GDPR και Ναυτιλία:

Ο Κανονισμός Προστασίας Προσωπικών Δεδομένων στον Ναυτιλιακό κλάδο και τις Ναυτιλιακές Εταιρείες. Ορισμός, Σημεία Προσοχής και Συχνές Ερωτήσεις / Απαντήσεις

1. Πότε θα ενεργοποιηθεί ο GDPR για τις ναυτιλιακές εταιρείες;

   1. Ο GDPR θα ενεργοποιηθεί στις 25 Μαΐου 2018. Η ημερομηνία είναι τελική και για κάθε μορφή οργανισμού / δραστηριότητας. 

2. Τι πρόστιμα προβλέπει ο GDPR σε περίπτωση μη συμμόρφωσης σε μια ναυτιλιακή; Παραδείγματα;

   1. O GDPR προβλέπει διοικητικά πρόστιμα σε περίπτωση σοβαρής μη συμμόρφωσης μέχρι € 20.000.000 ή μέχρι 4% του παγκόσμιου κύκλου εργασιών (όποιο είναι υψηλότερο). Παραδείγματα σοβαρής μη συμμόρφωσης:
      1. Βασικές αρχές επεξεργασίας δεδομένων, συμπεριλαμβανομένης της συγκατάθεσης (Άρθρα 5, 6, 7 και 9)
      2. Δικαιώματα των προσώπων στα οποία αναφέρονται τα δεδομένα (Άρθρα 12-22)
      3. Διεθνείς μεταφορές δεδομένων (Αρθρα 44-49)
   2. Οι λοιπές παραβάσεις υπόκεινται σε διοικητικά πρόστιμα μέχρι € 10.000.000 ή μέχρι 2% του παγκόσμιου κύκλου εργασιών, όποιο είναι υψηλότερο για παραβιάσεις σε:
      1. τεχνικά και οργανωτικά μέτρα
      2. διασφάλιση προστασίας δεδομένων από το σχεδιασμό (Άρθρο 25)
      3. controllers και processors που δεν είναι εγκατεστημένοι στην ΕΕ (Άρθρο 27)
      4. controllers σε σχέση με τη δέσμευση των υπευθύνων επεξεργασίας δεδομένων (Άρθρο 28)
      5. διατήρηση γραπτών αρχείων (Άρθρο 30)
      6. ελεγκτές και υπεύθυνους επεξεργασίας οι οποίοι αρνούνται να συνεργαστούν με εποπτικές αρχές (Άρθρο 31)
      7. Αδυναμία εφαρμογής τεχνικών και οργανωτικών μέτρων (Άρθρο 32)
      8. Μη αναφορά παραβιάσεων όταν το απαιτεί ο GDPR (Άρθρα 33-34).
      9. σε παράλειψη εκτίμησης των επιπτώσεων στην ιδιωτική ζωή (Άρθρα 35-36)
      10. σε σχέση με το διορισμό των υπευθύνων προστασίας δεδομένων (Άρθρα 37-39) ·
   3. Οποιαδήποτε παραβίαση υποχρεώσεων του GDPR μπορεί να επιφέρει κυρώσεις σε μια ναυτιλιακή. Ενδεικτικά, μια παραβίαση μπορεί να είναι:
      1. η ανεπαρκής εφαρμογή μέτρων ασφαλείας,
      2. η μη επαρκής τήρηση υποχρεώσεων του DPO,
      3. η απαγόρευση άσκησης δικαιωμάτων στα υποκείμενα των δεδομένων κ.λπ.

3. Τα ναυτιλιακά club θα έχουν παρόμοια αντιμετώπιση σχετικά με το GDPR;

   1. Είναι πιθανό οτι θα υπάρχουν μικρές διαφορές σε Ευρωπαϊκά και Αγγλικά ναυτιλιακά club. Όμως η προσπάθεια είναι να υπάρχει κοινή αντιμετώπιση στα βασικά σημεία εφαρμογής του νόμου.

4. Πως ξεκινάει μια ναυτιλιακή να συμμορφώνεται με τις απαιτήσεις του GDPR; Υπάρχει κάτι έτοιμο;

   1. Η κάθε περίπτωση είναι διαφορετική αν και ισχύουν οι ίδιοι κανόνες για όλα τα νομικά πρόσωπα. Μια καλή αρχή είναι η εφαρμογή του ISO 27001.

5. Data Protection Officer: Χρειάζεται σε μια ναυτιλιακή; Είναι εσωτερικός ή εξωτερικός συνεργάτης;

   1. Το άρθρο 37 ορίζει τα εξής:
      1. Ο υπεύθυνος επεξεργασίας και ο επεξεργαστής ορίζουν Υπεύθυνο Προστασίας Δεδομένων σε περίπτωση όπου:
      2. η επεξεργασία διενεργείται από δημόσια αρχή ή φορέα, εκτός από δικαστήρια που ενεργούν στο πλαίσιο της δικαιοδοτικής τους αρμοδιότητας,
      3. οι βασικές δραστηριότητες του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία συνιστούν πράξεις επεξεργασίας οι οποίες, λόγω της φύσης, του πεδίου εφαρμογής και/ή των σκοπών τους, απαιτούν τακτική και συστηματική παρακολούθηση των υποκειμένων των δεδομένων σε μεγάλη κλίμακα, ή
      4. οι βασικές δραστηριότητες του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία συνιστούν μεγάλης κλίμακας επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα κατά το άρθρο 9 και δεδομένων που αφορούν ποινικές καταδίκες και αδικήματα που αναφέρονται στο άρθρο 10.
      5. 2 …
      6. 3 …
      7. 4 …
      8. Ο υπεύθυνος προστασίας δεδομένων διορίζεται βάσει επαγγελματικών προσόντων και ιδίως βάσει της εμπειρογνωσίας που διαθέτει στον τομέα του δικαίου και των πρακτικών περί προστασίας δεδομένων, καθώς και βάσει της ικανότητας εκπλήρωσης των καθηκόντων που αναφέρονται στο άρθρο 39.
      9. Ο υπεύθυνος προστασίας δεδομένων μπορεί να είναι μέλος του προσωπικού του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία ή να ασκεί τα καθήκοντά του βάσει σύμβασης παροχής υπηρεσιών.
   2. Άρα, η βασική ερώτηση που πρέπει να απαντήσει μια ναυτιλιακή είναι “αν οι βασικές δραστηριότητες του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία συνιστούν πράξεις επεξεργασίας οι οποίες, λόγω της φύσης, του πεδίου εφαρμογής και/ή των σκοπών τους, απαιτούν τακτική και συστηματική παρακολούθηση των υποκειμένων των δεδομένων σε μεγάλη κλίμακα”.

6. Υπάρχει διαφοροποίηση στην ισχύ του κανονισμού ανάλογα με το μέγεθος της ναυτιλιακής εταιρείας; Δηλαδή, ο GDPR ισχύει και για ναυτιλιακές εταιρείες με λιγότερα από 250 άτομα προσωπικό;

   1. Ο GDPR ισχύει για όλα τα νομικά πρόσωπα, ανεξάρτητα του προσωπικού που απασχολούν. Όμως,
   2. για εταιρείες που απασχολούν λιγότερα από 250 άτομα προσωπικό δεν ισχύει το άρθρο 30 (περί τήρησης Αρχείων Δραστηριοτήτων Επεξεργασίας Δεδομένων) “εκτός εάν η διενεργούμενη επεξεργασία ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων, η επεξεργασία δεν είναι περιστασιακή ή η επεξεργασία περιλαμβάνει ειδικές κατηγορίες δεδομένων κατά το άρθρο 9 παράγραφος 1 ή επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες και αδικήματα που αναφέρονται στο άρθρο 10.”
   3. Ο κανονισμός αφήνει περιθώριο σε κάθε κράτος-μέλος να ορίζει διαφορετικούς τρόπους συμμόρφωσης για τις ΜΜΕ.

7. Δεδομένα σε προσωπικούς υπολογιστές εμπίπτουν στο πλαίσιο του κανονισμού;

   1. Ναι.

8. Ο GDPR ισχύει και για δημόσιες αρχές;

   1. Ναι.

9. Το “Cold calling / emailing” από λίστες που διαθέτουμε απαγορεύεται;

   1. Ακόμα και στον υφιστάμενο κανονισμό γίνεται λόγος για την συλλογή δεδομένων για σκοπούς marketing. Η ύπαρξη μιας λίστας δεν αποτελεί παράβαση. Η χρήση, η συλλογή και η μεταφορά μιας τέτοιας λίστας είναι πιθανό να δημιουργήσει πρόβλημα υπό προϋποθέσεις. Σε κάθε περίπτωση, προτείνουμε να υπάρχει αποδεδειγμένη συγκατάθεση των υποκειμένων στη λίστα.

10. Ο GDPR ισχύει για Έλληνες πλοιοκτήτες και Ελληνικές ναυτιλιακές που δεν απασχολούν προσωπικό εντός της ΕΕ;

    1. Ναι. Διότι η ερώτηση προϋποθέτει οτι μια ναυτιλιακή θα επεξεργάζεται μόνο δεδομένα για το προσωπικό της, κάτι που εν τοις πράγμασι δεν γίνεται. Ο κανονισμός είναι σαφής στο Άρθρο 3, Παρ. 1. : “Ο παρών κανονισμός εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο των δραστηριοτήτων μιας εγκατάστασης ενός υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία στην Ένωση, ανεξάρτητα από το κατά πόσο η επεξεργασία πραγματοποιείται εντός ή εκτός της Ένωσης.”

11. Στέλνουμε ιατρικά δεδομένα του πληρώματος σε εξωτερικούς συνεργάτες / φορείς. Πως διασφαλίζουμε την προστασία τους;

    1. Αν η χώρα που στέλνουμε τα δεδομένα δεν είναι αναγνωρισμένα “επαρκής” στην Ε.Ε. τότε πρέπει να λάβουμε μέτρα ασφαλείας. Επι της ουσίας, αυτό σημαίνει να έχουμε ένα επίσημο συμφωνητικό σχετικά με τα μέτρα ασφάλειας που θα λάβει ο τρίτος φορέας.

12. Τα στοιχεία με τα δρομολόγια πλοίων ή φορτίων πλοίων εμπίπτουν στις απαιτήσεις του κανονισμού;

    1. Όχι, εκτός και αν περιλαμβάνουν προσωπικά δεδομένα.

13. Ο GDPR επηρεάζει τον τρόπο που χρησιμοποιεί και μοιράζεται δεδομένα ένα πλοίο;

    1. Πιθανότατα. Αν περιλαμβάνονται προσωπικά δεδομένα για πολίτες εντός ΕΕ και αν αυτά τα δεδομένα υπόκεινται σε επεξεργασία από οργανισμός εντός της ΕΕ.

14. Τι γίνεται με τα δεδομένα σε περιπτώσεις χρεοκοπίας μιας ναυτιλιακής;

    1. Αυτό είναι κάτι που θα αποφασιστεί ξεχωριστά από κάθε κράτος-μέλος.

15. Τι ισχύει σε περίπτωση παραβίασης και δεν λάβουμε γνώση, ούτε γνωστοποιήσουμε το περιστατικό; Είμαστε υπεύθυνοι ακόμα και αν έχουμε σωστά και επαρκή μέτρα ασφαλείας;

    1. Εξαρτάται από την παραβίαση καθώς και από τα μέτρα ασφαλείας που έχετε λάβει. Οι αρχές θα εξετάσουν πόσο γρήγορα και αποτελεσματικά ενεργήσατε μόλις λάβατε γνώση, αν τα μέτρα ασφαλείας σας ήταν επαρκή και αν οι διεργασίες / διαδικασίες λειτούργησαν όπως προβλεπόταν.

16. Χρειαζόμαστε νέα συγκατάθεση για όσα email έχουμε ήδη;

    1. Σε απλές γραμμές, αν έχουμε αρχική συγκατάθεση η οποία αποδεικνύεται με σαφήνεια, όχι.
    2. Το Άρθρο 6 αναφέρει:
       1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:
          α) το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς,
       2. η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης,
       3. γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας,
       4. δ) η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου,
       5. ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας,
       6. στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί.

17. Ο GDPR ισχύει και για δεδομένα που έχουν συγκεντρωθεί στο παρελθόν; Πχ ιατρικό ιστορικό εργαζομένου από το 2011;

    1. Ναι.

Summary

Article Name

GDPR και Ναυτιλία: Ο Κανονισμός Προστασίας Προσωπικών Δεδομένων στον Ναυτιλιακό κλάδο και τις Ναυτιλιακές Εταιρείες.

Description

GDPR και Ναυτιλία: Ο Κανονισμός Προστασίας Προσωπικών Δεδομένων στον Ναυτιλιακό κλάδο και τις Ναυτιλιακές Εταιρείες. Ορισμός, Σημεία Προσοχής και Συχνές Ερωτήσεις / Απαντήσεις. Περιλαμβάνει απαντήσεις σχετικά με δεδομένα δρομολογίων, φορτίων, πληρώματος, email, χρεοκοπίας, παραβίασης κ.α.

Author

Panagiotis Karalivanos

Publisher Name

Niriis S.A.

Publisher Logo