Κάθε επιχείρηση επεξεργάζεται προσωπικά δεδομένα: στοιχεία πελατών και εργαζομένων, email, τηλέφωνα, παραστατικά, στοιχεία επικοινωνίας, δεδομένα λογαριασμών ή άλλες πληροφορίες που μπορούν να συνδεθούν άμεσα ή έμμεσα με ένα φυσικό πρόσωπο.
Η προστασία αυτών των δεδομένων δεν είναι μόνο θέμα ασφάλειας δεδομένων. Αφορά ολόκληρο τον κύκλο ζωής τους: γιατί συλλέγονται, ποια δεδομένα είναι πραγματικά απαραίτητα, ποιος έχει πρόσβαση, για πόσο χρόνο διατηρούνται, με ποιους τρίτους μοιράζονται και πώς προστατεύονται.
Για τις επιχειρήσεις που υπάγονται στον GDPR, η συμμόρφωση απαιτεί επίσης λογοδοσία: δεν αρκεί να εφαρμόζονται κατάλληλες πρακτικές· η επιχείρηση πρέπει να μπορεί να αποδείξει ότι αντιμετωπίζει την προστασία προσωπικών δεδομένων με οργανωμένο τρόπο.
Τι θεωρείται προσωπικό δεδομένο;
Προσωπικό δεδομένο είναι κάθε πληροφορία που αφορά ένα ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Δεν περιορίζεται στο ονοματεπώνυμο ή στον αριθμό ταυτότητας.
Ανάλογα με το περιβάλλον, προσωπικά δεδομένα μπορεί να είναι:
- ονοματεπώνυμο και στοιχεία επικοινωνίας,
- εταιρική ή προσωπική διεύθυνση email όταν συνδέεται με συγκεκριμένο πρόσωπο,
- στοιχεία πελατών και εργαζομένων,
- αριθμοί ή αναγνωριστικά που μπορούν να συνδεθούν με φυσικό πρόσωπο,
- δεδομένα τοποθεσίας,
- ιστορικό αγορών ή άλλης δραστηριότητας,
- φωτογραφίες, βίντεο ή ηχογραφήσεις στις οποίες μπορεί να αναγνωριστεί ένα πρόσωπο.
Ορισμένες κατηγορίες προσωπικών δεδομένων, όπως δεδομένα υγείας, βιομετρικά ή γενετικά δεδομένα για συγκεκριμένους σκοπούς ταυτοποίησης και πληροφορίες που αποκαλύπτουν, μεταξύ άλλων, φυλετική ή εθνοτική καταγωγή, πολιτικές απόψεις ή θρησκευτικές πεποιθήσεις, υπόκεινται σε πρόσθετους περιορισμούς βάσει του GDPR.
Data Privacy, Data Protection και Cybersecurity
Οι έννοιες συνδέονται, αλλά δεν είναι ταυτόσημες.
Cybersecurity και data security επικεντρώνονται στην προστασία συστημάτων και δεδομένων απέναντι σε μη εξουσιοδοτημένη πρόσβαση, απώλεια, αλλοίωση, καταστροφή και άλλους κινδύνους.
Data protection περιλαμβάνει επίσης ερωτήματα όπως γιατί επιτρέπεται να γίνεται μια επεξεργασία, ποιος είναι ο σκοπός της, πόσα δεδομένα είναι απαραίτητα, πόσο πρέπει να διατηρούνται και πώς μπορούν τα φυσικά πρόσωπα να ασκήσουν τα δικαιώματά τους.
Για αυτό η ύπαρξη κρυπτογράφησης, backup ή ισχυρού authentication δεν σημαίνει από μόνη της ότι μια επιχείρηση συμμορφώνεται με τον GDPR. Τα τεχνικά μέτρα αποτελούν ένα σημαντικό μέρος μιας ευρύτερης διαδικασίας προστασίας δεδομένων.
Οι βασικές αρχές του GDPR στην πράξη
Νομιμότητα, αντικειμενικότητα και διαφάνεια
Η επεξεργασία προσωπικών δεδομένων χρειάζεται κατάλληλη νομική βάση και πρέπει να πραγματοποιείται με διαφανή τρόπο. Η συγκατάθεση είναι μία πιθανή νομική βάση, αλλά δεν είναι η μοναδική και δεν είναι κατάλληλη για κάθε περίπτωση.
Περιορισμός του σκοπού
Τα δεδομένα πρέπει να συλλέγονται για συγκεκριμένους, σαφείς και νόμιμους σκοπούς. Η επιχείρηση δεν πρέπει να τα επαναχρησιμοποιεί αυθαίρετα για ασύμβατους σκοπούς.
Ελαχιστοποίηση δεδομένων
Συλλέγετε μόνο τα προσωπικά δεδομένα που είναι απαραίτητα και αναλογικά για τον συγκεκριμένο σκοπό. Ένα πεδίο σε μια φόρμα δεν πρέπει να υπάρχει απλώς επειδή «μπορεί να φανεί χρήσιμο στο μέλλον».
Ακρίβεια
Τα προσωπικά δεδομένα πρέπει να είναι ακριβή και, όπου χρειάζεται, ενημερωμένα. Πρέπει επίσης να υπάρχει δυνατότητα διόρθωσης ανακριβών πληροφοριών.
Περιορισμός της περιόδου αποθήκευσης
Τα δεδομένα δεν πρέπει να διατηρούνται επ' αόριστον χωρίς λόγο. Η επιχείρηση χρειάζεται κατάλληλους χρόνους διατήρησης ανάλογα με τον σκοπό της επεξεργασίας και τις εφαρμοζόμενες νομικές ή επιχειρηματικές απαιτήσεις.
Ακεραιότητα και εμπιστευτικότητα
Τα προσωπικά δεδομένα πρέπει να προστατεύονται με κατάλληλα τεχνικά και οργανωτικά μέτρα απέναντι σε μη εξουσιοδοτημένη ή παράνομη επεξεργασία και απέναντι σε τυχαία απώλεια, καταστροφή ή ζημιά.
Γνωρίζετε ποια δεδομένα διαθέτετε;
Η προστασία ξεκινά από την ορατότητα. Μια επιχείρηση πρέπει να γνωρίζει ποιες βασικές κατηγορίες προσωπικών δεδομένων επεξεργάζεται, για ποιους σκοπούς, σε ποια συστήματα βρίσκονται, ποιος έχει πρόσβαση και με ποιους τρίτους μοιράζονται.
Η καταγραφή αυτή βοηθά να εντοπιστούν δεδομένα που συλλέγονται χωρίς πραγματική ανάγκη, λογαριασμοί με υπερβολικά δικαιώματα, παλιές βάσεις δεδομένων και υπηρεσίες τρίτων που εξακολουθούν να έχουν πρόσβαση χωρίς σαφή επιχειρηματικό λόγο.
Ο GDPR προβλέπει επίσης υποχρεώσεις σχετικά με records of processing activities. Το αν και σε ποια έκταση εφαρμόζονται σε έναν συγκεκριμένο οργανισμό πρέπει να αξιολογείται με βάση τις πραγματικές επεξεργασίες και τις σχετικές προϋποθέσεις του Κανονισμού.
Controller και Processor: ποια είναι η διαφορά;
Ο controller (υπεύθυνος επεξεργασίας) καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας προσωπικών δεδομένων. Ο processor (εκτελών την επεξεργασία) επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του controller και σύμφωνα με τις οδηγίες του.
Για παράδειγμα, μια επιχείρηση μπορεί να είναι controller για τα δεδομένα των εργαζομένων της και να χρησιμοποιεί εξωτερικό πάροχο για συγκεκριμένη επεξεργασία αυτών των δεδομένων.
Όταν υπάρχει σχέση controller–processor, η επεξεργασία πρέπει να διέπεται από σύμβαση ή άλλο δεσμευτικό νομικό κείμενο που καλύπτει τις απαιτήσεις του άρθρου 28 του GDPR. Η επιχείρηση πρέπει επίσης να επιλέγει processors που παρέχουν επαρκείς εγγυήσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων.
Ένα Data Processing Agreement δεν πρέπει επομένως να αντιμετωπίζεται ως απλό τυπικό έγγραφο. Πρέπει να ανταποκρίνεται στην πραγματική σχέση και στην επεξεργασία που πραγματοποιείται.
Ποια μέτρα ασφάλειας απαιτούνται;
Ο GDPR δεν επιβάλλει ένα μοναδικό τεχνικό checklist για όλες τις επιχειρήσεις. Controllers και processors πρέπει να εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα ώστε το επίπεδο ασφάλειας να είναι ανάλογο με τον κίνδυνο.
Η αξιολόγηση πρέπει να λαμβάνει υπόψη τη φύση και το πλαίσιο της επεξεργασίας, τους πιθανούς κινδύνους για τα φυσικά πρόσωπα και τα μέτρα που είναι κατάλληλα για το συγκεκριμένο περιβάλλον.
Ανάλογα με τον κίνδυνο, χρήσιμα security controls μπορεί να περιλαμβάνουν:
- Access control και least privilege: πρόσβαση μόνο στα δεδομένα που απαιτούνται για τον ρόλο κάθε χρήστη.
- Ισχυρή αυθεντικοποίηση: κατάλληλη προστασία των λογαριασμών και ιδιαίτερα των privileged accounts.
- Κρυπτογράφηση ή ψευδωνυμοποίηση: όπου είναι κατάλληλες με βάση τα δεδομένα και τον κίνδυνο.
- Backup και δυνατότητα ανάκτησης: ώστε να αντιμετωπίζεται και ο κίνδυνος απώλειας ή μη διαθεσιμότητας δεδομένων.
- Logging και monitoring: κατάλληλη καταγραφή συμβάντων και δυνατότητα διερεύνησης περιστατικών.
- Endpoint και cloud security: προστασία των συστημάτων και υπηρεσιών μέσω των οποίων γίνεται η επεξεργασία.
- Patch και vulnerability management: οργανωμένη αντιμετώπιση τεχνικών αδυναμιών.
- Εκπαίδευση προσωπικού: ενημέρωση των ανθρώπων που χειρίζονται προσωπικά δεδομένα για τους σχετικούς κινδύνους και τις εσωτερικές διαδικασίες.
Η επιλογή ενός συγκεκριμένου control δεν πρέπει να γίνεται επειδή εμφανίζεται σε ένα γενικό checklist, αλλά επειδή αντιμετωπίζει πραγματικό κίνδυνο της συγκεκριμένης επεξεργασίας.
Data Protection by Design και by Default
Η προστασία προσωπικών δεδομένων είναι αποτελεσματικότερη όταν λαμβάνεται υπόψη πριν δημιουργηθεί μια νέα διαδικασία, εφαρμογή ή υπηρεσία.
Η αρχή του data protection by design σημαίνει ότι κατά τον σχεδιασμό μιας επεξεργασίας εξετάζονται από την αρχή οι κίνδυνοι, τα απαραίτητα δεδομένα και οι κατάλληλες δικλίδες προστασίας.
Το data protection by default σημαίνει, μεταξύ άλλων, ότι οι προεπιλεγμένες ρυθμίσεις πρέπει να περιορίζουν την επεξεργασία στα προσωπικά δεδομένα που είναι απαραίτητα για τον συγκεκριμένο σκοπό, όσον αφορά την ποσότητα, την έκταση της επεξεργασίας, την περίοδο αποθήκευσης και την προσβασιμότητα.
Πότε χρειάζεται DPIA;
Μια Data Protection Impact Assessment (DPIA) δεν απαιτείται για κάθε επεξεργασία. Απαιτείται όταν ένα είδος επεξεργασίας είναι πιθανό να δημιουργήσει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων.
Η DPIA βοηθά την επιχείρηση να περιγράψει την επεξεργασία, να αξιολογήσει την αναγκαιότητα και την αναλογικότητά της, να εντοπίσει τους κινδύνους και να καθορίσει μέτρα για την αντιμετώπισή τους.
Τι συμβαίνει σε ένα Personal Data Breach;
Ένα personal data breach δεν σημαίνει μόνο κλοπή δεδομένων από hacker. Μπορεί να αφορά παραβίαση της εμπιστευτικότητας, της ακεραιότητας ή της διαθεσιμότητας προσωπικών δεδομένων.
Παραδείγματα μπορεί να είναι η αποστολή προσωπικών δεδομένων σε λάθος παραλήπτη, μη εξουσιοδοτημένη πρόσβαση, αλλοίωση πληροφοριών ή απώλεια πρόσβασης σε δεδομένα.
Όταν ένας controller αντιληφθεί personal data breach, πρέπει να το αξιολογήσει άμεσα. Αν η παραβίαση είναι πιθανό να δημιουργήσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, πρέπει να γνωστοποιηθεί στην αρμόδια εποπτική αρχή χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, εντός 72 ωρών από τη στιγμή που ο controller έλαβε γνώση του περιστατικού.
Αν είναι πιθανό να προκύψει υψηλός κίνδυνος για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, μπορεί να απαιτείται και ενημέρωση των επηρεαζόμενων προσώπων χωρίς αδικαιολόγητη καθυστέρηση, με τις εξαιρέσεις που προβλέπει ο GDPR.
Ακόμη και όταν ένα περιστατικό δεν απαιτεί γνωστοποίηση στην εποπτική αρχή, ο controller πρέπει να τεκμηριώνει τα personal data breaches και την αξιολόγηση που πραγματοποιήθηκε.
Αν το περιστατικό συμβεί σε processor, ο processor πρέπει να ενημερώσει τον controller χωρίς αδικαιολόγητη καθυστέρηση αφού αντιληφθεί την παραβίαση. Η υποχρέωση αυτή δεν πρέπει να συγχέεται με το χρονικό πλαίσιο των 72 ωρών που αφορά τη γνωστοποίηση του controller προς την εποπτική αρχή.
Προετοιμαστείτε πριν συμβεί περιστατικό
Η στιγμή ενός data breach δεν είναι η κατάλληλη στιγμή για να αποφασίσει μια επιχείρηση για πρώτη φορά ποιος κάνει τι.
Μια πρακτική διαδικασία incident response για προσωπικά δεδομένα πρέπει να καθορίζει:
- πού αναφέρουν οι εργαζόμενοι ένα πιθανό περιστατικό,
- ποιος αναλαμβάνει την αρχική διερεύνηση,
- πώς εντοπίζονται τα δεδομένα και τα πρόσωπα που μπορεί να επηρεάζονται,
- πώς αξιολογείται ο κίνδυνος για τα δικαιώματα και τις ελευθερίες τους,
- ποιος αποφασίζει και συντονίζει τις απαιτούμενες γνωστοποιήσεις,
- πώς τεκμηριώνεται το περιστατικό και τα μέτρα που λήφθηκαν.
Όπου απαιτείται νομική ή εξειδικευμένη κανονιστική αξιολόγηση, η επιχείρηση πρέπει να απευθύνεται στον κατάλληλο σύμβουλο ή υπεύθυνο προστασίας δεδομένων.
Δικαιώματα των φυσικών προσώπων
Η προστασία δεδομένων περιλαμβάνει και τη δυνατότητα των φυσικών προσώπων να ασκούν τα δικαιώματα που τους παρέχει ο GDPR, όπου αυτά εφαρμόζονται.
Μεταξύ αυτών περιλαμβάνονται δικαιώματα ενημέρωσης, πρόσβασης, διόρθωσης, διαγραφής, περιορισμού της επεξεργασίας, φορητότητας και εναντίωσης, καθώς και προστασία σχετικά με ορισμένες αποφάσεις που βασίζονται αποκλειστικά σε αυτοματοποιημένη επεξεργασία.
Η επιχείρηση χρειάζεται διαδικασία ώστε τα σχετικά αιτήματα να αναγνωρίζονται, να προωθούνται στους κατάλληλους υπευθύνους και να αντιμετωπίζονται μέσα στα προβλεπόμενα χρονικά όρια.
Πρακτικό checklist για ελληνικές ΜΜΕ
- Καταγράψτε τις βασικές επεξεργασίες: ποια προσωπικά δεδομένα χρησιμοποιείτε, για ποιο σκοπό και σε ποια συστήματα βρίσκονται.
- Ελέγξτε τη νομική βάση και τον σκοπό: μην θεωρείτε ότι η συγκατάθεση είναι η λύση για κάθε επεξεργασία.
- Εφαρμόστε data minimisation: μη συλλέγετε δεδομένα που δεν χρειάζονται πραγματικά.
- Ορίστε retention: αποφασίστε πόσο πρέπει να διατηρείται κάθε βασική κατηγορία δεδομένων.
- Περιορίστε την πρόσβαση: χρησιμοποιήστε κατάλληλα δικαιώματα και least privilege.
- Ελέγξτε τους processors: γνωρίζετε ποιοι τρίτοι επεξεργάζονται δεδομένα για λογαριασμό σας και αν η σχέση έχει ρυθμιστεί κατάλληλα.
- Εφαρμόστε risk-based security controls: προσαρμόστε τα τεχνικά και οργανωτικά μέτρα στα δεδομένα και στους κινδύνους.
- Οργανώστε incident response: να είναι σαφές πώς αναφέρεται, αξιολογείται και τεκμηριώνεται ένα πιθανό personal data breach.
- Προετοιμαστείτε για data-subject requests: καθορίστε ποιος αναλαμβάνει και παρακολουθεί τα σχετικά αιτήματα.
- Επανεξετάζετε τις διαδικασίες: νέα συστήματα, υπηρεσίες και επιχειρηματικές ανάγκες μπορούν να αλλάξουν τον τρόπο επεξεργασίας προσωπικών δεδομένων.
Πώς μπορεί να βοηθήσει η DataShield
Η προστασία προσωπικών δεδομένων χρειάζεται τόσο οργανωτικές διαδικασίες όσο και κατάλληλα τεχνικά μέτρα ασφάλειας.
Η DataShield μπορεί να βοηθήσει μια επιχείρηση να αξιολογήσει τα τεχνικά και οργανωτικά security controls που προστατεύουν τα δεδομένα της, όπως access controls, authentication, endpoint και cloud security, backup, monitoring και διαδικασίες αντιμετώπισης περιστατικών.
Η τεχνική αξιολόγηση δεν υποκαθιστά εξειδικευμένη νομική συμβουλή για την εφαρμογή του GDPR, τη σύνταξη συμβάσεων ή άλλες νομικές υποχρεώσεις όπου αυτή απαιτείται.
Συμπέρασμα
Η προστασία προσωπικών δεδομένων δεν είναι ένα μεμονωμένο έργο συμμόρφωσης ούτε ένα σύνολο τεχνικών εργαλείων. Απαιτεί να γνωρίζετε ποια δεδομένα επεξεργάζεστε, γιατί τα χρειάζεστε, ποιος έχει πρόσβαση, πόσο τα διατηρείτε και πώς αντιμετωπίζετε τους κινδύνους σε ολόκληρο τον κύκλο ζωής τους.
Για τις επιχειρήσεις που υπάγονται στον GDPR, η ασφάλεια αποτελεί σημαντικό μέρος αυτής της προσπάθειας, αλλά λειτουργεί μαζί με τις αρχές επεξεργασίας, τη λογοδοσία και τις υπόλοιπες υποχρεώσεις προστασίας δεδομένων.
Επικοινωνήστε με τη DataShield.gr για μια αρχική αξιολόγηση των τεχνικών και οργανωτικών security controls που προστατεύουν τα δεδομένα και τα πληροφοριακά συστήματα της επιχείρησής σας.
