Κανονιστική Συμμόρφωση
GDPR

Η συμμόρφωση με τον ΓΚΠΔ δεν είναι ένα έγγραφο ή μια μεμονωμένη ενέργεια, αλλά μια συνεχής διαδικασία. Η επιχείρηση πρέπει να γνωρίζει ποια προσωπικά δεδομένα συλλέγει, για ποιον σκοπό, με ποια νομική βάση, ποιος έχει πρόσβαση σε αυτά και για πόσο χρόνο τα διατηρεί. Παράλληλα χρειάζεται να διαθέτει τις κατάλληλες πολιτικές και διαδικασίες, να ενημερώνει σωστά πελάτες, εργαζομένους και συνεργάτες, να εφαρμόζει τεχνικά και οργανωτικά μέτρα ασφάλειας και να μπορεί να ανταποκρίνεται σε αιτήματα άσκησης δικαιωμάτων ή σε περιστατικά παραβίασης δεδομένων. Η ουσιαστική συμμόρφωση πρέπει να αποτυπώνεται στον πραγματικό τρόπο λειτουργίας της επιχείρησης και όχι μόνο σε έγγραφα.

Όχι. Η συγκατάθεση είναι μόνο μία από τις νόμιμες βάσεις επεξεργασίας που προβλέπει ο ΓΚΠΔ. Ανάλογα με την περίπτωση, η επεξεργασία μπορεί να βασίζεται στην εκτέλεση σύμβασης, σε νομική υποχρέωση της επιχείρησης, στην προστασία ζωτικού συμφέροντος, στην εκτέλεση καθήκοντος δημοσίου συμφέροντος ή σε έννομο συμφέρον. Το κρίσιμο είναι να επιλέγεται η σωστή νομική βάση για κάθε σκοπό επεξεργασίας και να υπάρχει η απαραίτητη τεκμηρίωση. Η χρήση συγκατάθεσης εκεί όπου δεν είναι πραγματικά κατάλληλη μπορεί να δημιουργήσει προβλήματα αντί να προσφέρει μεγαλύτερη ασφάλεια συμμόρφωσης.

Τα φυσικά πρόσωπα έχουν συγκεκριμένα δικαιώματα απέναντι στην επιχείρηση που επεξεργάζεται τα δεδομένα τους. Ανάλογα με την περίπτωση, μπορούν να ζητήσουν ενημέρωση και πρόσβαση στα δεδομένα τους, διόρθωση ανακριβών στοιχείων, διαγραφή, περιορισμό της επεξεργασίας, εναντίωση ή φορητότητα των δεδομένων. Η επιχείρηση πρέπει να διαθέτει σαφή διαδικασία για την παραλαβή, αξιολόγηση και έγκαιρη απάντηση σε τέτοια αιτήματα, χωρίς να εφαρμόζει μηχανικά κάθε αίτημα αλλά ελέγχοντας αν και σε ποιο βαθμό το συγκεκριμένο δικαίωμα εφαρμόζεται στη συγκεκριμένη περίπτωση.

Δεν είναι υποχρεωτικό για κάθε επιχείρηση να ορίσει DPO. Η υποχρέωση προκύπτει κυρίως όταν οι βασικές δραστηριότητες περιλαμβάνουν συστηματική και εκτεταμένη παρακολούθηση φυσικών προσώπων ή επεξεργασία μεγάλης κλίμακας ειδικών κατηγοριών δεδομένων, όπως δεδομένα υγείας, ή δεδομένων που αφορούν ποινικές καταδίκες και αδικήματα. Ακόμη και όταν δεν υπάρχει νομική υποχρέωση, μια επιχείρηση μπορεί να επιλέξει να έχει εξωτερική ή εσωτερική υποστήριξη σε θέματα προστασίας δεδομένων, εφόσον η φύση και η πολυπλοκότητα της δραστηριότητάς της το δικαιολογούν. Σημαντικό είναι να αξιολογείται σωστά αν απαιτείται DPO και να μην γίνεται ορισμός μόνο τυπικά, χωρίς πραγματικό ρόλο και αρμοδιότητες.

Το αρχείο δραστηριοτήτων επεξεργασίας είναι η οργανωμένη καταγραφή του τρόπου με τον οποίο η επιχείρηση επεξεργάζεται προσωπικά δεδομένα. Περιλαμβάνει, μεταξύ άλλων, τους σκοπούς της επεξεργασίας, τις κατηγορίες δεδομένων και φυσικών προσώπων, τους αποδέκτες, τους χρόνους διατήρησης και τα βασικά μέτρα προστασίας. Δεν είναι απλώς ένα τυπικό έγγραφο· λειτουργεί ως βασικό εργαλείο χαρτογράφησης και τεκμηρίωσης της συμμόρφωσης. Η υποχρέωση τήρησής του εξαρτάται από τη φύση, την έκταση και τη συστηματικότητα της επεξεργασίας, αλλά στην πράξη είναι ιδιαίτερα χρήσιμο για κάθε επιχείρηση που θέλει να γνωρίζει και να αποδεικνύει πώς διαχειρίζεται τα προσωπικά δεδομένα.

Όταν μια επιχείρηση αναθέτει σε εξωτερικό συνεργάτη την επεξεργασία προσωπικών δεδομένων, πρέπει να είναι ξεκάθαρο ποιος έχει ποιον ρόλο και ποιες είναι οι υποχρεώσεις κάθε πλευράς. Συνήθως απαιτείται κατάλληλη σύμβαση επεξεργασίας δεδομένων, στην οποία καθορίζονται ο σκοπός της επεξεργασίας, τα είδη δεδομένων, τα μέτρα ασφάλειας, οι υποχρεώσεις εμπιστευτικότητας και ο τρόπος διαχείρισης τυχόν περιστατικών παραβίασης. Παράλληλα, η επιχείρηση πρέπει να αξιολογεί αν ο συνεργάτης εφαρμόζει επαρκή τεχνικά και οργανωτικά μέτρα και αν υπάρχουν τυχόν διαβιβάσεις δεδομένων εκτός Ευρωπαϊκού Οικονομικού Χώρου που απαιτούν πρόσθετες εγγυήσεις.

Σε περίπτωση παραβίασης προσωπικών δεδομένων, η επιχείρηση πρέπει πρώτα να περιορίσει το περιστατικό, να εντοπίσει τι ακριβώς συνέβη και να αξιολογήσει ποια δεδομένα και ποια φυσικά πρόσωπα επηρεάζονται. Στη συνέχεια πρέπει να εκτιμηθεί ο κίνδυνος για τα δικαιώματα και τις ελευθερίες των προσώπων και, όπου απαιτείται, να γίνει γνωστοποίηση στην αρμόδια εποπτική αρχή εντός των προβλεπόμενων προθεσμιών. Σε ορισμένες περιπτώσεις μπορεί να χρειάζεται και ενημέρωση των ίδιων των υποκειμένων των δεδομένων. Το περιστατικό πρέπει επίσης να καταγράφεται και να αξιοποιείται για τη βελτίωση των τεχνικών και οργανωτικών μέτρων της επιχείρησης.