Τι πρέπει να γνωρίζετε για τον Υπεύθυνο Προστασίας Δεδομένων
Ο πρωταρχικός ρόλος του Υπεύθυνου Προστασίας Δεδομένων είναι να διασφαλίζει ότι ο φορέας, για τον οποίο είναι υπεύθυνος, επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα του προσωπικού του, των πελατών του ή οποιουδήποτε άλλου ατόμου σύμφωνα με τους ισχύοντες κανόνες προστασίας δεδομένων.
O Ευρωπαϊκός Κανονισμός Προστασίας Προσωπικών Δεδομένων (General Data Protection Regulation- GDPR) εισήγαγε για πρώτη φορά την υποχρέωση διορισμού Υπεύθυνου Προστασίας Δεδομένων σε ορισμένους φορείς με βάση την φύση και την έκταση της επεξεργασίας των προσωπικών δεδομένων που λαμβάνει χώρα κατά την εκτέλεση των δραστηριοτήτων τους. Ειδικότερα, σύμφωνα με το άρθρο 37 του GDPR, ο ορισμός του Υπεύθυνου Προστασίας Δεδομένων είναι υποχρεωτικός στις ακόλουθες περιπτώσεις:
α) όταν η επεξεργασία διενεργείται από δημόσια αρχή ή φορέα, εκτός από δικαστήρια που ενεργούν στο πλαίσιο της δικαιοδοτικής τους αρμοδιότητας,
β) όταν οι βασικές δραστηριότητες του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία συνιστούν πράξεις επεξεργασίας οι οποίες, λόγω της φύσης, του πεδίου εφαρμογής και/ή των σκοπών τους, απαιτούν τακτική και συστηματική παρακολούθηση των υποκειμένων των δεδομένων σε μεγάλη κλίμακα, ή
γ) όταν οι βασικές δραστηριότητες του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία συνιστούν μεγάλης κλίμακας επεξεργασία ειδικών κατηγοριών δεδομένων (φυλετική ή εθνοτική καταγωγή, πολιτικά φρονήματα, θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή συμμετοχή σε συνδικαλιστική οργάνωση, γενετικά δεδομένα, βιομετρικά δεδομένα, δεδομένα υγείας ή δεδομένα που αφορούν τη σεξουαλική ζωή φυσικού προσώπου ή τον γενετήσιο προσανατολισμό) ή δεδομένα προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες και αδικήματα.
Ωστόσο, ο ορισμός του DPO είναι σημαντικός και σε κάθε άλλη περίπτωση διότι συνεπάγεται την δημιουργία ενός γενικότερου περιβάλλοντος προστασίας προσωπικών δεδομένων για τον φορέα με τελικό σκοπό την συμμόρφωση και την διατήρηση της νομιμότητας της σε βάθος χρόνου.
Ενδεικτικά, ο διορισμός Υπεύθυνου Προστασίας Δεδομένων είναι υποχρεωτικός σε νοσοκομεία με μεγάλο όγκο ευαίσθητων δεδομένων, εταιρίες παροχής υπηρεσιών ασφάλειας για την παρακολούθηση εμπορικών κέντρων και δημόσιων χώρων, εταιρίες ευρέσεως εξειδικευμένου προσωπικού που καταρτίζουν προφίλ φυσικών προσώπων, φορείς που επεξεργάζονται δεδομένα μετακίνησης φυσικών προσώπων μέσω συστήματος δημόσιων μεταφορών μιας πόλης (π.χ. παρακολούθηση μέσω καρτών πολλαπλών διαδρομών), φορείς που επεξεργάζονται δεδομένα γεωγραφικού εντοπισμού πελατών (Βλ. σχετικό άρθρο στην ιστοσελίδα: εδώ), φορείς που επεξεργάζονται δεδομένα πελατών στο πλαίσιο της συνήθους λειτουργίας μιας ασφαλιστικής εταιρείας ή μιας τράπεζας, φορείς που επεξεργάζονται δεδομένα για σκοπούς συμπεριφορικής διαφήμισης από μηχανή αναζήτησης κλπ.
Ο Υπεύθυνος Προστασίας Δεδομένων συνιστά το πρόσωπο-κλειδί σχετικά με κάθε ζήτημα του φορέα που αφορά σε προσωπικά δεδομένα. O διορισμός του πρέπει, συνεπώς, να βασίζεται στην καλή κατανόηση του τρόπου λειτουργίας του φορέα που αναλαμβάνει, καθώς και στα προσωπικά και επαγγελματικά προσόντα του, τις εξειδικευμένες γνώσεις και εμπειρία του σε θέματα προστασίας δεδομένων. Οι κύριες αρμοδιότητες του Υπεύθυνου Προστασίας Δεδομένων είναι:
- H εκπροσώπηση του φορέα ενώπιον των αρμόδιων αρχών και η συνεργασία με την Ευρωπαϊκή και Εθνική Αρχή Προστασίας Προσωπικών Δεδομένων.
- Η διαρκής παρακολούθηση όλων των εξελίξεων, σε νομικό και τεχνικό επίπεδο και η άμεση επικαιροποίηση της συμμόρφωσης του φορέα με βάση τις εξελίξεις αυτές.
- Η επικαιροποίηση νομικών εγγράφων και η σύναψη νέων συμβάσεων σε περίπτωση προσθήκης νέων προσώπων.
- Η διεξαγωγή Εκτίμησης Αντικτύπου Δεδομένων Προσωπικού Χαρακτήρα (Data Protection Impact Assessment-DPIA) με τη χρήση προκαθορισμένων προτύπων και εξασφάλιση της υποβολής τους στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, ανάλογα με την περίπτωση.
- Η δυνατότητα επίλυσης αποριών και απάντησης αιτημάτων του προσωπικού και κάθε άλλου υποκειμένου προσωπικών δεδομένων που απευθύνεται στον φορέα.
- Η επανεξέταση της κατάστασης της εταιρίας ως προς τις διενεργούμενες επεξεργασίες προσωπικών δεδομένων, με τη μορφή νομικού και τεχνικού audit σε τακτική βάση.
- Η άμεση υποστήριξη του φορέα σε περίπτωση διαπίστωσης απώλειας διαρροής ή καταστροφής δεδομένων.
- Η συνεχής καθοδήγηση διοικητικού προσωπικού, εργαζομένων, και μόνιμων ή μη, συνεργατών σχετικά με τις υποχρεώσεις τους σύμφωνα με τον GDPR και την εθνική νομοθεσία περί προστασίας δεδομένων.
