REVIVAL CONSULTING SERVICES: Υπηρεσίες GDPR -DPO

Το Τμήμα Προστασίας Προσωπικών Δεδομένων της REVIVAL CONSULTING SERVICES SINGLE MEMBER SA από το 2017 μέχρι και σήμερα, αναλαμβάνει  α) την υλοποίηση έργων κανονιστικής συμμόρφωσης με την υφιστάμενη νομοθεσία για την προστασία των προσωπικών δεδομένων – GDPR Compliance και β) την παροχή υπηρεσιών Υπεύθυνου Προστασίας Δεδομένων (DPO), σε πληθώρα δημόσιων αλλά και ιδιωτικών φορέων. Κατωτέρω περιγράφονται εκτενέστερα τα βασικά σημεία ενός έργου κανονιστικής συμμόρφωσης και η υπηρεσία Υπεύθυνου Προστασίας Δεδομένων (DPO).

Α) Υλοποίηση Έργου Συμμόρφωσης με την Υφιστάμενη Νομοθεσία για την Προστασία των Προσωπικών Δεδομένων – GDPR Compliance

1. Κατάρτιση Αρχείου Δραστηριοτήτων (Data Inventory)

Σύμφωνα με τα στοιχεία που συλλέγονται κατά την κατάρτιση του Αρχείου Δραστηριοτήτων Επεξεργασίας, θα διερευνηθούν οι αποκλίσεις και τα «κενά» της επιχείρησης, σε σχέση με τις επιταγές της νομοθεσίας για την προστασία των προσωπικών δεδομένων, ώστε να δρομολογηθούν οι απαιτούμενες ενέργειες συμμόρφωσης. Εν συνεχεία, συντάσσεται η «Μελέτη Αποκλίσεων (GAP ANALYSIS) – Πλάνο Προτεινόμενων (Τεχνικών και Οργανωτικών) Μέτρων», στην οποία αναλύονται τα κενά που εντοπίστηκαν για κάθε δραστηριότητα επεξεργασίας και διατυπώνονται οι αντίστοιχες προτάσεις αντιμετώπισής τους. Οι προτάσεις που διατυπώνονται με γνώμονα τις ειδικότερες ανάγκες του Πελάτη, αφορούν σε τεχνικά και οργανωτικά μέτρα, το οποία προβλέπονται στη νομοθεσία για την προστασία των προσωπικών δεδομένων ή/και αποτελούν βέλτιστες πρακτικές στο οικείο επιστημονικό πεδίο.

3. Αποτίμηση Κινδύνων (Risk Assessment)

Αφού εντοπιστούν τα κενά ανά δραστηριότητα επεξεργασίας, πραγματοποιείται μία αποτίμηση των κινδύνων, που τα εντοπισθέντα κενά  συνεπάγονται για την προστασία των προσωπικών δεδομένων. Η αποτίμηση των κινδύνων ερείδεται στην εκτίμηση της πιθανότητας επέλευσης ενός περιστατικού ασφαλείας σε σχέση με τα προσωπικά δεδομένα, λαμβάνοντας υπόψη τη βαρύτητα των επιπτώσεων επέλευσης ενός τέτοιου περιστατικού. 

4. Μελέτη Εκτίμησης Αντικτύπου (DPIA)

Στις περιπτώσεις που κατά την Αποτίμηση Κινδύνων εντοπιστούν δραστηριότητες επεξεργασίας, οι οποίες ενδέχεται να επιφέρουν υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, εκπονείται Μελέτη Εκτίμησης Αντικτύπου (DPIA), σύμφωνα με το άρθρο 35 του ΓΚΠΔ, τις σχετικές κατευθυντήριες Γραμμές του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (πρώην Ομάδα Εργασίας του Άρθρου 29) και το σχετικό κατάλογο της επικεφαλής εποπτικής Αρχής.

5. Εργαζόμενοι

Ως προς την επεξεργασία των προσωπικών δεδομένων των εργαζομένων του Πελάτη, ως εργοδότη, υλοποιούνται οι εξής ενέργειες:

• Κατάρτιση Συμβάσεων Εχεμύθειας και Προστασίας Προσωπικών Δεδομένων (NDA),

• Ενημέρωση των εργαζομένων και των υποψήφιων εργαζομένων σχετικά με τη συλλογή και επεξεργασία των προσωπικών τους δεδομένων,

6. Έλεγχος/Τροποποίηση των Συμβάσεων με Εξωτερικούς Συνεργάτες/Προμηθευτές

Αφού μελετηθούν οι σχέσεις του Πελάτη με τρίτες οντότητες, στις οποίες διαβιβάζονται προσωπικά δεδομένα, επιχειρείται η ρύθμιση της εκάστοτε σχέσης με όρους προστασίας προσωπικών δεδομένων και συγκεκριμένα:

• Δημιουργία Συμβατικού Όρου για την προστασία των προσωπικών δεδομένων.

• Κατάρτιση των απαιτούμενων κατά περίπτωση Πρόσθετων Συμβάσεων Επεξεργασίας Προσωπικών Δεδομένων (Από Κοινού Υπεύθυνων Επεξεργασίας και Υπεύθυνου Επεξεργασίας -Εκτελούντος την Επεξεργασία).

• Κατάρτιση Ιδιωτικών Συμφωνητικών Εμπιστευτικότητας (NDA).

7. Κατάρτιση Πολιτικών & Διαδικασιών για την  Προστασία των Προσωπικών Δεδομένων

Στο πλαίσιο  του έργου, θεσπίζονται οι απαιτούμενες Πολιτικές και Διαδικασίες Προστασίας Προσωπικών Δεδομένων, οι οποίες εξυπηρετούν την καινοφανή Αρχή της Λογοδοσίας, όπως ενδεικτικά η Πολιτική Προστασίας Προσωπικών Δεδομένων, Πολιτική και Διαδικασία Τήρησης των Δεδομένων Προσωπικού Χαρακτήρα, Πολιτική και Διαδικασία Διαχείρισης των Αιτημάτων των Υποκειμένων των Δεδομένων, Πολιτικές Ασφάλειας των Πληροφοριακών Συστημάτων και Εφαρμογών, κλπ. Κάθε Πολιτική και Διαδικασία θεσπίζεται με γνώμονα την προστασία των προσωπικών δεδομένων, η οποία περαιτέρω αναλύεται στις αρχές της εμπιστευτικότητας, της ακεραιότητας και της διαθεσιμότητας των πληροφοριών.

8. Λήψη Τεχνικών και Οργανωτικών Μέτρων ως προς τη Χρήση των Καμερών

Η χρήση κλειστού συστήματος βιντεοεπιτήρησης (CCTV) από τον Πελάτη, ενδέχεται να συνιστά συλλογή και επεξεργασία προσωπικών δεδομένων των υπαλλήλων, πελατών, συνεργατών, κλπ. Για τη σύννομη λειτουργία του εν λόγω κλειστού συστήματος βιντεοεπιτήρησης (CCTV), υλοποιούνται οι κατωτέρω ενέργειες:

• Κατάρτιση Πολιτικής για τη λειτουργία του κλειστού συστήματος βιντεοεπιτήρησης (CCTV), στην οποία θα προβλέπεται η τοποθεσία εγκατάστασης των καμερών, η διάρκεια τήρησης του υλικού της βιντεοεπιτήρησης και οι περιπτώσεις διαβίβασής του σε τρίτους, σύμφωνα με τις επιταγές τις ισχύουσας σχετικής νομοθεσίας.

• Προετοιμασία των επικαιροποιημένων ενημερωτικών πινακίδων, που θα ενημερώνουν τα φυσικά πρόσωπα ότι διέρχονται σε χώρο που παρακολουθείται και θα περιλαμβάνουν περαιτέρω ενημέρωση σχετικά με την επεξεργασία των προσωπικών τους δεδομένων κατά τη χρήση κλειστού συστήματος βιντεοεπιτήρησης (CCTV).

• Εκπόνηση Μελέτης Καμερών, όπου εξετάζεται η νόμιμη χρήση και τοποθέτηση της κάθε κάμερας ξεχωριστά και προτείνονται τα αντίστοιχα διορθωτικά μέτρα εφόσον απαιτείται.

9. Προετοιμασία Δηλώσεων Προστασίας Προσωπικών Δεδομένων και Λήψης Συγκατάθεσης

Αφού προσδιοριστούν οι κατηγορίες των Υποκειμένων των Δεδομένων στα οποία αφορούν οι δραστηριότητες επεξεργασίας, συντάσσονται κείμενα Ενημέρωσης και Λήψης Συγκατάθεσης.

• Έλεγχος όλων των σημείων που είναι αναγκαία η παροχή δήλωσης προστασίας προσωπικών δεδομένων και απαραίτητων Δηλώσεων Προστασίας Προσωπικών Δεδομένων (Privacy Notices), βάσει των απαιτήσεων του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ) και του Ν.4624/2019.

• Έλεγχος όλων των επεξεργασιών για τις οποίες απαιτείται η λήψη συγκατάθεσης και προετοιμασία απαραίτητων Εντύπων Λήψης Συγκατάθεσης (Consent Forms), βάσει των απαιτήσεων του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ) και του Ν.4624/2019.

• Έλεγχος όλων των σημείων συλλογής προσωπικών δεδομένων και δημιουργία δικλείδων ασφαλείας για διασφάλιση της περιορισμένης συλλογής προσωπικών δεδομένων.

10. Διαβιβάσεις Προσωπικών Δεδομένων εκτός ΕΕ/ΕΟΧ

Στις περιπτώσεις που ο Πελάτης προβαίνει σε διαβίβαση προσωπικών δεδομένων σε τρίτες χώρες ή οργανισμούς εκτός ΕΕ/ΕΟΧ, ελέγχεται εάν συντρέχουν οι προϋποθέσεις για τη σύννομη διαβίβαση, όπως  θεσπίζονται στο πέμπτο κεφάλαιο (Κεφάλαιο V) του ΓΚΠΔ (π.χ. Απόφαση Επάρκειας, Τυποποιημένες Συμβατικές Ρήτρες, Δεσμευτικοί Εταιρικοί Κανόνες κλπ.). Εν συνεχεία, προτείνονται τα απαιτούμενα τεχνικά και οργανωτικά μέτρα, συμπεριλαμβανομένων  των κειμένων κανονιστικού περιεχομένου, με σκοπό τη διασφάλιση επαρκούς επιπέδου προστασίας των δεδομένων που διαβιβάζονται σε τρίτες χώρες ή διεθνείς οργανισμούς.

11. Σχεδιασμός Διαδικασίας Αναγγελίας Περιστατικών Παραβιάσεων Προσωπικών Δεδομένων:

Αφού ληφθούν υπόψη οι συνθήκες λειτουργίας του Πελάτη, σχεδιάζεται η διαδικασία γνωστοποίησης στην αρμόδια εποπτική αρχή κάθε γεγονότος παραβίασης προσωπικών δεδομένων. Στο συγκεκριμένο παραδοτέο, αποτυπώνεται βηματικά η διαδικασία που συνιστάται να ακολουθηθεί από τον Πελάτη, ώστε ο τελευταίος να είναι σε θέση να γνωστοποιήσει στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, ένα περιστατικό παραβίασης προσωπικών δεδομένων εντός 72 ωρών, εφόσον κάτι τέτοιο είναι δυνατό, από τη στιγμή που θα αποκτήσει γνώση αυτού (του περιστατικού παραβίασης προσωπικών δεδομένων).

12. Εκπαίδευση του προσωπικού

Η εκπαίδευση του προσωπικού, που επεξεργάζεται προσωπικά δεδομένα υπό την άμεση εποπτεία του Πελάτη, αποτελεί ένα από τα σημαντικότερα οργανωτικά μέτρα για την απόκτηση «κουλτούρας προστασίας προσωπικών δεδομένων» και τη συμμόρφωση του Πελάτη με τη νομοθεσία για την προστασία των προσωπικών δεδομένων. Στο πλαίσιο του έργου, πραγματοποιείται εκπαίδευση των εργαζομένων με σκοπό την παροχή κατευθύνσεων, για την εφαρμογή των κατάλληλων διαδικασιών και μεθοδολογιών ασφαλούς συλλογής και επεξεργασίας προσωπικών δεδομένων.

13. Αναμόρφωση Επιγραμμικής (Online) Παρουσίας (Web Compliance)

Για τη διασφάλιση της σύννομης λειτουργίας της ιστοσελίδας (website) του Πελάτη, σύμφωνα με τις επιταγές της νομοθεσίας για την προστασία των προσωπικών δεδομένων, την Οδηγία E-Privacy, το Ν. 3471/2006 κλπ. και τις Αποφάσεις και Γνωμοδοτήσεις της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, υλοποιούνται οι εξής ενέργειες:

• Αξιολόγηση της ιστοσελίδας υπό το πρίσμα της νομοθεσίας για την προστασία των προσωπικών δεδομένων και αποτύπωση των απαιτούμενων διορθωτικών ενεργειών.

• Κατάρτιση Πολιτικής Προστασίας Προσωπικών Δεδομένων που έχει στόχο να ενημερώσει τους χρήστες της ιστοσελίδας σχετικά με το ποια προσωπικά τους δεδομένα συλλέγονται και τυγχάνουν επεξεργασίας μέσω αυτής.

• Κατάρτιση Πολιτικής Cookies

• Δημιουργία υποδείγματος Cookie Banner

• Οδηγίες σχεδιασμού Cookie Banner σύμφωνα με τις προδιαγραφές που θέτει η ενωσιακή και εθνική νομοθεσία και νομολογία.

• Δημιουργία disclaimer-checkboxes στα πεδία που κρίνεται απαραίτητο

14. Εκτίμηση αναγκαιότητας ορισμού DPO

Στα τελευταία στάδια του έργου, διατυπώνεται τεκμηριωμένη άποψη σχετικά με την ανάγκη/υποχρέωση του Πελάτη για ορισμό Υπεύθυνου Προστασίας Δεδομένων (DPO). Συγκεκριμένα, λαμβάνοντας υπόψη τη φύση και τις συνθήκες των δραστηριοτήτων επεξεργασίας που πραγματοποιεί ο Πελάτης, ελέγχεται η συνδρομή των προϋποθέσεων υποχρεωτικού ορισμού DPO, όπως αυτές προβλέπονται στο ΓΚΠΔ και στις σχετικές κατευθυντήριες γραμμές του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (πρώην Ομάδα Εργασίας του Άρθρου 29). Εν συνεχεία, εκτιμάται η σημασία  της εθελοντικής πρόσληψης DPO βάσει των αναγκών κάθε Πελάτη.

Β) Υπηρεσία Υπεύθυνου Προστασίας Δεδομένων DPO

Ο ορισμός Υπεύθυνου Προστασίας Δεδομένων (DPO) αποτελεί ακρογωνιαίο λίθο για την διασφάλιση της διαρκούς συμμόρφωσης με τη νομοθεσία για την προστασία προσωπικών δεδομένων – GDPR. Ο DPO αναλαμβάνει ηγετικό ρόλο στα ζητήματα της ιδιωτικότητας και προστασίας των προσωπικών δεδομένων, παρέχοντας τις υπηρεσίες του τόσο απομακρυσμένα, όσο και με επιτόπιες επισκέψεις στο χώρο του Πελάτη.

• Ενημερώνει και συμβουλεύει τον Πελάτη, που ενεργεί είτε ως υπεύθυνος, είτε ως εκτελών την επεξεργασία και τους υπαλλήλους, σχετικά με τις υποχρεώσεις τους όπως απορρέουν από τη νομοθεσία για την προστασία των προσωπικών δεδομένων.

• Παρακολουθεί τη συμμόρφωση του Πελάτη με τη νομοθεσία για την προστασία των προσωπικών δεδομένων και με τις Πολιτικές και τις Διαδικασίες που έχει υιοθετήσει σε σχέση με την προστασία των δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένης της ανάθεσης αρμοδιοτήτων, της ευαισθητοποίησης και της κατάρτισης των υπαλλήλων που συμμετέχουν στις πράξεις επεξεργασίας, καθώς και των σχετικών ελέγχων.

• Παρέχει συμβουλές, όταν ζητείται, όσον αφορά στην εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων και παρακολουθεί την υλοποίησή της.

• Συνεργάζεται με την ΑΠΔΠΧ.

• Αποτελεί το πρόσωπο επικοινωνίας με την ΑΠΔΠΧ για ζητήματα που σχετίζονται με την επεξεργασία δεδομένων, περιλαμβανομένης της προηγούμενης διαβούλευσης και πραγματοποιεί διαβουλεύσεις, ανάλογα με την περίπτωση, για οποιοδήποτε άλλο θέμα.

• Παρακολουθεί και υποβάλλει εκθέσεις σχετικά με τη συνεχή συμμόρφωση και την ορθή πρακτική στη διαχείριση του φορέα σε ό,τι  αφορά σε θέματα προστασίας δεδομένων, στο πλαίσιο των συνεχιζόμενων νομικών και κανονιστικών εξελίξεων.

Αναγκαιότητα – Υποχρέωση Ορισμού DPO

Σύμφωνα με το Γενικό Κανονισμό Προστασίας Δεδομένων (GDPR) 2016/679 (ΕΕ), ορισμένοι φορείς υποχρεούνται να διορίσουν Υπεύθυνο Προστασίας Δεδομένων (DPO). Οι φορείς αυτοί είναι:

• Δημόσιες Αρχές ή φορείς, εκτός από δικαστήρια που ενεργούν στο πλαίσιο της δικαιοδοτικής τους αρμοδιότητας.

• Οι οργανισμοί που βασικές τους δραστηριότητες απαιτούν τακτική και συστηματική παρακολούθηση των προσωπικών δεδομένων σε μεγάλη κλίμακα.

• Οι οργανισμοί που οι κύριες δραστηριότητές τους περιλαμβάνουν μεγάλης κλίμακας επεξεργασία των ευαίσθητων προσωπικών δεδομένων.

Ο DPO διορίζεται βάσει επαγγελματικών προσόντων και ιδίως βάσει της εμπειρογνωσίας που διαθέτει στον τομέα του δικαίου και των πρακτικών περί προστασίας δεδομένων, καθώς και βάσει της ικανότητας εκπλήρωσης των καθηκόντων του. Η αποσπασματική εφαρμογή τεχνικών και οργανωτικών μέτρων για την προστασία προσωπικών δεδομένων κρίνεται αναποτελεσματική εάν δε συνοδεύεται από τη διαρκή επίβλεψη της ορθής εφαρμογής και την επικαιροποίηση των διαδικασιών, που θα αναλάβει ο Υπεύθυνος Προστασίας Δεδομένων. Οι υπηρεσίες, λοιπόν, ενός άρτια κατηρτισμένου DPO, προσφέρουν υψηλή προστιθέμενη αξία σε κάθε επιχείρηση, είτε ο διορισμός του κρίνεται υποχρεωτικός, είτε αποτελεί αποτέλεσμα εθελοντικής επιλογής.

Η υπηρεσία DPO της Revival, επιτρέπει στον Πελάτη να εξασφαλίσει τη διαρκή συμμόρφωσή του με τη νομοθεσία για την προστασία των προσωπικών δεδομένων, συνεχίζοντας παράλληλα να επικεντρώνεται στις κύριες δραστηριότητές του. Εκτός από τη διατήρηση της κανονιστικής συμμόρφωσης, η υπηρεσία DPO, συμβάλει στην ενίσχυση της ασφάλειας και της παραγωγικότητας, στη διαχείριση κινδύνου και συνεπάγεται οφέλη από πλευράς κόστους.

Το Ανταγωνιστικό Πλεονέκτημα της Revival

Η υλοποίηση έργων κανονιστικής συμμόρφωσης με την υφιστάμενη νομοθεσία για την προστασία των προσωπικών δεδομένων και η υπηρεσία DPO της Revival, παρέχονται από ομάδα καταρτισμένων και έμπειρων στελεχών της, που  χαρακτηρίζονται από:

• Άριστη γνώση του υφιστάμενου νομικού πλαισίου για την προστασία των προσωπικών δεδομένων και συγκεκριμένα του GDPR.

• Γνώσεις και δεξιότητες ασφάλειας πληροφοριών.

• Γνώση του τρόπου υλοποίησης του τρίπτυχου Confidentiality, Integrity και Availability.

• Άριστη κατανόηση της διαχείρισης κινδύνου και των εκτιμήσεων κινδύνου.

• Άριστη κατανόηση των προτύπων συμμόρφωσης.

• Ικανότητα συντονισμού και παροχής συμβουλών σχετικά με τις παραβιάσεις δεδομένων και την γνωστοποίησή τους προς την εποπτική αρχή (ΑΠΔΠΧ).

• Ικανότητα συντονισμού της διαδικασίας αντιμετώπισης περιστατικών ασφάλειας.

• Άμεση ανταπόκριση στα αιτήματα-ερωτήματα του Πελάτη.

• Συνεχή παρακολούθηση του εξελισσόμενου επιστημονικού διαλόγου σε ζητήματα προστασίας προσωπικών δεδομένων σε εθνικό και διεθνές επίπεδο.

• Εμπειρία στην υλοποίηση έργων συμμόρφωσης και στην παροχή υπηρεσιών DPO, σε πελάτες του ιδιωτικού και του δημόσιου τομέα.