Περί ευαίσθητων προσωπικών δεδομένων και δεδομένων προσωπικού χαρακτήρα.

Τι είναι τα δεδομένα προσωπικού χαρακτήρα (ή αλλιώς προσωπικά δεδομένα);

Προσωπικά δεδομένα είναι κάθε πληροφορία που αναφέρεται σε και περιγράφει ένα άτομο, όπως: στοιχεία αναγνώρισης (ονοματεπώνυμο, ηλικία, κατοικία, επάγγελμα, οικογενειακή κατάσταση κλπ.), φυσικά χαρακτηριστικά, εκπαίδευση, εργασία (προϋπηρεσία, εργασιακή συμπεριφορά κλπ), οικονομική κατάσταση (έσοδα, περιουσιακά στοιχεία, οικονομική συμπεριφορά), ενδιαφέροντα, δραστηριότητες, συνήθειες. Το άτομο (φυσικό πρόσωπο) στο οποίο αναφέρονται τα δεδομένα ονομάζεταιυποκείμενο των δεδομένων.

Ποια είναι τα ευαίσθητα προσωπικά δεδομένα;

Ευαίσθητα χαρακτηρίζονται τα προσωπικά δεδομένα ενός ατόμου που αναφέρονται στη φυλετική ή εθνική του προέλευση, στα πολιτικά του φρονήματα, στις θρησκευτικές ή φιλοσοφικές του πεποιθήσεις, στη συμμετοχή του σε συνδικαλιστική οργάνωση, στην υγεία του, στην κοινωνική του πρόνοια, στην ερωτική του ζωή, τις ποινικές διώξεις και καταδίκες του, καθώς και στη συμμετοχή του σε συναφείς με τα ανωτέρω ενώσεις προσώπων. Τα ευαίσθητα δεδομένα προστατεύονται από τον Νόμο με αυστηρότερες ρυθμίσεις από ότι τα απλά προσωπικά δεδομένα.

Τι σημαίνει “επεξεργασία προσωπικών δεδομένων”;

Είναι κάθε εργασία που πραγματοποιείται σε δεδομένα προσωπικού χαρακτήρα, όπως: συλλογή, καταχώριση, οργάνωση, διατήρηση ή αποθήκευση, τροποποίηση, εξαγωγή, χρήση, διαβίβαση, διάδοση, συσχέτιση ή συνδυασμός, διασύνδεση, δέσμευση, διαγραφή, καταστροφή.

Κάθε φυσικό ή νομικό πρόσωπο του δημόσιου ή ιδιωτικού τομέα που τηρεί και επεξεργάζεται προσωπικά δεδομένα ονομάζεταιυπεύθυνος επεξεργασίας.

Κάθε φυσικό ή νομικό πρόσωπο του δημόσιου ή ιδιωτικού τομέα που επεξεργάζεται δεδομένα για λογαριασμό κάποιου υπεύθυνου επεξεργασίας ονομάζεται εκτελών την επεξεργασία.

Πότε επιτρέπεται η επεξεργασία των προσωπικών δεδομένων;

Η επεξεργασία προσωπικών δεδομένων επιτρέπεται μόνο όταν το άτομο έχει δώσει τη συγκατάθεσή του.

Κατ΄ εξαίρεση επιτρέπεται η επεξεργασία και χωρίς συγκατάθεση όταν συντρέχουν οι προϋποθέσεις που ορίζει ο Νόμος 2472/1997 στο άρθρο 5.

Πότε επιτρέπεται η επεξεργασία των ευαίσθητων προσωπικών δεδομένων;

Η επεξεργασία ευαίσθητων προσωπικών δεδομένων επιτρέπεται μόνο εφόσον ισχύει μία τουλάχιστον από τις εξαιρέσεις που ορίζει ο Νόμος 2472/1997 στο άρθρο 7.

Άρθρο 5 Προϋποθέσεις επεξεργασίας 1. Επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται μόνον όταν το υποκείμενο των δεδομένων έχει δώσει τη συγκατάθεσή του. 2. Κατ’ εξαίρεση επιτρέπεται η επεξεργασία και χωρίς τη συγκατάθεση, όταν: α) Η επεξεργασία είναι αναγκαία για την εκτέλεση σύμβασης, στην οποία συμβαλλόμενο μέρος είναι υποκείμενο δεδομένων ή για τη λήψη μέτρων κατόπιν αιτήσεως του υποκειμένου κατά το προσυμβατικό στάδιο. β) Η επεξεργασία είναι αναγκαία για την εκπλήρωση υποχρεώσεως του υπεύθυνου επεξεργασίας, η οποία επιβάλλεται από το νόμο. γ) Η επεξεργασία είναι αναγκαία για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου, εάν αυτό τελεί σε φυσική ή νομική αδυναμία να δώσει τη συγκατάθεσή του. δ) Η επεξεργασία είναι αναγκαία για την εκτέλεση έργου δημόσιου συμφέροντος ή έργου που εμπίπτει στην άσκηση δημόσιας εξουσίας και εκτελείται από δημόσια αρχή ή έχει ανατεθεί από αυτή είτε στον υπεύθυνο επεξεργασίας είτε σε τρίτο, στον οποίο γνωστοποιούνται τα δεδομένα. ε) Η επεξεργασία είναι απολύτως αναγκαία για την ικανοποίηση του έννομου συμφέροντος που επιδιώκει ο υπεύθυνος επεξεργασίας ή ο τρίτος ή οι τρίτοι στους οποίους ανακοινώνονται τα δεδομένα και υπό τον όρο ότι τούτο υπερέχει προφανώς των δικαιωμάτων και συμφερόντων των προσώπων στα οποία αναφέρονται τα δεδομένα και δεν θίγονται οι θεμελιώδεις ελευθερίες αυτών. 3. Η Αρχή μπορεί να εκδίδει ειδικούς κανόνες επεξεργασίας για τις πλέον συνήθεις κατηγορίες επεξεργασιών και αρχείων, οι οποίες προφανώς δεν θίγουν τα δικαιώματα και τις ελευθερίες των προσώπων στα οποία αναφέρονται τα δεδομένα. Οι κατηγορίες αυτές προσδιορίζονται με κανονισμούς που καταρτίζει η Αρχή και κυρώνονται με προεδρικά διατάγματα, τα οποία εκδίδονται με πρόταση του Υπουργού Δικαιοσύνης.

Άρθρο 6 Γνωστοποίηση αρχείων 1. Ο υπεύθυνος επεξεργασίας υποχρεούται να γνωστοποιήσει εγγράφως στην Αρχή, τη σύσταση και λειτουργία αρχείου ή την έναρξη της επεξεργασίας. 2. Με τη γνωστοποίηση της προηγούμενης παραγράφου ο υπεύθυνος επεξεργασίας πρέπει απαραιτήτως να δηλώνει: α) Το ονοματεπώνυμο ή την επωνυμία ή τον τίτλο του, και τη διεύθυνσή του.* β) Τη διεύθυνση όπου είναι εγκατεστημένο το αρχείο ή ο κύριος εξοπλισμός που υποστηρίζει την επεξεργασία. γ) Την περιγραφή του σκοπού της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που περιέχονται ή πρόκειται να περιληφθούν στο αρχείο. δ) Το είδος των δεδομένων προσωπικού χαρακτήρα που υφίστανται ή πρόκειται να υποστούν επεξεργασία ή περιέχονται ή πρόκειται να περιληφθούν στο αρχείο. ε) Το χρονικό διάστημα για το οποίο προτίθεται να εκτελεί την επεξεργασία ή να διατηρήσει το αρχείο. στ) Τους αποδέκτες ή τις κατηγορίες αποδεκτών στους οποίους ανακοινώνει ή ενδέχεται να ανακοινώνει τα δεδομένα προσωπικού χαρακτήρα. ζ) Τις ενδεχόμενες διαβιβάσεις και το σκοπό της διαβίβασης δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες. η) Τα βασικά χαρακτηριστικά του συστήματος και των μέτρων ασφαλείας του αρχείου ή της επεξεργασίας.** 3. Τα στοιχεία της προηγούμενης παραγράφου καταχωρίζονται στο Μητρώο Αρχείων και Επεξεργασιών που τηρεί η Αρχή. 4. Κάθε μεταβολή των στοιχείων που αναφέρονται στην παράγραφο 2 πρέπει να γνωστοποιείται εγγράφως και χωρίς καθυστέρηση από τον υπεύθυνο στην Αρχή. * Το στοιχείο α’ αντικαταστάθηκε ως άνω σύμφωνα με την παρ. 1 του άρθρου 8 του Ν. 2819/2000 (ΦΕΚ Α 84) ενώ το πρώην δεύτερο εδάφιο του στοιχείου α’ καταργήθηκε με το άρθρο 21 του Ν. 3471/2006 (ΦΕΚ Α 133) ** Το πρώην στοιχείο θ’ διαγράφηκε με την παρ. 2 του άρθρου 8 του Ν. 2819/2000 (ΦΕΚ Α 84). Άρθρο 7 Επεξεργασία ευαίσθητων δεδομένων 1. Απαγορεύεται η συλλογή και η επεξεργασία ευαίσθητων δεδομένων. 2. Κατ΄ εξαίρεση επιτρέπεται η συλλογή και η επεξεργασία ευαίσθητων δεδομένων, καθώς και η ίδρυση και λειτουργία σχετικού αρχείου, ύστερα από άδεια της Αρχής,* όταν συντρέχουν μία ή περισσότερες από τις ακόλουθες προϋποθέσεις: α) Το υποκείμενο έδωσε τη γραπτή συγκατάθεσή του εκτός εάν η συγκατάθεση έχει αποσπασθεί με τρόπο που αντίκειται στο νόμο ή τα χρηστά ήθη ή νόμος ορίζει ότι η συγκατάθεση δεν αίρει την απαγόρευση. β) Η επεξεργασία είναι αναγκαία για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου ή προβλεπόμενου από το νόμο συμφέροντος τρίτου, εάν το υποκείμενο τελεί σε φυσική ή νομική αδυναμία να δώσει τη συγκατάθεσή του.** γ) Η επεξεργασία αφορά δεδομένα που δημοσιοποιεί το ίδιο το υποκείμενο ή είναι αναγκαία για την αναγνώριση, άσκηση ή υπεράσπιση δικαιώματος ενώπιον δικαστηρίου ή πειθαρχικού οργάνου.*** δ) Η επεξεργασία αφορά θέματα υγείας και εκτελείται από πρόσωπο που ασχολείται κατ’ επάγγελμα με την παροχή υπηρεσιών υγείας και υπόκειται σε καθήκον εχεμύθειας ή σε συναφείς κώδικες δεοντολογίας, υπό τον όρο ότι η επεξεργασία είναι απαραίτητη για την ιατρική πρόληψη, διάγνωση, περίθαλψη ή τη διαχείριση υπηρεσιών υγείας. ε) Η επεξεργασία εκτελείται από Δημόσια Αρχή και είναι αναγκαία είτε αα) για λόγους εθνικής ασφάλειας είτε ββ) για την εξυπηρέτηση των αναγκών εγκληματολογικής ή σωφρονιστικής πολιτικής και αφορά τη διακρίβωση εγκλημάτων, ποινικές καταδίκες ή μέτρα ασφαλείας είτε γγ) για λόγους προστασίας της δημόσιας υγείας είτε δδ) για την άσκηση δημόσιου φορολογικού ελέγχου ή δημόσιου ελέγχου κοινωνικών παροχών.**** στ) Η επεξεργασία πραγματοποιείται για ερευνητικούς και επιστημονικούς αποκλειστικά σκοπούς και υπό τον όρο ότι τηρείται η ανωνυμία και λαμβάνονται όλα τα απαραίτητα μέτρα για την προστασία των δικαιωμάτων των προσώπων στα οποία αναφέρονται. ζ) Η επεξεργασία αφορά δεδομένα δημοσίων προσώπων, εφόσον αυτά συνδέονται με την άσκηση δημοσίου λειτουργήματος ή τη διαχείριση συμφερόντων τρίτων, και πραγματοποιείται αποκλειστικά για την άσκηση του δημοσιογραφικού επαγγέλματος. Η άδεια της αρχής χορηγείται μόνο εφόσον η επεξεργασία είναι απολύτως αναγκαία για την εξασφάλιση του δικαιώματος πληροφόρησης επί θεμάτων δημοσίου ενδιαφέροντος καθώς και στο πλαίσιο καλλιτεχνικής έκφρασης και εφόσον δεν παραβιάζεται καθ’ οιονδήποτε τρόπο το δικαίωμα προστασίας της ιδιωτικής και οικογενειακής ζωής. 3.Η Αρχή χορηγεί άδεια συλλογής και επεξεργασίας ευαίσθητων δεδομένων, καθώς και άδεια ιδρύσεως και λειτουργίας σχετικού αρχείου, ύστερα από αίτηση του υπεύθυνου επεξεργασίας. Εφ’ όσον η Αρχή διαπιστώσει ότι πραγματοποιείται επεξεργασία ευαίσθητων δεδομένων, η γνωστοποίηση αρχείου, σύμφωνα με το άρθρο 6 του παρόντος νόμου, επέχει θέση αιτήσεως για τη χορήγηση άδειας. Η Αρχή μπορεί να επιβάλλει όρους και προϋποθέσεις για την αποτελεσματικότερη προστασία του δικαιώματος ιδιωτικής ζωής των υποκειμένων ή τρίτων.***** 4. Η άδεια εκδίδεται για ορισμένο χρόνο, ανάλογα με τον σκοπό της επεξεργασίας. Μπορεί να ανανεωθεί ύστερα από αίτηση του υπεύθυνου επεξεργασίας. 5. Η άδεια περιέχει απαραιτήτως: α) Το ονοματεπώνυμο ή την επωνυμία ή τον τίτλο καθώς και τη διεύθυνση του υπεύθυνου επεξεργασίας και του τυχόν εκπροσώπου του. β) Τη διεύθυνση όπου είναι εγκατεστημένο το αρχείο. γ) Το είδος των δεδομένων προσωπικού χαρακτήρα που επιτρέπεται να περιληφθούν στο αρχείο. δ) Το χρονικό διάστημα για το οποίο χορηγείται η άδεια. ε) Τους τυχόν όρους και προϋποθέσεις που έχει επιβάλει η Αρχή για την ίδρυση και λειτουργία του αρχείου. στ) Την υποχρέωση γνωστοποίησής του ή των αποδεκτών ευθύς ως εξατομικευτούν. 6. Αντίγραφο της άδειας καταχωρίζεται στο Μητρώο Αδειών που διατηρεί η Αρχή. 7. Κάθε μεταβολή των στοιχείων που αναφέρονται στην παράγραφο 5 γνωστοποιείται χωρίς καθυστέρηση στην Αρχή. Κάθε άλλη μεταβολή, πλην της διεύθυνσης του υπευθύνου ή του εκπροσώπου του, συνεπάγεται την έκδοση νέας άδειας, εφόσον συντρέχουν οι νόμιμες προϋποθέσεις. * Για τον καθορισμό των παραβόλων, βλ. την υπ’ αριθμ. 121/2001 κανονιστική πράξη της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΦΕΚ Β 1345). ** Το στοιχείο β’ τροποποιήθηκε ως άνω σύμφωνα με την παρ. 1 του άρθρου 22 του Ν. 3471/2006 (ΦΕΚ Α 133). *** Το στοιχείο γ’, που είχε αντικατασταθεί με την παρ. 3 του άρθρου 8 του Ν. 2819/2000 (ΦΕΚ Α 84), αντικαταστάθηκε ως άνω με την παρ. 1 του άρθρου 34 του Ν. 2915/2001 (ΦΕΚ Α 109). **** Το στοιχείο ε’ αντικαταστάθηκε ως άνω με την παρ. 2 του άρθρου 34 του Ν. 2915/2001 (ΦΕΚ Α 109). Το στοιχείο γγ’ αντικαταστάθηκε ως άνω και το στοιχείο δδ’ προστέθηκε με την παρ. 4 του άρθρου 26 του Ν. 3156/2003 (ΦΕΚ Α 157). ***** Η παρ. 3 τροποποιήθηκε με την παρ. 2 του άρθρου 22 του Ν. 3471/2006 (ΦΕΚ Α 133). Άρθρο 7Α* Απαλλαγή υποχρέωσης γνωστοποίησης και λήψης άδειας 1. Ο υπεύθυνος επεξεργασίας απαλλάσσεται από την υποχρέωση γνωστοποίησης του άρθρου 6 και από την υποχρέωση λήψης άδειας του άρθρου 7 του παρόντος νόμου στις ακόλουθες περιπτώσεις: α) Όταν η επεξεργασία πραγματοποιείται αποκλειστικά για σκοπούς που συνδέονται άμεσα με σχέση εργασίας ή έργου ή με παροχή υπηρεσιών στο δημόσιο τομέα και είναι αναγκαία για την εκπλήρωση υποχρέωσης που επιβάλλει ο νόμος ή για την εκτέλεση των υποχρεώσεων από τις παραπάνω σχέσεις και το υποκείμενο έχει προηγουμένως ενημερωθεί.** β) Όταν η επεξεργασία αφορά πελάτες ή προμηθευτές, εφόσον τα δεδομένα δεν διαβιβάζονται ούτε κοινοποιούνται σε τρίτους. Για την εφαρμογή της παρούσας διάταξης τα δικαστήρια και οι δημόσιες αρχές δεν λογίζονται ως τρίτοι, εφόσον τη διαβίβαση ή κοινοποίηση επιβάλλει νόμος ή δικαστική απόφαση. Δεν απαλλάσσονται από την υποχρέωση γνωστοποίησης οι ασφαλιστικές εταιρείες για όλους τους κλάδους ασφάλισης, οι φαρμακευτικές εταιρείες, οι εταιρείες εμπορίας πληροφοριών και τα χρηματοπιστωτικά νομικά πρόσωπα, όπως οι τράπεζες και οι εταιρείες έκδοσης πιστωτικών καρτών. γ) Όταν η επεξεργασία γίνεται από σωματεία, εταιρείες, ενώσεις προσώπων και πολιτικά κόμματα και αφορά δεδομένα των μελών ή εταιρειών τους, εφόσον αυτοί έχουν δώσει την συγκατάθεσή τους και τα δεδομένα δεν διαβιβάζονται ούτε κοινοποιούνται σε τρίτους. Δεν λογίζονται τρίτοι τα μέλη ή εταίροι, εφόσον η διαβίβαση γίνεται προς αυτούς για τους σκοπούς των ως άνω νομικών προσώπων ή ενώσεων, ούτε τα δικαστήρια και οι δημόσιες αρχές, εφόσον τη διαβίβαση επιβάλλει νόμος ή δικαστική απόφαση. δ) Όταν η επεξεργασία αφορά δεδομένα υγείας και γίνεται από ιατρούς ή άλλα πρόσωπα που παρέχουν υπηρεσίες υγείας, εφόσον ο υπεύθυνος επεξεργασίας δεσμεύεται από το ιατρικό απόρρητο ή άλλο απόρρητο που προβλέπει νόμος ή κώδικας δεοντολογίας και τα δεδομένα δεν διαβιβάζονται ούτε κοινοποιούνται σε τρίτους.*** Για την εφαρμογή της παρούσας διάταξης τα δικαστήρια και οι δημόσιες αρχές δεν λογίζονται ως τρίτοι, εφόσον τη διαβίβαση ή κοινοποίηση επιβάλλει νόμος ή δικαστική απόφαση. Δεν εμπίπτουν στην απαλλαγή της παρούσας διάταξης τα νομικά πρόσωπα ή οργανισμοί που παρέχουν υπηρεσίες υγείας, όπως κλινικές, νοσοκομεία, κέντρα αποθεραπείας και αποτοξίνωσης, ασφαλιστικά ταμεία και ασφαλιστικές εταιρείες, καθώς και οι υπεύθυνοι επεξεργασίας δεδομένων προσωπικού χαρακτήρα όταν η επεξεργασία διεξάγεται στο πλαίσιο προγραμμάτων τηλεϊατρικής ή παροχής ιατρικών υπηρεσιών μέσω δικτύου. ε) Όταν η επεξεργασία γίνεται από δικηγόρους, συμβολαιογράφους, άμισθους υποθηκοφύλακες και δικαστικούς επιμελητές ή εταιρείες των προσώπων αυτών και αφορά στην παροχή νομικών υπηρεσιών προς πελάτες τους, εφόσον ο υπεύθυνος επεξεργασίας και τα μέλη των εταιρειών δεσμεύονται από υποχρέωση απορρήτου που προβλέπει νόμος και τα δεδομένα δεν διαβιβάζονται ούτε κοινοποιούνται σε τρίτους, εκτός από τις περιπτώσεις που αυτό είναι αναγκαίο και συνδέεται άμεσα με την εκπλήρωση εντολής του πελάτη.**** στ) Όταν η επεξεργασία γίνεται από δικαστικές αρχές ή υπηρεσίες εκτός από τις λοιπές αρχές του εδαφίου β΄ της παραγράφου 2 του άρθρου 3 στο πλαίσιο απονομής της δικαιοσύνης ή για την εξυπηρέτηση των αναγκών της λειτουργίας τους.***** 2. Σε όλες τις περιπτώσεις της παραγράφου 1 του παρόντος άρθρου, ο υπεύθυνος επεξεργασίας υπόκειται σε όλες τις υποχρεώσεις που προβλέπει ο παρών νόμος και υποχρεούται να συμμορφώνεται με ειδικούς κανόνες επεξεργασίας που η Αρχή εκδίδει σύμφωνα με την παράγραφο 3 του άρθρου 5 του παρόντος νόμου. 3. Οι προθεσμίες των παραγράφων 1,2 και 3 του άρθρου 24 του ν. 2472/1997 παρατείνονται έως την 21η Ιανουαρίου 2001. * Το άρθρο 7Α προστέθηκε με την παρ. 4 άρθρου 8 Ν. 2819/2000 (ΦΕΚ Α 84). ** Το στοιχ. α΄ αντικαταστάθηκε ως άνω σύμφωνα με την παρ. 3 άρθρου 34 Ν. 2915/2001 (ΦΕΚ Α 109). *** Το πρώτο εδάφιο του στοιχείου δ’ αντικαταστάθηκε ως άνω σύμφωνα με την παρ. 1 του άρθρου 23 του Ν. 3471/2006 (ΦΕΚ Α 133). **** Το στοιχείο ε’ αντικαταστάθηκε ως άνω σύμφωνα με την παρ. 2 του άρθρου 23 του Ν. 3471/2006 (ΦΕΚ Α 133). ***** Το στοιχείο στ’, όπως προστέθηκε με το άρθρο 10 του Ν. 3090/2002 (ΦΕΚ Α 329), συμπληρώθηκε ως άνω με την παρ. 2 του άρθρου όγδοου του Ν. 3625/2007 (ΦΕΚ Α 290).