EL Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης C 280/1

Γνωμοδότηση του Ευρωπαίου Επόπτη Προστασίας Δεδομένων σχετικά με την προαγωγή της εμπιστοσύνης στην κοινωνία της πληροφορίας μέσω της ενίσχυσης της προστασίας των δεδομένων και της ιδιωτικής ζωής

2010/C 280/01

Ο ΕΥΡΩΠΑΙΟΣ ΕΠΟΠΤΗΣ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ,

Έχοντας υπόψη:

τη συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης, και ιδίως το άρθρο 16,

τον Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, και ιδίως τα άρθρα 7 και 8,

την οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 24ης Οκτωβρίου 1995 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (1),

την οδηγία 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 12ης Ιουλίου 2002 σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών (2),

τον κανονισμό (ΕΚ) αριθ. 45/2001 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 18ης Δεκεμβρίου 2000, σχετικά με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα όργανα και τους οργανισμούς της Κοινότητας και σχετικά με την ελεύθερη κυκλοφορία των δεδομένων αυτών (3), και ιδίως το άρθρο 41,

ΕΞΕΔΩΣΕ ΤΗΝ ΑΚΟΛΟΥΘΗ ΓΝΩΜΟΔΟΤΗΣΗ:

I. ΕΙΣΑΓΩΓΗ

1. Οι τεχνολογίες πληροφοριών και επικοινωνιών (ΤΠΕ) διανοίγουν εκπληκτικές δυνατότητες σε όλες σχεδόν τις πτυχές της ζωής: από τον τρόπο εργασίας μέχρι τους τρόπους ψυχαγωγίας, συναναστροφής και εκπαίδευσης, ενώ είναι παράλληλα ουσιώδεις για τη σύγχρονη οικονομία της πληροφορίας και για την κοινωνία εν γένει.

2. Η Ευρωπαϊκή Ένωση είναι –και σκοπεύει να παραμείνει– παγκόσμια δύναμη στις προηγμένες ΤΠΕ. Για να ανταποκριθεί με επιτυχία στην πρόκληση αυτή, η Ευρωπαϊκή Επιτροπή πρόκειται σύντομα να εκδώσει μια νέα ευρωπαϊκή ψηφιακή ατζέντα η οποία, όπως διαβεβαίωσε η αρμόδια Επίτροπος Kroes, αποτελεί βασική της προτεραιότητα (4).

3. Ο ΕΕΠΔ αναγνωρίζει τα οφέλη των ΤΠΕ και συμφωνεί ότι η ΕΕ πρέπει να καταβάλλει κάθε δυνατή προσπάθεια για την ανάπτυξη και την ευρύτερη δυνατή διάδοσή τους. Επίσης, συμμερίζεται πλήρως την άποψη της Επιτρόπου Kroes και της Επιτρόπου Reding ότι οι πολίτες πρέπει να βρίσκονται στο επίκεντρο του νέου αυτού περιβάλλοντος (5) και να μπορούν να βασίζονται στην ικανότητα των ΤΠΕ να προστατεύουν τις πληροφορίες τους και να ελέγχουν τη χρήση τους. Θα πρέπει ακόμη να είναι βέβαιοι ότι θα διαφυλάσσονται στο ψηφιακό περιβάλλον τα δικαιώματά τους στην ιδιωτική ζωή και στην προστασία των δεδομένων προσωπικού χαρακτήρα. Ο σεβασμός των εν λόγω δικαιωμάτων είναι σημαντικός προκειμένου να εξασφαλιστεί η εμπιστοσύνη των καταναλωτών, η οποία έχει, με τη σειρά της, καθοριστική σημασία για τη χρήση των νέων υπηρεσιών από τους πολίτες (6).

4. Η ΕΕ διαθέτει αυστηρό νομικό πλαίσιο για την προστασία των δεδομένων και της ιδιωτικής ζωής, οι αρχές του οποίου εξακολουθούν να είναι καθ’ όλα έγκυρες στην ψηφιακή εποχή. Δεν πρέπει όμως να εφησυχάζει. Σε πολλές περιπτώσεις, οι ΤΠΕ θέτουν νέους προβληματισμούς οι οποίοι δεν καλύπτονται από το ισχύον πλαίσιο. Απαιτείται επομένως η ανάληψη δράσης προκειμένου να συνεχίσουν να προστατεύονται αποτελεσματικά στο νέο αυτό περιβάλλον τα ατομικά δικαιώματα, όπως κατοχυρώνονται στην κοινοτική νομοθεσία.

5. Στην παρούσα γνωμοδότηση αναφέρονται τα μέτρα που θα μπορούσε να προωθήσει ή να λάβει η Ευρωπαϊκή Ένωση προκειμένου να διασφαλίσει την προστασία της ιδιωτικής ζωής και των δεδομένων των ατόμων στο νέο παγκοσμιοποιημένο περιβάλλον το οποίο θα συνεχίσει να έχει ως βασικό κινητήριο άξονά του την τεχνολογία. Η γνωμοδότηση αναφέρεται τόσο σε νομοθετικά όσο και σε μη νομοθετικά μέτρα.

6. Η γνωμοδότηση ξεκινά με μια επισκόπηση των ΤΠΕ οι οποίες εξετάζονται ως μια νέα εξέλιξη που δημιουργεί ευκαιρίες αλλά και κινδύνους. Στη συνέχεια, η γνωμοδότηση αναφέρεται στην ανάγκη ενσωμάτωσης, σε πρακτικό επίπεδο, της προστασίας των δεδομένων και τη ιδιωτικής ζωής στις νέες τεχνολογίες πληροφοριών και επικοινωνιών από συστάσεώς τους (πρόκειται για την αρχή της «προστασίας της ιδιωτικής ζωής εκ κατασκευής»). Προκειμένου να επιτευχθεί συμμόρφωση προς αυτήν την αρχή, η γνωμοδότηση αναφέρεται στην ανάγκη ενσωμάτωσης της αρχής της «προστασίας της ιδιωτικής ζωής εκ κατασκευής» στο νομικό πλαίσιο προστασίας των δεδομένων με δύο τουλάχιστον διαφορετικούς τρόπους. Πρώτον, ενσωματώνοντάς την ως γενική δεσμευτική αρχή και, δεύτερον, ενσωματώνοντάς την σε καθορισμένους τομείς ΤΠΕ που παρουσιάζουν συγκεκριμένους κινδύνους για την προστασία των δεδομένων και την ιδιωτική ζωή, οι οποίοι μπορούν ενδεχομένως να περιοριστούν μέσω κατάλληλης τεχνικής αρχιτεκτονικής και κατάλληλου τεχνικού σχεδιασμού. Οι τομείς αυτοί είναι η ραδιοσυχνική αναγνώριση (RFID), οι εφαρμογές κοινωνικής δικτύωσης και οι εφαρμογές φυλλομετρητών. Η γνωμοδότηση διατυπώνει, τέλος, προτάσεις για την εφαρμογή άλλων μέσων και αρχών με γνώμονα την προστασία της ιδιωτικής ζωής και των δεδομένων των ατόμων στον τομέα των ΤΠΕ.

7. Κατά την παρουσίαση των προαναφερθέντων, η γνωμοδότηση αναπτύσσει λεπτομερώς ορισμένες από τις απόψεις που περιέχονται στη συνεισφορά της ομάδας εργασίας του άρθρου 29 στη δημόσια διαβούλευση για το μέλλον της ιδιωτικής ζωής (7). Βασίζεται ακόμη σε παλαιότερες γνωμοδοτήσεις του ΕΕΠΔ, όπως η γνωμοδότηση της 25ης Ιουλίου 2007 σχετικά με την εφαρμογή της οδηγίας για την προστασία δεδομένων, η γνωμοδότηση της 20ής Δεκεμβρίου 2007 για τη ραδιοσυχνική αναγνώριση και οι δύο γνωμοδοτήσεις του σχετικά με την οδηγία για την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών (8).

II. ΟΙ ΤΠΕ ΔΗΜΙΟΥΡΓΟΥΝ ΝΕΕΣ ΕΥΚΑΙΡΙΕΣ ΑΛΛΑ ΚΑΙ ΝΕΟΥΣ ΚΙΝΔΥΝΟΥΣ

8. Οι ΤΠΕ παραλληλίζονται με άλλες σημαντικές εφευρέσεις του παρελθόντος, όπως ο ηλεκτρισμός. Παρότι είναι ενδεχομένως πολύ νωρίς ακόμη να αξιολογηθεί ο πραγματικός αντίκτυπός τους στην ιστορία, είναι σαφής η σχέση μεταξύ των ΤΠΕ και της οικονομικής ανάπτυξης στις αναπτυγμένες χώρες. Οι ΤΠΕ συμβάλλουν στη δημιουργία νέων θέσεων εργασίας, αποφέρουν οικονομικά οφέλη και συνεισφέρουν στη γενικότερη ευημερία. Ο αντίκτυπος των ΤΠΕ δεν περιορίζεται μόνο στον οικονομικό τομέα, καθώς οι τεχνολογίες αυτές συμβάλλουν καθοριστικά στην τόνωση της καινοτομίας και της δημιουργικότητας.

9. Επιπλέον, οι ΤΠΕ έχουν αλλάξει τους τρόπους εργασίας, συναναστροφής και αλληλεπίδρασης των ανθρώπων μεταξύ τους. Για παράδειγμα, οι άνθρωποι στρέφονται ολοένα και περισσότερο στις ΤΠΕ σε επίπεδο κοινωνικών και οικονομικών αλληλεπιδράσεων. Τα άτομα μπορούν να χρησιμοποιούν πλέον πολλές και ποικίλες νέες εφαρμογές ΤΠΕ όπως οι υπηρεσίες ηλεκτρονικής υγείας (eHealth), ηλεκτρονικών μεταφορών (eTransport) και ηλεκτρονικής διακυβέρνησης (eGoverment), καθώς και καινοτόμα διαδραστικά συστήματα ψυχαγωγίας και μάθησης.

10. Έχοντας υπόψη τα προαναφερθέντα οφέλη, τα ευρωπαϊκά θεσμικά όργανα έχουν εκφράσει στο σύνολό τους τη βούλησή τους να στηρίξουν τις ΤΠΕ ως αναγκαίο μέσο για τη βελτίωση της ανταγωνιστικότητας της ευρωπαϊκής βιομηχανίας και την επιτάχυνση της οικονομικής ανάκαμψης της Ευρώπης. Πράγματι, τον Αύγουστο του 2009, η Επιτροπή εξέδωσε την έκθεση για την ψηφιακή ανταγωνιστικότητα της Ευρώπης (9) και ξεκίνησε δημόσια διαβούλευση με θέμα τη διαμόρφωση κατάλληλων μελλοντικών στρατηγικών για την προώθηση των ΤΠΕ. Στις 7 Δεκεμβρίου 2009, το Συμβούλιο διατύπωσε στην εν λόγω διαβούλευση εισήγηση με τίτλο «Η μετά την i2010 στρατηγική — Προς μια ανοιχτή, πράσινη και ανταγωνιστική κοινωνία της γνώσης» (10). Το Ευρωπαϊκό Κοινοβούλιο ενέκρινε προσφάτως μόλις έκθεση με θέμα την παροχή καθοδήγησης στην Επιτροπή για τον καθορισμό ψηφιακής ατζέντας (11).

11. Πέρα, όμως, από τις ευκαιρίες και τα οφέλη που συνοδεύουν την ανάπτυξη των ΤΠΕ, εμφανίζονται και νέοι κίνδυνοι, ιδίως για την ιδιωτική ζωή και την προστασία των δεδομένων προσωπικού χαρακτήρα των ατόμων. Οι ΤΠΕ συχνά συνεπάγονται τον πολλαπλασιασμό (πολύ συχνά με τρόπους που δεν αντιλαμβάνονται τα άτομα) του όγκου των πληροφοριών που συλλέγονται, ταξινομούνται, φιλτράρονται, διαβιβάζονται ή διατηρούνται με κάθε άλλον τρόπο, με αποτέλεσμα να πολλαπλασιάζονται και οι κίνδυνοι που απειλούν τα δεδομένα.

12. Για παράδειγμα, τα πλινθία ραδιοσυχνικής αναγνώρισης αντικαθιστούν ήδη τους γραμμωτούς κωδικούς σε (ορισμένα) καταναλωτικά προϊόντα. Μέσω της βελτίωσης της ροής των πληροφοριών στην αλυσίδα εφοδιασμού (και συνεπώς μέσω του περιορισμού της ανάγκης για αποθέματα «ασφάλειας», μέσω της παροχής ακριβέστερων προβλέψεων, κ.λπ.), το νέο σύστημα αναμένεται να ωφελήσει τόσο τις επιχειρήσεις όσο και τους καταναλωτές. Ταυτόχρονα, όμως, εμφανίζεται και το ανησυχητικό ενδεχόμενο του εντοπισμού των ατόμων, για διάφορους σκοπούς και από διάφορους φορείς, μέσω των επισημασμένων προϊόντων που περιέρχονται στην κατοχή τους.

13. Άλλο παράδειγμα είναι η «νεφοϋπολογιστική» (cloud computing), και συγκεκριμένα η παροχή φιλοξενούμενων καταναλωτικών και μη καταναλωτικών υπηρεσιών εφαρμογών μέσω του Διαδικτύου. Οι υπηρεσίες αυτές ποικίλλουν από την αναφόρτωση φωτογραφιών, ημερολόγια, υπηρεσίες webmail και βάσεις δεδομένων πελατών μέχρι περισσότερο περίπλοκες υπηρεσίες που σχετίζονται με επιχειρήσεις. Τα οφέλη για τις επιχειρήσεις και τα άτομα είναι προφανή: μείωση των δαπανών (οι δαπάνες είναι αυξητικές), αποδέσμευση από συγκεκριμένες τοποθεσίες (εύκολη πρόσβαση σε πληροφορίες σε ολόκληρο τον κόσμο), αυτοματισμός (δεν απαιτούνται ειδικοί πόροι ΤΠ, ούτε επικαιροποίηση του λογισμικού) κ.λπ. Ταυτόχρονα, όμως, ελλοχεύουν —και μάλιστα πολύ σοβαροί— κίνδυνοι παραβίασης της ασφάλειας και αθέμιτης παρείσφρησης (hacking). Ανησυχία υπάρχει και για το ενδεχόμενο απώλειας της πρόσβασης σε προσωπικά δεδομένα αλλά και του ελέγχου των δεδομένων αυτών.

14. Οφέλη και κίνδυνοι συνυπάρχουν όμως και σε άλλους τομείς όπου χρησιμοποιούνται εφαρμογές ΤΠΕ. Για παράδειγμα οι υπηρεσίες ηλεκτρονικής υγείας (eHealth), οι οποίες μπορούν να ενισχύσουν την αποτελεσματικότητα, να μειώσουν τις δαπάνες, να αυξήσουν την πρόσβαση και γενικότερα να βελτιώσουν την ποιότητα των υπηρεσιών υγειονομικής περίθαλψης. Ωστόσο, οι υπηρεσίες ηλεκτρονικής υγείας εγείρουν συχνά το ζήτημα της νομιμότητας των δευτερευουσών χρήσεων των πληροφοριών ηλεκτρονικής υγείας, γεγονός που καθιστά απαραίτητη την προσεκτική εξέταση των σκοπών κάθε ενδεχόμενης δευτερεύουσας χρήσης (12). Επιπλέον, καθώς έχει διαδοθεί ευρύτατα η χρήση ηλεκτρονικών ιατρικών φακέλων, έρχονται επανειλημμένως στο φως της δημοσιότητας σκάνδαλα που αφορούν σωρεία περιστατικών αθέμιτης παρείσφρησης σε ηλεκτρονικούς ιατρικούς φακέλους διαφόρων συστημάτων.

15. Εν ολίγοις, κίνδυνοι εξακολουθούν πιθανώς να υπάρχουν σε κάποιον βαθμό, ακόμη κι αφότου γίνουν οι σωστές αξιολογήσεις και εφαρμοστούν τα αναγκαία μέτρα. Δεν θα ήταν, άλλωστε, δυνατόν να μην υπήρχε κανένας απολύτως κίνδυνος. Πάντως, όπως αναφέρεται ακολούθως, μπορούν και πρέπει να εφαρμοστούν μέτρα για την όσο το δυνατόν μεγαλύτερη μείωση των σχετικών κινδύνων.

III. Η «ΠΡΟΣΤΑΣΙΑ ΤΗΣ ΙΔΙΩΤΙΚΗΣ ΖΩΗΣ ΕΚ ΚΑΤΑΣΚΕΥΗΣ» ΩΣ ΒΑΣΙΚΟ ΜΕΣΟ ΠΡΟΑΓΩΓΗΣ ΤΗΣ ΕΜΠΙΣΤΟΣΥΝΗΣ ΤΩΝ ΠΟΛΙΤΩΝ ΣΤΙΣ ΤΠΕ

16. Τα δυνητικά οφέλη των ΤΠΕ θα μπορέσουν να αξιοποιηθούν στην πράξη μόνο εάν οι ΤΠΕ είναι ικανές να εμπνέουν εμπιστοσύνη, με άλλα λόγια, εάν μπορούν να διασφαλίσουν με τα χαρακτηριστικά και τα οφέλη τους την προθυμία των χρηστών να βασιστούν σε αυτές. Η εμπιστοσύνη αυτή μπορεί να καλλιεργηθεί μόνο εάν οι ΤΠΕ είναι αξιόπιστες και ασφαλείς, εάν ελέγχονται από τους ίδιους τους χρήστες και εάν διασφαλίζεται η προστασία των προσωπικών δεδομένων και της ιδιωτικής ζωής των χρηστών.

17. Οι εκτεταμένοι κίνδυνοι και οι επαναλαμβανόμενες αστοχίες των συστημάτων, όπως αυτές που προαναφέρθηκαν, ιδίως δε όταν συνεπάγονται κατάχρηση ή παραβιάσεις των δεδομένων προσωπικού χαρακτήρα με αποτέλεσμα να εκτίθεται η ιδιωτική ζωή των ατόμων, είναι πιθανό να κλονίζουν την εμπιστοσύνη των χρηστών στην κοινωνία της πληροφορίας. Αυτό μπορεί να υπονομεύει την ανάπτυξη των ΤΠΕ και τα οφέλη που μπορούν να έχουν για τους πολίτες.

18. Πάντως, η εξάλειψη, ο αποκλεισμός ή η άρνηση χρησιμοποίησης ή προώθησης των ΤΠΕ δεν αποτελούν σε καμία περίπτωση λύση για την αντιμετώπιση των κινδύνων που απειλούν την ιδιωτική ζωή και την προστασία των δεδομένων. Κάτι τέτοιο δεν θα ήταν ούτε εφικτό ούτε ρεαλιστικό. Δεν θα επέτρεπε στα άτομα να απολαύσουν τα οφέλη των ΤΠΕ και θα περιόριζε σοβαρά τα πλεονεκτήματα που προσφέρουν γενικότερα.

19. Ο ΕΕΠΔ θεωρεί ως προτιμότερη λύση τον σχεδιασμό και την ανάπτυξη ΤΠΕ κατά τρόπο ώστε να διασφαλίζεται η ιδιωτική ζωή και η προστασία των δεδομένων. Είναι επομένως σημαντικό η ιδιωτική ζωή και η προστασία των δεδομένων να ενσωματώνονται σε ολόκληρο τον κύκλο ζωής της τεχνολογίας, από τα πρώτα κιόλας στάδια του σχεδιασμού μέχρι την τελειοποίηση, τη χρήση και την τελική της διάθεση. Αυτή είναι η αρχή της «προστασίας της ιδιωτικής ζωής εκ κατασκευής» η οποία αναπτύσσεται διεξοδικότερα ακολούθως.

20. Στο πλαίσιο της προστασίας της ιδιωτικής ζωής εκ κατασκευής περιλαμβάνονται διάφορες ενέργειες, ανάλογα με την εκάστοτε περίπτωση ή εφαρμογή. Για παράδειγμα, σε ορισμένες περιπτώσεις μπορεί να χρειαστεί να διαγραφούν/μειωθούν τα δεδομένα προσωπικού χαρακτήρα ή να αποφευχθεί η περιττή και/ή ανεπιθύμητη επεξεργασία. Σε άλλες περιπτώσεις, στο πλαίσιο της προστασίας της ιδιωτικής ζωής εκ κατασκευής ενδέχεται να εφαρμόζονται μέσα για την ενίσχυση του ελέγχου των ατόμων επί των προσωπικών τους δεδομένων. Τα μέτρα αυτά πρέπει να λαμβάνονται υπόψη κατά τον καθορισμό προτύπων και/ή βέλτιστων πρακτικών. Μπορούν ακόμη να ενσωματώνονται στην αρχιτεκτονική συστημάτων πληροφοριών και επικοινωνιών ή στην οργανωτική δομή των φορέων που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα.

III.1. Εφαρμογή της αρχής της «προστασίας της ιδιωτικής ζωής εκ κατασκευής» σε διάφορα περιβάλλοντα ΤΠΕ και συναφής αντίκτυπος

21. Η ανάγκη εφαρμογής της αρχής της προστασίας της ιδιωτικής ζωής εκ κατασκευής εντοπίζεται σε πολλά διαφορετικά περιβάλλοντα ΤΠΕ. Για παράδειγμα, ο τομέας της υγειονομικής περίθαλψης βασίζεται ολοένα και περισσότερο σε υποδομές ΤΠΕ όπου αποθηκεύονται συνήθως κεντρικά πληροφορίες για την υγεία των ασθενών. Για την εφαρμογή της αρχής της προστασίας της ιδιωτικής ζωής εκ κατασκευής στον τομέα της υγείας θα πρέπει ενδεχομένως να πραγματοποιηθεί αξιολόγηση της καταλληλότητας διαφόρων μέτρων, όπως η πιθανή ελαχιστοποίηση της ποσότητας των δεδομένων που αποθηκεύονται κεντρικά ή ο περιορισμός τους σε ευρετήριο, η χρήση μέσων κρυπτογράφησης, η χορήγηση δικαιώματος πρόσβασης στις πληροφορίες αποκλειστικά και μόνο σε άτομα εξουσιοδοτημένα για τον σκοπό αυτό, η ανωνυμοποίηση των δεδομένων όταν δεν χρειάζονται πια, κ.λπ.

22. Ομοίως, τα συστήματα μεταφορών εφοδιάζονται ολοένα και περισσότερο με προηγμένες προεπιλεγμενές εφαρμογές ΤΠΕ οι οποίες αλληλεπιδρούν με το όχημα και το περιβάλλον του για διάφορους σκοπούς και λειτουργίες. Για παράδειγμα, τα οχήματα εξοπλίζονται ολοένα και περισσότερο με νέες λειτουργίες ΤΠΕ (GPS, GSM, δίκτυο αισθητήρων, κ.λπ.) οι οποίες παρέχουν σε πραγματικό χρόνο πληροφορίες για την ακριβή θέση τους αλλά και για την κατάσταση τους από τεχνικής άποψης. Οι πληροφορίες αυτές θα μπορούσαν να χρησιμοποιηθούν επί παραδείγματι για την αντικατάσταση του ισχύοντος συστήματος καταβολής διοδίων με ένα σύστημα επιβολής τέλους βάσει της χρήσης του οδικού δικτύου. Η εφαρμογή της αρχής της «προστασίας της ιδιωτικής ζωής εκ κατασκευής» στον σχεδιασμό τέτοιων συστημάτων θα πρέπει να υποστηρίζει την επεξεργασία και την περαιτέρω διαβίβαση όσο το δυνατόν λιγότερων δεδομένων προσωπικού χαρακτήρα (13). Σε συμφωνία με την αρχή αυτή, θα πρέπει να προτιμώνται έναντι των κεντρικών αρχιτεκτονικών οι αποκεντρωμένες ή ημι-αποκεντρωμένες αρχιτεκτονικές που περιορίζουν την κοινοποίηση δεδομένων θέσης σε ένα κεντρικό σημείο.

23. Από τα προαναφερθέντα παραδείγματα προκύπτει ότι όταν οι τεχνολογίες πληροφοριών και επικοινωνιών αναπτύσσονται σύμφωνα με την αρχή της προστασίας της ιδιωτικής ζωής εκ κατασκευής, τότε οι κίνδυνοι για την ιδιωτική ζωή και την προστασία των δεδομένων μπορούν να περιοριστούν σημαντικά.

III.2. Μη επαρκής ανάπτυξη ΤΠΕ που εφαρμόζουν την αρχή της προστασίας της ιδιωτικής ζωής εκ κατασκευής

24. Ένα σημαντικό ερώτημα είναι εάν οι οικονομικοί παράγοντες, οι κατασκευαστές/πάροχοι ΤΠΕ και οι υπεύθυνοι της επεξεργασίας δεδομένων ενδιαφέρονται να εμπορευθούν και να εφαρμόσουν την αρχή της προστασίας της ιδιωτικής ζωής εκ κατασκευής στις ΤΠΕ. Στο πλαίσιο αυτό, πρέπει επιπλέον να αξιολογηθεί η ζήτηση των χρηστών όσον αφορά την προστασία της ιδιωτικής ζωής εκ κατασκευής.

25. Το 2007, η Επιτροπή εξέδωσε ανακοίνωση με την οποία καλούσε τις επιχειρήσεις να χρησιμοποιούν τη δύναμη που έχουν στον τομέα της καινοτομίας για να αναπτύσσουν και να εφαρμόζουν τεχνολογίες για τη βελτίωση της προστασίας της ιδιωτικότητας (ΤΒΙ) με απώτερο στόχο τη βελτίωση της προστασίας της ιδιωτικής ζωής και των δεδομένων προσωπικού χαρακτήρα από την αρχή κιόλας του κύκλου ανάπτυξης (14).

26. Μέχρι στιγμής, πάντως, από τα διαθέσιμα στοιχεία προκύπτει ότι ούτε οι κατασκευαστές ΤΠΕ ούτε οι υπεύθυνοι της επεξεργασίας δεδομένων (τόσο του ιδιωτικού όσο και του δημόσιου τομέα) έχουν κατορθώσει να εφαρμόζουν ή να προωθούν με συνεκτικό τρόπο την αρχή της προστασίας της ιδιωτικής ζωής εκ κατασκευής, για διάφορους λόγους, όπως, μεταξύ άλλων, η έλλειψη οικονομικών κινήτρων ή θεσμικής υποστήριξης, η ανεπαρκής ζήτηση, κ.λπ. (15).

27. Ταυτόχρονα, η ζήτηση των χρηστών για προστασία της ιδιωτικής ζωής εκ κατασκευής φαίνεται να κυμαίνεται σε χαμηλά επίπεδα. Οι χρήστες προϊόντων και υπηρεσιών ΤΠΕ είναι πιθανό να υποθέτουν –και δικαίως– ότι η ιδιωτική ζωή και τα προσωπικά τους δεδομένα προστατεύονται εκ των πραγμάτων. Σε πολλές, όμως, περιπτώσεις δεν είναι έτσι. Ενίοτε, οι χρήστες απλώς δεν είναι σε θέση να λάβουν τα μέτρα ασφαλείας που απαιτούνται για την προστασία είτε των δικών τους προσωπικών δεδομένων είτε των προσωπικών δεδομένων τρίτων. Πολλές φορές αυτό οφείλεται στο γεγονός ότι έχουν πλήρη ή μερική άγνοια των κινδύνων. Για παράδειγμα, οι νέοι υποτιμούν γενικά τους κινδύνους που ελλοχεύουν για την ιδιωτική ζωή από την ανάρτηση προσωπικών πληροφοριών σε κοινωνικά δίκτυα, ενώ συχνά αγνοούν τις ρυθμίσεις απορρήτου. Άλλοι χρήστες, πάλι, γνωρίζουν μεν τους κινδύνους, αλλά δεν έχουν τις αναγκαίες τεχνικές γνώσεις για να εφαρμόσουν τεχνολογίες προστασίας, όπως αυτές που προστατεύουν τη σύνδεσή τους στο Διαδίκτυο, ή για να αλλάξουν τις ρυθμίσεις του φυλλομετρητή έτσι ώστε να ελαχιστοποιήσουν τη συλλογή πληροφοριών για τα άτομά τους μέσω της παρακολούθησης των δραστηριοτήτων πλοήγησής τους στον Παγκόσμιο Ιστό.

28. Πάντως, οι κίνδυνοι που απειλούν την προστασία της ιδιωτικής ζωής και των δεδομένων είναι πραγματικοί, και μάλιστα σοβαροί. Εάν η προστασία της ιδιωτικής ζωής και των δεδομένων δεν λαμβάνεται υπόψη εξαρχής, η εκ των υστέρων βελτίωση των συστημάτων έπεται των εξελίξεων και είναι συχνά υπερβολικά δαπανηρή, ενώ είναι πολύ αργά πια για να διορθωθεί η ζημιά που έχει ήδη γίνει. Η συνεχής αύξηση του αριθμού των κρουσμάτων παραβίασης δεδομένων τα τελευταία χρόνια καταδεικνύει το μέγεθος του προβλήματος και ενισχύει την ανάγκη προστασίας της ιδιωτικής ζωής εκ κατασκευής.

29. Από τα ανωτέρω προκύπτει με σαφήνεια ότι οι κατασκευαστές και οι πάροχοι ΤΠΕ που έχουν σχεδιαστεί για την επεξεργασία δεδομένων προσωπικού χαρακτήρα οφείλουν, από κοινού με τους υπεύθυνους της επεξεργασίας δεδομένων, να μεριμνούν για την ενσωμάτωση στις ΤΠΕ μέσων προστασίας των δεδομένων και της ιδιωτικής ζωής από τα πρώτα κιόλας στάδια του σχεδιασμού τους. Αυτό σημαίνει συχνά ότι στον σχεδιασμό των ΤΠΕ πρέπει να περιλαμβάνονται προεπιλεγμένες ρυθμίσεις απορρήτου.

30. Πρέπει, επομένως, να εξεταστούν οι ενέργειες στις οποίες οφείλουν να προβούν οι υπεύθυνοι χάραξης πολιτικής προκειμένου να ενθαρρυνθεί η εφαρμογή της αρχής της «προστασίας της ιδιωτικής ζωής εκ κατασκευής» στην ανάπτυξη των ΤΠΕ. Ένα πρώτο ερώτημα που τίθεται είναι εάν το ισχύον νομικό πλαίσιο προστασίας των δεδομένων διαθέτει διατάξεις οι οποίες διασφαλίζουν επαρκώς την εφαρμογή της αρχής της «προστασίας της ιδιωτικής ζωής εκ κατασκευής» τόσο από τους υπεύθυνους της επεξεργασίας δεδομένων όσο και από τους κατασκευαστές/υπεύθυνους ανάπτυξης ΤΠΕ. Ένα δεύτερο ερώτημα αφορά τι πρέπει να γίνει στο πλαίσιο της ευρωπαϊκής ψηφιακής ατζέντας προκειμένου να κερδίσει ο τομέας των ΤΠΕ την εμπιστοσύνη των καταναλωτών.

IV. ΕΝΣΩΜΑΤΩΣΗ ΤΗΣ ΑΡΧΗΣ ΤΗΣ ΠΡΟΣΤΑΣΙΑΣ ΤΗΣ ΙΔΙΩΤΙΚΗΣ ΖΩΗΣ ΕΚ ΚΑΤΑΣΚΕΥΗΣ ΣΤΗΝ ΚΟΙΝΟΤΙΚΗ ΝΟΜΟΘΕΣΙΑ ΚΑΙ ΣΤΙΣ ΚΟΙΝΟΤΙΚΕΣ ΠΟΛΙΤΙΚΕΣ

IV.1. Το ισχύον νομικό πλαίσιο προστασίας των δεδομένων και της ιδιωτικής ζωής

31. Η ΕΕ διαθέτει αυστηρό πλαίσιο προστασίας των δεδομένων και της ιδιωτικής ζωής το οποίο αποτελείται από την οδηγία 95/46/ΕΚ (16), την οδηγία 2002/58/ΕΚ (17) και τη νομολογία του Ευρωπαϊκού Δικαστηρίου Ανθρωπίνων Δικαιωμάτων (18) και του Δικαστηρίου των Ευρωπαϊκών Κοινοτήτων.

32. Η οδηγία για την προστασία των δεδομένων ισχύει για «κάθε εργασία ή σειρά εργασιών που […] εφαρμόζονται σε δεδομένα προσωπικού χαρακτήρα» (συλλογή, αποθήκευση, κοινοποίηση, κ.λπ.). Επιβάλλει τη συμμόρφωση όσων επεξεργάζονται δεδομένα προσωπικού χαρακτήρα (υπεύθυνοι της επεξεργασίας δεδομένων) με ορισμένες αρχές και υποχρεώσεις. Θεσπίζει ατομικά δικαιώματα, όπως το δικαίωμα της πρόσβασης σε προσωπικές πληροφορίες. Η οδηγία ePrivacy διέπει συγκεκριμένα την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών (19).

33. Η ισχύουσα οδηγία για την προστασία των δεδομένων δεν περιέχει ρητή απαίτηση για προστασία της ιδιωτικής ζωής εκ κατασκευής. Περιέχει, ωστόσο, διατάξεις οι οποίες, σε διάφορες περιπτώσεις, επιβάλλουν έμμεσα την εφαρμογή της αρχής της προστασίας της ιδιωτικής ζωής εκ κατασκευής. Συγκεκριμένα, σύμφωνα με το άρθρο 17, οι υπεύθυνοι της επεξεργασίας δεδομένων πρέπει να λαμβάνουν τα κατάλληλα τεχνικά και οργανωτικά μέτρα για την προστασία των δεδομένων από αθέμιτη επεξεργασία (20). Η προστασία της ιδιωτικής ζωής εκ κατασκευής καλύπτεται συνεπώς με πολύ γενικό τρόπο. Επιπλέον, οι διατάξεις της οδηγίας αφορούν κυρίως τους υπεύθυνους της επεξεργασίας δεδομένων και την επεξεργασία των πληροφοριών προσωπικού χαρακτήρα στην οποία προβαίνουν. Δεν απαιτούν ρητώς τη συμμόρφωση των τεχνολογιών πληροφοριών και επικοινωνιών με την προστασία της ιδιωτικής ζωής και των δεδομένων. Για να γίνει αυτό, πρέπει να καλύπτουν και τους σχεδιαστές και κατασκευαστές ΤΠΕ, καθώς και τις δραστηριότητες που υλοποιούνται στο στάδιο της τυποποίησης.

34. Η οδηγία ePrivacy είναι περισσότερο σαφής. Σύμφωνα με το άρθρο 14 παράγραφος 3, «κατά περίπτωση, μπορούν να θεσπιστούν μέτρα που να εξασφαλίζουν ότι ο τερματικός εξοπλισμός είναι κατασκευασμένος κατά τρόπο συμβατό με το δικαίωμα των χρηστών να προστατεύουν και να ελέγχουν τη χρησιμοποίηση των προσωπικών τους δεδομένων, σύμφωνα με την οδηγία 1999/5/ΕΚ και με την απόφαση 87/95/ΕΟΚ του Συμβουλίου, της 22ας Δεκεμβρίου 1986, για την τυποποίηση στον τομέα της τεχνολογίας των πληροφοριών και των τηλεπικοινωνιών». Ωστόσο, η συγκεκριμένη διάταξη δεν έχει χρησιμοποιηθεί ποτέ (21).

35. Παρότι οι προαναφερθείσες διατάξεις των δύο οδηγιών συμβάλλουν στην προώθηση της προστασίας της ιδιωτικής ζωής εκ κατασκευής, στην πράξη δεν έχουν κατορθώσει να διασφαλίσουν επαρκώς την ενσωμάτωση της προστασίας της ιδιωτικής ζωής στις ΤΠΕ.

36. Ως εκ τούτου, η νομοθεσία δεν επιβάλλει με επαρκώς ακριβή τρόπο τον σχεδιασμό των ΤΠΕ σύμφωνα με την αρχή της προστασίας της ιδιωτικής ζωής εκ κατασκευής. Επίσης, οι αρχές προστασίας των δεδομένων δεν διαθέτουν επαρκείς αρμοδιότητες ώστε να διασφαλίζουν την ενσωμάτωση της αρχής της «προστασίας της ιδιωτικής ζωής εκ κατασκευής» στις ΤΠΕ, με συνέπεια να υπάρχει αναποτελεσματικότητα. Για παράδειγμα, οι αρχές προστασίας των δεδομένων μπορούν ενδεχομένως να επιβάλλουν κυρώσεις για μη χορήγηση απαντήσεων σε αιτήματα ιδιωτών περί πρόσβασης στις πληροφορίες που τους αφορούν, ενώ θα έχουν τη δυνατότητα να απαιτούν την εφαρμογή ορισμένων μέτρων για την αποφυγή αθέμιτης επεξεργασίας δεδομένων. Ωστόσο, δεν καθίσταται πάντοτε επαρκώς σαφές εάν στις αρμοδιότητές τους περιλαμβάνεται ή όχι η δυνατότητα να απαιτούν από ένα σύστημα να σχεδιάζεται κατά τέτοιο τρόπο ώστε να διαφυλάσσεται το δικαίωμα της προστασίας των δεδομένων των ατόμων (22). Για παράδειγμα, βάσει των ισχυουσών νομικών διατάξεων δεν είναι σαφές εάν θα μπορούσε να απαιτηθεί ο σχεδιασμός της αρχιτεκτονικής των συστημάτων πληροφοριών με τρόπο που να διευκολύνει τις εταιρείες να ανταποκρίνονται στα αιτήματα ιδιωτών περί πρόσβασης στις πληροφορίες που τους αφορούν, έτσι ώστε η διεκπεραίωση των εν λόγω αιτημάτων να γίνεται αυτόματα και ταχύτερα. Περαιτέρω, οι εκ των υστέρων προσπάθειες βελτίωσης τεχνολογιών που έχουν ήδη αναπτυχθεί ή εξαπλωθεί έχουν ως αποτέλεσμα την εφαρμογή πολλών διαφορετικών μεταξύ τους λύσεων οι οποίες, πέραν του ότι είναι ιδιαίτερα δαπανηρές, δεν είναι πάντοτε αποτελεσματικές.

37. Ο ΕΕΠΔ διατυπώνει την άποψη, την οποία ασπάζεται η ομάδα εργασίας του άρθρου 29 (23), ότι το ισχύον νομικό πλαίσιο αφήνει περιθώρια για περισσότερο σαφή ενσωμάτωση της αρχής της προστασίας της ιδιωτικής ζωής εκ κατασκευής.

IV.2. Ενσωμάτωση της προστασίας της ιδιωτικής ζωής εκ κατασκευής σε διάφορα επίπεδα

38. Βάσει των προαναφερθέντων, ο ΕΕΠΔ συνιστά στην Επιτροπή να ακολουθήσει τέσσερις άξονες δράσης: α) να προτείνει την προσθήκη στο νομικό πλαίσιο περί προστασίας των δεδομένων γενικής διάταξης σχετικά με την προστασία της ιδιωτικής ζωής εκ κατασκευής. β) να αναπτύξει περαιτέρω τη γενική αυτή διάταξη με ειδικές διατάξεις κατά την υποβολή συγκεκριμένων νομοθετικών προτάσεων σε διάφορους τομείς. Οι εν λόγω ειδικές διατάξεις θα μπορούσαν μάλιστα να συμπεριληφθούν ήδη σε νομικές πράξεις, δυνάμει του άρθρου 17 της οδηγίας για την προστασία των δεδομένων (και άλλων ισχυουσών νομοθεσιών). γ) να συμπεριλάβει την προστασία της ιδιωτικής ζωής εκ κατασκευής ως κατευθυντήρια αρχή στην ευρωπαϊκή ψηφιακή ατζέντα. δ) να συμπεριλάβει την προστασία της ιδιωτικής ζωής εκ κατασκευής ως αρχή σε άλλες κοινοτικές πρωτοβουλίες (κυρίως μη νομοθετικές).

Γενική διάταξη σχετικά με την προστασία της ιδιωτικής ζωής εκ κατασκευής

39. Ο ΕΕΠΔ προτείνει την κατηγορηματική και ρητή συμπερίληψη της αρχής της προστασίας της ιδιωτικής ζωής εκ κατασκευής στο ισχύον ρυθμιστικό πλαίσιο προστασίας των δεδομένων. Με τον τρόπο αυτόν, η αρχή της προστασίας της ιδιωτικής ζωής εκ κατασκευής θα ισχυροποιηθεί, θα είναι περισσότερο ρητή και θα επιβάλλεται η αποτελεσματική εφαρμογή της. Επίσης, θα παραχωρηθεί μεγαλύτερη αρμοδιότητα στις αρχές επιβολής ώστε να απαιτούν την εκ των πραγμάτων εφαρμογή της στην πράξη. Το τελευταίο κρίνεται ιδιαίτερα αναγκαίο λαμβανομένων υπόψη των προαναφερθέντων στοιχείων, όχι μόνο ως μέσο για την ενίσχυση της εμπιστοσύνης, αλλά και ως κίνητρο προς τους ενδιαφερόμενους προκειμένου να εφαρμόσουν την αρχή της προστασίας της ιδιωτικής ζωής εκ κατασκευής και να ενισχύσουν τις συναφείς εγγυήσεις που προβλέπει το ισχύον νομικό πλαίσιο.

40. Η πρόταση αυτή βασίζεται στην εισήγηση της ομάδας εργασίας του άρθρου 29 περί συμπερίληψης της αρχής της «προστασίας της ιδιωτικής ζωής εκ κατασκευής» ως γενικής αρχής στο ισχύον νομικό πλαίσιο προστασίας των δεδομένων, και συγκεκριμένα στην οδηγία για την προστασία των δεδομένων. Σύμφωνα με την ομάδα εργασίας του άρθρου 29, η εν λόγω αρχή πρέπει να είναι δεσμευτική για τους σχεδιαστές και τους παραγωγούς τεχνολογιών, καθώς και για τους υπευθύνους της επεξεργασίας δεδομένων, που καλούνται να λάβουν αποφάσεις για την κτήση και τη χρήση ΤΠΕ. Πρέπει να υποχρεούνται να λαμβάνουν υπόψη τους την προστασία των δεδομένων με τεχνολογικά μέσα ήδη από το στάδιο του σχεδιασμού των πληροφοριακών-τεχνολογικών διαδικασιών και συστημάτων. Οι πάροχοι συναφών συστημάτων ή υπηρεσιών, καθώς και οι υπεύθυνοι της επεξεργασίας, πρέπει να αποδεικνύουν ότι λαμβάνουν όλα τα μέτρα που απαιτούνται για τη συμμόρφωσή τους με τις απαιτήσεις αυτές.

41. Ο ΕΕΠΔ επικροτεί επίσης την υποστήριξη που παρείχε η Επίτροπος Reding στην αρχή της προστασίας της ιδιωτικής ζωής εκ κατασκευής κατά την ανακοίνωση της αναθεώρησης της οδηγίας για την προστασία των δεδομένων (24).

42. Όσον αφορά τώρα το περιεχόμενο της συναφούς νομοθεσίας, η πρώτη και σημαντικότερη παράμετρος είναι ότι η θέσπιση γενικής αρχής περί «προστασίας της ιδιωτικής ζωής εκ κατασκευής» πρέπει να είναι ουδέτερη από τεχνολογικής άποψης. Η αρχή αυτή δεν πρέπει να επιδιώκει τη νομοθετική ρύθμιση της τεχνολογίας, ήτοι δεν πρέπει να επιβάλλει συγκεκριμένες τεχνικές λύσεις. Αντιθέτως, πρέπει να επιβάλλει την ενσωμάτωση των ισχυουσών αρχών περί προστασίας της ιδιωτικής ζωής και των δεδομένων στα συστήματα πληροφοριών και επικοινωνιών και στις συναφείς λύσεις. Έτσι θα παρέχει τη δυνατότητα στους ενδιαφερόμενους, στους κατασκευαστές, στους υπευθύνους της επεξεργασίας δεδομένων και στις αρχές προστασίας των δεδομένων να ερμηνεύουν την αρχή ανάλογα με την εκάστοτε περίπτωση. Επιπλέον, η συμμόρφωση με την αρχή πρέπει να είναι υποχρεωτική σε πολλαπλά στάδια, από τη διαμόρφωση προτύπων και τον σχεδιασμό της αρχιτεκτονικής μέχρι την εφαρμογή από τον υπεύθυνο της επεξεργασίας δεδομένων.

Διατάξεις σε συγκεκριμένες νομικές πράξεις

43. Οι ισχύουσες και μελλοντικές νομοθετικές πράξεις πρέπει να ενσωματώνουν την αρχή της «προστασίας της ιδιωτικής ζωής εκ κατασκευής» βάσει του ισχύοντος νομικού πλαισίου, και, μετά την έγκριση της γενικής διάταξης που προτείνεται ανωτέρω, επί τη βάσει της διάταξης αυτής. Για παράδειγμα, στο πλαίσιο των τρεχουσών πρωτοβουλιών που αφορούν τα ευφυή συστήματα μεταφορών, η Επιτροπή θα αναλάβει συγκεκριμένη αρχική ευθύνη όσον αφορά τον καθορισμό μέτρων, πρωτοβουλιών τυποποίησης, διαδικασιών και βέλτιστων πρακτικών. Κατευθυντήρια αρχή για την επιτέλεση αυτών των καθηκόντων πρέπει να είναι η προστασία της ιδιωτικής ζωής εκ κατασκευής.

44. Ο ΕΕΠΔ επισημαίνει περαιτέρω ότι η αρχή της προστασίας της ιδιωτικής ζωής εκ κατασκευής έχει ιδιαίτερη βαρύτητα στον τομέα της ελευθερίας, της ασφάλειας και της δικαιοσύνης, ιδίως δε σε σχέση με τους σκοπούς της στρατηγικής διαχείρισης των πληροφοριών, σύμφωνα με τα προβλεπόμενα στο πρόγραμμα της Στοκχόλμης (25). Στη γνωμοδότησή του σχετικά με το πρόγραμμα της Στοκχόλμης, ο ΕΕΠΔ επισημαίνει ότι η αρχιτεκτονική της ανταλλαγής πληροφοριών θα πρέπει να βασίζεται στην «προστασία της ιδιωτικής ζωής εκ κατασκευής» (26): «πράγμα που πιο συγκεκριμένα σημαίνει ότι τα συστήματα πληροφοριών των οποίων ο σχεδιασμός αποβλέπει στη δημόσια ασφάλεια θα πρέπει να αναπτύσσονται πάντοτε σύμφωνα με την αρχή της “προστασίας της ιδιωτικής ζωής εκ κατασκευής”».

45. Η ομάδα εργασίας του άρθρου 29 αναφέρει ακόμη πιο συγκεκριμένα στη γνωμοδότησή της σχετικά με το μέλλον της ιδιωτικής ζωής (27) ότι οι απαιτήσεις περί προστασίας της ιδιωτικής ζωής εκ κατασκευής πρέπει να καταστούν υποχρεωτικές στον τομέα της ελευθερίας, της ασφάλειας και της δικαιοσύνης, όπου οι δημόσιες αρχές είναι οι βασικοί συντελεστές και όπου τα μέτρα ενίσχυσης της εποπτείας έχουν άμεσες επιπτώσεις στα θεμελιώδη δικαιώματα της προστασίας της ιδιωτικής ζωής και των δεδομένων. Ενσωματώνοντας τις απαιτήσεις αυτές στα συστήματα πληροφοριών, οι κυβερνήσεις μπορούν να γίνουν οι «πρώτοι πελάτες» που θα προωθήσουν τη συμπερίληψη της προστασίας της ιδιωτικής ζωής εκ κατασκευής στις δυνατότητές τους.

Η προστασία της ιδιωτικής ζωής εκ κατασκευής ως κατευθυντήρια αρχή της ευρωπαϊκής ψηφιακής ατζέντας

46. Οι τεχνολογίες πληροφοριών και επικοινωνιών καθίστανται ολοένα και περισσότερο πολύπλοκες και συνεπάγονται μεγαλύτερους κινδύνους για την προστασία της ιδιωτικής ζωής και των δεδομένων. Γενικά, η ψηφιοποιημένη πληροφορία, η οποία είναι πιο προσπελάσιμη και αντιγράφεται και μεταδίδεται ευκολότερα, είναι εκτεθειμένη σε πολύ μεγαλύτερους κινδύνους σε σύγκριση με την έντυπη πληροφορία. Όσο εξελίσσονται τα δίκτυα διασυνδεδεμένων αντικειμένων, οι κίνδυνοι θα αυξάνονται. Όσο μεγαλύτεροι είναι οι κίνδυνοι που απειλούν την ιδιωτική ζωή και τα δεδομένα, τόσο μεγαλύτερη θα είναι η ζήτηση για εγγυήσεις προστασίας της ιδιωτικής ζωής και των δεδομένων. Συνεπώς, η ανάγκη εφαρμογής της αρχής της προστασίας της ιδιωτικής ζωής εκ κατασκευής είναι περισσότερο επείγουσα στον τομέα των ΤΠΕ. Επιπλέον, όπως αναφέρθηκε ανωτέρω, η εμπιστοσύνη των ατόμων στις ΤΠΕ είναι καθοριστικής σημασίας προκειμένου οι πολίτες να χρησιμοποιήσουν τις νέες αυτές υπηρεσίες, ενώ η προστασία της ιδιωτικής ζωής και των δεδομένων αποτελεί βασική συνιστώσα αυτής της εμπιστοσύνης.

47. Από τα προαναφερθέντα προκύπτει ότι ενδεχόμενη στρατηγική ανάπτυξης των ΤΠΕ πρέπει να επιβεβαιώνει την ανάγκη σχεδιασμού τους με ενσωματωμένο το στοιχείο της προστασίας της ιδιωτικής ζωής και των δεδομένων, δηλαδή λαμβάνοντας υπόψη την αρχή της προστασίας της ιδιωτικής ζωής εκ κατασκευής.

48. Ως εκ τούτου, η ευρωπαϊκή ψηφιακή ατζέντα πρέπει να αφομοιώνει ρητώς την αρχή της προστασίας της ιδιωτικής ζωής εκ κατασκευής ως αναγκαίο στοιχείο για τη διασφάλιση της εμπιστοσύνης των πολιτών στις ΤΠΕ και στις ηλεκτρονικές υπηρεσίες. Πρέπει να αναγνωρίζει ότι η ιδιωτική ζωή και η εμπιστοσύνη συμβαδίζουν, και ότι η προστασία της ιδιωτικής ζωής εκ κατασκευής πρέπει να διαδραματίζει καθοδηγητικό ρόλο στην ανάπτυξη αξιόπιστου τομέα ΤΠΕ.

Η αρχή της «προστασίας της ιδιωτικής ζωής εκ κατασκευής» σε άλλες κοινοτικές πρωτοβουλίες

49. Η Επιτροπή πρέπει να συμπεριλάβει την προστασία της ιδιωτικής ζωής εκ κατασκευής ως κατευθυντήρια αρχή στο πλαίσιο της εφαρμογής πολιτικών, δραστηριοτήτων και πρωτοβουλιών σε συγκεκριμένους τομείς ΤΠΕ, συμπεριλαμβανομένων των ηλεκτρονικών υπηρεσιών υγείας (eHealth), των ηλεκτρονικών δημόσιων συμβάσεων (eProcurement), της ηλεκτρονικής κοινωνικής ασφάλισης (eSocial Security), της ηλεκτρονικής μάθησης (eLearning), κ.λπ. Πολλές από αυτές τις πρωτοβουλίες θα περιλαμβάνονται ως δράσεις στην ευρωπαϊκή ψηφιακή ατζέντα.

50. Αυτό σημαίνει, π.χ., ότι οι πρωτοβουλίες για τη βελτίωση της αποτελεσματικότητας και τον εκσυγχρονισμό των κυβερνητικών εφαρμογών, έτσι ώστε να μπορούν τα άτομα να αλληλεπιδρούν με τις διοικητικές αρχές, πρέπει να λαμβάνουν υπόψη τους την ανάγκη σχεδιασμού και λειτουργίας των εν λόγω εφαρμογών σύμφωνα με την αρχή της προστασίας της ιδιωτικής ζωής εκ κατασκευής. Το ίδιο ισχύει για τις πολιτικές και τις δραστηριότητες της Επιτροπής που αφορούν το ταχύτερο Διαδίκτυο, το ψηφιακό περιεχόμενο, ή τη γενικότερη προώθηση των σταθερών και ασύρματων επικοινωνιών και της διαβίβασης δεδομένων.

51. Στα ανωτέρω περιλαμβάνονται επίσης τομείς, όπως τα μεγάλα πληροφοριακά συστήματα (π.χ. SIS και VIS), για τους οποίους είναι υπεύθυνη η Επιτροπή, καθώς και περιπτώσεις στις οποίες η αρμοδιότητα της Επιτροπής περιορίζεται μόνο στην ανάπτυξη και στη διατήρηση της κοινής υποδομής τέτοιων συστημάτων, όπως το ευρωπαϊκό σύστημα πληροφοριών ποινικού μητρώου (ECRIS).

52. Το πώς ακριβώς θα αναπτυχθεί η αρχή της προστασίας της ιδιωτικής ζωής εκ κατασκευής θα εξαρτηθεί από τον εκάστοτε τομέα και την εκάστοτε περίπτωση. Για παράδειγμα, σε περίπτωση που οι πρωτοβουλίες της Επιτροπής συνοδεύονται από νομοθετικές προτάσεις για συγκεκριμένο τομέα ΤΠΕ, σε πολλές περιπτώσεις θα πρέπει να περιλαμβάνεται ρητή αναφορά στην εφαρμογή της έννοιας της «προστασίας της ιδιωτικής ζωής εκ κατασκευής» στον σχεδιασμό της συγκεκριμένης εφαρμογής ή του συγκεκριμένου συστήματος ΤΠΕ. Σε περίπτωση σχεδιασμού σχεδίων δράσης για συγκεκριμένο τομέα, πρέπει να διασφαλίζεται συστηματικά η εφαρμογή του νομικού πλαισίου και πιο συγκεκριμένα να διασφαλίζεται η ανάπτυξη των συναφών ΤΠΕ με γνώμονα την προστασία της ιδιωτικής ζωής εκ κατασκευής.

53. Όσον αφορά την έρευνα, το έβδομο πρόγραμμα πλαίσιο, αλλά και τα επόμενα, πρέπει να χρησιμοποιηθούν ως εργαλεία για την υποστήριξη έργων που αποσκοπούν στην ανάπτυξη προτύπων, ΤΠΕ και αρχιτεκτονικών που σέβονται περισσότερο την ιδιωτική ζωή και πιο συγκεκριμένα την αρχή της προστασίας της ιδιωτικής ζωής εκ κατασκευής. Επιπλέον, η προστασία της ιδιωτικής ζωής εκ κατασκευής επιβάλλεται να ληφθεί υπόψη στο πλαίσιο ευρύτερων έργων ΤΠΕ τα οποία αποσκοπούν στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα των ατόμων.

Τομείς ιδιαίτερου προβληματισμού

54. Σε ορισμένες περιπτώσεις, λόγω των ιδιαίτερων κινδύνων που απειλούν την ιδιωτική ζωή και την προστασία των δεδομένων ή λόγω άλλων παραγόντων (άρνηση της βιομηχανίας να διαθέσει προϊόντα με ενσωματωμένη την αρχή της προστασίας της ιδιωτικής ζωής εκ κατασκευής, ζήτηση καταναλωτών, κ.λπ.), ίσως απαιτείται η λήψη περισσότερο σαφών και συγκεκριμένων μέτρων προστασίας της ιδιωτικής ζωής εκ κατασκευής προς ενσωμάτωση σε κάποιο δεδομένο προϊόν (ή τεχνολογία) πληροφοριών και επικοινωνιών, είτε με νομοθετική πράξη είτε όχι.

55. Ο ΕΕΠΔ έχει εντοπίσει διάφορους τομείς (εφαρμογές ραδιοσυχνικής αναγνώρισης, κοινωνικής δικτύωσης και φυλλομετρητών) που χρήζουν, κατά την άποψή του, στο στάδιο αυτό προσεκτικής εξέτασης από την Επιτροπή και στους οποίους επιβάλλεται να γίνει η προαναφερθείσα πρακτική παρέμβαση. Οι τρεις αυτοί τομείς εξετάζονται αναλυτικά στη συνέχεια.

V. ΡΑΔΙΟΣΥΧΝΙΚΗ ΑΝΑΓΝΩΡΙΣΗ — RFID

56. Οι ετικέτες RFID μπορούν να τοποθετηθούν σε αντικείμενα, ζώα και ανθρώπους. Μπορούν να χρησιμοποιηθούν για τη συλλογή και την αποθήκευση δεδομένων προσωπικού χαρακτήρα (π.χ. ιατρικοί φάκελοι), για την παρακολούθηση των κινήσεων των ατόμων ή για τη σκιαγράφηση της συμπεριφοράς τους για διάφορους σκοπούς, και τούτο εν αγνοία τους (28).

57. Η θέσπιση αποτελεσματικών εγγυήσεων προστασίας των δεδομένων και της ιδιωτικής ζωής και όλες οι σχετικές δεοντολογικές διαστάσεις είναι ζωτικής σημασίας για την ενίσχυση της εμπιστοσύνης των πολιτών στη RFID και στο μελλοντικό Διαδίκτυο των πραγμάτων. Μόνο έτσι θα μπορέσει η τεχνολογία να προσφέρει τα πολυάριθμα οικονομικά και κοινωνικά οφέλη της.

V.1. Οι ελλείψεις του ισχύοντος νομικού πλαισίου προστασίας των δεδομένων

58. Η συλλογή δεδομένων μέσω εφαρμογών RFID διέπεται από την οδηγία για την προστασία των δεδομένων και από την οδηγία ePrivacy (29), οι οποίες προβλέπουν, μεταξύ άλλων, τη θέσπιση κατάλληλων εγγυήσεων της ιδιωτικής ζωής για τη λειτουργία των εφαρμογών RFID (30).

59. Ωστόσο, το ισχύον νομικό πλαίσιο δεν διευθετεί πλήρως όλες τις ανησυχίες σχετικά με την προστασία των δεδομένων και της ιδιωτικής ζωής που εγείρει η συγκεκριμένη τεχνολογία. Αυτό οφείλεται στο γεγονός ότι οι οδηγίες δεν είναι επαρκώς αναλυτικές ως προς τον τύπο των εγγυήσεων που πρέπει να περιλαμβάνουν οι εφαρμογές RFID. Οι ισχύοντες κανόνες πρέπει να συμπληρωθούν με πρόσθετες διατάξεις που θα επιβάλλουν συγκεκριμένες εγγυήσεις και που θα καθιστούν ιδίως υποχρεωτική την ενσωμάτωση τεχνικών λύσεων (προστασία της ιδιωτικής ζωής εκ κατασκευής) στις τεχνολογίες RFID. Αυτό ισχύει για ετικέτες που αποθηκεύουν προσωπικές πληροφορίες, οι οποίες θα διαθέτουν εντολές διαγραφής (kill commands), και για τη χρήση της κρυπτογραφίας σε ετικέτες που θα αποθηκεύουν ορισμένους τύπους προσωπικών πληροφοριών.

V.2. Πρώτο βήμα η αυτορρύθμιση

60. Τον Μάρτιο του 2007, η Επιτροπή εξέδωσε ανακοίνωση (31) με την οποία αναγνώριζε, μεταξύ άλλων, την ανάγκη παροχής λεπτομερούς καθοδήγησης για την πρακτική εφαρμογή της RFID και την επιθυμία έγκρισης κριτηρίων σχεδιασμού ώστε να αποφεύγεται η διακινδύνευση της ιδιωτικής ζωής και της ασφάλειας.

61. Για να επιτύχει τους στόχους αυτούς, η Επιτροπή εξέδωσε, τον Μάιο του 2009, σύσταση για την εφαρμογή των αρχών της ιδιωτικής ζωής και της προστασίας των δεδομένων σε εφαρμογές RFID (32). Για τις εφαρμογές RFID που διατίθενται στη λιανική, η σύσταση απαιτεί την απενεργοποίηση των ετικετών στο σημείο πώλησης εκτός κι αν τα άτομα συναινούν να παραμείνουν οι ετικέτες ενεργοποιημένες. Αυτό δεν ισχύει εάν από την εκτίμηση των επιπτώσεων της RFID στην ιδιωτική ζωή και στην προστασία των δεδομένων εξάγεται το συμπέρασμα ότι οι ετικέτες δεν συνιστούν πιθανή απειλή για την ιδιωτική ζωή ή την προστασία των δεδομένων προσωπικού χαρακτήρα, περίπτωση στην οποία θα παραμένουν ενεργοποιημένες και μετά την απομάκρυνση από το σημείο πώλησης, εκτός και αν το άτομο προτιμήσει την απενεργοποίηση της ετικέτας, η οποία θα παρέχεται δωρεάν.

62. Ο ΕΕΠΔ συμφωνεί με την προσέγγιση της Επιτροπής να χρησιμοποιήσει μέσα αυτορρύθμισης. Όπως, όμως, αναφέρεται ακολούθως, είναι πιθανό η αυτορρύθμιση να μην έχει τα αναμενόμενα αποτελέσματα. Συνεπώς, καλεί την Επιτροπή να είναι έτοιμη να εγκρίνει εναλλακτικά μέτρα.

V.3. Τομείς προβληματισμού και πιθανά πρόσθετα μέτρα σε περίπτωση αποτυχίας της αυτορρύθμισης

63. Ο ΕΕΠΔ ανησυχεί διότι οι φορείς που διαθέτουν εφαρμογές RFID στη λιανική πώληση ενδέχεται να παραβλέπουν την πιθανότητα παρακολούθησης των ετικετών RFID από ανεπιθύμητους τρίτους. Η παρακολούθηση αυτή μπορεί να έχει ως αποτέλεσμα την κοινοποίηση δεδομένων προσωπικού χαρακτήρα που είναι αποθηκευμένα στην ετικέτα (εάν υπάρχουν), αλλά μπορεί επίσης να επιτρέπει σε τρίτους να παρακολουθούν ή να αναγνωρίζουν κάποιον στο πέρασμα του χρόνου χρησιμοποιώντας απλώς τα μοναδικά αναγνωριστικά που περιέχονται στην ή στις ετικέτες που διαθέτει το άτομο, σε ένα περιβάλλον που ενδέχεται μάλιστα να βρίσκεται εκτός της εμβέλειας λειτουργίας της εφαρμογής RFID. Ο ΕΕΠΔ ανησυχεί επιπλέον για την τάση των υπευθύνων διάθεσης εφαρμογών RFID να βασίζονται αυθαίρετα στην προαιρετική εξαίρεση, και έτσι, να μένει ενεργοποιημένη η ετικέτα και μετά την απομάκρυνση από το σημείο πώλησης.

64. Εάν συμβούν τα ανωτέρω, θα είναι ίσως πολύ αργά να μετριαστούν οι κίνδυνοι που απειλούν τα δεδομένα και την ιδιωτική ζωή των ατόμων, που μπορεί να έχουν ήδη θιγεί σοβαρά. Επιπλέον, δεδομένης της φύσης της αυτορρύθμισης, οι εθνικές αρχές επιβολής μπορεί να μην έχουν την απαιτούμενη αρμοδιότητα να επιβάλλουν στους φορείς που εμπορεύονται εφαρμογές RFID την εφαρμογή συγκεκριμένων μέτρων προστασίας της ιδιωτικής ζωής εκ κατασκευής.

65. Βάσει των ανωτέρω, ο ΕΕΠΔ καλεί την Επιτροπή να ετοιμαστεί να προτείνει νομοθετικά μέσα που θα ρυθμίζουν τα βασικά ζητήματα της χρήσης RFID σε περίπτωση που δεν ευοδωθεί η αποτελεσματική εφαρμογή του ισχύοντος νομικού πλαισίου. Η διενέργεια εκτίμησης από την Επιτροπή δεν πρέπει να καθυστερήσει υπερβολικά, καθώς κάτι τέτοιο θα θέσει τα άτομα σε κίνδυνο και θα είναι επιπλέον αντιπαραγωγικό για τον κλάδο, καθώς υπάρχουν πολλές αβεβαιότητες σε νομικό επίπεδο και καθώς θα είναι μάλλον δυσκολότερη και περισσότερο δαπανηρή η εκ των υστέρων επίλυση των εμφανισθέντων προβλημάτων.

66. Μεταξύ των μέτρων που ίσως χρειαστεί να προταθούν, ο ΕΕΠΔ συνιστά την εφαρμογή της αρχής της προαιρετικής συναίνεσης στο σημείο πώλησης βάσει της οποίας όλες οι ετικέτες RFID που υπάρχουν σε καταναλωτικά προϊόντα πρέπει να απενεργοποιούνται εξ ορισμού στο σημείο πώλησης. Δεν είναι ίσως αναγκαίο ή σκόπιμο να προσδιορίσει η Επιτροπή την τεχνολογία που θα χρησιμοποιείται για τον σκοπό αυτόν. Αντιθέτως, το κοινοτικό δίκαιο πρέπει να θεσπίσει τη νομική υποχρέωση της επίτευξης προαιρετικής συναίνεσης, αφήνοντας το περιθώριο στους φορείς διάθεσης να αποφασίζουν τους τρόπους με τους οποίους θα ικανοποιούν την εν λόγω απαίτηση.

V.4. Λοιπά ζητήματα προς εξέταση: Διακυβέρνηση του Διαδικτύου των πραγμάτων

67. Οι πληροφορίες που προέρχονται από ετικέτες RFID (π.χ. πληροφορίες για προϊόντα) μπορούν τελικά να διασυνδεθούν σε ένα παγκόσμιο δίκτυο επικοινωνιακής υποδομής, γνωστό ως το «Ίντερνετ των πραγμάτων». Τα ζητήματα που άπτονται της προστασίας των δεδομένων και της ιδιωτικής ζωής προκύπτουν διότι τα αντικείμενα του πραγματικού κόσμου μπορούν ενδεχομένως να αναγνωρίζονται από ετικέτες RFID οι οποίες, εκτός από τις πληροφορίες για το προϊόν, ενδέχεται να περιέχουν και δεδομένα προσωπικού χαρακτήρα.

68. Πολλά ερωτήματα παραμένουν ακόμη αναπάντητα: ποιος θα διαχειρίζεται την αποθήκευση πληροφοριών προερχόμενων από ετικέτες προϊόντων; Πώς θα οργανωθεί το σύστημα αυτό; Ποιος θα έχει πρόσβαση σε αυτό; Τον Ιούνιο του 2009, η Επιτροπή εξέδωσε ανακοίνωση για το Ίντερνετ των πραγμάτων (33) στην οποία αναφέρονται ρητώς τα προβλήματα που ενδέχεται να δημιουργήσει το φαινόμενο αυτό στην προστασία των δεδομένων και στην ιδιωτική ζωή.

69. Ο ΕΕΠΔ επιθυμεί να υπογραμμίσει ορισμένα από τα ζητήματα που αναφέρονται στην ανακοίνωση, τα οποία χρήζουν, κατά την άποψή του, ιδιαίτερης προσοχής κατά την ανάπτυξη του Ίντερνετ των πραγμάτων. Πρώτον, η ανάγκη αποκεντρωμένης αρχιτεκτονικής μπορεί να διευκολύνει την υποχρέωση λογοδοσίας και την εφαρμοσιμότητα του κοινοτικού νομικού πλαισίου. Δεύτερον, πρέπει να διαφυλαχθεί, στο μέτρο του δυνατού, το δικαίωμα των ατόμων να μην παρακολουθούνται. Με άλλα λόγια, οι περιπτώσεις παρακολούθησης ατόμων μέσω ετικετών RFID, χωρίς τη συναίνεσή τους, πρέπει να είναι ελάχιστες. Η συναίνεση αυτή πρέπει να είναι ρητή. Πρόκειται για την αρχή που είναι γνωστή ως «σιωπή των πλινθίων» και το δικαίωμα των ατόμων να μην δέχονται οχλήσεις. Τέλος, η προστασία της ιδιωτικής ζωής εκ κατασκευής πρέπει να αποτελεί κατευθυντήρια αρχή κατά τον σχεδιασμό του Ίντερνετ των πραγμάτων. Αυτό σημαίνει, π.χ., ότι συγκεκριμένες εφαρμογές RFID που διαθέτουν ενσωματωμένους μηχανισμούς εκχώρησης ελέγχου σε χρήστες θα πρέπει να σχεδιάζονται με προεπιλεγμένες ρυθμίσεις προστασίας της ιδιωτικής ζωής.

70. Ο ΕΕΠΔ αναμένει από την Επιτροπή να ζητήσει τη γνώμη του κατά την υλοποίηση των δράσεων τις οποίες προβλέπει η ανακοίνωση, ιδίως δε κατά τη σύνταξη της ανακοίνωσης σχετικά με την προστασία της ιδιωτικής ζωής και την εμπιστοσύνη στην πανταχού παρούσα κοινωνία της πληροφορίας.

VI. ΚΟΙΝΩΝΙΚΑ ΔΙΚΤΥΑ ΚΑΙ ΑΝΑΓΚΗ ΕΦΑΡΜΟΓΗΣ ΠΡΟΕΠΙΛΕΓΜΕΝΩΝ ΡΥΘΜΙΣΕΩΝ ΠΡΟΣΤΑΣΙΑΣ ΤΗΣ ΙΔΙΩΤΙΚΗΣ ΖΩΗΣ

71. Τα κοινωνικά δίκτυα γνωρίζουν τεράστια επιτυχία τα τελευταία χρόνια. Η δημοτικότητά τους μάλιστα έχει μάλλον ξεπεράσει τη δημοτικότητα των μηνυμάτων ηλεκτρονικού ταχυδρομείου. Τα κοινωνικά δίκτυα συνδέουν μεταξύ τους ανθρώπους με παρόμοια ενδιαφέροντα και/ή δραστηριότητες. Οι άνθρωποι μπορούν να αναρτούν τα προφίλ τους στο Διαδίκτυο και να ανταλλάσσουν αρχεία πολυμέσων όπως βίντεο, φωτογραφίες, μουσική, καθώς και τα επαγγελματικά τους προφίλ.

72. Οι νέοι ενστερνίστηκαν γρήγορα την κοινωνική δικτύωση και η τάση αυτή συνεχώς επεκτείνεται. Τα τελευταία χρόνια έχει μειωθεί η μέση ηλικία των χρηστών του Διαδικτύου στην Ευρώπη: πλέον στο Διαδίκτυο συνδέονται αρκετές φορές την εβδομάδα εννιάχρονα και δεκάχρονα παιδιά, ενώ καθημερινά συνδέονται, συνήθως για μία μέχρι τρεις ώρες, δωδεκάχρονα και δεκατετράχρονα παιδιά.

VI.1. Τα κοινωνικά δίκτυα και το ισχύον νομικό πλαίσιο προστασίας των δεδομένων και της ιδιωτικής ζωής

73. Η ανάπτυξη των κοινωνικών δικτύων έδωσε στους χρήστες του Διαδικτύου τη δυνατότητα να αναφορτώνουν σε αυτά πληροφορίες για τους ίδιους αλλά και για τρίτους, με αποτέλεσμα, σύμφωνα με την ομάδα εργασίας του άρθρου 29 (34), να ενεργούν ως υπεύθυνοι της επεξεργασίας, σύμφωνα με το άρθρο 2 στοιχείο δ) της οδηγίας για την προστασία των δεδομένων (35), των δεδομένων τα οποία οι ίδιοι αναφορτώνουν. Ωστόσο, στις περισσότερες περιπτώσεις η επεξεργασία εξαιρείται από τις διατάξεις της οδηγίας διότι πραγματοποιείται στο πλαίσιο αποκλειστικά οικιακών δραστηριοτήτων σύμφωνα με άρθρο 3 παράγραφος 2 της οδηγίας. Ταυτόχρονα, οι υπηρεσίες κοινωνικής δικτύωσης θεωρούνται ως υπεύθυνοι της επεξεργασίας δεδομένων στον βαθμό που παρέχουν τα μέσα για την επεξεργασία των δεδομένων των χρηστών καθώς και όλες τις βασικές υπηρεσίες που σχετίζονται με τη διαχείριση χρηστών (π.χ. εγγραφή και διαγραφή λογαριασμών).

74. Από νομικής άποψης, αυτό σημαίνει ότι οι χρήστες του Διαδικτύου και οι υπηρεσίες κοινωνικής δικτύωσης ευθύνονται από κοινού για την επεξεργασία δεδομένων προσωπικού χαρακτήρα ως «υπεύθυνοι της επεξεργασίας δεδομένων» υπό την έννοια του άρθρου 2 στοιχείο δ) της οδηγίας, αν και σε διαφορετικό βαθμό και με διαφορετικές υποχρεώσεις ο καθένας.

75. Επομένως, οι χρήστες πρέπει να γνωρίζουν και να κατανοούν ότι όταν επεξεργάζονται προσωπικές τους πληροφορίες καθώς και πληροφορίες τρίτων, εμπίπτουν στις διατάξεις της κοινοτικής νομοθεσίας περί προστασίας των δεδομένων η οποία προβλέπει, μεταξύ άλλων, την εν γνώσει συναίνεση των ατόμων των οποίων οι πληροφορίες αναφορτώνονται και την εκχώρηση στους ενδιαφερόμενους του δικαιώματος διόρθωσης, προβολής αντιρρήσεων, κ.λπ. Ομοίως, οι υπηρεσίες κοινωνικής δικτύωσης οφείλουν, μεταξύ άλλων, να λαμβάνουν τα κατάλληλα τεχνικά και οργανωτικά μέτρα για την προστασία των δεδομένων από αθέμιτη επεξεργασία, λαμβάνοντας υπόψη τους κινδύνους που απορρέουν από την επεξεργασία και τη φύση των δεδομένων. Αυτό με τη σειρά του σημαίνει ότι οι υπηρεσίες κοινωνικής δικτύωσης πρέπει να μεριμνούν για την ύπαρξη προεπιλεγμένων ρυθμίσεων που διαφυλάσσουν την ιδιωτική ζωή, συμπεριλαμβανομένων των ρυθμίσεων που επιτρέπουν την πρόσβαση στα προφίλ των χρηστών μόνο στις δικές τους επαφές τις οποίες έχουν επιλέξει οι ίδιοι. Οι ρυθμίσεις πρέπει ακόμη να απαιτούν την ενεργητική συναίνεση των χρηστών όσον αφορά την πρόσβαση τρίτων στο προφίλ τους, ενώ τα προφίλ με περιορισμένη πρόσβαση δεν πρέπει να εντοπίζονται από εσωτερικές μηχανές αναζήτησης.

76. Δυστυχώς, υπάρχει κενό μεταξύ των νομικών απαιτήσεων και της πρακτικής συμμόρφωσης. Έτσι, ενώ από νομικής άποψης οι χρήστες του Διαδικτύου θεωρούνται υπεύθυνοι της επεξεργασίας δεδομένων και δεσμεύονται από το κοινοτικό νομικό πλαίσιο προστασίας των δεδομένων και της ιδιωτικής ζωής, στην πραγματικότητα δεν γνωρίζουν συνήθως αυτόν τον ρόλο τους. Σε γενικές γραμμές, δεν αντιλαμβάνονται ότι επεξεργάζονται δεδομένα προσωπικού χαρακτήρα και ότι η δημοσιοποίηση των πληροφοριών αυτών ενέχει κινδύνους για την ιδιωτική ζωή και την προστασία των δεδομένων. Οι νέοι ιδίως αναρτούν περιεχόμενο στο Διαδίκτυο υποτιμώντας τις συνέπειες για τους ίδιους και για τρίτους, π.χ. σε περίπτωση μεταγενέστερης εγγραφής σε εκπαιδευτικά ιδρύματα ή υποβολής αιτήσεων για κάλυψη θέσεων εργασίας.

77. Ταυτόχρονα, οι φορείς παροχής υπηρεσιών κοινωνικής δικτύωσης ορίζουν συνήθως προεπιλεγμένες ρυθμίσεις που βασίζονται στην προαιρετική εξαίρεση των χρηστών, διευκολύνοντας έτσι την κοινοποίηση προσωπικών πληροφοριών. Ορισμένοι καθιστούν διαθέσιμα τα προφίλ σε κοινές μηχανές αναζήτησης από προεπιλογή, με αποτέλεσμα να τίθενται διάφορα ερωτήματα, όπως π.χ. εάν τα άτομα έχουν όντως συναινέσει στην αποκάλυψη των προσωπικών τους πληροφοριών, και εάν τα κοινωνικά δίκτυα συμμορφώνονται με το άρθρο 17 της οδηγίας (που αναφέρεται ανωτέρω), το οποίο προβλέπει τη λήψη των κατάλληλων τεχνικών και οργανωτικών μέτρων για την προστασία των δεδομένων από αθέμιτη επεξεργασία.

VI.2. Οι κίνδυνοι που συνεπάγονται τα κοινωνικά δίκτυα και οι προτεινόμενες δράσεις για την αντιμετώπισή τους

78. Τα προαναφερθέντα έχουν ως αποτέλεσμα την αύξηση των κινδύνων που απειλούν την ιδιωτική ζωή και τα δεδομένα, καθώς οι χρήστες του Διαδικτύου και οι τρίτοι των οποίων τα δεδομένα αναφορτώνονται σε αυτό εκτίθενται σε κατάφωρες παραβιάσεις της ιδιωτικής τους ζωής και των δεδομένων τους.

79. Το ερώτημα στο οποίο καλείται, επομένως, να απαντήσει η Επιτροπή είναι τι πρέπει και τι μπορεί να γίνει για την αντιμετώπιση αυτής της κατάστασης. Η παρούσα γνωμοδότηση δεν απαντά ολοκληρωμένα στο ερώτημα αυτό, αλλά διατυπώνει αρκετές προτάσεις για περαιτέρω εξέταση.

Βαρύτητα στην εκπαίδευση των χρηστών του Διαδικτύου

80. Η πρώτη πρόταση είναι να δοθεί βαρύτητα στην εκπαίδευση των χρηστών. Στο πλαίσιο αυτό, τα κοινοτικά θεσμικά όργανα και οι εθνικές αρχές πρέπει να δώσουν βαρύτητα στην εκπαίδευση των χρηστών και στην ευαισθητοποίησή τους όσον αφορά τις απειλές που θέτουν οι δικτυακοί τόποι κοινωνικής δικτύωσης. Για παράδειγμα, η ΓΔ Κοινωνία της Πληροφορίας εφαρμόζει το πρόγραμμα για την ασφαλέστερη χρήση του Διαδικτύου, με σκοπό την καλύτερη προετοιμασία και την προστασία των παιδιών και των νέων μέσω, π.χ, δραστηριοτήτων ευαισθητοποίησης (36). Πρόσφατα, τα κοινοτικά θεσμικά όργανα εγκαινίασαν την εκστρατεία «Think before you post» («Σκέψου πριν δημοσιεύσεις προσωπικά δεδομένα») προκειμένου να ενημερώσουν καλύτερα τους χρήστες για τους κινδύνους που ενέχει η ανταλλαγή προσωπικών πληροφοριών με ξένους.

81. Ο ΕΕΠΔ ενθαρρύνει την Επιτροπή να συνεχίσει να στηρίζει τέτοιου είδους δραστηριότητες. Ωστόσο, ενεργό ρόλο πρέπει να αναλάβουν και οι φορείς παροχής υπηρεσιών κοινωνικής δικτύωσης, καθώς φέρουν νομική και κοινωνική ευθύνη να παρέχουν εκπαίδευση στους χρήστες σχετικά με το πώς πρέπει να χρησιμοποιούν τις παρεχόμενες υπηρεσίες με ασφάλεια κατά τρόπο ώστε να διαφυλάσσουν την ιδιωτική τους ζωή.

82. Όπως προαναφέρεται, οι πληροφορίες που αναρτώνται σε κοινωνικά δίκτυα είναι πιθανό να καθίστανται διαθέσιμες από προεπιλογή με διάφορους τρόπους. Για παράδειγμα, οι πληροφορίες μπορούν να καθίστανται διαθέσιμες στο ευρύ κοινό, ακόμη και μέσω μηχανών αναζήτησης, οι οποίες ενδεχομένως τις περιλαμβάνουν σε ευρετήρια δημιουργώντας έτσι άμεσες συνδέσεις προς αυτές. Από την άλλη πλευρά, πρόσβαση στις πληροφορίες μπορούν να έχουν μόνο οι «επιλεγμένοι φίλοι» ή μόνο ο ίδιος ο χρήστης. Προφανώς, οι δυνατότητες ρύθμισης των προφίλ και η χρησιμοποιούμενη ορολογία διαφέρουν μεταξύ των δικτυακών τόπων.

83. Ωστόσο, όπως επισημάνθηκε ανωτέρω, ελάχιστοι χρήστες υπηρεσιών κοινωνικής δικτύωσης γνωρίζουν πώς να ελέγχουν την πρόσβαση στις πληροφορίες που αναρτούν, και πώς να αλλάζουν τις προεπιλεγμένες ρυθμίσεις προστασίας απορρήτου. Οι τελευταίες δεν αλλάζουν συνήθως διότι οι χρήστες δεν έχουν υπόψη τους τις επιπτώσεις που συνεπάγεται η μη αλλαγή τους ή δεν γνωρίζουν πώς να τις αλλάξουν. Κατά συνέπεια, η μη αλλαγή των ρυθμίσεων προστασίας της ιδιωτικής ζωής δεν σημαίνει ότι τα άτομα έχουν αποδεχθεί εν γνώσει τους τη γνωστοποίηση των πληροφοριών τους σε τρίτους. Στο πλαίσιο αυτό, δεν πρέπει να συνδέονται με τα προφίλ των ατόμων τρίτοι, όπως μηχανές αναζήτησης, βασιζόμενοι απλώς στην υπόθεση ότι οι χρήστες έχουν συναινέσει από προεπιλογή (μην αλλάζοντας τις ρυθμίσεις προστασίας της ιδιωτικής ζωής) με την άνευ περιορισμών κοινοποίηση των πληροφοριών τους.

84. Παρότι η εκπαίδευση των χρηστών μπορεί να συμβάλει στην αντιμετώπιση αυτής της κατάστασης, δεν αρκεί από μόνη της. Όπως συνιστά η ομάδα εργασίας του άρθρου 29 στη γνωμοδότησή της για τα κοινωνικά δίκτυα, οι φορείς παροχής υπηρεσιών κοινωνικής δικτύωσης πρέπει να παρέχουν δωρεάν προεπιλεγμένες ρυθμίσεις που διαφυλάσσουν την ιδιωτική ζωή. Έτσι, οι χρήστες θα ενεργούν περισσότερο συνειδητά και θα μπορούν να επιλέγουν καλύτερα εάν επιθυμούν ή όχι να μοιραστούν τις πληροφορίες τους και με ποιους.

Ο ρόλος της αυτορρύθμισης

85. Η Επιτροπή έχει συνάψει συμφωνία με είκοσι φορείς παροχής υπηρεσιών κοινωνικής δικτύωσης η οποία είναι γνωστή ως «Safer Social Networking Principles for the EU» (Αρχές ασφαλέστερης κοινωνικής δικτύωσης για την ΕΕ) (37). Σκοπός της συμφωνίας αυτής είναι η βελτίωση της ασφάλειας των ανηλίκων που χρησιμοποιούν δικτυακούς τόπους κοινωνικής δικτύωσης στην Ευρώπη. Στις αρχές αυτές περιλαμβάνονται πολλές από τις απαιτήσεις που απορρέουν από την εφαρμογή του νομικού πλαισίου προστασίας των δεδομένων που περιγράφηκε ανωτέρω, όπως, μεταξύ άλλων, η απαίτηση εφοδιασμού των χρηστών με εργαλεία και τεχνολογίες ώστε να μπορούν να ελέγχουν τη χρήση και τη διάθεση των προσωπικών τους πληροφοριών, και η απαίτηση ύπαρξης προεπιλεγμένων ρυθμίσεων προστασίας της ιδιωτικής ζωής.

86. Στις αρχές του Ιανουαρίου του 2010, η Επιτροπή δημοσίευσε τα πορίσματα μιας έκθεσης αξιολόγησης της εφαρμογής των εν λόγω αρχών (38). Ο ΕΕΠΔ εκφράζει την ανησυχία του διότι η έκθεση αυτή καταδεικνύει ότι πρέπει να γίνουν πολλά ακόμη στον συγκεκριμένο τομέα, παρά τις προόδους που έχουν σημειωθεί. Για παράδειγμα, η έκθεση εντοπίζει προβλήματα όσον αφορά την ενημέρωση των χρηστών για τα μέτρα και τα εργαλεία ασφαλείας που διαθέτουν οι διάφοροι δικτυακοί τόποι. Διαπιστώνει ακόμη ότι λιγότεροι από τους μισούς υπογράφοντες τη συμφωνία περιορίζουν την πρόσβαση στα προφίλ των ανηλίκων μόνο στους δικούς τους φίλους.

Απαίτηση υποχρεωτικής προστασίας της ιδιωτικής ζωής μέσω προεπιλεγμένων ρυθμίσεων

87. Στο πλαίσιο αυτό, το βασικό ερώτημα είναι εάν απαιτούνται πρόσθετα πολιτικά μέτρα προκειμένου να διασφαλιστεί ότι τα κοινωνικά δίκτυα παρέχουν τις υπηρεσίες τους έχοντας ενεργοποιημένες προεπιλεγμένες ρυθμίσεις προστασίας της ιδιωτικής ζωής. Το θέμα αυτό έθεσε η πρώην αρμόδια για την Κοινωνία των πληροφοριών Επίτροπος, κ. Viviane Reding, η οποία τόνισε ότι ίσως απαιτείται η θέσπιση σχετικής νομοθεσίας (39). Στο ίδιο μήκος κύματος, η Ευρωπαϊκή Οικονομική και Κοινωνική Επιτροπή δήλωσε ότι, παράλληλα με την αυτορρύθμιση, η νομοθεσία πρέπει να προβλέπει ελάχιστα πρότυπα προστασίας (40).

88. Όπως προαναφέρεται, η υποχρέωση των φορέων παροχής υπηρεσιών κοινωνικής δικτύωσης να εφαρμόζουν προεπιλεγμένες ρυθμίσεις προστασίας της ιδιωτικής ζωής μπορεί να συναχθεί έμμεσα από το άρθρο 17 της οδηγίας για την προστασία των δεδομένων (41), το οποίο υποχρεώνει τους υπεύθυνους της επεξεργασίας δεδομένων να λαμβάνουν κατάλληλα τεχνικά και οργανωτικά μέτρα («κατά τη στιγμή τόσο του σχεδιασμού των τεχνικών επεξεργασίας όσο και της εκτέλεσης της επεξεργασίας») για να διατηρούν την ασφάλεια και να προλαμβάνουν την αθέμιτη επεξεργασία, λαμβάνοντας υπόψη τους κινδύνους που απορρέουν από την επεξεργασία και τη φύση των δεδομένων.

89. Ωστόσο, και στο συγκεκριμένο πλαίσιο, το άρθρο αυτό είναι υπερβολικά γενικό και καθόλου συγκεκριμένο. Δεν αναφέρει με σαφήνεια ποια είναι τα «κατάλληλα τεχνικά και οργανωτικά μέτρα» στο πλαίσιο των κοινωνικών δικτύων. Συνεπώς, η τρέχουσα κατάσταση παρουσιάζει αβεβαιότητα από νομικής πλευράς με αποτέλεσμα να αντιμετωπίζουν προβλήματα τόσο οι ρυθμιστικές αρχές όσο και τα ίδια τα άτομα των οποίων δεν προστατεύονται πλήρως η ιδιωτική ζωή και τα προσωπικά δεδομένα.

90. Βάσει των ανωτέρω, ο ΕΕΠΔ καλεί την Επιτροπή να υποβάλει νομοθετική πρόταση η οποία θα περιλαμβάνει ως ελάχιστη απαίτηση την καθολική εφαρμογή υποχρεωτικών ρυθμίσεων προστασίας της ιδιωτικής ζωής, σε συνδυασμό με περισσότερο αναλυτικές απαιτήσεις: α) καθορισμό ρυθμίσεων που περιορίζουν την πρόσβαση στα προφίλ των χρηστών μόνο στις δικές τους επαφές τις οποίες έχουν επιλέξει οι ίδιοι. Οι ρυθμίσεις αυτές πρέπει να απαιτούν την ενεργητική συναίνεση των χρηστών όσον αφορά την πρόσβαση τρίτων στο προφίλ τους. β) τα προφίλ με περιορισμένη πρόσβαση δεν πρέπει να εντοπίζονται από εσωτερικές/εξωτερικές μηχανές αναζήτησης.

91. Πέρα από τη θέσπιση υποχρεωτικών προεπιλεγμένων ρυθμίσεων προστασίας της ιδιωτικής ζωής, τίθεται το ερώτημα εάν είναι επιπλέον σκόπιμη η θέσπιση πρόσθετων ειδικών μέτρων για την προστασία των δεδομένων, αλλά και άλλων μέτρων (π.χ. για την προστασία των ανηλίκων). Το ερώτημα αυτό εγείρει ένα ευρύτερο ζήτημα: το κατά πόσον είναι σκόπιμο να διαμορφωθεί ειδικό πλαίσιο για αυτού του τύπου τις υπηρεσίες, το οποίο, πέρα από τη θέσπιση υποχρεωτικών ρυθμίσεων προστασίας της ιδιωτικής ζωής, θα ρυθμίζει και άλλες πτυχές. Ο ΕΕΠΔ ζητά από την Επιτροπή να εξετάσει το εν λόγω ζήτημα.

VII. ΠΡΟΕΠΙΛΕΓΜΕΝΕΣ ΡΥΘΜΙΣΕΙΣ ΠΡΟΣΤΑΣΙΑΣ ΤΗΣ ΙΔΙΩΤΙΚΗΣ ΖΩΗΣ ΤΩΝ ΦΥΛΛΟΜΕΤΡΗΤΩΝ ΓΙΑ ΤΗ ΔΙΑΣΦΑΛΙΣΗ ΤΗΣ ΕΝ ΓΝΩΣΕΙ ΣΥΝΑΙΝΕΣΗΣ ΤΩΝ ΧΡΗΣΤΩΝ ΌΣΟΝ ΑΦΟΡΑ ΤΗ ΛΗΨΗ ΔΙΑΦΗΜΙΣΕΩΝ

92. Οι πάροχοι διαφημίσεων δικτύου χρησιμοποιούν «cookies» και άλλες διατάξεις για να παρακολουθούν τη συμπεριφορά των μεμονωμένων χρηστών όταν αυτοί περιηγούνται στο Διαδίκτυο, προκειμένου να καταγράφουν τα ενδιαφέροντά τους και να σκιαγραφούν τα προφίλ τους. Οι πληροφορίες αυτές χρησιμοποιούνται στη συνέχεια για την αποστολή στοχευμένων διαφημίσεων στους χρήστες (42).

VII.1. Λοιπά προβλήματα και κίνδυνοι σε σχέση με το ισχύον νομικό πλαίσιο προστασίας των δεδομένων και της ιδιωτικής ζωής

93. Η επεξεργασία αυτή καλύπτεται από την οδηγία για την προστασία των δεδομένων (εφόσον αφορά δεδομένα προσωπικού χαρακτήρα) και επίσης από το άρθρο 5 παράγραφος 3 της οδηγίας ePrivacy. Σύμφωνα με το εν λόγω άρθρο, ο χρήστης πρέπει να ενημερώνεται ώστε να έχει τη δυνατότητα να αντιδρά είτε συναινώντας στην αποθήκευση διατάξεων όπως τα «cookies» κ.λπ. στον υπολογιστή του ή σε άλλη συσκευή, είτε απορρίπτοντάς την (43).

94. Μέχρι στιγμής, οι πάροχοι διαφημίσεων δικτύου ενημερώνουν τους χρήστες και τους παρέχουν τη δυνατότητα να συναινούν ή όχι με την αποθήκευση «cookies» μέσω των ρυθμίσεων των φυλλομετρητών και μέσω πολιτικών προστασίας της ιδιωτικής ζωής. Οι πολιτικές προστασίας της ιδιωτικής ζωής που ενσωματώνουν στους διάφορους δικτυακούς τόπους οι δημιουργοί τους εξηγούν στους χρήστες πώς να εξαιρούνται προαιρετικά από τη λήψη όλων ανεξαιρέτως των «cookies» ή πώς να τα αποδέχονται κατά περίπτωση. Αυτές οι δράσεις αναπτύσσονται στο πλαίσιο της συμμόρφωσής τους προς την υποχρέωση παροχής στους χρήστες του δικαιώματος να απορρίπτουν τα «cookies».

95. Ενώ η μέθοδος αυτή (μέσω του φυλλομετρητή) θα μπορούσε όντως να παρέχει αποτελεσματικά ουσιαστική εν γνώσει συναίνεση, η πραγματικότητα είναι πολύ διαφορετική. Γενικά, οι χρήστες δεν γνωρίζουν καν βασικές πληροφορίες σχετικά με τη συλλογή δεδομένων, πόσο μάλλον από τρίτους, την αξία των δεδομένων αυτών, τις χρήσεις τους, τον τρόπο λειτουργίας της τεχνολογίας και πιο συγκεκριμένα το πώς και το πότε να εξαιρούνται προαιρετικά. Τα βήματα που πρέπει να κάνουν οι χρήστες για να εξαιρεθούν προαιρετικά προβάλλουν όχι μόνο περίπλοκα αλλά και υπερβολικά (πρώτα πρέπει να ρυθμίσουν τον φυλλομετρητή τους ώστε να δέχεται «cookies», και μετά να επιλέξουν την προαιρετική εξαίρεση).

96. Ως εκ τούτου, ελάχιστοι άνθρωποι επιλέγουν στην πράξη την προαιρετική εξαίρεση. Οι περισσότεροι δεν το πράττουν, όχι διότι αποφασίζουν εν γνώσει τους να αποδέχονται διαφημίσεις με γνώμονα τη συμπεριφορά τους, αλλά μάλλον διότι δεν αντιλαμβάνονται ότι μην επιλέγοντας την προαιρετική εξαίρεση, ουσιαστικά αποδέχονται τις διαφημίσεις.

97. Συνεπώς, ενώ από νομικής πλευράς το άρθρο 5 παράγραφος 3 της οδηγίας ePrivacy παρέχει αποτελεσματική νομική προστασία, στην πράξη θεωρείται ότι οι χρήστες του Διαδικτύου συναινούν να παρακολουθούνται για σκοπούς αποστολής διαφημίσεων με γνώμονα τη συμπεριφορά τους, τη στιγμή που ουσιαστικά στις περισσότερες, αν όχι σε όλες τις περιπτώσεις, δεν γνωρίζουν καν ότι παρακολουθούνται.

98. Ο ΕΕΠΔ επιδοκιμάζει την πρωτοβουλία της ομάδας εργασίας του άρθρου 29 να συντάξει γνωμοδότηση προκειμένου να αποσαφηνιστούν οι νομικές επιταγές της συμμετοχής στην αποστολή διαφημίσεων με γνώμονα τη συμπεριφορά. Ωστόσο, η ερμηνεία αυτή καθαυτή ενδέχεται να μην επαρκεί για τη διευθέτηση της κατάστασης και ίσως χρειαστεί να επέμβει η Ευρωπαϊκή Ένωση λαμβάνοντας πρόσθετα μέτρα.

VII.2. Ανάγκη λήψης πρόσθετων μέτρων, ιδίως δε θέσπισης υποχρεωτικών προεπιλεγμένων ρυθμίσεων προστασίας της ιδιωτικής ζωής

99. Όπως προαναφέρθηκε, οι φυλλομετρητές ιστού συνήθως ελέγχουν σε κάποιον βαθμό ορισμένα είδη «cookies». Επί του παρόντος, οι προεπιλεγμένες ρυθμίσεις των περισσότερων φυλλομετρητών ιστού δέχονται όλα τα «cookies». Με άλλα λόγια, από προεπιλογή, οι φυλλομετρητές ρυθμίζονται έτσι ώστε να δέχονται όλα τα cookies, ανεξάρτητα από τον σκοπό του καθενός. Επομένως, οι χρήστες δεν θα λαμβάνουν «cookies» μόνο εφόσον αλλάξουν τις ρυθμίσεις του φυλλομετρητή που διαθέτουν ώστε να απορρίπτει τα cookies, κάτι το οποίο, όμως, όπως περιγράφεται ανωτέρω, ελάχιστοι χρήστες κάνουν. Επιπλέον, κατά την πρώτη εγκατάσταση ή την επικαιροποίηση των εφαρμογών φυλλομετρητή δεν εμφανίζεται ειδοποίηση περί προστασίας της ιδιωτικής ζωής.

100. Ένας τρόπος αντιμετώπισης του προαναφερθέντος προβλήματος θα ήταν να διαθέτουν οι φυλλομετρητές ρυθμίσεις προστασίας της ιδιωτικής ζωής από προεπιλογή, δηλαδή να διαθέτουν τη ρύθμιση «μη αποδοχή cookies τρίτων». Προκειμένου να συμπληρωθεί το μέτρο αυτό και να καταστεί περισσότερο αποτελεσματικό, οι φυλλομετρητές θα πρέπει να εμφανίζουν υποχρεωτικά, κατά την πρώτη εγκατάσταση ή την επικαιροποίησή τους, ειδοποίηση περί προστασίας της ιδιωτικής ζωής την οποία θα βλέπουν οι χρήστες. Υπάρχει ανάγκη για περισσότερη λεπτομέρεια και σαφή πληροφόρηση γύρω από τους διάφορους τύπους «cookies» και τη χρησιμότητα ορισμένων εξ αυτών. Οι χρήστες που επιθυμούν να παρακολουθούνται ώστε να λαμβάνουν διαφημίσεις θα ενημερώνονται δεόντως και θα καλούνται να αλλάζουν τις ρυθμίσεις του φυλλομετρητή τους. Έτσι, θα ελέγχουν καλύτερα τα προσωπικά τους δεδομένα και την ιδιωτική τους ζωή. Ο ΕΕΠΔ εκτιμά ότι με την προαναφερθείσα λύση εξασφαλίζεται αποτελεσματικά ο σεβασμός και η διαφύλαξη της συναίνεσης των χρηστών (44).

101. Η ανάγκη θέσπισης πρόσθετων εγγυήσεων καθίσταται περισσότερο επιτακτική λαμβανομένης υπόψη, αφενός, της έκτασης του προβλήματος, δηλαδή του αριθμού των χρηστών Διαδικτύου που παρακολουθούνται χωρίς να έχουν ουσιαστικά συναινέσει, και, αφετέρου, της κλίμακας των διακυβευόμενων συμφερόντων. Η εφαρμογή της αρχής της «προστασίας της ιδιωτικής ζωής εκ κατασκευής» στους φυλλομετρητές ιστού θα μπορούσε να αλλάξει ουσιαστικά την κατάσταση παρέχοντας στα άτομα τη δυνατότητα να ελέγχουν τις πρακτικές συλλογής δεδομένων που χρησιμοποιούνται για διαφημιστικούς σκοπούς.

102. Για τους λόγους αυτούς, ο ΕΕΠΔ καλεί την Επιτροπή να εξετάσει νομοθετικά μέτρα τα οποία θα επιβάλλουν στους φυλλομετρητές να διαθέτουν από προεπιλογή υποχρεωτικές ρυθμίσεις προστασίας της ιδιωτικής ζωής και να παρέχουν τις σχετικές πληροφορίες.

VIII. ΛΟΙΠΕΣ ΑΡΧΕΣ ΠΡΟΣΤΑΣΙΑΣ ΤΗΣ ΙΔΙΩΤΙΚΗΣ ΖΩΗΣ ΚΑΙ ΤΩΝ ΔΕΔΟΜΕΝΩΝ ΤΩΝ ΑΤΟΜΩΝ

103. Αν και η αρχή της «προστασίας της ιδιωτικής ζωής εκ κατασκευής» μπορεί να βελτιώσει σημαντικά την προστασία των δεδομένων προσωπικού χαρακτήρα και της ιδιωτικής ζωής των ατόμων, επιβάλλεται επιπλέον η ανάπτυξη και η νομοθετική επιβολή συμπληρωματικών αρχών που θα διασφαλίζουν την εμπιστοσύνη των καταναλωτών στις ΤΠΕ. Ο ΕΕΠΔ αναφέρεται συγκεκριμένα στην εφαρμογή της αρχής της λογοδοσίας και στη συμπλήρωση του υποχρεωτικού πλαισίου για την παραβίαση της ασφάλειας έτσι ώστε να ισχύει σε διάφορους τομείς.

VIII.1. Η αρχή της λογοδοσίας για τη διασφάλιση της συμμόρφωσης προς την αρχή της προστασίας της ιδιωτικής ζωής εκ κατασκευής

104. Το έγγραφο της ομάδας εργασίας του άρθρου 29 με τίτλο «Το μέλλον της ιδιωτικής ζωής» (45) συνιστά τη συμπερίληψη της αρχής της λογοδοσίας στην οδηγία για την προστασία των δεδομένων. Η εν λόγω αρχή, η οποία αναγνωρίζεται σε ορισμένες πολυεθνικές πράξεις προστασίας των δεδομένων (46), υποχρεώνει τους φορείς να εφαρμόζουν διαδικασίες συμμόρφωσης με την ισχύουσα νομοθεσία και να αναπτύσσουν μεθόδους αξιολόγησης και απόδειξης της συμμόρφωσής τους με τη νομοθεσία και με άλλες δεσμευτικές πράξεις.

105. Ο ΕΕΠΔ στηρίζει πλήρως τη σύσταση της ομάδας εργασίας του άρθρου 29. Εκτιμά ότι η εν λόγω αρχή θα συμβάλει καθοριστικά στην αποτελεσματική εφαρμογή της αρχής προστασίας των δεδομένων και στην εκτέλεση των συναφών υποχρεώσεων. Στο πλαίσιο της λογοδοσίας, οι υπεύθυνοι της επεξεργασίας δεδομένων θα καλούνται να αποδεικνύουν ότι εφαρμόζουν τους μηχανισμούς που απαιτούνται για τη συμμόρφωσή τους με την ισχύουσα νομοθεσία περί προστασίας των δεδομένων. Καθώς το μέτρο αυτό ευνοεί τη λογοδοσία, θα συμβάλλει στην αποτελεσματική εφαρμογή της προστασίας της ιδιωτικής ζωής εκ κατασκευής στις ΤΠΕ.

106. Για να μετρούν και να αποδεικνύουν τη λογοδοσία, οι υπεύθυνοι της επεξεργασίας δεδομένων μπορούν ενδεχομένως να χρησιμοποιούν εσωτερικές διαδικασίες και τρίτους οι οποίοι πραγματοποιούν εσωτερικούς ελέγχους ή άλλες μορφές ελέγχων και επαληθεύσεων. Θα μπορούσε μάλιστα να προβλέπεται και η απονομή επαίνων ή βραβείων. Στο πλαίσιο αυτό, ο ΕΕΠΔ καλεί την Επιτροπή να εξετάσει, εκτός από την επιβολή της γενικής αρχής της λογοδοσίας, εάν θα ήταν σκόπιμη η δια νόμου επιβολή συγκεκριμένων μέτρων λογοδοσίας, όπως η εκπόνηση εκτίμησης των επιπτώσεων των ΤΠΕ στην ιδιωτική ζωή και στην προστασία των δεδομένων, και υπό ποιες περιστάσεις.

VIII.2. Παραβίαση της ασφάλειας: συμπλήρωση του νομικού πλαισίου

107. Με τις περσινές τροποποιήσεις της οδηγίας ePrivacy θεσπίστηκε η υποχρέωση ενημέρωσης των θιγόμενων ατόμων και των αρμόδιων αρχών για τυχόν παραβιάσεις δεδομένων. Ως παραβίαση δεδομένων νοείται γενικώς κάθε παραβίαση που οδηγεί σε καταστροφή, απώλεια, κοινολόγηση, κ.λπ. προσωπικών δεδομένων που διαβιβάσθηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία, σε συνδυασμό με την παροχή υπηρεσίας. Η ενημέρωση των ατόμων για την παραβίαση των δεδομένων τους επιβάλλεται σε περίπτωση που η παραβίαση ενδέχεται να επηρεάσει αρνητικά τα προσωπικά τους δεδομένα ή την ιδιωτική τους ζωή. Τέτοιες περιπτώσεις είναι οι παραβιάσεις δεδομένων που μπορούν να οδηγήσουν σε κλοπή ταυτότητας, σε σημαντικό εξευτελισμό ή σε δυσφήμιση. Οι αρμόδιες αρχές πρέπει να ενημερώνονται για κάθε παραβίαση δεδομένων, ανεξαρτήτως του εάν ελλοχεύει κίνδυνος για τα άτομα ή όχι.

Εφαρμογή των υποχρεώσεων περί παραβίασης της ασφάλειας σε διάφορους τομείς

108. Δυστυχώς, η υποχρέωση αυτή αφορά μόνο τους παρόχους διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών, όπως εταιρείες τηλεφωνίας, παρόχους πρόσβασης στο Διαδίκτυο, παρόχους υπηρεσιών Webmail, κ.λπ. Ο ΕΕΠΔ καλεί την Επιτροπή να υποβάλει προτάσεις σχετικά με την παραβίαση της ασφάλειας οι οποίες θα ισχύουν σε διάφορους τομείς. Όσον αφορά το περιεχόμενο του σχετικού πλαισίου, ο ΕΕΠΔ εκτιμά ότι το νομικό πλαίσιο που διέπει την παραβίαση της ασφάλειας το οποίο θεσπίστηκε με την οδηγία ePrivacy εξασφαλίζει ικανοποιητική ισορροπία ανάμεσα στην προστασία των δικαιωμάτων των ατόμων, συμπεριλαμβανομένων των δικαιωμάτων προστασίας των προσωπικών τους δεδομένων και της ιδιωτικής τους ζωής, και στις υποχρεώσεις που επιβάλλονται στους υπόχρεους φορείς. Ταυτόχρονα, πρόκειται για ένα ιδιαίτερα αποτελεσματικό πλαίσιο, καθώς υποστηρίζεται από ουσιαστικές διατάξεις επιβολής, οι οποίες παρέχουν στις αρχές επαρκείς αρμοδιότητες έρευνας και επιβολής κυρώσεων σε περίπτωση μη συμμόρφωσης.

109. Ως εκ τούτου, ο ΕΕΠΔ καλεί την Επιτροπή να εγκρίνει νομοθετική πρόταση για την εφαρμογή του πλαισίου αυτού σε διάφορους τομείς, εν ανάγκη με τις αναγκαίες προσαρμογές. Με τον τρόπο αυτόν θα διασφαλιστεί επιπλέον η εφαρμογή των ίδιων προτύπων και διαδικασιών στους διάφορους τομείς.

Συμπλήρωση του νομικού πλαισίου που περιέχεται στην οδηγία ePrivacy μέσω της διαδικασίας της επιτροπολογίας

110. Η αναθεωρημένη οδηγία ePrivacy παρέχει στην Επιτροπή τη δυνατότητα να εγκρίνει τεχνικά μέτρα εφαρμογής, ήτοι λεπτομερή μέτρα για την κοινοποίηση των παραβιάσεων δεδομένων, μέσω της διαδικασίας της επιτροπολογίας (47). Με την παροχή αυτής της δυνατότητας στην Επιτροπή διασφαλίζεται η συνεκτική υλοποίηση και εφαρμογή του νομικού πλαισίου σχετικά με την παραβίαση της ασφάλειας. Χάρη σε αυτήν, τα άτομα σε ολόκληρη την Κοινότητα θα έχουν εξίσου υψηλό επίπεδο προστασίας και οι υπόχρεοι φορείς δεν θα βαρύνονται με διαφορετικές απαιτήσεις κοινοποίησης σε περίπτωση παραβίασης δεδομένων.

111. Η οδηγία ePrivacy εκδόθηκε τον Νοέμβριο του 2009. Δεν φαίνεται να υπάρχει κανένας λόγος που να δικαιολογεί την αναβολή της έναρξης των εργασιών θέσπισης των τεχνικών μέτρων εφαρμογής. Ο ΕΕΠΔ έχει οργανώσει δύο σεμινάρια με θέμα την ανταλλαγή και τη συλλογή εμπειριών σε θέματα ενημέρωσης των ενδιαφερομένων για παραβιάσεις δεδομένων, και έχει κάθε καλή διάθεση να μοιραστεί τα αποτελέσματα αυτών των σεμιναρίων. Αναμένει λοιπόν να συνεργαστεί με την Επιτροπή και τους λοιπούς ενδιαφερόμενους για την τελειοποίηση ολόκληρου του νομικού πλαισίου περί παραβίασης των δεδομένων.

112. Ο ΕΕΠΔ καλεί την Επιτροπή να προβεί στις απαραίτητες ενέργειες εντός σύντομου χρονικού διαστήματος. Προτού θεσπίσει τεχνικά μέτρα εφαρμογής, η Επιτροπή πρέπει να προβεί σε ευρεία διαβούλευση, στην οποία θα πρέπει να συμμετέχουν ο Ευρωπαϊκός Οργανισμός για την Ασφάλεια Δικτύων και Πληροφοριών (ENISA), ο ΕΕΠΔ και η ομάδα εργασίας του άρθρου 29. Στη διαβούλευση θα πρέπει να συμμετέχουν και άλλοι σχετικοί ενδιαφερόμενοι, κυρίως για να συγκεντρωθούν πληροφορίες για τα βέλτιστα διαθέσιμα τεχνικά και οικονομικά μέσα εφαρμογής.

IX. ΣΥΜΠΕΡΑΣΜΑΤΑ

113. Η εμπιστοσύνη, ή μάλλον η απουσία της, αποτελεί καθοριστικό παράγοντα για τη διαμόρφωση και την επιτυχή ανάπτυξη τεχνολογιών πληροφοριών και επικοινωνιών. Εάν οι άνθρωποι δεν εμπιστεύονται τις ΤΠΕ, τότε αυτές είναι πολύ πιθανόν να αποτύχουν. Η εμπιστοσύνη στις ΤΠΕ εξαρτάται από διάφορους παράγοντες, μεταξύ των οποίων ξεχωρίζει ο εξής: οι ΤΠΕ δεν πρέπει να θίγουν τα θεμελιώδη δικαιώματα των ατόμων στην ιδιωτική ζωή και στην προστασία των δεδομένων προσωπικού χαρακτήρα.

114. Με γνώμονα την περαιτέρω ενίσχυση του νομικού πλαισίου προστασίας των δεδομένων και της ιδιωτικής ζωής, οι αρχές του οποίου εξακολουθούν να είναι καθ’ όλα έγκυρες στην κοινωνία της πληροφορίας, ο ΕΕΠΔ προτείνει στην Επιτροπή να ενσωματώσει την προστασία της ιδιωτικής ζωής εκ κατασκευής σε διάφορα επίπεδα νομοθεσίας και χάραξης πολιτικής.

115. Συνιστά στην Επιτροπή να ακολουθήσει τέσσερις άξονες δράσης: α) να προτείνει την προσθήκη γενικής διάταξης σχετικά με την προστασία της ιδιωτικής ζωής εκ κατασκευής στο νομικό πλαίσιο περί προστασίας των δεδομένων. Η διάταξη αυτή πρέπει να είναι ουδέτερη από τεχνολογικής άποψης, ενώ η συμμόρφωση πρέπει να είναι υποχρεωτική σε διάφορα επίπεδα. β) να αναπτύξει περαιτέρω τη γενική αυτή διάταξη με ειδικές διατάξεις κατά την υποβολή συγκεκριμένων νομοθετικών προτάσεων σε διάφορους τομείς. Οι εν λόγω ειδικές διατάξεις θα μπορούσαν μάλιστα να συμπεριληφθούν από τώρα κιόλας σε νομικές πράξεις, δυνάμει του άρθρου 17 της οδηγίας για την προστασία των δεδομένων (και άλλων ισχυόντων νομοθετημάτων). γ) να συμπεριλάβει την προστασία της ιδιωτικής ζωής εκ κατασκευής ως κατευθυντήρια αρχή στην ευρωπαϊκή ψηφιακή ατζέντα. δ) να συμπεριλάβει την προστασία της ιδιωτικής ζωής εκ κατασκευής ως αρχή σε άλλες κοινοτικές πρωτοβουλίες (κυρίως μη νομοθετικές).

116. Σε τρεις καθορισμένους τομείς ΤΠΕ, ο ΕΕΠΔ συνιστά στην Επιτροπή να αξιολογήσει την ανάγκη υποβολής προτάσεων για την εφαρμογή της αρχής της προστασίας της ιδιωτικής ζωής εκ κατασκευής με συγκεκριμένους τρόπους: α) Σε σχέση με τη RFID, να προτείνει νομοθετικά μέτρα που θα ρυθμίζουν τα βασικά ζητήματα της χρήσης RFID σε περίπτωση που δεν ευοδωθεί η αποτελεσματική εφαρμογή του ισχύοντος νομικού πλαισίου μέσω της αυτορρύθμισης. Συγκεκριμένα, να θεσπίσει την αρχή της προαιρετικής συναίνεσης στο σημείο πώλησης βάσει της οποίας όλες οι ετικέτες RFID που υπάρχουν σε καταναλωτικά προϊόντα πρέπει να απενεργοποιούνται από προεπιλογή στο σημείο πώλησης, β) Σε σχέση με τα κοινωνικά δίκτυα, να υποβάλει νομοθετική πρόταση η οποία θα περιλαμβάνει ως ελάχιστη απαίτηση την καθολική εφαρμογή υποχρεωτικών ρυθμίσεων προστασίας της ιδιωτικής ζωής, σε συνδυασμό με περισσότερο αναλυτικές απαιτήσεις, π.χ. πρόσβαση στα προφίλ των χρηστών αποκλειστικά και μόνο των δικών τους επαφών τις οποίες έχουν επιλέξει οι ίδιοι, και μη εντοπισμό των προφίλ με περιορισμένη πρόσβαση από εσωτερικές/εξωτερικές μηχανές αναζήτησης, γ) Σε σχέση με τη στοχευμένη διαφήμιση, να υποβάλει νομοθετική πρόταση βάσει της οποίας οι φυλλομετρητές θα πρέπει να διαθέτουν από προεπιλογή ρυθμίσεις που να απορρίπτουν τα «cookies» τρίτων, και να εμφανίζουν υποχρεωτικά, κατά την πρώτη εγκατάσταση ή την επικαιροποίησή τους, ειδοποίηση περί προστασίας της ιδιωτικής ζωής την οποία θα βλέπουν οι χρήστες.

117. Τέλος, ο ΕΕΠΔ προτείνει στην Επιτροπή: α) να εξετάσει το ενδεχόμενο εφαρμογής της αρχής της λογοδοσίας στην ισχύουσα οδηγία για την προστασία των δεδομένων, και β) να αναπτύξει πλαίσιο κανόνων και διαδικασιών για την εφαρμογή των διατάξεων της οδηγίας e-Privacy περί κοινοποίησης των παραβιάσεων της ασφάλειας, και να το επεκτείνει ώστε να ισχύει γενικά για όλους τους υπεύθυνους της επεξεργασίας δεδομένων.

Βρυξέλλες, 18 Μαρτίου 2010. Peter HUSTINX Ευρωπαίος Επόπτης Προστασίας Δεδομένων

(1) ΕΕ L 281 της 23.11.1995, σ. 31.

(2) ΕΕ L 201 της 31.7.2002, σ. 37.

(3) ΕΕ L 8 της 12.1.2001, σ. 1.

(4) Απαντήσεις στις ερωτήσεις του Ευρωπαϊκού Κοινοβουλίου προς την Επίτροπο Neelie Kroes στο πλαίσιο των ακροάσεων του ΕΚ που προηγήθηκαν του διορισμού της Επιτρόπου.

(5) Απαντήσεις στις ερωτήσεις του Ευρωπαϊκού Κοινοβουλίου προς την Επίτροπο Neelie Kroes στο πλαίσιο των ακροάσεων του ΕΚ που προηγήθηκαν του διορισμού της Επιτρόπου, ομιλία της Επιτρόπου Viviane Reding με θέμα «Ευρωπαϊκή ψηφιακή ατζέντα για τον νέο ψηφιακό καταναλωτή» στο πολυμερές φόρουμ ενδιαφερομένων της οργάνωσης ευρωπαίων καταναλωτών BEUC με θέμα «Ιδιωτική ζωή καταναλωτών και ηλεκτρονικό μάρκετινγκ: τάσεις της αγοράς και πολιτικές προοπτικές», Βρυξέλλες 12 Νοεμβρίου 2009.

(6) Βλ. π.χ. την έκθεση RISEPTIS με θέμα «Εμπιστοσύνη στην κοινωνία της πληροφορίας» (Trust in the information society), έκθεση της συμβουλευτικής επιτροπής, RISEPTIS (Research and Innovation on Security, Privacy and Trustworthiness in the Information Society — Έρευνα και καινοτομία για την ασφάλεια, την ιδιωτική ζωή και την αξιοπιστία στην κοινωνία της πληροφορίας). Η έκθεση είναι διαθέσιμη στον δικτυακό τόπο http://www.think-trust.eu/general/news-events/riseptis-report.html Βλ. ακόμη: J. B Horrigan, Broadband Adoption and Use in America, FCC Omnibus Broadband Initiative, OBI Working Paper Series No 1.

(7) Γνωμοδότηση αριθ. 168 της ομάδας εργασίας του άρθρου 29 με τίτλο The Future of Privacy, Joint contribution to the Consultation of the European Commission on the legal framework for the fundamental right to protection of personal data (Το μέλλον της ιδιωτικής ζωής, Κοινή συνεισφορά στη διαβούλευση της Ευρωπαϊκής Επιτροπής σχετικά με το νομικό πλαίσιο για το θεμελιώδες δικαίωμα της προστασίας των δεδομένων προσωπικού χαρακτήρα), που εγκρίθηκε την 1η Δεκεμβρίου 2009.

(8) Γνωμοδότηση της 25ης Ιουλίου 2007 σχετικά με την ανακοίνωση της Επιτροπής στο Ευρωπαϊκό Κοινοβούλιο και στο Συμβούλιο για την παρακολούθηση του προγράμματος εργασιών για καλύτερη εφαρμογή της οδηγίας για την προστασία δεδομένων, ΕΕ C 255 της 27.10.2007, σ. 1. Γνωμοδότηση της 20ής Δεκεμβρίου 2007 σχετικά με την ανακοίνωση της Επιτροπής στο Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο, την Ευρωπαϊκή Οικονομική και Κοινωνική Επιτροπή και την Επιτροπή των Περιφερειών για τη ραδιοσυχνική αναγνώριση (RFID) στην Ευρώπη: βήματα προς την κατεύθυνση χάραξης πλαισίου πολιτικής (COM(2007) 96), ΕΕ C 101 της 23.4.2008, σ. 1. Γνωμοδότηση της 10ης Απριλίου 2008 όσον αφορά την πρόταση οδηγίας για την τροποποίηση, μεταξύ άλλων, της οδηγίας 2002/58/ΕΚ σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών (οδηγία σχετικά με την ιδιωτική ζωή και τις ηλεκτρονικές επικοινωνίες), ΕΕ C 181 της 18.7.2008, σ. 1. Δεύτερη γνωμοδότηση της 9ης Ιανουαρίου 2009 για την αναθεώρηση της οδηγίας 2002/58/ΕΚ σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών.

(9) Έκθεση για την ψηφιακή ανταγωνιστικότητα της Ευρώπης - Κύρια επιτεύγματα της στρατηγικής i2010 μεταξύ 2005-2009, [SEC(2009) 1060].

(10) Συμπεράσματα του Συμβουλίου «Η μετά την i2010 στρατηγική — Προς μια ανοιχτή, πράσινη και ανταγωνιστική κοινωνία της γνώσης». (17107/09), εγκρίθηκαν στις 18.12.2009.

(11) Καθορισμός μιας νέας ψηφιακής ατζέντας για την Ευρώπη: από το i2010 στο digital.eu [2009/2225 (INI)], εγκρίθηκε στις 18.3.2010.

(12) Για παράδειγμα, οι σχετικές με την υγεία πληροφορίες που έχουν συλλεχθεί με σκοπό τη θεραπεία δεν μπορούν να πωλούνται ούτε να χρησιμοποιούνται για την επιλογή τοποθεσιών εγκατάστασης δορυφορικών κλινικών ή για τη δημιουργία κινητών εγχειρητικών μονάδων. Ο σχεδιασμός μελλοντικών δραστηριοτήτων με οικονομικές επιπτώσεις πρέπει να αποτελέσει αντικείμενο προσεκτικής εξέτασης.

(13) Βλ. γνωμοδότηση του Ευρωπαίου Επόπτη Προστασίας Δεδομένων της 22ας Ιουλίου 2009 σχετικά με την ανακοίνωση της Επιτροπής που αφορά σχέδιο δράσης για την εξάπλωση των ευφυών συστημάτων μεταφορών στην Ευρώπη και την πρόταση οδηγίας του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με τη θέσπιση του πλαισίου για την εξάπλωση των ευφυών συστημάτων μεταφορών στον τομέα των οδικών μεταφορών και για τις διεπαφές με άλλους τρόπους μεταφοράς, που είναι διαθέσιμη στον δικτυακό τόπο: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2009/09-07-22_Intelligent_Transport_Systems_EN.pdf

(14) Ανακοίνωση της Επιτροπής στο Ευρωπαϊκό Κοινοβούλιο και στο Συμβούλιο για την προώθηση της προστασίας των δεδομένων μέσω τεχνολογιών για τη βελτίωση της προστασίας της ιδιωτικότητας (ΤΒΙ), 2 Μαΐου 2007, COM(2007) 228 τελικό.

(15) Μελέτη για τα οικονομικά οφέλη των τεχνολογιών για τη βελτίωση της προστασίας της ιδιωτικότητας (ΤΒΙ) [Study on the economic benefits of privacy enhancing technologies (PETS)] jls/2008/D4/036.

(16) Οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (εφεξής: οδηγία για την προστασία των δεδομένων).

(17) Οδηγία 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (εφεξής: οδηγία ePrivacy).

(18) Σύμφωνα με την ερμηνεία που δίδεται στα κύρια στοιχεία και στους βασικούς όρους του άρθρου 8 της ευρωπαϊκής σύμβασης για την προάσπιση των δικαιωμάτων του ανθρώπου και των θεμελιωδών ελευθεριών (ΕΣΔΑ) που θεσπίστηκε στη Ρώμη στις 4 Νοεμβρίου 1950, όπως ισχύουν σε διάφορους τομείς.

(19) Η συνθήκη της Λισαβόνας ενίσχυσε την εν λόγω μορφή προστασίας αναγνωρίζοντας ως ξεχωριστά θεμελιώδη δικαιώματα το δικαίωμα στην ιδιωτική ζωή και το δικαίωμα της προστασίας των δεδομένων προσωπικού χαρακτήρα με τα άρθρα 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης. Ο Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης κατέστη δεσμευτικός με την έναρξη της εφαρμογής της συνθήκης της Λισαβόνας.

(20) Το άρθρο 17 έχει ως εξής: «Τα κράτη μέλη προβλέπουν ότι ο υπεύθυνος της επεξεργασίας πρέπει να λαμβάνει τα κατάλληλα τεχνικά και οργανωτικά μέτρα για την προστασία από τυχαία ή παράνομη καταστροφή, τυχαία απώλεια, αλλοίωση, απαγορευμένη διάδοση ή πρόσβαση, ιδίως εάν η επεξεργασία συμπεριλαμβάνει και διαβίβαση των δεδομένων μέσω δικτύου, και από κάθε άλλη μορφή αθέμιτης επεξεργασίας δεδομένων προσωπικού χαρακτήρα». Το εν λόγω άρθρο συμπληρώνεται από την αιτιολογική σκέψη 46 στην οποία αναφέρεται «ότι η προστασία των δικαιωμάτων και ελευθεριών των προσώπων στα οποία αναφέρονται τα δεδομένα έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα απαιτεί τη λήψη κατάλληλων τεχνικών μέτρων και οργάνωση κατά τη στιγμή τόσο του σχεδιασμού των τεχνικών επεξεργασίας όσο και της εκτέλεσης της επεξεργασίας, προκειμένου ιδίως να υπάρξουν εγγυήσεις για την ασφάλειά τους και να εμποδίζεται έτσι κάθε ανεπίτρεπτη επεξεργασία».

(21) Η Επιτροπή ανακοίνωσε ότι σκοπεύει να προβεί σε επικαιροποίηση της οδηγίας 1999/5/ΕΚ κατά τα τέλη του 2010.

(22) Βλ. έκθεση του Information Commissioner's Office του Ηνωμένου Βασιλείου με τίτλο: «Privacy by design» (Προστασία της ιδιωτικής ζωής εκ κατασκευής), που δημοσιεύθηκε τον Νοέμβριο του 2008.

(23) Βλ. γνωμοδότηση αριθ. 168 της ομάδας εργασίας του άρθρου 29 σχετικά με το μέλλον της ιδιωτικής ζωής, Κοινή συνεισφορά στη διαβούλευση της Ευρωπαϊκής Επιτροπής σχετικά με το νομικό πλαίσιο για το θεμελιώδες δικαίωμα της προστασίας των δεδομένων προσωπικού χαρακτήρα, που εγκρίθηκε την 1η Δεκεμβρίου 2009.

(24) «Privacy by design is a principle that is in the interest of both citizens and businesses. Privacy by design will lead to better protection for individuals, as well as to trust and confidence in new services and products, that will in turn have a positive impact on the economy. There are some encouraging examples but much more needs to be done» (Η εφαρμογή της αρχής της προστασίας της ιδιωτικής ζωής εκ κατασκευής ωφελεί τόσο τους πολίτες όσο και τις επιχειρήσεις. Η αρχή της προστασίας της ιδιωτικής ζωής εκ κατασκευής θα συμβάλει στη βελτίωση της προστασίας των ατόμων καθώς και στη διαμόρφωση εμπιστοσύνης σε νέες υπηρεσίες και προϊόντα τα οποία με τη σειρά τους θα έχουν θετικό αντίκτυπο στην οικονομία. Υπάρχουν ενθαρρυντικά παραδείγματα, όμως απομένουν να γίνουν ακόμη πολλά στον συγκεκριμένο τομέα). Κεντρική ομιλία κατά την Ημέρα Προστασίας Δεδομένων, 28 Ιανουαρίου 2010, Ευρωπαϊκό Κοινοβούλιο, Βρυξέλλες.

(25) Το Πρόγραμμα της Στοκχόλμης — Μια ανοικτή και ασφαλής Ευρώπη που εξυπηρετεί και προστατεύει τους πολίτες, που εγκρίθηκε από το Ευρωπαϊκό Συμβούλιο τον Δεκέμβριο του 2009.

(26) Γνωμοδότηση της 10ης Ιουλίου 2009 σχετικά με την ανακοίνωση της Επιτροπής προς το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο με θέμα έναν χώρο ελευθερίας, ασφάλειας και δικαιοσύνης στην υπηρεσία των πολιτών, ΕΕ C 276 της 17.11.2009, σ. 8, σημείο 60.

(27) Βλ. γνωμοδότηση αριθ. 168 της ομάδας εργασίας του άρθρου 29 σχετικά με το μέλλον της ιδιωτικής ζωής, Κοινή συνεισφορά στη διαβούλευση της Ευρωπαϊκής Επιτροπής σχετικά με το νομικό πλαίσιο για το θεμελιώδες δικαίωμα της προστασίας των δεδομένων προσωπικού χαρακτήρα, που εγκρίθηκε την 1η Δεκεμβρίου 2009.

(28) Το ακρώνυμο RFID αντιπροσωπεύει τον όρο «Radio Frequency Identification» (ραδιοσυχνική αναγνώριση). Η τεχνολογία ή η υποδομή ραδιοσυχνικής αναγνώρισης αποτελείται από μια ετικέτα (δηλαδή ένα μικροπλινθίο), έναν αναγνώστη (reader) και μία εφαρμογή η οποία συνδέεται με τις ετικέτες και τους αναγνώστες μέσω ενδιάμεσου λογισμικού (middleware) και επεξεργάζεται τα παραγόμενα δεδομένα. Η ετικέτα αποτελείται από ένα ηλεκτρονικό κύκλωμα που αποθηκεύει δεδομένα και από μία κεραία που διαβιβάζει τα δεδομένα μέσω ραδιοκυμάτων. Ο αναγνώστης διαθέτει μία κεραία και έναν αποδιαμορφωτή ο οποίος μετατρέπει τις εισερχόμενες αναλογικές πληροφορίες μέσω της ραδιοζεύξης σε ψηφιακά δεδομένα. Οι πληροφορίες μπορούν στη συνέχεια να σταλούν μέσω δικτύων σε βάσεις δεδομένων και εξυπηρετητές προκειμένου να υποστούν επεξεργασία από υπολογιστές.

(29) Στη RFID αναφέρεται το άρθρο 3 της οδηγίας ePrivacy: «Η παρούσα οδηγία εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της παροχής διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών σε δημόσια δίκτυα επικοινωνιών στην Κοινότητα, περιλαμβανομένων των δημοσίων δικτύων επικοινωνιών που υποστηρίζουν συσκευές συλλογής δεδομένων και ταυτοποίησης». Το άρθρο αυτό συμπληρώνει η αιτιολογική σκέψη 56 σύμφωνα με την οποία «η τεχνολογική πρόοδος επιτρέπει την ανάπτυξη νέων εφαρμογών βασιζόμενων σε συσκευές συλλογής δεδομένων και ταυτοποίησης, οι οποίες μπορεί να είναι ανεπαφικές συσκευές που χρησιμοποιούν ραδιοσυχνότητες». Παραδείγματος χάριν, οι Συσκευές Ραδιοσυχνικής Αναγνώρισης (RFID) χρησιμοποιούν τις ραδιοσυχνότητες για να λαμβάνουν δεδομένα από μονοσήμαντα προσδιορισμένα αναρτήματα, δεδομένα τα οποία στη συνέχεια μπορούν να μεταφερθούν σε υφιστάμενα δίκτυα επικοινωνιών. Η ευρεία χρήση αυτών των τεχνολογιών μπορεί να αποφέρει σημαντικά οικονομικά και κοινωνικά οφέλη και, συνεπώς, να συμβάλει σημαντικά στην εσωτερική αγορά εάν η χρήση τους είναι αποδεκτή από τους πολίτες. Προς τούτο χρειάζεται να διασφαλισθεί ο σεβασμός όλων των θεμελιωδών δικαιωμάτων των ατόμων, περιλαμβανομένου του δικαιώματος στην ιδιωτική ζωή και στην προστασία των δεδομένων. Όταν οι εν λόγω συσκευές συνδέονται σε διαθέσιμα στο κοινό δίκτυα ηλεκτρονικών επικοινωνιών ή χρησιμοποιούν υπηρεσίες ηλεκτρονικών επικοινωνιών ως βασική υποδομή, πρέπει να εφαρμόζονται οι σχετικές διατάξεις της οδηγίας 2002/58/ΕΚ (οδηγία για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες), περιλαμβανομένων των διατάξεων για την ασφάλεια, για τα δεδομένα κίνησης και τα δεδομένα θέσης, καθώς και για το απόρρητο.

(30) Παραδείγματος χάριν, το άρθρο 17 της οδηγίας για την προστασία των δεδομένων επιβάλλει την υποχρέωση λήψης των κατάλληλων τεχνικών και οργανωτικών μέτρων για την προστασία από τυχαία ή παράνομη καταστροφή ή απαγορευμένη διάδοση δεδομένων προσωπικού χαρακτήρα.

(31) Ανακοίνωση της Επιτροπής της 15ης Μαρτίου 2007 στο Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο, την Ευρωπαϊκή Οικονομική και Κοινωνική Επιτροπή και την Επιτροπή των Περιφερειών με θέμα Η ραδιοσυχνική αναγνώριση (RFID) στην Ευρώπη: βήματα προς την κατεύθυνση χάραξης πλαισίου πολιτικής, COM(2007) 96 τελικό.

(32) Σύσταση της Επιτροπής της 12ης Μαΐου 2009 για την εφαρμογή των αρχών προστασίας της ιδιωτικής ζωής και των δεδομένων στις εφαρμογές που υποστηρίζονται από ραδιοσυχνική αναγνώριση, C(2009) 3200 τελικό.

(33) Ανακοίνωση της Επιτροπής στο Ευρωπαϊκό Κοινοβούλιο, το Συμβούλιο, την Ευρωπαϊκή Οικονομική και Κοινωνική Επιτροπή και την Επιτροπή των Περιφερειών με θέμα «Το Ίντερνετ των πραγμάτων — Ένα σχέδιο δράσης για την Ευρώπη», 18.6.2009, COM(2009) 278 τελικό.

(34) Βλ. γνωμοδότηση αριθ. 163 της ομάδας εργασίας του άρθρου 29 (5/2009) σχετικά με την ηλεκτρονική κοινωνική δικτύωση, που εκδόθηκε στις 12 Ιουνίου 2009.

(35) Νοείται ως «υπεύθυνος της επεξεργασίας» το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή οποιοσδήποτε άλλος φορέας που μόνος ή από κοινού με άλλους καθορίζει τους στόχους και τον τρόπο της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα. Όταν οι στόχοι και ο τρόπος της επεξεργασίας καθορίζονται από νομοθετικές ή κανονιστικές διατάξεις, εθνικές ή κοινοτικές, ο υπεύθυνος της επεξεργασίας ή τα ειδικά κριτήρια για τον ορισμό του μπορούν να καθορίζονται από το εθνικό ή το κοινοτικό δίκαιο.

(36) Πληροφορίες για το πρόγραμμα αυτό διατίθενται στον δικτυακό τόπο: http://ec.europa.eu/information_society/activities/sip/index_en.htm

(37) Οι αρχές είναι διαθέσιμες στον δικτυακό τόπο: http://ec.europa.eu/information_society/activities/social_networking/docs/sn_principles.pdf

(38) Report on the assessment of the implementation of the Safer Social Network Principles for the EU (Έκθεση αξιολόγησης της εφαρμογής των αρχών ασφαλέστερης κοινωνικής δικτύωσης για την ΕΕ), διατίθεται στον δικτυακό τόπο: ttp://ec.europa.eu/information_society/activities/social_networking/docs/final_report/first_part.pdf

(39) Viviane Reding, Μέλος της Ευρωπαϊκής Επιτροπής, αρμόδια για την Κοινωνία των πληροφοριών και τα Μέσα ενημέρωσης, Think before you post! How to make social networking sites safer for children and teenagers? Safer Internet Day Strasbourg (Σκέψου προτού δημοσιεύσεις προσωπικά δεδομένα! Πώς θα ενισχυθεί η ασφάλεια των παιδιών και των εφήβων στους δικτυακούς τόπους κοινωνικής δικτύωσης;) Ημέρα για την ασφαλέστερη χρήση του Διαδικτύου, Στρασβούργο, 9 Φεβρουαρίου 2010.

(40) Γνωμοδότηση της Ευρωπαϊκής Οικονομικής και Κοινωνικής Επιτροπής για τις επιπτώσεις των δικτυακών τόπων κοινωνικής δικτύωση στους πολίτες/καταναλωτές, 4 Νοεμβρίου 2009.

(41) Το θέμα αναπτύσσεται και στην παράγραφο 33 του παρόντος εγγράφου.

(42) Τα «tracking cookies» είναι μικρά αρχεία κειμένου που περιέχουν ένα μοναδικό αναγνωριστικό. Συνήθως, οι πάροχοι διαφημίσεων δικτύου (καθώς και οι υπεύθυνοι λειτουργίας ή οι δημιουργοί δικτυακών τόπων) τοποθετούν «cookies» στον σκληρό δίσκο των επισκεπτών, και συγκεκριμένα στον φυλλομετρητή των χρηστών του Διαδικτύου, την πρώτη φορά που οι χρήστες επισκέπτονται δικτυακούς τόπους με διαφημίσεις που αποτελούν μέρος του δικτύου τους. Το «cookie» επιτρέπει στον πάροχο διαφημίσεων δικτύου να αναγνωρίζει έναν παλιό επισκέπτη ο οποίος επισκέπτεται εκ νέου έναν συγκεκριμένο δικτυακό τόπο ή κάποιον άλλον δικτυακό τόπο που είναι μέλος του δικτύου διαφημίσεων. Οι επαναλαμβανόμενες αυτές επισκέψεις επιτρέπουν στον πάροχο διαφημίσεων δικτύου να σκιαγραφήσει το προφίλ του επισκέπτη.

(43) Το άρθρο 5 παράγραφος 3 της οδηγίας ePrivacy τροποποιήθηκε προσφάτως προκειμένου να ενισχυθεί η προστασία των χρηστών από την υποκλοπή των επικοινωνιών τους μέσω της χρήσης, π.χ., κατασκοπευτικού λογισμικού και «cookies» που αποθηκεύονται στον υπολογιστή ή σε άλλη συσκευή του χρήστη. Δυνάμει της νέας οδηγίας, πρέπει να παρέχεται καλύτερη πληροφόρηση στους χρήστες και να τους προτείνονται ευκολότεροι τρόποι προκειμένου να ελέγχουν εάν επιθυμούν ή όχι την εγκατάσταση «cookies» στον τερματικό τους εξοπλισμό.

(44) Παράλληλα, ο ΕΕΠΔ γνωρίζει ότι με τη λύση αυτή δεν αντιμετωπίζεται πλήρως το πρόβλημα καθώς υπάρχουν «cookies» τα οποία δεν μπορούν να ελεγχθούν μέσω του φυλλομετρητή, όπως τα λεγόμενα «flash cookies». Επομένως, οι κατασκευαστές φυλλομετρητών θα πρέπει να προσθέσουν από προεπιλογή ελέγχους «flash» στους ελέγχους «cookies» των νέων φυλλομετρητών που κυκλοφορούν στην αγορά.

(45) Βλ. γνωμοδότηση αριθ. 168 της ομάδας εργασίας του άρθρου 29 σχετικά με το μέλλον της ιδιωτικής ζωής, Κοινή συνεισφορά στη διαβούλευση της Ευρωπαϊκής Επιτροπής σχετικά με το νομικό πλαίσιο για το θεμελιώδες δικαίωμα της προστασίας των δεδομένων προσωπικού χαρακτήρα, που εγκρίθηκε την 1η Δεκεμβρίου 2009.

(46) Guidelines on the Protection of Privacy and Transborder Flows of Personal Data (Κατευθυντήριες γραμμές του ΟΟΣΑ για την προστασία της ιδιωτικής ζωής και τις διασυνοριακές ροές δεδομένων προσωπικού χαρακτήρα), 1980. Διακήρυξη της Μαδρίτης για την ιδιωτική ζωή με τίτλο «Global Privacy Standards for a Global World» (Παγκόσμια πρότυπα προστασίας της ιδιωτικής ζωής σε έναν παγκοσμιοποιημένο κόσμο), της 3ης Νοεμβρίου 2009.

(47) Ως επιτροπολογία νοείται ουσιαστικά η θέσπιση τεχνικών μέτρων εφαρμογής από επιτροπή στην οποία συμμετέχουν εκπρόσωποι των κρατών μελών υπό την προεδρία της Επιτροπής. Για την οδηγία ePrivacy ισχύει η λεγόμενη κανονιστική διαδικασία με έλεγχο, δηλαδή το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο μπορούν να διαφωνήσουν με τα μέτρα που προτείνει η Επιτροπή. Για περισσότερες πληροφορίες βλ. http://europa.eu/scadplus/glossary/comitology_en.htm