Ο Γενικός Κανονισμός για την Προστασία Δεδομένων (GDPR) καθορίζει τους κανόνες για την επεξεργασία προσωπικών δεδομένων και επηρεάζει πολλές καθημερινές λειτουργίες μιας επιχείρησης: από τη διαχείριση στοιχείων πελατών και εργαζομένων μέχρι το email marketing, τα πληροφοριακά συστήματα και τη συνεργασία με εξωτερικούς παρόχους.
Η συμμόρφωση δεν περιορίζεται σε ένα privacy notice ή σε ένα checkbox συγκατάθεσης. Απαιτεί να γνωρίζετε ποια προσωπικά δεδομένα επεξεργάζεστε, για ποιο σκοπό, με ποια νομική βάση, για πόσο χρόνο τα διατηρείτε, ποιος έχει πρόσβαση σε αυτά και πώς τα προστατεύετε.
1. Καταγράψτε ποια προσωπικά δεδομένα επεξεργάζεστε
Το πρώτο πρακτικό βήμα είναι να αποκτήσει η επιχείρηση σαφή εικόνα των δραστηριοτήτων επεξεργασίας προσωπικών δεδομένων. Εξετάστε, μεταξύ άλλων:
- ποια προσωπικά δεδομένα συλλέγετε,
- για ποιους συγκεκριμένους σκοπούς τα χρησιμοποιείτε,
- από πού προέρχονται,
- ποιοι εργαζόμενοι ή συνεργάτες έχουν πρόσβαση,
- σε ποιους αποδέκτες ή παρόχους διαβιβάζονται,
- αν πραγματοποιούνται διαβιβάσεις εκτός Ευρωπαϊκού Οικονομικού Χώρου,
- για πόσο χρόνο διατηρούνται,
- ποια μέτρα ασφάλειας εφαρμόζονται.
Ανάλογα με τις δραστηριότητες και τις προϋποθέσεις του GDPR, μπορεί να απαιτείται η τήρηση αρχείου δραστηριοτήτων επεξεργασίας (Record of Processing Activities – ROPA). Η εξαίρεση που προβλέπεται για οργανισμούς με λιγότερους από 250 εργαζομένους δεν σημαίνει ότι κάθε μικρή επιχείρηση απαλλάσσεται αυτομάτως από αυτή την υποχρέωση.
2. Προσδιορίστε τη σωστή νομική βάση
Ένα συχνό λάθος είναι η αντίληψη ότι κάθε επεξεργασία προσωπικών δεδομένων απαιτεί συγκατάθεση. Ο GDPR προβλέπει διαφορετικές νομικές βάσεις και η κατάλληλη βάση πρέπει να προσδιορίζεται ανάλογα με τον σκοπό και τις συνθήκες της επεξεργασίας.
Οι βασικές νομικές βάσεις περιλαμβάνουν:
- τη συγκατάθεση,
- την εκτέλεση σύμβασης,
- τη συμμόρφωση με νομική υποχρέωση,
- την προστασία ζωτικών συμφερόντων,
- την εκτέλεση καθήκοντος προς το δημόσιο συμφέρον,
- το έννομο συμφέρον, όταν πληρούνται οι σχετικές προϋποθέσεις.
Όταν η επιχείρηση βασίζεται στη συγκατάθεση, αυτή πρέπει να πληροί τις απαιτήσεις του GDPR, μεταξύ άλλων να είναι ελεύθερη, συγκεκριμένη, ενημερωμένη και σαφής. Η συγκατάθεση πρέπει επίσης να μπορεί να ανακληθεί εύκολα.
3. Εφαρμόστε τις βασικές αρχές προστασίας δεδομένων
Η συμμόρφωση πρέπει να βασίζεται στις αρχές του GDPR σε όλο τον κύκλο ζωής των δεδομένων. Στην πράξη αυτό σημαίνει ότι η επιχείρηση πρέπει να επεξεργάζεται δεδομένα με νόμιμο, θεμιτό και διαφανή τρόπο, για συγκεκριμένους σκοπούς και μόνο στον βαθμό που είναι απαραίτητα.
Ιδιαίτερη σημασία έχουν:
- Ελαχιστοποίηση δεδομένων: συλλέγετε μόνο τα δεδομένα που πραγματικά χρειάζονται για τον συγκεκριμένο σκοπό.
- Ακρίβεια: διατηρείτε τα προσωπικά δεδομένα σωστά και ενημερωμένα όπου απαιτείται.
- Περιορισμός αποθήκευσης: μην κρατάτε προσωπικά δεδομένα επ' αόριστον χωρίς τεκμηριωμένο λόγο.
- Ακεραιότητα και εμπιστευτικότητα: προστατεύετε τα δεδομένα από μη εξουσιοδοτημένη πρόσβαση, απώλεια, αλλοίωση ή καταστροφή.
- Λογοδοσία: η επιχείρηση πρέπει όχι μόνο να συμμορφώνεται, αλλά και να μπορεί να αποδεικνύει τη συμμόρφωσή της.
4. Ενημερώστε σωστά τα φυσικά πρόσωπα και οργανώστε τα δικαιώματά τους
Οι πελάτες, εργαζόμενοι και άλλα φυσικά πρόσωπα πρέπει να λαμβάνουν σαφή και κατανοητή ενημέρωση για την επεξεργασία των προσωπικών τους δεδομένων, σύμφωνα με τις απαιτήσεις που εφαρμόζονται στην εκάστοτε περίπτωση.
Παράλληλα, η επιχείρηση χρειάζεται πρακτική διαδικασία για τη διαχείριση αιτημάτων που αφορούν δικαιώματα όπως πρόσβαση, διόρθωση, διαγραφή, περιορισμός, εναντίωση ή φορητότητα, όταν το συγκεκριμένο δικαίωμα εφαρμόζεται.
5. Εφαρμόστε Privacy by Design και by Default
Η προστασία προσωπικών δεδομένων δεν πρέπει να προστίθεται εκ των υστέρων σε ένα νέο σύστημα ή διαδικασία. Ο GDPR απαιτεί να λαμβάνεται υπόψη ήδη από τον σχεδιασμό της επεξεργασίας και να εφαρμόζονται κατάλληλα μέτρα και εγγυήσεις.
Στην πράξη, πριν από την εγκατάσταση μιας νέας εφαρμογής, υπηρεσίας cloud ή διαδικασίας, εξετάστε ποια δεδομένα είναι πραγματικά απαραίτητα, ποιοι θα έχουν πρόσβαση, για πόσο χρόνο θα αποθηκεύονται και ποια μέτρα προστασίας χρειάζονται.
6. Προστατεύστε τα προσωπικά δεδομένα ανάλογα με τον κίνδυνο
Ο GDPR δεν επιβάλλει μία ίδια τεχνική λύση σε όλες τις επιχειρήσεις. Απαιτεί κατάλληλα τεχνικά και οργανωτικά μέτρα ώστε το επίπεδο ασφάλειας να είναι ανάλογο με τον κίνδυνο.
Ανάλογα με το περιβάλλον και τους κινδύνους της επιχείρησης, τα μέτρα μπορεί να περιλαμβάνουν:
- ισχυρούς μηχανισμούς αυθεντικοποίησης και πολυπαραγοντική αυθεντικοποίηση,
- έλεγχο πρόσβασης με βάση τον ρόλο και την πραγματική ανάγκη,
- κρυπτογράφηση ή ψευδωνυμοποίηση όπου είναι κατάλληλη,
- ενημερώσεις ασφαλείας και οργανωμένο patch management,
- προστατευμένα αντίγραφα ασφαλείας και δοκιμές ανάκτησης,
- logging και παρακολούθηση κρίσιμων συστημάτων,
- εκπαίδευση του προσωπικού,
- τακτικούς ελέγχους των μέτρων ασφάλειας.
Η επιλογή των μέτρων πρέπει να βασίζεται στην πραγματική επεξεργασία, στην ευαισθησία των δεδομένων και στους πιθανούς κινδύνους για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων.
7. Ελέγξτε τους εξωτερικούς παρόχους
Cloud υπηρεσίες, λογιστικά συστήματα, CRM, υπηρεσίες email, hosting και άλλοι εξωτερικοί συνεργάτες μπορεί να επεξεργάζονται προσωπικά δεδομένα για λογαριασμό της επιχείρησης.
Η επιχείρηση πρέπει να γνωρίζει τον ρόλο κάθε μέρους, να επιλέγει κατάλληλους εκτελούντες την επεξεργασία και, όπου απαιτείται, να υπάρχει η προβλεπόμενη σύμβαση που καθορίζει τις υποχρεώσεις σχετικά με την επεξεργασία και την προστασία των δεδομένων.
8. Εξετάστε αν απαιτείται DPIA
Η Εκτίμηση Αντικτύπου σχετικά με την Προστασία Δεδομένων (Data Protection Impact Assessment – DPIA) δεν απαιτείται για κάθε επεξεργασία. Είναι όμως υποχρεωτική όταν μια σχεδιαζόμενη επεξεργασία είναι πιθανό να προκαλέσει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων.
Μια DPIA βοηθά την επιχείρηση να περιγράψει την επεξεργασία, να αξιολογήσει την αναγκαιότητα και αναλογικότητά της, να εντοπίσει τους κινδύνους και να καθορίσει τα μέτρα που απαιτούνται για την αντιμετώπισή τους.
9. Προετοιμαστείτε για παραβίαση προσωπικών δεδομένων
Ένα περιστατικό κυβερνοασφάλειας δεν αποτελεί πάντοτε παραβίαση προσωπικών δεδομένων. Όταν όμως ένα περιστατικό οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, μη εξουσιοδοτημένη γνωστοποίηση ή πρόσβαση σε προσωπικά δεδομένα, μπορεί να αποτελεί personal data breach σύμφωνα με τον GDPR.
Η επιχείρηση πρέπει να διαθέτει διαδικασία ώστε να μπορεί γρήγορα να εντοπίσει, να καταγράψει και να αξιολογήσει ένα τέτοιο περιστατικό. Όταν η επιχείρηση ενεργεί ως υπεύθυνος επεξεργασίας, η γνωστοποίηση στην αρμόδια εποπτική αρχή πρέπει, όπου απαιτείται, να πραγματοποιείται χωρίς αδικαιολόγητη καθυστέρηση και, εφόσον είναι δυνατό, εντός 72 ωρών από τη στιγμή που η επιχείρηση έλαβε γνώση της παραβίασης.
Δεν γνωστοποιείται κάθε παραβίαση στην εποπτική αρχή: η υποχρέωση εξαρτάται από την αξιολόγηση του κινδύνου. Όταν η παραβίαση είναι πιθανό να προκαλέσει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, μπορεί να απαιτείται και ενημέρωση των επηρεαζόμενων προσώπων χωρίς αδικαιολόγητη καθυστέρηση.
10. Αντιμετωπίστε τη συμμόρφωση ως συνεχή διαδικασία
Η συμμόρφωση με τον GDPR δεν ολοκληρώνεται με ένα εφάπαξ audit. Οι εφαρμογές, οι προμηθευτές, οι εργαζόμενοι, τα δεδομένα και οι κίνδυνοι μιας επιχείρησης αλλάζουν. Για αυτό χρειάζεται περιοδική επανεξέταση των δραστηριοτήτων επεξεργασίας, των δικαιωμάτων πρόσβασης, των περιόδων διατήρησης, των συμβάσεων με παρόχους και των μέτρων ασφάλειας.
GDPR και Κυβερνοασφάλεια: Ποια είναι η σχέση;
Η κυβερνοασφάλεια αποτελεί σημαντικό μέρος της προστασίας προσωπικών δεδομένων, αλλά δεν ταυτίζεται με ολόκληρη τη συμμόρφωση GDPR. Μια επιχείρηση μπορεί να διαθέτει ισχυρό firewall, backup και MFA και παρ' όλα αυτά να έχει προβλήματα συμμόρφωσης εάν, για παράδειγμα, συλλέγει περισσότερα δεδομένα από όσα χρειάζεται, δεν έχει κατάλληλη νομική βάση ή τα διατηρεί περισσότερο από όσο απαιτείται.
Αντίστοιχα, σωστά privacy notices και συμβάσεις δεν αρκούν όταν τα προσωπικά δεδομένα παραμένουν ανεπαρκώς προστατευμένα. Η αποτελεσματική προσέγγιση απαιτεί συνδυασμό νομικών, οργανωτικών και τεχνικών μέτρων.
Πρακτικό Checklist για μια ΜΜΕ
- Γνωρίζουμε ποια προσωπικά δεδομένα επεξεργαζόμαστε και γιατί;
- Έχουμε προσδιορίσει την κατάλληλη νομική βάση για κάθε βασική επεξεργασία;
- Συλλέγουμε μόνο τα δεδομένα που πραγματικά χρειαζόμαστε;
- Έχουμε καθορίσει περιόδους διατήρησης και διαδικασία διαγραφής;
- Μπορούμε να διαχειριστούμε σωστά αιτήματα άσκησης δικαιωμάτων;
- Έχουμε ελέγξει τους εξωτερικούς παρόχους που επεξεργάζονται δεδομένα;
- Τα δικαιώματα πρόσβασης στα συστήματα είναι περιορισμένα στους κατάλληλους χρήστες;
- Έχουμε διαδικασία για την αντιμετώπιση και αξιολόγηση personal data breaches;
- Εξετάζουμε αν απαιτείται DPIA πριν από επεξεργασίες υψηλού κινδύνου;
- Επανεξετάζουμε περιοδικά τα οργανωτικά και τεχνικά μέτρα προστασίας;
Πώς μπορεί να βοηθήσει η DataShield
Η DataShield μπορεί να βοηθήσει μια επιχείρηση στην αξιολόγηση της τεχνικής πλευράς της προστασίας προσωπικών δεδομένων, εξετάζοντας μεταξύ άλλων ελέγχους πρόσβασης, ασφάλεια λογαριασμών, backup, ενημερώσεις, προστασία endpoints και άλλες δικλίδες κυβερνοασφάλειας.
Η τεχνική αξιολόγηση αποτελεί μέρος μιας ευρύτερης προσπάθειας συμμόρφωσης και δεν υποκαθιστά εξειδικευμένη νομική συμβουλή για την εφαρμογή του GDPR στη συγκεκριμένη επιχείρηση.
Επικοινωνήστε με τη DataShield.gr για μια αρχική αξιολόγηση των τεχνικών μέτρων προστασίας προσωπικών δεδομένων και των σημείων κυβερνοασφάλειας που χρειάζονται βελτίωση.
