Παραβίαση προσωπικών δεδομένων είναι μια παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, μη εξουσιοδοτημένη αποκάλυψη ή πρόσβαση σε προσωπικά δεδομένα.

• Εάν η παραβίαση δεδομένων θέτει σε κίνδυνο τα  άτομα, πρέπει να τη γνωστοποιήσετε  στην αρμόδια αρχή προστασίας δεδομένων εντός 72 ωρών.
• Εάν η παραβίαση είναι πιθανό να οδηγήσει σε υψηλό κίνδυνο για τα άτομα, θα πρέπει επίσης να γνωστοποιήσετε την παραβίαση αυτή στα ενδιαφερόμενα άτομα χωρίς αδικαιολόγητη καθυστέρηση.

Σε κάθε περίπτωση, για όλες τις παραβιάσεις — ακόμη και εκείνες που δεν κοινοποιούνται σε ΑΠΔ — πρέπει να καταγράψετε τουλάχιστον τα βασικά στοιχεία της παραβίασης, την αξιολόγησή της, τα αποτελέσματά της και τα μέτρα προς αντιμετώπιση που ελήφθησαν.

Περισσότερες πληροφορίες:

• Παραβιάσεις δεδομένων

Οι ΥΠΔ μπορούν να εκπληρώνουν άλλα καθήκοντα εντός του οργανισμού, αλλά αυτό δεν μπορεί να οδηγήσει σε σύγκρουση συμφερόντων. Αυτό σημαίνει ότι ο ΥΠΔ δεν μπορεί να έχει θέση με την  οποία να καθορίζει τους σκοπούς και τα μέσα των δραστηριοτήτων επεξεργασίας. Τα αντικρουόμενα καθήκοντα αφορούν κυρίως διευθυντικές θέσεις (επικεφαλής, διευθύνων σύμβουλος, οικονομικός διευθυντής, προϊστάμενος ανθρώπινου δυναμικού, προϊστάμενος ΤΠ, διευθύνων σύμβουλος), αλλά μπορούν επίσης να περιλαμβάνουν και άλλα καθήκοντα, εάν οδηγούν στον καθορισμό των σκοπών και των μέσων επεξεργασίας.

• Ο ΥΠΔ πρέπει να είναι σε θέση να εκτελεί τα καθήκοντα και τις αρμοδιότητές  του με ανεξάρτητο τρόπο. Αυτό σημαίνει ότι ο οργανισμός σας:
• δεν μπορεί να δίνει οδηγίες στον ΥΠΔ όσον αφορά στην άσκηση των καθηκόντων του ως ΥΠΔ·
• δεν επιτρέπεται να τιμωρεί ή να απολύει τον ΥΠΔ για την εκτέλεση των καθηκόντων του.

Περισσότερες πληροφορίες:

• Υπεύθυνος προστασίας δεδομένων

Δεν μπορείτε να αποθηκεύετε προσωπικά δεδομένα για πάντα.

Κατά κανόνα, τα προσωπικά δεδομένα μπορούν να αποθηκεύονται μόνο για όσο χρονικό διάστημα είναι αναγκαίο υπό το πρίσμα των σκοπών για τους οποίους υποβάλλονται σε επεξεργασία.

Σε ορισμένες περιπτώσεις, η περίοδος αποθήκευσης μπορεί να καθοριστεί από συγκεκριμένους νόμους, για παράδειγμα, οι εργασιακοί κανονισμοί καθορίζουν την περίοδο αποθήκευσης για τη μισθοδοσία.

Οι οργανισμοί θα πρέπει να εφαρμόζουν πολιτικές διατήρησης δεδομένων για να διασφαλίζουν ότι τα προσωπικά δεδομένα δεν διατηρούνται για μεγαλύτερο χρονικό διάστημα από ό,τι είναι απαραίτητο. Τα προσωπικά δεδομένα των φυσικών προσώπων πρέπει να διαγράφονται ή να ανωνυμοποιούνται όταν τα δεδομένα αυτά δεν είναι πλέον απαραίτητα για τον σκοπό για τον οποίο υποβλήθηκαν σε επεξεργασία.

Περισσότερες πληροφορίες:

• Βασικές αρχές προστασίας δεδομένων

Εάν ο οργανισμός σας συλλέγει τα προσωπικά δεδομένα απευθείας από φυσικά πρόσωπα, πρέπει να παρέχει τις απαραίτητες πληροφορίες κατά τη στιγμή της συλλογής.

Σε περίπτωση έμμεσης συλλογής προσωπικών δεδομένων, ο οργανισμός σας πρέπει να παράσχει τις πληροφορίες το αργότερο εντός ενός μηνός από την αρχική λήψη των προσωπικών δεδομένων. Αυτή η μέγιστη περίοδος ενός μηνός μπορεί να μειωθεί:

• εάν τα προσωπικά δεδομένα χρησιμοποιούνται για τον σκοπό της επικοινωνίας με το υποκείμενο των δεδομένων. Στην περίπτωση αυτή, πρέπει να ενημερώσετε το υποκείμενο των δεδομένων το αργότερο κατά τον χρόνο της πρώτης κοινοποίησης στο υποκείμενο των δεδομένων·
• εάν τα δεδομένα κοινοποιούνται  σε άλλον αποδέκτη, ο οργανισμός ενημερώνει σχετικά τα υποκείμενα των δεδομένων το αργότερο κατά τη κοινοποίηση των προσωπικών δεδομένων.

Περισσότερες πληροφορίες:

• Σεβασμός των δικαιωμάτων των ατόμων

Ο ορισμός υπευθύνου προστασίας δεδομένων είναι υποχρεωτικός στις ακόλουθες τρεις περιπτώσεις:

• ο οργανισμός είναι δημόσια αρχή·
• οι κύριες δραστηριότητες του οργανισμού συνίστανται στην τακτική και συστηματική παρακολούθηση ατόμων σε μεγάλη κλίμακα, για παράδειγμα γεωγραφικός εντοπισμός μέσω κινητής εφαρμογής ή επιτήρηση εμπορικών κέντρων και δημόσιων χώρων μέσω συστήματος CCTV ·
• οι κύριες δραστηριότητες του οργανισμού συνίστανται στην μεγάλης κλίμακας επεξεργασία ευαίσθητων δεδομένων ή προσωπικών δεδομένων που σχετίζονται με ποινικές καταδίκες και αδικήματα.
  Μπορείτε πάντα να ορίσετε έναν υπεύθυνο προστασίας δεδομένων σε εθελοντική βάση, ακόμη και αν αυτό δεν απαιτείται από τον νόμο. Λάβετε υπόψη ότι σε αυτή την περίπτωση, πρέπει να συμμορφώνεστε με όλες τις διατάξεις του ΓΚΠΔ σχετικά με τα καθήκοντα και τη θέση του υπευθύνου προστασίας δεδομένων.

Περισσότερες πληροφορίες:

• Υπεύθυνος προστασίας δεδομένων

Όχι, η επεξεργασία ευαίσθητων δεδομένων απαγορεύεται γενικά, εκτός από πολύ συγκεκριμένες περιπτώσεις:

• Το άτομο έχει δώσει τη ρητή συγκατάθεσή του για την επεξεργασία των ευαίσθητων δεδομένων του.
• Η επεξεργασία ευαίσθητων δεδομένων είναι απαραίτητη προκειμένου ο υπεύθυνος επεξεργασίας να εκπληρώσει τις υποχρεώσεις του, ιδίως στο πλαίσιο της απασχόλησης, της κοινωνικής ασφάλισης και της κοινωνικής προστασίας. Για παράδειγμα, ο υπεύθυνος επεξεργασίας ενδέχεται να χρειαστεί να επεξεργαστεί τα ευαίσθητα δεδομένα ενός προσώπου προκειμένου να είναι σε θέση να καθορίσει εάν δικαιούται ορισμένες παροχές κοινωνικής ασφάλισης ή επιδόματα απασχόλησης.
• Η επεξεργασία ευαίσθητων δεδομένων είναι απαραίτητη για την προστασία των ζωτικών συμφερόντων ενός προσώπου όταν είναι ανίκανο, από φυσικής ή νομικής άποψης, να δώσει τη συγκατάθεσή του. Για παράδειγμα, εάν ένα άτομο μείνει αναίσθητο ως αποτέλεσμα ατυχήματος και απαιτεί άμεση ιατρική περίθαλψη, τα δεδομένα υγείας του μπορεί να χρειαστεί να υποβληθούν σε επεξεργασία για την παροχή της κατάλληλης ιατρικής περίθαλψης.
• Η επεξεργασία ευαίσθητων δεδομένων πραγματοποιείται στο πλαίσιο των νόμιμων δραστηριοτήτων ιδρύματος, ένωσης ή άλλης μη κερδοσκοπικής οργάνωσης με πολιτικό, φιλοσοφικό, θρησκευτικό ή συνδικαλιστικό σκοπό, και μόνο για την επεξεργασία των προσωπικών δεδομένων των μελών τους, πρώην μελών ή προσώπων που έχουν τακτική επαφή μαζί τους.
• Τα ευαίσθητα δεδομένα έχουν προδήλως δημοσιοποιηθεί  από το ίδιο το άτομο.
• Η επεξεργασία ευαίσθητων δεδομένων είναι απαραίτητη στο πλαίσιο νομικών διαδικασιών.
• Η επεξεργασία ευαίσθητων δεδομένων είναι απαραίτητη για θέματα σημαντικού δημόσιου συμφέροντος.
• Η επεξεργασία ευαίσθητων δεδομένων είναι απαραίτητη στο πλαίσιο της προληπτικής ή επαγγελματικής ιατρικής. Για παράδειγμα, η αξιολόγηση των ευαίσθητων δεδομένων ενός ατόμου, όπως τα ιατρικά του δεδομένα, μπορεί να είναι απαραίτητη προκειμένου να προσδιοριστεί αν το άτομο είναι ικανό να εργαστεί.
• Η επεξεργασία ευαίσθητων δεδομένων είναι απαραίτητη για θέματα δημόσιας υγείας βάσει του ενωσιακού ή του εθνικού δικαίου. Για παράδειγμα, η επεξεργασία ευαίσθητων δεδομένων φυσικών προσώπων μπορεί να είναι απαραίτητη για τη διασφάλιση υψηλής ποιότητας υγειονομικής περίθαλψης και υψηλής ποιότητας ιατρικών προϊόντων, ή για την καταπολέμηση σοβαρών απειλών κατά της υγείας, όπως είναι οι ιοί.
• Η επεξεργασία ευαίσθητων δεδομένων είναι απαραίτητη για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς. Για παράδειγμα, η επεξεργασία ευαίσθητων δεδομένων μπορεί να είναι απαραίτητη για την παροχή ακριβών στατιστικών στοιχείων σχετικά με την κατάσταση μιας χώρας σε συγκεκριμένο τομέα.

Περισσότερες πληροφορίες:

• Νόμιμη επεξεργασία προσωπικών δεδομένων

Η δημοσίευση των ονομάτων των νικητών ενός διαγωνισμού στον ιστότοπό σας θα μπορούσε να θεωρηθεί έννομο συμφέρον, εάν μπορείτε να το τεκμηριώσετε  με τη διενέργεια στάθμισης προκειμένου να προσδιορίσετε κατά πόσον τα έννομα συμφέροντά σας υπερτερούν των δικαιωμάτων των ατόμων.

Μια καλή πρακτική θα ήταν να θεσπιστεί μια εσωτερική διαδικασία στην οποία θα επεξηγούνται οι κανόνες σχετικά με τη δημοσίευση των προσωπικών δεδομένων των νικητών.

Επιπλέον, η επεξεργασία προσωπικών δεδομένων για τους σκοπούς αυτούς θα πρέπει να αποτελεί μέρος της πολιτικής απορρήτου του διαγωνισμού, έτσι ώστε οι συμμετέχοντες να ενημερώνονται εκ των προτέρων για τον τρόπο επεξεργασίας των δεδομένων τους.

Περισσότερες πληροφορίες:

• Νόμιμη επεξεργασία προσωπικών δεδομένων

Τα καθήκοντα του ΥΠΔ περιλαμβάνουν, μεταξύ άλλων, τα εξής:

• να ενημερώνει και να συμβουλεύει τον οργανισμό και τους υπαλλήλους του σχετικά με τη συμμόρφωση με την προστασία των δεδομένων·
• να παρακολουθεί  τη συμμόρφωση με την προστασία των δεδομένων·
• να παρέχει συμβουλές σχετικά με αιτήματα που αφορούν στην εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (ΕΑΠΔ)·
• να ενεργεί ως σημείο επαφής για την αρχή προστασίας δεδομένων (ΑΠΔ) και να συνεργάζεται με την εν λόγω ΑΠΔ·
• να ενεργεί ως σημείο επαφής για τα άτομα.

Επιπλέον, η παρουσία του ΥΠΔ συνιστάται γενικά όταν λαμβάνονται αποφάσεις με επιπτώσεις στην προστασία των δεδομένων. Θα πρέπει επίσης να ζητείται η γνώμη του ΥΠΔ αμέσως μόλις συμβεί παραβίαση δεδομένων ή άλλο περιστατικό.

Περισσότερες πληροφορίες:

• Υπεύθυνος προστασίας δεδομένων

Ο ΥΠΔ μπορεί να είναι υφιστάμενος υπάλληλος με επαρκή γνώση του ΓΚΠΔ (εάν τα επαγγελματικά καθήκοντα του εργαζομένου είναι συμβατά με εκείνα του ΥΠΔ και αυτό δεν οδηγεί σε συγκρούσεις συμφερόντων) ή εξωτερικό πρόσωπο. Ο ΥΠΔ θα πρέπει να είναι σε θέση να εκτελεί καθήκοντα ανεξάρτητα και θα πρέπει να είναι σε θέση να λογοδοτεί  απευθείας στην ανώτατη διοίκηση.

Περισσότερες πληροφορίες:

• Υπεύθυνος προστασίας δεδομένων

Τα απαραίτητα μέτρα ασφαλείας μπορεί να διαφέρουν ανάλογα με τη φύση των προσωπικών δεδομένων που επεξεργάζεστε και τους σχετικούς κινδύνους για τα άτομα. Σε κάθε περίπτωση, υπάρχουν ορισμένα ελάχιστα μέτρα που πρέπει να εφαρμόζετε:

• να ασφαλίζετε την πρόσβαση στις εγκαταστάσεις·
• να χρησιμοποιείτε τακτικά ενημερωμένο λογισμικό προστασίας από ιούς·
• να επιλέγετε προσεκτικά τους κωδικούς πρόσβασής σας·
• να υποχρεώνετε τους χρήστες να επαληθεύουν την ταυτότητά τους πριν από τη χρήση των εγκαταστάσεων του υπολογιστή·
• να εφαρμόζετε πολιτική δημιουργίας αντιγράφων ασφαλείας και ανάκτησης δεδομένων σε περίπτωση συμβάντος.
• Επιπλέον, ορισμένα βασικά μέτρα, όπως το κλείδωμα της οθόνης σας ενώ είστε μακριά και το κλείδωμα του γραφείου στο τέλος της ημέρας δεν είναι ποτέ εκτός τόπου...

Περισσότερες πληροφορίες:

• Ασφαλή προσωπικά δεδομένα