<![CDATA[GDPR Awareness Blog]]> http://blog1.gdpr-awareness.eu/blog/ EN Mon, 19 Dec 2022 09:11:00 +0000 Incomedia WebSite X5 Pro <![CDATA[Ιρλανδική DPA: Μελέτες Ειδικών Περιπτώσεων]]> imblog
Η Iρλανδική DPA έχει διαθέσιμη στον ιστότοπό της μια συλλογή με περισσότερες από 30 περιπτωσιολογικές μελέτες προστασίας δεδομένων. Οι μελέτες παρέχουν ενδιαφέρουσες πληροφορίες σχετικά με τις προσεγγίσεις της αρχής σε διάφορά θέματα σχετικά με την διαχείριση και προστασία προσωπικών δεδομένων





Η CubeIQ, διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Mon, 19 Dec 2022 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-073-221219 http://blog1.gdpr-awareness.eu/blog/rss/000000058 <![CDATA[Νόμος περί Απορρήτου των ΗΠΑ (USA Privacy Law)]]> imblog
Στις 7 Οκτωβρίου 2022, ο πρόεδρος των Ηνωμένων Πολιτειών Αμερικής («ΗΠΑ») Τζο Μπάιντεν υπέγραψε εκτελεστικό διάταγμα το οποίο περιορίζει την δυνατότητα των αμερικανικών υπηρεσιών εθνικής ασφάλειας να έχουν πρόσβαση σε Προσωπικά Δεδομένα πολιτών της Ευρωπαϊκής Ένωσης («ΕΕ») Το εκτελεστικό διάταγμα είναι μέρος της Διατλαντικής Συμφωνίας Ανταλλαγής Δεδομένων ΗΠΑ και ΕΕ

Το διάταγμα ακολουθεί μακροχρόνιες διαπραγματεύσεις μεταξύ των ΗΠΑ και της ΕΕ αφού το Ανώτατο Δικαστήριο της ΕΕ («ΔΕΕ») έκρινε το 2020 ότι η Ουάσιγκτον δεν προστάτευσε επαρκώς τα Προσωπικά Δεδομένα των πολιτών της ΕΕ όταν αυτά μεταφέρονται πέρα από τον Ατλαντικό.

Οι ανησυχίες των δικαστών επικεντρώθηκαν στο ότι τα προγράμματα επιτήρησης και ελέγχου των κυβερνητικών οργανισμών των ΗΠΑ δεν είχαν τα κατάλληλα μέτρα για να αντιμετωπίσουν τον τρόπο με τον οποίο η κυβέρνηση των ΗΠΑ συνέλεγε τα Προσωπικά Δεδομένα των Ευρωπαίων πολιτών.

Το «Εκτελεστικό Διάταγμα για την Ενίσχυση των Διασφαλίσεων για τις Δραστηριότητες Συλλογής Πληροφοριών Σημάτων των Ηνωμένων Πολιτειών - Executive Order On Enhancing Safeguards For United States Signals Intelligence Activities» έχει σκοπό να αντιμετωπίσει τις ανησυχίες που εξέφρασε το ΔΕΕ στην απόφασή του Schrems II στις 16 Ιουλίου 2020, η οποία ακύρωσε την συμφωνία Privacy Shield μεταξύ ΗΠΑ και ΕΕ. Σε αυτήν τη απόφαση το ΔΕΕ έκρινε ότι οι ΗΠΑ δεν παρείχαν «ουσιαστικά ισοδύναμο» επίπεδο προστασίας δεδομένων με αυτό που υπάρχει στην ΕΕ, εν μέρει λόγω των εκτεταμένων εξουσιών που παραχωρήθηκαν στις υπηρεσίες επιβολής του νόμου και των υπηρεσιών πληροφοριών των ΗΠΑ για πρόσβαση σε προσωπικά δεδομένα ατόμων, και την απουσία αποτελεσματικών ένδικων μέσων για τους πολίτες  της ΕΕ σε σχέση με αυτές τις εξουσίες.



Το διάταγμα θα δημιουργήσει ένα νέο όργανο εντός του Υπουργείου Δικαιοσύνης των ΗΠΑ που θα επιβλέπει πώς οι Αμερικανικές Υπηρεσίες Εθνικής Ασφάλειας μπορούν να έχουν πρόσβαση και να χρησιμοποιούν πληροφορίες τόσο από Ευρωπαίους όσο και από Αμερικανούς πολίτες. Θα δώσει επίσης νέες εξουσίες στους υπαλλήλους προστασίας των πολιτικών ελευθεριών στο Γραφείο του Διευθυντή Εθνικών Πληροφοριών (Director of National Intelligence) των ΗΠΑ, ένα όργανο που επιβλέπει το έργο των οι Αμερικανικών Υπηρεσιών Εθνικής Ασφάλειας, για τη διερεύνηση πιθανών παραβιάσεων των δικαιωμάτων προστασίας Προσωπικών Δεδομένων και απορρήτου των πολιτών.

Όταν συσταθεί, το λεγόμενο «Αναθεωρητικό Δικαστήριο Προστασίας Δεδομένων» εντός του Υπουργείου Δικαιοσύνης θα επιτρέπει στους ανθρώπους να υποβάλλουν αγωγές μέσω ενός αποκαλούμενου «Ειδικού Δικηγόρου» για να αμφισβητήσουν τον τρόπο με τον οποίο χρησιμοποιούνται τα δεδομένα τους από αυτές τις Υπηρεσίες Εθνικής Ασφάλειας, σημειώνοντας ένα δυνητικά σημαντικό όριο στο πώς λειτουργούν αυτές όπως και η Υπηρεσία Εθνικής Ασφάλειας. Οι αποφάσεις του δικαστηρίου προορίζονται να είναι ανεξάρτητες και δεσμευτικές

Το εκτελεστικό διάταγμα θα απαιτεί από τις Υπηρεσίες Πληροφοριών των ΗΠΑ να συλλέγουν δεδομένα μόνο για συγκεκριμένους, καθορισμένους σκοπούς εθνικής ασφάλειας και με αναγκαίο και αναλογικό τρόπο. Οι Υπηρεσίες Πληροφοριών των ΗΠΑ υποχρεούνται να ενημερώσουν τις πολιτικές και τις διαδικασίες τους για να ευθυγραμμιστούν με τις κατευθυντήριες γραμμές του εκτελλεστικού διατάγματος.

Η διαδικασία αναμένεται να διαρκέσει περίπου έξι μήνες και θα οδηγήσει στη δημοσίευση ενός τελικού συμφώνου περίπου τον Μάρτιο του 2023.



Η CubeIQ, διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 09 Dec 2022 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-072-221209 http://blog1.gdpr-awareness.eu/blog/rss/000000057 <![CDATA[EDPB Διαδικασία Επίσημης Πιστοποίησης Συμμόρφωσης με τον ΓΚΠΔ ]]> imblog
Η γνώμη EDPB/28/2022 περιγράφει την έγκριση από τον EDPB, την 10η Οκτωβρίου 2022, των κριτήριων πιστοποίησης συμμόρφωσης με τον ΓΚΠΔ, «Europrivacy», ως «Ευρωπαϊκή Σφραγίδα Προστασίας Δεδομένων» σύμφωνα με το Άρθρο 42.5 του ΓΚΠΔ

Η διαδικασία πιστοποίηση συμμόρφωσης δημοσιεύθηκε στο έγγραφο με τίτλο «Opinion 28/2022 on the Europrivacy criteria of certification regarding their approval by the Board as European Data Protection Seal pursuant to Article 42.5 (GDPR), Adopted on 10 October 2022».

Το EDPB θα καταχωρίσει τον μηχανισμό πιστοποίησης «Europrivacy» στο δημόσιο μητρώο μηχανισμών πιστοποίησης και σφραγίδων και σημάτων προστασίας δεδομένων σύμφωνα με το άρθρο 42 παράγραφος 8 του ΓΚΠΔ.



Ο μηχανισμός πιστοποίησης «Europrivacy» είναι ένα γενικό σύστημα, καθώς στοχεύει σε ένα μεγάλο εύρος διαφορετικών εργασιών επεξεργασίας δεδομένων που εκτελούνται από τους Υπεύθυνους Επεξεργασίας Δεδομένων (data controllers) και τους Επεξεργαστές  Δεδομένων (data processors) από διάφορους τομείς δραστηριότητας.

Τα κύρια κριτήρια αυτού του μηχανισμού πιστοποίησης αποτελούνται από τα «Βασικά Κριτήρια» και από τα «Τεχνικά και Οργανωτικά Μέτρα και Ελέγχους (Technical and Organizational Measures – TOMs and Controls)» που έχουν τεθεί σε εφαρμογή για την προστασία των υπό επεξεργασία προσωπικών δεδομένων .

Η διαδικασία πιστοποίηση συμμόρφωσης του EDPB είναι μια ευκαιρία να καθιερωθούν αντικειμενικά πρότυπα αναφορικά με τις προϋποθέσεις οι οποίες πρέπει να πληρούνται ώστε να θεωρείται ένας οργανισμός ως «συμμορφωμένος".

Η διαδικασία πιστοποίηση συμμόρφωσης του EDPB θα πρέπει να καθιερωθεί οριζόντια σε όλο τον Ευρωπαϊκό Οικονομικό Χώρο συμπεριλαμβανομένης προφανώς και της Ελλάδας.



Πληροφορίες έχουν συνεισφέρει η EDPB, η CubeIQ και άλλοι αντίστοιχοι ιστότοποι.
Η CubeIQ, διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Mon, 21 Nov 2022 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-071-221121 http://blog1.gdpr-awareness.eu/blog/rss/000000056 <![CDATA[Διευθύνσεις Email και Προσωπικά Δεδομένα]]> imblog
Ένα ερώτημα που ανακύπτει συχνά αναφορικά με την προστασία δεδομένων προσωπικού χαρακτήρα αφορά στην επεξεργασία ηλεκτρονικών διευθύνσεων ταχυδρομείου - email και κατά πόσον αυτές αποτελούν προσωπικά δεδομένα.

Ο ορισμός των δεδομένων προσωπικού χαρακτήρα στο άρθρο 4 παράγραφος 1 του ΓΚΠΔ/GDPR είναι ευρύς, καθώς περιλαμβάνει κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο.

Για να προσδιοριστεί το κατά πόσον μία διεύθυνση ηλεκτρονικού ταχυδρομείου συνιστά προσωπικό δεδομένο, πρέπει να αξιολογηθεί κατά πόσον η διεύθυνση αυτή σχετίζεται με ένα φυσικό πρόσωπο, είτε ταυτοποιημένο ή ταυτοποιήσιμο, ενόψει όλων των μέσων που είναι λογικά πιθανό να χρησιμοποιηθούν από τον υπεύθυνο επεξεργασίας ή από άλλο πρόσωπο προκειμένου να ταυτοποιήσει το φυσικό πρόσωπο.

Όταν μια διεύθυνση ηλεκτρονικού ταχυδρομείου χρησιμοποιεί άμεσα αναγνωριστικά στοιχεία ενός φυσικού προσώπου όπως π.χ. John Smith, email address: johnsmith@gmail.com, πρόκειται για δεδομένα προσωπικού χαρακτήρα που εμπίπτουν στο πεδίο εφαρμογής του ΓΚΠΔ.

Ελλείψει άμεσων αναγνωριστικών, μια διεύθυνση ηλεκτρονικού ταχυδρομείου μπορεί επίσης να συνιστά προσωπικό δεδομένο, όταν συνδυάζεται με άλλα δεδομένα σχετικά με ένα φυσικό πρόσωπο (π.χ. διεύθυνση ή ημερομηνία γέννησης).

Η αιτιολογική σκέψη 14 του ΓΚΠΔ διευκρινίζει ότι ο Κανονισμός δεν εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορά νομικά πρόσωπα, συμπεριλαμβανομένου του ονόματος και της μορφής του νομικού προσώπου, καθώς και τα στοιχεία επικοινωνίας του.

Μία ηλεκτρονική διεύθυνση νομικού προσώπου όπως π.χ. εταιρία ΙΚΕΑ, τμήμα επικοινωνίας, email address: ikeacontact@ikea.com δεν εμπίπτει στο πεδίο εφαρμογής του κανονισμού.

Ωστόσο, τα προσωπικά δεδομένα των υπαλλήλων του νομικού προσώπου, συμπεριλαμβανομένης της επαγγελματικής τους ηλεκτρονικής διεύθυνσης, ταχυδρομείου εμπίπτουν στο πεδίο εφαρμογής του Κανονισμού όπως π.χ. John Smith, email address: johnsmith@ikea.com.

Η επεξεργασία από μια εταιρεία μιας διεύθυνσης ηλεκτρονικού ταχυδρομείου, όπως π.χ. astro712@gmil.com, η οποία μπορεί, σε συνδυασμό με άλλα δεδομένα που διαθέτει, να σχετιστεί με ένα φυσικό πρόσωπο, εμπίπτει στο πεδίο του ΓΚΔΠ και μία τέτοια διεύθυνση μπορεί να κοινοποιηθεί σε τρίτα μέρη μόνο σύμφωνα με το κανόνες προστασίας δεδομένων.

Η Οδηγία για την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών (ePrivacy) θεσπίζει πρόσθετους κανόνες για την προστασια και την αποστολή προωθητικού υλικού σε διευθύνσεις ηλεκτρονικού ταχυδρομείου.

ΓΚΠΔ  Άρθρο 4, Παράγραφος 1
Για τους σκοπούς του παρόντος κανονισμού νοούνται ως: 1) «δεδομένα προσωπικού χαρακτήρα»: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου,

Αιτιολογική Σκέψη 14
Η προστασία που παρέχει ο παρών κανονισμός θα πρέπει να ισχύει για τα φυσικά πρόσωπα, ανεξαρτήτως ιθαγένειας ή τόπου διαμονής, σε σχέση με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα τους.
Ο παρών κανονισμός δεν καλύπτει την επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν νομικά πρόσωπα και ιδίως επιχειρήσεις συσταθείσες ως νομικά πρόσωπα, περιλαμβανομένων της επωνυμίας, του τύπου και των στοιχείων επικοινωνίας του νομικού προσώπου.



Πληροφορίες έχουν συνεισφέρει η Lawspot, η CubeIQ και άλλοι αντίστοιχοι ιστότοποι.
Η CubeIQ, διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 14 Oct 2022 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-070-221014 http://blog1.gdpr-awareness.eu/blog/rss/000000054 <![CDATA[Λίστα Ελέγχου και Αυτό-Αξιολόγησης για την Συμμόρφωση με τον ΓΚΠΔ]]> imblog
Οι ακόλουθες ενέργειες θα βοηθήσουν τους οργανισμούς οι οποίοι υπόκεινται στον ΓΚΠΔ να καταγράψουν και να χαρτογραφήσουν τα προσωπικά δεδομένα που κατέχουν και επεξεργάζονται, να προσδιορίσουν την νόμιμη βάση με την οποία συλλέχθηκαν και να προσδιορίσουν την περίοδο διατήρησης τους.

Η διεξαγωγή αυτής της άσκησης θα βοηθήσει στον εντοπισμό όσων θεμάτων  απαιτούν άμεσες διορθωτικές ενέργειες προκειμένου ο οργανισμός να είναι να συμμορφωμένος με τον ΓΚΠΔ.

Βασική Λίστα Ελέγχου
1. Προσωπικά δεδομένα.
2. Δικαιώματα υποκειμένου των δεδομένων.
3. Ακρίβεια και διατήρηση.
4. Απαιτήσεις διαφάνειας.
5. Άλλες υποχρεώσεις του υπεύθυνου επεξεργασίας δεδομένων.
6. Ασφάλεια δεδομένων.
7. Παραβιάσεις δεδομένων.
8. Διεθνείς μεταφορές δεδομένων.

Κατηγορίες προσωπικών δεδομένων και υποκείμενα δεδομένων.
Καταγράψτε τις κατηγορίες των υποκειμένων των δεδομένων και τα προσωπικά δεδομένα τα οποία συλλέγονται και διατηρούνται π.χ. τρέχοντα δεδομένα εργαζομένων· στοιχεία συνταξιούχων υπαλλήλων· δεδομένα πελατών (πληροφορίες πωλήσεων), βάση δεδομένων προωθητικών ενεργειών marketing και Video και εικόνες από CCTV.

Στοιχεία προσωπικών δεδομένων που περιλαμβάνονται σε κάθε κατηγορία δεδομένων.
Καταγράψτε κάθε τύπο προσωπικών δεδομένων που περιλαμβάνονται σε κάθε κατηγορία προσωπικών δεδομένων π.χ. όνομα, διεύθυνση, τραπεζικά στοιχεία, ιστορικό αγορών, ιστορικό διαδικτυακής περιήγησης, βίντεο και εικόνες.

Πηγή των προσωπικών δεδομένων.
Αναφέρετε την/τις πηγή/πηγές των προσωπικών δεδομένων π.χ. συλλέγονται απευθείας από τους ιδιώτες ή από τρίτα μέρη (εάν συλλέγονται από τρίτο μέρος πρέπει να προσδιορίσετε τον υπεύθυνο επεξεργασίας δεδομένων του τρίτου μέρους καθώς αυτή η πληροφορία είναι απαραίτητη για την εκπλήρωση των υποχρεώσεων σας βάσει του ΓΚΠΔ, άρθρο 14 ).

Σκοποί για τους οποίους γίνεται επεξεργασία δεδομένων προσωπικού χαρακτήρα.
Για κάθε κατηγορία της λίστας των προσωπικών δεδομένων προσδιορίστε την αιτία για την οποία συλλέγονται και διατηρούνται π.χ. υπηρεσίες marketing, βελτίωση υπηρεσιών, έρευνα, ανάπτυξη προϊόντων, ακεραιότητα συστημάτων, θέματα διαχείρισης ανθρώπινου δυναμικού, διαφήμιση.

Νομική βάση για κάθε σκοπό επεξεργασίας (για μη ειδικές κατηγορίες προσωπικών δεδομένων).
Για κάθε σκοπό επεξεργασίας προσωπικών δεδομένων, αναφέρετε τη νομική βάση στην οποία βασίζεται αυτή η επεξεργασία τους συμπεριλαμβανόμενης και της αποθήκευσης και διατήρησης τους π.χ. συγκατάθεση, σύμβαση, νομική υποχρέωση (ΓΚΠΔ, άρθρο 6).

Ειδικές κατηγορίες προσωπικών δεδομένων.
Εάν συλλέγονται και διατηρούνται ειδικές κατηγορίες προσωπικών δεδομένων, ορίστε λεπτομέρειες για τη φύση των δεδομένων π.χ. ιατρικά,  γενετικά, βιολογικά, βιομετρικά δεδομένα.

Νομική βάση για την επεξεργασία ειδικών κατηγοριών προσωπικών δεδομένων.
Αναφέρετε τη νομική βάση πάνω στην οποία συλλέγονται και διατηρούνται ειδικές κατηγορίες προσωπικών δεδομένων π.χ. ρητή συναίνεση, σύμβαση, νομοθετική βάση (ΓΚΠΔ, άρθρο 9).

Περίοδος διατήρησης.
Για κάθε κατηγορία προσωπικών δεδομένων αναφέρετε την περίοδο για την οποία θα διατηρηθούν τα δεδομένα π.χ. ένας μήνας ? ένας χρόνος ? Κατά γενικό κανόνα, τα δεδομένα δεν πρέπει να διατηρούνται για περισσότερο από όσο είναι απαραίτητο για τον σκοπό για τον οποίο συλλέχθηκαν αρχικά.

Ενέργειες που απαιτούνται για τη συμμόρφωση με τον GDPR.
Προσδιορίστε τις ενέργειες που απαιτούνται για να διασφαλίσετε ότι όλες οι λειτουργίες επεξεργασίας προσωπικών δεδομένων είναι συμμορφωμένες με τον ΓΚΠΔ. π.χ. αυτό μπορεί να περιλαμβάνει και διαγραφή δεδομένων όπου δεν υπάρχει περαιτέρω σκοπός διατήρησης.



Η CubeIQ, διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 22 Sep 2022 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-069-220922 http://blog1.gdpr-awareness.eu/blog/rss/000000053 <![CDATA[Κύρια Στάδια Εκτέλεσης Διαδικασίας Εκτίμησης Επιπτώσεων Προστασίας Δεδομένων]]> imblog
Σύμφωνα με τον Γενικό Κανονισμό για την Προστασία Δεδομένων (ΓΚΠΔ), οι υπεύθυνοι επεξεργασίας θα πρέπει να διενεργήσουν την Διαδικασία Εκτίμησης Επιπτώσεων Προστασίας Δεδομένων (ΔΕΕΠΔ) για οποιαδήποτε επεξεργασία που «είναι πιθανό να οδηγήσει σε υψηλό κίνδυνο για τα άτομα», συμπεριλαμβανομένων ορισμένων συγκεκριμένων τύπων επεξεργασίας.

Μια Διαδικασία της Εκτίμησης Επιπτώσεων Προστασίας Δεδομένων (ΔΕΕΠΔ) περιγράφει μια διαδικασία που έχει σχεδιαστεί για τον εντοπισμό των κινδύνων που προκύπτουν από την επεξεργασία προσωπικών δεδομένων και την ελαχιστοποίηση αυτών των κινδύνων όσο το δυνατόν περισσότερο και όσο το δυνατόν νωρίτερα.

Οι Διαδικασίες Εκτίμησης Επιπτώσεων Προστασίας Δεδομένων είναι ένα σημαντικό εργαλείο για την μείωση του κινδύνου και για την απόδειξη συμμόρφωσης με τον ΓΚΠΔ..



Μια Διαδικασία Εκτίμησης Επιπτώσεων Προστασίας Δεδομένων θα πρέπει να περιλαμβάνει τα ακόλουθα βήματα:
  1. Έλεγχος για την απαίτηση εκτέλλεσης της Διαδικασίας Εκτίμησης Επιπτώσεων Προστασίας Δεδομένων - ΔΕΕΠΔ.
  2. Περγραφή των ροών δεδομενων και χρήση του Αρχείου Δραστηριοτήτων Επεξεργασίας.
  3. Προσδιορισμός των κινδύνων προστασίας δεδομένων.
  4. Προσδιορισμός και αξιολόγηση των λύσεων για την προστασία των δεδομένων.
  5. Καταγραφή των αποτελεσμάτων της εκτέλλεσης της ΔΕΕΠΔ, δημιουργία του αρχείου ΔΕΕΠΔ.
  6. Ενσωμάτωση των αποτελεσμάτων της ΔΕΕΠΔ σε ένα σχέδιο έργου.
  7. Υλοποίηση του σχεδίου έργου.



Η CubeIQ, διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 29 Jul 2022 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-068-220729 http://blog1.gdpr-awareness.eu/blog/rss/000000052 <![CDATA[Διατλαντικό Πλαίσιο Προστασίας Δεδομένων]]> imblog
Μάρτιος 2022, η Ευρωπαϊκή Επιτροπή και οι Ηνωμένες Πολιτείες κατέληξαν σε κατ' αρχήν συμφωνία για ένα Διατλαντικό Πλαίσιο Απορρήτου και Προστασίας των Δεδομένων.

Βασικές αρχές
  • Με βάση το νέο πλαίσιο, τα δεδομένα θα μπορούν να ρέουν ελεύθερα και με ασφάλεια μεταξύ της ΕΕ και των συμμετεχουσών εταιρειών των ΗΠΑ
  • Δημιουργία ενός συνόλου κανόνων και δεσμευτικών διασφαλίσεων για τον περιορισμό της πρόσβασης σε προσωπικά δεδομένα από τις μυστικές υπηρεσίες των ΗΠΑ σε ό,τι είναι απαραίτητο και αναλογικό για την προστασία της εθνικής ασφάλειας. Οι υπηρεσίες πληροφοριών των ΗΠΑ θα υιοθετήσουν διαδικασίες για να εξασφαλίσουν αποτελεσματική εποπτεία του νέου προτύπου περί απορρήτου και πολιτικών ελευθεριών.
  • Ένα νέο σύστημα προσφυγής δύο επιπέδων για τη διερεύνηση και την επίλυση καταγγελιών Ευρωπαίων για πρόσβαση σε προσωπικά δεδομένα από τις αρχές Πληροφοριών των ΗΠΑ, η οποία περιλαμβάνει και ένα Αναθεωριτικό Δικαστήριο Προστασίας Δεδομένων.
  • Ισχυρές υποχρεώσεις για τις εταιρείες οι οποιες επεξεργάζονται δεδομένα τα οποία διαβιβάζονται από την ΕΕ για τις οποίες θα συνεχιστεί η απαίτηση αυτοπιστοποιήσης της τήρησης των αρχών Προστασίας Προσωπικών Δεδομένων μέσω του Υπουργείου Εμπορίου των ΗΠΑ.
  • Ανάπτυξη ειδικών μηχανισμών παρακολούθησης, επανεξέτασης και αναθεώρησης των διαδικασιών μεταφοράς και επεξεργασίας Προσωπικών Δεδομενων.

Τα οφέλη της συμφωνίας
  • Επαρκής προστασία των δεδομένων των Ευρωπαίων που διαβιβάζονται στις ΗΠΑ αντιμετωπιζοντας την απόφαση του Ευρωπαϊκού Δικαστηρίου (Schrems II*).
  • Ασφαλείς και προστατευμένες ροές δεδομένων.
  • Ανθεκτική και αξιόπιστη νομική βάση.
  • Ανταγωνιστική ψηφιακή οικονομία και οικονομική συνεργασία.
  • Συνεχιζόμενες ροές δεδομένων ύψους 900 δισεκατομμυρίων Ευρώ σε διασυνοριακό εμπόριο κάθε χρόνο.

Επόμενα βήματα
Η κατ' αρχήν συμφωνία θα μεταφραστεί σε νομικά έγγραφα.
Οι δεσμεύσεις των ΗΠΑ θα περιληφθούν σε ένα εκτελεστικό διάταγμα το οποίο θα αποτελέσει τη βάση ενός σχεδίου απόφασης επάρκειας της Ευρωπαικής Επιτροπής για να θέσει σε εφαρμογή το νέο Διατλαντικό Πλαίσιο Προστασίας Προσωπικών Δεδομένων.

Μέχρι να εκδοθεί το νομικό κείμενο της τελικής συμφωνίας, δεν μπορεί να κριθεί με βεβαιότητα αν έχει δοθεί λύση σε ένα από τα πιο δυσεπίλυτα θέματα, στον τομέα του δικαίου προστασίας προσωπικών δεδομένων, των τελευταίων δύο ετών ή αν θα δημιουργηθεί ένα νέο πλαίσιο διαβιβάσεων δεδομένων το οποίο θα βασίζεται σε καλές πολιτικές προθέσεις, αλλά η νομική του κατάληξη θα είναι όμοια με αυτή των πλαισίων του EU-US Safe Harbor και του Privacy shield.

* Περίληψη της αποφασης Schrems II
Στις 16 Ιουλίου 2020, το Δικαστήριο της Ευρωπαϊκής Ένωσης (ΔΕΚ) στην υπόθεση C-311/18 Data Protection Commissioner κατά Facebook Ιρλανδίας και Maximillian Schrems (αποκαλούμενη «υπόθεση Schrems II») ακύρωσε την νομοθεσία Privacy shield μεταξύ της ΕΕ και των ΗΠΑ. Το Δικαστήριο αμφισβητεί τον βαθμό που οι διαβιβάσεις μπορούν να νομιμοποιηθούν από τις Τυπικές Συμβατικές Ρήτρες (SCC) της Ευρωπαϊκής Επιτροπής για τις διαβιβάσεις προσωπικών δεδομένων στις ΗΠΑ και παγκοσμίως. Οι Τυπικές Συμβατικές Ρήτρες εξακολουθούσαν να ισχύουν ως μηχανισμός μεταφοράς κατ' αρχήν, αλλά θα απαιτούσαν πρόσθετη εργασία.



Η CubeIQ, διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 03 Jun 2022 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-067-220603 http://blog1.gdpr-awareness.eu/blog/rss/000000051 <![CDATA[Επανέλεγχος Συμμόρφωσης με τον ΓΚΠΔ]]> imblog
Η συμμόρφωση με τον ΓΚΠΔ είναι μια συνεχής διαδικασία, όχι μια εφάπαξ δραστηριότητα.

Κάθε φορά που εισάγετε ή τροποποιείτε μια δραστηριότητα ή διαδικασία επεξεργασίας δεδομένων, είναι μια καλή πρακτική να διεξάγετε αξιολόγηση κινδύνου και ένα έλεγχο ανάλυσης διαφορών επεξεργασίας για να προσδιορίσετε εάν εξακολουθείτε να συμμορφώνεστε με τον Κανονισμό.

Το Εργαλείο Ανάλυσης Διαφορών ΓΚΠΔ (Gap Analysis Tool) που παρέχουμε θα σας βοηθήσει να είστε συμμορφωμένοι με τον κανονισμό αξιολογώντας το τρέχον επίπεδο συμμόρφωσης του οργανισμού σας και δίνοντάς σας την δυνατότητα να αναπτύξετε ένα σχέδιο για την αντιμετώπιση των τυχόν ελλείψεων.

Επιπλέον, για πρόσθετη υποστήριξη, μπορείτε να χρησιμοποιήστε το Πακέτο Εγγράφων Τεκμηρίωσης ΓΚΠΔ (GDPR Documentation Toolkit). Το πακέτο εγγραφων τεκμηρίωσης ΓΚΠΔ δημιουργήθηκε από νομικούς, συμβούλους ειδικούς στον ΓΚΠΔ, ειδικούς σε θέματα ασφαλείας δεδομένων και ειδικούς σε θέματα απορρήτου. Περιέχει πρότυπα, πολιτικές, διαδικασίες, οδηγίες εργασίας και εργαλεία για τη διασφάλιση της πλήρους συμμόρφωσης με τον Κανονισμό.

Επανεξέταση Πολιτικών και Διαδικασιών Προστασίας Δεδομένων.
Οι οργανισμοί όλων των μεγεθών βασίζονται σε πολιτικές και διαδικασίες προστασίας δεδομένων για την επεξεργασία δεδομένων με συνεπή και αποτελεσματικό τρόπο. Πολύ συχνά, ωστόσο, αυτά τα κρίσιμα έγγραφα δεν εξελίσσονται ταυτόχρονα με την εξέλιξη της επιχείρησης, παραμένουν παρωχημένα και μπορεί να αποτελέσουν μια βασική αίτία ρίσκου. Για αυτόν τον λόγο είναι σημαντικό:
  • Να επανεξετάζουμε περιοδικά τις πολιτικές και τις διαδικασίες προστασίας δεδομένων
  • Να διεξάγουμε αποτελεσματικές αναθεωρήσεις
  • Να σχεδιάζουμε άμεσες και αποτελεσματικές τις αλλαγές.



Η CubeIQ, διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 13 May 2022 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-066-220513 http://blog1.gdpr-awareness.eu/blog/rss/000000050 <![CDATA[Βασικοί Μηχανισμοί Ασφαλειας Πληροφοριακών Συστημάτων]]> imblog
Οι κυβερνοεπιθέσεις συμβαίνουν σε όλες τις κατηγορίες και τα μεγέθη εταιριών. Αν και οι μεγάλες εταιρίες έχουν τις μεγαλύτερες αναλογικά απώλειες από μια κυβερνοεπίθεση, μικρές εταιρίες, ιδιωτικοί οργανισμοί, φιλανθρωπικές οργανώσεις και μη κυβερνητικοί οργανισμοί υποφέρουν από τις μεγαλυτερες καταστροφικές απώλειες. Όλες οι εταριρίες και οι οργανισμοί πρέπει να προστατεύουν τα συστήματα πληροφορικής τους.

Ακολούθως παρουσιάζονται ορισμένα πρακτικά βήματα που μπορείτε να εφαρμόσετε ώστε να ενισχύσετε την προστασία των δεδομένων σας.

  1. Δημιουργήστε αντίγραφα ασφαλείας των δεδομένων σας.
  2. Ανανεώνετε τα αντίγραφα ασφαλείας των δεδομένων σας σε προκαθορισμένα χρονικά διατηματα.
  3. Χρησιμοποιήστε ισχυρούς κωδικούς πρόσβασης.
  4. Ασφαλίστε τις συσκευές σας όταν εργάζεστε εξ αποστάσεως.
  5. Εντοπίστε και διαγραψτε τα ύποπτα email.
  6. Εγκαταστήστε εφαρμογές προστασίας από ιούς και κακόβουλο λογισμικό (anti-various, anti-malware).
  7. Εγκαταστήστε εφαρμογές προστασίας τηλεπικοινωνιακού δικτύου (firewalls).
  8. Μην αφήνετε αφύλακτα έγγραφα ή φορητούς υπολογιστές.
  9. Βεβαιωθείτε ότι η προσβαση στο δίκτυο Wi-Fi σας είναι ασφαλής.
  10. Ορίσατε οι εργαζόμενοι να κλειδώνουν την οθόνη τους όταν λείπουν από το γραφείο τους.
  11. Διατηρείστε αρχεία με στοιχεία πρόσβασης και περιορίστε την προσβαση σε συστήματα, υπολογιστές και αρχεία.
  12. Εγκαταστήστε συστήματα ελέγχου λογικής πρόσβασης σε συστήματα, υπολογιστές και αρχεία (Logical Access Control) αν είναι δυνατόν με τεχνολογία ελεγχου ταυτότητας πολλαπλών παραγόντων (Multi Factor Authentication – MFA).
  13. Εγκαταστηστε συστήματα ελέγχου φυσικής πρόσβασης σε χώρους των εργαζομένων και των επισκεπτων (Physical Access Control)
  14. Μην αποθηκευετε δεδομένα για περισσότερο χρόνο από όσο απαιτείται από τις διαδικκασίες σας
  15. Αποσύρετε τον παλιό εξοπλισμό πληροφορικής, τα μέσα αποθηκευσης και τα αποθηκευμένα αρχεία με εφαρμογή διαδικασιών ασφάλεια



Η CubeIQ, διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 28 Apr 2022 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-065-220428 http://blog1.gdpr-awareness.eu/blog/rss/00000004F <![CDATA[Ενέργειες για την Διατήρηση της Ισχυρής Προστασίας Δεδομένων]]> imblog
Κατευθύνσεις και ενέργειες για επιτυχημένη προστασία των προσωπικών δεδομένων

1. Εκπαίδευση Υπαλλήλων
Οι οργανισμοί θα πρέπει να διεξάγουν τακτικές εκπαιδεύσεις ευαισθητοποίησης, ώστε οι υπάλληλοι του οργανισμού (α) να κατανοούν τις ευθύνες τους για τη διαφύλαξη των προσωπικών δεδομένων και (β) να διατηρούν  την ευαισθητοποίηση τους για το απόρρητο των προσωπικών δεδομένων

2. Ενημέρωση του Αρχείου Επεξεργασίας Προσωπικών Δεδομενων
Βεβαιωθείτε ότι τα Αρχεία Δραστηριοτήτων Επεξεργασίας (Records of Processing Activities – ROPA) του οργανισμού σας είναι ενημερωμένα και καλύπτουν όλες τις νέες δραστηριότητες επεξεργασίας Προσωπικών Δεδομένων.

3. Ενημέρωση των Πολιτικών Ασφαλείας
Βεβαιωθείτε ότι οι Πολιτικές Ασφαλείας Δεδομένων και Απορρήτου Προσωπικών Δεδομένων είναι ενημερωμένες και ευθυγραμμισμένες με τα ενημερωμένα Αρχεία Δραστηριοτήτων Επεξεργασίας.

4. Ενημέρωση Διαδικασιών και Πολιτικών
Ενημερώστε τις διαδικασίες και τις πολιτικές του οργανισμού σας ώστε να καλύπτουν όλες τις σύγχρονες λειτουργίες και τάσεις, όπως η τηλεργασία.

5. Έλεγχος των Δραστηριοτήτων Υψηλού Κινδύνου
Κατηγοριοποιήστε τις δραστηριότητες και επεξεργασίες σας όσον αφορά τον κίνδυνο διαρροών και πραγματοποιήστε Αξιολόγηση Επιπτώσεων Προστασίας Δεδομένων (Data Protection Impact Assessment – DPIA) όταν η επεξεργασία θα μπορούσε να οδηγήσει σε υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων όπως διαδικασίες καταγγελίας, διαδικασίες καταπολέμησης της παρενόχλησης και άλλες.

6. Παρακολούθηση και Έλεγχος των Επεξεργαστών των Δεδομένων σας
Δημιουργήστε πρόγραμμα ελέγχου και εκτελέστε τακτικούς ελέγχους  στους επεξεργαστές σας προκειμένου να διασφαλίσετε ότι αυτοί παρέχουν ένα επαρκές επίπεδο προστασίας όσον αφορά τα προσωπικά δεδομένα και ότι συμμορφώνονται με τον ΓΚΠΔ



Η CubeIQ, διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 18 Mar 2022 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-064-220318 http://blog1.gdpr-awareness.eu/blog/rss/00000004E <![CDATA[EDBP Κατευθυντήριες Γραμμές, Συστάσεις, Βέλτιστες Πρακτικές για τον ΓΚΠΔ]]> imblog
Το European Data Protection Board - EDPB δημοσιεύει γενικές οδηγίες, συμπεριλαμβανομένων κατευθυντήριων γραμμών, συστάσεων και βέλτιστων πρακτικών για την αποσαφήνιση της νομοθεσίας και την προώθηση της κοινής κατανόησης της νομοθεσίας της ΕΕ για την προστασία δεδομένων.

Το EDPB έχει δημοσιεύει οδηγίες, συστάσεις και βέλτιστες πρακτικές σχετικά με τον εφαρμογή του ΓΚΠΔ (EU 2016/679), την εφαρμογής της Οδηγίας για την Προστασία της Επεξεργασίας Δεδομένων Φυσικών Προσώπων από τις Αρμόδιες Αρχές (EU 2016/680) όπως επίση και άλλα σχετικά έγγραφα.

Οι πιό πρσφατές οδηγίες που δημοσιεύθγσας απο το EDPB είναι:
  1. 3 January 2022: Guidelines 01/2021 on Examples regarding Personal Data Breach Notification
  2. 18 November 2021: Guidelines 05/2021 on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR
  3. 13 October 2021: Guidelines 10/2020 on restrictions under Article 23 GDPR
  4. 7 July 2021: Guidelines 07/2020 on the concepts of controller and processor in the GDPR
  5. 7 July 2021: Guidelines 04/2021 on codes of conduct as tools for transfers
  6. 7 July 2021: Guidelines 02/2021 on virtual voice assistants
  7. 18 June 2021: Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data
  8. 19 May 2021: Recommendations 02/2021 on the legal basis for the storage of credit card data for the sole purpose of facilitating further online transactions
  9. 13 April 2021: Guidelines 8/2020 on the targeting of social media users

Μερικές από τις οδηγίες είναι δημοσιευμένες και στην Ελληνική γλώσσα.



Η CubeIQ, διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Mon, 24 Jan 2022 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-063-220124 http://blog1.gdpr-awareness.eu/blog/rss/00000004D <![CDATA[Η Νομοθεσία περί Απορρήτου Δεδομένων Οδηγεί στην Υιοθέτηση Χρήσης Κρυπτογραφικων Συσκευών HSMs]]> imblog
Η επέκταση της αυστηρής νομοθεσίας για το Aπόρρητο Προσωπικών Δεδομένων, συμπεριλαμβανομένου του Γενικού Κανονισμού Προστασίας Δεδομένων (GDPR) της Ευρωπαϊκής Ένωσης, του Γενικού Νόμου για την Προστασία Δεδομένων της Βραζιλίας (LGPD) και του Νόμου περί Απορρήτου των Καταναλωτών της Καλιφόρνιας (CCPA), απαιτεί από τους οργανισμούς να βελτιώσουν και να ενισχύουν τις υποδομές ασφάλειας των δεδομένων τους.
 
Οργανισμοί και επιχειρήσεις σε περισσότερες από 140 χώρες, που υπόκεινται στον Γενικό Κανονισμό Προστασίας Δεδομένων (ΓΚΠΔ - GDPR) της Ευρωπαϊκής Ένωσης, στον Γενικό Νόμο για την Προστασία Δεδομένων της Βραζιλίας (ΓΝΠΔΒ - LGPD) και στον Νόμο περί Απορρήτου των Καταναλωτών της Καλιφόρνιας (ΝΑΚΚ - CCPA), λαμβάνουν μέτρα για τη βελτίωση των προτύπων ασφαλείας για την προστασία των δεδομένων και το απόρρητο των πελατών, σύμφωνα με την IAPP.

Είναι ευθύνη εκείνων που συλλέγουν και ελέγχουν τα δεδομένα πελατών να διασφαλίζουν ότι εφαρμόζουν μια ολοκληρωμένη υποδομή ασφάλειας δεδομένων σε κάθε τμήμα των διαδικασιών τους. Επί του παρόντος, διεθνώς, μόνο ένα μέρος των οργανισμών, το 28%,  συμμορφώνεται με τον ΓΚΠΔ (ο οποίος τέθηκε σε ισχύ τον 25 Μαίου του 2018) και το 30% των οργανισμών είναι «κοντά» στην πλήρη συμμόρφωση (αλλά εξακολουθούν να επιλύουν ενεργά εκκρεμή ζητήματα) σύμφωνα με την μια τελευταία (26/09/2019) έκθεση από το Ερευνητικό Ινστιτούτο Capgemini με τίτλο The Championing Data Protection and Privacy Report.

Οργανισμοί και επιχειρήσεις στρέφονται σε τεχνολογικές εταιρίες παροχής υπηρεσιών και προιόντων ασφαλείας όπως η CubeIQ για προμηθευτούν επιχειρηματικές λυσεις ασφάλειας δεδομενων. Οργανισμοί και επιχειρήσεις μπορούν να βελτιώσουν την ασφάλειά τους και να συμμορφωθούν με τυς κανονισμούς μεταφορτώνοντας τις διαδικασίες κρυπτογράφησης δεδομένων και διαχείρισης κλειδιών σε σε συσκευές ασφαλείας δηλαδή κρυπτογραφικές συσκευές (Hardware Security Modules – HSMs).

H CubeIQ ηγέτης σε επιχειρηματικού επιπέδου λύσεις ασφάλειας δεδομένων, με τεχνολογία και τεχνογνωσία σε κρυπτογραφικές συσκευές (Hardware Security Modules – HSMs), συνεργάζετιαι με εταιρίες καταεκυής HSMs όπως η Thales, η Utimaco και η Securosys οι οποιες παραγουν HSMs συμβατά με όλα τα τρέχοντα πρότυπα κα πρωτόκολλα ασφαλείας (FIPS 140-2 level 3, PCI, PKCS#11, KMIP).

Δεδομένου ότι οι περισσότερες σύγχρονες πλατφόρμες βάσεων δεδομένων είναι συμβατές με ισχυρές κρυπτογραφικές βιβλιοθήκες (PKCS#11, KMIP) η χρήση HSMs και διαχείριση κλειδιών, που υποστηρίζονται από HSM, στην υπάρχουσα υποδομή δεδομένων για την ισχυρή κρυπτογράφηφη των δεδομένων τους καi την συμβατότητα τους με τον εκάστοτε κανονισμό προστασίας δεδομενων (GDPR, LGPD, CCPA …) δεν είναι δύσκολο να επιτευχθεί.

H CubeIQ παρέρεχει λύσεις που είναι σχεδιασμένες να προστατεύουν ευαίσθητα δεδομένα κατά την αποθήκευση (ηρεμία), την χρήση και την μεταφορά. Οι λύσεις της CubeIQ χρησιμοποιούν φυσική και λογική ασφαλεία, πολυπλοκους ελεγχους ασφαλείας και κρυπτογραφιες συσκευές με ισχυρή κρυπτογράφιση.

Η CubeIQ συνεργάζεται με τους πελάτες της ώστε να  βοηθήσει τον εξορθολογισμό των διαδικασιών τους με στόχο την συμμόρφωση τους με τον εκάστοτε ισχύοντα κανονισμό κανονισμό προστασίας δεδομενων (GDPR, LGPD, CCPA …)



Η CubeIQ, διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Wed, 12 Jan 2022 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-062-220112 http://blog1.gdpr-awareness.eu/blog/rss/00000004C <![CDATA[Πρακτικός Οδηγός Συμβάσεων Ελεγκτή - Επεξεργαστή - Μέρος 2ον ]]> imblog
Αυτό το άρθρο, μέρος 2ον, περιγράφει εν συντομία το πλαίσιο της υποχρέωσης των Υπευθύνων Επεξεργασίας και των Εκτελώντων την Επεξεργασία να συνάπτουν συμβάσεις επεξεργασίας δεδομένων με βάση τον Γενικός Κανονισμός για την Προστασία Δεδομένων - ΓΚΠΔ (GDPR), όταν απαιτείται να συνάψουν εν γένει συμβάσεις επεξεργασίας δεδομένων, και περιγράφει τις ελάχιστες διατάξεις που πρέπει να περιλαμβάνονται σε μια τέτοια σύμβαση όσον αφορά τον ΓΚΠΔ.

Μια Σύμβαση Επεξεργασίας Δεδομένων Πρέπει να Περιέχει τις Ακόλουθες Υποχρεωτικές Διατάξεις:
  1. Ότι ο εκτελών την επεξεργασία θα επεξεργάζεται δεδομένα προσωπικού χαρακτήρα που λαμβάνονται από τον υπεύθυνο επεξεργασίας μόνο με τεκμηριωμένες οδηγίες του υπευθύνου επεξεργασίας (εκτός εάν απαιτείται από το νόμο να επεξεργάζεται προσωπικά δεδομένα χωρίς τέτοιες οδηγίες), συμπεριλαμβανομένων αναφορικά και των των διεθνών διαβιβάσεων δεδομένων
  2. Ότι ο εκτελών την επεξεργασία διασφαλίζει ότι οποιοδήποτε πρόσωπο(α) επεξεργάζεται προσωπικά δεδομένα υπόκειται σε υποχρέωση εμπιστευτικότητας.
  3. Ότι ο εκτελών την επεξεργασία λαμβάνει όλα τα μέτρα που απαιτούνται σύμφωνα με το άρθρο 32 του ΓΚΠΔ (Ασφάλεια Επεξεργασίας), συμπεριλαμβανομένων, ενδεικτικά, της εφαρμογής κατάλληλων τεχνικών και οργανωτικών μέτρων για την προστασία των προσωπικών δεδομένων που λαμβάνονται από τον υπεύθυνο επεξεργασίας.
  4. Ότι ο εκτελών την επεξεργασία έχει λάβει είτε προηγούμενη ειδική εξουσιοδότηση είτε γενική γραπτή εξουσιοδότηση για τον οποιουσδήποτε υπο-επεξεργαστή (υπεργολάβο) που μπορεί να απαιτηθεί να χρησιμοποιηθεί από τον εκτελούντα την επεξεργασία κατά την επεξεργασία των προσωπικών δεδομένων που έλαβε από τον υπεύθυνο επεξεργασίας. Ο εκτελών την επεξεργασία πρέπει περαιτέρω να διασφαλίζει ότι όταν λαμβάνεται γενική γραπτή εξουσιοδότηση από τον υπευθυνο επεξεργασίας προς τον εκτελούντα την επεξεργασία που τον δεσμεύει για την χρσημοποίηση υπο-επεξεργαστών, ο υπεύθυνος επεξεργασίας θα έχει τη δυνατότητα να αντιταχθεί εκ των προτέρων σε κάθε μεμονωμένο υπο-επεξεργαστή που θα διοριστεί από τον εκτελούντα την επεξεργασία.
  5. Ότι ο οποιοιδήποτε υπό-επεξεργαστής χρησιμοποιείται από τον εκτελούντα την επεξεργασία υπόκεινται στις ίδιες υποχρεώσεις προστασίας δεδομένων με τον εκτελούντα την επεξεργασία και ότι ο κύριος εκτελών την επεξεργασία παραμένει άμεσα υπεύθυνος έναντι του υπεύθυνου επεξεργασίας για την εκπλήρωση των υποχρεώσεων προστασίας δεδομένων του υπευθύνου επεξεργασίας·
  6. Ότι ο εκτελών την επεξεργασία βοηθά τον υπεύθυνο επεξεργασίας με κατάλληλα τεχνικά και οργανωτικά μέτρα για να ανταποκριθεί στα αιτήματα των υποκειμένου των δεδομένων (για αντληση πληροφοριών) με βάση τα οριζόμενα στον ΓΚΠΔ.
  7. Ότι ο εκτελών την επεξεργασία βοηθά τον υπεύθυνο επεξεργασίας να διασφαλίσει τη συμμόρφωση με τις υποχρεώσεις του με βάση του ΓΚΠΔ σχέση με (α) την ασφάλεια της επεξεργασίας δεδομένων (άρθρο 32 ΓΚΠΔ), (β) την κοινοποίηση παραβιάσεων δεδομένων (άρθρα 33 και 34 ΓΚΠΔ) και τις εκτιμήσεις επιπτώσεων στην προστασία δεδομένων (άρθρα 35 και 36 ΓΚΠΔ)
  8. Ότι, στο τέλος της επεξεργασίας των δεδομένων από τον εκτελούντα την επεξεργασία και κατόπιν εντολής του υπεύθυνου επεξεργασίας, ο εκτελών την επεξεργασία διαγράφει ή επιστρέφει τα προσωπικά δεδομένα που έλαβε από τον υπεύθυνο επεξεργασίας· και
  9. Ότι ο εκτελών την επεξεργασία θέτει στη διάθεση του υπεύθυνου επεξεργασίας όλες τις απαραίτητες πληροφορίες για την απόδειξη της συμμόρφωσης με το άρθρο 28 ΓΚΠΔ και ότι ο εκτελών την επεξεργασία επιτρέπει και συμβάλλει σε ελέγχους συμμόρφωσης που διενεργούνται από τον υπεύθυνο επεξεργασίας ή τρίτο μέρος για λογαριασμό του υπεύθυνου επεξεργασίας.

Άλλες Διατάξεις που Ενδέχεται να Περιλαμβάνονται σε Συμβάσεις Επεξεργασίας Δεδομένων
Υπάρχουν και ορισμένες άλλες διατάξεις τις οποίες οι υπεύθυνοι επεξεργασίας και οι εκτελούντες την επεξεργασία ενδέχεται να επιθυμούν να συμπεριλάβουν στη σύμβαση επεξεργασίας δεδομένων, οι οποίες δεν είναι υποχρεωτικές για συμπερίληψη στο πλαίσιο του ΓΚΠΔ.
Τέτοιες διατάξεις μπορεί να περιλαμβάνουν, αλλά δεν περιορίζονται σε:
  • Προβλέψεις ευθύνης (συμπεριλαμβανομένων των αποζημιώσεων).
  • Λεπτομερείς (τεχνικές) διατάξεις ασφαλείας. και/ή
  • Πρόσθετες διατάξεις συνεργασίας μεταξύ του υπεύθυνου επεξεργασίας και του εκτελούντος την επεξεργασία.
Τέτοιες πρόσθετες διατάξεις μπορούν να συμφωνηθούν μεταξύ των υπευθύνων επεξεργασίας και των εκτελούντων την επεξεργασία κατά περίπτωση.

Τι Χρειάζεται για να Διασφαλιστεί η Συμμόρφωση με Αυτές τις Υποχρεώσεις Βάσει του ΓΚΠΔ;
Εάν είστε υπεύθυνος επεξεργασίας που δεσμεύει τον/τους εκτελούντες την επεξεργασία να επεξεργάζονται προσωπικά δεδομένα για λογαριασμό σας ή εάν είστε υπεύθυνος επεξεργασίας που επεξεργάζεται προσωπικά δεδομένα κατόπιν εντολής των υπευθύνων επεξεργασίας, θα πρέπει να διασφαλίσετε ότι έχετε μια νομικά δεσμευτική σύμβαση επεξεργασίας δεδομένων που διέπει αυτήν την επεξεργασία δεδομένων.

Θα πρέπει επίσης να διασφαλίσετε ότι οι συμβάσεις επεξεργασίας δεδομένων στις οποίες είστε συμβαλλόμενο μέρος είναι ενημερωμένες και συμμορφώνονται πλήρως με τον ΓΚΠΔ και ότι περιέχουν, τουλάχιστον, τις διατάξεις που προβλέπονται και είναι υποχρεωτικές σύμφωνα με το άρθρο 28 παράγραφος (3) του ΓΚΠΔ.



Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Wed, 22 Dec 2021 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-061-211222 http://blog1.gdpr-awareness.eu/blog/rss/00000004A <![CDATA[Πρακτικός Οδηγός Συμβάσεων Ελεγκτή - Επεξεργαστή - Μέρος 1ον ]]> imblog
Αυτό το άρθρο, μέρος 1ον, περιγράφει εν συντομία το πλαίσιο της υποχρέωσης των Υπευθύνων Επεξεργασίας και των Εκτελώντων την Επεξεργασία να συνάπτουν συμβάσεις επεξεργασίας δεδομένων με βάση τον Γενικός Κανονισμός για την Προστασία Δεδομένων - ΓΚΠΔ (GDPR), όταν απαιτείται να συνάψουν εν γένει συμβάσεις επεξεργασίας δεδομένων, και περιγράφει τις ελάχιστες διατάξεις που πρέπει να περιλαμβάνονται σε μια τέτοια σύμβαση όσον αφορά τον ΓΚΠΔ.

Ο Γενικός Κανονισμός για την Προστασία Δεδομένων - ΓΚΠΔ, ο οποίος τέθηκε σε ισχύ στις 25 Μαΐου 2018, εισήγαγε αυξημένες υποχρεώσεις τόσο για τους υπεύθυνους επεξεργασίας δεδομένων («υπεύθυνοι επεξεργασίας» - «data controllers») όσο και για τους εκτελλούντες την επεξεργασία δεδομένων («εκτελλούντες επεξεργασία», «data processors»).

Μια τέτοια υποχρέωση είναι η υποχρέωση των υπευθύνων επεξεργασίας και των εκτελλούντων την επεξεργασίας να συνάπτουν νομικά δεσμευτικές συμβάσεις που να διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα όταν ένας Εκτελλών την Επεξεργασία δεσμεύεται να επεξεργάζεται δεδομένα προσωπικού χαρακτήρα κατόπιν εντολής του Υπευθύνου Επεξεργασίας («σύμβαση επεξεργασίας δεδομένων»).

Σε αυτό το άρθρο περιγράφουμε εν συντομία το πλαίσιο της υποχρέωσης των υπευθύνων επεξεργασίας και των εκτελώντων την επεξεργασία να συνάπτουν συμβάσεις επεξεργασίας δεδομένων με βάση τον ΓΚΠΔ, όταν χρειάζεται να συνάψουν εν γένει συμβάσεις επεξεργασίας δεδομένων, και τις ελάχιστες διατάξεις που πρέπει να περιλαμβάνονται σε μια τέτοια σύμβαση.

Υποχρέωση Υπεύθυνων Επεξεργασίας και Εκτελώντων την Επεξεργασίας με βάση τον ΓΚΠΔ να συνάψουν Σύμβαση Επεξεργασίας Δεδομένων.
Σύμφωνα με τον ΓΚΠΔ και τον τρέχοντα Εθνικό Νόμο για την Προστασία Δεδομένων Προσωπικού Χαρακτηρα («ο νόμος») τόσο οι υπεύθυνοι επεξεργασίας όσο και οι εκτελούντες την επεξεργασία υπόκεινται σε ορισμένες αυξημένες υποχρεώσεις. Οι εκτελλούντες την επεξεργασίας, για παράδειγμα, πρέπει να επεξεργάζονται προσωπικά δεδομένα μόνο σύμφωνα με τις τεκμηριωμένες οδηγίες ενός υπεύθυνου επεξεργασίας. Ένας υπεύθυνος επεξεργασίας, από την άλλη πλευρά, ορίζει τους σκοπούς και τα μέσα επεξεργασίας των προσωπικών δεδομένων. Επιπλέον πληροφορίες επί του θέματος μπορεί να βρεθούν στο ιστότοπο της Αρχής Προστασίας Δεδεομενων Προσωπικού Χαρακτήρα - ΑΠΔΠΧ ή να ζητηθούν από αυτην.

Μια υποχρέωση βάσει του ΓΚΠΔ είναι η απαίτηση των υπευθύνων επεξεργασίας και των εκτελούντων την επεξεργασία να συνάπτουν νομικά δεσμευτικές συμβάσεις όταν ένας υπεύθυνος επεξεργασίας αναθέτει σε έναν εκτελώντα της επεξεργασίας να επεξεργαστεί προσωπικά δεδομένα για λογαριασμό του.Όταν ανατίθεται η επεξεργσια σε έναν εκτελώντα την επεξεργασία, ο ΓΚΠΔ ορίζει ότι ο υπεύθυνος επεξεργασίας υποχρεούνται να χρησιμοποιήσει μόνο εκτελώντες την επεξεργίας οι οποίοι παρέχουν επαρκείς εγγυήσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων για τη συμμόρφωση με τον ΓΚΠΔ και την προστασία των δικαιωμάτων απορρήτου των υποκειμένων των δεδομένων.

Οι υπεύθυνοι επεξεργασίας και οι εκτελώντες την επεξεργασίας θα πρέπει να έχουν υπόψη τους ότι υπάρχει μια σειρά από άλλες υποχρεώσεις που επιβάλλει ο ΓΚΠΔ απευθείας στους υπευθύνους επεξεργασίας και τους εκτελούντες την επεξεργασία. Για παράδειγμα, υποχρεώσεις τήρησης αρχείων, διασφάλιση της ασφάλειας της επεξεργασίας δεδομένων, διασφάλιση των δικαιωμάτων απορρήτου των υποκειμένων των δεδομένων κ.λπ.
Αυτές οι άμεσες υποχρεώσεις του ΓΚΠΔ ισχύουν για τους υπεύθυνους επεξεργασίας και τους εκτελούντες την επεξεργασία επιπλέον των εκάστοτε συμβατικών υποχρεώσεων στις οποίες ενδέχεται να υπόκεινται ένας υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία βάσει της μεταξ’υ τους σύμβασης επεξεργασίας δεδομένων.
Ομοίως, εάν διαπιστωθεί ότι οι υπεύθυνοι επεξεργασίας και οι εκτελούντες την επεξεργασία παραβιάζουν τον ΓΚΠΔ, ενδέχεται να υπόκεινται σε πρόστιμα και άλλες κυρώσεις με βάση τον ΓΚΠΔ, εκτός από την (ενδεχόμενη) παραβίαση οποιασδήποτε σύμβασης επεξεργασίας δεδομένων στην οποία είναι συμβαλλόμενα μέρη.

Πώς ‘Εχει Αλλάξει η Απαίτηση για Συμβάσεις Επεξεργασίας Δεδομένων με βάση τον ΓΚΠΔ.
Η νομοθεσία πριν από τον ΓΚΠΔ προέβλεπε ότι θα έπρεπε να συνάπτεται γραπτή σύμβαση μεταξύ των υπευθύνων επεξεργασίας και των εκτελούντων την επεξεργασία όταν η επεξεργασία δεδομένων προσωπικού χαρακτήρα πραγματοποιείται από εκτελούντα την επεξεργασία κατόπιν εντολής υπευθύνου επεξεργασίας. Ομοίως, ο ΓΚΠΔ απαιτεί ότι όταν ένας υπεύθυνος επεξεργασίας αναθέτει σε έναν εκτελούντα την επεξεργασία να επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία πρέπει να συνάψουν μια νομικά δεσμευτική σύμβαση η οποία να διέπει αυτήν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Μια σημαντική αλλαγή σε αυτήν την υποχρέωση είναι ότι ο ΓΚΠΔ ορίζει περισσότερες προβλέψεις και όρους για να συμπεριληφθούν σε μια τετοια σύμβαση επεξεργασίας δεδομένων.

Το άρθρο 28 παράγραφος 3 του ΓΚΠΔ ορίζει ότι μια σύμβαση επεξεργασίας δεδομένων πρέπει να καθορίζει το αντικείμενο και τη διάρκεια της επεξεργασίας, τη φύση και τον σκοπό της επεξεργασίας, τον τύπο των δεδομένων προσωπικού χαρακτήρα και τις κατηγορίες των υποκειμένων των δεδομένων, καθώς και τις υποχρεώσεις και τα δικαιώματα του υπεύθυνος επεξεργασίας. Το άρθρο 28 απαριθμεί επίσης ορισμένες υποχρεωτικές διατάξεις για όλες αυτές τις συμβάσεις, οι οποίες αναλύονται λεπτομερέστερα παρακάτω.

Ποιος Χρειάζεται να Συνάψει Συμβάσεις Επεξεργασίας Δεδομένων;
Όλοι οι υπεύθυνοι επεξεργασίας που αναθέτουν στους εκτελούντες την επεξεργασία να επεξεργαστούν προσωπικά δεδομένα για λογαριασμό τους, υποχρεούνται να συνάψουν σύμβαση επεξεργασίας δεδομένων. Η υποχρέωση αυτή αφορά τους υπευθύνους επεξεργασίας και τους εκτελούντες την επεξεργασία τόσο στον δημόσιο όσο και στον ιδιωτικό τομέα.

Επισκόπηση Υποχρεωτικών Διατάξεων Συμβάσεων Επεξεργασίας Δεδομένων.
Το άρθρο 28 παράγραφος 3 του ΓΚΠΔ ορίζει τις διατάξεις που πρέπει να περιλαμβάνονται σε μια σύμβαση επεξεργασίας δεδομένων μεταξύ υπευθύνου επεξεργασίας και εκτελούντος την επεξεργασία. Ένας υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία θα πρέπει να συνάψουν σύμβαση επεξεργασίας δεδομένων η οποία πρέπει, τουλάχιστον, να περιλαμβάνει τις ακόλουθες λεπτομέρειες:
  • Το αντικείμενο, η διάρκεια, η φύση και ο σκοπός της επεξεργασίας δεδομένων.
  • Το είδος των προσωπικών δεδομένων που υποβάλλονται σε επεξεργασία.
  • Οι κατηγορίες των υποκειμένων των δεδομένων των οποίων τα προσωπικά δεδομένα υφίστανται επεξεργασία. και
  • Οι υποχρεώσεις και τα δικαιώματα του υπεύθυνου επεξεργασίας.



Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Wed, 15 Dec 2021 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-060-211215 http://blog1.gdpr-awareness.eu/blog/rss/000000049 <![CDATA[Προστασία Προσωπικών Δεδομένων κατά την εξ' Αποστάσεως Εργασία]]> imblog
Η άνοδος της υβριδικής εργασίας και ψηφιοποίησης τα τελευταία χρόνια και τα μέτρα για τον έλεγχο και την πρόληψη της εξάπλωσης του COVID-19 θα περιλαμβάνουν περισσότερα άτομα που εργάζονται εξ αποστάσεως από ό,τι συνήθως.
 
Ακολουθεί ένας αριθμός συστάσεων για να διατηρείτε ασφαλή τα προσωπικά δεδομένα όταν εργάζεστε μακριά από το γραφείο.

Συσκευές
  • Προσέξτε ιδιαίτερα ώστε συσκευές, όπως USB, τηλέφωνα, φορητοί υπολογιστές ή tablet, να μην χαθούν ή τοποθετηθούν σε λάθος θέση.
  • Βεβαιωθείτε ότι όλες οι συσκευές διαθέτουν τις απαραίτητες ενημερώσεις, όπως ενημερώσεις λειτουργικού συστήματος (όπως iOS ή android) και τις πιο προσφατες ενημερώσεις λογισμικού/antivirus.
  • Βεβαιωθείτε ότι ο υπολογιστής, ο φορητός υπολογιστής ή οποιαδήποτε άλλη συσκευή σας χρησιμοποιούνται σε ασφαλή τοποθεσία, για παράδειγμα όπου μπορείτε να τις παρακολουθείτε και να ελαχιστοποιείτε την δυνατότητα άλλος να μπορεί να δει την οθόνη, ιδιαίτερα εάν εργάζεστε με ευαίσθητα προσωπικά δεδομένα.
  • Κλειδώστε τη συσκευή σας εάν πρέπει να την αφήσετε χωρίς επιτήρηση για οποιονδήποτε λόγο.
  • Βεβαιωθείτε ότι οι συσκευές σας είναι απενεργοποιημένες, κλειδωμένες ή αποθηκευμένες προσεκτικά όταν δεν χρησιμοποιούνται.
  • Χρησιμοποιήστε αποτελεσματικούς ελέγχους πρόσβασης (όπως έλεγχος ταυτότητας πολλαπλών παραγόντων και ισχυρούς κωδικούς πρόσβασης) και, όπου είναι διαθέσιμο, κρυπτογράφηση για να περιορίσετε την πρόσβαση στη συσκευή και να μειώσετε τον κίνδυνο κλοπής ή τοποθέτησης μιας συσκευής σε λάθος θέση.
  • Όταν μια συσκευή χαθεί ή κλαπεί, θα πρέπει να λάβετε αμέσως μέτρα για να εξασφαλίσετε απομακρυσμένη διαγραφή μνήμης, όπου είναι δυνατόν.

Email, Ηλεκτρονικό Ταχυδρομείο
  • Ακολουθήστε αυστηρά τις τυχόν ισχύουσες πολιτικές χρήσης και πολιτικές ασφαλέιας του οργανισμού σας σχετικά με τη χρήση email.
  • Χρησιμοποιήστε λογαριασμούς email της εργασίας σας αντί για προσωπικούς λογαρισμούς για email που σχετίζονται με την εργασία σας και που περιλαμβάνουν προσωπικά δεδομένα. Εάν πρέπει να χρησιμοποιήσετε προσωπικό email, βεβαιωθείτε ότι τα περιεχόμενα και τα συνημμένα είναι κρυπτογραφημένα και αποφύγετε τη χρήση προσωπικών ή εμπιστευτικών δεδομένων στις γραμμές θέματος.
  • Πριν στείλετε ένα μήνυμα email, βεβαιωθείτε ότι το στέλνετε στον σωστό παραλήπτη, ιδιαίτερα για μηνύματα email που αφορούν μεγάλες ποσότητες προσωπικών δεδομένων ή ευαίσθητα προσωπικά δεδομένα.

Πρόσβαση στο Cloud και στο Εταιρικό Δίκτυο
  • Όπου είναι δυνατόν να χρησιμοποιείτε μόνο τα αξιόπιστα δίκτυα ή τις υπηρεσίες cloud του οργανισμού σας και να συμμορφώνεστε με οποιουσδήποτε κανόνες και διαδικασίες οργάνωσης σχετικές με την πρόσβαση στο cloud ή το εταιρικό δίκτυο, τη σύνδεση σας και την κοινή χρήση δεδομένων.
  • Εάν εργάζεστε χωρίς πρόσβαση στο cloud ή στο εταιρικό δίκτυο, βεβαιωθείτε ότι για τα τοπικά αποθηκευμένα δεδομένα έχουν δημιουργηθεί επαρκή αντίγραφα ασφαλείας με ασφαλή τρόπο.

Αρχεία σε Χαρτί
  • Είναι σημαντικό να θυμάστε ότι η προστασία δεδομένων ισχύει όχι μόνο για τα ηλεκτρονικά αποθηκευμένα ή επεξεργασμένα δεδομένα, αλλά και για προσωπικά δεδομένα σε μη αυτόματη μορφή (όπως τα έντυπα αρχεία) όταν αυτά αποτελούν ή πρόκειται να αποτελέσουν μέρος του συστήματος αρχειοθέτησης.
  • Όταν εργάζεστε εξ αποστάσεως με χάρτινα αρχεία, λάβετε μέτρα για να διασφαλίσετε την ασφάλεια και την εμπιστευτικότητα αυτών των αρχείων, όπως (α) κρατώντας τα κλειδωμένα σε ντουλάπι αρχειοθέτησης ή συρτάρι όταν δεν χρησιμοποιούνται, (β) καταστρέφοντας τα με ασφάλεια (π.χ. τεμαχισμός) όταν δεν χρησιμοποιούνται πλέον και (γ) φροντίζοντας να μην έχουν τοποθετηθεί κάπου όπου θα μπορούσαν να χαθούν, να αντιγραφούν ή να κλαπούν.
  • Εάν έχετε να κάνετε με αρχεία που περιέχουν ειδικές κατηγορίες προσωπικών δεδομένων (π.χ. δεδομένα υγείας), θα πρέπει να φροντίσετε να διασφαλιστεί η ασφάλεια τους, η εμπιστευτικότητας τους και εν γένει η προστασία τους και να μεταφερετε αυτά τα αρχεία μόνο από την ασφαλή τοποθεσία όταν είναι απολύτως απαραίτητο για να εκτελέσετε την εργασία σας.
  • Όπου είναι δυνατόν, θα πρέπει να διατηρείτε γραπτό αρχείο σχετικά με ποια αρχεία έχουν μεταφερθεί στο σπίτι, προκειμένου να διατηρούνται καλές πρακτικές πρόσβασης στα δεδομένα και οι βελτιστες διαδικασίες διακυβέρνησης.



Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 26 Nov 2021 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-059-211126 http://blog1.gdpr-awareness.eu/blog/rss/00000004B <![CDATA[IAPP: Συμβατικοί Όροι για την Μεταφορά Προσωπικών Δεδομένων Εντός και Εκτός ΕΕ κατά τον ΓΚΠΔ]]> imblog
Στις 4 Ιουνίου 2021, η Ευρωπαϊκή Επιτροπή κυκλοφόρησε νέους Τυποποιημένους Συμβατικούς Όρους για διεθνείς μεταφορές δεδομένων.

Οι οργανισμοί θα πρέπει να χρησιμοποιούν αυτούς τους Τυποποιημένους Συμβατικούς Όρους  (ΤΣΟ) για να καθορίζουν τις νέες μεταφορές δεδομένων που πραγματοποιούνται βάσει του άρθρου 46(2)(γ) του Γενικού Κανονισμού Προστασίας Δεδομένων της ΕΕ από τα τέλη Σεπτεμβρίου 2021 και να αντικαταστήσουν επίσης τους υπάρχοντες ΤΣΟ οι οποίοι καθορίζουν τις τρέχουσες διαδικασίες επεξεργασίας δεδομένων από τα τέλη Δεκεμβρίου 2022.

Για να βοηθηθούν οι οργανισμοί σε αυτήν την εργασία, η ερευνητική ομάδα του IAPP δημιούργησε τέσσερα (4) ξεχωριστά έγγραφα του σε μορφή Microsoft Word, ένα για κάθε σενάριο μεταφοράς δεδομένων, σε κάθε ένα των οποίων ενσωματώνει μόνον εκείνους τους Τυποποιημένους Συμβατικούς Όρους οι οποίοι σχετιζονται με το κάθε σεναριο – διαφορετικό μηχανισμό μεταφοράς προσωπικων δεδομένων.

Αποποίηση ευθύνης: Αυτά τα έγγραφα δημιουργήθηκαν με βάση το κείμενο που είναι διαθέσιμο στον ιστότοπο του EUR-Lex και παρέχονται για λόγους ευκολίας. Δεν πρέπει να θεωρούνται επίσημα έγγραφα ή νομική συμβουλή.

Έγγράφων Τυποποιημένων Συμβατικών Όρων (μορφή αρχείου .doc) στην Αγγλική γλώσσα:

Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Mon, 15 Nov 2021 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-058-211115 http://blog1.gdpr-awareness.eu/blog/rss/000000048 <![CDATA[Oφέλη από τη Διεξαγωγή ΕΑΠΔ (DPIA)]]> imblog
* DPIA: Data Protection Impact Assessment: Εκτίμηση Αντικτύπου Προστασίας Δεδομένων - ΕΑΠΔ
* Η έννοια «Δεδομένα» περιλαμβάνει και την έννοια «Προσωπικά Δεδομένα»

Η διεξαγωγή DPIA βελτιώνει την ευαισθητοποίηση των μελών του οργανισμούσας για τους κινδύνους προστασίας δεδομένων που σχετίζονται με ένα έργο. Η διαδικασία βοηθάει την βελτίωση του σχεδιασμού του έργου και την ενίσχυση της επικοινωνίας σχετικά με τους κινδύνους προστασίας δεδομένων με τους σχετικούς ενδιαφερόμενους φορείς και την ομάδα έργου.

Μερικά από τα οφέλη από τη διεξαγωγή DPIA είναι τα ακόλουθα:
  • Επιβεβαίωση και απόδειξη ότι ο οργανισμός σας συμμορφώνεται με τον ΓΚΠΔ και αποφεύγει τις σχετικές κυρώσεις.
  • Ενίσχυση της δημόσιας εμπιστοσύνη του οργανισμού βελτιώνοντας την επικοινωνία σχετικά με θέματα προστασίας δεδομένων.
  • Επιβεβαίωσή ότι οι πελάτες σας και οι χρήστες σας δεν κινδυνεύουν από παραβίαση της προστασίας των δεδομένων τους.
  • Δυνατότητα του οργανισμού σας να ενσωματώσει την «προστασία δεδομένων από την σχεδίαση» σε νέα έργα.
  • Μείωση του κόστους λειτουργίας βελτιστοποιώντας τις ροές πληροφοριών και εξαλείφοντας την περιττή συλλογή και επεξεργασία δεδομένων κατά την εκτέλεση ενός έργου.
  • Μείωση των κινδύνων του οργανισμούς σας που σχετίζονται με την παραβίαση της προστασίας δεδομένων.
  • Μείωση του κόστους από την τοποθέτηση μηχανισμών προστασίας λόγω παραβίασης της προστασίας δεδομένων με την ενσωμάτωσή αυτών στο σχεδιασμό του έργου σε πρώιμο στάδιο.

Η «προστασία δεδομένων από την σχεδίαση» σημαίνει την ενσωμάτωση μηχανισμών προστασίας του απορρήτου των δεδομένων και βελτίωση των τεχνολογιών βελτίωσης ενδυνάμωσης του απορρήτου των δεδομένων απευθείας στο σχεδιασμό έργων σε πρώιμο στάδιο. Η διαδικασία αυτή εξασφαλίζει βελτιωμένη και οικονομικότερη προστασία των δεδομένων.

Η «προστασία δεδομένων από την σχεδίαση» επίσης σημαίνει ότι οι παρεχόμενες υπηρεσίες είναι «αυτοματοποιημένα φιλικές»  προς την προστασία δεδομένων.

Η «προστασία δεδομένων από την σχεδίαση» και η εκτέλεση DPIA συνιστούσαν εδώ και καιρό μέρος της ορθής πρακτικής εκτέλεσης έργων, και οι δύο αυτές αρχές περιγράφονται στον ΓΚΠΔ (άρθρο 25) και κατοχυρώνονται στο εκάστοτέ εφαρμοστικό νόμο.







Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 28 Oct 2021 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-057-211028 http://blog1.gdpr-awareness.eu/blog/rss/000000046 <![CDATA[Απαιτούμενη Τεκμηρίωση κατά τον ΓΚΠΔ]]> imblog
Προκειμένου οι οργανισμοί να αποδείξουν τη συμμόρφωση με τον ΓΚΠΔ πρέπει να δημιουργήσουν και να διατηρήσουν μια σειρά εγγράφων, πολιτικών και διαδικασιών. Σε αυτό το άρθρο, παραθέτουμε όλη την υποχρεωτική τεκμηρίωση, τις πολιτικές και τις διαδικασίες που πρέπει να έχουν οι οργανισμοί για να είναι συμμορφωμένοι με τον ΓΚΠΔ.

Για Καταστήματα Λιανικής, Ελευθέρους Επαγγελματίες και Προσωπικές Εταιρίες
  1. Σχέδιο Εφαρμογής Υλοποίησης Συμμόρφωσης ΓΚΠΔ.
  2. Πολιτική Διατήρησης και Διαγραφής ΠΔ & Προγραμματισμός Διαγραφής ΠΔ.
  3. Πρότυπο Έγγραφο Ενημέρωσης Πολιτικής Απορρήτου και Συναίνεσης Πελατών.
  4. Κατάλογος Ελέγχου Δέουσας επιμέλειας ΠΔ Προμηθευτή και Κατάλογος Συμμορφωμένων κατά τον ΓΚΠΔ Προμηθευτών.
  5. Διαδικασία Αιτήματος Πρόσβασης Υποκειμένου Δεδομένων (SAR), Έντυπο Αίτησης & Έντυπο Απάντησης.
  6. Πολιτική Ενεργειών Παραβίασης ΠΔ, Έντυπο Ενημέρωσης  Συμβάντος και Δημιουργία Μητρώο Παραβιάσεων.
  7. Έγγραφο Περιγραφής Νόμιμης Βάσης για την Επεξεργασία ΠΔ.
  8. Έγγραφο Πολιτικής Ασφαλείας Πληροφοριών.
  9. Έγγραφο Γενικής Ανακοίνωσης Προστασίας ΠΔ.
  10. Πρότυπο Έγγραφο Ελέγχου (Audit) Διαδικασιών Επεξεργασίας ΠΔ.
  11. Μητρώο Δραστηριοτήτων Επεξεργασίας Υπευθύνου Επεξεργασίας (Data Controller Register of Processing Activities – ROPA).
  12. Έγγραφο Στρατηγικής ΓΚΠΔ.
  13. Έγγραφο Πολιτικής Ταξινόμησης Πληροφοριών.

Για Μικρές Επιχειρήσεις
  1. Σχέδιο Εφαρμογής Υλοποίησης Συμμόρφωσης ΓΚΠΔ.
  2. Πολιτική Διατήρησης και Διαγραφής ΠΔ & Προγραμματισμός Διαγραφής ΠΔ.
  3. Πρότυπο Έγγραφο Ενημέρωσης Πολιτικής Απορρήτου και Συναίνεσης Πελατών.
  4. Κατάλογος Ελέγχου Δέουσας επιμέλειας ΠΔ Προμηθευτή και Κατάλογος Συμμορφωμένων κατά τον ΓΚΠΔ Προμηθευτών.
  5. Διαδικασία Αιτήματος Πρόσβασης Υποκειμένου Δεδομένων (SAR), Έντυπο Αίτησης & Έντυπο Απάντησης.
  6. Πολιτική Ενεργειών Παραβίασης ΠΔ, Έντυπο  Ενημέρωσης  Συμβάντος και Δημιουργία Μητρώο Παραβιάσεων.
  7. Έγγραφο Περιγραφής Νόμιμης Βάσης για την Επεξεργασία ΠΔ.
  8. Έγγραφο Πολιτικής Ασφαλείας Πληροφοριών.
  9. Έγγραφο Γενικής Ανακοίνωσης Προστασίας ΠΔ.
  10. Πρότυπο Έγγραφο Ελέγχου (Audit) Διαδικασιών Επεξεργασίας ΠΔ.
  11. Μητρώο Δραστηριοτήτων Επεξεργασίας Υπευθύνου Επεξεργασίας (Data Controller Register of Processing Activities – ROPA).
  12. Έγγραφο Στρατηγικής ΓΚΠΔ.
  13. Έγγραφο Πολιτικής Ταξινόμησης Πληροφοριών.
  14. Μητρώο Εντύπων Καταγγελιών - Παράπονων και Επιστολών Απάντησης.
  15. Μητρώο Δραστηριοτήτων Επεξεργασίας Εκτελούντος την Επεξεργασία (Data Processor Register of Processing Activities – ROPA).
  16. Έγγραφο Εκτίμησης Νόμιμου Συμφέροντος Επεξεργασίας.
  17. Έγγραφο Ενημέρωσης Πολιτικής Απορρήτου και Συναίνεσης Υπάλληλων.
  18. Έγγραφο Πολιτικής Απομακρυσμένη Πρόσβαση και BYOD.
  19. Έγγραφο με Καταλόγους Ελέγχου Εγγράφων ΓΚΠΔ.
  20. Έντυπο Γνωστοποίησης και Συναίνεσης για την Επεξεργασία ΠΔ.

Για Μικρομεσαίες και Μεσαίες Επιχειρήσεις
  1. Σχέδιο Εφαρμογής Υλοποίησης Συμμόρφωσης ΓΚΠΔ.
  2. Πολιτική Διατήρησης και Διαγραφής ΠΔ & Προγραμματισμός Διαγραφής ΠΔ.
  3. Πρότυπο Έγγραφο Ενημέρωσης Πολιτικής Απορρήτου και Συναίνεσης Πελατών.
  4. Κατάλογος Ελέγχου Δέουσας επιμέλειας ΠΔ Προμηθευτή και Κατάλογος Συμμορφωμένων κατά τον ΓΚΠΔ Προμηθευτών.
  5. Διαδικασία Αιτήματος Πρόσβασης Υποκειμένου Δεδομένων (SAR), Έντυπο Αίτησης & Έντυπο Απάντησης.
  6. Πολιτική Ενεργειών Παραβίασης ΠΔ, Έντυπο Ενημέρωσης  Συμβάντος και Δημιουργία Μητρώο Παραβιάσεων.
  7. Έγγραφο Περιγραφής Νόμιμης Βάσης για την Επεξεργασία ΠΔ.
  8. Έγγραφο Πολιτικής Ασφαλείας Πληροφοριών.
  9. Έγγραφο Γενικής Ανακοίνωσης Προστασίας ΠΔ.
  10. Πρότυπο Έγγραφο Ελέγχου (Audit) Διαδικασιών Επεξεργασίας ΠΔ.
  11. Μητρώο Δραστηριοτήτων Επεξεργασίας Υπευθύνου Επεξεργασίας (Data Controller Register of Processing Activities – ROPA).
  12. Έγγραφο Στρατηγικής ΓΚΠΔ.
  13. Έγγραφο Πολιτικής Ταξινόμησης Πληροφοριών.
  14. Μητρώο Εντύπων Καταγγελιών - Παράπονων και Επιστολών Απάντησης.
  15. Μητρώο Δραστηριοτήτων Επεξεργασίας Εκτελούντος την Επεξεργασία (Data Processor Register of Processing Activities – ROPA).
  16. Έγγραφο Εκτίμησης Νόμιμου Συμφέροντος Επεξεργασίας.
  17. Έγγραφο Ενημέρωσης Πολιτικής Απορρήτου και Συναίνεσης Υπάλληλων.
  18. Έγγραφο Πολιτικής Απομακρυσμένη Πρόσβαση και BYOD.
  19. Έγγραφο με Καταλόγους Ελέγχου Εγγράφων ΓΚΠΔ.
  20. Έντυπο Γνωστοποίησης και Συναίνεσης για την Επεξεργασία ΠΔ.
  21. Μητρώο Εντύπων Δήλωσης Απορρήτου.
  22. Έγγραφο Διαδικασίας Εκτίμησης Αντικτύπου Προστασίας Δεδομένων (Data Protection Impact Assessment Document).
  23. Έγγραφο με Ερωτηματολόγιο Συμμόρφωσης κατά τον ΓΚΠΔ Επεξεργαστή (Data Processor) ΠΔ.
  24. Έγγραφο με Ερωτηματολόγιο Συμμόρφωσης κατά τον ΓΚΠΔ Προμηθευτή.
  25. Έντυπο Γονικής Συγκατάθεσης και Απόσυρσης Συγκατάθεσης.
  26. Έγγραφο Πολιτικής Εκπαίδευσης Προσωπικού στον ΓΚΠΔ.
  27. Έγγραφο Πολιτικής Ελέγχου Πρόσβασης (Access Control) και Χρήσης κωδικών πρόσβασης (Password).
  28. Έγγραφο Πολιτικής «Καθαρού Γραφείου» και «Καθαρής Οθόνης Η/Υ».
  29. Μητρώο Καταγραφής Περιουσιακών Στοιχείων Πληροφοριών σε Ψηφιακή Μορφή.
  30. Έγγραφο Νόμιμης Βάσης για την επεξεργασία Εγγράφων.
  31. Έγγραφο Περιγραφή Εργασίας και Υποχρεώσεων Υπευθύνου Προστασίας Δεδομένων (Data Protection Officer – DPO).
  32. Πρότυπο Συμβάσης Επεξεργασίας ΠΔ με Προμηθευτή – Επεξεργαστή ΠΔ.



Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 14 Oct 2021 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-056-211014 http://blog1.gdpr-awareness.eu/blog/rss/000000045 <![CDATA[Πότε Aπαιτείται η Διεξαγωγή ΕΑΠΔ (DPIA)]]> imblog
Οι εκτιμήσεις αντικτύπου προστασίας δεδομένων - ΕΑΠΔ (DPIA) βοηθούν τους οργανισμούς να εντοπίσουν, να αξιολογήσουν και να μετριάσουν τους κινδύνους προστασίας δεδομένων κατά την διάρκεια των διαδικασιών επεξεργασίας δεδομένων. Οι ΕΑΠΔ είναι ιδιαίτερα σημαντικές όταν εισάγονται σε έναν οργανισμό νέες διαδικασίες, συστήματα και τεχνολογίες επεξεργασίας δεδομένων.

Ο στόχος των ΕΑΠΔ είναι να βοηθήσουν τους οργανισμούς να αξιολογήσουν τις επιπτώσεις που μπορεί να έχει μια επιχειρηματική διαδικασία επεξεργασίας προσωπικών δεδομένων στην ιδιωτική ζωή των ατόμων. Οι ΕΑΠΔ αποτελούν επίσης βασικό συστατικό στις πρακτικές συμμόρφωσης ενός οργανισμού με τον ΓΚΠΔ.

Σε αυτό το άρθρο εξηγούμε πότε πρέπει να πραγματοποιήσετε μια ΕΑΠΔ και σας αναφέρουμε τα βασικά βήματα ολοκλήρωσης μις διαδικασία ΕΑΠΔ.

Πότε είναι απαραίτητη η ΕΑΠΔ
Το άρθρο 35 του ΓΚΠΔ αναφέρει ότι απαιτείται ΕΑΠΔ εάν η επεξεργασία δεδομένων προσωπικού χαρακτήρα ενδέχεται να οδηγήσει σε υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων.
Τέτοιες επεξεργασίες δεδομένων προσωπικού χαρακτήρα περιλαμβάνουν:
  • Αυτοματοποιημένη λήψη αποφάσεων (συμπεριλαμβανομένης και της δημιουργίας προφίλ) που θα μπορούσε να επηρεάσει σημαντικά τα υποκείμενα των δεδομένων.
  • Μεγάλης κλίμακας επεξεργασία και μεγάλης κλίμακας επεξεργασία ειδικών κατηγοριών δεδομένων (που σχετίζονται με τη φυλή ή την εθνικότητα, τις πολιτικές απόψεις, την υγεία κ.λπ.). και
  • Συστηματική παρακολούθηση μεγάλης κλίμακας των δημόσιων χώρων.
Οι υπεύθυνοι επεξεργασίας δεδομένων (Data Controller) είναι κυρίως υπεύθυνοι για τη διεξαγωγή ΕΑΠΔ, αλλά το άρθρο 28.3(στ) προσθέτει ότι και οι επεξεργαστές δεδομένων (Data Processors), αν περιλαμβάνοντα στην επεξεργασία, πρέπει να βοηθήσουν στη διαδικασία.

Εκτέλεση ΕΑΠΔ
Δημιουργήσαμε έναν κατάλογο έξι βημάτων για την εκτέλεση μίας ΕΑΠΔ.
Για την εκτέλεση ΕΑΠΔ οι οργανισμοί πρέπει να ολοκληρώσουν τις ακόλουθες διαδικασίες:
  1. Περιγραφή διαδικασίας στην οποία να περιέχεται ερωτηματολόγιο που ζητά από τους χρήστες πληροφορίες σχετικά με την εν λόγω διαδικασία.
  2. Υποβολή καταλόγου ερωτήσεων που βοηθούν τους χρήστες να καταλάβουν εάν πρέπει να διεξάγουν DPIA.
  3. Ερωτηματολόγιο διαβούλευσης που να ζητά από τους χρήστες πληροφορίες σχετικά με τα εμπλεκόμενα μέρη που έχουν συμβουλευτεί ή έχουν υποβάλει ερωτήσεις (όπως τα υποκείμενα των δεδομένων ή οι εκπρόσωποί τους).
  4. Ερωτηματολόγιο με τις αρχές οι οποίες απαιτούν τους χρήστες να παρέχουν πληροφορίες σχετικά με την αναγκαιότητα και την αναλογικότητα της επεξεργασίας.
  5. Εκτίμηση κινδύνου προστασίας (απορρήτου) προσωπικών δεδομένων που δίνει στους χρήστες τα μέσα για τον εντοπισμό μεμονωμένων κινδύνων για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων, συμπεριλαμβανομένης της αξιολόγησης των επιπέδων κινδύνων και του προσδιορισμού των ενεργειών απόκρισης κινδύνου.
  6. Μια ανασκόπηση, η οποία περιέχει ένα σύντομο ερωτηματολόγιο που ρωτά τους χρήστες εάν έχουν ολοκληρωθεί όλες οι σχετικές εργασίες και εάν η διαδικασία είναι εξουσιοδοτημένη να προχωρήσει.



Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 30 Sep 2021 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-055-210930 http://blog1.gdpr-awareness.eu/blog/rss/000000047 <![CDATA[Τυπικοί Συμβατικοί Όροι για την Μεταφορά Προσωπικών Δεδομένων κατά τον ΓΚΠΔ]]> imblog
Την 4η Ιουνίου 2021, η Ευρωπαϊκή Επιτροπή υιοθέτησε δύο (2) σύνολα τυποποιημένων συμβατικών όρων . Το πρώτο είναι για χρήση μεταξύ ελεγκτών και επεξεργαστών και το δεύτερο για τη μεταφορά προσωπικών δεδομένων σε τρίτες χώρες. Αυτοί οι συμβατικοί όροι αντικατοπτρίζουν τις νέες απαιτήσεις βάσει του Γενικού Κανονισμού Προστασίας Δεδομένων (GDPR) και λαμβάνουν υπόψη την απόφαση Schrems II του Δικαστηρίου, εξασφαλίζοντας υψηλό επίπεδο προστασίας των προσωπικών δεδομένων των πολιτών.

Οι νέοι συμβατικοί όροι θα προσφέρουν μεγαλύτερη νομική προβλεψιμότητα στις ευρωπαϊκές επιχειρήσεις και θα βοηθήσουν, ιδίως τις ΜΜΕ να διασφαλίσουν τη συμμόρφωση με τις απαιτήσεις για ασφαλή μεταφορά δεδομένων, επιτρέποντας παράλληλα τα δεδομένα να κινούνται ελεύθερα πέρα από τα σύνορα, χωρίς νομικούς φραγμούς.

Οι νέοι τυποποιημένοι συμβατικοί όροι  λαμβάνουν υπόψη
(α) τη γνώμη των εκπροσώπων των κρατών μελών
(β) την κοινή γνώμη των European Data Protection Board και του European Data Protection Supervisor και
(γ) την άποψη όλων των ενδιαφερομένων μερών κατά τη διάρκεια της ευρείας δημόσιας διαβούλευσης


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 16 Sep 2021 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-054-210916 http://blog1.gdpr-awareness.eu/blog/rss/000000044 <![CDATA[ΓΚΠΔ Χαρτογράφηση Δεδομένων]]> imblog
Οι περισσότεροι οργανισμοί έχουν μια αρκετά καλή αντίληψη περί συμμόρφωσης με τον ΓΚΠΔ.
  • Γνωρίζουν την ανάγκη για νόμιμη βάση για τη συλλογή και την επεξεργασία δεδομένων.
  • Καταλαβαίνουν όλα τα οφέλη από την πρόσληψη Υπεύθυνου Προστασίας Δεδομένων (DPO) και αν είναι νομικά υποχρεωμένοι να ορίσουν έναν.
  • Γνωρίζουν τις ευθύνες τους όσον αφορά τις διεθνείς μεταφορές δεδομένων.
  • Γνωρίζουν για τους διεθνείς οργανισμούς που προσφέρουν υπηρεσίες και παρακολουθούν τα θέματα προστασίας δεδομένων στην ΕΕ
  • Και γνωρίζουν την ανάγκη διορισμού εκπροσώπου στην ΕΕ όπου αυτό απαιτείται.

Θεωρούμε ωστόσο, ότι υπάρχει μια πτυχή του νόμου περί προστασίας προσωπικών δεδομένων που εξακολουθεί να αφήνει πολλά ερωτήματα και αυτή η πτυχή είναι η ανεύρεση των προσωπικών δεδομένων στα συστήματα τα του οργανισμού και η χαρτογράφηση τους.

Το παρόν άρθρο απαντά στις βασικές ερωτήσεις που σχετίζονται με τη χαρτογράφηση δεδομένων και πώς μπορεί αυτή να σας βοηθήσει να επιτύχετε τη συμμόρφωση με τον ΓΚΠΔ και να διαχειριστείτε το απόρρητο και την προστασία των προσωπικών δεδομένων .

Τι ακριβώς είναι η χαρτογράφηση δεδομένων;
Χαρτογράφηση δεδομένων είναι η ανακάλυψη των δεδομένων και η καταγραφή τους.
Χαρτογράφηση δεδομένων είναι η διαδικασία απογραφής όλων των δεδομένων που συλλέγει και επεξεργάζεται ένας οργανισμός ή μια επιχείρησή και στη συνέχεια καταγραφή του τι συμβαίνει σε αυτά, πως τα επεξεργαζόμενά, πως και πού μεταφέρονται αυτά εντός και εκτός της επιχείρησης.

Πώς να δημιουργήσετε ένα χάρτη δεδομένων
Στις περισσότερες περιπτώσεις, οι ευθύνες για τη χαρτογράφηση δεδομένων ανήκουν συνήθως στον Υπεύθυνο Προστασίας Δεδομένων (ΥΠΔ), Data Protection Officer (DPO) ή σε άλλο εξουσιοδοτημένο άτομο με αρμοδιότητες προστασίας δεδομένων.
Ανάλογα με το μέγεθος της επιχείρησης και την εφαρμοζόμενη πολιτική (διαδικασίες) ασφαλείας ο  Υπεύθυνο Προστασίας Δεδομένων μπορεί να είναι εσωτερικός υπάλληλος ή εξωτερικός σύμβουλος προστασίας δεδομένων.
Το μέγεθος και η εμβέλεια του χάρτη δεδομένων μιας επιχείρησης εξαρτάται από το αντικείμενο της επιχείρησης και τις δραστηριότητες επεξεργασίας δεδομένων που εκτελεί. Όλοι όμως οι χάρτες δεδομένων απαιτείται να περιέχουν ορισμένα βασικά σημεία τα οποία περιγράφονται παρακάτω.
Για πολύπλοκες επιχειρήσεις όπου πολλά τμήματα επεξεργάζονται προσωπικά αναγνωρίσιμα δεδομένα, η χαρτογράφηση πρέπει να δημιουργείται τμήμα. Επιπλέον, για παγκόσμιους οργανισμούς πολλαπλών νομικών οντοτήτων πρέπει να δημιουργείται ξεχωριστή χαρτογράφηση δεδομένων για κάθε οντότητα.
Σε οποίο οργανισμό δημιουργούνται διαφορετικές χαρτογραφήσεις ανά τμήμα ή ανά θυγατρική εταιρία ή ανά ξεχωριστή νομική οντότητα καλόν είναι ο ΥΠΔ να μπορεί να δει το σύνολο των χαρτογραφήσεων μέσω μιας πύλης πληροφορίας (web portal).

Η χαρτογράφηση δεδομένων πρέπει κατ’ ελάχιστον να περιέχει
Οργανισμός - Εταιρία, Τμήμα ή Θυγατρική ή άλλα Νομική Οντότητα
  • Τι είδους δεδομένα συλλέγετε (email, τραπεζικά στοιχεία, διεύθυνση κ.λπ.)
  • Γιατί συλλέγετε αυτά τα δεδομένα
  • Ποιων ανθρώπων συλλέγετε τα δεδομένα
  • Πότε συλλέγετε τα δεδομένα
  • Ποια νομική βάση έχετε για την επεξεργασία των δεδομένων
  • Πού αποθηκεύετε τα δεδομένα
  • Ποιες συνθήκες ισχύουν για την προστασία των δεδομένων
  • Με ποιους, εάν υπάρχουν, τρίτους με τους οποίους κοινοποιείτε αυτά τα δεδομένα
  • Που βρίσκονται αυτά τα τρίτα μέρη (ΕΕ ή εκτός)
  • Ποια πρωτόκολλα ακολουθείτε για την προστασία των δεδομένων κατά τη μεταφορά δεδομένων σε τρίτους
  • Ημερομηνία τελευταίας ενημέρωσης της χαρτογράφηση και από ποιόν

Γιατί είναι τόσο σημαντική η χαρτογράφηση δεδομένων;
Στο πιο βασικό επίπεδο, η ύπαρξη ενός ολοκληρωμένου χάρτη δεδομένων μπορεί να συμβάλει στην ελαχιστοποίηση του κινδύνου παραβίασης ή διαρροής δεδομένων και απειλών επί του απορρήτου των δεδομένων διασφαλίζοντας ότι δεν εισέρχονται ή εξέρχονται δεδομένα από τον οργανισμό σας χωρίς αυτό να λαμβάνεται πλήρως υπόψη. Ωστόσο, η χαρτογράφηση δεδομένων έχει και άλλα χρήσιμα οφέλη.

Άλλα χρήσιμα οφέλη της χαρτογράφησης δεδομένων περιλαμβάνουν:

Άρθρο 30 του ΓΚΠΔ, Αρχεία Δραστηριοτήτων Επεξεργασίας
«Κάθε υπεύθυνος επεξεργασίας και, κατά περίπτωση, ο εκπρόσωπος του υπευθύνου επεξεργασίας, τηρεί αρχείο των δραστηριοτήτων επεξεργασίας υπό την ευθύνη του.
Κάθε επεξεργαστής και, κατά περίπτωση, ο εκπρόσωπος του επεξεργαστή τηρεί αρχείο όλων των κατηγοριών δραστηριοτήτων επεξεργασίας δεδομένων που πραγματοποιούνται για λογαριασμό του υπευθύνου επεξεργασίας.
Τα αρχεία δραστηριοτήτων πρέπει να είναι γραπτά, συμπεριλαμβανομένης και της ηλεκτρονική μορφής αυτών.
Ο υπεύθυνος επεξεργασίας ή ο επεξεργαστής θέτει τα αρχεία δραστηριότητας στη διάθεση της εποπτικής αρχής κατόπιν αιτήματος. "
Με άλλα λόγια, ο ίδιος ο ΓΚΠΔ καθιστά υποχρεωτική τη χαρτογράφηση δεδομένων και τη διάθεση αυτών των χαρτών σε εποπτικά όργανα στα 28 (27) κράτη μέλη όταν αυτό τους ζητηθεί.

Άρθρο 5 του ΓΚΠΔ, Αρχές Επεξεργασίας Προσωπικών Δεδομένων και
Άρθρο 25 του ΓΚΠΔ, Απόρρητο από την Σχεδίαση και από Προεπιλογή
Αν και το άρθρο 30 μπορεί να είναι ο πιο επιτακτικός λόγος για τις επιχειρήσεις να πραγματοποιούν χαρτογράφηση δεδομένων, δεν είναι ο μόνος.
Να θυμάστε ότι το άρθρο 5 του ΓΚΠΔ ορίζει την αρχή του απορρήτου του σχεδιασμού και το άρθρο 25 ορίζει την αρχή του απορρήτου από την σχεδίαση.
Με άλλα λόγια, η προστασία των δεδομένων και το απόρρητο θα πρέπει να ενσωματωθούν στο ίδιο το θεμέλιο της επιχείρησής σας, αντί να προστεθούν στις δραστηριότητές της επιχείρησης ως μεταγενέστερη λειτουργία.
Η χρήση χαρτών δεδομένων από την αρχή διασφαλίζει ότι έχετε την απόδειξη που χρειάζεστε για να δείξετε ότι έχετε υιοθετήσει μια κουλτούρα απορρήτου από τη σχεδίαση στην επιχείρησή σας. Αυτό μπορεί να είναι ιδιαίτερα χρήσιμο όταν πρόκειται για τη δημιουργία Αξιολόγησης Επιπτώσεων Προστασίας Δεδομένων (Data Protection Impact Assessment - DPIA ) για νέα έργα.
Ένα μεγάλο μέρος της διαδικασίας δημιουργίας DPIA περιλαμβάνει τον εντοπισμό της ροής δεδομένων μέσω του οργανισμού σας, καθώς και τον εντοπισμό των σχετικών κινδύνων.
Η ύπαρξη ενός ολοκληρωμένου χάρτη δεδομένων θα κάνει αυτήν τη διαδικασία πολύ πιο εύκολη για τον υπεύθυνο προστασίας δεδομένων ή για άλλο εξουσιοδοτημένο ειδικό προστασίας δεδομένων της επιχείρησης σας.
Χρησιμοποιώντας τον χάρτη δεδομένων σας, ο DPO σας θα έχει επίσης πολύ πιο εύκολο χρόνο να ανταποκριθεί σε Aιτήματα Pρόσβασης Yποκειμένων Dεδομένων (Data Subject Access Request – DSAR), καθώς αυτό θα τους επιτρέψει να εντοπίσουν γρήγορα και απλά όλα τα σχετικά δεδομένα που ζητούνται από ένα Υποκείμενο Δεδομένων – φυσικό άτομο.



Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 26 Aug 2021 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?blog-053-210826 http://blog1.gdpr-awareness.eu/blog/rss/000000043 <![CDATA[Τρία χρόνια ΓΚΠΔ (25/05/2018 – 25/05/2021) - Μέρος Δ]]> imblog
Ο ΓΚΠΔ καθορίζει λεπτομερώς τις απαιτήσεις για τη συλλογή, την αποθήκευση και τη διαχείριση προσωπικών δεδομένων από επιχειρήσεις και οργανισμούς. Οι απαιτήσεις ισχύουν για ευρωπαϊκούς οργανισμούς που επεξεργάζονται προσωπικά δεδομένα ατόμων στην ΕΕ, αλλά και για οργανισμούς εκτός της ΕΕ οι οποίοι στοχεύουν άτομα που ζουν στην ΕΕ.

Τήρηση αρχείων
Πρέπει να μπορείτε να αποδείξετε ότι η επιχείρησή σας ενεργεί σύμφωνα με τον ΓΚΠΔ και πληροί όλες τις υποχρεώσεις της - κυρίως μετά από σχετικό αίτημα ή στο πλαίσιο επιθεώρησης από την Αρχή Προστασίας Δεδομένων.
Ένας τρόπος για να γίνει αυτό είναι να τηρείτε λεπτομερή αρχεία στοιχείων, όπως:
  • το όνομα και τα στοιχεία επικοινωνίας της επιχείρησης που εμπλέκεται στην επεξεργασία δεδομένων
  • τους λόγους επεξεργασίας των προσωπικών δεδομένων
  • την περιγραφή των κατηγοριών των ατόμων που παρέχουν προσωπικά δεδομένα
  • τις κατηγορίες των οργανισμών που είναι παραλήπτες προσωπικών δεδομένων
  • τη μεταφορά προσωπικών δεδομένων σε άλλη χώρα ή οργανισμό
  • την περίοδο αποθήκευσης των προσωπικών δεδομένων
  • την περιγραφή των μέτρων ασφαλείας που εφαρμόζονται κατά την επεξεργασία προσωπικών δεδομένων
  • επίσης, η επιχείρησή σας πρέπει να τηρεί - και να επικαιροποιεί τακτικά - γραπτές διαδικασίες και οδηγίες και να τις γνωστοποιεί στο προσωπικό της.
Προειδοποίηση:
Αν η επιχείρησή σας είναι ΜΜΕ  ή μικρότερη, δεν χρειάζεται να τηρείτε αρχεία για τις δραστηριότητες επεξεργασίας που πραγματοποιείτε, εφόσον αυτές:
    • δεν γίνονται σε τακτική βάση
    • δεν θίγουν τα δικαιώματα ή τις ελευθερίες των εκάστοτε προσώπων
    • δεν αφορούν ευαίσθητα δεδομένα ή ποινικό μητρώο

Προστασία δεδομένων εκ σχεδιασμού και εξ ορισμού
Προστασία δεδομένων εκ σχεδιασμού σημαίνει ότι η επιχείρησή σας πρέπει να λάβει υπόψη την προστασία δεδομένων στα πρώτα στάδια του σχεδιασμού ενός νέου τρόπου επεξεργασίας των προσωπικών δεδομένων. Σύμφωνα με αυτή την αρχή, ένας υπεύθυνος επεξεργασίας δεδομένων οφείλει να προβαίνει σε όλες τις τεχνικές και οργανωτικές ενέργειες που απαιτούνται για την εφαρμογή των αρχών που διέπουν την προστασία δεδομένων και την προστασία των δικαιωμάτων των υποκειμένων τους. Στις ενέργειες αυτές θα μπορούσε να περιλαμβάνεται, μεταξύ άλλων, η ψευδωνυμοποίηση.
Προστασία δεδομένων εξ ορισμού σημαίνει ότι η επιχείρησή σας πρέπει πάντα να επιλέγει τις πλέον ευνοϊκές για την προστασία της ιδιωτικής ζωής ρυθμίσεις ως προεπιλεγμένες ρυθμίσεις. Για παράδειγμα, αν είναι δυνατές δύο ρυθμίσεις σχετικά με την προστασία της ιδιωτικής ζωής και μία από τις ρυθμίσεις εμποδίζει την πρόσβαση τρίτων σε προσωπικά δεδομένα, αυτή η ρύθμιση θα πρέπει να χρησιμοποιείται ως προεπιλεγμένη ρύθμιση.

Παραβίαση των κανόνων και ποινές
Η μη τήρηση των κανόνων του ΓΚΠΔ μπορεί να οδηγήσει σε σημαντικά πρόστιμα που μπορούν να φθάσουν μέχρι τα 20 εκατομμύρια ευρώ ή το 4% του συνολικού κύκλου εργασιών της επιχείρησης για ορισμένες παραβάσεις. Η Αρχή Προστασίας Δεδομένων μπορεί επίσης να επιβάλει συμπληρωματικά διορθωτικά μέτρα, π.χ., να σας διατάξει να διακόψετε την επεξεργασία προσωπικών δεδομένων.



Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 28 May 2021 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?-gdpr-awareness-blog-052-210528 http://blog1.gdpr-awareness.eu/blog/rss/000000042 <![CDATA[Τρία χρόνια ΓΚΠΔ (25/05/2018 – 25/05/2021) - Μέρος Γ]]> imblog
Ο ΓΚΠΔ καθορίζει λεπτομερώς τις απαιτήσεις για τη συλλογή, την αποθήκευση και τη διαχείριση προσωπικών δεδομένων από επιχειρήσεις και οργανισμούς. Οι απαιτήσεις ισχύουν για ευρωπαϊκούς οργανισμούς που επεξεργάζονται προσωπικά δεδομένα ατόμων στην ΕΕ, αλλά και για οργανισμούς εκτός της ΕΕ οι οποίοι στοχεύουν άτομα που ζουν στην ΕΕ.

Δικαίωμα διόρθωσης και δικαίωμα προβολής αντιρρήσεων
Αν ένα υποκείμενο δεδομένων πιστεύει ότι τα προσωπικά του δεδομένα είναι εσφαλμένα, ελλιπή ή ανακριβή, έχει το δικαίωμα να ζητήσει τη διόρθωση ή τη συμπλήρωσή τους χωρίς καμία καθυστέρηση.
Στην περίπτωση αυτή, οφείλετε να ενημερώσετε όλους τους παραλήπτες των προσωπικών δεδομένων ότι κάποια από τα προσωπικά δεδομένα που τους κοινοποιήσατε έχουν μεταβληθεί ή διαγραφεί. Αν διαβιβάσατε εσφαλμένα προσωπικά δεδομένα, οφείλετε, ενδεχομένως, να ενημερώσετε σχετικά οποιονδήποτε τα είδε (εκτός αν αυτό προϋποθέτει δυσανάλογες προσπάθειες).
Το υποκείμενο των δεδομένων μπορεί επίσης να αντιταχθεί - ανά πάσα στιγμή - στην επεξεργασία των προσωπικών του δεδομένων για μια συγκεκριμένη χρήση, όταν η επιχείρησή σας τα επεξεργάζεται βάσει του νόμιμου συμφέροντός της, ή για λόγους δημοσίου συμφέροντος. Στην περίπτωση αυτή οφείλετε να διακόψετε την επεξεργασία των προσωπικών δεδομένων, εκτός αν έχετε νόμιμο συμφέρον που υπερισχύει των συμφερόντων του υποκειμένου των δεδομένων.
Ομοίως, το υποκείμενο των δεδομένων μπορεί να ζητήσει την περιορισμένη επεξεργασία των προσωπικών του δεδομένων εφόσον έχει οριστεί κατά πόσον το νόμιμο συμφέρον σας υπερισχύει των δικών του συμφερόντων. Ωστόσο, σε περίπτωση άμεσης εμπορικής προώθησης, υποχρεούστε πάντα να διακόψετε την επεξεργασία των προσωπικών δεδομένων εφόσον το ζητήσει το υποκείμενο των δεδομένων.

Δικαίωμα διαγραφής («δικαίωμα στη λήθη»)
Σε ορισμένες περιπτώσεις, το υποκείμενο των δεδομένων μπορεί να ζητήσει από τον υπεύθυνο επεξεργασίας να διαγράψει τα προσωπικά του δεδομένα, π.χ. όταν τα δεδομένα αυτά δεν χρειάζονται πλέον για την επίτευξη του σκοπού της επεξεργασίας. Ωστόσο, η επιχείρησή σας δεν υποχρεούται να πράξει κάτι τέτοιο, εφόσον:
  • η επεξεργασία είναι απαραίτητη προκειμένου να τηρηθεί η ελευθερία της έκφρασης και της πληροφόρησης
  • οφείλετε να αποθηκεύσετε τα προσωπικά δεδομένα προκειμένου να συμμορφωθείτε με νομική υποχρέωση
  • υπάρχουν άλλοι λόγοι δημόσιου συμφέροντος για την αποθήκευση των προσωπικών δεδομένων, όπως σκοποί δημόσιας υγείας ή επιστημονικής και ιστορικής έρευνας
  • οφείλετε να αποθηκεύσετε τα προσωπικά δεδομένα προκειμένου να εγείρετε νομική αξίωση

Αυτοματοποιημένη λήψη αποφάσεων και δημιουργία προφίλ
Το υποκείμενο των δεδομένων έχει το δικαίωμα να μην υπόκειται σε απόφαση η οποία βασίζεται αποκλειστικά σε αυτοματοποιημένη επεξεργασία. Ωστόσο, υπάρχουν ορισμένες εξαιρέσεις από αυτόν τον κανόνα, όπως όταν το υποκείμενο των δεδομένων έχει δώσει ρητή συγκατάθεση για απόφαση βάσει αυτοματοποιημένης επεξεργασίας. Εκτός εάν η αυτοματοποιημένη απόφαση βασίζεται σε νομοθετική πράξη, η επιχείρησή σας οφείλει:
  • να ενημερώνει το υποκείμενο των δεδομένων για την αυτοματοποιημένη λήψη αποφάσεων
  • να του παρέχει το δικαίωμα να αναθέτει την εξέταση της αυτοματοποιημένης απόφασης σε συγκεκριμένο άτομο
  • να του δίνει τη δυνατότητα να αμφισβητήσει την αυτοματοποιημένη απόφαση
  • για παράδειγμα, αν μία τράπεζα λάβει αυτοματοποιημένη απόφαση σχετικά με τη χορήγηση δανείου σε συγκεκριμένο άτομο, το εν λόγω άτομο πρέπει να ενημερωθεί για την αυτοματοποιημένη απόφαση και να έχει τη δυνατότητα να αμφισβητήσει την απόφαση και να ζητήσει ανθρώπινη παρέμβαση.

Παραβιάσεις δεδομένων - παροχή κατάλληλης ειδοποίησης
Παραβίαση δεδομένων έχουμε όταν τα προσωπικά δεδομένα για τα οποία είστε υπεύθυνος δημοσιοποιούνται, κατά τύχη ή παράνομα, σε μη εξουσιοδοτημένους παραλήπτες, καθίστανται προσωρινά μη διαθέσιμα ή αλλοιώνονται.
Αν συμβεί όντως παραβίαση δεδομένων και η παραβίαση θέτει σε κίνδυνο τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων, οφείλετε να ειδοποιήσετε την Αρχή Προστασίας Δεδομένων εντός 72 ωρών αφότου αντιληφθείτε την παραβίαση.
Ανάλογα με το κατά πόσο η παραβίαση των δεδομένων δημιουργεί υψηλό κίνδυνο για τους θιγομένους, μπορεί να ζητηθεί από την επιχείρησή σας να τους ενημερώσει.

Διεκπεραίωση αιτήσεων
Αν η επιχείρησή σας λάβει αίτηση από υποκείμενο δεδομένων που επιθυμεί να ασκήσει τα δικαιώματά του, οφείλετε να απαντήσετε χωρίς καθυστέρηση και οπωσδήποτε εντός 1 μηνός από τη λήψη της αίτησης. Ο χρόνος της απάντησής σας μπορεί να παραταθεί κατά 2 μήνες για πολύπλοκα ή πολλαπλά αιτήματα, εφόσον το υποκείμενο των δεδομένων ενημερωθεί για την παράταση. Η διεκπεραίωση των αιτήσεων γίνεται δωρεάν.
Αν μία αίτηση απορριφθεί, πρέπει να ενημερώσετε το υποκείμενο των δεδομένων για τους λόγους της απόρριψης καθώς και για το δικαίωμά του να υποβάλει καταγγελία στην Αρχή Προστασίας Δεδομένων.

Εκτίμηση επιπτώσεων
Η διενέργεια εκτίμησης επιπτώσεων σχετικά με την προστασία δεδομένων (DPIA) είναι υποχρεωτική όταν η επικείμενη επεξεργασία θέτει σε μεγάλο κίνδυνο τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων, π.χ. κατά τη χρήση νέων τεχνολογιών.
Τέτοιος μεγάλος κίνδυνος προκύπτει όταν:
  • χρησιμοποιούνται, κατά την αξιολόγηση ατόμων, αυτοματοποιημένοι μηχανισμοί επεξεργασίας δεδομένων και δημιουργίας προφίλ
  • παρακολουθείται δημόσιος χώρος σε μεγάλη έκταση (π.χ. κάμερες CCTV)
  • γίνεται επεξεργασία, σε μεγάλη κλίμακα, ειδικών κατηγοριών δεδομένων ή προσωπικών δεδομένων που σχετίζονται με ποινικές καταδίκες και αδικήματα (π.χ. δεδομένα υγείας)
Σημείωση: οι Αρχές Προστασίας Δεδομένων μπορούν επίσης να θεωρήσουν και άλλες κατηγορίες επεξεργασίας δεδομένων ως υψηλού κινδύνου.
Αν τα μέτρα που ορίζονται στην DPIA αδυνατούν να εξαλείψουν όλους τους εντοπισμένους υψηλούς κινδύνους, πρέπει να ζητηθεί η γνώμη της Αρχής Προστασίας Δεδομένων προτού πραγματοποιηθεί η σχεδιαζόμενη επεξεργασία δεδομένων.



Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 27 May 2021 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-051-210527 http://blog1.gdpr-awareness.eu/blog/rss/000000041 <![CDATA[Τρία χρόνια ΓΚΠΔ (25/05/2018 – 25/05/2021) - Μέρος Β]]> imblog
Ο ΓΚΠΔ καθορίζει λεπτομερώς τις απαιτήσεις για τη συλλογή, την αποθήκευση και τη διαχείριση προσωπικών δεδομένων από επιχειρήσεις και οργανισμούς. Οι απαιτήσεις ισχύουν για ευρωπαϊκούς οργανισμούς που επεξεργάζονται προσωπικά δεδομένα ατόμων στην ΕΕ, αλλά και για οργανισμούς εκτός της ΕΕ οι οποίοι στοχεύουν άτομα που ζουν στην ΕΕ.

Μεταφορά δεδομένων εκτός της ΕΕ
Όταν προσωπικά δεδομένα μεταφέρονται εκτός της ΕΕ, η προστασία που παρέχει ο ΓΚΠΔ εξακολουθεί να ισχύει για τα εν λόγω δεδομένα. Αυτό σημαίνει ότι αν εξάγετε δεδομένα στο εξωτερικό, η επιχείρησή σας πρέπει να διασφαλίζει ότι τηρείται ένα από τα παρακάτω μέτρα:
  • η χώρα εκτός της ΕΕ εφαρμόζει κανόνες που κρίνονται επαρκείς από την ΕΕ
  • η επιχείρησή σας λαμβάνει τα αναγκαία μέτρα για να παράσχει τις κατάλληλες διασφαλίσεις, όπως να περιλάβει συγκεκριμένες ρήτρες στη συμφωνηθείσα σύμβαση με τον εκτός της ΕΕ εισαγωγέα προσωπικών δεδομένων
  • η επιχείρησή σας βασίζεται σε συγκεκριμένα επιχειρήματα για την μεταφορά (παρεκκλίσεις), όπως η συγκατάθεση του υποκειμένου των δεδομένων.

Πότε επιτρέπεται η επεξεργασία δεδομένων;
Σύμφωνα με τους κανόνες της ΕΕ για την προστασία δεδομένων, η επεξεργασία πρέπει να γίνεται με θεμιτό και σύννομο τρόπο, για έναν συγκεκριμένο και νόμιμο σκοπό και να καλύπτει μόνο τα δεδομένα που είναι αναγκαία για την επίτευξη αυτού του σκοπού. Για να επεξεργάζεστε προσωπικά δεδομένα πρέπει να διασφαλίσετε ότι πληροίτε έναν από τους παρακάτω όρους :
  • έχετε τη συγκατάθεση του συγκεκριμένου υποκειμένου των δεδομένων
  • χρειάζεστε τα προσωπικά δεδομένα για να τηρήσετε συμβατική υποχρέωση έναντι του υποκειμένου των δεδομένων
  • χρειάζεστε τα προσωπικά δεδομένα για να εκπληρώσετε νομική υποχρέωση
  • χρειάζεστε τα προσωπικά δεδομένα για να προστατεύσετε ζωτικά συμφέροντα του υποκειμένου των δεδομένων
  • επεξεργάζεστε προσωπικά δεδομένα για να διεκπεραιώσετε αποστολή δημοσίου συμφέροντος
  • ενεργείτε προς όφελος των νομίμων συμφερόντων της επιχείρησής σας, εφόσον δεν θίγονται σοβαρά τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επεξεργάζεστε. Αν τα δικαιώματα του υποκειμένου υπερισχύουν των συμφερόντων της επιχείρησής σας, δεν μπορείτε να επεξεργαστείτε τα προσωπικά του δεδομένα.

Συγκατάθεση για την επεξεργασία δεδομένων
Ο ΓΚΠΔ ορίζει αυστηρούς κανόνες για την επεξεργασία δεδομένων βάσει συγκατάθεσης. Σκοπός των κανόνων αυτών είναι να διασφαλιστεί ότι το υποκείμενο των δεδομένων κατανοεί για τι πραγματικά έχει δώσει τη συγκατάθεσή του. Αυτό σημαίνει ότι η συγκατάθεση πρέπει να δίνεται ελεύθερα, συγκεκριμένα και χωρίς ασάφειες με δήλωση διατυπωμένη σε απλή και κατανοητή γλώσσα. Η συγκατάθεση πρέπει να δίνεται με καταφατική πράξη, π.χ. με την επιλογή τετραγωνιδίου σε ιστοσελίδα ή με την υπογραφή δήλωσης.
Όταν έχει δοθεί συγκατάθεση για την επεξεργασία προσωπικών δεδομένων, μπορείτε να επεξεργαστείτε τα δεδομένα μόνο για τους σκοπούς για τους οποίους δόθηκε η συγκατάθεση. Πρέπει επίσης να δίνετε στο υποκείμενο των δεδομένων τη δυνατότητα να αποσύρει τη συγκατάθεσή του.

Παροχή διαφανών πληροφοριών
Πρέπει να παρέχετε στα υποκείμενα των δεδομένων σαφείς πληροφορίες σχετικά με το ποιος επεξεργάζεται τα προσωπικά τους δεδομένα και γιατί. Οφείλετε να παρέχετε τουλάχιστον τις παρακάτω πληροφορίες:
  • ποιος είστε
  • γιατί επεξεργάζεστε τα προσωπικά δεδομένα
  • ποια είναι η νομική βάση
  • ποιος θα λάβει τα δεδομένα (αν υπάρχει).
  • σε ορισμένες περιπτώσεις, πρέπει επίσης να δίνονται οι παρακάτω πληροφορίες:
  • ποια είναι τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων (ΥΠΔ), εφόσον υπάρχει,
  • ποιο νόμιμο συμφέρον επιδιώκει η επιχείρηση, όταν για την επεξεργασία βασίζεστε σε αυτό το νομικό επιχείρημα
  • ποια μέτρα ισχύουν για τη μεταφορά δεδομένων σε μια χώρα εκτός της ΕΕ
  • για πόσο διάστημα αποθηκεύονται τα δεδομένα
  • ποια είναι τα δικαιώματα του υποκειμένου των δεδομένων σχετικά με την προστασία των δεδομένων του (π.χ. δικαίωμα πρόσβασης, διόρθωσης, διαγραφής, περιορισμού, απαγόρευσης της χρήσης, φορητότητας, κ.λπ).
  • πώς μπορεί να αποσυρθεί η συγκατάθεση (όταν αυτή είναι το νομικό επιχείρημα για την επεξεργασία)
  • αν υπάρχει καταστατική ή συμβατική υποχρέωση για την παροχή των δεδομένων
  • ποιο είναι το σκεπτικό, η σημασία και οι επιπτώσεις της απόφασης, στην περίπτωση αυτοματοποιημένης λήψης απόφασης.
Οι πληροφορίες αυτές πρέπει να δινονται σε σαφή και κατανοητή γλώσσα.

Ειδικοί κανόνες για τα παιδιά
Αν συλλέγετε προσωπικά δεδομένα από παιδί βάσει συγκατάθεσης, για παράδειγμα από λογαριασμό μέσων κοινωνικής δικτύωσης ή λογαριασμό τηλεφόρτωσης, οφείλετε να λάβετε πρώτα γονική συγκατάθεση, π.χ. στέλνοντας ειδοποίηση στον γονέα ή στον κηδεμόνα του παιδιού. Η ηλικία μέχρι την οποία ένα πρόσωπο θεωρείται παιδί διαφέρει ανάλογα με τη χώρα κατοικίας, αλλά συνήθως είναι μεταξύ 13 και 16 ετών.

Δικαίωμα πρόσβασης και δικαίωμα φορητότητας των δεδομένων
Πρέπει να διασφαλίζετε ότι τα υποκείμενα των δεδομένων έχουν το δικαίωμα πρόσβασης στα προσωπικά τους δεδομένα, δωρεάν. Αν λάβετε σχετικό αίτημα, οφείλετε:
  • να ενημερώσετε το υποκείμενο των δεδομένων αν επεξεργάζεστε τα προσωπικά του δεδομένα ή όχι
  • να του δώσετε πληροφορίες για την επεξεργασία (σκοπός, κατηγορίες προσωπικών δεδομένων που υπόκεινται σε επεξεργασία, αποδέκτες των δεδομένων, κλπ.)
  • να του δώσετε αντίγραφο των προσωπικών του δεδομένων που επεξεργάζεστε (σε προσβάσιμο μορφότυπο)
Όταν η επεξεργασία βασίζεται σε συγκατάθεση ή σε σύμβαση, το υποκείμενο των δεδομένων μπορεί επίσης να σας ζητήσει να του επιστρέψετε τα προσωπικά του δεδομένα ή να τα διαβιβάσετε σε άλλη επιχείρηση. Πρόκειται για το γνωστό ως δικαίωμα φορητότητας των δεδομένων. Πρέπει να παρέχετε τα δεδομένα σε έναν ευρέως χρησιμοποιούμενο και μηχαναγνώσιμο μορφότυπο.



Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Wed, 26 May 2021 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-050-210526 http://blog1.gdpr-awareness.eu/blog/rss/00000003F <![CDATA[Τρία χρόνια ΓΚΠΔ (25/05/2018 – 25/05/2021) - Μέρος Α]]> imblog
Ο ΓΚΠΔ καθορίζει λεπτομερώς τις απαιτήσεις για τη συλλογή, την αποθήκευση και τη διαχείριση προσωπικών δεδομένων από επιχειρήσεις και οργανισμούς. Οι απαιτήσεις ισχύουν για ευρωπαϊκούς οργανισμούς που επεξεργάζονται προσωπικά δεδομένα ατόμων στην ΕΕ, αλλά και για οργανισμούς εκτός της ΕΕ οι οποίοι στοχεύουν άτομα που ζουν στην ΕΕ.

Πότε εφαρμόζεται ο γενικός κανονισμός για την προστασία δεδομένων (ΓΚΠΔ);
Ο ΓΚΠΔ εφαρμόζεται εάν:
  • η επιχείρησή σας επεξεργάζεται προσωπικά δεδομένα και εδρεύει στην ΕΕ, ανεξάρτητα από το πού γίνεται η πραγματική επεξεργασία των δεδομένων
  • η επιχείρησή σας εδρεύει εκτός της ΕΕ αλλά επεξεργάζεται προσωπικά δεδομένα τα οποία αφορούν την παροχή προϊόντων ή υπηρεσιών σε άτομα εντός της ΕΕ, ή παρακολουθεί τη συμπεριφορά ατόμων εντός της ΕΕ
Επιχειρήσεις που δεν εδρεύουν στην ΕΕ αλλά επεξεργάζονται δεδομένα πολιτών της ΕΕ οφείλουν να διορίζουν εκπρόσωπο στην ΕΕ.

Πότε δεν εφαρμόζεται ο γενικός κανονισμός για την προστασία δεδομένων (ΓΚΠΔ);
Ο ΓΚΠΔ δεν εφαρμόζεται εάν:
  • το υποκείμενο των δεδομένων είναι νεκρό
  • το υποκείμενο των δεδομένων είναι νομικό πρόσωπο
  • η επεξεργασία γίνεται από πρόσωπο που ενεργεί για σκοπούς εκτός του εμπορικού, επιχειρηματικού ή επαγγελματικού του πεδίου

Τι είναι τα προσωπικά δεδομένα;
Προσωπικά δεδομένα είναι όλες οι πληροφορίες που αφορούν έναν ταυτοποιημένο ή ταυτοποιήσιμο πρόσωπο, το οποίο καλείται υποκείμενο των δεδομένων. Τα προσωπικά δεδομένα περιέχουν πληροφορίες όπως:
  • όνομα
  • διεύθυνση
  • αριθμός δελτίου ταυτότητας/διαβατηρίου
  • εισόδημα
  • πολιτισμικό προφίλ
  • κωδικός πρωτοκόλλου διαδικτύου (ΙΡ)
  • δεδομένα που διατηρούν νοσοκομεία ή γιατροί (με αποκλειστικό σκοπό την ταυτοποίηση προσώπου για ιατρικούς λόγους).

Ειδικές κατηγορίες δεδομένων
Δεν επιτρέπεται η επεξεργασία προσωπικών δεδομένων σχετικά με τα εξής χαρακτηριστικά ενός προσώπου:
  • φυλετική ή εθνοτική καταγωγή
  • σεξουαλικός προσανατολισμός
  • πολιτικά φρονήματα
  • θρησκευτικές ή φιλοσοφικές πεποιθήσεις
  • συμμετοχή σε συνδικαλιστικές οργανώσεις
  • γενετικά ή βιομετρικά δεδομένα και δεδομένα υγείας, εξαιρουμένων ειδικών περιπτώσεων (π.χ. όταν έχετε δώσει την πλήρη συγκατάθεσή σας ή όταν η επεξεργασία απαιτείται για λόγους ουσιαστικού δημόσιου συμφέροντος, βάσει της νομοθεσίας της ΕΕ ή της εθνικής νομοθεσίας)
  • προσωπικά δεδομένα που σχετίζονται με ποινικές καταδίκες και αδικήματα, εκτός αν αυτό επιτρέπεται από τη νομοθεσία της ΕΕ ή την εθνική νομοθεσία

Ποιος επεξεργάζεται τα προσωπικά δεδομένα;
Κατά την επεξεργασία τους, τα προσωπικά δεδομένα μπορεί να περάσουν από διάφορες επιχειρήσεις ή οργανισμούς. Μέσα σ΄αυτόν τον κύκλο, υπάρχουν δύο βασικά προφίλ που ασχολούνται με την επεξεργασία των προσωπικών δεδομένων:
  • ο υπεύθυνος επεξεργασίας, οποίος αποφασίζει τον σκοπό και τον τρόπο επεξεργασίας των προσωπικών δεδομένων
  • ο εκτελών την επεξεργασία, ο οποίος φυλάσσει και επεξεργάζεται τα δεδομένα για λογαριασμό του υπευθύνου επεξεργασίας.

Ποιος παρακολουθεί μέσα στην επιχείρηση τον τρόπο επεξεργασίας των προσωπικών δεδομένων;
Ο Υπεύθυνος Προστασίας Δεδομένων (ΥΠΔ) που μπορεί να έχει οριστεί από την επιχείρηση, είναι αρμόδιος να παρακολουθεί την επεξεργασία των προσωπικών δεδομένων, καθώς και να ενημερώνει και να συμβουλεύει τους υπαλλήλους επεξεργασίας των προσωπικών δεδομένων σχετικά με τις υποχρεώσεις τους. Ο ΥΠΔ συνεργάζεται επίσης με την Αρχή Προστασίας Δεδομένων (ΑΠΔ), λειτουργώντας ως σημείο επαφής μεταξύ της ΑΠΔ και μεμονωμένων ατόμων.
Πότε πρέπει να ορίζετε έναν υπεύθυνο προστασίας δεδομένων;
Οφείλετε να ορίσετε έναν ΥΠΔ εάν η επιχείρησή σας:
  • παρακολουθεί άτομα, σε τακτική ή συστηματική βάση, ή επεξεργάζεται ειδικές κατηγορίες δεδομένων
  • έχει ως μία από τις κύριες επιχειρηματικές της δραστηριότητες την επεξεργασία δεδομένων
  • επεξεργάζεται δεδομένα σε ευρεία κλίμακα.

Για παράδειγμα, αν επεξεργάζεστε προσωπικά δεδομένα για να στοχοθετήσετε διαφημίσεις μέσω μηχανών αναζήτησης βάσει της συμπεριφοράς των ατόμων στο διαδίκτυο, οφείλετε να ορίσετε έναν ΥΠΔ. Αν, αντίθετα, στέλνετε στους πελάτες σας διαφημιστικό υλικό μόνο μία φορά τον χρόνο, δεν χρειάζεται να ορίσετε ΥΠΔ. Ομοίως, αν είστε γιατρός και συλλέγετε δεδομένα για την υγεία ασθενούς σας, πιθανότατα δεν χρειάζεστε ΥΠΔ. Ωστόσο, αν επεξεργάζεστε προσωπικά δεδομένα γενετικής και υγείας για λογαριασμό νοσοκομείου, οφείλετε να έχετε ΥΠΔ.

Ο ΥΠΔ μπορεί να προέρχεται από το προσωπικό του οργανισμού σας ή να είναι εξωτερικός συνεργάτης βάσει σύμβασης παροχής υπηρεσιών. Ο ΥΠΔ μπορεί να είναι μεμονωμένο άτομο ή μέρος οργανισμού.

Επεξεργασία δεδομένων για άλλη επιχείρηση
Ο υπεύθυνος επεξεργασίας δεδομένων μπορεί να αναθέσει την επεξεργασία δεδομένων μόνο σε άτομο που παρέχει επαρκείς εγγυήσεις, οι οποίες θα πρέπει να περιλαμβάνονται σε γραπτή σύμβαση μεταξύ των ενδιαφερόμενων μερών. Η σύμβαση αυτή πρέπει επίσης να περιέχει ορισμένες υποχρεωτικές ρήτρες, π.χ., ότι ο εκτελών την επεξεργασία θα επεξεργάζεται προσωπικά δεδομένα μόνον όταν του δίδεται σχετική εντολή από τον υπεύθυνο επεξεργασίας δεδομένων.



Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Tue, 25 May 2021 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-049-210525 http://blog1.gdpr-awareness.eu/blog/rss/000000040 <![CDATA[Ειδοποίηση Παραβίασης Δεδομένων στην ΑΠΔΠΧ]]> imblog
Κάθε παραβίαση  δεδομένων πρέπει να κοινοποιείται στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα («Αρχή»);  

Δεδομένου ότι οι παραβιάσεις δεδομένων μπορούν να οδηγήσουν σε φυσικές, υλικές ή μη υλικές ζημιές, μια παραβίαση πρέπει να κοινοποιείται μόνο εάν είναι πιθανό να οδηγήσει σε κίνδυνο για τα δικαιώματα και τις ελευθερίες των Υποκειμένων των Δεδομένων (Υποκείμενο Δεδομένων ή απλώς Υποκείμενο είναι το φυσικό πρόσωπο του οποίου τα προσωπικά δεδομένα διατηρούμε ή επεξεργαζόμεθα).

Παράγοντες που πρέπει να λάβετε υπόψη για την κοινοποίηση στην Αρχή:
  1. Τύπος παραβίασης: εμπιστευτικότητα, ακεραιότητα ή διαθεσιμότητα - φύση, ευαισθησία και όγκος προσωπικών δεδομένων. Όσο πιο ευαίσθητος και μεγαλύτερος όγκος, τόσο υψηλότερος είναι ο κίνδυνος.
  2. Εύκολη αναγνώριση του Υποκειμένου: όσο πιο εύκολο είναι να αναγνωριστεί το Υποκειμένου, τόσο υψηλότεροι είναι οι κίνδυνοι.
  3. Σοβαρότητα των συνεπειών για το Υποκείμενο:  όπου π.χ. η παραβίαση θα μπορούσε να οδηγήσει σε κλοπή ταυτότητας ή απάτη ή σωματική βλάβη ή ψυχολογική δυσφορία ή ταπείνωση ή ζημιά στη φήμη του.
  4. Ειδικά χαρακτηριστικά του Υποκειμένου: π.χ. παιδιά ή ευπαθή Υποκείμενα.
  5. Ειδικά χαρακτηριστικά του Υπευθύνου Επεξεργασίας (Data Controller): η φύση και ο ρόλος του Υπευθύνου Επεξεργασίας ή των δραστηριοτήτων του (π.χ. ιατρικός οργανισμός).
  6. Ο αριθμός των επηρεαζόμενων Υποκειμένων: όσο μεγαλύτερος  είναι ο αριθμός, τόσο μεγαλύτερος είναι ο αντίκτυπος
  7. Σε γενικές γραμμές: ένας συνδυασμός της σοβαρότητας των πιθανών επιπτώσεων στα δικαιώματα και τις ελευθερίες των Υποκειμένων και της πιθανότητας εμφάνισης αυτών.

Σε περίπτωση αμφιβολίας, ο Υπευθύνος Επεξεργασίας πρέπει να αποφασίσει τις μικρότερες επιπτώσεις για τα Υποκείμενα Δεδομένων και να ενημερώσει την Αρχή.



Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 07 May 2021 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-048-210507 http://blog1.gdpr-awareness.eu/blog/rss/00000003E <![CDATA[Εφαρμογή του ΓΚΠΔ Στις Μικρομεσαίες Επιχειρήσεις]]> imblog
Στις 18 Μάιου 2021 συμπληρώνονται 3 χρόνια από την ημερομηνία εφαρμογή του Ευρωπαϊκού Κανονισμού για την προστασία προσωπικών δεδομένων (“ΓΚΠΔ” ή “GDPR“). Η πλειοψηφία των μικρών και μικρομεσαίων επιχειρήσεων θα έπρεπε ήδη να έχουν υλοποιήσει μια σειρά από ενέργειες προς την κατεύθυνση της προστασίας των (προσωπικών) δεδομένων που διαχειρίζονται.

Μια επιχείρηση οφείλει να εφαρμόσει κατάλληλα τεχνικά και οργανωτικά μέτρα για την προστασία των δεδομένων που διαχειρίζεται Η έκταση και το εύρος εφαρμογής αυτών των μέτρων διαφοροποιούνται ανάλογα:
  • Με το μέγεθος, κύκλο εργασιών της εταιρίας,
  • Το επιχειρηματικό αντικείμενο της εταιρίας, και
  • Με τον  όγκο των δεδομένων που διαχειρίζεται η εταιρία
Ο ενδεικτικός αλλά όχι περιοριστικός προτεινόμενος κατάλογος προληπτικών μέτρων και ενεργειών περιλαμβάνει:

Διαδικασίες
Διορισμός Υπεύθυνου Προστασίας Δεδομένων (“DPO“)
Διορισμός DPO επιβάλλεται όταν:
  1. Υπάρχει τακτική και συστηματική παρακολούθηση δεδομένων πελατών, προσωπικού, προμηθευτών, και συνεργατών σε μεγάλη κλίμακα (> 5Κ ή 3Κ εγγραφών)
  2. Λαμβάνει χώρα μεγάλης κλίμακας επεξεργασία ειδικών κατηγοριών, ευαίσθητων δεδομένων

Πρόγραμμα Εκπαιδευσης Προσωπικού
Δημιουργία προγράμματα εκπαίδευσης του προσωπικού περί του ΓΚΠΔ και την νόμιμη και ορθή χρήση των εταιρικών δεδομένων

Διαδικασίες Λειτουργίας Κλειστού Κυκλώματος Τηλεόρασης (CCTV)
Στην περίπτωση λειτουργίας κλειστού κυκλώματος τηλεόρασης (CCTV) η εταιρία έχει υποχρέωση κατά τον ΓΚΠΔ και την κείμενη σχετική νομοθεσία για (α) την ενημέρωση των υποκειμένων (φυσικών προσώπων) με εμφανείς σημάνσεις για την ύπαρξη του συστήματος βιντεοεπιτήρησης και για τους σκοπούς αυτού, (β) την τοποθέτηση καμερών σε σημεία εισόδου και εξόδου, σε χώρους ταμείων ή χώρους κρίσιμων εγκαταστάσεων, (γ) την προστασία των μονάδων καταγραφής και διαγραφή του καταγεγραμμένου υλικού εντός δέκα πέντε (15) ημερών.

Διαδικασίες για την Παρουσίαση της Εταιρίας στο Διαδίκτυο
Στην περίπτωση ηλεκτρονικής παρουσίαση της εταιρίας στο διαδίκτυο – ιστοσελίδας θα πρέπει να δημιουργηθούν ηλεκτρονικά έγγραφα τα οποία να περιγράφουν (α) τους όρους και προϋποθέσεων χρήσης της ιστοσελίδας, (β) την δυνατότητα στον επισκέπτη να αποδεχθεί ή να απορρίψει την εγκατάσταση cookies (πέραν των «αυστηρώς απαραίτητων»), (γ) της πολιτικής λήψης και προστασίας δεδομένων και επεξεργασίας προσωπικών δεδομένων της επιχείρησης από το διαδίκτυο και από άλλες πηγές,

Διαδικασίες για την Ρητή Συγκατάθεση Υποκειμένων για την Χρήση των Προσωπικών Δεδομενων τους
Δημιουργία μηχανισμού ξεκάθαρης και ρητής συγκατάθεσης αλλά και τερματισμού αυτής (opt-out) περί της αποδοχής των πελατών και των συνεργατών για την λήψη επικοινωνιών και ενημερώσεων τύπου newsletter, SMS, push notifications (Viber, Skype, WhatsApp, Telegram Messenger …) και emails.

Μετρα Φυσικής Ασφάλειας
Ενδεικτικά μέτρα φυσικής ασφάλειας τα οποία προτείνονται να ληφθούν: (α) χρήση πυρασφαλών φωριαμών προστατευμένων και με κλειδαριές ασφαλείας, (β) εγκατάσταση συστήματος φυσικής πρόσβασης ασφαλείας (physical access control) με διαγραφόμενο μέσο ταυτοποίησης, (γ) εγκατάσταση συστήματος  κλειστού κυκλώματος τηλεόρασης (CCTV), (δ) δημιουργία διαδικασίας στην περίπτωση αποχώρησης προσωπικού το οποίο ανήκει στο προσωπικό ασφαλείας (διαχείριση, κλειδιών, κωδικών συνθηματικών κλπ.) και (ε) δημιουργία διαδικασιών κατά την αποχώρηση του προσωπικού από τις εγκαταστάσεις της εταιρίας.

Μετρα Ασφάλειας Αποθηκευμένων Δεδομένων σε Ηλεκτρονική Μορφή
Ενδεικτικά μέτρα ασφάλειας αποθηκευμένων δεδομένων σε ηλεκτρονική μορφή τα οποία προτείνονται να ληφθούν: (α) εγκατάσταση εφαρμογών λογισμικού anti-virus, anti-malware, anti-ransomware, end-point protection, data linkage protection, data encryption, firewall κλπ, (β) δημιουργία διαδικασιών για την λήψη αντιγραφών ασφαλείς (backup) με χρονοπρογραμματισμό και αποθήκευση αυτών σε απομακρυσμένη γεωγραφική θέση ή στο cloud, (γ) έλεγχος και περιορισμός στην χρήση και διασύνδεση αποσπωμένων αποθηκευτικών μέσων, (δ) αυστηρή διαχείριση των λογαριασμών χρηστών με μηχανισμούς ελέγχου πρόσβασης (access control), διαχείρισης κωδικών πρόσβαση και διαχείριση δικαιωμάτων πρόσβασης (access user rights)και (ε) δημιουργία πολιτικών ασφαλείας και διαδικασιών για την προστασία δεδομένων σε ηλεκτρονική μορφή (data security policy).

Διαδικασίες και Μέτρα Ασφαλείας για την Διαβίβαση Δεδομένων και Πληροφοριών
Ενδεικτικές διαδικασίες και μέτρα ασφαλείας για την διαβίβαση δεδομένων και πληροφοριών σε τρίτες νομικές οντότητες τα οποία προτείνονται να ληφθούν (α) προστασία των ηλεκτρονικών αρχείων με κωδικούς ασφαλείας και κρυπτογράφηση, (β) αποστολή   κωδικών ασφαλείας και κλειδιών αποκρυπτογράφησης σε διαφορετικό τηλεπικοινωνιακό κανάλι, (γ) δημιουργία διαδικασιών για την αυστηρή ταυτοποίηση ατόμων πριν την διαβίβαση δεδομένων σε αυτά.

Έγγραφα
Πολιτική Προστασίας Προσωπικών Δεδομενων
Δημιουργία εγγράφου πολιτικής προστασίας δεδομένων προσωπικού χαρακτήρα.

Αρχείο Δραστηριοτητων
Δημιουργία αρχείου δραστηριοτήτων επί των προσωπικών δεδομένων (Registry of Processing  Activities - ROPA)με (α) με όλες τις κατηγορίες επεξεργασίας των προσωπικών δεδομένων για τις οποίες είναι υπεύθυνη η επιχείρηση (ως υπεύθυνος επεξεργασίας) και (β) με αναφορά στις βασικές πληροφορίες που απαιτούνται από τον ΓΚΠΔ.

Έγγραφο Περιγραφής Διαδικασιών Επεξεργασίας Προσωπικών Δεδομενων
Δημιουργία εγγράφου περιγραφής των διαδικασιών με τους τρόπους επεξεργασίας των προσωπικών δεδομένων από την επιχείρηση.

Έγγραφο Ενημέρωσης Πελατών
Δημιουργία εγγράφου (έντυπο & ηλεκτρονικό αρχείο) ενημέρωσης πελατών για την χρήση των προσωπικών δεδομένων τους με αναφορά (α) στους σκοπούς χρήσης των δεδομένων, (β) την νομική βάση επεξεργασίας, (γ) την χρονική διάρκεια αποθήκευσες, (δ) στις άλλες νομικές οντότητες στις οποίες αυτά μπορεί να κοινοποιηθούν (ε) στα βασικά δικαιώματα των πελατών σε καταγγελία, τερματισμός της εμπορικής σχέσης, παραλαβής αντιγράφου των διαχειριζόμενων προσωπικών δεδομένων κλπ.

Έγγραφο Ενημέρωσης Προσωπικού
• Δημιουργία εγγράφου (έντυπο & ηλεκτρονικό αρχείο) ενημέρωσης προσωπικού με ακριβή και αναλυτική περιγραφή της επεξεργασίας των προσωπικών τους δεδομένων. Δημιουργία έγγραφου και υπογραφή αυτού από το σύνολο του προσωπικού περί εμπιστευτικότητας  και μη αποκάλυψης εταιρικών δεδομένων

Έγγραφο Επέκτασης Συμβάσεων Συνεργατών
Δημιουργία εγγράφου (έντυπο & ηλεκτρονικό αρχείο) επέκτασης τυχόν συμβάσεων με εξωτερικούς συνεργάτες, προμηθευτές, και εργολάβους το οποίο να περιλαμβάνει, κατά περίπτωση, συνθήκες και όρους σχετικές με τν ΓΚΠΔ, την επεξεργασία προσωπικών δεδομένων και τις υποχρεώσεις αυτών (των εξωτερικών συνεργατών) που αφορούν την διαχείριση προσωπικών δεδομένων.  


Συμπέρασμα
Μικρές και μικρομεσαίες επιχειρήσεις αφενός μεν θα πρέπει να κατανοούν τον ΓΚΠΔ και να αντιλαμβάνονται τον σκοπό και την σημαντικότητα της προστασίας των προσωπικών δεδομένων που διαχειρίζονται, αφετέρου δε πρέπει και να υιοθετούν τεχνικά και οργανωτικά μέτρα προστασίας των προσωπικών δεδομένων όπως ορίζεται από τον ΓΚΠΔ και την σχετική κείμενη νομοθεσία.


Η CubeIQ και η KontakosMC, διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.
Υπηρεσίες Συμμορφωσης για ΜΜΕ

####

]]> Sun, 28 Mar 2021 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-046-210328 http://blog1.gdpr-awareness.eu/blog/rss/00000003C <![CDATA[ΓΚΠΔ: Οι έξι (6) Αρχές Προστασίας Δεδομένων]]> imblog
Οι έξι (6) Αρχές Προστασίας Δεδομένων

Ο ΓΚΠΔ περιγράφει έξι (6) αρχές προστασίας Προσωπικών Δεδομένων (ΠΔ) που συνοψίζουν τις πολλές απαιτήσεις του.
Αυτές οι αρχές προστασίας δεδομένων είναι οι βασικές αρχές για όσους προσπαθούν να κατανοήσουν πώς να επιτύχουν και να διατηρήσουν τη συμμόρφωση με τον κανονισμό. Οι έξι αρχές προστασίας δεδομένων είναι ιδιαίτερα χρήσιμες σε μικρούς οργανισμούς – εταιρίες οι οποίες συχνά δεν διαθέτουν τους πόρους για να διορίσουν εμπειρογνώμονες προστασίας δεδομένων οι οποίοι να τους καθοδηγήσουν πως θα επιτύχουν την συμμόρφωση με τον κανονισμό.

Στο παρόν άρθρο αναλύουμε με σύντομο τρόπο κάθε μια από τις έξι αρχές προστασίας των ΠΔ και παρέχουμε τις κατευθυντήριες αρχές με το πώς εντάσσονται αυτές στις πρακτικές συμμόρφωσης με τον ΓΚΠΔ.

1. Νομιμότητα, Δικαιοσύνη και Διαφάνεια
Η πρώτη αρχή είναι σχετικά αυτονόητη: οι οργανισμοί πρέπει να διασφαλίσουν ότι οι πρακτικές συλλογής δεδομένων δεν παραβιάζουν το νόμο και ότι δεν κρύβουν τίποτα από τα υποκείμενα των δεδομένων.
Για να παραμείνει ένας οργανισμός νόμιμος  θα, πρέπει να έχει πλήρη κατανόηση του ΓΚΠΔ και των κανόνων του για τη συλλογή των ΠΔ. Επίσης για να παραμείνει ένας οργανισμός διαφανής στα θέματα δεδομένων, θα πρέπει να αναφέρει στην πολιτική απορρήτου του τον τύπο των δεδομένων που συλλέγει και τον λόγο που τα συλλέγει.

2. Περιορισμός του Σκοπού Συλλογής και Επεξεργασίας Δεδομένων
Οι οργανισμοί πρέπει να συλλέγουν ΠΔ μόνο για έναν συγκεκριμένο σκοπό, να δηλώνουν με σαφήνεια ποιος είναι αυτός ο σκοπός και να συλλέγουν δεδομένα μόνο για όσο διάστημα απαιτείται για την ολοκλήρωση αυτού του σκοπού.
Η επεξεργασία που έχει γίνει από οργανισμούς για σκοπούς αρχειοθέτησης για δημόσιο συμφέρον ή για επιστημονικούς, ιστορικούς ή στατιστικούς σκοπούς έχει μεγαλύτερη ελευθερία όσον αφορά την ποιότητα και την ποσότητα των ΠΔ που συλλέγονται.

3. Ελαχιστοποίηση Δεδομένων
Οι οργανισμοί πρέπει να επεξεργάζονται μόνο τα ΠΔ που απαιτούνται για να επιτύχουν τους σκοπούς επεξεργασίας τους.
Κάτι τέτοιο έχει δύο σημαντικά οφέλη. Πρώτον, σε περίπτωση παραβίασης δεδομένων, το μη εξουσιοδοτημένο άτομο θα έχει πρόσβαση μόνο σε περιορισμένο αριθμό δεδομένων. Δεύτερον, η ελαχιστοποίηση δεδομένων διευκολύνει τη διατήρηση των δεδομένων ακριβή και ενημερωμένα.

4. Ακρίβεια και Ποιότητα Δεδομένων
Η ακρίβεια των ΠΔ αποτελεί αναπόσπαστο μέρος της προστασίας δεδομένων. Ο ΓΚΠΔ δηλώνει ότι «πρέπει να ληφθεί κάθε λογικό βήμα» για τη διαγραφή ή τη διόρθωση δεδομένων που είναι ανακριβή ή ελλιπή.
Τα υποκείμενα - άτομα έχουν το δικαίωμα να ζητήσουν τη διαγραφή ή διόρθωση ανακριβών ή ελλιπών ΠΔ εντός τριάντα (30) ημερών.

5. Περιορισμός Αποθήκευσης Δεδομένων
Οι οργανισμοί πρέπει να διαγράφουν τα ΠΔ όταν αυτά δεν είναι πλέον απαραίτητα.
Πώς ξέρετε πότε οι πληροφορίες δεν είναι πλέον απαραίτητες; Ένα παράδειγμα είναι η περίπτωση που τα ΠΔ έχουν συλλεχθεί διότι το υποκείμενο είναι πελάτης, έχει αγοράσει ένα προϊόν ή του  έχει παρασχεθεί μια υπηρεσία. Σε αυτήν την περίπτωση οι οργανισμοί υποστηρίζουν ότι «θα πρέπει να επιτρέπεται να αποθηκεύουν τα δεδομένα για όσο διάστημα το άτομο μπορεί να θεωρηθεί πελάτης.
Έτσι, το πραγματικό ερώτημα είναι για πόσο καιρό μετά την ολοκλήρωση μιας αγοράς ή μίας επαγγελματικής σχέση μπορεί το υποκείμενο να θεωρηθεί πελάτης; Η απάντηση σε αυτό θα διαφέρει μεταξύ των επαγγελματικών κλάδων και των διαφορετικών λόγων συλλογής δεδομένων. Μια βάση λήψης απόφαση για την διατήρηση ή όχι  των δεδομένων είναι το κατά πόσο τα ΠΔ του υποκείμενου έχουν αξία ή νομική βάση για την ίδια την επαγγελματική σχέση η οποία έχει ολοκληρωθεί και τερματιστεί.
Κάθε οργανισμός που είναι αβέβαιος για πόσο καιρό θα πρέπει να διατηρεί ΠΔ θα πρέπει να συμβουλευτεί έναν νομικό επαγγελματία ή ένα σύμβουλο  εξειδικευμένο στον ΓΚΠΔ.

6. Ακεραιότητα και Εμπιστευτικότητα των Δεδομένων
Αυτή είναι η μόνη αρχή που ασχολείται ρητά με την ασφάλεια των ΠΔ.
Ο ΓΚΠΔ δηλώνει ότι τα ΠΔ πρέπει να υποβάλλονται σε επεξεργασία με τρόπο που να διασφαλίζει την κατάλληλη ακεραιότητα και ασφάλεια τους, συμπεριλαμβανομένης της προστασίας από μη εξουσιοδοτημένη ή παράνομη επεξεργασία, από μη εξουσιοδοτημένη χρήση και από τυχαία απώλεια, καταστροφή, ζημία, ή αλλοίωση χρησιμοποιώντας κατάλληλα τεχνικά ή οργανωτικά μέτρα ».
Ο ΓΚΠΔ είναι σκόπιμα ασαφής σχετικά με τα μέτρα που πρέπει να λάβουν οι οργανισμοί, επειδή οι βέλτιστες τεχνολογικές και οργανωτικές πρακτικές αλλάζουν συνεχώς. Προς το παρόν τα βασικά μέτρα προστασίας που πρέπει να λαμβάνουν οι οργανισμοί είναι τα παρέχουν μέσω αυστηρά ελεγχόμενης πρόσβασης, να τα ψευδό-ανωνυμοποιούν ή / και να τα κρυπτογραφούν όπου είναι δυνατόν. Αλλά, θα πρέπει επίσης να εξετάσουν οποιεσδήποτε άλλες επιλογές είναι τεχνικά και λειτουργικά κατάλληλες.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Mon, 11 Jan 2021 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-045-210111 http://blog1.gdpr-awareness.eu/blog/rss/00000003A <![CDATA[Εφαρμογή του ΓΚΠΔ στον Δημόσιο Τομέα]]> imblog
Συμμόρφωση κατά ΓΚΠΔ στο Δημόσιο Τομέα και e-governance.

Στο άρθρο αυτό παρουσιάζουμε την Συμμόρφωση κατά ΓΚΠΔ του Δημόσιου Τομέα και του e-governance μέσα από την παρουσίαση του Β. Βασιλόπουλου στο 10ον Ετήσιο Συνέδριο «e-Government Forum».




Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 19 Nov 2020 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-043-201119 http://blog1.gdpr-awareness.eu/blog/rss/000000039 <![CDATA[ΓΚΠΔ: Απαιτήσεις Τεκμηρίωσης]]> imblog
Απαιτήσεις τεκμηρίωσης ΓΚΠΔ

Είτε ξεκινάτε από το από την αρχή, είτε αναθεωρείτε τις υπάρχουσες πολιτικές προστασίας δεδομένων είτε χρησιμοποιείτε πρότυπα από έναν επαγγελματία πάροχο, η τεκμηρίωση των μέτρων και των ελέγχων για τον ΓΚΠΔ είναι μια εργασία που απαιτεί ένταση και όγκο.

Ενώ ο κανονισμός και ένας αριθμός web sites και συμβούλων παρέχουν επαρκείς πληροφορίες για το τι αναμένεται να τεκμηριώσετε, εξακολουθεί να είναι τεράστια η πληροφορία που θα πρέπει να αναλυθεί για να προσδιοριστεί στο τι ορίζονται ως υποχρεωτικές και στο τι ορίζονται ως προτεινόμενες απαιτήσεις τεκμηρίωσης.  

Σχεδιασμός της συμμόρφωση κα της διατήρησης τηε συμμόρφωσης με τον ΓΚΠΔ αφορά και την κατανόηση των υποχρεώσεών σας και την εφαρμογή των πολιτικών, των εγγράφων και των μέτρων που σας βοηθούν να τις εκπληρώσετε και να τις διατηρήσετε.

Υποχρεωτικά & Σημαντικά Έγγραφα και Αρχεία του ΓΚΠΔ
Ορισμένες από τις απαιτήσεις τεκμηρίωσης του ΓΚΠΔ ισχύουν για κάθε οργανισμό. ενώ άλλες εξαρτώνται από τις επιχειρηματικές ιδιαιτερότητες όπως ο τύπος επεξεργασίας, ο αριθμός των υπαλλήλων, ο κίνδυνος που δημιουργείται κλπ. Ο ΓΚΠΔ δηλώνει άμεσα ορισμένες από τις απαιτήσεις τεκμηρίωσης ενώ άλλες απαιτήσεις τεκμηρίωσης υπονοούνται μέσω των άρθρων του κανονισμού και της αιτιολογικής σκέψης.

Τα υποχρεωτικά έγγραφα περιλαμβάνουν:
  • Πολιτική προστασίας δεδομένων - Data Protection Policy
  • Ενημέρωση του υποκειμένου για την διαχείριση και πρόσβαση στα δεδομένα προσωπικού χαρακτήρα του με βάση τα άρθρα 13 & 14 - Privacy Notice with Article 13 & 14 Information Disclosures
  • Διατήρηση αρχείων συναίνεσης από υποκείμενα επεξεργασίας ή της συνεννόησης από γονέα / κηδεμόνα - Records of Consent from Data Subjects or Parental/Guardian Consent.
  • Διαδικασίες για διαχείριση αιτημάτων υποκειμένων για πρόσβασης σε δεδομένα προσωπικού χαρακτήρα - Procedures for Subject Access Requests
  • Διαδικασίες διαχείρισης & ενημερώσεις για τα δικαιώματα των υποκειμένων (φορητότητα δεδομένων, διαγραφή, διόρθωση ανακριβών δεδομένων, αντίρρηση ή περιορισμό της επεξεργασίας, αυτοματοποιημένη λήψη αποφάσεων) - Procedures & Notifications for Subject Rights (data portability, erasure, correcting inaccurate data, objecting to, or restricting processing, automated decision-making)
  • Πολιτική διατήρησης & διαγραφής δεδομένων προσωπικού χαρακτήρα - Retention & Erasure Policy & Schedule
  • Διαδικασίες διαχείρισης και ενημερώσεις για την παραβίαση, διαρροή, και απώλεια δεδομένων - Procedures for Data Breaches & Notifications
  • Διαδικασίες διαχείρισης για την μεταφορά δεδομένων εκτός ΕΕ και τεκμηριωμένα μέτρα διασφάλισης των δεδομένων - Procedures for Non-EU Data Transfers & Documented Safeguarding Measures
  • Τεκμηριωμένα τεχνικά και οργανωτικά μέτρα για την ασφάλεια επεξεργασία (δηλ. Πολιτικές ασφάλειας πληροφοριών, κωδικοί πρόσβασης, μέθοδοι κρυπτογράφησης κλπ) - Documented Technical & Organisational Measures for Processing Security (i.e. Information Security Policies, Passwords, Encryption Methods etc.)
  • Αρχεία δραστηριοτήτων επεξεργασίας (κατά περίπτωση) – Records of Processing Activities (where applicable) - ROPA
  • Διορισμός υπευθύνου προστασίας δεδομένων, καθήκοντα και ενημερώσεις  (κατά περίπτωση) - Data Protection Officer Appointment, Duties & Notifications (where applicable)
  • Συμφωνίες του υπευθύνου επεξεργασίας με τους εκκαλούντες την επεξεργασίας (κατά περίπτωση) – Processor Agreements (where applicable)
  • Διαδικασίες διαχείρισης και αρχεία εκτίμησης αντικτύπου προστασίας δεδομένων (DPIA) (όπου ισχύει) Data Protection Impact Assessment Procedures & Records (DPIA) (where applicable)


Χρήσιμα Έγγραφα και Ενέργειες για τον ΓΚΠΔ
Εκτός από τις υποχρεωτικές απαιτήσεις τεκμηρίωσης του ΓΚΠΔ, προτείνουμε επίσης και ένα κατάλογο από έγγραφα και αρχεία «βέλτιστων πρακτικών» που βοηθούν να αποδείξετε τη συμμόρφωση σας με τον ΓΚΠΔ  και λειτουργία σας με την βασική αρχή της λογοδοσίας.

Αυτός ο κατάλογος μπορεί να περιλαμβάνει:
  • Έλεγχος Πληροφοριών. Τεκμηριώστε το τι, πού, πότε, πώς και ποιος έχει πρόσβαση στα Προσωπικά Δεδομένα που διαχειρίζεστε - Information Audit. Document the what, where, when, how and who has access to Personal Data under management
  • Μητρώο Ενημερώσεων Απορρήτου. Διατηρήστε αρχείο των ενημερώσεων  απορρήτου στα υποκείμενα  (δηλαδή πελάτες, ιστότοποι, εργαζόμενοι κλπ), έτσι ώστε η τελευταία ημερομηνία αναθεώρησης, ο σκοπός και οι λοιπές πληροφορίες να είναι εύκολα προσβάσιμες - Privacy Notice Register. Keep a record of your Privacy Notices (i.e. customers, website, employees etc), so that last revision date, purpose and the other information is easy to access.
  • Αρχεία Ανταπόκρισης σε Αιτήματος Πρόσβασης. Φροντίστε ώστε οι απαντήσεις σας σε  SAR (Subject Access Request) να είναι συνεπείς και συμβατές με τα προδιαμορφωμένα πρότυπα ανταπόκρισης τα οποία χρησιμοποιείτε κάθε φορά - Access Request Response Templates – make your responses to SAR’s consistent and compliant with pre-formatted response templates that you are using each time.
  • Πρόγραμμα Εκπαίδευσης Προσωπικού. Εκπαίδευση στον ΓΛΠΔ, πολιτικές εκπαίδευση και κατάρτισης, έντυπα αξιολόγησης, αξιολογήσεις γνώσεων και κατανόησης του ΓΚΠΔ κλπ είναι μέρος του προγράμματος εκπαίδευσης προσωπικού - Staff Training Program. GDPR training, training policies, evaluation forms, assessments of GDPR knowledge & understanding etc. are parts of the employees training program.
  • Διαδικασίες & Πολιτική Εσωτερικού Ελέγχου και Αναθεωρήσεων. Αφού εφαρμόσετε τις συμμορφούμενες πολιτικές, διαδικασίες και μέτρα, θα πρέπει να τα ελέγχετε, να τα αξιολογείτε και να τα αναθεωρείτε τακτικά για συνεχή συμμόρφωση, διασφαλίζοντας ότι συνεχίζουν να είναι επαρκή και κατάλληλα για τον σκοπό - Internal Audit & Review Policy & Procedures. Οnce you have the compliant policies, procedures and measures in place, you will need to regularly audit, assess and review them for continued compliance, ensuring that they continue to be adequate and fit for purpose.


Προσαρμοσμένα Έγγραφα και Διαδικασίες για τον ΓΚΠΔ
Με τόσες πολλές απαιτήσεις τεκμηρίωσης, πολλοί οργανισμοί αγοράζουν προσαρμόσιμα πρότυπα πολιτικής και διαδικασιών από παρόχους συμμόρφωσης του ΓΚΠΔ ή χρησιμοποιούν εναλλακτικά πρότυπα για τις απαιτήσεις τους ΓΚΠΔ. Ενώ αυτή είναι μια χρήσιμη και εξοικονόμηση χρόνου προσέγγιση, είναι σημαντικό να μην ξεχάσετε τον μοναδικό και βασικό παράγοντα, τον τρόπο με το οποίο λειτουργεί ο οργανισμός σας.

Πρέπει να προσαρμόσετε ή να γράψετε τα ειδικά έγγραφα για τον ΓΚΠΔ, έχοντας κατά νου τον οργανισμό και τις υπηρεσίες σας. Το ένα μέγεθος δεν ταιριάζει σε όλους όταν μιλάμε για την συμμόρφωση με τους κανονισμούς, επομένως είναι σημαντικό να διαβάσετε όλα τα έτοιμα έγγραφα και αρχεία που αναφέρονται σε διαδικασίες, στόχους και πολιτικές, διασφαλίζοντας ότι ευθυγραμμίζονται με τους βασικούς στόχους, το ήθος και τις επιχειρηματικές σας δραστηριότητες.

Δημιουργείστε όλα τα έγγραφα και την προσέγγισή σας περιεκτική και σχετική. Τα γενικά ή συνοπτικά έγγραφα δεν θα σας εξυπηρετήσουν ούτε θα αποδείξουν τη συμμόρφωσή σας με τον ΓΚΠΔ. Η τεκμηρίωση όλων τώρα θα εξοικονομήσει χρόνο, χρήματα και πόρους για την συνεχή συμμόρφωση σας με τον ΓΚΠΔ.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Mon, 24 Aug 2020 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-042-200824 http://blog1.gdpr-awareness.eu/blog/rss/000000038 <![CDATA[ΓΚΠΔ: Ανακοίνωση της Επιτροπής προς το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο]]> imblog
Ανακοίνωση της Επιτροπής προς το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο.

Η προστασία των δεδομένων ως πυλώνας της ενδυνάμωσης των πολιτών και της προσέγγισης της ΕΕ στην ψηφιακή μετάβαση: Δύο έτη εφαρμογής του Γενικού Κανονισμού για την Προστασία Δεδομένων.




Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Wed, 05 Aug 2020 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-041-200805 http://blog1.gdpr-awareness.eu/blog/rss/000000037 <![CDATA[Εισαγωγή στο Πρότυπο ISO / IEC 27701]]> imblog
Το άρθρο αυτό περιλαμβάνει μια σύντομη εισαγωγή στο πρότυπο ISO / IEC 27701.

Σχεδόν κάθε οργανισμός επεξεργάζεται Προσωπικά Αναγνωρίσιμες Πληροφορίες (ΠΑΠ) ή αλλιώς Αναγνωρίσιμες Πληροφορίες για Προσωπικά Δεδομένα (ΑΠΠΔ) - Personally Identifiable Information - PII.  Επιπλέον, η ποσότητα και οι τύποι των ΠΑΠ που υποβάλλονται σε επεξεργασία αυξάνονται, όπως και ο αριθμός των καταστάσεων όπου ένας οργανισμός πρέπει να συνεργαστεί με άλλους οργανισμούς σχετικά με την επεξεργασία των ΠΑΠ. Η προστασία της ιδιωτικής ζωής στο πλαίσιο της επεξεργασίας των ΠΑΠ είναι κοινωνική ανάγκη, καθώς και το θέμα της ειδικής νομοθεσίας ή / και της ρύθμισης σε όλο τον κόσμο.

Το Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών (ΣΔΑΠ) - Information Security Management System - ISMS που ορίζεται στο ISO / IEC 27001 έχει σχεδιαστεί για να επιτρέπει την προσθήκη συγκεκριμένων απαιτήσεων ανά τομέα, ανά κατηγορία νομικού προσώπου - εταιρίας και ανά κατηγορία επεξεργασίας, χωρίς την ανάγκη ανάπτυξης νέου Συστήματος Διαχείρισης. Τα πρότυπα του συστήματος διαχείρισης ISO, συμπεριλαμβανομένων των προδιαγραφών ανά τομέα, έχουν σχεδιαστεί ώστε να μπορούν να εφαρμοστούν είτε ξεχωριστά είτε ως συνδυασμένο σύστημα διαχείρισης.

Οι απαιτήσεις και οι οδηγίες για την προστασία των ΠΑΠ ποικίλλουν ανάλογα με το πλαίσιο λειτουργίας του οργανισμού, ιδίως όπου υπάρχει εθνική νομοθεσία ή / και κανονισμός. Το ISO / IEC 27001 απαιτεί να κατανοηθεί και να ληφθεί υπόψη αυτό το πλαίσιο λειτουργίας.

Πρότυπα που σχετίζονται με το πρότυπο ISO / IEC 27001 και ένα ΣΔΑΠ:
  • ISO / IEC 29100 και το πλαίσιο και τις αρχές απορρήτου που ορίζονται από αυτό,
  • ISO / IEC 29151,
  • ISO / IEC 27018,
  • ISO / IEC 27552 και
  • Ο Γενικός Κανονισμός Προστασίας Δεδομένων – ΓΚΠΔ της ΕΕ (EU General Data Protection Regulation - GDPR)

Ωστόσο, τα πρότυπα που αποτελούν ένα ΣΔΑΠ πρέπει να ερμηνεύονται σε συνδυασμό με την εκάστοτε τοπική εθνική νομοθεσία ή / και κανονισμούς.

Το ISO / IEC 29100 και τα άλλα πρότυπα που αποτελούν ένα  ΣΔΑΠ μπορεί να χρησιμοποιηθούν από υπεύθυνους επεξεργασίας (data controllers) ΠΑΠ (συμπεριλαμβανομένων εκείνων που είναι κοινοπραξία υπευθύνων επεξεργασίας ΠΑΠ) και από τους εκτελούντες την επεξεργασία (data processors) ΠΑΠ (συμπεριλαμβανομένων εκείνων που χρησιμοποιούν υπεργολάβους εκτελούντες την επεξεργασία και εκείνους που επεξεργάζονται ΠΑΠ ως υπεργολάβοι σε εκτελούντες την επεξεργασία).

Ένας οργανισμός που συμμορφώνεται με τις απαιτήσεις τα πρότυπα που αποτελούν ένα ΣΔΑΠ θα δημιουργήσει αποδεικτικά στοιχεία για το πώς χειρίζεται την επεξεργασία των ΠΑΠ. Τέτοια αποδεικτικά στοιχεία μπορούν να χρησιμοποιηθούν για τη διευκόλυνση συμφωνιών με επιχειρηματικούς εταίρους όπου η επεξεργασία των ΠΑΠ είναι σχετικά αμοιβαία. Αποδεικτικά στοιχεία για το πώς χειρίζεται ένας οργανισμός την επεξεργασία των ΠΑΠ μπορεί επίσης να βοηθήσει στις σχέσεις με άλλους ενδιαφερόμενους. Η χρήση του προτύπου ISO / IEC 27552 σε συνδυασμό με το ISO / IEC 27001 μπορεί, εάν είναι επιθυμητό, να παρέχει ανεξάρτητη επαλήθευση των αποδεικτικών στοιχείων για το πώς χειρίζεται ένας οργανισμός την επεξεργασία των ΠΑΠ,

Συμβατότητα: Το προτύπου ISO / IEC 27552 εφαρμόζει επίσης το πλαίσιο που αναπτύχθηκε από τον ISO για τη βελτίωση της συμβατότητας και της ευθυγράμμισης μεταξύ των προτύπων των συστημάτων διαχείρισης και επιτρέπει σε έναν οργανισμό να ευθυγραμμίσει ή να ενσωματώσει τα συστημάτων διαχείρισης του με τις απαιτήσεις άλλων προτύπων συστημάτων διαχείρισης.

ISO 27701, ένα διεθνές πρότυπο που αφορά την προστασία προσωπικών δεδομένων
Το ISO 27701 είναι ένα διεθνές πρότυπο που καθορίζει το σύστημα διαχείρισης και τις απαιτήσεις ασφαλείας για την επεξεργασία προσωπικών δεδομένων με αναφορά στον ορισμό των αναγνωρίσιμων πληροφοριών για προσωπικά δεδομένα του προτύπου 27701 - ΑΠΠΔ, 27701, Personally identifiable information - PII. Το ISO 27701:2019 δημοσιεύθηκε τον Αύγουστο του 2019. Βασίζεται σε δύο πρότυπα ασφάλειας πληροφοριών και τα επεκτείνει ώστε να καλύπτει την προστασία προσωπικών δεδομένων:
  • ISO 27001, το οποίο παρέχει πιστοποίηση συστήματος διαχείρισης ασφάλειας πληροφοριών.
  • ISO 27002, το οποίο παρέχει οδηγίες για την εφαρμογή των απαραίτητων μέτρων ασφαλείας.

Προδιαγραφές ISO 27701
Προκειμένου να ομαλοποιηθεί και να ενισχυθεί η προστασία προσωπικών δεδομένων,
  • Το ISO 27701 επεκτείνει τα συστήματα διαχείρισης ασφάλειας πληροφοριών ISO ώστε να καλύπτουν τις ιδιαιτερότητες της επεξεργασίας προσωπικών δεδομένων:
    • Προσδιορισμός του ρόλου του οργανισμού ως υπευθύνου επεξεργασίας δεδομένων ή / και εκτελούντος την επεξεργασία δεδομένων (το 27701, «ελεγκτής ΑΠΠΔ» και «επεξεργαστής ΑΠΠΔ») ·
    • Ενοποιημένη διαχείριση των κινδύνων σχετικά με τους πιθανούς κινδύνους για τον οργανισμό και για τα δεδομένα των υποκειμένων επεξεργασίας  (στον 27701, "Αρχές ΑΠΠΔ"), ορισμός υπευθύνου προστασίας δεδομένων (στο ISO 27701, "Λειτουργός Ασφαλείας") ·
    • Ενημέρωση των μελών του προσωπικού, ταξινόμηση πληροφοριών, προστασία αφαιρούμενων μέσων, διαχείριση πρόσβασης, κρυπτογράφηση δεδομένων, δημιουργία αντιγράφων ασφαλείας, καταγραφή συμβάντων.
    • Προϋποθέσεις για τη μεταφορά δεδομένων, το απόρρητο από το σχεδιασμό και από προεπιλογή, διαχείριση συμβάντων ·
    • Συμμόρφωση με νομικές και κανονιστικές απαιτήσεις κ.λπ.
  • Το ISO 27701 παρέχει συγκεκριμένα μέτρα για την επεξεργασία προσωπικών δεδομένων, που σχετίζονται με το ρόλο του οργανισμού (ως υπεύθυνο επεξεργασίας, εκτελούντος την επεξεργασία ή υπεργολάβου εκτελούντος την επεξεργασία):
    • Θεμελιώδεις αρχές: σκοπός της επεξεργασίας, νομική βάση, συλλογή και απόσυρση συναίνεσης, αρχεία των εργασιών επεξεργασίας, εκτίμηση επιπτώσεων στην ιδιωτική ζωή ·
    • Δικαιώματα υποκειμένου επεξεργασίας: ειδοποίηση, πρόσβαση, διόρθωση, διαγραφή, αυτοματοποιημένη απόφαση ·
    • Απόρρητο από το σχεδιασμό και από προεπιλογή: ελαχιστοποίηση, από-ταυτοποίηση και διαγραφή δεδομένων, διατήρηση δεδομένων ·
    • Υπεργολαβίες, μεταφορά δεδομένων και κοινή χρήση δεδομένων.

Συνεισφορά από εμπειρογνώμονες και αρχές προστασίας δεδομένων.
Το πρότυπο ISO 27701 καταρτίστηκε σε διεθνές επίπεδο με συνεισφορές εμπειρογνωμόνων από όλες τις ηπείρους και τη συμμετοχή αρκετών αρχών προστασίας δεδομένων. Εμπειρογνώμονες από το CNIL συνέβαλαν ενεργά στο πρότυπο, με την υποστήριξη της AFNOR και του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων.
Ο ΓΚΠΔ ελήφθη υπόψη, καθώς και άλλες νομοθεσίες περί προστασίας δεδομένων (συμπεριλαμβανομένων της Αυστραλίας, της Βραζιλίας, της Καλιφόρνια, του Καναδά και άλλων). Η εγγύτητα του προτύπου με τον ΓΚΠΔ υλοποιείται σε ένα συγκεκριμένο παράρτημα που χαρτογραφεί κάθε ρήτρα του προτύπου με το αντίστοιχο άρθρο του ΓΚΠΔ. Η εφαρμογή ενός συστήματος διαχείρισης για την προστασία των δεδομένων είναι το κλειδί για τις γενικές διατάξεις της λογοδοσίας στον ΓΚΠΔ.

Εν συντομία, το ISO 27701 είναι ένα παγκόσμιο πρότυπο: δεν είναι ειδικό για τον ΓΚΠΔ, ούτε αποτελεί, ως τέτοιο, ένα όργανο πιστοποίησης του ΓΚΠΔ όπως περιγράφεται στο άρθρο 42 του κανονισμού. Ωστόσο, αντιπροσωπεύει την τελευταία λέξη της τεχνολογίας όσον αφορά την προστασία της ιδιωτικής ζωής και θα επιτρέψει σε οργανισμούς που το υιοθετούν να αυξήσουν την ωριμότητά τους και να επιδείξουν μια ενεργή προσέγγιση στην προστασία των προσωπικών δεδομένων.

ISO/IEC 27000:2018 - Information Technology, Information Security Management Systems, Overview and Vocabulary

Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Mon, 06 Jul 2020 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-040-200706 http://blog1.gdpr-awareness.eu/blog/rss/000000036 <![CDATA[Πότε & Πώς Χρησιμοποιείται η Συγκατάθεση με Βάση τον ΓΚΠΔ]]> imblog
Στο πλαίσιο της προστασίας προσωπικών δεδομένων της ΕΕ, το θέμα της συγκατάθεσης και ο κύριος ρόλος της ως μία από τις έξι νόμιμες βάσεις για την επεξεργασία προσωπικών δεδομένων δεν είναι καινούργιος. Πράγματι, η συγκατάθεση αντιπροσωπεύει ένα από τα παλαιότερα στοιχεία σε αυτόν τον τομέα της νομοθεσίας και σε επίπεδο ΕΕ έχει βαθιά ρίζα τουλάχιστον μέχρι την οδηγία για την προστασία των δεδομένων του 1995.

Παρ 'όλα αυτά, ο ΓΚΠΔ έχει επεκτείνει τον προηγούμενο ορισμό, ορίζοντας υψηλότερα πρότυπα για τη συγκατάθεση και ότι αυτή πρέπει να είναι «οργανική, συνεχής και ενεργά διαχειριζόμενη επιλογή και όχι απλώς ένα εφάπαξ πλαίσιο συμμόρφωσης για να σημειωθεί και να αρχειοθετηθεί». Κατά συνέπεια η θέση αυτή αντικατοπτρίζει ότι η συγκατάθεση είναι σε «ανταγωνισμό» με τις άλλες νόμιμες βάσεις που αναφέρονται στον κανονισμό. Αυτό που θέλουμε να κάνουμε με αυτήν την ανάρτηση είναι να παρέχουμε μια επισκόπηση των πέντε κύριων απαιτήσεων συναίνεσης όπως αναφέρονται στον Κανονισμό και να δούμε σε ποια σενάρια αυτή η νόμιμη βάση ταιριάζει καλύτερα.

1. Να δίνεται ελεύθερα, χωρίς αντίκρισμα
Η πρώτη απαίτηση, η οποία αναφέρεται στο άρθρο 4.7 για την συγκατάθεση, είναι ότι αυτή πρέπει να «δίνεται ελεύθερα». Το στοιχείο «ελεύθερο» που αναφέρεται στον κανονισμό συνεπάγεται ότι το υποκείμενο επεξεργασίας έχει πραγματική επιλογή για το εάν θα παρέχει ή όχι τα προσωπικά του δεδομένα και ότι δεν είναι υποχρεωμένο να τα παρέχει καθόλου.
Επομένως, όταν το υποκείμενο επεξεργασίας δεν έχει πραγματική επιλογή επειδή είναι υποχρεωμένο να παρέχει συγκατάθεση ή διαφορετικά θα υπάρξει αρνητική συνέπεια, τότε η συγκατάθεση δεν είναι έγκυρη και πρέπει να βρεθεί άλλη κατάλληλη βάση.
Ας ρίξουμε μια ματιά σε δύο παραδείγματα που παρέχονται από το WP29 στις οδηγίες για τη συναίνεση.

2. Να είναι επ’ ακριβώς προσδιορισμένη και εξειδικευμένη
Η απαίτηση «ειδικής συναίνεσης» θέλει να διασφαλίσει έναν ορισμένο βαθμό ελέγχου και διαφάνειας από το υποκείμενο επεξεργασίας που δεν έχει αλλάξει με τον ΓΚΠΔ. Αυτή η απαίτηση συνδέεται πραγματικά με μία από τις 6 + 1 αρχές και συγκεκριμένα την αρχή του περιορισμού του σκοπού. Πράγματι, το υποκείμενο επεξεργασίας των δεδομένων θα δώσει τη συγκατάθεσή του για την επεξεργασία των προσωπικών δεδομένων μόνο για συγκεκριμένο σκοπό.
Ωστόσο, εάν ένας υπεύθυνος επεξεργασίας θέλει να επεξεργαστεί τα δεδομένα για άλλο σκοπό που με οποιονδήποτε τρόπο δεν είναι συμβατό με τον κύριο, τότε πρέπει να λάβει ξεχωριστή συγκατάθεση για αυτόν τον άλλο σκοπό, εκτός εάν μια άλλη νόμιμη βάση ταιριάζει καλύτερα.
Ας ρίξουμε μια ματιά σε ένα παράδειγμα που παρέχεται από το WP29 στις οδηγίες για τη συναίνεση.

3. Να είναι ενημερωμένη
Ο ΓΚΠΔ ενισχύει την απαίτηση ενημερωμένης συγκατάθεσης σε συνδυασμό με την αρχή της Διαφάνειας του άρθρου 6. Προκειμένου να ενημερωθεί το υποκείμενο επεξεργασίας, ο υπεύθυνος επεξεργασίας δεδομένων υποχρεούται να κοινοποιήσει στο υποκείμενο επεξεργασίας ορισμένα κρίσιμα στοιχεία για να κάνει την επιλογή του, όπως η ταυτότητα του υπευθύνου επεξεργασίας, ο σκοπός της επεξεργασίας, ο τύπος των δεδομένων που υποβάλλονται σε επεξεργασία και το δικαίωμα ανάκλησης της συγκατάθεσης.
Εκτός αυτού, το WP29 σημειώνει πώς "ανάλογα με τις περιστάσεις και το πλαίσιο μιας υπόθεσης, ενδέχεται να απαιτούνται περισσότερες πληροφορίες για να επιτρέψει στα υποκείμενα επεξεργασίας να κατανοήσουν πραγματικά τις διαδικασίες επεξεργασίας που υπάρχουν".
Τέλος, ο ΓΚΠΔ δεν ορίζει υποχρεωτικές απαιτήσεις σχετικά με τη μορφή με την οποία πρέπει να παρέχονται πληροφορίες για να υπάρξει ενημερωμένη συγκατάθεση. Επομένως, πληροφορίες μπορούν να παρουσιαστούν με διαφορετικούς τρόπους, όπως γραπτές / προφορικές δηλώσεις ή μηνύματα ήχου / βίντεο και όλες αυτές οι κατηγορίες πληροφόρησης – ενημέρωσης είναι έγκυρες.

4. Να είναι σαφής
Ο ΓΚΠΔ δηλώνει σαφώς ότι η συγκατάθεση απαιτεί μια σαφή δήλωση από το υποκείμενο των δεδομένων ή μια σαφή καταφατική πράξη (μέσω ενεργής κίνησης ή δήλωσης) που διασφαλίζει ότι το υποκείμενο επεξεργασίας συναινεί στη συγκεκριμένη επεξεργασία. Όσον αφορά την έννοια της "σαφούς καταφατικής πράξης", η αιτιολογική σκέψη του άρθρου 32 του κανονισμού αναφέρει ότι η συγκατάθεση μπορεί επίσης να συλλεχθεί μέσω γραπτής ή καταγεγραμμένης προφορικής δήλωσης, επίσης και με ηλεκτρονικά μέσα. Όταν οι γραπτές δηλώσεις, οι οποίες μπορεί να είναι σε διάφορες μορφές, πρέπει να είναι συμμορφωμένες με τον ΓΚΠΔ, σε αυτές η χρήση προεπιλεγμένων πλαισίων επιλογής (pre-ticked opt-in boxes) δεν είναι έγκυρη βάσει του ΓΚΠΔ.
Επιπλέον, η σιωπή ή η αδράνεια του υποκείμενο επεξεργασίας, καθώς και η απλή χρήση μιας υπηρεσίας δεν μπορεί να θεωρηθεί ούτως ή άλλως ως σαφής συγκατάθεση. Άλλες μορφές όπως η γενική αποδοχή, όπως στην περίπτωση γενικών όρων και προϋποθέσεων, δεν μπορούν να θεωρηθούν ως σαφή επιβεβαιωτική ενέργεια για συγκατάθεση.
Ας ρίξουμε μια ματιά σε δύο παραδείγματα που παρέχονται από το WP29 στις οδηγίες για τη συναίνεση.

5. Να είναι ανακλήσιμη
Η ανακτήσιμη συγκατάθεση είναι η τελευταία (αλλά όχι λιγότερο σημαντική) σημαντική απαίτηση που αναφέρεται στο ΓΚΠΔ στο άρθρο. 7(3). Εδώ, ο κανονισμός δεν προβλέπει την ανάκληση της συγκατάθεσης με τον ίδιο τρόπο που δόθηκε, αλλά "θα είναι τόσο εύκολο να αποσυρθεί η συγκατάθεση όσο και να δοθεί η συγκατάθεση". Ωστόσο, όταν η συναίνεση δίνεται με ηλεκτρονικά μέσα με ένα κλικ του ποντικού, με μια επιλογή ή πληκτρολόγηση, τα υποκείμενα επεξεργασίας επιτρέπεται συνήθως να ανακαλούν τη συγκατάθεση με τον ίδιο τρόπο. Επιπλέον, τα υποκείμενα επεξεργασίας θα πρέπει να μπορούν να αποσύρουν τη συγκατάθεση τους χωρίς καμία βλάβη ή ζημία, όπως η χρέωση τελών ή η μείωση των επιπέδων υπηρεσίας.
Είναι σημαντικό να σημειωθεί ότι εάν αποσυρθεί η συναίνεση, όλες οι εργασίες επεξεργασίας δεδομένων που βασίζονται σε αυτήν και πραγματοποιήθηκαν πριν από την απόσυρση, παραμένουν νόμιμες, όμως κάθε νέα επεξεργασία πρέπει να σταματήσει. Επιπλέον, εάν δεν υπάρχει άλλη νόμιμη βάση για την επεξεργασία δεδομένων (π.χ. διατήρηση λόγω άλλης νομοθεσίας) οποιαδήποτε αποτελέσματα επεξεργασίας μετά την απόσυρση της συγκατάθεση θα πρέπει να διαγραφούν από τον υπεύθυνο επεξεργασίας. Επομένως, είναι εξαιρετικά σημαντικό για τους υπευθύνους επεξεργασίας δεδομένων να εκτιμήσουν τους σκοπούς επεξεργασίας προσωπικών δεδομένων και ποια είναι η καταλληλότερη νόμιμη βάση.

Το συμπέρασμα αυτής της ευρείας επισκόπησης της συναίνεσης και των πολλών απαιτήσεών της, είναι ζωτικής σημασίας για τους υπευθύνους επεξεργασίας να εκτιμήσουν το επίπεδο συμμόρφωσής τους με τον ΓΚΠΔ και να επανεξετάσουν τις τρέχουσες δραστηριότητες επεξεργασίας τους, ελέγχοντας ότι εκείνες που βασίζονται στη συγκατάθεση είναι σύμφωνες με το υψηλότερα πρότυπα που θεσπίζει ο Κανονισμός.

Article29WP Guidelines on Consent (20180416) [EK]


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Wed, 24 Jun 2020 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-039-200624 http://blog1.gdpr-awareness.eu/blog/rss/000000035 <![CDATA[Συμμόρφωση Websites με την Ειδική Νομοθεσία της ΑΠΔΠΧ για τις Ηλεκτρονικές Επικοινωνίες]]> imblog
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (www.dpa.gr) καλεί όλους τους υπευθύνους των παρόχων ηλεκτρονικών υπηρεσιών διαχείρισης διαδικτυακών τόπων – ιστοτόπων, e-shops, e-libraries, e-dictionaries και συναφών τεχνολογιών, να τα προσαρμόσουν το αργότερο εντός των επομένων δύο μηνών (ανακοίνωση ΑΠΔΠΧ 25/02/2020), στις ειδικές απαιτήσεις της νομοθεσίας για την επεξεργασία και προστασία των προσωπικών δεδομένων στις ηλεκτρονικές επικοινωνίες όπως αυτές οι πατήσεις αναφέρονται στην Ελληνική και Ευρωπαϊκή νομοθεσία και στον Γενικό Κανονισμό Προστασίας Δεδομένων - ΓΚΠΔ.


Η διαδικτυακή εφαρμογή WebGDPR™ χρησιμοποιείται για την συμμόρφωση ιστοτόπων με τις ειδικές οδηγίες της ΑΠΔΠΧ για την επεξεργασία και προστασία των προσωπικών δεδομένων στις ηλεκτρονικές επικοινωνίες όπως αυτές οι πατήσεις αναφέρονται στην Ελληνική και Ευρωπαϊκή νομοθεσία και στον Γενικό Κανονισμό Προστασίας Δεδομένων - ΓΚΠΔ

WebGDPR™
Η διαδικτυακή εφαρμογή WebGDPR™ καθιστά τους ιστότοπους σας, τις ιστοσελίδες σας, και τις διαδικτυακές εφαρμογές λογισμικού σας συμβατές με τον ΓΚΠΔ χωρίς περεταίρω ανάπτυξη λογισμικού και σε πολύ σύντομο χρονικό διάστημα συνδυάζοντας έναν αριθμό απαιτήσεων συμμόρφωσης με τον ΓΚΠΔ όπως:
  1. Παρουσίαση της Πολιτικής Cookies
  2. Διαχείριση συναινέσεων cookie
  3. Αίτημα για πρόσβαση στα Προσωπικά Δεδομένα του Υποκειμένου την Επεξεργασία
  4. Αίτημα διαγραφής των Προσωπικών Δεδομένων του Υποκειμένου την Επεξεργασία
  5. Παρουσίαση των Όρων και Προϋποθέσεων Χρήσης του ιστότοπου
  6. Παρουσίαση της Πολιτικής Απορρήτου του ιστότοπου


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 12 Jun 2020 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-038-200612 http://blog1.gdpr-awareness.eu/blog/rss/000000034 <![CDATA[ΑΠΔΠΧ Ανακοίνωση για την Τηλεκπαίδευση]]> imblog
Σε συνέχεια τηλεδιασκέψεων του Προεδρείου της Αρχής με τη Διδασκαλική Ομοσπονδία Ελλάδας, την ΟΛΜΕ και τον Πανελλήνιο Σύλλογο Αναπληρωτών Δασκάλων, κατόπιν σχετικών αιτημάτων τους, η Αρχή εξέδωσε ανακοίνωση για το θέμα της Τηλεκπαίδευσης.

Με πρόσφατη νομοθετική διάταξη προβλέπεται, στην ειδική περίπτωση επιδημικών νόσων, η ταυτόχρονη διδασκαλία σε μαθητές με φυσική παρουσία και σε άλλους μαθητές με τη μέθοδο της εξ αποστάσεως εκπαίδευσης. Η Αρχή αναγνωρίζει ότι ο σκοπός της συγκεκριμένης επεξεργασίας που συνίσταται στην παροχή εκπαίδευσης είναι κατ’ αρχήν νόμιμος και μπορεί να αποτελέσει, υπό προϋποθέσεις, τη βάση για τη σύννομη επεξεργασία των προσωπικών δεδομένων των διδασκόντων και των μαθητών στο πλαίσιο της εξ αποστάσεως εκπαίδευσης.

Διαβάστε την ανακοίνωση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα στον σύνδεσμο.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 21 May 2020 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-037-200521 http://blog1.gdpr-awareness.eu/blog/rss/000000033 <![CDATA[Εφαρμογή του ISO 27000 στην Προστασία των ΠΔ.]]> imblog
Εφαρμογή του ISO 27000 στην Προστασία των Προσωπικών Δεδομένων.

Ο ΓΚΠΔ απαιτεί από τους οργανισμούς να υιοθετούν τα κατάλληλα τεχνικά και οργανωτικά μέτρα, συμπεριλαμβανομένων των πολιτικών, διαδικασιών και μεθόδων, για την προστασία των προσωπικών δεδομένων που επεξεργάζονται.

Το πρότυπο ISO 27001 παρέχει ένα εξαιρετικό σημείο εκκίνησης για την επίτευξη των τεχνικών και επιχειρησιακών απαιτήσεων που απαιτούνται για τη μείωση του κινδύνου παραβίασης.

Τόσο το 27001 όσο και ο ΓΚΠΔ είναι προσανατολισμένοι στον κίνδυνο (risk orientated) και απαιτούν τον προσδιορισμό του κινδύνου και τον προγραμματισμό και την εφαρμογή των απαραίτητων ελέγχων για την τροποποίηση των επιπέδων σε αποδεκτό επίπεδο.
Μια πρόσφατη (02.04.2020) καθοδήγηση της γαλλικής αρχής προστασίας δεδομένων (CNIL) υπογραμμίζει τις κύριες πτυχές του προτύπου ISO 27701.

Το πρότυπο ISO 27701 αποτελεί επέκταση προστασίας του ιδιωτικού απορρήτου σύμφωνα με το πρότυπο ISO 27001, βασίζεται στις απαιτήσεις, τους στόχους ελέγχου και τους ελέγχους ISO 27001, και περιλαμβάνει ένα σύνολο απαιτήσεων, ελέγχων και στόχων ελέγχου για την προστασία της ιδιωτικής ζωής.

Οι οργανισμοί που έχουν εφαρμόσει το ISO 27001 μπορούν να χρησιμοποιήσουν το πρότυπο ISO 27701 για να επεκτείνουν τις διαδικασίες ασφαλείας τους για να καλύψουν τη διαχείριση της ιδιωτικής ζωής, γεγονός που μπορεί να τους βοηθήσει να αποδείξουν ότι έχουν ληφθεί εύλογα μέτρα για τη συμμόρφωση με τους νόμους περί προστασίας δεδομένων όπως ο ΓΚΠΔ.

Ωστόσο, ενώ η πιστοποίηση κατά ISO 27701 μπορεί να είναι πολύτιμη από την προοπτική του ΓΚΠΔ, δεν πρέπει να θεωρείται ως "αυτόματο διαβατήριο" στην πλήρη συμμόρφωση με τον ΓΚΠΔ αλλά ο οργανισμός θα πρέπει να λάβει όλα τα τεχνικά και οργανοταξία μέσα που ορίζονται από τον ΓΚΠΔ.

Περισσότερες πληροφορίες για τις υπηρεσίες πιατοποίησης κατα ISO 27001


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 01 May 2020 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-036-200501 http://blog1.gdpr-awareness.eu/blog/rss/000000032 <![CDATA[ΓΚΠΔ Βασικές Αρχές για τον Περιορισμό Αποθήκευσης Προσωπικών Δεδομένων]]> imblog
Βασικές Αρχές για τον Περιορισμός αποθήκευσης Προσωπικών Δεδομένων.

Οι οργανισμοί αγωνίζονται με μια συνεχή έκρηξη μη δομημένων δεδομένων, η οποία εκτιμάται ότι αυξάνεται μεταξύ 55% -65% κάθε χρόνο. Σε συνδυασμό με αυτό, πρέπει επίσης να διαχειριστούν τις κανονιστικές απαιτήσεις, κάτι που σημαίνει απλά ότι «δεν πρέπει να κρατάτε προσωπικά δεδομένα για μεγαλύτερο χρονικό διάστημα από ό, τι τα χρειάζεστε».

Για να κατανοήσετε την δομή της επιχείρησή σας και πώς διαχειρίζεστε τα δεδομένα αρχείων σας, σας παρουσιάζουμε αυτήν τη χρήσιμη λίστα ελέγχου.
Η λίστα ελέγχου προέρχεται από τον “ICO on Storage Limitation”.

Με μια ματιά:
  • Δεν πρέπει να διατηρείτε προσωπικά δεδομένα για μεγαλύτερο χρονικό διάστημα από ότι τα χρειάζεστε.
  • Πρέπει να σκεφτείτε - και να είστε σε θέση να το αιτιολογήσετε - για πόσο καιρό διατηρείτε τα προσωπικά σας δεδομένα. Αυτό θα εξαρτηθεί από τους σκοπούς σας για τη διατήρηση των δεδομένων.
  • Χρειάζεστε μια πολιτική που να ορίζει τυπικές περιόδους διατήρησης όπου είναι δυνατόν, για να συμμορφώνεστε με τις απαιτήσεις τεκμηρίωσης.
  • Θα πρέπει επίσης να ελέγχετε περιοδικά τα δεδομένα που κρατάτε και να τα διαγράφετε ή να τα ανώνυμα όταν δεν τα χρειάζεστε πλέον.
  • Πρέπει να εξετάσετε προσεκτικά τυχόν προκλήσεις στη διατήρηση των δεδομένων σας. Τα άτομα έχουν δικαίωμα διαγραφής εάν δεν χρειάζεστε πλέον τα δεδομένα.
  • Μπορείτε να διατηρήσετε προσωπικά δεδομένα για μεγαλύτερο χρονικό διάστημα εάν τα διατηρείτε μόνο για αρχειοθέτηση δημοσίου συμφέροντος, επιστημονική ή ιστορική έρευνα ή στατιστικούς σκοπούς.

Λίστα ελέγχου:
  1. Γνωρίζουμε ποια προσωπικά δεδομένα διατηρούμε και γιατί τα χρειαζόμαστε.
  2. Εξετάζουμε προσεκτικά και μπορούμε να δικαιολογήσουμε πόσο καιρό διατηρούμε προσωπικά δεδομένα.
  3. Εξετάζουμε τακτικά τις πληροφορίες μας και διαγράφουμε ή ανωνυμοποιούμε προσωπικά δεδομένα όταν δεν τα χρειαζόμαστε πλέον.
  4. Έχουμε μια πολιτική με τυπικές περιόδους διατήρησης όπου είναι δυνατόν, σύμφωνα με τις υποχρεώσεις τεκμηρίωσης.
  5. Έχουμε εφαρμόσει τις κατάλληλες διαδικασίες για να συμμορφωθούμε με τα αιτήματα διαγραφής ατόμων από το «δικαίωμα να ξεχαστούμε».
  6. Αναγνωρίζουμε σαφώς τυχόν προσωπικά δεδομένα που πρέπει να διατηρήσουμε για αρχειοθέτηση δημοσίου συμφέροντος, επιστημονική ή ιστορική έρευνα ή στατιστικούς σκοπούς.

Βέλτιστες Πρακτικές:
Οι κορυφαίες 4 βέλτιστες πρακτικές για τη διαχείριση αρχείων δεδομένων:
  1. Κατανοήστε (αναλύστε) τα αρχεία δεδομένων σας
  2. Εκτελέστε ενέργειες καθαρισμού των αρχείων δεδομένων
  3. Δημιουργείστε αυτόματες πολιτικές διατήρησης Προσωπικών Δεδομένων
  4. Εκτελέστε και εξασφαλίστε ασφάλεια και συμμόρφωση


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Tue, 21 Apr 2020 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-035-200421 http://blog1.gdpr-awareness.eu/blog/rss/000000031 <![CDATA[Ειδική Νομοθεσία για τις Ηλεκτρονικές Επικοινωνίες για την Διαχείριση Cookies, Trackers και Συναφών Τεχνολογιών]]> imblog
Η ΑΠΔΠΧ έχει διαπιστώσει σε ικανό βαθμό έλλειψη συμμόρφωσης στις ειδικές απαιτήσεις της νομοθεσίας για την επεξεργασία δεδομένων στις ηλεκτρονικές επικοινωνίες και του Γενικού Κανονισμού Προστασίας Δεδομένων όσον αφορά τη διαχείριση cookies, trackers και συναφών τεχνολογιών.

Με σκοπό την πρακτική καθοδήγηση των υπευθύνων επεξεργασίας αλλά και την ενημέρωση των χρηστών των ελληνικών ιστοτόπων, η ΑΠΔΠΧ εκδίδει κείμενο με ειδικές συστάσεις συμμόρφωσης στον συγκεκριμένο τομέα. Σε αυτό περιλαμβάνεται, υπό μορφή σημείων, καθοδήγηση για τη σύννομη χρήση τέτοιων τεχνολογιών καθώς και πρακτικές που πρέπει να αποφεύγονται.

Δεδομένου του ότι μπορεί να απαιτηθεί κάποιος χρόνος προσαρμογής των μηχανισμών διαχείρισης που χρησιμοποιούνται από τις ιστοσελίδες, η Αρχή καλεί όλους τους υπευθύνους επεξεργασίας να προσαρμοστούν εντός διμήνου το αργότερο (από 25 Φεβρουαρίου 2020).



Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Sat, 11 Apr 2020 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-034-200411 http://blog1.gdpr-awareness.eu/blog/rss/000000030 <![CDATA[Κατευθυντήριες Γραµµές Για την Επεξεργασία ΠΔ στο Πλαίσιο της Διαχείρισης του COVID-19]]> imblog
Η Αρχή, κατόπιν της υπ’ αρ. 5/2020 απόφασης της Ολομέλειάς της, εξέδωσε κείμενο Κατευθυντήριων Γραμμών αναφορικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της διαχείρισης του COVID-19. Με το κείμενο αυτό η Αρχή προδιέγραψε τις νομικές δυνατότητες επεξεργασίας από τις αρμόδιες δημόσιες αρχές και τους ιδιωτικούς φορείς, ως υπευθύνους επεξεργασίας, βάσει του Γενικού Κανονισμού Προστασίας Δεδομένων 2016/679 (εφεξής «ΓΚΠΔ»), του νόμου 4624/2019 και της λοιπής σχετικής νομοθεσίας, υπό τις συνθήκες ανάγκης της αντιμετώπισης της εξάπλωσης του ιού.



Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 02 Apr 2020 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-033-200402 http://blog1.gdpr-awareness.eu/blog/rss/00000002F <![CDATA[Χαμηλή Συμμόρφωση με τον ΓΚΠΔ των Ελληνικών Επιχειρήσεων.]]> imblog


BnB Publication.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 20 Mar 2020 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-032-200320 http://blog1.gdpr-awareness.eu/blog/rss/00000002D <![CDATA[Δύο Μήνες Προθεσμία από την ΑΠΔΠΧ για συμμόρφωση των Ιστοτόπων με τον ΓΚΠΔ.]]> imblog
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (www.dpa.gr) καλεί όλους τους υπευθύνους των παρόχων ηλεκτρονικών υπηρεσιών (διαχείρισης διαδικτυακών τόπων – ιστοτόπων, e-shops, e-libraries, e-dictionaries και συναφών τεχνολογιών), να προσαρμοστούν το αργότερο εντός των επομένων δύο μηνών, στις ειδικές απαιτήσεις της νομοθεσίας για την επεξεργασία και προστασία των προσωπικών δεδομένων στις ηλεκτρονικές επικοινωνίες όπως αυτές οι πατήσεις αναφέρονται στην Ελληνική και Ευρωπαϊκή νομοθεσία και στον Γενικό Κανονισμό Προστασίας Δεδομένων - ΓΚΠΔ.

Διαβάστε την ανακοίνωση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα στον σύνδεσμο.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 06 Mar 2020 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-031-200306 http://blog1.gdpr-awareness.eu/blog/rss/00000002E <![CDATA[Πρόστιμο κατά ΓΚΠΔ για Ενοχλητικές Κλήσεις.]]> imblog


BnB Publication.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Wed, 04 Mar 2020 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-030-200304 http://blog1.gdpr-awareness.eu/blog/rss/00000002C <![CDATA[Κρυπτογράφηση Ως Μέσο Προστασίας των ΠΔ.]]> imblog
Κρυπτογράφηση Ως Μέσο Προστασίας των ΠΔ.

Η κρυπτογράφηση είναι ένα από τα βασικά τεχνικά μέτρα που απαιτούνται από τον ΓΚΠΔ. Η τεχνολογία κρυπτογράφησης είναι ένα ευρέως διαθέσιμο μέτρο με σχετικά χαμηλό κόστος εφαρμογής.

Το άρθρο 32 του ΓΚΠΔ περιλαμβάνει την κρυπτογράφηση ως παράδειγμα κατάλληλου τεχνικού μέτρου, ανάλογα με τη φύση και τους κινδύνους των δραστηριοτήτων επεξεργασίας.

Υπάρχει μια μεγάλη ποικιλία διαθέσιμων λύσεων κρυπτογράφησης με κόστος από 150,00€ ως δεκάδες χιλιάδες Ευρώ και κάθε μια λύσει ανταποκρίνεται σε διαφορετικό επίπεδο πολυπλοκότητας λειτουργίας και όγκου  δεδομένων.

Ο οργανισμός που θα χρησιμοποιήσει κρυπτογράφηση για τη προστασία των ΠΔ θα πρέπει καταρχήν να δημιουργήσει μια «Πολιτική Κρυπτογράφησης» η όποια να περιγράφει τον τρόπο και την εφαρμογή της κρυπτογράφησης και να αποτυπώσει αυτήν την πολιτική σε ένα έγγραφο. Θα πρέπει επίσης να εκπαιδεύσει το προσωπικό του στη χρήση και τη σημασία της κρυπτογράφησης για την προστασία των ΠΔ.

Κατά την αποθήκευση ή τη μετάδοση ΠΔ οι οργανισμοί θα πρέπει να χρησιμοποιούν κρυπτογράφηση και να διασφαλίζουν ότι η λύση κρυπτογράφησης που χρησιμοποιείται πληροί τα ισχύοντα πρότυπα. Θα πρέπει επίσης να γνωρίζουν του κινδύνους χρήσης της κρυπτογράφησης και να εφαρμόζουν τις απαραίτητες διαδικασίες για την αντιμετώπιση αυτών.



Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Tue, 25 Feb 2020 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-029-200225 http://blog1.gdpr-awareness.eu/blog/rss/00000002B <![CDATA[Κατάλογος Επιβολής Προστίμων κατά ΓΚΠΔ.]]> imblog
Κατάλογος Επιβολής Προστίμων κατά ΓΚΠΔ (GDPR Enforcement Tracker).

Αυτός ο ιστότοπος περιέχει τον κατάλογο των προστίμων και των κυρώσεων που επέβαλαν οι αρχές προστασίας δεδομένων εντός της ΕΕ βάσει του Γενικού Κανονισμού για την Προστασία των Δεδομένων της ΕΕ (GDPR). Ο στόχος του ιστότοπου είναι να διατηρήσει όσο το δυνατόν πιο ενημερωμένο τον κατάλογο. Δεδομένου ότι δεν δημοσιεύονται όλα τα πρόστιμα, ο κατάλογος αυτός δεν μπορεί φυσικά να είναι ποτέ πλήρης, γι 'αυτό εκτιμούμε κάθε ένδειξη και πληροφορία για περαιτέρω πρόστιμα και ποινές με βάση τον ΓΚΠΔ.




Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 25 Oct 2019 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-028-191025 http://blog1.gdpr-awareness.eu/blog/rss/00000002A <![CDATA[ΓΚΠΔ Προβλέψεις και Έλεγχοι. ]]> imblog
Ο Ελληνικός ΓΚΠΔ, Νόμος 4624 της 29ης Αυγούστου 2019, είναι γεγονός. Τι προβλέπει ο νόμος και τι θα δοκιμαστεί στην πράξη.

Προβλέψεις του νόμου:
  • Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα εποπτεύει την εφαρμογή των διατάξεων.
  • Η διαπίστευσης των φορέων που χορηγούν πιστοποιήσεις γίνεται από το Εθνικό Σύστημα Διαπίστευσης.
  • Μόνον κατ’ εξαίρεση η συγκατάθεση του εργαζομένου αποτελεί προϋπόθεση για την νόμιμη επεξεργασία προσωπικών δεδομένων από τον εργοδότη.
  • Ο Υπεύθυνος Προστασίας Δεδομένο δεν βαρύνεται με ποινικές κυρώσεις.
  • Προσδιορίζονται διαφορές στον τρόπο εφαρμογής του Κανονισμού για το Δημόσιο και για Επιχειρήσεις, με όμοιο πλαίσιο κυρώσεων.
  • Αναγκαία η συγκατάθεση του νόμιμου αντιπρόσωπου για ην επεξεργασία προσωπικών δεδομένων  ανηλίκων < 15 ετών.

Τι θα δοκιμαστεί στην πράξη:
  • Ο τρόπος που θα θεμελιώνεται και θα αποδεικνύεται η υπαιτιότητα γα την επιβολή ποινικών κυρώσεων.
  • Η ακριβής διαδικασία και οι συμπληρωματικές  απαιτήσεις που θα οριστούν που θα οριστούν για την απόκτηση διαπίστευσης από το Εθνικό Σύστημα Διαπίστευσης – ΕΣΥΔ και την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα - ΑΠΔΠΧ.
  • Οι προϋποθέσεις για την ασφαλή εφαρμογή της δυνατότητας των επιχειρήσεων να αρνηθούν πληροφορίες στα υποκείμενα σε περίπτωση παραβίασης των δεδομένων τους.
  • Οι ενέργειες που θα απαιτούνται για τη επαλήθευση της ηλικίας του ανηλίκου και της συγκατάθεσης από τον πραγματικό κηδεμόνα.

Στατιστικά Στοιχεία από την ΑΠΔΠΧ από 25/05/2018 ως την 25/05/2019:
  • 1ον πρόστιμο εκπορευόμενο από  τον ΓΚΠΔ, την 30η Ιουλίου 2019, 150Κ €
  • Αριθμός παραπόνων που έχει λάβει η ΑΠΔΠΧ, 930
  • Αριθμός περιστατικών παραβίασης προσωπικών δεδομένων που έχουν γνωστοποιηθεί στην ΑΠΔΠΧ, 136
  • Κώδικες Δεοντολογίας που έχουν κατατεθεί στην ΑΠΔΠΧ, 2


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Mon, 30 Sep 2019 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-027-190930 http://blog1.gdpr-awareness.eu/blog/rss/000000029 <![CDATA[ΓΚΠΔ Δημοσίευση στην Επίσημη Εφημερίδα της Κυβέρνησης της Ελληνικής Δημοκρατίας.]]> imblog
Την 29η Αυγούστου 2019 δημοσιεύτηκε ο Νόμος με αριθμό 4624 και με αντικείμενο την εφαρμογής του Κανονισμού ΕΕ – 679/2016 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα - ΓΚΠΔ και ενσωμάτωση στην εθνική νομοθεσία της Οδηγίας ΕΕ – 680/2016 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 και άλλες διατάξεις

ΓΚΠΔ:  Δημοσίευση από την Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης

ΓΚΠΔ: Ελληνική Δημοκρατία, Εφημερίδα της Κυβερνήσεως, Νόμος 4624 της 29ης Αυγούστου 2019


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.
Υπηρεσίες Συμμορφωσης για ΜΜΕ
Υπηρεσίες Συμμορφωσης για Μεγάλες Επιχειρήσεις

####


]]> Thu, 29 Aug 2019 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-026-190829 http://blog1.gdpr-awareness.eu/blog/rss/000000027 <![CDATA[Δεκατρείς Μήνες μετά την Θέση σε Ισχύ του ΓΚΠΔ.]]> imblog
Ένα χρόνο μετά την θέση σε ισχύ του ΓΚΠΔ, 25η Μαΐου 2018, πολλοί έλαβαν μέτρα για να συμμορφωθούν με τον κανονισμό. Μερικοί ή καλύτερα αρκετοί όμως επέλεξαν να παραμείνουν αδρανείς και περιμένουν να δουν τι θα συμβεί. Δεν είναι σπάνιο να επισκεφτεί ένας ένα ιστότοπο μιας εταιρείας για να ανακαλύψει ότι η Πολιτική Προστασίας Προσωπικών Δεδομένων εξακολουθεί να περιστρέφεται γύρω από τα μέτρα που εφαρμόζονται από τον προηγούμενο Νόμο περί Προστασίας Δεδομένων ότι εταιρίες από τις ΗΠΑ ή την Αυστραλία που εκτελούν εργασίες στην ΕΕ εξακολουθούν να αντιστέκονται στην πρόσληψη ενός Εκπρόσωπου εντός της ΕΕ.

Τι λένε οι αριθμοί
Το GDPR τέθηκε σε ισχύ πριν ένα έτος στις 25 Μαΐου 2018, πέρυσι, επηρεάζοντας τον τρόπο με τον οποίο οι οργανισμοί χρησιμοποιούν, αποθηκεύουν, διαβιβάζουν και επεξεργάζονται τα προσωπικά δεδομένα των κατοίκων της ΕΕ. Οι οργανισμοί σε όλο τον κόσμο που συμμετέχουν σε οποιαδήποτε από αυτές τις δράσεις έπρεπε να ανταποκριθούν αναλόγως, αναλύοντας, αναθεωρώντας και επικαιροποιώντας τις σχετικές πολιτικές και διαδικασίες σύμφωνα με τις νέες απαιτήσεις του ΓΚΠΔ.
Όπως είναι ήδη γνωστό οι παραβιάσεις του ΓΚΠΔ επιφέρουν πρόστιμα ως και μέχρι 20 εκατομμύρια €υρώ ή το 4% των ετήσιων εσόδων προηγουμένου οικονομικού έτους της εταιρείας, όποιο ποσό είναι μεγαλύτερο.
Παρόλα αυτά, δώδεκα μήνες μετά την θέση του ΓΚΠΔ σε ισχύ υπάρχουν ακόμη οργανισμοί και επιχειρήσεις που εξακολουθούν να αγωνίζονται για την εκπλήρωση των υποχρεώσεών τους και την συμμόρφωση τους με τον ΓΚΠΔ.

  • Μια έρευνα από την εταιρία IT Governance αποκαλύπτει ότι, ως τον Δεκέμβριο του 2018, το 71% των οργανισμών δεν είναι ακόμα συμβατό με GDPR.
  • Μια άλλη έρευνα, που διεξήχθη το Μάρτιο του 2019 από την NCipher και το Ponemon Institute σχετικά με τις τάσεις κρυπτογράφησης, δείχνει ότι μόνο το 45% των εταιρειών πληροφορικής έχουν εφαρμόσει "κατάλληλα μέτρα" με τη μορφή κρυπτογράφησης.
  • Αυτό που είναι ακόμα πιο αποκαλυπτικό είναι ότι 25 από τους 28 επίσημους ιστοτόπους των κυβερνήσεων της ΕΕ ενδέχεται να μην είναι ακόμη συμβατοί με το ΓΚΠΔ σύμφωνα με την έκθεση της Cookiebot του Μαρτίου 2019.
  • Τέλος από έρευνα της CybSafe το 56% των επιχειρήσεων του Ηνωμένου Βασιλείου αναγνώρισε ότι δεν είχαν ζητήσει τη συγκατάθεσή τους για την αποθήκευση ευαίσθητων δεδομένων και ότι το 16% δήλωσαν ότι αγνόησαν εν γνώσει τους αιτήματα πρόσβασης στα προσωπικά δεδομένα τους

Εάν πρέπει να συνοψίσουμε αυτό το πρώτο έτος του ΓΚΠΔ, θα μπορούσαμε να συμπεράνουμε ότι αυτό το πρώτο έτος ήταν σχετικά ήσυχο όσον αφορά τη δραστηριότητα για την επιβολή του κανονισμού. Κανένα από τα επιβληθέντα πρόστιμα δεν έπληξε το μέγιστο όριο των 20 εκατ. Ευρώ.
Συνολικά, το τρέχον έτος ήταν η εκμάθηση και η συνέχιση της επιτάχυνσης μέχρι την πλήρη επιβολή, όπως αυτά έχουν οριστεί προηγουμένως από τις ρυθμιστικές αρχές. Ταυτόχρονα, θα είναι εντελώς λάθος να καταλήξουμε στο συμπέρασμα ότι οι ρυθμιστικές αρχές δεν πρόκειται να επιβάλουν την πλήρη ισχύ του ΓΚΠΔ. Αυτό που βλέπουμε τώρα είναι μια προσπάθεια να επιβληθεί η σωστή προσέγγιση και συμβουλές και όχι να χτυπήσει κανείς οργανισμούς με απαγορευτικά πρόστιμα.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####


]]> Fri, 05 Jul 2019 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-025-190705 http://blog1.gdpr-awareness.eu/blog/rss/000000026 <![CDATA[Πολιτική Επικοινωνία για την Σύννομη Επεξεργασία Προσωπικών Δεδομένων.]]> imblog
Κατευθυντήριες Οδηγίες για τη σύννομη επεξεργασία Προσωπικών Δεδομένων με σκοπό την πολιτική επικοινωνία.

H Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) εξέδωσε Κατευθυντήριες Οδηγίες για τη σύννομη επεξεργασία προσωπικών δεδομένων με σκοπό την πολιτική επικοινωνία.  Στις κατευθυντήριες οδηγίες αναλύονται οι κανόνες για τη σύννομη επεξεργασία προσωπικών δεδομένων με σκοπό την πολιτική επικοινωνία, η οποία πραγματοποιείται με ποικίλους τρόπους (τηλεφωνικές κλήσεις με ανθρώπινη παρέμβαση, με χρήση ηλεκτρονικών μέσων χωρίς ανθρώπινη παρέμβαση όπως SMS, MMS, email, εφαρμογές ανταλλαγής μηνυμάτων υπηρεσιών, εφαρμογές κοινωνικής δικτύωσης,  αυτόματες τηλεφωνικές κλήσεις με προηχογραφημένο μήνυμα, φωνητικά μηνύματα που αποθηκεύονται σε υπηρεσίες αυτόματου τηλεφωνητή κλπ.) και σε οποιαδήποτε χρονική περίοδο, πριν (προεκλογική περίοδος) ή μετά τις εκλογές.
Κατευθυντήριες Οδηγίες της ΑΠΔΠΧ στον σύνδεσμο.

Επίσης (λόγω των εκλογών για το Ευρωπαϊκό Κοινοβούλιο αλλά και άλλων εκλογών στην ΕΕ που έχουν προγραμματιστεί για το 2019) το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ - EDPB) εξέδωσε στις 13/3 την Δήλωση 2/2019 σχετικά με τη χρήση δεδομένων προσωπικού χαρακτήρα κατά τη διάρκεια πολιτικών εκστρατειών.
Δήλωση ΕΣΠΔ στον σύνδεσμο.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####


]]> Tue, 11 Jun 2019 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-024-190611 http://blog1.gdpr-awareness.eu/blog/rss/000000025 <![CDATA[Εκτέλεση Μελέτης Εκτίμηση Αντικτύπου Σύμφωνα με τον ΓΚΠΔ (EU 2016/679).]]> imblog
Ο υπεύθυνος επεξεργασίας είναι υποχρεωμένος να εκτελέσεις την διαδικασία εκτίμησης αντικτύπου σχετικά με την προστασία προσωπικών δεδομένων όταν οι ενέργειες επεξεργασίας επιφέρουν υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων ειδικά με τη χρήση των νέων τεχνολογιών και συνεκτιμώντας το πεδίο εφαρμογής και τους σκοπούς της επεξεργασίας.

Η υποχρέωση για τη διενέργεια Μελέτης Εκτίμησης Αντικτύπου για  την Προστασία Προσωπικών Δεδομένων (ΕΑΠΔ) προβλέπεται στο άρθρο 35 παρ. 1 του ΓΚΠΔ. Η εκτέλεση της μελέτης εκτίμηση αντικτύπου, άρθρο 35 παρ. 7, προϋποθέτει κατ’ ελάχιστον τέσσερα μέρη.

  1. Καταγραφή των επιχειρηματικών διαδικασιών και αναλυτική περιγραφή των διαδικασιών και των σκοπών επεξεργασίας των Προσωπικών Δεδομένων.
  2. Ανάλυση και εκτίμηση των διαδικασιών, της αναγκαιότητας και της έκτασης επεξεργασίας των Προσωπικών Δεδομένων σε συνάρτηση με τους σκοπούς επεξεργασίας.
  3. Εκτίμηση των κίνδυνων των δικαιωμάτων και των ελευθεριών των υποκειμένων επεξεργασίας των δεδομένων στην περίπτωση παραβίασης, απώλειας ή αλλοίωσης.
  4. Καταγραφή και περιγραφή των προβλεπομένων μέτρων αντιμετώπισης των κινδύνων, περιλαμβανομένων των μηχανισμών ασφαλείας, των μέτρων πρόληψης και των εγγυήσεων, ώστε να διασφαλίζεται η προστασία των δεδομένων και να αποδεικνύεται η συμμόρφωση προς τον ΓΚΠΔ.


Για τον έλεγχο της πληρότητας μελέτης ΕΑΠΔ σε σχέση με τα απαραίτητα τυπικά κριτήρια πληρότητας βάσει του άρθρου 35 παρ. 2 και παρ. 7, 8, 9 του ΓΚΠΔ και των κατευθυντήριων γραμμών WP248 συνδεθείτε στον σύνδεσμο.
Θα πρέπει να σημειωθεί ότι με τον έλεγχο της ΕΑΠΔ με παραπάνω κριτήρια δεν αξιολογείται η ορθότητα ή η αποτελεσματικότητα της μελέτης ΕΑΠΔ αλλά μόνον η πληρότητα της μελέτης σε σχέση με τα απαραίτητα τυπικά στοιχεία που πρέπει να περιλαμβάνονται σε αυτή.

Εξαιρέσεις από την εκτέλεση μελέτης ΕΑΠΔ
  • Δεν απαιτείται η διενέργεια ΕΑΠΔ σε πράξεις επεξεργασίας για τις οποίες έχει χορηγηθεί άδεια ίδρυσης και λειτουργίας αρχείου με ευαίσθητα δεδομένα βάσει του άρθρου 7 του ν.2472/1997 εφόσον η άδεια βρίσκεται σε ισχύ και δεν έχει επέλθει μεταβολή, η οποία ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των υποκειμένων λαμβανομένης υπόψη της φύσης, του πεδίου εφαρμογής, του πλαισίου και των σκοπών της επεξεργασίας (WP248).
  • Δεν απαιτείται η διενέργεια ΕΑΠΔ όταν η πράξη επεξεργασίας, δυνάμει του άρθρου 6 παρ. 1 στ. γ) ή ε), έχει νομική βάση στο δίκαιο της χώρας ή της Ένωσης όταν το εν λόγω δίκαιο ρυθμίζει τη συγκεκριμένη πράξη επεξεργασίας και έχει διενεργηθεί ήδη ΕΑΠΔ στο πλαίσιο της θέσπισης της εν λόγω νομικής βάσης, εκτός εάν κριθεί απαραίτητη η διενέργεια της εν λόγω ΕΑΠΔ πριν από τις δραστηριότητες επεξεργασίας (άρθρο 35 παρ. 10, αιτ. 93 του ΓΚΠΔ).


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####


]]> Fri, 07 Jun 2019 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-023-190607 http://blog1.gdpr-awareness.eu/blog/rss/000000023 <![CDATA[ΕΥ Ένας Χρόνος Μετά τον ΓΚΠΔ.]]> imblog


Αναδημοσίευση από το ηλεκτρονικό περιοδικό BNB Daily τεύχος #302


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####


]]> Sat, 01 Jun 2019 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-022-190601 http://blog1.gdpr-awareness.eu/blog/rss/000000024 <![CDATA[Μελέτη Εκτίμηση Αντικτύπου Σύμφωνα με τον ΓΚΠΔ (EU 2016/679).]]> imblog
Η υποχρέωση για τη διενέργεια Εκτίμησης Αντικτύπου για  την Προστασία Προσωπικών Δεδομένων (ΕΑΠΔ) προβλέπεται στο άρθρο 35 παρ. 1 του ΓΚΠΔ.

Ο υπεύθυνος επεξεργασίας είναι υποχρεωμένος να εκτελέσεις την διαδικασία εκτίμησης εκτίμησης αντικτύπου σχετικά με την προστασία προσωπικών δεδομένων όταν οι ενέργειες επεξεργασίας επιφέρουν υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων ειδικά με τη χρήση των νέων τεχνολογιών και συνεκτιμώντας το πεδίο εφαρμογής και τους σκοπούς της επεξεργασίας.

Η Ελληνική Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα με βάση το άρθρο 35, παρ. 4 κατάρτισε σχέδιο καταλόγου με τα είδη των πράξεων επεξεργασίας που υπόκεινται στην απαίτηση για διενέργεια ΕΑΠΔ. Για την δημιουργία του εν λόγω καταλόγου ΕΑΠΔ η Αρχή εφάρμοσε, κατά τα προβλεπόμενα στο άρθρο 35 παρ. 6, το μηχανισμό συνεκτικότητας που αναφέρεται στο άρθρο 63 ανακοινώνοντας το σχέδιο καταλόγου στο Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ).

Το ΕΣΠΔ, κατά τη συνεδρίαση της ολομέλειας της 25ης Σεπτεμβρίου 2018, εξέδωσε, βάσει του άρθρου 64 παρ. 1 του ΓΚΠΔ, τη γνώμη 7/2018 (Opinion 7/2018 Greece SAs DPIA List of 03/10/2019) σχετικά με το σχέδιο καταλόγου ΕΑΠΔ της Αρχής. Η Αρχή, με την με αριθμό 65/2018 Απόφασή της, αποφάσισε, σύμφωνα με το άρθρο 64 παρ. 7 του ΓΚΠΔ, την τροποποίηση του καταλόγου ΕΑΠΔ βάσει των συστάσεων της γνώμης 7/2018 του ΕΣΠΔ και την ανακοίνωσή του στο ΕΣΠΔ.

Ο κατάλογος ΕΑΠΔ της Αρχής βασίζεται στο άρθρο 35 του ΓΚΠΔ και ιδίως στις παρ. 1 και 3 αυτού καθώς και στις κατευθυντήριες γραμμές για την ΕΑΠΔ (WP248), τις οποίες συμπληρώνει και εξειδικεύει περαιτέρω. Ο εν λόγω κατάλογος της Αρχής δεν είναι εξαντλητικός και, συνεπώς, δεν αίρεται ούτε μεταβάλλεται η υποχρέωση να διενεργείται ΕΑΠΔ σε κάθε περίπτωση συνδρομής των προϋποθέσεων του άρθρου 35 παρ. 1 του ΓΚΠΔ ούτε η γενικότερη υποχρέωση του υπευθύνου επεξεργασίας να συμμορφώνεται με το σύνολο των υποχρεώσεων που απορρέουν από το ΓΚΠΔ.

Κατάλογος ΕΑΠΔ της Αρχής σε Ελληνικά και Αγγλικά στον σύνδεσμο.
Κατευθυντήριες γραμμές για την ΕΑΠΔ (WP248) σε Ελληνικά και Αγγλικά στον σύνδεσμο.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####


]]> Fri, 31 May 2019 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-021-190531 http://blog1.gdpr-awareness.eu/blog/rss/000000021 <![CDATA[Εφαρμογές Λογισμικού για την Συμμόρφωση με τον ΓΚΠΔ (EU 2016/679).]]> imblog
Ανακοινώνεται η διαθεσιμότητα ενός αριθμού εφαρμογών λογισμικού για την επιτάχυνση της συμμόρφωσης με τον ΓΚΠΔ (EU 2016/679).

Η πλατφόρμα ComplyKey™ χρησιμοποιείται για την ανάλυση περιεχομένου σε δομημένα και μη δομημένα δεδομένα όπως απαιτείται από έναν αριθμό άρθρων του ΓΚΠΔ.
Η πλατφόρμα Promisec Endpoint Manager™ - PEM™ χρησιμοποιείται:
(α) για την διατήρηση της ακεραιότητας και την προστασία των δεδομένων,
(β) για την απαίτηση του ΓΚΠΔ για την ανίχνευση και ειδοποίηση παραβιάσεων και
(γ) για την παρακολούθηση και αποκατάσταση των παραβιάσεων της πολιτικής ασφαλείας.
Η εφαρμογή λογισμικού WebGDPR™ είναι μια διαδικτυακή εφαρμογή λογισμικού η οποία χρησιμοποιείται σε ιστότοπους (websites), ιστοσελίδες (web pages) και διαδικτυακές εφαρμογές (web bases applications) για την άμεση συμμόρφωση τους με τον ΓΚΠΔ.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####


]]> Sat, 25 May 2019 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-020-190525 http://blog1.gdpr-awareness.eu/blog/rss/000000020 <![CDATA[Προστασία Προσωπικών Δεδομένων με Bάση τον ΓΚΠΔ (EU 2016/679).]]> imblog
Τα εμπορικά μυστικά, η πνευματική ιδιοκτησία, τα προσωπικά δεδομένα και άλλες ευαίσθητες πληροφορίες αποτελούν σημαντικά περιουσιακά στοιχεία που πρέπει οι εταιρίες και οι οργανισμοί να τα προστατεύουν και να τα διαχειρίζονται σωστά, σύμφωνα με τις διαδικασίες ασφαλείας και τους νόμους και κανονισμούς περί ιδιωτικότητας και ιδιοκτησίας όπως ο ΓΚΠΔ.

Όταν τα προσωπικά δεδομένα ολοκληρώσουν τον «κύκλο της χρήσιμης ζωής τους» θα πρέπει να καταστρέφονται με τέτοιο ασφαλή μηχανισμό ώστε η ανάκτηση τους να είναι αδύνατη όπως ορίζεται από τα σχετικά άρθρα περί προστασίας προσωπικών δεδομένων του ΓΚΠΔ (άρθρα 5.1.(στ), 24.1 & 2, 25.1 και άλλων).

Επιχειρήσεις και Οργανισμοί θα πρέπει να δημιουργήσουν μια πολιτική καταστροφής εγγράφων και να διασφαλίσουν ότι αυτή έχει περιγραφεί και εξηγηθεί πλήρως στο προσωπικό, καθώς και να τονίσουν γιατί το προσωπικό πρέπει να την ακολουθήσει. Η πολιτική καταστροφής εγγράφων θα πρέπει να αναφέρει ότι οι εργαζόμενοι πρέπει να τοποθετούν έγγραφα και έντυπα αμέσως μετά την χρήση τους είτε σε μηχανές καταστροφής εγγράφων είτε σε ειδικά δοχεία ασφαλούς αποθήκευσης τα οποία δεν επιτρέπουν πρόσβαση στα έγγραφα και στην συνέχεια τα ειδικά αυτά δοχεία παραδίδονται σε εξειδικευμένες εταιρίες για την καταστροφή των εγγραφών.

Συγκεκριμένο μέγεθος τεμαχισμού εγγράφων: ο ΓΚΠΔ δεν ορίζει ένα συγκεκριμένο μέγεθος στο οποίο πρέπει να τεμαχίζονται τα έγγραφα προκειμένου ο οργανισμός να είναι συμμορφωμένος με τον με τον κανονισμό. Ωστόσο μια αξιόπιστη επιχείρηση θα πρέπει να χρησιμοποιεί μηχανές καταστροφής εγγράφων βιομηχανικού τύπου οι οποίες να χειρίζονται τα έγγραφα με αυτοματοποιημένο τρόπο και να τα καταστρέφουν  σύμφωνα με τους συνήθεις κανόνες και τις βέλτιστες πρακτικές. Οι βέλτιστες πρακτικές καταστροφής εγγράφων ορίζουν ότι έγγραφα και έντυπα σχετιζόμενα με τον ΓΚΠΔ θα πρέπει να τεμαχίζονται με επίπεδο ασφαλείας καταστροφής κατά DIN66399, P4 (Έγγραφα Ιδιαίτερα Εμπιστευτικά) ή κατ’ ελάχιστον P3 (Έγγραφα Εμπιστευτικά).





Οι λύσεις της Depei δίνουν την δυνατότητα στην καταστροφή των εσωτερικών και εμπιστευτικών δεδομένων που είναι αποθηκευμένα όχι μόνο στο κλασική χαρτί αλλά και σε οπτικά, μαγνητικά και ηλεκτρονικά μέσα όπως CD, DVD, Floppy, κάρτες ταυτότητας, έξυπνες κάρτες, USB, κινητά τηλέφωνα, σκληροί δίσκοι κ.α. μέχρι το μεγαλύτερο δυνατό επίπεδο ασφαλείας καραστροφής, χάριν στην ευρεία κλίμακα μηχανών καταστροφής, τεμαχισμού, συμπίεσης και απόμαγνήτισης.  


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.
Υπηρεσίες Συμμορφωσης για ΜΜΕ
Υπηρεσίες Συμμορφωσης για Μεγάλες Επιχειρήσεις

####


]]> Fri, 10 May 2019 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-019-190510 http://blog1.gdpr-awareness.eu/blog/rss/00000001F <![CDATA[Επιβολή Κυρώσεων για Παράνομη Επεξεργασία Προσωπικών Δεδομένων.]]> imblog




Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.
]]> Tue, 16 Apr 2019 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-018-190415 http://blog1.gdpr-awareness.eu/blog/rss/00000001E <![CDATA[Ενέργειες Συμμόρφωσης Website με τον ΓΚΠΔ.]]> imblog
Ενέργειες Συμμόρφωσης Websites με τον ΓΚΠΔ.

Με βάση τον ΓΚΠΔ (EU 2016/679) η συμμόρφωση με τον κανονισμό είναι υποχρεωτική για όλους τους ιστότοπους και τις ιστοσελίδες.

Η συμμόρφωση ιστοτόπων και ιστοσελίδων με τον ΓΚΠΔ επιτυγχάνεται με τις παρακάτω λειτουργίες:
  • Δημιουργία Πολιτικής χρήσης Cookies και κατηγοριοποίηση τους σύμφωνα με τον Γενικό Κανονισμό Προστασίας Δεδομένων.
  • Ενημερωτικό pop-up στην αρχική σελίδα το οποίο θα προτρέπει το χρήστη να αποδεχτεί την χρήση και διατήρηση cookies. Αν ο ιστότοπος χρησιμοποιεί έναν αριθμό διαφορετικών cookies θα πρέπει μέσω του pop-up να ζητάτε από το χρήστη να επιλέξει τα συγκεκριμένα τα cookies που επιθυμεί να αποδεχτεί. Εάν ο χρήστης δεν συναινεί ρητά, δεν μπορείτε να τοποθετήσετε cookies στο πρόγραμμα περιήγησης του (web browser)και η πρόσβαση στον ιτότοπο θα πρέπει είναι επιτρεπτή χωρίς την χρήση cookies.
  • Δημιουργία Πολιτικής Προστασίας και Διαχείρισης Προσωπικών Δεδομένων.
  • Ενημερωτικό pop-up στην αρχική σελίδα που θα προτρέπει τον χρήστη να αναγνώσει και αποδεχτεί την πολιτική προστασίας και διαχείρισης των προσωπικών δεδομένων που διατηρεί ο ιστότοπος.
  • Δημιουργία Pop-up ή φόρμα επικοινωνίας στην οποία ο χρήστης να ζητά να μάθει το σύνολο των προσωπικών δεδομένων που διατηρεί ο ιστότοπος (η εταιρία) για τον χρήστη. Η λειτουργία αυτή αναφέρεται στον ΓΚΠΔ στο άρθρο 15 «Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων» και στο άρθρο 16 «Δικαίωμα διόρθωσης» (Subject Access Request - SAR).
  • Δημιουργία Pop-up ή φόρμα επικοινωνίας στην οποία ο χρήστης να ζητά την οριστική διαγραφή των προσωπικών δεδομένων που διατηρεί ο ιστότοπος (η εταιρία) για τον χρήστη. Η λειτουργία αυτή αναφέρεται στον ΓΚΠΔ στο άρθρο 17 «Δικαίωμα διαγραφής - δικαίωμα στη λήθη» (Right to erasure - right to be forgotten)
  • Διαγραφή όλων των χρηστών (πελατών) από τη βάση δεδομένων των χρηστών που καταχωρήθηκαν χωρίς την ρητή συγκατάθεση τους. Οι χρήστες αυτοί έχουν εγγραφεί είτε λόγω μαζικής εισαγωγής τους από άλλες βάσεις δεδομένων είτε λόγω εγγραφής τους πριν την εφαρμογή του ΓΚΠΔ.
  • Συμμόρφωση όλων των plugins, java scripts, java apps κλπ του ιστότοπου με τον ΓΚΠΔ.

Για την υλοποίηση των ανωτέρω απαιτούνται οι εξής ενέργειες:
  • Δημιουργία μελέτης αποκλίσεων (gap analysis) του ιστότοπου από τον ΓΚΠΔ, καθώς και σχέδιο υλοποίησης ενεργειών (project plan) που θα εφαρμοστούν με σκοπό την πλήρη συμμόρφωση του ιστότοπου.
  • Δημιουργία της Πολιτικής Προστασίας και Διαχείρισης Προσωπικών Δεδομένων (Πολιτική Απορρήτου) σύμφωνης με τον ΓΚΠΔ από εξειδικευμένο νομικό σύμβουλο.
  • Δημιουργία της Πολιτικής Cookies και κατηγοριοποίηση τους σύμφωνα με τον ΓΚΠΔ.
  • Έλεγχος όλων των plugins, java scripts, java apps κλπ του ιστότοπου ως προς την συμμόρφωσή τους με τον ΓΚΠΔ.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.
Υπηρεσίες Συμμορφωσης για ΜΜΕ
Υπηρεσίες Συμμορφωσης για Μεγάλες Επιχειρήσεις

####


]]> Mon, 15 Apr 2019 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-017-190414 http://blog1.gdpr-awareness.eu/blog/rss/00000001D <![CDATA[Διοικητικά Πρόστιμα Επιχειρήσεων και Οργανισμών με Βάση τον ΓΚΠΔ.]]> imblog
Διοικητικά Πρόστιμα με Βάση τον ΓΚΠΔ

Ο ΓΚΠΔ επιβάλλει άκαμπτα πρόστιμα στους Υπεύθυνους Επεξεργασίας Δεδομένων (Data Controller) και τους Επεξεργαστές Δεδομένων (Data Processor) για μη συμμόρφωση με τον κανονισμό.

Τα πρόστιμα του ΓΚΠΔ έχουν σχεδιαστεί για να καταστήσουν τη μη συμμόρφωση δαπανηρό λάθος τόσο για τις μεγάλες όσο και για τις μικρές επιχειρήσεις. Σε αυτό το άρθρο αναλύουμε το μέγεθος των προστίμων του ΓΚΠΔ και πώς οι ρυθμιστικές αρχές καθορίζουν το ποσό του εκάστοτε προστίμου.
 
Ο γενικός κανονισμός προστασίας δεδομένων της Ευρωπαϊκής Ένωσης (ΓΚΠΔ) σχεδιάστηκε για να εφαρμόζεται σε όλους τους τύπους επιχειρήσεων, από πολυεθνικές έως πολύ μικρές επιχειρήσεις. Τα πρόστιμα που επιβάλλονται από τον ΓΚΠΔ βάσει του άρθρου 83 είναι ευέλικτα και κλιμακωτά με βάση το μέγεθος της επιχείρησης. Κάθε οργανισμός που δεν συμμορφώνεται με το ΓΚΠΔ, ανεξάρτητα από το μέγεθός του, αντιμετωπίζει σημαντική ευθύνη.

Tα πρόστιμα τα διαχειρίζονται οι εκάστοτε εποπτικές αρχές του κράτους μέλους (άρθρο 83.1). Η εποπτική αρχή για την Ελλάδα είναι η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), www.dpa.gr και για την Κύπρο είναι το Γραφείο Επιτρόπου Προστασίας Δεδομένων Προσωπικού Χαρακτήρα www.dataprotection.gov.cy.

Ύψος Προστίμων
Εάν μια επιχείρηση παραβιάζει πολλαπλές διατάξεις του ΓΚΠΔ, επιβάλλεται πρόστιμο σύμφωνα με τη σοβαρότερη παράβαση, αντί να τιμωρείται χωριστά για κάθε διαφορετική παράβαση (άρθρο 83.3). Εντούτοις, η ανωτέρω διάταξη δεν προσφέρει μεγάλη ανακούφιση λαμβάνοντας υπόψη το ύψος του ποσού των  πιθανών προστίμων.
 
Κατώτερο Επίπεδο:
Έως 10 εκατ. Ευρώ, ή το 2% των παγκόσμιων ετήσιων εσόδων του προηγούμενου οικονομικού έτους, όποιο είναι υψηλότερο, εκδίδεται για παραβάσεις:
  • Επιχειρήσεις χαρακτηρισμένες ως Υπεύθυνες Επεξεργασίας Δεδομένων (Data Controllers) και Επιχειρήσεις χαρακτηρισμένες ως Επεξεργαστές Δεδομένων  (Data Processors) σύμφωνα με τα άρθρα 8, 11, 25-39, 42 και 43.
  • Οργανισμοί πιστοποίησης σύμφωνα με τα άρθρα 42 και 43.
  • Οργανισμοί παρακολούθησης και ελέγχου πιστοποίησης σύμφωνα με το άρθρα 41(4).
     
Ανώτερο επίπεδο
Έως 20 εκατ. Ευρώ, ή το 4% παγκόσμιων ετήσιων εσόδων του προηγούμενου οικονομικού έτους, όποιο είναι υψηλότερο, εκδίδεται για παραβάσεις:
  • Των βασικών αρχών επεξεργασίας, συμπεριλαμβανομένων των όρων συγκατάθεσης, σύμφωνα με τα άρθρα 5, 6, 7 και 9.
  • Των δικαιωμάτων των υποκειμένων επεξεργασίας δεδομένων σύμφωνα με τα άρθρα 12-22.
  • Διαβίβασης δεδομένων προσωπικού χαρακτήρα σε παραλήπτη σε τρίτη χώρα ή σε διεθνή οργανισμό σύμφωνα με τα άρθρα 44-49.
  • Οποιασδήποτε υποχρέωσης σύμφωνα με το δίκαιο των κρατών μελών που έχει δημιουργηθεί (το δίκαιο) δυνάμει του Κεφαλαίου IX του ΓΚΠΔ*.
  • Οποιαδήποτε μη συμμόρφωση με μια εντολή από μια εποπτική αρχή (άρθρο 83.6)
* Το κεφάλαιο IX του ΓΚΠΔ δίνει το δικαίωμα στα κράτη μέλη να εκδίδουν πρόσθετους νόμους για την προστασία των δεδομένων, εφόσον είναι σύμφωνοι με το ΓΚΠΔ. Οποιαδήποτε παραβίαση αυτών των εθνικών νόμων αντιμετωπίζει επίσης τα διοικητικά πρόστιμα που ορίζονται από τον ΓΚΠΔ.
 
Για τον καθορισμό του ποσού του προστίμου σε μη συμμορφούμενη επιχείρηση ή μη συμμορφούμενο οργανισμό θα πρέπει να χρησιμοποιούνται και τα ακόλουθα κριτήρια:
  • Η Βαρύτητα και Φύση της Παράβασης: Η συνολική εικόνα της παραβίασης, τι συνέβη, πώς συνέβη, γιατί συνέβη αριθμός προσβεβλημένων ατόμων, ζημιά που υπέστησαν, σκοπός της επεξεργασίας, διάρκεια παράβασης και χρόνος επίλυσης.
  • Πρόθεση: Εάν η παράβαση είναι σκόπιμη ή αποτέλεσμα αμέλειας.
  • Μέτρα Μείωσης: Μέτρα που ελήφθησαν για τη μείωση των ζημιών που υπέστησαν τα υποκείμενα των δεδομένων (φυσικά πρόσωπα).
  • Προληπτικά Mέτρα: Πόση τεχνική και οργανωτική προετοιμασία είχε προηγουμένως εφαρμόσει η επιχείρηση για την πρόληψη της παραβίασης (μη-συμμόρφωσης).
  • Ιστορικά Δεδομένα: (άρθρο 83.2e) Καταγραφή προηγούμενων σχετικών παραβάσεων και προηγούμενων διοικητικών διορθωτικών ενεργειών, στο πλαίσιο του GDPR, από προειδοποιήσεις συμμόρφωσης, από απαγορεύσεις επεξεργασίας και τα σχετικά πρόστιμα. Στις προηγούμενες σχετικές παραβιάσεις συμπεριλαμβάνονται παραβιάσεις βάσει της οδηγίας για την προστασία των δεδομένων και όχι μόνο παραβιάσεις του ΓΚΠΔ και (άρθρο 83.2i).
  • Συνεργασία: Κατά πόσο συνεργάστηκε η επιχείρηση με την εποπτική αρχή για να διορθώσει την παράβαση.
  • Τύπος δεδομένων: Ποιες είναι οι κατηγορίες δεδομένων που επηρεάζονται από την παράβαση. Επηρεάζονται ειδικές κατηγορίες προσωπικών δεδομένων;
  • Κοινοποίηση: Εάν η παράβαση κοινοποιήθηκε προληπτικά στην εποπτική αρχή από την ίδια την επιχείρηση ή από ένα τρίτο μέρος.
  • Πιστοποίηση: Εάν η επιχείρηση ακολούθησε εγκεκριμένους κώδικες δεοντολογίας ή είχε προηγουμένως πιστοποιηθεί σύμφωνα με εγκεκριμένες διαδικασίες πιστοποιήσεων.
  • Παράγοντες Επιδείνωσης / Μετριασμού:  Οποιεσδήποτε άλλα ζητήματα προκύπτουν από τις περιστάσεις της υπόθεσης, συμπεριλαμβανομένων των οικονομικών ωφελειών που αποκομίστηκαν ή των απωλειών που αποφεύχθηκαν ως αποτέλεσμα της παράβασης.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.
Υπηρεσίες Συμμορφωσης για ΜΜΕ
Υπηρεσίες Συμμορφωσης για Μεγάλες Επιχειρήσεις

####


]]> Tue, 02 Apr 2019 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-016-190402 http://blog1.gdpr-awareness.eu/blog/rss/00000001B <![CDATA[Σύντομη Αναφορά στην Διαχείριση Video υπό τον ΓΚΠΔ (EU 2016/679).]]> imblog
Σύντομη Αναφορά στην Διαχείριση Video υπό τον ΓΚΠΔ EU (2016/679).

Τι είναι νέο:
    • Δεν υπάρχει υποχρέωση κοινοποίησης στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) της εγκατάστασης του συστήματος Βίντεο-Παρακολούθησης.
    • Ο υπεύθυνος επεξεργασίας δεδομένων έχει υποχρέωση να παράσχει περισσότερες και λεπτομερείς πληροφορίες σχετικά με τη μέθοδο επεξεργασίας δεδομένων του συστήματος Βίντεο-Παρακολούθησης.
    • Ο υπεύθυνος επεξεργασίας δεδομένων έχει υποχρέωση να τηρεί έντυπο ή ηλεκτρονικό αρχείο δραστηριοτήτων επεξεργασίας του συστήματος Βίντεο-Παρακολούθησης και να το διαθέτει στην ΑΠΔΠΧ όποτε ζητηθεί από αυτήν.
    • Ο υπεύθυνος επεξεργασίας δεδομένων έχει υποχρέωση να αναφέρει διαρροές δεδομένων προσωπικού χαρακτήρα ή/και οποιαδήποτε παρόμοια παραβίαση ασφαλείας στην ΑΠΔΠΧ.
    • Ο υπεύθυνος επεξεργασίας δεδομένων έχει υποχρέωση εκπόνησης αξιολόγησης αντίκτυπου προστασίας δεδομένων (Data Protection Impact Assessment - DPIA) στην περίπτωση της  «εκτεταμένης συστηματικής παρακολούθησης εγκαταστάσεων δημόσιας πρόσβασης».
    • Ο υπεύθυνος επεξεργασίας δεδομένων έχει υποχρέωση ορισμού ενός επονομαζόμενου αξιωματούχου προστασίας δεδομένων (Data Protection Officer – DPO). Η υποχρέωση ισχύει για Δημόσιους Φορείς, για Οργανισμούς εποπτευόμενους από το Δημόσιο και για Εταιρίες και Οργανισμούς οι οποίοι επεξεργάζονται δεδομένα προσωπικού χαρακτήρα μεγάλου όγκου.

Τι παραμένει το ίδιο:
    • Εάν το σύστημα Βίντεο-Παρακολούθησης αποθηκεύει το βίντεο σε αναλογικό μαγνητικό μέσο (βιντεοταινία) δεν απαιτείται η συγκατάθεση των υποκειμένων την επεξεργασίας (φυσικά πρόσωπα) ακόμη και από τους υπαλλήλους του υπεύθυνου επεξεργασίας.
    • Η λειτουργία του συστήματος Βίντεο-Παρακολούθησης, οι  αποθηκευμένες εγγραφές βίντεο και όλα τα σχετικά προσωπικά δεδομένα πρέπει να είναι επαρκώς ασφαλισμένα έναντι μη εξουσιοδοτημένης πρόσβασης




Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####


]]> Fri, 22 Feb 2019 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-015-190211 http://blog1.gdpr-awareness.eu/blog/rss/000000019 <![CDATA[Συμπεράσματα της ΑΠΔΠΧ Σχετικά με την Συμμόρφωση Υπευθύνων Επεξεργασίας ΠΔ.]]> imblog
Αρχικά Συμπεράσματα από την δράση της Αρχής Σχετικά με την Συμμόρφωση με τον ΓΚΠΔ Υπευθύνων Επεξεργασίας Δεδομένων.

Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) από την άσκηση των προβλεπόμενων αρμοδιοτήτων της και με σκοπό τη διερεύνηση του επιπέδου συμμόρφωσης με τον ΓΚΠΔ προέβη στην ακόλουθη αυτεπάγγελτη  δράση, η οποία ξεκίνησε τον Δεκέμβριο του 2018 και βρίσκεται σε εξέλιξη, για το έλεγχο 65 υπευθύνων επεξεργασίας δεδομένων (εταιριών και οργανισμών), που δραστηριοποιούνται διαδικτυακά στους τομείς των χρηματοπιστωτικών υπηρεσιών, υπηρεσιών ασφάλισης, ηλεκτρονικού εμπορίου, υπηρεσιών εισιτηρίων και των υπηρεσιών δημοσίου τομέα όσον άφορα τον τρόπος ικανοποίησης συγκεκριμένων απαιτήσεων στους τομείς της διαφάνειας, της χρήσης cookies, της αποστολής διαφημιστικών ηλεκτρονικών μηνυμάτων και της ασφάλειας των διαδικτυακών τόπων μέσω ενδεικτικών σημείων ελέγχου, αντιληπτών στον πολίτη κατά την πλοήγησή του στο διαδίκτυο και τη χρήση διαδικτυακών υπηρεσιών.
Η έρευνα παρουσιάστηκε στην πρόσφατη ενημερωτική ημερίδα της Αρχής με αφορμή τον εορτασμό της 13ης Ευρωπαϊκής Ημέρας Προστασίας Δεδομένων στις 28/01/2019 και είναι διαθέσιμη διαδικτυακό τόπο της ΑΠΔΠΧ, στον σύνδεσμο.

Από την ανακοίνωση της ΑΠΔΠΧ σημειώνεται ότι με βάση τα τελικά πορίσματα της πρώτης αυτής ευρείας κλίμακας δράσης για τον έλεγχο της συμμόρφωσης των υπευθύνων επεξεργασίας δεδομένων, μετά την έναρξη ισχύος του Κανονισμού, θα ασκηθούν οι προβλεπόμενες από τις οικείες διατάξεις αρμοδιότητες της Αρχής.

Αν δεν είστε ακόμη συμμορφωμένοι με τον ΓΚΠΔ επικοινωνήστε μαζί μας.
Είμαστε πάντα στην ευχάριστη θέση να βοηθήσουμε.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.
Υπηρεσίες Συμμορφωσης για ΜΜΕ
Υπηρεσίες Συμμορφωσης για Μεγάλες Επιχειρήσεις

####

]]> Fri, 01 Feb 2019 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-014-190201 http://blog1.gdpr-awareness.eu/blog/rss/00000001A <![CDATA[Αλλαγές στη Διαχείριση Video με την Έναρξη Ισχύος του ΓΚΠΔ (EU 2016/679).]]> imblog
Με την έναρξη ισχύος του ΓΚΠΔ (EU 2016/679) οι διαδικασίες διαχείρισης Βιντεοσκόπησης και Βίντεο-παρακολούθησης έχουν αλλάξει.

Με την έναρξη ισχύος του ΓΚΠΔ (EU 2016/679) δεν υφίσταται πλέον άδεια από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα («ΑΠΔΠΧ») για την επεξεργασία Προσωπικών Δεδομένων ή/και Βίντεο-παρακολούθησης ούτε υφίσταται υποχρέωση από τους εκτελούντες Βίντεο-παρακολούθηση με συστήματα Κλειστού Κυκλώματος Βίντεο-Επιτήρησης («ΚΚΒΕ») να γνωστοποιούν στην ΑΠΔΠΧ την τήρηση ή/και επεξεργασία αρχείου Βίντεο-παρακολούθησης.

Από την άλλη πλευρά, ο ΓΚΠΔ απαιτεί νέα διοικητικά - διαχειριστικά καθήκοντα και υποχρεώσεις οι οποίες εφαρμόζονται και επί των αρχείων Βίντεο-παρακολούθησης δεδομένου του ότι αυτά θεωρούνται δεδομένα προσωπικού χαρακτήρα (και κάτω από ορισμένες συνθήκες θεωρούνται και ως Ειδικά Δεδομένα λόγω των βιομετρικών στοιχείων που περιέχουν).

Η διατήρηση, αποθήκευση και επεξεργασία των αρχείων Βίντεο-παρακολούθησης, ως δεδομένα προσωπικού χαρακτήρα, υπόκεινται πλήρως στις υποχρεώσεις των επιχειρήσεων και οργανισμών περί προσωπικών δεδομένων υπό τον ΓΚΠΔ και οι λειτουργίες επί αυτών πρέπει να ακολουθούν τις Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα του άρθρου 5.1 (άρθρο 5.1.α – 5.1.στ). Ο Υπεύθυνος Επεξεργασίας της επιχείρησης και του οργανισμού φέρει την ευθύνη να αποδείξει τη συμμόρφωση του με τις πιο πάνω Αρχές Επεξεργασίας (άρθρο 5.2, Αρχή της Λογοδοσίας).

Η Βίντεο-παρακολούθηση θα πρέπει να εκτελείται για καθορισμένους, ρητούς και νόμιμους σκοπούς (άρθρο 5.1.β) και τα αρχεία Video δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς.

Επίσης η Βίντεο-παρακολούθηση θα πρέπει να εκτελείται υπό την προϋπόθεση ότι ισχύει τουλάχιστον μία από τις νόμιμες προϋποθέσεις επεξεργασίας (άρθρο 6.1).


Εν συντομία ο Υπεύθυνος Επεξεργασίας θα πρέπει:
  • Να διατηρεί αρχείο δραστηριοτήτων επεξεργασίας, όπου είναι αυτό δυνατόν (άρθρο 30.1) και να το διαθέτει στην ΑΠΔΠΧ όποτε ζητηθεί από αυτήν (άρθρο 30.4)
  • Να διατηρεί τα αρχεία Βίντεο-παρακολούθησης καταλλήλως προστατευμένα (άρθρα 25 & 32).
  • Να λαμβάνει όλα τα κατάλληλα μέτρα για να παρέχει στα άτομα που παρακολουθούνται από το σύστημα ΚΚΒΕ πληροφορίες με σύντομη, διαφανή, κατανοητή και εύκολα προσπελάσιμη πληροφόρηση σχετικά με την επεξεργασία των δεδομένων τους από το σύστημα ΚΚΒΕ, ειδικά όταν πρόκειται για δεδομένα σχετικά με τα παιδιά (άρθρο 12 & άρθρα 14 – 18)
  • Να παρέχει ενημέρωση. Σε ένα χώρο όπου είναι εγκατεστημένο ένα σύστημα ΚΚΒΕ θα πρέπει εκτός από εμφανή τοποθέτηση του συμβόλου Βίντεο-παρακολουθησης θα πρέπει να είναι εμφανώς τοποθετημένο κείμενο σε έντυπη ή ηλεκτρονική μορφή το οποίο να περιγραφεί όλες τις λεπτομέρειες τις σχετικές με την Βίντεο-Επιτήρησης ή την Βίντεο-Παρακολούθηση (άρθρο 12).
  • Να αναφέρει κάθε παράβαση ασφάλειας προσωπικών δεδομένων στην αρμόδια εποπτική αρχή (άρθρο 33) χωρίς αδικαιολόγητη καθυστέρηση και, αν είναι δυνατόν, εντός 72 ωρών από την χρονική στιγμή από την οποία αναγνωρίστηκε η παραβίαση ασφαλείας, έκτος αν η παραβίαση δεν έχει ως αποτέλεσμα τον κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####
]]> Fri, 25 Jan 2019 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-013-190125 http://blog1.gdpr-awareness.eu/blog/rss/000000018 <![CDATA[Εργασίες Ελέγχου και Αναθεώρησης Εγγράφων και Διαδικασιών Συμμόρφωσης με τον ΓΚΠΔ.]]> imblog
Εργασίες Ελέγχου και Αναθεώρησης Εγγράφών και Διαδικασιών Συμμόρφωσης με τον ΓΚΠΔ.
Με την έναρξη του Νέου Έτους καλόν είναι να εκτελέσετε μια σειρά ελέγχων και ενεργειών σχετικών με την συμμόρφωση του οργανισμού ή της επιχείρησης σας με τον ΓΚΠΔ.  

  1. Αφιερώστε χρόνο να ελέγξετε τις διαδικασίες αναθεώρησης και βεβαιωθείτε ότι όλα τα έγγραφά σας που είναι μέρος των διαδικασιών συμμόρφωσης με τον ΓΚΠΔ είναι ενημερωμένα.
  2. Ελέγξατε:
    1. Ότι δεν υπάρχουν έγγραφα ή memory sticks αφημένα σε δημόσια πρόσβαση στα γραφεία σας ή αλλού τα οποία θα έπρεπε είτε να έχουν καταστραφεί, είτε να έχουν αποθηκευθεί σε ασφαλές μέρος και
    2. Τα μηνύματα ηλεκτρονικού ταχυδρομείου σας και όσα έχουν συνημμένα αρχεία προσωπικών δεδομένων θα πρέπει να τα διαγράψετε ή να τα αποθηκεύσετε  σε ασφαλές μέρος (π.χ. κρυπτογραφημένο σκληρό δίσκο).
  3. Βεβαιωθείτε ότι όλο το προσωπικό σας είναι εκπαιδευμένο. Αν όχι, ζητήστε από τον Σύμβουλο Συμμόρφωσης με τον ΓΚΠΔ να διοργανώσει ένα νέο κύκλο εκπαίδευσης του προσωπικού με τον ΓΚΠΔ.
  4. Ελέγξατε τα έγγραφα πολιτικής απορρήτου προσωπικών δεδομένων αν ότι περιγράφεται σε αυτά εξακολουθεί να ισχύει.  
  5. Βεβαιωθείτε ότι όλοι οι προμηθευτές, συνεργάτες, υπάλληλοι και άλλοι τρίτοι διαθέτουν τους κατάλληλους όρους συμμόρφωσης με τον ΓΚΠΔ στα συμβόλαια τους και ότι είναι όλοι συμμορφωμένοι με το ΓΚΠΔ.
  6. Δημιουργήστε μια διαδικασία για την εκτέλεση των ανωτέρω ελέγχων σε τακτικά χρονικά διαστήματα. Η διαδικασία αυτή ενδυναμώνει τις διαδικασίες εσωτερικού ελέγχου και αποδεικνύει ότι διαχειρίζεστε τα προσωπικά δεδομένα του οργανισμού σας με την «Δέουσα Επιμέλεια».

Αν δεν είστε ακόμη συμμορφωμένοι με τον ΓΚΠΔ επικοινωνήστε μαζί μας.
Είμαστε πάντα στην ευχάριστη θέση να βοηθήσουμε.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 03 Jan 2019 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-012-190103 http://blog1.gdpr-awareness.eu/blog/rss/000000017 <![CDATA[ΑΠΔΠΧ: Συγκεντρωτικά Στοιχεία Περιστατικών Παραβίασης ΔΠΧ. ]]> imblog
Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.
Συγκεντρωτικά στοιχεία γνωστοποιήσεων περιστατικών παραβίασης δεδομένων προσωπικού χαρακτήρα.

Κατά τους πρώτους έξι (6) μήνες εφαρμογής του ΓΚΠΔ (EU 2016/679)  υποβλήθηκαν στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, η οποία δρα ως εποπτική αρχή του Κανονισμού σύμφωνα με το άρθρο 33 αυτού, εξήντα έξι (66) γνωστοποιήσεις περιστατικών παραβίασης δεδομένων προσωπικού χαρακτήρα.

Το πλήρες κείμενο της ανακοίνωσης στον σύνδεσμο.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Thu, 20 Dec 2018 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-011-181220 http://blog1.gdpr-awareness.eu/blog/rss/000000016 <![CDATA[Ερωτηματολόγια για τον Έλεγχο Επιπέδου Συμμόρφωσης με τον ΓΚΠΔ.]]> imblog
Η εκτίμηση συμμόρφωσης με τον Γενικό Κανονισμό Προστασίας Δεδομένων (GDPR EU 2016/679) πραγματοποιείται μέσα από μια σειρά ερωτηματολογίων αυτό-αξιολόγησης.

Τα ερωτηματολόγια έχουν δημιουργηθεί για Μικρές Επιχειρήσεις, Ατομικές Επιχειρήσεις, Προσωπικές Εταιρίες, Επαγγελματίες και Λειτουργούς. Είναι επίσης κατάλληλα για μικρές οργανώσεις όπως π.χ. Αθλητικές Λέσχες και Αστικές Εταιρίες – Σωματεία.

Χρησιμοποιήστε τα ερωτηματολόγια για να βελτιώσετε την κατανόησή σας σχετικά με την προστασία των προσωπικών δεδομένων και θα μάθετε τι πρέπει να κάνετε για να βεβαιωθείτε ότι διατηρείτε τα προσωπικά δεδομένα των υπάλληλων, πελατών, συνεργατών και προμηθευτών σας ασφαλή. Αφού συμπληρώσετε και μας αποστείλετε το ερωτηματολόγιο θα επικοινωνήσουμε μαζί σας για να σας ενημερώσουμε με τις διαδικασίες και πρακτικές ώστε να μπορέσετε να συμμορφωθείτε με τον ΓΚΠΔ.

Ερωτηματολόγια για τον Ελέγχο Επιπέδου Συμμόρφωσης με τον ΓΚΠΔ.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.
####


]]> Mon, 26 Nov 2018 09:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-010-181126 http://blog1.gdpr-awareness.eu/blog/rss/000000015 <![CDATA[DPO: Ποια Νομικά Πρόσωπα Υποχρεούνται να Καθορίσουν Υπεύθυνο Προστασίας Δεδομένων.]]> imblog
Νομικά Πρόσωπα τα οποία Υποχρεούνται να Καθορίσουν Υπεύθυνο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.

O Ευρωπαϊκός Γενικός Κανονισμός Προστασίας Προσωπικών Δεδομένων (GDPR), EU 2016/679, επηρεάζει όλες τις Ευρωπαϊκές εταιρίες που συλλέγουν ή διαχειρίζονται προσωπικά δεδομένα, αλλά και κάθε οργανισμό ή εταιρία εκτός ΕΕ, που συναλλάσσεται με εταιρίες και οργανισμούς της Ευρωπαϊκής Ένωσης. Μεταξύ των πιο σημαντικών αλλαγών που επιφέρει ο Κανονισμός, είναι και ο υποχρεωτικός διορισμός Υπευθύνου Προστασίας Δεδομένων (ΥΠΔ) - Data Protection Officer (DPO).

Τι ισχύει για τον υποχρεωτικό διορισμό Υπευθύνου Προστασίας στον δημόσιο και τον ιδιωτικό τομέα.

ΝΠΔΔ
Όλες οι δημόσιες αρχές και υπηρεσίες, εκτός από τα δικαστήρια, όταν ασκούν δικαιοδοτικό έργο, έχουν υποχρέωση διορισμού ΥΠΔ θα στο επίπεδο (υπηρεσία) όπου γίνεται η συλλογή και η επεξεργασία των δεδομένων.
Κατά συνέπεια υποχρέωση διορισμού ΥΠΔ έχουν:
  • Όλα τα Υπουργεία, ανεξάρτητα όλες οι Γενικές Γραμματείες αυτών και, υπό προϋποθέσεις, οι Γενικές Διευθύνσεις, οι Διευθύνσεις  και τα Τμήματα αυτών, ανάλογα με την επεξεργασία επί Προσωπικών Δεδομένων που πραγματοποιούν.
  • Όλες οι Οργανισμοί Τοπικής Αυτοδιοίκησης (ΟΤΑ), οι Επιχειρήσεις αυτών και, υπό προϋποθέσεις, οι Διευθύνσεις, τα Τμήματα και οι Επιτροπές αυτών, ανάλογα με την επεξεργασία επί Προσωπικών Δεδομένων που πραγματοποιούν.
  • Όλες οι ανεξάρτητες διοικητικές αρχές.
  • Όλοι οι φορείς παροχής υπηρεσιών δημόσιας υγείας όπως Νοσοκομεία και Ιατρικά Κέντρα.
  • Όλα τα Δημόσια σχολεία, οι σχολές Ανώτατης και Ανώτερης Εκπαίδευσης, οι Επαγγελματικές σχολές και όλοι οι οργανισμοί που παρέχουν υπηρεσίες εκπαίδευσης.
  • Όλοι οι φορείς που παρέχουν υπηρεσίες κοινής ωφέλειας, ακόμα και αν είναι εταιρίες ιδιωτικού δικαίου και όλες οι ΔΕΚΟ όπως οι πάροχοι υπηρεσιών Ενέργειας, Μεταφορών, Υποδομών, Επικοινωνιών, Ραδιοτηλεοπτικών υπηρεσιών, Επαγγελματικοί Σύλλογοι και τα Επιμελητήρια με χαρακτήρα ΝΠΔΔ όπως ενδεικτικά ΔΕΗ, ΕΡΤ, Οργανισμοί Λιμένος, ΔΕΔΔΗΕ, ΟΑΕΔ, ΣΤΑΣΥ, Δικηγορικοί, Ιατρικοί, Φαρμακευτικοί Σύλλογοι, ΤΕΕ, Εμπορικά Επιμελητήρια κλπ.

ΝΠΙΔ
Οι νομικές οντότητες του ιδιωτικού τομέα όπως επιχειρήσεις, ΜΚΟ, σύλλογοι, σωματεία, αστικές μη κερδοσκοπικές εταιρίες, συνεταιρισμοί, κοινοπραξίες κλπ που είτε διεξάγουν τακτική και συστηματική επεξεργασία Προσωπικών Δεδομένων είτε επεξεργάζονται Ειδικά (ευαίσθητα) Προσωπικά Δεδομένα σε μεγάλη κλίμακα έχουν υποχρέωση διορισμού ΥΠΔ.
Κατά συνέπεια, ενδεικτικά, υποχρέωση διορισμού ΥΠΔ έχουν:
  • Τα νοσοκομεία, κλινικές και όλοι οι άλλοι πάροχοι ιδιωτικών υπηρεσιών υγείας που επεξεργάζονται ειδικά (ευαίσθητα) προσωπικά δεδομένα ασθενών.
  • Τα Φαρμακεία.
  • Οι επιχειρήσεις που παρέχουν υπηρεσίες φύλαξης ή διεξάγουν παρακολούθηση για λόγους ασφαλείας (εταιρίες security).
  • Οι επιχειρήσεις που διεξάγουν παρακολούθηση για ιδίους λόγους μέσω κλειστού κυκλώματος τηλεόρασης στις εγκαταστάσεις ή τα καταστήματά τους.
  • Οι επιχειρήσεις μηχανοργάνωσης ή διαχείρισης μισθοδοσίας για λογαριασμό άλλων επιχειρήσεων όπως επίσης και τα λογιστικά γραφεία.
  • Οι επιχειρήσεις κινητής και σταθερής τηλεφωνίας και παροχής υπηρεσιών Internet.
  • Oι ασφαλιστικές εταιρίες, τα ασφαλιστικά γραφεία και οι ασφαλιστικοί διαμεσολαβητές.
  • Οι τράπεζες, όλοι οι χρηματοπιστωτικοί οργανισμού, οι επιχειρήσεις διαχείρισης περιουσίας και οι χρηματιστηριακές εταιρίες και οι χρηματιστηριακοί  διαμεσολαβητές.
  • Οι ιδιωτικές επιχειρήσεις διαχείρισης μέσων μεταφοράς
  • Κάθε επιχείρηση που συλλέγει δεδομένα των συναλλασσομένων με αυτή και τα χρησιμοποιεί για την κατασκευή κατηγοριοποίησης (προφίλ) που αποκαλύπτουν τις προσωπικές προτιμήσεις, την ιδεολογία ή την καταναλωτική συμπεριφορά.
  • Κάθε επιχείρηση που συλλέγει και χρησιμοποιεί δεδομένα για την ηλεκτρονική προώθηση διαφημιστικών μηνυμάτων, εμπορικών ενημερώσεων, προώθησης πωλήσεων και διαχείρισης συστημάτων καταναλωτικής πίστης.
  • Οι διαφημιστικές εταιρίες και οι εταιρίες δημοσκοπήσεων.
  • Όλα τα Ιδιωτικά σχολεία, οι Ιδιωτικές σχολές Ανώτατης και Ανώτερης Εκπαίδευσης, οι Ιδιωτικές επαγγελματικές σχολές και όλοι οι Ιδιωτικοί οργανισμοί που παρέχουν υπηρεσίες εκπαίδευσης.
Υποχρέωση διορισμού ΥΠΔ έχουν επίσης:
  • Τα πολιτικά κόμματα, πολιτικές οργανώσεις και οι πολιτικές αστικές εταιρίες (σωματεία)
  • Οι θρησκευτικές οργανώσεις και οργανισμοί και θρησκευτικές αστικές εταιρίες (σωματεία)
  • Όλες οι αθλητικές εταιρίες και οργανώσεις και αθλητικές αστικές εταιρίες (σωματεία)
  • Οι Μη Κυβερνητικοί Οργανισμοί (ΜΚΟ) και οι αστικές εταιρείες (σωματεία) Μη Κερδοσκοπικού Χαρακτήρα (ΜΚΧ) που δραστηριοποιούνται σε τομείς όπως παροχή ιατρικών υπηρεσιών, περίθαλψη και παροχή βοήθειας σε πρόσφυγες, μετανάστες ή οι κοινωνικές μειονότητες,.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.
Υπηρεσίες Συμμορφωσης για ΜΜΕ
Υπηρεσίες Συμμορφωσης για Μεγάλες Επιχειρήσεις

####

]]> Fri, 07 Sep 2018 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-009-180907 http://blog1.gdpr-awareness.eu/blog/rss/000000014 <![CDATA[DPO: Πότε Απαιτείται Υποχρεωτικά ο Ορισμός Υπεύθυνου Προστασίας Δεδομένων.]]> imblog
Υπεύθυνος Προστασίας Δεδομένων Προσωπικού Χαρακτήρα - Data Protection Officer - DPO

Πότε ορίζεται υποχρεωτικά DPO.
Σύμφωνα με το νέο ΓΚΠΔ, EU 2016/679, κάθε οργανισμός/επιχείρηση υποχρεούται να καθορίσει έναν Υπεύθυνο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα ή αλλιώς Data Protection Officer  (DPO), όταν:
  • Η επεξεργασία των δεδομένων διενεργείται από δημόσια αρχή ή φορέα.
  • Οι βασικές δραστηριότητες της επιχείρησης συνιστούν τακτική και συστηματική επεξεργασία δεδομένων προσωπικού χαρακτηρα σε μεγάλη κλίμακα.
  • Οι βασικές δραστηριότητες της επιχείρησης συνιστούν μεγάλης κλίμακας επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα όπως δεδομένων που αφορούν καταδίκες και κατηγορίες για εγκληματικές πράξεις.
  • Γίνεται επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα (π.χ. ιατρικά δεδομένα, πολιτικά δεδομένων, βιομετρικά δεδομένα).

Βασικές δραστηριότητες του DPO.
Ο Υπεύθυνος Προστασίας Δεδομένων Προσωπικού Χαρακτήρα είναι υπεύθυνος για την παρακολούθηση της συμμόρφωσης του οργανισμού με τον ΓΚΠΔ και όλες τις σχετικές κανονιστικές απαιτήσεις και αποτελεί το σημείο επίσημης επικοινωνίας του οργανισμού με την εκάστοτε εποπτική αρχή (Ελλάδα: ΑΠΔΠΧ – www.dpa.gr), καθώς και με κάθε υποκείμενο επεξεργασίας που υπόκεινται σε επεξεργασία προσωπικών δεδομένων από τον οργανισμό. Επίσης, είναι αρμόδιος για την ενημέρωση και εκπαίδευση του οργανισμού στις απαιτήσεις του ΓΚΠΔ,  για την παροχή συμβουλών, για την εκτίμηση αντικτύπου (DPIA) καθώς και για την τήρηση των αρχείων καταγραφής.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 10 Aug 2018 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-008-180810 http://blog1.gdpr-awareness.eu/blog/rss/000000012 <![CDATA[Συμμόρφωση με τον ΓΚΠΔ σε Δέκα Βήματα και Επιπτώσεις στις Εταιρικές Διαδικασίες.]]> imblog
Για μια επιτυχημένη συμμόρφωση με τον ΓΚΠΔ είναι σημαντικό ο κάθε οργανισμός φορέας να εντοπίσει έγκαιρα τις υποχρεώσεις του. Συστηματοποίηση τω βασικών βημάτων -  ενεργειών που πρέπει να ακολουθήσεις ο κάθε οργανισμός για να συμμορφωθεί με τον ΓΚΠΔ, είτε είναι Υπεύθυνος επεξεργασίας, είτε είναι Εκτελών την επεξεργασία είναι το πρώτο και σημιτική βήμα προς την συμμόρφωση. Στην διαδικασία συμμόρφωσης εμπλέκονται όλα τα τμήματα του οργανισμού, κύριο ρόλο όμως έχουν τα τμήματα της Διοίκησης, της Επιχειρησιακής Λειτουργίας, το Νομικό Τμήμα και το Τμήμα Πληροφορικής – Ασφάλειας.




Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.
Υπηρεσίες Συμμορφωσης για ΜΜΕ
Υπηρεσίες Συμμορφωσης για Μεγάλες Επιχειρήσεις

####

]]> Thu, 19 Jul 2018 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-007-180719 http://blog1.gdpr-awareness.eu/blog/rss/000000011 <![CDATA[Καθημερινές Δραστηριότητες που Επηρεάζονται από τον ΓΚΠΔ (EU 2016/679).]]> imblog
Πολλές από τις καθημερινές δραστηριότητές των φυσικών πρόσωπων σχετίζονται με τον ΓΚΠΔ.
  • Η εγγραφή σε ένα διαδικτυακό κατάστημα για την αγορά ενός προϊόντος
  • Η εγγραφή σε ένα ιστολόγιο ειδήσεων (news blog)
  • Η εγγραφή σε ένα διαδικτυακό τηλεοπτικό κανάλι (WebTV)
  • Η αίτηση για θέση εργασίας
  • Η αποστολή βιογραφικού
  • Η αίτηση για τραπεζικές υπηρεσίες, δάνειο, πιστωτική κάρτα κλπ.
  • Η αίτηση σε μια δημόσια υπηρεσία ή δημόσιο οργανισμό
  • Η συμμετοχή σε έναν διαγωνισμό ή σε μια κλήρωση ή σε έρευνα αγοράς με συμπλήρωση σε έντυπο των προσωπικών σας δεδομένων
  • Το σχολείο, το εκπαιδευτικό ίδρυμα, το Πανεπιστήμιο σας το οποίο τηρεί προσωπικά δεδομένα και δεδομένα προγραμμάτων, βαθμών και επιδόσεων
  • Ο γιατρός και οδοντίατρος σας ο οποίος τηρεί προσωπικά δεδομένα και ιατρικά δεδομένα, ιστορικό, ασθένειες κλπ.
  • Το Ιατρικό Κέντρο που επισκεφτήκατε τηρεί προσωπικά δεδομένα και τις ιατρικές σας εξετάσεις
  • Ο αθλητικός σύλλογος, το αθλητικό κέντρο και το γυμναστήριο στον οποίο είστε μέλος τηρεί προσωπικά δεδομένα τα οποία δώσατε κατά την εγγραφή σας, καθώς και ιατρικά πιστοποιητικά.
  • Ο λογαριασμός σας στο Facebook και στα άλλα κοινωνικά δίκτυα περιέχει τα προσωπικά σας δεδομένα, πληροφορίες για τους φίλους σας, τα ενδιαφέροντά σας, συλλογές με φωτογραφίες σας κλπ.

Όλες οι δραστηριότητές των φυσικών πρόσωπων οι οποίες σχετίζονται με τον ΓΚΠΔ  εξαρτώνται από την εφαρμογή του. Εταιρίες και οργανισμοί που ζητούν και λαμβάνουν προσωπικά δεδομένα θα πρέπει να είναι συμμορφωμένες με τον ΓΚΠΔ με συγκεκριμένη πολιτική και εφαρμογή του κανονισμού τουλάχιστον όσον αφορά την Νόμιμη Επεξεργασία των προσωπικών δεδομένων και τα δικαιώματα των υποκειμένων την επεξεργασία (φυσικών προσώπων).     


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Fri, 13 Jul 2018 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-006-180713 http://blog1.gdpr-awareness.eu/blog/rss/00000000D <![CDATA[Facebook, Google, Microsoft και ΓΚΠΔ (EU 2016/679).]]> imblog
«Εξαπάτηση από την Σχεδίαση» Facebook και Google κατηγορούνται ότι χειραγωγούν τους χρήστες για να δώσουν τα δεδομένα τους.

Facebook και Google εισήγαγαν νέα περιβάλλοντα προστασίας προσωπικών δεδομένων προκειμένου να συμμορφωθούν με το νέο νόμο περί προστασίας της ιδιωτικής ζωής, τον Γενικό Κανονισμό Προστασίας Δεδομένων. Επίσημες καταγγελίες την ημέρα που τέθηκε σε ισχύ ο νέος νόμος και πρόσφατα έχουν εκφραστεί περαιτέρω ανησυχίες για το πώς οι εταιρείες χειραγωγούν τους ανθρώπους για να εκθέσουν τα δεδομένα τους.

Το ζήτημα είναι ότι ορισμένες από τις ρυθμίσεις απορρήτου κατευθύνουν σαφώς τους ανθρώπους προς ορισμένες επιλογές. Για παράδειγμα, οι επιλογές αναγνώρισης προσώπου του Facebook δείχνουν στους χρήστες ένα φωτεινό μπλε κουτί που τους παροτρύνει να αποδεχθούν την σάρωση από την εταιρεία των προσώπων τους, για τα αρχεία της, ενώ η επιλογή να μην αποδεχθούν την σάρωση είναι κρυμμένη μέσα σε μια σελίδα που βλέπετε μόνο κάνοντας κλικ στην επιλογή "Διαχείριση ρυθμίσεων δεδομένων".

Ομάδες καταναλωτών από μια σειρά ευρωπαϊκών χωρών, συμπεριλαμβανομένης της Νορβηγίας, του Ηνωμένου Βασιλείου και της Γαλλίας, έχουν στείλει επιστολές στις εθνικές τους ρυθμιστικές αρχές για την προστασία της ιδιωτικής ζωής, ζητώντας τους να διερευνήσουν αυτές τις αποκαλούμενες τακτικές "σκοτεινού τύπου". Οι αμερικανικές ομάδες καταναλωτών, με επικεφαλής το Κέντρο ηλεκτρονικής πληροφόρησης για την προστασία της ιδιωτικής ζωής (EPIC), ζητούν επίσης από την Ομοσπονδιακή Επιτροπή Εμπορίου να εξετάσει την συγκεκριμένη πρακτική.

Σε μια έκθεση που ονομάζεται «Εξαπάτηση από την Σχεδίαση»», το Νορβηγικό Συμβούλιο Καταναλωτών  κατηγόρησε το Facebook και το Google καθώς και τη Microsoft με τα Windows 10, σε μικρότερο βαθμό, για την υιοθέτηση «σχεδιασμού, συμβόλων και λειτουργιών  που ωθούν τους χρήστες μακριά από τις φιλικές προς την προστασία προσωπικών δεδομένων επιλογές».

Η πλήρης έκθεση του Νορβηγικού Συμβουλίου Καταναλωτών εδώ.
 
Η επιστολή του Νορβηγικού Συμβουλίου Καταναλωτών προς την Αρχή Προστασίας Δεδομένων της Νορβηγίας εδώ.
 

Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Sun, 08 Jul 2018 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-005-180708-facebook-google http://blog1.gdpr-awareness.eu/blog/rss/00000000F <![CDATA[Κίνδυνοι από την μη Συμμόρφωση με τον ΓΚΠΔ (EU 2016/679).]]> imblog
Η μη συμμόρφωση με τον ΓΚΠΔ και η πιθανότητα απώλειας ή παραβίασης των δεδομένων προσωπικού χαρακτήρα που διαχειρίζεται ένα οργανισμός ενέχει μια σειρά οικονομικών και επιχειρηματικών κινδύνων οι οποίοι διαστρωματώνονται σε τρία επίπεδα

Επίπεδο 1ον: Άμεσος κίνδυνος
Τα Διοικητικά Πρόστιμα που προβλέπονται από τον ΓΚΠΔ και τα οποία επιβάλλονται κατά περίπτωση αναλογικά με τα τεχνικά και οργανωτικά μέτρα που έχει λάβει ο οργανισμός.
  • Έως το 2% των συνολικών εσόδων του προηγούμενου οικονομικού έτους ή 10.000.000 €, όποιο εξ αυτών είναι το υψηλότερο.
  • Έως το 4% των συνολικών διεθνών εσόδων του προηγούμενου οικονομικού έτους (όταν πρόκειται για εταιρία με διεθνή λειτουργία) ή 20.000.000 €, όποιο εξ αυτών είναι το υψηλότερο.

Επίπεδο 2ον: Έμμεσος Κίνδυνος  
  • Αστική ευθύνη έναντι τρίτων. Ευθύνη έναντι τρίτων οι οποίοι υπέστησαν ζημία λόγω απώλειας των προσωπικών τους δεδομένων από τον οργανισμό στον οποίο τα είχαν δώσει.
  • Κόστος διαχείρισης περιστατικών παραβίασης. Έξοδα και υπηρεσίες διαχείρισης περιστατικών παραβίασης συστημάτων και απώλειας εμπιστευτικών πληροφοριών.
  • Μείωση εσόδων επιχειρηματικής δραστηριότητας. Διακοπής της επιχειρηματικής δραστηριότητας λόγω περιστατικών παραβίασης και απώλειας εμπιστευτικών πληροφοριών.
  • Κυβερνο-εκβιασμός. Εκβιασμός από τρίτα μέρη τα οποία απέκτησαν πρόσβαση σε προσωπικά δεδομένα που διαχειρίζεται  ο οργανισμός και απειλούν με δημοσιοποίηση  αυτών ή αποκάλυψη της αδυναμίας του οργανισμού να προστατεύσει αποτελεσματικά τα υπό διαχείριση  προσωπικά διδόμενα

Επίπεδο 3ον: Παρεπόμενος Κίνδυνος  
  • Πιθανή Απώλεια Πελατών & Επιδείνωση του Δείκτη Ικανοποίησης Πελατών
  • Μεγάλο πλήγμα στη φήμη και το όνομα της εταιρίας
  • Προβλήματα με την πιστοληπτική αξιολόγηση (Credit Rating)
  • Αδυναμία πρόσβασης σε σημαντικά & κρίσιμα δεδομένα
  • Προσωρινή αδυναμία εκτέλεσης συναλλαγών
  • Αύξηση ασφαλιστηρίων από τις ασφαλιστικές εταιρίες

Τι είναι Παραβίαση Προσωπικών Δεδομένων;
Οποιαδήποτε ενέργεια η οποία οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, μη εξουσιοδοτημένη αποκάλυψη ή επιτρέπει αθέμιτη πρόσβαση σε προσωπικά δεδομένα τρίτου.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.

####

]]> Sun, 01 Jul 2018 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-004-180701 http://blog1.gdpr-awareness.eu/blog/rss/00000000A <![CDATA[1η Ιουνίου 2018 – Επτά (7) ημέρες όπου o GDPR είναι νόμος στην ΕΕ.]]> imblog
Την τελευταία εβδομάδα λάβαμε δεκάδες τηλεφωνήματα από εταιρίες και επαγγελματίες που ανησυχούν για την εφαρμογή του νέου Γενικού Κανονισμού Προστασίας Δεδομένων (GDPR).   Εταιρίες, οργανισμοί και επαγγελματίες οι οποίοι διαχειρίζονται προσωπικά δεδομένα δεν θα πρέπει να σκέφτονται την 25η Μαΐου ως μια Τελική Προθεσμία. Εφ’ όσον έχετε αρχίσει ή πρόκειται να αρχίσετε σύντομα τις εργασίες συμμόρφωσης με τον GDPR, με ορίζοντα συμμόρφωσης πριν το τέλος του 2018, δεν θα πρέπει να ανησυχείτε.

Έχουμε υλοποιήσει μια διαδικασία με την οποία μπορείτε αν ξεκινήσετε την συμμόρφωσης σας άμεσα, να ολοκληρωθεί η αξιολόγηση σας όσον αφορά τον βαθμό συμμόρφωσης εντός μιας εβδομάδας και να παράγετε τις πρώτες αναφορές εντός δύο εβδομάδων.


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.
Υπηρεσίες Συμμορφωσης για ΜΜΕ
Υπηρεσίες Συμμορφωσης για Μεγάλες Επιχειρήσεις

####

]]> Fri, 01 Jun 2018 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-002-180601 http://blog1.gdpr-awareness.eu/blog/rss/000000009 <![CDATA[25 Μαΐου 2018 Ο ΓΚΠΔ (GDPR) είναι τώρα νόμος στην ΕΕ.]]> imblog
Εάν η εταιρεία σας είναι μια από την πλειονότητα των εταιριών που δεν έχουν προετοιμαστεί πλήρως, επικοινωνήστε μαζί μας και μπορούμε να σας παρέχουμε τις απαιτούμενες συμβουλευτικές υπηρεσίες και λύσεις ώστε να συμμορφωθείτε αποτελεσματικά και να γίνετε συμβατοί με τον ΓΚΠΔ (GDPR).


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.
Υπηρεσίες Συμμορφωσης για ΜΜΕ
Υπηρεσίες Συμμορφωσης για Μεγάλες Επιχειρήσεις

####

]]> Fri, 25 May 2018 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-002-180525 http://blog1.gdpr-awareness.eu/blog/rss/000000008 <![CDATA[Απροετοίμαστες για τον ΓΚΠΔ (GDPR) οι Ελληνικές MME.]]> imblog
Μια ημέρα πριν την εφαρμογή του  GDPR, 24/05/2018, το 43% των επιχειρήσεων δεν γνωρίζει τίποτα σχετικά με το νέο Κανονισμό προστασίας προσωπικών δεδομένων, ενώ μια στις τρεις, 33%, απλά έχει ακούσει σχετικά.

Περισσότερα στην έρευνα του ΣΕΠΕ:


Η CubeIQ διαθέτοντας ομάδα εξειδικευμένων συμβούλων και δικηγόρων και σε συνεργασία με τους καλύτερους επαγγελματίες στον τομέα του ΙΤ βρίσκεται στη διάθεσή σας για να αναλάβει πλήρως ή μερικώς το Έργο Συμμόρφωσης με τον ΓΚΠΔ (GDPR) καθώς και να παράσχει διευκρινίσεις και κατευθύνσεις σχετικά με τις υποχρεώσεις που επιβάλλει ο νέος Κανονισμός με την διαχείριση δεδομένων Προσωπικού Χαρακτήρα.
Υπηρεσίες Συμμορφωσης για ΜΜΕ
Υπηρεσίες Συμμπερφωσης για Μεγάλες Επιχειρήσεις

####
]]> Thu, 24 May 2018 08:11:00 GMT http://blog1.gdpr-awareness.eu/blog/?gdpr-awareness-blog-001-180524 http://blog1.gdpr-awareness.eu/blog/rss/000000005