(1)

Με τον κανονισμό (ΕΕ) 2016/679 θεσπίζονται οι κανόνες που διέπουν τη διαβίβαση δεδομένων προσωπικού χαρακτήρα από υπευθύνους επεξεργασίας ή εκτελούντες την επεξεργασία στην Ένωση προς τρίτες χώρες και διεθνείς οργανισμούς, στον βαθμό που η εν λόγω διαβίβαση εμπίπτει στο πεδίο εφαρμογής του. Οι κανόνες για τις διεθνείς διαβιβάσεις δεδομένων καθορίζονται στο κεφάλαιο V (άρθρα 44 έως 50) του εν λόγω κανονισμού. Μολονότι η ροή δεδομένων προσωπικού χαρακτήρα προς και από χώρες και διεθνείς οργανισμούς εκτός Ένωσης είναι απαραίτητη για την επέκταση του διασυνοριακού εμπορίου και της διεθνούς συνεργασίας, το επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που παρέχεται στην Ένωση δεν πρέπει να υπονομεύεται από διαβιβάσεις προς τρίτες χώρες και διεθνείς οργανισμούς (2).

(2)

Σύμφωνα με το άρθρο 45 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679, η Επιτροπή μπορεί να αποφασίσει, μέσω εκτελεστικής πράξης, ότι εξασφαλίζεται επαρκές επίπεδο προστασίας από τρίτη χώρα ή έδαφος ή έναν ή περισσότερους συγκεκριμένους τομείς σε τρίτη χώρα ή από διεθνή οργανισμό. Υπό την προϋπόθεση αυτή, οι διαβιβάσεις δεδομένων προσωπικού χαρακτήρα σε διεθνή οργανισμό μπορούν να πραγματοποιούνται χωρίς να χρειάζεται να ζητηθεί άλλη άδεια, όπως προβλέπεται στο άρθρο 45 παράγραφος 1 και στην αιτιολογική σκέψη 103 του κανονισμού (ΕΕ) 2016/679.

(3)

Όπως ορίζεται στο άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2016/679, η έκδοση απόφασης επάρκειας πρέπει να βασίζεται σε ολοκληρωμένη ανάλυση του νομικού καθεστώτος του διεθνούς οργανισμού, η οποία καλύπτει τόσο τους κανόνες στους οποίους υπάγονται οι εισαγωγείς δεδομένων όσο και τους περιορισμούς και τις εγγυήσεις σχετικά με την πρόσβαση των δημόσιων αρχών σε δεδομένα προσωπικού χαρακτήρα. Στην εκτίμησή της, η Επιτροπή πρέπει να προσδιορίζει αν ο εν λόγω διεθνής οργανισμός εγγυάται επίπεδο προστασίας «ουσιωδώς ισοδύναμο» με αυτό που διασφαλίζεται εντός της Ένωσης (3). Το πρότυπο με βάση το οποίο αξιολογείται η «ουσιώδης ισοδυναμία» είναι εκείνο που καθορίζεται από τη νομοθεσία της Ένωσης, ιδίως από τον κανονισμό (ΕΕ) 2016/679, καθώς και από τη νομολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης (4). Στο πλαίσιο αυτό, τα «σημεία αναφοράς για την επάρκεια» του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (στο εξής: ΕΣΠΔ) είναι επίσης σημαντικά για την περαιτέρω αποσαφήνιση του εν λόγω προτύπου και την παροχή καθοδήγησης (5).

(4)

Όπως έχει διευκρινίσει το Δικαστήριο, δεν μπορεί να απαιτηθεί η τρίτη χώρα ή ο διεθνής οργανισμός να εξασφαλίζει το ίδιο ακριβώς επίπεδο προστασίας με αυτό που παρέχει η έννομη τάξη της Ένωσης (6). Ειδικότερα, τα μέσα που χρησιμοποιεί η τρίτη χώρα ή ο διεθνής οργανισμός για την προστασία των δεδομένων προσωπικού χαρακτήρα μπορούν να διαφέρουν από αυτά που εφαρμόζονται εντός της Ένωσης, εφόσον αποδεικνύονται στην πράξη αποτελεσματικά ώστε να εξασφαλίζουν επαρκές επίπεδο προστασίας (7). Συνεπώς, το κριτήριο της επάρκειας δεν επιβάλλει πιστή αντιγραφή των κανόνων της Ένωσης. Το καθοριστικό στοιχείο είναι κυρίως αν, μέσω της ουσίας των δικαιωμάτων περί προστασίας της ιδιωτικής ζωής και των εγγυήσεων για την προστασία των δεδομένων (η οποία περιλαμβάνει την αποτελεσματική εφαρμογή, εποπτεία και επιβολή τους), καθώς και μέσω των περιστάσεων που σχετίζονται με τη διαβίβαση δεδομένων προσωπικού χαρακτήρα, το σύστημα της τρίτης χώρας συνολικά προσφέρει το απαιτούμενο επίπεδο προστασίας (8).

(5)

Η Επιτροπή έχει αναλύσει το νομικό πλαίσιο και την πρακτική του Ευρωπαϊκού Οργανισμού Διπλωμάτων Ευρεσιτεχνίας. Βάσει των διαπιστώσεων που παρατίθενται στις αιτιολογικές σκέψεις 7 έως 100, η Επιτροπή καταλήγει στο συμπέρασμα ότι ο Ευρωπαϊκός Οργανισμός Διπλωμάτων Ευρεσιτεχνίας (στο εξής: ΕΟΔΕ) διασφαλίζει επαρκές επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται εντός του πεδίου εφαρμογής του κανονισμού (ΕΕ) 2016/679 από την Ένωση στον ΕΟΔΕ.

(6)

Σύμφωνα με την παρούσα απόφαση, διαβιβάσεις από υπευθύνους επεξεργασίας ή εκτελούντες την επεξεργασία στην Ένωση προς τον Ευρωπαϊκό Οργανισμό Διπλωμάτων Ευρεσιτεχνίας μπορούν να πραγματοποιούνται χωρίς να απαιτείται περαιτέρω άδεια. Η παρούσα απόφαση δεν θα πρέπει να θίγει την άμεση εφαρμογή του κανονισμού (ΕΕ) 2016/679 στις οντότητες αυτές όταν πληρούνται οι προϋποθέσεις σχετικά με το εδαφικό πεδίο εφαρμογής που ορίζονται στο άρθρο 3 του εν λόγω κανονισμού.

(7)

Ο Ευρωπαϊκός Οργανισμός Διπλωμάτων Ευρεσιτεχνίας είναι διακυβερνητικός οργανισμός ο οποίος συστάθηκε στις 7 Οκτωβρίου 1977 δυνάμει της σύμβασης για τη χορήγηση ευρωπαϊκών διπλωμάτων ευρεσιτεχνίας (στο εξής: ΣΕΔΕ). Ο Οργανισμός εδρεύει στο Μόναχο και έχει 39 συμβαλλόμενα κράτη, στα οποία περιλαμβάνονται όλα τα κράτη μέλη της Ένωσης, η Ισλανδία, το Λιχτενστάιν και η Νορβηγία, καθώς και ο Άγιος Μαρίνος, η Αλβανία, η Βόρεια Μακεδονία, η Ελβετία, το Ηνωμένο Βασίλειο, το Μαυροβούνιο, το Μονακό, η Σερβία και η Τουρκία (9).

(8)

Ο οργανισμός έχει νομική προσωπικότητα (10) και αποτελείται από δύο όργανα (11): το Ευρωπαϊκό Γραφείο Διπλωμάτων Ευρεσιτεχνίας (στο εξής: Γραφείο) και το Διοικητικό Συμβούλιο. Το κύριο καθήκον του ΕΟΔΕ είναι η χορήγηση ευρωπαϊκών διπλωμάτων ευρεσιτεχνίας (12) σύμφωνα με τη ΣΕΔΕ, η οποία πραγματοποιείται από το Γραφείο υπό την εποπτεία του Διοικητικού Συμβουλίου. Το Διοικητικό Συμβούλιο απαρτίζεται από αντιπροσώπους των συμβαλλόμενων κρατών και ασκεί νομοθετικές εξουσίες εξ ονόματος του ΕOΔΕ. Είναι επίσης αρμόδιο για θέματα πολιτικής και εποπτεύει τις δραστηριότητες του Γραφείου (13). Επικεφαλής του Γραφείου, που ενεργεί ως εκτελεστικό όργανο του ΕΟΔΕ, είναι ο πρόεδρος (14) ο οποίος διοικεί το Γραφείο (στο εξής: πρόεδρος) και λογοδοτεί στο Διοικητικό Συμβούλιο (15). Ο πρόεδρος, μεταξύ άλλων, καταρτίζει και εκτελεί τον προϋπολογισμό του Γραφείου, διορίζει και εποπτεύει το προσωπικό του Γραφείου, ασκεί πειθαρχική εξουσία στο προσωπικό, διασφαλίζει τη λειτουργία του Γραφείου, συμπεριλαμβανομένης της έκδοσης εσωτερικών διοικητικών οδηγιών και πληροφοριών προς το κοινό, και μπορεί να υποβάλλει στο Διοικητικό Συμβούλιο τυχόν προτάσεις τροποποίησης της σύμβασης, των γενικών κανονισμών και των αποφάσεων που εμπίπτουν στην αρμοδιότητά του (16). Το Γραφείο αποτελείται από διάφορα τμήματα, μεταξύ των οποίων τμήμα καταθέσεων, δικαστικό τμήμα, τμήματα εξέτασης και ενστάσεων, και συμβούλια προσφυγών (εσωτερικό ανεξάρτητο όργανο ενώπιον του οποίου μπορούν να προσβληθούν οι αποφάσεις που λαμβάνονται από τον ΕΟΔΕ στο πλαίσιο της διαδικασίας χορήγησης διπλωμάτων ευρεσιτεχνίας) (17).

(9)

Κατά την εκτέλεση των καθηκόντων του, ο ΕΟΔΕ λαμβάνει δεδομένα προσωπικού χαρακτήρα από διάφορους παράγοντες στην Ένωση. Σε συνεχή βάση, αιτήσεις χορήγησης ευρωπαϊκού διπλώματος ευρεσιτεχνίας (18) κατατίθενται από τους αιτούντες ή διαβιβάζονται από τα εθνικά γραφεία διπλωμάτων ευρεσιτεχνίας των κρατών μελών στον ΕΟΔΕ (19). Επίσης ο ΕΟΔΕ λαμβάνει και επεξεργάζεται δεδομένα προσωπικού χαρακτήρα στο πλαίσιο των καθηκόντων που του έχουν ανατεθεί βάσει του κανονισμού (ΕΕ) αριθ. 1257/2012 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (20). Τα καθήκοντα αυτά περιλαμβάνουν την παραλαβή και την εξέταση αιτημάτων ενιαίας ισχύος των ευρωπαϊκών διπλωμάτων ευρεσιτεχνίας, την είσπραξη ετήσιων τελών και την καταχώριση της ενιαίας ισχύος (21). Στο πλαίσιο αυτό, ο ΕΟΔΕ λαμβάνει επίσης αιτήσεις σχετικά με υπό εξέλιξη προσφυγές ενώπιον του συμβουλίου προσφυγών (22) του Γραφείου από το Ενιαίο Δικαστήριο Διπλωμάτων Ευρεσιτεχνίας (στο εξής: ΕΔΔΕ), οι οποίες μπορεί να περιλαμβάνουν δεδομένα προσωπικού χαρακτήρα αναγκαία για τον προσδιορισμό της σχετικής υπόθεσης (23).

(10)

Ομοίως, ο ΕΟΔΕ λαμβάνει δεδομένα προσωπικού χαρακτήρα που περιέχονται σε αιτήσεις χορήγησης διεθνούς διπλώματος ευρεσιτεχνίας όταν ενεργεί βάσει της συνθήκης συνεργασίας για τα διπλώματα ευρεσιτεχνίας (στο εξής: PCT), μιας διεθνούς συνθήκης που επιτρέπει στους αιτούντες να αποκτούν διπλώματα ευρεσιτεχνίας τα οποία ισχύουν σε όλα τα συμβαλλόμενα κράτη της PCT (24). Ο ΕΟΔΕ ενεργεί ως διεθνής αρχή έρευνας στο πλαίσιο της PCT και, υπό την ιδιότητα αυτή, εξετάζει τη δυνατότητα κατοχύρωσης με δίπλωμα ευρεσιτεχνίας εφευρέσεων που περιγράφονται σε διεθνείς αιτήσεις, κάτι το οποίο βοηθά τους αιτούντες να αποφασίσουν αν θα υποβάλουν ή όχι αίτηση για εξέταση επί της ουσίας σε εθνικό/ενωσιακό επίπεδο (25).

(11)

Επιπλέον, ο ΕΟΔΕ συνεργάζεται στενά με τα εθνικά γραφεία διπλωμάτων ευρεσιτεχνίας σε όλα τα κράτη μέλη στο πλαίσιο ενός «Ευρωπαϊκού Δικτύου Διπλωμάτων Ευρεσιτεχνίας» και, στο εν λόγω πλαίσιο, ανταλλάσσει δεδομένα προσωπικού χαρακτήρα με αυτά, για παράδειγμα, κατά την παροχή σεμιναρίων κατάρτισης και υπηρεσιών ΤΠ για την υποστήριξη και την ενίσχυση της συνεργασίας βάσει της ΣΕΔΕ. Ομοίως, έχει συνάψει διμερείς συμφωνίες συνεργασίας με κράτη μέλη στις οποίες περιλαμβάνεται η ανταλλαγή δεδομένων προσωπικού χαρακτήρα, για παράδειγμα, στο πλαίσιο της συγκρότησης ομάδων εργασίας, της απόσπασης και τοποθέτησης τεχνικών εμπειρογνωμόνων κ.λπ. Συνεργάζεται επίσης στενά με το Γραφείο Διανοητικής Ιδιοκτησίας της Ευρωπαϊκής Ένωσης (EUIPO), για παράδειγμα, με τη διεξαγωγή κοινών σεμιναρίων κατάρτισης και εκδηλώσεων ευαισθητοποίησης και την απόσπαση εμπειρογνωμόνων.

(12)

Τέλος, ο ΕΟΔΕ έχει συνάψει συμβάσεις με διάφορους παρόχους υπηρεσιών στην Ένωση που ενεργούν ως εκτελούντες την επεξεργασία κατά την έννοια του άρθρου 4 σημείο 8) του κανονισμού (ΕΕ) 2016/679 και διαβιβάζουν δεδομένα προσωπικού χαρακτήρα στον ΕΟΔΕ.

(13)

Το πρωτογενές δίκαιο που διέπει τις δραστηριότητες του ΕΟΔΕ θεσπίζεται με διεθνή συνθήκη, δηλαδή με τη σύμβαση για τη χορήγηση ευρωπαϊκών διπλωμάτων ευρεσιτεχνίας και, όταν ο ΕΟΔΕ ενεργεί δυνάμει της συνθήκης συνεργασίας για τα διπλώματα ευρεσιτεχνίας, με τη συνθήκη αυτή. Στο δεύτερο επίπεδο της ιεραρχίας των κανόνων που εφαρμόζονται στον ΕΟΔΕ είναι οι νομικές πράξεις που εκδίδονται από το Διοικητικό Συμβούλιο ή, όσον αφορά την PCT, από την Ολομέλεια της PCT. Το παράγωγο δίκαιο του ΕΟΔΕ περιλαμβάνει τον εκτελεστικό κανονισμό της ΣΕΔΕ και τον αποκαλούμενο κανονισμό των υπαλλήλων (με τον οποίο ρυθμίζονται πτυχές που αφορούν το προσωπικό του ΕΟΔΕ, συμπεριλαμβανομένων των δικαιωμάτων και των υποχρεώσεων του προσωπικού) (26). Το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα προβλέπεται στο άρθρο 1β του κανονισμού των υπαλλήλων (27), το οποίο περιέχει επίσης ορισμένες βασικές διατάξεις του πλαισίου προστασίας των δεδομένων του ΕΟΔΕ, δηλαδή όσον αφορά το πεδίο εφαρμογής του πλαισίου προστασίας των δεδομένων, την προστασία ειδικών κατηγοριών δεδομένων και την άσκηση των δικαιωμάτων από τα πρόσωπα. Στο άρθρο 2 παράγραφος 1 και στο άρθρο 32α του κανονισμού των υπαλλήλων θεσπίζονται ανεξάρτητοι μηχανισμοί εποπτείας [υπεύθυνος προστασίας δεδομένων (στο εξής: ΥΠΔ) και Συμβούλιο Προστασίας Δεδομένων (στο εξής: ΣΠΔ)] για την εποπτεία της συμμόρφωσης με τους κανόνες προστασίας των δεδομένων (28).

(14)

Οι ίδιες ουσιαστικές απαιτήσεις που διέπουν την προστασία των δεδομένων προσωπικού χαρακτήρα ισχύουν για το Διοικητικό Συμβούλιο και για το Γραφείο, καθώς και για όλα τα τμήματά τους. Ειδικότερα, η επεξεργασία δεδομένων προσωπικού χαρακτήρα από το Γραφείο ρυθμίζεται με βάση τους κανόνες εφαρμογής των άρθρων 1β και 32α του κανονισμού των μονίμων και λοιπών υπαλλήλων του Ευρωπαϊκού Γραφείου Διπλωμάτων Ευρεσιτεχνίας σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα [κανόνες προστασίας δεδομένων (στο εξής: ΚΠΔ)], οι οποίοι έχουν εγκριθεί από το Διοικητικό Συμβούλιο (29). Η επεξεργασία δεδομένων προσωπικού χαρακτήρα από το Διοικητικό Συμβούλιο υπόκειται στους κανόνες προστασίας δεδομένων για το Διοικητικό Συμβούλιο (στο εξής: ΚΠΔ για το ΔΣ), οι οποίοι εφαρμόζονται κατ’ αναλογία των ΚΠΔ (30). Όταν η παρούσα απόφαση αναφέρεται στους ΚΠΔ, οι αναφορές περιλαμβάνουν τις αντίστοιχες απαιτήσεις που ισχύουν για το Διοικητικό Συμβούλιο, τη γραμματεία του και τις επιτροπές του. Η δομή και το περιεχόμενο των ΚΠΔ ευθυγραμμίζονται σε μεγάλο βαθμό με το πλαίσιο της Ένωσης για την προστασία των δεδομένων (31). Ειδικότερα, οι ΚΠΔ έχουν πολλά κοινά σημεία με τον κανονισμό (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (32), με τον οποίο θεσπίζονται απαιτήσεις προστασίας των δεδομένων για τα όργανα και τους οργανισμούς της Ένωσης και, ως εκ τούτου, είναι κατάλληλοι για την ειδική δομή και τα ιδιαίτερα χαρακτηριστικά των διεθνών οργανισμών, ενώ παράλληλα αντικατοπτρίζουν σε μεγάλο βαθμό τον κανονισμό (ΕΕ) 2016/679.

(15)

Όσον αφορά την επεξεργασία δεδομένων από το Γραφείο, ο πρόεδρος έχει εκδώσει περαιτέρω νομικά δεσμευτικές πράξεις, όπως εγκυκλίους, αποφάσεις και εσωτερικές διοικητικές οδηγίες (33). Ειδικότερα, οι ΚΠΔ συμπληρώνονται με την απόφαση του προέδρου, της 13ης Δεκεμβρίου 2021, σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο διαδικασιών χορήγησης διπλωμάτων ευρεσιτεχνίας και συναφών διαδικασιών [απόφαση για τις διαδικασίες χορήγησης διπλωμάτων ευρεσιτεχνίας και τις συναφείς διαδικασίες (στο εξής: απόφαση ΔΧ)] (34)· την απόφαση, της 7ης Δεκεμβρίου 2022, σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα σε διαδικασίες που αφορούν ευρωπαϊκά διπλώματα ευρεσιτεχνίας με ενιαία ισχύ [απόφαση για τις διαδικασίες χορήγησης ενιαίου διπλώματος ευρεσιτεχνίας (στο εξής: απόφαση ΕΔ)] (35)· την απόφαση, της 17ης Νοεμβρίου 2022, σχετικά με τις χώρες και τις οντότητες που θεωρείται ότι διασφαλίζουν επαρκή προστασία των δεδομένων προσωπικού χαρακτήρα (36)· την απόφαση, της 2ας Μαΐου 2024, για τον προσδιορισμό των υπηρεσιακών μονάδων του Γραφείου που ενεργούν ως εξουσιοδοτημένοι υπεύθυνοι επεξεργασίας (37)· και την εγκύκλιο αριθ. 420 για την εφαρμογή του άρθρου 25 των ΚΠΔ σχετικά με τους περιορισμούς στα δικαιώματα των υποκειμένων των δεδομένων (στο εξής: εγκύκλιος 420) (38). Ειδικά για την επεξεργασία δεδομένων στο πλαίσιο διαδικασιών χορήγησης διπλωμάτων ευρεσιτεχνίας, είναι σημαντικό να σημειωθεί ότι οι απαιτήσεις για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που προβλέπονται άμεσα στη ΣΕΔΕ και στην PCT υπερισχύουν των ΚΠΔ. Η αλληλεπίδραση μεταξύ της ΣΕΔΕ και της PCT, αφενός, και των ΚΠΔ, αφετέρου, αποσαφηνίζεται στην απόφαση ΔΧ (39) και στην απόφαση ΕΔ. Οι ειδικές απαιτήσεις προστασίας των δεδομένων που απορρέουν απευθείας από τη ΣΕΔΕ και την PCT αξιολογούνται στις αιτιολογικές σκέψεις 55 έως 59. Οι ΚΠΔ και οι συμπληρωματικές πράξεις τους αποτελούν πράξεις νομικά δεσμευτικές και εκτελεστές, και τα πρόσωπα μπορούν να τις επικαλούνται ενώπιον ανεξάρτητων μηχανισμών προσφυγής, όπως περιγράφεται στις αιτιολογικές σκέψεις 89 έως 96.

(16)

Οι κανόνες που προβλέπονται στις νομικές πράξεις οι οποίες μνημονεύονται στην αιτιολογική σκέψη 15 εφαρμόζονται επιπλέον σε πράξεις που εκδίδει ο υπεύθυνος προστασίας δεδομένων (βλ. αιτιολογικές σκέψεις 83 έως 88) (40), οι οποίες ισχύουν για το Διοικητικό Συμβούλιο και το Γραφείο, καθώς και για όλα τα τμήματά τους (41).

(17)

Σύμφωνα με τους ΚΠΔ και τον κανονισμό των υπαλλήλων (42), όλοι οι υπάλληλοι του ΕΟΔΕ υποχρεούνται να συμμορφώνονται με τους ΚΠΔ κατά την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Το καθ' ύλην και το προσωπικό πεδίο εφαρμογής των ΚΠΔ καθορίζονται από τους όρους «δεδομένα προσωπικού χαρακτήρα», «επεξεργασία», «υπεύθυνος επεξεργασίας», «εξουσιοδοτημένος υπεύθυνος επεξεργασίας» και «εκτελών την επεξεργασία», όπως ορίζονται στους ΚΠΔ.

(18)

Οι ορισμοί των «δεδομένων προσωπικού χαρακτήρα» και της «επεξεργασίας» στους ΚΠΔ είναι πανομοιότυποι με εκείνους του κανονισμού (ΕΕ) 2016/679 (43). Οι ΚΠΔ εφαρμόζονται σε κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα από τον ΕΟΔΕ, ανεξάρτητα από το αν η εν λόγω επεξεργασία αφορά δεδομένα προσωπικού χαρακτήρα των υπαλλήλων του ή δεδομένα άλλων προσώπων (44). Τα δεδομένα που έχουν υποστεί ψευδωνυμοποίηση (45) θεωρούνται επίσης δεδομένα προσωπικού χαρακτήρα, ενώ τα δεδομένα θανόντων, νομικών προσώπων και οι ανώνυμες πληροφορίες (46) δεν αντιμετωπίζονται ως δεδομένα προσωπικού χαρακτήρα στο πλαίσιο των ΚΠΔ (47).

(19)

Οι ΚΠΔ εφαρμόζονται στην, εν όλω ή εν μέρει, αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα από τον ΕΟΔΕ, καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης (48).

(20)

Στους ΚΠΔ, ως «υπεύθυνος επεξεργασίας» ορίζεται «μια οντότητα, δηλαδή το Ευρωπαϊκό Γραφείο Διπλωμάτων Ευρεσιτεχνίας, η οποία, μόνη ή από κοινού με άλλους, καθορίζει τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα» (49). Καταρχήν, ο πρόεδρος ενεργεί ως υπεύθυνος επεξεργασίας για τις πράξεις επεξεργασίας δεδομένων που διενεργεί το Γραφείο (50). Το ίδιο ισχύει για το Διοικητικό Συμβούλιο (όπου ο πρόεδρός του ενεργεί ως υπεύθυνος επεξεργασίας), για τα συμβούλια προσφυγών όταν ενεργούν υπό τη δικαιοδοτική τους ιδιότητα (όπου ο πρόεδρός τους ενεργεί ως υπεύθυνος επεξεργασίας (51)) και για την Ειδική Επιτροπή (όπου ο πρόεδρός της ενεργεί ως υπεύθυνος επεξεργασίας (52)). Ο υπεύθυνος επεξεργασίας μπορεί να μεταβιβάσει την εξουσία αυτή σε υπηρεσιακές μονάδες που εκπροσωπούνται από διευθυντικό στέλεχος ανώτερου επιπέδου (53). Στις περιπτώσεις αυτές, οι υπηρεσιακές μονάδες ενεργούν ως «εξουσιοδοτημένοι υπεύθυνοι επεξεργασίας» (54) οι οποίοι καθορίζουν τον σκοπό (για παράδειγμα, τον λόγο, το σκεπτικό και τις υπηρεσιακές ανάγκες) και τα μέσα μιας πράξης επεξεργασίας, ενώ επίσης διασφαλίζουν ότι όλες οι πράξεις επεξεργασίας που περιλαμβάνουν δεδομένα προσωπικού χαρακτήρα συμμορφώνονται με τους ΚΠΔ (55). Στις περιπτώσεις αυτές, ο υπεύθυνος επεξεργασίας παραμένει υπεύθυνος για την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Στους ΚΠΔ προβλέπεται επίσης ένα σενάριο «κοινής ευθύνης επεξεργασίας», όπου ο υπεύθυνος επεξεργασίας καθορίζει τον σκοπό και τα μέσα της επεξεργασίας από κοινού με έναν ή περισσότερους υπευθύνους επεξεργασίας εκτός του ΕΟΔΕ (56).

(21)

Ο ορισμός του «εκτελούντος την επεξεργασία» στους ΚΠΔ είναι πανομοιότυπος με εκείνον του άρθρου 4 σημείο 8) του κανονισμού (ΕΕ) 2016/679, δηλαδή το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή οποιαδήποτε άλλη οντότητα που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου της επεξεργασίας (57). Ο υπεύθυνος επεξεργασίας επιτρέπεται να χρησιμοποιεί μόνον εκτελούντες την επεξεργασία οι οποίοι παρέχουν επαρκείς διαβεβαιώσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων ώστε να διασφαλίζεται ότι η επεξεργασία πληροί τις απαιτήσεις των ΚΠΔ (58). Η σχέση μεταξύ του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία πρέπει να διέπεται από σύμβαση ή νομική πράξη που δεσμεύει τον εκτελούντα την επεξεργασία και, μεταξύ άλλων, καθορίζει το αντικείμενο, τη διάρκεια, τη φύση και τον σκοπό της επεξεργασίας (59). Ο εκτελών την επεξεργασία επιτρέπεται να επεξεργάζεται τα δεδομένα μόνο βάσει καταγεγραμμένων εντολών του υπευθύνου επεξεργασίας. Ο εκτελών την επεξεργασία υποχρεούται να συνδράμει τον υπεύθυνο επεξεργασίας στην εκπλήρωση των υποχρεώσεών του βάσει των ΚΠΔ. Ο εκτελών την επεξεργασία απαγορεύεται να προσλαμβάνει υπεργολάβους επεξεργασίας χωρίς προηγούμενη άδεια του υπευθύνου επεξεργασίας (60). Οι εξουσιοδοτημένοι υπεύθυνοι επεξεργασίας έχουν στη διάθεσή τους τυποποιημένη συμφωνία επεξεργασίας δεδομένων (61). Επιπλέον, εάν ο εκτελών την επεξεργασία είναι εγκατεστημένος σε τρίτη χώρα, κάθε ανταλλαγή δεδομένων προσωπικού χαρακτήρα με τον εν λόγω εκτελούντα την επεξεργασία πρέπει επίσης να συμμορφώνεται με τις απαιτήσεις των ΚΠΔ για τις διεθνείς διαβιβάσεις, όπως περιγράφεται στις αιτιολογικές σκέψεις 68 έως 73 της παρούσας απόφασης (62).

(22)

Η επεξεργασία δεδομένων προσωπικού χαρακτήρα θα πρέπει να είναι σύννομη και θεμιτή.

(23)

Οι εν λόγω γενικές αρχές καθορίζονται στο άρθρο 4 παράγραφος 2 στοιχείο α) των ΚΠΔ κατά τρόπο που μπορεί να θεωρηθεί πανομοιότυπος με το άρθρο 5 παράγραφος 1 στοιχείο α) του κανονισμού (ΕΕ) 2016/679.

(24)

Η αρχή της νομιμότητας αναπτύσσεται περαιτέρω στο άρθρο 5 των ΚΠΔ, στο οποίο παρατίθενται οι νομικές βάσεις βάσει των οποίων μπορούν να υποβάλλονται σε επεξεργασία τα δεδομένα προσωπικού χαρακτήρα. Οι εν λόγω νομικές βάσεις είναι α) η ανάγκη εκτέλεσης καθήκοντος κατά την άσκηση των επίσημων δραστηριοτήτων του ΕΟΔΕ (63) ή κατά τη νόμιμη άσκηση της δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, η οποία περιλαμβάνει την επεξεργασία που είναι αναγκαία για τη διαχείριση και τη λειτουργία του Γραφείου (64)· β) η ανάγκη συμμόρφωσης με έννομη υποχρέωση του υπευθύνου επεξεργασίας (για παράδειγμα, να δημοσιεύσει τις πληροφορίες που αναφέρονται σε αίτηση χορήγησης διπλώματος ευρεσιτεχνίας στο Ευρωπαϊκό Μητρώο Διπλωμάτων Ευρεσιτεχνίας) (65)· γ) η ανάγκη εκτέλεσης σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή λήψης μέτρων κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης· δ) η συγκατάθεση του υποκειμένου των δεδομένων· ή ε) η ανάγκη διαφύλαξης ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου.

(25)

Στους ΚΠΔ, η συγκατάθεση ορίζεται κατά τον ίδιο τρόπο με τον κανονισμό (ΕΕ) 2016/679, δηλαδή ως «κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν» (66). Εναπόκειται στον υπεύθυνο επεξεργασίας να αποδείξει ότι το υποκείμενο των δεδομένων έχει δώσει τη συγκατάθεσή του (67). Κατά την εκτίμηση του αν η συγκατάθεση δίνεται ελεύθερα, θα πρέπει να λαμβάνεται υπόψη αν για την εκτέλεση σύμβασης τίθεται ως προϋπόθεση η συγκατάθεση στην επεξεργασία δεδομένων που δεν είναι αναγκαία για την εκτέλεση της εν λόγω σύμβασης (68). Η συγκατάθεση δεν μπορεί να θεωρείται ότι δόθηκε ελεύθερα αν το υποκείμενο των δεδομένων δεν έχει αληθινή ή ελεύθερη επιλογή ή δεν είναι σε θέση να αρνηθεί ή να αποσύρει τη συγκατάθεσή του χωρίς να ζημιωθεί (69). Επιπλέον, βάσει των ΚΠΔ, για να θεωρηθεί η συγκατάθεση εν επιγνώσει, απαιτείται το υποκείμενο των δεδομένων να γνωρίζει τουλάχιστον την ταυτότητα του υπευθύνου επεξεργασίας και τους σκοπούς της επεξεργασίας για την οποία προορίζονται τα δεδομένα προσωπικού χαρακτήρα (70). Τέλος, το υποκείμενο των δεδομένων έχει το δικαίωμα να ανακαλέσει τη συγκατάθεσή του οποτεδήποτε (71).

(26)

Θα πρέπει να προβλέπονται ειδικές εγγυήσεις για την επεξεργασία «ειδικών κατηγοριών» δεδομένων.

(27)

Οι ΚΠΔ περιέχουν ειδικούς κανόνες όσον αφορά την επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα (72), οι οποίες ορίζονται κατά τον ίδιο τρόπο με τον κανονισμό (ΕΕ) 2016/679, δηλαδή ως «δεδομένα προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή τη συμμετοχή σε συνδικαλιστική οργάνωση, γενετικά δεδομένα (73) ή βιομετρικά δεδομένα (74) με σκοπό την αδιαμφισβήτητη ταυτοποίηση φυσικού προσώπου και δεδομένα που αφορούν την υγεία (75) ή δεδομένα που αφορούν τη σεξουαλική ζωή φυσικού προσώπου ή τον γενετήσιο προσανατολισμό» (76). Σύμφωνα με τους ΚΠΔ, η επεξεργασία ειδικών κατηγοριών δεδομένων απαγορεύεται καταρχήν, εκτός εάν ισχύει ειδική εξαίρεση (77).

(28)

Οι ειδικές εξαιρέσεις που παρατίθενται στο άρθρο 11 παράγραφος 2 των ΚΠΔ είναι παρόμοιες με εκείνες του άρθρου 9 παράγραφοι 2 και 3 του κανονισμού (ΕΕ) 2016/679, με ορισμένες προσαρμογές στο νομικό πλαίσιο εντός του οποίου λειτουργεί ο ΕΟΔΕ. Η επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα επιτρέπεται μόνο σε ειδικές και περιορισμένες περιπτώσεις (78), δηλαδή όταν 1) το υποκείμενο των δεδομένων έχει παράσχει ρητή συγκατάθεση· 2) η επεξεργασία είναι απαραίτητη για την προστασία των ζωτικών συμφερόντων ενός προσώπου (όταν το υποκείμενο των δεδομένων είναι σωματικά ή νομικά ανίκανο να συγκατατεθεί ρητά)· 3) τα δεδομένα προσωπικού χαρακτήρα έχουν προδήλως δημοσιοποιηθεί από το υποκείμενο των δεδομένων· 4) η επεξεργασία είναι απαραίτητη για ειδικό σκοπό που αφορά την άσκηση των επίσημων δραστηριοτήτων του ΕΟΔΕ ή κατά τη νόμιμη άσκηση της εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας (79)· ή 5) η επεξεργασία είναι απαραίτητη για τη θεμελίωση, την άσκηση ή την υποστήριξη νομικών αξιώσεων.

(29)

Σύμφωνα με τους ΚΠΔ, εκτός από τις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που αναφέρονται στην αιτιολογική σκέψη 27, απαιτείται επίσης ειδική προστασία για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες και αδικήματα, δηλαδή, η εν λόγω επεξεργασία επιτρέπεται μόνον αφού ζητηθεί προηγουμένως η γνώμη του ΣΠΔ ή όταν η επεξεργασία απαιτείται βάσει νομικά δεσμευτικής πράξης που προβλέπει κατάλληλες εγγυήσεις για τα δικαιώματα και τις ελευθερίες των προσώπων (80).

(30)

Τα δεδομένα προσωπικού χαρακτήρα πρέπει να υποβάλλονται σε επεξεργασία για συγκεκριμένο σκοπό και, στη συνέχεια, να χρησιμοποιούνται μόνο στο μέτρο που αυτό δεν είναι ασύμβατο με τον σκοπό της επεξεργασίας.

(31)

Η αρχή αυτή κατοχυρώνεται στο άρθρο 4 παράγραφος 2 στοιχείο β) των ΚΠΔ, σύμφωνα με το οποίο τα δεδομένα προσωπικού χαρακτήρα πρέπει να «συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και να μην υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς».

(32)

Όπως και στον κανονισμό (ΕΕ) 2016/679, στους ΚΠΔ επιτρέπεται η περαιτέρω επεξεργασία (ανεξάρτητα από τη συμβατότητα του σκοπού της περαιτέρω επεξεργασίας με τον αρχικό σκοπό) βάσει της ρητής συγκατάθεσης του υποκειμένου των δεδομένων ή βάσει των εφαρμοστέων νομικών διατάξεων του ΕΟΔΕ (81). Στην τελευταία περίπτωση, σύμφωνα με τους ΚΠΔ, απαιτείται η επεξεργασία να αποτελεί αναγκαίο και αναλογικό μέτρο για τη διασφάλιση στόχου γενικού δημόσιου συμφέροντος (82).

(33)

Όταν η περαιτέρω επεξεργασία δεν βασίζεται στους δύο αυτούς λόγους, στους ΚΠΔ καθορίζονται οι παράγοντες που πρέπει να λαμβάνονται υπόψη κατά την εκτίμηση της συμβατότητας του σκοπού της περαιτέρω επεξεργασίας με τον σκοπό για τον οποίο συλλέχθηκαν αρχικά τα δεδομένα προσωπικού χαρακτήρα (83). Η προσέγγιση αυτή και οι παράγοντες που παρατίθενται στους ΚΠΔ είναι πανομοιότυποι με εκείνους που ορίζονται στο άρθρο 6 παράγραφος 4 του κανονισμού (ΕΕ) 2016/679 και στο άρθρο 6 του κανονισμού (ΕΕ) 2018/1725 (84).

(34)

Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να είναι ακριβή και, όταν είναι αναγκαίο, να επικαιροποιούνται. Θα πρέπει επίσης να είναι κατάλληλα, συναφή και όχι υπερβολικά σε σχέση με τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία και, καταρχήν, να μη διατηρούνται για διάστημα μεγαλύτερο από το αναγκαίο ως προς τους σκοπούς για τους οποίους τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία.

(35)

Οι αρχές αυτές καθορίζονται στο άρθρο 4 παράγραφος 2 στοιχεία γ), δ) και ε) των ΚΠΔ κατά τον ίδιο τρόπο με τον κανονισμό (ΕΕ) 2016/679.

(36)

Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει επίσης να υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ασφάλειά τους, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά. Για τον σκοπό αυτόν, οι επιχειρηματικοί φορείς θα πρέπει να λαμβάνουν τα κατάλληλα τεχνικά ή οργανωτικά μέτρα για την προστασία των δεδομένων προσωπικού χαρακτήρα από πιθανές απειλές. Τα μέτρα αυτά θα πρέπει να αξιολογούνται με βάση τις τελευταίες εξελίξεις της τεχνολογίας και το σχετικό κόστος.

(37)

Η ασφάλεια των δεδομένων κατοχυρώνεται στο νομικό πλαίσιο του ΕΟΔΕ μέσω της αρχής της ακεραιότητας και της εμπιστευτικότητας που ορίζεται στο άρθρο 4 παράγραφος 2 στοιχείο στ) και στο άρθρο 33 των ΚΠΔ, κατά τρόπο σχεδόν πανομοιότυπο με τον κανονισμό (ΕΕ) 2016/679. Ειδικότερα, βάσει των ΚΠΔ, απαιτείται να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων μέσω κατάλληλων τεχνικών και οργανωτικών μέτρων, με συνεκτίμηση των τελευταίων εξελίξεων της τεχνολογίας, του κόστους εφαρμογής και της φύσης, του πεδίου εφαρμογής, του πλαισίου και των σκοπών της επεξεργασίας, καθώς και των διαφορών ως προς την πιθανότητα επέλευσης και τη σοβαρότητα των τυχόν κινδύνων για τα δικαιώματα και τις ελευθερίες των προσώπων.

(38)

Επιπλέον, οι ΚΠΔ περιέχουν ειδικές απαιτήσεις σχετικά με τον χειρισμό και τη γνωστοποίηση παραβίασης δεδομένων (85). Πρώτον, ο υπεύθυνος επεξεργασίας υποχρεούται να γνωστοποιεί αμελλητί την παραβίαση δεδομένων στον ΥΠΔ (και, αν είναι δυνατό, εντός 72 ωρών από τη στιγμή που λαμβάνει γνώση της παραβίασης), εκτός εάν η παραβίαση δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των προσώπων (86). Ομοίως, ο εκτελών την επεξεργασία υποχρεούται να ενημερώνει αμελλητί τον υπεύθυνο επεξεργασίας για την παραβίαση (87). Ειδικότερα, η γνωστοποίηση πρέπει να περιγράφει τη φύση της παραβίασης, τις ενδεχόμενες συνέπειές της και τα μέτρα που έχουν ληφθεί ή προτείνεται να ληφθούν για την αντιμετώπιση της παραβίασης (88). Όταν η παραβίαση δεδομένων ενδέχεται να θέσει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες των προσώπων, ο υπεύθυνος επεξεργασίας πρέπει επίσης να ανακοινώνει αμελλητί την παραβίαση των δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων (89). Η ανακοίνωση στο υποκείμενο των δεδομένων πρέπει να περιγράφει τη φύση της παραβίασης των δεδομένων προσωπικού χαρακτήρα με σαφή και απλή διατύπωση (90) και δεν απαιτείται εάν ο υπεύθυνος επεξεργασίας έλαβε στη συνέχεια μέτρα που διασφαλίζουν ότι δεν πρόκειται να πραγματωθεί πλέον ο υψηλός κίνδυνος για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων (91).

(39)

Τα υποκείμενα των δεδομένων θα πρέπει να ενημερώνονται για τα βασικά χαρακτηριστικά της επεξεργασίας των δεδομένων τους προσωπικού χαρακτήρα.

(40)

Σύμφωνα με τους ΚΠΔ, ο υπεύθυνος επεξεργασίας υποχρεούται, κατά τη λήψη δεδομένων προσωπικού χαρακτήρα, να παρέχει στα πρόσωπα πληροφορίες, ιδίως σχετικά με την ταυτότητα και τα στοιχεία επικοινωνίας του (καθώς και τα στοιχεία επικοινωνίας του ΥΠΔ), τον σκοπό της επεξεργασίας και τη νομική βάση της, τους αποδέκτες ή τις κατηγορίες αποδεκτών, την πρόθεσή του να διαβιβάσει τα δεδομένα εκτός του ΕΟΔΕ, καθώς και σχετικά με τα ισχύοντα δικαιώματα και τη δυνατότητα εξασφάλισης επανόρθωσης (92). Το ίδιο ισχύει όταν τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία για σκοπό διαφορετικό από εκείνον για τον οποίο συλλέχθηκαν (93). Και οι δύο υποχρεώσεις ισχύουν μόνο στο μέτρο που το ενδιαφερόμενο πρόσωπο δεν διαθέτει ακόμη τις πληροφορίες (94).

(41)

Όταν τα δεδομένα προσωπικού χαρακτήρα δεν συλλέγονται απευθείας από τα υποκείμενα των δεδομένων, πρέπει να παρέχονται σε αυτά οι ίδιες πληροφορίες, καθώς και πρόσθετες πληροφορίες σχετικά με την πηγή των δεδομένων προσωπικού χαρακτήρα και τις σχετικές κατηγορίες δεδομένων (95). Οι εν λόγω πληροφορίες πρέπει να παρέχονται εντός εύλογου χρονικού διαστήματος από τη συλλογή των δεδομένων (αλλά το αργότερο εντός ενός μηνός), λαμβανομένων υπόψη των ειδικών συνθηκών υπό τις οποίες τα δεδομένα υποβάλλονται σε επεξεργασία (96). Σε περίπτωση που τα δεδομένα προσωπικού χαρακτήρα πρόκειται να χρησιμοποιηθούν για επικοινωνία με το υποκείμενο των δεδομένων, θα πρέπει να παρέχονται οι ίδιες πληροφορίες, το αργότερο κατά την πρώτη επικοινωνία με το πρόσωπο (97). Οι πληροφορίες που αναφέρονται στην αιτιολογική σκέψη 40 πρέπει επίσης να παρέχονται πριν από οποιαδήποτε περαιτέρω επεξεργασία ή, εάν προβλέπεται γνωστοποίηση σε άλλον αποδέκτη, το αργότερο όταν τα δεδομένα προσωπικού χαρακτήρα γνωστοποιούνται σε τρίτο (98). Η υποχρέωση αυτή δεν ισχύει σε ορισμένες περιπτώσεις, δηλαδή όταν το υποκείμενο των δεδομένων διαθέτει ήδη τις σχετικές πληροφορίες· όταν οι πληροφορίες αυτές πρέπει να παραμείνουν εμπιστευτικές λόγω υποχρέωσης τήρησης επαγγελματικού απορρήτου που ρυθμίζεται βάσει της ΣΕΔΕ και/ή άλλων νομικών διατάξεων που ισχύουν για τον ΕΟΔΕ (99)· όταν η παροχή των εν λόγω πληροφοριών αποδεικνύεται αδύνατη ή συνεπάγεται δυσανάλογη προσπάθεια, ιδίως όσον αφορά την επεξεργασία για σκοπούς αρχειοθέτησης, επιστημονικής ή ιστορικής έρευνας ή στατιστικής, εφόσον θα καθιστούσε αδύνατη ή θα έβλαπτε σοβαρά την επίτευξη των στόχων της επεξεργασίας· ή όταν η απόκτηση ή η γνωστοποίηση των εν λόγω πληροφοριών προβλέπεται ρητά στη ΣΕΔΕ ή σε άλλες εφαρμοστέες νομικές διατάξεις που προβλέπουν κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων (100).

(42)

Τα υποκείμενα των δεδομένων θα πρέπει να έχουν ορισμένα δικαιώματα τα οποία μπορούν να ασκηθούν έναντι του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, ιδίως το δικαίωμα πρόσβασης στα δεδομένα, το δικαίωμα διόρθωσης, το δικαίωμα εναντίωσης στην επεξεργασία και το δικαίωμα διαγραφής των δεδομένων. Ταυτόχρονα, τα δικαιώματα αυτά είναι δυνατόν να υπόκεινται σε περιορισμούς, εφόσον οι περιορισμοί αυτοί είναι αναγκαίοι και αναλογικοί για τη διασφάλιση σημαντικών στόχων γενικού δημόσιου συμφέροντος.

(43)

Η ανάγκη διευκόλυνσης της άσκησης των ατομικών δικαιωμάτων ορίζεται στο άρθρο 1β παράγραφος 4 του κανονισμού των υπαλλήλων. Για την περαιτέρω εφαρμογή της απαίτησης αυτής, οι ΚΠΔ προβλέπουν για τα πρόσωπα τα ίδια δικαιώματα με εκείνα που προβλέπονται στον κανονισμό (ΕΕ) 2016/679, δηλαδή δικαίωμα πρόσβασης (άρθρο 18 των ΚΠΔ), δικαίωμα διόρθωσης (άρθρο 19 των ΚΠΔ), δικαίωμα διαγραφής (άρθρο 20 των ΚΠΔ), δικαίωμα περιορισμού της επεξεργασίας (άρθρο 21 των ΚΠΔ), δικαίωμα στη φορητότητα των δεδομένων (άρθρο 22 των ΚΠΔ), δικαίωμα εναντίωσης (άρθρο 23 των ΚΠΔ) και δικαίωμα μη υπαγωγής σε αυτοματοποιημένη λήψη αποφάσεων (άρθρο 24 των ΚΠΔ).

(44)

Στους ΚΠΔ θεσπίζονται επίσης γενικές διατάξεις σχετικά με τη διεκπεραίωση αιτημάτων για την άσκηση δικαιωμάτων από τα πρόσωπα, βάσει των οποίων απαιτείται από τον υπεύθυνο επεξεργασίας να επικοινωνεί με τα υποκείμενα των δεδομένων χρησιμοποιώντας σαφή και απλή διατύπωση, σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή (γραπτώς ή με άλλα μέσα) (101). Ο υπεύθυνος επεξεργασίας πρέπει να παρέχει στα πρόσωπα πληροφορίες σχετικά με τα μέτρα που λαμβάνονται ως απάντηση σε αίτημα, χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός ενός μηνός από την παραλαβή του αιτήματος (διάστημα το οποίο μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται λόγω της πολυπλοκότητας και του αριθμού των αιτημάτων) (102). Εάν τα αιτήματα του υποκειμένου των δεδομένων είναι προδήλως αβάσιμα ή υπερβολικά, ιδίως λόγω του επαναλαμβανόμενου χαρακτήρα τους, ο υπεύθυνος επεξεργασίας μπορεί να αρνηθεί να δώσει συνέχεια στο αίτημα (103). Όταν ο υπεύθυνος επεξεργασίας δεν ανταποκρίνεται στο αίτημα, πρέπει να ενημερώνει σχετικά το πρόσωπο και να παρέχει πληροφορίες σχετικά με τη δυνατότητα προσφυγής (104).

(45)

Πρώτον, όσον αφορά το δικαίωμα πρόσβασης, οι ΚΠΔ προβλέπουν για τα πρόσωπα το δικαίωμα να λαμβάνουν από τον ΕΟΔΕ επιβεβαίωση για το αν δεδομένα προσωπικού χαρακτήρα που τα αφορούν υφίστανται επεξεργασία ή όχι και, εάν αυτό συμβαίνει, το δικαίωμα εύκολης πρόσβασης (105) στα δεδομένα προσωπικού χαρακτήρα, σε εύλογα χρονικά διαστήματα (106). Επιπλέον, τα πρόσωπα έχουν το δικαίωμα να λαμβάνουν πληροφορίες, ιδίως σχετικά με τον σκοπό της επεξεργασίας, τις σχετικές κατηγορίες δεδομένων, τους αποδέκτες στους οποίους κοινοποιούνται τα δεδομένα και το προβλεπόμενο χρονικό διάστημα αποθήκευσης των δεδομένων (107).

(46)

Δεύτερον, στους ΚΠΔ ορίζεται ότι το δικαίωμα διόρθωσης που προβλέπουν παρέχει στα πρόσωπα τη δυνατότητα να επιτύχουν τη διόρθωση ανακριβών δεδομένων ή τη συμπλήρωση ελλιπών δεδομένων (για παράδειγμα, μέσω συμπληρωματικής δήλωσης) (108). Μετά τη διόρθωση, ο υπεύθυνος επεξεργασίας υποχρεούται να την ανακοινώσει σε κάθε αποδέκτη στον οποίο έχουν γνωστοποιηθεί τα δεδομένα προσωπικού χαρακτήρα (109). Σύμφωνα με τους ΚΠΔ, το δικαίωμα διόρθωσης ισχύει για αντικειμενικά και πραγματικά δεδομένα και όχι για υποκειμενικές δηλώσεις (110), παρότι στην περίπτωση αυτή επιτρέπεται στα πρόσωπα να συμπληρώνουν υφιστάμενα δεδομένα με δεύτερη γνώμη ή αντιπραγματογνωμοσύνη ή να υποβάλουν παρατηρήσεις (111).

(47)

Τρίτον, οι ΚΠΔ προβλέπουν για τα πρόσωπα το δικαίωμα διαγραφής (112), ειδικότερα εάν α) τα δεδομένα προσωπικού χαρακτήρα δεν είναι πλέον απαραίτητα για τον σκοπό για τον οποίο υποβάλλονται σε επεξεργασία· β) το υποκείμενο των δεδομένων ανακαλεί τη συγκατάθεσή του και δεν υπάρχει άλλη νομική βάση για την επεξεργασία· γ) το υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία και δεν υπάρχουν επιτακτικοί νόμιμοι λόγοι για την επεξεργασία· δ) τα δεδομένα υποβλήθηκαν σε επεξεργασία παράνομα· ε) ή τα δεδομένα πρέπει να διαγραφούν ώστε να τηρηθεί νομική υποχρέωση που ισχύει για τον υπεύθυνο επεξεργασίας (113). Ο υπεύθυνος επεξεργασίας πρέπει να ανακοινώνει κάθε διαγραφή σε κάθε αποδέκτη στον οποίο έχουν κοινοποιηθεί τα δεδομένα, εκτός εάν αυτό αποδειχθεί αδύνατο ή συνεπάγεται δυσανάλογη προσπάθεια (114). Ομοίως, εάν ο υπεύθυνος επεξεργασίας έχει δημοσιοποιήσει τα δεδομένα προσωπικού χαρακτήρα, πρέπει να λάβει εύλογα μέτρα για να ενημερώσει τους άλλους υπευθύνους επεξεργασίας που τα επεξεργάζονται ότι το πρόσωπο έχει ζητήσει τη διαγραφή τους (115). Το δικαίωμα διαγραφής δεν ισχύει για τις ακόλουθες περιπτώσεις, στον βαθμό που η επεξεργασία των δεδομένων είναι απαραίτητη α) για την άσκηση του δικαιώματος ελευθερίας της έκφρασης και της πληροφόρησης· β) για τη συμμόρφωση με νομική υποχρέωση του ΕΟΔΕ ή με υποχρέωση που απορρέει από το καθήκον του ΕΟΔΕ να συνεργάζεται με τα συμβαλλόμενα κράτη (116) ή για την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον ΕΟΔΕ (117)· γ) για λόγους συνεργασίας με τα συμβαλλόμενα κράτη στον τομέα της δημόσιας υγείας (118)· δ) για σκοπούς αρχειοθέτησης, επιστημονικής ή ιστορικής έρευνας και στατιστικής (εφόσον η διαγραφή ενδεχομένως θα καθιστούσε αδύνατη ή θα έβλαπτε σοβαρά την επίτευξη των στόχων της επεξεργασίας)· ή ε) για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων (119).

(48)

Τέταρτον, στο άρθρο 21 των ΚΠΔ προβλέπεται το δικαίωμα περιορισμού της επεξεργασίας, δηλαδή την επισήμανση δεδομένων προσωπικού χαρακτήρα με στόχο τον περιορισμό της επεξεργασίας τους στο μέλλον (συμπεριλαμβανομένου του προγραμματισμού μέτρων για τη μόνιμη παρεμπόδιση της πρόσβασης στα δεδομένα αυτά) (120). Ειδικότερα, μπορεί να γίνει επίκληση του δικαιώματος αυτού όταν το πρόσωπο αμφισβητεί την ακρίβεια των δεδομένων προσωπικού χαρακτήρα (για το χρονικό διάστημα που χρειάζεται ο υπεύθυνος επεξεργασίας προκειμένου να επαληθεύσει την ακρίβεια) ή όταν η επεξεργασία είναι παράνομη, αλλά το πρόσωπο αντιτίθεται στη διαγραφή των δεδομένων (121). Σε περίπτωση περιορισμού της επεξεργασίας, τα δεδομένα προσωπικού χαρακτήρα μπορούν, με εξαίρεση την αποθήκευση, να υποβάλλονται σε επεξεργασία μόνο με τη ρητή συγκατάθεση του προσώπου, για τη θεμελίωση, την άσκηση ή την υποστήριξη νομικών αξιώσεων, για την προστασία των δικαιωμάτων τρίτων ή για την εκπλήρωση καθήκοντος που εκτελείται κατά την άσκηση των επίσημων δραστηριοτήτων του ΕΟΔΕ (δηλαδή για καθήκον το οποίο είναι αναγκαίο για τις διοικητικές και τεχνικές εργασίες που απαιτείται να εκτελεί ο ΕΟΔΕ σύμφωνα με τη ΣΕΔΕ) (122).

(49)

Πέμπτον, το δικαίωμα εναντίωσης προβλέπεται στο άρθρο 1β παράγραφος 4 του κανονισμού των υπαλλήλων και στο άρθρο 23 των ΚΠΔ. Ειδικότερα, τα πρόσωπα έχουν το δικαίωμα να αντιταχθούν ανά πάσα στιγμή στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται για την εκτέλεση καθήκοντος κατά την άσκηση των επίσημων δραστηριοτήτων του ΕΟΔΕ ή κατά τη νόμιμη άσκηση της δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας (123). Τα πρόσωπα πρέπει να ενημερώνονται για την ύπαρξη του δικαιώματος αυτού με σαφή τρόπο και το αργότερο κατά την πρώτη επικοινωνία μαζί τους (124). Σε περίπτωση που το πρόσωπο αντιταχθεί στην επεξεργασία δεδομένων προσωπικού χαρακτήρα, απαιτείται, βάσει των ΚΠΔ, από τον υπεύθυνο επεξεργασίας να διακόψει την επεξεργασία, εκτός εάν ο υπεύθυνος επεξεργασίας μπορεί να καταδείξει επιτακτικούς νόμιμους λόγους για την επεξεργασία οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων (125).

(50)

Έκτον, στους ΚΠΔ θεσπίζεται το δικαίωμα στη φορητότητα των δεδομένων, με το οποίο παρέχεται στα φυσικά πρόσωπα η δυνατότητα να λαμβάνουν τα προσωπικά τους δεδομένα σε δομημένο, κοινώς χρησιμοποιούμενο και μηχαναγνώσιμο μορφότυπο και να διαβιβάζουν τα εν λόγω δεδομένα σε άλλον υπεύθυνο επεξεργασίας (126). Το δικαίωμα αυτό ισχύει όταν η επεξεργασία διενεργείται με αυτοματοποιημένα μέσα και πραγματοποιείται βάσει της συγκατάθεσης του προσώπου ή για την εκτέλεση σύμβασης με το ίδιο το πρόσωπο ή προς το συμφέρον του (127).

(51)

Τέλος, σύμφωνα με τους ΚΠΔ, τα πρόσωπα έχουν το δικαίωμα να μην υπόκεινται σε αυτοματοποιημένη λήψη αποφάσεων, δηλαδή σε αποφάσεις που λαμβάνονται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας, συμπεριλαμβανομένης της κατάρτισης προφίλ, οι οποίες παράγουν έννομα αποτελέσματα που τα αφορούν ή τα επηρεάζουν σημαντικά με παρόμοιο τρόπο (128). Στους ΚΠΔ ορίζεται ότι η αυτοματοποιημένη λήψη αποφάσεων μπορεί να πραγματοποιείται όταν βασίζεται στη ρητή συγκατάθεση του υποκειμένου των δεδομένων ή εάν είναι αναγκαία για τη σύναψη ή την εκτέλεση σύμβασης με το πρόσωπο, οπότε ο υπεύθυνος επεξεργασίας πρέπει να εφαρμόζει κατάλληλες εγγυήσεις, όπως η παροχή του δικαιώματος εξασφάλισης ανθρώπινης παρέμβασης, έκφρασης της άποψης των προσώπων και αμφισβήτησης της απόφασης (129). Η αυτοματοποιημένη λήψη αποφάσεων μπορεί επίσης να επιτραπεί με νομική πράξη, εάν η πράξη αυτή προβλέπει κατάλληλα μέτρα για τη διασφάλιση των δικαιωμάτων των προσώπων (130). Εάν ο υπεύθυνος επεξεργασίας προβεί σε αυτοματοποιημένη λήψη αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, πρέπει να ενημερώσει σχετικά το πρόσωπο εκ των προτέρων, στο πλαίσιο των υποχρεώσεών του για διαφάνεια, και να παράσχει σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων (131). Οι ίδιες πληροφορίες πρέπει να παρέχονται κατόπιν αιτήματος (132).

(52)

Ομοίως με το άρθρο 23 του κανονισμού (ΕΕ) 2016/679 και το άρθρο 25 του κανονισμού (ΕΕ) 2018/1725, στο άρθρο 25 των ΚΠΔ προβλέπεται ότι συγκεκριμένες νομικές διατάξεις στο νομικό πλαίσιο του ΕΟΔΕ μπορούν να περιορίζουν την εφαρμογή των δικαιωμάτων που αναφέρονται στις αιτιολογικές σκέψεις 43 έως 51 (133) (δηλαδή να περιορίζουν προσωρινά την εφαρμογή τους) (134), όταν ένας τέτοιος περιορισμός σέβεται την ουσία των θεμελιωδών δικαιωμάτων (135) και ελευθεριών και συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση συγκεκριμένων στόχων (136). Επιπλέον, ο περιορισμός πρέπει να προβλέπεται σε «σαφείς και ακριβείς» διατάξεις που έχουν ως στόχο να παράγουν έννομα αποτελέσματα έναντι των υποκειμένων των δεδομένων και οι οποίες πρέπει να εγκρίνονται τουλάχιστον στο επίπεδο του προέδρου (137). Οι εν λόγω διατάξεις πρέπει, ειδικότερα, να καθορίζουν τον σκοπό της επεξεργασίας, το πεδίο εφαρμογής του περιορισμού, τις εγγυήσεις για την πρόληψη των καταχρήσεων, καθώς και τις περιόδους αποθήκευσης και τις ισχύουσες εγγυήσεις (138).

(53)

Επί του παρόντος, η μόνη νομική πράξη που προβλέπει περιορισμούς στα ατομικά δικαιώματα είναι η εγκύκλιος 420 (νομικά δεσμευτική πράξη που εγκρίθηκε από τον πρόεδρο). Σε αυτήν αποσαφηνίζεται με ποιόν τρόπο και υπό ποιες προϋποθέσεις μπορεί να εφαρμόζει περιορισμούς ο υπεύθυνος επεξεργασίας και καθορίζονται εξαντλητικά τα συγκεκριμένα σενάρια στα οποία μπορούν να περιορίζονται τα δικαιώματα, και οι στόχοι των περιορισμών (139). Ειδικότερα, προβλέπεται ότι ο ΕΟΔΕ μπορεί να περιορίζει τα ατομικά δικαιώματα για την επίτευξη ορισμένων ειδικών στόχων: α) και β) κατά τη διεξαγωγή διαδικασιών έρευνας ή πειθαρχικών διαδικασιών σε σχέση με το προσωπικό του (140)· γ) στο πλαίσιο της εσωτερικής επίλυσης διαφορών ή της θεμελίωσης, άσκησης ή υποστήριξης νομικών αξιώσεων, συμπεριλαμβανομένης της διαιτησίας, για τη διαφύλαξη εμπιστευτικών πληροφοριών και εγγράφων που λαμβάνονται από τα μέρη, τους παρεμβαίνοντες ή άλλες νόμιμες πηγές· δ) κατά την επεξεργασία δεδομένων υγείας στο πλαίσιο ιατρικών διαδικασιών και αρχείων, αλλά μόνο για την προστασία των δικαιωμάτων των προσώπων (141)· ε) και στ) κατά τη διενέργεια εσωτερικών ελέγχων και επιθεωρήσεων (τις επιθεωρήσεις διενεργεί ο ΥΠΔ)· ζ) για τους σκοπούς της διαχείρισης συμβάντων ΤΠ και της αναφοράς συμβάντων υλικής ασφάλειας· και η) όταν παρέχει συνδρομή σε αρμόδιες δημόσιες αρχές ή λαμβάνει συνδρομή από αυτές, μεταξύ άλλων από τα συμβαλλόμενα κράτη του ΕΟΔΕ και διεθνείς οργανισμούς, ή όταν συνεργάζεται μαζί τους στο πλαίσιο δραστηριοτήτων που καθορίζονται σε σχετικές συμφωνίες επιπέδου υπηρεσιών, μνημόνια συνεννόησης και συμφωνίες συνεργασίας, είτε κατόπιν αιτήματός τους είτε με πρωτοβουλία του Γραφείου (142).

(54)

Το αν ένας περιορισμός μπορεί να εφαρμοστεί σε συγκεκριμένη περίπτωση ή όχι πρέπει να καθορίζεται από τον υπεύθυνο επεξεργασίας χωριστά για κάθε περίπτωση, υπό το πρίσμα των σχετικών περιστάσεων (143). Προκειμένου να αποφασίσει αν θα εφαρμόσει έναν περιορισμό ή όχι, ο υπεύθυνος επεξεργασίας πρέπει πρώτα να εκτιμήσει την αναγκαιότητα και την αναλογικότητα του περιορισμού στη συγκεκριμένη περίπτωση, με τη συμμετοχή του ΥΠΔ (144). Η εκτίμηση αυτή περιλαμβάνει τη στάθμιση των δυνητικών κινδύνων για τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων με τους κινδύνους για τα δικαιώματα και τις ελευθερίες άλλων υποκειμένων των δεδομένων και τον κίνδυνο να παρεμποδιστούν ο σκοπός και η έκβαση της πράξης επεξεργασίας (145). Οι περιορισμοί πρέπει να τεκμηριώνονται, μεταξύ άλλων με καταγραφή της αξιολόγησης των περιοριζόμενων δικαιωμάτων, της διάρκειας, των αιτίων και των λόγων του περιορισμού (146). Επιπλέον, για όσο διάστημα ισχύει ένας περιορισμός, πρέπει να εφαρμόζονται κατάλληλα τεχνικά και οργανωτικά μέτρα (147). Οι περιορισμοί μπορούν να εφαρμόζονται μόνο για όσο διάστημα συντρέχουν οι λόγοι περιορισμού (148). Εάν ένα δικαίωμα περιορίζεται, ο υπεύθυνος επεξεργασίας πρέπει να ενημερώνει το πρόσωπο για τους κύριους λόγους του περιορισμού και για το δικαίωμα υποβολής καταγγελίας (149).

(55)

Οι διατάξεις της ιδρυτικής συνθήκης του ΕΟΔΕ (δηλαδή της ΣΕΔΕ), της PCT και οι διατάξεις που εφαρμόζονται δυνάμει αυτών (που συνιστούν όλες πρωτογενές δίκαιο για τον ΕΟΔΕ) περιέχουν ορισμένες ειδικές απαιτήσεις στο πλαίσιο της διαδικασίας χορήγησης διπλωμάτων ευρεσιτεχνίας που ενδέχεται να επηρεάσουν την άσκηση ορισμένων δικαιωμάτων βάσει των ΚΠΔ (150). Στην απόφαση ΔΧ περιλαμβάνεται επισκόπηση των εν λόγω απαιτήσεων του πρωτογενούς δικαίου, επεξηγείται ο τρόπος με τον οποίο μπορούν να ασκούνται τα δικαιώματα των υποκειμένων των δεδομένων στο πλαίσιο αυτό και καθορίζονται σαφώς οι πιθανές εξαιρέσεις (151). Στην εγκύκλιο 420 ορίζεται ότι οι διατάξεις βάσει των οποίων μπορεί να περιορίζεται η εφαρμογή των δικαιωμάτων προστασίας των δεδομένων πρέπει να προσδιορίζουν σαφώς το πεδίο εφαρμογής κάθε εξαίρεσης και, ως εκ τούτου, να εξισορροπούν τα διάφορα συμφέροντα που διακυβεύονται (152).

(56)

Πρώτον, σύμφωνα με το άρθρο 127 της ΣΕΔΕ, το Γραφείο υποχρεούται να τηρεί το Ευρωπαϊκό Μητρώο Διπλωμάτων Ευρεσιτεχνίας, όπου δημοσιεύονται ορισμένα καθορισμένα δια νόμου δεδομένα προσωπικού χαρακτήρα. Σύμφωνα με το πρωτογενές δίκαιο, οι αιτήσεις χορήγησης διπλώματος ευρεσιτεχνίας πρέπει να δημοσιεύονται κατά τη διάρκεια της διαδικασίας χορήγησης διπλώματος ευρεσιτεχνίας, γενικά, το συντομότερο δυνατόν μετά τη λήξη περιόδου δεκαοκτώ μηνών από την ημερομηνία κατάθεσης της αίτησης. Η ΣΕΔΕ προβλέπει ότι η πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που περιλαμβάνονται στις εν λόγω αιτήσεις χορήγησης διπλώματος ευρεσιτεχνίας είναι δυνατή μέσω έρευνας είτε του φακέλου είτε του Μητρώου (153). Πριν από τη δημοσίευση, οι αιτήσεις χορήγησης διπλώματος ευρεσιτεχνίας δεν διατίθενται προς έρευνα χωρίς τη ρητή συγκατάθεση του αιτούντος. Παρόμοιοι κανόνες προβλέπονται στην PCT (154).

(57)

Δεύτερον, η δυνατότητα τροποποιήσεων σε πληροφορίες που χρησιμοποιούνται στο πλαίσιο της διαδικασίας χορήγησης διπλώματος ευρεσιτεχνίας ρυθμίζεται επακριβώς με τη ΣΕΔΕ (155). Ειδικότερα, η ΣΕΔΕ προβλέπει μόνο τη δυνατότητα διόρθωσης σφαλμάτων στα έγγραφα που υποβάλλονται στον ΕΟΔΕ (156), διόρθωσης σφαλμάτων στις αποφάσεις (157), διορθώσεων στις μεταφράσεις (158) και διόρθωσης στον προσδιορισμό του εφευρέτη (159). Ως εκ τούτου, η διόρθωση των δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονται σε έγγραφα τα οποία χρησιμοποιούνται στη διαδικασία χορήγησης διπλώματος ευρεσιτεχνίας μπορεί επίσης να πραγματοποιηθεί μόνο στις περιπτώσεις αυτές. Το ίδιο ισχύει και για τη δυνατότητα περιορισμού της επεξεργασίας δεδομένων (160).

(58)

Τρίτον, με τη ΣΕΔΕ επιβάλλονται συγκεκριμένες απαιτήσεις για τη διατήρηση και τη δημοσίευση ορισμένων εγγράφων που χρησιμοποιούνται στη διαδικασία χορήγησης διπλωμάτων ευρεσιτεχνίας, οι οποίες επηρεάζουν τη δυνατότητα διαγραφής των πληροφοριών που περιέχονται στα έγγραφα αυτά, συμπεριλαμβανομένων των δεδομένων προσωπικού χαρακτήρα (161). Ειδικότερα, οι δημοσιευμένες αιτήσεις χορήγησης διπλώματος ευρεσιτεχνίας και οι πληροφορίες για τα διπλώματα ευρεσιτεχνίας που δημοσιεύονται στο Ευρωπαϊκό Δελτίο Διπλωμάτων Ευρεσιτεχνίας πρέπει να διατηρούνται και να παραμένουν στη διάθεση του κοινού (162). Ως εκ τούτου, η διαγραφή των δεδομένων προσωπικού χαρακτήρα που περιέχονται στα εν λόγω έγγραφα αντιβαίνει στις θεμελιώδεις νομικές υποχρεώσεις του ΕΟΔΕ [άρθρο 129 στοιχείο α) της ΣΕΔΕ] και δεν μπορεί να πραγματοποιηθεί. Τα λοιπά αρχεία πρέπει να φυλάσσονται από τον ΕΟΔΕ για περίοδο που ορίζεται στη ΣΕΔΕ, η οποία είναι καταρχήν πέντε έτη (163). Κατά τη διάρκεια της περιόδου αυτής, δεν είναι δυνατή η διαγραφή των πληροφοριών που περιέχονται στα εν λόγω αρχεία (συμπεριλαμβανομένων των δεδομένων προσωπικού χαρακτήρα).

(59)

Ως εκ τούτου, λαμβανομένων υπόψη ιδίως του μη εκτεταμένου πεδίου και των περιορισμένων προϋποθέσεων εφαρμογής τους, οι περιορισμοί στην άσκηση των δικαιωμάτων που απορρέουν από τις διατάξεις οι οποίες αναφέρονται στις αιτιολογικές σκέψεις 55 έως 58 μπορεί να θεωρηθεί ότι είναι εντός των ορίων του αναγκαίου και αναλογικού για τη διασφάλιση της ορθής λειτουργίας της διαδικασίας χορήγησης διπλώματος ευρεσιτεχνίας, όπως απαιτείται για την εκπλήρωση των επίσημων καθηκόντων του ΕΟΔΕ, με γνώμονα το δημόσιο συμφέρον. Στον βαθμό που η άσκηση των δικαιωμάτων προστασίας των δεδομένων δεν ρυθμίζεται επακριβώς με τη ΣΕΔΕ και την PCT, δηλαδή σε όλα τα άλλα σενάρια εκτός εκείνων που περιγράφονται στις αιτιολογικές σκέψεις 55 έως 58, εφαρμόζονται πλήρως οι απαιτήσεις των ΚΠΔ.

(60)

Το επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται από την Ένωση στον ΕΟΔΕ δεν πρέπει να υπονομεύεται από την περαιτέρω διαβίβαση των εν λόγω δεδομένων προς αποδέκτες σε τρίτη χώρα ή σε άλλο διεθνή οργανισμό.

(61)

Στους ΚΠΔ γίνεται διάκριση μεταξύ της «μεταφοράς δεδομένων προσωπικού χαρακτήρα» (δηλαδή της κοινοποίησης δεδομένων από τον ΕΟΔΕ στα συμβαλλόμενα κράτη) και της «διαβίβασης δεδομένων προσωπικού χαρακτήρα» (κοινοποίηση δεδομένων από τον ΕΟΔΕ σε οποιοδήποτε άλλο πρόσωπο ή οντότητα εκτός του ΕΟΔΕ) (164).

(62)

Πρώτον, στους ΚΠΔ προβλέπεται ότι η μεταφορά δεδομένων σε εθνικό γραφείο διανοητικής ιδιοκτησίας συμβαλλόμενου κράτους του ΕΟΔΕ μπορεί να πραγματοποιείται εάν α) τα δεδομένα είναι απαραίτητα για την άσκηση της αρμοδιότητας ή της δημόσιας εξουσίας του αποδέκτη και β) η μεταφορά είναι απαραίτητη για την άσκηση των επίσημων καθηκόντων ή της δημόσιας εξουσίας του ΕΟΔΕ (165). Οι εν λόγω μεταφορές πραγματοποιούνται στο πλαίσιο της διαδικασίας χορήγησης διπλώματος ευρεσιτεχνίας που προβλέπεται από τη ΣΕΔΕ και την PCT (166).

(63)

Δεύτερον, βάσει των ΚΠΔ, επιτρέπεται η μεταφορά δεδομένων σε δημόσια αρχή συμβαλλόμενου κράτους του ΕΟΔΕ (167) όταν τα δεδομένα είναι απαραίτητα για την εκπλήρωση των καθηκόντων της εν λόγω δημόσιας αρχής και η μεταφορά είναι συμβατή με τα καθήκοντα και τη λειτουργία του ΕΟΔΕ (168). Οι εν λόγω μεταφορές δεν απαιτούνται ειδικά βάσει της ΣΕΔΕ ή άλλων νομικών πράξεων που διέπουν τη διαδικασία χορήγησης διπλώματος ευρεσιτεχνίας, αλλά μπορεί, παρ’ όλα αυτά, να είναι απαραίτητες για την εκπλήρωση των καθηκόντων του ΕΟΔΕ, για παράδειγμα, για τη συνεργασία του ΕΟΔΕ με τα συμβαλλόμενα κράτη μέσω διαδικασιών διαβούλευσης· την απόσπαση και την τοποθέτηση εμπειρογνωμόνων· ή την παροχή πληροφοριών σχετικά με το προσωπικό του ΕΟΔΕ με σκοπό τον προσδιορισμό κοινωνικών παροχών, φορολογικών απαιτήσεων κ.λπ.

(64)

Ο ΥΠΔ έχει εκπονήσει τυποποιημένες ρήτρες οι οποίες πρέπει να περιλαμβάνονται στα μνημόνια συνεννόησης που διέπουν τις μεταφορές αυτές που περιγράφονται στις αιτιολογικές σκέψεις 62 και 63 και, μεταξύ άλλων, περιέχουν αρχές προστασίας των δεδομένων, επιτρέπουν την περαιτέρω επεξεργασία μόνο για συμβατούς σκοπούς, προβλέπουν δικαιώματα για τα υποκείμενα των δεδομένων, καθώς και υποχρεώσεις όσον αφορά την ασφάλεια των δεδομένων, τις παραβιάσεις δεδομένων και την ανεξάρτητη εποπτεία (169).

(65)

Και στις δύο περιπτώσεις που περιγράφονται στις αιτιολογικές σκέψεις 62 και 63, ο αποδέκτης, σύμφωνα με τους ΚΠΔ, πρέπει να προσκομίσει στοιχεία που να αποδεικνύουν ότι είναι απαραίτητη η μεταφορά των δεδομένων για συγκεκριμένο σκοπό ο οποίος απορρέει από τις υποχρεώσεις συνεργασίας του ΕΟΔΕ με το συμβαλλόμενο κράτος ή τα συμβαλλόμενα κράτη (170). Για κάθε μεταφορά, ο υπεύθυνος επεξεργασίας πρέπει να μπορεί να αποδείξει ότι αυτή είναι αναγκαία και αναλογική προς τον συγκεκριμένο σκοπό για τον οποίο πραγματοποιείται (171). Κάθε μεταφορά δεδομένων πρέπει να πραγματοποιείται κατά τρόπο που να διασφαλίζει τη διατήρηση του επιπέδου προστασίας που παρέχουν οι ΚΠΔ (172). Σύμφωνα με τις κατευθυντήριες γραμμές που εξέδωσε ο ΥΠΔ, αυτό σημαίνει ότι θα πρέπει να θεσπιστούν κατάλληλες διασφαλίσεις, μεταξύ άλλων με την εξασφάλιση ότι τα προς κοινοποίηση δεδομένα πρέπει να ελαχιστοποιούνται και να περιορίζονται σε ό,τι είναι κατάλληλο, συναφές και απολύτως αναγκαίο για την επίτευξη του εν λόγω σκοπού (173). Εάν υπάρχει λόγος να υποτεθεί ότι μπορούν να θιγούν τα έννομα συμφέροντα του ενδιαφερόμενου προσώπου, ο υπεύθυνος επεξεργασίας πρέπει να αποδείξει ότι είναι αναλογική η μεταφορά των δεδομένων προσωπικού χαρακτήρα για τον συγκεκριμένο σκοπό, αφού σταθμίσει τα διάφορα συμφέροντα που διακυβεύονται (174).

(66)

Όσον αφορά τα δύο αυτά σενάρια, είναι επίσης σημαντικό να σημειωθεί ότι όλα τα συμβαλλόμενα κράτη του ΕΟΔΕ είναι συμβαλλόμενα μέρη της Ευρωπαϊκής Σύμβασης Δικαιωμάτων του Ανθρώπου και υπόκεινται στη δικαιοδοσία του Ευρωπαϊκού Δικαστηρίου των Δικαιωμάτων του Ανθρώπου, καθώς και συμβαλλόμενα μέρη της σύμβασης του Συμβουλίου της Ευρώπης για την προστασία του ατόμου από την αυτοματοποιημένη επεξεργασία πληροφοριών προσωπικού χαρακτήρα (ETS αριθ. 108).

(67)

Τέλος, βάσει των ΚΠΔ, επιτρέπεται η μεταφορά δεδομένων σε εκτελούντα την επεξεργασία που βρίσκεται στον Ευρωπαϊκό Οικονομικό Χώρο (στο εξής: ΕΟΧ), υπό την προϋπόθεση ότι διασφαλίζεται η συμμόρφωση με τις απαιτήσεις που ορίζονται στους ΚΠΔ για την πρόσληψη εκτελούντων την επεξεργασία (175).

(68)

Η κοινοχρησία δεδομένων προσωπικού χαρακτήρα με οποιαδήποτε οντότητα εκτός του ΕΟΔΕ, πλην δημόσιας αρχής ή εθνικού γραφείου διανοητικής ιδιοκτησίας των συμβαλλόμενων κρατών του ΕΟΔΕ ή εκτελούντος την επεξεργασία στον ΕΟΧ θεωρείται «διαβίβαση» δεδομένων προσωπικού χαρακτήρα, η οποία υπόκειται σε ειδικές απαιτήσεις βάσει των ΚΠΔ (176). Οι εν λόγω απαιτήσεις ισχύουν, για παράδειγμα, για την κοινοχρησία δεδομένων με εκτελούντες την επεξεργασία εκτός του ΕΟΧ, υπεύθυνους επεξεργασίας που βρίσκονται εντός ή εκτός των συμβαλλόμενων κρατών, δημόσιες αρχές μη συμβαλλόμενων κρατών και άλλους διεθνείς οργανισμούς. Γενικά, στο πλαίσιο των ΚΠΔ, απαιτείται να μην υπονομεύεται το επίπεδο προστασίας που εγγυάται ο ΕΟΔΕ στα πρόσωπα κατά τη διαβίβαση δεδομένων σε τρίτους (177). Σύμφωνα με τις κατευθυντήριες γραμμές του ΥΠΔ, «η προστασία των διαβιβαζόμενων δεδομένων προσωπικού χαρακτήρα που παρέχεται στην τρίτη χώρα ή στον διεθνή οργανισμό πρέπει να είναι ουσιωδώς ισοδύναμη με την προστασία που εγγυώνται οι ΚΠΔ» (178).

(69)

Σύμφωνα με τους ΚΠΔ, η διαβίβαση δεδομένων προσωπικού χαρακτήρα εκτός του ΕΟΔΕ μπορεί καταρχάς να πραγματοποιηθεί εάν η χώρα όπου βρίσκεται ο αποδέκτης, ή ο διεθνής οργανισμός, διασφαλίζει επαρκές επίπεδο προστασίας και εάν η διαβίβαση γίνεται με αποκλειστικό σκοπό να μπορέσει ο ΕΟΔΕ να εκτελέσει καθήκοντα που εμπίπτουν στην αρμοδιότητά του (179). Η απόφαση επάρκειας εκδίδεται από τον πρόεδρο (180), ο οποίος, σε περίπτωση αμφιβολίας, αποφασίζει αφού ζητήσει τη γνώμη του ΥΠΔ και του ΣΠΔ (181). Ο ΥΠΔ έχει αναπτύξει «σημεία αναφοράς για την επάρκεια» όπου καθορίζονται τα κριτήρια για τις αποφάσεις επάρκειας (182). Ειδικότερα, το νομικό πλαίσιο της τρίτης χώρας ή του διεθνούς οργανισμού πρέπει συγκεκριμένα να προβλέπει βασικές αρχές προστασίας των δεδομένων, δικαιώματα για τα υποκείμενα των δεδομένων, κανόνες για τις περαιτέρω διαβιβάσεις, διαδικαστικούς μηχανισμούς και μηχανισμούς επιβολής, καθώς και μέσα προσφυγής για τα πρόσωπα. Εάν ο πρόεδρος εκδώσει απόφαση επάρκειας, η διαβίβαση μπορεί να πραγματοποιηθεί χωρίς την εφαρμογή πρόσθετων εγγυήσεων (183). Ο ΕΟΔΕ θεωρεί ότι τα κράτη μέλη, καθώς και η Ισλανδία, το Λιχτενστάιν, η Νορβηγία, όλες οι χώρες που επωφελούνται από απόφαση επάρκειας της Επιτροπής (184), καθώς και τα θεσμικά όργανα και οι οργανισμοί της Ένωσης επί του παρόντος παρέχουν επαρκές επίπεδο προστασίας (185).

(70)

Σύμφωνα με τους ΚΠΔ, ελλείψει απόφασης επάρκειας, ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία μπορεί να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε αποδέκτες εκτός του ΕΟΔΕ μόνον εάν ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία έχει παράσχει κατάλληλες εγγυήσεις και υπό την προϋπόθεση ότι υφίστανται εκτελεστά δικαιώματα και αποτελεσματικά ένδικα μέσα για τα υποκείμενα των δεδομένων (186). Οι εν λόγω κατάλληλες εγγυήσεις μπορούν να περιλαμβάνονται σε διοικητικές ρυθμίσεις με δημόσιες αρχές ή διεθνείς οργανισμούς, σε συμβατικές ρήτρες (αφού ζητηθεί η γνώμη του ΣΠΔ) (187) ή σε μηχανισμούς πιστοποίησης (188). Ο ΥΠΔ έχει αναπτύξει μια συνοπτική παρουσίαση των διατάξεων που πρέπει να περιλαμβάνονται στις διοικητικές ρυθμίσεις (189). Διατίθεται επίσης υπόδειγμα συμφωνίας για την προστασία των δεδομένων όσον αφορά τις διαβιβάσεις σε εκτελούντες την επεξεργασία (190). Σύμφωνα με τις κατευθυντήριες γραμμές του ΥΠΔ, ο ΕΟΔΕ πρέπει να αξιολογεί αν ο εισαγωγέας δεδομένων εμποδίζεται να συμμορφωθεί με τις υποχρεώσεις που υπέχει βάσει εργαλείου διαβίβασης λόγω του νομικού πλαισίου στο οποίο υπόκειται και, εάν είναι αναγκαίο, να θεσπίζει συμπληρωματικά μέτρα (191). Για τη διενέργεια της εν λόγω αξιολόγησης, στα επεξηγηματικά σημειώματα του ΕΟΔΕ για τη μεταφορά και τη διαβίβαση δεδομένων προσωπικού χαρακτήρα, ο ΥΠΔ συνιστά να λαμβάνονται υπόψη οι σχετικές κατευθυντήριες γραμμές του ΕΣΠΔ και του Ευρωπαίου Επόπτη Προστασίας Δεδομένων (192).

(71)

Σύμφωνα με τους ΚΠΔ, για τις διαβιβάσεις δεδομένων σε χώρες ή οργανισμούς που επωφελούνται από απόφαση επάρκειας, καθώς και για τις διαβιβάσεις δεδομένων βάσει κατάλληλων εγγυήσεων, ο ΕΟΔΕ πρέπει να αποδεικνύει την αναγκαιότητα και την αναλογικότητα κάθε διαβίβασης ως προς τον σκοπό της επεξεργασίας (193). Επιπλέον, ο ΕΟΔΕ πρέπει να αποδεικνύει, αφού σταθμίσει τα διάφορα συμφέροντα που διακυβεύονται, ότι η διαβίβαση είναι αναλογική, εάν υπάρχει λόγος να θεωρηθεί ότι μπορούν να θιγούν τα έννομα συμφέροντα των υποκειμένων των δεδομένων (194). Επιπροσθέτως, πρέπει να διασφαλίζεται (μέσω συμβατικών εγγυήσεων) ότι ο αποδέκτης μπορεί να επεξεργάζεται ή να χρησιμοποιεί τα δεδομένα μόνο για τους σκοπούς για τους οποίους διαβιβάζονται και πρέπει να τα διαγράφει μόλις ο σκοπός επιτυγχάνεται (195).

(72)

Σύμφωνα με τους ΚΠΔ, ελλείψει απόφασης επάρκειας ή κατάλληλων εγγυήσεων, η διαβίβαση δεδομένων προσωπικού χαρακτήρα εκτός του ΕΟΔΕ επιτρέπεται «μόνο κατ’ εξαίρεση», εάν η αποκαλούμενη «παρέκκλιση» εφαρμόζεται υπό προϋποθέσεις παρόμοιες με εκείνες των αντίστοιχων διατάξεων του δικαίου της Ένωσης για την προστασία των δεδομένων (196). Αυτό συμβαίνει όταν α) το υποκείμενο των δεδομένων έχει συγκατατεθεί ρητά στη διαβίβαση (197)· β) και γ) η διαβίβαση είναι περιστασιακή και απαραίτητη για την εκτέλεση σύμβασης με το ίδιο το υποκείμενο των δεδομένων ή προς το συμφέρον του (ή για την εφαρμογή προσυμβατικών μέτρων κατόπιν αιτήματος του υποκειμένου των δεδομένων) (198)· δ) η διαβίβαση είναι απαραίτητη για την εκτέλεση καθήκοντος κατά την άσκηση των επίσημων δραστηριοτήτων του ΕΟΔΕ ή κατά τη νόμιμη άσκηση της δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας (199)· ε) η διαβίβαση είναι περιστασιακή και απαραίτητη για τη θεμελίωση, την άσκηση ή την υποστήριξη νομικών αξιώσεων (200)· στ) η διαβίβαση είναι απαραίτητη για την προστασία των ζωτικών συμφερόντων ενός προσώπου, όταν το υποκείμενο των δεδομένων δεν έχει τη φυσική ή νομική ικανότητα να παράσχει τη ρητή συγκατάθεσή του (201)· ή ζ) η διαβίβαση πραγματοποιείται από μητρώο το οποίο προορίζεται για την παροχή πληροφοριών στο κοινό και είναι ανοικτό για αναζήτηση πληροφοριών είτε στο ευρύ κοινό είτε σε οποιοδήποτε πρόσωπο μπορεί να επικαλεστεί έννομο συμφέρον, εφόσον πληρούνται στην εκάστοτε περίπτωση οι προϋποθέσεις που προβλέπονται για την αναζήτηση πληροφοριών (202). Οι παρεκκλίσεις αυτές, από τη φύση τους και σύμφωνα με τις κατευθυντήριες γραμμές του ΥΠΔ, δεν μπορούν να χρησιμοποιούνται για συστηματικές, τακτικές διαβιβάσεις (203).

(73)

Τέλος, όσον αφορά τις διαβιβάσεις ειδικών κατηγοριών δεδομένων σε χώρες ή οργανισμούς που δεν επωφελούνται από απόφαση επάρκειας, ο πρόεδρος μπορεί να περιορίσει περαιτέρω τις εν λόγω διαβιβάσεις για σημαντικούς λόγους που σχετίζονται με τη νόμιμη άσκηση της δημόσιας εξουσίας που έχει ανατεθεί στο Γραφείο (204). Μέχρι στιγμής, ο πρόεδρος δεν έχει κάνει χρήση αυτής της εξουσίας.

(74)

Βάσει της αρχής της λογοδοσίας, οι οντότητες που επεξεργάζονται δεδομένα πρέπει να εφαρμόζουν τα κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να συμμορφώνονται ουσιαστικά με τις υποχρεώσεις τους όσον αφορά την προστασία των δεδομένων και να είναι σε θέση να αποδεικνύουν τη συμμόρφωσή τους, ιδίως στην αρμόδια εποπτική αρχή.

(75)

Στο άρθρο 4 παράγραφος 1 των ΚΠΔ θεσπίζεται η γενική αρχή της λογοδοσίας και διευκρινίζεται ότι ο υπεύθυνος επεξεργασίας φέρει την ευθύνη της συμμόρφωσης με τους ΚΠΔ και πρέπει να είναι σε θέση να αποδείξει την εν λόγω συμμόρφωση. Ειδικότερα, ο υπεύθυνος επεξεργασίας πρέπει να εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα ώστε να διασφαλίζει και να είναι σε θέση να αποδεικνύει τη συμμόρφωση, λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τις διαφορές ως προς την πιθανότητα επέλευσης και τη σοβαρότητα των τυχόν κινδύνων για τα δικαιώματα των προσώπων (205). Στο πλαίσιο αυτό, δυνάμει των ΚΠΔ, εφαρμόζονται επίσης οι αρχές της προστασίας της ιδιωτικής ζωής ήδη από τον σχεδιασμό και εξ ορισμού, με τη θέσπιση υποχρέωσης του υπευθύνου επεξεργασίας να εφαρμόζει μέτρα που αποσκοπούν στην εφαρμογή των αρχών προστασίας των δεδομένων και στη διασφάλιση της συμμόρφωσης με τους ΚΠΔ, καθώς και να διασφαλίζει ότι, εξ ορισμού, υποβάλλονται σε επεξεργασία μόνο τα δεδομένα προσωπικού χαρακτήρα που είναι απαραίτητα για τον εκάστοτε σκοπό επεξεργασίας (206).

(76)

Ο υπεύθυνος επεξεργασίας και οι εκτελούντες την επεξεργασία πρέπει να τηρούν αρχείο των δραστηριοτήτων επεξεργασίας, το οποίο πρέπει να περιλαμβάνει, μεταξύ άλλων, πληροφορίες σχετικά με τον σκοπό της επεξεργασίας, τις κατηγορίες δεδομένων που υποβάλλονται σε επεξεργασία, τις κατηγορίες αποδεκτών στους οποίους γνωστοποιούνται τα δεδομένα και τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα (207). Τα αρχεία αυτά είναι καταρχήν προσβάσιμα στο κοινό (εκτός εάν περιέχουν εμπιστευτικές πληροφορίες), περιλαμβάνονται σε μητρώο προστασίας δεδομένων διαθέσιμο στο κοινό και πρέπει να τίθενται στη διάθεση του ΣΠΔ κατόπιν αιτήματος (208). Κάθε υπηρεσιακή μονάδα πρέπει επίσης να διορίζει τουλάχιστον έναν σύνδεσμο για την προστασία των δεδομένων (με ανανεώσιμη θητεία ενός έως τριών ετών), ο οποίος πρέπει να υποβάλλεται σε υποχρεωτική κατάρτιση για την προστασία των δεδομένων και να επικουρεί τον υπεύθυνο επεξεργασίας στη συμμόρφωση με τις υποχρεώσεις του (209).

(77)

Τέλος, στους ΚΠΔ προβλέπονται διάφορα μέσα τα οποία μπορούν να βοηθήσουν τον υπεύθυνο επεξεργασίας και τους εκτελούντες την επεξεργασία στις προσπάθειές τους για συμμόρφωση. Για παράδειγμα, σύμφωνα με τους ΚΠΔ, η τήρηση εγκεκριμένων μηχανισμών πιστοποίησης μπορεί να χρησιμεύσει ως απόδειξη της συμμόρφωσης με τις υποχρεώσεις που απορρέουν από τους ΚΠΔ (210). Επιπλέον, υπό ορισμένες προϋποθέσεις, οι ΚΠΔ απαιτούν τη διενέργεια εκτίμησης αντικτύπου σχετικά με την προστασία των δεδομένων ή προηγούμενη διαβούλευση με τον ΥΠΔ και το ΣΠΔ. Η εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων απαιτείται όταν ένα είδος επεξεργασίας ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες ενός προσώπου (211). Για παράδειγμα, απαιτείται όταν υπάρχει συστηματική και εκτενής αξιολόγηση των προσωπικών πτυχών στις οποίες βασίζονται οι αυτοματοποιημένες αποφάσεις ή όταν πραγματοποιείται επεξεργασία ειδικών κατηγοριών δεδομένων σε μεγάλη κλίμακα (212). Εάν από την εκτίμηση αντικτύπου προκύψει ότι η επεξεργασία θα προκαλούσε υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των προσώπων και ότι ο κίνδυνος δεν μπορεί να μετριαστεί με εύλογα μέτρα ασφάλειας, ο υπεύθυνος επεξεργασίας πρέπει να ζητεί τη γνώμη του ΣΠΔ (213). Το ΣΠΔ πρέπει να παρέχει γραπτές συμβουλές εάν θεωρεί ότι η σχεδιαζόμενη επεξεργασία θα συνιστούσε παραβίαση των ΚΠΔ (214). Γενικότερα, ο υπεύθυνος επεξεργασίας υποχρεούται να συμβουλεύεται τον ΥΠΔ κατά την κατάρτιση κανόνων ή υπηρεσιακών εγγράφων σχετικά με την εφαρμογή περιορισμών στα ατομικά δικαιώματα (215).

(78)

Για να είναι εγγυημένη η διασφάλιση επαρκούς επιπέδου προστασίας των δεδομένων στην πράξη, είναι αναγκαία η ύπαρξη ανεξάρτητης εποπτικής αρχής με εξουσίες παρακολούθησης και επιβολής της συμμόρφωσης με τους κανόνες προστασίας των δεδομένων. Η αρχή αυτή θα πρέπει να ενεργεί με πλήρη ανεξαρτησία και αμεροληψία κατά την εκτέλεση των καθηκόντων και την άσκηση των εξουσιών της.

(79)

Στο νομικό πλαίσιο του ΕΟΔΕ, η εποπτεία της συμμόρφωσης με τους κανόνες προστασίας δεδομένων του ΕΟΔΕ ανατίθεται σε δύο φορείς: τον ΥΠΔ και το ΣΠΔ. Και οι δύο φορείς θεσπίστηκαν με το άρθρο 32α του κανονισμού των υπαλλήλων, ενώ το καθεστώς και οι εξουσίες τους προσδιορίζονται περαιτέρω στους ΚΠΔ (216). Οι ρόλοι τους είναι συμπληρωματικοί και περιλαμβάνουν συνεργασία, ενώ κάθε φορέας παραμένει ανεξάρτητος ως προς τα αντίστοιχα καθήκοντά του.

(80)

Σύμφωνα με τον κανονισμό των υπαλλήλων, ο ΥΠΔ και το ΣΠΔ ενεργούν εντελώς ανεξάρτητα από οποιαδήποτε εσωτερική ή εξωτερική παρέμβαση κατά την εκτέλεση των καθηκόντων τους και την άσκηση των εξουσιών τους (217). Η αρχή αυτή συμπληρώνεται από διάφορες πρόσθετες εγγυήσεις που εγγυώνται την ανεξαρτησία τους.

(81)

Ο ΥΠΔ (και οι αναπληρωτές του) διορίζονται από τον πρόεδρο βάσει των επαγγελματικών τους προσόντων και, ιδίως, της εμπειρογνωσίας που διαθέτουν στον τομέα του δικαίου και των πρακτικών περί προστασίας δεδομένων (218). Ο ΥΠΔ διορίζεται για ανανεώσιμη θητεία τριών έως πέντε ετών. Πριν από κάθε προτεινόμενη απομάκρυνση από τα καθήκοντά του ή απόλυση του ΥΠΔ, θα πρέπει να ζητείται η γνώμη του ΣΠΔ (219). Η διαβούλευση αυτή πριν από την απομάκρυνση ή την απόλυση του ΥΠΔ αποσκοπεί στην εξασφάλιση πρόσθετου ελέγχου και επανεξέτασης σε περίπτωση προτεινόμενης απομάκρυνσης ή απόλυσης. Η εν λόγω απομάκρυνση ή απόλυση μπορεί να προταθεί για έναν από τους ακόλουθους λόγους (220): όταν ο ΥΠΔ δεν πληροί πλέον τις προϋποθέσεις που απαιτούνται για την άσκηση των καθηκόντων του (221)· για επαγγελματική ανεπάρκεια (222)· ή ως αποτέλεσμα πειθαρχικών μέτρων (223). Επίσης σύμφωνα με τους ΚΠΔ, ο ΥΠΔ δεν μπορεί να απολυθεί ή να υποστεί κυρώσεις για την εκτέλεση των καθηκόντων του και δεν πρέπει να λαμβάνει εντολές (224). Ο ΥΠΔ πρέπει να συμμετέχει σε όλα τα θέματα που αφορούν την προστασία των δεδομένων προσωπικού χαρακτήρα και να εκδίδει ετήσιες εκθέσεις δραστηριοτήτων προς τον πρόεδρο και το Διοικητικό Συμβούλιο (225). Το Γραφείο πρέπει να παρέχει στον ΥΠΔ τους απαραίτητους πόρους για την εκτέλεση των καθηκόντων του (226).

(82)

Το ΣΠΔ απαρτίζεται από τρεις εξωτερικούς εμπειρογνώμονες στον τομέα της προστασίας των δεδομένων, συγκεκριμένα, έναν πρόεδρο και δύο άλλα μέλη (227), καθώς και από ένα αναπληρωματικό μέλος, που διορίζονται από τον πρόεδρο του ΕΟΔΕ για ανανεώσιμη θητεία τριών ετών (228). Τα μέλη του ΣΠΔ πρέπει να διαθέτουν τα προσόντα που απαιτούνται για διορισμό σε δικαστικό αξίωμα ή να είναι επαγγελματίες στον τομέα της προστασίας δεδομένων με αποδεδειγμένη εμπειρογνωσία και πείρα στον τομέα του δικαίου προστασίας δεδομένων σε εθνικό ή διεθνές επίπεδο. Δεν μπορούν να είναι υπάλληλοι του ΕΟΔΕ ή να έχουν απασχοληθεί σε αυτόν κατά την τελευταία δεκαετία (229). Σύμφωνα με το άρθρο 48 παράγραφος 6 των ΚΠΔ, τα μέλη του ΣΠΔ ασκούν τα καθήκοντά τους με πλήρη ανεξαρτησία. Ειδικότερα, τα μέλη του ΣΠΔ δεν μπορούν να ζητούν οδηγίες από το Γραφείο ή το Διοικητικό Συμβούλιο και δεν μπορούν να δεσμεύονται από τις εν λόγω οδηγίες. Ο εσωτερικός κανονισμός του ΣΠΔ προβλέπει επίσης ότι αυτό πρέπει να ενεργεί αμερόληπτα και με πλήρη ανεξαρτησία κατά την εκτέλεση των καθηκόντων του (230). Επιπλέον, ο ΕΟΔΕ μπορεί να παύσει τα μέλη του ΣΠΔ από τη θέση τους μόνο για σοβαρό λόγο (231). Τα μέλη του ΣΠΔ δεσμεύονται από υποχρέωση τήρησης εμπιστευτικότητας (232) και δεν πρέπει να λαμβάνουν θέση σε περίπτωση σύγκρουσης συμφερόντων, ιδίως όσον αφορά προσωπικό συμφέρον (233). Ο ΕΟΔΕ υποχρεούται να στηρίζει το ΣΠΔ κατά την εκτέλεση των καθηκόντων του, παρέχοντάς του τους αναγκαίους πόρους, καθώς και νομική και διοικητική υποστήριξη (μέσω γραμματείας και παρέχοντας στο ΣΠΔ πρόσβαση σε δεδομένα προσωπικού χαρακτήρα και σε πράξεις επεξεργασίας) (234).

(83)

Στα καθήκοντα του ΥΠΔ περιλαμβάνονται τα εξής: να ενημερώνει τον υπεύθυνο επεξεργασίας ή τους εκτελούντες την επεξεργασία σχετικά με τις υποχρεώσεις τους και να τους συμβουλεύει αναλόγως· να ενισχύει την ευαισθητοποίηση των υπαλλήλων που συμμετέχουν στις πράξεις επεξεργασίας και να τους παρέχει κατάρτιση· να διασφαλίζει ότι τα υποκείμενα των δεδομένων ενημερώνονται όσον αφορά τα δικαιώματά τους στο πλαίσιο των ΚΠΔ· και να παρακολουθεί με ανεξάρτητο τρόπο την εσωτερική εφαρμογή και συμμόρφωση με τους ΚΠΔ, καθώς και με άλλες νομικές διατάξεις του ΕΟΔΕ οι οποίες έχουν επιπτώσεις στην προστασία των δεδομένων (235). Τα υποκείμενα των δεδομένων μπορούν να επικοινωνούν με τον ΥΠΔ για κάθε θέμα που αφορά την επεξεργασία των δεδομένων τους ή την άσκηση των δικαιωμάτων τους (236), ενώ ο υπεύθυνος επεξεργασίας και οι εκτελούντες την επεξεργασία μπορούν να συμβουλεύονται τον ΥΠΔ για κάθε θέμα που αφορά την ερμηνεία και την εφαρμογή των ΚΠΔ (237).

(84)

Στο πλαίσιο του εποπτικού του ρόλου, ο ΥΠΔ έχει την εξουσία να διενεργεί ελέγχους και έρευνες για την προστασία των δεδομένων (238). Ο ΥΠΔ δρομολογεί τους ελέγχους σύμφωνα με ετήσιο σχέδιο ελέγχου το οποίο καταρτίζεται σε διαβούλευση με το ΣΠΔ (239). Ο έλεγχος επικεντρώνεται στην αξιολόγηση των αρχείων, των δηλώσεων και των εγγράφων σχετικά με την προστασία των δεδομένων, για παράδειγμα, στην επαλήθευση της ακρίβειας και της πληρότητας των εγγράφων σχετικά με την προστασία των δεδομένων, της ορθής εφαρμογής των μεθοδολογιών διαχείρισης κινδύνου, της ακρίβειας και της έγκαιρης παροχής των απαντήσεων στα υποκείμενα των δεδομένων και της ορθής διενέργειας και του αριθμού των εκτιμήσεων αντικτύπου σχετικά με την προστασία των δεδομένων (240). Σύμφωνα με τις πληροφορίες που έλαβε η Επιτροπή από τον ΥΠΔ, το 2023 διενεργήθηκαν τρεις έλεγχοι και το 2024 τέσσερις. Ο ΥΠΔ μπορεί να κινεί έρευνα με δική του πρωτοβουλία, βάσει αιτήματος που λαμβάνει από το ΣΠΔ ή από όργανο εντός του ΕΟΔΕ (για παράδειγμα, από τον πρόεδρο ή από εξουσιοδοτημένο υπεύθυνο επεξεργασίας) ή βάσει πληροφοριών που λαμβάνει με άλλο τρόπο (μεταξύ άλλων, για παράδειγμα, από τρίτους φορείς και πρόσωπα) (241). Οι έρευνες που ζητούνται από το ΣΠΔ διεξάγονται από τον ΥΠΔ με ανεξάρτητο τρόπο. Το ΣΠΔ μπορεί να υποβάλει τα σχόλιά του και/ή να ζητήσει συμπληρωματική έρευνα για κάθε ζήτημα που ενδέχεται να προκύψει (242). Οι επιθεωρήσεις επικεντρώνονται στις πράξεις επεξεργασίας ή σε συγκεκριμένες πτυχές τους ή σε περιστατικά που σχετίζονται με αυτές, με σκοπό να διασφαλίζεται ότι η εν λόγω επεξεργασία πληροί τις απαιτήσεις των ΚΠΔ και να εξασφαλίζεται η προστασία των δικαιωμάτων και των ελευθεριών των υποκειμένων των δεδομένων (243).

(85)

Ο ΥΠΔ έχει πρόσβαση σε όλες τις σχετικές πληροφορίες, συμπεριλαμβανομένων των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία, καθώς και στο σύνολο των γραφείων, των εγκαταστάσεων επεξεργασίας δεδομένων και των φορέων δεδομένων (244). Όλοι οι υπάλληλοι και οι υπηρεσιακές μονάδες του ΕΟΔΕ οφείλουν να επικουρούν τον ΥΠΔ κατά την εκτέλεση των καθηκόντων του, μεταξύ άλλων παρέχοντας πρόσβαση στις εγκαταστάσεις και στις σχετικές πληροφορίες (245).

(86)

Κατά την ολοκλήρωση ελέγχου ή έρευνας, ο ΥΠΔ εκδίδει έκθεση στην οποία παρουσιάζει τα πορίσματα και τα συμπεράσματά του, και συνιστά διορθωτικά μέτρα (246). Τα μέτρα αυτά μπορούν, για παράδειγμα, να περιλαμβάνουν μέτρα πρόληψης ή μετριασμού με σκοπό τη βελτίωση της συμμόρφωσης, καθώς και μέτρα για την επανόρθωση της μη συμμόρφωσης (για παράδειγμα, για τη συμμόρφωση της επεξεργασίας με τους ΚΠΔ, τη διεκπεραίωση αιτημάτων των υποκειμένων των δεδομένων για την άσκηση των δικαιωμάτων τους, την αναστολή ή τον τερματισμό μιας επεξεργασίας κ.λπ.) (247). Ο ΥΠΔ μπορεί επίσης να θέσει υπόψη της αρμόδιας για τους διορισμούς αρχής τις περιπτώσεις μη συμμόρφωσης των υπαλλήλων με τους ΚΠΔ και να συστήσει την έναρξη διοικητικής έρευνας για να διαπιστωθεί αν απαιτούνται πειθαρχικά ή άλλα μέτρα (248). Κάθε υπάλληλος που δεν συμμορφώνεται με τους ΚΠΔ, εκ προθέσεως ή εξ αμελείας, μπορεί να υπόκειται σε πειθαρχικές κυρώσεις ή άλλες ενέργειες σύμφωνα με τον κανονισμό των υπαλλήλων (249).

(87)

Το αποτέλεσμα των ελέγχων και των ερευνών πρέπει να κοινοποιείται στο ΣΠΔ (250). Η έκθεση ελέγχου ή έρευνας πρέπει να κοινοποιείται στο ΣΠΔ κατόπιν αιτήματος. Το ΣΠΔ έχει τη δυνατότητα να διατυπώνει παρατηρήσεις σχετικά με την έκθεση του ΥΠΔ, μεταξύ άλλων όσον αφορά τα πορίσματα του ΥΠΔ για το αν έχει σημειωθεί ή όχι παραβίαση των ΚΠΔ και τα προτεινόμενα διορθωτικά μέτρα, και μπορεί να ζητεί τη λήψη πρόσθετων μέτρων έρευνας (251). Εάν ο έλεγχος ή η επιθεώρηση από τον ΥΠΔ καταλήξει στη διαπίστωση μη συμμόρφωσης (δηλαδή παράβασης των ΚΠΔ), η έκθεση του ΥΠΔ πρέπει να υποβληθεί στο ΣΠΔ προς επικύρωση των συμπερασμάτων και των συνιστώμενων διορθωτικών μέτρων. Σε περίπτωση που το ΣΠΔ διαφωνεί με τα συμπεράσματα ή τα συνιστώμενα διορθωτικά μέτρα του ΥΠΔ, κοινοποιεί τις παρατηρήσεις του στον ΥΠΔ, μεταξύ άλλων για την τροποποίηση των προτεινόμενων συμπερασμάτων και των συνιστώμενων διορθωτικών μέτρων, ο οποίος θα πρέπει να τις εφαρμόζει αναλόγως. Τα διορθωτικά μέτρα που έχουν επικυρωθεί από το ΣΠΔ είναι δεσμευτικά έναντι του υπευθύνου επεξεργασίας και των εξουσιοδοτημένων υπευθύνων επεξεργασίας και τα πρόσωπα μπορούν να τα επικαλούνται στο πλαίσιο των μηχανισμών προσφυγής που περιγράφονται στην αιτιολογική σκέψη 95 (252). Ο ΥΠΔ πρέπει να επαληθεύει την εφαρμογή των διορθωτικών μέτρων (καταρχήν έξι μήνες μετά την κοινοποίησή τους) και να υποβάλλει ετήσια έκθεση στον πρόεδρο σχετικά με την πορεία της εφαρμογής τους (253).

(88)

Άλλα καθήκοντα του ΣΠΔ περιλαμβάνουν, εκτός από τον ρόλο του στην επιβολή της συμμόρφωσης με τους ΚΠΔ, την παροχή συμβουλών στον πρόεδρο σχετικά με την έκδοση αποφάσεων επάρκειας, την παροχή συμβουλών στον υπεύθυνο επεξεργασίας όσον αφορά την ανάγκη διενέργειας εκτίμησης αντικτύπου σχετικά με την προστασία των δεδομένων, καθώς και την εξέταση καταγγελιών από πρόσωπα (βλ. αιτιολογικές σκέψεις 92 έως 96) (254).

(89)

Για να διασφαλίζεται επαρκής προστασία και ιδίως η επιβολή των ατομικών δικαιωμάτων, το υποκείμενο των δεδομένων θα πρέπει να έχει στη διάθεσή του αποτελεσματικά μέσα προσφυγής, συμπεριλαμβανομένης της αποζημίωσης.

(90)

Το νομικό πλαίσιο του ΕΟΔΕ παρέχει στα πρόσωπα δυνατότητα προσφυγής μέσω συνδυασμού διαφόρων οδών.

(91)

Πρώτον, τα υποκείμενα των δεδομένων που πιστεύουν ότι η επεξεργασία των δεδομένων τους προσωπικού χαρακτήρα από τον ΕΟΔΕ προσβάλλει τα δικαιώματά τους (δηλαδή παραβαίνει τους ΚΠΔ) μπορούν να υποβάλουν αίτημα επανεξέτασης από τον εξουσιοδοτημένο υπεύθυνο επεξεργασίας σύμφωνα με το άρθρο 49 των ΚΠΔ. Ο εξουσιοδοτημένος υπεύθυνος επεξεργασίας εξετάζει την καταγγελία και λαμβάνει απόφαση (255). Πριν από τη λήψη απόφασης, ο εξουσιοδοτημένος υπεύθυνος επεξεργασίας πρέπει να συμβουλεύεται τον ΥΠΔ, ο οποίος διατυπώνει γραπτή γνώμη το αργότερο εντός δεκαπέντε ημερολογιακών ημερών από την παραλαβή του αιτήματος επανεξέτασης (256). Ο εξουσιοδοτημένος υπεύθυνος επεξεργασίας πρέπει να απαντά στο πρόσωπο εντός ενός μηνός από την ημερομηνία παραλαβής του αιτήματος (257). Η απόφαση πρέπει να κοινοποιείται στο πρόσωπο, μαζί με πληροφορίες σχετικά με τη δυνατότητα εξασφάλισης περαιτέρω επανόρθωσης (258). Εάν ο εξουσιοδοτημένος υπεύθυνος επεξεργασίας δεν προβεί σε καμία ενέργεια εντός τριών μηνών, αυτό θεωρείται σιωπηρή απόρριψη του αιτήματος.

(92)

Δεύτερον, τα πρόσωπα μπορούν να προσβάλουν την απόφαση ή τη σιωπηρή απόρριψη αιτήματος επανεξέτασης από τον εξουσιοδοτημένο υπεύθυνο επεξεργασίας υποβάλλοντας καταγγελία στο ΣΠΔ (259).

(93)

Κατά την εξέταση καταγγελίας, το ΣΠΔ πρέπει να καλεί το υποκείμενο των δεδομένων, τον υπεύθυνο επεξεργασίας και, κατά περίπτωση, τον εκτελούντα την επεξεργασία να εκθέσουν γραπτώς τη θέση τους ως προς τους επίμαχους ισχυρισμούς και τα σχετικά πραγματικά περιστατικά και να παράσχουν αποδεικτικά στοιχεία ή παρατηρήσεις και επιχειρήματα σχετικά με τα διαθέσιμα αποδεικτικά στοιχεία (260). Στο πλαίσιο αυτό, το ΣΠΔ μπορεί να ζητήσει από τα μέρη κάθε πληροφορία που χρειάζεται για τον χειρισμό της καταγγελίας και μπορεί, επιπλέον, να λάβει περαιτέρω πληροφορίες μέσω του ΥΠΔ (261). Κατά τη λήψη απόφασης σχετικά με την ανάγκη να δοθεί συνέχεια σε μια καταγγελία, το ΣΠΔ πρέπει να λαμβάνει υπόψη, μεταξύ άλλων, τη φύση και τη βαρύτητα της εικαζόμενης παράβασης, τον αριθμό των υποκειμένων των δεδομένων που θίγονται, τις κατηγορίες δεδομένων που επηρεάζονται και τη διάρκεια της παράβασης (262). Το ΣΠΔ μπορεί να καλέσει τα μέρη να επιδιώξουν φιλικό διακανονισμό, ενώ ενθαρρύνει και διευκολύνει ενεργά αυτούς τους διακανονισμούς (263). Ο καταγγέλλων μπορεί επίσης να ζητήσει από το ΣΠΔ να εφαρμόσει επείγουσα διαδικασία, για λόγους βαρύτητας της εικαζόμενης παράβασης ή λόγω της σοβαρότητας του κινδύνου που διατρέχουν τα δικαιώματα των προσώπων (264).

(94)

Μετά την εξέταση της καταγγελίας, το ΣΠΔ εκδίδει αιτιολογημένη γνώμη προς τον υπεύθυνο επεξεργασίας, η οποία θα πρέπει να περιλαμβάνει έκθεση των πραγματικών περιστατικών, τα κύρια επιχειρήματα των μερών, τις εκτιμήσεις και τις συστάσεις του ΣΠΔ (265). Σε περίπτωση επείγουσας διαδικασίας, το ΣΠΔ πρέπει να εκδίδει επισήμως αιτιολογημένη γνώμη εντός δύο μηνών από την κατάθεση της καταγγελίας (266). Στην αιτιολογημένη γνώμη του, το ΣΠΔ μπορεί να διατυπώνει τυχόν συστάσεις που κρίνει αναγκαίες, συμπεριλαμβανομένων ασφαλιστικών μέτρων (για παράδειγμα, τον τερματισμό της παράνομης επεξεργασίας δεδομένων, τη διαγραφή δεδομένων που υποβλήθηκαν σε επεξεργασία παράνομα) και αποζημίωσης για υλική ή μη υλική ζημία (267). Η αιτιολογημένη γνώμη πρέπει να κοινοποιείται στο υποκείμενο των δεδομένων και στον υπεύθυνο επεξεργασίας (δηλαδή στον πρόεδρο του Γραφείου, στον πρόεδρο των συμβουλίων προσφυγών, στον πρόεδρο του Διοικητικού Συμβουλίου ή στον πρόεδρο της Ειδικής Επιτροπής, ανάλογα με το αν η καταγγελία αφορά το Γραφείο, τα συμβούλια προσφυγών, το Συμβούλιο ή την Ειδική Επιτροπή). Στη συνέχεια, ο υπεύθυνος επεξεργασίας λαμβάνει οριστική δεσμευτική απόφαση, μετά την αιτιολογημένη γνώμη του ΣΠΔ (268). Η οριστική απόφαση κοινοποιείται στο υποκείμενο των δεδομένων, στο ΣΠΔ και στον ΥΠΔ (269). Εάν ο υπεύθυνος επεξεργασίας αποφασίσει να μην ακολουθήσει μία ή περισσότερες πτυχές της αιτιολογημένης γνώμης, εξηγεί εγγράφως στην απόφασή του (270).

(95)

Το υποκείμενο των δεδομένων που δεν είναι ικανοποιημένο με την απόφαση του υπευθύνου επεξεργασίας μπορεί να ασκήσει περαιτέρω προσφυγή και να επικαλεστεί την αιτιολογημένη γνώμη του ΣΠΔ στην προσφυγή του. Οι υπάλληλοι του ΕΟΔΕ μπορούν να προσβάλουν την απόφαση ενώπιον του Διοικητικού Δικαστηρίου της Διεθνούς Οργάνωσης Εργασίας (271). Κάθε άλλο υποκείμενο των δεδομένων που διαφωνεί με την απόφαση του υπευθύνου επεξεργασίας μπορεί, εντός τριών μηνών από την παραλαβή της απόφασης, να υποβάλει αίτημα στον πρόεδρο για ad hoc διαιτησία (272). Στους ΚΠΔ προβλέπεται ειδική διαδικασία η οποία πρέπει να ακολουθείται σε περίπτωση ad hoc διαιτησίας (273). Ειδικότερα, εντός τριών μηνών από την παραλαβή του αιτήματος του υποκειμένου των δεδομένων, ο γενικός γραμματέας του Μόνιμου Διαιτητικού Δικαστηρίου πρέπει να ορίσει έναν διαιτητή βάσει των κριτηρίων που καθορίζονται στους ΚΠΔ (274). Ο διαιτητής πρέπει να είναι νομικός, να διαθέτει άδεια άσκησης του νομικού επαγγέλματος σε ένα από τα συμβαλλόμενα κράτη του ΕΟΔΕ, να είναι σε θέση να αποδείξει συναφή εμπειρογνωσία σε θέματα προστασίας δεδομένων και να γνωρίζει το δίκαιο που διέπει τους διεθνείς οργανισμούς (275). Εκτός από την πλήρωση των εν λόγω κριτηρίων, μπορούν να διορίζονται μόνο πρόσωπα που δεν έχουν υπάρξει εργαζόμενοι ή στην υπηρεσία του ΕΟΔΕ ή του υποκειμένου των δεδομένων. Στους ΚΠΔ προβλέπεται ότι ο διαιτητής πρέπει να ενεργεί ανεξάρτητα και αμερόληπτα (276), να αντιμετωπίζει όλα τα μέρη ισότιμα και να τους παρέχει τη δυνατότητα να εκθέσουν τις απόψεις τους σε κάθε στάδιο της διαδικασίας (277). Η διαιτητική διαδικασία δεν είναι δημόσια (278) και διέπεται από τη ΣΕΔΕ, τους ΚΠΔ, συμπεριλαμβανομένων των εκτελεστικών διατάξεων, τη νομοθεσία για τους διεθνείς οργανισμούς και τις αρχές του δημόσιου διεθνούς δικαίου (279). Ενώ κάθε μέρος πρέπει να φέρει τα δικά του έξοδα και δαπάνες νομικής εκπροσώπησης (εκτός εάν ο διαιτητής αποφασίσει διαφορετικά), η αμοιβή και τα έξοδα του διαιτητή, τα έξοδα τυχόν πραγματογνωμόνων και μαρτύρων καταβάλλονται από τον ΕΟΔΕ (280). Ο συμβιβασμός πρέπει να έχει τη μορφή γραπτής διαιτητικής απόφασης με συμφωνηθείσα διατύπωση, η οποία είναι οριστική και δεσμευτική (281).

(96)

Κάθε πρόσωπο που υπέστη ζημία ως αποτέλεσμα παράβασης των ΚΠΔ μπορεί να ζητήσει αποζημίωση από τον ΕΟΔΕ κάνοντας χρήση των διαδικασιών που περιγράφονται στις αιτιολογικές σκέψεις 91 έως 95 (282). Ο ΕΟΔΕ απαλλάσσεται από την ευθύνη εάν αποδείξει ότι δεν ευθύνεται για το ζημιογόνο γεγονός.

(97)

Το νομικό πλαίσιο βάσει του οποίου ο ΕΟΔΕ αξιολογεί και ανταποκρίνεται σε αιτήματα δημόσιων αρχών —στα συμβαλλόμενα κράτη και σε τρίτες χώρες— σχετικά με δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία από τον ΕΟΔΕ απορρέει από το πρωτόκολλο του ΕΟΔΕ για τα προνόμια και τις ασυλίες (στο εξής: ΠΠΑ) (283), τις απαιτήσεις των ΚΠΔ σχετικά με τις μεταφορές και τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα και το δημόσιο διεθνές δίκαιο.

(98)

Πρώτον, η επεξεργασία δεδομένων προσωπικού χαρακτήρα από τον ΕΟΔΕ για τους σκοπούς των επίσημων δραστηριοτήτων του καλύπτεται από τις ασυλίες του Οργανισμού. Οι ασυλίες του ΕΟΔΕ συμπληρώνονται από καθήκον συνεργασίας το οποίο προβλέπεται στο άρθρο 20 του ΠΠΑ. Κατά συνέπεια, κάθε αίτημα δημόσιας αρχής συμβαλλόμενου κράτους να λάβει δεδομένα που υποβάλλονται σε επεξεργασία από τον ΕΟΔΕ αξιολογείται από τον πρόεδρο σύμφωνα με το άρθρο 20 παράγραφος 1 του ΠΠΑ, όπου προβλέπεται ότι ο Οργανισμός «συνεργάζεται συνέχεια με τις αρμόδιες αρχές των συμβαλλόμενων κρατών για να διευκολύνει την ορθή απονομή της δικαιοσύνης, να εξασφαλίσει την τήρηση των αστυνομικών διατάξεων και των διατάξεων που αφορούν τη δημόσια υγεία, την εποπτεία της εργασίας ή άλλων εθνικών νόμων ανάλογης φύσης, καθώς και για να εμποδίσει τις καταχρήσεις των προνομίων, των ασυλιών και των διευκολύνσεων που προβλέπονται στο πρωτόκολλο αυτό». Κατ’ εξαίρεση, ο Οργανισμός μπορεί να παραιτηθεί από τα προνόμια της ετεροδικίας και της μη υπαγωγής σε διαδικασία αναγκαστικής εκτέλεσης (284). Κατά τη λήψη απόφασης σχετικά με αίτημα συνεργασίας, ο πρόεδρος ασκεί διακριτική ευχέρεια, εξετάζοντας τη συμμόρφωση του αιτήματος με το νομικό πλαίσιο του οργανισμού (285). Το συμπέρασμα ενδέχεται να είναι ότι το Γραφείο μπορεί να ανταποκριθεί σε αίτημα βάσει του ΠΠΑ και να κοινοποιήσει δεδομένα προσωπικού χαρακτήρα μόνο σύμφωνα με τις απαιτήσεις για τις μεταφορές δεδομένων που προβλέπονται στους ΚΠΔ (βλ. αιτιολογικές σκέψεις 62 έως 67). Σύμφωνα με τους ΚΠΔ, ο αποδέκτης πρέπει να προσκομίσει στοιχεία που να αποδεικνύουν ότι είναι απαραίτητη η μεταφορά των δεδομένων για συγκεκριμένο σκοπό ο οποίος απορρέει από τις υποχρεώσεις συνεργασίας του ΕΟΔΕ με το συμβαλλόμενο κράτος ή τα συμβαλλόμενα κράτη (286). Για κάθε μεταφορά, ο υπεύθυνος επεξεργασίας πρέπει να μπορεί να αποδείξει ότι αυτή είναι αναγκαία και αναλογική προς τον συγκεκριμένο σκοπό για τον οποίο πραγματοποιείται (287). Κάθε μεταφορά δεδομένων πρέπει να πραγματοποιείται κατά τρόπο που να διασφαλίζει τη διατήρηση του επιπέδου προστασίας που παρέχουν οι ΚΠΔ (288). Σύμφωνα με τις κατευθυντήριες γραμμές που εξέδωσε ο ΥΠΔ, αυτό σημαίνει ότι θα πρέπει να θεσπιστούν κατάλληλες διασφαλίσεις, μεταξύ άλλων με την εξασφάλιση ότι τα προς κοινοποίηση δεδομένα πρέπει να ελαχιστοποιούνται και να περιορίζονται σε ό,τι είναι κατάλληλο, συναφές και απολύτως αναγκαίο για την επίτευξη του εν λόγω σκοπού (289). Εάν υπάρχει λόγος να υποτεθεί ότι μπορούν να θιγούν τα δικαιώματα και οι ελευθερίες του ενδιαφερόμενου προσώπου, ο υπεύθυνος επεξεργασίας πρέπει να αποδείξει ότι είναι αναλογική η μεταφορά των δεδομένων προσωπικού χαρακτήρα προς τον συγκεκριμένο σκοπό, αφού σταθμίσει τα διάφορα συμφέροντα που διακυβεύονται (290).

(99)

Δεύτερον, δεν υπάρχει νομική πράξη εφαρμοστέα στον ΕΟΔΕ με την οποία να ρυθμίζεται επακριβώς η διεκπεραίωση αιτημάτων από δημόσιες αρχές τρίτων χωρών (δηλαδή χωρών που δεν είναι συμβαλλόμενα μέρη του ΕΟΔΕ) για τη λήψη δεδομένων που υποβάλλονται σε επεξεργασία από τον ΕΟΔΕ. Ως εκ τούτου, οποιαδήποτε κοινοποίηση ως ανταπόκριση σε τέτοιου είδους αίτημα μπορεί να πραγματοποιηθεί μόνον εφόσον πληρούνται οι απαιτήσεις για τις διεθνείς διαβιβάσεις δεδομένων βάσει των ΚΠΔ (όπως περιγράφεται στις αιτιολογικές σκέψεις 68 έως 73). Αυτό συμβαίνει μόνο στην περίπτωση που έχει εκδοθεί απόφαση επάρκειας για την ενδιαφερόμενη χώρα η οποία καλύπτει τη διαβίβαση, υπάρχουν κατάλληλες εγγυήσεις ή εφαρμόζεται παρέκκλιση.

(100)

Η συμμόρφωση του προέδρου με το ΠΠΑ, συμπεριλαμβανομένου του τρόπου με τον οποίο αντιμετωπίστηκαν αιτήματα συνεργασίας δημόσιων αρχών, υπόκειται στην εποπτεία του Διοικητικού Συμβουλίου, ενώ η συμμόρφωση με τις απαιτήσεις των ΚΠΔ σχετικά με τις μεταφορές και τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα υπόκειται στην εποπτεία του ΥΠΔ και του ΣΠΔ, όπως περιγράφεται στις αιτιολογικές σκέψεις 84 έως 88. Τα πρόσωπα μπορούν να χρησιμοποιούν τα μέσα προσφυγής που περιγράφονται στις αιτιολογικές σκέψεις 90 έως 96 σχετικά με τις μεταφορές ή τις διαβιβάσεις των προσωπικών τους δεδομένων κατά παράβαση των ΚΠΔ.

(101)

Η Επιτροπή θεωρεί ότι ο ΕΟΔΕ διασφαλίζει επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται από την Ένωση το οποίο είναι ουσιωδώς ισοδύναμο με εκείνο που εγγυάται ο κανονισμός (ΕΕ) 2016/679.

(102)

Βάσει των διαπιστώσεων της παρούσας απόφασης, θα πρέπει να αποφασιστεί ότι ο ΕΟΔΕ διασφαλίζει επαρκές επίπεδο προστασίας, κατά την έννοια του άρθρου 45 του κανονισμού (ΕΕ) 2016/679, όπως ερμηνεύεται υπό το πρίσμα του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, για τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ένωση στον ΕΟΔΕ.

(103)

Τα κράτη μέλη και τα όργανά τους υποχρεούνται να λαμβάνουν τα αναγκαία μέτρα προκειμένου να συμμορφώνονται με τις πράξεις των θεσμικών οργάνων της Ένωσης, καθώς αυτές τεκμαίρονται νόμιμες και, ως εκ τούτου, παράγουν έννομα αποτελέσματα έως ότου τυχόν ανακληθούν, ακυρωθούν κατόπιν προσφυγής ακύρωσης ή κριθούν ανίσχυρες κατόπιν προδικαστικής παραπομπής ή κατόπιν ένστασης έλλειψης νομιμότητας.

(104)

Κατά συνέπεια, η απόφαση επάρκειας που εκδίδεται από την Επιτροπή βάσει του άρθρου 45 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679 είναι δεσμευτική για όλα τα όργανα των κρατών μελών στα οποία απευθύνεται, συμπεριλαμβανομένων των ανεξάρτητων εποπτικών αρχών τους. Ειδικότερα, οι διαβιβάσεις από υπεύθυνο επεξεργασίας ή εκτελούντα την επεξεργασία στην Ένωση προς τον ΕΟΔΕ μπορούν να πραγματοποιούνται χωρίς να απαιτείται περαιτέρω άδεια.

(105)

Θα πρέπει να υπενθυμιστεί ότι, σύμφωνα με το άρθρο 58 παράγραφος 5 του κανονισμού (ΕΕ) 2016/679 και όπως εξήγησε το ΔΕΕ στην υπόθεση C-362/14 (291), όταν μια εθνική αρχή προστασίας των δεδομένων αμφισβητεί, μεταξύ άλλων κατόπιν καταγγελίας, τη συμβατότητα απόφασης επάρκειας που έχει εκδώσει η Επιτροπή με τα θεμελιώδη δικαιώματα του προσώπου στην προστασία της ιδιωτικής ζωής και των δεδομένων, το εθνικό δίκαιο πρέπει να της παρέχει μέσα ένδικης προστασίας ώστε να μπορεί να προβάλει τις αιτιάσεις αυτές ενώπιον εθνικού δικαστηρίου, το οποίο μπορεί να χρειαστεί να υποβάλει προδικαστικό ερώτημα στο Δικαστήριο της Ευρωπαϊκής Ένωσης.

(106)

Σύμφωνα με τη νομολογία του Δικαστηρίου και με το άρθρο 45 παράγραφος 4 του κανονισμού (ΕΕ) 2016/679, η Επιτροπή θα πρέπει να παρακολουθεί σε συνεχή βάση τις σχετικές εξελίξεις στην τρίτη χώρα ή στον διεθνή οργανισμό μετά την έκδοση απόφασης επάρκειας, προκειμένου να αξιολογεί αν εξακολουθεί να διασφαλίζει ουσιωδώς ισοδύναμο επίπεδο προστασίας. Ο έλεγχος αυτός είναι, σε κάθε περίπτωση, επιβεβλημένος, όταν περιέρχονται στην Επιτροπή πληροφορίες που προκαλούν δικαιολογημένες αμφιβολίες ως προς το ζήτημα αυτό.

(107)

Κατά συνέπεια, η Επιτροπή θα πρέπει να παρακολουθεί σε συνεχή βάση την κατάσταση όσον αφορά το νομικό πλαίσιο και την εφαρμοζόμενη πρακτική του ΕΟΔΕ για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που αξιολογούνται στην παρούσα απόφαση. Ο ΕΟΔΕ, προκειμένου να διευκολύνει αυτήν τη διαδικασία, καλείται να ενημερώνει την Επιτροπή για τις ουσιώδεις εξελίξεις που έχουν σημασία για την παρούσα απόφαση, όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και τους περιορισμούς και τις εγγυήσεις που ισχύουν για την πρόσβαση των δημόσιων αρχών στα δεδομένα προσωπικού χαρακτήρα.

(108)

Επιπλέον, για να μπορεί η Επιτροπή να εκτελέσει με αποτελεσματικότητα το καθήκον της παρακολούθησης, τα κράτη μέλη θα πρέπει να ενημερώνουν την Επιτροπή για κάθε συναφή δράση των εθνικών αρχών προστασίας δεδομένων, ιδίως σε σχέση με ερωτήσεις ή καταγγελίες από υποκείμενα των δεδομένων της Ένωσης σχετικά με τη διαβίβαση δεδομένων προσωπικού χαρακτήρα από την Ένωση στον ΕΟΔΕ.

(109)

Κατ’ εφαρμογή του άρθρου 45 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679, και με δεδομένο ότι μπορεί να επέλθουν μεταβολές στο επίπεδο προστασίας που παρέχει το νομικό πλαίσιο του ΕΟΔΕ, μετά την έκδοση της παρούσας απόφασης, η Επιτροπή θα πρέπει κατά διαστήματα να επανεξετάζει αν οι διαπιστώσεις σχετικά με την επάρκεια του επιπέδου προστασίας που εγγυάται ο ΕΟΔΕ εξακολουθούν να είναι βάσιμες ενόψει των πραγματικών και νομικών συνθηκών. Οι αξιολογήσεις αυτές θα πρέπει να πραγματοποιούνται τουλάχιστον ανά τετραετία και να καλύπτουν όλες τις πτυχές της λειτουργίας της παρούσας απόφασης, συμπεριλαμβανομένης της λειτουργίας των σχετικών μηχανισμών εποπτείας και επιβολής.

(110)

Για τη διενέργεια της επανεξέτασης, η Επιτροπή θα πρέπει να πραγματοποιεί συνάντηση με τον ΕΟΔΕ, συμπεριλαμβανομένων του ΥΠΔ του και του ΣΠΔ. Η συμμετοχή στη συνάντηση αυτή θα πρέπει να είναι ανοικτή στους εκπροσώπους των μελών του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων. Στο πλαίσιο της επανεξέτασης, η Επιτροπή θα πρέπει να ζητεί από τον ΕΟΔΕ να παρέχει ολοκληρωμένη πληροφόρηση για όλες τις πτυχές που σχετίζονται με τη διαπίστωση της επάρκειας. Η Επιτροπή θα πρέπει επίσης να ζητεί εξηγήσεις σχετικά με τυχόν πληροφορίες συναφείς με την παρούσα απόφαση τις οποίες έχει λάβει, μεταξύ άλλων από το ΕΣΠΔ, από επιμέρους αρχές προστασίας δεδομένων, ομάδες της κοινωνίας των πολιτών, δημόσιες εκθέσεις ή δημοσιεύματα των μέσων ενημέρωσης, ή από οποιαδήποτε άλλη διαθέσιμη πηγή πληροφοριών.

(111)

Βάσει της επανεξέτασης, η Επιτροπή θα πρέπει να καταρτίζει δημόσια έκθεση η οποία θα υποβάλλεται στο Ευρωπαϊκό Κοινοβούλιο και στο Συμβούλιο.

(112)

Σε περίπτωση που οι διαθέσιμες πληροφορίες, ιδίως οι πληροφορίες που προκύπτουν από την παρακολούθηση που διενεργεί η Επιτροπή όσον αφορά τις εξελίξεις οι οποίες θα μπορούσαν να επηρεάσουν τη λειτουργία της παρούσας απόφασης σύμφωνα με το άρθρο 45 παράγραφος 4 του κανονισμού (ΕΕ) 2016/679 ή που παρέχονται από τον ΕΟΔΕ ή τις αρχές των κρατών μελών, αποκαλύψουν ότι το επίπεδο προστασίας που παρέχει ο ΕΟΔΕ ενδέχεται να μην είναι πλέον επαρκές, η Επιτροπή θα πρέπει να ενημερώσει αμέσως σχετικά τον ΕΟΔΕ και να ζητήσει τη λήψη κατάλληλων μέτρων εντός καθορισμένου εύλογου χρονικού διαστήματος.

(113)

Εάν, κατά τη λήξη του εν λόγω καθορισμένου χρονικού διαστήματος, ο ΕΟΔΕ δεν έχει λάβει τα εν λόγω μέτρα ή δεν αποδείξει με άλλον τρόπο ικανοποιητικά ότι η παρούσα απόφαση εξακολουθεί να βασίζεται σε επαρκές επίπεδο προστασίας, η Επιτροπή θα κινήσει τη διαδικασία του άρθρου 93 παράγραφος 2 του κανονισμού (ΕΕ) 2016/679 με σκοπό τη μερική ή πλήρη αναστολή ή κατάργηση της παρούσας απόφασης.

(114)

Εναλλακτικά, η Επιτροπή θα κινήσει την εν λόγω διαδικασία με σκοπό την τροποποίηση της παρούσας απόφασης, ιδίως με την υποβολή των διαβιβάσεων δεδομένων σε πρόσθετες προϋποθέσεις ή με τον περιορισμό του πεδίου εφαρμογής της διαπίστωσης επάρκειας μόνο στις διαβιβάσεις δεδομένων για τις οποίες εξακολουθεί να διασφαλίζεται επαρκές επίπεδο προστασίας.

(115)

Η Επιτροπή θα πρέπει επίσης να εξετάσει το ενδεχόμενο κίνησης της διαδικασίας τροποποίησης, αναστολής ή κατάργησης της παρούσας απόφασης εάν, στο πλαίσιο της επανεξέτασης ή σε άλλο πλαίσιο, ο ΕΟΔΕ δεν παράσχει τις αναγκαίες πληροφορίες ή διευκρινίσεις για την αξιολόγηση του επιπέδου προστασίας των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται από την Ένωση ή όσον αφορά τη συμμόρφωση με την παρούσα απόφαση. Στο πλαίσιο αυτό, η Επιτροπή θα πρέπει να λαμβάνει υπόψη σε ποιον βαθμό οι συναφείς πληροφορίες μπορούν να εξασφαλιστούν από άλλες πηγές.

(116)

Όταν συντρέχουν δεόντως αιτιολογημένοι επιτακτικοί λόγοι επείγουσας ανάγκης, η Επιτροπή θα κάνει χρήση της δυνατότητας να εκδώσει, σύμφωνα με τη διαδικασία του άρθρου 93 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679, εκτελεστικές πράξεις άμεσης εφαρμογής για την αναστολή, την κατάργηση ή την τροποποίηση της απόφασης.

(117)

Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων δημοσίευσε τη γνώμη του (292), η οποία ελήφθη υπόψη κατά την εκπόνηση της παρούσας απόφασης.

(118)

Τα μέτρα που προβλέπονται στην παρούσα απόφαση είναι σύμφωνα με τη γνώμη της επιτροπής που έχει συσταθεί βάσει του άρθρου 93 παράγραφος 1 του κανονισμού (ΕΕ) 2016/679,