Αρχείο δραστηριοτήτων επεξεργασίας, DPIA και ολοκλήρωση της μετάβασης

Ενότητα 9: Άνθρωποι και κανόνες · Χρόνος ανάγνωσης: 12 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να ενημερώσετε το αρχείο δραστηριοτήτων επεξεργασίας και την πολιτική απορρήτου μετά τη μετάβαση, να καθορίσετε αν χρειάζεται μια εκτίμηση αντικτύπου (DPIA), να φροντίσετε ώστε η παλιά υπηρεσία να διαγραφεί σωστά και να ολοκληρώσετε επίσημα τη μετάβαση με έναν τελικό κατάλογο ελέγχου.

Βασικές έννοιες: αρχείο δραστηριοτήτων επεξεργασίας (άρθρο 30), εξαίρεση για λιγότερους από 250 εργαζομένους, εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (ΕΑΠΔ/DPIA) (άρθρο 35), κατάλογος DPIA της αρχής προστασίας δεδομένων, πολιτική απορρήτου (άρθρα 13 και 14), αποδέκτες, διαβίβαση, υποχρέωση γνωστοποίησης παραβίασης δεδομένων (άρθρο 33), διαγραφή στην παλιά υπηρεσία, επιβεβαίωση διαγραφής, αξιολόγηση, τελικός κατάλογος ελέγχου

Η μετάβαση ολοκληρώνεται μόνο όταν τα έγγραφα είναι σε τάξη

Το email λειτουργεί, τα αρχεία βρίσκονται στη θέση τους, όλοι εργάζονται στο νέο περιβάλλον. Τεχνικά έχετε ολοκληρώσει τη διαδικασία. Όμως για τον ΓΚΠΔ απομένει ακόμη δουλειά: η τεκμηρίωσή σας περιγράφει ακόμη την παλιά κατάσταση. Σε περίπτωση ερωτήματος από πελάτη, ελέγχου ή παραβίασης δεδομένων, θα θέλετε να δείξετε πώς έχουν τα πράγματα τώρα. Αυτό το μάθημα ολοκληρώνει τη μετάβαση.

Αυτό είναι επεξηγηματικό υλικό, όχι νομική συμβουλή.

Το αρχείο δραστηριοτήτων επεξεργασίας

Το άρθρο 30 παράγραφος 1 του ΓΚΠΔ υποχρεώνει τον υπεύθυνο επεξεργασίας να τηρεί ένα αρχείο δραστηριοτήτων επεξεργασίας. Εκεί καταγράφεται ανά επεξεργασία (για παράδειγμα «παραγγελίες πελατών», «διαχείριση προσωπικού», «ενημερωτικό δελτίο»):

• το όνομα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας (και, αν υπάρχει, του υπευθύνου προστασίας δεδομένων)·
• οι σκοποί της επεξεργασίας·
• οι κατηγορίες υποκειμένων των δεδομένων και δεδομένων προσωπικού χαρακτήρα·
• οι αποδέκτες, συμπεριλαμβανομένων των εκτελούντων την επεξεργασία·
• οι διαβιβάσεις σε χώρες εκτός του ΕΟΧ, με τις σχετικές εγγυήσεις·
• οι προθεσμίες διατήρησης, όπου αυτό είναι δυνατό·
• μια γενική περιγραφή των μέτρων ασφαλείας, όπου αυτό είναι δυνατό.

Ισχύει αυτό και για έναν μικρό οργανισμό;

Το άρθρο 30 παράγραφος 5 προβλέπει μια εξαίρεση για οργανισμούς με λιγότερους από 250 εργαζομένους. Ωστόσο, η εξαίρεση αυτή δεν ισχύει αν η επεξεργασία ενδέχεται να ενέχει κίνδυνο, αν δεν είναι ευκαιριακή, ή αν περιλαμβάνει ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα (όπως δεδομένα υγείας) ή ποινικά δεδομένα. Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) της Ολλανδίας εξηγεί ότι στην πράξη οι επεξεργασίες σπάνια είναι ευκαιριακές: μόλις έχετε εργαζομένους ή σταθερούς πελάτες, πραγματοποιείτε διαρθρωτική επεξεργασία. Για το Bakkerij De Korrel, με μισθοδοσία, παραγγελίες πελατών και δηλώσεις ασθένειας, η εξαίρεση επομένως δεν ισχύει.

Υπάρχει μια ευρωπαϊκή πρόταση για την ελάφρυνση της υποχρέωσης τήρησης αρχείου για μικρότερους οργανισμούς (το λεγόμενο πακέτο Omnibus IV· τον Ιούνιο του 2026 το Συμβούλιο και το Κοινοβούλιο κατέληξαν σε προσωρινή συμφωνία). Όσο αυτή δεν έχει τεθεί σε ισχύ, ισχύει το σημερινό άρθρο 30. Ακόμη και μετά, μια επισκόπηση παραμένει χρήσιμη: τη χρειάζεστε για να μπορείτε να ανταποκριθείτε στις υπόλοιπες υποχρεώσεις σας.

Τι προσαρμόζετε μετά τη μετάβαση;

Περάστε κάθε γραμμή του αρχείου σας και προσαρμόστε την:

Μια μετάβαση είναι μια καλή ευκαιρία για να ρυθμίσετε επιτέλους σωστά τις προθεσμίες διατήρησης. Για τη φορολογική λογιστική ισχύει στην Ολλανδία κατά κανόνα μια υποχρέωση τήρησης επτά ετών· για τα δεδομένα αιτήσεων εργασίας, η ολλανδική αρχή προστασίας δεδομένων συμβουλεύει κατ' αρχήν τέσσερις εβδομάδες μετά τη διαδικασία. Δείτε ποιες προθεσμίες ισχύουν για τον δικό σας τομέα και στη δική σας χώρα, καθώς μπορεί να διαφέρουν.

Χρειάζεστε μια DPIA;

Μια DPIA (data protection impact assessment, στον ΓΚΠΔ «εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων») είναι μια δομημένη ανάλυση κινδύνου εκ των προτέρων. Το άρθρο 35 επιβάλλει τη διενέργεια DPIA όταν μια επεξεργασία ενδέχεται να ενέχει υψηλό κίνδυνο για τα υποκείμενα των δεδομένων, ιδίως όταν χρησιμοποιείται νέα τεχνολογία.

Πώς γνωρίζετε αν αυτό ισχύει;

1. Ο κατάλογος της ολλανδικής αρχής. Η ολλανδική Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα δημοσίευσε το 2019 έναν κατάλογο δεκαεπτά ειδών επεξεργασίας για τις οποίες η DPIA είναι πάντα υποχρεωτική. Εκεί περιλαμβάνονται, μεταξύ άλλων, η μεγάλης κλίμακας επεξεργασία δεδομένων υγείας, η βιντεοεπιτήρηση, η παρακολούθηση εργαζομένων, τα δεδομένα επικοινωνιών, τα δεδομένα τοποθεσίας, η κατάρτιση προφίλ και τα βιομετρικά δεδομένα. Κάθε ευρωπαϊκή αρχή προστασίας δεδομένων διαθέτει δικό της κατάλογο DPIA (άρθρο 35 παράγραφος 4), οπότε αξίζει να ελέγξετε και τον κατάλογο της δικής σας αρχής.
2. Τα ευρωπαϊκά κριτήρια. Οι ευρωπαϊκές εποπτικές αρχές έχουν καταρτίσει εννέα κριτήρια (όπως ευαίσθητα δεδομένα, μεγάλη κλίμακα, ευάλωτα υποκείμενα, συστηματική παρακολούθηση, νέα τεχνολογία). Αν μια επεξεργασία πληροί δύο ή περισσότερα από αυτά, τότε κατά κανόνα απαιτείται DPIA.

Για μια αρτοποιία που μεταφέρει email και αρχεία, η DPIA συνήθως δεν είναι υποχρεωτική. Για ένα ιατρείο γενικής ιατρικής που μεταφέρει την επικοινωνία με ασθενείς σε νέα υπηρεσία, ή για ένα σχολείο με δεδομένα μαθητών, τα πράγματα είναι διαφορετικά. Ακόμη και όταν δεν είναι υποχρεωτική, μια σύντομη ανάλυση κινδύνου μπορεί να είναι χρήσιμη. Η στάθμιση από το μάθημα 1.5 αποτελεί καλή αφετηρία για αυτό. Αν έχετε ήδη DPIA για την παλιά υπηρεσία, ενημερώστε την.

Η πολιτική απορρήτου

Στην πολιτική απορρήτου σας ενημερώνετε τα υποκείμενα των δεδομένων (πελάτες, υποψήφιους εργαζομένους, επισκέπτες ιστοτόπου) πώς χειρίζεστε τα δεδομένα τους (άρθρα 13 και 14). Εκεί αναφέρονται μεταξύ άλλων οι αποδέκτες ή οι κατηγορίες αποδεκτών και τυχόν διαβιβάσεις εκτός ΕΟΧ. Αν έγραφε «χρησιμοποιούμε υπηρεσίες εταιρειών στις Ηνωμένες Πολιτείες βάσει του Data Privacy Framework», τότε αυτό πρέπει να προσαρμοστεί. Μην αλλάζετε τίποτα που δεν είναι ακριβές: αναφέρετε μόνο αυτό που γνωρίζετε με σιγουριά από τη σύμβαση επεξεργασίας δεδομένων και τον κατάλογο υποεκτελούντων.

Παραβιάσεις δεδομένων: γνωρίζετε ποιον καλείτε

Μετά τη μετάβαση ο πάροχός σας έχει αλλάξει, άρα και η διαδικασία σε περίπτωση παραβίασης δεδομένων. Καθορίστε στη διαδικασία σας:

• τη διεύθυνση επικοινωνίας του νέου παρόχου για περιστατικά ασφαλείας·
• την προθεσμία εντός της οποίας ο πάροχος σας ενημερώνει σύμφωνα με τη σύμβαση επεξεργασίας δεδομένων·
• ποιος στον οργανισμό σας αποφασίζει αν πρέπει να γίνει γνωστοποίηση, καθώς η γνωστοποίηση στην εποπτική αρχή πρέπει να γίνει εντός 72 ωρών από τη στιγμή που αντιληφθήκατε το περιστατικό (άρθρο 33)·
• πού τηρείτε το μητρώο παραβιάσεων δεδομένων: ακόμη και παραβιάσεις που δεν χρειάζεται να γνωστοποιήσετε πρέπει να τις καταγράφετε εσωτερικά (άρθρο 33 παράγραφος 5).

Ολοκλήρωση στην παλιά υπηρεσία

Ακυρώστε την παλιά υπηρεσία μόνο αφού όλα λειτουργούν σωστά για μερικές εβδομάδες (μάθημα 3.3). Στη συνέχεια:

1. Τελευταίος έλεγχος: έχουν μεταφερθεί όλα; Υπάρχουν κοινόχρηστοι φάκελοι, φόρμες ή συνδέσεις που εξακολουθούν να παραπέμπουν στην παλιά υπηρεσία;
2. Εξάγετε ένα τελευταίο αρχείο για τη δική σας διαχείριση, αν θέλετε να το διατηρήσετε (για παράδειγμα email που υπόκειται σε υποχρέωση τήρησης). Αποθηκεύστε το κρυπτογραφημένο.
3. Διαγράψτε λογαριασμούς και δεδομένα στην παλιά υπηρεσία, ή ζητήστε τη διαγραφή τους. Το άρθρο 28 παράγραφος 3 στοιχείο ζ υποχρεώνει τον παλιό εκτελούντα την επεξεργασία να διαγράψει ή να επιστρέψει τα δεδομένα μετά το πέρας της παροχής υπηρεσιών, κατ' επιλογή σας. Ζητήστε μια επιβεβαίωση διαγραφής και φυλάξτε την μαζί με το αρχείο σας.
4. Καθαρίστε τις συνδέσεις: συνδέσεις τύπου «σύνδεση με» σε άλλες υπηρεσίες, εφαρμογές με πρόσβαση, και εγγραφές επαλήθευσης στο DNS σας (μάθημα 4.3).
5. Προσαρμόστε το αρχείο σας, την πολιτική απορρήτου σας και τη διαδικασία παραβίασης δεδομένων σας (βλέπε παραπάνω).

Αξιολόγηση

Προγραμματίστε έναν μήνα μετά την αλλαγή μια σύντομη αξιολόγηση με τους πρεσβευτές (μάθημα 9.1). Τι πήγε καλά, τι όχι, τι θα κάνετε διαφορετικά την επόμενη φορά; Σημειώστε επίσης το σχέδιο εξόδου σας για τη νέα υπηρεσία (μάθημα 8.2) και ορίστε μια ημερομηνία στο ημερολόγιο για να το δοκιμάζετε κάθε χρόνο.

Στην πράξη: έτσι μοιάζει σε έναν πάροχο

Πολλοί πάροχοι διαθέτουν μια λειτουργία για να κατεβάσετε τα δεδομένα σας ή να διαγράψετε τον λογαριασμό σας. Στο WebOké, το εγχειρίδιο του WebOké εξηγεί πώς κατεβάζετε τα δεδομένα σας ή ζητάτε τη διαγραφή τους. Στις μεγάλες αμερικανικές υπηρεσίες αυτό ονομάζεται συνήθως «εξαγωγή δεδομένων» και «διαγραφή λογαριασμού», και ο διαχειριστής ενός λογαριασμού οργανισμού έχει δικές του λειτουργίες εξαγωγής. Διαβάστε εκ των προτέρων πόσο καιρό η υπηρεσία διατηρεί δεδομένα σε αντίγραφα ασφαλείας μετά τη διαγραφή· αυτό αναφέρεται συχνά στην πολιτική απορρήτου ή στη σύμβαση επεξεργασίας δεδομένων.

Τελικός κατάλογος ελέγχου

• [ ] Όλα τα στοιχεία από την απογραφή (μάθημα 3.1) βρίσκονται στο νέο περιβάλλον και έχουν ελεγχθεί
• [ ] Έχει συναφθεί και φυλάσσεται σύμβαση επεξεργασίας δεδομένων με τον νέο πάροχο ή παρόχους (μάθημα 9.2)
• [ ] Το αρχείο δραστηριοτήτων επεξεργασίας έχει ενημερωθεί: αποδέκτες, διαβιβάσεις, ασφάλεια, προθεσμίες διατήρησης
• [ ] Έχει αξιολογηθεί η ανάγκη DPIA (απαραίτητη ή όχι, και ο λόγος έχει καταγραφεί)
• [ ] Η πολιτική απορρήτου έχει προσαρμοστεί
• [ ] Η διαδικασία παραβίασης δεδομένων έχει τα νέα στοιχεία επικοινωνίας
• [ ] Η παλιά υπηρεσία έχει ακυρωθεί, τα δεδομένα έχουν διαγραφεί, η επιβεβαίωση έχει φυλαχθεί
• [ ] Οι συνδέσεις και οι παλιές εγγραφές DNS έχουν καθαριστεί
• [ ] Έχει ρυθμιστεί και δοκιμαστεί αντίγραφο ασφαλείας του νέου περιβάλλοντος (μάθημα 8.1)
• [ ] Έχει καταγραφεί σχέδιο εξόδου για τη νέα υπηρεσία (μάθημα 8.2)
• [ ] Έχει πραγματοποιηθεί αξιολόγηση

Σύνοψη

• Μετά τη μετάβαση ενημερώστε το αρχείο δραστηριοτήτων επεξεργασίας: αποδέκτες, διαβιβάσεις, ασφάλεια και προθεσμίες διατήρησης.
• Η εξαίρεση για λιγότερους από 250 εργαζομένους σπάνια ισχύει στην πράξη· μια πρόταση για την ελάφρυνσή της δεν έχει ακόμη τεθεί σε ισχύ (κατάσταση Νοέμβριος 2026).
• Μια DPIA είναι υποχρεωτική σε περίπτωση υψηλού κινδύνου (κατάλογος της αρχής, ευρωπαϊκά κριτήρια)· για συνήθη δεδομένα γραφείου συνήθως όχι.
• Προσαρμόστε την πολιτική απορρήτου και τη διαδικασία παραβίασης δεδομένων σας.
• Ζητήστε από την παλιά υπηρεσία να διαγράψει τα δεδομένα σας και ζητήστε επιβεβαίωση.

Κουίζ

Άσκηση

Άσκηση E9.3: Ολοκληρώστε τη μετάβασή σας. Για τρεις επεξεργασίες του οργανισμού σας, ενημερώστε τις γραμμές στο αρχείο δραστηριοτήτων επεξεργασίας (αποδέκτες, διαβίβαση, ασφάλεια, προθεσμία διατήρησης), αξιολογήστε με τον κατάλογο της αρχής και τα ευρωπαϊκά κριτήρια αν χρειάζεται DPIA, και συμπληρώστε τον τελικό κατάλογο ελέγχου.

Περαιτέρω ανάγνωση

Τα βήματα σε αυτά τα άρθρα ισχύουν για τις υπηρεσίες του WebOké· σε άλλους παρόχους η διαδικασία είναι παρόμοια.

• Εγχειρίδιο WebOké 11.7: Απόρρητο: λήψη ή διαγραφή των δεδομένων σας
• Οδηγός Nextcloud 16.7: Συνάδελφος αποχωρεί: ασφαλής παραλαβή αρχείων, ημερολογίου και κοινόχρηστων φακέλων
• Οδηγός Nextcloud 15.13: Συχνές ερωτήσεις σχετικά με την ασφάλεια και το απόρρητο
• Κανονισμός (ΕΕ) 2016/679 (ΓΚΠΔ), άρθρα 13, 14, 28, 30, 33 και 35, στο EUR-Lex
• Απόφαση σχετικά με τον κατάλογο επεξεργασιών δεδομένων προσωπικού χαρακτήρα για τις οποίες απαιτείται DPIA (ολλανδική Αρχή Προστασίας Δεδομένων, Stcrt. 2019), στο wetten.overheid.nl (BWBR0042812)· σημειώνεται ότι πρόκειται για δημοσίευση της ολλανδικής εποπτικής αρχής και ότι κάθε εποπτική αρχή της ΕΕ διαθέτει δικό της κατάλογο
• Ολλανδική Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, θέματα «Register van verwerkingsactiviteiten» (αρχείο δραστηριοτήτων επεξεργασίας) και «DPIA»: https://www.autoriteitpersoonsgegevens.nl