Τι είναι η νόμιμη βάση στον ΓΚΠΔ

Η φράση νόμιμη βάση κατά τον ΓΚΠΔ δεν είναι γενική δήλωση ότι μια επιχείρηση ενεργεί νόμιμα, αλλά η αιτιολογημένη σύνδεση ενός συγκεκριμένου σκοπού με μία από έξι οδούς του άρθρου 6. Η σύνδεση γίνεται πριν από την επεξεργασία, γνωστοποιείται στο πρόσωπο και διατηρείται ως ελέγξιμο αρχείο ¹.

Σύντομη απάντηση

Η νόμιμη βάση κατά τον ΓΚΠΔ είναι ο λόγος του άρθρου 6 που επιτρέπει μια καθορισμένη επεξεργασία προσωπικών δεδομένων. Υπάρχουν έξι βάσεις, όχι μόνο η συγκατάθεση. Η επιχείρηση ξεκινά από τον σκοπό, ελέγχει τις πραγματικές συνθήκες, επιλέγει μία κατάλληλη βάση και καταγράφει την απόφαση πριν συλλέξει ή χρησιμοποιήσει τα δεδομένα.

Τελευταία ενημέρωση: 28 Αυγούστου 2026

Έξι οδοί, όχι έξι ετικέτες

Οι έξι βάσεις απαντούν σε διαφορετικές πραγματικές καταστάσεις και δεν αποτελούν κατάλογο από τον οποίο επιλέγεται η πιο βολική λέξη. Ο ΓΚΠΔ απαιτεί να προσδιορίζεται πρώτα ο σκοπός και κατόπιν να ελέγχεται ποια βάση ταιριάζει στα γεγονότα, πριν αρχίσει η επεξεργασία ¹.

Η ίδια δραστηριότητα μπορεί να περιέχει περισσότερους σκοπούς. Η αποστολή ενός προϊόντος μπορεί να είναι αναγκαία για τη σύμβαση, ενώ η μεταγενέστερη ανάλυση αγορών χρειάζεται ξεχωριστό σκοπό και ενδεχομένως διαφορετική βάση. Η βάση αποδίδεται στον σκοπό, όχι στο σύστημα, στο τμήμα ή σε ολόκληρη τη σχέση με τον πελάτη.

Ορισμένες οδοί έχουν στενότερα όρια από όσο υποδηλώνει το όνομά τους. Η σύμβαση δεν καλύπτει κάθε ενέργεια που αναφέρεται στους εμπορικούς όρους, αλλά μόνο ό,τι είναι αντικειμενικά αναγκαίο για την εκτέλεση της σύμβασης με το ίδιο το πρόσωπο. Η νομική υποχρέωση χρειάζεται συγκεκριμένο κανόνα δικαίου, όχι εσωτερική πολιτική. Τα ζωτικά συμφέροντα αφορούν προστασία ζωής ή σωματικής ακεραιότητας, ενώ το καθήκον δημοσίου συμφέροντος χρειάζεται βάση στο δίκαιο. Αυτά τα όρια εμποδίζουν μια γενική ονομασία να μετατραπεί σε λευκή επιταγή.

Ο σκοπός προηγείται της απάντησης

Η χρήσιμη μονάδα ανάλυσης είναι μια πλήρης πρόταση: «χρησιμοποιούμε αυτά τα στοιχεία για να κάνουμε αυτή την ενέργεια για αυτούς τους ανθρώπους». Το «διαχείριση πελατών» είναι υπερβολικά αόριστο. Αντίθετα, «χρησιμοποιούμε τη διεύθυνση παράδοσης για να αποστείλουμε την παραγγελία» επιτρέπει έλεγχο αναγκαιότητας και σύνδεση με τη σύμβαση.

Η χαρτογράφηση αρχίζει από την πραγματική εργασία και καταγράφει ποιος συλλέγει τα δεδομένα, από πού φτάνουν, ποιος τα βλέπει, ποια απόφαση ή υπηρεσία εξαρτάται από αυτά και τι θα συνέβαινε αν ένα πεδίο έλειπε. Οι απαντήσεις χωρίζουν έναν γενικό σκοπό σε λειτουργικές πράξεις και αποκαλύπτουν δεδομένα που συλλέγονται από συνήθεια αλλά δεν είναι αναγκαία.

Η επιλογή πρέπει να προηγείται της συλλογής, επειδή καθορίζει την ενημέρωση απορρήτου και ορισμένα δικαιώματα. Η μεταγενέστερη προσθήκη μιας βάσης σε υπολογιστικό φύλλο δεν διορθώνει την απουσία πραγματικής απόφασης. Εάν ο σκοπός δεν μπορεί να περιγραφεί καθαρά, δεν είναι ακόμη ώριμος για επιλογή βάσης.

Σκεφτείτε μια μικρή επιχείρηση που ζητά όνομα, διεύθυνση, ημερομηνία γέννησης και αριθμό τηλεφώνου για μια απλή αποστολή. Η σύμβαση μπορεί να στηρίζει τη χρήση ονόματος και διεύθυνσης, αλλά δεν αποδεικνύει ότι χρειάζονται ημερομηνία γέννησης ή τηλέφωνο. Για κάθε πρόσθετο πεδίο η ομάδα πρέπει να κατονομάσει διαφορετικό σκοπό και να δείξει αναγκαιότητα. Αν ο μόνος λόγος είναι «ίσως μας φανεί χρήσιμο», το πρόβλημα δεν λύνεται με άλλη βάση· το πεδίο δεν πρέπει να συλλεχθεί.

Η ίδια άσκηση εφαρμόζεται στις υπάρχουσες βάσεις δεδομένων. Ένα πεδίο που συλλέχθηκε νόμιμα για τιμολόγηση δεν μπορεί να χρησιμοποιηθεί αυτόματα για κατάρτιση προφίλ. Η επιχείρηση εξετάζει τη συμβατότητα του νέου σκοπού, τη σχέση με τον αρχικό, τις προσδοκίες του προσώπου, τη φύση των δεδομένων και τις πιθανές συνέπειες. Αν η χρήση δεν είναι συμβατή, χρειάζεται νέα νόμιμη διαδρομή πριν ξεκινήσει, όχι ετικέτα μετά το γεγονός.

Συγκατάθεση και έννομο συμφέρον δεν είναι συνώνυμα

Η συγκατάθεση είναι κατάλληλη όταν η άρνηση είναι πραγματικά δυνατή χωρίς ζημία και όταν η επιχείρηση μπορεί να σταματήσει την πράξη μετά την ανάκληση. Ένα προεπιλεγμένο τετραγωνίδιο, η συγκατάθεση κρυμμένη σε όρους ή η αποδοχή που συνδέεται με υπηρεσία η οποία δεν τη χρειάζεται δεν παρέχουν ελεύθερη επιλογή, ενώ ο ΓΚΠΔ απαιτεί επίσης η συγκατάθεση να είναι συγκεκριμένη, ενημερωμένη και αποδείξιμη ².

Το έννομο συμφέρον λειτουργεί διαφορετικά: η επιχείρηση ορίζει το θεμιτό αποτέλεσμα, αποδεικνύει ότι η επεξεργασία είναι αναγκαία και σταθμίζει τον αντίκτυπο, τις εύλογες προσδοκίες και τις εγγυήσεις ³. Αν υπάρχει εξίσου αποτελεσματική και λιγότερο παρεμβατική μέθοδος, το κριτήριο αναγκαιότητας δεν ικανοποιείται, ενώ μια χρήση που το πρόσωπο εύλογα δεν θα περίμενε απαιτεί ισχυρότερη αιτιολόγηση ή διαφορετικό σχεδιασμό ⁴.

Η ανάκληση συγκατάθεσης σταματά τη μελλοντική επεξεργασία που βασιζόταν σε αυτήν, αλλά δεν καθιστά παράνομη την προηγούμενη επεξεργασία που ήταν νόμιμη, ενώ η εναντίωση σε επεξεργασία με έννομο συμφέρον ενεργοποιεί διαφορετικό έλεγχο. Για απευθείας εμπορική προώθηση η εναντίωση είναι απόλυτη· σε άλλες περιπτώσεις εξετάζονται επιτακτικοί νόμιμοι λόγοι ή νομικές αξιώσεις.

Η βάση του ΓΚΠΔ δεν αντικαθιστά ειδικούς κανόνες καναλιού. Η αποστολή ηλεκτρονικού μάρκετινγκ ή η χρήση μη αναγκαίων cookies μπορεί να απαιτεί συγκατάθεση βάσει της οδηγίας 2002/58/ΕΚ και της εθνικής νομοθεσίας που τη μεταφέρει, ακόμη και όταν μια επιχείρηση θεωρεί ότι έχει έννομο συμφέρον ⁵.

Τα ευαίσθητα δεδομένα χρειάζονται δεύτερο έλεγχο

Μια βάση του άρθρου 6 δεν αρκεί όταν η πράξη αφορά ειδικές κατηγορίες δεδομένων: πληροφορίες υγείας, φυλετικής ή εθνοτικής καταγωγής, θρησκευτικών ή πολιτικών πεποιθήσεων, συνδικαλιστικής συμμετοχής, γενετικά δεδομένα και ορισμένα βιομετρικά δεδομένα χρειάζονται επιπλέον προϋπόθεση του άρθρου 9. Τα δεδομένα ποινικών καταδικών και αδικημάτων έχουν χωριστό έλεγχο του άρθρου 10.

Το αρχείο πρέπει να παρουσιάζει τους δύο ελέγχους χωρίς να τους συγχέει. Για παράδειγμα, ένας εργοδότης μπορεί να έχει νομική υποχρέωση ως βάση του άρθρου 6 για συγκεκριμένη πληροφορία υγείας, αλλά χρειάζεται επίσης την αντίστοιχη προϋπόθεση του άρθρου 9 και το εφαρμοστέο ενωσιακό ή εθνικό δίκαιο. Η φράση «είναι ευαίσθητο, άρα έχουμε συγκατάθεση» παραλείπει και την πραγματική επιλογή και τον δεύτερο έλεγχο.

Η βάση αλλάζει τα δικαιώματα γύρω από την επεξεργασία

Η επιλογή έχει λειτουργικές συνέπειες: όταν η επεξεργασία βασίζεται στη συγκατάθεση, πρέπει να υπάρχει εύκολος μηχανισμός ανάκλησης, ενώ για έννομο συμφέρον ή καθήκον δημοσίου συμφέροντος το δικαίωμα εναντίωσης χρειάζεται σαφή διαδρομή. Η φορητότητα συνδέεται, υπό προϋποθέσεις, με συγκατάθεση ή σύμβαση και αυτοματοποιημένη επεξεργασία.

Αυτό δεν σημαίνει ότι μια βάση καταργεί τα υπόλοιπα δικαιώματα. Πρόσβαση, ακρίβεια, περιορισμός και διαφάνεια παραμένουν μέρος της λειτουργίας. Σημαίνει ότι η ομάδα που απαντά σε αιτήματα πρέπει να γνωρίζει ποια βάση έχει καταγραφεί για κάθε σκοπό, αντί να ψάχνει την απάντηση όταν φτάσει το αίτημα.

Η ενημέρωση απορρήτου πρέπει να κατονομάζει τον σκοπό και τη βάση με τρόπο που καταλαβαίνει ο αναγνώστης. Για έννομο συμφέρον πρέπει να εξηγεί και το συμφέρον. Μια γενική δήλωση ότι «επεξεργαζόμαστε δεδομένα όπου επιτρέπεται από τον νόμο» δεν δίνει πληροφορία που μπορεί να χρησιμοποιήσει ένα πρόσωπο.

Η απόφαση πρέπει να γίνει λειτουργικό αρχείο

Ένα χρήσιμο αρχείο επιτρέπει σε άλλον εργαζόμενο να εφαρμόσει την απόφαση χωρίς να μαντεύει, επομένως δεν αρκεί μια στήλη με τη λέξη «σύμβαση». Το μητρώο συνδέει τον σκοπό, τα δεδομένα, την κατηγορία προσώπων, τη βάση, την αιτιολόγηση, την ενημέρωση και την επόμενη επανεξέταση.

Η επανεξέταση ενεργοποιείται όταν αλλάζει ο σκοπός, η κατηγορία δεδομένων, ο αποδέκτης, η τεχνολογία ή η σχέση με το πρόσωπο. Μια νέα χρήση για παλιά δεδομένα δεν κληρονομεί αυτόματα την παλιά βάση. Πρώτα εξετάζεται αν ο νέος σκοπός είναι συμβατός, τι περιμένουν οι άνθρωποι και αν χρειάζεται νέα ενημέρωση ή νέα συλλογή.

Στην Ελλάδα, η αρμόδια εποπτική αρχή για ερωτήματα και καταγγελίες είναι η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ). Ο σύνδεσμος δείχνει τη διαδρομή επικοινωνίας για τον αναγνώστη· η ίδια η υποχρέωση εξακολουθεί να απορρέει από τον ΓΚΠΔ και όχι από εθνικό κανόνα που προστίθεται σε αυτό το κοινό κείμενο.

Η πρακτική ενέργεια για σήμερα είναι μικρή αλλά αποκαλυπτική: επιλέξτε μία πραγματική διαδικασία, όπως την αποστολή μισθοδοσίας στον λογιστή, και συμπληρώστε τα επτά πεδία. Αν η ομάδα δεν μπορεί να συμφωνήσει στον ακριβή σκοπό ή στην αιτιολόγηση, έχει βρει ένα κενό που πρέπει να κλείσει πριν επαναλάβει τη διαδικασία.