«Νέας γενιάς» δικαιώματα για τους πολίτες γεννούν «νέας γενιάς» υποχρεώσεις για τις επιχειρήσεις, ενόψει του GDPR

Γράφει η δικηγόρος Ιωάννα Μιχαλοπούλου, LL.M. με εξειδίκευση σε νομικά ζητήματα HealthData

Σε λίγες μέρες αλλάζει όλο το τοπίο στη συγκέντρωση, διαχείριση και διασφάλιση των προσωπικών δεδομένων των Ευρωπαίων πολιτών, σύμφωνα με τον νέο Ευρωπαϊκό Κανονισμό  GDPR που θα εφαρμοστεί από τις 25 Μαΐου και οι νέες υποχρεώσεις του οποίου απαιτούν την άμεση προετοιμασία όλων των επιχειρήσεων οι οποίες διαχειρίζονται σε μεγάλο ή και μικρό αριθμό προσωπικά δεδομένα εντός της ΕΕ. Πάντως, η αλήθεια είναι ότι η πλειοψηφία των επιχειρηματιών είναι σε μεγάλο βαθμό ανέτοιμη!

Παραδείγματα όπως το τελευταίο περιστατικό στο περιβάλλον του Facebook, με την εκμετάλλευση περίπου 50.000.000 προφίλ χρηστών στο πλαίσιο των πρόσφατων αμερικανικών εκλογών, επιβεβαιώνουν και καθιστούν περισσότερο  επιτακτική από ποτέ την ανάγκη δημιουργίας ενός νέου αυστηρότατου νομοθετικού πλαισίου, με κοινή και ενιαία εφαρμογή για όλους τους Ευρωπαίους πολίτες. Είναι σημαντικό να κατανοήσουμε ότι ο GDPR ισχύει για όλους τους πολίτες που κατοικούν σε κράτη-μέλη της ΕΕ, ανεξάρτητα από το αν η εταιρία με την οποία συνδιαλέγονται έχει έδρα την Ευρώπη ή όχι. Αν, δηλαδή μία εταιρία είναι λ.χ. αμερικανική ή ασιατική αλλά επεξεργάζεται και δεδομένα Ευρωπαίων πολιτών , π.χ. ένα e-shop ή μία εφαρμογή στο κινητό, τότε η εταιρία αυτή είναι υποχρεωμένη να συμμορφώνεται με τον GDPR για τους συγκεκριμένους πελάτες της.

Πλησιάζοντας στην καταληκτική ημερομηνία εφαρμογής του GDPR, η ανησυχία είναι διάχυτη, τα μεγάλα πρόστιμα φοβίζουν και ο επιπρόσθετος φόρτος για την αυτορρύθμιση των εταιριών δημιουργεί ένα επιπλέον βάρος στους επιχειρηματίες. Παράλληλα, δε είναι πολλές οι εταιρείες οι οποίες δεν έχουν κατανοήσει τις ειδικότερες υποχρεώσεις προς τις οποίες θα κληθούν να συμμορφωθούν δυνάμει του GDPR. Επισημαίνεται, ωστόσο, ότι η νέα αυτή Ευρωπαϊκή νομοθεσία προστασίας προσωπικών δεδομένων γεννήθηκε μέσα από την ανάγκη των Ευρωπαϊκών φορέων και επιχειρήσεων να αυτοπροστατευτούν και να προστατεύσουν τα ευαίσθητα προσωπικά δεδομένα των πελατών τους από κυβερνοεπιθέσεις, που τα τελευταία χρόνια γίνονταν όλο και πιο συχνές και όλο και πιο μεγάλες.

Περαιτέρω, από τις 25 Μαΐου 2018, οι πολίτες ως υποκείμενα προσωπικών δεδομένων ενδυναμώνονται με νέα  δικαιώματα, όπως το δικαίωμα  μεταφοράς των προσωπικών τους δεδομένων σε άλλο πάροχο  (δικαίωμα στη φορητότητα), το δικαίωμα διαγραφής των προσωπικών τους δεδομένων από όλες τις βάσεις του υπευθύνου επεξεργασίας οποτεδήποτε  (δικαίωμα στη λήθη), καθώς και το δικαίωμα της  εναντίωσής τους, υπό την έννοια ότι ο πολίτης δικαιούται να αντιταχθεί ανά πάσα στιγμή στην επεξεργασία προσωπικών δεδομένων που τον αφορούν.

Σύμφωνα με τον GDPR, οι υπεύθυνοι επεξεργασίας θα έχουν πλέον τη νομική υποχρέωση να προφυλάσσουν όλα τα προσωπικά δεδομένα τα οποία επεξεργάζονται συμπεριλαμβανομένων των πληροφοριών ο συνδυασμός των οποίων δύναται να ταυτοποιήσει ένα υποκείμενο  για παράδειγμα είτε μέσω των πληροφοριών που έχει δώσει το ίδιο το υποκείμενο για την εγγραφή του σε κάποια βάση δεδομένων, είτε μέσω της διεύθυνσης IP ή των web cookies.

Οι εταιρείες οφείλουν να μεριμνούν πρωτίστως για τυχόν ευαίσθητα προσωπικά δεδομένα τα οποία μπορεί να επεξεργάζονται χωρίς πολλές φορές να το έχουν συνειδητοποιήσει, όπως για παράδειγμα, ένα ψηφιοποιημένο αντίγραφο αστυνομικής ταυτότητας στον server τους. Για τη διασφάλιση των δεδομένων και την προστασία από οποιαδήποτε διαρροή, η συνεργασία των επιχειρήσεων με εξειδικευμένο νομικό συνεργάτη είναι πλέον απαραίτητη. Ο έμπειρος νομικός συνεργάτης είναι εκείνος που θα συντονίσει την καταγραφή της ροής των προσωπικών δεδομένων που τυγχάνουν επεξεργασίας  τόσο εντός των διαδικασιών της εταιρίας, όσο και μέσω εξωτερικών συνεργατών, cloud providers κ.α.

Τούτο δε για τον λόγο ότι ένας  νομικός σύμβουλος με εξειδίκευση σε θέματα συμμόρφωσης σε σχέση με τον GDPR γνωρίζει απολύτως όλες τις παραμέτρους των θεμελιωδών αρχών αυτοματοποιημένης ή μη επεξεργασίας των προσωπικών δεδομένων. Ρυθμίσεις όπως η ελαχιστοποίηση των δεδομένων, η οριοθέτηση του σκοπού επεξεργασίας, η διασφάλιση της διαφάνειας και της νομιμότητας της επεξεργασίας, αλλά και η αναγκαιότητα παροχής της ελεύθερης, ειδικής, ενημερωμένης και ελεύθερα ανακλητής συναίνεσης από το υποκείμενο είναι πλέον επιβεβλημένες τροποποιήσεις. Επιπλέον αυτών, για την εξασφαλισμένα άρτια λειτουργία και την αποφυγή «κενών» στις νέες αυτές ρυθμίσεις, η διενέργεια μελέτης επιπτώσεων σε προληπτικό επίπεδο (impact ή risk assessment) είναι μια πολύτιμη υπηρεσία που είναι θεμελιωδώς απαραίτητη για τις εταιρίες που στόχο έχουν να περάσουν επιτυχώς το τεστ του σεβασμού, της εμπιστοσύνης και της εδραίωσης του δικαιώματος των πελατών τους στην ιδιωτικότητα.

Σε ένα ψηφιακό περιβάλλον που βάλλεται από παντού, ο GDPR είναι στην πραγματικότητα η ευκαιρία για τους επιχειρηματίες μικρών, μεσαίων ή μεγάλων επιχειρήσεων σε όλους τους επαγγελματικούς κλάδους, να επαναπροσδιορίσουν τη σχέση εμπιστοσύνης με τους πελάτες τους!