Κατευθυντήριες γραμμές Ομάδας Εργασίας Άρθρου 29 σχετικά με το δικαίωμα στη φορητότητα των δεδομένων

ΠΙΝΑΚΑΣ ΠΕΡΙΕΧΟΜΕΝΩΝ

Συνοπτική παρουσίαση

I. Εισαγωγή

II. Ποια είναι τα βασικά στοιχεία της φορητότητας των δεδομένων;

III. Πότε έχει εφαρμογή η φορητότητα των δεδομένων;

IV. Πώς εφαρμόζονται οι γενικοί κανόνες που διέπουν την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων στην φορητότητα των δεδομένων;

V. Πώς πρέπει να παρέχονται τα φορητά δεδομένα;

Συνοπτική παρουσίαση

Το άρθρο 20 του ΓΚΠΔ θεσπίζει ένα νέο δικαίωμα στη φορητότητα των δεδομένων, το οποίο συνδέεται μεν στενά με το δικαίωμα πρόσβασης αλλά διαφέρει από αυτό από πολλές απόψεις. Παρέχει στα υποκείμενα των δεδομένων τη δυνατότητα να λαμβάνουν τα δεδομένα προσωπικού χαρακτήρα που έχουν παράσχει σε υπεύθυνο επεξεργασίας, σε δομημένο, κοινώς χρησιμοποιούμενο και αναγνώσιμο από μηχανήματα μορφότυπο, καθώς και το δικαίωμα να διαβιβάζουν τα εν λόγω δεδομένα σε άλλον υπεύθυνο επεξεργασίας. Στόχος αυτού του νέου δικαιώματος είναι να δώσει στο υποκείμενο των δεδομένων δύναμη και μεγαλύτερο έλεγχο επί των δεδομένων προσωπικού χαρακτήρα που το αφορούν.

Δεδομένου ότι επιτρέπει την απευθείας διαβίβαση δεδομένων προσωπικού χαρακτήρα από έναν υπεύθυνο επεξεργασίας σε άλλον, το δικαίωμα στη φορητότητα των δεδομένων αποτελεί επίσης σημαντικό εργαλείο το οποίο θα ενισχύσει την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα στην ΕΕ και θα ενθαρρύνει τον ανταγωνισμό μεταξύ των υπευθύνων επεξεργασίας. Θα διευκολύνει τη μετάβαση από τον ένα πάροχο υπηρεσιών στον άλλο και, ως εξ αυτού, θα ενθαρρύνει την ανάπτυξη νέων υπηρεσιών στο πλαίσιο της στρατηγικής για την ψηφιακή ενιαία αγορά.

Η παρούσα γνώμη παρέχει κατευθύνσεις σχετικά με τον τρόπο ερμηνείας και εφαρμογής του δικαιώματος στη φορητότητα των δεδομένων όπως θεσπίστηκε με τον ΓΚΠΔ. Αντικείμενό της είναι το δικαίωμα στη φορητότητα των δεδομένων και το πεδίο εφαρμογής του. Διευκρινίζει τις προϋποθέσεις υπό τις οποίες εφαρμόζεται το νέο αυτό δικαίωμα, λαμβάνοντας υπόψη τη νομική βάση της επεξεργασίας των δεδομένων (δηλαδή είτε τη συναίνεση του υποκειμένου των δεδομένων είτε την ανάγκη εκτέλεσης μιας σύμβασης) και το γεγονός ότι το δικαίωμα περιορίζεται στα δεδομένα προσωπικού χαρακτήρα που παρέχονται από το υποκείμενο των δεδομένων. Η γνώμη παρέχει επίσης συγκεκριμένα παραδείγματα και κριτήρια με σκοπό να εξηγήσει τις περιπτώσεις στις οποίες έχει εφαρμογή το εν λόγω δικαίωμα. Ως προς αυτό, η ομάδα εργασίας του άρθρου 29 (ΟΕ29) θεωρεί ότι το δικαίωμα στη φορητότητα των δεδομένων καλύπτει τα δεδομένα που παρέχονται από το υποκείμενο των δεδομένων συνειδητά και ενεργητικά καθώς και τα δεδομένα προσωπικού χαρακτήρα που παράγονται από τη δραστηριότητά του. Το νέο αυτό δικαίωμα δεν μπορεί να υπονομεύεται και να περιορίζεται στις προσωπικές πληροφορίες που γνωστοποιεί απευθείας το υποκείμενο των δεδομένων, π.χ., σε ένα ηλεκτρονικό έντυπο.

Ως ορθή πρακτική, οι υπεύθυνοι επεξεργασίας θα πρέπει να αναπτύξουν τα μέσα που θα συμβάλλουν στην ανταπόκριση σε αιτήματα φορητότητας δεδομένων, όπως εργαλεία καταφόρτωσης (download) και διεπαφές προγραμματισμού εφαρμογών (API). Θα πρέπει να εγγυώνται ότι τα δεδομένα προσωπικού χαρακτήρα διαβιβάζονται σε δομημένο, κοινώς χρησιμοποιούμενο και αναγνώσιμο από μηχανήματα μορφότυπο, και θα πρέπει να ενθαρρύνονται να διασφαλίζουν τη διαλειτουργικότητα του μορφοτύπου δεδομένων που παρέχεται κατά την υποβολή αιτήματος φορητότητας δεδομένων.

Η γνώμη συνδράμει επίσης τους υπευθύνους επεξεργασίας να κατανοήσουν σαφώς τις αντίστοιχες υποχρεώσεις τους και συνιστά βέλτιστες πρακτικές και εργαλεία που συμβάλλουν στη συμμόρφωση με το δικαίωμα στη φορητότητα των δεδομένων. Τέλος, η γνώμη συνιστά στα ενδιαφερόμενα μέρη του κλάδου και στους εμπορικούς φορείς να συνεργαστούν με σκοπό τη δημιουργία διαλειτουργικών προτύπων και μορφοτύπων με στόχο τη συμμόρφωση με τις απαιτήσεις του δικαιώματος στη φορητότητα των δεδομένων.

I. Εισαγωγή

Το άρθρο 20 του γενικού κανονισμού για την προστασία των δεδομένων (ΓΚΠΔ) θεσπίζει ένα νέο δικαίωμα στη φορητότητα των δεδομένων. Το εν λόγω δικαίωμα παρέχει στα υποκείμενα των δεδομένων τη δυνατότητα να λαμβάνουν τα δεδομένα προσωπικού χαρακτήρα που έχουν παράσχει σε υπεύθυνο επεξεργασίας, σε δομημένο, κοινώς χρησιμοποιούμενο και αναγνώσιμο από μηχανήματα μορφότυπο, καθώς και το δικαίωμα να διαβιβάζουν τα εν λόγω δεδομένα σε άλλον υπεύθυνο επεξεργασίας χωρίς αντίρρηση. Το δικαίωμα, το οποίο εφαρμόζεται υπό την αίρεση ορισμένων προϋποθέσεων, αυξάνει τις δυνατότητες επιλογής των χρηστών, τον βαθμό ελέγχου των χρηστών και τη δύναμη των χρηστών.

Τα πρόσωπα που κάνουν χρήση του δικαιώματος πρόσβασης βάσει της οδηγίας 95/46/ΕΚ για την προστασία των δεδομένων περιορίζονταν από τον μορφότυπο που επέλεγε ο υπεύθυνος επεξεργασίας κατά την παροχή των ζητούμενων πληροφοριών. Το νέο δικαίωμα στη φορητότητα των δεδομένων έχει ως στόχο να προσφέρει περισσότερες δυνατότητες στους χρήστες σε σχέση με τα δεδομένα προσωπικού χαρακτήρα τους, καθώς διευκολύνει την ικανότητά τους να διακινούν, να αντιγράφουν ή να διαβιβάζουν εύκολα δεδομένα προσωπικού χαρακτήρα από ένα περιβάλλον ΤΠ σε άλλο (στα δικά τους συστήματα, σε συστήματα έμπιστων τρίτων ή στα συστήματα νέων υπευθύνων επεξεργασίας).

Επαναβεβαιώνοντας τα προσωπικά δικαιώματα και τον έλεγχο των προσώπων επί των δεδομένων προσωπικού χαρακτήρα που τα αφορούν, η φορητότητα των δεδομένων αποτελεί επίσης ευκαιρία για «επανεξισορρόπηση» της σχέσης ανάμεσα στα υποκείμενα των δεδομένων και στους υπευθύνους επεξεργασίας1.

Αν και το δικαίωμα στη φορητότητα των δεδομένων προσωπικού χαρακτήρα ενδέχεται επίσης να ενισχύει τον ανταγωνισμό μεταξύ των υπηρεσιών (εφόσον διευκολύνει την αλλαγή παρόχων υπηρεσιών), ο ΓΚΠΔ ρυθμίζει τα δεδομένα προσωπικού χαρακτήρα και όχι τον ανταγωνισμό. Πιο συγκεκριμένα, το άρθρο 20 δεν περιορίζει τα φορητά δεδομένα σε εκείνα που είναι αναγκαία ή χρήσιμα για την αλλαγή παρόχων υπηρεσιών2.

Παρά το γεγονός ότι η φορητότητα είναι ένα νέο δικαίωμα, υπάρχουν ήδη ή βρίσκονται υπό συζήτηση και άλλα είδη φορητότητας σε άλλα πεδία της νομοθεσίας (π.χ. στα πλαίσια της καταγγελίας συμβάσεων, της περιαγωγής υπηρεσιών επικοινωνίας και της διασυνοριακής πρόσβασης σε υπηρεσίες3). Ενδέχεται να προκύψουν συνέργειες ή και οφέλη για τα πρόσωπα μεταξύ των διαφόρων ειδών φορητότητας εάν παρέχονται βάσει συνδυασμένης προσέγγισης, παρά το γεγονός ότι οι αναλογίες πρέπει να αντιμετωπίζονται με προσοχή.

Η παρούσα γνώμη παρέχει κατευθύνσεις στους υπευθύνους επεξεργασίας προκειμένου να επικαιροποιήσουν τις πρακτικές, τις διαδικασίες και τις πολιτικές τους, και αποσαφηνίζει το νόημα της φορητότητας των δεδομένων προκειμένου να δώσει στα υποκείμενα των δεδομένων τη δυνατότητα να χρησιμοποιήσουν αποτελεσματικά το νέο δικαίωμά τους.

II. Ποια είναι τα βασικά στοιχεία της φορητότητας των δεδομένων;

Ο ΓΚΠΔ ορίζει το δικαίωμα στη φορητότητα των δεδομένων στο άρθρο 20 παράγραφος 1, ως εξής:

Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει τα δεδομένα προσωπικού χαρακτήρα που το αφορούν και τα οποία έχει παράσχει σε υπεύθυνο επεξεργασίας, σε δομημένο, κοινώς χρησιμοποιούμενο και αναγνώσιμο από μηχανήματα μορφότυπο, καθώς και το δικαίωμα να διαβιβάζει τα εν λόγω δεδομένα σε άλλον υπεύθυνο επεξεργασίας χωρίς αντίρρηση από τον υπεύθυνο επεξεργασίας στον οποίο παρασχέθηκαν τα δεδομένα προσωπικού χαρακτήρα [...].

Δικαίωμα λήψης δεδομένων προσωπικού χαρακτήρα

Κατά πρώτον, η φορητότητα δεδομένων είναι το δικαίωμα του υποκειμένου των δεδομένων να λαμβάνει ένα υποσύνολο των δεδομένων προσωπικού χαρακτήρα που το αφορούν και έχουν υποβληθεί σε επεξεργασία από υπεύθυνο επεξεργασίας, και να αποθηκεύει τα δεδομένα αυτά για περαιτέρω προσωπική χρήση. Η αποθήκευση μπορεί να γίνεται σε ιδιωτική συσκευή ή ιδιωτικό υπολογιστικό σύννεφο, χωρίς, κατ’ ανάγκη, διαβίβαση των δεδομένων σε άλλο υπεύθυνο επεξεργασίας.

Υπό αυτή την έννοια, η φορητότητα των δεδομένων συμπληρώνει το δικαίωμα πρόσβασης. Μία ιδιαιτερότητα της φορητότητας των δεδομένων έγκειται στο γεγονός ότι προσφέρει στα υποκείμενα των δεδομένων έναν εύκολο τρόπο για τη διαχείριση και την εκ νέου χρήση των δεδομένων προσωπικού χαρακτήρα. Τα δεδομένα πρέπει να λαμβάνονται «σε δομημένο, κοινώς χρησιμοποιούμενο και αναγνώσιμο από μηχανήματα μορφότυπο». Π.χ., ένα υποκείμενο των δεδομένων μπορεί να ενδιαφέρεται για την ανάκτηση του καταλόγου μουσικών κομματιών (playlist) που ακούει το τελευταίο διάστημα (ή ενός ιστορικού των κομματιών που έχει ακούσει) από μια υπηρεσία μουσικής συνεχούς ροής (music streaming) προκειμένου να διαπιστώσει πόσες φορές άκουσε συγκεκριμένα κομμάτια, ή να ελέγξει τι είδους μουσική επιθυμεί να αγοράσει η να ακούσει σε άλλη πλατφόρμα. Ομοίως, μπορεί ακόμη να επιθυμεί να ανακτήσει τον κατάλογο επαφών του από την εφαρμογή ιστοταχυδρομείου (webmail) που χρησιμοποιεί, π.χ., με σκοπό την κατάρτιση του καταλόγου των καλεσμένων σε ένα γάμο ή την ενημέρωση σχετικά με αγορές που πραγματοποίησε μέσω διαφόρων καρτών επιβράβευσης πελάτη, ή τον υπολογισμό του ατομικού του αποτυπώματος άνθρακα4.

Δικαίωμα διαβίβασης δεδομένων προσωπικού χαρακτήρα από έναν υπεύθυνο επεξεργασίας σε άλλον υπεύθυνο επεξεργασίας

Δεύτερον, το άρθρο 20 παράγραφος 1 εκχωρεί στα υποκείμενα των δεδομένων το δικαίωμα διαβίβασης δεδομένων προσωπικού χαρακτήρα από έναν υπεύθυνο επεξεργασίας σε άλλον υπεύθυνο επεξεργασίας «χωρίς αντίρρηση». Δεδομένα μπορούν επίσης να διαβιβάζονται απευθείας από έναν υπεύθυνο επεξεργασίας σε άλλον κατόπιν αιτήματος του υποκειμένου των δεδομένων και εφόσον αυτό είναι τεχνικά εφικτό (άρθρο 20 παράγραφος 2). Ως προς αυτό, η αιτιολογική σκέψη 68 ενθαρρύνει τους υπευθύνους επεξεργασίας να αναπτύσσουν διαλειτουργικούς μορφοτύπους οι οποίοι παρέχουν δυνατότητα φορητότητας των δεδομένων5 χωρίς, ωστόσο, να δημιουργεί υποχρέωση των υπευθύνων επεξεργασίας να υιοθετούν ή να διατηρούν τεχνικώς συμβατά συστήματα επεξεργασίας6. Ο ΓΚΠΔ απαγορεύει, ωστόσο, στους υπευθύνους επεξεργασίας να δημιουργούν εμπόδια στη διαβίβαση.

Ουσιαστικά, αυτό το στοιχείο της φορητότητας των δεδομένων παρέχει στα υποκείμενα των δεδομένων την ικανότητα όχι μόνο να λαμβάνουν και να χρησιμοποιούν περαιτέρω, αλλά και να διαβιβάζουν τα δεδομένα που έχουν παράσχει σε άλλο πάροχο υπηρεσιών (είτε στον ίδιο είτε σε άλλο επιχειρηματικό κλάδο). Εκτός από την παροχή μεγαλύτερης δύναμης στον καταναλωτή με την αποφυγή του «εγκλωβισμού», προσδοκάται ότι το δικαίωμα στη φορητότητα των δεδομένων θα ενισχύσει τις ευκαιρίες για καινοτομία και ανταλλαγή των δεδομένων προσωπικού χαρακτήρα μεταξύ των υπευθύνων επεξεργασίας με ασφάλεια, υπό τον έλεγχο του υποκειμένου των δεδομένων7. Η φορητότητα των δεδομένων μπορεί να προωθήσει την ελεγχόμενη και περιορισμένη ανταλλαγή από χρήστες δεδομένων προσωπικού χαρακτήρα μεταξύ οργανισμών και, ως εκ τούτου, να εμπλουτίσει τις υπηρεσίες και την εμπειρία του πελάτη8. Η φορητότητα των δεδομένων μπορεί να διευκολύνει τη διαβίβαση και περαιτέρω χρήση δεδομένων προσωπικού χαρακτήρα που αφορούν τους χρήστες μεταξύ των διαφόρων υπηρεσιών για τις οποίες αυτοί ενδιαφέρονται.

Ευθύνη επεξεργασίας

Η φορητότητα των δεδομένων εγγυάται το δικαίωμα λήψης και επεξεργασίας δεδομένων προσωπικού χαρακτήρα, σύμφωνα με τις επιθυμίες του υποκειμένου των δεδομένων9.

Οι υπεύθυνοι επεξεργασίας που διεκπεραιώνουν αιτήματα φορητότητας δεδομένων, υπό τους όρους του άρθρου 20, δεν φέρουν ευθύνη για την επεξεργασία που έχει εκτελεστεί από το υποκείμενο των δεδομένων ή από άλλη εταιρεία που λαμβάνει δεδομένα προσωπικού χαρακτήρα. Ενεργούν εξ ονόματος του υποκειμένου των δεδομένων, συμπεριλαμβανομένης της περίπτωσης κατά την οποία τα δεδομένα προσωπικού χαρακτήρα διαβιβάζονται απευθείας σε άλλον υπεύθυνο επεξεργασίας. Από αυτή την άποψη, ο υπεύθυνος επεξεργασίας δεν φέρει ευθύνη για τη συμμόρφωση του λαμβάνοντα υπευθύνου επεξεργασίας με τη νομοθεσία για την προστασία των δεδομένων, δεδομένου ότι ο αποστέλλων υπεύθυνος επεξεργασίας δεν επιλέγει τον αποδέκτη. Την ίδια στιγμή, οι υπεύθυνοι επεξεργασίας θα πρέπει να δημιουργήσουν δικλείδες ασφαλείας προκειμένου να είναι βέβαιο ότι ενεργούν πράγματι εξ ονόματος του υποκειμένου των δεδομένων. Για παράδειγμα, μπορούν να καθιερώσουν διαδικασίες ώστε να διασφαλίζεται ότι το είδος των διαβιβαζόμενων δεδομένων προσωπικού χαρακτήρα είναι πράγματι εκείνο που επιθυμεί να διαβιβάσει το υποκείμενο των δεδομένων. Αυτό μπορεί να επιτευχθεί λαμβάνοντας επιβεβαίωση από το υποκείμενο των δεδομένων είτε πριν από τη διαβίβαση είτε νωρίτερα, όταν δίδεται η αρχική συγκατάθεση για την επεξεργασία ή κατά την οριστικοποίηση της σύμβασης.

Οι υπεύθυνοι επεξεργασίας που ανταποκρίνονται σε αίτημα φορητότητας δεδομένων δεν έχουν συγκεκριμένη υποχρέωση να ελέγχουν και να επαληθεύουν την ποιότητα των δεδομένων προτού τα διαβιβάσουν. Βέβαια, τα εν λόγω δεδομένα θα πρέπει να είναι ήδη ακριβή και επικαιροποιημένα, σύμφωνα με τις αρχές του άρθρου 5 παράγραφος 1 του ΓΚΠΔ. Επιπροσθέτως, η φορητότητα των δεδομένων δεν επιβάλλει στον υπεύθυνο επεξεργασίας την υποχρέωση να διατηρεί τα δεδομένα προσωπικού χαρακτήρα για μεγαλύτερο διάστημα από το αναγκαίο ή πέραν μιας καθορισμένης περιόδου διατήρησης10. Εξίσου σημαντικό, δεν υπάρχει πρόσθετη υποχρέωση για διατήρηση των δεδομένων πέραν των κατά τα άλλα ισχυουσών περιόδων διατήρησης, με μοναδικό σκοπό τη διεκπεραίωση πιθανών μελλοντικών αιτημάτων φορητότητας δεδομένων.

Όταν τα αιτούμενα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία από εκτελούντα την επεξεργασία, η σύμβαση που συνάπτεται βάσει του άρθρου 28 του ΓΚΠΔ πρέπει να περιλαμβάνει την υποχρέωση συνδρομής «[του υπευθύνου] επεξεργασίας με τα κατάλληλα τεχνικά και οργανωτικά μέτρα, (...) για (...) να απαντά σε αιτήματα για άσκηση των (...) δικαιωμάτων του υποκειμένου των δεδομένων». Ο υπεύθυνος επεξεργασίας θα πρέπει, συνεπώς, να εφαρμόζει ειδικές διαδικασίες σε συνεργασία με τους εκτελούντες την επεξεργασία προκειμένου να απαντά στα αιτήματα φορητότητας δεδομένων. Σε περίπτωση κοινής ευθύνης επεξεργασίας, οι αρμοδιότητες όσον αφορά τη διεκπεραίωση των αιτημάτων φορητότητας δεδομένων θα πρέπει να κατανέμονται με σαφήνεια μεταξύ των υπευθύνων επεξεργασίας βάσει σύμβασης.

Επίσης, ο λαμβάνων υπεύθυνος επεξεργασίας11 έχει ευθύνη να μεριμνά ώστε τα παρεχόμενα φορητά δεδομένα να είναι συναφή και όχι υπερβολικά σε σχέση με τη νέα επεξεργασία δεδομένων. Για παράδειγμα, στην περίπτωση αιτήματος φορητότητας δεδομένων, το οποίο απευθύνεται από το υποκείμενο των δεδομένων σε υπηρεσία ιστοταχυδρομείου (webmail) για τη λήψη μηνυμάτων ηλεκτρονικού ταχυδρομείου και την αποστολή τους σε ασφαλή πλατφόρμα αρχειοθέτησης, ο νέος υπεύθυνος επεξεργασίας δεν χρειάζεται να επεξεργαστεί τα στοιχεία επικοινωνίας των επαφών του υποκειμένου των δεδομένων. Αν οι πληροφορίες αυτές δεν είναι σχετικές με τον σκοπό της νέας επεξεργασίας, δεν θα πρέπει να διατηρούνται ούτε να υποβάλλονται σε επεξεργασία. Σε κάθε περίπτωση, οι λαμβάνοντες υπεύθυνοι επεξεργασίας δεν είναι υποχρεωμένοι να αποδέχονται και να επεξεργάζονται δεδομένα προσωπικού χαρακτήρα τα οποία διαβιβάζονται μετά από αίτημα φορητότητας δεδομένων. Ομοίως, όταν ένα υποκείμενο δεδομένων αιτείται τη διαβίβαση στοιχείων των τραπεζικών συναλλαγών του σε υπηρεσία που παρέχει συνδρομή στη διαχείριση του προϋπολογισμού του, ο λαμβάνων υπεύθυνος επεξεργασίας δεν χρειάζεται να αποδεχθεί όλα τα δεδομένα ή να διατηρήσει όλες τις λεπτομέρειες των συναλλαγών αφού θα έχουν επισημανθεί για τους σκοπούς της νέας υπηρεσίας. Με άλλα λόγια, τα δεδομένα που γίνονται δεκτά και διατηρούνται πρέπει να είναι μόνον εκείνα που είναι αναγκαία και συναφή για την υπηρεσία που παρέχεται από τον λαμβάνοντα υπεύθυνο επεξεργασίας.

O «λαμβάνων» οργανισμός γίνεται ο νέος υπεύθυνος επεξεργασίας για εν λόγω δεδομένα προσωπικού χαρακτήρα και πρέπει να τηρεί τις αρχές του άρθρου 5 του ΓΚΠΔ. Συνεπώς, ο «νέος» λαμβάνων υπεύθυνος επεξεργασίας πρέπει να δηλώνει με σαφή και άμεσο τρόπο τον σκοπό της νέας επεξεργασίας πριν από οποιοδήποτε αίτημα διαβίβασης των φορητών δεδομένων, σύμφωνα με τις οδηγίες περί διαφάνειας όπως ορίζονται στο άρθρο 1412. Όσον αφορά οποιαδήποτε άλλη επεξεργασία δεδομένων η οποία εκτελείται υπʼ ευθύνη του, ο υπεύθυνος επεξεργασίας πρέπει να εφαρμόζει τις αρχές του άρθρου 5, όπως η νομιμότητα, αντικειμενικότητα και διαφάνεια, ο περιορισμός του σκοπού, η ελαχιστοποίηση των δεδομένων, η ακρίβεια, η ακεραιότητα και η εμπιστευτικότητα, ο περιορισμός της περιόδου αποθήκευσης και η λογοδοσία13.

Οι υπεύθυνοι επεξεργασίας που έχουν στην κατοχή τους δεδομένα προσωπικού χαρακτήρα πρέπει να είναι διατεθειμένοι να διευκολύνουν το υποκείμενο των δεδομένων στην άσκηση του δικαιώματός του στη φορητότητα των δεδομένων. Οι υπεύθυνοι επεξεργασίας μπορούν επίσης να επιλέξουν να αποδεχθούν τα δεδομένα από ένα υποκείμενο δεδομένων, αλλά δεν είναι υποχρεωμένοι να το κάνουν.

- Η φορητότητα των δεδομένων σε σχέση με άλλα δικαιώματα των υποκειμένων δεδομένων

Όταν ένα πρόσωπο ασκεί το δικαίωμά του στη φορητότητα των δεδομένων, αυτό γίνεται με την επιφύλαξη κάθε άλλου δικαιώματός του (όπως άλλα δικαιώματα βάσει του ΓΚΠΔ). Ένα υποκείμενο των δεδομένων μπορεί να συνεχίσει να χρησιμοποιεί τις υπηρεσίες του υπευθύνου επεξεργασίας και να επωφελείται από αυτές ακόμη και μετά από μια πράξη φορητότητας δεδομένων. Η φορητότητα των δεδομένων δεν συνεπάγεται αυτομάτως διαγραφή των δεδομένων14 από τα συστήματα του υπευθύνου επεξεργασίας, και δεν επηρεάζει την αρχική περίοδο διατήρησης που ισχύει για τα διαβιβαζόμενα δεδομένα. Το υποκείμενο των δεδομένων μπορεί να ασκεί τα δικαιώματά του για όσο διάστημα ο υπεύθυνος επεξεργασίας συνεχίζει να επεξεργάζεται τα δεδομένα.

Κατά τον ίδιο τρόπο, αν το υποκείμενο των δεδομένων επιθυμεί να ασκήσει το δικαίωμά διαγραφής το οποίο έχει («δικαίωμα στη λήθη» βάσει του άρθρου 17), η φορητότητα των δεδομένων δεν μπορεί να χρησιμοποιείται από τον υπεύθυνο επεξεργασίας ως δικαιολογία για την καθυστέρηση ή την άρνηση της διαγραφής.

Αν ένα υποκείμενο των δεδομένων διαπιστώσει ότι τα δεδομένα προσωπικού χαρακτήρα τα οποία αιτήθηκε στο πλαίσιο του δικαιώματός του στη φορητότητα δεδομένων δεν αντιστοιχούν απολύτως στο αίτημά του, κάθε περαιτέρω αίτημα για δεδομένα προσωπικού χαρακτήρα βάσει δικαιώματος πρόσβασης πρέπει να ικανοποιείται πλήρως, σύμφωνα με το άρθρο 15 του ΓΚΠΔ.

Επιπροσθέτως, όταν ειδικός νόμος ευρωπαϊκού κράτους ή κράτους μέλους σε άλλο τομέα προβλέπει επίσης κάποια μορφή φορητότητας των οικείων δεδομένων, οι διατάξεις του εν λόγω ειδικού νόμου πρέπει επίσης να λαμβάνονται υπόψη κατά την ικανοποίηση αιτήματος φορητότητας δεδομένων βάσει του ΓΚΠΔ. Κατά πρώτον, αν προκύπτει σαφώς από το αίτημα που έχει υποβληθεί από το υποκείμενο των δεδομένων ότι η πρόθεσή του δεν είναι να ασκήσει τα δικαιώματά του βάσει του ΓΚΠΔ, αλλά μάλλον βάσει της τομεακής νομοθεσίας και μόνον, οι διατάξεις του ΓΚΠΔ για τη φορητότητα των δεδομένων δεν έχουν εφαρμογή στο συγκεκριμένο αίτημα15. Αν, από την άλλη, το αίτημα άπτεται της φορητότητας βάσει του ΓΚΠΔ, η ύπαρξη της εν λόγω ειδικής νομοθεσίας δεν υπερισχύει της γενικής εφαρμογής της αρχής της φορητότητας των δεδομένων για όλους τους υπευθύνους επεξεργασίας, όπως ορίζεται στον ΓΚΠΔ. Πρέπει, αντί αυτού, να αξιολογείται, χωριστά για κάθε περίπτωση, αν και με ποιον τρόπο η εν λόγω ειδική νομοθεσία ενδέχεται να επηρεάσει το δικαίωμα στη φορητότητα των δεδομένων.

III. Πότε έχει εφαρμογή η φορητότητα των δεδομένων;

Ποιες πράξεις επεξεργασίας καλύπτονται από το δικαίωμα στη φορητότητα των δεδομένων;

Η συμμόρφωση με τον ΓΚΠΔ επιβάλλει στους υπευθύνους επεξεργασίας την ύπαρξη σαφούς νομικής βάσης για την επεξεργασία δεδομένων προσωπικού χαρακτήρα.

Σύμφωνα με το άρθρο 20 παράγραφος 1 στοιχείο α) του ΓΚΠΔ, για να εμπίπτουν στο πεδίο εφαρμογής της φορητότητας δεδομένων, οι πράξεις επεξεργασίας πρέπει να βασίζονται:

• είτε στη συγκατάθεση του υποκειμένου των δεδομένων [σύμφωνα με το άρθρο 6 παράγραφος 1 στοιχείο α) ή σύμφωνα με το άρθρο 9 παράγραφος 2 στοιχείο α) όταν πρόκειται για ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα]·
• είτε σε σύμβαση στην οποία το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος σύμφωνα με το άρθρο 6 παράγραφος 1 στοιχείο β).

Επί παραδείγματι, οι τίτλοι των βιβλίων που αγόρασε ένα πρόσωπο από διαδικτυακό βιβλιοπωλείο, ή τα τραγούδια που άκουσε μέσω υπηρεσίας μουσικής συνεχούς ροής μουσικής αποτελούν παραδείγματα δεδομένων προσωπικού χαρακτήρα που σε γενικές γραμμές εμπίπτουν στο πεδίο εφαρμογής της φορητότητας δεδομένων, επειδή υποβάλλονται σε επεξεργασία στο πλαίσιο της εκτέλεσης σύμβασης στην οποία το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος.

Ο ΓΚΠΔ δεν θεσπίζει γενικό δικαίωμα στη φορητότητα των δεδομένων για τις περιπτώσεις στις οποίες η επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν βασίζεται σε συγκατάθεση ή σε σύμβαση16. Για παράδειγμα, τα χρηματοπιστωτικά ιδρύματα δεν υποχρεούνται να απαντούν σε αιτήματα φορητότητας δεδομένων σχετικά με δεδομένα προσωπικού χαρακτήρα τα οποία υποβάλλονται σε επεξεργασία στο πλαίσιο των υποχρεώσεών τους για αποτροπή και εντοπισμό της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και άλλων οικονομικών εγκλημάτων· κατά τον ίδιο τρόπο, η φορητότητα των δεδομένων δεν καλύπτει τα στοιχεία επαγγελματικών επαφών που υποβάλλονται σε επεξεργασία στο πλαίσιο σχέσεων μεταξύ επιχειρήσεων στις περιπτώσεις κατά τις οποίες η επεξεργασία δεν βασίζεται ούτε στη συγκατάθεση του υποκειμένου των δεδομένων ούτε σε σύμβαση στην οποία το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος.

Όσον αφορά τα δεδομένα των υπαλλήλων, το δικαίωμα στη φορητότητα των δεδομένων ισχύει συνήθως μόνον αν η επεξεργασία βασίζεται σε σύμβαση στην οποία το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος. Σε πολλές περιπτώσεις, δεν θεωρείται ότι η συγκατάθεση δίνεται ελεύθερα σε ένα τέτοιο πλαίσιο, λόγω της ανισορροπίας της ισχύος μεταξύ του εργοδότη και του υπαλλήλου17. Αντί για αυτό, ορισμένες πράξεις επεξεργασίας στον τομέα των ανθρώπινων πόρων έχουν ως νομική βάση το έννομο συμφέρον ή είναι αναγκαίες για τη συμμόρφωση με ειδικές εκ του νόμου υποχρεώσεις στον τομέα της απασχόλησης. Στην πράξη, το δικαίωμα στη φορητότητα των δεδομένων στον τομέα των ανθρώπινων πόρων θα έχει χωρίς αμφιβολία εφαρμογή σε ορισμένες πράξεις επεξεργασίας (όπως οι υπηρεσίες καταβολής μισθών και αποζημιώσεων, οι εσωτερικές διαδικασίες πλήρωσης θέσεων) αλλά σε πολλές άλλες περιστάσεις θα απαιτείται κατά περίπτωση προσέγγιση προκειμένου να εξακριβωθεί αν ικανοποιούνται όλες οι προϋποθέσεις που ισχύουν για το δικαίωμα στη φορητότητα των δεδομένων.

Τέλος, το δικαίωμα στη φορητότητα των δεδομένων ισχύει μόνον αν η επεξεργασία των δεδομένων «διενεργείται με αυτοματοποιημένα μέσα», και συνεπώς δεν καλύπτει τα περισσότερα έντυπα αρχεία.

Ποια δεδομένα προσωπικού χαρακτήρα πρέπει να περιλαμβάνονται;

Σύμφωνα με το άρθρο 20 παράγραφος 1, για να εμπίπτουν στο πεδίο εφαρμογής του δικαιώματος στη φορητότητα των δεδομένων, τα δεδομένα πρέπει να είναι:

• δεδομένα προσωπικού χαρακτήρα που αφορούν το υποκείμενο των δεδομένων, και
• τα οποία το υποκείμενο των δεδομένων έχει παράσχει σε υπεύθυνο επεξεργασίας.

Το άρθρο 20 παράγραφος 4 ορίζει επίσης ότι η συμμόρφωση με το εν λόγω δικαίωμα δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων.

Πρώτη προϋπόθεση: δεδομένα προσωπικού χαρακτήρα που αφορούν το υποκείμενο των δεδομένων

Μόνο δεδομένα προσωπικού χαρακτήρα μπορούν να εμπίπτουν στο πεδίο ενός αιτήματος φορητότητας δεδομένων. Κατά συνέπεια, δεδομένα που είναι ανώνυμα18 ή δεν αφορούν το υποκείμενο των δεδομένων, δεν εμπίπτουν στο εν λόγω πεδίο. Ωστόσο, ψευδώνυμα δεδομένα τα οποία μπορούν να συνδεθούν αδιαμφισβήτητα με υποκείμενο των δεδομένων (π.χ. εάν το εν λόγω πρόσωπο παράσχει το αντίστοιχο αναγνωριστικό στοιχείο ταυτότητας, πρβλ. άρθρο 11 παράγραφος 2) εμπίπτουν στο πεδίο εφαρμογής.

Σε πολλές περιπτώσεις, οι υπεύθυνοι επεξεργασίας επεξεργάζονται πληροφορίες που περιέχουν δεδομένα προσωπικού χαρακτήρα περισσότερων υποκειμένων δεδομένων. Σε μια τέτοια περίπτωση, οι υπεύθυνοι επεξεργασίας δεν θα πρέπει να ερμηνεύουν υπερβολικά στενά τη διατύπωση «δεδομένα προσωπικού χαρακτήρα που αφορούν το υποκείμενο των δεδομένων». Για παράδειγμα, τα τηλεφωνικά αρχεία, τα αρχεία διαπροσωπικής ανταλλαγής μηνυμάτων (interpersonal messaging) ή τα αρχεία φωνητικών υπηρεσιών μέσω πρωτοκόλλου ίντερνετ (VoIP) μπορεί να περιλαμβάνουν (στο ιστορικό λογαριασμού του συνδρομητή) στοιχεία τρίτων που συμμετέχουν στις εισερχόμενες ή τις εξερχόμενες κλήσεις. Παρά το γεγονός ότι, ως εξ αυτού, τα αρχεία θα περιέχουν δεδομένα προσωπικού χαρακτήρα που αφορούν πολλά πρόσωπα, οι συνδρομητές πρέπει να μπορούν να έχουν πρόσβαση στα αρχεία αυτά μετά από αιτήματα φορητότητας δεδομένων, επειδή τα αρχεία αφορούν (επίσης) τα υποκείμενα των δεδομένων. Ωστόσο, όταν τα εν λόγω αρχεία διαβιβαστούν ακολούθως σε νέο υπεύθυνο επεξεργασίας, ο εν λόγω νέος υπεύθυνος επεξεργασίας δεν θα πρέπει να τα υποβάλει σε επεξεργασία για κανένα σκοπό ο οποίος θα επηρέαζε δυσμενώς τα δικαιώματα και τις ελευθερίες των τρίτων προσώπων (βλέπε κατωτέρω, τρίτη προϋπόθεση).

Δεύτερη προϋπόθεση: δεδομένα που έχει παράσχει το υποκείμενο των δεδομένων

Η δεύτερη προϋπόθεση περιορίζει το πεδίο εφαρμογής στα δεδομένα «που παρέχει» το υποκείμενο των δεδομένων.

Υπάρχουν πολλά παραδείγματα δεδομένων προσωπικού χαρακτήρα, «που παρέχει» συνειδητά και ενεργητικά το υποκείμενο των δεδομένων όπως στοιχεία λογαριασμού (π.χ. διεύθυνση αλληλογραφίας, όνομα χρήστη, ηλικία) που υποβάλλονται μέσω ηλεκτρονικών εντύπων. Ωστόσο, τα δεδομένα «που παρέχει» το υποκείμενο των δεδομένων μπορεί επίσης να προέρχονται από την παρατήρηση της δραστηριότητάς του. Ως εκ τούτου, η ΟΕ29 θεωρεί ότι για να αποδοθεί στο νέο αυτό δικαίωμα η πλήρης αξία του, η φράση «που παρέχει» πρέπει επίσης να περιλαμβάνει τα δεδομένα προσωπικού χαρακτήρα που παρατηρούνται από τις δραστηριότητες των χρηστών όπως, π.χ., μη επεξεργασμένα δεδομένα που υποβάλλονται σε επεξεργασία από έξυπνο μετρητή ή άλλα είδη συνδεδεμένων αντικειμένων19, αρχεία καταγραφής δραστηριοτήτων, το ιστορικό χρήσης δικτυακών τόπων ή το ιστορικό αναζητήσεων.

Σε αυτή τη δεύτερη κατηγορία δεδομένων δεν περιλαμβάνονται δεδομένα που δημιουργούνται από τον υπεύθυνο επεξεργασίας (με βάση τα δεδομένα που παρατηρούνται ή παρέχονται απευθείας) όπως, π.χ., προφίλ χρήστη το οποίο δημιουργείται με ανάλυση των συλλεγόμενων μη επεξεργασμένων δεδομένων του έξυπνου μετρητή.

Μπορεί να γίνει διάκριση μεταξύ των διαφόρων κατηγοριών δεδομένων ανάλογα με την προέλευσή τους, προκειμένου να καθοριστεί αν καλύπτονται από το δικαίωμα στη φορητότητα των δεδομένων. Οι ακόλουθες κατηγορίες μπορούν να χαρακτηριστούν ως «δεδομένα που παρέχει το υποκείμενο των δεδομένων»:

• Δεδομένα προσωπικού χαρακτήρα «που παρέχει» συνειδητά και ενεργητικά το υποκείμενο των δεδομένων (π.χ. διεύθυνση αλληλογραφίας, όνομα χρήστη, ηλικία, κ.λπ.)
• Παρατηρούμενα δεδομένα που παρέχει το υποκείμενο των δεδομένων μέσα από τη χρήση της υπηρεσίας ή της συσκευής. Σε αυτά μπορεί να περιλαμβάνονται, παραδείγματος χάριν, το ιστορικό αναζητήσεων ενός προσώπου, δεδομένα κίνησης και δεδομένα θέσης. Μπορεί επίσης να περιλαμβάνονται άλλα μη επεξεργασμένα δεδομένα, όπως ο καρδιακός παλμός που παρακολουθείται από φορέσιμη συσκευή.

Αντιθέτως, τα συναγόμενα και τα παράγωγα δεδομένα δημιουργούνται από τον υπεύθυνο επεξεργασίας με βάση τα δεδομένα «που παρέχει το υποκείμενο των δεδομένων». Για παράδειγμα, το αποτέλεσμα μιας εκτίμησης σχετικά με την υγεία ενός χρήστη ή το προφίλ που δημιουργείται στο πλαίσιο της διαχείρισης κινδύνων και χρηματοπιστωτικών κανονισμών (π.χ. για τη βαθμολόγηση της πιστοληπτικής ικανότητας ή τη συμμόρφωση με τους κανόνες καταπολέμησης της νομιμοποίησης εσόδων από παράνομες δραστηριότητες) δεν μπορούν καθαυτές να θεωρηθούν δεδομένα «που παρέχει» το υποκείμενο των δεδομένων. Παρόλο που τα εν λόγω δεδομένα μπορεί να αποτελούν μέρος προφίλ το οποίο διατηρεί ο υπεύθυνος επεξεργασίας και συνάγονται ή παράγονται από την ανάλυση των δεδομένων που παρέχει το υποκείμενο των δεδομένων (π.χ. μέσω των δραστηριοτήτων του), συνήθως δεν θεωρείται ότι τα «παρέχει το υποκείμενο των δεδομένων» και, ως εκ τούτου, δεν εμπίπτουν σε αυτό το νέο δικαίωμα20.

Γενικά, με δεδομένους τους στόχους πολιτικής του δικαιώματος στη φορητότητα των δεδομένων, η διατύπωση «που παρέχει το υποκείμενο των δεδομένων» πρέπει να ερμηνεύεται διασταλτικά και θα πρέπει να αποκλείει τα «συναγόμενα δεδομένα» και τα «παράγωγα δεδομένα», στα οποία περιλαμβάνονται τα δεδομένα προσωπικού χαρακτήρα που δημιουργούνται από πάροχο υπηρεσιών (π.χ. τα αλγοριθμικά αποτελέσματα). Ένας υπεύθυνος επεξεργασίας μπορεί να αποκλείσει αυτά τα συναγόμενα δεδομένα αλλά θα πρέπει να συμπεριλάβει όλα τα άλλα δεδομένα προσωπικού χαρακτήρα που παρέχει το υποκείμενο των δεδομένων με τεχνικά μέσα που παρέχει ο υπεύθυνος επεξεργασίας21.

Συνεπώς, η διατύπωση «που παρέχει» περιλαμβάνει δεδομένα προσωπικού χαρακτήρα που σχετίζονται με τη δραστηριότητα του υποκειμένου των δεδομένων ή προέρχονται από την παρατήρηση της συμπεριφοράς ενός ατόμου, αλλά δεν περιλαμβάνει δεδομένα που προκύπτουν από τη μετέπειτα ανάλυση της εν λόγω συμπεριφοράς. Απεναντίας, δεδομένα προσωπικού χαρακτήρα τα οποία δημιουργεί ο υπεύθυνος επεξεργασίας στο πλαίσιο της επεξεργασίας των δεδομένων, π.χ. μέσω διαδικασίας εξατομίκευσης ή σύστασης, ανά κατηγορία ή βάσει του προφίλ χρήστη, αποτελούν δεδομένα που παράγονται ή συνάγονται από τα δεδομένα προσωπικού χαρακτήρα που παρέχει το υποκείμενο των δεδομένων, και δεν καλύπτονται από το δικαίωμα στη φορητότητα των δεδομένων.

Τρίτη προϋπόθεση: το δικαίωμα στη φορητότητα των δεδομένων δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων

Σε σχέση με τα δεδομένα προσωπικού χαρακτήρα που αφορούν άλλα υποκείμενα δεδομένων:

Σκοπός της τρίτης προϋπόθεσης είναι να αποφεύγεται η ανάκτηση και διαβίβαση δεδομένων που περιέχουν τα δεδομένα προσωπικού χαρακτήρα άλλων (μη συναινούντων) υποκειμένων δεδομένων σε νέο υπεύθυνο επεξεργασίας, στις περιπτώσεις κατά τις οποίες τα εν λόγω δεδομένα είναι πιθανό να υποβληθούν σε επεξεργασία με τρόπο ο οποίος θα επηρέαζε δυσμενώς τα δικαιώματα και τις ελευθερίες των άλλων υποκειμένων δεδομένων (άρθρο 20 παράγραφος 4 του ΓΚΠΔ)22.

Δυσμενής επίπτωση θα θεωρούνταν, λόγου χάρη, αν η διαβίβαση των δεδομένων από έναν υπεύθυνο επεξεργασίας σε άλλο θα εμπόδιζε τρίτους να ασκήσουν τα δικαιώματά τους στο πλαίσιο του ΓΚΠΔ (όπως το δικαίωμα ενημέρωσης, πρόσβασης, κλπ.).

Το υποκείμενο των δεδομένων που κινεί τη διαδικασία διαβίβασης των δεδομένων του σε άλλο υπεύθυνο επεξεργασίας, είτε παρέχει τη συγκατάθεσή του στον νέο υπεύθυνο επεξεργασίας για την επεξεργασία είτε συνάπτει σύμβαση με τον εν λόγω υπεύθυνο επεξεργασίας. Όταν στο σύνολο δεδομένων περιλαμβάνονται δεδομένα προσωπικού χαρακτήρα τρίτων, πρέπει να προσδιορίζεται άλλη νομική βάση για την επεξεργασία. Για παράδειγμα, ο υπεύθυνος επεξεργασίας μπορεί να επικαλεστεί έννομο συμφέρον σύμφωνα με το άρθρο 6 παράγραφος 1 στοιχείο στ), ιδίως όταν σκοπός του υπευθύνου επεξεργασίας είναι η παροχή υπηρεσίας στο υποκείμενο των δεδομένων η οποία παρέχει στο υποκείμενο τη δυνατότητα να επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα στο πλαίσιο αποκλειστικά προσωπικής ή οικιακής δραστηριότητας. Οι πράξεις επεξεργασίας που κινούνται από το υποκείμενο των δεδομένων στο πλαίσιο προσωπικής δραστηριότητας και οι οποίες αφορούν και πιθανώς επηρεάζουν τρίτα πρόσωπα, παραμένουν υπό την ευθύνη του, στον βαθμό που η εν λόγω επεξεργασία δεν έχει αποφασιστεί, κατά κανένα τρόπο, από τον υπεύθυνο επεξεργασίας.

Για παράδειγμα, μια υπηρεσία ιστοταχυδρομείου μπορεί να παρέχει δυνατότητα δημιουργίας καταλόγου των επαφών, φίλων, συγγενών, μελών της οικογένειας και του ευρύτερου περιβάλλοντος ενός υποκειμένου δεδομένων. Εφόσον τα εν λόγω δεδομένα σχετίζονται με (και δημιουργούνται από) το ταυτοποιήσιμο πρόσωπο που επιθυμεί να ασκήσει το δικαίωμά του στη φορητότητα των δεδομένων, οι υπεύθυνοι επεξεργασίας πρέπει να διαβιβάζουν ολόκληρο τον κατάλογο των εισερχόμενων και των εξερχόμενων ηλεκτρονικών μηνυμάτων του εν λόγω υποκειμένου δεδομένων.

Κατά τον ίδιο τρόπο, ο τραπεζικός λογαριασμός ενός υποκειμένου δεδομένων μπορεί να περιέχει δεδομένα προσωπικού χαρακτήρα για τις συναλλαγές όχι μόνον του δικαιούχου του λογαριασμού αλλά και άλλων προσώπων (π.χ., αν έχουν μεταφερθεί χρηματικά ποσά στον δικαιούχο του λογαριασμού). Τα δικαιώματα και οι ελευθερίες αυτών των τρίτων δεν είναι πιθανό να επηρεάζονται δυσμενώς από τη διαβίβαση πληροφοριών του τραπεζικού λογαριασμού στον κάτοχο του τραπεζικού λογαριασμού μετά από αίτημα φορητότητας – υπό την προϋπόθεση ότι και στα δύο παραδείγματα τα δεδομένα χρησιμοποιούνται για τον ίδιο σκοπό (δηλαδή μια διεύθυνση επαφής που χρησιμοποιείται μόνο από το υποκείμενο των δεδομένων ή ένα ιστορικό κινήσεων του τραπεζικού λογαριασμού του υποκειμένου των δεδομένων).

Αντιστρόφως, θα θεωρείται ότι τα δικαιώματα και οι ελευθερίες τρίτων θίγονται αν ο νέος υπεύθυνος επεξεργασίας χρησιμοποιεί τα δεδομένα προσωπικού χαρακτήρα για άλλους σκοπούς, π.χ. αν ο λαμβάνων υπεύθυνος επεξεργασίας χρησιμοποιεί τα δεδομένα προσωπικού χαρακτήρα άλλων προσώπων που περιλαμβάνονται στον κατάλογο επαφών του υποκειμένου των δεδομένων για σκοπούς μάρκετινγκ.

Συνεπώς, για να προληφθούν οι δυσμενείς επιπτώσεις στους εμπλεκόμενους τρίτους, η επεξεργασία αυτών των δεδομένων προσωπικού χαρακτήρα από άλλον υπεύθυνο επεξεργασίας επιτρέπεται μόνο στον βαθμό που τα δεδομένα παραμένουν υπό τον αποκλειστικό έλεγχο του αιτούντος χρήστη και η διαχείρισή τους ικανοποιεί αποκλειστικά προσωπικές ή οικιακές ανάγκες. Ένας «νέος» λαμβάνων υπεύθυνος επεξεργασίας ( στον οποίο μπορεί να διαβιβαστούν τα δεδομένα κατόπιν αιτήματος του χρήστη) δεν μπορεί να χρησιμοποιεί τα διαβιβαζόμενα δεδομένα τρίτων για δικούς του σκοπούς, π.χ. με στόχο να προτείνει προϊόντα και υπηρεσίες μάρκετινγκ στα εν λόγω τρίτα υποκείμενα δεδομένων. Ενδεικτικά, οι πληροφορίες αυτές δεν πρέπει να χρησιμοποιούνται για τον εμπλουτισμό του προφίλ του τρίτου υποκειμένου δεδομένων και την αναδόμηση του κοινωνικού περιβάλλοντός του, χωρίς το εν λόγω υποκείμενο να το γνωρίζει και να έχει δώσει τη συγκατάθεσή του23. Ούτε μπορεί να χρησιμοποιηθεί για την ανάκτηση πληροφοριών σχετικά με τους εν λόγω τρίτους και τη δημιουργία ειδικών προφίλ, ακόμη και αν τα δεδομένα προσωπικού χαρακτήρα βρίσκονται ήδη στην κατοχή του υπευθύνου επεξεργασίας. Διαφορετικά, μια τέτοια επεξεργασία είναι πιθανό να είναι παράνομη και αθέμιτη, ιδίως εάν οι εμπλεκόμενοι τρίτοι δεν είναι ενήμεροι και δεν μπορούν να ασκήσουν τα δικαιώματά τους ως υποκείμενα δεδομένων.

Επιπροσθέτως, μια εξέχουσα πρακτική για όλους τους υπευθύνους επεξεργασίας (τόσο για την «αποστέλλουσα» όσο και για τη «λαμβάνουσα» πλευρά) είναι η διάθεση εργαλείων που παρέχουν στα υποκείμενα των δεδομένων τη δυνατότητα να επιλέγουν τα συναφή δεδομένα που επιθυμούν να λάβουν και να διαβιβάσουν αποκλείοντας, κατά περίπτωση, τα δεδομένα άλλων προσώπων. Αυτό θα συμβάλει περαιτέρω στη μείωση των κινδύνων για τους τρίτους των οποίων τα δεδομένα προσωπικού χαρακτήρα μπορεί να έχουν φορητό χαρακτήρα.

Επιπροσθέτως, οι υπεύθυνοι επεξεργασίας θα πρέπει να εφαρμόσουν μηχανισμούς λήψης συγκατάθεσης και για τα άλλα εμπλεκόμενα υποκείμενα δεδομένων, με σκοπό τη διευκόλυνση της διαβίβασης στις περιπτώσεις κατά τις οποίες οι εν λόγω τρίτοι είναι διατεθειμένοι να συναινέσουν, π.χ. αν επιθυμούν και εκείνοι να διαβιβάσουν τα δεδομένα τους σε άλλον υπεύθυνο επεξεργασίας. Μια τέτοια κατάσταση θα μπορούσε να προκύψει, για παράδειγμα, σε μέσα κοινωνικής δικτύωσης, αλλά η απόφαση για το ποια εξέχουσα πρακτική θα υιοθετηθεί ανήκει στη διακριτική ευχέρεια των υπευθύνων επεξεργασίας.

Σε σχέση με δεδομένα τα οποία εμπίπτουν στο πεδίο της διανοητικής ιδιοκτησίας και του επαγγελματικού απορρήτου:

Τα δικαιώματα και οι ελευθερίες των άλλων αναφέρονται στο άρθρο 20 παράγραφος 4. Αν και δεν υπάρχει άμεση σύνδεση με τη φορητότητα, μπορεί εδώ να θεωρηθεί ότι περιλαμβάνεται «το επαγγελματικό απόρρητο ή το δικαίωμα διανοητικής ιδιοκτησίας και, ειδικότερα, το δικαίωμα δημιουργού που προστατεύει το λογισμικό». Ωστόσο, παρόλο που τα δικαιώματα αυτά πρέπει να λαμβάνονται υπόψη πριν δοθεί απάντηση σε αίτημα φορητότητας δεδομένων, «οι παράγοντες αυτοί δεν θα πρέπει να έχουν ως αποτέλεσμα την άρνηση παροχής κάθε πληροφορίας στο υποκείμενο των δεδομένων». Επίσης, ο υπεύθυνος επεξεργασίας δεν θα πρέπει να απορρίπτει αίτημα φορητότητας δεδομένων στη βάση της παραβίασης άλλου συμβατικού δικαιώματος (π.χ. ανεξόφλητο χρέος ή εμπορική διαφορά με το υποκείμενο των δεδομένων).

Το δικαίωμα στη φορητότητα των δεδομένων δεν ισοδυναμεί με δικαίωμα ενός προσώπου να χρησιμοποιεί καταχρηστικά τις πληροφορίες με τρόπο που θα μπορούσε να χαρακτηριστεί αθέμιτη πρακτική ή που θα συνιστούσε παραβίαση των δικαιωμάτων διανοητικής ιδιοκτησίας.

Ο ενδεχόμενος επιχειρηματικός κίνδυνος δεν μπορεί, ωστόσο, να αποτελεί από μόνος του βάση για άρνηση της απάντησης σε αίτημα φορητότητας και οι υπεύθυνοι επεξεργασίας μπορούν να διαβιβάζουν τα δεδομένα προσωπικού χαρακτήρα που παρέχονται από τα υποκείμενα των δεδομένων σε μορφή η οποία δεν αποκαλύπτει πληροφορίες που εμπίπτουν στο πεδίο του επαγγελματικού απορρήτου ή των δικαιωμάτων διανοητικής ιδιοκτησίας.

IV. Πώς εφαρμόζονται οι γενικοί κανόνες που διέπουν την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων στην φορητότητα των δεδομένων;

Ποιες προηγούμενες πληροφορίες πρέπει να παρέχονται στο υποκείμενο των δεδομένων;

Προκειμένου να συμμορφώνονται με το νέο δικαίωμα στη φορητότητα των δεδομένων, οι υπεύθυνοι επεξεργασίας πρέπει να ενημερώνουν τα υποκείμενα των δεδομένων για το νέο δικαίωμα στη φορητότητα. Όταν τα σχετικά δεδομένα προσωπικού χαρακτήρα συλλέγονται απευθείας από το υποκείμενο των δεδομένων, αυτό πρέπει να γίνεται «κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα». Αν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας πρέπει να παρέχει τις πληροφορίες όπως απαιτείται από το άρθρο 13 παράγραφος 2 στοιχείο β) και το άρθρο 14 παράγραφος 2 στοιχείο γ).

«Εάν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων», το άρθρο 14 παράγραφος 3 ορίζει ότι οι πληροφορίες πρέπει να παρέχονται εντός εύλογης προθεσμίας που δεν μπορεί να υπερβαίνει τον ένα μήνα, κατά την πρώτη επικοινωνία με το υποκείμενο των δεδομένων, ή σε περίπτωση γνωστοποίησης σε τρίτους24.

Κατά την παροχή των απαιτούμενων πληροφοριών οι υπεύθυνοι επεξεργασίας πρέπει να μεριμνούν για τη διάκριση του δικαιώματος στη φορητότητα των δεδομένων από άλλα δικαιώματα. Έτσι, η ΟΕ29 συνιστά συγκεκριμένα στους υπευθύνους επεξεργασίας να εξηγούν με σαφήνεια τη διαφορά ανάμεσα στους τύπους δεδομένων που μπορεί να λαμβάνει ένα υποκείμενο δεδομένων βάσει του δικαιώματος πρόσβασης και του δικαιώματος για φορητότητα των δεδομένων.

Επιπροσθέτως, η ομάδα εργασίας συνιστά στους υπευθύνους επεξεργασίας να παρέχουν πάντοτε τις πληροφορίες σχετικά με το δικαίωμα στη φορητότητα των δεδομένων πριν το εκάστοτε υποκείμενο των δεδομένων κλείσει λογαριασμό που μπορεί να διαθέτει. Αυτό επιτρέπει στους χρήστες να αποθηκεύσουν τα δεδομένα προσωπικού χαρακτήρα τους και να διαβιβάσουν εύκολα τα δεδομένα σε δική τους συσκευή ή σε άλλο πάροχο πριν από τη λύση μιας σύμβασης.

Τέλος, ως εξέχουσα πρακτική για τους «λαμβάνοντες» υπευθύνους επεξεργασίας, η ΟΕ29 συνιστά να παρέχεται στα υποκείμενα των δεδομένων πλήρης ενημέρωση σχετικά με τη φύση των δεδομένων προσωπικού χαρακτήρα που είναι συναφή για την παροχή των υπηρεσιών από τους υπεύθυνους επεξεργασίας. Πέραν της συμβολής στην εδραίωση θεμιτών πρακτικών επεξεργασίας, αυτό παρέχει στους χρήστες τη δυνατότητα να περιορίσουν τους κινδύνους για τα τρίτα μέρη, καθώς και κάθε άλλη περιττή αναπαραγωγή δεδομένων προσωπικού χαρακτήρα ακόμη και όταν δεν ενέχονται άλλα υποκείμενα δεδομένων.

- Πώς μπορεί ο υπεύθυνος δεδομένων να ταυτοποιήσει το υποκείμενο των δεδομένων πριν απαντήσει στο αίτημά του;

Ο ΓΚΠΔ δεν περιλαμβάνει δεσμευτικές απαιτήσεις σχετικά με τον τρόπο επαλήθευσης της ταυτότητας του υποκειμένου των δεδομένων. Παρά ταύτα, το άρθρο 12 παράγραφος 2 του ΓΚΠΔ ορίζει ότι ο υπεύθυνος επεξεργασίας δεν αρνείται να ενεργήσει κατόπιν αιτήσεως του υποκειμένου των δεδομένων για να ασκήσει τα δικαιώματά του (συμπεριλαμβανομένου του δικαιώματος στη φορητότητα των δεδομένων), εκτός εάν πρόκειται για επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπό που δεν προϋποθέτει ταυτοποίηση του υποκειμένου των δεδομένων και ο υπεύθυνος επεξεργασίας αποδείξει ότι δεν είναι σε θέση να εξακριβώσει την ταυτότητα του υποκειμένου των δεδομένων. Ωστόσο, βάσει του άρθρου 11 παράγραφος 2, σε τέτοιες περιπτώσεις το υποκείμενο των δεδομένων μπορεί να παράσχει συμπληρωματικές πληροφορίες που επιτρέπουν την εξακρίβωση της ταυτότητάς του. Επιπροσθέτως το άρθρο 12 παράγραφος 6 ορίζει ότι, όταν έχει εύλογες αμφιβολίες σχετικά με την ταυτότητα ενός υποκειμένου δεδομένων, ο υπεύθυνος επεξεργασίας μπορεί να ζητήσει την παροχή πρόσθετων πληροφοριών για την επιβεβαίωση της ταυτότητας του υποκειμένου των δεδομένων. Όταν ένα υποκείμενο δεδομένων μπορεί να παράσχει συμπληρωματικές πληροφορίες που επιτρέπουν την εξακρίβωση της ταυτότητάς του, ο υπεύθυνος επεξεργασίας δεν αρνείται να ανταποκριθεί στο αίτημα. Όταν οι πληροφορίες και τα δεδομένα που συλλέγονται επιγραμμικά συνδέονται με ψευδώνυμα ή με μοναδικά αναγνωριστικά στοιχεία ταυτότητας, οι υπεύθυνοι επεξεργασίας μπορούν να εφαρμόζουν κατάλληλες διαδικασίες προκειμένου ένα πρόσωπο να έχει τη δυνατότητα να υποβάλει αίτημα φορητότητας δεδομένων και να λαμβάνει τα δεδομένα που το αφορούν. Σε κάθε περίπτωση, οι υπεύθυνοι επεξεργασίας πρέπει να εφαρμόζουν διαδικασία επαλήθευσης ταυτότητας προκειμένου να εξακριβώνουν με μεγάλη βεβαιότητα την ταυτότητα του υποκειμένου των δεδομένων που αιτείται τα δεδομένα προσωπικού χαρακτήρα του ή, γενικότερα, ασκεί τα δικαιώματα που παρέχει ο ΓΚΠΔ.

Σε πολλές περιπτώσεις οι διαδικασίες αυτές υπάρχουν ήδη. Η ταυτότητα των υποκειμένων των δεδομένων έχει ήδη επιβεβαιωθεί από τον υπεύθυνο επεξεργασίας πριν από τη σύναψη μιας σύμβασης ή τη λήψη της συγκατάθεσής τους για την επεξεργασία. Συνεπώς, τα δεδομένα προσωπικού χαρακτήρα που χρησιμοποιήθηκαν για την καταχώριση του προσώπου το οποίο αφορά η επεξεργασία μπορούν επίσης να χρησιμοποιηθούν ως αποδεικτικά στοιχεία για την επαλήθευση της ταυτότητας του υποκειμένου των δεδομένων για τους σκοπούς της φορητότητας25.

Ενώ σε αυτές τις περιπτώσεις η πρότερη ταυτοποίηση των υποκειμένων των δεδομένων μπορεί να ενέχει αίτημα για απόδειξη της νόμιμης ταυτότητάς τους, ένας τέτοιος έλεγχος μπορεί να μην είναι συναφής για την αξιολόγηση της σύνδεσης ανάμεσα στα δεδομένα και στο οικείο πρόσωπο, καθώς η εν λόγω σύνδεση δεν σχετίζεται με την επίσημη ή νόμιμη ταυτότητα. Κατʼ ουσίαν, η δυνατότητα του υπευθύνου επεξεργασίας να ζητεί πρόσθετες πληροφορίες με σκοπό τον προσδιορισμό της ταυτότητας ενός ατόμου δεν μπορεί να οδηγεί σε υπερβολικές απαιτήσεις και στη συλλογή δεδομένων προσωπικού χαρακτήρα που δεν είναι συναφή ή αναγκαία για την επιβεβαίωση της σύνδεσης ανάμεσα στο πρόσωπο και στα ζητούμενα δεδομένα προσωπικού χαρακτήρα.

Σε πολλές περιπτώσεις υπάρχουν ήδη τέτοιου είδους διαδικασίες επαλήθευσης ταυτότητας. Παραδείγματος χάριν, ονόματα χρήστη και κωδικοί πρόσβασης χρησιμοποιούνται ευρέως προκειμένου να μπορούν τα πρόσωπα να έχουν πρόσβαση στα δεδομένα των λογαριασμών ηλεκτρονικού ταχυδρομείου τους, των λογαριασμών τους σε δίκτυα κοινωνικής δικτύωσης, και των λογαριασμών που χρησιμοποιούν για διάφορες άλλες υπηρεσίες, τις οποίες ενίοτε επιλέγουν να χρησιμοποιήσουν χωρίς να αποκαλύπτουν το ονοματεπώνυμο και την ταυτότητά τους.

Αν ο όγκος των δεδομένων που ζητεί το υποκείμενο των δεδομένων καθιστά προβληματική τη διαβίβαση μέσω διαδικτύου, αντί να αξιοποιήσει ενδεχομένως την παράταση των τριών μηνών προκειμένου να ικανοποιήσει το αίτημα26, ο υπεύθυνος επεξεργασίας μπορεί επίσης να χρειαστεί να εξετάσει εναλλακτικούς τρόπους για την παροχή των δεδομένων, όπως η συνεχής ροή (streaming) ή η αποθήκευση σε CD, DVD ή άλλο υλικό μέσο, ή να επιτρέψει τη διαβίβαση των δεδομένων προσωπικού χαρακτήρα απευθείας σε άλλο υπεύθυνο επεξεργασίας (σύμφωνα με το άρθρο 20 παράγραφος 2 του ΓΚΠΔ, όταν είναι τεχνικά εφικτό).

Ποια είναι η προθεσμία που επιβάλλεται για απάντηση σε αίτημα φορητότητας;

Το άρθρο 12 παράγραφος 3 ορίζει ότι ο υπεύθυνος επεξεργασίας παρέχει «πληροφορίες για την ενέργεια που πραγματοποιείται» στο υποκείμενο των δεδομένων «χωρίς καθυστέρηση» και σε κάθε περίπτωση «εντός μηνός από την παραλαβή του αιτήματος». Αυτή η περίοδος του ενός μηνός μπορεί να παραταθεί έως μέγιστο διάστημα τριών μηνών για τις πολύπλοκες περιπτώσεις, υπό την προϋπόθεση ότι το υποκείμενο των δεδομένων έχει ενημερωθεί για τους λόγους αυτής της καθυστέρησης εντός ενός μηνός από την παραλαβή του αρχικού αιτήματος.

Οι υπεύθυνοι επεξεργασίας που παρέχουν υπηρεσίες της κοινωνίας της πληροφορίας μπορεί να είναι καλύτερα εξοπλισμένοι για να ικανοποιούν τα αιτήματα μέσα σε πολύ σύντομο χρονικό διάστημα. Με στόχο την ικανοποίηση των προσδοκιών των χρηστών, μια ορθή πρακτική συνίσταται στον καθορισμό του χρονικού πλαισίου εντός του οποίου μπορεί συνήθως να απαντηθεί ένα αίτημα φορητότητας δεδομένων και στη σχετική ενημέρωση των υποκειμένων των δεδομένων.

Υπεύθυνος επεξεργασίας που αρνείται να απαντήσει σε αίτημα φορητότητας, ενημερώνει, βάσει του άρθρου 12 παράγραφος 4, το υποκείμενο των δεδομένων «για τους λόγους για τους οποίους δεν ενήργησε και για τη δυνατότητα υποβολής καταγγελίας σε εποπτική αρχή και άσκησης δικαστικής προσφυγής», το αργότερο εντός μηνός από την παραλαβή του αιτήματος.

Οι υπεύθυνοι επεξεργασίας πρέπει να συμμορφώνονται με την υποχρέωση να απαντούν εντός των δεδομένων προθεσμιών, ακόμη και σε περίπτωση αρνητικής απάντησης. Με άλλα λόγια, ο υπεύθυνος επεξεργασίας δεν μπορεί να σιωπά όταν καλείται να απαντήσει σε αίτημα φορητότητας δεδομένων.

Σε ποια περίπτωση μπορεί ένα αίτημα φορητότητας δεδομένων να απορριφθεί ή να ενέχει καταβολή τέλους;

Το άρθρο 12 απαγορεύει στους υπευθύνους επεξεργασίας να εισπράττουν τέλος για την παροχή των δεδομένων προσωπικού χαρακτήρα, εκτός εάν ο υπεύθυνος επεξεργασίας μπορεί να αποδείξει ότι τα αιτήματα είναι προδήλως αβάσιμα ή υπερβολικά, «ιδίως λόγω του επαναλαμβανόμενου χαρακτήρα τους». Για τις υπηρεσίες της κοινωνίας της πληροφορίας που εξειδικεύονται στην αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, η χρήση αυτοματοποιημένων συστημάτων όπως οι διεπαφές προγραμματισμού εφαρμογών (API)27 μπορεί να διευκολύνει τις ανταλλαγές με το υποκείμενο των δεδομένων, και ως εξ αυτού να μειώσει την πιθανή επιβάρυνση λόγω επαναλαμβανόμενων αιτημάτων. Ως εκ τούτου, θα πρέπει να είναι πολύ μικρός ο αριθμός των περιπτώσεων στις οποίες ένας υπεύθυνος επεξεργασίας θα μπορούσε να δικαιολογήσει μια άρνηση παροχής των ζητούμενων πληροφοριών, ακόμη και όταν πρόκειται για πολλαπλά αιτήματα φορητότητας δεδομένων.

Επίσης, το συνολικό κόστος των διαδικασιών που δημιουργούνται για την ανταπόκριση σε αιτήματα φορητότητας δεδομένων δεν θα πρέπει να λαμβάνεται υπόψη κατά τον προσδιορισμό του ενδεχομένως υπερβολικού χαρακτήρα ενός αιτήματος. Στην πραγματικότητα, το άρθρο 12 του ΓΚΠΔ εστιάζει στα αιτήματα που υποβάλλει ένα υποκείμενο δεδομένων και όχι στον συνολικό αριθμό αιτημάτων που λαμβάνει ο υπεύθυνος επεξεργασίας. Ως αποτέλεσμα, το συνολικό κόστος εφαρμογής συστημάτων δεν θα πρέπει ούτε να χρεώνεται στα υποκείμενα των δεδομένων, ούτε να χρησιμοποιείται ως δικαιολογία για άρνηση απάντησης σε αιτήματα φορητότητας.

V. Πώς πρέπει να παρέχονται τα φορητά δεδομένα;

Ποια είναι τα μέσα που πρέπει να χρησιμοποιεί ο υπεύθυνος επεξεργασίας για την παροχή δεδομένων;

Το άρθρο 20 παράγραφος 1 του ΓΚΠΔ ορίζει ότι τα υποκείμενα των δεδομένων έχουν δικαίωμα να διαβιβάζουν τα δεδομένα σε άλλον υπεύθυνο επεξεργασίας χωρίς αντίρρηση από τον υπεύθυνο επεξεργασίας στον οποίο παρασχέθηκαν τα δεδομένα προσωπικού χαρακτήρα.

Ως αντίρρηση μπορεί να χαρακτηριστεί οποιοδήποτε νομικό, τεχνικό ή οικονομικό εμπόδιο που θέτει ένας υπεύθυνος επεξεργασίας με στόχο να εμποδίσει ή να επιβραδύνει την πρόσβαση, τη διαβίβαση ή την περαιτέρω χρήση από το υποκείμενο των δεδομένων ή από άλλον υπεύθυνο επεξεργασίας. Για παράδειγμα, τέτοιου είδους αντιρρήσεις θα μπορούσαν να είναι τα εξής: η επιβολή τελών για την παροχή των δεδομένων, η απουσία διαλειτουργικότητας ή πρόσβασης σε μορφότυπο δεδομένων, σε API ή στον παρεχόμενο μορφότυπο, η υπερβολική καθυστέρηση ή πολυπλοκότητα για την ανάκτηση ολόκληρης της βάσης δεδομένων, η εσκεμμένη απόκρυψη του συνόλου δεδομένων, ή οι ειδικές και αδικαιολόγητες ή υπερβολικές τομεακές απαιτήσεις τυποποίησης ή διαπίστευσης28.

Το άρθρο 20 παράγραφος 2 επιφορτίζει επίσης τους υπευθύνους επεξεργασίας με τη διαβίβαση των φορητών δεδομένων απευθείας σε άλλους υπευθύνους επεξεργασίας «όταν είναι τεχνικά εφικτό».

Ο τεχνικά εφικτός χαρακτήρας της διαβίβασης από έναν υπεύθυνο επεξεργασίας σε άλλον, υπό τον έλεγχο του υποκειμένου των δεδομένων, θα πρέπει να αξιολογείται χωριστά για κάθε περίπτωση. Η αιτιολογική σκέψη 68 αποσαφηνίζει τα όρια του τι αποτελεί «τεχνικά εφικτό», ορίζοντας ότι «δεν θα πρέπει να δημιουργεί υποχρέωση των υπευθύνων επεξεργασίας να υιοθετούν ή να διατηρούν συστήματα επεξεργασίας που είναι συμβατά από τεχνική άποψη».

Οι υπεύθυνοι επεξεργασίας καλούνται να διαβιβάζουν τα δεδομένα προσωπικού χαρακτήρα σε διαλειτουργικό μορφότυπο, χωρίς ωστόσο αυτό να δημιουργεί υποχρεώσεις στους άλλους υπευθύνους επεξεργασίας για υποστήριξη αυτών των μορφοτύπων. Η απευθείας διαβίβαση από έναν υπεύθυνο επεξεργασίας σε άλλον μπορεί, συνεπώς, να πραγματοποιείται όταν είναι δυνατή η επικοινωνία μεταξύ δύο συστημάτων, με ασφαλή τρόπο29, και όταν το λαμβάνον σύστημα είναι τεχνικά εξοπλισμένο ώστε να λαμβάνει τα εισερχόμενα δεδομένα. Αν η απευθείας διαβίβαση δεν είναι εφικτή λόγω τεχνικών δυσχερειών, ο υπεύθυνος επεξεργασίας οφείλει να εξηγήσει τις εν λόγω δυσχέρειες στα υποκείμενα των δεδομένων, καθώς σε άλλη περίπτωση η απόφασή του θα ισοδυναμεί ως προς το αποτέλεσμα με άρνησή του να διεκπεραιώσει το αίτημα του υποκειμένου των δεδομένων (άρθρο 12 παράγραφος 4).

Σε τεχνικό επίπεδο, οι υπεύθυνοι επεξεργασίας θα πρέπει να εξετάσουν και να αξιολογήσουν δύο διαφορετικές και συμπληρωματικές οδούς για τη διάθεση των φορητών δεδομένων στα υποκείμενα των δεδομένων ή σε άλλους υπευθύνους επεξεργασίας:

• απευθείας διαβίβαση του συνόλου των φορητών δεδομένων στην ολότητά του (ή αποσπασμάτων τμημάτων του γενικού συνόλου δεδομένων)·
• αυτοματοποιημένο εργαλείο το οποίο επιτρέπει την εξαγωγή των συναφών δεδομένων.

Ο δεύτερος τρόπος μπορεί να προτιμάται από τους υπευθύνους επεξεργασίας σε περιπτώσεις που ενέχουν πολύπλοκα και μεγάλα σύνολα δεδομένων, καθώς επιτρέπει την εξαγωγή του τμήματος ή των τμημάτων του συνόλου δεδομένων που είναι συναφή για το υποκείμενο των δεδομένων στο πλαίσιο του αιτήματός του, μπορεί να συμβάλει στην ελαχιστοποίηση των κινδύνων, και πιθανώς επιτρέπει τη χρήση μηχανισμών συγχρονισμού δεδομένων30 (π.χ. στο πλαίσιο τακτικής επικοινωνίας μεταξύ υπευθύνων επεξεργασίας). Ίσως αποτελεί τον πιο ενδεδειγμένο τρόπο διασφάλισης της συμμόρφωσης για τον «νέο» υπεύθυνο επεξεργασίας, ενώ θα συνιστούσε επίσης ορθή πρακτική για τον περιορισμό των κινδύνων που συνδέονται με την προστασία της ιδιωτικής ζωής εκ μέρους του αρχικού υπευθύνου επεξεργασίας.

Οι δύο παραπάνω διαφορετικοί και πιθανώς συμπληρωματικοί τρόποι για την παροχή των συναφών φορητών δεδομένων μπορούν να υλοποιηθούν με τη διάθεση των δεδομένων με διάφορα μέσα όπως, π.χ., η ασφαλής μηνυματοδοσία, οι διακομιστές SFTP, οι ασφαλείς διεπαφές προγραμματισμού διαδικτυακών εφαρμογών (WebAPI) ή οι δικτυακές πύλες (WebPortal). Τα υποκείμενα των δεδομένων πρέπει έχουν τη δυνατότητα να χρησιμοποιούν υπηρεσίες αποθήκευσης δεδομένων προσωπικού χαρακτήρα, σύστημα διαχείρισης προσωπικών πληροφοριών31 ή άλλους έμπιστους τρίτους, για τη φύλαξη και αποθήκευση των δεδομένων προσωπικού χαρακτήρα, και να χορηγούν άδεια σε υπευθύνους επεξεργασίας για πρόσβαση και επεξεργασία των δεδομένων προσωπικού χαρακτήρα, εφόσον χρειάζεται.

Ποιος είναι ο απαιτούμενος μορφότυπος δεδομένων;

Ο ΓΚΠΔ ορίζει ότι οι υπεύθυνοι επεξεργασίας οφείλουν να παρέχουν τα δεδομένα προσωπικού χαρακτήρα που αιτείται το πρόσωπο σε μορφότυπο που υποστηρίζει την περαιτέρω χρήση. Πιο συγκεκριμένα, το άρθρο 20 παράγραφος 1 του ΓΚΠΔ ορίζει ότι τα δεδομένα προσωπικού χαρακτήρα πρέπει να παρέχονται «σε δομημένο, κοινώς χρησιμοποιούμενο και αναγνώσιμο από μηχανήματα μορφότυπο». Η αιτιολογική σκέψη 68 διευκρινίζει επιπροσθέτως ότι ο συγκεκριμένος μορφότυπος πρέπει να είναι διαλειτουργικός, όρος που στην ΕΕ ορίζεται32 ως εξής:

η ικανότητα ανόμοιων και διαφορετικών οργανισμών να αλληλεπιδρούν προς την κατεύθυνση της επίτευξης αμοιβαίως ωφέλιμων και συμφωνημένων κοινών στόχων, οι οποίοι αφορούν την ανταλλαγή πληροφοριών και γνώσεων μεταξύ των εν λόγω οργανισμών διά μέσου των επιχειρησιακών διαδικασιών που υποστηρίζουν, μέσω της ανταλλαγής δεδομένων μεταξύ των οικείων συστημάτων ΤΠΕ.

Οι όροι «δομημένος», «κοινώς χρησιμοποιούμενος» και «αναγνώσιμος από μηχανήματα» αποτελούν ένα σύνολο ελάχιστων απαιτήσεων που προσδοκάται ότι θα διευκολύνει τη διαλειτουργικότητα του μορφοτύπου δεδομένων που παρέχεται από τον υπεύθυνο επεξεργασίας. Υπό αυτή την έννοια, η διατύπωση «δομημένο, κοινώς χρησιμοποιούμενο και αναγνώσιμο από μηχανήματα» ορίζει τις προδιαγραφές για το μέσο, ενώ η διαλειτουργικότητα είναι το επιθυμητό αποτέλεσμα.

Η αιτιολογική σκέψη 21 της οδηγίας 2013/37/ΕΕ33,34 ορίζει ως «αναγνώσιμο από μηχανήματα:

το ψηφιακό έγγραφο υπό μορφή αρχείου διαρθρωμένου κατά τρόπο ώστε οι εφαρμογές λογισμικού να μπορούν εύκολα να εντοπίζουν, να αναγνωρίζουν και να εξάγουν συγκεκριμένα δεδομένα, συμπεριλαμβανομένων μεμονωμένων δηλώσεων γεγονότων, και της εσωτερικής τους δομής. Τα δεδομένα που έχουν κωδικοποιηθεί σε αρχεία που είναι διαρθρωμένα σε μηχαναγνώσιμο μορφότυπο είναι μηχαναγνώσιμα δεδομένα. Οι μηχαναγνώσιμοι μορφότυποι μπορούν να είναι ανοικτοί ή ιδιόκτητοι· μπορούν να υπάρχουν επίσημα πρότυπα ή όχι. Τα έγγραφα που έχουν κωδικοποιηθεί σε μορφή αρχείου που περιορίζει μια τέτοια αυτόματη επεξεργασία, διότι τα δεδομένα δεν μπορούν ή δεν μπορούν εύκολα να εξαχθούν από αυτά τα έγγραφα, δεν θα πρέπει να θεωρούνται ως έγγραφα σε μηχαναγνώσιμο μορφότυπο. Τα κράτη μέλη θα πρέπει, όταν αυτό είναι σκόπιμο, να ενθαρρύνουν τη χρήση ανοικτών, μηχαναγνώσιμων μορφότυπων.

Με δεδομένο το ευρύ φάσμα πιθανών τύπων δεδομένων που θα μπορούσαν να υποβληθούν σε επεξεργασία από έναν υπεύθυνο επεξεργασίας, ο ΓΚΠΔ δεν διατυπώνει ειδικές συστάσεις σχετικά με τον μορφότυπο των δεδομένων προσωπικού χαρακτήρα που πρέπει να παρέχεται. Ο καταλληλότερος μορφότυπος θα διαφέρει από τομέα σε τομέα ενώ μπορεί ήδη να υφίστανται ικανοποιητικοί μορφότυποι, οι οποίοι και θα πρέπει να επιλέγονται με στόχο την επίτευξη της διαλειτουργικότητας και την παροχή στο υποκείμενο των δεδομένων ενός υψηλού βαθμού φορητότητας των δεδομένων. Ως εξ αυτού, οι μορφότυποι που υπόκεινται σε περιορισμούς δαπανηρών αδειοδοτήσεων δεν θα θεωρούνταν ικανοποιητική προσέγγιση.

Η αιτιολογική σκέψη 68 αποσαφηνίζει ότι «Το δικαίωμα του υποκειμένου των δεδομένων να διαβιβάζει ή να λαμβάνει δεδομένα προσωπικού χαρακτήρα που το αφορούν δεν θα πρέπει να δημιουργεί υποχρέωση των υπευθύνων επεξεργασίας να υιοθετούν ή να διατηρούν συστήματα επεξεργασίας που είναι συμβατά από τεχνική άποψη.» Συνεπώς, η φορητότητα αποσκοπεί στη δημιουργία διαλειτουργικών συστημάτων, και όχι συμβατών συστημάτων35.

Τα δεδομένα προσωπικού χαρακτήρα πρέπει να παρέχονται σε μορφοτύπους που χαρακτηρίζονται από υψηλό επίπεδο αφαίρεσης σε σχέση με οποιονδήποτε εσωτερικό ή ιδιοταγή μορφότυπο. Συνεπώς, η φορητότητα των δεδομένων προϋποθέτει ένα επιπρόσθετο επίπεδο επεξεργασίας των δεδομένων από τους υπευθύνους επεξεργασίας, με στόχο την εξαγωγή των δεδομένων από την πλατφόρμα και την απομάκρυνση των δεδομένων προσωπικού χαρακτήρα που δεν εμπίπτουν στο πεδίο εφαρμογής της φορητότητας, όπως τα συναγόμενα δεδομένα ή τα δεδομένα που σχετίζονται με την ασφάλεια των συστημάτων. Με τον τρόπο αυτό, οι υπεύθυνοι επεξεργασίας ενθαρρύνονται να καθορίζουν εξαρχής τα δεδομένα που εμπίπτουν στο πεδίο εφαρμογής της φορητότητας στο πλαίσιο των συστημάτων τους. Αυτή η επιπρόσθετη επεξεργασία δεδομένων θα θεωρείται παρεπόμενη της βασικής επεξεργασίας δεδομένων, καθώς δεν εκτελείται με στόχο να επιτευχθεί ένας νέος σκοπός που έχει οριστεί από τον υπεύθυνο επεξεργασίας.

Όταν δεν υπάρχουν μορφότυποι διαδεδομένης χρήσης για έναν δεδομένο τομέα ή πλαίσιο, οι υπεύθυνοι επεξεργασίας πρέπει παρέχουν τα δεδομένα προσωπικού χαρακτήρα χρησιμοποιώντας διαδεδομένους μορφοτύπους ανοικτού τύπου (π.χ. XML, JSON, CSV κ.λπ.) μαζί με χρήσιμα μεταδεδομένα με τον καλύτερο δυνατό βαθμό κοκκιότητας (granularity), διατηρώντας ταυτόχρονα υψηλό επίπεδο αφαίρεσης. Θα πρέπει συνεπώς να χρησιμοποιούνται τα κατάλληλα μεταδεδομένα ώστε να περιγράφεται με ακρίβεια το νόημα των ανταλλασσόμενων πληροφοριών. Τα εν λόγω μεταδεδομένα πρέπει να είναι αρκετά ώστε να επιτρέπουν τη λειτουργία και την περαιτέρω χρήση των δεδομένων, χωρίς, βεβαίως, να παραβιάζεται το επαγγελματικό απόρρητο. Κατά συνέπεια, η παροχή σε ένα πρόσωπο ενός φακέλου εισερχομένων ηλεκτρονικού ταχυδρομείου υπό μορφή αρχείων PDF είναι μάλλον απίθανο να είναι επαρκώς δομημένη ή περιγραφική ώστε να επιτρέπει εύκολα την περαιτέρω χρήση των δεδομένων από τα εισερχόμενα. Αντί αυτού, τα δεδομένα του ηλεκτρονικού ταχυδρομείου πρέπει να παρέχονται σε μορφή η οποία διατηρεί όλα τα μεταδεδομένα, ώστε να είναι δυνατή η αποτελεσματική περαιτέρω χρήση των δεδομένων. Επομένως, κατά την επιλογή του μορφοτύπου δεδομένων στο οποίο πρέπει να παρέχονται τα δεδομένα προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας θα πρέπει να εξετάζει με ποιον τρόπο ο συγκεκριμένος μορφότυπος θα επηρεάσει ή θα δημιουργήσει εμπόδια στο δικαίωμα του ατόμου να επαναχρησιμοποιεί τα δεδομένα. Στις περιπτώσεις όπου ο υπεύθυνος επεξεργασίας μπορεί να παρέχει επιλογές στο υποκείμενο των δεδομένων σχετικά με τον προτιμώμενο μορφότυπο των δεδομένων προσωπικού χαρακτήρα, πρέπει να εξηγείται με σαφήνεια τι συνεπάγεται η κάθε επιλογή. Ωστόσο, η επεξεργασία πρόσθετων μεταδεδομένων με μοναδική αιτιολογία ότι ενδέχεται να χρειαστούν ή να ζητηθούν προκειμένου να απαντηθεί ένα αίτημα φορητότητας δεδομένων δεν αποτελεί βάσιμο λόγο για μια τέτοια επεξεργασία.

Η ΟΕ29 ενθαρρύνει τη συνεργασία μεταξύ των παραγόντων της βιομηχανίας και των ενδιαφερόμενων μερών του κλάδου για την από κοινού εκπόνηση μιας κοινής δέσμης διαλειτουργικών προτύπων και μορφοτύπων με στόχο τη συμμόρφωση με τις απαιτήσεις που ενέχει το δικαίωμα στη φορητότητα των δεδομένων. Το πρόβλημα αντιμετωπίστηκε επίσης από το ευρωπαϊκό πλαίσιο διαλειτουργικότητας (ΕΠΔ) το οποίο δημιούργησε μια συμφωνημένη προσέγγιση της διαλειτουργικότητας για τους οργανισμούς που επιθυμούν να παρέχουν από κοινού δημόσιες υπηρεσίες. Εντός του πεδίου εφαρμογής του, το πλαίσιο προσδιορίζει μια δέσμη κοινών στοιχείων, όπως λεξιλόγιο, έννοιες, αρχές, πολιτικές, κατευθυντήριες γραμμές, συστάσεις, πρότυπα, προδιαγραφές και πρακτικές36.

Πώς πρέπει να αντιμετωπίζεται μια μεγάλη ή πολύπλοκη συλλογή δεδομένων προσωπικού χαρακτήρα;

Ο ΓΚΠΔ δεν εξηγεί πώς μπορεί να αντιμετωπιστεί με επιτυχία η πρόκληση που παρουσιάζει η ανταπόκριση σε μεγάλη συλλογή δεδομένων, σε πολύπλοκη δομή δεδομένων ή σε άλλα τεχνικά ζητήματα που μπορεί να δημιουργούν δυσκολίες για τους υπευθύνους επεξεργασίας ή τα υποκείμενα των δεδομένων.

Σε κάθε περίπτωση, ωστόσο, είναι καίριας σημασίας το πρόσωπο να είναι σε θέση να κατανοήσει πλήρως τον ορισμό, το σχήμα και τη δομή των δεδομένων προσωπικού χαρακτήρα που μπορεί να παράσχει ο υπεύθυνος επεξεργασίας. Τα δεδομένα θα μπορούσαν, λόγου χάρη, να παρέχονται συνοπτικά σε μορφή πινάκων οι οποίοι επιτρέπουν στο υποκείμενο των δεδομένων να μεταφέρει υποσύνολα των δεδομένων προσωπικού χαρακτήρα και όχι το σύνολό τους. Ο υπεύθυνος επεξεργασίας πρέπει να παρέχει μια επισκόπηση «σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση» (βλέπε άρθρο 12 παράγραφος 1 του ΓΚΠΔ) με τέτοιο τρόπο ώστε το υποκείμενο των δεδομένων να έχει πάντοτε σαφείς πληροφορίες σχετικά με το ποια δεδομένα ή υπηρεσίες πρέπει να καταφορτώσει ή να διαβιβάσει σε άλλον υπεύθυνο επεξεργασίας για έναν δεδομένο σκοπό. Για παράδειγμα, τα υποκείμενα των δεδομένων πρέπει να μπορούν να χρησιμοποιούν εφαρμογές λογισμικού για εύκολο εντοπισμό, αναγνώριση και επεξεργασία συγκεκριμένων δεδομένων από την επισκόπηση αυτή.

Όπως προαναφέρθηκε, ένας πρακτικός τρόπος με τον οποίο ένας υπεύθυνος επεξεργασίας μπορεί να απαντά στα αιτήματα φορητότητας δεδομένων θα μπορούσε να είναι η προσφορά μιας κατάλληλα ασφαλούς και τεκμηριωμένης API. Αυτό μπορεί να δώσει στα πρόσωπα τη δυνατότητα να υποβάλλουν αιτήματα στον υπεύθυνο επεξεργασίας για τα δεδομένα προσωπικού χαρακτήρα τους μέσω του δικού του λογισμικού ή λογισμικού τρίτων, ή να χορηγούν άδεια σε τρίτους προκειμένου να ενεργήσουν για λογαριασμό τους (συμπεριλαμβανομένου άλλου υπευθύνου επεξεργασίας) όπως ορίζεται στο άρθρο 20 παράγραφος 2 του ΓΚΠΔ. Με τη χορήγηση πρόσβασης στα δεδομένα μέσω εξωτερικά προσβάσιμης API, μπορεί επίσης να καταστεί δυνατή η παροχή ενός πιο εξελιγμένου συστήματος πρόσβασης το οποίο θα επιτρέπει στα πρόσωπα να υποβάλλουν επόμενα αιτήματα για δεδομένα, είτε υπό μορφή συνολικής καταφόρτωσης, είτε ως λειτουργία δέλτα που περιέχει μόνο τις αλλαγές από την τελευταία καταφόρτωση, χωρίς αυτά τα επιπρόσθετα αιτήματα να επιβαρύνουν τον υπεύθυνο επεξεργασίας.

Πώς επιτυγχάνεται ασφάλεια των φορητών δεδομένων;

Σε γενικές γραμμές, οι υπεύθυνοι επεξεργασίας πρέπει να εγγυώνται την «ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων» σύμφωνα με το άρθρο 5 παράγραφος 1 στοιχείο στ) του ΓΚΠΔ.

Ωστόσο, η διαβίβαση δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων ενδέχεται επίσης να εγείρει ορισμένα ζητήματα ασφαλείας:

Πώς μπορούν οι υπεύθυνοι επεξεργασίας να διασφαλίζουν την ασφαλή παροχή των δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων;

Δεδομένου ότι η φορητότητα αποσκοπεί στην εξαγωγή των δεδομένων προσωπικού χαρακτήρα από το πληροφοριακό σύστημα του υπευθύνου επεξεργασίας, η διαβίβαση μπορεί να αποτελέσει πιθανή πηγή κινδύνων για τα εν λόγω δεδομένα (ιδίως δε παραβιάσεων των δεδομένων κατά τη διαβίβαση). Ο υπεύθυνος επεξεργασίας έχει την ευθύνη να λαμβάνει όλα τα μέτρα ασφαλείας που απαιτούνται προκειμένου να διασφαλίζεται όχι μόνον ότι τα δεδομένα προσωπικού χαρακτήρα διαβιβάζονται με ασφάλεια (μέσω διατερματικής κρυπτογράφησης) στον σωστό προορισμό (μέσω αξιόπιστων μέτρων επαλήθευσης ταυτότητας), αλλά και ότι τα δεδομένα προσωπικού χαρακτήρα που παραμένουν στο σύστημά του παραμένουν προστατευμένα, καθώς και να θεσπίζει διαφανείς διαδικασίες για την αντιμετώπιση πιθανών παραβιάσεων δεδομένων37. Συνεπώς, οι υπεύθυνοι επεξεργασίας πρέπει να αξιολογούν τους ειδικούς κινδύνους που σχετίζονται με τη φορητότητα των δεδομένων και να λαμβάνουν τα ενδεδειγμένα μέτρα μετριασμού των κινδύνων.

Στα εν λόγω μέτρα μετριασμού των κινδύνων μπορούν να περιλαμβάνονται: εάν ήδη απαιτείται επαλήθευση της ταυτότητας του υποκειμένου των δεδομένων, η χρήση πρόσθετων στοιχείων επαλήθευσης ταυτότητας, όπως ένα κοινό απόρρητο στοιχείο, ή ένα άλλο στοιχείο επαλήθευσης της ταυτότητας, όπως κωδικός πρόσβασης μίας χρήσης· η αναστολή ή το πάγωμα της διαβίβασης εάν υπάρχει υποψία ότι ο λογαριασμός έχει παραβιαστεί· στις περιπτώσεις απευθείας διαβίβασης από έναν υπεύθυνο επεξεργασίας σε άλλο, πρέπει να χρησιμοποιείται επαλήθευση ταυτότητας με εντολή, όπως οι επαληθεύσεις μέσω αδειοδοτικού.

Τα εν λόγω μέτρα ασφαλείας δεν πρέπει από τη φύση τους να δημιουργούν προσκόμματα ούτε να αποτρέπουν τους χρήστες από την άσκηση των δικαιωμάτων τους, π.χ. επιβάλλοντας επιπλέον κόστη.

Πώς μπορούν να βοηθηθούν οι χρήστες ώστε να επιτυγχάνουν ασφαλή αποθήκευση των δεδομένων προσωπικού χαρακτήρα στα δικά τους συστήματα;

Κατά την ανάκτηση των δεδομένων προσωπικού χαρακτήρα τους από επιγραμμική υπηρεσία, ελλοχεύει πάντα ο κίνδυνος αποθήκευσης των δεδομένων από τον χρήστη σε λιγότερο συστήματα λιγότερο ασφαλή σε σχέση με το σύστημα που παρέχεται από την υπηρεσία. Το υποκείμενο των δεδομένων που αιτείται τα δεδομένα καλείται να αναζητήσει τα ενδεδειγμένα μέτρα για την ασφάλεια των δεδομένων προσωπικού χαρακτήρα στο σύστημά του. Ωστόσο, πρέπει να έχει επίγνωση αυτής της υποχρέωσης ώστε να μεριμνήσει για την προστασία των πληροφοριών που λαμβάνει. Ως ενδεικτικό παράδειγμα εξέχουσας πρακτικής, οι υπεύθυνοι επεξεργασίας δύνανται επίσης να συστήσουν τον κατάλληλο μορφότυπο/-ους, εργαλεία κρυπτογράφησης και άλλα μέτρα ασφαλείας με στόχο να συνδράμουν το υποκείμενο των δεδομένων στην επίτευξη αυτού του στόχου.

• 1. Βασικός σκοπός της φορητότητας των δεδομένων είναι να ενισχύσει τον έλεγχο που έχουν τα πρόσωπα στα δεδομένα προσωπικού χαρακτήρα τους και να εξασφαλίσει ότι διαδραματίζουν ενεργό ρόλο στο οικοσύστημα των δεδομένων.
• 2. Π.χ., το δικαίωμα αυτό μπορεί να παρέχει στις τράπεζες τη δυνατότητα να προσφέρουν πρόσθετες υπηρεσίες, υπό τον έλεγχο του χρήστη, χρησιμοποιώντας δεδομένα προσωπικού χαρακτήρα τα οποία αρχικά συλλέχθηκαν στο πλαίσιο υπηρεσίας παροχής ενέργειας.
• 3. Βλέπε το θεματολόγιο της Επιτροπής για την ψηφιακή ενιαία αγορά: https://ec.europa.eu/digital-agenda/en/digital-single-market, ιδίως δε τον πρώτο πυλώνα πολιτικής «Βελτίωση της επιγραμμικής πρόσβασης σε ψηφιακά αγαθά και υπηρεσίες».
• 4. Σε αυτές τις περιπτώσεις, η επεξεργασία στην οποία υποβάλλονται τα δεδομένα από το υποκείμενο των δεδομένων μπορεί είτε να εμπίπτει στο πεδίο των οικιακών δραστηριοτήτων, περίπτωση κατά την οποία το σύνολο της επεξεργασίας εκτελείται υπό τον αποκλειστικό έλεγχο του υποκειμένου των δεδομένων, ή να εκτελείται από τρίτο, για λογαριασμό του υποκειμένου των δεδομένων. Στη δεύτερη αυτή περίπτωση, ο τρίτος πρέπει να θεωρείται υπεύθυνος επεξεργασίας, ακόμη και όταν μοναδικός σκοπός είναι η αποθήκευση των δεδομένων προσωπικού χαρακτήρα, και πρέπει να συμμορφώνεται με τις αρχές και τις υποχρεώσεις που θεσπίζονται στον ΓΚΠΔ.
• 5. Βλέπε επίσης ενότητα V.
• 6. Ως αποτέλεσμα, θα πρέπει να δίδεται ιδιαίτερη προσοχή στον μορφότυπο των διαβιβαζόμενων δεδομένων, έτσι ώστε να διασφαλίζεται η δυνατότητα περαιτέρω χρήσης των δεδομένων, χωρίς ιδιαίτερη προσπάθεια, από το υποκείμενο των δεδομένων ή από άλλον υπεύθυνο επεξεργασίας. Βλέπε επίσης ενότητα V.
• 7. Βλέπε διάφορες πειραματικές εφαρμογές στην Ευρώπη, π.χ. MiData στο Ηνωμένο Βασίλειο, MesInfos / SelfData από την FING στη Γαλλία.
• 8. Οι κλάδοι του λεγόμενου ποσοτικοποιημένου εαυτού (Quantified Self) και του Διαδικτύου των Πραγμάτων (IoT) έχουν καταδείξει τα οφέλη (και τους κινδύνους) της σύνδεσης δεδομένων προσωπικού χαρακτήρα από διαφορετικές πτυχές της ζωής ενός ατόμου όπως η φυσική κατάσταση, η δραστηριότητα και η πρόσληψη θερμίδων με σκοπό τη διαμόρφωση μιας πιο ολοκληρωμένης εικόνας για τη ζωή ενός ατόμου σε ένα και μόνο αρχείο.
• 9. Το δικαίωμα στη φορητότητα των δεδομένων δεν περιορίζεται στα δεδομένα προσωπικού χαρακτήρα που είναι χρήσιμα και συναφή για παρεμφερείς υπηρεσίες οι οποίες παρέχονται από ανταγωνιστές του υπευθύνου επεξεργασίας.
• 10. Στο ανωτέρω παράδειγμα, αν ο υπεύθυνος επεξεργασίας δεν διατηρεί αρχείο των τραγουδιών που άκουσε ένας χρήστης, τότε τα συγκεκριμένα δεδομένα προσωπικού χαρακτήρα δεν μπορούν να συμπεριληφθούν σε αίτημα φορητότητας δεδομένων.
• 11. Δηλαδή εκείνος που λαμβάνει δεδομένα προσωπικού χαρακτήρα μετά από αίτημα φορητότητας δεδομένων το οποίο υποβλήθηκε από το υποκείμενο των δεδομένων σε άλλον υπεύθυνο επεξεργασίας.
• 12. Επιπλέον, ο νέος υπεύθυνος επεξεργασίας δεν πρέπει να επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα που δεν είναι συναφή, και η επεξεργασία πρέπει να περιορίζεται σε ό,τι είναι αναγκαίο για τους νέους σκοπούς, ακόμη και αν τα δεδομένα προσωπικού χαρακτήρα αποτελούν μέρος ενός πιο γενικού συνόλου δεδομένων που διαβιβάζονται μέσω διαδικασίας φορητότητας. Τα δεδομένα προσωπικού χαρακτήρα που δεν είναι αναγκαία για την επίτευξη των σκοπών της νέας επεξεργασίας πρέπει να διαγράφονται το ταχύτερο δυνατό.
• 13. Αφού παραληφθούν από τον υπεύθυνο επεξεργασίας, τα δεδομένα προσωπικού χαρακτήρα που αποστέλλονται στο πλαίσιο του δικαιώματος στη φορητότητα των δεδομένων μπορούν να θεωρούνται παρασχεθέντα από το υποκείμενο των δεδομένων και να αναδιαβιβάζονται σύμφωνα με το δικαίωμα στη φορητότητα των δεδομένων, εφόσον πληρούνται οι λοιπές προϋποθέσεις που ισχύουν για το συγκεκριμένο δικαίωμα (δηλ. η νομική βάση της επεξεργασίας, ...).
• 14. Όπως ορίζεται στο άρθρο 17 του ΓΚΠΔ.
• 15. Για παράδειγμα, αν το αίτημα του υποκειμένου των δεδομένων επιδιώκει συγκεκριμένα την παροχή πρόσβασης στο ιστορικό κινήσεων του τραπεζικού του λογαριασμού σε πάροχο υπηρεσιών πληροφοριών λογαριασμού, για τους σκοπούς που δηλώνονται στην οδηγία για τις υπηρεσίες πληρωμών 2 (ΟΥΠ2) η πρόσβαση αυτή πρέπει να χορηγείται σύμφωνα με τις διατάξεις της εν λόγω οδηγίας.
• 16. Βλέπε αιτιολογική σκέψη 68 και άρθρο 20 παράγραφος 3 του ΓΚΠΔ. Το άρθρο 20 παράγραφος 3 και η αιτιολογική σκέψη 68 ορίζουν ότι η φορητότητα των δεδομένων δεν ισχύει όταν η επεξεργασία των δεδομένων είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, ή κατά την άσκηση των δημόσιων καθηκόντων ή τη συμμόρφωση με νομική υποχρέωση του υπευθύνου επεξεργασίας. Ως εκ τούτου, οι υπεύθυνοι επεξεργασίας δεν υποχρεούνται να παρέχουν φορητότητα σε αυτές τις περιπτώσεις. Ωστόσο, αποτελεί ορθή πρακτική η ανάπτυξη διαδικασιών για αυτόματη απάντηση σε αιτήματα φορητότητας, σύμφωνα με τις αρχές που διέπουν το δικαίωμα στη φορητότητα των δεδομένων. Ένα τέτοιο παράδειγμα θα ήταν μια κρατική υπηρεσία η οποία παρέχει τη δυνατότητα εύκολης καταφόρτωσης παλαιότερων φορολογικών δηλώσεων. Για τη φορητότητα των δεδομένων ως ορθή πρακτική σε περιπτώσεις επεξεργασίας που έχει ως νομική βάση την αναγκαιότητα λόγω έννομου συμφέροντος και για τα υφιστάμενα προαιρετικά συστήματα, βλέπε σελίδες 47 & 48 της γνώμης 6/2014 της ΟΕ29 σχετικά με τα έννομα συμφέροντα (WP217).
• 17. Όπως ανέφερε η ΟΕ29 στη γνώμη 8/2001 της 13ης Σεπτεμβρίου 2001 (WP48).
• 18. http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp216_el.pdf
• 19. Με το να έχει δυνατότητα ανάκτησης των δεδομένων που προκύπτουν από την παρατήρηση της δραστηριότητάς του, το υποκείμενο των δεδομένων θα μπορεί επίσης να έχει καλύτερη εικόνα των επιλογών υλοποίησης του υπεύθυνου της επεξεργασίας όσον αφορά το εύρος των παρατηρούμενων δεδομένων και θα είναι σε καλύτερη θέση να επιλέξει ποια δεδομένα επιθυμεί να παράσχει προκειμένου να λάβει μια παρεμφερή υπηρεσία, και να γνωρίζει τον βαθμό στον οποίο γίνεται σεβαστό το δικαίωμά του στην προστασία της ιδιωτικής ζωής.
• 20. Εντούτοις, το υποκείμενο των δεδομένων μπορεί ακόμη να ασκεί το «δικαίωμά [του] να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα», καθώς και πληροφορίες σχετικά με «την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που προβλέπεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων», σύμφωνα με το άρθρο 15 του ΓΚΠΔ (το οποίο αναφέρεται στο δικαίωμα πρόσβασης).
• 21. Σε αυτά περιλαμβάνονται όλα τα δεδομένα που παρατηρούνται σε σχέση με το υποκείμενο των δεδομένων στη διάρκεια των δραστηριοτήτων για τους σκοπούς των οποίων συλλέγονται τα δεδομένα, π.χ. ένα ιστορικό συναλλαγών ή αρχείο πρόσβασης. Δεδομένα τα οποία συλλέγονται από την παρακολούθηση και καταγραφή του υποκειμένου των δεδομένων (π.χ. μέσω εφαρμογής που καταγράφει τον καρδιακό παλμό ή τεχνολογίας που χρησιμοποιείται για την παρακολούθηση των συνηθειών περιήγησης) πρέπει επίσης να θεωρείται ότι “παρέχονται από” το υποκείμενο ακόμη και αν τα δεδομένα δεν διαβιβάζονται ενεργά ή συνειδητά.
• 22. Η αιτιολογική σκέψη 68 ορίζει ότι «όταν, σε συγκεκριμένο σύνολο δεδομένων προσωπικού χαρακτήρα, θίγονται περισσότερα του ενός υποκείμενα δεδομένων, το δικαίωμα λήψης των δεδομένων προσωπικού χαρακτήρα δεν θα πρέπει να θίγει τα δικαιώματα και τις ελευθερίες άλλων υποκειμένων των δεδομένων σύμφωνα με τον παρόντα κανονισμό.»
• 23. Μια υπηρεσία κοινωνικής δικτύωσης δεν πρέπει να εμπλουτίζει το προφίλ των μελών της χρησιμοποιώντας δεδομένα προσωπικού χαρακτήρα τα οποία διαβιβάζονται από υποκείμενο δεδομένων στο πλαίσιο του δικαιώματός του στη φορητότητα των δεδομένων, χωρίς να τηρεί την αρχή της διαφάνειας και χωρίς να διασφαλίζει ότι στηρίζεται στην κατάλληλη νομική βάση όσον αφορά τη συγκεκριμένη αυτή επεξεργασία.
• 24. Το άρθρο 12 ορίζει ότι οι υπεύθυνοι επεξεργασίας οφείλουν να παρέχουν «κάθε ανακοίνωση [...] σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, ιδίως όταν πρόκειται για πληροφορία απευθυνόμενη ειδικά σε παιδιά».
• 25. Παραδείγματος χάριν, όταν η επεξεργασία δεδομένων σχετίζεται με λογαριασμό χρήστη, η παροχή του σχετικού ονόματος χρήστη και κωδικού πρόσβασης θα μπορούσε να επαρκεί για την ταυτοποίηση του υποκειμένου των δεδομένων.
• 26. Άρθρο 12 παράγραφος 3: «Ο υπεύθυνος επεξεργασίας παρέχει [...] πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος [...]».
• 27. Διεπαφές προγραμματισμού εφαρμογών (API) είναι οι διεπαφές εφαρμογών ή διαδικτυακών υπηρεσιών που διατίθενται από τους υπευθύνους επεξεργασίας ώστε άλλα συστήματα ή εφαρμογές να μπορούν να συνδεθούν και να συνεργαστούν με τα συστήματά τους.
• 28. Ενδέχεται να προκύψουν ορισμένα θεμιτά εμπόδια, όπως εκείνα που σχετίζονται με τα δικαιώματα και τις ελευθερίες των τρίτων και αναφέρονται στο άρθρο 20 παράγραφος 4, ή όσα σχετίζονται με την ασφάλεια των συστημάτων των ίδιων των υπευθύνων επεξεργασίας. Θα αποτελεί ευθύνη του υπευθύνου επεξεργασίας να αιτιολογήσει γιατί τα εν λόγω εμπόδια πρέπει να θεωρηθούν θεμιτά και γιατί δεν αποτελούν αντίρρηση κατά την έννοια του άρθρου 20 παράγραφος 1.
• 29. Μέσω επικοινωνίας με επαλήθευση ταυτότητας και με το αναγκαίο επίπεδο κρυπτογράφησης των δεδομένων.
• 30. Ο μηχανισμός συγχρονισμού μπορεί να βοηθήσει στην επίτευξη των γενικών υποχρεώσεων βάσει του άρθρου 5 του ΓΚΠΔ, που ορίζει ότι «[τ]α δεδομένα προσωπικού χαρακτήρα (...) είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται».
• 31. Για τα συστήματα διαχείρισης προσωπικών πληροφοριών (PIMS), βλέπε, π.χ., Γνώμη 9/2016 της EDPS, στην ηλεκτρονική διεύθυνση https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2016/16-10-20_PIMS_opinion_EN.pdf
• 32. Άρθρο 2 της απόφασης αριθ. 922/2009/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 16ης Σεπτεμβρίου 2009, σχετικά με λύσεις διαλειτουργικότητας για τις ευρωπαϊκές δημόσιες διοικήσεις (ISA) (ΕΕ L 260 της 03.10.2009, σ. 20).
• 33. για την τροποποίηση της οδηγίας 2003/98/ΕΚ σχετικά με την περαιτέρω χρήση πληροφοριών του δημόσιου τομέα
• 34. Το γλωσσάριο της ΕΕ (http://eur-lex.europa.eu/eli-register/glossary.html) διευκρινίζει περαιτέρω τι προσδοκάται σε σχέση με τις έννοιες που χρησιμοποιούνται στις παρούσες κατευθυντήριες γραμμές, όπως, π.χ., αναγνώσιμος από μηχανήματα, διαλειτουργικότητα, ανοικτοί μορφότυποι, πρότυπο, μεταδεδομένα.
• 35. Το πρότυπο ISO/IEC 2382-01 ορίζει τη διαλειτουργικότητα ως εξής: «Η ικανότητα επικοινωνίας, εκτέλεσης προγραμμάτων ή μεταφοράς δεδομένων μεταξύ διαφορετικών λειτουργικών μονάδων με τέτοιο τρόπο ώστε να μην απαιτείται από τον χρήστη παρά ελάχιστη ή και καμία γνώση των μοναδικών χαρακτηριστικών των εν λόγω μονάδων.»
• 36. Πηγή: http://ec.europa.eu/isa/documents/isa_annex_ii_eif_en.pdf
• 37. Σύμφωνα με την οδηγία (ΕΕ) 2016/1148 σχετικά με μέτρα για υψηλό κοινό επίπεδο ασφάλειας συστημάτων δικτύου και πληροφοριών σε ολόκληρη την Ένωση.