Υψηλά πρόστιμα για διαρροή στοχείων προσωπικών δεδομένων

Νέος Ευρωπαϊκός Κανονισμός για προστασία προσωπικών δεδομένων αφορά όλεσ τις επιχειρήσεις

Το Επιμελητήριο Αιτωλοακαρνανίας έχοντας ως σκοπό την ενημέρωση και στήριξη των μελών του σχετικά με τον εξαιρετικά σημαντικό αυτό Γενικό Κανονισμό Προστασίας Προσωπικών Δεδομένων, θα διοργανώσει στο προσεχές χρονικό διάστημα ανοιχτή ενημερωτική εκδήλωση  με έγκριτους ομιλητές στην έδρα του Επιμελητηρίου στο Αγρίνιο.

Στις 27/4/2016 ψηφίστηκε ο Ευρωπαϊκός Κανονισμός 2016/679 (General Data Protection Regulation, GDPR) και τίθεται σε υποχρεωτική εφαρμογή για όλα τα κράτη μέλη της Ευρωπαϊκής Ένωσης στις 25/5/2018, διαμορφώνοντας ένα ενιαίο νομικό πλαίσιο, χωρίς την ανάγκη ψήφισης εθνικής νομοθεσίας και καταργώντας την υφιστάμενη νομοθεσία.

Ο νέος κανονισμός αυξάνει σημαντικά τις υποχρεώσεις των επιχειρήσεων, ενώ το μέγεθος των προβλεπόμενων προστίμων τον τοποθετεί πολύ υψηλά στην ατζέντα της ανώτατης διοίκησης.

Αντικείμενο του Γενικού Κανονισμού 2016/679

Η διαμόρφωση ενός ενιαίου νομικού πλαισίου για την επεξεργασία προσωπικών δεδομένων στα κράτη μέλη της Ευρωπαϊκής Ένωσης, που θέτει μία σειρά περιορισμών και νέων υποχρεώσεων στις επιχειρήσεις σχετικά με:

• την επεξεργασία προσωπικών δεδομένων σε όλο τον κύκλο ζωής τους, από τη συλλογή έως και την καταστροφή τους
• τη δυνατότητα μεταφοράς τους σε άλλες χώρες
• την προστασία των δικαιωμάτων φυσικών προσώπων
• την ασφάλεια (εμπιστευτικότητα, ακεραιότητα, διαθεσιμότητα) προσωπικών δεδομένων
• τις ενέργειες γνωστοποίησης που οφείλει να κάνει η επιχείρηση σε περίπτωση παραβίασης.

Σημαντικά αυξημένα πρόστιμα

Σε περίπτωση παράβασης προβλέπονται σημαντικά αυξημένα πρόστιμα, που ανάλογα με το είδος και το μέγεθός της, φθάνουν έως τα 20 εκατομμύρια ευρώ ή το 4% του παγκόσμιου ετήσιου κύκλου εργασιών.

Ποιους αφορά

Όλες τις ιδιωτικές και δημόσιες επιχειρήσεις, καθώς και τις κρατικές αρχές που με οποιοδήποτε τρόπο συγκεντρώνουν, επεξεργάζονται και εν γένει διαχειρίζονται δεδομένα προσωπικού χαρακτήρα πελατών, σχετιζόμενων με τους πελάτες τους, εργαζομένων, συνεργατών ή άλλων φυσικών προσώπων.

Ως εκ τούτου, o νέος κανονισμός αφορά πρακτικά όλες τις επιχειρήσεις, εντός και εκτός Ευρωπαϊκής Ένωσης, εφόσον τα δεδομένα αφορούν Ευρωπαίους πολίτες.

Υποχρεώσεις που ανακύπτουν

Οι επιχειρήσεις και οργανισμοί που υπόκεινται στην τήρηση του κανονισμού θα πρέπει:

→ Να τηρούν τις βασικές αρχές προστασίας των προσωπικών δεδομένων, δηλαδή να τα συλλέγουν για συγκεκριμένο νόμιμο σκοπό και μόνο όσα εξ’ αυτών είναι απαραίτητα

→ να μην τα υποβάλουν σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο με το σκοπό, να τα επικαιροποιούν

→ να τα αποθηκεύουν για το μικρότερο δυνατό χρονικό διάστημα που απαιτείται, να λαμβάνουν – κατά περίπτωση – την ελεύθερη και σαφή συγκατάθεση των φυσικών προσώπων

→ να τα μεταφέρουν σε χώρες εκτός ΕΕ μόνον υπό συγκεκριμένες προϋποθέσεις, να δίνουν πρόσβαση στα προσωπικά δεδομένα σε συνεργάτες τους μόνον υπό συγκεκριμένες συνθήκες και εφόσον αυτοί αποδεικνύουν τη συμμόρφωσή τους με τον νέο κανονισμό,

→ να αναπτύξουν ηλεκτρονικά εργαλεία για την έγκαιρη και δωρεάν ανταπόκριση σε αιτήματα για:

• ανάκληση της συγκατάθεσης
• πρόσβαση στα δεδομένα
• διόρθωση των δεδομένων
• διαγραφή των δεδομένων
• περιορισμό της επεξεργασίας
• παράδοση των δεδομένων σε ηλεκτρονική μορφή
• μεταφορά των δεδομένων σε άλλο φορέα

→ να γνωστοποιούν κατάλληλα και εγκαίρως στα φυσικά πρόσωπα τα δικαιώματά τους να εξασφαλίζουν την ασφάλεια των προσωπικών δεδομένων σε όλο τον κύκλο ζωής τους

→ να τηρούν σε αρχείο και να γνωστοποιούν κάθε παραβίαση των δεδομένων εντός 72 ωρών στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα και στα φυσικά πρόσωπα με απευθείας ενημέρωση ή δημόσια ανακοίνωση

→ να αποδεικνύουν ότι τηρούν όλες τις απαιτήσεις του Κανονισμού.

Προβλήματα που πρέπει να αντιμετωπιστούν

Οι επιχειρήσεις και οργανισμοί που υπόκεινται στην τήρηση του κανονισμού έχουν να αντιμετωπίσουν στα πλαίσια του νέου κανονισμού τα ακόλουθα προβλήματα:

• Ακριβής γνώση για το ποια δεδομένα συλλέγουν και επεξεργάζονται σε κάθε φάση των δραστηριοτήτων τους, ποιοι εμπλέκονται και με ποια εργαλεία και με ποιες διαδικασίες γίνεται η επεξεργασία αυτή
• Ακριβής καθορισμός και διαχωρισμός των επιχειρησιακών αναγκών, ώστε να διασφαλίζονται όλες οι απαιτούμενες συγκαταθέσεις του υποκειμένου και να μη γίνεται πλεονάζουσα επεξεργασία
• Συστηματικός έλεγχος για την κάλυψη των απαιτήσεων του κανονισμού σε κάθε στάδιο επεξεργασίας των δεδομένων
• Αξιολόγηση των κινδύνων που ενδέχεται να οδηγήσουν σε παραβίαση των προσωπικών δεδομένων, με αποτέλεσμα βαρύτατες οικονομικές κυρώσεις και επιπτώσεις στην εταιρική φήμη,
• Λήψη αποτελεσματικών ψηφιακών – με χρήση τεχνητής νοημοσύνης – μέτρων για τον περιορισμό του κινδύνου παραβιάσεων του κανονισμού, χωρίς να θίγονται οι επιχειρησιακές προτεραιότητες της επιχείρησης.

Αρχή Προστασίας Δεδομένων: Δέκα ερωτoαπαντήσεις για τα προσωπικά δεδομένα

1. Τι είναι τα δεδομένα προσωπικού χαρακτήρα (ή αλλιώς προσωπικά δεδομένα);

Προσωπικά δεδομένα είναι κάθε πληροφορία που αναφέρεται σε και περιγράφει ένα άτομο, όπως: στοιχεία αναγνώρισης (ονοματεπώνυμο, ηλικία, κατοικία, επάγγελμα, οικογενειακή κατάσταση κλπ.), φυσικά χαρακτηριστικά, εκπαίδευση, εργασία (προϋπηρεσία, εργασιακή συμπεριφορά κλπ), οικονομική κατάσταση (έσοδα, περιουσιακά στοιχεία, οικονομική συμπεριφορά), ενδιαφέροντα, δραστηριότητες, συνήθειες. Το άτομο (φυσικό πρόσωπο) στο οποίο αναφέρονται τα δεδομένα ονομάζεται υποκείμενο των δεδομένων.

2. Ποια είναι τα ευαίσθητα προσωπικά δεδομένα;

Ευαίσθητα χαρακτηρίζονται τα προσωπικά δεδομένα ενός ατόμου που αναφέρονται στη φυλετική ή εθνική του προέλευση, στα πολιτικά του φρονήματα, στις θρησκευτικές ή φιλοσοφικές του πεποιθήσεις, στη συμμετοχή του σε συνδικαλιστική οργάνωση, στην υγεία του, στην κοινωνική του πρόνοια, στην ερωτική του ζωή, τις ποινικές διώξεις και καταδίκες του, καθώς και στη συμμετοχή του σε συναφείς με τα ανωτέρω ενώσεις προσώπων. Τα ευαίσθητα δεδομένα προστατεύονται από τον Νόμο με αυστηρότερες ρυθμίσεις από ότι τα απλά προσωπικά δεδομένα.

3. Τι σημαίνει “επεξεργασία προσωπικών δεδομένων”;

Είναι κάθε εργασία που πραγματοποιείται σε δεδομένα προσωπικού χαρακτήρα, όπως: συλλογή, καταχώριση, οργάνωση, διατήρηση ή αποθήκευση, τροποποίηση, εξαγωγή, χρήση, διαβίβαση, διάδοση, συσχέτιση ή συνδυασμός, διασύνδεση, δέσμευση, διαγραφή, καταστροφή.

Κάθε φυσικό ή νομικό πρόσωπο του δημόσιου ή ιδιωτικού τομέα που τηρεί και επεξεργάζεται προσωπικά δεδομένα ονομάζεται υπεύθυνος επεξεργασίας.

Κάθε φυσικό ή νομικό πρόσωπο του δημόσιου ή ιδιωτικού τομέα που επεξεργάζεται δεδομένα για λογαριασμό κάποιου υπεύθυνου επεξεργασίας ονομάζεται εκτελών την επεξεργασία.

4. Ποια είναι η νομοθεσία για τα προσωπικά δεδομένα στην Ελλάδα;

Στην Ελλάδα ισχύει ο Νόμος 2472/1997 για την προστασία των προσωπικών δεδομένων, ο οποίος εποπτεύεται από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Επίσης, ισχύει ο Νόμος 3471/2006 για την προστασία των προσωπικών δεδομένων στις ηλεκτρονικές επικοινωνίας.

5. Ποιους αφορά ο Νόμος για τα προσωπικά δεδομένα;

Ο Ν. 2472/1997 αφορά κάθε φυσικό πρόσωπο που βρίσκεται εν ζωή. Τα νομικά πρόσωπα δεν έχουν προσωπικά δεδομένα.

6. Πότε επιτρέπεται η επεξεργασία των προσωπικών δεδομένων;

Η επεξεργασία προσωπικών δεδομένων επιτρέπεται μόνο όταν το άτομο έχει δώσει τη συγκατάθεσή του.Κατ΄ εξαίρεση επιτρέπεται η επεξεργασία και χωρίς συγκατάθεση όταν συντρέχουν οι προϋποθέσεις που ορίζει ο Νόμος 2472/1997 στο άρθρο 5.

7. Πότε επιτρέπεται η επεξεργασία των ευαίσθητων προσωπικών δεδομένων;

Η επεξεργασία ευαίσθητων προσωπικών δεδομένων επιτρέπεται μόνο εφόσον ισχύει μία τουλάχιστον από τις εξαιρέσεις που ορίζει ο Νόμος 2472/1997 στο άρθρο 7.

8. Τι σημαίνει γνωστοποίηση και άδεια τήρησης αρχείου;

Κάθε υπεύθυνος επεξεργασίας οφείλει να γνωστοποιεί στην Αρχή την επεξεργασία προσωπικών δεδομένων που πραγματοποιεί, εκτός αν εμπίπτει σε μία από τις περιπτώσεις του αρ. 7Α του Ν. 2472/1997.

Η Αρχή καταχωρεί τη γνωστοποίηση σε ειδικό μητρώο.

Όταν η επεξεργασία αφορά ευαίσθητα δεδομένα, ο υπεύθυνος επεξεργασίας μπορεί να την πραγματοποιήσει μόνο μετά από άδεια της Αρχής, η οποία χορηγείται με ειδικούς όρους και προϋποθέσεις. Άδεια επίσης μπορεί να απαιτείται για τη διαβίβαση δεδομένων σε χώρα εκτός Ε.Ε., καθώς και για τη διασύνδεση αρχείων.

9. Πώς μπορώ να γνωρίζω αν κάποιοι έχουν τα προσωπικά μου δεδομένα και τα χρησιμοποιούν παράνομα;

Η καλύτερη μέθοδος είναι η πρόληψη. Ο καθένας μας πρέπει να είναι ευαισθητοποιημένος, να μη δίνει τα στοιχεία του ανεξέλεγκτα, να περιορίζεται στα απολύτως απαραίτητα και, αν αντιμετωπίσει πρόβλημα, να ακολουθήσει τη διαδικασία που προβλέπει ο Ν. 2472/97.

10. Έχει η Αρχή στην κατοχή της αρχεία με προσωπικά μου δεδομένα;

Όχι. Στην Αρχή γνωστοποιείται μόνο η επεξεργασία αρχείων με προσωπικά δεδομένα. Η Αρχή δεν γνωρίζει το περιεχόμενο των αρχείων αλλά μόνο τα κύρια χαρακτηριστικά τους καθώς και τον υπεύθυνο επεξεργασίας των αρχείων.