Πρόστιμα ύψους 20 εκ. ευρώ για παραβίαση προσωπικών δεδομένων στις επιχειρήσεις

Αυξημένα πρόστιμα ανάλογα με το είδος και το μέγεθος της επιχείρησης που φθάνουν έως τα 20 εκατομμύρια ευρώ ή το 4% του συνολικού ετήσιου κύκλου εργασιών, προβλέπει, σε περίπτωση παράβασης, ο νέος Ευρωπαϊκός Kανονισμός για την προστασία των προσωπικών δεδομένων.

Το αντικείμενο του γενικού κανονισμού, το κόστος μη συμμόρφωσης, ποιους αφορά, ποιες υποχρεώσεις ανακύπτουν, καθώς επίσης και τα προβλήματα που πρέπει να αντιμετωπιστούν, είναι τα βασικά θέματα, τα οποία πρόκειται να συζητηθούν στην ανοικτή Εσπερίδα, που διοργανώνει το Εμπορικό και Βιομηχανικό Επιμελητήριο Πειραιώς, στο πλαίσιο της ενημέρωσης των επιχειρήσεων – μελών, του την Τετάρτη 21 Φεβρουαρίου 2018, στις 17:30, στο Μέγαρο του Εμπορικού κα Βιομηχανικού Επιμελητηρίου Πειραιά.

Ευρωπαϊκός Kανονισμός 2016/679

Υπενθυμίζεται από το επιμελητήριο ότι ο Ευρωπαϊκός Kανονισμός 2016/679 (General Data Protection Regulation, GDPR) ψηφίστηκε στις 27.04.2016 και τίθεται σε υποχρεωτική εφαρμογή για όλα τα κράτη μέλη της Ευρωπαϊκής Ένωσης στις 25.05.2018, διαμορφώνοντας ένα ενιαίο νομικό πλαίσιο, χωρίς την ανάγκη ψήφισης εθνικής νομοθεσίας και καταργώντας την υφιστάμενη νομοθεσία. Αφορά όλες τις ιδιωτικές και δημόσιες επιχειρήσεις, καθώς και τις κρατικές αρχές, που με οποιονδήποτε τρόπο συγκεντρώνουν, επεξεργάζονται και εν γένει διαχειρίζονται δεδομένα προσωπικού χαρακτήρα πελατών, σχετιζόμενων με τους πελάτες τους, εργαζομένων, συνεργατών ή άλλων φυσικών προσώπων. Ως εκ τούτου, υπόκεινται στην τήρησή του όλες οι επιχειρήσεις, εντός και εκτός Ευρωπαϊκής Ένωσης, εφόσον τα δεδομένα αφορούν Ευρωπαίους πολίτες.

Η διαμόρφωση ενός ενιαίου νομικού πλαισίου για την επεξεργασία προσωπικών δεδομένων στα κράτη μέλη της Ευρωπαϊκής Ένωσης, θέτει μια σειρά περιορισμών και νέων υποχρεώσεων στις επιχειρήσεις σχετικά με:

1. Την επεξεργασία των προσωπικών δεδομένων σε όλο τον κύκλο ζωής τους, από τη συλλογή έως και την καταστροφή τους,

2. Τη δυνατότητα μεταφοράς τους σε άλλες χώρες,

3. Την προστασία των δικαιωμάτων των φυσικών προσώπων,

4. Την ασφάλεια (εμπιστευτικότητα, ακεραιότητα, διαθεσιμότητα) των προσωπικών δεδομένων και

5. Τις ενέργειες γνωστοποίησης, που οφείλει να κάνει η επιχείρηση σε περίπτωση παραβίασης.

Οι επιχειρήσεις και οργανισμοί που υπόκεινται στην τήρηση του κανονισμού θα πρέπει:

1.Να τηρούν τις βασικές αρχές προστασίας των προσωπικών δεδομένων, δηλαδή να τα συλλέγουν για συγκεκριμένο νόμιμο σκοπό και μόνο όσα εξ’ αυτών είναι απαραίτητα,

2. Να μην τα υποβάλουν σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο με το σκοπό, να τα επικαιροποιούν,

3. Να τα αποθηκεύουν για το μικρότερο δυνατό χρονικό διάστημα που απαιτείται, να λαμβάνουν – κατά περίπτωση – την ελεύθερη και σαφή συγκατάθεση των φυσικών προσώπων,

4. Να τα μεταφέρουν σε χώρες εκτός Ε.Ε. μόνον υπό συγκεκριμένες προϋποθέσεις, να δίνουν πρόσβαση στα προσωπικά δεδομένα σε συνεργάτες τους μόνον υπό συγκεκριμένες συνθήκες και εφόσον αυτοί αποδεικνύουν τη συμμόρφωσή τους με το νέο κανονισμό,

5. Να αναπτύξουν ηλεκτρονικά εργαλεία για την έγκαιρη και δωρεάν ανταπόκριση σε αιτήματα για: Ανάκληση της συγκατάθεσης, πρόσβαση στα δεδομένα, διόρθωση των δεδομένων, διαγραφή των δεδομένων, περιορισμό της επεξεργασίας, παράδοση των δεδομένων σε ηλεκτρονική μορφή, μεταφορά των δεδομένων σε άλλο φορέα.

6. Να γνωστοποιούν κατάλληλα και εγκαίρως στα φυσικά πρόσωπα τα δικαιώματά τους να εξασφαλίζουν την ασφάλεια των προσωπικών δεδομένων σε όλο τον κύκλο ζωής τους,

7. Να τηρούν σε αρχείο και να γνωστοποιούν κάθε παραβίαση των δεδομένων εντός 72 ωρών στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα και στα φυσικά πρόσωπα με απευθείας ενημέρωση ή δημόσια ανακοίνωση,

8. Να αποδεικνύουν ότι τηρούν όλες τις απαιτήσεις του Κανονισμού.

Στο πλαίσιο του νέου κανονισμού, μεταξύ των προβλημάτων, που πρέπει να αντιμετωπίσουν οι επιχειρήσεις, είναι: ακριβή γνώση για το ποια δεδομένα συλλέγουν και επεξεργάζονται σε κάθε φάση των δραστηριοτήτων τους, ακριβή καθορισμό και διαχωρισμό των επιχειρησιακών αναγκών, συστηματικό έλεγχο για την κάλυψη των απαιτήσεων του κανονισμού σε κάθε στάδιο επεξεργασίας των δεδομένων, αξιολόγηση των κινδύνων που ενδέχεται να οδηγήσουν σε παραβίαση των προσωπικών δεδομένων, με αποτέλεσμα βαρύτατες οικονομικές κυρώσεις και επιπτώσεις στην εταιρική φήμη, λήψη αποτελεσματικών ψηφιακών μέτρων για τον περιορισμό του κινδύνου παραβιάσεων του κανονισμού κ.α.

Ο πρόεδρος του ΕΒΕΠ, Βασίλης Κορκίδης, αναφέρει: «Ο νέος κανονισμός αυξάνει σημαντικά τις υποχρεώσεις των επιχειρήσεων και το βασικό συμπέρασμα είναι πως, η συγκατάθεση θεωρείται απαραίτητη και ζωτικής σημασίας για το νέο κανονισμό προστασίας δεδομένων της Ευρωπαϊκής Ένωσης. Ευελπιστούμε ότι, τους επόμενους τρεις μήνες, μέχρι την εφαρμογή του κανονισμού, θα μπορέσουμε να συμμορφωθούμε με τις απαιτήσεις του, αξιοποιώντας τις κατάλληλες λύσεις».

Δικαιώματα Καταναλωτών

Σε ανακοίνωσή της η Ένωση Εργαζομένων Καταναλωτών Ελλάδας υπογραμμίζει ότι με το νέο Κανονισμό, ενισχύεται το πλέγμα προστασίας των προσωπικών δεδομένων, κατοχυρώνονται επαρκέστερα τα δικαιώματα του ατόμου του οποίου τα δεδομένα υπόκεινται σε επεξεργασία, καθώς επίσης εξασφαλίζεται η δυνατότητα αποτελεσματικότερου ελέγχου επί αυτών. Μεταξύ άλλων, ο Κανονισμός προβλέπει τα εξής δικαιώματα του υποκειμένου των προσωπικών δεδομένων:

• Ενημέρωση με σαφήνεια και διαφάνεια από τον υπεύθυνο επεξεργασίας (ταυτότητα και στοιχεία υπεύθυνου επεξεργασίας, είδος δεδομένων, σκοπός επεξεργασίας, πιθανοί αποδέκτες των δεδομένων κ.λπ.).

• Δυνατότητα πρόσβασης στα προσωπικά του δεδομένα, όταν αυτά υφίστανται επεξεργασία.

• Δυνατότητα απαίτησης διόρθωσης ή συμπλήρωσης ελλιπών δεδομένων, από τον υπεύθυνο επεξεργασίας.

• Αίτημα διαγραφής (λήθη) των προσωπικών του δεδομένων υπό προϋποθέσεις (ανάκληση συγκατάθεσης, παράνομη απόκτηση, απουσία επιτακτικών και νόμιμων λόγων επεξεργασίας κ.λπ.).

• Δυνατότητα εναντίωσης στην επεξεργασία προσωπικών δεδομένων, εάν ο υπεύθυνος επεξεργασίας δεν καταδείξει επιτακτικούς λόγους για την επεξεργασία αυτή.

Επιπροσθέτως, ο υπεύθυνος επεξεργασίας προσωπικών δεδομένων υποχρεούται:

• Να λαμβάνει τη συγκατάθεση του υποκειμένου των προσωπικών δεδομένων, όπου αυτή απαιτείται και να είναι σε θέση να αποδεικνύει τη συγκατάθεση αυτή αν του ζητηθεί.

• Να μην προβαίνει σε επεξεργασία προσωπικών δεδομένων, ανηλίκων κάτω των 16 ετών, χωρίς προηγούμενη συγκατάθεση του γονέα. Ο υπεύθυνος επεξεργασίας, θα πρέπει να επαληθεύει τη συγκατάθεση αυτή, με κάθε μέσο που του προσφέρει η διαθέσιμη τεχνολογία. Τα κράτη μέλη μπορούν να θεσπίζουν μικρότερο ηλικιακό όριο, σε καμία περίπτωση όμως το όριο δε θα πρέπει να είναι μικρότερο από τα 13 έτη.

• Nα μην επεξεργάζεται δεδομένα προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις, τη συμμετοχή σε συνδικαλιστική οργάνωση, δεδομένα που αφορούν την υγεία, τη σεξουαλική ζωή ή τον γενετήσιο προσανατολισμό.

ΔΙΑΒΑΣΤΕ ΑΚΟΜΑ: Νέα εποχή στο Bancassurance: Πώς θα εξασφαλίσω το μέλλον μου και το μέλλον της επιχείρησής μου;

ΔΕΙΤΕ ΕΠΙΣΗΣ: Πρόστιμο μαμούθ 187 εκατ. στην GVC, εταιρεία που λειτουργεί τους διαδικτυακούς τόπους Sportingbet, Vistabet και Bwin