Αν και οι επιχειρήσεις όχι μόνο της Λάρισας αλλά και σε όλη τη χώρα βρίσκονται σε συναγερμό προσπαθώντας να προλάβουν τους χρόνους συμμόρφωσης με τους νέους κανόνες, λόγω και των βαρύτατων κυρώσεων που επισείει η παράβασή τους (έως και τα 20 εκ. ευρώ ή έως το 4% του συνολικού ετήσιου κύκλου εργασιών τους) ωστόσο ο δείκτης της ετοιμότητάς τους είναι σε χαμηλά επίπεδα. Επί της ουσίας η πλειοψηφία των επιχειρηματιών δεν γνωρίζει τι εστί ο κανονισμός, πόσο μάλλον να έχουν προετοιμαστεί για το νέο θεσμικό πλαίσιο. Πόσοι επί παραδείγματι γνωρίζουν ότι δεν θα μπορούν να προσθέτουν νέες διευθύνσεις στις λίστες ηλεκτρονικού ταχυδρομείου τους ή να στέλνουν μη στοχευμένες επικοινωνίες σε όλους τους εγγεγραμμένους χρήστες τους;
Προ ημερών το Επιμελητήριο Λάρισας ανέλαβε την πρωτοβουλία και διοργάνωσε μια ενημερωτική εκδήλωση, που είχε ως στόχο την ευαισθητοποίηση των επιχειρηματιών και επιτηδευματιών του νομού, προκειμένου να κατανοήσουν τις απαιτήσεις του κανονισμού ώστε να είναι σε θέση να προβούν σε ενέργειες συμμόρφωσης.
Ομιλητές ήταν διακεκριμένα στελέχη της ομάδας εργασίας του ομίλου "Ευρωπρόοδος" μεταξύ των οποίων και ο δικηγόρος Ιωάν. Σαρακηνός με εκτεταμένη εμπειρία σε ζητήματα επεξεργασίας Προσωπικών Δεδομένων, από τον οποίο ζητήσαμε να εξηγήσει κάποιες πτυχές του Κανονισμού και να αναδείξει το επίπεδο ετοιμότητας της επιχειρηματικής κοινότητας.
Ο κ. Σαρακηνός αποσαφηνίζοντας πως ο κανονισμός προτάσσει ως κύριο μέλημα την προστασία του πολίτη, αφορά σε επιχειρήσεις που διαχειρίζονται προσωπικά δεδομένα πελατών, επιβεβαίωσε το αυτονόητο, πως όσες επιχειρήσεις δεν ξεκίνησαν… χθες την διαδικασία συμμόρφωσης, είναι σχεδόν απίθανο να προλάβουν.
Επισημαίνοντας επίσης πως ο κανονισμός δίνει ιδιαίτερη σημασία στο θέμα της συγκατάθεσης υποχρεώνει τις εταιρείες να καθαρίσουν από δεδομένα που διατηρούν ενώ δεν θα έπρεπε… Συνεπώς όλες οι επιχειρήσεις θα έπρεπε ήδη να έχουν κάνει μια «χαρτογράφηση» των ροών προσωπικών δεδομένων και μεταξύ άλλων να έχουν διερευνήσει πως αποκτήθηκαν, για ποιο σκοπό αποκτήθηκαν, ποιος έχει πρόσβαση σε αυτά, ποια τεχνικά και οργανωτικά μέτρα έχουν ληφθεί για την προστασία τους, να έχουν εντοπίσει υφιστάμενα κενά, να έχουν προχωρήσει στην υιοθέτηση των αναγκαίων τεχνικών και οργανωτικών μέτρων για την ασφάλεια των δεδομένων, να έχουν διορίσει υπεύθυνο προστασίας δεδομένων…
"Πρακτικά ελάχιστοι είναι εκείνοι που έχουν ολοκληρώσει το συγκεκριμένο έργο" αποκαλύπτει ο κ. Σαρακηνός…
* Τι είναι ο κανονισμός GDPR κ. Σαρακηνέ και για ποιο λόγο θεσπίστηκε;
- Οι ραγδαίες εξελίξεις στην τεχνολογία, στα μέσα δικτύωσης και η παγκοσμιοποίηση στην κοινωνία της πληροφορίας δημιούργησαν νέες προκλήσεις για την προστασία των δεδομένων προσωπικού χαρακτήρα των φυσικών προσώπων και επέβαλαν την ύπαρξη μίας αναθεωρημένης, ενιαίας και συνεκτικότερης προσέγγισης, με κανόνες που θα ρυθμίζουν την προστασία των προσωπικών δεδομένων των φυσικών προσώπων με τέτοιο τρόπο που αφενός δεν θα επιτρέπει την εκμετάλλευση και καταχρηστική επεξεργασία τους και αφετέρου θα δίνει στα φυσικά πρόσωπα μεγαλύτερο και αμεσότερο έλεγχο των προσωπικών δεδομένων τους. Η ιδιωτικότητα και το δικαίωμα του ατόμου να γνωρίζει ποιός, που, πότε και για ποιό σκοπό επεξεργάζεται τα προσωπικά του δεδομένα έπρεπε να προστατευτεί αποτελεσματικότερα και πιο ενισχυμένα.
* Που θα βρει πρακτική εφαρμογή ο κανονισμός; Δώστε μας κάποια παραδείγματα.
- Ο Κανονισμός θα εφαρμοστεί σε κάθε μορφής επεξεργασία (όπως συλλογή, καταχώριση, οργάνωση, αποθήκευση, μεταβολή, ανάκτηση, αναζήτηση πληροφοριών, διαγραφή) προσωπικών δεδομένων φυσικών προσώπων (πελατών, υπαλλήλων ή τρίτων)που θα πραγματοποιείται από νομικά πρόσωπα, οποιασδήποτε εμπορικής μορφής (π.χ. Α.Ε., Ε.Π.Ε., Ι.Κ.Ε., ατομική επιχείρηση).Αυτό πρακτικά σημαίνει ότι ο Κανονισμός θα πρέπει να εφαρμοστεί από την ατομική επιχείρηση που απασχολεί 2-3 εργαζομένους ή και κανένα, μέχρι την μεγάλη επιχείρηση με πολλούς υπαλλήλους, πελάτες, προμηθευτές και τον Δήμο και τους λοιπούς φορείς του δημοσίου. Διευκρινίζεται ότι ο Κανονισμός δεν εφαρμόζεται στην επεξεργασία δεδομένων νομικών προσώπων, αποθανόντων ή από φυσικό πρόσωπο στο πλαίσιο αποκλειστικά προσωπικής ή οικιακής δραστηριότητας (χωρίς σύνδεση δηλαδή της επεξεργασίας με κάποια επαγγελματική ή εμπορική δραστηριότητα).
Παράδειγμα εφαρμογής του Κανονισμού: Μια εταιρεία με επαγγελματική εγκατάσταση στην Ε.Ε. παρέχει ιατρικές, αγροτικές ή τουριστικές υπηρεσίες σε πελάτες που βρίσκονται οπουδήποτε στον κόσμο (εντός-εκτός Ε.Ε.) και σε αυτό το πλαίσιο υποβάλλει σε επεξεργασία δεδομένα προσωπικού χαρακτήρα φυσικών προσώπων (πελατών, υπαλλήλων ή τρίτων).
Παράδειγμα μη εφαρμογής του Κανονισμού: Η περιήγησή ενός φυσικού προσώπου σε μια πλατφόρμα κοινωνικής δικτύωσης (π.χ. Facebook) για καθαρά προσωπικούς, ψυχαγωγικούς ή επικοινωνιακούς, σκοπούς.
* Πώς επηρεάζει δηλαδή ο κανονισμός τις επιχειρήσεις και πώς θα αντιμετωπίσει μια παραβίαση δεδομένων;
- Οι επιχειρήσεις πλέον καλούνται να ασχοληθούν και επίσημα με την προετοιμασία των συστημάτων στα οποία τηρούν προσωπικά δεδομένα φυσικών προσώπων (πελατών, υπαλλήλων ή τρίτων). Αυτό θα πρέπει να γίνει αφενός μέσω της συμμόρφωσης τους με τις υποχρεώσεις που θέτει ο Κανονισμός, μέχρι τις 25.05.2018, και αφετέρου, μετά τις 25.05.2018, παρακολουθώντας τακτικά την συμμόρφωσή τους και διασφαλίζοντας ότι κάθε επεξεργασία προσωπικών δεδομένων στην οποία προβένουν, διενεργείται σύμφωνα με τον Κανονισμό. Πρακτικά αυτό σημαίνει ότι οι επιχειρήσεις θα πρέπει, μεταξύ άλλων: να γνωστοποιούν στα φυσικά πρόσωπα ποιοί είναι όταν ζητούν τα προσωπικά δεδομένα τους καθώς και τον λόγο που τα ζητούν (τι θα τα κάνουν), να ενημερώνουν τα φυσικά πρόσωπα για πόσο καιρό θα φυλάξουν τα προσωπικά δεδομένα τους και ποιός θα τα λαμβάνει κ.α.
Σε περίπτωση παραβίασης δεδομένων, η επιχείρηση που κάνει την επεξεργασία οφείλει πλέον να γνωστοποιεί αμελλητί και, αν είναι δυνατό, εντός 72 ωρών από τη στιγμή που αποκτά γνώση του γεγονότος της παραβίασης των δεδομένων προσωπικού χαρακτήρα στην αρμόδια Αρχή (στην Ελλάδα είναι Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα). Αν καθυστερήσει να το κάνει, πρέπει να αιτιολογήσει την καθυστέρηση.
* Πώς μια επιχείρηση πρέπει να ξεκινήσει το σχεδιασμό της προκειμένου να ικανοποιήσει τα κριτήρια του GDPR;
- Αρχικά, θα πρέπει να ξεκινήσει την διαδικασία συμμόρφωσης της με τον Κανονισμό. Αυτό πρακτικά σημαίνει ότι θα πρέπει να κάνει καταγραφή των δεδομένων των πελατών, των υπαλλήλων ή των τρίτων που επεξεργάζεται, να ενημερωθεί το ανθρώπινο δυναμικό της για τις επερχόμενες μεταβολές, να αξιολογηθούν οι πιθανοί κίνδυνοι για τα προσωπικά δεδομένα που συλλέγει και επεξεργάζεται και, αν κριθεί απαραίτητο, να διαμορφώσει στρατηγική αντιμετώπισης των πιθανών κινδύνων με τεχνικά και οργανωτικά μέτρα. Επίσης, η επιχείρηση θα πρέπει να εξετάσει το ενδεχόμενο υποχρέωσης διορισμού Υπεύθυνου Προστασίας Δεδομένων (DPO).
- Μπορεί να επιτύχει συμμόρφωση αν προμηθευτεί ένα συγκεκριμένο είδος τεχνολογικού εξοπλισμού;
- Δεν αρκεί. Η διαδικασία συμμόρφωσης είναι πολύ επίπεδη και απαιτείται η συνδρομή και γνώση πολλών ειδικοτήτων και επιστημόνων.
* Τι συμβαίνει αν η έδρα της εταιρείας είναι εκτός ΕΕ; Είναι και πάλι υποχρεωτική η συμμόρφωση;
- Ναι. Ο Κανονισμός δύναται να εφαρμοστεί και σε εταιρίες με έδρα εκτός ΕΕ υπό προϋποθέσεις.
* Ποιος είναι ο ρόλος του Υπευθύνου Προστασίας Δεδομένων (DPO) και ποιοί υποχρεούνται να τον ορίσουν;
- Ο Υπεύθυνος Προστασίας Δεδομένων έχει ως βασικό ρόλο να ενημερώνει και να συμβουλεύει την εταιρεία για τις υποχρεώσεις της βάσει του Κανονισμού, να την συμβουλεύει σχετικά με τυχόν ενέργειες και να ενεργεί ως σημείο επικοινωνίας με την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Η επιχείρηση οφείλει να ορίσει εφόσον οι βασικές δραστηριότητες που ασκεί περιλαμβάνουν την επεξεργασία ευαίσθητων δεδομένων (ενδεικτικά, ευαίσθητα δεδομένα είναι η φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, οι θρησκευτικές ή φιλοσοφικές πεποιθήσεις) σε μεγάλη κλίμακα ή την τακτική και συστηματική παρακολούθηση σε μεγάλη κλίμακα φυσικών προσώπων. Οι δημόσιοι φορείς και αρχές έχουν πάντα την υποχρέωση να ορίσουν (με εξαίρεση τα δικαστήρια).
* Σύμφωνα με τα στοιχεία σας πόσο έτοιμες είναι οι ελληνικές επιχειρήσεις να εφαρμόσουν τον κανονισμό; Επαρκεί ο χρόνος μέχρι την 25η Μαΐου;
- Πολλές ελληνικές επιχειρήσεις αλλά και φορείς του δημοσίου ασχολούνται με το θέμα της συμμόρφωσης, αλλά πρακτικά ελάχιστοι είναι εκείνοι που έχουν ολοκληρώσει το συγκεκριμένο έργο. Πάντως, αρκετές καθυστερήσεις στην συμμόρφωση παρουσιάζονται και σε επιχειρήσεις άλλων ευρωπαϊκών χωρών. Όποια επιχείρηση δεν ξεκινήσει χθες την διαδικασία συμμόρφωσης, είναι σχεδόν απίθανο να προλάβει.
Του Γιώργου Νούλη
Ποια είναι τα προσωπικά δεδομένα
Δεδομένα προσωπικού χαρακτήρα είναι κάθε πληροφορία που αφορά φυσικό πρόσωπο, με βάση την οποία ταυτοποιείται/αναγνωρίζεται. Αυτό μπορεί να είναι το όνομα, επώνυμο, ο ΑΦΜ, ο ΑΜΚΑ, καθώς και οποιαδήποτε άλλη πληροφορία μέσα από την οποία μπορεί να εξακριβωθεί, άμεσα ή έμμεσα η ταυτότητα ενός ατόμου.
Σε συγκεκριμένες περιπτώσεις και υπό προϋποθέσεις, επιτρέπεται για τα δεδομένα αυτά η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή. Όλες οι παραπάνω ενέργειες ονομάζονται επεξεργασία προσωπικών δεδομένων.
