1. Εκτός των εξαιρέσεων που προβλέπονται στην παράγραφο 2 του άρθρου 29 και στην παράγραφο 2 του άρθρου 30, δεν ισχύει το δικαίωμα πρόσβασης του υποκειμένου των δεδομένων, σύμφωνα με το άρθρο 15 του ΓΚΠΔ, όταν
α) το υποκείμενο των δεδομένων δεν ενημερώνεται σύμφωνα με το στοιχείο ββ΄ των περιπτώσεων α΄ και β ΄ της παραγράφου 1 του προηγούμενου άρθρου• ή
β) τα δεδομένα
αα) καταγράφηκαν μόνο επειδή δεν μπορούν να διαγραφούν λόγω νομικών ή κανονιστικών διατάξεων υποχρέωσης διατήρησής τους, ή
ββ) εξυπηρετούν αποκλειστικά σκοπούς προστασίας ή ελέγχου των δεδομένων,
και η παροχή πληροφοριών θα απαιτούσε δυσανάλογη προσπάθεια και τα απαραίτητα τεχνικά και οργανωτικά μέτρα καθιστούν αδύνατη την επεξεργασία για άλλους σκοπούς.
2. Οι λόγοι άρνησης της παροχής πληροφοριών στο υποκείμενο των δεδομένων πρέπει να τεκμηριώνονται. Η άρνηση της παροχής πληροφοριών πρέπει να αιτιολογείται στο υποκείμενο των δεδομένων, εκτός εάν μέσω της γνωστοποίησης των πραγματικών και νομικών λόγων στους οποίους βασίζεται η άρνηση θα ετίθετο σε κίνδυνο ο σκοπός που επιδιώκεται με την άρνηση παροχής των πληροφοριών. Τα δεδομένα που αποθηκεύονται με σκοπό την παροχή πληροφοριών στο υποκείμενο των δεδομένων και για την προετοιμασία αυτής της παροχής μπορούν να υποβληθούν σε επεξεργασία μόνο για το σκοπό αυτό και για σκοπούς της προστασίας των δεδομένων προσωπικού χαρακτήρα• η επεξεργασία για άλλους σκοπούς περιορίζεται σύμφωνα με το άρθρο 18 του ΓΚΠΔ.
3. Το δικαίωμα του υποκειμένου των δεδομένων να αποκτά πρόσβαση σε δεδομένα προσωπικού χαρακτήρα, τα οποία δεν υποβάλλονται ούτε σε αυτοματοποιημένη ούτε σε μη αυτοματοποιημένη επεξεργασία από δημόσια αρχή, και αποθηκεύονται σε σύστημα αρχειοθέτησης, υφίσταται μόνο, εάν το υποκείμενο των δεδομένων παρέχει πληροφορίες που επιτρέπουν την ανάκτηση των δεδομένων και η προσπάθεια που απαιτείται για την παροχή των πληροφοριών δεν είναι δυσανάλογη προς το συμφέρον του υποκειμένου των δεδομένων για ενημέρωση.
4. Το δικαίωμα ενημέρωσης του υποκειμένου των δεδομένων προσωπικού χαρακτήρα σύμφωνα με το άρθρο 15 του ΓΚΠΔ δεν ισχύει, στο βαθμό που μέσω της ενημέρωσης θα αποκαλύπτονταν πληροφορίες, οι οποίες σύμφωνα με διάταξη νόμου ή λόγω της φύσης τους, ιδίως λόγω των υπέρτερων έννομων συμφερόντων τρίτου, πρέπει να παραμείνουν απόρρητες.
5. Η υποχρέωση γνωστοποίησης σύμφωνα με το άρθρο 34 του ΓΚΠΔ, εκτός από την αναφερόμενη στην παράγραφο 3 του άρθρου 34 του ΓΚΠΔ εξαίρεση, δεν ισχύει στο βαθμό που μέσω της γνωστοποίησης θα αποκαλύπτονταν πληροφορίες, οι οποίες σύμφωνα με διάταξη νόμου ή λόγω της φύσης τους, ιδίως λόγω των υπέρτερων έννομων συμφερόντων τρίτου, πρέπει να παραμείνουν απόρρητες. Κατά παρέκκλιση από τo προηγούμενο εδάφιο το υποκείμενο των δεδομένων προσωπικού χαρακτήρα πρέπει σύμφωνα με το άρθρο 34 του ΓΚΠΔ να ενημερώνεται, όταν τα συμφέροντά του- λαμβάνοντας ιδίως υπόψη τις επαπειλούμενες ζημιές-υπερτερούν του συμφέροντος διατήρησης του απορρήτου.
Η γενική διατύπωση του άρθρου 33 παρ. 5 που προβλέπει την δυνατότητα του υπεύθυνου επεξεργασιας να μην ανακοινώνει στα υποκείμενα επεξεργασίας μία παραβίαση προσωπικών δεδομένων που ενέχει υψηλό κίνδυνο σε περιτπώσει που «μέσω της ενημέρωσης θα αποκαλύπτονταν πληροφορίες, οι οποίες σύμφωνα με διάταξη νόμου ή λόγω της φύσης τους, ιδίως λόγω υπέρτερων έννομων συμφερόντων τρίτου, πρέπει να παραμείνουν απόρρητες» διευρύνει αδικαιολόγητα την δυνατότητα των υπευθύνων να μην ανακοινώνουν παραβιάσεις προσωπικών δεδομενων στα επηρεαζόμενα φυσικά πρόσωπα και ενδεχομένως θα χρησιμοποιηθει καταχρηστικά από τους υπέυθυνους επεξεργασίας.
Ως εκ τούτου, προτείνω να διατυπωθεί με μεγαλύτερη σαφήνεια η συγκεκριμένη εξαίρεση, ώστε η εφαρμογή της να είναι δυνατή σε εξαιρετικές περιπτώσεις και μόνο.
Το άρθρο 33 είναι προβληματικό. Σε αρκετές περιπτώσεις υπερβαίνει τους επιτρεπόμενους από τον Κανονισμό (άρθρο 23) περιορισμούς, εισάγοντας νέους που δεν έχουν έρεισμα στον Κανονισμό.
Προτείνεται η αναδιατύπωσή του, στην κατεύθυνση των προτάσεων που είχαν περιληφθεί στο σχέδιο της α’ νομοπαρασκευαστικής.
Αν και οι εξαιρέσεις που εισάγονται φαίνεται πως κινουνται στη σωστή κατεύθυνση, η εφαρμογή τους χωρίς τη δέουσα καθοδήγηση θα είναι δυσχερής. Τέτοια καθοδήγηση θα μπορούσε να δοθεί μέσα από παραδείγματα στην αιτιολογική έκθεση. Διαφορετικά ο κάθε υπεύθυνος επεξεργασίας εξωθείται σε μη εφαρμογή των εξαιρέσεων μέχρις ότου κριθούν οι πρώτες περιπτώσεις από την ΑΠΔΠΧ και τα δικαστήρια (έτσι, όμως, ματαιώνεται την εφαρμογή και το σκοπό της εξαίρεσης).
To δικαίωμα πρόσβασης, πλέον των διατάξεων του Κανονισμού 2016/679, κατοχυρώνεται ρητώς στο άρθρο 8 παρ. 2 ΧΘΔΕΕ. Για τον λόγο αυτό, ο ΓενΚαν δεν προβλέπει περιορισμούς, καθώς πρόκειται για ένα θεμελιώδες δικαίωμα. Οι περιορισμοί του δικαιώματος πρόσβασης μπορούν να δικαιολογηθούν μόνο στο πλαίσιο κατάρτισης συγκεκριμένου μέτρου, όπως τούτο προβλέπεται στο άρθρο 23 ΓενΚαν, το οποίο εκτος άλλων, αφενός προβλέπει λόγους μείζονος σημασίας (οι οποίοι δεν διαπιστώνονται με την προώθηση της εν λόγω διάταξης) προκειμένου να είναι ανεκτός ο περιορισμός των δικαιωμάτων αφετέρου απαιτεί οι εν λόγω σκοποί να συγκεκριμενοποιηθούν από τον νομοθέτη. Κατά συνέπεια, η εν λόγω διάταξη αντίκειται τόσο στο πνεύμα του ΓενΚαν όσο και στο άρθρο 8 ΧΘΔΕΕ