Ο GDPR ενισχύει τη λογοδοσία των οργανισμών και προβλέπει σημαντικές κυρώσεις για παραβάσεις. Σκοπός του είναι η προστασία δικαιωμάτων και ελευθεριών φυσικών προσώπων και η συνεκτική εφαρμογή κανόνων προστασίας προσωπικών δεδομένων στην ΕΕ.
Βασικά στοιχεία του GDPR:
- Προσδιορίζει προσωπικά δεδομένα και ειδικές κατηγορίες δεδομένων που απαιτούν ιδιαίτερη προστασία.
- Περιλαμβάνει έννοιες όπως περιορισμός επεξεργασίας, κατάρτιση προφίλ και ψευδωνυμοποίηση.
- Ο υπεύθυνος επεξεργασίας καθορίζει σκοπούς και μέσα και οφείλει να μπορεί να αποδεικνύει την τήρηση των υποχρεώσεών του.
- Ο Υπεύθυνος Προστασίας Δεδομένων (DPO), όπου απαιτείται ή ορίζεται, ενημερώνει και συμβουλεύει υπεύθυνο επεξεργασίας, εκτελούντα και προσωπικό για υποχρεώσεις προστασίας δεδομένων.
- Όπου απαιτείται γνωστοποίηση παραβίασης, ο υπεύθυνος επεξεργασίας ενημερώνει την εποπτική αρχή χωρίς αδικαιολόγητη καθυστέρηση και, εφόσον είναι δυνατό, εντός 72 ωρών από τη γνώση του περιστατικού. Η υποχρέωση συνδέεται με την αξιολόγηση κινδύνου για δικαιώματα και ελευθερίες.
- Προβλέπει διαχείριση κινδύνων και εκτίμηση αντικτύπου στην προστασία δεδομένων (DPIA) όπου συντρέχουν οι σχετικές προϋποθέσεις.
Ανάλογα με την παράβαση, τα διοικητικά πρόστιμα μπορούν να φθάσουν έως 20.000.000 ευρώ ή, για επιχειρήσεις, έως το 4% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, όποιο ποσό είναι υψηλότερο. Η επιβολή και το ύψος αξιολογούνται από την αρμόδια αρχή.
Αναγνώριση και χαρτογράφηση
Καταγράφουμε τις βασικές δραστηριότητες και τα δεδομένα που συλλέγονται ή υποβάλλονται σε επεξεργασία σε κάθε στάδιο. Εξετάζουμε ποιος έχει πρόσβαση, ποιος συμμετέχει, ποια εργαλεία χρησιμοποιούνται, πού βρίσκονται τα δεδομένα και για ποιες διαδικασίες αξιοποιούνται.
Η ανάλυση ροών αποτυπώνει πού αποθηκεύονται δεδομένα, πώς γίνεται επεξεργασία και πώς ανταλλάσσονται μεταξύ συστημάτων. Το αποτέλεσμα είναι συνολική εικόνα των προσωπικών δεδομένων και των συστημάτων, διαδικασιών και ανθρώπων που τα διαχειρίζονται.
Ανάλυση κενών
Συγκρίνουμε τα αποτελέσματα της χαρτογράφησης με τις εφαρμοστέες απαιτήσεις GDPR. Η gap analysis προσδιορίζει ελλείψεις και προτεραιότητες: έλεγχο βασικής ασφάλειας, διαχείριση δικαιωμάτων και ανάγκη αλλαγών στις σχετικές διαδικασίες.
Εκτίμηση αντικτύπου — DPIA
Η DPIA διενεργείται πριν από επεξεργασίες που είναι πιθανό να επιφέρουν υψηλό κίνδυνο και στις λοιπές περιπτώσεις που προβλέπονται. Εξετάζει τον αντίκτυπο στα φυσικά πρόσωπα και τα μέτρα μείωσης του κινδύνου, με σκοπό την πρόληψη δυσμενών σεναρίων.
Η τεχνική αξιολόγηση περιλαμβάνει αναγνώριση απειλών, εκτίμηση αντικτύπου, αξιολόγηση ευπαθειών και αντιμετώπιση κινδύνου, μέσα στο ευρύτερο αντικείμενο της DPIA.
Υλοποίηση οργανωτικών και τεχνικών μέτρων
Η υλοποίηση προσαρμόζεται στην ψηφιακή ωριμότητα του οργανισμού. Τα οργανωτικά μέτρα τεκμηριώνουν τι γίνεται και γιατί, με λίστες ελέγχου, διαγράμματα και σαφείς διαδικασίες εφαρμογής, συντήρησης και ενημέρωσης λύσεων IT.
Τα τεχνικά μέτρα διαμορφώνουν ασφαλή συστήματα και υποδομές που υποστηρίζουν τις επιχειρησιακές διαδικασίες και τις σχετικές απαιτήσεις. Η τεκμηρίωση επιτρέπει στον οργανισμό να αποδεικνύει τις ενέργειες συμμόρφωσης.
Ετοιμότητα αντιμετώπισης παραβίασης
Η διαδικασία εξετάζει αν απαιτείται γνωστοποίηση στην εποπτική αρχή και ενημέρωση των επηρεαζόμενων προσώπων. Όπου η γνωστοποίηση απαιτείται, λαμβάνεται υπόψη η προθεσμία των 72 ωρών από τη γνώση του περιστατικού και η δυνατότητα σταδιακής παροχής πληροφοριών.
Καταγράφονται κατηγορίες και έκταση δεδομένων, αριθμός επηρεαζόμενων προσώπων όπου είναι γνωστός, πιθανές συνέπειες και μέτρα αντιμετώπισης και περιορισμού επανάληψης. Ένα σχέδιο ετοιμότητας ορίζει εκ των προτέρων διαδικασίες και υπευθύνους, ώστε κάθε εμπλεκόμενος να γνωρίζει τον ρόλο του.
Έλεγχοι και επαλήθευση
Διενεργούμε τους συμφωνημένους ελέγχους για αξιολόγηση της εφαρμογής μέτρων και της ανταπόκρισης στις σχετικές απαιτήσεις GDPR. Καταγράφονται ευρήματα και ενέργειες βελτίωσης.
Εκπαίδευση και ευαισθητοποίηση
Οι άνθρωποι που χειρίζονται προσωπικά δεδομένα χρειάζεται να κατανοούν τα συγκεκριμένα καθήκοντά τους. Η εκπαίδευση υποστηρίζει την ορθή εφαρμογή των μέτρων και ενημερώνεται καθώς αλλάζουν οι ανάγκες.
Η ανθρωποκεντρική προσέγγιση βοηθά το εξουσιοδοτημένο προσωπικό να εργάζεται σωστά και αποτελεσματικά, με κατάλληλα εργαλεία, υποστήριξη συστημάτων και αυτοματοποιημένες διαδικασίες.
Συνεχής διακυβέρνηση
Η συμμόρφωση απαιτεί συνεχή επανεξέταση όταν μεταβάλλεται η λειτουργία. Ένα μοντέλο διακυβέρνησης ορίζει αρμοδιότητες ελέγχου, επιθεώρησης, διαχείρισης κινδύνων, πολιτικών και πόρων, με προγραμματισμένο κύκλο ενεργειών και τεκμηρίωση.
Τα μέτρα επανεξετάζονται περιοδικά και σε αλλαγές, όπως νέα συστήματα ή συσκευές, νέες διαδικασίες, συγχωνεύσεις και συνεργασίες με τρίτους. Ο κύκλος αυτός υποστηρίζει την υλοποίηση του σχεδίου και τη λογοδοσία του οργανισμού.
Προετοιμασία στοχευμένου έργου συμβουλευτικής GDPR
Η αρχική εικόνα περιλαμβάνει δραστηριότητες του οργανισμού, επεξεργασίες προσωπικών δεδομένων, σχετικά συστήματα, παρόχους και υφιστάμενες αρμοδιότητες απορρήτου. Η τεχνική διερεύνηση βοηθά να καταγραφεί πώς οι πληροφορίες συλλέγονται, προσπελάζονται, κοινοποιούνται και διατηρούνται. Οι νομικές βάσεις και η ερμηνεία υποχρεώσεων εξετάζονται με τους αρμόδιους συμβούλους απορρήτου και νομικούς.
Το σχέδιο ενεργειών συνδέει κενά με ρυθμίσεις συστημάτων, λειτουργικές διαδικασίες, ερωτήματα προς προμηθευτές και προετοιμασία προσωπικού. Τα τεκμήρια εφαρμογής έχουν αξία παράλληλα με το κείμενο των πολιτικών. Σαφές αντικείμενο και σταδιακά παραδοτέα επιτρέπουν πιο αξιόπιστη εκτίμηση προσπάθειας από ένα αόριστο αίτημα συνολικής συμμόρφωσης.