ΚΕΦΑΛΑΙΟ II Βασικές αρχές

Άρθρο 4

Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα

1.  Τα κράτη μέλη προβλέπουν ότι τα δεδομένα προσωπικού χαρακτήρα:

2.  Η επεξεργασία από τον ίδιο ή άλλο υπεύθυνο επεξεργασίας για οποιονδήποτε σκοπό προβλεπόμενο στο άρθρο 1 παράγραφος 1 άλλο από εκείνον για τον οποίο συλλέγονται τα δεδομένα προσωπικού χαρακτήρα επιτρέπεται στο μέτρο που:

3.  Η επεξεργασία από τον ίδιο ή άλλο υπεύθυνο επεξεργασίας μπορεί να περιλαμβάνει την αρχειοθέτηση για λόγους δημοσίου συμφέροντος, την επιστημονική, στατιστική ή ιστορική επεξεργασία, για τους σκοπούς που προβλέπονται στο άρθρο 1 παράγραφος 1, με την επιφύλαξη των κατάλληλων διασφαλίσεων υπέρ των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων.

4.  Ο υπεύθυνος επεξεργασίας είναι υπεύθυνος για τη συμμόρφωση με τις παραγράφους 1, 2 και 3 και είναι σε θέση να το αποδείξει.

Άρθρο 5

Προθεσμίες αποθήκευσης και επανεξέτασης

Τα κράτη μέλη προβλέπουν κατάλληλες προθεσμίες για τη διαγραφή δεδομένων προσωπικού χαρακτήρα ή για την περιοδική επανεξέταση της αναγκαιότητας αποθήκευσης των δεδομένων προσωπικού χαρακτήρα. Η μέριμνα για την τήρηση των προθεσμιών αυτών εξασφαλίζεται μέσω δικονομικών μέτρων.

Άρθρο 6

Διάκριση μεταξύ διαφορετικών κατηγοριών υποκειμένων των δεδομένων

Τα κράτη μέλη, κατά περίπτωση και στον βαθμό του εφικτού, προβλέπουν ότι ο υπεύθυνος επεξεργασίας διακρίνει σαφώς μεταξύ δεδομένων προσωπικού χαρακτήρα διαφορετικών κατηγοριών υποκειμένων, παραδείγματος χάριν:

Άρθρο 7

Διάκριση μεταξύ των δεδομένων προσωπικού χαρακτήρα και της επαλήθευσης της ποιότητας των δεδομένων προσωπικού χαρακτήρα

1.  Τα κράτη μέλη προβλέπουν ότι τα δεδομένα προσωπικού χαρακτήρα τα οποία βασίζονται σε πραγματικά περιστατικά διακρίνονται, στον βαθμό του εφικτού, από τα δεδομένα προσωπικού χαρακτήρα τα οποία βασίζονται σε προσωπικές εκτιμήσεις.

2.  Τα κράτη μέλη προβλέπουν ότι οι αρμόδιες αρχές λαμβάνουν κάθε εύλογο μέτρο προκειμένου να διασφαλιστεί ότι τα δεδομένα προσωπικού χαρακτήρα που είναι ανακριβή, ελλιπή ή δεν είναι πλέον επικαιροποιημένα δεν διαβιβάζονται ούτε διατίθενται. Για τον σκοπό αυτό, κάθε αρμόδια αρχή ελέγχει, στο μέτρο του εφικτού, την ποιότητα των δεδομένων προσωπικού χαρακτήρα πριν από τη διαβίβαση ή τη διάθεση των δεδομένων αυτών. Σε κάθε διαβίβαση δεδομένων προσωπικού χαρακτήρα επισυνάπτονται, στο μέτρο του δυνατού, οι αναγκαίες πληροφορίες που επιτρέπουν στην αρμόδια αρχή που παραλαμβάνει τα δεδομένα να αξιολογήσει την ακρίβεια, την πληρότητα, την αξιοπιστία των δεδομένων προσωπικού χαρακτήρα, καθώς και τον βαθμό επικαιροποίησής τους.

3.   ►C2  Σε περίπτωση που διαπιστωθεί ότι έχουν διαβιβαστεί ανακριβή δεδομένα προσωπικού χαρακτήρα ή ότι τα δεδομένα προσωπικού χαρακτήρα διαβιβάστηκαν παρανόμως, τούτο πρέπει να γνωστοποιηθεί πάραυτα στον αποδέκτη τους. ◄ Στην περίπτωση αυτή, τα δεδομένα προσωπικού χαρακτήρα διορθώνονται, διαγράφονται ή περιορίζεται η επεξεργασία σύμφωνα με το άρθρο 16.

Άρθρο 8

Νομιμότητα της επεξεργασίας

1.  Τα κράτη μέλη προβλέπουν ότι η επεξεργασία είναι σύννομη μόνον εάν και στον βαθμό που είναι απαραίτητη για την εκτέλεση καθήκοντος που ασκείται από αρχή αρμόδια για τους σκοπούς που προβλέπονται στο άρθρο 1 παράγραφος 1 και βασίζεται στο δίκαιο της Ένωσης ή των κρατών μελών.

2.  Το δίκαιο κράτους μέλους που ρυθμίζει την επεξεργασία στο πλαίσιο της παρούσας οδηγίας καθορίζει τουλάχιστον τους στόχους της επεξεργασίας, τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία και τους σκοπούς της επεξεργασίας.

Άρθρο 9

Ειδικοί όροι επεξεργασίας

1.  Δεδομένα προσωπικού χαρακτήρα που συγκεντρώνονται από αρμόδιες αρχές για τους σκοπούς του άρθρου 1 παράγραφος 1 δεν υφίστανται επεξεργασία για σκοπούς άλλους από αυτούς του άρθρου 1 παράγραφος 1, εκτός εάν αυτή η επεξεργασία επιτρέπεται από το δίκαιο της Ένωσης ή των κρατών μελών. Όταν τα δεδομένα προσωπικού χαρακτήρα υφίστανται επεξεργασία για τέτοιους άλλους σκοπούς, εφαρμόζεται ο κανονισμός (ΕΕ) 2016/679, εκτός εάν η επεξεργασία διενεργείται στο πλαίσιο δραστηριότητας η οποία δεν εμπίπτει στο πεδίο εφαρμογής του δικαίου της Ένωσης.

2.  Σε περίπτωση που οι αρμόδιες αρχές είναι επιφορτισμένες από το δίκαιο του κράτους μέλους με την εκτέλεση καθηκόντων διαφορετικών από εκείνων που εκτελούνται για τους σκοπούς του άρθρου 1 παράγραφος 1, εφαρμόζεται ο κανονισμός (ΕΕ) 2016/679 στην επεξεργασία που διενεργείται για τους εν λόγω σκοπούς, που περιλαμβάνουν την αρχειοθέτηση για λόγους δημοσίου συμφέροντος, τη χρήση για επιστημονικούς, στατιστικούς ή ιστορικούς λόγους, εκτός εάν η επεξεργασία διενεργείται στο πλαίσιο δραστηριότητας που δεν εμπίπτει στο πεδίο εφαρμογής του δικαίου της Ένωσης.

3.  Τα κράτη μέλη προβλέπουν ότι, στις περιπτώσεις που το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους στο οποίο υπάγεται η διαβιβάζουσα αρμόδια αρχή προβλέπει ειδικούς όρους υπό ειδικές περιστάσεις κατά την επεξεργασία, η διαβιβάζουσα αρμόδια αρχή ενημερώνει τον αποδέκτη των εν λόγω δεδομένων προσωπικού χαρακτήρα σχετικά με αυτούς τους όρους και την υποχρέωση τήρησής τους.

4.  Τα κράτη μέλη προβλέπουν ότι η διαβιβάζουσα αρμόδια αρχή δεν εφαρμόζει τους όρους της παραγράφου 3 στους αποδέκτες σε άλλα κράτη μέλη ή σε οργανισμούς, υπηρεσίες και όργανα που έχουν συσταθεί σύμφωνα με τον τίτλο V κεφάλαια 4 και 5 ΣΛΕΕ, εκτός από εκείνους που ισχύουν για ανάλογες διαβιβάσεις δεδομένων εντός του κράτους μέλους της διαβιβάζουσας αρμόδιας αρχής.

Άρθρο 10

Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα

Η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις, ή τη συμμετοχή σε συνδικαλιστική οργάνωση, καθώς και η επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων για την αποκλειστική ταυτοποίηση ενός φυσικού προσώπου ή δεδομένων που αφορούν στην υγεία ή τη σεξουαλική ζωή ή τον σεξουαλικό προσανατολισμό επιτρέπονται μόνο όταν είναι απολύτως αναγκαίες, με την επιφύλαξη των κατάλληλων διασφαλίσεων για τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων και εφόσον:

Άρθρο 11

Αυτοματοποιημένη ατομική λήψη αποφάσεων

1.  Τα κράτη μέλη προβλέπουν ότι απαγορεύεται η λήψη απόφασης που βασίζεται αποκλειστικά σε αυτοματοποιημένη επεξεργασία, περιλαμβανομένης της κατάρτισης προφίλ, η οποία παράγει δυσμενή έννομα αποτελέσματα για το υποκείμενο των δεδομένων ή θίγει αυτό σε μεγάλο βαθμό, εκτός εάν επιτρέπεται από το δίκαιο της Ένωσης ή των κρατών μελών στο οποίο υπάγεται ο υπεύθυνος επεξεργασίας και το οποίο προβλέπει κατάλληλες διασφαλίσεις υπέρ των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων, τουλάχιστον δε το δικαίωμα εξασφάλισης ανθρώπινης παρέμβασης εκ μέρους του υπεύθυνου επεξεργασίας.

2.  Οι αποφάσεις που αναφέρονται στην παράγραφο 1 του παρόντος άρθρου δεν βασίζονται στις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που αναφέρονται στο άρθρο 10, εκτός εάν υφίστανται κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων.

3.  Η κατάρτιση προφίλ που έχει ως αποτέλεσμα διακρίσεις εις βάρος φυσικών προσώπων με βάση τις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που αναφέρονται στο άρθρο 10 απαγορεύεται σύμφωνα με το δίκαιο της Ένωσης.