ΕΛΛΗΝΙΚΗ  ΔΗΜΟΚΡΑΤΙΑ
ΥΠΟΥΡΓΕΙO ΕΣΩΤΕΡΙΚΩΝ
            
ΕΘΝΙΚΗ ΣΧΟΛΗ ΔΗΜΟΣΙΑΣ ΔΙΟΙΚΗΣΗΣ & ΑΥΤΟΔΙΟΙΚΗΣΗΣ
Μαθήματα Α Ειδικής Φάσης Σπουδών: ΠΡΟΣΩΠΙΚΑ ΔΕΔΟΜΕΝΑ

ENOTHTA 1η
I.  Εισαγωγή στο θεσμικό πλαίσιο προστασίας προσωπικών δεδομένων: Ιστορική αναδρομή- Ισχύον κανονιστικό πλαίσιο

Α. ΔΙΕΘΝΗΣ ΕΝΝΟΜΗ ΤΑΞΗ
Το δικαίωμα στην προστασία της ιδιωτικής σφαίρας του ατόμου έναντι αυθαίρετων επεμβάσεων τρίτων κατοχυρώνεται για πρώτη φορά σε διεθνές νομικό κείμενο στο άρθρο 12 της Οικουμενικής Διακήρυξης Δικαιωμάτων του Ανθρώπου του Οργανισμού Ηνωμένων Εθνών του έτους 1948, η οποία κυρώθηκε από την Ελλάδα με τον ν. 2329/1953. Στη συνέχεια, το έτος 1950, στο άρθρο 8 της Ευρωπαϊκής Σύμβασης των Δικαιωμάτων του Ανθρώπου κατοχυρώνεται το δικαίωμα σεβασμού της ιδιωτικής και οικογενειακής ζωής. Ειδικότερα, σύμφωνα με το άρθρο αυτό : «1. Παν πρόσωπον δικαιούται εις τον σεβασμόν της ιδιωτικής και οικογενειακής ζωής του, της κατοικίας του και της αλληλογραφίας του 2. Δεν επιτρέπεται να υπάρξη επέμβασις δημοσίας αρχής εν τη ασκήσει του δικαιώματος τούτου, εκτός εάν η επέμβασις αύτη προβλέπεται υπό του νόμου και αποτελεί μέτρον το οποίον, εις μίαν δημοκρατικήν κοινωνίαν, είναι αναγκαίον δια την εθνικήν ασφάλειαν, την δημοσίαν ασφάλειαν, την οικονομικήν ευημερίαν της χώρας, την προάσπισιν της τάξεως και την πρόληψιν ποινικών παραβάσεων, την προστασίαν της υγείας ή της ηθικής, ή την προστασίαν των δικαιωμάτων και ελευθεριών άλλων».
Κατά τη δεκαετία του 1970, η εξάπλωση των τεχνολογιών πληροφορικής και επικοινωνιών οδηγεί στη θέσπιση των πρώτων νόμων για την προστασία των προσωπικών δεδομένων (Γερμανία, Γαλλία, Σουηδία, Αυστρία, Καναδάς, Λουξεμβούργο, Δανία), ενώ το 1980 ο ΟΟΣΑ εκδίδει «Οδηγίες για την Προστασία της Ιδιωτικότητας και της Διασυνοριακής Ροής Προσωπικών Δεδομένων».
Το 1981, το Συμβούλιο της Ευρώπης καταρτίζει τη Σύμβαση 108 για την Προστασία του Ατόμου από την Αυτοματοποιημένη Επεξεργασία Προσωπικών Δεδομένων, η οποία ήταν και παραμένει η μόνη νομικά δεσμευτική διεθνής πράξη στον τομέα της προστασίας των προσωπικών δεδομένων. Η σύμβαση αυτή κυρώθηκε από την Ελλάδα με τον ν. 2068/1992 και άρχισε να ισχύει από την 1.1.1995.
Ειδικότερα, σύμφωνα με τη σύμβαση αυτή, (…) Οι πληροφορίες προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική προέλευση, τα πολιτικά φρονήματα, τις θρησκευτικές ή άλλες πεποιθήσεις, όπως και οι πληροφορίες προσωπικού χαρακτήρα που σχετίζονται με την υγεία ή την σεξουαλική ζωή, δεν δύνανται να αποτελέσουν αντικείμενο αυτοματοποιημένης επεξεργασίας, εάν το εσωτερικό δίκαιο δεν προβλέπει κατάλληλες εγγυήσεις. Το αυτό ισχύει για τις πληροφορίες προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες (…), ενώ επιπρόσθετα αναγνωρίζονται για πρώτη φορά «ειδικές κατηγορίες» προσωπικών δεδομένων («ευαίσθητα» δεδομένα). Η σύμβαση αυτή επικαιροποιήθηκε τον Μάιο του 2018 στο Έλσινορ της Δανίας.

Β. ΕΥΡΩΠΑΪΚΗ ΕΝΝΟΜΗ ΤΑΞΗ
Το ευρωπαϊκό δίκαιο διακρίνεται σε πρωτογενές και παράγωγο. Το πρωτογενές δίκαιο είναι οι Ιδρυτικές Συνθήκες (Συνθήκη για την Ευρωπαϊκή Ένωση «ΣΕΕ» και η Συνθήκη για τη Λειτουργία της Ευρωπαϊκής Ένωσης «ΣΛΕΕ»).  Το παράγωγο δίκαιο είναι οι κανόνες δικαίου, που εκδίδουν τα θεσμικά όργανα της Ευρωπαϊκής Ένωσης, τα οποία έχουν εξουσιοδοτηθεί σχετικώς δυνάμει των Συνθηκών. Οι κανόνες αυτοί διακρίνονται σε κανονισμούς, οδηγίες, αποφάσεις, και γνώμες ή συστάσεις. Οι Κανονισμοί είναι υπερνομοθετικής ισχύος και άμεσα δεσμευτικοί ως έχουν από όλα τα κράτη μέλη. Οι Οδηγίες είναι νομοθετικές πράξεις που ορίζουν έναν κοινό στόχο, τον οποίο πρέπει να επιτύχουν όλες οι χώρες της ΕΕ. Ωστόσο, εναπόκειται σε κάθε κράτος μέλος να ενσωματώσει  με τα κατάλληλα – σύμφωνα με τους εθνικούς κανόνες – νομικά μέτρα τις εκάστοτε οδηγίες στην εσωτερική έννομη τάξη. Οι αποφάσεις είναι δεσμευτικές μόνον γι’ αυτούς στους οποίους απευθύνονται (π.χ. μια χώρα της ΕΕ ή μια μεμονωμένη εταιρεία) και ισχύουν άμεσα, ενώ οι γνώμες και οι συστάσεις δεν έχουν δεσμευτική ισχύ.
Οι αρχικές συνθήκες των Ευρωπαϊκών Κοινοτήτων δεν περιείχαν καμία αναφορά στα ανθρώπινα δικαιώματα ή στην προστασία τους. Για πρώτη φορά γίνεται αναφορά στο άρθρο 16 της ΣΛΕΕ στη γενική αρμοδιότητα της ΕΕ να νομοθετεί επί ζητημάτων προστασίας δεδομένων.
Το έτος 2000, η πανηγυρική διακήρυξη του Χάρτη Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης ενσωματώνει το πλήρες φάσμα των ατομικών, πολιτικών, οικονομικών και κοινωνικών δικαιωμάτων των ευρωπαίων πολιτών, σε μία σύνθεση των κοινών συνταγματικών παραδόσεων και των κοινών διεθνών υποχρεώσεων των κρατών μελών σε 6 κεφάλαια: αξιοπρέπεια, ελευθερίες, ισότητα, αλληλεγγύη, δικαιώματα των πολιτών και δικαιοσύνη. Ειδικότερα, ο Χάρτης στο άρθρο 7 εγγυάται τον σεβασμό της ιδιωτικής και οικογενειακής ζωής και στο άρθρο 8 το ατομικό δικαίωμα στην προστασία των προσωπικών δεδομένων. Κατά συνέπεια η προστασία των προσωπικών δεδομένων αναβαθμίζεται σε θεμελιώδες δικαίωμα. Την 1/12/2009  ο Χάρτης κατέστη νομικά δεσμευτικός ως πρωτογενές ενωσιακό δίκαιο με την ψήφιση και κύρωση της Συνθήκης της Λισαβόνας.
Το 1995 η Οδηγία  95/46/ΕΚ για την προστασία των φυσικών προσώπων από την επεξεργασία προσωπικών δεδομένων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, θεσπίζει ένα ενιαίο και υψηλό επίπεδο προστασίας των δεδομένων στην ΕΕ, καθιερώνει τις ανεξάρτητες εποπτικές αρχές και ρυθμίζει ειδικότερα ζητήματα, όπως της ελεύθερης ροής δεδομένων εντός της εσωτερικής αγοράς.
Στον τομέα των ηλεκτρονικών επικοινωνιών, η Οδηγία 97/66/ΕΚ ρυθμίζει τα ζητήματα προστασίας των φυσικών προσώπων από την επεξεργασία προσωπικών δεδομένων στον τηλεπικοινωνιακό τομέα, η οποία αντικαθίσταται το 2002 από την Οδηγία 2002/58/ΕΚ- ePrivacy, ώστε να καλύψει τον τομέα των ηλεκτρονικών επικοινωνιών ενόψει της σύγκλισης των τεχνολογιών. Η τελευταία τροποποιήθηκε με την Οδηγία 2009/136/ΕΚ., ενώ ο νέος e-Privacy Κανονισμός είναι υπό επεξεργασία.
 Ο Κανονισμός (ΕΕ) 2001/45 ρυθμίζει την επεξεργασία προσωπικών δεδομένων από τα όργανα και τους οργανισμούς της ΕΕ, ο οποίος καταργείται το 2018 και αντικαθίσταται από τον Κανονισμό (ΕΕ) 1725/2018.  
Στις 27 Απριλίου 2016 ψηφίζεται ο Κανονισμός 2016/679 με τον τίτλο «Γενικός Κανονισμός Προστασίας Προσωπικών Δεδομένων» (εφεξής ΓΚΠΔ), ο οποίος τέθηκε σε εφαρμογή στις 25 Μαΐου του 2018, και με τον οποίο αντικαθίσταται η Οδηγία 95/46 ΕΚ. Απώτερος στόχος του ΓΚΠΔ είναι η διαμόρφωση ενός ισχυρού, ομοιόμορφου και πιο συνεκτικού νομικού πλαισίου για την προστασία των προσωπικών δεδομένων που θα έχει ομοιόμορφη εφαρμογή και δεσμευτική ισχύ σε όλα τα κράτη μέλη της ΕΕ, καθώς και ο αποτελεσματικότερος έλεγχος του σεβασμού των κανόνων προστασίας των προσωπικών δεδομένων των πολιτών, λόγο του ότι η προϊσχύουσα η Οδηγία  95/46/ΕΚ, παρείχε στα κράτη μέλη τη δυνατότητα παρεκκλίσεων και αποκλίσεων από αυτήν και δεν διασφάλιζε την ενιαία και ομοιόμορφη εφαρμογή των κανόνων προστασίας προσωπικών δεδομένων σε όλη την ευρωπαϊκή επικράτεια.
Επίσης το 2016 ψηφίζεται η Οδηγία 2016/680/ΕΕ για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων.

Γ. ΕΛΛΗΝΙΚΗ ΕΝΝΟΜΗ ΤΑΞΗ
Με τον ν. 2068/1992 κυρώνεται η σύμβαση 108 του Συμβουλίου της Ευρώπης για την Προστασία του Ατόμου από την Αυτοματοποιημένη Επεξεργασία Προσωπικών Δεδομένων. Στη συνέχεια με τον ν. 2472/1997 «Προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα», ενσωματώνεται στην εθνική έννομη τάξη η Οδηγία 95/46/ΕΚ.
Το 2001 στο άρθρο 9Α του Συντάγματος κατοχυρώνεται συνταγματικά το δικαίωμα πληροφοριακής αυτοδιάθεσης ή πληροφοριακού αυτοκαθορισμού, και η Αρχή Προστασίας Προσωπικών Δεδομένων, ως συνταγματικά αναγνωρισμένη ανεξάρτητη αρχή. Ειδικότερα σύμφωνα με το συγκεκριμένο άρθρο: «Καθένας έχει δικαίωμα προστασίας από τη συλλογή, επεξεργασία και χρήση, ιδίως με ηλεκτρονικά μέσα, των προσωπικών του δεδομένων, όπως νόμος ορίζει. Η προστασία των προσωπικών δεδομένων διασφαλίζεται από ανεξάρτητη αρχή, που συγκροτείται και λειτουργεί, όπως νόμος ορίζει.»
Σε εναρμόνιση με την Οδηγία 2002/58/ΕΚ  (ν. 2774/1999  για την παλαιότερη οδηγία), ο ν. 3471/2006 «Προστασία δεδομένων προσωπικού χαρακτήρα και της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών» ρυθμίζει την επεξεργασία των προσωπικών δεδομένων στον τομέα των ηλεκτρονικών επικοινωνιών. Ο νόμος αυτός τροποποιήθηκε με τον ν. 4070/2012, βάσει της Οδηγίας 2009/136/ΕΚ.
Ο ν. 3917/2011 ενσωματώνει στο εθνικό δίκαιο την Οδηγία 2006/24/ΕΚ, σχετικά με τη διατήρηση δεδομένων που παράγονται ή υποβάλλονται σε επεξεργασία σε συνάρτηση με την παροχή διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών ή δημόσιων δικτύων επικοινωνιών, χρήση συστημάτων επιτήρησης με τη λήψη ή καταγραφή ήχου ή εικόνας σε δημόσιους χώρους και συναφείς διατάξεις.
Τέλος, από 29.08.2019 τίθεται σε ισχύ ο εφαρμοστικός του ΓΚΠΔ ν. 4624/2019, με τον οποίο καταργείται ο ν. 2472/1997 (πλην συγκεκριμένων μεμονωμένων διατάξεων), αντικαθίσταται το νομοθετικό πλαίσιο που ρυθμίζει τη συγκρότηση και λειτουργία της Αρχής Προστασίας Προσωπικών Δεδομένων (εφεξής ΑΠΔΠΧ), λαμβάνονται μέτρα εφαρμογής του ΓΚΠΔ, και ενσωματώνεται στην εθνική νομοθεσία η Οδηγία (ΕΕ) 2016/680.

II. Στόχος και πεδίο εφαρμογής του ΓΚΠΔ
Α. ΣΤΟΧΟΙ ΓΚΠΔ
Ο ΓΚΠΔ 
•	Θεσπίζει α) κανόνες που αφορούν την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και β) κανόνες που αφορούν την ελεύθερη κυκλοφορία των προσωπικών δεδομένων, χωρίς περιορισμούς και απαγορεύσεις για λόγους που σχετίζονται με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα
•	Προστατεύει θεμελιώδη δικαιώματα και ελευθερίες των φυσικών προσώπων και ειδικότερα το δικαίωμά τους στην προστασία των προσωπικών τους δεδομένων
•	Διασφαλίζει τη συνεκτική και ομοιόμορφη εφαρμογή των κανόνων για την προστασία των προσωπικών δεδομένων στην ΕΕ
•	Παρέχει τη δυνατότητα στα κράτη μέλη να εξειδικεύουν συγκεκριμένους κανόνες του. Ειδικότερα, όσον αφορά την επεξεργασία προσωπικών δεδομένων που γίνεται προς συμμόρφωση με νομική υποχρέωση, προς εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, τα κράτη μέλη έχουν τη δυνατότητα να διατηρούν ή να θεσπίζουν ειδικότερες διατάξεις για τον περαιτέρω προσδιορισμό της εφαρμογής του ΓΚΠΔ. Επίσης, παρέχει τη δυνατότητα στα κράτη μέλη να εξειδικεύουν τους κανόνες του που αφορούν την επεξεργασία των ειδικών κατηγοριών προσωπικών δεδομένων «ευαίσθητα». 
•	Συμβάλει στην ενίσχυση και λεπτομερή καθορισμό των δικαιωμάτων των υποκειμένων των δεδομένων και των αντίστοιχων  υποχρεώσεων των υπεύθυνων επεξεργασίας, καθώς και των εξουσιών παρακολούθησης και διασφάλισης της συμμόρφωσης και των κυρώσεων για τις παραβιάσεις 

        Β. ΠΕΔΙΟ ΕΦΑΡΜΟΓΗΣ 
        1) ΟΥΣΙΑΣΤΙΚΟ ΠΕΔΙΟ ΕΦΑΡΜΟΓΗΣ
       Πού εφαρμόζεται:
•	Η προστασία που παρέχει ο Κανονισμός ισχύει για φυσικά πρόσωπα, ανεξαρτήτως ιθαγένειας ή τόπου διαμονής σε σχέση με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα τους. 
•	Ο Κανονισμός εφαρμόζεται στην εν όλω ή εν μέρει αυτοματοποιημένη επεξεργασία προσωπικών δεδομένων καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων, εάν αυτά περιέχονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης. Τα αρχεία ή τα σύνολα αρχείων, τα οποία δεν είναι διαρθρωμένα σύμφωνα με συγκεκριμένα κριτήρια, δεν υπάγονται στο πεδίο εφαρμογής του κανονισμού.
    
     Δεν εφαρμόζεται:
•	Σε νομικά πρόσωπα, σε επεξεργασία δεδομένων θανόντων, και σε επεξεργασία ανώνυμων πληροφοριών ή στατιστικής φύσεως στοιχείων.
•	Σε ζητήματα προστασίας θεμελιωδών δικαιωμάτων και ελευθεριών  ή την ελεύθερη κυκλοφορία δεδομένων προσωπικού χαρακτήρα που σχετίζονται με δραστηριότητες που δεν υπάγονται στο πεδίο εφαρμογής του ενωσιακού δικαίου, όπως δραστηριότητες που αφορούν την εθνική ασφάλεια, η οποία παραμένει στην ευθύνη κάθε κράτους μέλους, σύμφωνα με το άρθρο 4 παρ. 2 της ΣΕΕ. 
•	Σε επεξεργασία δεδομένων από τα κράτη μέλη όταν αυτά εκτελούν δραστηριότητες συναφείς με την κοινή εξωτερική πολιτική και πολιτική ασφάλειας της Ένωσης (εσωτερικά και εξωτερικά σύνορα – μεταναστευτική πολιτική).
•	Σε επεξεργασία δεδομένων προσωπικού χαρακτήρα από φυσικό πρόσωπο στο πλαίσιο αποκλειστικά προσωπικής ή οικιακής δραστηριότητας και συνεπώς χωρίς σύνδεση με επαγγελματική ή εμπορική δραστηριότητα. Οι προσωπικές ή οικιακές δραστηριότητες μπορούν να περιλαμβάνουν την αλληλογραφία και την τήρηση αρχείου διευθύνσεων ή την κοινωνική δικτύωση ή την επιγραμμική δραστηριότητα που ασκείται στο πλαίσιο αυτών. ΕΦΑΡΜΟΖΕΤΑΙ ΟΜΩΣ σε υπευθύνους επεξεργασίας ή εκτελούντες που παρέχουν τα μέσα επεξεργασίας δεδομένων για τέτοιες οικιακές ή προσωπικές δραστηριότητες.
•	Σε δραστηριότητες επεξεργασίας από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, συμπεριλαμβανόμενης της διασφάλισης έναντι των απειλών κατά της δημόσιας ασφάλειας και της πρόληψής τους και της ελεύθερης κυκλοφορίας των δεδομένων αυτών. Στις περιπτώσεις αυτές εφαρμόζεται ως ειδικότερη η Οδηγία 2016/680.
•	Ενώ ο κανονισμός εφαρμόζεται στις δραστηριότητες των δικαστηρίων και άλλων δικαστικών αρχών, τα κράτη μέλη μπορούν να εξειδικεύουν τις πράξεις και διαδικασίες επεξεργασίας σε σχέση με την επεξεργασία προσωπικών δεδομένων από δικαστήρια και άλλες δικαστικές αρχές. Η αρμοδιότητα των εποπτικών αρχών δεν θα πρέπει να καλύπτει την επεξεργασία προσωπικών δεδομένων, όταν τα δικαστήρια ενεργούν υπό τη δικαιοδοτική τους ιδιότητα, προκειμένου να διασφαλίζεται η ανεξαρτησία των δικαστικών λειτουργών κατά την άσκηση των καθηκόντων τους, περιλαμβανομένης και της λήψης αποφάσεων.

      2) ΕΔΑΦΙΚΟ ΠΕΔΙΟ ΕΦΑΡΜΟΓΗΣ
Κριτήρια Εφαρμογής
•	Εγκατάσταση υπευθύνου επεξεργασίας ή εκτελούντος στην Ένωση, ανεξάρτητα εάν η επεξεργασία πραγματοποιείται εντός ή εκτός της Ένωσης.
•	Επεξεργασία δεδομένων υποκειμένων που βρίσκονται στην Ένωση από υπεύθυνο ή εκτελούντα μη εγκατεστημένο στην Ένωση, εφόσον οι δραστηριότητες σχετίζονται με την προσφορά αγαθών και υπηρεσιών στα υποκείμενα των δεδομένων ή την παρακολούθηση της συμπεριφοράς τους, εφόσον αυτή λαμβάνει χώρα εντός της Ένωσης. Για τον καθορισμό του κατά πόσο μια πράξη επεξεργασίας θεωρείται ότι παρακολουθεί τη συμπεριφορά υποκειμένου των δεδομένων, θα πρέπει να εξακριβωθεί κατά πόσον φυσικά πρόσωπα παρακολουθούνται στο Διαδίκτυο, συμπεριλαμβανομένης της δυνητικής μετέπειτα χρήσης τεχνικών επεξεργασίας για τη διαμόρφωση «προφίλ» φυσικού προσώπου (προτιμήσεις, επιλογές κ.λπ.)
•	Επεξεργασία από υπεύθυνο μη εγκατεστημένο στην Ένωση, αλλά σε τόπο όπου εφαρμόζεται το δίκαιο κράτους μέλους δυνάμει του δημοσίου διεθνούς δικαίου.

IIΙ. Βασικοί Ορισμοί
•	«Επεξεργασία»: κάθε πράξη που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σύνολα δεδομένων, όπως η συλλογή, καταχώρηση, οργάνωση, διάρθρωση, αποθήκευση, μεταβολή, ανάκτηση, αναζήτηση πληροφοριών, χρήση, διαβίβαση, διάδοση, διάθεση, συσχέτιση, συνδυασμός, περιορισμός, διαγραφή, ή καταστροφή.

•	 «Προσωπικά δεδομένα»: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Οι αρχές της προστασίας δεδομένων θα πρέπει να εφαρμόζονται σε κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο.

•	«Ταυτοποιήσιμο φυσικό πρόσωπο»: το πρόσωπο του οποίου η ταυτότητα μπορεί να εξακριβωθεί άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, ΑΔΤ, επιγραμμικά αναγνωριστικά ταυτότητας, ή στοιχεία σχετικά με την σωματική, γενετική, ψυχολογική, οικονομική ή κοινωνική ταυτότητα του φυσικού προσώπου.

•	«Ψευδωνυμοποίηση»:  η επεξεργασία προσωπικών δεδομένων με τρόπο ώστε τα δεδομένα να μην μπορούν πλέον να αποδοθούν σε συγκεκριμένο υποκείμενο των δεδομένων χωρίς τη χρήση συμπληρωματικών πληροφοριών, εφόσον οι εν λόγω συμπληρωματικές πληροφορίες  διατηρούνται  χωριστά και υπόκεινται σε τεχνικά  και οργανωτικά μέτρα ώστε να διασφαλιστεί ότι δεν μπορούν να αποδοθούν σε ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Τα προσωπικά δεδομένα που έχουν υποστεί ψευδωνυμοποίηση, η οποία θα μπορούσε να αποδοθεί σε φυσικό πρόσωπο με τη χρήση συμπληρωματικών πληροφοριών θεωρούνται πληροφορίες σχετικά με ταυτοποιήσιμο φυσικό πρόσωπο. 

•	«Επιγραμμικά στοιχεία ταυτότητας»: Τα φυσικά πρόσωπα μπορεί να συνδέονται με επιγραμμικά αναγνωριστικά στοιχεία ταυτότητας, τα οποία παρέχονται από τις συσκευές, εφαρμογές, τα εργαλεία και τα πρωτόκολλά τους, όπως δ/νσεις διαδικτυακού πρωτοκόλλου, αναγνωριστικά cookies. Αυτά μπορεί να αφήνουν ίχνη, τα οποία, ιδίως εάν συνδυαστούν με μοναδικά αναγνωριστικά στοιχεία ταυτότητας και άλλες πληροφορίες, μπορούν να χρησιμοποιηθούν για να δημιουργηθεί το προφίλ των φυσικών προσώπων και να αναγνωριστεί η ταυτότητά τους.
•	Εάν τα δεδομένα τα οποία επεξεργάζεται ένας υπεύθυνος επεξεργασίας δεν επιτρέπουν την ταυτοποίηση του φυσικού προσώπου, ο υπεύθυνος δεν θα πρέπει να υποχρεούται να αποκτά συμπληρωματικές πληροφορίες, προκειμένου να γίνει η ταυτοποίηση του υποκειμένου των δεδομένων με μοναδικό σκοπό τη συμμόρφωσή του προς οποιαδήποτε διάταξη του κανονισμού. Ωστόσο, ο υπεύθυνος δεν θα πρέπει να αρνείται να λάβει συμπληρωματικές πληροφορίες που παρέχει το υποκείμενο των δεδομένων με σκοπό την υποστήριξη της άσκησης των δικαιωμάτων του.  Η ταυτοποίηση θα πρέπει να περιλαμβάνει την ψηφιακή ταυτοποίηση του υποκειμένου των δεδομένων, π.χ. μέσω μηχανισμού επαλήθευσης ταυτότητας, όπως είναι τα διακριτικά στοιχεία που χρησιμοποιούνται από το υποκείμενο των δεδομένων κατά την είσοδό του (log-in) στην επιγραμμική υπηρεσία που προσφέρεται από τον υπεύθυνο επεξεργασίας.

•	Ειδικές κατηγορίες προσωπικών δεδομένων («ευαίσθητα» δεδομένα):
•	Φυλετική ή εθνοτική καταγωγή
•	Πολιτικά φρονήματα 
•	Θρησκευτικές ή φιλοσοφικές πεποιθήσεις
•	Συμμετοχή σε συνδικαλιστική οργάνωση, 
•	Γενετικά δεδομένα: τα δεδομένα που αφορούν γενετικά χαρακτηριστικά που κληρονομήθηκαν ή αποκτήθηκαν, ιδίως από ανάλυση βιολογικού δείγματος π.χ. DNA , RNA., και τα οποία παρέχουν μοναδικές πληροφορίες σχετικά με την φυσιολογία ή την υγεία του φυσικού προσώπου.
•	Βιομετρικά δεδομένα με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου δεδομένα τα οποία προκύπτουν από ειδική τεχνική επεξεργασία συνδεόμενη με φυσικά, βιολογικά ή συμπεριφορικά χαρακτηριστικά φυσικού προσώπου και τα οποία επιτρέπουν ή επιβεβαιώνουν την ταυτοποίηση του φυσικού προσώπου, δακτυλοσκοπικά δεδομένα, ίριδα ματιού, κ.λπ.
•	Δεδομένα που αφορούν την υγεία (σωματική ή ψυχική υγεία)
•	Δεδομένα που αφορούν τη σεξουαλική ζωή φυσικού προσώπου ή τον γενετήσιο προσανατολισμό

•	Ξεχωριστή «ειδική κατηγορία» δεδομένων (ευαίσθητων δεδομένων) αποτελούν τα σχετικά με ποινικές καταδίκες και αδικήματα
•	Υποκείμενα δεδομένων: Τα φυσικά πρόσωπα των οποίων τα δεδομένα υφίστανται επεξεργασία
•	«Υπεύθυνος επεξεργασίας»: το φυσικό ή νομικό πρόσωπο, δημόσια αρχή, υπηρεσία ή άλλος φορέας που, μόνο ή από κοινού με άλλα καθορίζει τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. 
•	Όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από νόμο, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον προσδιορισμό του μπορούν να προβλέπονται από τον νόμο αυτό

•	«Σύστημα αρχειοθέτησης»: κάθε διαρθρωμένο σύνολο δεδομένων προσωπικού χαρακτήρα τα οποία είναι προσβάσιμα με γνώμονα συγκεκριμένα κριτήρια, είτε το σύνολο αυτό είναι συγκεντρωμένο είτε αποκεντρωμένο είτε κατανεμημένο σε λειτουργική ή γεωγραφική βάση
•	Η επεξεργασία δεδομένων προσωπικού χαρακτήρα δεν συνεπάγεται πάντα την ύπαρξη συστήματος αρχειοθέτησης, ενώ το σύστημα αρχειοθέτησης με δεδομένα προσωπικού χαρακτήρα συνεπάγεται πάντοτε επεξεργασία.

•	«Εκτελών την επεξεργασία»: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου επεξεργασίας. Στον δημόσιο τομέα, το ρόλο του εκτελούντος μπορεί να λαμβάνουν άλλες δημόσιες αρχές, όπως Taxisnet, G-Cloud ΚΤΠ Α.Ε., ΗΔΙΚΑ κ.λπ.
•	Παραδείγματα: α) Η εταιρεία Α, για να προωθήσει τα προϊόντα της, αναθέτει σε μία εταιρεία πληροφορικής B την ανάπτυξη σχετικής ιστοσελίδας β) Η τεχνική υποστήριξη ή/και συντήρηση ιστοσελίδας της εταιρίας Α που έχει ως σκοπό την προώθηση προϊόντων και υπηρεσιών στο διαδίκτυο γίνεται από την εταιρεία B γ) Δυνητικοί πελάτες της εταιρείας A μπορούν να κάνουν εγγραφή (registration) στην ιστοσελίδα και να ενημερώνονται για νέα προϊόντα ή και να προβαίνουν σε αγορές μέσω Διαδικτύου. Για την περαίωση ηλεκτρονικών αγορών, η εταιρεία A συνεργάζεται με την εταιρεία Γ η οποία είναι πιστοποιημένος πάροχος υπηρεσιών ηλεκτρονικών πληρωμών και επεξεργάζεται δεδομένων πιστωτικών καρτών πελατών της εταιρίας A προκειμένου να ολοκληρωθεί μία πληρωμή. 
•	Υπεύθυνος επεξεργασίας είναι η εταιρεία Α, ενώ οι εταιρείες B και Γ είναι εκτελούσες την επεξεργασία.

•	«Αποδέκτης»: τα φυσικά ή νομικά πρόσωπα, οι δημόσιες αρχές, οι υπηρεσίες ή άλλοι φορείς, στους οποίους κοινολογούνται τα δεδομένα προσωπικού χαρακτήρα, είτε πρόκειται για τρίτον είτε όχι.
•	ΩΣΤΟΣΟ Δημόσιες αρχές που ενδέχεται να λάβουν δεδομένα προσωπικού χαρακτήρα στο πλαίσιο άσκησης του ελεγκτικού τους έργου σύμφωνα με διάταξη νόμου (είτε δικαίου της Ένωσης είτε δικαίου κράτους μέλους) δεν θεωρούνται ως αποδέκτες, και η επεξεργασία των δεδομένων αυτών από τις εν λόγω δημόσιες αρχές πραγματοποιείται σύμφωνα με τους ισχύοντες κανόνες προστασίας των δεδομένων ανάλογα με τους επιδιωκόμενους σκοπούς της επεξεργασίας.

•	«Τρίτος»: οποιοδήποτε φυσικό ή νομικό πρόσωπο, δημόσια αρχή, υπηρεσία ή φορέας, εκτός του υποκειμένου των δεδομένων, του υπευθύνου επεξεργασίας, του εκτελούντος την επεξεργασία και των προσώπων τα οποία, υπό την άμεση εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα. Οι εκτελούντες την επεξεργασία είναι «αποδέκτες» αλλά δεν είναι «τρίτοι». Υπάλληλοι του υπευθύνου και του εκτελούντος δεν έχουν ευθύνη όσο επεξεργάζονται τα προσωπικά δεδομένα στη βάση των εντολών των εργοδοτών τους, ΑΛΛΑ καθίστανται τρίτοι αν παραβούν τις εντολές για δικό τους σκοπό.

•	«Συγκατάθεση» του υποκειμένου των δεδομένων: η ελεύθερη, ρητή, συγκεκριμένη και εν πλήρει επιγνώσει, δήλωση βουλήσεως του υποκειμένου των δεδομένων ότι συμφωνεί με σαφή θετική ενέργεια τα προσωπικά δεδομένα του να αποτελέσουν αντικείμενο επεξεργασίας.

•	«Εποπτική αρχή»: Ανεξάρτητη δημόσια αρχή που συγκροτείται από κάθε κράτος μέλος. Ο ΓΚΠΔ  προσδιορίζει ότι πρέπει να υπάρχει (τουλάχιστον) μια σε κάθε κράτος μέλος. Τα κράτη μέλη οφείλουν να προσδιορίσουν το πλήρες καθεστώς λειτουργίας και ανεξαρτησίας. Στην Ελλάδα η εποπτεία εφαρμογής των διατάξεων του ΓΚΠΔ ασκείται από την ΑΠΔΠΧ, η οποία έχει συσταθεί με τον ν. 2472/1997, αποτελεί ανεξάρτητη δημόσια αρχή κατά το άρθρο 9Α του Συντάγματος και το καθεστώς της διέπεται από τον ν. 4624/2019, τον ν. 3051/2002  και σε περιορισμένη έκταση τον ν. 2472/1997.

ENOTHTA 2η
I. ΑΡΧΕΣ ΠΟΥ ΔΙΕΠΟΥΝ ΤΗΝ ΕΠΕΞΕΡΓΑΣΙΑ ΠΡΟΣΩΠΙΚΩΝ ΔΕΔΟΜΕΝΩΝ (Άρθρο 5 ΓΚΠΔ)
Για να είναι μια πράξη επεξεργασίας σύννομη θα πρέπει να συντρέχουν σωρευτικά οι εξής θεμελιώδεις αρχές επεξεργασίας: 
1)	Αρχή της νομιμότητας, αντικειμενικότητας και διαφάνειας: Σύμφωνα με την αρχή αυτή τα δεδομένα θα πρέπει να υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων. Σύννομη επεξεργασία είναι η επεξεργασία που πραγματοποιείται με βάση τη συγκατάθεση του υποκειμένου, ή με άλλη βάση προβλεπόμενη ρητά σε διάταξη νόμου, είτε στον κανονισμό είτε σε άλλη νομοθεσία της Ένωσης ή κράτους μέλους, περιλαμβανομένης της ανάγκης συμμόρφωσης με την εκ του νόμου υποχρέωση του υπευθύνου επεξεργασίας ή της ανάγκης να εκτελεστεί σύμβαση στην οποία το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατόπιν αιτήσεως του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης. Η διαφάνεια απαιτεί η ενημέρωση του υποκειμένου να είναι συνοπτική, εύκολα προσβάσιμη, κατανοητή με σαφή και απλή διατύπωση. Ο υπεύθυνος επεξεργασίας οφείλει να ενημερώνει τα υποκείμενα των δεδομένων, πριν την επεξεργασία των προσωπικών τους δεδομένων, τουλάχιστον για τον σκοπό της επεξεργασίας και το ονοματεπώνυμο και τη διεύθυνση του υπεύθυνου επεξεργασίας. Τα υποκείμενα των δεδομένων έχουν δικαίωμα πρόσβασης στα δεδομένα τους, ασχέτως του τόπου στον οποίο αυτά υποβάλλονται σε επεξεργασία.
Ειδικότερα, όπως προκύπτει και από την πρόσφατη απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ) της 16-01-2019 στην υπόθεση C-496/2017 Deutsche Post AG κατά Hauptzollamt Köln, τα δεδομένα προσωπικού χαρακτήρα για να τύχουν νόμιμης επεξεργασίας, ήτοι επεξεργασίας σύμφωνα με  απαιτήσεις του ΓΚΠΔ, θα πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ. Η ύπαρξη ενός νόμιμου θεμελίου (άρ. 6 ΓΚΠΔ για τα απλά δεδομένα και άρ. 9 ΓΚΠΔ για τα «ευαίσθητα») δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των αρχών του άρθρου 5 ΓΚΠΔ αναφορικά με τον θεμιτό χαρακτήρα, την αναγκαιότητα και την αναλογικότητα, και την αρχή της ελαχιστοποίησης. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπομένων στο άρθρο 5 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία καθίσταται μη νόμιμη και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων των άρθρων 6 και 9 του ΓΚΠΔ. Έτσι, η κατά παράβαση των αρχών του άρθρου 5 ΓΚΠΔ μη νόμιμη συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης.
Επιπλέον δε, το ΔΕΕ με την από 01-10-2015 απόφασή του στο πλαίσιο της υπόθεσης C-201/14 (Smaranda Bara) έκρινε ως προϋπόθεση της θεμιτής και νόμιμης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα την ενημέρωση του υποκειμένου των δεδομένων προ της επεξεργασίας αυτών ότι ο υπεύθυνος επεξεργασίας πρόκειται να επεξεργαστεί τα δεδομένα του με νόμιμο και διαφανή τρόπο. 
Η επεξεργασία δεδομένων προσωπικού χαρακτήρα με διαφανή τρόπο συνιστά έκφανση της αρχής της θεμιτής επεξεργασίας και συνδέεται με την αρχή της λογοδοσίας, παρέχοντας το δικαίωμα στα υποκείμενα να ασκούν έλεγχο επί των δεδομένων τους, καθιστώντας υπόλογους τους υπεύθυνους επεξεργασίας (βλ. Κατευθυντήριες Γραμμές ΟΕ 29, Guidelines on transparency under Regulation 2016/679, WP260 rev.01, σελ. 4 και 5). Η συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θα πρέπει να λαμβάνει χώρα μυστικά ή με απόκρυψή της από το υποκείμενο των δεδομένων, καθώς και με απόκρυψη όλων των αναγκαίων πληροφοριών (εκτός εάν προβλέπεται από τη νομοθεσία τηρουμένων των προϋποθέσεων του άρθρου 8 ΕΣΔΑ). Επίσης, στο πλαίσιο της αρχής της θεμιτής ή δίκαιης επεξεργασίας με διαφανή τρόπο είναι ιδιαίτερα σημαντικό ο υπεύθυνος επεξεργασίας να επιλέξει την κατάλληλη νομική βάση, και να ενημερώσει το υποκείμενο σχετικά πριν τη έναρξη της επεξεργασίας.
Στην πραγματικότητα μέσω της τήρησης της αρχής της θεμιτής ή δίκαιης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα με διαφανή τρόπο εγκαθιδρύεται μια σχέση εμπιστοσύνης μεταξύ του υπευθύνου επεξεργασίας και του υποκειμένου των δεδομένων, που ξεπερνά τα όρια της αρχής της διαφάνειας και αφικνείται μέχρι της επεξεργασίας προσωπικών δεδομένων με ηθικό τρόπο (βλ. FRA, 2018, όπ.π., σελ. 119).

2)	Αρχή του περιορισμού του σκοπού: Σύμφωνα με τη συγκεκριμένη αρχή η συλλογή και επεξεργασία προσωπικών δεδομένων πρέπει να γίνεται για καθορισμένους, ρητούς και νόμιμους σκοπούς και τα δεδομένα να μην υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο με τους σκοπούς αυτούς. Εξαίρεση: η περαιτέρω επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς δεν θεωρείται ασύμβατη με τους αρχικούς σκοπούς. 
	Ο σκοπός της επεξεργασίας πρέπει να καθορίζεται σαφώς πριν από την έναρξη της επεξεργασίας, καθόσον η νομιμότητα της επεξεργασίας προσωπικών δεδομένων είναι άμεσα συνυφασμένη και εξαρτώμενη από τη νομιμότητα του επιδιωκόμενου σκοπού. Κατά συνέπεια, επεξεργασία για μη προσδιορισμένο σκοπό δεν είναι νόμιμη. Για να είναι δε νόμιμη η μεταγενέστερη χρήση των δεδομένων για άλλον σκοπό από τον αρχικό σκοπό επεξεργασίας, διακρίνουμε: (α) εάν ο μεταγενέστερος σκοπός είναι συμβατός προς τον αρχικό σκοπό επεξεργασίας, δεν απαιτείται νέα νομική βάση, αλλά είναι νόμιμη η χρήση των δεδομένων δυνάμει της αρχικής, ενώ (β) εάν είναι ασύμβατος προς τον αρχικό, απαιτείται πρόσθετη νομική βάση. Η διαβίβαση δεδομένων σε τρίτους συνιστά περαιτέρω επεξεργασία, με δικό της (νέο) σκοπό και απαιτεί πρόσθετη νομική βάση. 
Ειδικότερα, είναι νόμιμη η επεξεργασία για άλλους σκοπούς από τους αρχικούς, εφόσον η επεξεργασία είναι συμβατή με τους σκοπούς για τους οποίους τα δεδομένα αρχικά συλλέχθηκαν. Στις περιπτώσεις αυτές δεν απαιτείται χωριστή νομική βάση. 
Όταν η επεξεργασία για σκοπό άλλον από αυτόν για τον οποίο έχουν συλλεγεί τα δεδομένα δεν βασίζεται στη συγκατάθεση του υποκειμένου των δεδομένων ή στο δίκαιο της Ένωσης ή κράτους μέλους, ο υπεύθυνος επεξεργασίας προκειμένου να εξακριβωθεί κατά πόσο η επεξεργασία για άλλο σκοπό είναι συμβατή με τον σκοπό για τον οποίο συλλέχθηκαν αρχικώς τα δεδομένα, πρέπει να λαμβάνει υπόψη μεταξύ άλλων τα εξής:
•	Σχέση μεταξύ των σκοπών για τους οποίους έχουν συλλεχθεί τα δεδομένα και των σκοπών της επιδιωκόμενης περαιτέρω επεξεργασίας
•	Σχέση υποκειμένου δεδομένων και υπευθύνου επεξεργασίας 
•	Φύση των δεδομένων, ιδίως ευαίσθητων
•	Συνέπειες περαιτέρω επεξεργασίας για υποκείμενα δεδομένων
•	Ύπαρξη κατάλληλων εγγυήσεων που μπορεί να περιλαμβάνουν κρυπτογράφηση ή  ψευδωνυμοποίηση
Όταν το υποκείμενο των δεδομένων παρέσχε τη συναίνεσή του ή η επεξεργασία βασίζεται στο δίκαιο της Ένωσης ή κράτους μέλους που συνιστά την επεξεργασία ως αναγκαίο και αναλογικό μέτρο για τη διασφάλιση σημαντικών σκοπών στο πλαίσιο του γενικού δημοσίου συμφέροντος, θα πρέπει να επιτρέπεται στον υπεύθυνο επεξεργασίας να προβαίνει στην περαιτέρω επεξεργασία των δεδομένων, ανεξάρτητα από τη συμβατότητα των σκοπών. Σε κάθε περίπτωση θα πρέπει να διασφαλίζεται η εφαρμογή των αρχών του άρ. 5 του ΓΚΠΔ και ιδίως, η ενημέρωση του υποκειμένου των δεδομένων σχετικά με τους περαιτέρω σκοπούς και τα δικαιώματά του, συμπεριλαμβανομένου του δικαιώματος υποβολής αντιρρήσεων.
ΠΑΡΑΔΕΙΓΜΑ: Αεροπορική εταιρία συλλέγει δεδομένα κρατήσεων των επιβατών της για να πραγματοποιεί ομαλά τις πτήσεις της. Η αεροπορική εταιρία χρειάζεται δεδομένα για τον αριθμό της θέσης κάθε επιβάτη, τυχόν περιορισμένη κινητικότητα (π.χ. χρήση αναπηρικού αμαξιδίου) και ιδιαίτερες διατροφικές προτιμήσεις. 
Εάν ζητηθεί από την αεροπορική εταιρία να διαβιβάσει τα δεδομένα αυτά, που περιέχονται στο PNR (κατάσταση με τα ονόματα των επιβατών), προς τις υπηρεσίες ελέγχου μετανάστευσης στον αερολιμένα προσγείωσης, ώστε να χρησιμοποιηθούν στη συνέχεια για σκοπούς ελέγχου της μετανάστευσης, οι οποίοι διαφέρουν από τον αρχικό σκοπό για τον οποίο συλλέχθηκαν τα δεδομένα, για τη διαβίβαση των εν λόγω δεδομένων απαιτείται νέα και διαφορετική νομική βάση.

3)	Αρχή της αναλογικότητας «ελαχιστοποίηση των δεδομένων»: Σύμφωνα με τη συγκεκριμένη αρχή, τα προσωπικά δεδομένα θα πρέπει να είναι κατάλληλα, συναφή και απολύτως αναγκαία για τους επιδιωκόμενους σκοπούς επεξεργασίας. Οι κατηγορίες δεδομένων που επιλέγονται προς επεξεργασία πρέπει να είναι αναγκαίες για την επίτευξη του επιδιωκόμενου σκοπού επεξεργασίας, ο δε υπεύθυνος επεξεργασίας θα πρέπει να περιορίζει αυστηρά τη συλλογή δεδομένων σε όσα τελούν σε άμεση συνάφεια προς τον συγκεκριμένο επιδιωκόμενο σκοπό. Αξιοποιώντας τις προηγμένες τεχνολογίες για την προστασία της ιδιωτικότητας, είναι δυνατόν να επιλέγονται φιλικές για την προστασία της ιδιωτικότητας λύσεις: να αποφεύγεται πλήρως η χρήση προσωπικών δεδομένων ή να χρησιμοποιούνται ψευδωνυμοποιημένα δεδομένα.

4)	Αρχή της ακρίβειας των δεδομένων: Σύμφωνα με τη συγκεκριμένη αρχή  τα δεδομένα θα πρέπει να είναι ακριβή και, όταν είναι αναγκαίο, να επικαιροποιούνται. Επίσης θα πρέπει να λαμβάνονται όλα τα εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση δεδομένων προσωπικού χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς της επεξεργασίας. Ο υπεύθυνος επεξεργασίας, που έχει στην κατοχή του προσωπικά δεδομένα, δεν πρέπει να τα χρησιμοποιεί χωρίς να λάβει μέτρα τα οποία διασφαλίζουν με εύλογο βαθμό βεβαιότητας ότι τα δεδομένα είναι ακριβή και ενημερωμένα. Υπάρχουν περιπτώσεις στις οποίες είναι απολύτως αναγκαίο να ελέγχεται η ακρίβεια των δεδομένων σε τακτά χρονικά διαστήματα και να επικαιροποιούνται λόγω της πιθανής ζημίας που ενδέχεται να υποστεί το υποκείμενο των δεδομένων, όπως τα τραπεζικά ιδρύματα που ελέγχουν τη φερεγγυότητα των πελατών τους.

5)	Αρχή του καθορισμού της χρονικής διάρκειας της επεξεργασίας «περιορισμός της περιόδου αποθήκευσης»: Tα δεδομένα πρέπει να τηρούνται σε μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για την επίτευξη των σκοπών της επεξεργασίας. Εξαίρεση: δυνατότητα αποθήκευσης για μεγαλύτερο διάστημα σε περιπτώσεις επεξεργασίας για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς, εφόσον λαμβάνονται κατάλληλα οργανωτικά μέτρα για τη διασφάλιση των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων. Στον δημόσιο τομέα οι χρόνοι τήρησης θα πρέπει να ορίζονται με διατάξεις νόμου.

6)	Αρχή της ακεραιότητας και εμπιστευτικότητας: Τα δεδομένα θα πρέπει να υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων. Οι κανόνες για την ασφάλεια της επεξεργασίας υποχρεώνουν τον υπεύθυνο επεξεργασίας και τον εκτελούντα την επεξεργασία να εφαρμόζουν τα κατάλληλα τεχνικά και οργανωτικά μέτρα με σκοπό την αποτροπή κάθε μη εξουσιοδοτημένης επέμβασης στις πράξεις επεξεργασίας. Πρόσθετη εγγύηση της ασφαλούς επεξεργασίας των δεδομένων συνιστά το γενικό καθήκον όλων των προσώπων, είτε πρόκειται για υπευθύνους επεξεργασίας είτε για εκτελούντες την επεξεργασία, να διασφαλίζουν το απόρρητο των δεδομένων.

7)	Αρχή της Λογοδοσίας του υπευθύνου επεξεργασίας: Σύμφωνα με την αρχή αυτή, ο υπεύθυνος επεξεργασίας υποχρεούται να επιλέξει την κατάλληλη νομική βάση εκ των προβλεπόμενων στα άρθρα 6 (για τα απλά δεδομένα) και 9 (για τα ευαίσθητα) του ΓΚΠΔ, περιλαμβανομένης αυτονοήτως και της τεκμηρίωσης επί τη βάσει της οποίας κατέληξε στην οικεία νομική βάση, φέρει την αποκλειστική ευθύνη και θα πρέπει να είναι σε θέση να αποδείξει ανά πάσα στιγμή τη συμμόρφωσή του με τις έξι προηγούμενες αρχές νόμιμης επεξεργασίας ενώπιον των εποπτικών αρχών και των δικαστηρίων. Στην ουσία σύμφωνα με την αρχή της λογοδοσίας, ο υπεύθυνος επεξεργασίας φέρει την αποκλειστική ευθύνη τήρησης του κανονισμού και το βάρος της επίκλησης και απόδειξης της νομιμότητας της επεξεργασίας.
Σύμφωνα με την Ομάδα Εργασίας του άρθρου 29, στον πυρήνα της λογοδοσίας βρίσκεται η υποχρέωση του υπεύθυνου επεξεργασίας να εφαρμόζει μέτρα και πολιτικές που διασφαλίζουν την τήρηση των κανόνων για την προστασία των δεδομένων και να διαθέτει κατάλληλα έγγραφα προς απόδειξη της νομιμότητας τόσο προς τις αρχές όσο και προς τα υποκείμενα των δεδομένων. Αποτέλεσμα της αρχής λογοδοσίας του υπευθύνου επεξεργασίας, είναι ότι καθίσταται πλέον ο ίδιος καταρχήν αρµόδιος να σταθµίσει και να κρίνει ανά περίπτωση τα ζητήµατα επεξεργασίας προσωπικών δεδοµένων σχετικά µε την εφαρµογή του κανονισµού, συµβουλευόµενος και τον Υπεύθυνο Προστασίας ∆εδοµένων, όπου υπάρχει, καθώς και α) να απαντά στα ερωτήµατα και αιτήµατα των υποκειµένων των δεδοµένων και τρίτων για τα ίδια ως άνω ζητήµατα (όπως ικανοποίηση αιτηµάτων για χορήγηση στοιχείων σε τρίτους ή για παροχή πληροφόρησης σχετικά µε την εφαρµογή του Κανονισµού) και β) να επιλαμβάνεται των καταγγελιών των υποκειμένων των δεδομένων για παράνομη επεξεργασία των προσωπικών τους δεδομένων ή/και των αιτημάτων των υποκειμένων των δεδομένων για την ικανοποίηση των δικαιωμάτων τους (πρόσβασης, διόρθωσης, διαγραφής, φορητότητας, περιορισμού επεξεργασίας εναντίωσης).. Ειδικότερα, το θιγόμενο υποκείμενο θα πρέπει καταρχήν πρώτα να απευθυνθεί στον υπεύθυνο επεξεργασίας και στη συνέχεια εάν το αίτημά του δεν ικανοποιηθεί ή ο υπεύθυνος επεξεργασίας δεν απαντήσει, να απευθυνθεί στην Αρχή. Καταρχήν, προκειμένου να επιληφθεί παραδεκτώς η ΑΠΔΠΧ καταγγελίας του υποκειμένου των δεδομένων για μη ικανοποίηση από τον υπεύθυνο επεξεργασίας των προβλεπόμενων στα άρθρα 15-22 του ΓΚΠΔ δικαιωμάτων του, θα πρέπει το υποκείμενο των δεδομένων να έχει προηγουμένως απευθυνθεί σύμφωνα με το άρθρο 12 παρ. 4 του ΓΚΠΔ,  στον υπεύθυνο επεξεργασίας. Επίσης ως αποτέλεσμα και της αρχής λογοδοσίας, μετά τη θέση σε ισχύ του ΓΚΠΔ, η Αρχή έχει αρμοδιότητα α) να χειρίζεται τις καταγγελίες που υποβάλλονται από το υποκείµενο των δεδοµένων ή από φορέα ή οργάνωση ή ένωση σύµφωνα µε το άρθρο 80 του ΓΚΠ∆, β) να παρέχει, κατόπιν αιτήµατος, πληροφορίες µόνο στα υποκείµενα των δεδοµένων και µόνον όσον αφορά την άσκηση των δικαιωµάτων τους, όπως αυτά απορρέουν από τον ΓΚΠ∆ και γ) να παρέχει συµβουλές στον υπεύθυνο επεξεργασίας σχετικά µε τις πράξεις επεξεργασίας του άρθρου 36 παράγραφος 2 (εκτίµηση αντικτύπου) και δεν είναι πλέον αρμόδια να απαντά ή/και να γνωμοδοτεί σε ερωτήματα και αιτήµατα των υποκειμένων των δεδομένων, υπευθύνων επεξεργασίας και τρίτων για χορήγηση στοιχείων ή για παροχή πληροφόρησης σχετικά µε την εφαρµογή του Κανονισµού, (βλ. σχ. Απόφαση Αρχής 52/2018).

Ειδικότερα μέτρα για την εφαρμογή της Αρχής της Λογοδοσίας
•	Καταγραφή και τήρηση αρχείου δραστηριοτήτων (στοιχεία επικοινωνίας υπευθύνου επεξεργασίας-εκτελούντος, σκοπών επεξεργασίας, κατηγοριών υποκειμένων, αποδεκτών, δεδομένων, μέτρων ασφάλειας όπου είναι δυνατόν). Δεν γνωστοποιείται στην εποπτική αρχή, εκτός εάν ζητηθεί. Η προβλεπόμενη στα άρθρα 6 και 7 του ν. 2472/1997 υποχρέωση γνωστοποίησης των αρχείων των υπευθύνων επεξεργασίας στην ΑΠΔΠΧ με τον ΓΚΠΔ πλέον καταργείται (βλ. αιτιολογική σκέψη 89 του ΓΚΠΔ και απόφαση Αρχής 46/2018).
•	Λήψη και Εφαρμογή Μέτρων Ασφάλειας
•	Γνωστοποίηση παραβίασης δεδομένων στην εποπτική αρχή εντός 72 ωρών από τη γνώση του γεγονότος και ανακοίνωση παραβίασης στο υποκείμενο των δεδομένων όταν αυτή ενδέχεται να θέσει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες τους. Η ανακοίνωση δεν απαιτείται όταν: α) ο υπεύθυνος επεξεργασίας εφάρμοσε κατάλληλα μέτρα προστασίας και αυτά εφαρμόστηκαν στα επηρεαζόμενα από την παραβίαση δεδομένα, κυρίως μέτρα που καθιστούν τα δεδομένα μη κατανοητά σε όσους δεν διαθέτουν άδεια πρόσβασης σε αυτά, όπως η κρυπτογράφηση, ή β) ο υπεύθυνος επεξεργασίας έλαβε στη συνέχεια μέτρα που διασφαλίζουν ότι δεν είναι πλέον πιθανό να προκύψει ο υψηλός κίνδυνος για τα υποκείμενα ή γ) ανακοίνωση προϋποθέτει δυσανάλογες προσπάθειες, οπότε γίνεται αντ’ αυτής δημόσια ανακοίνωση ή ενημερώνονται τα υποκείμενα με άλλο πρόσφορο και αποτελεσματικό τρόπο
•	Εκτίμηση αντικτύπου, όταν ένα είδος επεξεργασίας ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Καθίσταται υποχρεωτική ιδίως εάν α) επίκειται συστηματική και εκτενής αξιολόγηση προσωπικών πτυχών φυσικών προσώπων, όπως κατάρτιση προφίλ, ή β) μεγάλης κλίμακας επεξεργασία είτε ειδικών κατηγοριών δεδομένων είτε δεδομένων που αφορούν ποινικές καταδίκες, ή γ) συστηματική παρακολούθηση δημοσίου χώρου
•	Προηγούμενη διαβούλευση για την εκτίμηση αντικτύπου, εάν χρειάζεται, και συνεργασία με την ΑΠΔΠΧ, όπου απαιτείται
•	Ορισμός DPO (ΥΠΔ)
•	Υιοθέτηση κώδικα δεοντολογίας. Δεν είναι υποχρεωτική, αλλά ενδεδειγμένη. Εξαίρεση των δημοσίων αρχών και φορέων από την παρακολούθηση της συμμόρφωσής τους με τους εγκεκριμένους κώδικες δεοντολογίας.

Πρόσθετα προτεινόμενα μέτρα για την εφαρμογή της Αρχής της Λογοδοσίας
•	Η έγκαιρη χαρτογράφηση εργασιών και διαδικασιών επεξεργασίας 
•	Η θέσπιση εσωτερικών πολιτικών προστασίας δεδομένων
•	Η υιοθέτηση κατάλληλων αποτελεσματικών διαδικασιών και εργαλείων  εφαρμογής των πολιτικών
•	Έλεγχος και αξιολόγηση της αποτελεσματικότητάς τους και η πρόβλεψη διαδικασιών για την αντιμετώπιση ελλιπούς συμμόρφωσης και παραβίασης δεδομένων 
•	Θέσπιση διαδικασιών για ανταπόκριση στα αιτήματα ενημέρωσης, πρόσβασης, διόρθωσης, διαγραφής και περιορισμού της επεξεργασίας 
•	Οργάνωση εσωτερικού μηχανισμού χειρισμού καταγγελιών-προσφυγών

Εν κατακλείδι, και σύμφωνα με τις αρχές που διέπουν την επεξεργασία προσωπικών δεδομένων, για να είναι μια πράξη επεξεργασίας σύννομη θα πρέπει να συντρέχουν σωρευτικά οι εξής προϋποθέσεις:
1)	Να υπάρχει πλήρης ενημέρωση των υποκειμένων των δεδομένων για τη σκοπούμενη επεξεργασία και ιδίως για την ταυτότητα του υπευθύνου επεξεργασίας και τους σκοπούς της επεξεργασίας αυτής. Πρέπει να γνωστοποιείται στα φυσικά πρόσωπα η ύπαρξη κινδύνων, κανόνων, εγγυήσεων και δικαιωμάτων σε σχέση με την επεξεργασία  των δεδομένων τους και πώς να ασκούν τα δικαιώματά τους σε σχέση με την επεξεργασία αυτή.
2)	Οι σκοποί επεξεργασίας να είναι ορισμένοι, σαφείς και νόμιμοι κατά τον χρόνο συλλογής.
3)	Τα δεδομένα να είναι συναφή, πρόσφορα και απολύτως αναγκαία για τους σκοπούς επεξεργασίας.
4)	Το διάστημα αποθήκευσης των δεδομένων να περιορίζεται στο ελάχιστο δυνατό.
5) Τα δεδομένα να υποβάλλονται σε επεξεργασία, μόνον εάν ο σκοπός        επεξεργασίας δεν μπορεί να επιτευχθεί με ηπιότερα μέσα.
6)	Τα δεδομένα να διατηρούνται μόνον για όσο χρόνο απαιτείται για την εκπλήρωση των σκοπών. Προς τούτο ο υπεύθυνος επεξεργασίας πρέπει να ορίζει προθεσμίες για την διαγραφή ή περιοδική επανεξέτασή τους.
7)	Τα δεδομένα που δεν είναι ακριβή να διαγράφονται ή διορθώνονται.
8)	Να διασφαλίζεται η ενδεδειγμένη προστασία και εμπιστευτικότητά τους. 

ΙΙ. Η ΑΡΧΗ ΤΗΣ ΔΙΑΦΑΝΕΙΑΣ (Άρθρο 12 ΓΚΠΔ)
Σύμφωνα με τις «Κατευθυντήριες γραμμές σχετικά με την διαφανή ενημέρωση» της Ομάδας του άρθρου 29, τα βασικά και απαραίτητα στοιχεία της διαφάνειας σύμφωνα με τον ΓΚΠΔ είναι η συγκεκριμένη, σαφής, συστηματική, διαρκής, κατανοητή και εύκολα προσβάσιμη ενημέρωση και πληροφόρηση του υποκειμένου των δεδομένων, σε κατανοητή και απλή γλώσσα, ειδικά όταν πρόκειται για παιδιά, γραπτώς ή με οποιοδήποτε άλλο πρόσφορο μέσο και ηλεκτρονικά, χωρίς χρέωση, όταν ζητείται από το υποκείμενο των δεδομένων μπορεί να γίνεται και προφορικά, με την προϋπόθεση η ταυτότητά του να αποδεικνύεται με άλλα μέσα (ισχύει για την άσκηση του δικαιώματος πρόσβασης του υποκείμενου σε δεδομένα που το αφορούν, άρθρο 15) και όχι για πληροφορίες που αφορούν και μελλοντικούς χρήστες.
Πρόσφορα ηλεκτρονικά μέσα ενημέρωσης των υποκειμένων των δεδομένων αποτελούν τα website privacy statements /notices, “just in time” pop-up notices, ή συμπληρωματικά και videos και smartphone  ή  voice alerts. 
Ο υπεύθυνος επεξεργασίας υπέχει υποχρέωση ανταπόκρισης στο υποβληθέν δυνάμει των άρθρων 15-22 ΓΚΠΔ αίτημα του υποκειμένου των δεδομένων εντός 1 μήνα από την υποβολή του, με δυνατότητα παράτασης 2 ακόμη μηνών, λόγω της πολυπλοκότητας ή/και του αριθμού των υποβληθέντων αιτημάτων. Σε περίπτωση που ο υπεύθυνος επεξεργασίας δεν ενεργήσει επί του αιτήματος οφείλει να ενημερώσει εντός μηνός από την παραλαβή του για τους λόγους μη ανταπόκρισης και για τη δυνατότητα υποβολής σχετικής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής.
ΕΙΔΙΚΕΣ ΕΚΦΑΝΣΕΙΣ ΤΗΣ ΑΠΑΙΤΟΥΜΕΝΗΣ ΔΙΑΦΑΝΕΙΑΣ
•	Σαφής και απλή γλώσσα, ειδικά φιλική σε παιδιά και άλλες ευαίσθητες ομάδες.
•	Επίσημη γλώσσα του κράτους μέλους και μόνο σωρευτικά ενημέρωση σε άλλη γλώσσα.
•	Κατανοητή από το μέσο αποδέκτη και κυρίως σε άτομα με ελαφρά δυσκολία αναγνώσεως λόγω ηλικίας, χαμηλού μορφωτικού επιπέδου ή απλώς επειδή δεν έχουν ως μητρική γλώσσα την επίσημη γλώσσα του κράτους μέλους. 
•	Προσοχή στη μετάφραση.
•	Αποφυγή παραπλανητικών εννοιών, νομικών, ξενόγλωσσων και αόριστων όρων, άσκοπης υπερπληροφόρησης.
•	Ευδιάκριτος, κατανοητός και ευανάγνωστος τρόπος ενημέρωσης.
•	Πολύ-επίπεδη δήλωση πολιτικής προστασίας προσωπικών δεδομένων (layered privacy statement/notice) - αποφυγή μεγάλων κειμένων (scroll).
•	Τα αναδυόμενα παράθυρα, η παροχή ενημέρωσης στο κατάλληλο σημείο (just-in-time), εικονίδια (icons), cartoons, infographics, videos, αποτελούν πρόσφορα και νόμιμα μέσα ενημέρωσης.
•	Όταν γίνεται χρήση πινάκων ιδιωτικότητας (privacy dashboards) θα πρέπει να υπάρχει συγκεκριμένο σημείο διαχείρισης των προτιμήσεων των χρηστών για την προστασία προσωπικών δεδομένων.
•	Η ενημέρωση του υποκειμένου των δεδομένων για τη σκοπούμενη επεξεργασία μπορεί να παρέχεται σε συνδυασμό με τη χρήση τυποποιημένων εικονιδίων ώστε να δίνεται με ευδιάκριτο, κατανοητό και ευανάγνωστο τρόπο ουσιαστική επισκόπηση της σκοπούμενης επεξεργασίας, εάν διατίθενται ηλεκτρονικά πρέπει να είναι μηχανικώς αναγνώσιμα.

III. Η ΑΡΧΗ ΤΗΣ ΔΙΑΦΑΝΕΙΑΣ ΣΤΟΝ ΔΗΜΟΣΙΟ ΤΟΜΕΑ

Σύμφωνα με τη Γνώμη 2/2016 της Ομάδας του άρθρου 29 σχετικά με την δημοσιοποίηση προσωπικών δεδομένων για λόγους διαφάνειας στον δημόσιο τομέα, είναι νόμιμη η δημοσιοποίηση προσωπικών δεδομένων δημοσίων λειτουργών ή/και δημοσίων υπαλλήλων για λόγους διαφάνειας της δημόσιας διοίκησης, ιδιαίτερα όταν συνδέονται με μέτρα κατά της διαφθοράς και την αποφυγή συγκρούσεως συμφερόντων, εφόσον: α) τηρούνται οι βασικές αρχές επεξεργασίας (αρχή του σκοπού, νομιμότητας, αναλογικότητας, ακρίβειας των δεδομένων, εμπιστευτικότητας και ακεραιότητας) β) λαμβάνονται τα κατάλληλα μέτρα ασφάλειας για προστασία των δεδομένων από φθορά, αλλοίωση, καταστροφή, απώλεια ή διαρροή τους και γ) ενημερωθεί το υποκείμενο των δεδομένων για την επεξεργασία πριν τη συλλογή, καθώς και για τα δικαιώματά του πρόσβασης στα δεδομένα που συλλέγονται.  Το δικαίωμα εναντίωσης-αντίρρησης μπορεί να περιορισθεί ή αποκλεισθεί με διάταξη νόμου βάσει του επιδιωκόμενου κάθε φορά σκοπού επεξεργασίας. 

ENOTHTA 3η
Ι. ΠΡΟΫΠΟΘΕΣΕΙΣ ΝΟΜΙΜΟΤΗΤΑΣ ΕΠΕΞΕΡΓΑΣΙΑΣ ΑΠΛΩΝ  ΠΡΟΣΩΠΙΚΩΝ ΔΕΔΟΜΕΝΩΝ (Άρθρο 6 ΓΚΠΔ)
Για να είναι νόμιμη η επεξεργασία των απλών προσωπικών δεδομένων θα πρέπει να υφίσταται μια νομική βάση επεξεργασίας. Η αναγνώριση και επιλογή της κατάλληλης νομικής βάσης εκ των προβλεπομένων στο άρθρο 6 παρ. 1 ΓΚΠΔ είναι στενά συνδεδεμένη με την αρχή της θεμιτής ή δίκαιης επεξεργασίας καθώς και με την αρχή του περιορισμού του σκοπού. Ο δε υπεύθυνος επεξεργασίας οφείλει όχι μόνο να επιλέξει την κατάλληλη νομική βάση προ της έναρξης της επεξεργασίας, αλλά και να ενημερώσει κατ’ άρ. 13 παρ. 1 εδ. γ’ και 14 παρ. 1 εδ. γ’ ΓΚΠΔ για την χρήση της το υποκείμενο των δεδομένων, καθώς η επιλογή της κάθε νομικής βάσης ασκεί έννομη επιρροή στην εφαρμογή των δικαιωμάτων των υποκειμένων. Επίσης, οι νομιμοποιητικές βάσεις επεξεργασίας δεν μπορεί να εναλλάσσονται και/ή μεταβάλλονται κατά τη διάρκεια της επεξεργασίας, διότι ο ΓΚΠΔ απαιτεί οι νομιμοποιητικές βάσεις επεξεργασίας να είναι σαφώς ορισμένες και γνωστές στο υποκείμενο των δεδομένων κατά την έναρξη της συλλογής των προσωπικών του δεδομένων. 
Ειδικότερα, σύμφωνα με τη διάταξη του άρθρου 6 του ΓΚΠΔ, η επεξεργασία είναι σύννομη μόνον εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:
•	Το υποκείμενο των δεδομένων έχει δώσει τη συγκατάθεσή του για την επεξεργασία των προσωπικών του δεδομένων για έναν ή περισσότερους σκοπούς (στοιχ. α’). Εάν επιλεγεί ως νομική βάση επεξεργασίας η συγκατάθεση του υποκειμένου, δεν χρειάζεται να προστεθεί και άλλη νομική βάση. Ή επιλέγεται η συγκατάθεση ή κάποια άλλη νομική βάση ή συνδυασμός κάποιων από τις υπόλοιπες νομικές βάσεις πλην της συγκατάθεσης.
•	Η επεξεργασία είναι αναγκαία για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για λήψη μέτρων πριν τη σύναψη κατ’ αίτηση του υποκειμένου (στοιχ. β’). Η νομική αυτή βάση είναι η πλέον πρόσφορη στις περιπτώσεις εργασιακών, ασφαλιστικών συμβάσεων, συμβάσεων έργου κ.λπ. ΠΑΡΑΔΕΙΓΜΑ: Η συλλογή και περαιτέρω επεξεργασία των δεδομένων των εργαζομένων από τον εργοδότη στο πλαίσιο σύναψης ή/και εκτέλεσης της εργασιακής σύμβασης (κατά την πρόσληψη αλλά και κατά τη διάρκεια της εργασιακής σχέσης).
•	Η επεξεργασία είναι αναγκαία για την εκπλήρωση εκ του νόμου υποχρέωσης του υπευθύνου επεξεργασίας (στοιχ. γ’). Είναι η πλέον πρόσφορη και συνήθης νομική βάση για την επεξεργασία προσωπικών δεδομένων με υπεύθυνο επεξεργασίας το δημόσιο αλλά εφαρμόζεται και για τον ιδιωτικό τομέα, και αναφέρεται στις περιπτώσεις όπου η επεξεργασία ορίζεται ρητά σε διάταξη νόμου.
•	Η επεξεργασία είναι αναγκαία για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου (στοιχ. δ’). Καλύπτει τις περιπτώσεις δικαστικής συμπαράστασης ή άλλες όπου το υποκείμενο ή το τρίτο φυσικό πρόσωπο είναι σωματικά ή νομικά ανίκανα να συγκατατεθούν και να μεριμνήσουν τα ίδια για την προστασία των προσωπικών τους δεδομένων.
•	Η επεξεργασία είναι απαραίτητη για την εκτέλεση έργου δημοσίου συμφέροντος ή άσκησης δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας (στοιχ. ε’). Εφαρμόζεται στις περιπτώσεις που υπεύθυνος επεξεργασίας είναι το δημόσιο, είτε μόνη της, όταν το δημόσιο είναι υπεύθυνος επεξεργασίας και η σκοπούμενη επεξεργασία δεν προβλέπεται σε διάταξη νόμου  είτε σε συνδυασμό με τη νομική βάση της υποχρέωσης από τον νόμο, όταν υπάρχει νομοθετική πρόβλεψη (στοιχ. γ’). 
•	Η επεξεργασία είναι απολύτως αναγκαία για την ικανοποίηση εννόμου συμφέροντος του υπεύθυνου της επεξεργασίας ή τρίτου, στον οποίο ανακοινώνονται τα δεδομένα, το οποίο (συμφέρον) υπερέχει προφανώς των δικαιωμάτων και συμφερόντων του υποκειμένου, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί (στοιχ. στ’). ΜΗ ΕΦΑΡΜΟΓΗ για επεξεργασία που διενεργείται από δημόσιες αρχές κατά την άσκηση των καθηκόντων τους. Μία από τις συνήθεις περιπτώσεις εφαρμογής της νομικής αυτής βάσης είναι η περίπτωση που τρίτος ζητά από τον υπεύθυνο επεξεργασίας λόγω εννόμου συμφέροντός του για δικαστική χρήση πρόσβαση στα προσωπικά δεδομένα του υποκειμένου των δεδομένων που τηρεί ο υπεύθυνος επεξεργασίας στο αρχείο του. Στην περίπτωση αυτή ο υπεύθυνος επεξεργασίας θα πρέπει να σταθμίσει την ύπαρξη του εννόμου συμφέροντος του τρίτου και να χορηγήσει ή να μην χορηγήσει τα αιτούμενα στοιχεία. Για την ορθή κρίση του υπευθύνου επεξεργασίας α) για το εάν υφίσταται έννομο συμφέρον του αιτούντος τρίτου και β) εάν τα αιτούμενα στοιχεία είναι πρόσφορα, συναφή, αναγκαία και ανάλογα με τον επιδιωκόμενο σκοπό της εκκρεμούς δίκης, είναι απαραίτητη η κατάθεση από τον ενδιαφερόμενο τρίτο αντιγράφου του δικογράφου της εκκρεμούς δίκης (αγωγής ή αιτήσεως ασφαλιστικών μέτρων). Εάν ο υπεύθυνος επεξεργασίας αδυνατεί να αποφανθεί με ασφάλεια δικαίου, δύναται να μην χορηγήσει τα αιτούμενα στοιχεία, εφόσον δεν προβλέπεται από τον Κανονισμό υποχρέωση του υπευθύνου επεξεργασίας χορήγησης στον τρίτο προσωπικών δεδομένων του υποκειμένου, αλλά διακριτική ευχέρεια χορήγησής τους. Κατά συνέπεια,  ο υπεύθυνος επεξεργασίας δεν θα υποστεί κυρώσεις για τη μη χορήγησή τους. Σε κάθε περίπτωση ο αιτών τρίτος μπορεί και με άλλα μέσα, όπως τη διαδικασία της επίδειξης εγγράφων να ικανοποιηθεί. Για τις εκκρεμείς ποινικές δίκες, όπως εξάλλου έχει κρίνει και η Αρχή (βλ. ενδεικτικά Απόφαση Αρχής 14/2014), στην ποινική διαδικασία και δίκη ισχύει το ανακριτικό σύστημα και σύμφωνα με τις διατάξεις των άρθρων 251 και 252 ΚΠΔ, ο ανακριτής και οι ανακριτικοί υπάλληλοι που διενεργούν προκαταρκτική εξέταση, προανάκριση ή/και κύρια ανάκριση οφείλουν να μεριμνούν για τη συλλογή των αποδείξεων που θα διευκολύνουν την έρευνα που διεξάγουν. Κατά συνέπεια, σε εκκρεμή ποινική δίκη ή σε προκαταρκτική εξέταση, η οποία αποτελεί μέρος της ποινικής διαδικασίας, ο διενεργών την ποινική διαδικασία μπορεί να ζητήσει βάσει των προαναφερομένων διατάξεων, απευθείας από τον υπεύθυνο επεξεργασίας όσα στοιχεία είναι αναγκαία για την έρευνά του, οπότε δεν υπάρχει νομιμοποιητικός λόγος χορήγησης των σχετικών στοιχείων από τον υπεύθυνο επεξεργασίας στον τρίτο. Ωστόσο, η Αρχή έχει κρίνει και αντίθετα σε άλλες περιπτώσεις (Βλ. ενδεικτικά 75/2014).

Τα κράτη μέλη μπορούν να θεσπίζουν ειδικότερες διατάξεις για τις προβλεπόμενες στα στοιχ. γ’ (υποχρέωση εκ του νόμου) και ε’ (άσκηση δημόσιας εξουσίας) περιπτώσεις, η νομική δε βάση των περιπτώσεων αυτών μπορεί να περιλαμβάνει ειδικές διατάξεις εφαρμογής των κανόνων (προϋποθέσεις νομιμότητας, είδη επεξεργασίας, σκοπούς, χρόνο τήρησης, διαδικασία επεξεργασίας κ.λπ.). Επίσης αρκεί ένας μόνο νόμος ως βάση για περισσότερες από μία πράξεις επεξεργασίας.

ΙΙ. ΠΡΟΫΠΟΘΕΣΕΙΣ ΝΟΜΙΜΟΤΗΤΑΣ ΕΠΕΞΕΡΓΑΣΙΑΣ ΤΩΝ ΕΙΔΙΚΩΝ ΚΑΤΗΓΟΡΙΩΝ «ΕΥΑΙΣΘΗΤΩΝ» ΠΡΟΣΩΠΙΚΩΝ ΔΕΔΟΜΕΝΩΝ 
(Άρθρο 9 ΓΚΠΔ)

Απαγορεύεται η επεξεργασία προσωπικών δεδομένων που αποκαλύπτουν φυλετική-εθνοτική προέλευση, πολιτικά φρονήματα, θρησκευτικές-φιλοσοφικές πεποιθήσεις, συμμετοχή σε συνδικαλιστική οργάνωση, γενετικά δεδομένα, βιομετρικά δεδομένα, δεδομένα υγείας, σεξουαλικής ζωής, γενετήσιου προσανατολισμού (παρ. 1).
Κατ’ εξαίρεση επιτρέπεται η επεξεργασία, εφόσον συντρέχει μία ή περισσότερες από τις παρακάτω προϋποθέσεις (παρ. 2):
•	 Το υποκείμενο έχει δώσει τη ρητή συγκατάθεσή του για την επεξεργασία των προσωπικών του δεδομένων για έναν ή περισσότερους σκοπούς, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους προβλέπει ότι η απαγόρευση επεξεργασίας δεν μπορεί να αρθεί με τη  λήψη συγκατάθεσης. (Βλ. σχετικά άρθρα 83 και 84 ν. 4600/2019).
•	 Η επεξεργασία είναι αναγκαία για τη διαφύλαξη του ζωτικού συμφέροντος του υποκειμένου ή τρίτου, εάν το υποκείμενο ή ο τρίτος τελεί σε φυσική ή νομική αδυναμία να δώσει συγκατάθεση.
•	Η επεξεργασία είναι απαραίτητη για την εκτέλεση των υποχρεώσεων και την άσκηση των δικαιωμάτων του υπευθύνου επεξεργασίας ή του υποκειμένου των δεδομένων στον τομέα του εργατικού δικαίου και του δικαίου κοινωνικής ασφάλισης και κοινωνικής προστασίας, εφόσον επιτρέπεται από το δίκαιο της Ένωσης ή κράτους μέλους ή από συλλογική σύμβαση σύμφωνα με το εθνικό δίκαιο με κατάλληλες εγγυήσεις για τα δικαιώματα του υποκειμένου των δεδομένων.
•	Για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής, ιατρικής  έρευνας ή  για στατιστικούς σκοπούς βάσει του δικαίου της Ένωσης ή κράτους μέλους, οι οποίοι είναι ανάλογοι προς τον επιδιωκόμενο σκοπό, σέβονται την ουσία του δικαιώματος στην προστασία των δεδομένων και προβλέπουν κατάλληλα μέτρα για τη διασφάλιση των δικαιωμάτων και συμφερόντων των υποκειμένων των δεδομένων. 
•	Η επεξεργασία αφορά δεδομένα που προδήλως δημοσιοποιεί το ίδιο το υποκείμενο των δεδομένων.
•	  Η επεξεργασία διενεργείται στο πλαίσιο δραστηριοτήτων  ιδρύματος, οργάνωσης ή άλλου μη κερδοσκοπικού φορέα, αφορά αποκλειστικά δεδομένα των μελών και τα δεδομένα δεν διαβιβάζονται σε τρίτους χωρίς τη συγκατάθεση των υποκειμένων. 
•	 Η επεξεργασία είναι απαραίτητη για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων ή όταν τα δικαστήρια ενεργούν υπό τη δικαιοδοτική τους ιδιότητα. Είναι η αντίστοιχη με την περίπτωση του προαναφερόμενου άρθρου 6 παρ. 1 στοιχ. στ’, οπότε ισχύουν όσα εκτέθηκαν ανωτέρω, ιδίως μάλιστα όταν για τα ευαίσθητα δεδομένα έχει πλέον καταργηθεί η χορήγηση της προηγούμενης αδείας της Αρχής (βλ. σχετ. απόφαση Αρχής 46/2018). 
•	 Η επεξεργασία είναι απαραίτητη για λόγους ουσιαστικού δημοσίου συμφέροντος βάσει του δικαίου της Ένωσης ή κράτους μέλους οι οποίοι είναι ανάλογοι προς τον επιδιωκόμενο σκοπό, σέβονται την ουσία του δικαιώματος στην προστασία των δεδομένων και προβλέπουν κατάλληλα μέτρα για τη διασφάλιση των δικαιωμάτων και συμφερόντων των υποκειμένων των δεδομένων. 
•	 Η επεξεργασία είναι απαραίτητη για σκοπούς προληπτικής ιατρικής, ιατρικής διάγνωσης, παροχής  υγειονομικής ή κοινωνικής περίθαλψης βάσει του δικαίου της Ένωσης ή κράτους μέλους. Αφορά την επεξεργασία δεδομένων από παρόχους υπηρεσιών υγείας, νοσοκομεία, κλινικές, διαγνωστικά κέντρα κ.λπ.
•	 Η επεξεργασία είναι αναγκαία για λόγους δημοσίου συμφέροντος στον τομέα της δημόσιας υγείας βάσει του δικαίου της Ένωσης ή κράτους μέλους. Μπορεί να γίνει και χωρίς τη συγκατάθεση του υποκειμένου των δεδομένων.

Τα κράτη μέλη μπορούν να διατηρούν ή να θεσπίζουν περαιτέρω όρους ή/και περιορισμούς όσον αφορά την επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων ή δεδομένων υγείας (παρ. 4). (Βλ. άρθρα 83-84 ν. 4600/2019 και 23 ν. 4624/2019).

Κατ’ εφαρμογή της δυνατότητας που παρέχει το άρθρο 9 του ΓΚΠΔ για ειδικότερες διατάξεις στο εθνικό δίκαιο των κρατών μελών είτε κατά παρέκκλιση είτε προς συμπλήρωση των διατάξεων του ΓΚΠΔ, στον εφαρμοστικό του ΓΚΠΔ νόμο 4624/2019 περιλαμβάνονται συγκεκριμένες διατάξεις για την επεξεργασία των ειδικών κατηγοριών δεδομένων. 
Ειδικότερα, στα άρθρα 22-30 του ν. 4624/2019, περιλαμβάνονται διατάξεις που ρυθμίζουν είτε κατά παρέκκλιση είτε συμπληρωματικά με το άρθρο 9 του ΓΚΠΔ την επεξεργασία των ειδικών κατηγοριών δεδομένων από δημόσιους και ιδιωτικούς φορείς, την επεξεργασία δεδομένων των εργαζομένων, την επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για δημοσιογραφικούς σκοπούς και για σκοπούς ακαδημαϊκής, λογοτεχνικής ή καλλιτεχνικής έκφρασης, καθώς και για σκοπούς ερευνητικούς ή στατιστικούς. 
Ειδικότερα, όσον αφορά την επεξεργασία ευαίσθητων προσωπικών δεδομένων για ερευνητικούς σκοπούς, σύμφωνα με τη διάταξη του άρθρου 30 του ν. 4624/2019, η συλλογή από τον ερευνητή ευαίσθητων προσωπικών δεδομένων επιτρέπεται και χωρίς τη συγκατάθεση των υποκειμένων των δεδομένων, όταν η επεξεργασία είναι απαραίτητη για ερευνητικούς σκοπούς και το συμφέρον του ερευνητή-υπευθύνου επεξεργασίας είναι υπέρτερο του συμφέροντος των υποκειμένων να μην τύχουν επεξεργασίας τα δεδομένα τους, με την προϋπόθεση όμως ο ερευνητής ως υπεύθυνος επεξεργασίας να λάβει όλα τα κατάλληλα μέτρα για την προστασία των εννόμων συμφερόντων των υποκειμένων των δεδομένων, όπως ψευδωνυμοποίηση ή κρυπτογράφηση. Επίσης ο ερευνητής μπορεί να δημοσιεύει τα προσωπικά δεδομένα που επεξεργάζεται στο πλαίσιο της έρευνάς του, εφόσον τα υποκείμενα έχουν συγκατατεθεί εγγράφως ή η δημοσίευση είναι απαραίτητη για την παρουσίαση των αποτελεσμάτων της έρευνας. Στην τελευταία αυτή περίπτωση η δημοσίευση γίνεται με ψευδωνυμοποίηση.
Επίσης κατ’ εφαρμογή της παραγράφου 4 του άρθρου 9 του ΓΚΠΔ, ο ν. 4624/2019 περιλαμβάνει ειδική διάταξη για την επεξεργασία των γενετικών δεδομένων. Ειδικότερα, σύμφωνα με το άρθρο 23, απαγορεύεται η επεξεργασία γενετικών δεδομένων για σκοπούς ασφάλισης υγείας και ζωής. 
Τέλος, στο άρθρο 10 ΓΚΠΔ γίνεται αναφορά στην επεξεργασία των προσωπικών δεδομένων που αφορούν ποινικές καταδίκες και αδικήματα. Η επεξεργασία προσωπικών δεδομένων που αφορούν ποινικές καταδίκες και αδικήματα διενεργείται υπό τον έλεγχο επίσημης αρχής ή εάν η επεξεργασία επιτρέπεται από το δίκαιο της Ένωσης ή κράτους μέλους το οποίο προβλέπει επαρκείς εγγυήσεις για τα δικαιώματα των υποκειμένων. Πλήρες ποινικό μητρώο τηρείται μόνον υπό τον έλεγχο επίσημης αρχής.
ΙΙΙ. ΣΥΓΚΑΤΑΘΕΣΗ
Η συγκατάθεση αποτελεί μια από τις πλέον δημοφιλείς και προτιμητέες νομικές βάσεις για την επεξεργασία των προσωπικών δεδομένων, αλλά θα πρέπει να επιλέγεται με προσοχή γιατί έχει αρκετές ιδιαιτερότητες και κινδύνους. Οι προϋποθέσεις για να είναι έγκυρη η συγκατάθεση υπό τον ΓΚΠΔ είναι αυστηρότερες από τις αντίστοιχες της προϊσχύουσας Οδηγίας 95/46 ΕΚ, και επιπρόσθετα σε περίπτωση ανάκλησής της από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας πρέπει ή να επιλέξει άλλη πρόσφορη νομική βάση για τη συνέχιση της επεξεργασίας ή άλλως η επεξεργασία να τερματισθεί. Η συγκατάθεση του υποκειμένου μόνο σε εξαιρετικές περιπτώσεις ενδείκνυται ως νομική βάση της επεξεργασίας που διενεργείται από φορείς του δημόσιου τομέα.
Καταρχήν η συγκατάθεση του υποκειμένου αποτελεί νομική βάση επεξεργασίας τόσο για τα απλά όσο και για τα ευαίσθητα προσωπικά δεδομένα για έναν ή περισσότερους σκοπούς. Η επεξεργασία των ειδικών κατηγοριών προσωπικών δεδομένων για λόγους δημοσίου συμφέροντος στον τομέα της δημόσιας υγείας, μπορεί να γίνει και χωρίς τη συγκατάθεση του υποκειμένου των δεδομένων.
Η συγκατάθεση είναι η ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει δήλωση βουλήσεως του υποκειμένου των δεδομένων. Ο υπεύθυνος επεξεργασίας πρέπει να μπορεί να αποδείξει ανά πάσα στιγμή ότι το υποκείμενο των δεδομένων συγκατατέθηκε. Για να είναι έγκυρη η συγκατάθεση το υποκείμενο των δεδομένων θα πρέπει να γνωρίζει τουλάχιστον την ταυτότητα του υπευθύνου επεξεργασίας και τους σκοπούς της επεξεργασίας και η συγκατάθεση να έχει δοθεί ελεύθερα. Θεωρείται ότι δόθηκε ελεύθερα αν το υποκείμενο των δεδομένων έχει αληθινή ή ελεύθερη επιλογή ή είναι σε θέση να αρνηθεί ή να αποσύρει τη συγκατάθεση χωρίς να ζημιωθεί. Σε επεξεργασία πολλαπλών σκοπών/πράξεων επεξεργασίας δεν αρκεί μία συγκατάθεση για όλους τους σκοπούς και πράξεις επεξεργασίας αλλά απαιτείται ξεχωριστή συγκατάθεση για κάθε σκοπό και κάθε πράξη επεξεργασίας. 
Εάν η συγκατάθεση παρέχεται με γραπτή δήλωση που αφορά και άλλα θέματα, το αίτημα για συγκατάθεση πρέπει να είναι σαφώς διακριτό από τα άλλα θέματα, σε κατανοητή και εύκολα προσβάσιμη  μορφή. Το τμήμα της δήλωσης που συνιστά παράβαση του ΓΚΠΔ δεν είναι δεσμευτικό. Οι παρεχόμενες πληροφορίες πρέπει να είναι σαφείς, χωρίς χρήση σύνθετων όρων και εύκολα προσβάσιμες, καθώς και να έχει προηγηθεί από τον υπεύθυνο επεξεργασίας πλήρης ενημέρωση του υποκειμένου των δεδομένων για τη σκοπούμενη επεξεργασία και για το δικαίωμα ανάκλησης της συγκατάθεσής του. 
Για την εκτίμηση κατά πόσο η συγκατάθεση δίνεται ελεύθερα, λαμβάνεται ιδίως υπόψη κατά πόσο για την αποδοχή όρων ή προϋποθέσεων για την εκτέλεση μιας σύμβασης ή παροχής υπηρεσιών τίθεται ως προϋπόθεση η συγκατάθεση στην επεξεργασία προσωπικών δεδομένων. Εάν ναι, τότε δεν δίνεται ελεύθερα. Το βάρος της απόδειξης για το εάν έχει δοθεί η συγκατάθεση ελεύθερα έχει ο υπεύθυνος επεξεργασίας. 
Η συγκατάθεση θα πρέπει να καλύπτει το σύνολο των δραστηριοτήτων επεξεργασίας που διενεργείται για τον ίδιο σκοπό ή για τους ίδιους σκοπούς. Όταν η επεξεργασία έχει πολλαπλούς σκοπούς, θα πρέπει να δίνεται συγκατάθεση για όλους αυτούς τους σκοπούς. 
Η  συγκατάθεση θα πρέπει να παρέχεται με σαφή θετική ενέργεια, όπως γραπτή δήλωση μεταξύ άλλων και με ηλεκτρονικά μέσα. Αυτό θα μπορούσε να περιλαμβάνει τη συμπλήρωση ενός τετραγωνιδίου κατά την επίσκεψη σε διαδικτυακή ιστοσελίδα, την επιλογή των επιθυμητών τεχνικών ρυθμίσεων για υπηρεσίες της κοινωνίας των πληροφοριών, αποστολή e-mail, συμπλήρωση ηλεκτρονικής φόρμας, ή ηλεκτρονική υπογραφή. Επομένως η σιωπή, τα προσυμπληρωμένα τετραγωνίδια ή η αδράνεια δεν θα πρέπει να εκλαμβάνονται ως συγκατάθεση. Η καταγεγραμμένη προφορική δήλωση συγκατάθεσης π.χ. με μαγνητοφώνηση σε call center είναι έγκυρη. 
Εάν η συγκατάθεση του υποκειμένου των δεδομένων πρόκειται να δοθεί  κατόπιν αιτήματος με ηλεκτρονικά μέσα, το αίτημα πρέπει να είναι περιεκτικό, σαφές και να μην διαταράσσει αδικαιολόγητα τη χρήση της υπηρεσίας για την οποία παρέχεται. Ειδικά για τους σκοπούς της επιστημονικής έρευνας, λόγω του ότι συχνά δεν είναι δυνατόν να προσδιορίζεται πλήρως ο σκοπός της επεξεργασίας των δεδομένων κατά τον χρόνο συλλογής τους, τα υποκείμενα των δεδομένων πρέπει να έχουν τη δυνατότητα να παρέχουν τη συναίνεσή τους μόνον σε ορισμένους τομείς της έρευνας ή μόνον σε μέρη προγραμμάτων έρευνας, στον βαθμό που επιτρέπεται από τον επιδιωκόμενο σκοπό και εφόσον ακολουθούνται τα αναγνωρισμένα πρότυπα δεοντολογίας. 
Σύμφωνα με τις «Κατευθυντήριες γραμμές σχετικά με την συγκατάθεση» της Ομάδας του άρθρου 29 της Οδηγίας 95/46 ΕΚ για να είναι έγκυρη η συγκατάθεση θα πρέπει να περιλαμβάνει τα εξής τουλάχιστον στοιχεία:
•	 ταυτότητα του υπευθύνου επεξεργασίας
•	 σκοπούς επεξεργασίας
•	 είδος δεδομένων που θα συλλεχθούν και χρησιμοποιηθούν
•	 δικαίωμα ανάκλησης συγκατάθεσης
•	πληροφορίες σχετικά με την χρήση των δεδομένων, ιδίως σε  περιπτώσεις ηλεκτρονικής επεξεργασίας όπως η δημιουργία προφίλ
•	εάν η συγκατάθεση περιλαμβάνει και διαβίβαση, αναφορά των κινδύνων από τη διαβίβαση αυτή  
Η συγκατάθεση δεν θεωρείται ότι παρέχεται ελεύθερα, εάν υπάρχει κίνδυνος παραπλάνησης, εκφοβισμού, εξαναγκασμού ή αρνητικών συνεπειών σε περίπτωση που το άτομο δεν παρέχει τη συγκατάθεσή του ή όταν υπάρχει σαφής ανισότητα μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας, ιδίως στις περιπτώσεις που ο υπεύθυνος είναι δημόσια αρχή ή εργοδότης και είναι σχεδόν απίθανο να έχει δοθεί η συγκατάθεση ελεύθερα. Στις περιπτώσεις αυτές θα πρέπει να εφαρμόζεται άλλη νομιμοποιητική βάση επεξεργασίας.. 
Η συγκατάθεση πρέπει να χορηγείται πριν από κάθε επεξεργασία. Όταν έχει δοθεί συγκατάθεση, το δικαίωμα εναντίωσης δεν μπορεί να ασκηθεί, μπορεί όμως να γίνει η ανάκληση της συγκατάθεσης με το ίδιο αποτέλεσμα, τα δικαιώματα των άρθρων 16-20 ΓΚΠΔ μπορούν να ασκηθούν (δικαίωμα διόρθωσης, διαγραφής «λήθη», φορητότητα, περιορισμός επεξεργασίας).
Οι δοθείσες συγκαταθέσεις προ της ισχύος του ΓΚΠΔ που πληρούν τα κριτήρια του ΓΚΠΔ είναι έγκυρες, για τις περιπτώσεις που δεν τα πληρούν πρέπει να ανανεωθούν ή η επεξεργασία να βασισθεί σε άλλη νομιμοποιητική βάση, άλλως να τερματισθεί. Η Γνώμη της Ο.Ε. 29/2011 συνεχίζει να είναι εν ισχύ. Η δυνατότητα ανάκλησης της συγκατάθεσης θα πρέπει να υπάρχει ανά πάσα στιγμή, δεν θίγονται οι πράξεις επεξεργασίας που διενεργήθηκαν προ της ανάκλησης.
Εάν δεν υπάρχει νομιμοποιητική βάση που δικαιολογεί τη συνέχιση της επεξεργασίας, πχ. περαιτέρω αποθήκευση των δεδομένων, τα δεδομένα πρέπει να διαγράφονται ή να ανωνυμοποιούνται από τον υπεύθυνο επεξεργασίας. Η ανάκληση πρέπει να είναι εξίσου εύκολη με την παροχή της και να υπάρχει ενημέρωση του υποκειμένου από τον υπεύθυνο επεξεργασίας για τη δυνατότητα ανάκλησης πριν τη λήψη συγκατάθεσης. Εάν μετά την ανάκληση της συγκατάθεσης ο υπεύθυνος επεξεργασίας επιθυμεί τη συνέχιση της επεξεργασίας με άλλη νομιμοποιητική βάση πρέπει να το δηλώσει ρητώς στο υποκείμενο των δεδομένων σύμφωνα με τα άρθρα 13 και 14 του κανονισμού. Οι νομιμοποιητικές  βάσεις επεξεργασίας δεν μπορεί να εναλλάσσονται και/ή μεταβάλλονται κατά τη διάρκεια της επεξεργασίας, διότι ο ΓΚΠΔ απαιτεί οι νομιμοποιητικές βάσεις επεξεργασίας να είναι σαφώς ορισμένες και γνωστές στο υποκείμενο των δεδομένων κατά την έναρξη της συλλογής των προσωπικών του δεδομένων. 

Ο ΓΚΠΔ παρέχει ειδική προστασία των παιδιών ιδίως στη χρήση προσωπικών δεδομένων με σκοπό την εμπορία ή δημιουργία προφίλ προσωπικότητας ή προφίλ χρήστη. Σύμφωνα με το άρθρο 7 του ΓΚΠΔ, η συγκατάθεση γονέα ή κηδεμόνα δεν θα πρέπει να είναι απαραίτητη σε περιπτώσεις παροχής υπηρεσιών πρόληψης ή συμβουλών που προσφέρονται άμεσα σε ένα παιδί. Άνω των 16 ετών είναι νόμιμη η επεξεργασία προσωπικών δεδομένων ανηλίκου κατά την προσφορά των υπηρεσιών της κοινωνίας της πληροφορίας απευθείας σε αυτόν, με μόνη τη συγκατάθεσή του, ενώ κάτω των 16 ετών είναι νόμιμη με τη συγκατάθεση του ασκούντος τη γονική μέριμνα. Τα κράτη μέλη μπορούν να προβλέπουν δια νόμου μικρότερη ηλικία  όχι όμως κάτω των 13 ετών. Ο υπεύθυνος επεξεργασίας πρέπει να επαληθεύει ότι η συγκατάθεση παρέχεται ή εγκρίνεται από τον ασκούντα τη γονική μέριμνα. Στο άρθρο 21 του ν. 4624/2019, προβλέπεται η ηλικία των 15 ετών.

ΠΑΡΑΔΕΙΓΜΑΤΑ

1) Για να παρασχεθούν οι υπηρεσίες μιας εφαρμογής ζητείται από τον χρήστη να συναινέσει στην επεξεργασία των δεδομένων του για διαφημιστικούς σκοπούς (μη έγκυρη συγκατάθεση-δεν δίνεται ελεύθερα).
2) Δήμος καλεί τους δημότες του, εάν επιθυμούν να χορηγήσουν το e-mail τους, ώστε να ειδοποιούνται από τον Δήμο για σεμινάρια ή άλλες δραστηριότητες που τους αφορούν, χωρίς να εξαρτάται η συνέχιση της παροχής των υπηρεσιών του Δήμου από την μη χορήγηση των εν λόγω στοιχείων. (έγκυρη συγκατάθεση-δίνεται ελεύθερα χωρίς τον κίνδυνο ή την απειλή δυσμενών συνεπειών).
3) Σχολείο ζητά την συγκατάθεση των μαθητών προκειμένου οι φωτογραφίες τους από μια εκδήλωση να αναρτηθούν στην ιστοσελίδα του σχολείου ή να δημοσιευθούν στο σχολικό περιοδικό (έγκυρη συγκατάθεση-έχουν την ελεύθερη επιλογή να μην συναινέσουν ). 
4) Ο υποχρεωτικός όρος σε μια τραπεζική συναλλαγή για την έγκριση π.χ. δανείου η χρήση των χορηγηθεισών πληροφοριών του πελάτη για διαφημιστικούς σκοπούς (μη έγκυρη συγκατάθεση-δεν δίνεται ελεύθερα).
5) Πελάτες δίνουν σε μια εταιρία συγκατάθεση για να τους αποστέλλει μέσω e-mail ενημέρωση για τα νέα προϊόντα της εταιρίας και παράλληλα να δίνει τα στοιχεία τους και σε άλλες εταιρίες του ομίλου για διαφημιστικούς και προωθητικούς σκοπούς (direct marketing). Μη έγκυρη συγκατάθεση, θα έπρεπε να υπάρχουν δύο ξεχωριστές συγκαταθέσεις για τους δύο διαφορετικούς σκοπούς.
6) Ασφαλιστική εταιρία ζητά από νοσοκομείο τον ιατρικό φάκελο του ασθενούς και όχι μόνον τα δεδομένα υγείας για τα οποία επήλθε ο ασφαλιστικός κίνδυνος. Η συγκατάθεση είχε δοθεί μόνον για τα δεύτερα στοιχεία και όχι για όλο το ιατρικό ιστορικό.
7) Με την on line αγορά εισιτηρίων ή προϊόντων, ζητείται η συγκατάθεση των πελατών για να χρησιμοποιηθούν τα στοιχεία επικοινωνίας τους για προωθητικούς διαφημιστικούς σκοπούς. Ο υπεύθυνος επεξεργασίας ενημερώνει τους πελάτες ότι μπορούν να ανακαλέσουν τη συγκατάθεσή τους όχι ηλεκτρονικά, αλλά καλώντας σε συγκεκριμένες ώρες ένα call center. Παραβίαση του άρθρου 7.3 του ΓΚΠΔ – η ανάκληση συγκατάθεσης πρέπει να είναι εξίσου εύκολη με την παροχή της. Έπρεπε να γίνεται ηλεκτρονικά.
Συγκατάθεση για εγκατάσταση cookies: Σύμφωνα με πρόσφατη απόφαση της Αυστριακής Αρχής Προστασίας, o μηχανισμός συγκατάθεσης για την εγκατάσταση cookies σε ιστοσελίδες που παρέχουν online περιεχόμενο με βασική πηγή εσόδων τη διαφήμιση (π.χ. ιστοσελίδα εφημερίδας), πληροί τις προϋποθέσεις του ΓΚΠΔ  για ελεύθερη και έγκυρη συγκατάθεση, εφόσον οι χρήστες έχουν τη δυνατότητα να εξαιρεθούν από τα cookies επιλέγοντας είτε να εγγραφούν στην ιστοσελίδα με μια μικρή χρέωση είτε επιλέγοντας μια άλλη online εφημερίδα ως πηγή ενημέρωσης.
Αντίθετα, η ICO υποστήριξε σε παρόμοια περίπτωση (ιστοσελίδα Washington Post) ότι θα πρέπει να προσφέρεται στους χρήστες μια εναλλακτική λύση για την αποδοχή των cookies και να έχουν τη δυνατότητα να εξαιρεθούν από αυτά σε όλα τα επίπεδα συνδρομής. Κατά συνέπεια, υπάρχει έλλειψη εναρμόνισης στο ζήτημα, το οποίο θα ρυθμισθεί ρύθμιση μέσω του e-privacy.

Συγκατάθεση και online διαφήμιση: Σύμφωνα με σχετική απόφαση της CNIL, ο μηχανισμός συγκατάθεσης του Interactive Advertising Bureau, o οποίος παρέχει στους χρήστες μια σύντομη ειδοποίηση ότι η εφαρμογή συγκεντρώνει το ιστορικό του προγράμματος περιήγησης των χρηστών και τη γεωγραφική θέση τους για σκοπούς στοχευμένης διαφήμισης και παρέχει στους χρήστες τρεις επιλογές-αποδοχή, άρνηση ή προσαρμογή των προτιμήσεών τους- δεν συμμορφώνεται με τρεις από τις απαιτήσεις που θέτει  ο ΓΚΠΔ για τη συγκατάθεση: 

1.	Η συγκατάθεση δεν ήταν εν πλήρει επιγνώσει, διότι οι πληροφορίες ήταν ασαφείς, με τη χρήση σύνθετων όρων και όχι εύκολα προσβάσιμες
2.	Δεν ήταν συγκεκριμένη, διότι  οι χρήστες δεν κλήθηκαν να παρέχουν τη συγκατάθεσή τους για την επεξεργασία των δεδομένων γεωγραφικής θέσης τους για σκοπούς στοχευμένης διαφήμισης
3.	Δεν βασιζόταν σε σαφή θετική ενέργεια, καθώς οι χρήστες που επέλεγαν να προσαρμόσουν τις προτιμήσεις τους κατευθύνονταν σε αναδυόμενο παράθυρο με προ-επιλεγμένες ρυθμίσεις 

Απόφαση CNIL κατά GOOGLE : Στις 21.01.2019 η CNIL επέβαλε στην GOOGLE πρόστιμο 50 εκατομ. Ευρώ, λόγω έλλειψης διαφάνειας στην ενημέρωση των χρηστών, ανεπαρκούς πληροφόρησης και έλλειψης έγκυρης συναίνεσης όσον αφορά την στοχευμένη διαφήμιση. Ειδικότερα σύμφωνα με την απόφαση η συγκατάθεση δεν είναι έγκυρη για δύο λόγους:
1.	Δεν υπάρχει επαρκής πληροφόρηση των χρηστών για την παροχή της συγκατάθεσής τους, δεδομένου ότι δεν γνωρίζουν με ακρίβεια την έκταση των πράξεων επεξεργασίας που διενεργούνται για τους σκοπούς της στοχευμένης διαφήμισης (υπηρεσίες, ιστότοπους και περιλαμβανόμενες εφαρμογές-Google search, you tube, Google home, Google maps…)
2.	H συγκατάθεση των χρηστών δεν είναι ειδική και ελεύθερη, διότι δίνεται μια συγκατάθεση για πολλαπλούς σκοπούς επεξεργασίας με προσυμπληρωμένα από την Google πεδία
ΣΥΜΠΕΡΑΣΜΑΤΙΚΑ: Με την θέση σε ισχύ του ΓΚΠΔ, τίθενται αυστηρότερες προϋποθέσεις και περισσότερες απαιτήσεις προς τον υπεύθυνο επεξεργασίας, ώστε να είναι έγκυρη η συγκατάθεση του υποκειμένου των δεδομένων σε σχέση με την  προγενέστερη οδηγία 95/46 ΕΚ. Αυτές είναι:
•	Αρχή λογοδοσίας του υπευθύνου επεξεργασίας-πρέπει  ανά πάσα στιγμή να μπορεί να αποδείξει ότι το υποκείμενο των δεδομένων έχει συγκατατεθεί για την επεξεργασία των προσωπικών του δεδομένων
•	Η ανάκληση συγκατάθεσης πρέπει να είναι εξίσου εύκολη με την παροχή της και δε θίγει τη νομιμότητα επεξεργασίας που βασίστηκε στη συγκατάθεση προ της ανάκλησής της 
•	Η  συγκατάθεση θα πρέπει να παρέχεται με σαφή θετική ενέργεια 
•	Πρέπει να έχει προηγηθεί ενημέρωση του υποκειμένου των δεδομένων από τον υπεύθυνο επεξεργασίας για τη σκοπούμενη επεξεργασία καθώς και για το δικαίωμα ανάκλησης της συγκατάθεσής του 
•	Το αίτημα για συγκατάθεση πρέπει να είναι σαφώς διακριτό από τα άλλα θέματα, σε κατανοητή και εύκολα προσβάσιμη  μορφή
•	Για επεξεργασία ειδικών κατηγοριών δεδομένων, η συγκατάθεση πρέπει διακριτά και ευκρινώς να αναφέρεται σε αυτά
•	Δίνεται ιδιαίτερη έμφαση στην έννοια της «ελεύθερης» επιλογής του υποκειμένου των δεδομένων και στην αντίστοιχη «ελεύθερη» παροχή της συγκατάθεσής του  

IV. Ειδικά θέματα (Πρόσβαση στα δημόσια έγγραφα 
 Εισαγγελική παραγγελία / Διαύγεια).

Σύμφωνα με το άρθρο 83 παρ. 2 του ν. 4624/2019 «Μεταβατικές Διατάξεις», οι οδηγίες και κανονιστικές πράξεις της Αρχής διατηρούνται σε ισχύ, εφόσον δεν προσκρούουν στον ΓΚΠΔ και στις ρυθμίσεις του ν. 4624/2019. 

1) Πρόσβαση στα δημόσια έγγραφα

Σύμφωνα με το άρθρο 5 ΚΔΔιαδ ως διοικητικά έγγραφα νοούνται όσα συντάσσονται από τις δημόσιες υπηρεσίες (πρακτικά, αποφάσεις, γνώμες, πορίσματα κ.λπ.), ενώ σύμφωνα με την πάγια νομολογία του ΣτΕ και του ΝΣΚ είναι διευρυμένη η έννοια του διοικητικού εγγράφου, καθώς στα διοικητικά έγγραφα περιλαμβάνονται ΚΑΙ τα ιδιωτικά έγγραφα τα οποία χρησιμοποιήθηκαν ή ελήφθησαν υπόψη για τον καθορισμό της διοικητικής δράσης ή τη διαμόρφωση γνώμης ή κρίσης του διοικητικού οργάνου και αποτελούν στοιχείο της αιτιολογίας της εκδοθείσας διοικητικής πράξης. Στα διοικητικά έγγραφα πρόσβαση έχει κάθε ενδιαφερόμενος, ενώ στα ιδιωτικά έγγραφα, τα οποία είναι όσα κατατίθενται στις υπηρεσίες του Δημοσίου αλλά δεν λαμβάνονται υπόψη για την έκδοση μίας διοικητικής πράξης (π.χ. επιστολές ιδιωτών, ιδιωτικά συμφωνητικά μίσθωσης, τίτλοι σπουδών), πρόσβαση έχει μόνον όποιος επικαλεσθεί και αποδείξει το ειδικό έννομο συμφέρον του. 
Το δικαίωμα δεν υφίσταται εάν το έγγραφο αφορά στην ιδιωτική ή οικογενειακή ζωή τρίτου, παραβλάπτεται απόρρητο που προβλέπεται από ειδικές διατάξεις, ή παραβλάπτεται δικαίωμα πνευματικής ή βιομηχανικής ιδιοκτησίας. Η έννοια της «ιδιωτικής ή οικογενειακής ζωής»: στενότερη της έννοιας των προσωπικών δεδομένων, αντιπαρατάσσεται στη «δημόσια ζωή» και αφορά μία γενικά παραδεκτή, σύμφωνα με τις κοινωνικές αντιλήψεις, «σφαίρα του απορρήτου» του ατόμου, όπως την ερωτική του ζωή, σωματικά ελαττώματα ή προβλήματα της υγείας του, ενδοοικογενειακές έριδες. 
Η πρόσβαση προϋποθέτει γραπτή αίτηση και ασκείται με επιτόπια μελέτη του εγγράφου ή χορήγηση αντιγράφου. Όσον αφορά δε την έννοια του ευλόγου ενδιαφέροντος, προϋποθέτει την ύπαρξη μίας προηγούμενης προσωπικής έννομης σχέσης του ενδιαφερομένου με τη διοίκηση.
2) Πρόσβαση σε στοιχεία καταγγελίας
Τα στοιχεία του καταγγέλλοντος αποτελούν προσωπικά δεδομένα τόσο του ιδίου όσο και του καθ’ ού η καταγγελία (Απόφαση Αρχής 73/2010). Ο καθ’ ού η καταγγελία έχει δικαίωμα πρόσβασης στο κείμενο της καταγγελίας και στα στοιχεία του καταγγέλλοντος με βάση το δικαίωμα πρόσβασης (προέλευση των δεδομένων), επικουρικώς και με βάση το άρθρο 5 ν. 2690/1999 (πρόκειται για διοικητικό έγγραφο, εφόσον αποτέλεσε τη βάση της διοικητικής δράσης), μετά από στάθμιση και των κινδύνων που δύναται να διατρέξει ο καταγγέλλων σε περίπτωση γνωστοποίησης της ταυτότητάς του.
3) Πρόσβαση σε φάκελο ΕΔΕ ή ΠΔΕ
Οι πειθαρχικές διώξεις αποτελούν «απλά» προσωπικά δεδομένα. Τόσο ο καταγγέλλων όσο και ο καταγγελλόμενος έχουν δικαίωμα πρόσβασης στο πόρισμα της ΕΔΕ ή ΠΔΕ. Για τα υπόλοιπα στοιχεία του φακέλου που συνοδεύουν το πόρισμα και περιέχουν και στοιχεία τρίτων προσώπων, τόσο ο καταγγέλλων όσο και ο καταγγελλόμενος θεωρούνται τρίτοι, κατά συνέπεια θα πρέπει να αποδείξουν την ύπαρξη εννόμου συμφέροντός τους, προκειμένου να τους χορηγηθούν τα επίμαχα στοιχεία. Ο τρίτος καταγγέλλων ή καταγγελλόμενος πρέπει να επικαλείται και αποδεικνύει ότι τα αιτούμενα στοιχεία είναι απολύτως αναγκαία, πρόσφορα και συναφή για την αναγνώριση, άσκηση ή υπεράσπιση δικαιώματός τους ενώπιον δικαστηρίου και δη ενόψει συγκεκριμένης εκκρεμούς δίκης. Εάν δε, μεταξύ των αιτουμένων στοιχείων περιλαμβάνονται και ευαίσθητα προσωπικά δεδομένα μπορεί να γίνει είτε ανωνυμοποίηση με απαλοιφή των ονομάτων των υποκειμένων των δεδομένων, είτε απαλοιφή των ευαίσθητων δεδομένων εφόσον το αίτημα των ενδιαφερομένων δεν συνδέεται με τη γνώση αυτών, υπό την προϋπόθεση ότι από τα χορηγηθέντα έγγραφα δεν αποκαλύπτονται άμεσα ή έμμεσα πληροφορίες για συγκεκριμένα και προσδιορίσιμα υποκείμενα δεδομένων.
4) Πρόσβαση τρίτου σε στοιχεία προσωπικού μητρώου υπαλλήλου
Η Αρχή δέχεται ότι το απόρρητο του προσωπικού μητρώου, όπου αυτό κατοχυρώνεται με ρητή διάταξη νόμου, μπορεί να καμφθεί και η επεξεργασία των στοιχείων του προσωπικού μητρώου είναι νόμιμη στην περίπτωση που συντρέχουν οι νόμιμες προϋποθέσεις, όπως στις περιπτώσεις πρόσβασης τρίτου σε στοιχεία ΕΔΕ ή πρόσβασης υποψηφίου σε φάκελο λοιπών συνυποψήφιων .
5) Πρόσβαση σε στοιχεία συνυποψηφίων
Όπως έχει ήδη κρίνει η Αρχή με σχετικές αποφάσεις (17/2002, 56/2003, 40/2005,141/2011, 166/2011), η ανακοίνωση των στοιχείων των επιλεγέντων συνυποψηφίων σε άλλον υποψήφιο που δεν έχει επιλεγεί ή των υποψηφίων που προηγούνται στον τελικό πίνακα κατάταξης σε υποψήφιο που έπεται είναι νόμιμη, και χωρίς τη συγκατάθεσή τους, υπό τις εξής σωρευτικά εξεταζόμενες προϋποθέσεις: α) Τα δεδομένα ζητούνται με τη νόμιμη διαδικασία (έγγραφη αίτηση, τεκμηρίωση υπέρτερου έννομου συμφέροντος) β) Η ανακοίνωση στοιχείων των συνυποψηφίων περιορίζεται στη χορήγηση των στοιχείων εκείνων μόνο που αποτέλεσαν τη βάση της αξιολόγησης των υποψηφίων για την κατάληψη των προς πλήρωση θέσεων γ) Πριν την ανακοίνωση των στοιχείων συνυποψηφίων στον αιτούντα πρέπει να ενημερώσει ο υπεύθυνος επεξεργασίας τα υποκείμενα των δεδομένων με κάθε πρόσφορο τρόπο. Νόμιμη και η πρόσβαση των μη επιλεγέντων συνυποψηφίων στα πρακτικά του Διοικητικού Συμβουλίου το οποίο επικύρωσε την σχετική απόφαση της επιτροπής αξιολόγησης και κατάταξης των υποψηφίων. 
6) Πρόσβαση Δημοτικών Συμβούλων στα Αρχεία των Δήμων
Οι δημοτικοί σύμβουλοι, ως μέλη της διοίκησης και εκφραστές της βούλησης του νομικού προσώπου του πρωτοβάθμιου οργανισμού τοπικής αυτοδιοίκησης, επέχουν θέση υπευθύνου επεξεργασίας και όχι τρίτου, οπότε προκειμένου να ασκήσουν αποτελεσματικά και με επιμέλεια τα εκ του νόμου καθήκοντά τους, μπορούν να έχουν πρόσβαση σε όλες τις πληροφορίες (απλά προσωπικά και ευαίσθητα προσωπικά δεδομένα) και τα στοιχεία που είναι απαραίτητα και που βρίσκονται στη διάθεση του δήμου (Aπόφαση Αρχής 90/2009). 
7) Πρόσβαση τρίτου σε ληξιαρχικές πράξεις
Αν ο αιτών τρίτος δεν ενδιαφέρεται για τη χορήγηση των ευαίσθητων προσωπικών δεδομένων των υποκειμένων είναι δυνατή η χορήγηση ληξιαρχικών πράξεων με απαλοιφή των ευαίσθητων προσωπικών δεδομένων καθώς και οποιασδήποτε περαιτέρω πληροφορίας, η οποία είναι ικανή να οδηγήσει έστω και σε έμμεση αποκάλυψη των δεδομένων αυτών. Στην περίπτωση των ληξιαρχικών πράξεων θανόντων, δεν υπάρχει κώλυμα εκ του νόμου (Απόφαση Αρχής 77/2015).

8) Δεσμευτικότητα Εισαγγελικής Παραγγελίας

Η Αρχή με τη Γνωμοδότηση 3/2009 έκρινε ότι η εισαγγελική παραγγελία είναι δεσμευτική για τη Διοίκηση μόνο στο πλαίσιο προκαταρκτικής έρευνας, προανάκρισης, κύριας ανάκρισης (ισχύει ο ΚΠΔ ως ειδικότερος), δηλαδή ως εισαγγελική διάταξη για χορήγηση στοιχείων στο πλαίσιο αυτών των διαδικασιών. Σε κάθε άλλη περίπτωση εισαγγελικής παραγγελίας με περιεχόμενο τη χορήγηση εγγράφων που περιέχουν προσωπικά δεδομένα τρίτων προσώπων υφίσταται δέσμευση της Διοίκησης με την έννοια της επιτακτικής εντολής προς διερεύνηση του αιτήματος χορήγησης ή μη χορήγησης εγγράφου και της υποχρέωσης της Διοίκησης σε σαφή και αιτιολογημένη απάντηση. Σε αντίθετη περίπτωση, υφίσταται παράλειψη οφειλόμενης νόμιμης ενέργειας και πιθανή ποινική ευθύνη. Μόνο τα δικαστήρια μπορούν να υποχρεώσουν τη Διοίκηση να χορηγήσει δημόσια έγγραφα. Όταν πρόκειται για δεδομένα του ίδιου του αιτούντος, αυτά θα πρέπει να χορηγούνται υποχρεωτικώς με βάση την ειδική διάταξη πρόσβασης του υποκειμένου σε δεδομένα που το αφορούν.

9) Διαύγεια
Η αρχή της διαφάνειας στη δράση  της Διοικήσεως έχει αναδειχθεί σε συνταγματική επιταγή, υπό το ισχύον και τα προηγούμενα Συντάγματα, διότι συνδέεται με το Κράτος δικαίου και με τη δημοκρατική αρχή που διέπει το πολίτευμα της χώρας (βλ. ΣτΕ 2386/1970, 2338/1973, 1940/1983, 2233/1999, 602/2003, 1208/2006, Πρ.Επ. 248/2007 κ.α.). Ήδη, μετά τη συνταγματική αναθεώρηση του 2001, το άρθρο 5Α θεσπίζει ρητώς το ατομικό δικαίωμα στην πληροφόρηση και στη συμμετοχή στην Κοινωνία της Πληροφορίας, το άρθρο 10 παρ. 3 προβλέπει την υποχρέωση χορήγησης δημοσίων εγγράφων, ενώ σε μια σειρά άλλων άρθρων γίνεται ρητή αναφορά στη διαφάνεια, ως εγγύηση της δράσης των κρατικών οργάνων και των οργανισμών τοπικής αυτοδιοίκησης (άρθρο 14 παρ. 9, 29 παρ. 2, 102 παρ. 5, 103 παρ. 7). Συνεπώς, η διαφάνεια αποτελεί συνταγματική επιταγή που διέπει το σύνολο των ενεργειών της Διοικήσεως. 
Στο πλαίσιο αυτό, με τον ν. 3861/2010, καθίσταται υποχρεωτική η ανάρτηση νόμων και πράξεων των κυβερνητικών, διοικητικών και αυτοδιοικητικών οργάνων στο διαδίκτυο "Πρόγραμμα Διαύγεια" με σκοπό την ενίσχυση της διαφάνειας της νομοθετικής, κυβερνητικής και διοικητικής δράσης, στο στενό και ευρύτερο δημόσιο τομέα. Από την υποχρέωση πρωτογενούς ανάρτησης εξαιρούνται τα έγγραφα και τα στοιχεία δημοσίων συμβάσεων που καταχωρίζονται υποχρεωτικά στο Κεντρικό Ηλεκτρονικό Μητρώο Δημοσίων Συμβάσεων (ΚΗΜΔΗΣ). Ειδικότερα, στο άρθρο 2 του εν λόγω νόμου, απαριθμούνται οι υποχρεωτικά αναρτητέες πράξεις στο διαδίκτυο, όπως μεταξύ άλλων νόμοι που εκδίδονται και δημοσιεύονται κατά το Σύνταγμα, πράξεις νομοθετικού περιεχομένου του άρθρου 44 παρ. 1 του Συντάγματος, τα προεδρικά διατάγματα κανονιστικού χαρακτήρα, ερμηνευτικές εγκύκλιοι και εγκύκλιοι για την εφαρμογή της νομοθεσίας, οι προϋπολογισμοί, απολογισμοί, ισολογισμοί των φορέων που υπάγονται στο πεδίο εφαρμογής του παρόντος νόμου, πράξεις διορισμού μονομελών οργάνων και συγκρότησης συλλογικών οργάνων διοίκησης των φορέων του Δημοσίου, των Ν.Π.Δ.Δ., των φορέων του ευρύτερου δημόσιου τομέα και των φορέων των οργανισμών τοπικής αυτοδιοίκησης πρώτου και δευτέρου βαθμού, καθώς και οι τροποποιήσεις αυτών, πράξεις διορισμού, αποδοχής παραίτησης, αντικατάστασης ή παύσης Γενικών Γραμματέων Υπουργείων και Περιφερειών, Ειδικών Γραμματέων Υπουργείων, μελών συλλογικών οργάνων διοίκησης φορέων του Δημοσίου, των Ν.Π.Δ.Δ., των φορέων του ευρύτερου δημόσιου τομέα και φορέων των οργανισμών τοπικής αυτοδιοίκησης πρώτου και δευτέρου βαθμού, προκηρύξεις πλήρωσης θέσεων με διαγωνισμό ή με επιλογή, προκηρύξεις πλήρωσης θέσεων διδακτικού ερευνητικού προσωπικού (ΔΕΠ) του πανεπιστημιακού τομέα, πίνακες επιτυχόντων, διοριστέων και επιλαχόντων των προκηρύξεων επιλογής προσωπικού, στις περιπτώσεις κατά τις οποίες η δημοσίευση τους προβλέπεται από την κείμενη νομοθεσία, περιλήψεις πράξεων διορισμού, μετάταξης, διαθεσιμότητας, αποδοχής παραίτησης, λύσης της υπαλληλικής σχέσης ή υποβιβασμού υπαλλήλων, μόνιμων και μετακλητών, και διευθυντικών στελεχών του Δημοσίου, των Ν.Π.Δ.Δ., φορέων του ευρύτερου δημόσιου τομέα, φορέων των οργανισμών τοπικής αυτοδιοίκησης πρώτου και δευτέρου βαθμού, κ.λπ.
Επίσης στο άρθρο 5 του σχετικού νόμου, αναφέρεται ότι η ανάρτηση των πράξεων στο Διαδίκτυο και η οργάνωση της αναζήτησης πληροφοριών πραγματοποιείται με την επιφύλαξη των κανόνων για την προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Δεν αναρτώνται πράξεις, στις οποίες περιλαμβάνονται ευαίσθητα δεδομένα προσωπικού χαρακτήρα, όπως αυτά ορίζονται στην κείμενη νομοθεσία. Η ανάρτηση των πράξεων που αναφέρονται στο άρθρο 2 στο Διαδίκτυο και η οργάνωση της αναζήτησης πληροφοριών πραγματοποιείται με την επιφύλαξη των κρατικών απορρήτων όπως προβλέπονται από την κείμενη νομοθεσία, των κανόνων πνευματικής και βιομηχανικής ιδιοκτησίας, καθώς και εταιρικού ή άλλου απορρήτου που προβλέπεται από ειδικότερες διατάξεις.
Προ της θέσεως σε ισχύ του ως άνω νόμου, η Αρχή γνωμοδότησε επί του προσχεδίου αυτού για τα ειδικότερα ζητήματα της ανάρτησης πράξεων που περιέχουν προσωπικά δεδομένα. Ειδικότερα, με τη Γνωμοδότηση 1/2010 η Αρχή έκρινε μεταξύ άλλων τα εξής :
α) καταρχήν το Σύνταγμα και η κοινοτική (ενωσιακή) νομοθεσία δεν κωλύουν την ανάρτηση των ανωτέρω πράξεων στο διαδίκτυο χάριν μείζονος διαφάνειας της κρατικής δράσης, β) πρέπει να προβλεφθεί ανώτατο χρονικό όριο ανάρτησης στο διαδίκτυο, για τις διάφορες κατηγορίες πράξεων με προσωπικά δεδομένα, κατ’ εκτίμηση της φύσης και του είδους των προσωπικών δεδομένων, καθώς και των λόγων που επιβάλλουν τη μείζονα διαφάνεια και γ) δεδομένου ότι σκοπός του προσχεδίου νόμου είναι η ενίσχυση της διαφάνειας της κρατικής δράσης και της δυνατότητας ελέγχου αυτής από τον πολίτη, είναι αυτονόητο ότι η επεξεργασία των εγγράφων (ανάρτηση στο διαδίκτυο, αποθήκευση στον υπολογιστή του χρήστη) επιτρέπεται αποκλειστικά και μόνο για τον σκοπό του ελέγχου της κρατικής δράσης και όχι για άλλους σκοπούς.

ΒΙΒΛΙΟΓΡΑΦΙΑ

1) «Γενικός Κανονισμός για την Προστασία των Προσωπικών Δεδομένων-Νομική διάσταση και πρακτική εφαρμογή», Νομική Βιβλιοθήκη, Αθήνα 2018
2) Γιαννόπουλος Γ., «Γενικός Κανονισμός Προστασίας Δεδομένων: οι νέες υποχρεώσεις και η ευθύνη του Υπευθύνου Επεξεργασίας», ΕφημΔΔ 2017
3) Μήτρου Λ., «Ο γενικός κανονισμός προστασίας προσωπικών δεδομένων, νέο δίκαιο-νέες υποχρεώσεις-νέα δικαιώματα», Δίκαιο και Κοινωνία στον 21ο αι., Νο 29, Εκδόσεις Σάκκουλα, 2017
4) Παναγοπούλου-Κουτνατζή Φ., «Ο Γενικός Κανονισμός για την Προστασία Δεδομένων 679/2016/ΕΕ, Εισαγωγή και Προστασία Δικαιωμάτων», Εκδόσεις Σάκκουλα, 2017
5) Article 29 Data Protection Working Party, “Opinion 15/2011 on the definition of consent”
6) Article 29 Data Protection Working Party, “Guidelines on consent under Regulation 2016/679”
7) Article 29 Data Protection Working Party, “Guidelines on transparency under Regulation 2016/679”
8) Γνώμη 2/2016 της Ομάδας του άρθρου 29 σχετικά με τη δημοσιοποίηση προσωπικών δεδομένων για λόγους διαφάνειας στον δημόσιο τομέα.
9) Yπό δημόσια διαβούλευση σχέδιο Κατευθυντήριων Γραμμών 2/2019 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων “on the processing of personal data under Article 6 (1) (b) GDPR in the context of the provision of online services to data subjects” 
10) European Union Agency For Fundamentals Rights [FRA], Handbook on European data protection law, 2018