Τι είναι ο Γενικός Κανονισμός για την Προστασία Δεδομένων;
Ο γενικός κανονισμός για την προστασία δεδομένων (GDPR) ψηφίστηκε στις 27 Απριλίου 2016 και έγινε υποχρεωτικό για όλα τα κράτη μέλη της Ευρωπαϊκής Ένωσης στις 25 Μαΐου 2018, δημιουργώντας ένα ενιαίο νομικό πλαίσιο χωρίς την ανάγκη εθνικής νομοθεσίας και καταργώντας την υφιστάμενη νομοθεσία. Ο νέος κανονισμός αυξάνει σημαντικά τις υποχρεώσεις των οργανισμών, ενώ η σημασία των προστίμων το θέτει ως προτεραιότητα για την ατζέντα ανώτατης διαχείρισης.
Ποιες επιχειρήσεις αφορά;
Όλες τις ιδιωτικές και δημόσιες επιχειρήσεις, καθώς και τις κρατικές αρχές που με οποιοδήποτε τρόπο διαχειρίζονται προσωπικά δεδομένα πελατών, πελατών των πελατών τους, εργαζομένων, συνεργατών ή άλλων φυσικών προσώπων. O GDPR αφορά πρακτικά όλες τις επιχειρήσεις, εντός και εκτός Ευρωπαϊκής Ένωσης, εφόσον τα δεδομένα αφορούν Ευρωπαίους πολίτες.
Ποιες υποχρεώσεις προβλέπονται για τις επιχειρήσεις;
- να τηρούν τις βασικές αρχές προστασίας των προσωπικών δεδομένων, δηλαδή να τα συλλέγουν για συγκεκριμένο νόμιμο σκοπό και μόνο όσα εξ’ αυτών είναι απαραίτητα, να μην τα υποβάλουν σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο με το σκοπό, να τα επικαιροποιούν, να τα αποθηκεύουν για το ελάχιστο χρονικό διάστημα που απαιτείται, να λαμβάνουν κατά περίπτωση την ελεύθερη και σαφή συγκατάθεση των φυσικών προσώπων
- να τα μεταφέρουν σε χώρες εκτός ΕΕ μόνον υπό συγκεκριμένες προϋποθέσεις
- δίνουν πρόσβαση στα προσωπικά δεδομένα στους συνεργάτες τους, μόνο υπό ορισμένες συνθήκες και εφόσον αποδεικνύουν τη συμμόρφωσή τους με τον GDPR
- να αναπτύξουν ηλεκτρονικά εργαλεία για την έγκαιρη και δωρεάν ανταπόκριση σε αιτήματα για:
- ανάκληση της συγκατάθεσης
- πρόσβαση στα δεδομένα
- διόρθωση των δεδομένων ή διαγραφή των δεδομένων
- περιορισμό της επεξεργασίας
- παράδοση δεδομένων σε ηλεκτρονική μορφή
- μεταφορά δεδομένων σε άλλο φορέα
- να γνωστοποιούν κατάλληλα και εγκαίρως στα φυσικά πρόσωπα τα δικαιώματά τους
- να εξασφαλίζουν την ασφάλεια των προσωπικών δεδομένων σε όλο τον κύκλο ζωής τους
- να τηρούν σε αρχείο και να γνωστοποιούν κάθε παραβίαση των δεδομένων εντός 72 ωρών στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα και στα φυσικά πρόσωπα με απευθείας ενημέρωση ή δημόσια ανακοίνωση
- να αποδεικνύουν ότι τηρούν όλες τις απαιτήσεις του Κανονισμού.