ΔΙΕΡΕΥΝΩΝΤΑΣ ΤΙΣ ΠΤΥΧΕΣ ΤΗΣ ΤΕΧΝΗΤΗΣ ΝΟΗΜΟΣΥΝΗΣ

Κεντρική Ομιλία:

Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα ενώπιον των μεγάλων τεχνολογικών προκλήσεων

Κωνσταντίνος Μενουδάκος

Πρόεδρος Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, Επίτιμος Πρόεδρος ΣτΕ

Ι. Εισαγωγικές παρατηρήσεις

Α. Στον τίτλο της ομιλίας («Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα ενώπιον των μεγάλων τεχνολογικών προκλήσεων») υπάρχει ο υπότιτλος «Τα νέα νομοθετήματα της Ευρωπαϊκής Ένωσης και η αλληλεπίδραση με την προστασία δεδομένων». Αν θελήσει κάποιος να εξηγήσει λίγο περισσότερο τον υπότιτλο, θα προσέθετε «Η επίδραση των νέων νομοθετημάτων στις αρμοδιότητες και στη λειτουργία της Αρχής Προστασίας Δεδομένων».

Θα προσπαθήσω να καταγράψω τα νέα ευρωπαϊκά νομοθετήματα, των οποίων η εφαρμογή συνεπάγεται και επεξεργασία προσωπικών δεδομένων, αναφερόμενος ειδικότερα στις σχετικές ρυθμίσεις των κυριότερων από τα νομοθετήματα που έχουν θεσπιστεί την τελευταία διετία.

Είναι χρήσιμο να θυμίσω το έργο της Αρχής στο πλαίσιο των βασικών αρμοδιοτήτων της μέχρι την έναρξη εφαρμογής των νέων νομοθετημάτων.

Οι σημερινές αρμοδιότητες της Αρχής είναι κυρίως η εποπτεία της εφαρμογής των διατάξεων του βασικού νομοθετήματος για την προστασία των προσωπικών δεδομένων που είναι ο Γενικός Κανονισμός Προστασίας Δεδομένων (Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου), καθώς και του ν. 4624/2019, με τον οποίο αφενός ορίζονται μέτρα εφαρμογής του Κανονισμού αυτού και αφετέρου ενσωματώνεται στην ελληνική νομοθεσία η Οδηγία 2016/680 που αφορά την επεξεργασία προσωπικών δεδομένων από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων. Στις αρμοδιότητες της Αρχής περιλαμβάνεται και η εποπτεία της προστασίας των προσωπικών δεδομένων στον τομέα των ηλεκτρονικών επικοινωνιών σύμφωνα με το ν. 3471/2006, με τον οποίο έχει ενσωματωθεί η Οδη­γία 2002/58 για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές υπηρεσίες.

Οι αρμοδιότητες της Αρχής με βάση τα παραπάνω νομοθετήματα είναι ρυθμιστικές, ελεγκτικές - κυρωτικές, γνωμοδοτικές, ενημερωτικές και ασφαλώς ο τετραπλός αυ-

τός ρόλος διατηρείται στο πλαίσιο εφαρμογής των νέων νομοθετημάτων κατά το μέρος που αφορούν επεξεργασία προσωπικών δεδομένων.

Οι ρυθμιστικές αρμοδιότητες ασκούνται με πρωτοβουλία της Αρχής, πολλές φορές με αφορμή σχετικά αιτήματα ή καταγγελίες ή ενημέρωση ή πληροφορίες που λαμβάνει η Αρχή από ενδιαφερομένους ή από τα μέσα ενημέρωσης.

Οι γνωμοδοτικές αρμοδιότητες ασκούνται κυρίως κατόπιν αιτήματος των αρμόδιων κρατικών οργάνων (όπως στην περίπτωση της έκφρασης γνώμης για προωθούμενες ρυθμίσεις νόμων ή κανονιστικών πράξεων της Διοίκησης) ή άλλων φορέων, αλλά σε πολλές περιπτώσεις η Αρχή παρεμβαίνει με δική της πρωτοβουλία για να διατυπώσει τη γνώμη της. Η παροχή γνώμης στη Βουλή, την κυβέρνηση και άλλα όργανα και οργανισμούς για νομοθετικά και διοικητικά μέτρα που σχετίζονται με την προστασία των δικαιωμάτων και ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας αποτελεί αρμοδιότητα των αρχών προστασίας προσωπικών δεδομένων που προβλέπεται ρητώς στον Γενικό Κανονισμό Προστασίας Δεδομένων (ΓΚΠΔ), αλλά στην Ελλάδα μόνο την τελευταία διετία τα αρμόδια κρατικά όργανα αποστέλλουν στην Αρχή ικανό αριθμό αιτημάτων για την έκφραση γνώμης επί σχεδίων διατάξεων, κυρίως μετά τη δημοσίευση απόφασης του Συμβουλίου της Επικρατείας, με την οποία κρίθηκε ότι σε ορισμένες περιπτώσεις η αναζήτηση της γνώμης είναι υποχρεωτική.

Στο πλαίσιο της ενημερωτικής αποστολής της, η Αρχή αναλαμβάνει δράσεις, μέσω κυρίως ευρωπαϊκών προγραμμάτων, για τη δημιουργία υλικού με στόχο την ενημέρωση των υπευθύνων επεξεργασίας και των εκτελούντων την επεξεργασία για τις υποχρεώσεις τους και των υποκειμένων των δεδομένων για τα δικαιώματά τους και τους κινδύνους για τα προσωπικά τους δεδομένα συνολικότερα αλλά και με ειδικότερη στόχευση για τα παιδιά, διοργανώνει επιστημονικές εκδηλώσεις και συναντήσεις εργασίας και μεριμνά για τον διαρκή εμπλουτισμό της ιστοσελίδας της.

Οι ελεγκτικές – κυρωτικές αρμοδιότητες της Αρχής ασκούνται είτε κατόπιν καταγγελιών είτε αυτεπαγγέλτως.

Β. Ολοκληρώνω αυτές τις εισαγωγικές παρατηρήσεις με κάποια στατιστικά δεδομένα σχετικά με το ελεγκτικό έργο της Αρχής κατά την προηγούμενη τριετία.

Κατά τα έτη 2021, 2022 και 2023 υποβλήθηκαν 3.825 καταγγελίες. Από αυτές 2.400 αφορούν παραβίαση του Γενικού Κανονισμού Προστασίας Δεδομένων και οι 1425 παραβίαση του ν. 3471/2006 για την προστασία των προσωπικών δεδομένων στον τομέα των ηλεκτρονικών επικοινωνιών.

Αναλυτικότερα υποβλήθηκαν 1159 καταγγελίες το 2021, 1259 το 2022 και 1415 το 2023, ενώ στις αρχές του 2024, μέχρι σήμερα, ημέρα διεξαγωγής αυτού του συνεδρίου, δηλαδή το πρώτο τετράμηνο του έτους, υποβλήθηκαν 723 καταγγελίες, αυξημένες κατά 53% σε σχέση με την αντίστοιχη περίοδο του 2023. Παρατηρείται δηλαδή συνεχής σημαντική αύξηση των υποβαλλόμενων καταγγελιών, ενώ το δυναμικό της Αρχής παραμένει σταθερό.

Είναι αλήθεια ότι ο μεγάλος αριθμός των καταγγελιών αυτών διεκπεραιώνεται με έγγραφο, με το οποίο παρέχονται υποδείξεις στον υπεύθυνο επεξεργασίας και ενημέρωση στον καταγγέλλοντα, ή με πράξη αρχειοθέτησης όταν η καταγγελία κρίνεται προδήλως απαράδεκτη ή αβάσιμη, αλλά παραμένει ένας σημαντικός αριθμός υποθέσεων, για τις οποίες είναι αναγκαία η τήρηση της πολυτελούς και χρονοβόρας διαδικασίας κλήσης των ενδιαφερομένων σε ακρόαση ενώπιον της ολομέλειας ή του τμήματος ή του μονοπρόσωπου οργάνου της Αρχής προκειμένου να εκδοθεί σχετική απόφαση. Οι αποφάσεις που εκδόθηκαν με τη διαδικασία αυτή και επιβάλλουν κύρωση ανέρχονται σε 51 το 2021, 66 το 2022 και 46 το 2023. Ο αριθμός αποφάσεων είναι μειωμένος το 2023 διότι το έτος αυτό σχεδόν μηδενίστηκαν οι αποφάσεις επιβολής κυρώσεων για την αποστολή ανεπιθύμητων μηνυμάτων πολιτικής διαφήμισης με βάση τη νομοθεσία για την προστασία των προσωπικών δεδομένων στον τομέα των ηλεκτρονικών επικοινωνιών, δηλαδή του ν. 3471/2006, ύστερα από αποφάσεις του Συμβουλίου της Επικρατείας, με τις οποίες οι διατάξεις της νομοθεσίας αυτής ερμηνεύθηκαν διαφορετικά από την πρακτική που ακολουθούσε η Αρχή στον τομέα αυτό, με συνέπεια να διεκπεραιώνονται οι σχετικές υποθέσεις σε πολύ μεγάλο ποσοστό με έγγραφο ή πράξη αρχειοθέτησης στο πλαίσιο των κριθέντων με την απόφαση του δικαστηρίου.

ΙΙ. Ευρωπαϊκή Στρατηγική για τον ψηφιακό μετασχηματισμό και τα δεδομένα

Α. Γενικές παρατηρήσεις

Ο ψηφιακός μετασχηματισμός στο δημόσιο και στον ιδιωτικό τομέα, η Τεχνητή Νοημοσύνη, το διαδίκτυο των πραγμάτων και γενικότερα οι εκθετικές τεχνολογικές εξελίξεις, για τις οποίες θα έχουμε την ευκαιρία να συζητήσουμε στο πλαίσιο αυτού του διεπιστημονικού συνεδρίου, έχουν δημιουργήσει διαφορετικά συμφραζόμενα στην οικονομία και στην ίδια την κοινωνία. Τα νέα αυτά δεδομένα επιβάλλουν και νομικές ρυθμίσεις σε πολλούς τομείς και ασφαλώς στο τομέα της προστασίας των προσωπικών δεδομένων, για τα οποία αναφύονται αυξημένοι κίνδυνοι στο πλαίσιο του ταχύτατα εξελισσόμενου, ιδίως την τελευταία δεκαετία, τεχνολογικού περιβάλλοντος. Στην νέα αυτή πραγματικότητα η Ευρωπαϊκή Ένωση διαμορφώνει τη στρατηγική της για τον ψηφιακό μετασχηματισμό και τα δεδομένα, η οποία αντανακλάται σε σειρά νομοθετημάτων, για μερικά από τα οποία θα γίνει λόγος στη συνέχεια. Η Ευρωπαϊκή Ένωση επιδιώκει να δημιουργήσει ένα νομικό οπλοστάσιο με σκοπό την προστασία των προσωπικών δεδομένων, έχοντας όμως στραμμένο το βλέμμα της στην αγορά και στην οικονομία. Επιδίωξή της είναι τα θεσπιζόμενα νομοθετήματα να αφήνουν δυνατότητες ανάπτυξης της καινοτομίας και οι σχετικοί κανόνες να ρυθμίζουν τις ψηφιακές αγορές, τη χρήση του διαδικτύου και την εφαρμογή τεχνολογιών κατά τρόπο ώστε να είναι συνεκτικοί και να αλληλοεπιδρούν αρμονικά μεταξύ της οικονομικής δραστηριότητας ατόμων και επιχειρήσεων και της προστασίας του ιδιωτικού

βίου. Τα νομοθετήματα αυτά, εξάλλου, αποβλέπουν στη δημιουργία κοινών ευρωπαϊκών χώρων δεδομένων. Η ευρωπαϊκή στρατηγική για τα δεδομένα προτείνει να διαμορφωθούν ειδικά ανά πεδίο νομοθετικά πλαίσια, κοινά για όλο τον ευρωπαϊκό χώρο. Σε αυτά περιλαμβάνονται η γεωργία, η πολιτιστική κληρονομιά, η ενέργεια, τα χρηματοοικονομικά, η πράσινη συμφωνία, τα μέσα μαζικής ενημέρωσης, η κινητικότητα, η δημόσια διοίκηση, η έρευνα και καινοτομία, οι δεξιότητες και ο τουρισμός.

Η υγεία είναι ο πρώτος κοινός χώρος δεδομένων στην Ευρωπαϊκή Ένωση που διαμορφώνεται και συγκεκριμενοποιείται στο πλαίσιο της ευρωπαϊκής στρατηγικής για τα δεδομένα. Τον προηγούμενο μήνα, Απρίλιο 2024, το Ευρωπαϊκό Κοινοβούλιο ενέκρινε πρόταση για τη δημιουργία ενός Ευρωπαϊκού Χώρου Δεδομένων Υγείας, ο οποίος στοχεύει να βελτιώσει την χρήση των δεδομένων υγείας για την έρευνα, την καινοτομία και τη χάραξη πολιτικής. Ταυτόχρονα επιδιώκεται οι Ευρωπαίοι να έχουν περισσότερο έλεγχο στην χρήση των δικών τους δεδομένων υγείας.

Β. Βασικά νομοθετήματα

Την τελευταία διετία έχουν εκδοθεί πέντε βασικά ευρωπαϊκά νομοθετήματα που αποτελούν τις σημαντικότερες νομοθετικές πρωτοβουλίες της Ευρωπαϊκής Ένωσης στο πλαίσιο της ψηφιακής στρατηγικής και της στρατηγικής για τα δεδομένα και ενισχύουν το υφιστάμενο ρυθμιστικό πλαίσιο των δεδομένων. Πρόκειται για α. την Πράξη για την Διακυβέρνηση Δεδομένων (DGA), β. την Πράξη για τα Δεδομένα (Data Act) γ. την Πράξη για τις Ψηφιακές Υπηρεσίες (Digital Services Act), δ. την Πράξη για τις Ψηφιακές Αγορές (Digital Markets Act), ε. την Πράξη για την Τεχνητή Νοημοσύνη. Τα νομοθετήματα αυτά χαρακτηρίζονται ως «Πράξη» αλλά έχουν τη νομική μορφή του Κανονισμού, που αποτελεί τη μορφή με την οποία εκδίδονται τα τελευταία χρόνια τα νομοθετήματα της Ευρωπαϊκής Ένωσης προκειμένου να επιτευχθεί η ομοιόμορφη νομοθέτηση στις χώρες της Ευρωπαϊκής Ένωσης, δεδομένου ότι ο σκοπός αυτός δεν είχε ικανοποιηθεί με την έκδοση Οδηγιών, οι οποίες δεν έχουν άμεση εφαρμογή στα κράτη-μέλη της Ευρωπαϊκής Ένωσης αλλ’ απαιτείται η έκδοση εθνικού νόμου για την ενσωμάτωσή τους στην εθνική νομοθεσία.

Με τα νομοθετήματα αυτά δημιουργούνται νέα πεδία επεξεργασίας προσωπικών δεδομένων, στα οποία εφαρμόζεται ο ΓΚΠΔ και τα οποία, κατ’ ακολουθίαν, εμπίπτουν στις αρμοδιότητες των εποπτικών αρχών για την προστασία δεδομένων.

Στα χρονικά όρια αυτής της ομιλίας δεν είναι δυνατό να γίνει αναλυτική και κριτική παρουσίαση των πρόσφατων ενωσιακών νομοθετημάτων που μνημόνευσα, θεωρώ όμως ενδιαφέρουσα έστω και μία απλή περιγραφή των χαρακτηριστικών και των βασικών ρυθμίσεων των κυριότερων από αυτά και της αλληλεπίδρασής τους με τη νομοθεσία για την προστασία των προσωπικών δεδομένων.

1. Πράξη για τη Διακυβέρνηση Δεδομένων [Data Governance Act (DGA)]

Ως Πράξη για τη Διακυβέρνηση Δεδομένων [Data Governance Act (DGA)] είναι γνωστός ο Κανονισμός (ΕΕ) 2022/868 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλί-

ου που έχει τεθεί σε εφαρμογή από τις 24 Σεπτεμβρίου 2023 και, όπως αναφέρθηκε προηγουμένως, αποτελεί μέρος της συνολικής ευρωπαϊκής στρατηγικής για τα δεδομένα. Απώτερος σκοπός της Πράξης, όπως έχει επισημάνει και η Ευρωπαϊκή Επιτροπή, είναι να παρέχει ένα πλαίσιο για την ενίσχυση της εμπιστοσύνης στην εθελοντική ανταλλαγή δεδομένων του δημόσιου φορέα προς όφελος των επιχειρήσεων και των πολιτών.

Οι ρυθμίσεις της Πράξης κινούνται γύρω από τρεις άξονες.

Ο πρώτος άξονας συγκροτείται από διατάξεις που αφορούν την περαιτέρω χρήση ορισμένων κατηγοριών δεδομένων, τα οποία βρίσκονται στην κατοχή φορέων του δημόσιου τομέα και στα οποία συγκαταλέγονται και προσωπικά δεδομένα. Η Πράξη ορίζει ότι, δυνάμει του εθνικού δικαίου, στους δημόσιους φορείς ανήκει η αρμοδιότητα να χορηγούν ή να αρνούνται την πρόσβαση σε δεδομένα που οι ίδιοι τηρούν για περαιτέρω χρήση, οφείλουν, όμως, να δημοσιοποιούν τις προϋποθέσεις υπό τις οποίες επιτρέπεται η περαιτέρω αυτή χρήση, καθώς και πληροφορίες για ειδικότερα θέματα, όπως ο τρόπος με τον οποίο θα υποβάλλεται ένα τέτοιο αίτημα. Για το σκοπό αυτό η Πράξη προβλέπει ότι κάθε κράτος-μέλος πρέπει να ορίσει ένα Ενιαίο Σημείο Πληροφόρησης. Περαιτέρω, ορίζεται ότι τα κράτη-μέλη μπορούν να επιλέξουν τους φορείς, οι οποίοι θα υποστηρίζουν τις υπηρεσίες και οργανισμούς του Δημοσίου που χορηγούν τέτοιου είδους πρόσβαση, με την παροχή π.χ. συμβουλών για τον καλύτερο τρόπο διάρθρωσης και αποθήκευσης δεδομένων.

Ο δεύτερος άξονας αφορά τις υπηρεσίες διαμεσολάβησης δεδομένων, ως προς τις οποίες η Πράξη θέτει ένα σύνολο κανόνων για τους παρόχους των υπηρεσιών αυτών ώστε να διασφαλίζεται ότι θα λειτουργούν αξιόπιστα. Με την Πράξη προβλέπεται ότι οι διαμεσολαβητές δεδομένων θα λειτουργούν ως ουδέτερα τρίτα μέρη για διαμοιρασμό δεδομένων μεταξύ αφενός φυσικών προσώπων και οργανισμών και αφετέρου χρηστών (δηλαδή αποδεκτών) των δεδομένων. Για τους παρόχους υπηρεσιών διαμεσολάβησης πρέπει να οριστούν, από κάθε κράτος-μέλος, μία ή περισσότερες αρμόδιες αρχές, με συγκεκριμένες αρμοδιότητες και εξουσίες, οι οποίες πάντως δεν θίγουν, όπως ρητά αναφέρεται στην Πράξη, τις εξουσίες των αρχών προστασίας δεδομένων.

Ο τρίτος άξονας της Πράξης αφορά το λεγόμενο «αλτρουισμό δεδομένων», σύμφωνα με τον οποίο φυσικά πρόσωπα ή εταιρείες θα δίνουν ελεύθερα τη συγκατάθεσή τους για τη διάθεση των δεδομένων που παράγουν για το κοινό καλό. Οι οντότητες που επιδιώκουν να συλλέξουν δεδομένα για σκοπούς γενικού συμφέροντος θα καταχωρίζονται σε εθνικό μητρώο ως «οργανώσεις αλτρουισμού δεδομένων» και θα αναγνωρίζονται ως τέτοιες σε όλη την Ευρωπαϊκή Ένωση. Για την καταχώριση στο εθνικό μητρώο απαιτείται να συντρέχουν ορισμένες προϋποθέσεις, όπως ο μη κερδοσκοπικός χαρακτήρας, η ικανοποίηση συγκεκριμένων απαιτήσεων διαφάνειας, καθώς και η παροχή ειδικών διασφαλίσεων για την προστασία των δικαιωμάτων και των συμφερόντων των πολιτών και των εταιρειών που μοιράζονται τα δεδομένα τους.

Τέλος, σημειώνεται ότι η Πράξη προβλέπει τη συγκρότηση από την Ευρωπαϊκή Επιτροπή Ευρωπαϊκού Συμβουλίου Καινοτομίας Δεδομένων με αποστολή να διευκολύνει την ανταλλαγή βέλτιστων πρακτικών, ιδίως όσον αφορά τη διαμεσολάβηση δε-

δομένων, τον αλτρουισμό δεδομένων και τη χρήση δημόσιων δεδομένων που δεν μπορούν να καταστούν διαθέσιμα ως ανοικτά δεδομένα.

Η Πράξη επιφέρει και συγκεκριμένες εθνικές υποχρεώσεις οργανωτικού και διαδικαστικού χαρακτήρα, όπως ο ορισμός αρμόδιων αρχών, μεταξύ των οποίων το Ενιαίο Σημείο Πληροφόρησης που έχει ήδη αναφερθεί, η καταχώρηση και έλεγχος των παρόχων υπηρεσιών διαμεσολάβησης και η καταχώρηση των οργανώσεων αλτρουισμού.

Η εφαρμογή της Πράξης δημιουργεί χώρους επεξεργασίας προσωπικών δεδομένων, η οποία υπόκειται στους κανόνες της νομοθεσίας για την προστασία δεδομένων, όπως ρητώς ορίζεται στην Πράξη, δηλαδή κυρίως στον ΓΚΠΔ. Ορίζεται επίσης ότι η Πράξη δεν δημιουργεί νομική βάση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα ούτε θίγει τυχόν δικαιώματα και υποχρεώσεις. Εξάλλου, στην αρμόδια κατά τον ΓΚΠΔ εποπτική αρχή παραμένει ο έλεγχος της επεξεργασίας δεδομένων και στο πλαίσιο εφαρμογής της Πράξης και, επομένως, στην Ελλάδα οι σχετικές αρμοδιότητες ασκούνται από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.

Ενδεικτικά, σημειώνονται οι εξής ρυθμίσεις και μέτρα που αναφέρονται στην ίδια την Πράξη: α. Ανωνυμοποίηση, ως προϋπόθεση διάθεσης δεδομένων δημοσίου φορέα για περαιτέρω χρήση. Προς τούτο μάλιστα προβλέπεται ότι οι αρμόδιοι φορείς που θα στηρίζουν τους δημόσιους φορείς στην περαιτέρω διάθεση των δεδομένων τους μπορούν να παρέχουν τεχνικές υποστήριξης για ψευδωνυμοποίηση και ανωνυμοποίηση, β. Εφαρμογή τεχνικών ανωνυμοποίησης και ψευδωνυμοποίησης σε προσωπικά δεδομένα από τους ίδιους τους παρόχους υπηρεσιών διαμεσολάβησης, γ. Κατοχύρωση στο ακέραιο των δικαιωμάτων των υποκειμένων, όπως προβλέπονται στο ΓΚΠΔ, με ειδική μάλιστα αναφορά για την υποχρέωση των παρόχων υπηρεσιών διαμεσολάβησης να διευκολύνουν την άσκηση των δικαιωμάτων, δ. Πρόβλεψη για τη δυνατότητα του φυσικού προσώπου να ανακαλέσει ανά πάσα στιγμή συγκατάθεσή του για διάθεση των δεδομένων του στο πλαίσιο του αλτρουισμού δεδομένων, ε. Δικαίωμα υποβολής καταγγελίας στην Αρχή από οποιοδήποτε φυσικό πρόσωπο θίγεται από απόφαση που αφορά περαιτέρω διάθεση προσωπικών του δεδομένων.

2. Πράξη για τα Δεδομένα [Data Act]

To δεύτερο νομοθέτημα της Ευρωπαϊκή Ένωσης, το οποίο εμπίπτει στη συνολική ευρωπαϊκή στρατηγική για τα δεδομένα και σχετίζεται, όπως και η Πράξη για τη Διακυβέρνηση Δεδομένων, με την έννοια του διαμοιρασμού δεδομένων, είναι o Kανονισμός (ΕΕ) 2023/2854 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, γνωστός ως Πράξη για τα Δεδομένα (Data Act), που ισχύει από τον Ιανουάριο του 2024 με έναρξη εφαρμογής από 12 Σεπτεμβρίου 2025.

Η Πράξη επιτρέπει στους χρήστες να έχουν πρόσβαση στα δεδομένα που παράγουν με απώτερο σκοπό την τόνωση της καινοτομίας με την εξάλειψη των φραγμών στην ανταλλαγή δεδομένων που παράγονται μέσω της χρήσης συνδεδεμένων προϊόντων ή συναφών υπηρεσιών (π.χ. το διαδίκτυο των πραγμάτων, βιομηχανικά μηχανήματα κ.ά.). Η ανταλλαγή αυτών των δεδομένων μεταξύ χρηστών και αποδεκτών θεωρεί-

ται από την Ευρωπαϊκή Επιτροπή απαραίτητη για την ανάπτυξη και βελτίωση παρεχόμενων υπηρεσιών και τεχνολογικών προϊόντων, όπως επίσης και για την προαγωγή της επιστημονικής έρευνας.

Όπως ισχύει και για την Πράξη για τη Διακυβέρνηση Δεδομένων, η Πράξη για τα Δεδομένα δεν αφορά μόνο ούτε κυρίως προσωπικά δεδομένα, αλλά δεδομένα όλων των ειδών, είναι όμως σαφές ότι, ενόψει του ευρέως περιεχομένου της εννοίας των προσωπικών δεδομένων, στο πεδίο εφαρμογής της εμπίπτουν δεδομένα προσωπικού χαρακτήρα (π.χ. το αναγνωριστικό συσκευής ενός χρήστη που είναι προσωπικό δεδομένο).

Η Πράξη ορίζει ότι τα συνδεδεμένα προϊόντα αλλά και οι συναφείς υπηρεσίες σχεδιάζονται κατά τρόπο τέτοιο ώστε τα δεδομένα τους, συμπεριλαμβανομένων και των μεταδεδομένων, να μπορούν να παρέχονται εύκολα, με ασφάλεια, δωρεάν, σε δομημένο και πλήρη μορφότυπο. Μάλιστα, καίτοι κατά κανόνα δεν αφορά δεδομένα του δημόσιου τομέα, η Πράξη περιέχει ειδική πρόβλεψη και για διάθεση σε δημόσιους φορείς (αλλά και σε όργανα της Ευρωπαϊκής Ένωσης) δεδομένων που εμπίπτουν στο πεδίο εφαρμογής της, εφόσον υπάρχει εξαιρετική ανάγκη. Η Πράξη θεσπίζει επίσης ρυθμίσεις σχετικά με τη διαλειτουργικότητα δεδομένων, μηχανισμών και υπηρεσιών κοινοχρησίας δεδομένων.

Γενικότερα, η Πράξη για τα Δεδομένα αφορά ιδίως κατασκευαστές συνδεδεμένων προϊόντων που τίθενται σε κυκλοφορία στην Ευρωπαϊκή Ένωση αλλά και τους παρόχους συναφών υπηρεσιών, ανεξάρτητα από τον τόπο εγκατάστασής τους, τους χρήστες αυτών στην Ευρωπαϊκή Ένωση, τους κατόχους δεδομένων ανεξάρτητα από τον τόπο εγκατάστασής τους εφόσον καθιστούν δεδομένα διαθέσιμα σε αποδέκτες δεδομένων στην Ένωση, καθώς και τους αποδέκτες τους.

Για τη συνεκτική και αποτελεσματική εφαρμογή της Πράξης, προβλέπεται η έκδοση σχετικών κατευθυντήριων γραμμών, παροχή συμβουλών κ.ά. από το Ευρωπαϊκό Συμβούλιο Καινοτομίας Δεδομένων, το οποίο συγκροτείται, ως ομάδα εμπειρογνωμόνων, όπως έχει ήδη αναφερθεί, με βάση την Πράξη για τη Διακυβέρνηση Δεδομένων.

Αναφορικά με τη νομοθεσία για τα προσωπικά δεδομένα, η Πράξη ρητώς αναφέρει ότι δεν θίγει το ενωσιακό και εθνικό δίκαιο σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα, της ιδιωτικής ζωής και του απορρήτου των επικοινωνιών και της ακεραιότητας του τερματικού εξοπλισμού. Επίσης, ορίζεται ρητώς ότι τα δικαιώματα για χρήστες δεδομένων που προβλέπονται στην Πράξη, συμπληρώνουν, στο βαθμό που οι χρήστες είναι υποκείμενα των δεδομένων, τα κατά τον ΓΚΠΔ δικαιώματα πρόσβασης και φορητότητας. Σε περίπτωση δε σύγκρουσης μεταξύ της Πράξης και της νομοθεσίας του ενωσιακού δικαίου για την προστασία των δεδομένων προσωπικού χαρακτήρα ή της ιδιωτικής ζωής ή αντίστοιχης εθνικής νομοθεσίας βάσει ενωσιακού δικαίου, υπερισχύει η ενωσιακή ή εθνική αυτή νομοθεσία.

Πέραν αυτού, η ίδια η Πράξη περιέχει ειδικότερες ρυθμίσεις αναφορικά με την επεξεργασία προσωπικών δεδομένων. Μεταξύ άλλων, ορίζονται τα εξής: α. Αν και προβλέπεται η υποχρέωση ορισμού από κάθε κράτος–μέλος μίας ή περισσότερων αρμόδιων αρχών για την εποπτεία της εφαρμογής της Πράξης, ορίζεται ότι ειδικώς ως

προς την προστασία των δεδομένων προσωπικού χαρακτήρα στο πλαίσιο εφαρμογής της, αρμόδιες καθίστανται οι εθνικές εποπτικές αρχές στις οποίες ανήκει η παρακολούθηση της εφαρμογής του ΓΚΠΔ. β. Όταν ο χρήστης δεν είναι το υποκείμενο προσωπικών δεδομένων που ζητούνται, τυχόν δεδομένα προσωπικού χαρακτήρα που παράγονται από τη χρήση συνδεδεμένου προϊόντος ή συναφούς υπηρεσίας τίθενται στη διάθεση του χρήστη από τον κάτοχο δεδομένων μόνον όταν υπάρχει έγκυρη νομική βάση για επεξεργασία σύμφωνα με τον ΓΚΠΔ και, κατά περίπτωση, πληρούνται οι προϋποθέσεις αυτού και της Οδηγίας 2002/58/ΕΚ. γ. Σε περίπτωση έκτακτης ανάγκης διάθεσης δεδομένων σε δημόσιους φορείς ή όργανα της Ευρωπαϊκής Ένωσης, το αντίστοιχο αίτημα πρέπει να προσδιορίζει τυχόν τεχνικά και οργανωτικά μέτρα που είναι αναγκαία και αναλογικά για την εφαρμογή των αρχών προστασίας των δεδομένων προσωπικού χαρακτήρα και τις απαραίτητες εγγυήσεις, όπως η ψευδωνυμοποίηση, και, στο βαθμό που είναι εφικτή, η ανωνυμοποίηση από τον κάτοχο δεδομένων πριν από τη διάθεσή τους.

3. Πράξη για τις Ψηφιακές Υπηρεσίες [Digital Services Act (DSA)]

i. Ο Κανονισμός

Σημαντικό ενωσιακό νομοθέτημα είναι ο Κανονισμός (ΕΕ) 2022/2065 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου που τιτλοφορείται ως Πράξη για τις Ψηφιακές Υπηρεσίες (Digital Services Act).

Βασικός στόχος του νομοθετήματος αυτού είναι η προαγωγή της υπεύθυνης και επιμελούς συμπεριφοράς των παρόχων ενδιάμεσων υπηρεσιών και ιδίως των επιγραμμικών πλατφορμών, δηλαδή των μέσων κοινωνικής δικτύωσης και των λεγόμενων επιγραμμικών αγορών (online marketplaces, app stores), προκειμένου να διασφαλιστεί ένα ασφαλές επιγραμμικό περιβάλλον, στο πλαίσιο του οποίου οι πολίτες της Ευρωπαϊκής Ένωσης θα μπορούν να ασκούν ελεύθερα τα θεμελιώδη δικαιώματά τους.

Για το σκοπό αυτό επιβάλλονται στους παρόχους ενδιάμεσων υπηρεσιών υποχρεώσεις δέουσας επιμέλειας, ανάλογα με τη φύση των υπηρεσιών που παρέχουν και το μέγεθός τους.

Πρέπει να σημειωθεί ότι για τις πολύ μεγάλες επιγραμμικές πλατφόρμες και τις πολύ μεγάλες επιγραμμικές μηχανές αναζήτησης εισάγονται ειδικές ρυθμίσεις σε ιδιαίτερο κεφάλαιο του Κανονισμού. Στις ειδικές αυτές ρυθμίσεις υπάγονται είκοσι δύο πλατφόρμες και μηχανές αναζήτησης που έχουν οριστεί από την Ευρωπαϊκή Επιτροπή. Σε αυτές περιλαμβάνονται Amazon, Meta, TikTok, X, Apple, Booking.com, Google Search, η Google Play, η Google Maps, η Google Shopping, YouTube, Instagram, Facebook, LinkedIn, Wikipedia.

Με την Πράξη εισάγονται εγγυήσεις με σκοπό να διασφαλίζεται η ελεύθερη έκφραση των πολιτών και η δυνατότητα άσκησης άλλων θεμελιωδών δικαιωμάτων και να ενισχύεται η αυτενέργεια των χρηστών στο επιγραμμικό περιβάλλον, θεσπίζονται ρυθμίσεις για την απαγόρευση διακρίσεων και λαμβάνεται ιδιαίτερη μέριμνα για τα δικαιώματα του παιδιού.