Νόμος 4624/2019: προστασία προσωπικών δεδομένων και λειτουργία της Αρχής

preamble

NOMOΣ ΥΠ’ ΑΡΙΘΜ. 4624 Αρχή Προστασίας Δεδομένων Προσωπικού Χα- ρακτήρα, μέτρα εφαρμογής του Κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 για την προ- στασία των φυσικών προσώπων έναντι της επε- ξεργασίας δεδομένων προσωπικού χαρακτή- ρα και ενσωμάτωση στην εθνική νομοθεσία της Οδηγίας (ΕΕ) 2016/680 του Ευρωπαϊκού Κοινο- βουλίου και του Συμβουλίου της 27ης Απριλίου 2016 και άλλες διατάξεις. Ο ΠΡΟΕΔΡΟΣ ΤΗΣ ΕΛΛΗΝΙΚΗΣ ΔΗΜΟΚΡΑΤΙΑΣ Εκδίδομε τον ακόλουθο νόμο που ψήφισε η Βουλή:

ΚΕΦΑΛΑΙΟ Α΄

ΚΕΦΑΛΑΙΟ Α΄ ΓΕΝΙΚΕΣ ΔΙΑΤΑΞΕΙΣ

Άρθρο 1

Άρθρο 1 Σκοπός του νόμου Σκοπός του παρόντος νόμου είναι: α) η αντικατάσταση του νομοθετικού πλαισίου που ρυθμίζει τη συγκρότηση και λειτουργία της Αρχής Προ- στασίας Δεδομένων Προσωπικού Χαρακτήρα, β) η λήψη μέτρων εφαρμογής του Κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμ- βουλίου της 27ης Απριλίου 2016 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δε- δομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση

Άρθρο 2

Άρθρο 2 Ουσιαστικό πεδίο εφαρμογής Οι διατάξεις του παρόντος εφαρμόζονται στην, εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων Προσωπικού Χαρακτήρα, καθώς και στη μη αυτοματο- ποιημένη επεξεργασία τέτοιων δεδομένων, τα οποία πε- ριλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης από: α) δημόσιους φορείς ή β) ιδιωτικούς φορείς, εκτός και εάν η επεξεργασία πραγματοποιείται από φυσικό πρόσωπο στο πλαίσιο αποκλειστικά προσωπικής ή οικιακής δραστηριότητας.

Άρθρο 3

Άρθρο 3 Εδαφικό πεδίο εφαρμογής Οι διατάξεις του παρόντος εφαρμόζονται στους δη- μόσιους φορείς. Στους ιδιωτικούς φορείς εφαρμόζονται, εφόσον: α) ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξερ- γασία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα εντός της Ελληνικής Επικράτειας, β) τα δεδομένα προσωπικού χαρακτήρα υποβάλλο- νται σε επεξεργασία στο πλαίσιο των δραστηριοτήτων μιας εγκατάστασης του υπεύθυνου επεξεργασίας ή του εκτελούντος την επεξεργασία εντός της Ελληνικής Επι-

Άρθρο 4

Άρθρο 4 Ορισμοί Για τους σκοπούς του παρόντος νοούνται: α) «δημόσιος φορέας»: οι δημόσιες αρχές, οι ανε- ξάρτητες και ρυθμιστικές διοικητικές αρχές, τα νομικά πρόσωπα δημοσίου δικαίου, οι οργανισμοί τοπικής αυτοδιοίκησης πρώτου και δεύτερου βαθμού και τα νομικά πρόσωπα και οι επιχειρήσεις αυτών, οι κρατι- κές ή δημόσιες επιχειρήσεις και οργανισμοί, τα νομικά πρόσωπα ιδιωτικού δικαίου που ανήκουν στο κράτος ή επιχορηγούνται κατά 50% τουλάχιστον του ετήσιου προ- ϋπολογισμού τους ή η διοίκησή τους ορίζεται από αυτό,

Άρθρο 5

Άρθρο 5 Νομική βάση επεξεργασίας δεδομένων προσωπικού χαρακτήρα από δημόσιους φορείς Οι δημόσιοι φορείς επιτρέπεται να επεξεργάζονται δεδομένα προσωπικού χαρακτήρα, όταν η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκη- ση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας.

Άρθρο 6

Άρθρο 6 Ορισμός του υπεύθυνου προστασίας δεδομένων σε δημόσιους φορείς

παρ. 1

1. Οι δημόσιοι φορείς ορίζουν υπεύθυνο προστασίας δεδομένων (εφεξής: ΥΠΔ).

παρ. 2

2. Μπορεί να ορίζεται ένας μόνο ΥΠΔ για περισσότε- ρους δημόσιους φορείς, λαμβάνοντας υπόψη την οργα- νωτική δομή και το μέγεθός τους.

παρ. 3

3. Ο ΥΠΔ επιλέγεται βάσει επαγγελματικών προσόντων και, ιδίως βάσει των εξειδικευμένων γνώσεών του στο δίκαιο της προστασίας δεδομένων προσωπικού χαρα- κτήρα και των πρακτικών περί προστασίας δεδομένων προσωπικού χαρακτήρα, καθώς και βάσει των ικανοτή- των του να εκπληρώσει τα καθήκοντα του άρθρου 8.

παρ. 4

4. Ο ΥΠΔ μπορεί να είναι υπάλληλος του δημόσιου φορέα με οποιαδήποτε σχέση εργασίας ή να εκπληρώνει τα καθήκοντά του βάσει σύμβασης παροχής υπηρεσιών.

παρ. 5

5. Ο δημόσιος φορέας δημοσιοποιεί τα στοιχεία επικοι- νωνίας του ΥΠΔ και τα ανακοινώνει στην Αρχή, εκτός και εάν αυτό δεν επιτρέπεται για λόγους εθνικής ασφάλειας ή λόγω τήρησης του καθήκοντος εχεμύθειας (εμπιστευ- τικότητα), που προβλέπεται από τον νόμο.

Άρθρο 7

Άρθρο 7 Θέση του ΥΠΔ σε δημόσιους φορείς

παρ. 1

1. Ο δημόσιος φορέας διασφαλίζει ότι ο ΥΠΔ μετέχει δεόντως και έγκαιρα σε όλα τα ζητήματα σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα.

παρ. 2

2. Ο δημόσιος φορέας υποστηρίζει τον ΥΠΔ κατά την εκτέλεση των καθηκόντων που αναφέρονται στο άρθρο 8, παρέχοντάς του τους απαραίτητους πόρους για την εκτέλεση των καθηκόντων αυτών και την πρόσβαση σε δεδομένα προσωπικού χαρακτήρα, επεξεργασίας, και για τη διατήρηση των ειδικών γνώσεών του.

παρ. 3

3. Ο δημόσιος φορέας διασφαλίζει ότι ο ΥΠΔ δεν λαμ- βάνει εντολές κατά την άσκηση των καθηκόντων του, αναφέρεται απευθείας στο ανώτατο ιεραρχικά προϊστά- μενο όργανο του δημόσιου φορέα, δεν απολύεται ούτε υφίσταται κυρώσεις από τον υπεύθυνο επεξεργασίας επειδή επιτέλεσε τα καθήκοντά του.

παρ. 4

4. Η καταγγελία της σύμβασης εργασίας του ΥΠΔ ή η ανάκληση της ανάθεσης των καθηκόντων του, στην περίπτωση που αυτός είναι και υπάλληλος του δημόσιου φορέα, επιτρέπεται μόνον για σπουδαίο λόγο. Μετά τη λήξη της σύμβασης εργασίας του ως ΥΠΔ, δεν μπορεί να απολυθεί για ένα (1) έτος, εκτός εάν ο δημόσιος φορέ- ας έχει σπουδαίο λόγο να προβεί στην καταγγελία της σύμβασής του.

παρ. 5

5. Τα υποκείμενα των δεδομένων μπορούν να συμ- βουλεύονται τον ΥΠΔ για κάθε θέμα σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και την άσκηση των δικαιωμάτων τους βάσει του ΓΚΠΔ, του παρόντος και άλλης νομοθεσίας για την προστασία των δεδομένων προσωπικού χαρακτήρα. Ο ΥΠΔ είναι υποχρεωμένος να διατηρεί εμπιστευτικότητα ως προς την ταυτότητα των υποκειμένων των δεδομένων και σχετικά με τις περιστάσεις που επιτρέπουν την εξαγωγή συμπερασμάτων ως προς το υποκείμενο των δεδομένων, εκτός αν η ταυτότητα του υποκειμένου αποκαλύπτεται από αυτό.

παρ. 6

6. Εάν ο ΥΠΔ λάβει γνώση δεδομένων Προσωπικού Χαρακτήρα κατά την άσκηση του έργου του, για τα οποία ο επικεφαλής του δημόσιου φορέα έχει το δικαίωμα να αρνηθεί να καταθέσει ως μάρτυρας για επαγγελματικούς λόγους, το δικαίωμα αυτό ισχύει και για τον ΥΠΔ και τους βοηθούς του.

Άρθρο 8

Άρθρο 8 Καθήκοντα του ΥΠΔ σε δημόσιους φορείς

παρ. 1

1. Επιπλέον των καθηκόντων του σύμφωνα με τον ΓΚΠΔ, ο ΥΠΔ έχει τουλάχιστον τα ακόλουθα καθήκοντα: α) να ενημερώνει και συμβουλεύει τον δημόσιο φορέα και τους εργαζομένους που διενεργούν την επεξεργασία σχετικά με τις υποχρεώσεις τους σύμφωνα με τις δια- τάξεις του παρόντος και κάθε άλλη νομοθεσία για την προστασία δεδομένων προσωπικού χαρακτήρα· β) να παρακολουθεί την τήρηση των διατάξεων του παρόντος και κάθε άλλης νομοθεσίας για την προστασία δεδομένων προσωπικού χαρακτήρα, και των πολιτικών του δημόσιου φορέα σε σχέση με την προστασία των δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανο-

παρ. 2

2. Τα καθήκοντα του ΥΠΔ ο οποίος τυχόν ορίζεται από δικαστικές και εισαγγελικές αρχές δεν αφορούν τις πρά- ξεις επεξεργασίας που διενεργούνται από τις δικαστικές και εισαγγελικές αρχές στο πλαίσιο της δικαστικής λει- τουργίας και των δικαστικών τους καθηκόντων.

παρ. 3

3. Ο ΥΠΔ μπορεί να εκτελεί και άλλα καθήκοντα. Ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία διασφαλίζουν ότι η άσκηση των καθηκόντων αυτών δεν οδηγεί σε σύγκρουση συμφερόντων.

παρ. 4

4. Ο ΥΠΔ κατά την εκτέλεση των καθηκόντων του λαμ- βάνει δεόντως υπόψη τον κίνδυνο που συνδέεται με την επεξεργασία, τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας.

ΚΕΦΑΛΑΙΟ Β΄

ΚΕΦΑΛΑΙΟ Β΄ ΕΠΟΠΤΙΚΗ ΑΡΧΗ

Άρθρο 9

Άρθρο 9 Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα Η εποπτεία της εφαρμογής των διατάξεων του ΓΚΠΔ, του παρόντος και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου έναντι της επεξεργασίας δεδο- μένων προσωπικού χαρακτήρα στην Ελληνική Επικρά- τεια ασκείται από την Αρχή που έχει συσταθεί με τον ν. 2472/1997 (Α΄ 50). Η Αρχή αποτελεί ανεξάρτητη δημόσια αρχή κατά το άρθρο 9Α του Συντάγματος και εδρεύει στην Αθήνα.

Άρθρο 10

Άρθρο 10 Αρμοδιότητα

παρ. 1

1. Η Αρχή συνεργάζεται με τις εποπτικές αρχές κρα- τών - μελών της Ευρωπαϊκής Ένωσης και με την Ευρω- παϊκή Επιτροπή.

παρ. 2

2. H Αρχή εκπροσωπεί την Ελλάδα στο Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (the ΄Board΄, εφεξής: ΕΣΠΔ) και σε άλλες επιτροπές ή όργανα με αντικείμε- νο την προστασία δεδομένων προσωπικού χαρακτήρα στα οποία προβλέπεται η συμμετοχή εθνικής εποπτικής αρχής.

παρ. 3

3. Η Αρχή συνεργάζεται με αντίστοιχες αρχές τρίτων χωρών και διεθνείς οργανισμούς για την εκπλήρωση των σκοπών του άρθρου 50 του ΓΚΠΔ.

παρ. 4

4. Στις περιπτώσεις που σε διεθνείς ή διακρατικές συμβάσεις ή στο δίκαιο της Ευρωπαϊκής Ένωσης ή στην εθνική νομοθεσία προβλέπεται ανεξάρτητος έλεγχος ή εποπτεία, η Αρχή ασκεί τις αντίστοιχες αρμοδιότητες και εξουσίες.

παρ. 5

5. Η Αρχή δεν είναι αρμόδια να ελέγχει πράξεις επε- ξεργασίας δεδομένων προσωπικού χαρακτήρα που διε- νεργούνται από τις δικαστικές και εισαγγελικές αρχές στο πλαίσιο της δικαστικής λειτουργίας και των δικαστικών τους καθηκόντων, καθώς και πράξεις επεξεργασίας δια- βαθμισμένων δεδομένων προσωπικού χαρακτήρα που διενεργούνται για τις δραστηριότητες που αφορούν την εθνική ασφάλεια.

Άρθρο 11

Άρθρο 11 Λειτουργική Ανεξαρτησία

παρ. 1

1. Η Αρχή συγκροτείται από τον Πρόεδρο και έξι (6) μέλη, οι οποίοι ορίζονται με αντίστοιχους αναπληρωτές. Η θητεία τους είναι εξαετής και δεν μπορεί να ανανεωθεί.

παρ. 2

2. Ως μέλη, τακτικά και αναπληρωματικά, επιλέγονται πρόσωπα εγνωσμένου κύρους, τα οποία διακρίνονται για την επιστημονική τους κατάρτιση και την επαγγελ- ματική τους εμπειρία σε τομείς που έχουν σχέση με την αποστολή και τις αρμοδιότητες της Αρχής. Προϋπόθε- ση επιλογής σε θέση μέλους της Αρχής είναι η ελληνική ιθαγένεια.

παρ. 3

3. Η επιλογή και ο διορισμός του Προέδρου, των μελών της Αρχής και των αναπληρωτών τους ενεργείται κατά τα οριζόμενα στο άρθρο 101Α του Συντάγματος.

παρ. 4

4. Τα μέλη της Αρχής είναι ανώτατοι κρατικοί λειτουρ- γοί. Aπολαύουν προσωπικής και λειτουργικής ανεξαρτη- σίας και δεν υπόκεινται σε ιεραρχικό έλεγχο ή διοικητικό έλεγχο. Ασκούν τα καθήκοντα και τις εξουσίες τους χωρίς εξωτερικές επιρροές, είτε άμεσες είτε έμμεσες, και δεν ζητούν ούτε λαμβάνουν οδηγίες από κανέναν.

παρ. 5

5. Ο Πρόεδρος και ο Αναπληρωτής Πρόεδρος έχουν αποκλειστική απασχόληση στην Αρχή. Η ιδιότητά τους αυτή συνεπάγεται την αναστολή οποιουδήποτε δημόσι- ου λειτουργήματος και επαγγελματικής δραστηριότητας.

παρ. 6

6. Τα μέλη της Αρχής δεν υπέχουν αστική ευθύνη έναντι οποιουδήποτε τρίτου για πράξεις ή παραλείψεις τους κατά την άσκηση των καθηκόντων τους. Δεν απαλ- λάσσονται από την ευθύνη τους έναντι του Ελληνικού Δημοσίου για πράξεις ή παραλείψεις από δόλο ή βαρεία αμέλεια. Τα μέλη της Αρχής δεν διώκονται για την έκφρα- ση γνώμης και για πράξη ή παράλειψη που τέλεσαν κατά την άσκηση των καθηκόντων τους, εκτός αν ενήργησαν με δόλο ή βαρεία αμέλεια. Η Αρχή μπορεί να αναλάβει τη δαπάνη για τη δικαστική υπεράσπιση των μελών της σε περίπτωση άσκησης εναντίον τους αγωγής ή άσκησης σε βάρος τους ποινικής δίωξης για πράξεις ή παραλεί- ψεις που ανάγονται αποκλειστικά στην εκτέλεση των υπηρεσιακών καθηκόντων τους.

Άρθρο 12

Άρθρο 12 Κωλύματα – ασυμβίβαστα μελών της Αρχής

παρ. 1

1. Δεν επιτρέπεται να διοριστεί Πρόεδρος, Αναπλη- ρωτής Πρόεδρος ή μέλος της Αρχής: α) υπουργός, υφυ- πουργός, γενικός ή ειδικός γραμματέας υπουργείου ή αυ- τοτελούς γενικής ή ειδικής γραμματείας και βουλευτής, και β) όποιος είναι διευθυντικό στέλεχος ή μέλος οργά- νου διοίκησης επιχείρησης, η οποία παρέχει υπηρεσίες σχετικές με την επεξεργασία δεδομένων προσωπικού χαρακτήρα ή συνδέεται με σύμβαση έργου αντίστοιχου περιεχομένου.

παρ. 2

2. Είναι ασυμβίβαστη με την ιδιότητα του μέλους της Αρχής οποιαδήποτε επαγγελματική ή άλλη δραστηριό- τητα, η οποία σχετίζεται με τις αρμοδιότητες της Αρχής, με εξαίρεση την επιστημονική και ερευνητική δραστη- ριότητα. Μέλη της Αρχής δεν επιτρέπεται να παρίστα- νται ενώπιον της Αρχής για δύο (2) έτη μετά τη λήξη της θητείας τους.

παρ. 3

3. Στα μέλη της Αρχής επιτρέπεται η άσκηση καθηκό- ντων διδακτικού προσωπικού Α.Ε.Ι. με καθεστώς πλή- ρους ή μερικής απασχόλησης.

παρ. 4

4. Εκπίπτει αυτοδικαίως από την ιδιότητα του Προέ- δρου, του Αναπληρωτή Προέδρου ή μέλους της Αρχής όποιος, μετά τον διορισμό του: α) Αποκτά μία από τις ιδιότητες που συνιστούν κώλυμα διορισμού, σύμφωνα με την παράγραφο 1. β) Προβαίνει σε πράξεις ή αναλαμβάνει οποιαδήποτε εργασία ή έργο ή αποκτά άλλη ιδιότητα που, κατά την κρίση της Αρχής, δεν συμβιβάζονται με τα καθήκοντά του ως μέλους της Αρχής.

παρ. 5

5. Στη διαπίστωση των ασυμβίβαστων της προηγού- μενης παραγράφου προβαίνει η Αρχή, χωρίς συμμετοχή του μέλους της, στο πρόσωπο του οποίου ενδέχεται να συντρέχει το ασυμβίβαστο. Η Αρχή αποφασίζει ύστερα από ακρόαση του εν λόγω μέλους. Τη διαδικασία κινεί είτε ο Πρόεδρος της Αρχής, είτε ο Πρόεδρος της Βουλής.

Άρθρο 13

Άρθρο 13 Καθήκοντα της Αρχής

παρ. 1

1. Επιπλέον των καθηκόντων της δυνάμει του άρθρου 57 του ΓΚΠΔ, η Αρχή: α) είναι αρμόδια για την παρακολούθηση και την εφαρ- μογή του παρόντος και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου έναντι της επεξεργασίας δε- δομένων προσωπικού χαρακτήρα, β) προωθεί με πρόσφορο τρόπο την ευαισθητοποί- εγγυήσεων και των δικαιωμάτων που σχετίζονται με την επεξεργασία δεδομένων προσωπικού χαρακτήρα, γ) παρέχει γνώμη για κάθε ρύθμιση που πρόκειται να περιληφθεί σε νόμο ή σε κανονιστική πράξη, η οποία αφορά επεξεργασία δεδομένων προσωπικού χαρακτή-

παρ. 2

2. Κατά την άσκηση των αρμοδιοτήτων της η Αρχή θέτει στο αρχείο αιτήσεις, ερωτήματα ή καταγγελίες που κρίνονται προδήλως αόριστα, αβάσιμα ή υποβάλ- λονται καταχρηστικώς ή ανωνύμως. Η Αρχή ενημερώνει τα υποκείμενα των δεδομένων και τους αιτούντες για τις ενέργειές της. Με την επιφύλαξη των προθεσμιών που ορίζονται στον ΓΚΠΔ, η προτεραιότητα εξέτασης των αιτήσεων, ερωτημάτων και καταγγελιών εκτιμάται από την Αρχή με κριτήριο τη σπουδαιότητα και το γενικότερο ενδιαφέρον του θέματος.

Άρθρο 14

Άρθρο 14 Έκθεση δραστηριότητας Η Αρχή συντάσσει κάθε χρόνο έκθεση για την εκτέλε- ση της αποστολής της κατά το προηγούμενο ημερολογι- ακό έτος. Η έκθεση υποβάλλεται από τον Πρόεδρο της Αρχής στον Πρόεδρο της Βουλής και τον Πρωθυπουργό ευθύνη της Αρχής, η οποία μπορεί να δώσει και άλλου είδους δημοσιότητα στην έκθεση.

Άρθρο 15

Άρθρο 15 Ερευνητικές και διορθωτικές εξουσίες

παρ. 1

1. Εκτός των προβλεπομένων στο άρθρο 58 του ΓΚΠΔ εξουσιών, η Αρχή διενεργεί αυτεπαγγέλτως ή κατόπιν καταγγελίας έρευνες και ελέγχους ως προς τη συμμόρ- φωση με τον παρόντα νόμο στο πλαίσιο των οποίων ελέγχονται η τεχνολογική υποδομή και άλλα, αυτομα- τοποιημένα ή μη μέσα, που υποστηρίζουν την επεξερ- γασία των δεδομένων προσωπικού χαρακτήρα. Κατά τη διενέργεια των ερευνών και ελέγχων η Αρχή έχει την εξουσία να αποκτά από τον υπεύθυνο επεξεργασίας και τον εκτελούντα την επεξεργασία, πρόσβαση σε όλα τα δεδομένα προσωπικού χαρακτήρα που αποτελούν αντικείμενο επεξεργασίας και όλες τις πληροφορίες που

παρ. 2

2. Οι έλεγχοι διενεργούνται από μέλος ή μέλη της Αρχής ή υπαλλήλους του τμήματος ειδικού επιστημονι- κού προσωπικού της Γραμματείας, ειδικά εντεταλμένους προς τούτο από τον Πρόεδρο της Αρχής. Ο Πρόεδρος και τα μέλη της Αρχής, καθώς και οι ειδικά εντεταλμέ- νοι υπάλληλοι της Γραμματείας, είναι ειδικοί ανακριτικοί υπάλληλοι και έχουν όλα τα δικαιώματα που προβλέπει σχετικά ο Κώδικας Ποινικής Δικονομίας. Μπορούν να διενεργούν προανάκριση και χωρίς εισαγγελική πα- ραγγελία, όταν πρόκειται για αυτόφωρο κακούργημα ή πλημμέλημα ή υπάρχει κίνδυνος από την αναβολή. Οι δημόσιες αρχές παρέχουν τη συνδρομή τους στην Αρχή για τη διενέργεια του ελέγχου.

παρ. 3

3. Ο Πρόεδρος της Αρχής δύναται να απονέμει εξουσία διενέργειας ελέγχων σε μέλη και υπαλλήλους εποπτικής αρχής άλλου κράτους - μέλους της Ευρωπαϊκής Ένωσης («εποπτική αρχή απόσπασης») στο πλαίσιο κοινών επι- χειρήσεων που διενεργούνται δυνάμει του άρθρου 62 του ΓΚΠΔ και του άρθρου 79 του παρόντος.

παρ. 4

4. Η Αρχή για τις ανάγκες του παρόντος: α) απευθύνει προειδοποιήσεις στον υπεύθυνο επε- ξεργασίας ή στον εκτελούντα την επεξεργασία ότι οι σκοπούμενες πράξεις επεξεργασίας είναι πιθανόν να παραβιάζουν τις διατάξεις του παρόντος· β) δίνει εντολή στον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία να συμμορφωθεί με συγκε- κριμένο τρόπο και εντός ορισμένης προθεσμίας με τις διατάξεις του παρόντος, ιδίως μέσω εντολής διόρθωσης ή διαγραφής δεδομένων προσωπικού χαρακτήρα· γ) δίνει εντολή και επιβάλλει προσωρινό ή οριστικό περιορισμό ή και απαγόρευση της επεξεργασίας δεδο-

παρ. 5

5. Εκτός των προβλεπομένων στο άρθρο 58 παράγρα- φος 2 του ΓΚΠΔ διορθωτικών εξουσιών, η Αρχή δίνει εντολή στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία ή σε αποδέκτη ή σε τρίτον να διακόψει την επεξεργασία δεδομένων προσωπικού χαρακτήρα ή να προβεί σε επιστροφή ή κλείδωμα (δέσμευση) των σχετικών δεδομένων ή να προβεί στην καταστροφή συ- στήματος αρχειοθέτησης ή σχετικών δεδομένων.

παρ. 6

6. Η Αρχή επιβάλλει τις διοικητικές κυρώσεις που προ- βλέπονται στο άρθρο 83 του ΓΚΠΔ και στο άρθρο 39 του παρόντος.

παρ. 7

7. Η Αρχή επιβάλλει τις διοικητικές κυρώσεις το άρ- θρου 82.

παρ. 8

8. Όταν η προστασία του ατόμου έναντι της επεξερ- γασίας δεδομένων προσωπικοί χαρακτήρα που το αφο- ρούν επιβάλλει την άμεση λήψη απόφασης, ο Πρόεδρος μπορεί, ύστερα από αίτηση του ενδιαφερομένου ή και αυτεπαγγέλτως, να εκδώσει προσωρινή διαταγή για άμε- σο ολικό ή μερικό, προσωρινό περιορισμό της επεξερ- γασίας ή της λειτουργίας του αρχείου. Η διαταγή ισχύει μέχρι την έκδοση της οριστικής απόφασής της Αρχής.

παρ. 9

9. Για την εξασφάλιση της συμμόρφωσης με τις δια- τάξεις του ΓΚΠΔ, του παρόντος και άλλων ρυθμίσεων που αφορούν την προστασία του υποκειμένου έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, η Αρχή, με την επιφύλαξη του Κεφαλαίου VII του ΓΚΠΔ, εκδίδει κανονιστικές διοικητικές πράξεις για τη ρύθμι- ση ειδικών, τεχνικών και λεπτομερειακών θεμάτων, στα οποία αυτές αναφέρονται.

παρ. 10

10. Οι κανονιστικές πράξεις της Αρχής, για τις οποί- ες δεν προβλέπεται δημοσίευσή τους στην Εφημερίδα Αρχής.

Άρθρο 16

Άρθρο 16 Υποχρεώσεις και δικαιώματα μελών της Αρχής

παρ. 1

1. Κατά την άσκηση των καθηκόντων τους ο Πρόεδρος και τα μέλη της Αρχής υπακούουν στη συνείδησή τους και τον νόμο και υπόκεινται στο καθήκον εχεμύθειας. Ως μάρτυρες ή πραγματογνώμονες μπορούν να καταθέ- τουν στοιχεία που αφορούν αποκλειστικά και μόνο την τήρηση των διατάξεων του ΓΚΠΔ και του παρόντος. Το καθήκον εχεμύθειας υφίσταται και μετά την με οποιον- δήποτε τρόπο αποχώρηση του Προέδρου και των μελών της Αρχής.

παρ. 2

2. Για χρονικό διάστημα δύο (2) ετών από τη λήξη της θητείας τους, εφόσον συμμετείχαν με οποιονδήποτε τρόπο στον σχετικό έλεγχο ο Πρόεδρος και τα μέλη της Αρχής δεν επιτρέπεται να είναι εταίροι, μέτοχοι, μέλη διοικητικού συμβουλίου, τεχνικοί ή άλλοι σύμβουλοι ή να απασχολούνται με ή χωρίς αμοιβή με έμμισθη εντολή ή με οποιαδήποτε έννομη σχέση, σε εταιρεία ή επιχείρη- ση, των οποίων οι δραστηριότητες υπήχθησαν, άμεσα ή έμμεσα, στον έλεγχο της Αρχής κατά τη διάρκεια της θητείας τους. Η ίδια απαγόρευση ισχύει και για την πε- ρίπτωση όσων υποβάλλουν καταγγελίες.

παρ. 3

3. Ως προς την πειθαρχική ευθύνη του Προέδρου και των μελών της Αρχής εφαρμόζεται η παράγραφος 3 του άρθρου 18 του ν. 2472/1997.

παρ. 4

4. Πρόεδρος ή μέλος της Αρχής που, κατά παράβαση του παρόντος νόμου, γνωστοποιεί με οποιονδήποτε τρό- πο δεδομένα προσωπικού χαρακτήρα που είναι προσιτά σε αυτούς λόγω της υπηρεσίας τους ή αφήνει άλλον να λάβει γνώση αυτών, τιμωρείται με φυλάκιση μέχρι δύο (2) ετών και με χρηματική ποινή. Αν όμως τέλεσε την πράξη με σκοπό να προσπορίσει στον εαυτό του ή σε άλλον αθέμιτο όφελος ή να βλάψει άλλον, τιμωρείται με φυλάκιση τουλάχιστον (2) ετών και με χρηματική ποινή.

Άρθρο 17

Άρθρο 17 Λειτουργία της Αρχής

παρ. 1

1. Η Αρχή δύναται να λειτουργεί και ως μονοπρόσωπο όργανο (Πρόεδρος) ή και να συνεδριάζει σε τμήματα, συντιθέμενα από τρία (3) τουλάχιστον τακτικά ή αναπλη- ρωματικά μέλη και προεδρευόμενα από τον Πρόεδρο της Αρχής ή τον αναπληρωτή του. Στις συνεδριάσεις και στις διασκέψεις της Ολομέλειας και των Τμημάτων επι- τρέπεται να παρίστανται για τις υποθέσεις, στις οποίες έχουν οριστεί βοηθοί εισηγητές, υπάλληλοι του Κλάδου Ελεγκτών.

παρ. 2

2. Η Αρχή καταρτίζει κανονισμό λειτουργίας με τον οποίο ρυθμίζεται ιδίως η λειτουργία της σε ολομέλεια και τμήματα, η κατανομή των αρμοδιοτήτων μεταξύ ολομέλειας και τμημάτων, οι αρμοδιότητες του μονο- πρόσωπου οργάνου, και η διαδικασία ανάθεσης από τον Πρόεδρο στον Αναπληρωτή Πρόεδρο και σε μέλη, τακτικά και αναπληρωματικά, των αρμοδιοτήτων αυ- τών, η διαδικασία σύγκλησης, συνεδρίασης και λήψης απόφασης, η προηγούμενη ακρόαση των ενδιαφερο- μένων, η διαδικασία επεξεργασίας και διεκπεραίωσης των υποθέσεων, ο τρόπος διεξαγωγής των ελέγχων και θέματα πειθαρχικής διαδικασίας. Ο κανονισμός λειτουρ-

παρ. 3

3. Με απόφαση της Ολομέλειας της Αρχής εγκρίνεται κώδικας δεοντολογίας των μελών και του προσωπικού της.

παρ. 4

4. Η Αρχή δύναται να συνάπτει μνημόνια συνεργασίας με ανώτατα εκπαιδευτικά ιδρύματα, άλλους δημόσιους φορείς και Ο.Τ.Α. με σκοπό την αμοιβαία ανταλλαγή πληροφοριών και την αμοιβαία συνδρομή για θέματα αρμοδιότητάς της. Η αμοιβαία συνδρομή περιλαμβάνει ιδίως την ενημέρωση και την πραγματοποίηση ερευνών και μελετών, τη συνδρομή σε έρευνες και ελέγχους, και τη διενέργεια αυτοψιών με βάση ερωτήματα που κα- ταρτίζει η Αρχή.

παρ. 5

5. Είναι δυνατή η πραγματοποίηση στην Αρχή αμει- βόμενης πρακτικής άσκησης φοιτητών και αποφοίτων ανώτατων σχολών, των οποίων το περιεχόμενο σπουδών είναι σχετικό με τις αρμοδιότητες της Αρχής. Με από- φαση της Αρχής καθορίζονται οι όροι και οι προϋποθέ- σεις επιλογής των ασκουμένων, πραγματοποίησης της άσκησης και ορίζονται οι όροι και το ύψος της αμοιβής, η οποία βαρύνει τον προϋπολογισμό της Αρχής.

Άρθρο 18

Άρθρο 18 Γραμματεία της Αρχής

παρ. 1

1. Το προσωπικό της Αρχής διορίζεται με σχέση δη- μοσίου ή ιδιωτικού δικαίου αορίστου χρόνου σε θέσεις που προβλέπονται στον Οργανισμό της και επιλέγεται σύμφωνα με τα οριζόμενα στο άρθρο 4 παράγραφος 1 του ν. 3051/2002 (Α΄ 220).

παρ. 2

2. Υπάλληλοι του Κλάδου Ελεγκτών δεν επιτρέπεται να παρίστανται ενώπιον της Αρχής επί δύο (2) έτη μετά τη λύση της υπηρεσιακής τους σχέσης με την Αρχή.

παρ. 3

3. Με προεδρικό διάταγμα που εκδίδεται με πρόταση του Υπουργού Δικαιοσύνης και του Υπουργού Εσωτε- ρικών, ύστερα από γνώμη της Αρχής, εγκρίνεται ο Ορ- γανισμός της, με τον οποίο καθορίζονται το επίπεδο λειτουργίας της Γραμματείας, η διάρθρωση των οργα- νικών μονάδων σε Διευθύνσεις, Τμήματα και Γραφεία, τα προσόντα του προσωπικού, ο αριθμός των θέσεων του προσωπικού, η κατανομή αυτών σε Κλάδους και Ει- δικότητες, η σύσταση νέων θέσεων και κάθε άλλο σχε- τικό ζήτημα. Με τον Οργανισμό επίσης καθορίζονται οι προϋποθέσεις, τα όργανα και η διαδικασία επιλογής του Προϊσταμένου Γραμματείας και των προϊσταμένων

παρ. 4

4. Με την επιφύλαξη των ειδικών ρυθμίσεων του παρό- ντος, του Οργανισμού της Αρχής και του Κανονισμού Λει- τουργίας της, η υπηρεσιακή κατάσταση του προσωπικού της Αρχής, διέπεται από τα οριζόμενα στις παραγράφους 2 έως και 7 του άρθρου 4 του ν. 3051/2002, όπως ισχύ- ει, ανεξαρτήτως κατηγορίας, κλάδου και επιστημονικής ειδίκευσης.

παρ. 5

5. Στο προσωπικό της Αρχής εφαρμόζεται αναλόγως η παράγραφος 6 του άρθρου 11.

παρ. 6

6. Για την κάλυψη έκτακτων υπηρεσιακών αναγκών της Γραμματείας της Αρχής, επιτρέπεται η διενέργεια αποσπάσεων μόνιμων ή με σύμβαση εργασίας ιδιωτικού δικαίου αορίστου χρόνου υπαλλήλων από φορείς της Κεντρικής Διοίκησης, όπως ορίζεται στην περίπτωση στ΄ της παραγράφου 1 του άρθρου 14 του ν. 4270/2014 (Α΄ 143), κατά παρέκκλιση των κείμενων διατάξεων. Η διάρκεια των αποσπάσεων ανέρχεται σε ένα (1) έτος με δυνατότητα ισόχρονης ανανέωσης για μία (1) φορά. Η απόσπαση διενεργείται με κοινή απόφαση του κατά περίπτωση αρμόδιου Υπουργού και του Προέδρου της Αρχής, χωρίς να απαιτείται γνώμη των οικείων Υπηρεσι-

παρ. 7

7. Είναι δυνατή η απόσπαση προσωπικού της Γραμμα- τείας για διάστημα έως έξι (6) μηνών, με απόφαση της Αρχής, σε εποπτικές αρχές κρατών - μελών ή της ΜΕΑ ή αρχών τρίτων χωρών ή διεθνών οργανισμών με εφαρ- μογή των διατάξεων που ισχύουν για τις αποσπάσεις σε όργανα της Ε.Ε.. Επίσης, είναι δυνατή η υποδοχή από την Αρχή προσωπικού ομόλογων αρχών ως αποσπασμένων για διάστημα έως έξι (6) μηνών.

παρ. 8

8. Οι οργανικές θέσεις πανεπιστημιακής εκπαίδευσης (ΠΕ) του κλάδου επικοινωνίας της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα μετατρέπονται σε αντίστοιχες θέσεις ειδικού επιστημονικού προσωπικού με σχέση ιδιωτικού δικαίου αορίστου χρόνου. Οι ήδη υπηρετούντες, οι οποίοι κατέχουν τα απαιτούμενα κατά το π.δ. 50/2001 (Α΄39) «Καθορισμός των προσόντων διο- ρισμού σε θέσεις φορέων του δημοσίου τομέα» και την εν γένει νομοθεσία τυπικά προσόντα για την πλήρωση θέσης ειδικού επιστημονικού προσωπικού με σχέση ερ- γασίας ιδιωτικού δικαίου, δηλώνουν εντός μηνός από την έναρξη ισχύος του παρόντος νόμου εάν αποδέχο-

Άρθρο 19

Άρθρο 19 Προϋπολογισμός και Οικονομική Διαχείριση

παρ. 1

1. Η Αρχή καταρτίζει δικό της προϋπολογισμό που συντάσσεται με ευθύνη του Προέδρου της. Κατά την εκτέλεση του προϋπολογισμού της διαθέτει πλήρη αυ- τοτέλεια και δεν απαιτείται σύμπραξη άλλου οργάνου. Διατάκτης είναι ο Πρόεδρος της Αρχής.

παρ. 2

2. Ο προϋπολογισμός καταρτίζεται σε ετήσια βάση και υποβάλλεται απευθείας στο Γενικό Λογιστήριο του Κράτους, σύμφωνα με τη διαδικασία που προβλέπεται στο Δημόσιο Λογιστικό.

παρ. 3

3. Η εκτέλεση του προϋπολογισμού της Αρχής ανήκει αποκλειστικά σε αυτήν, στο πλαίσιο της πλήρους αυτο- τέλειάς της. Επιτρέπεται η μεταφορά πιστώσεων από έναν λογαριασμό σε άλλον και μεταξύ διαφορετικών μειζόνων κατηγοριών, σύμφωνα με τις ανάγκες της Αρ- χής, με απόφαση του Υπουργού Οικονομικών εφόσον δεν τροποποιείται το συνολικό ύψος του προϋπολογι- σμού που έχει αρχικώς εγκριθεί από τη Βουλή. Οι δαπά- νες της Αρχής διενεργούνται σύμφωνα με τις εκάστοτε ισχύουσες διατάξεις της ανάληψης υποχρεώσεων από τους διατάκτες, καθώς και του δημοσίου λογιστικού. Η μεταφορά πιστώσεων γίνεται με απόφαση της Αρχής και κοινοποιείται στο Γενικό Λογιστήριο του Κράτους.

παρ. 4

4. Ο προϋπολογισμός της Αρχής μπορεί να τροποποι- είται με απόφαση του Υπουργού Οικονομικών, κατόπιν εισήγησης της Αρχής, που υποβάλλεται στο Γενικό Λο- γιστήριο του Κράτους.

παρ. 5

5. Η Αρχή μπορεί να μετέχει σε εθνικά, ευρωπαϊκά ή συγχρηματοδοτούμενα ερευνητικά ή άλλα προγράμμα- τα. Για τον σκοπό αυτόν η Αρχή, με απόφαση του Προέ- δρου της, μπορεί να ανοίγει απλό τραπεζικό λογαριασμό υπό την ομάδα λογαριασμών 260 – Ταμειακή Διαχείριση στην Τράπεζα της Ελλάδος, στον οποίο θα μεταφέρονται οι πιστώσεις από τα προγράμματα αυτά και από άλλους πόρους από την άσκηση των αρμοδιοτήτων της που προβλέπονται από τον ΓΚΠΔ ή τον νόμο. Η διαχείριση και ο έλεγχος του ανωτέρω ειδικού λογαριασμού ρυθμί- ζονται από τον ειδικό κανονισμό του άρθρου 2 παράγρα- φος 3 του ν. 3051/2002. Η Αρχή έχει πλήρη αυτοτέλεια στη διαχείριση του λογαριασμού αυτού. Τα έσοδα της Αρχής αποτελούν έσοδα του Κρατικού Προϋπολογισμού.

παρ. 6

6. Για τη συμμετοχή των μελών και του προσωπικού της Αρχής σε συλλογικά όργανα που συγκροτούνται στο πλαίσιο πραγματοποίησης έργων χρηματοδοτούμενων από Ευρωπαϊκά Διαρθρωτικά και Επενδυτικά Ταμεία ή από το Πρόγραμμα Δημοσίων Επενδύσεων, εφαρμόζο- νται αναλόγως οι διατάξεις των παραγράφων 2, 3 και 5 του άρθρου 21 του ν. 4354/2015 (Α΄ 176), υπό την προ- ϋπόθεση ότι οι σχετικές δαπάνες βαρύνουν τις ως άνω πηγές χρηματοδότησης και δεν προκαλούν επιβάρυνση στον Κρατικό Προϋπολογισμό.

παρ. 7

7. Η άσκηση του οικονομικού ελέγχου της Αρχής διε- ξάγεται με τρόπο που να μην παρεμποδίζει τη λειτουργία της και να μην επηρεάζει την ανεξαρτησία της.

Άρθρο 20

Άρθρο 20 Δικαστική προστασία κατά της Αρχής

παρ. 1

1. Οι κανονιστικές αποφάσεις και οι ατομικές διοικη- τικές πράξεις της Αρχής, συμπεριλαμβανομένων των αποφάσεων με τις οποίες επιβάλλονται κυρώσεις, προ- σβάλλονται με αίτηση ακυρώσεως ενώπιον του Συμβου- λίου της Επικρατείας.

παρ. 2

2. Η προθεσμία για την άσκηση της αίτησης ακυρώσε- ως δεν αναστέλλει την εκτέλεση της προσβαλλόμενης πράξης. Το δικαστήριο μπορεί, μετά από αίτηση του αι- τούντος, να αναστείλει εν όλω ή εν μέρει την εκτέλεση της πράξης, κατά τις ισχύουσες διατάξεις.

παρ. 3

3. Αίτηση ακυρώσεως κατά των αποφάσεων και πράξε- ων της Αρχής μπορεί να ασκεί και ο αρμόδιος Υπουργός.

παρ. 4

4. Η Αρχή εκπροσωπείται δικαστικώς και εξωδίκως από τον Πρόεδρό της. Η Αρχή παρίσταται αυτοτελώς σε κάθε είδους δίκες με μέλη της που έχουν την ιδιότητα του δικηγόρου ή με τη νομική της υπηρεσία, εφόσον συσταθεί. Η νομική υπηρεσία της Αρχής στελεχώνεται με δικηγόρους με σχέση έμμισθης εντολής, οι οποίοι προσλαμβάνονται σύμφωνα με τις διατάξεις του Κώδι- κα Δικηγόρων. Η Αρχή μπορεί να εκπροσωπείται κατά περίπτωση και από δικηγόρους, εξειδικευμένους στο αντικείμενό τους, με αιτιολογημένη απόφαση με την οποία παρέχεται η σχετική πληρεξουσιότητα.

ΚΕΦΑΛΑΙΟ Γ΄

ΚΕΦΑΛΑΙΟ Γ΄ ΣΥΜΠΛΗΡΩΜΑΤΙΚΑ ΜΕΤΡΑ ΕΦΑΡΜΟΓΗΣ ΤΟΥ ΓΚΠΔ ΓΙΑ ΤΗΝ ΕΠΕΞΕΡΓΑΣΙΑ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ

Άρθρο 21

Άρθρο 21 Συγκατάθεση ανηλίκου

παρ. 1

1. Όταν εφαρμόζεται το άρθρο 6 παράγραφος 1 στοι- χείο α) του ΓΚΠΔ, η επεξεργασία δεδομένων προσωπικού χαρακτήρα ανηλίκου, κατά την προσφορά υπηρεσιών της κοινωνίας των πληροφοριών απευθείας σε αυτόν, είναι σύννομη, εφόσον ο ανήλικος έχει συμπληρώσει το 15ο έτος της ηλικίας του και παρέχει τη συγκατάθεσή του.

παρ. 2

2. Εάν ο ανήλικος είναι κάτω των 15 ετών η επεξερ- γασία της παραγράφου 1 είναι σύννομη μόνο μετά την παροχή συγκατάθεσης του νομίμου αντιπροσώπου του.

Άρθρο 22

Άρθρο 22 Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα

παρ. 1

1. Κατά παρέκκλιση από το άρθρο 9 παράγραφος 1 του ΓΚΠΔ η επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα με την έννοια του άρθρου 9 παράγραφος 1 του ΓΚΠΔ από δημόσιους και ιδιωτικούς φορείς επιτρέπεται, εφόσον είναι απαραίτητη: α) για την άσκηση δικαιωμάτων που απορρέουν από το δικαίωμα κοινωνικής ασφάλισης και κοινωνικής προ- στασίας και για την εκπλήρωση των συναφών υποχρε- ώσεων· β) για λόγους προληπτικής ιατρικής, για την εκτίμη- ση της ικανότητας προς εργασία του εργαζομένου, για ιατρική διάγνωση, για την παροχή υγείας ή κοινωνικής

παρ. 2

2. Κατά παρέκκλιση από το άρθρο 9 παράγραφος 1 του ΓΚΠΔ η επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα με την έννοια του άρθρου 9 παράγραφος 1 του ΓΚΠΔ από δημόσιους φορείς επιτρέ- πεται, εφόσον είναι: α) απολύτως απαραίτητη για λόγους ουσιώδους δη- μοσίου συμφέροντος· β) απαραίτητη για την αποτροπή σημαντικής απειλής για την εθνική ασφάλεια ή τη δημόσια ασφάλεια· ή γ) είναι απαραίτητη για τη λήψη ανθρωπιστικών μέ- τρων, και στις περιπτώσεις αυτές το συμφέρον για την επεξεργασία είναι υπέρτερο του συμφέροντος του υπο- κειμένου των δεδομένων.

παρ. 3

3. Στις περιπτώσεις των προηγούμενων παραγράφων, λαμβάνονται όλα τα κατάλληλα και ειδικά μέτρα για τη διαφύλαξη των συμφερόντων του υποκειμένου των δε- δομένων προσωπικού χαρακτήρα. Λαμβάνοντας υπόψη την κατάσταση της τεχνολογίας, το κόστος εφαρμογής και τη φύση, την έκταση, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους που θέτει, ανάλογα με τη σοβαρότητά τους στα δικαιώματα και στις ελευθερίες των φυσικών προσώπων η επεξεργασία αυτή, στα μέτρα αυτά μπορούν να περιλαμβάνονται ιδίως: α) τεχνικά και οργανωτικά μέτρα που διασφαλίζουν ότι η επεξεργασία είναι σύμφωνη με τον ΓΚΠΔ·

Άρθρο 23

Άρθρο 23 Επεξεργασία γενετικών δεδομένων Κατ’ εφαρμογή της παραγράφου 4 του άρθρου 9 του ΓΚΠΔ απαγορεύεται η επεξεργασία γενετικών δεδομέ- νων για σκοπούς ασφάλισης υγείας και ζωής.

Άρθρο 24

Άρθρο 24 Επεξεργασία δεδομένων προσωπικού χαρακτήρα για άλλους σκοπούς από δημόσιους φορείς

παρ. 1

1. Η επεξεργασία δεδομένων προσωπικού χαρακτήρα από δημόσιους φορείς για σκοπό διαφορετικό από αυ- τόν για τον οποίο έχουν συλλεχθεί, επιτρέπεται όταν η επεξεργασία αυτή είναι αναγκαία για την εκπλήρωση των καθηκόντων που τους έχουν ανατεθεί και εφόσον είναι: α) απαραίτητο να ελεγχθούν οι πληροφορίες που παρέχονται από το υποκείμενο των δεδομένων, διότι υπάρχουν βάσιμες ενδείξεις ότι οι πληροφορίες αυτές είναι εσφαλμένες· β) αναγκαία για την αποτροπή κινδύνων για την εθνι- κή ασφάλεια, εθνική άμυνα ή δημόσια ασφάλεια ή για τη διασφάλιση φορολογικών και τελωνειακών εσόδων·

παρ. 2

2. Η επεξεργασία ειδικών κατηγοριών δεδομένων προ- σωπικού χαρακτήρα, όπως αυτά αναφέρονται στο άρ- θρο 9 παράγραφος 1 του ΓΚΠΔ, για σκοπό διαφορετικό από αυτόν για τον οποίο έχουν συλλεχθεί, επιτρέπεται, εφόσον πληρούνται οι προϋποθέσεις της προηγούμενης παραγράφου και εφαρμόζεται μία από τις προβλεπόμε- νες στο άρθρο 9 παράγραφος 2 του ΓΚΠΔ εξαιρέσεις ή το άρθρο 22 του παρόντος.

Άρθρο 25

Άρθρο 25 Επεξεργασία δεδομένων προσωπικού χαρακτήρα για άλλους σκοπούς από ιδιωτικούς φορείς

παρ. 1

1. Η επεξεργασία δεδομένων προσωπικού χαρακτήρα από ιδιωτικούς φορείς για σκοπό διαφορετικό από αυτόν για τον οποίο έχουν συλλεχθεί, επιτρέπεται, εφόσον είναι απαραίτητη: α) για την αποτροπή απειλών κατά της εθνικής ασφά- λειας ή της δημόσιας ασφάλειας κατόπιν αιτήματος δη- μόσιου φορέα· ή β) για τη δίωξη ποινικών αδικημάτων· ή γ) για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων, εκτός και εάν υπερτερεί το συμφέρον του υποκειμένου των δεδομένων να μην τύχουν επεξεργα- σίας τα δεδομένα αυτά.

παρ. 2

2. Η επεξεργασία ειδικών κατηγοριών δεδομένων προ- σωπικού χαρακτήρα, όπως αυτά αναφέρονται στο άρ- θρο 9 παράγραφος 1 του ΓΚΠΔ, για σκοπό διαφορετικό από αυτόν για τον οποίο έχουν συλλεχθεί, επιτρέπεται, εφόσον πληρούνται οι προϋποθέσεις της προηγούμενης παραγράφου και εφαρμόζεται μία από τις προβλεπόμε- νες στο άρθρο 9 παράγραφος 2 του ΓΚΠΔ εξαιρέσεις ή το άρθρο 22 του παρόντος.

Άρθρο 26

Άρθρο 26 Διαβίβαση δεδομένων προσωπικού χαρακτήρα από δημόσιους φορείς

παρ. 1

1. Η διαβίβαση δεδομένων προσωπικού χαρακτήρα από δημόσιο φορέα σε δημόσιο φορέα επιτρέπεται, εφόσον είναι απαραίτητο για την εκτέλεση των καθη- κόντων του φορέα που διαβιβάζει ή του τρίτου στον οποίο διαβιβάζονται τα δεδομένα και εφόσον πληρού- νται οι προϋποθέσεις που επιτρέπουν την επεξεργασία σύμφωνα με το άρθρο 24. Ο τρίτος στον οποίο διαβι- βάζονται τα δεδομένα επεξεργάζεται αυτά μόνο για τον σκοπό για τον οποίο διαβιβάσθηκαν. Η επεξεργασία για άλλους σκοπούς επιτρέπεται μόνον εφόσον πληρούνται οι προϋποθέσεις του άρθρου 24.

παρ. 2

2. Οι δημόσιοι φορείς επιτρέπεται να διαβιβάζουν δε- δομένα προσωπικού χαρακτήρα σε ιδιωτικούς φορείς εφόσον: α) η διαβίβαση είναι απαραίτητη για την εκτέλεση των καθηκόντων του φορέα που διαβιβάζει και πληρούνται περαιτέρω και οι προϋποθέσεις του άρθρου 24· β) ο τρίτος στον οποίο διαβιβάζονται έχει έννομο συμ- φέρον να είναι σε γνώση της διαβίβασης και το υποκεί- μενο των δεδομένων δεν έχει έννομο συμφέρον να μην διαβιβασθούν τα δεδομένα που το αφορούν· ή γ) η επεξεργασία είναι απαραίτητη για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων και ο τρίτος

παρ. 3

3. Η διαβίβαση ειδικών κατηγοριών δεδομένων προ- σωπικού χαρακτήρα με την έννοια του άρθρου 9 παρά- γραφος 1 του ΓΚΠΔ, επιτρέπεται εφόσον πληρούνται οι προϋποθέσεις της παραγράφου 1 ή της παραγράφου 2 και εφαρμόζεται μία από τις εξαιρέσεις του άρθρου 9 παράγραφος 2 του ΓΚΠΔ ή σύμφωνα με το άρθρο 22 του παρόντος.

Άρθρο 27

Άρθρο 27 Επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο των σχέσεων απασχόλησης

παρ. 1

1. Δεδομένα προσωπικού χαρακτήρα των εργαζο- μένων μπορούν να υποβάλλονται σε επεξεργασία για σκοπούς της σύμβασης εργασίας, εφόσον είναι απολύ- τως απαραίτητο για την απόφαση σύναψης σύμβασης εργασίας ή μετά τη σύναψη της σύμβασης εργασίας για την εκτέλεσή της.

παρ. 2

2. Στην περίπτωση που η επεξεργασία δεδομένων προσωπικού χαρακτήρα εργαζομένου έχει κατ’ εξαίρε- ση ως νομική βάση τη συγκατάθεσή του, για την κρίση ότι αυτή ήταν αποτέλεσμα ελεύθερης επιλογής, πρέπει να λαμβάνονται υπόψη κυρίως: α) η υφιστάμενη στη σύμβαση εργασίας εξάρτηση του εργαζομένου και β) οι περιστάσεις κάτω από τις οποίες χορηγήθηκε η συγκατάθεση. Η συγκατάθεση παρέχεται είτε σε έγγρα- φη είτε σε ηλεκτρονική μορφή και πρέπει να διακρίνεται σαφώς από τη σύμβαση εργασίας. Ο εργοδότης πρέπει να ενημερώνει τον εργαζόμενο είτε σε έγγραφη είτε σε

παρ. 3

3. Κατά παρέκκλιση από το άρθρο 9 παράγραφος 1 του ΓΚΠΔ η επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα με την έννοια του άρθρου 9 παράγραφος 1 του ΓΚΠΔ για τους σκοπούς της σύμβα- σης εργασίας επιτρέπεται, εάν είναι απαραίτητη για την άσκηση των δικαιωμάτων ή την εκπλήρωση νόμιμων υποχρεώσεων που απορρέουν από το εργατικό δίκαιο, το δίκαιο της κοινωνικής ασφάλισης και της κοινωνικής προστασίας και δεν υπάρχει κανένας λόγος να θεω- ρηθεί ότι το έννομο συμφέρον του υποκειμένου των δεδομένων σε σχέση με την επεξεργασία υπερτερεί. Η παράγραφος 2 ισχύει επίσης για τη συγκατάθεση στην

παρ. 4

4. Επιτρέπεται η επεξεργασία δεδομένων προσωπι- κού χαρακτήρα, συμπεριλαμβανομένων των ειδικών κατηγοριών δεδομένων Προσωπικού Χαρακτήρα των εργαζομένων για τους σκοπούς της σύμβασης εργασίας βάσει συλλογικών συμβάσεων εργασίας. Τα διαπραγμα- τευόμενα μέρη συμμορφώνονται με το άρθρο 88 παρά- γραφος 2 του ΓΚΠΔ.

παρ. 5

5. Ο υπεύθυνος επεξεργασίας λαμβάνει τα ενδεδειγμέ- να μέτρα για να εξασφαλίσει ότι τηρούνται ιδίως οι αρχές για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που ορίζονται στο άρθρο 5 του ΓΚΠΔ.

παρ. 6

6. Οι παράγραφοι 1 έως 5 εφαρμόζονται επίσης, όταν δεδομένα προσωπικού χαρακτήρα, συμπεριλαμβανομέ- νων των ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα των εργαζομένων, υπόκεινται σε επεξεργα- σία, χωρίς αυτά να αποθηκεύονται ή να προορίζονται να αποθηκευτούν σε ένα σύστημα αρχειοθέτησης.

παρ. 7

7. Η επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω κλειστού κυκλώματος οπτικής καταγραφής εντός των χώρων εργασίας, είτε είναι δημοσίως προσβάσι- μοι είτε μη, επιτρέπεται μόνο εάν είναι απαραίτητη για την προστασία προσώπων και αγαθών. Τα δεδομένα που συλλέγονται μέσω κλειστού κυκλώματος οπτικής καταγραφής δεν επιτρέπεται να χρησιμοποιηθούν ως κριτήριο για την αξιολόγηση της αποδοτικότητας των εργαζομένων. Οι εργαζόμενοι ενημερώνονται εγγρά- φως, είτε σε γραπτή είτε σε ηλεκτρονική μορφή για την εγκατάσταση και λειτουργία κλειστού κυκλώματος οπτι- κής καταγραφής εντός των χώρων εργασίας.

παρ. 8

8. Για τους σκοπούς του παρόντος νόμου ως εργα- ζόμενοι νοούνται οι απασχολούμενοι με οποιαδήποτε σχέση εργασίας ή σύμβαση έργου ή παροχής υπηρεσιών στο δημόσιο και στον ιδιωτικό φορέα, ανεξαρτήτως του κύρους της σύμβασης, οι υποψήφιοι για εργασία και οι πρώην απασχολούμενοι.

Άρθρο 28

Άρθρο 28 Επεξεργασία και ελευθερία έκφρασης και πληροφόρησης

παρ. 1

1. Στον βαθμό που είναι αναγκαίο να συμβιβαστεί το δικαίωμα στην προστασία των δεδομένων προσω- πικού χαρακτήρα με το δικαίωμα στην ελευθερία της έκφρασης και πληροφόρησης, συμπεριλαμβανομένης της επεξεργασίας για δημοσιογραφικούς σκοπούς και για σκοπούς ακαδημαϊκής, καλλιτεχνικής ή λογοτεχνι- κής έκφρασης, η επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται όταν: α) το υποκείμενο των δεδομένων έχει παράσχει τη ρητή συγκατάθεσή του, β) αφορά δεδομένα προσωπι- κού χαρακτήρα που έχουν προδήλως δημοσιοποιηθεί από το ίδιο το υποκείμενο, γ) υπερέχει το δικαίωμα στην

παρ. 2

2. Στον βαθμό που είναι αναγκαίο να συμβιβαστεί το δικαίωμα στην προστασία των δεδομένων προσω- πικού χαρακτήρα με το δικαίωμα στην ελευθερία της έκφρασης και πληροφόρησης, συμπεριλαμβανομένης της επεξεργασίας για δημοσιογραφικούς σκοπούς, και για σκοπούς ακαδημαϊκής, καλλιτεχνικής ή λογοτεχνικής έκφρασης δεν εφαρμόζεται: α) το Κεφάλαιο ΙΙ του ΓΚΠΔ «Αρχές», εκτός από το άρθρο 5, β) το Κεφάλαιο ΙΙΙ του ΓΚΠΔ «Δικαιώματα του Υποκειμένου», γ) το Κεφάλαιο ΙV του ΓΚΠΔ «Υπεύθυνος επεξεργασίας και εκτελών την επεξεργασία», εκτός από τα άρθρα 28, 29 και 32, δ) το Κεφάλαιο V του ΓΚΠΔ «Δι-

παρ. 2 (συνέχεια 2/3)

εντός εύλογης προθεσμίας μετά την απομάκρυνση του εμποδίου, αλλά όχι αργότερα από το χρονικό διάστημα των δύο (2) εβδομάδων. 4. Αν κατά την έναρξη της εντολής ή στο πλαίσιο σχέ- σης εντολής διαβιβάσθηκαν από τον πελάτη σε έναν φορέα επαγγελματικού απορρήτου δεδομένα τρίτων, ο διαβιβάζων αυτός φορέας δεν έχει υποχρέωση ενημέ- ρωσης του υποκειμένου των δεδομένων προσωπικού χαρακτήρα σύμφωνα με το άρθρο 13 παράγραφος 3 του ΓΚΠΔ, εκτός εάν το συμφέρον του υποκειμένου των δε- δομένων για την παροχή πληροφοριών είναι υπέρτερο. Άρθρο 32

παρ. 2 (συνέχεια 3/3)

του προσωπικού της ΕΥΠ που πραγματοποιείται από δημόσιους και ιδιωτικούς φορείς στο πλαίσιο των καθη- κόντων τους ή των αρμοδιοτήτων τους διενεργείται από ειδικά εξουσιοδοτημένους για αυτό υπαλλήλους, για τα ονόματα των οποίων ενημερώνεται η ΕΥΠ. Κάθε περαιτέρω διαβίβαση των ανωτέρω δεδομένων προσωπικού χαρακτήρα διενεργείται μόνο μετά από έγκριση της ΕΥΠ. Άρθρο 37 Διαπίστευση φορέων πιστοποίησης και πιστοποίηση 1. Η διαπίστευση των φορέων που χορηγούν πιστοποι-

παρ. 3

3. Σε περίπτωση που ο φορέας του δημόσιου τομέα για τις ίδιες ή για συνδεδεμένες πράξεις επεξεργασίας, παραβιάζει περισσότερες διατάξεις του ΓΚΠΔ ή του πα- ρόντος, το συνολικό ύψος του διοικητικού προστίμου δεν υπερβαίνει το ποσό που ορίζεται για τη βαρύτερη παράβαση.

Άρθρο 40

Άρθρο 40 Δικαστική προστασία κατά υπεύθυνου επεξεργασίας ή εκτελούντος την επεξεργασία

παρ. 1

1. Οι αγωγές του υποκειμένου των δεδομένων κατά του υπεύθυνου επεξεργασίας ή του εκτελούντος την επεξεργασία λόγω παραβίασης των διατάξεων για την προστασία των δεδομένων εντός του πεδίου εφαρμογής του ΓΚΠΔ ή των δικαιωμάτων του υποκειμένου που πε- ριέχονται σε αυτόν εισάγονται στο πολιτικό δικαστήριο στην περιφέρεια του οποίου ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία έχει την εγκατάστασή του. Οι αγωγές του προηγούμενου εδαφίου μπορούν να εισα- χθούν και στο πολιτικό δικαστήριο, στην περιφέρεια του οποίου, το υποκείμενο των δεδομένων έχει τη συνήθη διαμονή του.

παρ. 2

2. Η προηγούμενη παράγραφος δεν εφαρμόζεται στις αγωγές κατά δημοσίων αρχών, όταν οι αρχές αυ- τές ασκούν κυριαρχική δημόσια εξουσία που τους έχει ανατεθεί.

παρ. 3

3. Εάν ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία έχει ορίσει εκπρόσωπο, σύμφωνα με το άρθρο 27 παράγραφος 1 του ΓΚΠΔ, ο εν λόγω εκπρό- σωπος θεωρείται αντίκλητος για όλες τις επιδόσεις που γίνονται στο πλαίσιο της πολιτικής δίκης σύμφωνα με την παράγραφο 1.

Άρθρο 41

Άρθρο 41 Εκπροσώπηση υποκειμένου των δεδομένων

παρ. 1

1. Όταν το υποκείμενο των δεδομένων θεωρεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορά παραβιάζει τις διατάξεις του ΓΚΠΔ ή του Κεφαλαίου Γ΄ του παρόντος νόμου έχει το δικαίωμα να αναθέσει σε μη κερδοσκοπικό φορέα, οργανισμό, ορ- γάνωση ή σωματείο ή ένωση προσώπων χωρίς νομική προσωπικότητα μη κερδοσκοπικού χαρακτήρα που έχει συσταθεί και λειτουργεί νομίμως στην Ελληνική Επικράτεια, οι στόχοι του είναι προς το δημόσιο συμφέ- ρον και δραστηριοποιείται στον τομέα προστασίας των δικαιωμάτων και των ελευθεριών των υποκειμένων των δεδομένων σε σχέση με την προστασία των δεδομένων

παρ. 2

2. Η ανάθεση της εκπροσώπησης κατά την παράγραφο 1 γίνεται με ειδική έγγραφη εξουσιοδότηση, η οποία φέ- ρει το γνήσιο της υπογραφής του αναθέτοντος σύμφωνα με το άρθρο 11 παράγραφος 1 εδάφιο α’ του Κώδικα Δι- οικητικής Διαδικασίας (ν. 2690/1999, Α’ 45). Η ανάκληση της ανάθεσης αυτής δύναται να γίνει οποτεδήποτε, εν όλω ή εν μέρει.

Άρθρο 42

Άρθρο 42 Πρόσβαση του κοινού σε έγγραφα

παρ. 1

1. Η εφαρμογή των διατάξεων του άρθρου 5 του Κώδι- κα Διοικητικής Διαδικασίας που αφορούν στη χορήγηση εγγράφων από φορείς του δημόσιου τομέα που εμπί- πτουν στο πεδίο εφαρμογής του άρθρου 1 του ανωτέρω Κώδικα, καθώς και των λοιπών διατάξεων που αφορούν στη χορήγηση εγγράφων από τον εκάστοτε φορέα ή αρχή ή υπηρεσία παραμένει ανεπηρέαστη, όταν περι- εχόμενο των εγγράφων αυτών αποτελούν δεδομένα προσωπικού χαρακτήρα.

παρ. 2

2. Η εφαρμογή των διατάξεων του άρθρου 22 του Κώδικα Οργανισμού Δικαστηρίων και Κατάστασης Δι- καστικών Λειτουργών (ν. 1756/1988,Α΄35) παραμένει ανεπηρέαστη.

ΚΕΦΑΛΑΙΟ Δ΄

ΚΕΦΑΛΑΙΟ Δ΄ ΕΝΣΩΜΑΤΩΣΗ ΣΤΗΝ ΕΘΝΙΚΗ ΝΟΜΟΘΕΣΙΑ ΤΗΣ ΟΔΗΓΙΑΣ (2016/680)

ΤΜΗΜΑ I

ΤΜΗΜΑ I ΠΕΔΙΟ ΕΦΑΡΜΟΓΗΣ - ΓΕΝΙΚΕΣ ΑΡΧΕΣ

Άρθρο 43

Άρθρο 43 Πεδίο εφαρμογής (άρθρα 1 και 2 της Οδηγίας) Οι διατάξεις του παρόντος Κεφαλαίου εφαρμόζονται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από δημόσιες αρχές που είναι αρμόδιες για την πρόληψη, διερεύνηση, ανίχνευση ή δίωξη ποινικών αδικημάτων ή την εκτέλεση ποινικών κυρώσεων, περιλαμβανομένων της προστασίας από απειλές κατά της δημόσιας ασφά- λειας και της αποτροπής τους. Στις ως άνω περιπτώσεις οι δημόσιες αρχές θεωρούνται πάντοτε ως υπεύθυνοι επεξεργασίας. Όπου στο παρόν Κεφάλαιο περιλαμβά- νονται διατάξεις για τους εκτελούντες την επεξεργασία, οι διατάξεις του εφαρμόζονται και σε αυτούς.

Άρθρο 44

Άρθρο 44 Ορισμοί (άρθρο 3 της Οδηγίας)

παρ. 1

1. Για τους σκοπούς του παρόντος Κεφαλαίου νοού- νται ως: α) «δεδομένα προσωπικού χαρακτήρα»: κάθε πλη- ροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»), το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδί- ως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότη- τας, όπως σε όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικο-

Άρθρο 45

Άρθρο 45 Γενικές Αρχές (άρθρο 4 της Οδηγίας)

παρ. 1

1. Τα δεδομένα προσωπικού χαρακτήρα πρέπει να: α) υποβάλλονται σε σύννομη και δίκαιη επεξεργασία· β) συλλέγονται για καθορισμένους, σαφείς και νόμι- μους σκοπούς και δεν υποβάλλονται σε επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· γ) είναι κατάλληλα, συναφή και όχι υπερβολικά σε σχέ- ση με τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία· δ) είναι ακριβή και, όταν απαιτείται, επικαιροποιούνται, λαμβάνονται όλα τα εύλογα μέτρα που προβλέπονται από τις κείμενες διατάξεις, τα οποία διασφαλίζουν τη χωρίς καθυστέρηση διαγραφή ή διόρθωση ανακριβών

παρ. 2

2. Ο υπεύθυνος επεξεργασίας, οφείλει να είναι σε θέση να αποδείξει την τήρηση των υποχρεώσεών του, σύμ- φωνα με την προηγούμενη παράγραφο.

ΤΜΗΜΑ II

ΤΜΗΜΑ II ΝΟΜΙΚΕΣ ΒΑΣΕΙΣ ΤΗΣ ΕΠΕΞΕΡΓΑΣΙΑΣ

Άρθρο 46

Άρθρο 46 Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα (άρθρο 10 της Οδηγίας)

παρ. 1

1. Η επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα επιτρέπεται μόνο όταν είναι απολύτως αναγκαία για την ενάσκηση των καθηκόντων του υπεύθυνου επεξεργασίας.

παρ. 2

2. Όταν υποβάλλονται σε επεξεργασία ειδικών κατηγο- ριών δεδομένα προσωπικού χαρακτήρα, εφαρμόζονται οι κατάλληλες διασφαλίσεις για τα προστατευόμενα έν- νομα συμφέροντα του υποκειμένου των δεδομένων. Οι κατάλληλες διασφαλίσεις μπορεί να είναι ιδίως: α) ειδικές απαιτήσεις για την ασφάλεια των δεδομένων ή την παρακολούθηση της προστασίας των δεδομένων· β) ειδικές προθεσμίες εντός των οποίων τα δεδομένα πρέπει να επανεξετάζονται για διαγραφή· γ) μέτρα για την ενδυνάμωση της ευαισθητοποίησης του προσωπικού που συμμετέχει στις εργασίες επεξερ- γασίας·

Άρθρο 47

Άρθρο 47 Επεξεργασία για άλλους σκοπούς (άρθρο 4 της Οδηγίας) Η επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπό διαφορετικό από εκείνον για τον οποίο έχουν συλλεγεί, επιτρέπεται εάν ο άλλος σκοπός είναι ένας από τους σκοπούς που αναφέρονται στο άρθρο 43, ο υπεύ- θυνος επεξεργασίας είναι εξουσιοδοτημένος να επεξερ- γάζεται δεδομένα για το σκοπό αυτό και η επεξεργασία που διενεργείται είναι απαραίτητη και ανάλογη προς τον σκοπό αυτό. Η επεξεργασία δεδομένων προσωπικού χαρακτήρα για άλλο σκοπό, που δεν αναφέρεται στο άρθρο 43, επιτρέπεται εφόσον προβλέπεται ρητώς στον νόμο.

Άρθρο 48

Άρθρο 48 Επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς (άρθρο 4 της Οδηγίας) Τα δεδομένα προσωπικού χαρακτήρα μπορούν να υποβάλλονται σε επεξεργασία στο πλαίσιο των σκοπών που αναφέρονται στο άρθρο 43 για σκοπούς αρχειοθέ- τησης προς το δημόσιο συμφέρον ή σκοπούς επιστημο- νικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς, εάν αυτό είναι προς το δημόσιο συμφέρον και εφαρμόζο-

Άρθρο 49

Άρθρο 49 Συγκατάθεση

παρ. 1

1. Στον βαθμό που η επεξεργασία δεδομένων προσω- πικού χαρακτήρα μπορεί να γίνει, σύμφωνα με τον νόμο, βάσει συγκατάθεσης, ο υπεύθυνος επεξεργασίας πρέπει να είναι σε θέση να αποδείξει την παροχή συγκατάθεσης του υποκειμένου των δεδομένων.

παρ. 2

2. Σε περίπτωση που η συγκατάθεση του υποκειμέ- νου των δεδομένων παρέχεται στο πλαίσιο γραπτής δήλωσης η οποία αφορά και άλλα θέματα, η αίτηση για λήψη της συγκατάθεσης πρέπει να παρουσιάζεται κατά τρόπο διακριτό από τα άλλα θέματα, σε μία εύληπτη και ευχερώς προσβάσιμη μορφή και με χρήση απλής και κατανοητής γλώσσας.

παρ. 3

3. Το υποκείμενο των δεδομένων έχει το δικαίωμα να ανακαλέσει τη συγκατάθεσή του ανά πάσα στιγμή. Η ανάκληση της συγκατάθεσης δεν θίγει τη νομιμότητα της επεξεργασίας με βάση τη συγκατάθεση που παρα- σχέθηκε πριν από την ανάκλησή της. Το υποκείμενο των δεδομένων ενημερώνεται για αυτό το δικαίωμά του πριν από την παροχή της συγκατάθεσής του.

παρ. 4

4. Η συγκατάθεση παράγει τα έννομα αποτελέσματά της μόνο όταν βασίζεται στην ελεύθερη βούληση του υποκειμένου των δεδομένων. Κατά την αξιολόγηση εάν η συγκατάθεση παρεσχέθη ελεύθερα, πρέπει να λαμβά- νονται υπόψη οι περιστάσεις υπό τις οποίες αυτή παρε- σχέθη. Το υποκείμενο των δεδομένων ενημερώνεται για τον επιδιωκόμενο σκοπό της επεξεργασίας. Εάν είναι απαραίτητο σύμφωνα με τις περιστάσεις της συγκεκρι- μένης υπόθεσης ή κατόπιν αιτήματος, το υποκείμενο των δεδομένων ενημερώνεται επίσης για τις συνέπειες της άρνησης της συγκατάθεσης.

παρ. 5

5. Σε περίπτωση ειδικών κατηγοριών δεδομένων προ- σωπικού χαρακτήρα, η συγκατάθεση πρέπει να αναφέ- ρεται ρητώς στα δεδομένα αυτά.

Άρθρο 50

Άρθρο 50 Επεξεργασία υπό την εποπτεία του υπεύθυνου επεξεργασίας (άρθρο 23 της Οδηγίας) Κάθε πρόσωπο που ενεργεί υπό την εποπτεία του υπεύθυνου επεξεργασίας ή του εκτελούντος την επε- ξεργασία, ο οποίος έχει πρόσβαση σε δεδομένα προ- σωπικού χαρακτήρα, επεξεργάζεται τα δεδομένα αυτά σύμφωνα με τις οδηγίες του υπεύθυνου επεξεργασίας, εκτός εάν ο νόμος ορίζει άλλως.

Άρθρο 51

Άρθρο 51 Εμπιστευτικότητα Όλα τα πρόσωπα που απασχολούνται στην επεξεργα- σία δεδομένων προσωπικού χαρακτήρα τα επεξεργάζο- νται μετά από άδεια και υποχρεούνται κατά την ανάληψη των καθηκόντων τους στη διατήρηση της εμπιστευτικό- τητας. Η υποχρέωση τήρησης εμπιστευτικότητας συνε- χίζεται μετά τη λήξη της απασχόλησής τους.

Άρθρο 52

Άρθρο 52 Αυτοματοποιημένη ατομική λήψη αποφάσεων (άρθρο 11 της Οδηγίας)

παρ. 1

1. Η λήψη απόφασης που βασίζεται αποκλειστικά σε αυτοματοποιημένη επεξεργασία, η οποία παράγει δυ- σμενή έννομα αποτελέσματα στο υποκείμενο των δε- δομένων ή το επηρεάζει σημαντικά, επιτρέπεται μόνον εφόσον προβλέπεται από τον νόμο.

παρ. 2

2. Οι αποφάσεις που αναφέρονται στην προηγούμενη παράγραφο δεν εφαρμόζονται σε ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, εκτός εάν υφίστα- νται κατάλληλα μέτρα για τη διαφύλαξη των έννομων συμφερόντων του υποκειμένου των δεδομένων.

παρ. 3

3. Απαγορεύεται η κατάρτιση προφίλ που οδηγεί σε διακρίσεις σε βάρος φυσικών προσώπων βάσει ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα.

ΤΜΗΜΑ ΙΙΙ

ΤΜΗΜΑ ΙΙΙ ΔΙΚΑΙΩΜΑΤΑ ΤΟΥ ΥΠΟΚΕΙΜΕΝΟΥ ΤΩΝ ΔΕΔΟΜΕΝΩΝ

Άρθρο 53

Άρθρο 53 Γενικές πληροφορίες σχετικά με την επεξεργασία δεδομένων (άρθρα 12 και 13 της Οδηγίας) Ο υπεύθυνος επεξεργασίας παρέχει γενικές και ευχε- ρώς προσβάσιμες στο κοινό πληροφορίες σε απλή και κατανοητή γλώσσα και μέσω του διαδικτυακού τόπου της δημόσιας αρχής αναφορικά με: α) τους σκοπούς της επεξεργασίας, β) το δικαίωμα του υποκειμένου να ζητήσει από τον υπεύθυνο επεξεργασίας πρόσβαση, διόρθωση, διαγρα- φή ή περιορισμό της επεξεργασίας,

Άρθρο 54

Άρθρο 54 Δικαίωμα ενημέρωσης του υποκειμένου (άρθρο 13 της Οδηγίας)

παρ. 1

1. Σε ειδικές περιπτώσεις και ιδίως όταν η συλλογή των δεδομένων του υποκειμένου πραγματοποιήθηκε υπό συνθήκες μυστικότητας, και προκειμένου να καταστεί δυνατή η άσκηση των δικαιωμάτων του, το υποκείμενο θα πρέπει, επιπλέον των πληροφοριών του προηγούμε- νου άρθρου, τουλάχιστον να ενημερώνεται για: α) τη νομική βάση της επεξεργασίας· β) την περίοδο για την οποία θα αποθηκευτούν τα δε- δομένα προσωπικού χαρακτήρα ή, εάν αυτό δεν είναι δυνατόν, τα κριτήρια που χρησιμοποιήθηκαν για τον καθορισμό της εν λόγω περιόδου· γ) τους αποδέκτες των δεδομένων προσωπικού χαρα-

παρ. 2

2. Στις περιπτώσεις της προηγούμενης παραγράφου, ο υπεύθυνος επεξεργασίας μπορεί να καθυστερήσει, να περιορίσει ή να παραλείψει την ενημέρωση του υποκει- μένου εφ’ όσον αυτό είναι αναγκαίο: α) για την εκτέλεση των καθηκόντων των αρμοδίων αρχών, όπως αυτά περιγράφονται στο άρθρο 43, β) για την εθνική ασφάλεια ή τη δημόσια ασφάλεια, ή γ) για την προστασία των έννομων συμφερόντων τρίτων, τα οποία θα απειλούνταν διαφορετικά, εάν το συμφέρον για την αποφυγή αυτών των απειλών υπε- ρισχύει έναντι του συμφέροντος του υποκειμένου των δεδομένων να τύχει ενημέρωσης.

παρ. 3

3. Οι διατάξεις της παραγράφου 7 του επόμενου άρ- θρου εφαρμόζονται και για τους περιορισμούς της προ- ηγούμενης παραγράφου.

Άρθρο 55

Άρθρο 55 Δικαίωμα πρόσβασης (άρθρα 14 και 15 της Οδηγίας)

παρ. 1

1. Ο υπεύθυνος επεξεργασίας ενημερώνει, κατόπιν αιτήσεώς του, το υποκείμενο των δεδομένων για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν. Το υποκείμενο των δεδομένων ενη- μερώνεται, επίσης, για: α) τα δεδομένα προσωπικού χαρακτήρα που υποβάλ- λονται σε επεξεργασία και τις κατηγορίες στις οποίες ανήκουν· β) τις διαθέσιμες πληροφορίες σχετικά με την προέ- λευση των δεδομένων· γ) τους σκοπούς και τη νομική βάση για την επεξερ- γασία·

παρ. 2

2. Η προηγούμενη παράγραφος δεν εφαρμόζεται στα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία μόνο επειδή δεν μπορούν να διαγραφούν λόγω νομικών απαιτήσεων διατήρησης ή εξυπηρετούν αποκλειστικά σκοπούς ασφάλειας των δεδομένων ή ελέγχων προστασίας των δεδομένων, εάν η παροχή πληροφοριών απαιτεί δυσανάλογη προσπάθεια και η επεξεργασία για άλλους σκοπούς μέσω ενδεδειγμένων τεχνικών και οργανωτικών μέτρων αποκλείεται.

παρ. 3

3. Δεν παρέχονται πληροφορίες, εάν το υποκείμενο των δεδομένων δεν παρέχει πληροφορίες που να επιτρέ- πουν ανεύρεση των δεδομένων του και, κατά συνέπεια, η απαιτούμενη προσπάθεια είναι δυσανάλογη έναντι του συμφέροντος του υποκειμένου των δεδομένων για παροχή πληροφοριών.

παρ. 4

4. Στις περιπτώσεις της παραγράφου 2 του προηγού- μενου άρθρου, ο υπεύθυνος επεξεργασίας μπορεί να αρ- νηθεί την παροχή πληροφοριών σύμφωνα με το πρώτο εδάφιο της παραγράφου 1 ή να περιορίσει, εν όλω ή εν μέρει, την ενημέρωση σύμφωνα με το δεύτερο εδάφιο της παραγράφου 1.

παρ. 5

5. Δεν γνωστοποιείται στο υποκείμενο των δεδομέ- νων η ταυτότητα των φυσικών προσώπων από τα οποία προήλθαν τα δεδομένα προσωπικού χαρακτήρα, όταν η πληροφόρηση αυτή μπορεί να θέσει σε κίνδυνο τη ζωή ή τη σωματική ακεραιότητα και τις θεμελιώδεις ελευθερίες τους, καθώς και όταν πρόκειται για προστατευόμενους μάρτυρες ή πληροφοριοδότες.

παρ. 6

6. Ο υπεύθυνος επεξεργασίας γνωστοποιεί εγγράφως και χωρίς καθυστέρηση στο υποκείμενο των δεδομένων την απόφασή του με την οποία αρνείται ή περιορίζει την πρόσβαση. Η ανωτέρω υποχρέωση γνωστοποίησης του υπεύθυνου επεξεργασίας δεν ισχύει όταν η παροχή των εν λόγω πληροφοριών συνεπάγεται κίνδυνο σύμφωνα με την παράγραφο 2 του προηγούμενου άρθρου. Η ανω- τέρω γνωστοποίηση περιλαμβάνει τους πραγματικούς ή νομικούς λόγους στους οποίους βασίζεται η άρνηση ή ο περιορισμός, εκτός εάν η ανωτέρω αιτιολόγηση θα έβλαπτε τον επιδιωκόμενο σκοπό της άρνησης ή του περιορισμού της πρόσβασης.

παρ. 7

7. Το υποκείμενο των δεδομένων σε περίπτωση άρ- νησης ή περιορισμού της πρόσβασης, σύμφωνα με την προηγούμενη παράγραφο, ενημερώνεται για τη δυνα- τότητα άσκησης του δικαιώματος πρόσβασης μέσω της Αρχής και ειδικότερα για την σύμφωνα με το άρθρο 58 δυνατότητα υποβολής καταγγελίας στην Αρχή και την άσκηση αιτήσεως ακυρώσεως κατά της απορριπτικής απόφασης της Αρχής, ενώπιον του Συμβουλίου της Επικρατείας. Η απόφαση του υπεύθυνου επεξεργασίας διαβιβάζεται στην Αρχή, εκτός και εάν αυτός επικαλε- σθεί λόγους εθνικής ασφάλειας. Στην περίπτωση της καταγγελίας ενώπιον της Αρχής, η τελευταία ερευνά τη

παρ. 8

8. Ο υπεύθυνος επεξεργασίας τεκμηριώνει τους πραγ- ματικούς και νομικούς λόγους στους οποίους βασίζεται η απόφασή του.

Άρθρο 56

Άρθρο 56 Δικαίωμα διόρθωσης ή διαγραφής δεδομένων προσωπικού χαρακτήρα και περιορισμοί ως προς την επεξεργασία (άρθρο 16 της Οδηγίας)

παρ. 1

1. Το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη χωρίς καθυ- στέρηση διόρθωση ανακριβών δεδομένων προσωπικού χαρακτήρα που το αφορούν. Ειδικότερα, στην περίπτω- ση δηλώσεων ή αποφάσεων, το ζήτημα της ακρίβειας δεν έχει σημασία για το περιεχόμενο της δήλωσης ή της απόφασης. Εάν η ακρίβεια ή η ανακρίβεια των δεδομέ- νων προσωπικού χαρακτήρα δεν μπορεί να διαπιστωθεί, ο υπεύθυνος επεξεργασίας περιορίζει την επεξεργασία αντί να διαγράψει τα δεδομένα. Στην περίπτωση αυτή, ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων πριν προβεί ξανά στον περιορισμό. Το

παρ. 2

2. Το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητά χωρίς καθυστέρηση από τον υπεύθυνο επεξεργα- σίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν, όταν η επεξεργασία τους παραβιάζει τις διατάξεις του παρόντος Κεφαλαίου, η γνώση των δε- δομένων αυτών δεν είναι πλέον απαραίτητη για την εκτέ- λεση καθηκόντων ή τα δεδομένα αυτά πρέπει να έχουν διαγραφεί, προκειμένου ο υπεύθυνος επεξεργασίας να εκπληρώσει νόμιμη υποχρέωσή του.

παρ. 3

3. Αντί της διαγραφής, ο υπεύθυνος επεξεργασίας πε- ριορίζει την επεξεργασία, όταν: α) υπάρχει λόγος να υποτεθεί ότι η διαγραφή θα έβλαπτε τα έννομα συμφέροντα του υποκειμένου των δεδομένων, β) τα δεδομένα προσωπικού χαρακτήρα επιβάλλεται να διατηρηθούν, εφόσον χρησιμεύουν ως αποδεικτικά μέσα για τους σκοπούς του άρθρου 43, ή γ) η διαγραφή θα ήταν αδύνατη ή θα συνεπαγόταν δυσανάλογη προσπάθεια λόγω του ειδικού τρόπου απο- θήκευσης. Τα δεδομένα προσωπικού χαρακτήρα που υπόκει- νται στην περιορισμένη επεξεργασία κατά τα ανωτέρω μπορούν να υποβληθούν σε επεξεργασία μόνο για τον σκοπό που εμπόδισε τη διαγραφή τους.

παρ. 4

4. Στα συστήματα αυτοματοποιημένης αρχειοθέτησης, τεχνικά μέτρα πρέπει να εξασφαλίζουν ότι ο περιορισμός της επεξεργασίας είναι ευδιάκριτος και ότι η επεξεργασία για άλλους σκοπούς δεν είναι δυνατή χωρίς περαιτέρω εξέταση.

παρ. 5

5. Όταν ο υπεύθυνος επεξεργασίας έχει διορθώσει ανακριβή δεδομένα προσωπικού χαρακτήρα κοινοποι- εί τη διόρθωση στον φορέα από τον οποίο τα έλαβε. Σε περίπτωση διόρθωσης, διαγραφής ή περιορισμού της επεξεργασίας σύμφωνα με τις παραγράφους 1 έως και 3, ο υπεύθυνος επεξεργασίας ενημερώνει τους αποδέκτες στους οποίους διαβιβάσθηκαν τα δεδομένα προσωπικού χαρακτήρα σχετικά με τα μέτρα αυτά. Ο αποδέκτης διορ- θώνει ή διαγράφει τα δεδομένα προσωπικού χαρακτήρα ή περιορίζει την επεξεργασία τους.

παρ. 6

6. Ο υπεύθυνος επεξεργασίας ενημερώνει εγγράφως το υποκείμενο των δεδομένων για οποιαδήποτε άρνη- ση διόρθωσης ή διαγραφής δεδομένων προσωπικού χαρακτήρα ή περιορισμού της επεξεργασίας τους. Αυτό δεν ισχύει όταν η παροχή των εν λόγω πληροφοριών συνεπάγεται κίνδυνο σύμφωνα με την παράγραφο 2 του άρθρου 54. Οι πληροφορίες που προβλέπονται στο προηγούμενο εδάφιο περιλαμβάνουν τους λόγους της άρνησης, εκτός εάν οι λόγοι αυτοί θέτουν σε κίνδυνο τον επιδιωκόμενο σκοπό της άρνησης.

παρ. 7

7. Κατά τα λοιπά εφαρμόζονται αναλόγως οι παράγρα- φοι 7 και 8 του προηγούμενου άρθρου.

Άρθρο 57

Άρθρο 57 Τρόπος άσκησης των δικαιωμάτων του υποκειμένου των δεδομένων (άρθρο 12 της Οδηγίας)

παρ. 1

1. Ο υπεύθυνος επεξεργασίας επικοινωνεί με το υπο- κείμενο των δεδομένων σε συνοπτική, κατανοητή και ευ- χερώς προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, ιδίως όταν απευθύνεται σε ανηλίκους. Οι πληροφορίες, επιφυλασσομένων ειδικών διατάξεων, παρέχονται με κάθε κατάλληλο μέσο, συμπεριλαμβα- νομένων και των ηλεκτρονικών μέσων. Ο υπεύθυνος επεξεργασίας οφείλει να παρέχει τις πληροφορίες στη μορφή που υποβλήθηκε το αίτημα.

παρ. 2

2. Με την επιφύλαξη της παραγράφου 5 του άρθρου 55 και της παραγράφου 6 του άρθρου 56 ο υπεύθυνος επεξεργασίας ενημερώνει χωρίς καθυστέρηση το υπο- κείμενο των δεδομένων για την πορεία της αίτησής του.

παρ. 3

3. Οι πληροφορίες που παρέχονται σύμφωνα με το άρθρο 53, κάθε επικοινωνία που πραγματοποιείται σύμ- φωνα με τα άρθρα 54 και 64, καθώς και οι αιτήσεις που υποβάλλονται σε επεξεργασία σύμφωνα με τα άρθρα 55 και 56, δεν υπόκεινται σε τέλος. Όταν μια αίτηση σύμ- φωνα με τα άρθρα 55 και 56 είναι προδήλως αβάσιμη ή ασκείται καταχρηστικά, ο υπεύθυνος επεξεργασίας μπο- ρεί να επιβάλει ένα εύλογο τέλος βάσει των διοικητικών του εξόδων ή μπορεί να αρνηθεί να ενεργήσει βάσει του αιτήματος. Στην περίπτωση αυτή, ο υπεύθυνος επεξερ- γασίας πρέπει να είναι σε θέση να αποδείξει τον προδή- λως αβάσιμο ή καταχρηστικό χαρακτήρα της αίτησης.

παρ. 4

4. Όταν ο υπεύθυνος επεξεργασίας έχει εύλογες αμφι- βολίες σχετικά με την ταυτότητα του υποκειμένου των δεδομένων που υποβάλλει την αίτηση σύμφωνα με τα άρθρα 55 και 56, ο υπεύθυνος επεξεργασίας μπορεί να ζητήσει την παροχή συμπληρωματικών πληροφοριών αναγκαίων για την επιβεβαίωση της ταυτότητας του υποκειμένου.

Άρθρο 58

Άρθρο 58 Δικαίωμα υποβολής καταγγελίας στην Αρχή (άρθρο 17 της Οδηγίας)

παρ. 1

1. Το υποκείμενο των δεδομένων έχει το δικαίωμα να υποβάλει καταγγελία στην Αρχή, εάν πιστεύει ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν από δημόσιες αρχές για τους σκοπούς που αναφέρονται στο άρθρο 43 παραβιάζει τα δικαιώματά του. Αυτό δεν ισχύει για την επεξεργασία δεδομένων προσωπικού χαρακτήρα από τις δικαστικές και εισαγγε- λικές αρχές, όταν επεξεργάζονται τα δεδομένα αυτά στο πλαίσιο της δικαστικής λειτουργίας και των δικαστικών καθηκόντων τους. Η Αρχή ενημερώνει το υποκείμενο των δεδομένων για την πρόοδο και το αποτέλεσμα της καταγγελίας και για τη δυνατότητα άσκησης αιτήσεως ακυρώσεως ενώπιον του Συμβουλίου της Επικρατείας κατά της απόφασης επί της καταγγελίας του, σύμφωνα με το άρθρο 20.

παρ. 2

2. Σε περίπτωση υποβολής καταγγελίας σχετικά με την επεξεργασία ενώπιον της Αρχής, αντί της αρμόδιας επο- πτικής αρχής άλλου κράτους - μέλους της Ευρωπαϊκής Ένωσης, η Αρχή πρέπει να διαβιβάσει, χωρίς καθυστέ- ρηση, στην εποπτική αρχή του άλλου κράτους - μέλους της Ευρωπαϊκής Ένωσης, την καταγγελία που εμπίπτει στην αρμοδιότητά της. Στην περίπτωση αυτή, η Αρχή ενημερώνει το υποκείμενο των δεδομένων σχετικά με τη διαβίβαση της καταγγελίας του και του παρέχει κατόπιν αιτήματός του οποιαδήποτε βοήθεια.

Άρθρο 59

Άρθρο 59 Δικαιώματα του υποκειμένου των δεδομένων σε ποινικές έρευνες και διαδικασίες (άρθρο 18 της Οδηγίας) Στο πλαίσιο ποινικής έρευνας και διαδικασίας, τα δι- καιώματα ενημέρωσης για την επεξεργασία, πρόσβα- σης, διόρθωσης ή διαγραφής και περιορισμού των δε- δομένων προσωπικού χαρακτήρα, κατά τις διατάξεις των άρθρων 54 έως και 56, ασκούνται σύμφωνα με όσα ορίζουν οι διατάξεις του Κώδικα Ποινικής Δικονομίας, ειδικές δικονομικές διατάξεις και ο Κώδικας Οργανισμού Δικαστηρίων και Κατάστασης Δικαστικών Λειτουργών (ΚΟΔΚΔΛ),όπως κάθε φορά ισχύουν.

ΤΜΗΜΑ ΙV

ΤΜΗΜΑ ΙV ΥΠΟΧΡΕΩΣΕΙΣ ΕΚΤΕΛΟΥΝΤΟΣ ΤΗΝ ΕΠΕΞΕΡΓΑΣΙΑ ΚΑΙ ΥΠΕΥΘΥΝΟΥ ΕΠΕΞΕΡΓΑΣΙΑΣ

Άρθρο 60

Άρθρο 60 Εκτελών την επεξεργασία (άρθρα 22 και 23 της Οδηγίας)

παρ. 1

1. Όταν η επεξεργασία διενεργείται για λογαριασμό υπεύθυνου επεξεργασίας, αυτός μεριμνά για την τήρηση των υποχρεώσεων που απορρέουν από τον παρόντα νόμο και από άλλες διατάξεις σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα. Το δικαίωμα του υποκειμένου για ενημέρωση, διόρθωση, διαγραφή και περιορισμό της επεξεργασίας δεδομένων προσωπι- κού χαρακτήρα, καθώς και η αξίωση αποζημίωσης στην περίπτωση αυτή ασκούνται έναντι του υπεύθυνου επε- ξεργασίας.

παρ. 2

2. Ο υπεύθυνος επεξεργασίας επιτρέπεται να αναθέσει την επεξεργασία δεδομένων προσωπικού χαρακτήρα μόνο σε εκτελούντες την επεξεργασία, οι οποίοι εξασφα- λίζουν με κατάλληλα τεχνικά και οργανωτικά μέτρα ότι η επεξεργασία διενεργείται σύμφωνα με τον νόμο και ότι διασφαλίζεται η προστασία των δικαιωμάτων των υποκειμένων επεξεργασίας.

παρ. 3

3. Η επεξεργασία μέσω εκτελούντος την επεξεργασία πρέπει να βασίζεται σε σύμβαση ή άλλη νομική πράξη που συνδέει τον εκτελούντα την επεξεργασία με τον υπεύθυνο επεξεργασίας, η οποία καθορίζει το αντικείμε- νο, τη διάρκεια, τη φύση και το σκοπό της επεξεργασίας, τη φύση των δεδομένων προσωπικού χαρακτήρα, τις κατηγορίες των υποκειμένων και τα δικαιώματα και τις υποχρεώσεις του υπεύθυνου προσώπου. Η σύμβαση ή άλλη νομική πράξη προβλέπει ιδίως ότι ο εκτελών την επεξεργασία: α) ενεργεί μόνο κατ’ εντολή και σύμφωνα με τις οδη- γίες του υπεύθυνου επεξεργασίας, εάν ο εκτελών την

παρ. 4

4. Σε περίπτωση που ο εκτελών την επεξεργασία ανα- θέτει σε άλλον εκτελούντα την επεξεργασία, πρέπει να του επιβάλει τις ίδιες υποχρεώσεις σύμφωνα με τη σύμ- βασή του με τον υπεύθυνο επεξεργασίας, σύμφωνα με την παράγραφο 3, η οποία ισχύει και για τον ίδιο, εκτός εάν οι υποχρεώσεις αυτές δεσμεύουν ήδη τον άλλον εκτελούντα την επεξεργασία βάσει άλλων διατάξεων.

παρ. 5

5. Ο εκτελών την επεξεργασία δύναται να αναθέσει την επεξεργασία σε άλλον, μόνο κατόπιν προηγούμενης έγγραφης άδειας του υπεύθυνου επεξεργασίας. Εάν ο υπεύθυνος επεξεργασίας έχει χορηγήσει στον εκτελού- ντα την επεξεργασία γενική άδεια για τη συμμετοχή και άλλου εκτελούντος την επεξεργασία, ο εκτελών την επε- ξεργασία ενημερώνει τον υπεύθυνο επεξεργασίας για τυχόν αλλαγές, στις οποίες σκοπεύει να προβεί και που αφορούν την ενδεχόμενη συμπλήρωση ή αντικατάστα- ση άλλων εκτελούντων την επεξεργασία. Ο υπεύθυνος επεξεργασίας δύναται στην περίπτωση αυτή να αρνηθεί αυτές τις αλλαγές.

παρ. 6

6. Η σύμβαση που αναφέρεται στην παράγραφο 3 πρέπει να είναι έγγραφη ή ηλεκτρονική.

παρ. 7

7. Ο εκτελών την επεξεργασία που καθορίζει τους σκοπούς και τα μέσα επεξεργασίας κατά παράβαση του παρόντος άρθρου θεωρείται υπεύθυνος επεξεργασίας.

Άρθρο 61

Άρθρο 61 Από κοινού υπεύθυνοι επεξεργασίας (άρθρο 21 της Οδηγίας)

παρ. 1

1. Σε περίπτωση που δύο ή περισσότεροι υπεύθυνοι επεξεργασίας καθορίζουν από κοινού τους σκοπούς και τα μέσα της επεξεργασίας, καθίστανται από κοινού υπεύθυνοι επεξεργασίας. Τα καθήκοντα και οι ευθύνες καθενός εκ των από κοινού υπεύθυνων επεξεργασίας ορίζονται με διαφανή τρόπο, με έγγραφη συμφωνία στο βαθμό που τα καθήκοντα και οι ευθύνες τους δεν καθορίζονται από τον νόμο. Συγκεκριμένα, η συμφω- νία πρέπει να καθορίζει ποιος πρέπει να εκπληρώσει τις υποχρεώσεις πληροφόρησης και ενώπιον τίνος τα πρό- σωπα στα οποία αναφέρονται τα δεδομένα προσωπικού χαρακτήρα μπορούν να ασκήσουν τα δικαιώματά τους.

παρ. 2

2. Η ύπαρξη συμφωνίας της προηγούμενης παραγρά- φου δεν εμποδίζει το υποκείμενο των δεδομένων να ασκήσει τα δικαιώματά του έναντι καθενός εκ των από κοινού υπεύθυνων επεξεργασίας.

Άρθρο 62

Άρθρο 62 Ασφάλεια επεξεργασίας (άρθρα 19 και 29 της Οδηγίας)

παρ. 1

1. Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία, λαμβανομένων υπόψη της διαθέσιμης τεχνολογίας, του κόστους υλοποίησης, της φύσης, του πεδίου εφαρμογής, των περιστάσεων και των σκοπών της επεξεργασίας, καθώς και της πιθανότητας και σοβα- ρότητας των κινδύνων επεξεργασίας για τα υποκείμενα των δεδομένων, λαμβάνουν τα απαραίτητα τεχνικά και οργανωτικά μέτρα για να διασφαλίσουν ένα επίπεδο ασφάλειας κατάλληλο για τον κίνδυνο κατά την επεξερ- γασία δεδομένων προσωπικού χαρακτήρα, ιδίως όσον αφορά την επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα.

παρ. 2

2. Τα μέτρα που αναφέρονται στην προηγούμενη παράγραφο μπορεί να περιλαμβάνουν μεταξύ άλλων την ψευδωνυμοποίηση και την κρυπτογράφηση των δε- δομένων προσωπικού χαρακτήρα, εφόσον τα εν λόγω μέσα είναι δυνατά για τους σκοπούς της επεξεργασίας. Τα μέτρα σύμφωνα με την παράγραφο 1 πρέπει να δι- ασφαλίζουν: α) την εμπιστευτικότητα, ακεραιότητα, διαθεσιμότητα και ανθεκτικότητα των συστημάτων και υπηρεσιών που σχετίζονται με την επεξεργασία· και β) τη δυνατότητα να αποκατασταθεί έγκαιρα η διαθε- σιμότητα και η πρόσβαση στα δεδομένα προσωπικού χα- ρακτήρα σε περίπτωση φυσικού ή τεχνικού συμβάντος.

παρ. 3

3. Σε σχέση με την αυτοματοποιημένη επεξεργασία, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία, μετά από αξιολόγηση των κινδύνων, εφαρμόζουν μέτρα που έχουν ως σκοπό: α) την απαγόρευση της πρόσβασης μη εξουσιοδοτη- μένων προσώπων σε εξοπλισμό που χρησιμοποιείται για την επεξεργασία (έλεγχος πρόσβασης σε εξοπλισμό)· β) την αποτροπή της μη εξουσιοδοτημένης ανάγνω- σης, αντιγραφής, τροποποίησης ή αφαίρεσης μέσων αποθήκευσης (έλεγχος μέσων αποθήκευσης)· γ) την αποτροπή της μη εξουσιοδοτημένης εισαγωγής δεδομένων προσωπικού χαρακτήρα και του μη εξου-

Άρθρο 63

Άρθρο 63 Γνωστοποίηση παραβίασης δεδομένων προσωπικού χαρακτήρα στην Αρχή (άρθρο 30 της Οδηγίας)

παρ. 1

1. Σε περίπτωση παραβίασης δεδομένων προσωπι- κού χαρακτήρα, ο υπεύθυνος επεξεργασίας γνωστοποι- εί στην Αρχή την παραβίαση χωρίς καθυστέρηση και, εφόσον είναι δυνατόν, εντός εβδομήντα δύο (72) ωρών από τότε που έλαβε γνώση της παραβίασης, εκτός εάν αιτιολογημένα κρίνει ότι η παραβίαση δεν είναι πιθανό να θέσει σε κίνδυνο τα προστατευόμενα έννομα συμφέ- ροντα φυσικού προσώπου. Η γνωστοποίηση της παρα- βίασης στην Αρχή μετά την πάροδο των εβδομήντα δύο (72) ωρών θα πρέπει να αιτιολογείται ειδικώς ως προς τους λόγους της καθυστέρησης.

παρ. 2

2. Ο εκτελών την επεξεργασία ενημερώνει τον υπεύθυ- νο επεξεργασίας χωρίς καθυστέρηση, μόλις αντιληφθεί παραβίαση δεδομένων προσωπικού χαρακτήρα.

παρ. 3

3. Η γνωστοποίηση που αναφέρεται στην παράγραφο 1, περιέχει τουλάχιστον τις ακόλουθες πληροφορίες: α) τη φύση της παραβίασης δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων, εφόσον είναι δυνα- τόν, των κατηγοριών, του αριθμού των ενδιαφερόμενων υποκειμένων των δεδομένων, καθώς και των κατηγοριών και του αριθμού των σχετικών αρχείων δεδομένων προ- σωπικού χαρακτήρα· β) το ονοματεπώνυμο και τα στοιχεία επικοινωνίας του υπεύθυνου προστασίας δεδομένων ή άλλου σημεί- ου επικοινωνίας, από το οποίο μπορούν να αντληθούν περισσότερες πληροφορίες·

παρ. 4

4. Σε περίπτωση που δεν είναι δυνατόν να παρασχε- θούν οι πληροφορίες της προηγούμενης παραγράφου ταυτόχρονα με τη γνωστοποίηση της παραβίασης, ο υπεύθυνος επεξεργασίας μπορεί να τις παράσχει στα- διακά από τη στιγμή που αυτές είναι διαθέσιμες, χωρίς περαιτέρω καθυστέρηση.

παρ. 5

5. Ο υπεύθυνος επεξεργασίας τεκμηριώνει κάθε παρα- βίαση δεδομένων προσωπικού χαρακτήρα αναφέροντας τα πραγματικά περιστατικά που αφορούν την παραβί- αση, τις συνέπειές της και τα ληφθέντα επανορθωτικά μέτρα.

παρ. 6

6. Σε περίπτωση που η παραβίαση δεδομένων αφορά δεδομένα προσωπικού χαρακτήρα που διαβιβάστηκαν από ή προς τον υπεύθυνο επεξεργασίας άλλου κράτους - μέλους, οι πληροφορίες που αναφέρονται στην παρά- γραφο 3 γνωστοποιούνται στον υπεύθυνο επεξεργασίας του εν λόγω κράτους - μέλους χωρίς καθυστέρηση.

παρ. 7

7. Περαιτέρω υποχρεώσεις του υπεύθυνου επεξερ- γασίας σχετικά με την κοινοποίηση των παραβιάσεων δεδομένων προσωπικού χαρακτήρα παραμένουν ανε- πηρέαστες.

Άρθρο 64

Άρθρο 64 Γνωστοποίηση παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων (άρθρο 31 της Οδηγίας)

παρ. 1

1. Όταν η παραβίαση δεδομένων προσωπικού χαρα- κτήρα ενδέχεται να προκαλέσει σημαντικό κίνδυνο για τα προστατευόμενα έννομα συμφέροντα φυσικού προ- σώπου, ο υπεύθυνος επεξεργασίας γνωστοποιεί αμέσως στο υποκείμενο των δεδομένων το περιστατικό.

παρ. 2

2. Κατά τη γνωστοποίηση στο υποκείμενο των δεδομέ- νων, σύμφωνα με την παράγραφο 1 περιγράφεται κατά τρόπο εύληπτο και σαφή η φύση της παραβίασης και αναφέρεται τουλάχιστον το περιεχόμενο των περιπτώ- σεων β΄, γ΄ και δ΄ της παραγράφου 3 του προηγούμενου άρθρου.

παρ. 3

3. Γνωστοποίηση στο υποκείμενο των δεδομένων δεν απαιτείται, εφόσον πληρούται οποιοσδήποτε από τους παρακάτω όρους: α) ο υπεύθυνος επεξεργασίας έχει λάβει τα κατάλλη- λα τεχνικά και οργανωτικά μέτρα ασφαλείας και έχει εφαρμόσει τα μέτρα αυτά στα δεδομένα προσωπικού χαρακτήρα που θίγονται από την παραβίαση αυτό ισχύει ιδιαίτερα για τα μέτρα, όπως η κρυπτογράφηση, μέσω της οποίας τα δεδομένα καθίσταται απρόσιτα σε μη εξουσιοδοτημένα πρόσωπα· β) ο υπεύθυνος επεξεργασίας έλαβε εκ των υστέρων μέτρα που διασφαλίζουν την προστασία έναντι της πα-

παρ. 4

4. Εάν ο υπεύθυνος επεξεργασίας δεν έχει ενημερώ- σει το υποκείμενο των δεδομένων για τυχόν παραβία- ση δεδομένων προσωπικού χαρακτήρα, η Αρχή μπορεί να δηλώσει επισήμως ότι θεωρεί ότι δεν πληρούνται οι προϋποθέσεις της παραγράφου 3. Με τον τρόπο αυτό, πρέπει να λάβει υπόψη την πιθανότητα ότι η ζημία θα οδηγήσει σε σημαντικό κίνδυνο κατά την έννοια της παραγράφου 1.

παρ. 5

5. Η κοινοποίηση στο υποκείμενο των δεδομένων σύμφωνα με την παράγραφο 1 μπορεί να αναβληθεί, να περιοριστεί ή να παραλειφθεί υπό τους όρους που ορίζονται στο άρθρο 54 παράγραφος 2, εκτός εάν τα συμφέροντα του υποκειμένου των δεδομένων υπερτε- ρούν του σημαντικού κινδύνου της παραβίασης κατά την έννοια της παραγράφου 1.

Άρθρο 65

Άρθρο 65 Εκτίμηση αντικτύπου της επεξεργασίας στην προστασία των δεδομένων προσωπικού χαρακτήρα (άρθρο 27 της Οδηγίας)

παρ. 1

1. Εάν μια μορφή επεξεργασίας, ιδίως όταν χρησιμο- ποιούνται νέες τεχνολογίες, ενδέχεται να δημιουργή- σει σημαντικό κίνδυνο για τα προστατευόμενα έννομα συμφέροντα των ενδιαφερομένων λόγω της φύσης, του πεδίου εφαρμογής, των συνθηκών και των σκοπών της επεξεργασίας, ο υπεύθυνος επεξεργασίας αξιολογεί πρώτα τις συνέπειες της εκτέλεσης της επεξεργασίας για τα υποκείμενα των δεδομένων.

παρ. 2

2. Για τη διερεύνηση παρόμοιων πράξεων επεξεργα- σίας με παρόμοιες δυνατότητες σημαντικού κινδύνου, μπορεί να διεξαχθεί κοινή εκτίμηση αντίκτυπου για την προστασία των δεδομένων προσωπικού χαρακτήρα.

παρ. 3

3. Η εκτίμηση αντικτύπου λαμβάνει υπόψη τα δικαι- ώματα του υποκειμένου που επηρεάζονται από την επεξεργασία και πρέπει να περιέχει τουλάχιστον τα ακόλουθα: α) συστηματική περιγραφή των προβλεπόμενων πρά- ξεων και σκοπών της επεξεργασίας· β) εκτίμηση της αναγκαιότητας και αναλογικότητας των πράξεων επεξεργασίας σε συνάρτηση με τους επι- διωκόμενους σκοπούς· γ) εκτίμηση των κινδύνων για τα προστατευόμενα έν- νομα συμφέροντα του υποκειμένου των δεδομένων· και δ) τα μέτρα που πρέπει να ληφθούν για την αντιμε-

παρ. 4

4. Όταν κρίνεται απαραίτητο, ο υπεύθυνος επεξεργασί- ας ελέγχει κατά πόσον η επεξεργασία ακολουθεί τις απαι- τήσεις που προέκυψαν από την εκτίμηση αντικτύπου.

Άρθρο 66

Άρθρο 66 Συνεργασία με την Αρχή (άρθρο 26 της Οδηγίας) Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξερ- γασία συνεργάζονται με την Αρχή κατά την εκτέλεση των καθηκόντων της.

Άρθρο 67

Άρθρο 67 Προηγούμενη διαβούλευση με την Αρχή (άρθρο 28 της Οδηγίας)

παρ. 1

1. Ο υπεύθυνος επεξεργασίας διαβουλεύεται με την Αρχή πριν από την επεξεργασία δεδομένων προσωπικού χαρακτήρα, τα οποία θα περιληφθούν σε νέο σύστημα αρχειοθέτησης που πρόκειται να δημιουργηθεί, εφόσον: α) προκύπτει από την εκτίμηση του άρθρου 65 ότι η επεξεργασία θα προκαλέσει σημαντικό κίνδυνο στα προστατευόμενα έννομα συμφέροντα του υποκειμένου των δεδομένων εάν ο υπεύθυνος επεξεργασίας δεν λάβει μέτρα για τον μετριασμό του· ή β) ο τύπος επεξεργασίας, ιδίως λόγω της χρήσης νέων τεχνολογιών, μηχανισμών ή διαδικασιών, ενέχει σημαντι- κό κίνδυνο για τα προστατευόμενα έννομα συμφέροντα του υποκειμένου των δεδομένων.

παρ. 2

2. Κατά την εκπόνηση σχεδίων νόμου ή κανονιστικών πράξεων, τα οποία αφορούν την επεξεργασία δεδομέ- νων προσωπικού χαρακτήρα από αρμόδιες αρχές, για τους σκοπούς του άρθρου 43 ή συνδέονται με αυτή ζη- τείται εγκαίρως η γνώμη της Αρχής.

παρ. 3

3. Η Αρχή μπορεί να καταρτίζει κατάλογο πράξεων επεξεργασίας, οι οποίες υπόκεινται σε προηγούμενη διαβούλευση σύμφωνα με την παράγραφο 1. Η Αρχή κοινοποιεί τον εν λόγω κατάλογο στον υπεύθυνο επε- ξεργασίας.

παρ. 4

4. Κατά τη διενέργεια της προηγούμενης διαβούλευ- σης υποβάλλονται στην Αρχή: α) η εκτίμηση αντικτύπου για την προστασία των δε- δομένων που διενεργείται σύμφωνα με το άρθρο 65· β) κατά περίπτωση, πληροφορίες σχετικά με τις αρμο- διότητες του υπεύθυνου επεξεργασίας, των από κοινού υπεύθυνων επεξεργασίας και των εμπλεκομένων εκτε- λούντων την επεξεργασία· γ) πληροφορίες σχετικά με τους σκοπούς και τα μέσα της σχεδιαζόμενης επεξεργασίας· δ) πληροφορίες σχετικά με τα μέτρα και τις διασφα- λίσεις που αποσκοπούν στην προστασία των έννομων

παρ. 5

5. Εάν η Αρχή πιστεύει ότι η προβλεπόμενη επεξερ- γασία θα παραβίαζε το νόμο, ιδίως επειδή ο υπεύθυνος επεξεργασίας δεν έχει προσδιορίσει επαρκώς τον κίνδυ- νο ή δεν έχει λάβει επαρκή μέτρα για τον μετριασμό του κινδύνου, μπορεί να παράσχει, εντός προθεσμίας έξι (6) εβδομάδων από την λήψη της αίτησης διαβούλευσης, έγγραφες συστάσεις στον υπεύθυνο επεξεργασίας, και κατά περίπτωση, στον εκτελούντα την επεξεργασία, όσον αφορά τα πρόσθετα μέτρα που πρέπει να ληφθούν. Η Αρχή μπορεί να παρατείνει την προθεσμία αυτή κατά ένα (1) μήνα εάν η προγραμματισμένη επεξεργασία είναι ιδιαίτερα περίπλοκη. Στην περίπτωση αυτή η Αρχή ενη- μερώνει τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία για την παράταση αυτή.

παρ. 6

6. Εάν η επιχειρούμενη επεξεργασία είναι απαραίτητη για την εκτέλεση των καθηκόντων του υπεύθυνου επε- ξεργασίας και, ως εκ τούτου, είναι ιδιαίτερα επείγουσα, ο υπεύθυνος επεξεργασίας μπορεί να κινήσει την επεξερ- γασία μετά την έναρξη της διαβούλευσης, αλλά πριν από τη λήξη της προθεσμίας του πρώτου εδαφίου της προ- ηγούμενης παραγράφου. Στην περίπτωση αυτή, οι συ- στάσεις πρέπει να λαμβάνονται υπόψη εκ των υστέρων και ο τρόπος επεξεργασίας προσαρμόζεται αναλόγως.

Άρθρο 68

Άρθρο 68 Αρχεία των δραστηριοτήτων επεξεργασίας (άρθρο 24 της Οδηγίας)

παρ. 1

1. Ο υπεύθυνος επεξεργασίας πρέπει να τηρεί αρχείο για όλες τις κατηγορίες δραστηριοτήτων επεξεργασίας που εμπίπτουν στην αρμοδιότητά του. Το αρχείο περι- λαμβάνει τις ακόλουθες πληροφορίες: α) το ονοματεπώνυμο ή την επωνυμία και τα στοιχεία επικοινωνίας του υπεύθυνου επεξεργασίας και, κατά περίπτωση, οποιουδήποτε από κοινού υπεύθυνου επε- ξεργασίας και ΥΠΔ· β) τους σκοπούς της επεξεργασίας· γ) τις κατηγορίες αποδεκτών στους οποίους γνωστο- ποιήθηκαν ή πρόκειται να γνωστοποιηθούν τα δεδομένα προσωπικού χαρακτήρα, περιλαμβανομένων των απο-

παρ. 2

2. Ο εκτελών την επεξεργασία πρέπει να διατηρεί αρ- χείο για όλες της κατηγορίες επεξεργασίας που εκτελού- νται για λογαριασμό του υπεύθυνου επεξεργασίας, το οποίο περιλαμβάνει: α) το ονοματεπώνυμο ή την επωνυμία και τα στοιχεία επικοινωνίας κάθε εκτελούντος την επεξεργασία, κάθε υπεύθυνου επεξεργασίας για λογαριασμό του οποίου ενεργεί ο εκτελών και, κατά περίπτωση, του ΥΠΔ· β) τις κατηγορίες επεξεργασίας που διενεργούνται για λογαριασμό κάθε υπεύθυνου επεξεργασίας· γ) τις κατά περίπτωση διαβιβάσεις δεδομένων προ- σωπικού χαρακτήρα προς αναφερόμενη τρίτη χώρα ή

παρ. 3

3. Τα αρχεία των παραγράφων 1 και 2 τηρούνται γρα- πτώς.

παρ. 4

4. Ο υπεύθυνος επεξεργασίας και ο εκτελών την επε- ξεργασία, θέτουν τα αρχεία στη διάθεση της Αρχής κα- τόπιν αιτήσεώς της.

Άρθρο 69

Άρθρο 69 Προστασία δεδομένων από τον σχεδιασμό και εξ’ ορισμού (άρθρο 20 της Οδηγίας)

παρ. 1

1. Ο υπεύθυνος επεξεργασίας, τόσο κατά τον καθορι- σμό των μέσων επεξεργασίας όσο και κατά τον χρόνο της επεξεργασίας, λαμβάνει τα κατάλληλα μέτρα για την εφαρμογή των αρχών προστασίας των δεδομένων προσωπικού χαρακτήρα, όπως η ελαχιστοποίηση των δεδομένων, με αποτελεσματικό τρόπο, ώστε να διασφα- λίζεται η συμμόρφωση με τις νομικές απαιτήσεις και την προστασία των δικαιωμάτων των υποκειμένων των δε- δομένων. Ο υπεύθυνος επεξεργασίας λαμβάνει υπόψη την κατάσταση της τεχνολογίας, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους

παρ. 2

2. Ο υπεύθυνος επεξεργασίας εφαρμόζει τα κατάλληλα τεχνικά και οργανωτικά μέτρα για να διασφαλίσει ότι, εξ ορισμού, υφίστανται επεξεργασία μόνο τα δεδομένα προσωπικού χαρακτήρα που είναι αναγκαία για κάθε συγκεκριμένο σκοπό της επεξεργασίας. Αυτό ισχύει για τον αριθμό των συλλεγόμενων δεδομένων, την έκταση της επεξεργασίας τους, την περίοδο αποθήκευσής τους και την προσβασιμότητα τους. Ειδικότερα, τα μέτρα πρέ- πει να διασφαλίζουν ότι, εξ ορισμού, τα δεδομένα δεν γίνονται προσπελάσιμα με αυτοματοποιημένα μέσα σε αόριστο αριθμό προσώπων.

Άρθρο 70

Άρθρο 70 Διάκριση μεταξύ διαφορετικών κατηγοριών υποκειμένων των δεδομένων (άρθρο 6 της Οδηγίας)

παρ. 1

1. Κατά την επεξεργασία δεδομένων προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας προβαίνει, στο μέτρο του εφικτού, σε σαφή διάκριση μεταξύ των διαφο- ρετικών κατηγοριών υποκειμένων των δεδομένων. Αυτό ισχύει ιδίως για τις ακόλουθες κατηγορίες: α) προσώπων για τα οποία υπάρχουν σοβαροί λόγοι να πιστεύεται ότι έχουν διαπράξει ποινικό αδίκημα· β) προσώπων για τα οποία υπάρχουν σοβαροί λόγοι να πιστεύεται ότι πρόκειται να διαπράξουν ποινικό αδίκημα· γ) προσώπων που έχουν καταδικαστεί για ποινικό αδίκημα· δ) θυμάτων εκ ποινικού αδικήματος ή προσώπων για

Άρθρο 71

Άρθρο 71 Διάκριση δεδομένων προσωπικού χαρακτήρα και επαλήθευση της ταυτότητάς τους (άρθρο 7 της Οδηγίας) Κατά την επεξεργασία, ο υπεύθυνος επεξεργασίας δια- κρίνει, στο μέτρο του εφικτού, τα δεδομένα προσωπικού χαρακτήρα που βασίζονται σε πραγματικές καταστάσεις και αυτά που βασίζονται σε προσωπικές εκτιμήσεις. Για το σκοπό αυτό, ο υπεύθυνος επεξεργασίας προσδιορίζει τις αξιολογήσεις που βασίζονται σε προσωπικές εκτιμή- σεις ως τέτοιες, στο μέτρο του εφικτού στο πλαίσιο της εν λόγω επεξεργασίας. Πρέπει επίσης να είναι δυνατό να προσδιοριστεί ποιά δημόσια αρχή διατηρεί τα αρχεία στα οποία βασίζεται η αξιολόγηση κατόπιν προσωπικής εκτίμησης.

Άρθρο 72

Άρθρο 72 Διαδικασία διαβίβασης (άρθρα 7 και 9 της Οδηγίας)

παρ. 1

1. Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να διασφαλίσει ότι τα δεδομένα προσωπικού χαρακτήρα που είναι ανακριβή ή δεν είναι πλέον επι- καιροποιημένα δεν διαβιβάζονται ούτε διατίθενται με άλλον τρόπο. Για τον σκοπό αυτό, ο υπεύθυνος επεξερ- γασίας επαληθεύει, στο μέτρο του δυνατού, καταβάλλο- ντας εύλογη προσπάθεια, την ποιότητα των δεδομένων πριν από τη διαβίβαση ή τη διάθεσή τους. Ο υπεύθυνος επεξεργασίας πρέπει επίσης, στο μέτρο του δυνατού και εύλογου, σε όλες τις διαβιβάσεις δεδομένων προσωπι- κού χαρακτήρα να περιλαμβάνει τις απαραίτητες πληρο- φορίες που θα επιτρέπουν στον αποδέκτη να αξιολογεί τον βαθμό ακρίβειας, πληρότητας και αξιοπιστίας των δεδομένων, καθώς και τον βαθμό στον οποίο αυτά είναι επικαιροποιημένα.

παρ. 2

2. Εάν η επεξεργασία δεδομένων προσωπικού χα- ρακτήρα υπόκειται σε ειδικούς όρους, όσον αφορά τη διαβίβασή τους, η διαβιβάζουσα αρχή ενημερώνει τον αποδέκτη για τους όρους αυτούς και την υποχρέωση τήρησής της. Η υποχρέωση παροχής πληροφοριών μπορεί να πληρούται με την ανάλογη επισήμανση των δεδομένων.

παρ. 3

3. Η διαβιβάζουσα αρμόδια αρχή δεν εφαρμόζει τους όρους της προηγούμενης παραγράφου στους αποδέκτες σε άλλα κράτη - μέλη της Ευρωπαϊκής Ένωσης ή σε ορ- γανισμούς, υπηρεσίες και όργανα που έχουν συσταθεί σύμφωνα με τον τίτλο V κεφάλαια 4 και 5 της Συνθήκης για τη Λειτουργία της Ευρωπαϊκής Ένωσης, εκτός από εκείνους που ισχύουν για ανάλογες διαβιβάσεις δεδο- μένων εντός της Ελληνικής Επικράτειας.

Άρθρο 73

Άρθρο 73 Διόρθωση και διαγραφή δεδομένων προσωπικού χαρακτήρα και περιορισμός της επεξεργασίας (άρθρο 5 της Οδηγίας)

παρ. 1

1. Ο υπεύθυνος επεξεργασίας διορθώνει ανακριβή δεδομένα προσωπικού χαρακτήρα.

παρ. 2

2. Ο υπεύθυνος επεξεργασίας διαγράφει τα δεδομέ- να προσωπικού χαρακτήρα χωρίς καθυστέρηση, εάν η επεξεργασία τους είναι παράνομη, και αυτά πρέπει να διαγραφούν προς εκπλήρωση νομικής υποχρέωσης ή η γνώση τους δεν είναι πλέον απαραίτητη για την εκτέλεση των καθηκόντων του.

παρ. 3

3. Οι παράγραφοι 3 έως και 5 του άρθρου 56 εφαρ- μόζονται αναλόγως. Ο αποδέκτης ενημερώνεται επίσης εάν έχουν διαβιβαστεί ανακριβή δεδομένα προσωπικού χαρακτήρα ή εάν τα δεδομένα προσωπικού χαρακτήρα έχουν διαβιβαστεί παράνομα.

παρ. 4

4. Με την επιφύλαξη των οριζόμενων από νομικές δι- ατάξεις μέγιστων προθεσμιών αποθήκευσης ή διαγρα- φής, ο υπεύθυνος επεξεργασίας προβλέπει τη διαγραφή δεδομένων προσωπικού χαρακτήρα ή την περιοδική επανεξέταση της ανάγκης για την αποθήκευσή τους και εξασφαλίζει με διαδικαστικές ρυθμίσεις την τήρηση των προθεσμιών αυτών.

Άρθρο 74

Άρθρο 74 Καταχωρίσεις (άρθρο 25 της Οδηγίας)

παρ. 1

1. Ο υπεύθυνος επεξεργασίας και ο εκτελών την επε- ξεργασία τηρούν καταχωρίσεις σε αυτοματοποιημένα συστήματα επεξεργασίας τουλάχιστον για τις ακόλουθες πράξεις επεξεργασίας: α) συλλογή, β) μεταβολή, γ) διαβούλευση, δ) κοινολόγηση, συμπεριλαμβανομένων των διαβι- βάσεων, ε) συνδυασμό και στ) διαγραφή.

παρ. 2

2. Οι καταχωρίσεις διαβουλεύσεων και κοινολογήσεων πρέπει να επιτρέπουν να εξακριβώνεται η αιτιολόγηση, η ημερομηνία και η ώρα των εν λόγω πράξεων και, στο μέτρο του δυνατού, η ταυτότητα του προσώπου που συμβουλεύτηκε ή κοινολόγησε δεδομένα προσωπικού χαρακτήρα, καθώς και η ταυτότητα των αποδεκτών των δεδομένων.

παρ. 3

3. Οι καταχωρίσεις μπορούν να χρησιμοποιούνται μόνο για την επαλήθευση της νομιμότητας της επεξερ- γασίας δεδομένων προσωπικού χαρακτήρα από την Αρχή και το υποκείμενο των δεδομένων, καθώς και για τον αυτοέλεγχο, τη διασφάλιση της ακεραιότητας και της ασφάλειας των προσωπικών δεδομένων και για την ποινική διαδικασία.

παρ. 4

4. Οι καταχωρίσεις διαγράφονται στο τέλος του έτους που έπεται του έτους κατά το οποίο δημιουργήθηκαν.

παρ. 5

5. Ο υπεύθυνος επεξεργασίας και ο εκτελών την επε- ξεργασία θέτουν τις καταχωρίσεις στη διάθεση της Αρ- χής κατόπιν αιτήματός της.

ΤΜΗΜΑ V

ΤΜΗΜΑ V ΔΙΑΒΙΒΑΣΕΙΣ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΠΡΟΣ ΤΡΙΤΕΣ ΧΩΡΕΣ Η ΔΙΕΘΝΕΙΣ ΟΡΓΑΝΙΣΜΟΥΣ

Άρθρο 75

Άρθρο 75 Γενικές αρχές που διέπουν τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα (άρθρο 35 της Οδηγίας)

παρ. 1

1. Εάν πληρούνται όλες οι λοιπές προϋποθέσεις που ισχύουν για τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα, όπως αυτές καθορίζονται με το παρόν Κε- φάλαιο, επιτρέπεται η διαβίβαση δεδομένων προσω- πικού χαρακτήρα σε αρχές τρίτων χωρών ή σε διεθνείς οργανισμούς εφόσον: α) η αρχή ή ο διεθνής οργανισμός είναι αρμόδιοι για τους σκοπούς που αναφέρονται στο άρθρο 43, και β) η Επιτροπή έχει εκδώσει απόφαση περί εξασφάλι- σης επαρκούς επιπέδου προστασίας από την τρίτη χώρα, εδαφική περιοχή ή από έναν ή περισσότερους συγκε- κριμένους τομείς στην εν λόγω τρίτη χώρα ή από τον εν

παρ. 2

2. Η διαβίβαση δεδομένων προσωπικού χαρακτήρα δεν επιτρέπεται, παρά την ύπαρξη απόφασης επάρκει- ας σύμφωνα με την προηγούμενη παράγραφο και πα- ρόλο που το επιτάσσει το δημόσιο συμφέρον, εάν στη συγκεκριμένη περίπτωση δεν μπορεί να διασφαλισθεί η προστασία των θεμελιωδών δικαιωμάτων και έννομων συμφερόντων του υποκειμένου των δεδομένων κατά την επεξεργασία των δεδομένων του από τον αποδέ- κτη τους. Ο υπεύθυνος επεξεργασίας εκτιμά τον βαθμό διασφάλισης προστασίας των ως άνω δικαιωμάτων και έννομων συμφερόντων του υποκειμένου με βάση το κατά πόσον ο παραλήπτης των δεδομένων προσωπικού χαρακτήρα στην τρίτη χώρα εγγυάται στη συγκεκριμένη περίπτωση την κατάλληλη προστασία τους.

παρ. 3

3. Όταν τα δεδομένα προσωπικού χαρακτήρα που δι- αβιβάζονται ή διατίθενται από άλλο κράτος - μέλος της Ευρωπαϊκής Ένωσης πρέπει να διαβιβάζονται σύμφωνα με την παράγραφο 1, η διαβίβαση αυτή πρέπει πρώτα να εγκριθεί από την αρμόδια αρχή του άλλου κράτους - μέλους. Διαβιβάσεις χωρίς προηγούμενη άδεια επιτρέ- πονται μόνον εάν η μεταφορά είναι αναγκαία για την αποφυγή άμεσου και σοβαρού κινδύνου για τη δημόσια ασφάλεια ενός κράτους ή για τα ουσιώδη συμφέροντα ενός κράτους - μέλους και η προηγούμενη έγκριση δεν μπορεί να ληφθεί έγκαιρα. Στην περίπτωση της παρα- γράφου 2, η αρχή ή ο οργανισμός του άλλου κράτους - μέλους ο οποίος θα ήταν υπεύθυνος για τη χορήγηση της άδειας ενημερώνεται αμέσως για τη διαβίβαση.

παρ. 4

4. Ο υπεύθυνος επεξεργασίας που διαβιβάζει δεδομέ- να προσωπικού χαρακτήρα σύμφωνα με την παράγρα- φο 1 λαμβάνει τα κατάλληλα μέτρα για να εξασφαλίσει ότι ο παραλήπτης διαβιβάζει μόνο τα διαβιβασθέντα δεδομένα σε άλλες τρίτες χώρες ή σε άλλους διεθνείς οργανισμούς, εφόσον ο υπεύθυνος επεξεργασίας έχει προηγουμένως επιτρέψει τη διαβίβαση αυτή. Όταν απο- φασίζει να χορηγήσει την έγκριση, ο υπεύθυνος επεξερ- γασίας λαμβάνει υπόψη όλους τους σχετικούς παράγο- ντες, ιδίως τη σοβαρότητα του αδικήματος, τον σκοπό της αρχικής διαβίβασης και το υπάρχον στην τρίτη χώρα ή τον διεθνή οργανισμό, όπου πρέπει να διαβιβαστούν

Άρθρο 76

Άρθρο 76 Διαβιβάσεις που υπόκεινται σε κατάλληλες εγγυήσεις (άρθρο 37 της Οδηγίας)

παρ. 1

1. Ελλείψει απόφασης περί εξασφάλισης επαρκούς επιπέδου προστασίας σύμφωνα με την παράγραφο 1 εδάφιο β΄ του προηγούμενου άρθρου, η διαβίβαση δε- δομένων προσωπικού χαρακτήρα προς τρίτη χώρα ή διεθνή οργανισμό μπορεί να πραγματοποιηθεί εφόσον: α) παρασχέθηκαν σε νομικά δεσμευτική πράξη κατάλ- ληλες εγγυήσεις όσον αφορά την προστασία δεδομένων προσωπικού χαρακτήρα, ή β) ο υπεύθυνος επεξεργασίας αξιολόγησε τις συνθήκες της διαβίβασης δεδομένων προσωπικού χαρακτήρα και έκρινε ότι υπάρχουν κατάλληλες εγγυήσεις όσον αφορά την προστασία τους.

παρ. 2

2. Ο υπεύθυνος επεξεργασίας καταχωρίζει τις διαβι- βάσεις σύμφωνα με την περίπτωση β΄ της παραγράφου 1. Η καταχώριση περιλαμβάνει την ημερομηνία και την ώρα της διαβίβασης, την ταυτότητα του αποδέκτη, τον λόγο της διαβίβασης και τα διαβιβαζόμενα δεδομένα προσωπικού χαρακτήρα. Η ανωτέρω καταχώριση τίθεται στη διάθεση της Αρχής κατόπιν αιτήματός της.

Άρθρο 77

Άρθρο 77 Παρεκκλίσεις για ειδικές καταστάσεις (άρθρο 38 της Οδηγίας)

παρ. 1

1. Ελλείψει απόφασης περί εξασφάλισης επαρκούς επιπέδου προστασίας σύμφωνα με την παράγραφο 1 εδάφιο β΄ του άρθρου 75 ή κατάλληλων εγγυήσεων δυ- νάμει της παραγράφου 1 του προηγούμενου άρθρου, διαβιβάσεις που πληρούν τις λοιπές προϋποθέσεις του άρθρου 75 διενεργούνται μόνο εφόσον αυτό είναι απα- ραίτητο: α) για την προστασία των ζωτικών συμφερόντων του υποκειμένου των δεδομένων ή άλλου προσώπου, β) για την προστασία έννομων συμφερόντων του υπο- κειμένου των δεδομένων, γ) για την πρόληψη άμεσης και σοβαρής απειλής για

παρ. 2

2. Δεν επιτρέπεται η διαβίβαση των δεδομένων προ- σωπικού χαρακτήρα σύμφωνα με την προηγούμενη πα- ράγραφο, όταν η διαβιβάζουσα Αρμόδια αρχή κρίνει ότι τα θεμελιώδη δικαιώματα και τα έννομα συμφέροντα του υποκειμένου των δεδομένων υπερτερούν του δη- μοσίου συμφέροντος για τη διενέργεια της διαβίβασης.

παρ. 3

3. Για τις διαβιβάσεις της παραγράφου 1 εφαρμόζεται αναλόγως η παράγραφος 2 του προηγούμενου άρθρου.

Άρθρο 78

Άρθρο 78 Διαβίβαση δεδομένων προσωπικού χαρακτήρα προς αποδέκτες εγκατεστημένους σε τρίτες χώρες (άρθρο 39 της Οδηγίας)

παρ. 1

1. Σε ειδικές εξατομικευμένες περιπτώσεις και εάν πληρούνται όλες οι άλλες απαιτήσεις για διαβιβάσεις δεδομένων σε τρίτες χώρες, οι υπεύθυνοι επεξεργασίας μπορούν να διαβιβάζουν δεδομένα προσωπικού χαρα- κτήρα απευθείας σε αποδέκτες σε τρίτες χώρες που δεν αναφέρονται στην περίπτωση α΄ της παραγράφου 1 του άρθρου 75, εάν η διαβίβαση είναι απολύτως απαραίτητη για την εκτέλεση των καθηκόντων τους, και α) στη συγκεκριμένη περίπτωση, κανένα θεμελιώδες δικαίωμα του υποκειμένου των δεδομένων δεν υπερτε- ρεί του δημοσίου συμφέροντος για τη διαβίβαση, β) η διαβίβαση στις αρχές που αναφέρονται στην πε-

παρ. 2

2. Στην περίπτωση της παραγράφου 1, ο υπεύθυνος επεξεργασίας ενημερώνει χωρίς καθυστέρηση τις αρχές που αναφέρονται στην περίπτωση α΄ της παραγράφου 1 του άρθρου 75, εκτός εάν αυτό είναι αναποτελεσματικό ή ακατάλληλο.

παρ. 3

3. Οι παράγραφοι 2 και 3 του άρθρου 75 εφαρμόζονται αναλόγως στις διαβιβάσεις σύμφωνα με την παράγραφο 1.

παρ. 4

4. Στην περίπτωση διαβιβάσεων σύμφωνα με την πα- ράγραφο 1 ο υπεύθυνος επεξεργασίας υποχρεώνει τον αποδέκτη να επεξεργάζεται τα διαβιβασθέντα δεδομέ- να προσωπικού χαρακτήρα χωρίς τη συγκατάθεση του υπεύθυνου επεξεργασίας μόνο για τον σκοπό για τον οποίο διαβιβάσθηκαν.

παρ. 5

5. Οι συμφωνίες στον τομέα της δικαστικής συνεργα- σίας σε ποινικές υποθέσεις και της αστυνομικής συνερ- γασίας δεν επηρεάζονται.

ΤΜΗΜΑ VI

ΤΜΗΜΑ VI ΣΥΝΕΡΓΑΣΙΑ ΜΕΤΑΞΥ ΕΠΟΠΤΙΚΩΝ ΑΡΧΩΝ

Άρθρο 79

Άρθρο 79 Αμοιβαία συνδρομή (άρθρο 50 της Οδηγίας)

παρ. 1

1. Η Αρχή παρέχει στις εποπτικές αρχές άλλων κρα- τών-μελών της Ευρωπαϊκής Ένωσης πληροφορίες και αμοιβαία συνδρομή στο μέτρο που είναι απαραίτητο για την εφαρμογή του παρόντος Κεφαλαίου. Η αμοιβαία συνδρομή καλύπτει ιδίως αιτήματα παροχής πληροφο- ριών και εποπτικά μέτρα, όπως αιτήματα για διαβουλεύ- σεις, ελέγχους και έρευνες.

παρ. 2

2. Η Αρχή λαμβάνει όλα τα κατάλληλα μέτρα που απαιτούνται για να απαντήσει χωρίς καθυστέρηση σε αίτημα αμοιβαίας συνδρομής άλλης εποπτικής αρχής κράτους-μέλους και το αργότερο σε ένα μήνα μετά την παραλαβή της αίτησης.

παρ. 3

3. Η Αρχή μπορεί να αρνηθεί να συμμορφωθεί με το αίτημα: α) εάν δεν είναι αρμόδια για το αντικείμενο του αιτή- ματος ή για τα μέτρα που καλείται να εκτελέσει, ή β) η συμμόρφωση με το αίτημα παραβιάζει τον νόμο.

παρ. 4

4. Η Αρχή ενημερώνει την αιτούσα εποπτική αρχή του άλλου κράτους - μέλους για τα αποτελέσματα ή, κατά περίπτωση, για την πρόοδο ή τα μέτρα που έλαβε για να ανταποκριθεί στο αίτημα. Στην περίπτωση της προ- ηγούμενης παραγράφου, αιτιολογεί την άρνησή της να συμμορφωθεί με το αίτημα.

παρ. 5

5. Η Αρχή παρέχει, κατά κανόνα, τις πληροφορίες που ζητούνται από την εποπτική αρχή του άλλου κράτους- μέλους με ηλεκτρονικά μέσα και σε τυποποιημένη μορ- φή.

παρ. 6

6. Η Αρχή δεν χρεώνει τέλος για τις ενέργειες που ανα- λαμβάνονται σύμφωνα με το αίτημα αμοιβαίας συνδρο- μής, εκτός εάν έχει συμφωνήσει με την εποπτική Αρχή του άλλου κράτους σε εξατομικευμένες περιπτώσεις σε αποζημίωση για συγκεκριμένες δαπάνες που προκύ- πτουν από την παροχή αμοιβαίας συνδρομής.

παρ. 7

7. Τα αιτήματα συνδρομής στην Αρχή παρέχουν όλες τις απαραίτητες πληροφορίες, συμπεριλαμβανομένου του σκοπού του αιτήματος και των λόγων υποβολής του. Οι πληροφορίες που ανταλλάσσονται χρησιμοποιούνται μόνο για τον σκοπό για τον οποίο ζητήθηκαν.

ΤΜΗΜΑ VII

ΤΜΗΜΑ VII ΕΥΘΥΝΗ ΚΑΙ ΚΥΡΩΣΕΙΣ

Άρθρο 80

Άρθρο 80 Αστική ευθύνη του υπεύθυνου επεξεργασίας (άρθρα 54 και 56 της Οδηγίας) Δημόσια αρχή, με την ιδιότητα του υπεύθυνου επε- ξεργασίας δεδομένων προσωπικού χαρακτήρα, που έχει προκαλέσει παρανόμως ζημία στο υποκείμενο των δεδομένων προσωπικού χαρακτήρα, κατά παράβαση των διατάξεων των άρθρων 6 έως και 8 ή των διατάξε- ων του παρόντος Κεφαλαίου υποχρεούται, σύμφωνα με τις διατάξεις των άρθρων 105 και 106 του ΕισΝΑΚ, σε αποζημίωση ή σε χρηματική ικανοποίηση λόγω ηθικής βλάβης στο υποκείμενο των δεδομένων.

Άρθρο 81

Άρθρο 81 Ποινικές κυρώσεις (άρθρα 54 και 57 της Οδηγίας) Το άρθρο 38 εφαρμόζεται και στην επεξεργασία δε- δομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς του άρθρου 43.

Άρθρο 82

Άρθρο 82 Διοικητικές κυρώσεις (άρθρα 54 και 57 της Οδηγίας)

παρ. 1

1. Με την επιφύλαξη των εξουσιών ελέγχου της Αρχής σύμφωνα με το άρθρο 15 του παρόντος, η Αρχή με ειδικά αιτιολογημένη απόφασή της και κατόπιν προηγούμενης κλήσης για παροχή εξηγήσεων των ενδιαφερομένων μπορεί να επιβάλει σε αρμόδιες Αρχές για παραβάσεις των υποχρεώσεών τους ως υπεύθυνων επεξεργασίας δεδομένων προσωπικού χαρακτήρα τα παρακάτω δι- οικητικά πρόστιμα: α) για παραβάσεις των άρθρων 6 έως 8 και των άρθρων 60 έως 78 διοικητικό πρόστιμο έως ένα εκατομμύριο (1.000.000) ευρώ, β) για παραβάσεις των άρθρων 45 έως 57, διοικητικό

παρ. 2

2. Κατά τη λήψη απόφασης σχετικά με την επιβολή διοικητικού προστίμου, καθώς και για το ύψος αυτού, για κάθε εξατομικευμένη περίπτωση λαμβάνονται υπόψη τα ακόλουθα: α) η φύση, η βαρύτητα, η διάρκεια της παράβασης, η έκταση ή ο σκοπός της σχετικής επεξεργασίας, καθώς και ο αριθμός των υποκειμένων των δεδομένων που έθιξε η παράβαση και το μέγεθος της ζημίας που αυτά υπέστησαν, β) οποιεσδήποτε ενέργειες στις οποίες προέβη η αρ- μόδια Αρχή για να μετριάσει τη ζημία που υπέστησαν τα υποκείμενα των δεδομένων προσωπικού χαρακτήρα,

ΚΕΦΑΛΑΙΟ Ε΄

ΚΕΦΑΛΑΙΟ Ε΄ ΤΕΛΙΚΕΣ ΚΑΙ ΜΕΤΑΒΑΤΙΚΕΣ ΔΙΑΤΑΞΕΙΣ

Άρθρο 83

Άρθρο 83 Μεταβατικές διατάξεις

παρ. 1

1. Όπου σε διατάξεις της κείμενης νομοθεσίας γίνεται αναφορά στον ν. 2472/1997 νοείται ως αναφορά στις οικείες διατάξεις του ΓΚΠΔ και του παρόντος.

παρ. 2

2. Οι οδηγίες και κανονιστικές πράξεις της Αρχής δια- τηρούνται σε ισχύ, εφόσον δεν προσκρούουν στον ΓΚΠΔ και στις ρυθμίσεις του παρόντος.

παρ. 3

3. Το μόνιμο και με σχέση εργασίας ιδιωτικού δικαίου προσωπικό που υπηρετεί, κατά την ψήφιση του παρό- ντος, στην Αρχή, κατατάσσεται αυτοδικαίως σε αντί- στοιχες, κατά κατηγορία, κλάδο ή ειδικότητα, θέσεις δημοσίου ή ιδιωτικού δικαίου, σύμφωνα με τα τυπικά του προσόντα.

παρ. 4

4. Αιτήσεις που εκκρεμούσαν ενώπιον της Αρχής έως τις 25.5.2018, πέραν των παραδεκτών προσφυγών των υποκειμένων δεδομένων προσωπικού χαρακτήρα, τίθε- νται στο αρχείο με διαπιστωτική πράξη του Προέδρου της Αρχής.

Άρθρο 84

Άρθρο 84 Καταργούμενες διατάξεις Ο ν. 2472/1997 «Προστασία του ατόμου από την επε- ξεργασία δεδομένων προσωπικού χαρακτήρα», με την επιφύλαξη των ορισμών του άρθρου 2, όπου γίνεται ρητή παραπομπή σε αυτούς σε σχετική με τα προσω- πικά δεδομένα νομοθεσία, του δεύτερου έως και του τελευταίου εδαφίου της περίπτωσης β΄ του άρθρου 2 για την ανακοίνωση και δημοσιοποίηση δεδομένων προσωπικού χαρακτήρα και του εδαφίου β΄ της παρα- γράφου 2 του άρθρου 3, μόνο ως προς τα αδικήματα που περιγράφονται σε αυτό, του τρίτου έως και του τε-

Άρθρο 85

Άρθρο 85 Ισχύς διεθνών ή διμερών διεθνών συμφωνιών Διεθνείς ή διμερείς διεθνείς συμφωνίες που αφορούν στη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες ή διεθνείς οργανισμούς στο πεδίο της δι- καστικής συνεργασίας για ποινικές υποθέσεις ή αστυ- νομικής συνεργασίας πριν από την 6.5.2016 και οι οποί- ες είναι συμβατές προς το εφαρμοστέο πριν από την ημερομηνία αυτή ενωσιακό δίκαιο εξακολουθούν να ισχύουν έως ότου τροποποιηθούν, αντικατασταθούν ή ανακληθούν.

Άρθρο 86

Άρθρο 86

παρ. 1

1. Από την έναρξη ισχύος του παρόντος και με την επιφύλαξη των παραγράφων 2, 3 και 4, καταργούνται: (α) το άρθρο πρώτο της από 18.7.2015 Πράξης Νομοθετι- κού Περιεχομένου «Επείγουσες Ρυθμίσεις για τη θέσπιση περιορισμών στην ανάληψη μετρητών και τη μεταφορά κεφαλαίων» (Α΄ 84), η οποία κυρώθηκε με το άρθρο 4 του ν. 4350/2015 (Α’ 161), όπως ισχύει, (β) οι υπουργικές αποφάσεις που εκδόθηκαν κατ’ εξουσιοδότηση των δια- τάξεων της ως άνω από 18.7.2015 Πράξης Νομοθετικού Περιεχομένου και (γ) οι κανονιστικές αποφάσεις της Επι- τροπής Έγκρισης Τραπεζικών Συναλλαγών, που συστά- θηκε δια της παραγράφου 4 του άρθρου πρώτου της από 28 Ιουνίου 2015 Πράξης Νομοθετικού Περιεχομένου «Τραπεζική αργία βραχείας διάρκειας» (Α΄ 65), η οποία κυρώθηκε με το άρθρο 1 του ν. 4350/2015, όπως ισχύει.

παρ. 2

2. Η Τράπεζα της Ελλάδος και η Επιτροπή Κεφαλαια- γοράς παραμένουν αρμόδιες για τη συνέχιση εκκρεμών ελέγχων και τη διενέργεια νέων (δειγματοληπτικών ή κατόπιν καταγγελίας) ως προς τη συμμόρφωση των εποπτευόμενων από αυτές ιδρυμάτων και φορέων με τις διατάξεις της από 18.7.2015 Πράξης Νομοθετικού Περιεχομένου «Επείγουσες Ρυθμίσεις για τη θέσπιση πε- ριορισμών στην ανάληψη μετρητών και τη μεταφορά κεφαλαίων» (Α΄ 84), η οποία κυρώθηκε με το άρθρο 4 του ν. 4350/2015 (Α΄ 161), όπως ισχύει, για παραβάσεις των διατάξεων αυτής που έλαβαν χώρα έως την έναρξη ισχύος του παρόντος. Οι παράγραφοι 13 και 13α του