Συχνες Ερωτησεις

Για να θεωρηθεί έγκυρη η συγκατάθεση, πρέπει:

• να παρέχεται ελεύθερα·
• να είναι συγκεκριμένη·
• να δίνεται εν πλήρη επιγνώσει· και
• να είναι αδιαμφισβήτητη.

Αυτό σημαίνει ότι τα φυσικά πρόσωπα πρέπει να έχουν πραγματικά ελεύθερη επιλογή ως προς το αν συμφωνούν ή όχι με την επεξεργασία των προσωπικών τους δεδομένων· χρειάζονται επαρκείς πληροφορίες ώστε να μπορούν να κατανοήσουν ποια δεδομένα υποβάλλονται σε επεξεργασία, για ποιο σκοπό και πώς γίνεται αυτό· χρειάζονται επίσης επαρκή ενημέρωση σχετικά με τα αιτήματα συγκατάθεσης.

Επιπλέον, θα πρέπει να υπάρχει σαφής θετική ενέργεια από το άτομο (χωρίς προεπιλεγμένα τετραγωνίδια και χωριστά από τους ισχύοντες γενικούς όρους).

Επιπλέον, τα άτομα πρέπει να είναι σε θέση να αποσύρουν ελεύθερα τη συγκατάθεσή τους (χωρίς αρνητικές συνέπειες) εάν αλλάξουν γνώμη αργότερα.

Περισσότερες πληροφορίες:

• Νόμιμη Επεξεργασία προσωπικών δεδομένων

Εάν ο οργανισμός σας συλλέγει τα προσωπικά δεδομένα απευθείας από φυσικά πρόσωπα, πρέπει να παρέχει τις απαραίτητες πληροφορίες κατά τη στιγμή της συλλογής.

Σε περίπτωση έμμεσης συλλογής προσωπικών δεδομένων, ο οργανισμός σας πρέπει να παράσχει τις πληροφορίες το αργότερο εντός ενός μηνός από την αρχική λήψη των προσωπικών δεδομένων. Αυτή η μέγιστη περίοδος ενός μηνός μπορεί να μειωθεί:

• εάν τα προσωπικά δεδομένα χρησιμοποιούνται για τον σκοπό της επικοινωνίας με το υποκείμενο των δεδομένων. Στην περίπτωση αυτή, πρέπει να ενημερώσετε το υποκείμενο των δεδομένων το αργότερο κατά τον χρόνο της πρώτης κοινοποίησης στο υποκείμενο των δεδομένων·
• εάν τα δεδομένα κοινοποιούνται  σε άλλον αποδέκτη, ο οργανισμός ενημερώνει σχετικά τα υποκείμενα των δεδομένων το αργότερο κατά τη κοινοποίηση των προσωπικών δεδομένων.

Περισσότερες πληροφορίες:

• Σεβασμός των δικαιωμάτων των ατόμων

Κάθε οργανισμός, ανεξάρτητα από το μέγεθος ή τον τομέα του, που είναι εγκατεστημένος στον Ευρωπαϊκό Οικονομικό Χώρο (ΕΟΧ) ή προσφέρει προϊόντα ή υπηρεσίες σε άτομα στον ΕΟΧ, και επεξεργάζεται προσωπικά δεδομένα, είτε με αυτοματοποιημένα μέσα είτε όχι, πρέπει να συμμορφώνεται με τον ΓΚΠΔ. Ακόμη και αν ο ΓΚΠΔ αφορά κυρίως την αυτοματοποιημένη επεξεργασία προσωπικών δεδομένων, οι πράξεις επεξεργασίας που εκτελούνται με χειροκίνητη επεξεργασία  θα υπόκεινται επίσης στον ΓΚΠΔ από τη στιγμή που τα έντυπα αρχεία οργανώνονται με συστηματικό τρόπο, π.χ. με αλφαβητική σειρά σε φοριαμό αρχειοθέτησης.

Παραδείγματα πράξεων επεξεργασίας περιλαμβάνουν τη συλλογή, την καταγραφή, την οργάνωση, τη χρήση, την τροποποίηση, την αποθήκευση, την αποκάλυψη, την τροποποίηση και τη διαγραφή των προσωπικών δεδομένων των φυσικών προσώπων.

Ωστόσο, η εφαρμογή του ΓΚΠΔ διαφοροποιείται ανάλογα με τη φύση, το πλαίσιο, τους σκοπούς και τους κινδύνους των πράξεων επεξεργασίας που εκτελούνται. Για τις ΜΜΕ των οποίων η κύρια δραστηριότητα δεν είναι η επεξεργασία προσωπικών δεδομένων, οι υποχρεώσεις μπορεί να είναι λιγότερο αυστηρές από ό,τι για μια μεγάλη εταιρεία.

Περισσότερες πληροφορίες:

• Βασικές αρχές προστασίας δεδομένων

Τα καθήκοντα του ΥΠΔ περιλαμβάνουν, μεταξύ άλλων, τα εξής:

• να ενημερώνει και να συμβουλεύει τον οργανισμό και τους υπαλλήλους του σχετικά με τη συμμόρφωση με την προστασία των δεδομένων·
• να παρακολουθεί  τη συμμόρφωση με την προστασία των δεδομένων·
• να παρέχει συμβουλές σχετικά με αιτήματα που αφορούν στην εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (ΕΑΠΔ)·
• να ενεργεί ως σημείο επαφής για την αρχή προστασίας δεδομένων (ΑΠΔ) και να συνεργάζεται με την εν λόγω ΑΠΔ·
• να ενεργεί ως σημείο επαφής για τα άτομα.

Επιπλέον, η παρουσία του ΥΠΔ συνιστάται γενικά όταν λαμβάνονται αποφάσεις με επιπτώσεις στην προστασία των δεδομένων. Θα πρέπει επίσης να ζητείται η γνώμη του ΥΠΔ αμέσως μόλις συμβεί παραβίαση δεδομένων ή άλλο περιστατικό.

Περισσότερες πληροφορίες:

• Υπεύθυνος προστασίας δεδομένων

Ο ΓΚΠΔ επιβάλλει υποχρεώσεις σε όλους τους οργανισμούς που επεξεργάζονται προσωπικά δεδομένα, ανεξάρτητα από το αν είναι υπεύθυνοι επεξεργασίας ή εκτελούντες την επεξεργασία.

Ειδικότερα, θα πρέπει:

• Να αναρωτηθείτε εάν ο σκοπός για τον οποίο μπορούν να συλλεχθούν τα προσωπικά δεδομένα είναι δικαιολογημένος και να συλλέξετε μόνο προσωπικά δεδομένα που είναι απαραίτητα για τον(τους) συγκεκριμένο(-ους) σκοπό(-ούς) που προβλέπονται·
• Να διατηρείτε τα προσωπικά δεδομένα των φυσικών προσώπων ακριβή και ενημερωμένα και να διαγράφετε τα δεδομένα όταν δεν είναι πλέον απαραίτητα·
• Να σέβεστε τα δικαιώματα των φυσικών προσώπων, ενημερώνοντάς τα για τον τρόπο και τον λόγο επεξεργασίας των δεδομένων τους και παρέχοντάς τους τη δυνατότητα να ασκούν τα δικαιώματά τους·
• Να διασφαλίζετε ότι διαθέτετε κατάλληλη νομική βάση για την επεξεργασία των προσωπικών δεδομένων. Σε περίπτωση που σκοπεύετε να βασιστείτε στη συγκατάθεση των φυσικών προσώπων, να ζητήσετε τη συγκατάθεσή τους πριν από την επεξεργασία των προσωπικών τους δεδομένων.
• Να διασφαλίζετε ότι ο χειρισμός των προσωπικών δεδομένων των φυσικών προσώπων γίνεται με ασφαλή τρόπο·
• Να τηρείτε αρχείο δραστηριοτήτων  επεξεργασίας.

Οι εκτελούντες την επεξεργασία θα πρέπει να τηρούν τις υποχρεώσεις  που ορίζονται στη σύμβαση υπευθύνου επεξεργασίας-εκτελούντος την επεξεργασία και δεν πρέπει να επεξεργάζονται τα δεδομένα με άλλον τρόπο παρά μόνο σύμφωνα με τις οδηγίες του υπευθύνου επεξεργασίας.

Περισσότερες πληροφορίες:

• Συμμορφωθείτε με τον ΓΚΠΔ
• Υπεύθυνος επεξεργασίας ή εκτελών την επεξεργασία
• Βασικές αρχές προστασίας δεδομένων

• Κάθε επεξεργασία προσωπικών δεδομένων πρέπει να είναι νόμιμη, δίκαιη και διαφανής.
• Τα  προσωπικά δεδομένα συλλέγονται μόνο για καθορισμένους, ρητούς και νόμιμους σκοπούς. Η επεξεργασία των δεδομένων ενός ατόμου πρέπει να περιορίζεται αυστηρά στους σκοπούς που καθορίστηκαν αρχικά και, ως εκ τούτου, να μην υποβάλλονται  σε επεξεργασία για μεταγενέστερους ή άλλους σκοπούς που είναι ασυμβίβαστοι με τους αρχικούς σκοπούς.
• Σε επεξεργασία υποβάλλονται  μόνο τα προσωπικά δεδομένα που είναι απαραίτητα και κατάλληλα σε σχέση με τον επιδιωκόμενο σκοπό.
• Όλα τα προσωπικά δεδομένα που επεξεργάζεστε πρέπει να είναι ακριβή και ενημερωμένα. Τα ανακριβή δεδομένα πρέπει να διορθώνονται ή να διαγράφονται.
• Η αποθήκευση των προσωπικών δεδομένων των φυσικών προσώπων πρέπει να είναι χρονικά περιορισμένη, υπό το πρίσμα του σκοπού για τον οποίο συλλέχθηκαν και υποβλήθηκαν σε επεξεργασία τα δεδομένα αυτά. Ως εκ τούτου, τα προσωπικά δεδομένα των φυσικών προσώπων πρέπει να διαγράφονται ή να ανωνυμοποιούνται όταν τα δεδομένα αυτά δεν είναι πλέον απαραίτητα.
• Η επεξεργασία των δεδομένων των φυσικών προσώπων πρέπει να γίνεται με ασφαλή τρόπο. Υπό την έννοια αυτή, πρέπει να θεσπιστούν ισχυροί έλεγχοι στον τομέα της κυβερνοασφάλειας, ώστε να διασφαλίζεται η επαρκής προστασία των δεδομένων των ατόμων.

Τέλος, ο υπεύθυνος επεξεργασίας είναι υπόλογος. Αυτό σημαίνει ότι είναι υπεύθυνος και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωση με τις ανωτέρω αρχές.

Περισσότερες πληροφορίες:

• Βασική προστασία δεδομένων

Δεν μπορείτε να αποθηκεύετε προσωπικά δεδομένα για πάντα.

Κατά κανόνα, τα προσωπικά δεδομένα μπορούν να αποθηκεύονται μόνο για όσο χρονικό διάστημα είναι αναγκαίο υπό το πρίσμα των σκοπών για τους οποίους υποβάλλονται σε επεξεργασία.

Σε ορισμένες περιπτώσεις, η περίοδος αποθήκευσης μπορεί να καθοριστεί από συγκεκριμένους νόμους, για παράδειγμα, οι εργασιακοί κανονισμοί καθορίζουν την περίοδο αποθήκευσης για τη μισθοδοσία.

Οι οργανισμοί θα πρέπει να εφαρμόζουν πολιτικές διατήρησης δεδομένων για να διασφαλίζουν ότι τα προσωπικά δεδομένα δεν διατηρούνται για μεγαλύτερο χρονικό διάστημα από ό,τι είναι απαραίτητο. Τα προσωπικά δεδομένα των φυσικών προσώπων πρέπει να διαγράφονται ή να ανωνυμοποιούνται όταν τα δεδομένα αυτά δεν είναι πλέον απαραίτητα για τον σκοπό για τον οποίο υποβλήθηκαν σε επεξεργασία.

Περισσότερες πληροφορίες:

• Βασικές αρχές προστασίας δεδομένων

Σε γενικές γραμμές, κάθε οργανισμός θα πρέπει να τηρεί αρχείο δραστηριοτήτων επεξεργασίας. Αυτός είναι ένας κατάλογος όλων των εργασιών επεξεργασίας και μπορεί να σας βοηθήσει να κάνετε σωστές εκτιμήσεις σχετικά με τις ευθύνες σας βάσει του ΓΚΠΔ και τους πιθανούς κινδύνους.

Κάθε μία από αυτές τις εργασίες επεξεργασίας πρέπει να περιγράφεται στο αρχείο με τις ακόλουθες πληροφορίες:

• τον σκοπό της επεξεργασίας (π.χ. αφοσίωση πελατών)·
• τις κατηγορίες δεδομένων που υποβάλλονται σε επεξεργασία (π.χ. για τη μισθοδοσία: ονοματεπώνυμο, ημερομηνία γέννησης, μισθός κ.λπ.)·
• ποιος έχει πρόσβαση στα δεδομένα (οι αποδέκτες — π.χ.: το τμήμα που είναι αρμόδιο για τις προσλήψεις, η υπηρεσία ΤΠ, η διοίκηση, οι πάροχοι υπηρεσιών, οι εταίροι...)·
• κατά περίπτωση, πληροφορίες σχετικά με διαβιβάσεις δεδομένων προσωπικού χαρακτήρα εκτός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ),
• όπου είναι δυνατόν, η περίοδος αποθήκευσης (η περίοδος για την οποία τα δεδομένα είναι χρήσιμα από επιχειρησιακή άποψη και από άποψη αρχειοθέτησης).
• όπου είναι δυνατόν, γενική περιγραφή των μέτρων ασφαλείας.

Το αρχείο των δραστηριοτήτων επεξεργασίας εμπίπτει στην ευθύνη του διευθυντή του οργανισμού σας.

Το αρχείο αυτό πρέπει να είναι διαθέσιμο στην αρχή προστασίας δεδομένων της χώρας του ΕΟΧ στην οποία δραστηριοποιείστε, εφόσον σας ζητηθεί.

Δεν απαιτείται από τους οργανισμούς που απασχολούν λιγότερα από 250 άτομα να αναφέρουν στο αρχείο τους καθαρά περιστασιακές δραστηριότητες (π.χ. δεδομένα που υποβάλλονται σε επεξεργασία για μεμονωμένες δραστηριότητες όπως το άνοιγμα καταστήματος).

Περισσότερες πληροφορίες:

• Συμμορφωθείτε με τον ΓΚΠΔ

Οι ΥΠΔ μπορούν να εκπληρώνουν άλλα καθήκοντα εντός του οργανισμού, αλλά αυτό δεν μπορεί να οδηγήσει σε σύγκρουση συμφερόντων. Αυτό σημαίνει ότι ο ΥΠΔ δεν μπορεί να έχει θέση με την  οποία να καθορίζει τους σκοπούς και τα μέσα των δραστηριοτήτων επεξεργασίας. Τα αντικρουόμενα καθήκοντα αφορούν κυρίως διευθυντικές θέσεις (επικεφαλής, διευθύνων σύμβουλος, οικονομικός διευθυντής, προϊστάμενος ανθρώπινου δυναμικού, προϊστάμενος ΤΠ, διευθύνων σύμβουλος), αλλά μπορούν επίσης να περιλαμβάνουν και άλλα καθήκοντα, εάν οδηγούν στον καθορισμό των σκοπών και των μέσων επεξεργασίας.

• Ο ΥΠΔ πρέπει να είναι σε θέση να εκτελεί τα καθήκοντα και τις αρμοδιότητές  του με ανεξάρτητο τρόπο. Αυτό σημαίνει ότι ο οργανισμός σας:
• δεν μπορεί να δίνει οδηγίες στον ΥΠΔ όσον αφορά στην άσκηση των καθηκόντων του ως ΥΠΔ·
• δεν επιτρέπεται να τιμωρεί ή να απολύει τον ΥΠΔ για την εκτέλεση των καθηκόντων του.

Περισσότερες πληροφορίες:

• Υπεύθυνος προστασίας δεδομένων

Παραβίαση προσωπικών δεδομένων είναι μια παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, μη εξουσιοδοτημένη αποκάλυψη ή πρόσβαση σε προσωπικά δεδομένα.

• Εάν η παραβίαση δεδομένων θέτει σε κίνδυνο τα  άτομα, πρέπει να τη γνωστοποιήσετε  στην αρμόδια αρχή προστασίας δεδομένων εντός 72 ωρών.
• Εάν η παραβίαση είναι πιθανό να οδηγήσει σε υψηλό κίνδυνο για τα άτομα, θα πρέπει επίσης να γνωστοποιήσετε την παραβίαση αυτή στα ενδιαφερόμενα άτομα χωρίς αδικαιολόγητη καθυστέρηση.

Σε κάθε περίπτωση, για όλες τις παραβιάσεις — ακόμη και εκείνες που δεν κοινοποιούνται σε ΑΠΔ — πρέπει να καταγράψετε τουλάχιστον τα βασικά στοιχεία της παραβίασης, την αξιολόγησή της, τα αποτελέσματά της και τα μέτρα προς αντιμετώπιση που ελήφθησαν.

Περισσότερες πληροφορίες:

• Παραβιάσεις δεδομένων

Ο ΓΚΠΔ προβλέπει συγκεκριμένα δικαιώματα για τα φυσικά πρόσωπα που πρέπει να γίνονται σεβαστά. Μπορείτε να το κάνετε αυτό:

• ενημερώνοντας τα φυσικά πρόσωπα των οποίων τα δεδομένα επεξεργάζεστε σχετικά με τις πράξεις επεξεργασίας σας και τους σκοπούς επεξεργασίας όταν συλλέγετε τα δεδομένα τους, για παράδειγμα μέσω δήλωσης απορρήτου στον ιστότοπό σας∙
• απαντώντας σε αιτήματα φυσικών προσώπων για άσκηση των δικαιωμάτων τους, όπως αιτήματα πρόσβασης, διόρθωσης, εναντίωσης, διαγραφής ή φορητότητας.

Οι οργανισμοί που είναι διαφανείς όσον αφορά τη χρήση προσωπικών δεδομένων φυσικών προσώπων και οι οποίοι σέβονται τα δικαιώματα αυτών διατρέχουν μικρότερο κίνδυνο να αποτελέσουν αντικείμενο καταγγελιών.

Περισσότερες πληροφορίες:

• Σεβασμός των δικαιωμάτων των φυσικών προσώπων

Το ΕΣΠΔ δημοσιεύει τακτικά δελτία τύπου, νέα, ιστολόγια και άλλο περιεχόμενο στον ιστότοπό του και στα μέσα κοινωνικής δικτύωσής του (Twitter: @EU_EDPB· LinkedIn: Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων) προκειμένου να ενημερώνει την κοινότητα προστασίας δεδομένων και το ευρύ κοινό σχετικά με τις εργασίες του.

Ο ιστότοπος του ΕΣΠΔ διαθέτει επίσης δύο τροφοδοσίες RSS, στις οποίες μπορείτε να εγγραφείτε για αυτόματες ενημερώσεις σχετικά με τα νέα του ΕΣΠΔ και τις τελευταίες δημοσιεύσεις του.

Ο ΓΚΠΔ ή ο Γενικός Κανονισμός για την Προστασία Δεδομένων δημιουργεί ένα εναρμονισμένο σύνολο κανόνων που εφαρμόζονται σε κάθε επεξεργασία προσωπικών δεδομένων από οργανισμούς (δημόσιους ή ιδιωτικούς, ανεξάρτητα από το μέγεθός τους) που είναι εγκατεστημένοι στον Ευρωπαϊκό Οικονομικό Χώρο (ΕΟΧ) ή στοχεύουν άτομα στην ΕΕ. Πρωταρχικός στόχος του ΓΚΠΔ είναι να διασφαλίσει ότι τα προσωπικά δεδομένα απολαύουν του ίδιου υψηλού επιπέδου προστασίας οπουδήποτε  στον ΕΟΧ, αυξάνοντας την ασφάλεια δικαίου τόσο για τα φυσικά πρόσωπα όσο και για τους οργανισμούς που επεξεργάζονται δεδομένα και προσφέροντας υψηλό επίπεδο προστασίας στα φυσικά πρόσωπα.

Ο κανονισμός τέθηκε σε ισχύ στις 24 Μαΐου 2016 και εφαρμόζεται από τις 25 Μαΐου 2018.

Ναι, ο ΓΚΠΔ εφαρμόζεται εάν τα προσωπικά δεδομένα περιέχονται ή πρόκειται να περιληφθούν σε ένα σύστημα αρχειοθέτησης. Αυτό σημαίνει ότι ο ΓΚΠΔ ισχύει και για τα έντυπα αρχεία και όχι μόνο για την αυτοματοποιημένη επεξεργασία προσωπικών δεδομένων.

Περισσότερες πληροφορίες:

• Βασικές αρχές προστασίας δεδομένων

Όταν υπάρχουν δύο ή περισσότεροι υπεύθυνοι επεξεργασίας δεδομένων που καθορίζουν από κοινού τον σκοπό και τα μέσα επεξεργασίας, θεωρούνται από κοινού υπεύθυνοι επεξεργασίας. Αποφασίζουν από κοινού να επεξεργαστούν προσωπικά δεδομένα για κοινό σκοπό. Η από κοινού ευθύνη επεξεργασίας μπορεί να λάβει πολλές μορφές και η συμμετοχή των διαφόρων υπευθύνων επεξεργασίας μπορεί να είναι άνιση. Ως εκ τούτου, οι από κοινού υπεύθυνοι επεξεργασίας πρέπει να καθορίζουν τις αντίστοιχες ευθύνες τους όσον αφορά στη συμμόρφωση με τον ΓΚΠΔ.

Είναι σημαντικό να σημειωθεί ότι η από κοινού ευθύνη επεξεργασίας συνεπάγεται από κοινού ευθύνη για μια δραστηριότητα επεξεργασίας.

• Παράδειγμα από κοινού υπευθύνου επεξεργασίας: Οι εταιρείες Α και Β έχουν ξεκινήσει ένα προϊόν με την επωνυμία τους και επιθυμούν να διοργανώσουν μια εκδήλωση για την προώθηση αυτού του προϊόντος. Για τον σκοπό αυτό, αποφασίζουν να μοιραστούν δεδομένα από τις αντίστοιχες βάσεις δεδομένων πελατών και μελλοντικών πελατών τους και αποφασίζουν σχετικά με τον κατάλογο των προσκεκλημένων στην εκδήλωση. Συμφωνούν επίσης σχετικά με τους τρόπους αποστολής των προσκλήσεων στην εκδήλωση, τον τρόπο συλλογής ανατροφοδότησης κατά τη διάρκεια της εκδήλωσης και τις επακόλουθες ενέργειες μάρκετινγκ. Οι εταιρείες Α και Β μπορούν να θεωρηθούν από κοινού υπεύθυνοι επεξεργασίας για την επεξεργασία προσωπικών δεδομένων που σχετίζονται με τη διοργάνωση της διαφημιστικής εκδήλωσης, καθώς αποφασίζουν από κοινού για τον από κοινού καθορισμένο σκοπό και τα βασικά μέσα της επεξεργασίας δεδομένων στο πλαίσιο αυτό.

Περισσότερες πληροφορίες:

• Υπεύθυνος επεξεργασίας ή εκτελών την επεξεργασία

Ναι, αλλά για να γίνει αυτό, θα πρέπει πρώτα να καθορίσετε τη νομική βάση για την επεξεργασία αυτού του είδους προσωπικών δεδομένων. Για παράδειγμα, η επεξεργασία θα μπορούσε να θεωρηθεί ως έννομο συμφέρον για τον οργανισμό σας. Κατά την επεξεργασία προσωπικών δεδομένων με βάση το έννομο συμφέρον, είναι πάντα απαραίτητο να διενεργείται στάθμιση για να καθορίζεται  κατά πόσον τα έννομα συμφέροντά σας υπερτερούν των δικαιωμάτων των ατόμων, ιδίως εάν πρόκειται για παιδιά.

Μια άλλη πιθανή νομική βάση για την εν λόγω επεξεργασία θα μπορούσε να είναι η συγκατάθεση. Σε κάθε περίπτωση, τα άτομα θα πρέπει πάντα να ενημερώνονται εκ των προτέρων ότι η εκδήλωση φωτογραφίζεται ή βιντεοσκοπείται.

Περισσότερες πληροφορίες:

• Νόμιμη επεξεργασία προσωπικών δεδομένων

Η συγκατάθεση θα μπορούσε πράγματι να αποτελέσει έγκυρη νομική βάση για την αποθήκευση των βιογραφικών σημειωμάτων των αιτούντων εργασία. Μια άλλη πιθανή νομική βάση θα μπορούσε να είναι το έννομο συμφέρον. Σε αυτή την περίπτωση, θα πρέπει να διενεργήσετε  στάθμιση για να αποδείξετε ότι τα έννομα συμφέροντα του οργανισμού σας υπερτερούν των δικαιωμάτων των αιτούντων.

Σε κάθε περίπτωση, θα πρέπει να ενημερώσετε τους υποψηφίους ότι σκοπεύετε να αποθηκεύσετε τα δεδομένα τους και για ποιους σκοπούς.

Περισσότερες πληροφορίες:

• Νόμιμη επεξεργασία προσωπικών δεδομένων

Η επεξεργασία προσωπικών δεδομένων επιτρέπεται εφόσον υπάρχει νομική βάση γι’ αυτό. Εκτός από την ελεύθερη, συγκεκριμένη, εν πλήρη επιγνώσει και αδιαμφισβήτητη συγκατάθεση, μπορούν να χρησιμοποιηθούν και άλλες νομικές βάσεις για την επεξεργασία.

Με άλλα λόγια, η συγκατάθεση είναι απαραίτητη όταν δεν ισχύει καμία από τις άλλες νομικές βάσεις.

Περισσότερες πληροφορίες:

• Νόμιμη επεξεργασία προσωπικών δεδομένων

Όχι, δεν χρειάζεται να πιστοποιηθείτε για να γίνετε ΥΠΔ.

Οι ΥΠΔ πρέπει, ωστόσο, να είναι σε θέση να αποδείξουν ότι διαθέτουν τα απαραίτητα προσόντα που απαιτούνται από τον ΓΚΠΔ, όπως ειδικές γνώσεις σχετικά με τη νομοθεσία και τις πρακτικές προστασίας δεδομένων.

Περισσότερες πληροφορίες:

• Υπεύθυνος προστασίας δεδομένων

Η εκτίμηση αντικτύπου  σχετικά με την προστασία των δεδομένων ή ΕΑΠΔ είναι μια γραπτή εκτίμηση που θα πρέπει να ετοιμάσει ο οργανισμός σας για να αξιολογήσει τον αντίκτυπο μιας προγραμματισμένης πράξης επεξεργασίας. Σας βοηθά να προσδιορίσετε τα κατάλληλα μέτρα για την αντιμετώπιση των κινδύνων και να καταδείξετε τη συμμόρφωση.

Ενώ είναι πάντα προτιμότερο να προβλεφθεί ο αντίκτυπος των προγραμματισμένων πράξεων επεξεργασίας του οργανισμού σας με τη διενέργεια ΕΑΠΔ, είναι υποχρεωτική η διενέργεια ΕΑΠΔ όταν η επεξεργασία είναι πιθανό να οδηγήσει σε υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των ατόμων.

Συγκεκριμένα, αυτό συμβαίνει όταν η προβλεπόμενη επεξεργασία περιλαμβάνει:

• την επεξεργασία — σε μεγάλη κλίμακα — ευαίσθητων δεδομένων ή προσωπικών δεδομένων που σχετίζονται με ποινικές καταδίκες·  
• συστηματική και εκτεταμένη αξιολόγηση των προσωπικών πτυχών ενός ατόμου με βάση την αυτοματοποιημένη επεξεργασία, συμπεριλαμβανομένης της κατάρτισης προφίλ, και επί της οποίας βασίζονται αποφάσεις που παράγουν έννομα αποτελέσματα σε σχέση με το εν λόγω άτομο ή επηρεάζουν σημαντικά με παρόμοιο τρόπο τα φυσικά πρόσωπα·
• συστηματική παρακολούθηση μιας δημοσίως προσβάσιμης περιοχής σε μεγάλη κλίμακα.

Το ΕΣΠΔ έχει καταρτίσει κατευθυντήριες γραμμές στις οποίες απαριθμούνται τα κριτήρια που πρέπει να λαμβάνονται υπόψη κατά την αξιολόγηση του κατά πόσον μια ΕΑΠΔ είναι υποχρεωτική ή όχι. Οι αρχές προστασίας δεδομένων (ΑΠΔ) έχουν επίσης δημοσιεύσει καταλόγους πράξεων επεξεργασίας που προϋποθέτουν την κατάρτιση  ΕΑΠΔ. Επιπλέον, αρκετές ΑΠΔ έχουν αναπτύξει οδηγούς, λογισμικό ή εργαλεία αυτοαξιολόγησης για να σας βοηθήσουν με την αξιολόγησή σας.

Περισσότερες πληροφορίες:

• Συμμορφωθείτε με τον ΓΚΠΔ