GDPR & Προστασία Προσωπικών Δεδομένων

Η αποτύπωση ξεκινά ανά λειτουργία και σύστημα: ανθρώπινο δυναμικό, πελάτες, marketing, προμηθευτές, CCTV, access control, υγεία και ασφάλεια, εφαρμογές, cloud υπηρεσίες και φυσικά αρχεία. Καταγράφονται πηγές, κατηγορίες δεδομένων και υποκειμένων, recipients, τοποθεσίες, interfaces και κύκλος ζωής.

Η EXCELLISO δεν βασίζεται μόνο σε ερωτηματολόγιο. Συνδέει συνεντεύξεις με system inventory, φόρμες, συμβάσεις, exports και πραγματικές πρακτικές, επειδή shadow tools, shared folders και ανεπίσημα spreadsheets συχνά αποτελούν το σημαντικότερο μη καταγεγραμμένο exposure.

Για κάθε processing activity διευκρινίζεται αν η επιχείρηση ενεργεί ως υπεύθυνος επεξεργασίας, εκτελών, από κοινού υπεύθυνος ή διαφορετικός αποδέκτης. Ο σκοπός γράφεται συγκεκριμένα και διαχωρίζεται από το μέσο· η χρήση ενός συστήματος δεν είναι από μόνη της σκοπός επεξεργασίας.

Η προτεινόμενη νομική βάση και οι ειδικές προϋποθέσεις ελέγχονται με τον DPO ή τον αρμόδιο νομικό σύμβουλο όπου απαιτείται. Η συναίνεση δεν χρησιμοποιείται μηχανικά όταν δεν είναι ελεύθερη, ανακλητή ή κατάλληλη για τη σχέση και τον πραγματικό σκοπό.

Το αρχείο δραστηριοτήτων επεξεργασίας οργανώνεται ως ελεγχόμενο register και όχι ως στατικό spreadsheet. Συνδέεται με notices, retention, processors, transfers, security controls, DPIA status και owner, ώστε μία αλλαγή συστήματος ή σκοπού να ενεργοποιεί επανεξέταση των σχετικών στοιχείων.

Η λογοδοσία αποδεικνύεται μέσα από αποφάσεις, εγκρίσεις, version history, reviews και records εφαρμογής. Ένα template που δεν συμφωνεί με την πραγματική ροή μπορεί να αυξήσει την έκθεση επειδή δημιουργεί ψευδή εικόνα ελέγχου.

Τα privacy notices σχεδιάζονται για τον συγκεκριμένο audience και τη στιγμή συλλογής, με layered πληροφόρηση όπου είναι κατάλληλο. Τα αιτήματα δικαιωμάτων περνούν από intake, identity verification, search, assessment εξαιρέσεων, έγκριση και ασφαλή απάντηση με πλήρες audit trail.

Το retention schedule συνδέεται με σκοπό, νομική ή συμβατική ανάγκη, limitation periods και τεχνική δυνατότητα διαγραφής. Η λέξη «αρχείο» δεν αποτελεί αυτόματα νόμιμο λόγο απεριόριστης τήρησης, ενώ η διαγραφή πρέπει να καλύπτει αντίγραφα, exports και downstream processors σύμφωνα με τις ισχύουσες υποχρεώσεις.

Οι προμηθευτές αξιολογούνται πριν λάβουν πρόσβαση σε δεδομένα. Καταγράφονται υπηρεσία, ρόλος, τοποθεσίες επεξεργασίας, sub-processors, security commitments, breach notification, assistance, return/deletion και δικαιώματα ελέγχου. Οι συμβάσεις δεν εξετάζονται απομονωμένα από την πραγματική τεχνική υπηρεσία.

Για διαβιβάσεις εκτός ΕΟΧ χαρτογραφούνται ο μηχανισμός, οι σχετικές αποφάσεις και τα πρόσθετα μέτρα όπου απαιτούνται. Η τελική νομική αξιολόγηση πραγματοποιείται με τον αρμόδιο privacy legal advisor, ενώ η EXCELLISO διατηρεί το transfer inventory και το operational evidence.

Νέα εφαρμογή, CCTV, βιομετρική λειτουργία, monitoring εργαζομένων, AI use case ή εκτεταμένο profiling περνά από privacy screening πριν από procurement ή go-live. Εξετάζονται αναγκαιότητα, αναλογικότητα, εναλλακτικές, data minimisation, access, retention και κίνδυνοι για δικαιώματα και ελευθερίες.

Όταν απαιτείται DPIA, η διαδικασία δεν περιορίζεται σε μία φόρμα. Τεκμηριώνει processing, stakeholders, risk scenarios, measures, residual risk και approvals και συντονίζεται με τον DPO. Όπου το residual high risk παραμένει, εξετάζονται οι προβλεπόμενες περαιτέρω ενέργειες με εξειδικευμένη νομική καθοδήγηση.

Τα οργανωτικά και τεχνικά μέτρα συνδέονται με τον κίνδυνο και τις πραγματικές ροές: access governance, least privilege, logging, backup, encryption όπου κατάλληλη, secure disposal, supplier controls και business continuity. Η πολιτική privacy δεν υποκαθιστά την τεχνική κυβερνοασφάλεια.

Το breach playbook καθορίζει detection, containment, preservation of evidence, ρόλους, risk assessment, decision log και επικοινωνίες. Όταν πληρούνται οι προϋποθέσεις γνωστοποίησης, η διαδικασία υποστηρίζει την έγκαιρη αξιολόγηση και τις απαιτούμενες ενέργειες, χωρίς να περιμένει να ολοκληρωθεί κάθε τεχνική λεπτομέρεια.

Κάθε έργο ξεκινά με kick-off, scope memorandum, stakeholders, data request και συμφωνημένα κριτήρια. Δημιουργείται issue log και responsibility matrix ώστε οι παραδοχές, οι εκκρεμότητες και οι αποφάσεις να παραμένουν ελεγχόμενες σε όλη τη διάρκεια της ανάθεσης.

Η αξιολόγηση βασίζεται σε traceable evidence. Έγγραφα, συνεντεύξεις, συστήματα, δείγματα και επιτόπια δεδομένα διασταυρώνονται ανάλογα με το αντικείμενο. Όπου το evidence είναι ανεπαρκές, το συμπέρασμα χαρακτηρίζεται ως περιορισμένο αντί να καλύπτεται με γενική διατύπωση.

Το τεχνικό αποτέλεσμα μετατρέπεται σε management view με exposure, severity, dependencies, cost class, χρόνο και accountable owner. Τα κρίσιμα θέματα διαχωρίζονται από τις βελτιώσεις χαμηλότερης προτεραιότητας και συνδέονται με τις επιχειρησιακές αποφάσεις που απαιτούνται.

Η EXCELLISO δεν παραδίδει μόνο report. Διευκολύνει decision workshop, συμφωνεί risk-based roadmap και ορίζει evidence of closure, ώστε η διοίκηση να γνωρίζει τι σημαίνει πραγματική ολοκλήρωση και ποιο υπολειπόμενο ρίσκο αποδέχεται.

Η EXCELLISO αναλαμβάνει τη διάγνωση, το management system, τον συντονισμό, την επιχειρησιακή εφαρμογή και τη διασφάλιση αποδεικτικών. Δεν παρουσιάζει τη συμβουλευτική υπηρεσία ως διοικητική έγκριση, νομική γνωμοδότηση, τεχνική υπογραφή ή πιστοποίηση από αρμόδια αρχή.

Όταν το έργο απαιτεί αδειούχο μηχανικό, δικηγόρο, DPO, περιβαλλοντικό μελετητή, ελεγκτή ή cybersecurity specialist, ο ρόλος εντάσσεται εξαρχής στο RACI και στα quality gates. Ο πελάτης λαμβάνει μία συντονισμένη ομάδα με καθαρή επαγγελματική ευθύνη και όχι ασαφείς υποσχέσεις.

Νομοθεσία, άδειες, συστήματα, προμηθευτές και λειτουργίες αλλάζουν. Παραδίδονται owners, review frequency, triggers αλλαγής, compliance calendar και δείκτες, ώστε το framework να ενημερώνεται όταν αλλάζει η πραγματική έκθεση και όχι μόνο σε ετήσια ημερομηνία.

Η αποτελεσματικότητα επαληθεύεται με sample testing, management review, drills ή follow-up audit ανάλογα με την υπηρεσία. Έτσι το αποτέλεσμα παραμένει λειτουργικό και μπορεί να υποστηρίξει έλεγχο, πιστοποίηση, επένδυση ή διοικητική απόφαση με επίκαιρα evidence.

Προσφέρει η EXCELLISO «πιστοποίηση GDPR»;

Όχι. Ο GDPR δεν αντιμετωπίζεται ως απλό πιστοποιητικό. Παρέχουμε οργανωτικό πλαίσιο συμμόρφωσης, εφαρμογή controls και αποδεικτικά λογοδοσίας.

Αναλαμβάνει η EXCELLISO νομική γνωμοδότηση ή εκπροσώπηση;

Όχι ως υποκατάστατο δικηγόρου. Συνεργαζόμαστε με τον DPO και τον αρμόδιο νομικό σύμβουλο για ζητήματα που απαιτούν νομική ερμηνεία ή εκπροσώπηση.

Το έργο καλύπτει και τεχνική κυβερνοασφάλεια;

Καλύπτει governance, απαιτήσεις και συντονισμό. Εξειδικευμένες τεχνικές δοκιμές και υλοποιήσεις εκτελούνται από κατάλληλους cybersecurity specialists.

Το ακριβές πεδίο εφαρμογής και η ισχύουσα έκδοση των απαιτήσεων επιβεβαιώνονται κατά την έναρξη κάθε έργου. Η παρούσα σελίδα περιγράφει τη συμβουλευτική μεθοδολογία και δεν αποτελεί νομική γνωμοδότηση ή απόφαση αρμόδιας αρχής.