Τι πρέπει να κάνει μια εταιρεία στην Ελλάδα για να συμμορφωθεί με τον ΓΚΠΔ;

Ποιοι κανόνες ισχύουν και ποιος εποπτεύει

Ο ΓΚΠΔ (Κανονισμός (ΕΕ) 2016/679) εφαρμόζεται απευθείας στην Ελλάδα. Ο ν. 4624/2019 θεσπίζει τα εθνικά μέτρα εφαρμογής και αναθέτει την εποπτεία της εφαρμογής του ΓΚΠΔ στην Ελλάδα στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, την ανεξάρτητη αρχή που είχε συσταθεί με τον ν. 2472/1997.

Ο ελληνικός νόμος κάνει ορισμένες εθνικές επιλογές που ενδιαφέρουν τις επιχειρήσεις. Για παράδειγμα, όταν μια υπηρεσία της κοινωνίας της πληροφορίας προσφέρεται απευθείας σε ανήλικο και η νομική βάση είναι η συγκατάθεση, ο ανήλικος μπορεί να συναινέσει εφόσον έχει συμπληρώσει το 15ο έτος της ηλικίας του. Κάτω από αυτή την ηλικία, συγκατάθεση δίνει ο νόμιμος αντιπρόσωπός του. Ο νόμος ορίζει επίσης ειδικούς κανόνες για τα δεδομένα εργαζομένων και τις κάμερες στον χώρο εργασίας, που περιγράφονται παρακάτω.

Όλα ξεκινούν από τις αρχές του ΓΚΠΔ. Τα δεδομένα πρέπει να υποβάλλονται σε επεξεργασία νόμιμα, θεμιτά και με διαφάνεια. Πρέπει να συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς, να περιορίζονται στα αναγκαία και να προστατεύονται. Η εταιρεία πρέπει να μπορεί να αποδείξει ότι συμμορφώνεται.

Τα βασικά έγγραφα και οι συμβάσεις

• Αρχείο δραστηριοτήτων επεξεργασίας (άρθρο 30 ΓΚΠΔ). Η εξαίρεση για φορείς με λιγότερους από 250 εργαζομένους δεν ισχύει αν η επεξεργασία ενδέχεται να ενέχει κίνδυνο, δεν είναι περιστασιακή ή αφορά ειδικές κατηγορίες δεδομένων ή ποινικές καταδίκες. Επειδή οι περισσότερες επιχειρήσεις επεξεργάζονται τακτικά δεδομένα πελατών ή προσωπικού, συνήθως πρέπει να τηρούν αρχείο.
• Ενημέρωση των προσώπων (άρθρο 13 ΓΚΠΔ). Δίνεται σε πελάτες, προσωπικό και άλλα πρόσωπα κατά τη συλλογή των δεδομένων τους.
• Συμβάσεις με εκτελούντες την επεξεργασία (άρθρο 28 ΓΚΠΔ). Απαιτούνται με κάθε πάροχο που επεξεργάζεται δεδομένα για λογαριασμό της εταιρείας, όπως μισθοδοσία, cloud, υποστήριξη πληροφορικής ή marketing. Ο εκτελών δεν μπορεί να προσλάβει άλλον εκτελούντα χωρίς προηγούμενη γραπτή άδεια της εταιρείας.
• Μέτρα ασφάλειας (άρθρο 32 ΓΚΠΔ). Τεχνικά και οργανωτικά μέτρα ανάλογα με τον κίνδυνο.

Υπεύθυνος Προστασίας Δεδομένων και εκτίμηση αντικτύπου

Σύμφωνα με τον ΓΚΠΔ, ο Υπεύθυνος Προστασίας Δεδομένων (ΥΠΔ/DPO) είναι υποχρεωτικός για δημόσιους φορείς. Είναι επίσης υποχρεωτικός όταν οι βασικές δραστηριότητες της εταιρείας περιλαμβάνουν τακτική και συστηματική παρακολούθηση προσώπων σε μεγάλη κλίμακα ή επεξεργασία σε μεγάλη κλίμακα ειδικών κατηγοριών δεδομένων ή δεδομένων ποινικών καταδικών. Το ενωσιακό ή το ελληνικό δίκαιο μπορεί να τον καθιστά υποχρεωτικό και σε άλλες περιπτώσεις. Τα στοιχεία επικοινωνίας του ΥΠΔ δημοσιεύονται και ανακοινώνονται στην Αρχή. Στην Ελλάδα η ανακοίνωση γίνεται ηλεκτρονικά μέσω της διαδικτυακής πύλης της Αρχής, με διαπιστευτήρια taxisnet.

Η εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (ΕΑΠΔ) διενεργείται πριν από επεξεργασία που ενδέχεται να επιφέρει υψηλό κίνδυνο. Παραδείγματα που αναφέρει ο ΓΚΠΔ είναι η συστηματική και εκτενής αξιολόγηση προσωπικών πτυχών βάσει αυτοματοποιημένης επεξεργασίας, περιλαμβανομένης της κατάρτισης προφίλ, όταν σε αυτήν βασίζονται αποφάσεις που παράγουν έννομα ή παρόμοια σημαντικά αποτελέσματα για τα πρόσωπα· η επεξεργασία ευαίσθητων δεδομένων ή δεδομένων ποινικών καταδικών σε μεγάλη κλίμακα· και η συστηματική παρακολούθηση δημοσίως προσβάσιμου χώρου σε μεγάλη κλίμακα. Η Αρχή έχει δημοσιεύσει κατάλογο πράξεων επεξεργασίας που απαιτούν ΕΑΠΔ (Απόφαση 65/2018, ΦΕΚ Β΄ 1622/10-5-2019). Η ίδια η Αρχή επισημαίνει ότι ο κατάλογος δεν είναι εξαντλητικός.

Εργαζόμενοι και κάμερες στον χώρο εργασίας

Σύμφωνα με το άρθρο 27 του ν. 4624/2019, τα δεδομένα των εργαζομένων υποβάλλονται σε επεξεργασία για τους σκοπούς της σύμβασης εργασίας, εφόσον αυτό είναι απολύτως απαραίτητο για την απόφαση σύναψης ή για την εκτέλεση της σύμβασης. Η συγκατάθεση είναι εξαιρετική νομική βάση στις εργασιακές σχέσεις. Αν χρησιμοποιηθεί, δίνεται γραπτά ή ηλεκτρονικά, χωριστά από τη σύμβαση εργασίας, και ο εργαζόμενος ενημερώνεται για το δικαίωμά του να την ανακαλέσει.

Το κλειστό κύκλωμα παρακολούθησης στον χώρο εργασίας επιτρέπεται μόνο αν είναι απαραίτητο για την προστασία προσώπων και αγαθών. Το υλικό δεν επιτρέπεται να χρησιμοποιηθεί για την αξιολόγηση της αποδοτικότητας των εργαζομένων, οι οποίοι ενημερώνονται εγγράφως, σε γραπτή ή ηλεκτρονική μορφή. Για τους κανόνες αυτούς, «εργαζόμενοι» είναι και οι συνεργάτες με σύμβαση έργου ή παροχής υπηρεσιών, οι υποψήφιοι και οι πρώην απασχολούμενοι.

Παραβιάσεις, αιτήματα και πρόστιμα

• Παραβίαση δεδομένων: γνωστοποίηση στην Αρχή χωρίς αδικαιολόγητη καθυστέρηση και, αν είναι δυνατόν, εντός 72 ωρών από τη στιγμή που η εταιρεία αντιλήφθηκε την παραβίαση, εκτός αν η παραβίαση δεν ενδέχεται να προκαλέσει κίνδυνο. Στην Ελλάδα η φόρμα γνωστοποίησης υποβάλλεται ηλεκτρονικά μέσω της διαδικτυακής πύλης της Αρχής· άλλος τρόπος γίνεται δεκτός μόνο κατ' εξαίρεση.
• Παραβίαση υψηλού κινδύνου: ενημερώνονται και τα ίδια τα πρόσωπα, χωρίς αδικαιολόγητη καθυστέρηση και με σαφή και απλή διατύπωση.
• Αιτήματα προσώπων (πρόσβαση, διαγραφή, εναντίωση και τα άλλα δικαιώματα των άρθρων 15 έως 22): απάντηση εντός ενός μηνός. Η προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες για σύνθετα ή πολυάριθμα αιτήματα, αλλά ο αιτών ενημερώνεται για την παράταση μέσα στον πρώτο μήνα.
• Πρόστιμα: έως €10 εκατ. ή 2% του παγκόσμιου ετήσιου κύκλου εργασιών για ορισμένες παραβάσεις, όπως το αρχείο, η ασφάλεια ή ο ΥΠΔ. Έως €20 εκατ. ή 4% για άλλες, όπως οι βασικές αρχές, η νομική βάση και τα δικαιώματα των προσώπων. Σε κάθε περίπτωση ισχύει το υψηλότερο ποσό.

Συχνές ερωτήσεις

Πηγές

• Κανονισμός (ΕΕ) 2016/679 (ΓΚΠΔ), άρθρα 5, 12, 13, 28, 30, 32, 33, 34, 35, 37, 83 (ΕΕ L 119/4.5.2016), Υπηρεσία Εκδόσεων της ΕΕ
• ν. 4624/2019, άρθρο 1 (σκοπός του νόμου)
• ν. 4624/2019, άρθρο 9 (Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα)
• ν. 4624/2019, άρθρο 21 (συγκατάθεση ανηλίκου)
• ν. 4624/2019, άρθρο 27 (δεδομένα εργαζομένων, κλειστό κύκλωμα οπτικής καταγραφής)
• Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, Υποβολή γνωστοποίησης περιστατικού παραβίασης
• Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, Ψηφιακός βοηθός αξιολόγησης περιστατικού παραβίασης
• Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, Ανακοίνωση ορισμού DPO στην Αρχή
• Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, Εκτίμηση αντικτύπου (Απόφαση 65/2018, ΦΕΚ Β΄ 1622/10-5-2019)
• Ευρωπαϊκή Επιτροπή, Πρόταση Κανονισμού COM(2025) 501 final, 21.5.2025 (τροποποίηση ΓΚΠΔ, άρθρο 30 παρ. 5)
• Ευρωπαϊκό Κοινοβούλιο, Legislative Observatory, διαδικασία 2025/0130(COD)