Compliance&
Consequence.

GDPR Omnibus: η «απλοποίηση» της ΕΕ δεν ανταποκρίνεται στις πραγματικές ανάγκες των DPOs

Η Ευρωπαϊκή Επιτροπή, με την πρόταση Digital Omnibus, επιχειρεί να «ελαφρύνει» το GDPR περιορίζοντας μεταξύ άλλων το Δικαίωμα Πρόσβασης (άρθρο 15), με το επιχείρημα της μείωσης του ρυθμιστικού βάρους για τις επιχειρήσεις.

Η έρευνα που διενήργησε η noyb σε Υπεύθυνους Προστασίας Δεδομένων καταγράφει ωστόσο μια διαφορετική εικόνα: οι DPOs δεν θεωρούν ότι η ουσία των δικαιωμάτων των υποκειμένων είναι το πρόβλημα, αλλά ο όγκος της τεκμηρίωσης και των εσωτερικών διαδικασιών συμμόρφωσης. Αντί για περισσότερη «ευελιξία» — που συχνά μεταφράζεται σε ασάφεια — ζητούν πιο ξεκάθαρους κανόνες και οδηγίες, ώστε να μη χάνουν χρόνο σε ερμηνευτικά κενά.

Το εύρημα είναι κρίσιμο γιατί αποδομεί τη βασική πολιτική αφήγηση πίσω από τον Omnibus. Για τις ελληνικές εταιρείες, οι επερχόμενες αλλαγές πρέπει να παρακολουθηθούν με προσοχή, καθώς ενδέχεται να μεταβάλουν την ισορροπία χωρίς να λύσουν τα πραγματικά λειτουργικά προβλήματα.

Source · noyb · 2026-03-05 · noyb.eu/en/gdpr-omnibus-eu-simplification-far-removed-real-business-needs

Το EDPB υιοθετεί ενιαίο template για DPIA

Το νέο template προσφέρει μια δομημένη μεθοδολογία για την τεκμηρίωση των πράξεων επεξεργασίας υψηλού κινδύνου, όπως απαιτείται από το άρθρο 35 GDPR. Περιλαμβάνει ενότητες για περιγραφή της επεξεργασίας, αξιολόγηση αναγκαιότητας και αναλογικότητας, εντοπισμό κινδύνων για τα δικαιώματα των υποκειμένων και μέτρα μετριασμού.

Η χρήση του δεν είναι υποχρεωτική, αλλά λειτουργεί ως σημείο αναφοράς που διευκολύνει τον διάλογο με τις εποπτικές αρχές και μειώνει τον κίνδυνο παραλείψεων. Για ελληνικούς οργανισμούς, η υιοθέτησή του μπορεί να αποτελέσει απόδειξη λογοδοσίας σε ελέγχους της ΑΠΔΠΧ και να περιορίσει την έκθεση σε πρόστιμα. Το εργαλείο είναι ιδιαίτερα χρήσιμο σε έργα AI, προφίλ εργαζομένων και μεγάλης κλίμακας επεξεργασίες ειδικών κατηγοριών δεδομένων.

Source · EDPB — European Data Protection Board · edpb.europa.eu/news/news/2026/enhancing-compliance-and-consistency-edpb-adopts-dpia-template

CEF 2026: διαφάνεια και ενημέρωση υποκειμένων στο στόχαστρο

Η CEF (Coordinated Enforcement Framework) είναι ετήσιος μηχανισμός μέσω του οποίου οι ευρωπαϊκές εποπτικές αρχές ελέγχουν ταυτόχρονα ένα κοινό θέμα, ώστε να εξαχθούν συγκρίσιμα ευρήματα σε ενωσιακό επίπεδο.

Για το 2026, το επίκεντρο είναι η ποιότητα και η προσβασιμότητα των πληροφοριών που παρέχονται στα υποκείμενα των δεδομένων — δηλαδή τα privacy notices, οι layered policies, οι just-in-time ενημερώσεις και οι πληροφορίες κατά την άσκηση δικαιωμάτων. Οι έλεγχοι θα αφορούν τόσο τον ιδιωτικό όσο και τον δημόσιο τομέα και αναμένεται να περιλαμβάνουν ερωτηματολόγια, fact-finding και — όπου κρίνεται σκόπιμο — τυπικές έρευνες με επιβολή κυρώσεων.

Δεδομένου ότι τα άρθρα 13 και 14 GDPR παραμένουν από τις πιο συχνά παραβιαζόμενες διατάξεις, οι οργανισμοί θα πρέπει να θεωρήσουν ότι θα εξεταστούν με διπλό φακό — κανονιστικό και χρηστικό ταυτόχρονα.

Source · EDPB — European Data Protection Board · edpb.europa.eu/news/news/2026/cef-2026-edpb-launches-coordinated-enforcement-action-transparency-and-information

ΑΠΔΠΧ: Κατευθυντήριες Γραμμές 1/2026 για την καλή νομοθέτηση

Οι νέες Κατευθυντήριες Γραμμές απευθύνονται σε κάθε φορέα που εκκινεί νομοθετική ή κανονιστική πρωτοβουλία η οποία περιλαμβάνει επεξεργασία δεδομένων προσωπικού χαρακτήρα, και αποτυπώνουν τις αρχές των άρθρων 6 παρ. 3 και 9 ΓΚΠΔ σε πρακτικό επίπεδο.

Η Αρχή υπενθυμίζει ότι η νομική βάση πρέπει να είναι σαφής, προβλέψιμη και ειδική, ενώ κρίσιμα στοιχεία — όπως σκοπός, κατηγορίες δεδομένων, χρόνος διατήρησης, αποδέκτες και εγγυήσεις — οφείλουν να ρυθμίζονται ρητά στο ίδιο το νομοθέτημα και όχι αποσπασματικά. Ιδιαίτερη έμφαση δίνεται στην υποχρέωση διενέργειας προηγούμενης διαβούλευσης με την ΑΠΔΠΧ κατά το άρθρο 36 παρ. 4 ΓΚΠΔ, η παράλειψη της οποίας συνιστά πλημμέλεια της νομοθετικής διαδικασίας.

Οι Κατευθυντήριες εισάγουν επίσης πρακτική μεθοδολογία ελέγχου αναλογικότητας (τεστ αναγκαιότητας, καταλληλότητας και stricto sensu αναλογικότητας) και ζητούν τεκμηριωμένη αιτιολογική έκθεση για τις επιλογές επεξεργασίας. Για ιδιωτικούς φορείς, το κείμενο λειτουργεί ως ερμηνευτικός οδηγός για την αξιολόγηση της νομιμότητας εθνικών διατάξεων που επιβάλλουν υποχρεώσεις επεξεργασίας.

Source · Αρχή Προστασίας Δεδομένων (ΑΠΔΠΧ) · 2026-03-10 · dpa.gr/el/enimerwtiko/prakseisArxis/kateythyntiries-grammes-12026

ΕΣΠΔ: Νέες Κατευθυντήριες για την επεξεργασία δεδομένων στην επιστημονική έρευνα

Οι νέες Κατευθυντήριες Γραμμές οριοθετούν στενά την έννοια της «επιστημονικής έρευνας» κατά τον ΓΚΠΔ, απαιτώντας μεθοδολογική αυστηρότητα, δεοντολογικά πρότυπα και στόχο διεύρυνσης της γνώσης — αποκλείοντας έτσι εμπορικές δραστηριότητες που απλώς ενδύονται με ερευνητικό μανδύα.

Διευκρινίζεται ότι η νομική βάση δεν είναι αυτόματα η συγκατάθεση του άρθρου 6(1)(α)· κατά περίπτωση μπορεί να θεμελιώνεται σε δημόσιο συμφέρον (άρθρο 6(1)(ε)) ή έννομο συμφέρον (άρθρο 6(1)(στ)), πάντοτε σε συνδυασμό με το άρθρο 9 για ειδικές κατηγορίες. Το ΕΣΠΔ επισημαίνει τη διάκριση μεταξύ «ευρείας συγκατάθεσης» (broad consent) για ερευνητικούς σκοπούς και της αυστηρής συγκατάθεσης του ΓΚΠΔ, απαιτώντας σαφείς εγγυήσεις.

Τέλος, αναλύονται οι προϋποθέσεις περιορισμού των δικαιωμάτων των υποκειμένων (άρθρα 14(5), 17(3)(δ), 89) όταν η άσκησή τους καθιστά αδύνατη ή παρεμποδίζει σοβαρά την έρευνα, υπό την προϋπόθεση κατάλληλων τεχνικών και οργανωτικών μέτρων.

Source · Lawspot · lawspot.gr/nomika-nea/epexergasia-dedomenon-gia-skopous-epistimonikes-ereunas

AI & GDPR: Εικόνες, Chatbots και Πρόσβαση σε Πλατφόρμες

Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (EDPB) προσυπέγραψε κοινή δήλωση της Global Privacy Assembly για τις εικόνες που παράγονται από AI, υπογραμμίζοντας τους κινδύνους deepfakes, μη συναινετικού οπτικοακουστικού υλικού και παραβίασης της ιδιωτικότητας — με άμεσες συνέπειες για όσους οργανισμούς αξιοποιούν generative AI σε εικαστικό περιεχόμενο.

Παράλληλα, η Meta έλαβε αρνητική κρίση ως προς την πρακτική χρέωσης τέλους σε τρίτους AI βοηθούς που επιθυμούν πρόσβαση στο WhatsApp: η χρέωση αυτή εξομοιώθηκε ουσιαστικά με απαγόρευση πρόσβασης, ζήτημα που αγγίζει τόσο τον GDPR όσο και τον DMA.

Στο μέτωπο του επαγγελματικού απορρήτου, επισημαίνεται ότι οι συνομιλίες με chatbots (π.χ. ChatGPT) δεν καλύπτονται από το δικηγορικό ή ιατρικό απόρρητο — κρίσιμο σημείο για δικηγόρους και συμβούλους που εισάγουν στοιχεία εντολών σε LLMs. Τέλος, εκδήλωση στις 7/5 θα εξετάσει τη σχέση πνευματικής ιδιοκτησίας, συλλογικής διαχείρισης και AI, ένα ζήτημα που συνδέεται άμεσα με τις νομικές βάσεις επεξεργασίας για εκπαίδευση μοντέλων.