GDPR: Ο Ευρωπαϊκός Γενικός Κανονισμός Προστασίας Δεδομένων

Ο Γενικός Κανονισμός για την Προστασία Δεδομένων (GDPR) εγκρίθηκε από το Ευρωπαϊκό Κοινοβούλιο και τέθηκε σε πλήρη εφαρμογή τον Μάιο του 2018, θεσπίζοντας ένα ενιαίο πλαίσιο για την προστασία των προσωπικών δεδομένων σε όλη την Ευρωπαϊκή Ένωση. Κάθε επιχείρηση που συλλέγει ή επεξεργάζεται προσωπικά δεδομένα οφείλει να συμμορφώνεται με τις απαιτήσεις του.

Τα δικαιώματα του υποκειμένου των δεδομένων

Ο Κανονισμός ενισχύει σημαντικά τα δικαιώματα του ατόμου του οποίου τα προσωπικά δεδομένα υποβάλλονται σε επεξεργασία, δίνοντάς του μεγαλύτερο έλεγχο μέσω:

• Σαφούς συγκατάθεσης για την επεξεργασία των προσωπικών του δεδομένων
• Εύκολης πρόσβασης στα προσωπικά του δεδομένα
• Δικαιωμάτων διόρθωσης, διαγραφής και «λήθης»
• Δικαιώματος εναντίωσης, μεταξύ άλλων στην κατάρτιση προφίλ
• Δικαιώματος φορητότητας των δεδομένων από πάροχο σε πάροχο

Παράλληλα, οι υπεύθυνοι επεξεργασίας υποχρεούνται να παρέχουν διαφανείς και εύκολα προσβάσιμες πληροφορίες σχετικά με την επεξεργασία των δεδομένων.

Υποχρεώσεις των επιχειρήσεων

Τόσο οι υπεύθυνοι επεξεργασίας όσο και οι εκτελούντες την επεξεργασία έχουν υποχρέωση να λαμβάνουν κατάλληλα τεχνικά και οργανωτικά μέτρα ασφαλείας, ανάλογα με τον κίνδυνο που ενέχουν οι πράξεις επεξεργασίας που εκτελούν.

Δύο βασικές υποχρεώσεις ξεχωρίζουν:

• Κοινοποίηση παραβιάσεων εντός 72 ωρών: Σε ορισμένες περιπτώσεις, τα περιστατικά παραβίασης και απώλειας προσωπικών δεδομένων πρέπει να κοινοποιούνται στις αρμόδιες αρχές —και στα υποκείμενα των δεδομένων, εφόσον η φύση τους το απαιτεί— εντός 72 ωρών από την ανακάλυψή τους.
• Υπεύθυνος Προστασίας Δεδομένων (DPO): Οι εταιρείες και οι δημόσιες αρχές που εκτελούν πράξεις επεξεργασίας με αυξημένο κίνδυνο οφείλουν να ορίσουν Υπεύθυνο Προστασίας Δεδομένων.

Κυρώσεις

Για όσους παραβιάζουν τους κανόνες προστασίας δεδομένων προβλέπονται αυστηρές κυρώσεις. Το πρόστιμο μπορεί να ανέλθει έως και 20 εκατ. ευρώ ή στο 4% του συνολικού ετήσιου κύκλου εργασιών της επιχείρησης.

Για την επιβολή και το ύψος του διοικητικού προστίμου λαμβάνονται υπόψη, ενδεικτικά:

• Η φύση, η βαρύτητα και η διάρκεια της παράβασης, καθώς και ο αριθμός των θιγόμενων υποκειμένων
• Ο δόλος ή η αμέλεια που προκάλεσε την παράβαση
• Τα μέτρα που έλαβε ο υπεύθυνος για τον μετριασμό της ζημίας
• Τα τεχνικά και οργανωτικά μέτρα που εφαρμόζονταν
• Τυχόν προηγούμενες παραβάσεις
• Ο βαθμός συνεργασίας με την εποπτική αρχή
• Οι κατηγορίες των δεδομένων που επηρεάστηκαν
• Η τήρηση εγκεκριμένων κωδίκων δεοντολογίας ή μηχανισμών πιστοποίησης

Επιπλέον, ο Κανονισμός αναγνωρίζει στα υποκείμενα των δεδομένων το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, καθώς και το δικαίωμα δικαστικής προσφυγής και αποζημίωσης — εκθέτοντας τις επιχειρήσεις σε αγωγές από τρίτους των οποίων παραβιάστηκαν τα προσωπικά δεδομένα.

Πώς μπορούμε να βοηθήσουμε

Η συμμόρφωση με τον GDPR δεν είναι μία εφάπαξ ενέργεια, αλλά μια συνεχής διαδικασία που απαιτεί οργάνωση, τεκμηρίωση και σωστά τεχνικά και οργανωτικά μέτρα. Η Dynamic HSQE υποστηρίζει τις επιχειρήσεις στην κατανόηση των υποχρεώσεών τους και στην ενσωμάτωση της προστασίας δεδομένων στην καθημερινή τους λειτουργία.