Ο γενικός κανονισμός για την προστασία δεδομένων

Τι είναι ο ΓΚΠΔ;

Ο γενικός κανονισμός της ΕΕ για την προστασία δεδομένων (ΓΚΠΔ) είναι το αυστηρότερο νομοθέτημα για την προστασία της ιδιωτικής ζωής και της ασφάλειας στον κόσμο.

Ο κανονισμός αυτός προσάρμοσε στα νέα δεδομένα και εκσυγχρόνισε τις αρχές που θεσπίστηκαν με την οδηγία του 1995 για την προστασία των δεδομένων. Εκδόθηκε το 2016 και τέθηκε σε εφαρμογή στις 25 Μαΐου 2018.

Ο ΓΚΠΔ καθορίζει:

• τα θεμελιώδη δικαιώματα των πολιτών στην ψηφιακή εποχή
• τις υποχρεώσεις των προσώπων που επεξεργάζονται τα δεδομένα
• μεθόδους για τη διασφάλιση της συμμόρφωσης
• κυρώσεις για όσους παραβιάζουν τους κανόνες

Ατομικά δικαιώματα

Ο ΓΚΠΔ απαριθμεί τα δικαιώματα του υποκειμένου των δεδομένων, δηλαδή τα δικαιώματα των προσώπων των οποίων τα προσωπικά δεδομένα υπόκεινται σε επεξεργασία. Αυτά τα ενισχυμένα δικαιώματα παρέχουν στα φυσικά πρόσωπα μεγαλύτερο έλεγχο επί των προσωπικών τους δεδομένων, μεταξύ άλλων μέσω:

• της υποχρέωσης να υπάρχει σαφής συγκατάθεση του/της ενδιαφερομένου/-ης για την επεξεργασία των προσωπικών τους δεδομένων
• ευκολότερης πρόσβασης του υποκειμένου των δεδομένων στα προσωπικά του δεδομένα
• του δικαιώματος διόρθωσης, διαγραφής και «λήθης»
• του δικαιώματος εναντίωσης, μεταξύ άλλων στη χρησιμοποίηση των δεδομένων προσωπικού χαρακτήρα για την «κατάρτιση προφίλ»
• του δικαιώματος διαβίβασης των δεδομένων από πάροχο σε πάροχο

Ο κανονισμός για την προστασία των δεδομένων καθορίζει τα δικαιώματα των φυσικών προσώπων και τις υποχρεώσεις εκείνων που επεξεργάζονται τα δεδομένα, καθώς και εκείνων που είναι υπεύθυνοι για την επεξεργασία.

Υποχρεώσεις για επιχειρήσεις και οργανισμούς

Ο ΓΚΠΔ καθορίζει τις γενικές υποχρεώσεις των υπευθύνων επεξεργασίας δεδομένων και όσων εκτελούν την επεξεργασία των προσωπικών δεδομένων για λογαριασμό των υπευθύνων (εκτελούντες την επεξεργασία).

Σε αυτές περιλαμβάνεται η υποχρέωση εφαρμογής των ενδεδειγμένων μέτρων ασφαλείας ανάλογα με τον κίνδυνο τον οποίον συνεπάγονται οι πράξεις επεξεργασίας δεδομένων τις οποίες εκτελούν.

Σε ορισμένες περιπτώσεις, οι υπεύθυνοι επεξεργασίας υποχρεούνται επίσης να κοινοποιούν παραβιάσεις δεδομένων προσωπικού χαρακτήρα. Όλες οι δημόσιες αρχές και οι εταιρείες που εκτελούν ορισμένες πράξεις επεξεργασίας δεδομένων οι οποίες ενέχουν κινδύνους θα πρέπει επίσης να διορίζουν υπεύθυνο προστασίας δεδομένων.

Εφαρμογή των κανόνων προστασίας των δεδομένων

Ο κανονισμός επιβεβαιώνει την υφιστάμενη υποχρέωση των κρατών μελών να συστήσουν ανεξάρτητη εποπτική αρχή σε εθνικό επίπεδο και θεσπίζει μηχανισμό ώστε να διασφαλίζεται η ομοιόμορφη εφαρμογή της νομοθεσίας για την προστασία των δεδομένων στο σύνολο της ΕΕ.

Ο ΓΚΠΔ ορίζει ότι λαμβάνεται μία και μόνη εποπτική απόφαση σε διασυνοριακές υποθέσεις όπου εμπλέκονται διάφορες εθνικές εποπτικές αρχές. Η αρχή αυτή, η οποία είναι γνωστή ως «υπηρεσία μίας στάσης», συνεπάγεται ότι μια εταιρεία με θυγατρικές σε διάφορα κράτη μέλη θα συνομιλεί μόνον με την αρχή προστασίας δεδομένων στο κράτος μέλος της κύριας έδρας της.

Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων διασφαλίζει την πλήρη και συνεπή εφαρμογή του ΓΚΠΔ. Το συμβούλιο αυτό απαρτίζεται από εκπροσώπους και των 27 ανεξάρτητων εποπτικών αρχών.

Στις 17 Νοεμβρίου 2025 το Συμβούλιο εξέδωσε νομοθετική πράξη της ΕΕ, η οποία αναμένεται να τεθεί σε ισχύ το 2026. Η εν λόγω νομοθετική πράξη καθιστά τη συνεργασία μεταξύ των εθνικών αρχών προστασίας δεδομένων ταχύτερη και αποτελεσματικότερη κατά τον χειρισμό διασυνοριακών καταγγελιών βάσει του ΓΚΠΔ στις οποίες εμπλέκονται διάφορες χώρες της ΕΕ. Οι κανόνες απλουστεύουν τις διοικητικές διαδικασίες και έχουν ως στόχο να διασφαλίσουν:

• ταχεία εξέταση διασυνοριακών καταγγελιών και βελτίωση της συνεργασίας
• διερεύνηση των δικαιωμάτων των καταγγελλόντων και των μερών

Βάσει του ΓΚΠΔ, προβλέπονται αυστηρές κυρώσεις για τους υπευθύνους επεξεργασίας ή τους εκτελούντες την επεξεργασία που παραβιάζουν τους κανόνες προστασίας των δεδομένων. Στους υπευθύνους επεξεργασίας των δεδομένων μπορεί να επιβληθεί πρόστιμο έως και 20 εκατ. ευρώ ή 4 % του συνολικού ετήσιου κύκλου εργασιών τους.

Επιπροσθέτως, τα φυσικά πρόσωπα μπορούν να υποβάλουν καταγγελία σε εποπτική αρχή και έχουν δικαίωμα δικαστικής προσφυγής και αποζημίωσης. Έχουν επίσης το δικαίωμα να ζητούν επανεξέταση κάθε απόφασης της δικής τους αρχής προστασίας των δεδομένων από δικαστήριο της χώρας τους, ανεξάρτητα από το κράτος μέλος στο οποίο είναι εγκατεστημένος ο υπεύθυνος επεξεργασίας δεδομένων.

• Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων
• Το Συμβούλιο εκδίδει νέα ενωσιακή νομοθεσία για την επιτάχυνση της διεκπεραίωσης διασυνοριακών καταγγελιών για την προστασία των δεδομένων (δελτίο Τύπου, 17 Νοεμβρίου 2025)
• Προστασία δεδομένων: Το Συμβούλιο καθόρισε τη θέση του σχετικά με τους κανόνες επιβολής του ΓΚΠΔ (δελτίο Τύπου, 13 Ιουνίου 2024)

Διαβιβάσεις σε χώρες εκτός ΕΕ

Ο ΓΚΠΔ καλύπτει επίσης τη διαβίβαση προσωπικών δεδομένων σε χώρες εκτός ΕΕ και διεθνείς οργανισμούς. Η Ευρωπαϊκή Επιτροπή είναι επιφορτισμένη να αξιολογήσει το επίπεδο προστασίας που παρέχει μια εδαφική περιοχή ή ένας τομέας επεξεργασίας σε χώρα εκτός ΕΕ.

Εάν η Επιτροπή δεν έχει λάβει απόφαση επάρκειας για μια εδαφική περιοχή ή έναν τομέα, η διαβίβαση προσωπικών δεδομένων μπορεί να πραγματοποιηθεί μόνον σε ειδικές περιπτώσεις ή εφόσον προσφέρονται κατάλληλες διασφαλίσεις.