Νομοθεσία

Στον GDPR οφείλουν να συμμορφωθούν όλοι οι φορείς/οργανισμοί δημοσίου και ιδιωτικού τομέα οι οποίοι επεξεργάζονται δεδομένα προσωπικού χαρακτήρα στο πλαίσιο της δραστηριότητάς τους. Κάθε ατομική επιχείρηση, εταιρία, σωματείο ή υπηρεσία του δημοσίου που συλλέγει, καταχωρεί, αποθηκεύει, κοινολογεί με διαβίβαση, συσχετίζει, διαγράφει, καταστρέφει πληροφορίες που αφορούν ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο έχει υποχρέωση να εφαρμόσει το νέο Κανονισμό.

Οι κυρώσεις που προβλέπει ο Κανονισμός είναι εξαιρετικά υψηλές και μπορεί να φτάσουν έως και τα 20.000.000 ευρώ ή έως και το 4% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους του οργανισμού ή επιχείρησης (όποιο από τα δύο είναι υψηλότερο). Συνεπώς, η μη συμμόρφωση στις νέες ρυθμίσεις ενέχει τον κίνδυνο επιβολής προστίμου από την εποπτική αρχή το οποίο ενδέχεται να σημάνει ακόμη και την οικονομική καταστροφή του οργανισμού ή επιχείρησης.

Ο GDPR επιβάλλει μια σειρά νέων υποχρεώσεων στους υπευθύνους επεξεργασίας, οι οποίες απορρέουν από τις βασικές αρχές και ιδίως την ενισχυμένη αρχή της διαφάνειας (transparency) στον τρόπο συλλογής, επεξεργασίας και τήρησης δεδομένων και τη νέα αρχή της λογοδοσίας (accountability), σύμφωνα με την οποία ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωσή του με όλες τις αρχές που διέπουν την επεξεργασία προσωπικών δεδομένων. Επίσης, εισάγονται νέα δικαιώματα για τα υποκείμενα των δεδομένων όπως το δικαίωμα στη λήθη και το δικαίωμα στη φορητότητα των δεδομένων.

1. Κατάλληλη ενημέρωση του προσωπικού του οργανισμού για τις επερχόμενες αλλαγές με έμφαση στις επιπτώσεις από ενδεχόμενη παραβίαση του Κανονισμού
2. Διαμόρφωση στρατηγικού σχεδιασμού για την αντιμετώπιση ενδεχομένων κινδύνων για τα επεξεργαζόμενα προσωπικά δεδομένα με λήψη τεχνικών και οργανωτικών μέτρων
3. Τήρηση μητρώου καταγραφής των δραστηριοτήτων επεξεργασίας
4. Εξασφάλιση έγκυρης συγκατάθεσης από τα υποκείμενα των δεδομένων για την νόμιμη επεξεργασία
5. Εκ των προτέρων εκτίμηση του αντίκτυπου των επιπτώσεων για την επέλευση κινδύνου για τα ατομικά δικαιώματα και ελευθερίες των φυσικών προσώπων
6. Αναθεώρηση και επικαιροποίηση των πολιτικών ασφαλείας των δεδομένων με πρόβλεψη νέων κατάλληλων διαδικασιών για την ικανοποίηση των νέων δικαιωμάτων: δικαίωμα στη φορητότητα των δεδομένων, δικαίωμα διαγραφής κ.λπ
7. Ορισμός Υπευθύνου Προστασίας Δεδομένων (Data Protection Officer)
8. Πρόβλεψη διαδικασιών για τον εντοπισμό, τη διερεύνηση περιστατικών παραβιάσεων της ασφάλειας των προσωπικών δεδομένων καθώς και για την άμεση γνωστοποίηση της παραβίασης στην εποπτική αρχή.
9. Μπορεί ο οργανισμός/επιχείρηση να αποδείξει ότι έχει συμμορφωθεί στο νέο Κανονισμό λαμβάνοντας όλα τα απαιτούμενα κατά περίπτωση οργανωτικά και τεχνικά μέτρα;
10. Αν διενεργούνται διασυνοριακή επεξεργασία προσωπικών δεδομένων πρέπει να επιλεγεί μηχανισμός διαβίβασης.