Σήμερα, Παρασκευή 25 Μαΐου, αρχίζει και επισήμως η εφαρμογή του νέου Κανονισμού Προστασίας Προσωπικών Δεδομένων (GDPR). Στόχος του είναι να δοθεί στους πολίτες της ΕΕ ο έλεγχος των προσωπικών τους δεδομένων.

Ο GDPR αλλάζει ριζικά τον τρόπο με τον οποίο επιχειρήσεις και οργανισμοί συλλέγουν, επεξεργάζονται και διαχειρίζονται προσωπικά δεδομένα κάθε μορφής. Ο GDPR καθορίζει σε ποιες περιπτώσεις επιτρέπεται να χρησιμοποιούνται, αποθηκεύονται, διαγράφονται, μεταβιβάζονται και εν γένει επεξεργάζονται τα προσωπικά μας δεδομένα και κυρίως, με ποιον τρόπο μπορούμε να τα προστατεύουμε. Ο GDPR θα επηρεάσει κάθε οργανισμό και εταιρεία στην Ευρώπη, η οποία διαχειρίζεται με οποιονδήποτε τρόπο προσωπικά δεδομένα, αλλά και κάθε εταιρεία που συναλλάσσεται στην επικράτεια της Ευρωπαϊκής Ένωσης. Οι κανόνες είναι πολύπλοκοι και τα πρόστιμα για μη συμμόρφωση πολύ αυστηρά και μπορούν να φτάσουν έως τα 20 εκατομμύρια ευρώ.

Σε ενημερωτικό έντυπο του Ελληνικού Κέντρου Ασφαλούς Διαδικτύου του Ιδρύματος Τεχνολογίας και Έρευνας αναφέρονται τα εξής:

Ποιες θα είναι οι βασικές αλλαγές που θα ισχύσουν

Προστασία των δικαιωμάτων των παιδιών: Το τοπίο στα social media αλλάζει. Βάσει του νέου κανονισμού απαγορεύεται τη χρήση των social media σε παιδιά έως 16 ετών παρά μόνο με τη συγκατάθεση των γονέων.

Δικαίωμα στη λήθη: Ο χρήστης έχει το δικαίωμα να ζητήσει την διαγραφή των δεδομένων του και ο υπεύθυνος επεξεργασίας έχει υποχρέωση άμεσα να τα διαγράψει και, αν τα έχει δημοσιοποιήσει, να ενημερώσει και όλους τους άλλους που τα έχουν αναδημοσιεύσει ότι έχει ζητηθεί η διαγραφή τους.

Δικαίωμα ενημέρωσης και πρόσβασης στα δεδομένα: Ο πολίτης θα έχει περισσότερη και σαφέστερη ενημέρωση κατά τη συλλογή των δεδομένων του για την επεξεργασία τους και το δικαίωμα πρόσβασης σε αυτά.

Δικαίωμα διόρθωσης: Ο χρήστης θα έχει το δικαίωμα να απαιτήσει από τον υπεύθυνο επεξεργασίας τη διόρθωση ανακριβών στοιχείων καθώς και τη συμπλήρωση ελλιπών δεδομένων που τον αφορούν.

Δικαίωμα εναντίωσης στην επεξεργασία: Ο χρήστης θα έχει το δικαίωμα να αντιταχθεί στην επεξεργασία των δεδομένων του υπό συγκεκριμένες προϋποθέσεις, ιδίως όταν πρόκειται για κατάρτιση «προφίλ» ή για σκοπούς απευθείας εμπορικής προώθησης.

Τι αλλάζει στο διαδίκτυο:

Τελευταία, πολλοί από τους μεγάλους ιστότοπους, υπηρεσίες και εφαρμογές που χρησιμοποιούμε σπεύδουν να επικαιροποιήσουν τις πολιτικές απορρήτου και τους όρους χρήσης τους. Ίσως έχετε παρατηρήσει πολλές νέες ειδοποιήσεις για θέμα αυτό στο τηλέφωνό και στο email σας. Ο λόγος πίσω από αυτές τις αλλαγές δεν είναι άλλος από τη συμμόρφωση των εταιρειών στο νέο Γενικό Κανονισμό για την Προστασία των Δεδομένων. Με τους νέους κανόνες γίνεται δυσκολότερη η στοχευμένη διαφήμιση καθώς οι εταιρείες δε θα έχουν πλέον το δικαίωμα να συλλέγουν και να πουλάνε πληροφορίες για τις προτιμήσεις των χρηστών εάν πρώτα δεν έχουν εξασφαλίσει τη συγκατάθεσή τους.

Επιπρόσθετα μια ακόμα αλλαγή που ορίζει ο νέος κανονισμός είναι η πρόσβαση των παιδιών ηλικίας από 13 έως 15 ετών (για την Ελλάδα) στα κοινωνικά δίκτυα μόνο με γονική συναίνεση. Μέχρι στιγμής πάντως παραμένει αδιευκρίνιστο το πως θα εφαρμοστεί αυτή η διάταξη καθώς δεν υπάρχουν σχετικές ανακοινώσεις από τα κοινωνικά δίκτυα.

Οι νέοι κανόνες για την προστασία της ιδιωτικότητας θα είναι οι αυστηρότεροι στον κόσμο και προβλέπουν βαριές ποινές για τις εταιρείες που θα τους παραβιάσουν. Το πρόστιμο μπορεί να φθάσει το 4% των ετήσιων εσόδων μιας εταιρείας, δηλαδή περίπου 1,6 δισεκατομμύρια δολάρια στην περίπτωση του Facebook. Οι ίδιοι κανόνες για την προστασία των δεδομένων των πολιτών και καταναλωτών θα ισχύουν για όλες τις εταιρείες που δραστηριοποιούνται στην ΕΕ, όπου και εάν βρίσκεται η έδρα τους.

Όταν επεξεργάζονται τα προσωπικά δεδομένα, οι εταιρείες (τεχνολογίας, τράπεζες, ασφαλιστικές, υγείας, λιανεμπορίου κ.α.) πρέπει πλέον να παρέχουν σαφείς πληροφορίες για ποιούς σκοπούς τα χρησιμοποιούν, για πόσο χρονικό διάστημα τα αποθηκεύουν, σε ποιούς άλλους τα κοινοποιούν και εάν τα δεδομένα θα διαβιβασθούν εκτός της ΕΕ. Οι εταιρείες πρέπει να παρέχουν στοιχεία επικοινωνίας των υπεύθυνων για την επεξεργασία και προστασία των δεδομένων. Όλες αυτές οι πληροφορίες θα πρέπει να διατυπώνονται σε σαφή και απλή γλώσσα.

Το Ελληνικό Κέντρο Ασφαλούς Διαδικτύου του Ιδρύματος Τεχνολογίας και Έρευνας δημιούργησε δύο ενημερωτικά βίντεο για την εφαρμογή του GDPR. To πρώτο περιέχει πληροφορίες για τη γενική εφαρμογή του νέου κανονισμού (βλ. παραπάνω) και το δεύτερο αφορά στις αλλαγές που πρέπει να γίνουν στα σχολεία.

Ακολουθούν δέκα ερωταπαντήσεις που θα βοηθήσουν τον καθένα να καταλάβει καλύτερα τις επερχόμενες αλλαγές.

1. Τι αφορά και ποιούς καλύπτει ο νέος Κανονισμός;

Ο νέος Γενικός Κανονισμός για την Προστασία Δεδομένων (ΓΚΠΔ) της ΕΕ ρυθμίζει την επεξεργασία από άτομα, εταιρείες ή οργανισμούς των δεδομένων προσωπικού χαρακτήρα που αφορούν άτομα στην ΕΕ.

Δεν υπάγεται σε αυτόν η επεξεργασία δεδομένων προσωπικού χαρακτήρα αποθανόντων προσώπων ή νομικών προσώπων.

2. Πότε δεν θα εφαρμόζεται ο κανονισμός;

Οι νέοι κανόνες δεν εφαρμόζονται σε δεδομένα που υποβάλλονται σε επεξεργασία από ένα άτομο για αυστηρά προσωπικούς λόγους ή για δραστηριότητες που διενεργούνται κατ’ οίκον, εφόσον δεν συνδέονται με επαγγελματική ή εμπορική δραστηριότητα. Δεν θα εφαρμόζονται αν π.χ. ένα άτομο χρησιμοποιεί το ιδιωτικό του βιβλίο διευθύνσεων για να προσκαλέσει φίλους μέσω ηλεκτρονικού μηνύματος σε μια γιορτή που διοργανώνει (ισχύει η εξαίρεση των οικιακών δραστηριοτήτων).

3. Ποια θεωρούνται δεδομένα προσωπικού χαρακτήρα;

Τα δεδομένα προσωπικού χαρακτήρα είναι πληροφορίες που αφορούν ένα ταυτοποιημένο ή ταυτοποιήσιμο εν ζωή άτομο. Διαφορετικές πληροφορίες οι οποίες, εάν συγκεντρωθούν όλες μαζί, μπορούν να οδηγήσουν στην ταυτοποίηση ενός συγκεκριμένου ατόμου, αποτελούν επίσης δεδομένα προσωπικού χαρακτήρα.

Τα δεδομένα προσωπικού χαρακτήρα που έχουν καταστεί ανώνυμα, έχουν κρυπτογραφηθεί ή για τα οποία έχουν χρησιμοποιηθεί ψευδώνυμα, αλλά τα οποία μπορούν να χρησιμοποιηθούν για την επαναταυτοποίηση ενός ατόμου, παραμένουν δεδομένα προσωπικού χαρακτήρα και εμπίπτουν στο πεδίο εφαρμογής του ΓΚΠΔ.

Τα δεδομένα προσωπικού χαρακτήρα που έχουν καταστεί ανώνυμα έτσι ώστε το άτομο να μην είναι ταυτοποιήσιμο, δεν θεωρούνται πλέον δεδομένα προσωπικού χαρακτήρα. Για να είναι πραγματικά ανώνυμα τα δεδομένα, η ανωνυμοποίηση πρέπει να είναι μη αντιστρέψιμη.

Ο ΓΚΠΔ προστατεύει τα δεδομένα προσωπικού χαρακτήρα ανεξάρτητα από την τεχνολογία που χρησιμοποιείται για την επεξεργασία τους. Είναι τεχνολογικά ουδέτερος και εφαρμόζεται τόσο στην αυτοματοποιημένη όσο και στη χειροκίνητη επεξεργασία. Επίσης, δεν έχει σημασία ο τρόπος που αποθηκεύονται τα δεδομένα – σε ψηφιακή ή έντυπη μορφή.

4. Ποιά είναι χαρακτηριστικά παραδείγματα δεδομένων προσωπικού χαρακτήρα και ποιά όχι;

Το όνομα και επώνυμο, η διεύθυνση κατοικίας, ο αριθμός ταυτότητας, η προσωπική ηλεκτρονική διεύθυνση (e-mail), o αναγνωριστικός αριθμός τραπεζικής κάρτας, τα δεδομένα τοποθεσίας (π.χ. GPS σε κινητό τηλέφωνο), η διεύθυνση διαδικτυακού πρωτοκόλλου (IP) και τα δεδομένα υγείας που φυλάσσονται από νοσοκομείο ή γιατρό.

Παραδείγματα δεδομένων που δεν θεωρούνται προσωπικού χαρακτήρα, είναι ο αριθμός μητρώου εταιρείας, η εταιρική ηλεκτρονική διεύθυνση του τύπου «πληροφορίες@εταιρεία.com» και κάθε είδους ανώνυμα δεδομένα.

5. Τι αποτελεί επεξεργασία δεδομένων;

Ο όρος «επεξεργασία» καλύπτει ένα ευρύ φάσμα πράξεων που πραγματοποιούνται σε δεδομένα προσωπικού χαρακτήρα, είτε με χειροκίνητα είτε με αυτοματοποιημένα μέσα. Περιλαμβάνει τη συλλογή, καταχώριση, οργάνωση, διάρθρωση, αποθήκευση, προσαρμογή ή μεταβολή, ανάκτηση, αναζήτηση πληροφοριών, χρήση, κοινολόγηση με διαβίβαση, διάδοση ή κάθε άλλη μορφή διάθεσης, συσχέτιση ή συνδυασμό, περιορισμό, διαγραφή ή καταστροφή δεδομένων προσωπικού χαρακτήρα.

Παραδείγματα επεξεργασίας αποτελούν η διαχείριση προσωπικού και η μισθοδοσία, η προσπέλαση/αναζήτηση πληροφοριών σε βάση δεδομένων επαφών που περιλαμβάνει δεδομένα προσωπικού χαρακτήρα, η αποστολή διαφημιστικών ηλεκτρονικών μηνυμάτων, η δημοσίευση/ανάρτηση φωτογραφίας ενός ατόμου σε ιστότοπο, η αποθήκευση διευθύνσεων IP και η μαγνητοσκόπηση με τηλεόραση κλειστού κυκλώματος.

6. Θα δει αλλαγές ο χρήστης στο Διαδίκτυο μετά τις 25 Μαΐου;

Όχι αισθητές. Μια αλλαγή για όσους ζουν στην ΕΕ, θα είναι ότι θα βλέπουν πια να τους «ακολουθούν» λιγότερες online διαφημίσεις μετά από κάποια ηλεκτρονική αγορά τους. Με τους νέους κανόνες, θα γίνει πιο δύσκολη η στοχευμένη ηλεκτρονική διαφήμιση που παίρνει «κατά πόδας» τον χρήστη από ιστοσελίδα σε ιστοσελίδα που επισκέπτεται, καθώς θα είναι πιο δύσκολο για τις εταιρείες να συλλέγουν και να πουλάνε πληροφορίες για τις διαδικτυακές συνήθειες των χρηστών, αφού πρώτα πάρουν την άδεια τους. Έτσι, η online διαφήμιση στην Ευρώπη θα τείνει να γίνει πιο γενική, όπως αυτή στην τηλεόραση, και όχι τόσο στοχευμένη όπως στις ΗΠΑ.

7. Ποια θα είναι τα νέα δικαιώματα των χρηστών;

Θα έχουν το δικαίωμα να λαμβάνουν σαφείς και κατανοητές πληροφορίες για το ποιός επεξεργάζεται τα προσωπικά δεδομένα τους και γιατί. Θα μπορούν να ζητούν από όλες τις εταιρείες να έχουν οι ίδιοι πρόσβαση και να μαθαίνουν ποιά ακριβώς στοιχεία οι εταιρείες διατηρούν γι’ αυτούς.

Θα έχουν επίσης το δικαίωμα στη «λήθη», δηλαδή, αν θέλουν, θα απαιτούν αυτά τα δεδομένα να διαγραφούν από τις βάσεις δεδομένων των εταιρειών. Αυτό δεν θα αφορά μόνο τις εταιρείες τεχνολογίας (π.χ. Facebook ή Google), αλλά τράπεζες, καταστήματα λιανεμπορίου και οποιαδήποτε άλλη εταιρεία ή οργανισμό κρατά προσωπικά δεδομένα, του εργοδότη συμπεριλαμβανομένου.

Για παράδειγμα, θα μπορεί κανείς, αν δεν είναι δημόσιο πρόσωπο, να ζητήσει από μία μηχανή αναζήτησης (π.χ. Google) να διαγράψει τους συνδέσμους (links), όπως ένα άρθρο εφημερίδας, που αναφέρονται σε μια προσωπική υπόθεση του παρελθόντος.

Αν, αντίστροφα, online προσωπικά δεδομένα χαθούν ή κλαπούν, η εταιρεία πρέπει μέσα σε 72 ώρες να ενημερώσει το άτομο και, αν δεν το κάνει, κινδυνεύει με πρόστιμο. Εάν κάποιος έχει υποστεί ζημία, μπορεί επίσης να ζητήσει αποζημίωση προσφεύγοντας στη δικαιοσύνη. Με δεδομένες τις συχνές κυβερνοεπιθέσεις χάκερ κατά εταιρειών, γίνεται αντιληπτή η σημασία αυτού του δικαιώματος.

Αν ο χρήστης-πολίτης υποψιάζεται ότι γίνεται κατάχρηση στη συλλογή δεδομένων που τον αφορούν, μπορεί να προσφύγει στην αρμόδια εθνική αρχή προστασίας προσωπικών δεδομένων, η οποία υποχρεούται να ερευνήσει το ζήτημα. Οι πολίτες μπορούν να προσφύγουν και ομαδικά εναντίον κάποιας εταιρείας, κάτι που έως τώρα ήταν ασυνήθιστο στην Ευρώπη, αντίθετα με τις ΗΠΑ.

Οργανώσεις πολιτών μπορούν να προσφύγουν για λογαριασμό ομάδων πολιτών. Αν μία υπόθεση κερδηθεί, αναμένεται να δημιουργηθεί νομικό προηγούμενο και για άλλες υποθέσεις, κάτι που θα αναγκάσει τις εταιρείες να πάρουν το ζήτημα της ιδιωτικότητας πιο σοβαρά.

Επίσης, δίνεται το δικαίωμα της «φορητότητας δεδομένων», δηλαδή δεν θα επιτρέπεται τα δεδομένα ενός προσώπου να «κλειδώνονται» σε μια εταιρεία ή πάροχο υπηρεσιών. Οι εταιρείες είναι υποχρεωμένες να επιτρέπουν στο χρήστη-καταναλωτή να «κατεβάζει» τα προσωπικά δεδομένα του και να τα μεταφέρει σε ανταγωνιστική εταιρεία, είτε πρόκειται για οικονομικά στοιχεία από τράπεζα σε τράπεζα, είτε για τη μεταφορά μιας playlist τραγουδιών από το Spotify σε ανταγωνιστική μουσική υπηρεσία streaming.

8. Οι χρήστες-καταναλωτές έχουν καταλάβει τι γίνεται;

Πολλοί όχι δυστυχώς. Ήδη αρκετές εταιρείες ενημερώνουν με e-mail και άλλους τρόπους τους χρήστες για τη νέα πολιτική τους σχετικά με τα προσωπικά δεδομένα, αλλά ο νόμος επιβάλλει οι όροι να είναι γραμμένοι απλά και όχι νομικίστικα, κάτι που συχνά δεν συμβαίνει. Επίσης οι εταιρείες πρέπει να δίνουν στον καθένα την επιλογή να μπλοκάρει τη συλλογή πληροφοριών που τον αφορούν. Όμως συχνά οι χρήστες συναινούν βιαστικά, χωρίς να καταλαβαίνουν και χωρίς να αξιοποιούν τις νέες δυνατότητες που έχουν.

9. Εκτός από τους χρήστες, οι εταιρείες έχουν κάτι να ωφεληθούν από τους νέους κανόνες;

Οι εταιρείες πλέον θα έχουν να κάνουν όχι με μια γραφειοκρατική πανσπερμία διαφορετικών εθνικών κανονισμών, αλλά με ενιαίους πανευρωπαϊκούς και προβλέψιμους κανόνες. Αυτό θα διευκολύνει, σύμφωνα με την Ευρωπαϊκή Επιτροπή, τις διεθνείς ψηφιακές συναλλαγές και την επέκταση σε άλλες χώρες και νέες αγορές, ιδίως όσον αφορά τις μικρότερες εταιρείες. Οι κανόνες θα είναι ίδιοι για τις εγκατεστημένες στην ΕΕ εταιρείες και για όσες έχουν έδρα εκτός ΕΕ (π.χ. ΗΠΑ), αλλά λειτουργούν στην ΕΕ. Η αύξηση της εμπιστοσύνης των καταναλωτών χάρη στους νέους κανόνες προστασίας των προσωπικών δεδομένων τελικά θα ωφελήσει οικονομικά τις εταιρείες.

10. Πόσο αποτελεσματικός θα είναι ο νέος Κανονισμός στην πράξη;

Είναι πολύ νωρίς να εκτιμήσει κανείς, ίσως χρειασθούν χρόνια. Πολλά θα εξαρτηθούν από το πόσο αυστηρά οι εθνικές εποπτικές αρχές θα εφαρμόσουν τους νέους κανόνες. Δυστυχώς, μια πρόσφατη έρευνα του πρακτορείου Ρόιτερς μεταξύ των ρυθμιστικών αρχών των χωρών της ΕΕ, κατέληξε στο συμπέρασμα ότι πολλοί από αυτούς τους ανεξάρτητους φορείς δεν είναι έτοιμοι ακόμη.

Οι 17 από τις 24 Αρχές που απάντησαν, δήλωσαν ότι είτε δεν έχουν την αναγκαία χρηματοδότηση, είτε επαρκές προσωπικό, είτε τις αναγκαίες εξουσίες για να εφαρμόσουν τους νέους κανόνες. Επιπλέον, σε αρκετές χώρες θα περάσουν μήνες, εωσότου οι κυβερνήσεις ενσωματώσουν το νέο ευρωπαϊκό κανονισμό στην εθνική νομοθεσία τους. Οι περισσότερες Αρχές θα ανταποκριθούν στα παράπονα των πολιτών, αλλά ελάχιστες θα δράσουν αυτόβουλα για να διασφαλίσουν ότι οι εταιρείες συμμορφώνονται με τους νέους κανόνες.

Έτσι, κρίσιμο ρόλο στην Ελλάδα και κάθε άλλη χώρα θα παίξει πόσο αποφασιστικά οι χρήστες-πολίτες θα διεκδικήσουν τα δικαιώματά τους και θα αξιοποιήσουν το νέο θεσμικό πλαίσιο. Τελικά, θα φανεί πόσο πράγματι νοιάζονται οι άνθρωποι για τα προσωπικά δεδομένα τους.

Πηγή: ΑΜΠΕ