<![CDATA[GDPR Awareness Blog]]> http://blog.gdpr-awareness.eu/blog/ EN Mon, 12 Jan 2026 09:11:00 +0000 <![CDATA[Το ΕΣΠΔ Δημοσίευσε Δεσμευτικούς Εταιρικούς Κανόνες (ΔΕΚ)]]> imblog

Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΔΠ) δημοσίευσε δεσμευτικούς εταιρικούς κανόνες (ΔΕΚ) μεταξύ ελεγκτών δεδομένων και επεξεργαστών δεδομένων.

>> Αρχή Προστασίας Δεδομένων (ΑΠΔ), Data Protection Authority (DPA)
>> Ελληνική Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ)
>> Υπεύθυνος Ελέγχου Δεδομένων, Data Controller, Ελεγκτής.
>> Υπεύθυνος Επεξεργαστής Δεδομένων, Data Processor, Επεξεργαστής.
>> Συμφωνία Προστασία της Μεταφοράς Προσωπικών Δεδομένων, σύμφωνα με τον ΓΚΠΔ.

Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ) δημοσίευσε μια απλοποιημένη διαδικασία έγκρισης για τους Δεσμευτικούς Εταιρικούς Κανόνες (ΔΕΚ) - Binding Corporate Rules (BCRs). Η διαδικασία έγκρισης είναι  ένα εργαλείο που χρησιμοποιείται ευρέως από τις επιχειρήσεις για την προστασία των μεταφορών προσωπικών δεεδομένων, σύμφωνα με τον ΓΚΠΔ.

Η απλοποιημένη διαδικασία για τους ΔΕΚ στοχεύει να:
  • Μειώσει το χρονικό διάστημα έγκρισης.
  • Καταστήσει τις διαδικασίες συνεργασίας πιο πρακτικές και αποτελεσματικές.


Για να επιτευχθεί αυτό, η διαδικασία καθορίζει σαφείς φάσεις για τα βήματα έγκρισης και εισάγει συνεδρίες ΔΕΚ όπου οι Αρχές Προστασίας Δεδομένων μπορούν να αντιμετωπίσουν τυχόν εκκρεμή ζητήματα σχετικά με μια περιγραφόμενη διαδικασία ή τις περιγραφόμενες διαδικασίες σε ένα κείμενο Δεσμευτικών Εταιρικών Κανόνων, προτού ζητήσουν από το ΕΣΠΔ να εκδώσει γνώμη.

Οι ΔΕΚ είναι σημαντικά εργαλεία για τις επιχειρήσεις, ώστε να δείχνουν ότι οι μεταφορές προσωπικών δεδομένων τους συμμορφώνονται με τον ΓΚΠΔ. Βελτιστοποιώντας τη διαδικασία έγκρισης, το ΕΣΠΔ στοχεύει να διευκολύνει τη χρήση αυτού του εργαλείου από τις επιχειρήσεις και τα άλλα ενδιαφερόμενα μέρη.

>> ΕΣΠΔ διαδικασία συνεργασίας για την έγκριση Δεσμευτικών Εταιρικών Κανόνων (ΕΛ)
>> EDPB procedure for the approval of Binding Corporate Rules (ΕΝ)

Information has been contributed by European Commission, EDPB, EDPS, Hellenic DPA, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Tue, 10 Mar 2026 09:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-099 http://blog.gdpr-awareness.eu/blog/rss/000000075 <![CDATA[Ευνοϊκές Συμφωνίες Επεξεργασίας Δεδομένων για τους Εκτελούντες την Επεξεργασία Δεδομένων]]> imblog

Ευνοϊκές Συμφωνίες Επεξεργασίας Δεδομένων για τους Εκτελούντες την Επεξεργασία Δεδομένων.

>> Αρχή Προστασίας Δεδομένων (ΑΠΔ), Data Protection Authority (DPA)
>> Ελληνική Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ)
>> Υπεύθυνος Ελέγχου Δεδομένων, Data Controller, Ελεγκτής.
>> Υπεύθυνος Επεξεργαστής Δεδομένων, Data Processor, Επεξεργαστής.
>> Συμφωνία Επεξεργασίας Δεδομένων (ΣΕΔ), Data Processing Agreement (DPA)
>> Αίτημα Πρόσβασης Υποκειμένου Δεδομένων, (ΑΠΥΔ), Data Subject Access Requests (DSAR)

Οι οργανισμοί παγκοσμίως βασίζονται όλο και περισσότερο σε τρίτες εταιρίες επεξεργασίας δεδομένων. Από πλατφόρμες Cloud έως εργαλεία ανάλυσης, οι εταιρίες επεξεργασίας δεδομένων χειρίζονται καθημερινά μεγάλο αριθμό προσωπικών δεδομένων.

Πολλοί υπεύθυνοι επεξεργασίας δεδομένων κάνουν ένα πιθανά δαπανηρό λάθος. Υπογράφουν Συμφωνίες Επεξεργασίας Δεδομένων (ΣΕΔ) που έχουν γραφτεί από τον εκτελούντα την επεξεργασία. Οι συμφωνίες ΣΕΔ που έχουν δημιουργηθεί από τον εκτελούντα την επεξεργασία ευνοούν συχνά αυτόν και όχι τον υπεύθυνο επεξεργασίας. Αυτό είναι ένα πρόβλημα ελέγχου.

Οι παγκόσμιοι νόμοι περί απορρήτου και προστασίας προσωπικών δεδομένων συμπεριλαμβανομένου του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ, GDPR) και του νόμου DPDP της Ινδίας, είναι σαφείς: οι εκτελούντες την επεξεργασίας πρέπει να ακολουθούν τις οδηγίες του υπεύθυνου επεξεργασίας. Ωστόσο, όταν οι υπεύθυνοι επεξεργασίας δέχονται ΣΕΔ που έχουν συνταχθεί από τον εκτελούντα την επεξεργασία, εγκαταλείπουν τον έλεγχο επί αυτών, συχνά χωρίς να το συνειδητοποιούν.

Οι ΣΕΔ που έχουν συνταχθεί από τον εκτελούντα την επεξεργασία έχουν συνήθως σχεδιαστεί για να προστατεύουν το ένα μέρος, τον εκτελούντα την επεξεργασία. Οι υπεύθυνοι επεξεργασίας φέρουν τη νομική ευθύνη για τη διαχείριση των δεδομένων. Αποφασίζουν πως και γιατί χρησιμοποιούνται τα προσωπικά δεδομένα. Οι εκτελούντες την επεξεργασία ενεργούν μόνο σύμφωνα με αυτές τις οδηγίες των υπευθύνων  επεξεργασίας.

Γιατί λοιπόν οι υπεύθυνοι επεξεργασίας δεδομένων υπογράφουν συμβάσεις που περιορίζουν τα δικαιώματά τους;
Οι ΣΕΔ που ευνοούν τον  εκτελούντα την επεξεργασία περιλαμβάνουν συνήθως ρήτρες που:
  • Περιορίζουν τα δικαιώματα ελέγχου.
  • Μπορεί να καθυστερήσουν ειδοποιήσεις παραβίασης δεδομένων.
  • Επιτρέπουν την εκτεταμένη διατήρηση δεδομένων.
  • Ελαχιστοποιούν την υποστήριξη με DSAR.
  • Προσδιορίζουν ανώτατο όριο ευθύνης για σοβαρές βλάβες.
Κάθε ρήτρα θέτει τον υπεύθυνοι επεξεργασίας σε μειονεκτική θέση και το χειρότερα, αυξάνεται ο κίνδυνο μη συμμόρφωσης.

>> Οι περιορισμοί ελέγχου υπονομεύουν την εποπτεία.
Τα δικαιώματα ελέγχου είναι αδιαπραγμάτευτα σύμφωνα με τους περισσότερους νόμους περί απορρήτου. Οι ελεγκτές δεδομένων πρέπει να είναι σε θέση να επαληθεύουν τον τρόπο με τον οποίο οι επεξεργαστές δεδομένών χειρίζονται τα δεδομένα.
Ωστόσο, πολλές συμφωνίες που έχουν συνταχθεί από τον επεξεργαστή δεδομένών εμποδίζουν τους ελέγχους ή τους εξαρτούν από όρους. Ορισμένες συμφωνίες επιτρέπουν μόνο ελέγχους από τρίτα μέρη που επιλέγονται από τον επεξεργαστή δεδομένών. Αυτό αφαιρεί τη διαφάνεια. Χωρίς σαφή δικαιώματα ελέγχου, οι ελεγκτές δεν μπορούν να εντοπίσουν αποτυχίες συμμόρφωσης μέχρι να είναι πολύ αργά.

>> Ειδοποιήσεις καθυστερημένης παραβίασης και Αύξηση προστίμων.
Όταν συμβαίνει μια παραβίαση, ο χρόνος έχει σημασία. Οι ελεγκτές πρέπει συχνά να ενημερώνουν τις ρυθμιστικές αρχές εντός 72 ωρών. Ωστόσο, ορισμένες Αρχές Προστασίας Δεδομένων (ΑΠΔ) δίνουν στους επεξεργαστές δεδομένων περιθώριο με όρους όπως "χωρίς αδικαιολόγητη καθυστέρηση". Αυτό μπορεί να σημαίνει ώρες, ή ακόμη και ημέρες, προτού ενημερωθεί ο ελεγκτής δεδομένων.
Οι καθυστερήσεις στην ειδοποίηση παραβίασης μπορεί να οδηγήσουν σε ρυθμιστικά πρόστιμα, απώλεια φήμης και ζημιά στην επωνυμία του οργανισμού σας.

>> Αδύναμες ρήτρες σε ΑΠΥΔ δημιουργούν πονοκεφάλους συμμόρφωσης.
Τα Αιτήματα Πρόσβασης Υποκειμένου Δεδομένων, (ΑΠΥΔ), Data Subject Access Requests (DSAR) αποτελούν ακρογωνιαίο λίθο των σύγχρονων νόμων περί απορρήτου. Οι ελεγκτές δεδομένων υποχρεούνται νομικά να ανταποκρίνονται γρήγορα.
Ωστόσο, οι επεξεργαστές δεδομένων συχνά ελέγχουν τα συστήματα που διατηρούν τα δεδομένα. Εάν η ΑΠΔ δεν απαιτεί σαφώς υποστήριξη από τον επεξεργαστή δεδομένων, οι ελεγκτές δεδομένων παραμένουν εκτεθειμένοι.
Ορισμένες συμφωνίες χρεώνουν ακόμη και υψηλές χρεώσεις για τη βοήθεια του επεξεργαστή δεδομένων σε ΑΠΥΔ, κάτι που δεν προβλέπεται και δεν προβλεπόταν ποτέ από τον νόμο.

>> Η διατήρηση δεδομένων πρέπει να είναι απόφαση του ελεγκτή των δεδομένων.
Σύμφωνα με τους νόμους περί απορρήτου, τα δεδομένα πρέπει να διαγράφονται όταν πλέον δεν χρειάζονται. Αυτό το χρονοδιάγραμμα θα πρέπει να οριστεί από τον ελεγκτή δεδομένων και όχι από τον επεξεργαστή δεδομένων.
Οι γραπτές συμφωνίες από τον επεξεργαστή δεδομένων περιλαμβάνουν συχνά ευρείς ή αόριστους όρους διατήρησης των δεδομένων. Αυτό επιβάλει στους ελεγκτές δεδομένων να διατηρούν προσωπικά δεδομένα περισσότερο από όσο χρειάζεται, αυξάνοντας τον κίνδυνο κακής χρήσης ή παραβίασης.
 
>> Η περιορισμένη ευθύνη μεταθέτει τον κίνδυνο ελεγκτή των δεδομένων.
Όταν υπάρξει πρόβλημα διαρροής, ο ελεγκτής δεδομένων βρίσκεται στο στόχαστρο της ρυθμιστικής αρχής. Ωστόσο, πολλές ΣΕΔ που έχουν δημιουργηθεί από τους επεξεργαστές δεδομένων περιορίζουν την ευθύνη με αθέμιτους τρόπους.
Αυτές οι ρήτρες περιορισμού ευθύνης ενδέχεται να αποκλείουν ορισμένες αξιώσεις ή ανώτερες αποζημιώσεις σε χαμηλά ποσά. Αυτό αφήνει τον υπεύθυνο ελεγκτή δεδομένων να φέρει το οικονομικό και νομικό βάρος για λάθη του επεξεργαστή δεδομένων.

>> Επαγγελματικά σχεδιασμένες ΣΕΔ ισορροπούν τον αγωνισμό.
Οι ελεγκτές δεδομενων πρέπει να αντιδράσουν στο φαινόμενο ΣΕΔ να δημιουργούνται από τους επεξεργαστές δεδομένων.
Η λύση είναι απλή: χρησιμοποιήστε ΣΕΔ που έχουν σχεδιαστεί για να αντικατοπτρίζουν τον νομικό ρόλο και τις ευθύνες σας ως υπεύθυνο ελεγκτή δεδομένων.
Μια ΣΕΔ εστιασμένη στον ελεγκτή δεδομέων διασφαλίζει:
  • Πλήρη δικαιώματα ελέγχου.
  • Υποχρεώσεις άμεσης ειδοποίησης παραβίασης.
  • Καθαρισμένους όρους συνεργασίας ΑΠΥΔ.
  • Καθορισμένα χρονικά όρια διατήρησης δεδομένων.
  • Ισορροπημένες και δίκαιες ρήτρες ευθύνης.
Με τη σωστή ΣΕΔ, αποκτάτε τον έλεγχο, όπως ορίζει η νομοθεσία, μειώνετε τον κίνδυνο και προστατεύετε τον οργανισμό σας.

>> Η CubeIQ βοηθά τους ελεγκτές δεδομενων να ανακτήσουν τον έλεγχο.
Στη CubeIQ, η επιχειρηματική μονάδα Κανονιστικής Συμμόρφωσης μαζί με τους συνεργάτες μας, συντάσσει και γράφει ΣΕΔ για την σχέση του ελεγκτή δεδομένων με τον / τους υπεύθυνους επεξεργασίας δεδομένων. Η έμπειρη νομική ομάδα μας και η ομάδα προστασίας απορρήτου κατανοούν τις αποχρώσεις των σχέσεων υπευθύνου επεξεργασίας δεδομένων με τον επεξεργαστή δεδομένων και ευθυγραμμίζουν κάθε ρήτρα με τις ρυθμιστικές σας υποχρεώσεις.
Με την CubeIQ λαμβάνετε:
  • Πλαίσιο ΣΕΔ με έμφαση στην πλευρά του ελεγκτή.
  • Σαφείς και εκτελεστοί όροι που προστατεύουν τα συμφέροντά σας.

>> Μην αφήνετε τον επεξεργαστή δεδομένων να γράψει τους κανόνες.
Κάθε ελεγκτής δεδομένων έχει επιλογές. Αποδεχτείτε μια μονόπλευρη συμφωνία ή αναλάβετε τον έλεγχο των δεδομένων σας. Οι ΣΕΔ που ευνοούν τους επεξεργαστές δεδομένων είναι ένας νομικός και λειτουργικός κίνδυνος τον οποίο εντέλει δεν μπορείτε να αντέξετε οικονομικά.
Βεβαιωθείτε ότι οι ΣΕΔ σας αντικατοπτρίζουν τον ρόλο σας, τους κινδύνους και τις ευθύνες σας.
Ενεργείστε με διακοπή ΣΕΔ που ευνοούν τους επεξεργαστές δεδομένων σας και υπογράψτε ΣΕΔ οι οποίες να καλύπτουν τις ρυθμιστικές σας υποχρεώσεις με τον ΓΚΠΔ.

Information has been contributed by European Commission, EDPB, EDPS, Hellenic DPA, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Mon, 12 Jan 2026 09:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-098 http://blog.gdpr-awareness.eu/blog/rss/000000074 <![CDATA[ΑΠΔΠΧ Έντυπα Καταγγελίας]]> imblog

ΑΠΔΠΧ Έντυπα Καταγγελίας.

Η Ελληνική Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), εφεξής η Αρχή, είναι συνταγματικά κατοχυρωμένη ανεξάρτητη δημόσια Αρχή, η οποία έχει ως αποστολή της την εποπτεία της εφαρμογής του Γενικού Κανονισμού Προστασίας Δεδομένων, του ν. 4624/2019, του ν. 3471/2006 και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και την ενάσκηση των αρμοδιοτήτων που της ανατίθενται κάθε φορά.

Ο νόμος 4624/2019 περιλαμβάνει και τη μεταφορά στην ελληνική έννομη τάξη της Οδηγίας (EE) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της απόφασης-πλαίσιο 2008/977/ΔΕΥ του Συμβουλίου.

Ο Γενκός Κανονσμός Προστασίας Προσωπικών Δεδομένων (ΓΚΠΔ) και ο νόμος 4624/2019 ενισχύει τα ήδη υφιστάμενα δικαιώματα των πολιτών (υποκειμένων των δεδομένων), ενώ παράλληλα κατοχυρώνει και νέα.

  • Δικαίωμα ενημέρωσης και διαφάνεια (άρθρα 12-14 ΓΚΠΔ): Είναι το δικαίωμα να γνωρίζετε ποιος επεξεργάζεται τα δεδομένα σας, ποια είναι αυτά και για ποιον λόγο. Οι οργανισμοί που επεξεργάζονται δεδομένα σας πρέπει να σας παρέχουν σαφείς πληροφορίες σε απλή γλώσσα.
  • Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων (άρθρο 15 ΓΚΠΔ): Έχετε το δικαίωμα να ζητήσετε δωρεάν πρόσβαση στα προσωπικά σας δεδομένα που διαθέτει ένας οργανισμός.
  • Δικαίωμα διόρθωσης (άρθρο 16 ΓΚΠΔ): Έχετε το δικαίωμα να ζητήσετε τη διόρθωση ανακριβών προσωπικών δεδομένων και συμπλήρωσης ελλιπών στοιχείων.
  • Δικαίωμα διαγραφής («δικαίωμα στη λήθη») (άρθρο 17 ΓΚΠΔ): Έχετε το δικαίωμα να ζητήσετε τη διαγραφή προσωπικών σας δεδομένων, υπό ορισμένες προϋποθέσεις, όπως όταν τα δεδομένα δεν είναι πλέον απαραίτητα, έχετε ανακαλέσει τη συγκατάθεσή σας, τα δεδομένα έχουν υποβληθεί σε παράνομη επεξεργασία, κ.ο.κ. Στο πλαίσιο αυτού του δικαιώματος έχετε τη δυνατότητα, υπό προϋποθέσεις, να ζητήσετε να διαγραφούν προσωπικά σας δεδομένα από κατάλογο αποτελεσμάτων μηχανής αναζήτησης.
  • Δικαίωμα περιορισμού της επεξεργασίας (άρθρο 18 ΓΚΠΔ): Έχετε το δικαίωμα να ζητήσετε τον περιορισμό της επεξεργασίας των προσωπικών σας δεδομένων όταν αμφισβητείται η ακρίβειά τους, η επεξεργασία είναι παράνομη, τα δεδομένα δεν χρειάζονται πλέον στον υπεύθυνο επεξεργασίας, έχετε αντιρρήσεις ως προς την αυτοματοποιημένη επεξεργασία.
  • Δικαίωμα στη φορητότητα των δεδομένων (άρθρο 20 ΓΚΠΔ): Έχετε το δικαίωμα να ζητήσετε τη μεταφορά των δεδομένων σας σε άλλον υπεύθυνο επεξεργασίας.
  • Δικαίωμα εναντίωσης (άρθρο 21 ΓΚΠΔ): Έχετε το δικαίωμα να εναντιωθείτε στην επεξεργασία προσωπικών σας δεδομένων από έναν οργανισμό, υπό την προϋπόθεση ότι δεν θίγεται το δημόσιο συμφέρον.
  • Δικαίωμα στη μη αυτοματοποιημένη ατομική λήψη αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ (άρθρο 22 ΓΚΠΔ): Έχετε το δικαίωμα να προβάλλετε αντιρρήσεις όταν μια απόφαση που σας αφορά βασίζεται αποκλειστικά σε αυτοματοποιημένη επεξεργασία, συμπεριλαμβανομένης της κατάρτισης προφίλ, και η απόφαση αυτή παράγει έννομα αποτελέσματα ή σας επηρεάζει σημαντικά.

>> Η Αρχή είναι επιφορτισμένη, μεταξύ άλλων, να:
  • Παρακολουθεί και επιβάλλει την εφαρμογή του ΓΚΠΔ, του ν. 4624/2019 και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου έναντι της προστασίας προσωπικών δεδομένων.
  • Χειρίζεται τις υποβληθείσες για παράβαση διατάξεων του ΓΚΠΔ καταγγελίες.
  • Διενεργεί έρευνες ή ελέγχους σχετικά με την εφαρμογή της νομοθεσίας περί προστασίας προσωπικών δεομένων.

Η Αρχή έχει αρμοδιότητα να χειρίζεται καταγγελίες και να ερευνά, αν χρειαστεί και από κοινού με εποπτικές αρχές άλλων κρατών μελών της ΕΕ, πιθανές παραβιάσεις της νομοθεσίας για την προστασία δεδομένων προσωπικού χαρακτήρα.

Οι καταγγέλλοντες μπορούν να υποβάλλουν την καταγγελία τους στην Αρχή ηλεκτρονικά μέσω της δικτυακής της πύλης με τη συμπλήρωση της αντίστοιχης ηλεκτρονικής φόρμας ανάλογα με τον τύπο της καταγγελίας.

Σε περίπτωση που, για οποιονδήποτε τεκμηριωμένο λόγο, δεν μπορείτε να συνδεθείτε στη διαδικτυακή πύλη της Αρχής, μπορείτε να υποβάλετε το αντίστοιχο έντυπο της καταγγελίας με έναν από τους παρακάτω αναφερόμενους τρόπους. Επισημαίνεται, όμως, ότι οι τρόποι αυτοί μπορούν να χρησιμοποιηθούν κατ’ εξαίρεση, ως επικουρική λύση υποβολής καταγγελίας στην Αρχή.

   



Information has been contributed by European Commission, EDPB, EDPS, Hellenic DPA, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 15 May 2025 08:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-097 http://blog.gdpr-awareness.eu/blog/rss/000000073 <![CDATA[Έξι Χρόνια ΓΚΠΔ]]> imblog

Έξι Χρόνια ΓΚΠΔ.

Η Ευρωπαϊκή Ένωση διαπιστώνει με την δεύτερη έκθεση για την εφαρμογή του ΓΚΠΔ ότι ο κανονισμός παράγει μεν αποτελέσματα στα έξι χρόνια της εφαρμογής του, αλλά η επιβολή του σε βασικούς τομείς θα πρέπει να βελτιωθεί.

Η έκθεση διαπιστώνει ότι ο κανονισμός εξακολουθεί να παράγει αποτελέσματα για τα φυσικά πρόσωπα και τις επιχειρήσεις, διασφαλίζοντας (α) ισχυρή προστασία για τα υποκείμενα των δεδομένων και (β) υποχρεώσεις με βάσει το επίπεδο κινδύνου για τους υπευθύνους επεξεργασίας και τους εκτελούντες την επεξεργασία.

>> Έξι χρόνια ΓΚΠΔ
Η έκθεση της Ευρωπαϊκής Επιτροπής διαπιστώνει ότι ο ΓΚΠΔ,  κατά τη διάρκεια των έξι (6) ετών από την έναρξη εφαρμογής του, έχει ενδυναμώσει τους πολίτες, παρέχοντας τους τη δυνατότητα να ασκούν αποτελεσματικό έλεγχο επί των δεδομένων τους. Έχει συμβάλει, επίσης, στη δημιουργία ίσων όρων ανταγωνισμού για τις επιχειρήσεις και έχει αποτελέσει τον ακρογωνιαίο λίθο για το ευρύ φάσμα πρωτοβουλιών, που προωθούν την ψηφιακή μετάβαση στην ΕΕ.

Ωστόσο, για την πλήρη επίτευξη του διττού στόχου του ΓΚΠΔ, δηλαδή για τη διασφάλιση, αφενός, ισχυρού επιπέδου προστασίας για τα φυσικά πρόσωπα και αφετέρου, της ελεύθερης ροής δεδομένων προσωπικού χαρακτήρα εντός της ΕΕ και ασφαλών ροών δεδομένων εκτός της ΕΕ, απαιτείται να εστιάσει στις εξής ενεργειες:
  • Αυστηρή επιβολή του ΓΚΠΔ: Αυστηρή επιβολή του ΓΚΠΔ ξεκινώντας από την ταχεία έγκριση της πρότασης της Επιτροπής για τους διαδικαστικούς κανόνες με στόχο την ταχεία παροχή έννομης προστασίας και ασφάλειας δικαίου σε υποθέσεις που επηρεάζουν φυσικά πρόσωπα σε ολόκληρη την ΕΕ.
  • Παροχή προνοητικής στήριξης: Παροχή προνοητικής στήριξης από τις Αρχές Προστασίας Δεδομένων προς τα ενδιαφερόμενα μέρη στις προσπάθειες συμμόρφωσης που καταβάλλουν, ιδίως προς τις ΜΜΕ, τους μικρούς φορείς επιχειρηματικότητας και τις ατομικές επιχειρήσεις.
  • Συνεκτική ερμηνεία και εφαρμογή του ΓΚΠΔ: Συνεκτική ερμηνεία και εφαρμογή του ΓΚΠΔ σε ολόκληρη την ΕΕ.
  • Αποτελεσματική συνεργασία μεταξύ των ρυθμιστικών αρχών: Αποτελεσματική συνεργασία μεταξύ των ρυθμιστικών αρχών τόσο σε εθνικό, όσο και σε πανευρωπαϊκό επίπεδο, για τη διασφάλιση της συνεπούς και συνεκτικής εφαρμογής του αυξανόμενου όγκου ψηφιακών κανόνων της ΕΕ.

To κέντρο της προσοχής της Ευρωπαϊκή Επιτροπή στο μέλλον είναι η υποστήριξη των προσπαθειών συμμόρφωσης των ενδιαφερομένων με τον ΓΚΠΔ, παρέχοντας προς το κοινό, μεταξύ άλλων, σαφέστερες και πιο εφαρμόσιμες οδηγίες από τις Αρχές Προστασίας Δεδομένων για μια πιο συνεπή ερμηνεία και επιβολή του ΓΚΠΔ σε ολόκληρη την ΕΕ.
Information has been contributed by European Commission, EDPB, EDPS, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 20 Dec 2024 09:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-096 http://blog.gdpr-awareness.eu/blog/rss/000000072 <![CDATA[Νέα Μέτρα για την Περαιτέρω Ενίσχυση της Εφαρμογής του ΓΚΠΔ]]> imblog

Νέα Μέτρα για την Περαιτέρω Ενίσχυση της Εφαρμογής του  ΓΚΠΔ.

Στις 25 Ιουλίου 2024, η Επιτροπή της ΕΕ δημοσίευσε τη δεύτερη έκθεσή της σχετικά με την εφαρμογή του ΓΚΠΔ (η «Δεύτερη Έκθεση»), μετά την πρώτη της έκθεση που δημοσιεύθηκε το 2020.

Από την πρώτη έκθεση, η ΕΕ έχει εισαγάγει περαιτέρω πρωτοβουλίες για την ενδυνάμωση της προστασίας των προσωπικών δεδομένων ειδικά απέναντι στις νέες τεχνολογίες.

Η Δεύτερη Έκθεση προσδιορίζει μια σειρά από ενέργειες που είναι απαραίτητες για την υποστήριξη της αποτελεσματικής εφαρμογής του ΓΚΠΔ, συμπεριλαμβανομένων εκείνων που παρατίθενται παρακάτω.

>> Συνεπής ερμηνεία και εφαρμογή του ΓΚΠΔ: Οι αρχές προστασίας δεδομένων (ΑΠΔ) έχουν επί του παρόντος διαφορετικές απόψεις σχετικά με την εφαρμογή βασικών εννοιών του ΓΚΠΔ. Για παράδειγμα, σε σχέση με τη νομική βάση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα ως μέρος μιας κλινικής δοκιμής, ποια οντότητα είναι ο υπεύθυνος επεξεργασίας και ποια οντότητα είναι ο εκτελών την επεξεργασία. Τα ενδιαφερόμενα μέρη έχουν αναγνωρίσει αυτή τη διαφορά στην ερμηνεία ως ένα από τα κύρια εμπόδια στη συνεπή εφαρμογή του ΓΚΠΔ.

>> Αυξημένοι πόροι για τις ΑΠΔ: Αν και οι στατιστικές δείχνουν ότι οι ΑΠΔ έχουν αυξηθεί σε μέγεθος, οι ίδιες οι ΑΠΔ θεωρούν ότι εξακολουθούν να μην έχουν επαρκές προσωπικό με τις εξειδικευμένες τεχνικές δεξιότητες και γνώσεις για την αντιμετώπιση των ζητημάτων ιδιωτικότητας που προκύπτουν από τις νέες τεχνολογίες. Οι ΑΠΔ σημειώνουν ότι το προσωπικό τους αφιερώνει πάρα πολύ χρόνο ασχολούμενο με ασήμαντα παράπονα καταναλωτών και όχι, για παράδειγμα, αρκετό χρόνο σε εκστρατείες ευαισθητοποίησης του κοινού, έρευνες ή συνεργασίες με υπευθύνους επεξεργασίας.

>> Εργαλεία διερεύνησης για τις ΑΠΔ: Η Δεύτερη Έκθεση σημειώνει ότι από το 2020, οι ΑΠΔ έχουν κάνει εκτεταμένη χρήση των διορθωτικών εξουσιών τους βάσει του ΓΚΠΔ, ιδίως για την επιβολή προστίμων. Οι προειδοποιήσεις, οι επιπλήξεις και οι εντολές συμμόρφωσης με τον ΓΚΠΔ ήταν τα πιο συχνά χρησιμοποιούμενα διορθωτικά μέτρα από τις ΑΠΔ μετά τα πρόστιμα. Η δεύτερη έκθεση προτείνει ότι οι ΑΠΔ θα πρέπει να συνεχίσουν να λαμβάνουν ερευνητικά εργαλεία από τα κράτη μέλη για να ασκούν αποτελεσματικά τις εξουσίες επιβολής που τους παρέχει ο ΓΚΠΔ.

>> Υιοθέτηση πρακτικών κατευθυντήριων γραμμών: Τα ενδιαφερόμενα μέρη βρήκαν τις κατευθυντήριες γραμμές του Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ), European Data Protection Board (EDPB) χρήσιμες, αλλά σημειώνουν ότι δεν αντικατοπτρίζουν πάντα την προσέγγιση βάσει κινδύνου του ΓΚΠΔ. Η δεύτερη έκθεση αναφέρει ότι οι ΑΠΔ θα πρέπει να συνεργαστούν με το ΕΣΠΔ για την ανάπτυξη συνοπτικών και πρακτικών κατευθυντήριων γραμμών στις οποίες θα έχουν επίσης πρόσβαση και άτομα χωρίς νομική κατάρτιση.

>> Καινοτόμοι τρόποι άσκησης των δικαιωμάτων τους από τα υποκείμενα των δεδομένων: Η δεύτερη έκθεση διαπίστωσε ότι τα υποκείμενα των δεδομένων γνωρίζουν όλο και περισσότερα για τον ΓΚΠΔ και είναι σε θέση να ασκήσουν τα δικαιώματά τους (ιδίως το δικαίωμα διαγραφής). Η νομοθεσία, όπως ο νόμος περί διακυβέρνησης δεδομένων, έχει ως στόχο να οδηγήσει σε καινοτόμους τρόπους τα υποκείμενα των δεδομένων να ασκήσουν τα δικαιώματά τους. Η δεύτερη έκθεση τονίζει επίσης τη σημασία της συνέχισης της ευαισθητοποίησης σχετικά με τα δικαιώματα και τις υποχρεώσεις προστασίας δεδομένων μεταξύ των υποκειμένων των δεδομένων, ιδίως των παιδιών, δεδομένης της αυξημένης παρουσίας τους στο διαδίκτυο τα τελευταία χρόνια.

>> Διεθνείς διαβιβάσεις δεδομένων: όσον αφορά τις εκτιμήσεις επιπτώσεων της διεθνούς μεταφοράς δεδομένων, η δεύτερη έκθεση επισημαίνει ότι είναι σημαντικό το ΕΣΠΔ, βασιζόμενο στην εμπειρία του στην εφαρμογή των απαιτήσεων της Schrems II, να εξετάσει το ενδεχόμενο να διερευνήσει τρόπους και εργαλεία για να βοηθήσει περαιτέρω την προσπάθεια των τους εξαγωγέων – μεταφορέων  δεδομένων στην προσπάθειές τους για συμμόρφωση. Για να συμπληρώσει τις υφιστάμενες τυπικές συμβατικές ρήτρες (Standard Contractual Clauses - SCC), η Ευρωπαϊκή Επιτροπή αναπτύσσει πρόσθετα σύνολα άρθρων ώστε να παρέχει στους εξαγωγείς -  μεταφορείς δεδομένων της ΕΕ ένα ολοκληρωμένο και συνεκτικό πακέτο όρων και συνθηκών στις οποίες να συμπεριλαμβάνονται και οι διαβιβάσεις προσωπικών δεδομένων σε εισαγωγείς δεδομένων τρίτων χωρών των οποίων οι εργασίες επεξεργασίας υπόκεινται άμεσα στον ΓΚΠΔ.

To κέντρο της προσοχής της Ευρωπαϊκή Επιτροπή στο μέλλον είναι η υποστήριξη των προσπαθειών συμμόρφωσης των ενδιαφερομένων με τον ΓΚΠΔ, παρέχοντας προς το κοινό, μεταξύ άλλων, σαφέστερες και πιο εφαρμόσιμες οδηγίες από τις Αρχές Προστασίας Δεδομένων για μια πιο συνεπή ερμηνεία και επιβολή του ΓΚΠΔ σε ολόκληρη την ΕΕ.


Information has been contributed by European Commission, EDPB, EDPS, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 22 Nov 2024 09:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-095 http://blog.gdpr-awareness.eu/blog/rss/000000071 <![CDATA[Συσχετισμοί μεταξύ GDPR και NIS2]]> imblog

Συσχετισμοί μεταξύ GDPR και NIS2.

Μέλη του European Association of Data Protection Professionals (EADPP) ερεύνησαν, ανέλυσαν και δημιουργήσαν το παρακάτω άρθρο.
Το NIS και το GDPR είναι διαφορετικοί κανονισμοί αλλά επικαλύπτονται. .
Είναι σημαντικό η σχέση μεταξύ τους να είναι κατανοητή.

>> Μέτρα Ασφαλείας με Βάση τον Κίνδυνο.
Και οι δύο κανονισμοί περιλαμβάνουν την κλασική έννοια της ασφάλειας πληροφοριών της εμπιστευτικότητας, της ακεραιότητας και της διαθεσιμότητας κατά την ανάλυση κινδύνων. Για την αντιμετώπιση του κινδύνου, είναι απαραίτητο να διενεργηθεί ανάλυση κινδύνου και να εφαρμοστούν κατάλληλα μέτρα για την εξασφάλιση της ασφάλειας κατά την επεξεργασία δεδομένων (άρθρο 32 GDPR) και την διαχείριση των κινδύνων που εγκυμονούν για την ασφάλεια των δικτύων και των συστημάτων πληροφοριών (άρθρο 21 NIS2).

>> Εντοπισμός, Διαχείριση και Αντιμετώπιση Περιστατικών Ασφαλείας και Παραβιάσεων Προσωπικών Δεδομένων.
Είναι πιθανό ένα περιστατικό NIS2 να είναι ή να δημιουργήσει και παραβίαση προσωπικών δεδομένων όπως ορίζεται από τον GDPR:
  • Πρώτον, αν και ο κανονισμός NIS αφορά τα «ψηφιακά δεδομένα» που σχετίζονται με τη λειτουργία, τη χρήση και τη συντήρηση συστημάτων πληροφορικής, αυτά τα δεδομένα θα μπορούσαν να περιλαμβάνουν προσωπικές πληροφορίες πελατών ή εργαζομένων, ανάλογα με τις περιστάσεις. Αυτό θα μπορούσε να σημαίνει ότι το περιστατικό NIS θα μπορούσε να είναι ταυτόχρονα παραβίαση προσωπικών δεδομένων.
  • Δεύτερον, ένα περιστατικό NIS μπορεί να οδηγήσει σε παραβίαση προσωπικών δεδομένων. Για παράδειγμα, όταν ένας εισβολέας στον κυβερνοχώρο έχει πραγματοποιήσει μια αρχική επίθεση σε μια υπηρεσία και στη συνέχεια θέτει σε κίνδυνο τα προσωπικά δεδομένα που επεξεργάζεται η υπηρεσία, όπως πληροφορίες πελατών.

>> Ειδοποιήσεις Συμβάντων, Υποβολή Αναφοράς.
  • Ανάλογα με το πλαίσιο, ο οργανισμός μπορεί να χρειαστεί να αναφέρει ένα περιστατικό τόσο στις «αρμόδιες αρχές ή στα μοναδικό σημεία επαφής», σύμφωνα με τον κανονισμό NIS2) όσο και στην «αρχή ελέγχου», σύμφωνα με τον κανονισμό GDPR εάν έχουν επίσης παραβιαστεί προσωπικά δεδομένα.
  • Είναι επιτακτική ανάγκη να γίνονται και οι δύο ειδοποιήσεις χωρίς αδικαιολόγητη καθυστέρηση, εντός 72 ωρών, από την στιγμή ανακάλυψης του περιστατικού παραβίασης, όποτε αυτό είναι δυνατόν.

>> Εφαρμογή Προστίμων.
Ενδέχεται ο οργανισμός να υπόκειται σε ρυθμιστικά μέτρα βάσει του κανονισμού GDPR ή / και του κανονισμού NIS2. Ωστόσο, οποιαδήποτε ενέργεια θα μπορούσε να σχετίζεται με διαφορετικές πτυχές του περιστατικού και να εγείρει πιθανά διαφορετικά αδικήματα με βάση τους συγκεκριμένους κανονισμούς. Η «ελεγκτική αρχή», σύμφωνα με τον GDPR, συνεργαζόμενη με τις «αρμόδιες αρχές ή τα μοναδικά σημεία επαφής» σύμφωνα με το NIS2, θα πρέπει σε αυτές τις περιπτώσεις να υιοθετούν κοινή προσέγγιση.

>> Κυβερνοαπειλές.
Οι απειλές στον κυβερνοχώρο (όπως phishing, ransomware) προκαλούν περιστατικά παραβίασης ασφαλείας. Τα περιστατικά αυτά αυξάνονται και αποτελούν σημαντική απειλή όταν αναφέρονται:
  • Στην λειτουργία δικτύων και συστημάτων πληροφοριών ή στη διακοπή της λειτουργίας συστημάτων: τότε το πεδίο εφαρμογής είναι ο κανονισμός NIS2
  • Σε προσωπικά δεδομένα με περιστατικά παραβιάσεων και διαρροής προσωπικών δεδομένων: τότε το πεδίο εφαρμογής είναι ο κανονισμός GDPR


Information has been contributed by EADPP, European Commission, EDPB, EDPS, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Wed, 25 Sep 2024 08:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-094 http://blog.gdpr-awareness.eu/blog/rss/00000006F <![CDATA[ΕΣΠΔ (EDPB): Οδηγίες, Συστάσεις, Βέλτιστες Πρακτικές 2023 – 2024]]> imblog

ΕΣΠΔ (EDPB): Οδηγίες, Συστάσεις, Βέλτιστες Πρακτικές 2023 – 2024

Το ΕΣΠΔ εκδίδει γενικές οδηγίες (συμπεριλαμβανομένων κατευθυντήριων γραμμών, συστάσεων και βέλτιστων πρακτικών) για τη διευκρίνιση της νομοθεσίας και την προώθηση της κοινής κατανόησης της νομοθεσίας της ΕΕ για την προστασία δεδομένων (ΓΚΠΔ και την Οδηγία Επιβολής του Νόμου καθώς και για άλλα σχετικά με την προστασία δεδομένων έγγραφα).

2024/06/19

2023/06/20

2023/05/24

2023/05/24

2023/05/17

2023/04/17

2023/04/17

2024/04/04

2023/02/24

2023/02/24

2023/02/24

Information has been contributed by European Commission, EDPB, EDPS, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 29 Aug 2024 08:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-093 http://blog.gdpr-awareness.eu/blog/rss/00000006E <![CDATA[Ειδοποίηση Παραβίασης Προσωπικών Δεδομένων στην Οικεία ΑΠΔ]]> imblog

Ειδοποίηση Παραβίασης Προσωπικών Δεδομένων στην Οικεία ΑΠΔ.

>> Αναφορά Παραβίασης Δεδομένων
Σύμφωνα με το άρθ. 33.1 του ΓΚΠΔ, όλες οι παραβιάσεις δεδομένων θα πρέπει να κοινοποιούνται στην αρμόδια ΑΠΔ, εκτός από εκείνες που είναι απίθανο να παρουσιάζουν κίνδυνο για τα άτομα.
Για τη διευκόλυνση αυτής της ειδοποίησης, οι ΑΠΔ έχουν εφαρμόσει διαδικασίες ή / και ηλεκτρονικές φόρμες που καθοδηγούν βήμα προς βήμα την κοινοποίηση της παραβίασης και για να διασφαλίσετε ότι παρέχετε όλες τις απαιτούμενες πληροφορίες στην ΑΠΔ.

>> Παραβίαση στο Πλαίσιο της Διασυνοριακής Επεξεργασίας.
Εάν η παραβίαση λάβει χώρα στο πλαίσιο της διασυνοριακής επεξεργασίας και απαιτείται κοινοποίηση, ο υπεύθυνος επεξεργασίας δεδομένων, εάν είναι εγκατεστημένος στον Ευρωπαϊκό Οικονομικό Χώρο (ΕΟΧ), θα πρέπει να ενημερώσει την κύρια ΑΠΔ. Έτσι, κατά τη σύνταξη του σχεδίου αντιμετώπισης παραβιάσεων, ο υπεύθυνος επεξεργασίας δεδομένων θα πρέπει ήδη να έχει αξιολογήσει ποια ΑΠΔ είναι η κύρια ΑΠΔ στην οποία θα χρειαστεί να κοινοποιήσει την παραβίαση. Εάν ο υπεύθυνος επεξεργασίας δεδομένων έχει οποιαδήποτε αμφιβολία ως προς την ταυτότητα της κύριας ΑΠΔ, τότε θα πρέπει, τουλάχιστον, να ενημερώσει την τοπική ΑΠΔ, την ΑΠΔ της έδρας του, όπου σημειώθηκε η παραβίαση.

>> Χρονική Διάρκεια από την Παραβίαση στην Ειδοποίηση.
Όπου απαιτείται ειδοποίηση, αυτή θα πρέπει να γίνει το συντομότερο δυνατό ή το μέγιστο εντός 72 ωρών αφότου ενημερωθείτε για την παραβίαση. Σε περίπτωση που αυτό δεν είναι δυνατό, θα απαιτηθεί έλεγχος - αιτιολόγηση για την καθυστέρηση. Ένας οργανισμός θα πρέπει να θεωρείται ότι έχει «συνειδητοποιήσει» μια παραβίαση όταν υπάρχει εύλογος βαθμός βεβαιότητας ότι έχει συμβεί περιστατικό ασφάλειας – παραβίαση και αυτή η παραβίαση έχει θέσει σε κίνδυνο προσωπικά δεδομένα για τα οποία είναι υπεύθυνος επεξεργασίας.
Σε περίπτωση που δεν είναι δυνατή η παροχή όλων των σχετικών πληροφοριών στην ΑΠΔ εντός της αρχικής περιόδου των 72 ωρών, η κοινοποίηση θα πρέπει να γίνεται σε διάφορα βήματα. Η αρχική κοινοποίηση πρέπει να υποβάλλεται άμεσα και περαιτέρω πληροφορίες ενδέχεται να παρέχονται σταδιακά.

>> Αποδεικτικά Στοιχεία Ελέγχου Παραβίασης.
Οι οργανισμοί για να μπορέσουν να αποδείξουν στην αρμόδια ΑΠΔ πότε και πώς ενημερώθηκαν για παραβίαση προσωπικών δεδομένων, συνιστάται (απαιτείται) σε όλους τους οργανισμούς, ως μέρος των εσωτερικών διαδικασιών τους για παραβιάσεις προσωπικών δεδομένων, να διαθέτουν ένα σύστημα καταγραφής του χρόνου και του τρόπου που αντιλαμβάνονται παραβιάσεις προσωπικών δεδομένων και του τρόπου και πώς αξιολόγησαν τον πιθανό κίνδυνο που ενέχει η παραβίαση.

>> Αναφορά Παραβίασης από τον Εκτελώντα την Επεξεργασία στον Υπεύθυνο Επεξεργασίας.
Ομοίως, κατά το άρθ. 33(2) του ΓΚΠΔ, εάν ο οργανισμό σας είναι ο εκτελών την επεξεργασία δεδομένων και επεξεργάζεται προσωπικά δεδομένα για λογαριασμό άλλου οργανισμού, πρέπει να ειδοποιήσετε τον υπεύθυνο επεξεργασίας δεδομένων για οποιαδήποτε παραβίαση προσωπικών δεδομένων χωρίς αδικαιολόγητη καθυστέρηση. Η άμεση ενημέρωση είναι καίριας σημασίας για να μπορέσει ο υπεύθυνος επεξεργασίας δεδομένων να συμμορφωθεί με τις υποχρεώσεις κοινοποίησης προς την οικεία ΑΠΔ σε εύθετο χρόνο.
Οι απαιτήσεις σχετικά με την αναφορά παραβίασης από τον εκτελούντα την επεξεργασία προς τον υπεύθυνο επεξεργασίας δεδομένων θα πρέπει επίσης να περιγράφονται λεπτομερώς στη σύμβαση μεταξύ του υπευθύνου επεξεργασίας δεδομένων και του εκτελούντος την επεξεργασία, όπως απαιτείται σύμφωνα με το άρθρο. 28 του ΓΚΠΔ.

>> Δεδομένα που πρέπει να Συμπεριληφθούν στην Αναφορά προς την ΑΠΔ.
Στην ειδοποίηση παραβίασης προσωπικών δεδομένων στην αρμόδια ΑΠΔ πρέπει τουλάχιστον:
  • Να περιγράψτε τη φύση της παραβίασης προσωπικών δεδομένων, και να συμπεριλάβετε όπου είναι δυνατόν, τις κατηγορίες δεδομένων και κατά προσέγγιση του αριθμού των ενδιαφερομένων ατόμων και τις κατηγορίες δεδομένων και κατά προσέγγιση του αριθμού των σχετικών αρχείων προσωπικών δεδομένων.
  • Να κοινοποιήστε το όνομα και τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων (ΥΠΔ) ή άλλου σημείου επικοινωνίας όπου μπορούν να ληφθούν περισσότερες πληροφορίες από την ΑΠΔ.
  • Να περιγράψετε τις πιθανές συνέπειες της παραβίασης προσωπικών δεδομένων και
  • Να περιγράψετε τα μέτρα που λαμβάνονται ή προτείνονται να ληφθούν από τον οργανισμό για την αντιμετώπιση της παραβίασης προσωπικών δεδομένων, συμπεριλαμβανομένων, κατά περίπτωση, μέτρων για τον μετριασμό των πιθανών δυσμενών συνεπειών της.

Information has been contributed by European Commission, EDPB, EDPS, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Mon, 15 Jul 2024 08:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-092 http://blog.gdpr-awareness.eu/blog/rss/00000006D <![CDATA[Ερωτηματολόγιο Συμμόρφωσης με τον ΓΚΠΔ της Gartner]]> imblog

Ερωτηματολόγιο Συμμόρφωσης με τον ΓΚΠΔ της Gartner.

Η Gartner δημιούργησε ένα ερωτηματολόγιο αυτοελέγχου συμμόρφωση με τον ΓΚΠΔ με το οποίο οι οργανισμοί προετοιμάζονται για εσωτερικούς και εξωτερικούς ελέγχους συμμόρφωσης με τον ΓΚΠΔ και ευρίσκουν κα διορθώνουν διαδικασίες και μηχανισμούς οι οποίοι δεν είναι σύννομές με τον ΓΚΠΔ.

Το ερωτηματολόγιο αποτελείται από τα εξής τμήματά:
1. Αρχές επεξεργασίας -  Processing Principles
2. Απόρρητο από σχεδιασμό και προεπιλογή - Privacy by design and default
3. Αξιολόγηση επιπτώσεων στην προστασία δεδομένων - Data protection impact assessment (DPIA)
4. Αρχεία επεξεργασίας - Records of processing (ROPA)
5. Δικαιώματα υποκειμένων των δεδομένων - Data subject rights
6. Συγκατάθεση και ειδοποιήσεις - Consent and notices
7. Διαχείριση παραβιάσεων - Breach management
8. Επεξεργαστές δεδομένων – Data Processors
9. Μεταφορές δεδομένων - Data transfers














Η Gartner παρέχει σε ηγετικούς οργανισμούς τις απαραίτητες νομικές συμβουλές και συμβουλές κανονιστικής συμμόρφωσης και εργαλεία για την επίτευξη των κρίσιμων για την αποστολή προτεραιοτήτων τους ώστς να τοποθετήσουν τον οργανισμό τους σε τροχιά  ανάπτυξης. Μπορεί επίσης η Gartner να βοηθήσει στην διαχείριση των κινδύνων συμμόρφωσης και προστασίας της ιδιωτικής ζωής.

Information has been contributed by Gartner, EDPB, EDPS, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Wed, 12 Jun 2024 08:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-091 http://blog.gdpr-awareness.eu/blog/rss/00000006C <![CDATA[Βασικά Στοιχεία Προστασίας Δεδομένων για ΜΜ Επιχειρήσεις]]> imblog

Βασικά Στοιχεία Προστασίας Δεδομένων για ΜΜ Επιχειρήσεις.

Αν είσαι μικρό-μεσαία επιχείρησή, για να βεβαιωθείτε ότι είστε συμμορφωμένη με τον κανονισμό προστασία προσωπικών δεδομένων (ΓΚΠΔ), διαβάστε τις  παρακάτω ερωτήσεις και απαντήστε στις ερωτήσεις της λίστας βέλτιστων πρακτικών προστασίας δεδομένων η οποία θα σας βοηθήσει να συμμορφωθείτε και να μείνετε συμμορφωμένη με τον ΓΚΠΔ.

>> Εφαρμόζεται ο ΓΚΠΔ στον οργανισμό σας;
Ο ΓΚΠΔ ισχύει για όλους τους ιδιωτικούς και δημόσιους οργανισμούς εάν:
Ο εν λόγω οργανισμός είναι εγκατεστημένος στην Ευρωπαϊκή Ένωση ή στον Ευρωπαϊκό Οικονομικό Χώρο (ΕΟΧ - χώρες ΕΕ + Ισλανδία, Λιχτενστάιν και Νορβηγία)· ή
ο οργανισμός δεν είναι εγκατεστημένος στον ΕΟΧ, αλλά τα προϊόντα ή οι υπηρεσίες του προσφέρονται σε άτομα που βρίσκονται στον ΕΟΧ ή ο οργανισμός παρακολουθεί τη συμπεριφορά ατόμων που βρίσκονται στον ΕΟΧ.
Ο ΓΚΠΔ εφαρμόζεται επίσης με τον ίδιο τρόπο σε κάθε υπεργολάβο που ενδέχεται να επεξεργάζεται προσωπικά δεδομένα ατόμων για λογαριασμό ιδιωτικού ή δημόσιου οργανισμού.

>> Τι σημαίνει επεξεργασία προσωπικών δεδομένων;
Η επεξεργασία προσωπικών δεδομένων ατόμων περιλαμβάνει κάθε είδους δραστηριότητα - επεξεργασία που πραγματοποιείται είτε με αυτοματοποιημένο είτε με χειρωνακτικό τρόπο είτε επί ,των είτε με την συμμετοχή προσωπικά δεδομένων φυσικών προσώπων.
Παραδείγματα εργασιών επεξεργασίας περιλαμβάνουν τη συλλογή, την καταγραφή, την οργάνωση, τη χρήση, την τροποποίηση, την αποθήκευση, την μεταφορά, ή την αποκάλυψη προσωπικών δεδομένων φυσικών προσώπων.
Ακόμη και αν ο ΓΚΠΔ σχετίζεται κυρίως με την αυτοματοποιημένη επεξεργασία προσωπικών δεδομένων σε ηλεκτρονική μορφή, οι λειτουργίες επεξεργασίας που εκτελούνται με μη αυτόματο τρόπο ή σε μη ηλεκτρονικά δεδομένα θα υπόκεινται επίσης στον ΓΚΠΔ από τη στιγμή που τα έντυπα αρχεία οργανώνονται με συστηματικό τρόπο, π.χ. αλφαβητική αρχειοθέτηση σε αρχειοθήκη.

>> Λίστα ελέγχου βέλτιστων πρακτικών προστασίας δεδομένων και συμμόρφωσης με τον ΓΚΠΔ.
  1. Αναρωτηθείτε εάν ο σκοπός για τον οποίο μπορεί να συλλέγονται προσωπικά δεδομένα φυσικών προσώπων είναι δικαιολογημένος.
  2. Συλλέξτε μόνο προσωπικά δεδομένα που είναι απαραίτητα για τον/τους προβλεπόμενο/ους συγκεκριμένους σκοπούς.
  3. Ενημερώστε τα φυσικά πρόσωπα σχετικά με το πώς και για ποιους σκοπούς μπορεί να υποβληθούν σε επεξεργασία τα προσωπικά τους δεδομένα.
  4. Ελέγξτε εάν έχετε την κατάλληλη νομική βάση για την επεξεργασία προσωπικών δεδομένων. Σε περίπτωση που σκοπεύετε να βασιστείτε στη συναίνεση των φυσικών προσώπων, ζητήστε τη συγκατάθεσή τους πριν επεξεργαστείτε τα προσωπικά τους δεδομένα.
  5. Βεβαιωθείτε ότι τα προσωπικά δεδομένα των φυσικών προσώπων αντιμετωπίζονται με ασφαλή τρόπο.
  6. Διατηρήστε τα προσωπικά δεδομένα των φυσικών προσώπων ακριβή, ενημερωμένα και με ασφάλεια.
  7. Διαγράψτε τα προσωπικά δεδομένα φυσικών προσώπων όταν δεν είναι πλέον απαραίτητα για την νόμιμη επεξεργασία. Λάβετε υπόψη ότι η εθνική νομοθεσία μπορεί να σας υποχρεώσει να διατηρείτε ορισμένα δεδομένα για μεγαλύτερο χρονικό διάστημα όπως π.χ. για φορολογικούς λόγους.

Information has been contributed by European Commission, EDPB, EDPS, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Tue, 14 May 2024 08:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-090 http://blog.gdpr-awareness.eu/blog/rss/00000006B <![CDATA[Διατήρηση Δεδομένων και Συμμόρφωση σε ένα Κανονιστικό Πλαίσιο]]> imblog

Διατήρηση Δεδομένων και Συμμόρφωση σε ένα Κανονιστικό Πλαίσιο όπως ο ΓΚΠΔ.

Η διατήρηση δεδομένων, που αναφέρεται επίσης ως διατήρηση αρχείων, είναι η συνεχής διατήρηση των πληροφοριών ενός οργανισμού είτε για λόγους συμμόρφωσης είτε επιχειρηματικούς σκοπούς.

Ο Γενικός Κανονισμός για την Προστασία Δεδομένων («ΓΚΠΔ») δεν υπαγορεύει συγκεκριμένα χρονοδιαγράμματα διατήρησης. Αντίθετα, υπογραμμίζει την αρχή ότι οι πληροφορίες πρέπει να αποθηκεύονται μόνο για όσο διάστημα είναι απαραίτητο. Αυτή η αρχή, η οποία περιγράφεται λεπτομερώς στο άρθρο 5 παράγραφος 1 στοιχείο (ε) του ΓΚΠΔ, υπογραμμίζει τη σημασία του περιορισμού της αποθήκευσης για την επίτευξη των αρχικών στόχων της συλλογής δεδομένων.

Ωστόσο, ορισμένες εξαιρέσεις επιτρέπουν μεγαλύτερες περιόδους διατήρησης, όπως για δημόσιο συμφέρον ή επιστημονική έρευνα, υπό την προϋπόθεση ότι εφαρμόζονται τα απαραίτητα μέτρα όπως η ανωνυμοποίηση ή η κρυπτογράφηση. Είναι ευθύνη των οργανισμών να κατανοήσουν τα δεδομένα τους, να γνωρίζουν ποια δεδομένα διαθέτουν, τον σκοπό για τον οποίο τα διαθέτουν και να αποφασίσουν εάν θα τα διαγράψουν ή αν θα τα διατηρήσουν ανωνυμοποιήμένα όταν δεν είναι πλέον απαραίτητα.

>> Διερεύνηση διατήρησης δεδομένων
Η διατήρηση δεδομένων περιλαμβάνει τη διαφύλαξη δεδομένων για καθορισμένη χρονική διάρκεια βάσει νομικών, κανονιστικών ή επιχειρηματικών αναγκών. Τα διαφυλασσόμενα δεδομένα περιλαμβάνουν διάφορους τύπους δεδομένων, όπως όλα τα ηλεκτρονικά έγγραφα, ψηφιοποιημένα έγγραφα και emails.

>> Απαιτείται διατήρηση δεδομένων «για κάθε περίπτωση».
Ορισμένοι οργανισμοί συσσωρεύουν δεδομένα χωρίς λόγο, δικαιολογώντας τα ως πιθανή μελλοντική χρήση. Ωστόσο, αυτή η πρακτική δεν ισχύει βάσει του ΓΚΠΔ. Η υιοθέτηση μιας τέτοιας νοοτροπίας θα μπορούσε να οδηγήσει στη συσσώρευση άσχετων, υπερβολικών ή ξεπερασμένων δεδομένων, τα οποία μπορούν να παραβιάσουν τα δικαιώματα των ατόμων αλλά και να βλάψουν τη φήμη του οργανισμού. Επιπλέον, η αποθήκευση περιττών δεδομένων αυξάνει το κόστος αποθήκευσης και ασφάλειας, εμποδίζοντας τη λειτουργική αποτελεσματικότητα, ειδικά όταν αντιμετωπίζουμε αιτήματα πρόσβασης των δεδομένων (data access requests) από τα υποκείμενα των δεομένων (data subjects).

>> Ορισμός διατήρησης δεδομένων
Αναπόσπαστο μέρος της διαχείρισης δεδομένων είναι η διατήρηση των δεδομένων με τρόπο ο οποίος διασφαλίζει ότι οι σχετικές πληροφορίες διατηρούνται κατάλληλα και προστατευμένες. Η σωστή διατήρηση των δεδομένων βοηθά στη νομική συμμόρφωση, προστατεύει από δικαστικές διαφορές, υποστηρίζει άμεσα τα αιτήματα πρόσβασης δεδομένων και εξασφαλίζει αποτελεσματικές επιστημονικές ή άλλες έρευνες.

>> Τύποι πολιτικών διατήρησης δεδομένων
Η διατήρηση δεδομένων είναι μια πολύπλοκη πτυχή της διαχείρισης δεδομένων, που απαιτεί σχολαστικό σχεδιασμό και τήρηση νομικών και επιχειρηματικών απαιτήσεων. Καθορίζοντας λεπτομερείς πολιτικές και διαδικασίες, οι οργανισμοί μπορούν να διαχειρίζονται αποτελεσματικά τα δεδομένα, διασφαλίζοντας τη συμμόρφωση και τη λειτουργική ανθεκτικότητα. Τύποι πολιτικών διατήρησης δεδομένων:
  • Διατήρηση Δεδομένων για Επιχειρηματικούς Σκοπούς: Πολιτική προσαρμοσμένη να ταιριάζει στις ανάγκες του οργανισμού, όπως η διατήρηση δεδομένων πελατών για σκοπούς μάρκετινγκ και διατήρηση των αρχείων των εργαζομένων.
  • Διατήρηση Δεδομένων για Νομικούς Σκοπούς: Πολιτική απαραίτητη για πιθανές νομικές διαφορές ή έρευνες, οι οποίες απαιτούν τη διατήρηση σχετικών δεδομένων.
  • Διατήρηση Δεδομένων για Ρυθμιστικούς Σκοπούς: Πολιτική υποχρεωτική από τον νόμο ή τους κανονισμούς του κλάδου, για παράδειγμα, διατήρηση δεδομένων σε χρηματοπιστωτικά ιδρύματα ή σε οργανισμούς παροχής υπηρεσιών υγείας.
Βασικά στοιχεία μιας πολιτικής διατήρησης δεδομένων:
  • Αντιμετώπιση της ασφάλειας και του απορρήτου.
  • Καθορισμός περιόδων διατήρησης και κριτηρίων απόρριψης.
  • Προσδιορισμός τύπων δεδομένων και πηγών.
  • Εφαρμογή Ελέγχων Παρακολούθησης και Συμμόρφωσης.
  • Επιλογή λύσεων τεχνολογίας και αποθήκευσης.

>> Σημασία της διατήρησης δεδομένων
Η διατήρηση δεδομένων είναι ζωτικής σημασίας για την κανονιστική συμμόρφωση, για την ανάκτηση δεδομένων από καταστροφές και για την εξασφάλιση της επιχειρηματική συνέχεια. Η μη συμμόρφωση μπορεί να οδηγήσει σε βαριές κυρώσεις, ενώ μια καλά δομημένη πολιτική διατήρησης δεδομένων μπορεί να βοηθήσει στη διαχείριση των κινδύνων και να διασφαλίσει την ομαλή λειτουργία κατά τη διάρκεια κρίσεων.

Το απόρρητο δεδομένων και η συμμόρφωση με τους κανονισμούς είναι βασικά στοιχεία της λειτουργίας μιας επιχείρησης. Οι οργανισμοί πρέπει να ακολουθούν τους νόμους και τα πρότυπα του κλάδου για να διασφαλίζουν την ασφάλεια των δεδομένων, το απόρρητο των δεδομένων και τον ηθικό χειρισμό των δεδομένων.

Η αποκρυπτογράφηση των περίπλοκων διαδικασιών της κανονιστικής συμμόρφωσης μπορεί να είναι εξουθενωτική.  Οι λύσεις της CubeIQ μπορούν να κάνουν τις διαδικασίες προστασίας δεδομένων και κανονιστικής συμμόρφωσης με τον ΓΚΠΔ  ή άλλους συναφείς κανονισμούς αποτελεσματικές και ευκολότερες με λύσεις που περιλαμβάνουν εφαρμογές λογισμικού:
>> Αναζήτησης σε δομημένα και αδόμητα δεδομένα.
>> Αποτελεσματικής αρχειοθέτηση αρχείων.
>> Αρχειοθέτησης, διαχείρισης και ανεύρεσης email.
>> Συντήρησης και αυτοματοποιημένης διαγραφής δεδομένων.
>> Επαυξημένης ασφάλεια, κρυπτογράφησης και ψευδο-ανωνυμοποίησης δεδομένων.

Information has been contributed by European Commission, EDPB, EDPS, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 25 Apr 2024 08:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-089 http://blog.gdpr-awareness.eu/blog/rss/00000006A <![CDATA[Αρχή Υποχρέωσης Λογοδοσίας]]> imblog

Η λογοδοσία είναι μια κοινή αρχή για οργανισμούς σε πολλούς κλάδους.

Ο ΓΚΠΔ ενσωματώνει τη λογοδοσία ως αρχή που απαιτείται να εφαρμόζεται από τους οργανισμούς ώστε να υποχρεούνται να παρουσιάζουν τα τεχνικά και οργανωτικά μέτρα που έχουν εφαρμόσει για την προστασία των Προσωπικών Δεδομένων (ΠΔ) και την αποτελεσματικότητα τους, όταν τους ζητηθεί. Η λογοδοσία δίνει την δυνατότητα στους οργανισμούς να αποδείξουν ότι συμμορφώνονται με τη νομοθεσία.

Μέτρα τα οποία πρέπει να λαμβάνονται:
  1. Επαρκή τεκμηρίωση σχετικά με τα προσωπικά δεδομένα που υφίστανται επεξεργασία.
  2. Πώς, για ποιο σκοπό και για πόσο χρόνο θα υποβάλλονται σε επεξεργασία τα δεδομένα.
  3. Τεκμηριωμένες διαδικασίες και διαδικασίες που στοχεύουν στην αντιμετώπιση θεμάτων προστασίας δεδομένων σε πρώιμο στάδιο κατά τη δημιουργία συστημάτων πληροφοριών ή την αντιμετώπιση παραβίασης δεδομένων. και
  4. Η παρουσία Υπεύθυνου Προστασίας Δεδομένων (εφόσον απαιτείται) ο οποίος είναι ενταγμένος στον προγραμματισμό και τις λειτουργίες του οργανισμού κ.λπ.

Καταγραφή Προσωπικών Δεδομένων
Ο κάθε οργανισμός τρέπει να καταγράψει όλα τα προσωπικά δεδομένα που διατηρεί και να τα εξετάσει κάτω από τις ακόλουθες αρχές:
  1. Γιατί διατηρούνται
  2. Πως αποκτήθηκαν
  3. Γιατί συγκεντρώθηκαν κατ’ αρχήν
  4. Πόσο χρονικό διάστημα θα τα διατηρήσετε
  5. Πόσο ασφαλή είναι η αποθήκευση τους από άποψη κρυπτογράφησης όσο και προσβασιμότητας;
  6. Αν τα μοιράζεστε με τρίτους και με ποια βάση επιτρέπετε να το κάνετε

Η δημιουργία του παραπάνω καταλόγου είναι το πρώτο και ποιο σημαντικό βήμα συμμόρφωση με την αρχή της λογοδοσίας του ΓΚΠΔ , η οποία απαιτεί από τους οργανισμούς να επιδεικνύουν (και, στις περισσότερες περιπτώσεις, να τεκμηριώνουν) τους τρόπους με τους οποίους συμμορφώνονται με τις αρχές προστασίας δεδομένων κατά τις συναλλαγές τους.

Η καταγραφή και η δημιουργία του καταλόγου επεξεργασίας ΠΔ δίνει την δυνατότητα στους οργανισμούς να διορθώνουν ή να τροποποιούν λανθασμένα ΠΔ ή να παρακολουθούν μελλοντικές ενημερώσεις των ΠΔ τρίτων, ενέργεια η οποία μπορεί να τους ζητηθεί να κάνουν.

Μέρος της αρχής λογοδοσίας του ΓΚΠΔ είναι η ανάλυση και μελέτη των διαδικασιών των σχετικών:
(α) με τους Υπεύθυνους Προστασίας Δεδομένων (Data Protection Officer – DPO),
(β) τις Εκτιμήσεις Επιπτώσεων Προστασίας Δεδομένων (Data Protection Impact Assessment – DPIA) και
(γ) την Προσέγγιση Βάσει Κινδύνων (Risk-Based Approach - RBA) στις δραστηριότητες επεξεργασίας του οργανισμού
ώστε να προσδιοριστεί ότι εάν κάποιο από τα κριτήρια που ορίζονται σε αυτές τις διαδικασίες είναι σχετικό με τις δραστηριότητες επεξεργασίας του οργανισμού.


Information has been contributed by European Commission, EDPB, EDPS, Hellenic DPA, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Mon, 12 Feb 2024 09:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-088 http://blog.gdpr-awareness.eu/blog/rss/000000069 <![CDATA[NIST: Οδηγός για την Προστασία των Προσωπικών Δεδομένων.]]> imblog

Η NIST έχει δημοσιεύσει έναν οδηγό για την προστασία του απορρήτου των προσωπικών Δεδομένων.

Το Εθνικό Ινστιτούτο Προτύπων και Τεχνολογίας των ΗΠΑ (US National Institute of Standards and Technology - NIST) δημοσίευσε έναν οδηγό για την προστασία του απορρήτου των προσωπικών πληροφοριών (personally identifiable information - PII) Το NIST, προκειμένου να αντιμετωπίσει τη συμμόρφωση με τις νομικές υποχρεώσεις όταν ένας οργανισμός χειρίζεται προσωπικά αναγνωρίσιμες πληροφορίες, έχει ορίσει ότι πρέπει να αντιμετωπιστούν τρία βασικά στοιχεία:
(α) Αρχιτεκτονική κυβερνοασφάλειας
(β) Ταξινόμηση πληροφοριών και
(γ) Διαδικασίες χειρισμού πληροφοριών.

Αυτά είναι τα τρία βασικά στοιχεία διαχείρισης προσωπικών πληροφοριών ώστε ένας οργανισμός να είναι συμμορφωμένος με τον ΓΚΠΔ, τον νόμο περί απορρήτου των καταναλωτών της Καλιφόρνια και άλλους συναφείς κανονισμούς.

>> Βασικές αρχές διαχείρισης προσωπικών δεδομένων του οδηγού NIST.
  • Οι οργανισμοί θα πρέπει να προσδιορίζουν όλα τα ΠΔ που είναι αποθηκευμένα στο περιβάλλον τους.
  • Οι οργανισμοί θα πρέπει να ελαχιστοποιούν τη χρήση, τη συλλογή και τη διατήρηση των ΠΔ σε ό,τι είναι απολύτως απαραίτητο για την επίτευξη του επιχειρηματικού τους σκοπού και αποστολής.
  • Οι οργανισμοί θα πρέπει να κατηγοριοποιήσουν τα ΠΔ τα οποία διαχειρίζονται με βάση το επίπεδο του αντικτύπου παραβίασης της εμπιστευτικότητας.
  • Οι οργανισμοί θα πρέπει να εφαρμόζουν τις κατάλληλες διασφαλίσεις για τα ΠΔ τα οποία διαχειρίζονται με βάση το επίπεδο του αντικτύπου παραβίαση της εμπιστευτικότητας.
  • Οι οργανισμοί θα πρέπει να αναπτύξουν ένα σχέδιο αντιμετώπισης περιστατικών για να χειριστούν παραβιάσεις που αφορούν ΠΔ
  • Οι οργανισμοί θα πρέπει να ενθαρρύνουν τον στενό συντονισμό μεταξύ των επικεφαλής αξιωματικών προστασίας προσωπικών δεδομένων, των ανωτέρων λειτουργών για την προστασία της ιδιωτικής ζωής, των επικεφαλής αξιωματικών πληροφοριακών συστημάτων, των επικεφαλής αξιωματικών ασφάλειας πληροφοριών και των νομικών συμβούλων για τον σχεδιασμό διαδικασιών και την αντιμετώπιση ζητημάτων που σχετίζονται με την ασφάλειας ΠΔ.


Information has been contributed by NIST, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Mon, 04 Dec 2023 09:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-087 http://blog.gdpr-awareness.eu/blog/rss/000000068 <![CDATA[EADPP Ευρωπαϊκές Τεχνολογικές Λύσεις Προστασίας Δεδομένων, 2η Έκδοση]]> imblog

EADPP Ευρωπαϊκές Τεχνολογικές Λύσεις Προστασίας Δεδομένων, 2η Έκδοση.

Ευρωπαϊκή Ένωση Επαγγελματιών Προστασίας Δεδομένων (European Association of Data Protection Professionals – EADPP) δημοσίευσε την 25η Σεπτεμβρίου την 2η έκδοση του καταλόγου Ευρωπαϊκών Τεχνολογικών Λύσεων Προστασίας Δεδομένων (European Data Protection Technology Solutions Catalogue).

Η νέα έκδοση του καταλόγου προσφέρει μια μεγάλη γκάμα εργαλείων και λύσεων που έχουν σχεδιαστεί για να προστατεύουν το απόρρητο των δεδομένων και να πληρούν τις κανονιστικές απαιτήσεις. Ο κατάλογος παρέχει επίσης χρήσιμες πληροφορίες για οργανισμούς που επιδιώκουν να βελτιώσουν τις πρακτικές προστασίας δεδομένων τους.

Ο Κατάλογος είναι μια μη εμπορική, εκπαιδευτική έκδοση που παρέχει βασικές πληροφορίες και πόρους για την προώθηση της συμμόρφωσης με τον Γενικό Κανονισμό Προστασίας Δεδομένων (GDPR) και διευκολύνει την κοινή χρήση δεδομένων που διατηρούνται με βάση την αρχή του απορρήτου των δεδομένων.

Ο Κατάλογος παρουσιάζει μια ποικιλία λύσεων τεχνολογίας που ανταποκρίνονται στις διαρκώς εξελισσόμενες ανάγκες των οργανισμών για την προστασία των προσωπικών δεδομένων και τη συμμόρφωση με τον ΓΚΠΔ.

Ο Κατάλογος είναι δομημένος από τις συγκεκριμένες πτυχές της προστασίας δεδομένων που αντιμετωπίζουν τα εργαλεία που περιγράφονται και τα σημεία ανησυχίας των χρηστών που τα εργαλεία στοχεύουν να επιλύσουν.



Information has been contributed by EADPP, EDPB, EDPS, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Wed, 22 Nov 2023 09:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-086 http://blog.gdpr-awareness.eu/blog/rss/000000067 <![CDATA[Ιρλανδική DPA: Μελέτες Ειδικών Περιπτώσεων (2018 - 2023)]]> imblog

Ιρλανδική Επιτροπή Προστασίας Δεδομένων έχει δημιουργήσει ένα φυλλάδιο που περιέχει 126 μελέτες ειδικών περιπτώσεων (case studies) από τα πρώτα πέντε χρόνια εφαρμογής του Γενικού Κανονισμού για την Προστασία Δεδομένων (GDPR). Οι μελέτες παρέχουν ενδιαφέρουσες πληροφορίες σχετικά με τις προσεγγίσεις της αρχής σε διάφορά θέματα σχετικά με την διαχείριση και προστασία προσωπικών δεδομένων.

Οι μελέτες ειδικών περιπτώσεων έχουν αναλυθεί ανά κατηγορία και κατηγοριοποιηθεί σε ευρετήριο, διευκολύνοντας την εύρεση σχετικών παραδειγμάτων.

Αποτελούν πολύτιμο εργαλείο αναφοράς κατά τη διερεύνηση του τρόπου με τον οποίο η Ιρλανδική Επιτροπή Προστασίας Δεδομένων προσεγγίζει τα παράπονα και μπορούν να χρησιμοποιηθούν ως μελέτες αναφορά για την επεξεργασία άλλων συναφών καταγγελιών και παραπόνων










Η CubeIQ, διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Tue, 14 Nov 2023 09:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-085 http://blog.gdpr-awareness.eu/blog/rss/000000065 <![CDATA[Πλαίσιο Προστασίας Προσωπικών Δεδομένων ΕΕ-ΗΠΑ, Απόφαση Eπάρκειας [EL]]]> imblog

Η απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής για τις διαβιβάσεις δεδομένων στις Ηνωμένες Πολιτείες της Αμερικής δημοσιεύτηκε στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης μεταφρασμένη σε όλες τις γλώσσες της Ένωσης. Μεταξύ αυτών και στα Ελληνικά.

Η "Εκτελεστική Απόφαση 2023/1795 της Επιτροπής της 10ης Ιουλίου 2023 σύμφωνα με τον κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, σχετικά με την επάρκεια του επιπέδου προστασίας των δεδομένων προσωπικού χαρακτήρα βάσει του πλαισίου ΕΕ-ΗΠΑ για την προστασία των δεδομένων", όπως είναι ο πλήρης τίτλος της, ανοίγει τον δρόμο για την ασφαλή διαβίβαση δεδομένων στις Ηνωμένες Πολιτείες, διαβίβαση η οποία είχε κλονιστεί μετά την απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης στην απόφαση Schrems II.

>> Απόφαση Επάρκειας.
Όπως έχει ήδη αναφερθεί σε άρθρο τον Ιουλίου 2023, η απόφαση καταλήγει στο συμπέρασμα ότι οι Ηνωμένες Πολιτείες εξασφαλίζουν επαρκές επίπεδο προστασίας, συγκρίσιμο με εκείνο της Ευρωπαϊκής Ένωσης, για τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την ΕΕ σε εταιρείες των ΗΠΑ βάσει του νέου πλαισίου. Βάσει της νέας απόφασης επάρκειας, τα δεδομένα προσωπικού χαρακτήρα μπορούν να διοχετεύονται με ασφάλεια από την ΕΕ στις εταιρείες των ΗΠΑ που συμμετέχουν στο πλαίσιο, χωρίς να χρειάζεται να θεσπιστούν πρόσθετες εγγυήσεις για την προστασία των δεδομένων.
Η απόφαση επάρκειας τέθηκε σε ισχύ με την έκδοσή της στις 11 Ιουλίου 2023.


>> Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ.
Το πλαίσιο ΕΕ-ΗΠΑ για την προστασία των δεδομένων εισάγει νέες δεσμευτικές εγγυήσεις για την αντιμετώπιση όλων των ανησυχιών που εξέφρασε το Δικαστήριο της Ευρωπαϊκής Ένωσης, συμπεριλαμβανομένου του περιορισμού της πρόσβασης των υπηρεσιών πληροφοριών των ΗΠΑ σε δεδομένα της ΕΕ σε ό,τι είναι αναγκαίο και αναλογικό, και της δημιουργίας ενός Δικαστηρίου Ελέγχου της Προστασίας Δεδομένων (DPRC), στο οποίο θα έχουν πρόσβαση άτομα από την ΕΕ.
Το νέο πλαίσιο εισάγει σημαντικές βελτιώσεις σε σύγκριση με τον μηχανισμό που υπήρχε στο πλαίσιο της ασπίδας προστασίας της ιδιωτικής ζωής. Για παράδειγμα, εάν το DPRC διαπιστώσει ότι τα δεδομένα συλλέχθηκαν κατά παράβαση των νέων διασφαλίσεων, θα είναι σε θέση να διατάξει τη διαγραφή των δεδομένων. Οι νέες διασφαλίσεις στον τομέα της πρόσβασης της κυβέρνησης σε δεδομένα θα συμπληρώσουν τις υποχρεώσεις που θα πρέπει να τηρούν οι αμερικανικές εταιρείες που εισάγουν δεδομένα από την ΕΕ.




Information has been contributed by European Commission, EDPB, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Mon, 06 Nov 2023 09:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-084 http://blog.gdpr-awareness.eu/blog/rss/000000064 <![CDATA[EADPP Ευρωπαϊκές Τεχνολογικές Λύσεις Προστασίας Δεδομένων]]> imblog

EADPP Ευρωπαϊκές Τεχνολογικές Λύσεις Προστασίας Δεδομένων.

Ευρωπαϊκή Ένωση Επαγγελματιών Προστασίας Δεδομένων (European Association of Data Protection Professionals – EADPP) δημοσίευσε την 27η Ιουνίου 2023 την 1η έκδοση του καταλόγου Ευρωπαϊκών Τεχνολογικών Λύσεων Προστασίας Δεδομένων (European Data Protection Technology Solutions Catalogue).

Ο κατάλογος προσφέρει μια μεγάλη γκάμα εργαλείων και λύσεων που έχουν σχεδιαστεί για να προστατεύουν το απόρρητο των δεδεομένων και να πληρούν τις κανονιστικές απαιτήσεις. Ο κατάλογος παρέχει επίσης χρήσιμες πληροφορίες για οργανισμούς που επιδιώκουν να βελτιώσουν τις πρακτικές προστασίας δεδομένων τους.






Information has been contributed by EADPP, EDPB, EDPS, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Wed, 06 Sep 2023 08:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-083-230906 http://blog.gdpr-awareness.eu/blog/rss/000000062 <![CDATA[EDPB Οδηγός Προστασίας Δεδομένων για Μικρές Επιχειρήσεις]]> imblog

EDPB Οδηγός Προστασίας Δεδομένων για Μικρές Επιχειρήσεις.

Εάν είστε ιδιοκτήτης μικρής επιχείρησης ή ατομική εταιρεία, επεξεργάζεστε Προσωπικά Δεδομένα («ΠΔ») σχετικά με το προσωπικό, τους καταναλωτές και τους επιχειρηματικούς εταίρους σας (Υποκείμενα των Δεδομένων – Data Subjects), και αγωνίζεστε να συμμορφωθείτε με τις ευθύνες σας σύμφωνα με τον ΓΚΠΔ, το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων δημοσίευσε τον «Οδηγό Προστασίας Δεδομένων για μικρές επιχειρήσεις».

O οδηγός δίνει οδηγίες για το:
  • Πώς θα συμμορφωθείτε με τον ΓΚΠΔ.
  • Πως να κατανοήσετε και θα προφυλάξετε τα δικαιώματα προστασίας δεδομένων.
  • Πώς θα επεξεργάζεστε τα προσωπικά δεδομένα.
  • Πως θα προστατεύσετε και θα ασφαλίσετε τα προσωπικά δεδομένα.
  • Τι ενέργειες θα πρέπει εκτελέσετε στην περίπτωση παραβίασης δεδομένων
  • Πως γίνεται η ειδοποίηση υποκειμένων στην περίπτωση παραβίασης δεδομένων.




Information has been contributed by EDPB, EDPS, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 10 Aug 2023 08:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-082-230810 http://blog.gdpr-awareness.eu/blog/rss/000000061 <![CDATA[Πλαίσιο Προστασίας Προσωπικών Δεδομένων ΕΕ-ΗΠΑ, Απόφαση Eπάρκειας]]> imblog

Στις 10 Ιουλίου 2023, η Ευρωπαϊκή Επιτροπή εξέδωσε την απόφασή της για την επάρκεια του Πλαισίου Προστασίας Δεδομένων ΕΕ-ΗΠΑ. Η απόφαση επάρκειας καταλήγει στο συμπέρασμα ότι οι Ηνωμένες Πολιτείες διασφαλίζουν επαρκές επίπεδο προστασίας σε σύγκριση με αυτό της ΕΕ για τα προσωπικά δεδομένα που μεταφέρονται από την ΕΕ σε εταιρείες των ΗΠΑ που συμμετέχουν στο πλαίσιο προστασίας προσωπικών δεδομένων ΕΕ-ΗΠΑ.

Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ.
Το Πλαίσιο Προστασίας Δεδομένων (data Privacy Framework) ΕΕ-ΗΠΑ (EU-US DPF) είναι μια συμφωνία μεταξύ της ΕΕ και των ΗΠΑ που ορίζει μια σειρά από νομικές υποχρεώσεις προστασίας δεδομένων με τις οποίες πρέπει να συμμορφώνονται οι οργανισμοί που πιστοποιούν βάσει του συστήματος.Το ΕΕ-ΗΠΑ DPF αποτελεί τη βάση για την απόφαση επάρκειας που εγκρίθηκε από την Επιτροπή της ΕΕ για τις ΗΠΑ. Η απόφαση επάρκειας και το ΕΕ-ΗΠΑ DPF μπορείτε να βρείτε εδώ.
Η διαπραγμάτευση του ΕΕ-ΗΠΑ DPF διεξήχθη αφού το Δικαστήριο των Ευρωπαϊκών Κοινοτήτων στην υπόθεση Schrems-II κήρυξε άκυρο το λεγόμενο σύστημα ασπίδας προστασίας (Privacy Shield) της ιδιωτικής ζωής. Αυτή η ρύθμιση μέχρι τότε είχε αποτελέσει τη βάση για την απόφαση επάρκειας που ίσχυε προηγουμένως για τις Ηνωμένες Πολιτείες.

Απόφαση Επάρκειας.
Η απόφαση επάρκειας σημαίνει ότι μπορείτε να μεταφέρετε προσωπικά δεδομένα στην εν λόγω τρίτη χώρα χωρίς να χρειάζεται να παράσχετε τις βασικές αρχές διαβίβασης του άρθρου 46 του ΓΚΠΔ, όπως π.χ. τις τυπικές διατάξεις ή τους δεσμευτικούς εταιρικούς κανόνες της Επιτροπής της ΕΕ. Αφ’ ετέρου, αρκεί η αναφορά στην απόφαση επάρκειας ως βάση για τη μεταβίβαση προσωπικών δεδομένων.
Η απόφαση επάρκειας τέθηκε σε ισχύ με την έκδοσή της στις 11 Ιουλίου 2023.

Επανεξέταση της Απόφασης Επάρκειας.
Δεν υπάρχει χρονικός περιορισμός, αλλά η Επιτροπή θα παρακολουθεί συνεχώς τις σχετικές εξελίξεις στις Ηνωμένες Πολιτείες και θα επανεξετάζει τακτικά την απόφαση επάρκειας.
Η πρώτη επανεξέταση θα πραγματοποιηθεί εντός ενός έτους από την έναρξη ισχύος της απόφασης επάρκειας, για να επαληθευτεί εάν όλα τα σχετικά στοιχεία του νομικού πλαισίου των ΗΠΑ λειτουργούν αποτελεσματικά στην πράξη. Στη συνέχεια, και ανάλογα με το αποτέλεσμα αυτής της πρώτης επανεξέτασης, η Επιτροπή θα αποφασίσει, σε διαβούλευση με τα κράτη μέλη της ΕΕ και τις αρχές προστασίας δεδομένων, σχετικά με την περιοδικότητα των μελλοντικών αναθεωρήσεων, οι οποίες θα πραγματοποιούνται τουλάχιστον κάθε τέσσερα χρόνια.
Η απόφαση επάρκειας μπορεί να προσαρμοστεί ή και να αποσυρθεί σε περίπτωση εξελίξεων που επηρεάζουν το επίπεδο προστασίας στην τρίτη χώρα (ΗΠΑ).

Ο αντίκτυπος της απόφασης στη δυνατότητα χρήσης άλλων (νομικών) εργαλείων για διαβιβάσεις δεδομένων στις Ηνωμένες Πολιτείες.
Όλες οι διασφαλίσεις που έχουν τεθεί σε εφαρμογή από την κυβέρνηση των ΗΠΑ στον τομέα της εθνικής ασφάλειας (συμπεριλαμβανομένου του μηχανισμού αποκατάστασης) ισχύουν για όλες τις διαβιβάσεις δεδομένων με βάση τον ΓΚΠΔ σε εταιρείες στις ΗΠΑ, ανεξάρτητα από τους μηχανισμούς μεταφοράς που χρησιμοποιούνται. Επομένως, αυτές οι διασφαλίσεις διευκολύνουν επίσης τη χρήση άλλων εργαλείων, όπως τυπικές συμβατικές ρήτρες και δεσμευτικούς εταιρικούς κανόνες.

Χρήση της Απόφασης Επάρκειας
Η απόφαση επάρκειας μπορεί να χρησιμοποιηθεί μόνο για τη μεταφορά προσωπικών δεδομένων σε οργανισμούς στις ΗΠΑ που έχουν πιστοποιηθεί σύμφωνα με το Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ στο Υπουργείο Εμπορίου των ΗΠΑ. Η λίστα των πιστοποιημένων οργανισμών, η οποία ενημερώνεται συνεχώς, μπορείτε να βρείτε εδώ.


Information has been contributed by European Commission, EDPB, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Tue, 11 Jul 2023 08:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-081-230711 http://blog.gdpr-awareness.eu/blog/rss/000000063 <![CDATA[EDPB Νέες Εκδόσεις Οδηγιών]]> imblog

EDPB Νέες Εκδόσεις Οδηγιών.

Οδηγία 01/2022 για τα δικαιώματα υποκειμένου των δεδομένων - δικαίωμα πρόσβασης, Έκδοση 2.0.
Στις 17 Απριλίου 2023, το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων - EDPB δημοσίευσε τις «Κατευθυντήριες γραμμές 01/2022 σχετικά με τα δικαιώματα των υποκειμένων των δεδομένων - δικαίωμα πρόσβασης, Έκδοση 2.0», που εγκρίθηκε στις 28 Μαρτίου 2023.
Το EDPB ενέκρινε την τελική έκδοση των κατευθυντήριων γραμμών για τα δικαιώματα των υποκειμένων των δεδομένων - δικαίωμα πρόσβασης. Οι κατευθυντήριες γραμμές αναλύουν τις διάφορες πτυχές του δικαιώματος πρόσβασης και παρέχουν πιο ακριβείς οδηγίες σχετικά με τον τρόπο με τον οποίο πρέπει να εφαρμόζεται το δικαίωμα πρόσβασης σε διαφορετικές καταστάσεις. Μεταξύ άλλων, οι κατευθυντήριες γραμμές παρέχουν διευκρινίσεις σχετικά με το εύρος του δικαιώματος πρόσβασης, τις πληροφορίες που πρέπει να παρέχει ο υπεύθυνος επεξεργασίας στο υποκείμενο των δεδομένων, τη μορφή του αιτήματος πρόσβασης, τους κύριους τρόπους παροχής πρόσβασης και την έννοια του προδήλως αβάσιμου ή των υπερβολικών αιτήσεων.
Επίσης, οι κατευθυντήριες γραμμές ενημερώθηκαν και προστέθηκαν περαιτέρω διευκρινίσεις σχετικά με διάφορες πτυχές που αναφέρθηκαν στη δημόσια διαβούλευση, καθώς και ορισμένες μικρές συντακτικές προσαρμογές για να εξασφαλιστεί η συνέπεια των διαφορετικών εννοιών.


Οδηγία 8/2022 για τον προσδιορισμό της κύριας εποπτικής αρχής του υπεύθυνου επεξεργασίας ή του εκτελούντος την επεξεργασία, Έκδοση 2.0.
Στις 17 Απριλίου 2023, το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων - EDPB δημοσίευσε την «Οδηγία 8/2022 για τον προσδιορισμό της κύριας εποπτικής αρχής του υπεύθυνου επεξεργασίας ή του εκτελούντος την επεξεργασία, Έκδοση 2.0», που εγκρίθηκε στις 28 Μαρτίου 2023.
Στις 5 Απριλίου 2017, η ομάδα εργασίας του άρθρου 29 ενέκρινε τις κατευθυντήριες γραμμές της για τον προσδιορισμό της κύριας εποπτικής αρχής του υπεύθυνου επεξεργασίας ή του εκτελούντος την επεξεργασία (έγγραφο WP244 rev.01), οι οποίες εγκρίθηκαν από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (εφεξής «EDPB») στην πρώτη του συνεδρίαση .
Οι κατευθυντήριες γραμμές WP29 (WP244 rev.01) σχετικά με την Κύρια Εποπτική Αρχή βάσει του ΓΚΠΔ (ΕΕ 2016/679), που αναθεωρήθηκε τελευταία και ενημερώθηκε στις 5 Απριλίου 2017, είναι διαθέσιμες στη διεύθυνση.
Η οδηγία 8/2022 είναι μια ελαφρώς ενημερωμένη έκδοση αυτών των οδηγιών. Οποιαδήποτε αναφορά στις Οδηγίες WP29 για τον προσδιορισμό της κύριας εποπτικής αρχής του υπεύθυνου επεξεργασίας ή του εκτελούντος την επεξεργασία (WP244 rev.01) θα πρέπει, στο εξής, να ερμηνεύεται ως αναφορά σε αυτές τις κατευθυντήριες γραμμές του EDPB.
Το EDPB παρατήρησε ότι χρειαζόταν περαιτέρω διευκρινίσεις, ειδικά όσον αφορά την έννοια της κύριας εγκατάστασης στο πλαίσιο του κοινού ελέγχου Εθνικών εποπτικών αρχών και λαμβάνοντας υπόψη την Οδηγία EDPB 07/2020 σχετικά με τις έννοιες του υπεύθυνου επεξεργασίας και του εκτελούντος την επεξεργασία στον ΓΚΠΔ.
Η παράγραφος που αφορά το θέμα αυτό έχει αναθεωρηθεί και ενημερωθεί, ενώ το υπόλοιπο έγγραφο έμεινε αμετάβλητο, εκτός από συντακτικές αλλαγές. Ειδικότερα, η αναθεώρηση αφορά την Ενότητα 2.1.3 για τους «κοινούς ελεγκτές».


Οδηγία 9/2022 σχετικά με την ειδοποίηση παραβίασης προσωπικών δεδομένων σύμφωνα με τον ΓΚΠΔ, Έκδοση 2.0.
Στις 4 Απριλίου 2023, το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων - EDPB δημοσίευσε την «Οδηγία 9/2022 σχετικά με την ειδοποίηση παραβίασης δεδομένων προσωπικού χαρακτήρα σύμφωνα με την έκδοση 2.0 του ΓΚΠΔ», που εγκρίθηκε στις 28 Μαρτίου 2023. Η νέα έκδοση ενημερώθηκε στην έκδοση 1.0, που εγκρίθηκε τον Οκτώβριο του 2022.
Μεταξύ των ενημερώσεων, η μερικώς τροποποιημένη παράγραφος 73 αναφέρει ότι "η απλή παρουσία ενός εκπροσώπου σε ένα κράτος μέλος δεν ενεργοποιεί το σύστημα μιας στάσης (one-stop-shop system). Για το λόγο αυτό, η παραβίαση θα πρέπει να κοινοποιηθεί στην κάθε εποπτική αρχή κράτους μέλος στο οποίο τα επηρεαζόμενα υποκείμενα των δεδομένων διαμένουν. Αυτή η κοινοποίηση (η αυτές οι κοινοποιήσεις) είναι ευθύνη του υπεύθυνου επεξεργασίας." Αυτό το τελευταίο μέρος έρχεται σε αντίθεση με την προηγούμενη έκδοση, η οποία ισχυριζόταν ξεκάθαρα ότι η κοινοποίηση «θα γινόταν σύμφωνα με την εντολή που έδωσε ο υπεύθυνος επεξεργασίας στον εκπρόσωπό του και υπό την ευθύνη του υπεύθυνου επεξεργασίας».
Στο ίδιο σημείωμα, το EDPB πρόσθεσε περαιτέρω ότι η λειτουργία του εκπροσώπου στην Ένωση «δεν είναι συμβατή με τον ρόλο του εξωτερικού υπευθύνου προστασίας δεδομένων («DPO»), επομένως η ευθύνη να ειδοποιηθεί η εποπτική αρχή στην περίπτωση παραβίασης προσωπικών δεδομένων παραμένει στον υπεύθθνο επεξεργασίας σύμφωνα με το άρθρο 27 παράγραφος 5 του ΓΚΠΔ. Ωστόσο, ένας εκπρόσωπος μπορεί να εμπλακεί στη διαδικασία κοινοποίησης εάν αυτό ορίζεται ρητά στη γραπτή εντολή".

Information has been contributed by EDPB, EDPS, CubeIQ and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το ργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 07 Jul 2023 08:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-080-230707 http://blog.gdpr-awareness.eu/blog/rss/000000060 <![CDATA[Προσόντα Υπεύθυνου Προστασίας Δεδομένων]]> imblog

Οδηγίες σχετικά με τα κατάλληλα προσόντα του Υπεύθυνου Προστασίας Δεδομένων.

Το άρθρο 37.5 του ΓΚΠΔ ορίζει ότι ο Υπεύθυνος Προστασίας Δεδομένων «ορίζεται με βάση τα επαγγελματικά προσόντα και, ειδικότερα, τις ειδικές γνώσεις της νομοθεσίας και των πρακτικών προστασίας δεδομένων και την ικανότητα εκπλήρωσης των καθηκόντων που αναφέρονται στο άρθρο 39».

Ο ΓΚΠΔ δεν καθορίζει τα απαιτούμενα επαγγελματικά προσόντα ούτε προδιαγράφει την εκπαίδευση που πρέπει να περάσει ένας ΥΠΔ για να έχει τα προσόντα για να αναλάβει το ρόλο. Αυτό επιτρέπει στους οργανισμούς να αποφασίζουν για τα προσόντα και την εκπαίδευση του ΥΠΔ τους ώστε αυτή να είναι προσαρμοσμένη στο πλαίσιο της επεξεργασίας δεδομένων του οργανισμού.

Το κατάλληλο επίπεδο προσόντων και ειδικών γνώσεων θα πρέπει να καθορίζεται ανάλογα με τις διενεργούμενες εργασίες επεξεργασίας δεδομένων προσωπικού χαρακτήρα, την πολυπλοκότητα και την κλίμακα της επεξεργασίας δεδομένων, την ευαισθησία των δεδομένων που υποβάλλονται σε επεξεργασία και την προστασία που απαιτείται για τα υπό επεξεργασία δεδομένα. Για παράδειγμα, όταν μια δραστηριότητα επεξεργασίας δεδομένων είναι ιδιαίτερα περίπλοκη ή όπου εμπλέκεται μεγάλος όγκος ή ευαίσθητα δεδομένα (π.χ. δεδομένα από το διαδίκτυο ή δεδομένα ασφαλιστικής εταιρείας), ο ΥΠΔ ενδέχεται να χρειάζεται υψηλότερο επίπεδο εμπειρίας και τεχνικής υποστήριξης.

Οι προτεινόμενες σχετικές δεξιότητες και εξειδίκευση περιλαμβάνουν:
  • Εξειδίκευση σε εθνικούς και ευρωπαϊκούς νόμους και πρακτικές προστασίας δεδομένων, συμπεριλαμβανομένης της εις βάθος κατανόησης του ΓΚΠΔ.
  • Κατανόηση των εργασιών επεξεργασίας που πραγματοποιούνται.
  • Κατανόηση των τεχνολογιών πληροφορικής και της ασφάλειας δεδομένων.
  • Γνώση του επιχειρηματικού τομέα και του ιδίου του οργανισμού.
  • Ικανότητα προώθησης μιας κουλτούρας προστασίας δεδομένων εντός του οργανισμού.


Για παράδειγμα, ένας ΥΠΔ για να εκτελέσει επαρκώς τα καθήκοντά του μπορεί να χρειάζεται ένα επίπεδο ειδικών γνώσεων σε ορισμένες συγκεκριμένες λειτουργίες πληροφορικής, διεθνείς μεταφορές δεδομένων ή εξοικείωση με ειδικές πρακτικές προστασίας δεδομένων, όπως η επεξεργασία δεδομένων του δημόσιου τομέα και η κοινή χρήση δεδομένων.

Λαμβάνοντας υπόψη την κλίμακα, την πολυπλοκότητα και την ευαισθησία των εργασιών επεξεργασίας δεδομένων τους, οι οργανισμοί θα πρέπει να αποφασίζουν εκ των προτέρων για τα προσόντα και το επίπεδο εκπαίδευσης που απαιτούνται για τον ΥΠΔ τους.

Κατά τη διεξαγωγή μιας τέτοιας αξιολόγησης, οι οργανισμοί θα πρέπει να γνωρίζουν ότι υπάρχουν διάφορες επιλογές εκπαίδευσης που μπορούν να επιδιωχθούν. Ορισμένα μαθήματα κατάρτισης έχουν διάρκεια μια ημέρα, ενώ μερικά άλλα είναι μόνο διαδικτυακά. Άλλα οδηγούν σε ακαδημαϊκά διαπιστευμένα πιστοποιητικά, όπως διπλώματα από εθνικές νομικές εταιρείες. Υπάρχουν επίσης και προγράμματα επαγγελματικής κατάρτισης που είναι αναγνωρισμένα διεθνώς και που προσφέρουν επαγγελματικά προσόντα που απαιτούν συνεχή δέσμευση στην κατάρτιση προκειμένου να διατηρηθεί το επαγγελματικό προσόν.

Προτείνουμε να λαμβάνεται υπόψη ο ακόλουθος μη εξαντλητικός κατάλογος παραγόντων κατά την επιλογή του κατάλληλου εκπαιδευτικού προγράμματος του ΥΠΔ:
  • Το περιεχόμενο και τα μέσα της εκπαίδευσης και της αξιολόγησης.
  • Εάν απαιτείται εκπαίδευση η οποία να οδηγεί στην πιστοποίηση.
  • Το κύρος του φορέα διαπίστευσης.
  • Εάν η εκπαίδευση και η πιστοποίηση αναγνωρίζονται διεθνώς.

Σε κάθε περίπτωση, ένας ΥΠΔ θα πρέπει να διαθέτει κατάλληλο επίπεδο εξειδίκευση στη νομοθεσία και τις πρακτικές προστασίας δεδομένων, ώστε να μπορεί να ασκήσει τον κρίσιμο ρόλο του.


Information has been contributed by EDPB, EDPS, HDPA, CYDPA, CubeIQ, European Committee and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Mon, 22 May 2023 08:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-079-230522 http://blog.gdpr-awareness.eu/blog/rss/00000005F <![CDATA[Δημιουργία Αρχείου Περιγραφής Δραστηριοτήτων]]> imblog

Η δημιουργία του Αρχείου Περιγραφής Δραστηριοτήτων Επεξεργασίας – ΑΠΔΕ (Record of Processing Activities – RoPA) και η τακτική ενημέρωσή του είναι σημαντική διότι:
  1. Σύμφωνα με τον ΓΚΠΔ, είναι νομική απαίτηση να τεκμηριώσετε τις δραστηριότητες επεξεργασίας σας και να τις διατηρείτε ενημερωμένες.
  2. Με την δημιουργία του ΑΠΔΕ γίνεται κατανόηση των προσωπικών δεδομένων που διαθέτετε, περιγράφεται το πού και τι κάνετε με αυτά και καθιστά πολύ πιο εύκολο να βελτιώσετε την διαχείριση αυτών, την ασφάλεια αυτών και να συμμορφωθείτε με τη νομοθεσία περί προστασίας προσωπικών δεδομένων.
  3. Στο ΑΠΔΕ αναφέρεται κάθε κατηγορία προσωπικών δεδομένων που διαχειρίζεστε  και περιγράφεται κάθε επεξεργασία επί αυτών.
  4. Στο ΑΠΔΕ περιγράφεται η ακριβή χρήσης των δεδομένων και τα τεχνικά και οργανωτικά μέτρα που έχετε λάβει για την προστασία των δεδομένων αυτών.
  5. Το ΑΠΔΕ δείχνει ποιος επηρεάζεται από την επεξεργασία των προσωπικών δεδομένων και τον αποδέκτη  μιας επεξεργασίας τους. Όλοι οι πιθανοί επεξεργαστές (data processors) προσωπικών δεδομένων καταγράφονται στο ΑΠΔΕ.



Βασικές απαιτήσεις και πληροφορίες απαιτούνται για την δημιουργία και τακτική ενημέρωση του Αρχείου Περιγραφής Δραστηριοτήτων Επεξεργασίας – ΑΠΔΕ:
  1. Όνομα οργανισμού και στοιχεία επικοινωνίας είτε πρόκειται για ελεγκτή (data controller), είτε για επεξεργαστή (data processor).
  2. Κατά περίπτωση, ο κοινός ελεγκτής, ο εκπρόσωπός τους και ο Υπεύθυνος Προστασίας Δεδομένων – ΥΠΔ (Data Protection Officer – DPO).
  3. Οι σκοποί της επεξεργασίας των προσωπικών δεδομένων.
  4. Περιγραφή των κατηγοριών των ατόμων και των προσωπικών δεδομένων.
  5. Τις κατηγορίες αποδεκτών προσωπικών δεδομένων.
  6. Αν τα προσωπικά δεδομένα  μεταφέρονται σε τρίτε χώρες, λεπτομέρειες για τις μεταφορές των προσωπικών δεδομένων σε τρίτες χώρες, συμπεριλαμβανομένης της καταγραφής του μηχανισμού μεταφοράς  των προσωπικών δεδομένων (αρχείου) και των διασφαλίσεων και προφυλάξεων που λήφθηκαν και ισχύουν κατά την μεταφορά.
  7. Περιγραφή των ισχυόντων τεχνικών και οργανωτικών μέτρων ασφαλείας.
  8. Οι υπεύθυνοι επεξεργασίας δεδομένων (data processors) πρέπει να διατηρούν αρχεία με τις υποβολές σε επεξεργασίες όλων των προσωπικών δεδομένων για λογαριασμό όλων των υπευθύνων επεξεργασίας (data controllers).



Information has been contributed by EDPB, EDPS, CubeIQ, European Committtee and other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Tue, 02 May 2023 08:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-078-230502 http://blog.gdpr-awareness.eu/blog/rss/00000005E <![CDATA[Γνώμη της Επιτροπής LIBE για το Πλαίσιο Προστασίας Δεδομένων μεταξύ ΕΕ-ΗΠΑ]]> imblog

Η Επιτροπή Πολιτικών Ελευθεριών, Δικαιοσύνης και Εσωτερικών Υποθέσεων του Ευρωπαϊκού Κοινοβουλίου (The European Parliament Committee on Civil Liberties, Justice and Home Affairs - LIBE) δεν θέλει η Ευρωπαϊκή Επιτροπή να επεκτείνει μια απόφαση επάρκειας των ΗΠΑ με βάση το προσφάτως προτεινόμενο από τις ΗΠΑ Πλαίσιο Προστασίας Δεδομένων μεταξύ ΕΕ-ΗΠΑ.

Η επιτροπή κατέστησε αυτήν την θέση όσον το δυνατόν πιο σαφή στο σχέδιο γνωμοδότησής της για την επάρκεια των ΗΠΑ όσον αφορά την Προστασίας Δεδομένων μεταξύ ΕΕ-ΗΠΑ  η οποία δημοσιεύτηκε στις 14 Φεβρουαρίου 2023.

Στη γνώμη τους, τα μέλη της επιτροπής κατέληξαν στο συμπέρασμα ότι το προτεινόμενο Πλαίσιο Προστασίας Δεδομένων – ΠΠΔ (Data Protection Framework – DPF) «αποτυγχάνει να δημιουργήσει πραγματική ισοδυναμία στο επίπεδο προστασίας» που προσφέρεται βάσει του Γενικού Κανονισμού για την Προστασία Δεδομένων - ΓΚΠΔ της ΕΕ και προέτρεψαν την Ευρωπαϊκή Επιτροπή να λάβει απόφαση μόνο όταν «εισάγονται ουσιαστικές μεταρρυθμίσεις, ιδίως για σκοπούς εθνικής ασφάλειας και πληροφοριών» από την πλευρά των Η.Π.Α.»

Η προτροπή έρχεται αφότου η επιτροπή LIBE φιλοξένησε τον Ευρωπαίο Επίτροπο Δικαιοσύνης Ντιντιέ Ρέιντερς στις 31 Ιανουαρίου και του έθεσε σειρά ερωτήσεων σχετικά με το προτεινόμενο ΠΠΔ και την πιθανή επάρκεια του.



Information has been contributed by CubeIQ, European Commission LIBE, IAPP and the other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 07 Apr 2023 08:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-077-230407 http://blog.gdpr-awareness.eu/blog/rss/00000005C <![CDATA[Ελληνικός Νόμος Προστασίας Πληροφοριοδοτών]]> imblog

Με τον Νόμο 4990/2022 τέθηκε σε ισχύ και ενσωματώθηκε στην Ελληνική νομοθεσία η ανάπτυξη ενός ολοκληρωμένου πλαισίου προστασίας των προσώπων που κάνουν αναφορά σε παραβιάσεις του δικαίου της Ευρωπαϊκής Ένωσης που ορίστηκε από την Ευρωπαϊκή Οδηγία (ΕΕ) 2019/1937 για το Whistleblowing.

Οι βασικές αρχές του νόμου είναι για κάθε υπόχρεα νομική οντότητα:
  • H ανάπτυξη ενός συστήματος εσωτερικής και εξωτερικής αναφοράς παραβιάσεων.
  • H προστασία των προσώπων που αναφέρουν τις εν λόγω παραβιάσεις.
  • H οργάνωση της διαδικασίας υποβολής, παραλαβής και παρακολούθησης των αναφορών και
  • Ο προσδιορισμός των προβλεπόμενων κυρώσεων.

Υπόχρεες νομικές οντότητες για συμμόρφωση με τον νόμο είναι:
  1. Δημόσιοι και ιδιωτικοί φορείς με προσωπικό άνω των 50 εργαζομένων. Αυτές οι νομικές οντότητες έχουν την υποχρέωση μέχρι τις 17/12/2023 (α) να ορίσουν Υπεύθυνο Παραλαβής και Παρακολούθησης Αναφορών (“ΥΠΠΑ”) και (β) να γνωστοποιήσουν αυτόν προς την Επιθεώρηση Εργασίας εντός δύο (2) μηνών από τον ορισμό του.
  2. Οι φορείς του ιδιωτικού τομέα που απασχολούν λιγότερους από πενήντα (50) εργαζομένους δύνανται να ορίζουν ΥΠΠΑ. Στις περιπτώσεις στις οποίες δεν υπάρχει ΥΠΠΑ., η αναφορά μπορεί να υποβληθεί στην Εθνική Αρχή Διαφάνειάς («ΕΑΔ»).
  3. Δημόσιοι και ιδιωτικοί φορείς που ασχολούνται με χρηματοπιστωτικές υπηρεσίες, προϊόντα και αγορές ή με δραστηριότητες που μπορούν να προκαλέσουν κίνδυνο στο περιβάλλον και στη δημόσια υγεία ή λειτουργούν βάσει απόφασης έγκρισης περιβαλλοντικών όρων υποχρεούνται να ορίσουν ΥΠΠΑ, ανεξάρτητα από τον αριθμό εργαζομένων τους.

Υποχρεώσεις κατά την λειτουργία:
  1. Ο ΥΠΠΑ μπορεί να είναι είτε εργαζόμενος του φορέα ιδιωτικού τομέα είτε τρίτο πρόσωπο και αναφέρεται απευθείας στο ανώτατο διοικητικό όργανο της Εταιρείας.
  2. Καθήκοντα ΥΠΠΑ δεν μπορούν να ασκήσουν εκείνοι:
    1. Κατά των οποίων εκκρεμεί ποινική δίωξη για οποιοδήποτε κακούργημα και για ένα αριθμό εγκλημάτων τα οποία περιγράφονται στον νόμο.
    2. Που έχουν καταδικαστεί για κακούργημα ή για κάποιο από τα εγκλήματα τα οποία περιγράφονται στον νόμο.
    3. Δημοσιών Υπάλληλων («ΔΥ») κατά των οποίων έχει ασκηθεί πειθαρχική δίωξη για πειθαρχικό παράπτωμα που δύναται να επισύρει την πειθαρχική ποινή της οριστικής παύσης.
    4. ΔΥ στους οποίους έχει επιβληθεί τελεσίδικα οποιαδήποτε πειθαρχική ποινή, ανώτερη του προστίμου αποδοχών τεσσάρων (4) μηνών για οποιαδήποτε πειθαρχικό παράπτωμα, μέχρι τη διαγραφή της ποινής.
    5. ΔΥ που τελούν σε αργία ή διαθεσιμότητα, ή που έχουν τεθεί σε αναστολή άσκησης καθηκόντων.
  3. Υποχρέωση εμπιστευτικότητας: Τα δεδομένα προσωπικού χαρακτήρα και κάθε είδους πληροφορίες που οδηγούν, άμεσα ή έμμεσα, στην ταυτοποίηση του αναφέροντος, να μην αποκαλύπτονται σε οποιονδήποτε άλλον πέρα από τα εξουσιοδοτημένα μέλη του προσωπικού που είναι αρμόδια να λαμβάνουν. Οι υπόχρεοι φορείς υποχρεούνται να λαμβάνουν τα κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως τεχνικές ψευδωνυμοποίησης, κατά την παρακολούθηση της αναφοράς και την επικοινωνία με τις αρμόδιες αρχές.
  4. Μέσα αναφοράς: Η εκάστοτε αναφορά υποβάλλεται γραπτώς ή προφορικώς ή μέσω ηλεκτρονικής πλατφόρμας προσβάσιμης και σε άτομα με αναπηρία, η οποία λειτουργεί στον διαδικτυακό τόπο του δημόσιου ή ιδιωτικού φορέα. Η προφορική αναφορά είναι δυνατό να υποβληθεί μέσω τηλεφώνου ή άλλων συστημάτων φωνητικών μηνυμάτων, καθώς και μέσω προσωπικής συνάντησης με τον ΥΠΠΑ. εντός εύλογου χρονικού διαστήματος, κατόπιν αίτησης του αναφέροντος. Στην περίπτωση Η προφορική αναφορά, αναφοράς μέσω τηλεφώνου ή μέσω προσωπικής συνάντησης με τον ΥΠΠΑ επιτρέπεται η καταγραφή της συνομιλίας εφόσον ο αναφέρων έχει νομίμως συγκατατεθεί.
  5. Μηχανισμός αναφοράς: Οι φορές υποχρεούνται στην δημιουργία εσωτερικού διαύλου – μηχανισμού αναφοράς, και ορισμού ΥΠΠΑ  για τις ιδιωτικές εταιρίες που απασχολούν από 50 έως 249 εργαζομένους έως την 17η Δεκεμβρίου 2023 και για τις ιδιωτικές επιχειρήσεις που απασχολούν πάνω από 249 εργαζομένους ή ασχολούνται με χρηματοπιστωτικές ή λειτουργούν βάσει απόφασης έγκρισης περιβαλλοντικών όρων εντός 6 μηνών από την έναρξη ισχύος του ν. 4990/2022.
  6. Υποχρεωτική τήρηση αρχείων: Οι αναφορές αποθηκεύονται για εύλογο και αναγκαίο χρονικό διάστημα, προκειμένου να είναι ανακτήσιμες και να τηρηθούν οι απαιτήσεις που επιβάλλονται από τον παρόντα νόμο, το δίκαιο τη ένωσης  ή το εθνικό δίκαιο και πάντως κατ’ ελάχιστον μέχρι την ολοκλήρωση κάθε έρευνας ή δικαστικής διαδικασίας που έχει εκκινήσει ως συνέπεια της αναφοράς σε βάρος του αναφερομένου, του αναφέροντος ή τρίτων προσώπων.



Information has been contributed by CubeIQ, Hellenic NTA, and the other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Wed, 15 Mar 2023 09:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-078-230315 http://blog.gdpr-awareness.eu/blog/rss/00000005B <![CDATA[Ανωνυμοποίηση και Ψευδωνυμοποίηση]]> imblog

Οι οργανισμοί που επεξεργάζονται προσωπικά δεδομένα πρέπει να γνωρίζουν ότι όταν εφαρμόζεται αποτελεσματικά η ανωνυμοποίηση και η ψευδωνυμοποίηση προστατεύονται αποτελεσματικά τα προσωπικά δεδομένο και το δικαίωμα απορρήτου των μεμονωμένων υποκειμένων των δεδομένων και με αυτόν το τρόπο επιτρέπεται στους οργανισμούς να εξισορροπήσουν το δικαίωμα στην προστασία των προσωπικών δεδομένων με τους νόμιμους στόχους επεξεργασίας τους οποίους έχουν ορίσει.


Τι είναι η ανωνυμοποίηση;
  • Ως "Ανωνυμοποίηση" των δεδομένων νοείται η επεξεργασία τους με στόχο την μη αναστρέψιμη και αμετάκλητη αποτροπή της ταυτοποίησης του ατόμου με το οποίο σχετίζονται.
  • Τα δεδομένα μπορούν να θεωρηθούν αποτελεσματικά και επαρκώς ανώνυμα εάν δεν σχετίζεται με ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο ή εάν έχει καταστεί ανώνυμο με τέτοιο τρόπο ώστε το υποκείμενο των δεδομένων να μην είναι ή να μην μπορεί πλέον να είναι αναγνωρίσιμο.
  • Αυτή τη στιγμή βρίσκεται σε εξέλιξη πολλή έρευνα στον τομέα της ανωνυμοποίησης και η γνώση σχετικά με την αποτελεσματικότητα των διαφόρων τεχνικών ανωνυμοποίησης αλλάζει συνεχώς. Επομένως, είναι αδύνατο να πούμε ότι μια συγκεκριμένη τεχνική θα είναι 100% αποτελεσματική στην προστασία της ταυτότητας των υποκειμένων των δεδομένων, αλλά αυτή η αναφορά έχει σκοπό να βοηθήσει στον εντοπισμό και την ελαχιστοποίηση των κινδύνων για τα υποκείμενα των δεδομένων κατά την ανωνυμοποίηση δεδομένων.
  • Στην περίπτωση της ανωνυμοποίησης, με τον όρο «ταυτοποίηση» εννοούμε τη δυνατότητα ανάκτησης του ονόματος ή/και της διεύθυνσης ενός ατόμου, ή/και άλλων προσωπικών στοιχείων αλλά και την πιθανή δυνατότητα ταυτοποίησης του υποκειμένου:
    • Mε διαχωρισμό (διάκριση δεδομένων που σχετίζονται με ένα άτομο από όλες τις άλλες πληροφορίες σε ένα σύνολο δεδομένων)
    • Mε σύνδεση δεδομένων (σύνδεση αναγνωριστικών και σύνθεσης στοιχείων) και
    • Mε δυνατότητα συμπερασμάτων (δημιουργία σύνδεσης μεταξύ δύο τμημάτων πληροφοριών σε ένα σύνολο δεδομένων)


Τι είναι η ψευδωνυμοποίηση;
  • "Ψευδωνυμοποίηση" δεδομένων σημαίνει αντικατάσταση οποιωνδήποτε χαρακτηριστικών αναγνώρισης δεδομένων με ψευδώνυμο ή, με άλλα λόγια, με μια τιμή που δεν επιτρέπει την άμεση αναγνώριση του υποκειμένου των δεδομένων.
  • Ο ΓΚΠΔ και οι συναφείς νόμοι ορίζουν την ψευδωνυμοποίηση ως την επεξεργασία προσωπικών δεδομένων με τέτοιο τρόπο ώστε τα προσωπικά δεδομένα να μην μπορούν πλέον να αποδοθούν σε συγκεκριμένο υποκείμενο δεδομένων χωρίς τη χρήση πρόσθετων πληροφοριών, υπό την προϋπόθεση ότι:
    1. Τέτοιες πρόσθετες πληροφορίες φυλάσσονται χωριστά και
    2. Υπόκειται σε τεχνικά και οργανωτικά μέτρα για να διασφαλιστεί ότι τα προσωπικά δεδομένα δεν αποδίδονται σε αναγνωρισμένο ή αναγνωρίσιμο άτομο.
  • Αν και η ψευδωνυμοποίηση έχει πολλές χρήσεις, θα πρέπει να διακρίνεται από την ανωνυμοποίηση, καθώς παρέχει περιορισμένη μόνο προστασία για την ταυτότητα των υποκειμένων των δεδομένων σε πολλές περιπτώσεις, καθώς εξακολουθεί να επιτρέπει την ταυτοποίηση με έμμεσα μέσα. Όταν χρησιμοποιείται ψευδώνυμο, είναι συχνά δυνατό να προσδιοριστεί το υποκείμενο των δεδομένων αναλύοντας τα υποκείμενα ή τα σχετικά δεδομένα.


Χρήσεις ανωνυμοποίησης και ψευδωνυμοποίησης
  • Τα δεδομένα που έχουν ανωνυμοποιηθεί αμετάκλητα παύουν να είναι «προσωπικά δεδομένα» και η επεξεργασία τέτοιων δεδομένων δεν απαιτεί συμμόρφωση με τη νομοθεσία περί προστασίας δεδομένων.
  • Κατ' αρχήν, αυτό σημαίνει ότι οι οργανισμοί θα μπορούσαν να τα χρησιμοποιήσουν για σκοπούς πέρα από αυτούς για τους οποίους είχαν αρχικά αποκτηθεί και ότι θα μπορούσαν να διατηρηθούν επ'  αόριστο.
  • Σε ορισμένες περιπτώσεις, δεν είναι δυνατή η αποτελεσματική ανωνυμοποίηση δεδομένων, είτε λόγω της φύσης, είτε λόγω του πλαισίου των δεδομένων, είτε λόγω της χρήσης για την οποία συλλέγονται και διατηρούνται αυτά.
  • Ακόμη και σε αυτές τις συνθήκες, οι οργανισμοί μπορεί να θέλουν να χρησιμοποιήσουν τεχνικές ανωνυμοποίησης ή ψευδωνυμοποίησης:
  1. Ως μέρος μιας στρατηγικής "απορρήτου από την σχεδίαση (privacy by design)" για την παροχή βελτιωμένης προστασίας για τα υποκείμενα των δεδομένων.
  2. Ως μέρος μιας στρατηγικής ελαχιστοποίησης κινδύνου κατά την κοινή χρήση δεδομένων με υπεύθυνους επεξεργασίας δεδομένων ή άλλους υπεύθυνους επεξεργασίας δεδομένων.
  3. Για να αποφύγουν ακούσιες παραβιάσεις δεδομένων όταν το προσωπικό τους έχει πρόσβαση σε προσωπικά δεδομένα.
  4. Ως μέρος μιας στρατηγικής "ελαχιστοποίησης δεδομένων" με στόχο την ελαχιστοποίηση των κινδύνων παραβίασης δεδομένων για τα υποκείμενα των δεδομένων.
  • Ακόμη και όταν χρησιμοποιείται ανωνυμοποίηση, το αποτέλεσμα διατηρεί κάποιους εγγενείς κίνδύνους.
  • Όπως αναφέρθηκε, η ψευδωνυμοποίηση δεν είναι το ίδιο με την ανωνυμοποίηση και δεν πρέπει να ταυτίζεται ως τέτοια. Με την ψευδωνυμοποίηση οι πληροφορίες παραμένουν προσωπικά δεδομένα.
  • Ακόμη και όταν πραγματοποιείται αποτελεσματική ανωνυμοποίηση, ενδέχεται να ισχύουν και άλλοι κανονισμοί, για παράδειγμα, η οδηγία για την προστασία του απορρήτου των ηλεκτρονικών επικοινωνιών (ePrivacy directive) ισχύει από πολλές απόψεις για πληροφορίες και όχι προσωπικά δεδομένα.
  • Και τέλος, ακόμη και όπου μπορεί να πραγματοποιηθεί αποτελεσματική ανωνυμοποίηση, οποιαδήποτε απελευθέρωση ενός συνόλου δεδομένων μπορεί να έχει υπολειπόμενες επιπτώσεις στο απόρρητο και θα πρέπει να ληφθούν υπόψη οι προσδοκίες και η απαιτήσεις των ενδιαφερόμενων ατόμων.

Ποιες τεχνικές ανωνυμοποίησης που μπορούν να χρησιμοποιηθούν
  • Η απόφαση για την κατάλληλη τεχνική ανωνυμοποίησης πρέπει να γίνεται κατά περίπτωση, λαμβάνοντας υπόψη όλους τους σχετικούς παράγοντες κινδύνου που περιγράφονται παραπάνω και τον επιδιωκόμενο σκοπό των ανωνυμοποιημένων δεδομένων.
  • Οι οργανισμοί πρέπει να εξισορροπούν την ανάγκη διατήρησης όλων των απαραίτητων πληροφοριών για τον σκοπό για τον οποίο πρόκειται να χρησιμοποιηθούν τα ανώνυμα δεδομένα μαζί με τους κινδύνους αναγνώρισης που παρουσιάζονται με τη συμπερίληψη λεπτομερέστερων πληροφοριών σε ένα σύνολο δεδομένων.
  • Όπου τα προσωπικά δεδομένα δεν μπορούν να καταστούν αποτελεσματικά ανώνυμα, πρέπει να εξακολουθούν να θεωρούνται και να αντιμετωπίζονται ως προσωπικά δεδομένα.
  • Η νομοθεσία περί προστασίας δεδομένων δεν ορίζει κάποια συγκεκριμένη τεχνική για την ανωνυμοποίηση, επομένως εναπόκειται στους μεμονωμένους υπευθύνους επεξεργασίας δεδομένων να διασφαλίσουν ότι οποιαδήποτε διαδικασία ανωνυμοποίησης επιλέγουν είναι επαρκώς ισχυρή. Οι οργανισμοί θα πρέπει να συμβουλεύονται τη γνώμη της ομάδας εργασίας του άρθρου 29 (τώρα Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων - ΕΣΠΔ) σχετικά με τις τεχνικές ανωνυμοποίησης (Γνώμη 05/2014), και ιδίως το τεχνικό παράρτημά της για πιο λεπτομερείς πληροφορίες σχετικά με τις τεχνικές ανωνυμοποίησης που μπορεί να είναι σχετικές.
  • Υπάρχουν, σε γενικές γραμμές, δύο διαφορετικές οικογένειες τεχνικών ανωνυμοποίησης: η "τυχαιοποίηση" και η "γενίκευση". Άλλες τεχνικές, όπως η "μάσκα" ή η "ψευδωνυμοποίηση", που στοχεύουν αποκλειστικά στην αφαίρεση ορισμένων αναγνωριστικών, μπορεί επίσης να διαδραματίσουν ρόλο στη μείωση του κινδύνου αναγνώρισης. Σε πολλές περιπτώσεις, αυτές οι τεχνικές λειτουργούν καλύτερα όταν χρησιμοποιούνται μαζί, έτσι ώστε να καταπολεμηθούν διαφορετικοί τύποι κινδύνου αναγνώρισης.



Information has been contributed by CubeIQ, Irish DPC, and the other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 09 Mar 2023 09:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-076-230309 http://blog.gdpr-awareness.eu/blog/rss/00000005A <![CDATA[Το Δικαίωμα Διαγραφής (άρθρα 17 & 19 του ΓΚΠΔ)]]> imblog

Υπάρχουν επτά λόγοι βάσει των οποίων έχετε το δικαίωμα να ζητήσετε τη διαγραφή των δεδομένων σας, χωρίς αδικαιολόγητη καθυστέρηση, από τον υπεύθυνο επεξεργασίας δεδομένων. Αυτό είναι επίσης γνωστό ως «δικαίωμα στη λήθη».

Δικαίωμα διαγραφής (άρθρα 17 & 19 του ΓΚΠΔ)
Έχετε το δικαίωμα να ζητήσετε τη διαγραφή των δεδομένων σας, χωρίς αδικαιολόγητη καθυστέρηση, από τον υπεύθυνο επεξεργασίας δεδομένων, εάν συντρέχει ένας από τους ακόλουθους λόγους:
  1. Όταν τα προσωπικά σας δεδομένα δεν είναι πλέον απαραίτητα σε σχέση με τον σκοπό για τον οποίο συλλέχθηκαν ή υποβλήθηκαν σε επεξεργασία.
  2. Όταν αποσύρετε τη συγκατάθεσή σας για την επεξεργασία και δεν υπάρχει άλλη νόμιμη βάση για την επεξεργασία των δεδομένων.
  3. Όταν έχετε αντίρρηση για την επεξεργασία και δεν υπάρχει επιτακτικός νόμιμος λόγος για τη συνέχιση της επεξεργασίας (βλ. σημείο 6 παρακάτω).
  4. Όταν αντιτίθεστε στην επεξεργασία και τα προσωπικά σας δεδομένα υποβάλλονται σε επεξεργασία για σκοπούς άμεσης προώθησης πωλήσεων – marketing (βλ. σημείο 6 παρακάτω).
  5. Όταν τα προσωπικά σας δεδομένα έχουν υποστεί παράνομη επεξεργασία.
  6. Όταν τα προσωπικά σας δεδομένα πρέπει να διαγραφούν προκειμένου να συμμορφωθείτε με νομική υποχρέωση.
  7. Όταν έχουν συλλεχθεί τα προσωπικά σας δεδομένα σε σχέση με την προσφορά υπηρεσιών από μέσα κοινωνικής δικτύωσης σε ένα παιδί.

Υπάρχουν περιπτώσεις στις οποίες δεν ισχύει το δικαίωμα στη λήθη;
Ναι, ο ΓΚΠΔ δηλώνει ότι το δικαίωμα στη λήθη δεν θα ισχύει όταν η επεξεργασία είναι απαραίτητη για:
  1. Άσκηση του δικαιώματος της ελευθερίας της έκφρασης και της ενημέρωσης.
  2. Συμμόρφωση με νομική υποχρέωση, εκτέλεση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας.
  3. Λόγοι δημοσίου συμφέροντος στον τομέα της δημόσιας υγείας (Βλ. άρθρο 9 παράγραφος 2 στοιχεία η) & θ) και άρθρο 9 παράγραφος 3, ΓΚΠΔ).
  4. Σκοποί αρχειοθέτησης προς το δημόσιο συμφέρον, επιστημονικούς ή ιστορικούς σκοπούς έρευνας ή στατιστικούς σκοπούς.
  5. Θέσπιση ή άσκηση ή υπεράσπιση νομικών αξιώσεων.


Information has been contributed by CubeIQ, Irish DPC, and the other respective Web Sites.
Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 17 Feb 2023 09:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-075-230217 http://blog.gdpr-awareness.eu/blog/rss/000000059 <![CDATA[ΑΠΔΠΧ Κανόνες Αφαίρεσης ΠΔ στις Αναρτώμενες Αποφάσεις]]> imblog

Η Ελληνική Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα αποφάσισε ομόφωνα τον προσδιορισμό των κανόνων για την αφαίρεση στοιχείων ταυτότητας στις αποφάσεις της που αναρτώνται στον ιστότοπο της.

Μερικά βασικά σημεία της απόφασής
  1. Τα στοιχεία ταυτότητας φυσικών προσώπων αντικαθίστανται από σύμβολα, όπως Α, Β, Γ, κ.λπ., άσχετα με τα αρχικά των ονοματεπωνύμων, και διατηρούνται αμετάβλητα σε όλο το κείμενο της απόφασης.
  2. Τα ονοματεπώνυμα δικηγόρων που εκπροσωπούν εντολέα παραμένουν ως έχουν.
  3. Η επωνυμία νομικών προσώπων ή δημοσίων φορέων κατά κανόνα παραμένει ως έχει, ακόμη και αν η επωνυμία νομικού προσώπου περιέχει και ονοματεπώνυμο φυσικού προσώπου.
  4. Στην περίπτωση δημόσιων φορέων ή νομικών προσώπων, η επωνυμία των οποίων περιλαμβάνει χαρακτηριστικό ή ειδικό αναγνωριστικό από το οποίο να προκύπτει κίνδυνος αποκάλυψης της ταυτότητας καταγγελλόντων ή ασκούντων τα δικαιώματά τους φυσικών προσώπων, το χαρακτηριστικό ή ειδικό αναγνωριστικό αφαιρείται ή αντικαθίσταται με σύμβολα όπως Α, Β, Γ, κ.λπ.
  5. Αντικαθίσταται, κατ’ εξαίρεση, η επωνυμία νομικών προσώπων ή δημοσίων φορέων υπηρεσιών με ένα σύμβολο όπως Α, Β, Γ, κ.λπ. αν η η δημοσιοποίησή τους θέτει σε κίνδυνο εξελισσόμενη έρευνα της Αρχής
  6. Ό,τι δεν καλύπτεται από τους διατυπωμένους στην απόφαση κανόνες, κρίνεται κατά περίπτωση.






Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 13 Jan 2023 09:11:00 GMT http://blog.gdpr-awareness.eu/blog/?blog-074-230113 http://blog.gdpr-awareness.eu/blog/rss/00000003D