Δεδομένα και προστασία προσωπικών δεδομένων: Κύπρος (2026)
Ως κράτος μέλος της ΕΕ, η Κύπρος εφαρμόζει άμεσα τον ΓΚΠΔ και έχει θεσπίσει τον Νόμο 125(I)/2018 προκειμένου να αξιοποιήσει τις επιτρεπόμενες εθνικές παρεκκλίσεις και να καθορίσει τις αρμοδιότητες της ανεξάρτητης εποπτικής αρχής της, του Επιτρόπου Προστασίας Προσωπικών Δεδομένων. Ο Επίτροπος επιβάλλει τα δικαιώματα και τις υποχρεώσεις του ΓΚΠΔ, συμπεριλαμβανομένων της διαφάνειας, των δικαιωμάτων των υποκειμένων των δεδομένων, του διορισμού Υπεύθυνου Προστασίας Δεδομένων (DPO), των απαιτήσεων της Εκτίμησης Επιπτώσεων στην Προστασία Δεδομένων (DPIA) και της γνωστοποίησης παραβιάσεων εντός 72 ωρών, ενώ από το 2018 έχει επιβάλει συνολικά πρόστιμα ύψους άνω του 1 εκατομμυρίου ευρώ. Νέα Επίτροπος, η Μαρία Χριστοφίδου, διορίστηκε από το Υπουργικό Συμβούλιο τον Σεπτέμβριο του 2025.
Βασικό πλαίσιο
Ο ΓΚΠΔ (Κανονισμός 2016/679) εφαρμόζεται άμεσα· συμπληρωματική εθνική νομοθεσία: Νόμος 125(I)/2018 (Προστασία φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και ελεύθερη κυκλοφορία των δεδομένων αυτών)· Νόμος 44(I)/2019 για την επεξεργασία δεδομένων από τις αρχές επιβολής του νόμου (Οδηγία 2016/680). Εποπτική αρχή: Γραφείο του Επιτρόπου Προστασίας Προσωπικών Δεδομένων (Λευκωσία).
Βασικά σημεία
Κύριο νομικό πλαίσιο
Ο ΓΚΠΔ (Κανονισμός 2016/679) εφαρμόζεται άμεσα. Ο Νόμος 125(I)/2018, ο οποίος ισχύει από τις 31 Ιουλίου 2018, συμπληρώνει τον ΓΚΠΔ αξιοποιώντας τα εθνικά περιθώρια διακριτικής ευχέρειας και θεσπίζοντας την εποπτική αρχή. Καταργεί τον προηγούμενο Νόμο 138(I)/2001.
Εποπτική αρχή
Ο Επίτροπος Προστασίας Προσωπικών Δεδομένων είναι η ανεξάρτητη εθνική αρχή προστασίας δεδομένων. Η Μαρία Χριστοφίδου διορίστηκε Επίτροπος από το Υπουργικό Συμβούλιο τον Σεπτέμβριο του 2025, διαδεχόμενη την Ειρήνη Λοϊζίδου Νικολαΐδου (η οποία κατείχε ταυτόχρονα τη θέση της Αντιπροέδρου του EDPB). Ο Επίτροπος έχει την εξουσία να διεξάγει έρευνες, να εκδίδει διορθωτικά μέτρα και να επιβάλλει διοικητικά πρόστιμα.
Εθνικές παρεκκλίσεις βάσει του Νόμου 125(I)/2018
Η Κύπρος όρισε την ηλικία ψηφιακής συναίνεσης για τις υπηρεσίες της κοινωνίας της πληροφορίας στα 14 έτη (κάτω από την οποία απαιτείται γονική συναίνεση). Ο νόμος 125(I)/2018 απαγορεύει επίσης την επεξεργασία γενετικών και βιομετρικών δεδομένων για σκοπούς ασφάλισης ζωής και υγείας, μια στάση πιο αυστηρή από τα βασικά πρότυπα του ΓΚΠΔ.
Βασικές υποχρεώσεις του διαχειριστή/επεξεργαστή
Οι υπεύθυνοι επεξεργασίας πρέπει να τηρούν τις αρχές του ΓΚΠΔ (νομιμότητα, περιορισμός του σκοπού, ελαχιστοποίηση των δεδομένων), να διενεργούν εκτιμήσεις επιπτώσεων στην προστασία των δεδομένων (DPIA) για επεξεργασίες υψηλού κινδύνου, να ορίζουν υπεύθυνο προστασίας δεδομένων (DPO) όπου αυτό απαιτείται και να γνωστοποιούν στον Επίτροπο τις παραβιάσεις προσωπικών δεδομένων εντός 72 ωρών. Τα στοιχεία επικοινωνίας του DPO πρέπει να καταχωρίζονται μέσω της ηλεκτρονικής πύλης του Επιτρόπου.
Δικαιώματα των υποκειμένων των δεδομένων
Τα φυσικά πρόσωπα διαθέτουν το πλήρες φάσμα των δικαιωμάτων που προβλέπει ο ΓΚΠΔ: δικαίωμα πρόσβασης, δικαίωμα διόρθωσης, δικαίωμα διαγραφής («δικαίωμα στη λήθη»), δικαίωμα περιορισμού της επεξεργασίας, δικαίωμα φορητότητας των δεδομένων και δικαίωμα αντίρρησης. Τα δικαιώματα αυτά μπορούν να περιοριστούν από την εθνική νομοθεσία μόνο όταν αυτό είναι απαραίτητο για τη διασφάλιση συγκεκριμένων στόχων δημοσίου συμφέροντος.
Ιστορικό επιβολής
Η Κυπριακή Αρχή Προστασίας Δεδομένων (DPC) έχει επιβάλει συνολικά διοικητικά πρόστιμα ύψους άνω του 1 εκατομμυρίου ευρώ από την έναρξη ισχύος του ΓΚΠΔ. Σε μια αξιοσημείωτη ενέργεια του 2025, επιβλήθηκαν δύο πρόστιμα συνολικού ύψους 58.400 ευρώ στην Aylo Freesites Ltd (πρώην Mindgeek) για παραβάσεις του ΓΚΠΔ (απόφαση της 28ης Μαρτίου 2025). Η επιβολή των κυρώσεων έχει επικεντρωθεί στους τομείς του τουρισμού, των χρηματοοικονομικών υπηρεσιών, των τηλεπικοινωνιών, του μάρκετινγκ και της απασχόλησης.
Η παρούσα σελίδα αποτελεί μετάφραση για λόγους ευκολίας· η αγγλική έκδοση είναι η επίσημη και δεν αποτελεί νομική συμβουλή.