1. Οποιαδήποτε επεξεργασία δεδομένων προσωπικού χαρακτήρα δυνάμει του παρόντος, συμπεριλαμβανομένης της ανταλλαγής ή της διαβίβασης δεδομένων προσωπικού χαρακτήρα από τις αρμόδιες αρχές, πραγματοποιείται σύμφωνα με τον Κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της Οδηγίας 95/46/ΕΚ [Γενικός Κανονισμός για την Προστασία Δεδομένων, Γ.Κ.Π.Δ. (L 119)] και τον ν. 4624/2019 (Α’ 137), με την επιφύλαξη των ειδικότερων προβλέψεων του παρόντος και ειδικότερων ρυθμίσεων που αφορούν στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από τις αρμόδιες αρχές.
2. Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα, που λαμβάνει χώρα στο πλαίσιο του παρόντος, διενεργείται για την εκπλήρωση της υποχρέωσης καθιέρωσης διαύλων αναφορών και λήψης των αναγκαίων μέτρων για την παρακολούθησή τους κατά τα άρθρα 8 έως 12. Στην έννοια της ανωτέρω επεξεργασίας δεδομένων προσωπικού χαρακτήρα υπάγεται, ιδίως, κάθε πληροφορία σχετική με παραβιάσεις στο πλαίσιο εσωτερικών και εξωτερικών αναφορών, συμπεριλαμβανομένης της ανταλλαγής ή διαβίβασής τους. Επιτρέπεται η διαβίβαση στις αρμόδιες εποπτικές και ανακριτικές αρχές των πληροφοριών που διαλαμβάνονται στις αναφορές, οι οποίες μπορούν να χρησιμοποιηθούν ως αποδεικτικά μέσα σε διοικητικές, αστικές και ποινικές έρευνες και διαδικασίες.
3. Οι φορείς του δημόσιου τομέα του άρθρου 8, οι νομικές οντότητες του άρθρου 9 και η Ε.Α.Δ. αποτελούν υπεύθυνους επεξεργασίας.
4. Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα τεχνικά και οργανωτικά μέτρα, ώστε, κατά την υποβολή και την παρακολούθηση των αναφορών, να συλλέγονται τα απαραιτήτως αναγκαία και πρόσφορα για την επίτευξη των σκοπών του παρόντος δεδομένα προσωπικού χαρακτήρα. Δεδομένα προσωπικού χαρακτήρα, τα οποία προφανώς δεν σχετίζονται με τον χειρισμό συγκεκριμένης αναφοράς, ή είναι υπερβολικά, δεν συλλέγονται, ή αν έχουν συλλεγεί τυχαία διαγράφονται αμελλητί.
5. O υπεύθυνος επεξεργασίας κατά παρέκκλιση της περ. Α’ της παρ. 1 του άρθρου 5, των άρθρων 12 και 13, των παρ. 1 έως 4 του άρθρου 14 και του άρθρου 34 του Γ.Κ.Π.Δ. δεν παρέχει σχετική ενημέρωση για την επεξεργασία των προσωπικών δεδομένων στον αναφερόμενο και σε κάθε τρίτο πρόσωπο υπό την ιδιότητά του ως υποκειμένου των δεδομένων που κατονομάζεται στην αναφορά ή τα προσωπικά δεδομένα που προέκυψαν από μέτρα παρακολούθησης και ιδίως για την πηγή προέλευσης κατά την περ. στ’ της παρ. 2 του άρθρου 14 του Γ.Κ.Π.Δ., κατ’ εφαρμογή της παρ. 5 του άρθρου 14 του Γ.Κ.Π.Δ., σε συνδυασμό με το άρθρο 23 του Γ.Κ.Π.Δ., για όσο χρονικό διάστημα απαιτείται και εφόσον κριθεί αναγκαίο για τον σκοπό της πρόληψης και της αντιμετώπισης προσπαθειών παρεμπόδισης της αναφοράς, παρακώλυσης, ματαίωσης ή καθυστέρησης των μέτρων παρακολούθησης, ιδίως όσον αφορά στις έρευνες, ή προσπαθειών ταυτοποίησης των αναφερόντων, καθώς και για την προστασία τους έναντι αντιποίνων.
6. Ο υπεύθυνος επεξεργασίας δύναται να μην ικανοποιήσει τα δικαιώματα που παρέχονται από τα άρθρα 15 έως 22 του Γ.Κ.Π.Δ., όταν ασκούνται από τα αναφερόμενα και τρίτα πρόσωπα που κατονομάζονται στην αναφορά, ή προέκυψαν από μέτρα παρακολούθησης σύμφωνα με τα οριζόμενα στην παρ. 5.
7. Στις περιπτώσεις περιορισμού των δικαιωμάτων των υποκειμένων των δεδομένων που προβλέπονται στις παρ. 5 και 6, ο υπεύθυνος επεξεργασίας λαμβάνει όλα τα αναγκαία τεχνικά και οργανωτικά μέτρα για την προστασία των δικαιωμάτων και των ελευθεριών των προσώπων. Όταν ο υπεύθυνος επεξεργασίας αρνείται την ικανοποίηση των δικαιωμάτων, χωρίς να ενημερώσει σχετικά με τον λόγο του περιορισμού, το υποκείμενο των δεδομένων δικαιούται να υποβάλλει καταγγελία στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Α.Π.Δ.Π.Χ.), η οποία μπορεί να ερευνήσει τη συνδρομή των προϋποθέσεων του περιορισμού των δικαιωμάτων και να ενημερώσει σχετικά το υποκείμενο, εφόσον η ενημέρωση αυτή δεν είναι επιζήμια για την εκπλήρωση των σκοπών αυτών.
8. Ο υπεύθυνος επεξεργασίας, σε περίπτωση παραβίασης των δεδομένων προσωπικού χαρακτήρα, δεν προβαίνει σε ανακοίνωσή της κατά την παρ. 1 του άρθρου 34 του Γ.Κ.Π.Δ. προς το υποκείμενο των δεδομένων, εφόσον η ανακοίνωση αυτή μπορεί να αποβεί επιζήμια για τους επιδιωκόμενους σκοπούς του παρόντος και ενημερώνει σχετικά την Α.Π.Δ.Π.Χ., η οποία μπορεί, αφού ερευνήσει τη συνδρομή των λόγων που επικαλείται, να ζητήσει τη διενέργεια της ανακοίνωσης, εφόσον κρίνει ότι δεν πληρούνται οι προϋποθέσεις για την παράλειψη της ανακοίνωσης.
