Η παραβίαση δεδομένων στην Κύπρο είναι και ποινικό ζήτημα

Οι επιχειρήσεις αντιμετωπίζουν τον Γενικό Κανονισμό Προστασίας Δεδομένων ως κίνδυνο προστίμου. Στην Κύπρο αυτή είναι ατελής εικόνα, και το μισό που λείπει είναι αυτό που φτάνει σε πρόσωπα και όχι σε ισολογισμούς.

Ο Κανονισμός εφαρμόζεται άμεσα και θέτει τους ουσιαστικούς κανόνες. Από πάνω του κάθεται ο περί της Προστασίας των Φυσικών Προσώπων Έναντι της Επεξεργασίας των Δεδομένων Προσωπικού Χαρακτήρα Νόμος, Ν. 125(Ι)/2018, και αυτός κάνει πράγματα που ο Κανονισμός δεν κάνει.

Το μέρος που δεν σχεδιάζει κανείς

Το άρθρο 33(1) δημιουργεί ποινικά αδικήματα. Μεταξύ αυτών, διαπράττει αδίκημα ο υπεύθυνος επεξεργασίας που δεν γνωστοποιεί στον Επίτροπο παραβίαση δεδομένων προσωπικού χαρακτήρα κατά το άρθρο 33 παράγραφος 1 του Κανονισμού, και ο εκτελών την επεξεργασία που δεν ενημερώνει τον υπεύθυνο επεξεργασίας χωρίς καθυστέρηση κατά το άρθρο 33 παράγραφος 2. Αδίκημα διαπράττει και ο υπεύθυνος επεξεργασίας που δεν ανακοινώνει την παραβίαση στο υποκείμενο των δεδομένων κατά το άρθρο 34.

Ο κατάλογος δεν σταματά στις παραβιάσεις. Φτάνει τον υπεύθυνο επεξεργασίας ή τον εκτελούντα που δεν τηρεί ή δεν επικαιροποιεί το αρχείο δραστηριοτήτων επεξεργασίας που απαιτεί το άρθρο 30, αρνείται να το προσκομίσει στον Επίτροπο όταν του ζητηθεί, ή δίνει στον Επίτροπο ψευδείς, ανακριβείς, ελλιπείς ή παραπλανητικές πληροφορίες γι’ αυτό. Φτάνει τη μη συνεργασία με τον Επίτροπο κατά το άρθρο 31. Φτάνει τον υπεύθυνο επεξεργασίας που δεν διενεργεί εκτίμηση αντικτύπου όπου την απαιτεί το άρθρο 35 παράγραφος 1. Και φτάνει τον υπεύθυνο επεξεργασίας ή τον εκτελούντα που παρεμποδίζει τον υπεύθυνο προστασίας δεδομένων στην άσκηση των καθηκόντων του, ιδίως στη συνεργασία του με τον Επίτροπο.

Σε περίπτωση καταδίκης η ποινή είναι φυλάκιση που δεν υπερβαίνει τα τρία έτη, πρόστιμο που δεν υπερβαίνει τις 30.000 ευρώ, ή και τα δύο.

Αυτό αλλάζει το ποιος πρέπει να ενδιαφέρεται. Το ρυθμιστικό πρόστιμο είναι θέμα της εταιρείας· το ποινικό αδίκημα φτάνει σε ανθρώπους.

Τι σημαίνει για την πρακτική διαχείριση

Σημαίνει ότι η απόφαση «να το γνωστοποιήσουμε ή όχι» δεν είναι εμπορική στάθμιση. Σημαίνει ότι η καθυστέρηση μέχρι να «ξεκαθαρίσει η εικόνα» είναι η ίδια απόφαση με άλλο όνομα. Και σημαίνει ότι το αρχείο του τι έγινε γνωστό, πότε, και ποιος αποφάσισε τι, γράφεται από την πρώτη ώρα.

Η προθεσμία βρίσκεται στον Κανονισμό και όχι στον κυπριακό νόμο: γνωστοποίηση στην εποπτική αρχή κατά το άρθρο 33 παράγραφος 1 χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, το αργότερο εντός εβδομήντα δύο ωρών από τη στιγμή που ο υπεύθυνος επεξεργασίας λαμβάνει γνώση της παραβίασης. Η ανακοίνωση στο υποκείμενο των δεδομένων κατά το άρθρο 34 απαιτείται χωρίς αδικαιολόγητη καθυστέρηση όπου η παραβίαση ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες του.

Ο κυπριακός νόμος κλείνει έπειτα τη διέξοδο στην οποία καταφεύγει κανείς συχνότερα. Ο υπεύθυνος επεξεργασίας μπορεί να απαλλαγεί, ολικά ή μερικά, από την υποχρέωση ανακοίνωσης προς το υποκείμενο των δεδομένων, αλλά το άρθρο 12(1) το επιτρέπει μόνο για σκοπό του άρθρου 23 παράγραφος 1 του Κανονισμού, και το άρθρο 12(2) εξαρτά την απαλλαγή από διενέργεια εκτίμησης αντικτύπου και προηγούμενη διαβούλευση με τον Επίτροπο. Το άρθρο 12(4) επιτρέπει στον Επίτροπο να θέσει όρους και προϋποθέσεις.

Με άλλα λόγια, η απόφαση να μην ενημερωθούν οι θιγόμενοι δεν είναι απόφαση που παίρνει μόνη της η επιχείρηση. Είναι απόφαση για την οποία υποβάλλεται αίτηση, και η υποβολή της αίτησης χρειάζεται χρόνο που οι εβδομήντα δύο ώρες δεν περιέχουν.

Τέσσερις κυπριακοί κανόνες που διαφέρουν από την παραδοχή

Η ηλικία συγκατάθεσης είναι τα δεκατέσσερα. Όπου υπηρεσίες της κοινωνίας της πληροφορίας προσφέρονται απευθείας σε παιδί με βάση τη συγκατάθεση του παιδιού, το άρθρο 8(1) καθιστά την επεξεργασία νόμιμη αν το παιδί είναι τουλάχιστον δεκατεσσάρων ετών. Κάτω των δεκατεσσάρων, το άρθρο 8(2) απαιτεί συγκατάθεση που δίνεται ή εγκρίνεται από τον έχοντα τη γονική μέριμνα. Επιχειρήσεις που δουλεύουν με τα δεκατρία ή τα δεκαέξι επειδή αυτό κάνει άλλο κράτος μέλος δουλεύουν εδώ με λάθος αριθμό.

Τα βιομετρικά και γενετικά δεδομένα δεν χρησιμοποιούνται για ασφάλιση. Το άρθρο 9(1) απαγορεύει την επεξεργασία γενετικών και βιομετρικών δεδομένων για σκοπούς ασφάλισης υγείας και ζωής. Είναι κατηγορηματική απαγόρευση, όχι άσκηση στάθμισης.

Η συγκατάθεση σε γενετική ή βιομετρική επεξεργασία δεν μεταφέρεται. Όπου η επεξεργασία αυτή βασίζεται σε συγκατάθεση, το άρθρο 9(2) απαιτεί χωριστή συγκατάθεση για περαιτέρω επεξεργασία των δεδομένων εκείνων.

Ο κατάλογος όσων χρειάζονται υπεύθυνο προστασίας δεδομένων μπορεί να μεγαλώσει. Το άρθρο 14(1) διορίζει τον υπεύθυνο τηρουμένου του άρθρου 37 του Κανονισμού, αλλά το άρθρο 14(2) επιτρέπει στον Επίτροπο να καταρτίζει και να δημοσιεύει κατάλογο πράξεων επεξεργασίας και περιπτώσεων όπου πρέπει να διοριστεί υπεύθυνος επιπροσθέτως εκείνων του άρθρου 37(1). Η ανάγνωση μόνο του άρθρου 37 δεν αρκεί επομένως για να συναχθεί ότι δεν χρειάζεται υπεύθυνος.

Τα πρόστιμα, και εκείνο που έχει οροφή

Το πρόστιμο το επιβάλλει ο Επίτροπος, και αν δεν πληρωθεί η Δημοκρατία το διεκδικεί σαν κάθε άλλο χρέος. Το άρθρο 32(1) προβλέπει ότι ο Επίτροπος επιβάλλει διοικητικά πρόστιμα τηρουμένου του άρθρου 83 του Κανονισμού, και το άρθρο 32(2) καθιστά απλήρωτο πρόστιμο ανακτήσιμο ως αστικό χρέος οφειλόμενο στη Δημοκρατία.

Μία κατηγορία έχει οροφή. Κατά το άρθρο 32(3), διοικητικό πρόστιμο που επιβάλλεται σε δημόσια αρχή ή δημόσιο φορέα για δραστηριότητες μη κερδοσκοπικού χαρακτήρα δεν μπορεί να υπερβεί τις 200.000 ευρώ.

Πριν συμβεί

Οι οργανισμοί που τα καταφέρνουν έχουν τρία πράγματα έτοιμα πριν χρειαστούν: ποιος ειδοποιείται εσωτερικά και μέσα σε πόσο, ποιος έχει εξουσία να αποφασίσει τη γνωστοποίηση, και πού καταγράφεται το χρονολόγιο. Χωρίς αυτά, ο χρόνος καταναλώνεται σε συνεννοήσεις.

Και μόλις συμβεί: διαπιστώστε πότε ακριβώς έλαβε γνώση ο οργανισμός, γιατί οι εβδομήντα δύο ώρες τρέχουν από τη γνώση και η απάντηση είναι ζήτημα πραγματικό που δυσκολεύει με κάθε μέρα που περνά. Καταγράψτε τι είναι γνωστό και τι δεν είναι. Μην αποφασίσετε να μην ενημερώσετε τα υποκείμενα των δεδομένων με τη σκέψη ότι η απαλλαγή του άρθρου 12 είναι διαθέσιμη, γιατί είναι διαθέσιμη μόνο μετά από εκτίμηση αντικτύπου και προηγούμενη διαβούλευση.

Ελέγξτε έπειτα το αρχείο δραστηριοτήτων επεξεργασίας. Αν δεν υπάρχει ή δεν είναι ενημερωμένο, η έκθεση κατά το άρθρο 33(1)(α) είναι χωριστή από την ίδια την παραβίαση και δεν εξαφανίζεται επειδή η παραβίαση χειρίστηκε καλά.

Για την πρώτη επικοινωνία

Περιγράψτε σύντομα την υπόθεση και αναφέρετε τυχόν προθεσμία. Δεν χρειάζεται να συγκεντρώσετε έγγραφα για το πρώτο σας μήνυμα.

Υποβολή ερωτήματος →Στείλτε email+357 22 680 330

Στοιχεία που μπορεί να χρειαστούν στη συνέχεια

Αφού επιβεβαιώσουμε ότι μπορούμε να αναλάβουμε, θα σας καθοδηγήσουμε για τα στοιχεία που χρειάζονται. Η παρακάτω λίστα αφορά τον επόμενο έλεγχο, όχι το πρώτο μήνυμα.

Τι συνέβη και πότε έγινε γνωστό, ποια δεδομένα και πόσα πρόσωπα αφορά, τι έχει ήδη γίνει, και ποιος το γνωρίζει μέσα και έξω από τον οργανισμό. Στείλτε τα την ίδια ημέρα.

Συχνές ερωτήσεις

Σχετική αρθρογραφία

Δείτε επίσης την τεχνολογία και το ηλεκτρονικό εμπόριο και το δημόσιο και διοικητικό δίκαιο.

Το παρόν κείμενο έχει ενημερωτικό χαρακτήρα και δεν αποτελεί νομική συμβουλή. Η νομοθεσία και η εφαρμογή της ενδέχεται να μεταβληθούν, ενώ κάθε περίπτωση διαφέρει. Για συμβουλή στη δική σας υπόθεση επικοινωνήστε με τον Κλείτο Πλατή στο klitos@kleanthousplatis.com ή στο +357 22 680 330.

Λάβετε νομικές ενημερώσεις με email

Όταν αλλάζει το κυπριακό δίκαιο, να το μαθαίνετε από εμάς

Ένα σύντομο email όταν αλλάζει κάτι που μετρά: νέα νομοθεσία, μια απόφαση που αξίζει να ξέρετε, μια προθεσμία. Γραμμένο από τους συνεταίρους, χωρίς διαφημίσεις, διαγραφή με ένα κλικ.

Αφήστε το κενό

Εγγραφή

Είστε στη λίστα. Η επόμενη ενημέρωση για το κυπριακό δίκαιο θα έρθει στο email σας.

Η εγγραφή δεν ολοκληρώθηκε. Γράψτε στο office@kleanthousplatis.com και θα σας προσθέσουμε.

Η διεύθυνσή σας χρησιμοποιείται για αυτές τις ενημερώσεις και για τίποτε άλλο. Προστασία προσωπικών δεδομένων.

Περισσότερα από τη βιβλιοθήκη