Τα τρία γουρουνάκια και ο «κακός»… GDPR

Φίλτατοι, καλή σας ημέρα!

Δεν είμαστε οι μόνοι και θα ήταν ενδεχομένως παράδοξο, υπό το φως της... ιστορίας μας, εάν δεν συγκαταλεγόμασταν μεταξύ των κρατών μελών της ΕΕ που «συλλαμβάνονται» πλημμελώς προετοιμασμένα σχετικά με την έναρξη εφαρμογής του διαβόητου, πλέον, Γενικού Κανονισμού Προστασίας Δεδομένων (GDPR) από σήμερα.

Ενός κανονισμού ο οποίος προβλέπει υψηλότατα πρόστιμα σε περίπτωση παραβίασής του, που δυνητικά μπορούν να ανέλθουν έως και στο 4% του ετήσιου τζίρου μίας επιχείρησης και παραμένει σήμερα περίπου «άγνωστη γη», τόσο για την πλειονότητα της μικρομεσαίας επιχειρηματικότητας στην Ελλάδα, όσο και για τον δημόσιο τομέα της.

Μολονότι το υπουργείο Δικαιοσύνης έθεσε σε δημόσια διαβούλευση, από τις 20 Φεβρουαρίου έως τις 5 Μαρτίου 2018, νομοσχέδιο που στόχο έχει την εναρμόνιση της εθνικής νομοθεσίας έναντι της κοινοτικής και συγκεκριμένα του Κανονισμού (ΕΕ) 2016/679, έως χθες, μία ημέρα πριν την έναρξη εφαρμογής του παραπάνω Κανονισμού, τούτο δεν είχε κατατεθεί προς ψήφιση στη Βουλή.

Ως αποτέλεσμα, βεβαίως, εξακολουθεί να απουσιάζει ένα ελληνικό νομοθέτημα σχετικά με τα δικαιώματα και τις υποχρεώσεις που απορρέουν από την εφαρμογή του νέου Κανονισμού που ισχύει από σήμερα για προμηθευτές, καταναλωτές αλλά και το ίδιο το Δημόσιο, ενώ ταυτόχρονα, όπως επισημαίνει ο κ. Βασ. Σωτηρόπουλος, δικηγόρος, παραμένει επίσης σε πλήρη ισχύ το «παλαιό» νομοθετικό πλαίσιο (Ν.2472/97), δημιουργώντας έτσι διπλασιασμό των γραφειοκρατικών βαρών για την τήρηση αμφοτέρων από τους υπόχρεους.

Ιδιαίτερα χαρακτηριστικό είναι, δε, το γεγονός ότι μόλις χθες προχώρησε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) στη δημοσιοποίηση εντύπου σχετικά με τον ορισμό «Υπευθύνου Προστασίας Δεδομένων» (DPO) από τις υπόχρεες επιχειρήσεις, ήτοι μόλις μία ημέρα πριν την έναρξη εφαρμογής του νέου κοινοτικού Κανονισμού.

Όπως επισημαίνει ο κ.Σωτηρόπουλος, η συμμόρφωση ως προς τις προβλέψεις του GDPR προβλέπει σειρά βημάτων, εκ μέρους φορέων είτε του ιδιωτικού είτε του δημόσιου τομέα, όπως η τήρηση ειδικού μητρώου επεξεργασίας προσωπικών δεδομένων για επιχειρήσεις που απασχολούν περισσότερους από 250 υπαλλήλους ή ο ορισμός υπευθύνου προστασίας των δεδομένων αυτών.

Η απουσία ενσωμάτωσης του παραπάνω κανονισμού στο εθνικό δίκαιο (υποδοχή με διατάξεις πλαισίωσης, όπως είναι ο ακριβής νομικός όρος) δε, οδηγεί και σε παράδοξα: για παράδειγμα, στην υποθετική περίπτωση που Βρετανός τουρίστας καταγγείλει παραβίαση των προβλέψεων του κανονισμού εκ μέρους φορέα είτε του ιδιωτικού, είτε του δημόσιου τομέα στην Ελλάδα, η ελληνική Αρχή Προστασίας Δεδομένων δεν είναι σε θέση να επιβάλλει τα υψηλά πρόστιμα που προβλέπει ο νέος κανονισμός ενώ αντίθετα μπορεί η αντίστοιχη Βρετανική Αρχή, δεδομένου ότι στη Βρετανία έχει γίνει η σχετική ενσωμάτωση.

Κυριότερα, όμως, αυτό που αναδεικνύεται για ακόμη μία φορά, με αφορμή τη σημερινή έναρξη εφαρμογής του συγκεκριμένου κανονισμού, είναι η απουσία επαρκούς προετοιμασίας στο πεδίο τόσο του δημοσίου όσο και του ιδιωτικού τομέα, ακόμη και για ένα ζήτημα τόσο ζωτικό για τη λειτουργία τους.

Σύμφωνα με έρευνα που πραγματοποίησε η Γενική Συνομοσπονδία Επαγγελματιών Βιοτεχνών Εμπόρων Ελλάδας (ΓΣΕΒΕΕ) σε συνεργασία με τον Σύνδεσμο Εταιρειών Κινητών Εφαρμογών Ελλάδος (ΣΕΚΕΕ) και την Kapa Research, σε δείγμα 1.004 επιχειρήσεων, ποσοστό 43% των ερωτηθέντων ούτε καν γνωρίζει για την ύπαρξη του νέου κανονισμού ενώ 1 στις 3 έχει «ακούσει σχετικά».

Συνολικά, δε, 4 στις 5 επιχειρήσεις δεν έχουν προβεί σε καμία ενέργεια προετοιμασίας έναντι των προβλέψεων του Κανονισμού.

Όσον αφορά, τέλος, τις πληροφορίες που θέλουν να δίδεται εξάμηνη άτυπη παράταση στην εφαρμογή του νέου Κανονισμού εκ μέρους της Ευρωπαϊκής Επιτροπής, ας θυμίσουμε ότι μόνο αρμόδιο για τη χορήγησή της είναι το Ευρωπαϊκό Κοινοβούλιο, το οποίο και ψήφισε το σχετικό ευρωπαϊκό νομοθέτημα…