήματος 2 (Αρχές ως προς την ποιότητα των δεδομένων, δικαιώματα υποκειμένου, προστασία ευαίσθητων δεδομένων, διαφάνεια και ασφάλεια δεδομένων, όχι περαιτέρω διβίβαση)

Απαντά σε αιτήματα της Αρχής ελέγχου Επιτρέπει έλεγχο των εγκαταστάσεών του και Δίδει αντίγραφο της σύμβασης στο

ενδιαφερόμενο πρόσωπο


Αρχές ασφαλούς λιμένα Απόφαση 2000/520 Οι "αρχές ασφαλούς λιμένα για την

προστασία της ιδιωτικής ζωής" που εκδόθηκαν από το Υπουργείο Εμπορίου των ΗΠΑ στις 21 Ιουλίου 2000, θεωρείται ότι παρέχουν ικανοποιητικό επίπεδο προστασίας για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα από την Κοινότητα σε οργανισμούς εγκατεστημένους στις Ηνωμένες Πολιτείες,


Διαβίβαση αρχείων επιβατών αεροπορικών ταξιδιών (Δεδομένα PNR)

Συμφωνία μεταξύ ΕΕ και ΗΠΑ για την επεξεργασία και διαβίβαση προσωπικών δεδομένων επιβατών 2007

Εγκρίθηκε με την Απόφαση 2007/551 του Συμβουλίου της ΕΕ


Διαβίβαση δεδομένων PNR (συνέχεια) Σκοπός επεξεργασίας η αποτροπή και

καταπολέμηση της τρομοκρατίας και άλλων σοβαρών εγκλημάτων (οργανωμένου εγκλήματος κλπ.)

Η διαβίβαση γίνεται προς το Υπουργείο Εσωτερικής Ασφάλειας των ΗΠΑ (Department of Homeland Security)

Επεξεργασία συγκεκριμένων δεδομένων


Διαβίβαση δεδομένων PNR (συνέχεια) Κατηγορίες Δεδομένων: κωδικός ανεύρεσης φακέλου, ημερομηνία κράτησης θέσης, προβλεπόμενη(-ες) ημερομηνία(-ες)

ταξιδιού, ονοματεπώνυμο, άλλα ονόματα που εμφαίνονται στο PNR, διεύθυνση, τρόπος πληρωμής κ.ά. (συνολικά 19

κατηγορίες)

Documents

Εισαγωγή στην Προστασία των Προσωπικών Δεδομένων