ΣΥΧΝΕΣ ΕΡΩΤΗΣΕΙΣ ΓΙΑ GDPR
1) Πότε τίθεται σε ισχύ ο κανονισμός General Data Protection Regulation (GDPR);
Ο κανονισμός General Data Protection Regulation (GDPR) εγκρίθηκε από το κοινοβούλιο της Ε.Ε. τον Απρίλιο του 2016. Ο κανονισμός GDPR θα τεθεί σε ισχύ στις 25 Μάιου του 2018.
2) Ποιους επηρεάζει το GDPR;
Το GDPR δεν ισχύει μόνο για οργανισμούς εγκατεστημένους εντός της ΕΕ, αλλά θα ισχύει και για οργανισμούς που βρίσκονται εκτός της ΕΕ εάν προσφέρουν αγαθά ή υπηρεσίες ή καταγράφουν τη συμπεριφορά των υποκειμένων των δεδομένων της ΕΕ. Εφαρμόζεται σε όλες τις εταιρείες που επεξεργάζονται και κατέχουν τα προσωπικά δεδομένα των υποκειμένων των δεδομένων που διαμένουν στην Ευρωπαϊκή Ένωση, ανεξαρτήτως της τοποθεσίας της εταιρείας.
3) Τι είναι τα προσωπικά δεδομένα;
Οποιαδήποτε πληροφορία αφορά φυσικό πρόσωπο ή «υποκείμενο δεδομένων», που μπορεί να χρησιμοποιηθεί για την άμεση ή έμμεση αναγνώριση του ατόμου.Μπορεί να είναι οτιδήποτε από όνομα, φωτογραφία, διεύθυνση ηλεκτρονικού ταχυδρομείου, στοιχεία τράπεζας, αναρτήσεις σε ιστότοπους κοινωνικής δικτύωσης, ιατρικές πληροφορίες ή διεύθυνση IP υπολογιστή.
α) Στοιχεία Ταυτότητας Φυσικού Προσώπου:
- Όνομα
- Διεύθυνση σπιτιού
- Διεύθυνση εργασίας
- Αριθμός τηλεφώνου
- Αριθμός κινητού
- Διεύθυνση ηλεκτρονικού ταχυδρομείου
- Αριθμός διαβατηρίου
- Εθνική ταυτότητα
- Αριθμός κοινωνικής ασφάλισης (ή ισοδύναμο)
- Άδεια οδήγησης
- Φυσικές, φυσιολογικές ή γενετικές πληροφορίες
- Ιατρικές πληροφορίες
- Πολιτιστική ταυτότητα
β) Χρηματο-οικονομικά Στοιχεία
- Στοιχεία τραπεζών / αριθμοί λογαριασμού
- Αριθμός φορολογικού αρχείου
- Αριθμοί πιστωτικών / χρεωστικών καρτών
- Δημοσιεύσεις σε κοινωνικά δίκτυα / μέσα
γ) Ηλεκτρονικά Μέσα
- Διεύθυνση IP (περιοχή της ΕΕ)
- Θέση / δεδομένα GPS
- Cookies
4) Θέματα δεδομένων κάτω από την ηλικία των 16 ετών;
Η γονική συναίνεση θα απαιτείται για την επεξεργασία των προσωπικών δεδομένων παιδιών ηλικίας κάτω των 16 ετών για τις ηλεκτρονικές υπηρεσίες. Τα κράτη μέλη μπορούν να νομοθετούν για χαμηλότερη ηλικία συγκατάθεσης αλλά σε κάθε περίπτωση η συγκατάθεση δεν θα είναι κάτω από την ηλικία των 13 ετών.
5) Πρέπει η επιχείρησή μου να διορίσει έναν υπεύθυνο προστασίας δεδομένων (DPO);
Οι ΥΠΔ πρέπει να διορίζονται στην περίπτωση:
- δημόσιων αρχών,
- οργανισμών που ασκούν συστηματική παρακολούθηση μεγάλης κλίμακας, ή
- οργανισμών που ασχολούνται με την επεξεργασία ευαίσθητων προσωπικών δεδομένων σε ευρεία κλίμακα (άρθρο 37). Εάν ο οργανισμός σας δεν εμπίπτει σε μία από αυτές τις κατηγορίες, τότε δεν χρειάζεται να διορίσετε έναν ΥΠΔ.
6) Ποιος είναι ο υπεύθυνος επεξεργασίας;
Είναι φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα.
7) Ποιος είναι ο εκτελών την επεξεργασία;
Είναι φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπεύθυνου της επεξεργασίας.
8) Ποιες δραστηριότητες θα επηρεαστούν περισσότερο;
Όπως είδαμε όλες οι επιχειρήσεις που διατηρούν ή επεξεργάζονται προσωπικά δεδομένα Ευρωπαίων πολιτών επηρεάζονται από την εφαρμογή του νέου κανονισμού. Ωστόσο, κάποιες δραστηριότητες θα επηρεαστούν σε μεγαλύτερο βαθμό λόγω της φύσης τους.
- Υπηρεσίες Υγείας
- Χρηματοοικονομικές Υπηρεσίες
- Υπηρεσίες Ανθρώπινου Δυναμικού
- Υπηρεσίες Φιλοξενίας και Μετακινήσεων
- Υπηρεσίες Διαδικτυακών/Προσωποποιημένων Πωλήσεων
- Παροχή Τηλεπικοινωνιακών Υπηρεσιών
- Παροχή Υπηρεσιών Ενέργειας
- Κρατικός Τομέας
Είναι σημαντικό να γίνει απολύτως κατανοητό πως δεν επηρεάζεται μόνο η Διεύθυνση Πληροφοριακών Συστημάτων από την εφαρμογή του νέου κανονισμού. Σε κάθε οργανισμό, οποιαδήποτε λειτουργία στην οποία χρησιμοποιούνται προσωπικά δεδομένα, σε οποιαδήποτε μορφή, θα επηρεαστούν εξίσου ή και σε μεγαλύτερο βαθμό.
9) Ποια είναι τα δικαιώματα των υποκειμένων;
- Το δικαίωμα ενημέρωσης: Οι οργανισμοί πρέπει να είναι απόλυτα διαφανείς ως προς τον τρόπο με τον οποίο χρησιμοποιούν προσωπικά δεδομένα.
- Το δικαίωμα πρόσβασης: Τα άτομα θα έχουν το δικαίωμα να γνωρίζουν επακριβώς ποιες πληροφορίες υφίστανται επεξεργασία, πώς και για ποιο σκοπό.
- Το δικαίωμα διόρθωσης: Τα άτομα θα έχουν το δικαίωμα να ζητήσουν διόρθωση των προσωπικών τους δεδομένων αν αυτά είναι ανακριβή ή ελλιπή.
- Το δικαίωμα διαγραφής: Γνωστό ως «το δικαίωμα λήθης», είναι το δικαίωμα ενός ατόμου να ζητήσει διαγραφή ή κατάργηση των προσωπικών του δεδομένων χωρίς να χρειάζεται κάποιος συγκεκριμένος λόγος
- Το δικαίωμα περιορισμού της επεξεργασίας: Αναφέρεται στο δικαίωμα ενός ατόμου να αποκλείει ή να καταστέλλει την επεξεργασία των προσωπικών του δεδομένων.
- Το δικαίωμα στη φορητότητα δεδομένων: Επιτρέπει στα άτομα να διατηρούν και να επαναχρησιμοποιούν τα προσωπικά τους δεδομένα για δικό τους σκοπό.
- Το δικαίωμα εναντίωσης: Σε ορισμένες περιπτώσεις, τα άτομα έχουν το δικαίωμα να αντιταχθούν στην χρήση των προσωπικών τους δεδομένων. Στην περίπτωση π.χ. που μια εταιρεία χρησιμοποιεί προσωπικά δεδομένα για σκοπούς άμεσου μάρκετινγκ, επιστημονικής και ιστορικής έρευνας ή για την εκπλήρωση μιας αποστολής προς το δημόσιο συμφέρον.
- Το δικαίωμα (μη) αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ: Η κατάρτιση προφίλ και η αυτοματοποιημένη λήψη αποφάσεων μπορεί να είναι χρήσιμη για τα υποκείμενα των δεδομένων, τους οργανισμούς, παρέχοντας οφέλη όπως η αυξημένη αποτελεσματικότητα και η εξοικονόμηση πόρων. Ωστόσο, οι διαδικασίες αυτές απαιτούν την ύπαρξη των κατάλληλων ασφαλιστικών δικλείδων, καθώς μπορούν να δημιουργήσουν σημαντικούς κινδύνους για τα δικαιώματα των ατόμων και τις ελευθερίες τους. Τα άτομα μπορούν να επιλέξουν να μην αποτελέσουν αντικείμενο αυτοματοποιημένη απόφασης αν αυτή έχει έννομες συνέπειες.
10) Ποια είναι η διαφορά μεταξύ Υπεύθυνου Επεξεργασίας και του Εκτελούντος την επεξεργασία;
Υπεύθυνος επεξεργασίας είναι η επιχείρηση που καθορίζει τους σκοπούς, τους όρους και τα μέσα επεξεργασίας των προσωπικών δεδομένων, ενώ ο εκτελών την επεξεργασία είναι η επιχείρηση που επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπεύθυνου επεξεργασίας
Σε περίπτωση παραβίασης δεδομένων: Οι παραβιάσεις δεδομένων που ενδέχεται να θέτουν σε κίνδυνο τα υποκείμενα των δεδομένων πρέπει να κοινοποιούνται στην αρμόδια αρχή προστασίας δεδομένων εντός 72 ωρών. Επιβάλλεται, επιπρόσθετα, η αντίστοιχη ενημέρωση των υποκειμένων των δεδομένων χωρίς αδικαιολόγητη καθυστέρηση.