ΕΚΤΙΜΗΣΗ ΑΝΤΙΚΤΥΠΟΥ ΣΤΗΝ ΠΡΟΣΤΑΣΙΑ ΠΡΟΣΩΠΙΚΩΝ ΔΕΔΟΜΕΝΩΝ

Κεφάλαιο Α
Νομικές υποχρεώσεις

1 Βασικές γνώσεις για τα προσωπικά δεδομένα

Σύμφωνα με τον Γενικό Κανονισμό Προστασίας Δεδομένων (ΓΚΠΔ, κανονισμός (ΕΕ) 2016/679):

▪ Με τον όρο «προσωπικά δεδομένα» ή «δεδομένα προσωπικού χαρακτήρα» νοείται κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως σε όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου (άρ. 4 στοιχείο 1 του ΓΚΠΔ ή άρ. 44 παρ. 1 στοιχείο α του ν. 4624/2019). Ο ΓΚΠΔ δεν εφαρμόζεται στα προσωπικά δεδομένα θανόντων (αιτιολογική σκέψη 27 του ΓΚΠΔ).

▪ Με τον όρο «επεξεργασία» νοείται κάθε πράξη ή σειρά πράξεων που πραγματοποιείται, με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε προσωπικά δεδομένα ή σε σύνολα προσωπικών δεδομένων, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή (άρ. 4 στοιχείο 2 του ΓΚΠΔ ή άρ. 44 παρ. 1 στοιχείο β του ν. 4624/2019).

▪ Με τον όρο «σύστημα αρχειοθέτησης» νοείται κάθε διαρθρωμένο σύνολο προσωπικών δεδομένων τα οποία είναι προσβάσιμα με γνώμονα συγκεκριμένα κριτήρια, είτε το σύνολο αυτό είναι συγκεντρωμένο είτε αποκεντρωμένο είτε κατανεμημένο σε λειτουργική ή γεωγραφική βάση (άρ. 4 στοιχείο 6 του ΓΚΠΔ ή άρ. 44 παρ. 1 στοιχείο στ του ν. 4624/2019).

▪ Με τον όρο «υπεύθυνος επεξεργασίας» νοείται το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας προσωπικών δεδομένων (άρ. 4 στοιχείο 7 του ΓΚΠΔ ή άρ. 44 παρ. 1 στοιχείο ζ του ν. 4624/2019). Επισημαίνεται ότι όσον αφορά το πεδίο εφαρμογής του τετάρτου κεφαλαίου του ν. 4624/2019, με τον οποίο ενσωματώθηκε στην εθνική νομοθεσία η οδηγία (ΕΕ) 2016/680, υπεύθυνος επεξεργασίας μπορεί να είναι μόνο δημόσια αρχή (ανατρέξτε στην ενότητα Σκοποί: καθορισμένοι, ρητοί και νόμιμοι).

▪ Με τον όρο «εκτελών την επεξεργασία» νοείται το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή ή άλλος φορέας που επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του υπευθύνου επεξεργασίας (άρ. 4 στοιχείο 8 του ΓΚΠΔ ή άρ. 44 παρ. 1 στοιχείο η του ν. 4624/2019).

▪ Με τον όρο «αποδέκτης» νοείται το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας, προς τα οποία κοινολογούνται τα δεδομένα προσωπικού χαρακτήρα, είτε πρόκειται για τρίτον είτε όχι. Ωστόσο, οι δημόσιες αρχές που ενδέχεται να λάβουν δεδομένα προσωπικού χαρακτήρα στο πλαίσιο συγκεκριμένης έρευνας (particular inquiry) σύμφωνα με το δίκαιο της Ευρωπαϊκής Ένωσης ή άλλο δίκαιο δεν θεωρούνται ως αποδέκτες· η επεξεργασία των δεδομένων αυτών από τις εν λόγω δημόσιες αρχές πραγματοποιείται σύμφωνα με τους ισχύοντες κανόνες προστασίας των προσωπικών δεδομένων ανάλογα με τους σκοπούς της επεξεργασίας (άρ. 4 στοιχείο 9 του ΓΚΠΔ ή άρ. 44 παρ. 1 στοιχείο θ του ν. 4624/2019).

▪ Με τον όρο «παραβίαση δεδομένων προσωπικού χαρακτήρα» νοείται η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση προσωπικών δεδομένων που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία (άρ. 4 στοιχείο 12 του ΓΚΠΔ ή άρ. 44 παρ. 1 στοιχείο ι του ν. 4624/2019).

Επισημαίνεται ότι, με την εξαίρεση του ορισμού του «υπεύθυνου επεξεργασίας», οι ορισμοί αυτοί είναι κοινοί μεταξύ του ΓΚΠΔ και του τετάρτου κεφαλαίου του ν. 4624/2019.

Επίσημα κείμενα

▪ Δείτε τον «κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)», σε https://eur-lex.europa.eu/legal-content/EL/TXT/?uri=CELEX%3A02016R0679-20160504&qid=1624284087057

▪ Δείτε την «οδηγία (EE) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της απόφασης-πλαίσιο 2008/977/ΔΕΥ του Συμβουλίου», σε https://eur-lex.europa.eu/legal-content/EL/TXT/?uri=CELEX%3A02016L0680-20160504

▪ Δείτε τον ν. 4624/2019, για την «Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, μέτρα εφαρμογής του Κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και ενσωμάτωση στην εθνική νομοθεσία της Οδηγίας (ΕΕ) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 και άλλες διατάξεις», σε https://www.ministryofjustice.gr/wp-content/uploads/2019/09/N.-4624_2019.pdf

▪ Δείτε την αιτιολογική έκθεση του ν. 4624/2019, σε https://www.ministryofjustice.gr/wp-content/uploads/2019/09/N.-4624_2019-ΑΙΤΙΟΛΟΓΙΚΗ-ΕΚΘΕΣΗ.pdf

1.1 Είδη προσωπικών δεδομένων

Σε γενικές γραμμές, τα προσωπικά δεδομένα διακρίνονται στα εξής είδη:

1.2 Είδη υποστηρικτικών στοιχείων των προσωπικών δεδομένων

Τα υποστηρικτικά στοιχεία των προσωπικών δεδομένων είναι τα συστατικά του συστήματος επεξεργασίας πληροφοριών, τα οποία αποτελούν υποδομή για την επεξεργασία των προσωπικών δεδομένων:

Καλές πρακτικές

▪ Να προσαρμόζετε το επίπεδο λεπτομέρειας με το οποίο εξετάζετε τα υποστηρικτικά στοιχεία των προσωπικών δεδομένων, ανάλογα με τις περιστάσεις.

Σημειώσεις

▪ Οι λύσεις ασφάλειας (προϊόντα, διαδικασίες, μέτρα, κλπ.) δεν αποτελούν υποστηρικτικά στοιχεία των δεδομένων: πρόκειται για μέτρα που αποσκοπούν στην αντιμετώπιση των κινδύνων.

1.3 Είδη πηγών κινδύνου

Ο παρακάτω πίνακας παρουσιάζει παραδείγματα πηγών κινδύνου:

1.4 Είδη αποτελεσμάτων των απευκταίων γεγονότων

Με τον όρο «απευκταίο γεγονός» νοείται η πιθανή παραβίαση των προσωπικών δεδομένων που ενδέχεται να έχει διάφορες επιπτώσεις στην ιδιωτικότητα των υποκειμένων των δεδομένων.

Τα απευκταία γεγονότα, αν συμβούν, μπορεί να έχουν διάφορες συνέπειες:

1.5 Κλίμακα και μεθοδολογία για την εκτίμηση της σοβαρότητας

Με το όρο «σοβαρότητα» νοείται το μέγεθος ενός κινδύνου. Η σοβαρότητα του κινδύνου εκτιμάται κυρίως σε σχέση με την έκταση των πιθανών επιπτώσεων (άμεσων και έμμεσων) στα υποκείμενα των δεδομένων, λαμβάνοντας υπόψη τα υφιστάμενα, προγραμματισμένα ή συμπληρωματικά μέτρα (τα οποία πρέπει να αναφέρονται ως αιτιολόγηση της σχετικής αξιολόγησης).

Η ακόλουθη κλίμακα μπορεί να χρησιμοποιηθεί για την εκτίμηση της σοβαρότητας του κινδύνου:

1. Αμελητέα .

2. Περιορισμένη .

3. Σημαντική .

4. Μέγιστη .

(Σημαντικό: τα παρακάτω είναι μόνο παραδείγματα, τα οποία μπορεί να δια­φέρουν κατά πολύ από τις εκάστοτε περιστάσεις)

▪ Τα ακόλουθα παραδείγματα σωματικών επιπτώσεων αφορούν επιδράσεις στη σωματική ακεραιότητα (σωματικές βλάβες, παραμόρφωση του σώματος, κλπ.) καθώς και την οικονομική ή ηθική βλάβη που σχετίζεται με τη σωματική ακεραιότητα.

▪ Τα ακόλουθα παραδείγματα υλικών επιπτώσεων αφορούν επιδράσεις στην οικο­νομική κατάσταση και περιουσιακή κατάσταση του υποκειμένου των δεδομένων (οικονομική ζημία, απώλεια εισοδήματος, κλπ.) καθώς και την ηθική βλάβη που σχετίζεται με επιδράσεις στην οικονομική κατάσταση και περιουσιακή κατάσταση.

▪ Τα ακόλουθα παραδείγματα ηθικών επιπτώσεων αφορούν επιδράσεις στην ψυχολογική κατάσταση, στη συναισθηματική κατάσταση και στην ψυχική κατάσταση του υποκειμένου των δεδομένων (ηθική βλάβη, συναισθηματική ταλαιπωρία, κλπ.).

Για να προσδιοριστεί το επίπεδο σοβαρότητας του κινδύνου, μπορείτε να συγκρίνετε τις επιπτώσεις που έχουν εντοπιστεί εν προκειμένω με τα γενικά παραδείγματα επιπτώσεων που περιλαμβάνονται στην παραπάνω κλίμακα.

Το επίπεδο σοβαρότητας που προσδιορίζεται κατ’ αυτόν τον τρόπο μπορεί να αυξη­θεί ή να μειωθεί λαμβάνοντας επιπλέον υπόψη:

▪ τον βαθμό κατά τον οποίο τα προσωπικά δεδομένα οδηγούν σε ταυτοποίηση·

▪ τη φύση των πηγών κινδύνου·

▪ τον αριθμό διασυνδέσεων (ιδίως με ξένους δικτυακούς τόπους)·

▪ τον αριθμό των αποδεκτών (ο οποίος διευκολύνει τη συσχέτιση μεταξύ αρχικά διαχωρισμένων προσωπικών δεδομένων).

1.6 Κλίμακα και μεθοδολογία για την εκτίμηση της πιθανότητας

Με το όρο «πιθανότητα» νοείται το κατά πόσο είναι ενδεχόμενη η επέλευση ενός κινδύνου. Η πιθανότητα του κινδύνου εκτιμάται κυρίως με βάση τον βαθμό ευπάθειας των σχετικών υποστηρικτικών στοιχείων και τον βαθμό ικανότητας των πηγών κινδύνου να εκμεταλλευτούν τις ευπάθειες αυτές, λαμβανομένων υπόψη των υφιστάμενων, προγραμματισμένων ή συμπληρωματικών μέτρων (που πρέπει να αναφέρονται ως αιτιολόγηση της σχετικής αξιολόγησης).

Η ακόλουθη κλίμακα μπορεί να χρησιμοποιηθεί για την εκτίμηση της πιθανότητας του κινδύνου:

1. Αμελητέα : φαίνεται απίθανο οι εξεταζόμενες πηγές κινδύνου να προκαλέσουν την επέλευση του κινδύνου εκμεταλλευόμενες τις ιδιότητες των υποστηρικτικών στοιχείων (π.χ. κλοπή έγχαρτων εγγράφων, αποθηκευμένων σε χώρο που προστατεύεται από συσκευή ανάγνωσης διακριτικών (badge reader) και κωδικό πρόσβασης).

2. Περιορισμένη : φαίνεται δύσκολο οι εξεταζόμενες πηγές κινδύνου να προκαλέσουν την επέλευση του κινδύνου εκμεταλλευόμενες τις ιδιότητες των υποστηρικτικών στοιχείων (π.χ. κλοπή έγχαρτων εγγράφων, αποθηκευμένων σε χώρο που προστατεύεται από συσκευή ανάγνωσης διακριτικών).

3. Σημαντική : φαίνεται πιθανό οι εξεταζόμενες πηγές κινδύνου να προκαλέσουν την επέλευση του κινδύνου εκμεταλλευόμενες τις ιδιότητες των υποστηρικτικών στοιχείων (π.χ. κλοπή έγχαρτων εγγράφων, αποθηκευμένων σε χώρο γραφείων, όπου ο μόνος έλεγχος πρόσβασης γίνεται κατά την είσοδο στο κτίριο του οργανισμού, από τους εργαζόμενους στην υποδοχή).

4. Μέγιστη : φαίνεται εξαιρετικά εύκολο οι εξεταζόμενες πηγές κινδύνου να προκαλέσουν την επέλευση του κινδύνου εκμεταλλευόμενες τις ιδιότητες των υποστηρικτικών στοιχείων (π.χ. κλοπή έγχαρτων εγγράφων, αποθηκευμένων σε χώρο υποδοχής του κοινού).

Για να προσδιοριστεί το επίπεδο πιθανότητας του κινδύνου, μπορείτε να εξετάσετε τις ευπάθειες των υποστηρικτικών στοιχείων, την ικανότητα των πηγών κινδύνου να τις εκμεταλλευτούν, τα υφιστάμενα, προγραμματισμένα ή συμπληρωματικά μέτρα, και να εκτιμήσετε το κατά πόσον είναι πιθανή η επέλευση του κινδύνου.

Το επίπεδο πιθανότητας που προσδιορίζεται κατ’ αυτόν τον τρόπο μπορεί να αυξηθεί ή να μειωθεί λαμβάνοντας επιπλέον υπόψη:

▪ το αν υπάρχει ανοιχτή πρόσβαση στο διαδίκτυο ή μόνο πρόσβαση σε κλειστό σύστημα·

▪ το αν γίνεται διαβίβαση προσωπικών δεδομένων σε ξένες χώρες ή όχι·

▪ την ύπαρξη ή μη διασύνδεσης με άλλα συστήματα·

▪ την ετερογένεια ή ομοιογένεια του συστήματος·

▪ τη μεταβλητότητα ή σταθερότητα του συστήματος·

▪ την προς τα έξω εικόνα του οργανισμού.

1.7 Είδη στόχων για την αντιμετώπιση των κινδύνων

Οι στόχοι για την αντιμετώπιση των κινδύνων μπορούν να τεθούν ανάλογα με το επίπεδο κινδύνου. Για παράδειγμα:

1. Κίνδυνοι με υψηλή σοβαρότητα και υψηλή πιθανότητα : αυτοί οι κίνδυνοι πρέπει οπωσδήποτε να αποφευχθούν ή να περιοριστούν με την εφαρμογή μέτρων ασφαλείας που μειώνουν τη σοβαρότητα και την πιθανότητά τους. Στην ιδανική περίπτωση, πρέπει επιπλέον να ληφθεί μέριμνα ώστε να διασφαλιστεί ότι οι κίνδυνοι αυτοί αντιμετωπίζονται με ανεξάρτητα μέτρα για την πρόληψη (ενέργειες που λαμβάνονται πριν από μια παραβίαση προσωπικών δεδομένων), προστασία (ενέργειες που λαμβάνονται κατά τη διάρκεια μιας παραβίασης προσωπικών δεδομένων) και διόρθωση (ενέργειες που λαμβάνονται μετά από την παραβίαση προσωπικών δεδομένων)·

2. Κίνδυνοι με υψηλή σοβαρότητα αλλά χαμηλή πιθανότητα : αυτοί οι κίνδυνοι πρέπει να αποφεύγονται ή να περιστέλλονται με την εφαρμογή μέτρων ασφαλείας που μειώνουν τη σοβαρότητα και την πιθανότητά τους. Πρέπει να δοθεί έμφαση στα προληπτικά μέτρα. Αυτοί οι κίνδυνοι μπορούν να γίνουν αποδεκτοί, αλλά μόνο εάν αποδειχθεί ότι δεν είναι δυνατόν να μειωθεί η σοβαρότητά τους και υπό την ταυτόχρονη προϋπόθεση ότι η πιθανότητά τους είναι αμελητέα·

3. Κίνδυνοι με χαμηλή σοβαρότητα αλλά υψηλή πιθανότητα : αυτοί οι κίνδυνοι πρέπει να περισταλούν με την εφαρμογή μέτρων ασφαλείας που μειώνουν την πιθανότητά τους. Πρέπει να δοθεί έμφαση στα μέτρα για τη διόρθωση. Αυτοί οι κίνδυνοι μπορούν να γίνουν αποδεκτοί, αλλά μόνο εάν αποδειχθεί ότι δεν είναι δυνατόν να μειωθεί η πιθανότητά τους και υπό την ταυτόχρονη προϋπόθεση ότι η σοβαρότητά τους είναι αμελητέα·

4. Κίνδυνοι με χαμηλή σοβαρότητα και χαμηλή πιθανότητα : σε λογικά πλαίσια, οι κίνδυνοι αυτοί μπορούν να γίνουν αποδεκτοί, ιδίως επειδή η διαχείριση των ­άλλων κινδύνων θα οδηγήσει πιθανότατα στην αντιμετώπιση και αυτών των κινδύνων.

Σημειώσεις

▪ Υψηλή σοβαρότητα ή υψηλή πιθανότητα αποδίδεται στα επίπεδα «3. Σημαντική» και «4. Μέγιστη».

▪ Χαμηλή σοβαρότητα ή χαμηλή πιθανότητα αποδίδεται στα επίπεδα «1. Αμελητέα» και «2. Περιορισμένη».

▪ Οι κίνδυνοι μπορούν, σε γενικές γραμμές, με ορθή αντιμετώπιση, να μειωθούν, να περιορισθούν, να μετατεθούν ή να διατηρηθούν. Ωστόσο, ορισμένοι κίνδυνοι δεν μπορούν να γίνουν αποδεκτοί, ειδικά όταν η επεξεργασία αφορά προσωπικά δεδομένα ειδικών κατηγοριών ή όταν οι συνέπειες που ενδέχεται να υποστούν τα υποκείμενα των δεδομένων είναι πολύ σημαντικές. Σε τέτοιες περιπτώσεις

μπορεί να είναι απαραίτητο να αποφευχθούν οι κίνδυνοι, για παράδειγμα με το να μην προβείτε στην επεξεργασία ή σε μέρος αυτής.

1.8 Απειλές για τα υποστηρικτικά στοιχεία

Με τον όρο «απειλή» νοείται οποιαδήποτε περίσταση ή γεγονός μπορεί να επηρεάσει δυσμενώς κάποιο υποστηρικτικό στοιχείο. Τα υποστηρικτικά στοιχεία μπορεί να υποστούν:

▪ Ακατάλληλη χρήση: τα υποστηρικτικά στοιχεία χρησιμοποιούνται με τρόπο που εκφεύγει από το προβλεπόμενο πλαίσιο χρήσης τους ή κατά παρεκτροπή από το προβλεπόμενο πλαίσιο χρήσης τους, χωρίς να αλλοιωθούν ή να υποστούν βλάβη·

▪ Παρατήρηση: τα υποστηρικτικά στοιχεία γίνονται αντικείμενο παρατήρησης, παρακολούθησης ή κατασκοπείας, χωρίς να υποστούν βλάβη·

▪ Υπερφόρτωση: γίνεται υπέρβαση των ορίων λειτουργίας των υποστηρικτικών στοιχείων, τα υποστηρικτικά στοιχεία υπερφορτώνονται, χρησιμοποιούνται σε υπερβολικό βαθμό ή χρησιμοποιούνται υπό συνθήκες που δεν επιτρέπουν τη σωστή λειτουργία τους·

▪ Βλάβη: τα υποστηρικτικά στοιχεία υφίστανται μερική ή ολική ζημία·

▪ Τροποποίηση: τα υποστηρικτικά στοιχεία μεταβάλλονται·

▪ Απώλεια: τα υποστηρικτικά στοιχεία χάνονται, αφαιρούνται, μεταβιβάζονται δωρεάν ή πωλούνται.

Οι απειλές των υποστηρικτικών στοιχείων μπορεί να επηρεάσουν:

▪ την εμπιστευτικότητα (Confidentiality) των προσωπικών δεδομένων·

▪ την ακεραιότητα (Integrity) των προσωπικών δεδομένων·

▪ τη διαθεσιμότητα (Availability) των προσωπικών δεδομένων.

1.9 Απειλές που μπορούν να οδηγήσουν σε αθέμιτη πρόσβαση σε προσωπικά δεδομένα

Τα παρακάτω αποτελούν παραδείγματα απειλών κατά της εμπιστευτικότητας των προσωπικών δεδομένων.