Πολιτική απορρήτου

ΠΟΛΙΤΙΚΗ ΑΣΦΑΛΕΙΑΣ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ

 

 

ECOMPORATE Maksymilian Polkowski
Szlak 77/222, 31-153 Kraków
e-mail: alkogames.contact@gmail.com
www: alkogames.pl/cz/sk/de/at/hu/ro/es/pt/gr/eu

NIP: 6821812937 | REGON: 543921159

 

Ημερομηνία κατάρτισης:	17.02.2026
Ημερομηνία εφαρμογής:	17.02.2026
Το έγγραφο εγκρίθηκε και εφαρμόστηκε από:	Maksymilian Polkowski

 

I.             Σκοπός, πεδίο εφαρμογής και ορισμοί που χρησιμοποιούνται στο έγγραφο

1.    Σκοπός της Πολιτικής

1.1  Σκοπός της κατάρτισης και εφαρμογής της παρούσας Πολιτικής ασφαλείας είναι η περιγραφή των τεχνικών και οργανωτικών μέτρων που εφαρμόζονται εντός της ECOMPORATE Maksymilian Polkowski (στο εξής ως Υπεύθυνος επεξεργασίας) και διασφαλίζουν την προστασία των δεδομένων προσωπικού χαρακτήρα που υφίστανται επεξεργασία, κατάλληλα για τον κίνδυνο παραβίασης δικαιωμάτων και ελευθεριών σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα.

1.2  Η Πολιτική ασφαλείας αποσκοπεί στο να καταστήσει δυνατή την προσήκουσα εκπλήρωση των υποχρεώσεων του Υπευθύνου επεξεργασίας – ECOMPORATE Maksymilian Polkowski. Η Πολιτική ασφαλείας δεδομένων προσωπικού χαρακτήρα καταρτίστηκε σύμφωνα με τις διατάξεις του Κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ.

1.3  Το παρόν έγγραφο θα εφαρμοστεί μέσω της δημοσίευσής του εντός του οργανισμού και της ενημέρωσης σχετικά με αυτό των προσώπων που είναι εξουσιοδοτημένα να επεξεργάζονται δεδομένα προσωπικού χαρακτήρα, καθώς και άλλων προσώπων που έχουν πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που επεξεργάζεται ο Υπεύθυνος επεξεργασίας.

2.    Πεδίο εφαρμογής και εξαιρέσεις από την εφαρμογή

2.1  Η Πολιτική καλύπτει στο πεδίο εφαρμογής της όλα τα δεδομένα προσωπικού χαρακτήρα που επεξεργάζεται ο Υπεύθυνος επεξεργασίας.

2.2  Οι διατάξεις και οι απαιτήσεις της παρούσας Πολιτικής μπορούν να εξαιρεθούν μόνο όταν οι ισχύουσες διατάξεις του νόμου προβλέπουν τέτοια εξαίρεση.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

3.    Ορισμοί

1.	Υπεύθυνος επεξεργασίας	ECOMPORATE Maksymilian Polkowski, Szlak 77/222, 31-153 Kraków, e-mail: alkogames.contact@gmail.com, www: alkogames.pl/cz/sk/de/at/hu/ro/es/pt/gr/eu, όσον αφορά δεδομένα για τα οποία αποφασίζει σχετικά με τους σκοπούς και τα μέσα της επεξεργασίας
2.	Δεδομένα προσωπικού χαρακτήρα	νοούνται κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, αριθμός ταυτότητας, δεδομένα θέσης, επιγραμμικό αναγνωριστικό ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου·
3.	Ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα	δεδομένα που αποκαλύπτουν φυλετική ή εθνοτική καταγωγή, πολιτικά φρονήματα, θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή συμμετοχή σε συνδικαλιστική οργάνωση, επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων με σκοπό την αδιαμφισβήτητη ταυτοποίηση φυσικού προσώπου ή δεδομένων που αφορούν την υγεία ή τη σεξουαλική ζωή ή τον γενετήσιο προσανατολισμό φυσικού προσώπου, καθώς και δεδομένα ποινικών καταδικών και αδικημάτων ή συναφών μέτρων ασφαλείας·
4.	Πρόεδρος της Αρχής	Ο Πρόεδρος της Πολωνικής Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα·
5.	Ακεραιότητα των δεδομένων	ιδιότητα που διασφαλίζει ότι τα δεδομένα προσωπικού χαρακτήρα δεν έχουν τροποποιηθεί ή καταστραφεί κατά τρόπο μη εξουσιοδοτημένο·
6.	Παραβίαση δεδομένων προσωπικού χαρακτήρα	νοείται η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν άλλως σε επεξεργασία·
7.	Εξουσιοδοτημένο πρόσωπο	πρόσωπο που διαθέτει εξουσιοδότηση για επεξεργασία δεδομένων προσωπικού χαρακτήρα εξ ονόματος του Υπευθύνου επεξεργασίας
8.	Υποκείμενο των δεδομένων (ή κάτοχος των δεδομένων)	κάθε φυσικό πρόσωπο του οποίου τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία από τον Υπεύθυνο επεξεργασίας ή κατ' εντολή του Υπευθύνου επεξεργασίας σε σχέση με τη δραστηριότητα που ασκεί·
9.	Εμπιστευτικότητα των δεδομένων	ιδιότητα που διασφαλίζει ότι τα δεδομένα δεν κοινοποιούνται σε μη εξουσιοδοτημένες οντότητες,
10.	Εργαζόμενος	πρόσωπο που έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα και παρέχει εργασία υπέρ του Υπευθύνου επεξεργασίας βάσει εργασιακής σχέσης·
11.	Τρίτος	νοείται κάθε φυσικό ή νομικό πρόσωπο, δημόσια αρχή, υπηρεσία ή φορέας, με εξαίρεση το υποκείμενο των δεδομένων, τον υπεύθυνο επεξεργασίας, τον εκτελούντα την επεξεργασία και τα πρόσωπα που, υπό την άμεση εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, είναι εξουσιοδοτημένα να επεξεργάζονται δεδομένα προσωπικού χαρακτήρα·
12.	Εκτελών την επεξεργασία (Επεξεργαστής)	νομικό πρόσωπο, φυσικό πρόσωπο, οργανωτική μονάδα χωρίς νομική προσωπικότητα ή άλλος φορέας που δεν αποφασίζει σχετικά με τους σκοπούς και τα μέσα επεξεργασίας δεδομένων προσωπικού χαρακτήρα, στον οποίο ο Υπεύθυνος επεξεργασίας ανέθεσε την επεξεργασία δεδομένων προσωπικού χαρακτήρα και με τον οποίο συνήψε Σύμβαση ανάθεσης επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά την έννοια του άρθρου 28 του ΓΚΠΔ·
13.	Επεξεργασία δεδομένων προσωπικού χαρακτήρα	νοείται κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή·
14.	Πολιτική	το παρόν έγγραφο, δηλαδή η Πολιτική ασφαλείας δεδομένων προσωπικού χαρακτήρα
15.	Λογοδοσία	ιδιότητα που καθιστά δυνατή την απόδειξη της συμμόρφωσης του Υπευθύνου επεξεργασίας με τις διατάξεις του ΓΚΠΔ·
16.	ΓΚΠΔ ή Κανονισμός	Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ·
17.	Ψευδωνυμοποίηση	νοείται η επεξεργασία δεδομένων προσωπικού χαρακτήρα με τρόπο ώστε τα δεδομένα να μην μπορούν πλέον να αποδοθούν σε συγκεκριμένο υποκείμενο των δεδομένων χωρίς τη χρήση συμπληρωματικών πληροφοριών, εφόσον οι εν λόγω συμπληρωματικές πληροφορίες διατηρούνται χωριστά και υπόκεινται σε τεχνικά και οργανωτικά μέτρα που διασφαλίζουν ότι δεν μπορούν να αποδοθούν σε ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο·
18.	Αρχείο δραστηριοτήτων επεξεργασίας	αρχείο που τηρεί ο Υπεύθυνος επεξεργασίας και περιλαμβάνει τουλάχιστον τα ακόλουθα στοιχεία: a) το όνομα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και κάθε από κοινού υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας και του υπευθύνου προστασίας δεδομένων· b) τους σκοπούς της επεξεργασίας· c) περιγραφή των κατηγοριών υποκειμένων των δεδομένων και των κατηγοριών δεδομένων προσωπικού χαρακτήρα· d) τις κατηγορίες αποδεκτών στους οποίους πρόκειται να γνωστοποιηθούν ή γνωστοποιήθηκαν τα δεδομένα προσωπικού χαρακτήρα, περιλαμβανομένων των αποδεκτών σε τρίτες χώρες ή διεθνείς οργανισμούς· e) κατά περίπτωση, τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα σε τρίτη χώρα ή διεθνή οργανισμό, συμπεριλαμβανομένου του προσδιορισμού της εν λόγω τρίτης χώρας ή του διεθνούς οργανισμού και, σε περίπτωση διαβιβάσεων που αναφέρονται στο άρθρο 49 παράγραφος 1 δεύτερο εδάφιο, την τεκμηρίωση των κατάλληλων εγγυήσεων· f) εάν είναι δυνατόν, τις προβλεπόμενες προθεσμίες διαγραφής των διάφορων κατηγοριών δεδομένων· g) εάν είναι δυνατόν, γενική περιγραφή των τεχνικών και οργανωτικών μέτρων ασφάλειας που αναφέρονται στο άρθρο 32 παράγραφος 1.
19.	Καταγγελία	κάθε έγγραφο (σε έντυπη ή ηλεκτρονική μορφή) που διαβιβάζεται από το υποκείμενο των δεδομένων (κάτοχο των δεδομένων) ή τον Πρόεδρο της Αρχής, από το περιεχόμενο του οποίου προκύπτει δυσαρέσκεια ή αίτημα διευκρινίσεων / πληροφοριών σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα από τον Υπεύθυνο επεξεργασίας
20.	Πληροφοριακό σύστημα (ή σύστημα IT)	σύνολο συνεργαζόμενων μεταξύ τους συσκευών, προγραμμάτων, διαδικασιών επεξεργασίας πληροφοριών και λογισμικών εργαλείων που χρησιμοποιούνται για την επεξεργασία δεδομένων·
21.	Νόμος	Ο πολωνικός νόμος της 10ης Μαΐου 2018 για την προστασία των δεδομένων προσωπικού χαρακτήρα·
22.	Εξουσιοδότηση	ένα από τα ακόλουθα: - έγγραφη εξουσιοδότηση που εκδόθηκε βάσει του άρθρου 29 του ΓΚΠΔ για την επεξεργασία δεδομένων προσωπικού χαρακτήρα και χορηγήθηκε στον Εργαζόμενο, τον Συνεργάτη ή τον εργαζόμενο του Εκτελούντος την επεξεργασία από τον εταίρο της εταιρείας, - Σύμβαση ανάθεσης επεξεργασίας δεδομένων προσωπικού χαρακτήρα που συνήφθη εγγράφως κατά την έννοια του άρθρου 28 του ΓΚΠΔ·
23.	Συνεργάτης	πρόσωπο που έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα και εκτελεί προσωπικά και άμεσα καθήκοντα / υπηρεσίες υπέρ του Υπευθύνου επεξεργασίας βάσει άλλης νομικής βάσης πλην εργασιακής σχέσης, ανεξάρτητα από την ονομασία ή το είδος της σύμβασης που συνδέει τα μέρη·
24.	Ασφάλεια των δεδομένων	εφαρμογή και λειτουργία κατάλληλων τεχνικών και οργανωτικών μέτρων που διασφαλίζουν την προστασία των δεδομένων από τη μη εξουσιοδοτημένη επεξεργασία τους·
25.	Συγκατάθεση του υποκειμένου των δεδομένων	νοείται κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, ρητή και με πλήρη επίγνωση, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν·

 

II.            Υποχρεώσεις της ECOMPORATE Maksymilian Polkowski ως Υπευθύνου επεξεργασίας

1.    Υποχρέωση πλήρωσης των νομικών βάσεων για την επεξεργασία δεδομένων προσωπικού χαρακτήρα

1.1    Κάθε Εργαζόμενος και Συνεργάτης υποχρεούται, πριν από τη λήψη απόφασης για τον καθορισμό σκοπού επεξεργασίας ή για την επέκταση του φάσματος των δεδομένων προσωπικού χαρακτήρα που συλλέγονται πέραν του ισχύοντος σκοπού επεξεργασίας που ορίζεται στο Αρχείο δραστηριοτήτων επεξεργασίας (ΑΔΕ), να υποδείξει και να εφαρμόσει τη νομική βάση (από τον ΓΚΠΔ) που νομιμοποιεί την επεξεργασία των εν λόγω δεδομένων.

2.    Υποχρέωση ενημέρωσης του υποκειμένου των δεδομένων σύμφωνα με τα άρθρα 13 και 14 του ΓΚΠΔ

2.1  Κάθε Εργαζόμενος, Συνεργάτης που συλλέγει (αποκτά) δεδομένα προσωπικού χαρακτήρα υποχρεούται, κατά τη στιγμή της συλλογής τους απευθείας από τον κάτοχο των δεδομένων, να ενημερώσει τον κάτοχο των δεδομένων (π.χ. με την παρουσίαση της κατάλληλης ρήτρας) σύμφωνα με τις προετοιμασμένες ρήτρες ενημέρωσης που αφορούν το άρθρο 13 του ΓΚΠΔ.

2.2  Σε περίπτωση συλλογής δεδομένων από τρίτους, άρα όχι απευθείας από τον κάτοχο των δεδομένων, πρέπει να παρέχεται ενημέρωση χωρίς καθυστέρηση μετά την καταχώριση των δεδομένων σχετικά με τις περιστάσεις της επεξεργασίας σύμφωνα με τις ρήτρες ενημέρωσης που αφορούν το άρθρο 14 του ΓΚΠΔ.

2.3  Σε περίπτωση χρήσης πληροφοριακών συστημάτων που συλλέγουν αυτόματα δεδομένα προσωπικού χαρακτήρα, πρέπει να διασφαλίζεται ότι το σύστημα αυτό παρέχει τις πληροφορίες που αναφέρονται στα ανωτέρω σημεία.

2.4  Σε περίπτωση προσφυγής σε τρίτους φορείς (π.χ. διαφημιστικά γραφεία, γραφεία προσλήψεων), πρέπει να διασφαλίζεται στη σύμβαση με τον φορέα αυτόν ότι κατά τη συλλογή δεδομένων προσωπικού χαρακτήρα ο φορέας θα εκπληρώνει την υποχρέωση ενημέρωσης εξ ονόματος του Υπευθύνου επεξεργασίας σύμφωνα με το σημείο 2.2. 1) ή 2.2. 2).

3.    Υποχρέωση τήρησης των αρχών επεξεργασίας που περιγράφονται στο άρθρο 5 του ΓΚΠΔ

3.1  Κατά τις διαδικασίες επεξεργασίας δεδομένων προσωπικού χαρακτήρα πρέπει να επιδεικνύεται ιδιαίτερη επιμέλεια για την προστασία των συμφερόντων των υποκειμένων των δεδομένων, ιδίως για την τήρηση των αρχών που ορίζονται στα σημεία 5–7 της Πολιτικής. Η υποχρέωση αυτή αφορά τόσο τους Εργαζομένους και τους Συνεργάτες όσο και τους φορείς που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα εξ ονόματος του Υπευθύνου επεξεργασίας βάσει συμβάσεων ανάθεσης επεξεργασίας δεδομένων προσωπικού χαρακτήρα, δηλαδή τους Εκτελούντες την επεξεργασία.

4.    Υποχρέωση σύναψης σύμβασης ανάθεσης επεξεργασίας δεδομένων προσωπικού χαρακτήρα (άρθρο 28)

4.1  Εάν ο Υπεύθυνος επεξεργασίας αποφασίσει να χρησιμοποιήσει τις υπηρεσίες τρίτου φορέα και στο πλαίσιο της παροχής των υπηρεσιών αυτών ο φορέας αυτός θα επεξεργάζεται δεδομένα προσωπικού χαρακτήρα κατ' εντολή ή εξ ονόματος του Υπευθύνου επεξεργασίας, πρέπει να διασφαλίζεται ότι πριν από τη διαβίβαση των δεδομένων στον φορέα αυτόν έχει συναφθεί η «Σύμβαση ανάθεσης επεξεργασίας δεδομένων προσωπικού χαρακτήρα» σύμφωνα με τις αρχές που ορίζονται στο σημείο 6 της Πολιτικής.

5.    Υποχρέωση εξέτασης των αιτημάτων του υποκειμένου των δεδομένων

5.1  Εάν ο κάτοχος των δεδομένων υποβάλει προφορικό ή γραπτό αίτημα / παράκληση για πρόσβαση / αντίγραφο δεδομένων / φορητότητα δεδομένων / διαγραφή των δεδομένων του / διόρθωση / περιορισμό / επικαιροποίηση (ανεξάρτητα από τη μορφή υποβολής, σε χαρτί ή ηλεκτρονικά), το αίτημα αυτό, εφόσον είναι βάσιμο, πρέπει να ικανοποιείται χωρίς καθυστέρηση, το αργότερο εντός 30 ημερών.

5.2  Σε κάθε περίπτωση, η ικανοποίηση του αιτήματος αυτού, που αναφέρεται στο ανωτέρω σημείο, πρέπει να πραγματοποιείται από τον Υπεύθυνο επεξεργασίας, ο οποίος σε αυτή την περίπτωση μπορεί να υποδείξει αντίστοιχα Εργαζόμενο, Συνεργάτη ή άλλον φορέα για υποστήριξη κατά την ικανοποίηση του αιτήματος αυτού.

5.3  Σε κάθε περίπτωση, ο Υπεύθυνος επεξεργασίας διευκολύνει τον κάτοχο των δεδομένων στην άσκηση των δικαιωμάτων που του παρέχουν τα άρθρα 15–22 του ΓΚΠΔ. Εάν ο Υπεύθυνος επεξεργασίας δεν μπορεί να αποδείξει ότι αδυνατεί να ταυτοποιήσει το υποκείμενο των δεδομένων, ενημερώνει σχετικά το υποκείμενο των δεδομένων, κατά το δυνατόν, και ζητεί τη συμπλήρωση των δεδομένων ώστε να καταστεί δυνατή η εξακρίβωση της ταυτότητας του κατόχου των δεδομένων.

5.4  Ο Υπεύθυνος επεξεργασίας, κατά την ικανοποίηση του αιτήματος του κατόχου των δεδομένων, ενεργεί σύμφωνα με τη Διαδικασία χειρισμού αιτημάτων των Υποκειμένων των δεδομένων.

6.    Υποχρέωση ασφάλισης των δεδομένων

6.1  Κάθε Εργαζόμενος, Συνεργάτης υποχρεούται να εφαρμόζει μέτρα ασφάλειας:

·         οργανωτικά (π.χ. πολιτικές, κανονισμοί, διαδικασίες) που ισχύουν στον οργανισμό του Υπευθύνου επεξεργασίας, ανεξάρτητα από το ποιο εσωτερικό έγγραφο τα περιγράφει, καθώς και

·         τεχνικά (π.χ. χρήση κωδικών πρόσβασης, κρυπτογραφημένο PENDRIVE ή κρυπτογράφηση υπολογιστών και κινητών συσκευών). Η παράκαμψη των μέτρων ασφάλειας που ορίζονται στα εσωτερικά έγγραφα ή εφαρμόζονται από τον πάροχο IT μπορεί να συνιστά παραβίαση δεδομένων προσωπικού χαρακτήρα.

6.2  Η υποχρέωση ασφάλισης των δεδομένων αφορά και τους Εκτελούντες την επεξεργασία. Οι αναλυτικές απαιτήσεις σχετικά με την ασφάλιση των δεδομένων προσωπικού χαρακτήρα από τον Εκτελούντα την επεξεργασία πρέπει να καθορίζονται στη Σύμβαση ανάθεσης επεξεργασίας δεδομένων προσωπικού χαρακτήρα.

7.    Υποχρέωση γνωστοποίησης νέου σκοπού επεξεργασίας δεδομένων προσωπικού χαρακτήρα

7.1  Εάν Εργαζόμενος ή Συνεργάτης αποφασίσει να αρχίσει τη συλλογή δεδομένων προσωπικού χαρακτήρα για νέο σκοπό, υποχρεούται, πριν από την έναρξη της συλλογής, να ενημερώσει σχετικά τον Υπεύθυνο επεξεργασίας με τη γενικά χρησιμοποιούμενη μορφή επικοινωνίας στον οργανισμό.

7.2  Βάσει της πληροφόρησης από τον Εργαζόμενο ή τον Συνεργάτη, ο Υπεύθυνος επεξεργασίας αποφασίζει εάν ο συγκεκριμένος σκοπός υπόκειται στην υποχρέωση καταχώρισής του στο Αρχείο δραστηριοτήτων επεξεργασίας.

7.3  Οι Εργαζόμενοι και οι Συνεργάτες υποχρεούνται να αναφέρουν απευθείας στον Υπεύθυνο επεξεργασίας κάθε αλλαγή που αφορά τις δραστηριότητες επεξεργασίας που περιγράφονται στο Αρχείο, πριν από την εισαγωγή των αλλαγών αυτών.

8.    Υποχρεώσεις κατά τη διαβίβαση σε τρίτες χώρες

8.1  Πριν από την ενδεχόμενη λήψη απόφασης για την επιλογή παρόχου εκτός ΕΟΧ ή για τη διαβίβαση δεδομένων σε τρίτη χώρα, ο Υπεύθυνος επεξεργασίας πρέπει να διενεργήσει πρόσθετη ανάλυση ή να ζητήσει γνώμη από εξωτερικές πηγές σχετικά με την ασφάλεια κατά τη διαβίβαση των εν λόγω πληροφοριών.

9.    Υποχρεώσεις και ευθύνη

9.1  Κάθε Εργαζόμενος και Συνεργάτης, ανεξάρτητα από τη θέση ή τα καθήκοντά του, υποχρεούται και ευθύνεται για:

·         τη διατήρηση της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα και του τρόπου ασφάλισής τους,

·         τη λήψη γνώσης και την τήρηση των διατάξεων της παρούσας Πολιτικής και των εσωτερικών εγγράφων που εκδόθηκαν βάσει της παρούσας Πολιτικής,

·         την έγγραφη επιβεβαίωση της λήψης γνώσης των διατάξεων περί προστασίας δεδομένων προσωπικού χαρακτήρα και της παρούσας Πολιτικής,

·         την τήρηση των διατάξεων περί προστασίας δεδομένων προσωπικού χαρακτήρα, ιδίως του Νόμου,

·         τη μη κοινοποίηση των κωδικών πρόσβασής του στα συστήματα IT,

·         τη μη διάθεση και τη μη παροχή πρόσβασης σε δεδομένα προσωπικού χαρακτήρα σε μη εξουσιοδοτημένα πρόσωπα,

·         την αναφορά κάθε περιστατικού / υποψίας παραβίασης δεδομένων προσωπικού χαρακτήρα ή της παρούσας Πολιτικής που εντοπίζεται, σύμφωνα με τις διαδικασίες.

9.2   Υποχρεώσεις και ευθύνη των διευθυντικών στελεχών

·         την εποπτεία των υφισταμένων εργαζομένων ως προς την εφαρμογή των αρχών που περιγράφονται στην παρούσα Πολιτική,

·         τις ανάγκες ενημέρωσης / κατάρτισης στον τομέα των διατάξεων περί προστασίας δεδομένων προσωπικού χαρακτήρα,

·         την έγκριση όλων των αλλαγών που αφορούν τους σκοπούς επεξεργασίας δεδομένων προσωπικού χαρακτήρα πριν από την εισαγωγή τους,

·         την εποπτεία των ανατεθειμένων σκοπών επεξεργασίας δεδομένων προσωπικού χαρακτήρα και του εύρους της επεξεργασίας σύμφωνα με το Αρχείο δραστηριοτήτων επεξεργασίας,

·         την επαλήθευση νέων πληροφοριακών λύσεων που συνεπάγονται διαβίβαση δεδομένων προσωπικού χαρακτήρα σε τρίτο φορέα,

·         τη διασφάλιση της σύναψης από τον Υπεύθυνο επεξεργασίας σύμβασης ανάθεσης επεξεργασίας με κάθε φορέα στον οποίο ο Υπεύθυνος επεξεργασίας προτίθεται να αναθέσει την επεξεργασία δεδομένων προσωπικού χαρακτήρα.

9.3  Υποχρεώσεις και ευθύνη του παρόχου IT (εφόσον υπάρχει)

Κάθε εργαζόμενος του παρόχου IT που έχει οριστεί για συνεργασία με τον Υπεύθυνο επεξεργασίας υποχρεούται και ευθύνεται για:

·         την εποπτεία της αποτελεσματικότητας των μέτρων ασφάλειας που εφαρμόζονται και τηρούνται (φυσικά, λογικά, συστημικά),

·         την εποπτεία της αποτελεσματικότητας των περιορισμών πρόσβασης στους χώρους επεξεργασίας δεδομένων που έχουν εφαρμοστεί,

·         τη συνεκτίμηση των διατάξεων του ΓΚΠΔ και της Πολιτικής κατά τον σχεδιασμό και την εφαρμογή νέων λύσεων σχετικά με την πληροφορική ή τη φυσική ασφάλεια,

·         κατόπιν αιτήματος του Υπευθύνου επεξεργασίας, τη σύνταξη γνωμοδοτήσεων και πληροφοριών σχετικά με τα μέτρα ασφάλειας που εφαρμόζονται στον οργανισμό.

 

10. Αρχές διαδικασίας σε περίπτωση καταγγελιών για την επεξεργασία δεδομένων προσωπικού χαρακτήρα

10.1  Καταγγελίες / αιτήματα που υποβάλλονται από τον κάτοχο των δεδομένων

1)    Η γραπτή καταγγελία / αίτημα (ανεξάρτητα από τον τρόπο επίδοσης ή τον τίτλο) που αποστέλλεται από τον κάτοχο των δεδομένων στον Υπεύθυνο επεξεργασίας πρέπει να εξετάζεται χωρίς καθυστέρηση, σε διάστημα που δεν υπερβαίνει τις 30 ημέρες από την ημερομηνία παραλαβής.

2)    Η απάντηση στην καταγγελία / αίτημα πρέπει να δίδεται γραπτώς (με συστημένη επιστολή), εφόσον ο αιτών έχει αναφέρει διεύθυνση επίδοσης, ενώ σε περίπτωση απουσίας τέτοιας διεύθυνσης, με τον ίδιο τρόπο με τον οποίο υποβλήθηκε η καταγγελία / αίτημα, εκτός εάν ο αιτών ζήτησε άλλη μορφή. Σε περίπτωση απάντησης μέσω ηλεκτρονικού ταχυδρομείου, αντίγραφο της απάντησης πρέπει σε κάθε περίπτωση να αρχειοθετείται για την εκπλήρωση της λογοδοσίας του Υπευθύνου επεξεργασίας δεδομένων προσωπικού χαρακτήρα.

3)    Εάν ο κάτοχος των δεδομένων υποβάλει αίτημα, παράκληση για τροποποίηση ή επικαιροποίηση δεδομένων προσωπικού χαρακτήρα, αυτό πρέπει να γίνεται χωρίς καθυστέρηση μετά την παραλαβή του αιτήματος.

4)    Εάν ο κάτοχος των δεδομένων υποβάλει αίτημα, παράκληση για διαγραφή ή παύση της επεξεργασίας των δεδομένων του και τα δεδομένα αυτά είχαν συλλεγεί μόνο βάσει της συγκατάθεσης του προσώπου αυτού, πρέπει να διαγράφονται χωρίς καθυστέρηση τα δεδομένα προσωπικού χαρακτήρα του ή να παύει η επεξεργασία για τους σκοπούς για τους οποίους είχε δώσει προηγουμένως συγκατάθεση.

5)    Τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία βάσει συναφθείσας σύμβασης, μετά την ανάκληση όλων των συγκαταθέσεων του κατόχου των δεδομένων, μπορούν να συνεχίσουν να υποβάλλονται σε επεξεργασία για άλλους σκοπούς (π.χ. εκτέλεση της σύμβασης, φορολογικούς σκοπούς), εφόσον αυτοί προκύπτουν από το Αρχείο δραστηριοτήτων επεξεργασίας.

6)    Εάν ο κάτοχος των δεδομένων υποβάλει αίτημα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα του ή απόκτησης αντιγράφου των δεδομένων, το αίτημα αυτό πρέπει να απαντάται χωρίς καθυστέρηση, σε διάστημα που δεν υπερβαίνει τις 30 ημέρες.

7)    Ο κάτοχος των δεδομένων μπορεί να ασκήσει το δικαίωμα αντιγράφου των δεδομένων που υποβάλλονται σε επεξεργασία βάσει σύμβασης ή συγκατάθεσης, τα οποία παρασχέθηκαν από τον κάτοχο στον υπεύθυνο επεξεργασίας δωρεάν. Για κάθε επόμενο αντίγραφο των δεδομένων ο Υπεύθυνος επεξεργασίας μπορεί να χρεώσει εύλογο διοικητικό τέλος που σχετίζεται με την προετοιμασία του αντιγράφου αυτού.

10.2   Καταγγελίες που διαβιβάζονται από τον Πρόεδρο της Αρχής

1)    Σε περίπτωση καταγγελίας που υποβλήθηκε από τον κάτοχο των δεδομένων στον Πρόεδρο της Αρχής και την οποία η αρχή διαβίβασε στον Υπεύθυνο επεξεργασίας, αυτή πρέπει να διαβιβάζεται χωρίς καθυστέρηση στον εταίρο της εταιρείας.

2)    Η προθεσμία απάντησης σε τέτοια καταγγελία που επιδόθηκε από τον Πρόεδρο της Αρχής είναι 7 ημέρες (εκτός εάν ο Πρόεδρος της Αρχής ορίσει άλλη).

3)    Την απάντηση ετοιμάζει ο Εργαζόμενος ή Συνεργάτης που έχει υποδείξει ο Υπεύθυνος επεξεργασίας ή ένας από τους εταίρους της εταιρείας, ενώ την τελική εκδοχή της απάντησης την απευθύνει στον Πρόεδρο της Αρχής ο εταίρος της εταιρείας. 

III.          Αρχές επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τον Υπεύθυνο επεξεργασίας

1.     Αρχή της νομιμότητας, της αντικειμενικότητας και της διαφάνειας

Τα δεδομένα προσωπικού χαρακτήρα πρέπει να υποβάλλονται σε επεξεργασία νομίμως, αντικειμενικά και με διαφανή τρόπο ως προς το υποκείμενο των δεδομένων. Απαγορεύεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα χωρίς νομική βάση. Πριν από την έναρξη της επεξεργασίας νέας κατηγορίας δεδομένων προσωπικού χαρακτήρα ή δεδομένων για νέο σκοπό, πρέπει να υποδεικνύεται η νομική βάση για την επεξεργασία τους.

2.     Αρχή του περιορισμού του σκοπού

Τα δεδομένα προσωπικού χαρακτήρα πρέπει να υποβάλλονται σε επεξεργασία αποκλειστικά για συγκεκριμένο και σαφώς καθορισμένο σκοπό και ο κάτοχος των δεδομένων πρέπει να ενημερώνεται για τον σκοπό αυτόν. Τα δεδομένα προσωπικού χαρακτήρα πρέπει να συλλέγονται για συγκεκριμένους, ρητούς και νόμιμους σκοπούς και να μην υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς.

3.      Αρχή της ελαχιστοποίησης των δεδομένων

Μπορούν να συλλέγονται μόνο όσα δεδομένα είναι κατάλληλα για την επίτευξη του σκοπού. Δεν επιτρέπεται η συλλογή «σε απόθεμα» με το σκεπτικό ότι στο μέλλον «θα φανούν χρήσιμα». Τα δεδομένα προσωπικού χαρακτήρα πρέπει να είναι κατάλληλα, συναφή και περιορισμένα στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία.

4.      Αρχή της ακρίβειας

Όλα τα πρόσωπα που είναι εξουσιοδοτημένα για την επεξεργασία και οι Εκτελούντες την επεξεργασία ευθύνονται για την ουσιαστική ορθότητα των δεδομένων. Τα δεδομένα προσωπικού χαρακτήρα πρέπει να είναι ακριβή και, όταν είναι αναγκαίο, να επικαιροποιούνται· πρέπει να λαμβάνονται όλα τα εύλογα μέτρα ώστε τα δεδομένα προσωπικού χαρακτήρα που είναι ανακριβή, σε σχέση με τους σκοπούς της επεξεργασίας τους, να διαγράφονται ή να διορθώνονται χωρίς καθυστέρηση.

5.      Αρχή του περιορισμού της περιόδου αποθήκευσης

Τα δεδομένα προσωπικού χαρακτήρα μπορούν να υποβάλλονται σε επεξεργασία μόνο για όσο διάστημα υπάρχει ο σκοπός της επεξεργασίας ή όπως ορίζουν οι διατάξεις του νόμου. Τα δεδομένα προσωπικού χαρακτήρα πρέπει να διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που είναι αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία.

6.      Αρχή της ακεραιότητας και της εμπιστευτικότητας

Τα δεδομένα προσωπικού χαρακτήρα πρέπει να υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, περιλαμβανομένης της προστασίας τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και από τυχαία απώλεια, καταστροφή ή φθορά, με τη λήψη κατάλληλων τεχνικών ή οργανωτικών μέτρων.

7.      Αρχή της ενημέρωσης των εξουσιοδοτημένων προσώπων σχετικά με τους εσωτερικούς και εξωτερικούς κανονισμούς στον τομέα της προστασίας δεδομένων προσωπικού χαρακτήρα

Κάθε πρόσωπο που είναι εξουσιοδοτημένο να επεξεργάζεται δεδομένα προσωπικού χαρακτήρα υποχρεούται να ενημερώνεται σε διαρκή βάση για τους εσωτερικούς και εξωτερικούς κανονισμούς στον τομέα της προστασίας δεδομένων προσωπικού χαρακτήρα. Σε περίπτωση έλλειψης γνώσεων, μπορεί να συμβουλευτεί απευθείας τον εταίρο της εταιρείας. Κάθε εξουσιοδοτημένο πρόσωπο, μετά τη λήψη γνώσης των διατάξεων και των αρχών στον τομέα της προστασίας δεδομένων προσωπικού χαρακτήρα, επιβεβαιώνει το γεγονός αυτό με την έγγραφη υπογραφή κατάλληλης δήλωσης.

8.      Αρχή της περιορισμένης πρόσβασης

Η πρόσβαση στα δεδομένα προσωπικού χαρακτήρα πρέπει πάντα να περιορίζεται μόνο στα εξουσιοδοτημένα πρόσωπα. Ο περιορισμός της πρόσβασης μπορεί να είναι οργανωτικός (π.χ. προσωπική εποπτεία, εισαγωγή διαδικασιών), φυσικός (π.χ. κλείδωμα με κλειδί, κάρτες εγγύτητας για χώρους) ή πληροφορικός (π.χ. χρήση ονομάτων χρήστη και κωδικών πρόσβασης).

9.      Αρχή της διπλής πρόσβασης

Η πρόσβαση στα δεδομένα προσωπικού χαρακτήρα πρέπει πάντα να περιορίζεται με την εφαρμογή τουλάχιστον δύο περιορισμών πρόσβασης οποιουδήποτε είδους.

10.    Αρχή του καθαρού γραφείου

Μετά το πέρας της εργασίας, στο γραφείο του Εργαζομένου / Συνεργάτη δεν επιτρέπεται να παραμένουν έγγραφα ή ευρέως προσβάσιμα πληροφοριακά μέσα που περιέχουν δεδομένα προσωπικού χαρακτήρα. Όλα τα έγγραφα / μέσα αυτά πρέπει να κλειδώνονται σε ντουλάπια / αποθήκες.

11.    Αρχή της ασφαλούς καταστροφής εγγράφων και μέσων δεδομένων

Η διαγραφή δεδομένων μέσω καταστροφής εγγράφων σε έντυπη ή ηλεκτρονική μορφή πραγματοποιείται σύμφωνα με τη «Διαδικασία ασφαλούς διαγραφής δεδομένων».

12.    Αρχή της λογοδοσίας

Οι ενέργειες του εξουσιοδοτημένου προσώπου ή του Εκτελούντος την επεξεργασία σε δεδομένα προσωπικού χαρακτήρα, ιδίως στα πληροφοριακά συστήματα, πρέπει πάντα να αποδίδονται κατά τρόπο σαφή σε ένα μόνο πρόσωπο εξουσιοδοτημένο για την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Αυτό σημαίνει ότι ένα συγκεκριμένο όνομα χρήστη σε σύστημα IT μπορεί να αποδοθεί ΜΟΝΟ ΣΕ ΕΝΑ ΠΡΟΣΩΠΟ. Απαγορεύεται η κοινή χρήση ονομάτων χρήστη από δύο ή περισσότερα πρόσωπα. Οι ενέργειες που αποδίδονται στο σύστημα IT σε συγκεκριμένο όνομα χρήστη θα αποδίδονται πάντα στο πρόσωπο που χρησιμοποιούσε το όνομα χρήστη αυτό. Επιπλέον, κατά την εκτέλεση των υποχρεώσεων και των καθηκόντων που απορρέουν από τις διατάξεις του ΓΚΠΔ και της παρούσας Πολιτικής, κάθε εξουσιοδοτημένο πρόσωπο υποχρεούται να αποδείξει ότι τηρεί τις διατάξεις του ΓΚΠΔ και της Πολιτικής.

13.    Αρχή του απορρήτου και της ποιότητας των κωδικών πρόσβασης

Σε καμία περίπτωση δεν επιτρέπεται η αποκάλυψη του προσωπικού κωδικού πρόσβασης (ούτε στον προϊστάμενο, ούτε στον εργοδότη, ούτε σε οποιοδήποτε άλλο πρόσωπο, ούτε καν σε υπαλλήλους κρατικών οργάνων). Ο κωδικός πρόσβασης που λαμβάνεται από τον διαχειριστή του συστήματος πρέπει να αλλάζει την ίδια ημέρα. Ο κωδικός πρόσβασης πρέπει να έχει τουλάχιστον 8 χαρακτήρες, συμπεριλαμβανομένου κεφαλαίου γράμματος, πεζού γράμματος, αριθμού και ειδικού χαρακτήρα.

 

IV.         Αρχές ανάθεσης από τον Υπεύθυνο επεξεργασίας της επεξεργασίας δεδομένων προσωπικού χαρακτήρα σε τρίτους φορείς

 

1.     Χρήση συμβάσεων ανάθεσης

Σε περίπτωση σύναψης σύμβασης παροχής υπηρεσιών που συνδέεται με την ανάθεση επεξεργασίας δεδομένων προσωπικού χαρακτήρα στον πάροχο της υπηρεσίας, πρέπει να συναφθεί γραπτή σύμβαση ανάθεσης επεξεργασίας σύμφωνη με το άρθρο 28 του ΓΚΠΔ.

2.     Υποχρεώσεις και ευθύνες των Εκτελούντων την επεξεργασία

Κατά τη σύνταξη της σύμβασης ανάθεσης επεξεργασίας δεδομένων προσωπικού χαρακτήρα πρέπει οπωσδήποτε να καταγράφονται τα ακόλουθα ζητήματα:

a)    το αντικείμενο και η διάρκεια της επεξεργασίας, η φύση και ο σκοπός της επεξεργασίας, το είδος των δεδομένων προσωπικού χαρακτήρα και οι κατηγορίες υποκειμένων των δεδομένων, οι υποχρεώσεις και τα δικαιώματα του Υπευθύνου επεξεργασίας και του Εκτελούντος την επεξεργασία,

b)    ο Εκτελών την επεξεργασία επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα μόνο βάσει καταγεγραμμένων εντολών του Υπευθύνου επεξεργασίας – μεταξύ άλλων όσον αφορά τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε τρίτη χώρα ή διεθνή οργανισμό – εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους στο οποίο υπόκειται ο εκτελών την επεξεργασία· στην περίπτωση αυτή, ο εκτελών την επεξεργασία ενημερώνει τον υπεύθυνο επεξεργασίας για την εν λόγω νομική απαίτηση πριν από την επεξεργασία, εκτός εάν το δίκαιο αυτό απαγορεύει αυτού του είδους την ενημέρωση για σοβαρούς λόγους δημόσιου συμφέροντος,

c)     ο Εκτελών την επεξεργασία διασφαλίζει ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα έχουν αναλάβει τη δέσμευση τήρησης εμπιστευτικότητας ή τελούν υπό τη δέσμευση κατάλληλης νομοθετικής υποχρέωσης τήρησης εμπιστευτικότητας,

d)    ο Εκτελών την επεξεργασία λαμβάνει όλα τα μέτρα που απαιτούνται δυνάμει του άρθρου 32 του ΓΚΠΔ,

e)    ο Εκτελών την επεξεργασία δεν προσλαμβάνει άλλον εκτελούντα την επεξεργασία χωρίς προηγούμενη ειδική ή γενική γραπτή άδεια του υπευθύνου επεξεργασίας. Σε περίπτωση γενικής γραπτής άδειας, ο εκτελών την επεξεργασία ενημερώνει τον υπεύθυνο επεξεργασίας για τυχόν σκοπούμενες αλλαγές που αφορούν την προσθήκη ή την αντικατάσταση άλλων εκτελούντων την επεξεργασία, παρέχοντας με τον τρόπο αυτό τη δυνατότητα στον υπεύθυνο επεξεργασίας να αντιταχθεί σε αυτές τις αλλαγές,

f)      εάν ο Εκτελών την επεξεργασία προσλαμβάνει άλλον εκτελούντα την επεξεργασία για τη διενέργεια συγκεκριμένων δραστηριοτήτων επεξεργασίας εξ ονόματος του Υπευθύνου επεξεργασίας, επιβάλλονται στον άλλον αυτόν εκτελούντα την επεξεργασία, μέσω σύμβασης ή άλλης νομικής πράξης βάσει του δικαίου της Ένωσης ή του κράτους μέλους, οι ίδιες υποχρεώσεις όσον αφορά την προστασία των δεδομένων με αυτές που προβλέπονται στη σύμβαση ή σε άλλη νομική πράξη μεταξύ του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία, όπως αναφέρεται ανωτέρω, ιδίως ως προς την παροχή επαρκών εγγυήσεων για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων, ώστε η επεξεργασία να πληροί τις απαιτήσεις του παρόντος κανονισμού. Εάν ο άλλος εκτελών την επεξεργασία δεν ανταποκριθεί στις υποχρεώσεις του όσον αφορά την προστασία των δεδομένων, ο αρχικός εκτελών την επεξεργασία εξακολουθεί να είναι πλήρως υπόλογος έναντι του υπευθύνου επεξεργασίας για την εκπλήρωση των υποχρεώσεων του άλλου εκτελούντος την επεξεργασία,

g)    ο Εκτελών την επεξεργασία, λαμβάνοντας υπόψη τη φύση της επεξεργασίας, συνδράμει τον Υπεύθυνο επεξεργασίας, κατά το δυνατόν, με κατάλληλα τεχνικά και οργανωτικά μέτρα, για την εκπλήρωση της υποχρέωσής του να απαντά σε αιτήματα για την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων που προβλέπονται στο κεφάλαιο III του ΓΚΠΔ,

h)    ο Εκτελών την επεξεργασία, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που διαθέτει, συνδράμει τον υπεύθυνο επεξεργασίας στη διασφάλιση της συμμόρφωσης προς τις υποχρεώσεις που προβλέπονται στα άρθρα 32–36 του ΓΚΠΔ,

i)      ο Εκτελών την επεξεργασία, ανάλογα με την επιλογή του υπευθύνου επεξεργασίας, διαγράφει ή επιστρέφει όλα τα δεδομένα προσωπικού χαρακτήρα στον υπεύθυνο επεξεργασίας μετά το πέρας της παροχής υπηρεσιών επεξεργασίας και διαγράφει τα υπάρχοντα αντίγραφα, εκτός εάν το δίκαιο της Ένωσης ή του κράτους μέλους απαιτεί την αποθήκευση των δεδομένων προσωπικού χαρακτήρα,

j)      ο Εκτελών την επεξεργασία θέτει στη διάθεση του υπευθύνου επεξεργασίας κάθε απαραίτητη πληροφορία για την απόδειξη της συμμόρφωσης προς τις υποχρεώσεις που ορίζονται στο άρθρο 28 του ΓΚΠΔ και επιτρέπει και διευκολύνει ελέγχους, περιλαμβανομένων των επιθεωρήσεων, που διενεργούνται από τον Υπεύθυνο επεξεργασίας ή από άλλον ελεγκτή εντεταλμένο από τον Υπεύθυνο επεξεργασίας.

3.     Υποχρεώσεις και ευθύνες των προσώπων που εποπτεύουν τους Εκτελούντες την επεξεργασία

Ο Υπεύθυνος επεξεργασίας υποχρεούται να εποπτεύει προσωπικά ή μέσω υπαλλήλου που έχει ορίσει εάν ο Εκτελών την επεξεργασία πληροί τις απαιτήσεις της συναφθείσας σύμβασης ανάθεσης επεξεργασίας δεδομένων.

4.      Έλεγχος των Εκτελούντων την επεξεργασία

Σε κάθε σύμβαση ανάθεσης επεξεργασίας δεδομένων προσωπικού χαρακτήρα περιλαμβάνεται υποχρεωτικά διάταξη για τη δυνατότητα διενέργειας ελέγχου (ελεγκτικής επιθεώρησης) της συμμόρφωσης της επεξεργασίας των ανατεθέντων δεδομένων με τη Σύμβαση και τις διατάξεις του νόμου. Τον έλεγχο αυτόν μπορεί να διενεργεί πρόσωπο που έχει εξουσιοδοτηθεί εγγράφως από τον Υπεύθυνο επεξεργασίας.

5.     Επαλήθευση του Εκτελούντος την επεξεργασία

Κάθε Εκτελών την επεξεργασία πρέπει, πριν από την υπογραφή της σύμβασης ανάθεσης, να επαληθεύεται σύμφωνα με τη Διαδικασία επαλήθευσης Προμηθευτή.

 

V.           Καθορισμός των τεχνικών και οργανωτικών μέτρων που είναι απαραίτητα για τη διασφάλιση της εμπιστευτικότητας, της ακεραιότητας και της λογοδοσίας των δεδομένων που υποβάλλονται σε επεξεργασία.

1.     Οργανωτικά μέτρα ασφάλισης δεδομένων προσωπικού χαρακτήρα

Για την ενίσχυση της εποπτείας των διαδικασιών επεξεργασίας δεδομένων προσωπικού χαρακτήρα έχουν θεσπιστεί τα οργανωτικά μέτρα ασφάλισης δεδομένων που περιγράφονται στο παρόν σημείο.

2.     Εσωτερική κατάρτιση

Κάθε πρόσωπο που είναι εξουσιοδοτημένο να επεξεργάζεται δεδομένα προσωπικού χαρακτήρα υποχρεούται να παρακολουθεί τουλάχιστον μία δια ζώσης ή ηλεκτρονική εκπαίδευση (e-learning) ετησίως στον τομέα των διατάξεων περί προστασίας δεδομένων προσωπικού χαρακτήρα.

3.     Θέσπιση αρχών και διαδικασιών

Η Πολιτική ασφαλείας δεδομένων προσωπικού χαρακτήρα αποτελεί τη βάση για την κατάρτιση και εφαρμογή άλλων διαδικασιών προστασίας δεδομένων προσωπικού χαρακτήρα, ο προτεινόμενος κατάλογος των οποίων έχει εισαχθεί στο σημείο 9. 

4.     Προγραμματισμός δημιουργίας αντιγράφων ασφαλείας συνόλων δεδομένων προσωπικού χαρακτήρα

Τα δεδομένα προσωπικού χαρακτήρα που επεξεργάζονται σε πληροφοριακά συστήματα ασφαλίζονται μέσω συστημάτων αντιγράφων ασφαλείας υπό την εποπτεία της Διοίκησης ή του παρόχου IT. Τα συστήματα αυτά δημιουργούν αντίγραφα ασφαλείας σύμφωνα με το χρονοδιάγραμμα που ορίζει η Διοίκηση ή ο πάροχος IT.

5.     Ελάχιστα τεχνικά μέτρα ασφάλισης δεδομένων προσωπικού χαρακτήρα

Τα τεχνικά μέτρα ασφάλισης δεδομένων που περιγράφονται στο παρόν σημείο εφαρμόζονται σε σύνολα δεδομένων προσωπικού χαρακτήρα, όχι όμως όλα σε όλα τα σύνολα. Ανάλογα με την κατηγορία, το είδος, τη φύση και τον σκοπό της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, εφαρμόζονται κατάλληλα μέτρα ασφάλειας που διασφαλίζουν τη συμμόρφωση της επεξεργασίας με τις διατάξεις του ΓΚΠΔ.

a.     Μέτρα φυσικής προστασίας

1)    Η πρόσβαση στους χώρους όπου υποβάλλονται σε επεξεργασία σύνολα δεδομένων προσωπικού χαρακτήρα καλύπτεται από σύστημα πρόσβασης με πόρτες που κλειδώνουν με κλειδί.

2)    Ο χώρος όπου υποβάλλονται σε επεξεργασία σύνολα δεδομένων προσωπικού χαρακτήρα προστατεύεται από τις συνέπειες πυρκαγιάς με σύστημα πυρασφάλειας και/ή ανεξάρτητο πυροσβεστήρα.

b.     Μέτρα ασφάλισης της πληροφοριακής και τηλεπικοινωνιακής υποδομής

1)            Η πρόσβαση στο λειτουργικό σύστημα του υπολογιστή στον οποίο υποβάλλονται σε επεξεργασία δεδομένα προσωπικού χαρακτήρα ασφαλίζεται μέσω διαδικασίας ταυτοποίησης με χρήση αναγνωριστικού χρήστη και κωδικού πρόσβασης.

2)            Εφαρμόστηκαν μηχανισμοί συστήματος που επιβάλλουν την περιοδική αλλαγή των κωδικών πρόσβασης.

3)            Εφαρμόστηκαν κρυπτογραφικά μέτρα προστασίας για δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται με τηλεμετάδοση.

4)            Εφαρμόστηκαν μέτρα προστασίας από κακόβουλο λογισμικό, όπως π.χ. σκουλήκια, ιούς, δούρειους ίππους, rootkit.

5)            Χρησιμοποιήθηκε σύστημα Firewall για την προστασία της πρόσβασης στο δίκτυο υπολογιστών.

6. Μέτρα προστασίας στο λογισμικό IT που χρησιμοποιεί ο Υπεύθυνος επεξεργασίας.

1)    Εφαρμόστηκαν μέτρα που επιτρέπουν τον καθορισμό δικαιωμάτων πρόσβασης σε συγκεκριμένο εύρος δεδομένων·

2)            Η πρόσβαση σε δεδομένα προσωπικού χαρακτήρα απαιτεί ταυτοποίηση με χρήση αναγνωριστικού χρήστη και κωδικού πρόσβασης.

3)            Εφαρμόστηκαν κρυπτογραφικά μέτρα προστασίας δεδομένων προσωπικού χαρακτήρα.

4)            Εγκαταστάθηκαν προφυλάξεις οθόνης στους σταθμούς εργασίας όπου υποβάλλονται σε επεξεργασία δεδομένα προσωπικού χαρακτήρα.

5)            Εφαρμόστηκε μηχανισμός αυτόματου αποκλεισμού της πρόσβασης στο πληροφοριακό σύστημα που χρησιμεύει για την επεξεργασία δεδομένων προσωπικού χαρακτήρα σε περίπτωση παρατεταμένης αδράνειας του χρήστη.