Ο ΓΚΠΔ εν συντομία, για όσους χρησιμοποιούν το cloud

Ενότητα 1: Γιατί ένα ευρωπαϊκό cloud; · Χρόνος ανάγνωσης: 11 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να κατονομάζετε τους ρόλους και τις υποχρεώσεις από τον ΓΚΠΔ που ισχύουν όταν χρησιμοποιείτε μια υπηρεσία cloud, και να εξηγείτε γιατί εσείς παραμένετε υπεύθυνοι, ακόμα και όταν τα δεδομένα βρίσκονται σε τρίτο μέρος.

Κεντρικές έννοιες: ΓΚΠΔ (GDPR), δεδομένα προσωπικού χαρακτήρα, επεξεργασία, υπεύθυνος επεξεργασίας, εκτελών την επεξεργασία, υποεκτελών την επεξεργασία, αρχές (άρθρο 5), αρχή της λογοδοσίας, σύμβαση επεξεργασίας δεδομένων (άρθρο 28), ασφάλεια (άρθρο 32), διαβίβαση (κεφάλαιο V), Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, πρόστιμα (άρθρο 83)

Γιατί ο ΓΚΠΔ αφορά ξαφνικά και εσάς

Ο ΓΚΠΔ (Γενικός Κανονισμός για την Προστασία Δεδομένων, στα αγγλικά GDPR) είναι ένας ευρωπαϊκός κανονισμός: Κανονισμός (ΕΕ) 2016/679. Ισχύει από τις 25 Μαΐου 2018 απευθείας σε όλες τις χώρες της ΕΕ. Στην Ολλανδία εποπτεύει η Autoriteit Persoonsgegevens (AP, η ολλανδική Αρχή Προστασίας Δεδομένων)· στην Ελλάδα είναι η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) και σε κάθε άλλη χώρα της ΕΕ υπάρχει δική της εποπτική αρχή.

Ίσως σκέφτεστε: ο ΓΚΠΔ αφορά μεγάλες επιχειρήσεις με βάσεις δεδομένων πελατών. Όμως και ο Αρτοποιείο Κόκκος (Bakkerij De Korrel) εμπίπτει σε αυτόν. Στο γραμματοκιβώτιο υπάρχουν παραγγελίες με ονόματα, διευθύνσεις και τηλέφωνα. Στους online φακέλους υπάρχουν προγράμματα βαρδιών, εκκαθαριστικά μισθοδοσίας και αντίγραφο ταυτότητας νέου υπαλλήλου. Στο ημερολόγιο υπάρχουν ονόματα πελατών σε ραντεβού παράδοσης. Όλα αυτά είναι δεδομένα προσωπικού χαρακτήρα: κάθε πληροφορία σχετικά με ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο (άρθρο 4 σημείο 1). Και η αποθήκευση, η αποστολή email, η κοινή χρήση και η διαγραφή αποτελούν όλα επεξεργασία (άρθρο 4 σημείο 2).

Μια εξαίρεση: ό,τι κάνετε αμιγώς ιδιωτικά, όπως οι δικές σας οικογενειακές φωτογραφίες, δεν εμπίπτει στον ΓΚΠΔ (η «οικιακή εξαίρεση», άρθρο 2 παράγραφος 2 στοιχείο γ). Μόλις όμως πρόκειται για τη δουλειά σας, την επιχείρησή σας ή τον σύλλογό σας, ο ΓΚΠΔ ισχύει.

Αυτό είναι επεξηγηματικό υλικό, όχι νομική συμβουλή.

Τρεις ρόλοι: ποιος είναι ποιος;

Το σημαντικότερο συμπέρασμα: η ευθύνη δεν μετακομίζει μαζί με τα δεδομένα. Το αρτοποιείο παραμένει υπεύθυνος επεξεργασίας, ακόμα και όταν τα δεδομένα βρίσκονται σε υπηρεσία cloud. Αν η υπηρεσία cloud υπόσχεται κάτι και κάτι πάει στραβά, το αρτοποιείο πρέπει και πάλι να μπορεί να αποδείξει ότι έκανε μια συνετή επιλογή και κατέγραψε καλές συμφωνίες. Αυτό ονομάζεται αρχή της λογοδοσίας (άρθρο 5 παράγραφος 2 και άρθρο 24).

Προσέξτε: μια υπηρεσία cloud δεν είναι πάντα μόνο εκτελών την επεξεργασία. Αν ο πάροχος χρησιμοποιεί τα δεδομένα σας και για δικούς του σκοπούς, όπως ανάπτυξη προϊόντων, διαφήμιση ή εκπαίδευση δικών του συστημάτων, τότε για το τμήμα αυτό είναι ο ίδιος υπεύθυνος επεξεργασίας. Αυτό είναι ένα από τα στοιχεία που ελέγχετε στους όρους χρήσης και στη σύμβαση επεξεργασίας δεδομένων (μάθημα 9.2).

Οι αρχές που αφορούν το cloud

Το άρθρο 5 αναφέρει τις αρχές που πρέπει να τηρεί κάθε επεξεργασία. Για την επιλογή μιας υπηρεσίας cloud οι πιο σημαντικές είναι:

• Περιορισμός του σκοπού: χρησιμοποιείτε τα δεδομένα μόνο για τον σκοπό για τον οποίο τα αποκτήσατε. Μια υπηρεσία που χρησιμοποιεί τα δεδομένα των πελατών σας για δικούς της σκοπούς έρχεται σε σύγκρουση με αυτό.
• Ελαχιστοποίηση δεδομένων: μην αποθηκεύετε περισσότερα από όσα χρειάζεστε. Μια μετάβαση είναι μια καλή ευκαιρία για να κάνετε τάξη (μάθημα 3.2).
• Περιορισμός της περιόδου αποθήκευσης: μην αποθηκεύετε για μεγαλύτερο διάστημα από όσο χρειάζεται. Σκεφτείτε παλιές αιτήσεις εργασίας μέσα σε ένα γραμματοκιβώτιο.
• Ακεραιότητα και εμπιστευτικότητα: κατάλληλη ασφάλεια έναντι απώλειας, κλοπής και μη εξουσιοδοτημένης πρόσβασης. Αυτό εξειδικεύεται στο άρθρο 32: λαμβάνετε μέτρα ανάλογα με τον κίνδυνο, όπως κρυπτογράφηση, διαχείριση πρόσβασης, αποκατάσταση μετά από βλάβη και τακτικές δοκιμές.

Τέσσερις υποχρεώσεις που συναντάτε σε μια μετάβαση

1. Επιλέξτε έναν εκτελούντα την επεξεργασία που παρέχει επαρκείς εγγυήσεις (άρθρο 28 παράγραφος 1). Πρέπει δηλαδή να εξετάσετε πώς ασφαλίζει ο πάροχος τα δεδομένα και πού τα επεξεργάζεται. Αυτό το κάνετε στην ενότητα 2.
2. Συνάψτε σύμβαση επεξεργασίας δεδομένων (άρθρο 28 παράγραφος 3). Σε αυτήν περιλαμβάνονται υποχρεωτικά θέματα: τι επεξεργάζεται, οδηγίες, εμπιστευτικότητα, ασφάλεια, υποεκτελούντες την επεξεργασία, βοήθεια σε περίπτωση παραβίασης δεδομένων, και τι συμβαίνει με τα δεδομένα όταν σταματήσετε τη συνεργασία. Αυτό το εξετάζουμε στο μάθημα 9.2.
3. Τηρείτε αρχείο δραστηριοτήτων επεξεργασίας (άρθρο 30). Μια λίστα των δραστηριοτήτων επεξεργασίας σας: ποια δεδομένα, γιατί, με ποιον κοινοποιούνται, για πόσο χρόνο αποθηκεύονται. Μετά από μια μετάβαση προσαρμόζετε τους αποδέκτες και τον τόπο αποθήκευσης (μάθημα 9.3).
4. Τηρείτε τους κανόνες για διαβίβαση εκτός του ΕΟΧ (κεφάλαιο V, άρθρα 44 έως 49). Αν τα δεδομένα μεταφέρονται σε χώρα εκτός του Ευρωπαϊκού Οικονομικού Χώρου, αυτό επιτρέπεται μόνο αν η χώρα αυτή διαθέτει κατάλληλο επίπεδο προστασίας (απόφαση επάρκειας, άρθρο 45) ή με πρόσθετες εγγυήσεις όπως τυποποιημένες συμβατικές ρήτρες (άρθρο 46). Σχετικό είναι το μάθημα 1.4.

Τι συμβαίνει αν κάτι πάει στραβά;

Σε περίπτωση παραβίασης δεδομένων (για παράδειγμα έναν λογαριασμό που παραβιάστηκε και περιέχει δεδομένα πελατών), ο υπεύθυνος πρέπει να το αναφέρει εντός 72 ωρών στην εποπτική αρχή, εκτός αν είναι απίθανο να προκύψει κίνδυνος (άρθρο 33). Ο εκτελών την επεξεργασία πρέπει να ενημερώνει τον υπεύθυνο «χωρίς αδικαιολόγητη καθυστέρηση» (άρθρο 33 παράγραφος 2). Γι' αυτό μια καλή σύμβαση επεξεργασίας δεδομένων καθορίζει πόσο γρήγορα σας ειδοποιεί ο πάροχος.

Η εποπτική αρχή μπορεί να επιβάλει πρόστιμα. Το ανώτατο όριο για τις σοβαρότερες παραβάσεις είναι 20 εκατομμύρια ευρώ ή το 4% του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο από τα δύο είναι υψηλότερο (άρθρο 83 παράγραφος 5). Για μικρούς οργανισμούς, το πρόστιμο σπάνια είναι ο μεγαλύτερος κίνδυνος. Ο πραγματικός κίνδυνος είναι η ζημία για πελάτες και υπαλλήλους, και η εμπιστοσύνη που χάνετε.

Γιατί αυτό επηρεάζει την επιλογή του cloud σας

Ο ΓΚΠΔ δεν απαγορεύει τη χρήση αμερικανικών υπηρεσιών cloud. Πρέπει όμως να μπορείτε να εξηγήσετε γιατί η επιλογή σας είναι δικαιολογημένη: ποια δεδομένα, ποιοι κίνδυνοι, ποιες συμφωνίες. Όσο πιο ευαίσθητα είναι τα δεδομένα (υγεία, παιδιά, οικονομικά, φάκελοι προσωπικού), τόσο πιο βαριά είναι αυτή η στάθμιση. Για ένα αρτοποιείο είναι απλό· για ένα φυσιοθεραπευτήριο ή ένα σχολείο ζυγίζει πολύ περισσότερο. Μια υπηρεσία που εδρεύει εντός του ΕΟΧ, επεξεργάζεται τα δεδομένα εντός του ΕΟΧ και δεν έχει υποεκτελούντες την επεξεργασία εκτός του ΕΟΧ, κάνει αυτή τη στάθμιση πολύ πιο απλή, επειδή οι κανόνες διαβίβασης δεν εφαρμόζονται τότε.

Στην πράξη: έτσι φαίνεται σε έναν πάροχο

Ένας πάροχος που χρησιμοποιείται επαγγελματικά οφείλει να διαθέτει σύμβαση επεξεργασίας δεδομένων και λίστα με υποεκτελούντες την επεξεργασία. Στο WebOké, στις συχνές ερωτήσεις του οδηγού Nextcloud αναφέρεται ότι συνάπτετε σύμβαση επεξεργασίας δεδομένων όταν χρησιμοποιείτε το Nextcloud επαγγελματικά και αποθηκεύετε σε αυτό δεδομένα προσωπικού χαρακτήρα τρίτων. Σε άλλους παρόχους κάτι τέτοιο βρίσκεται συνήθως κάτω από τον τίτλο «Σύμβαση επεξεργασίας δεδομένων», «Data Processing Agreement (DPA)» ή στα νομικά έγγραφα στο κάτω μέρος της ιστοσελίδας.

Σύνοψη

• Ακόμα και ένας μικρός οργανισμός επεξεργάζεται δεδομένα προσωπικού χαρακτήρα σε email, ημερολόγιο και αρχεία, και εμπίπτει συνεπώς στον ΓΚΠΔ.
• Εσείς είστε ο υπεύθυνος επεξεργασίας· η υπηρεσία cloud είναι ο εκτελών την επεξεργασία· οι προμηθευτές της είναι υποεκτελούντες την επεξεργασία.
• Η ευθύνη δεν μετακομίζει μαζί: πρέπει να επιλέξετε έναν εκτελούντα την επεξεργασία με επαρκείς εγγυήσεις και να μπορείτε να το εξηγήσετε.
• Σημαντικά άρθρα: 5 (αρχές), 28 (εκτελών την επεξεργασία και σύμβαση επεξεργασίας δεδομένων), 30 (αρχείο), 32 (ασφάλεια), 33 (παραβίαση δεδομένων εντός 72 ωρών), 44 έως 49 (διαβίβαση).
• Δεδομένα που παραμένουν εντός του ΕΟΧ κάνουν τη στάθμιση πιο απλή, επειδή οι κανόνες διαβίβασης δεν ισχύουν τότε.

Κουίζ

Άσκηση

Άσκηση E1.2: Οι ρόλοι σας και τα δεδομένα σας. Φτιάξτε μια σύντομη λίστα των δεδομένων προσωπικού χαρακτήρα που βρίσκονται στο cloud του οργανισμού σας (email, ημερολόγιο, αρχεία, chat). Σημειώστε για κάθε κατηγορία ποιος είναι ο υπεύθυνος επεξεργασίας, ποιος ο εκτελών την επεξεργασία, και αν περιλαμβάνονται ευαίσθητα δεδομένα.

Περαιτέρω ανάγνωση

Τα βήματα σε αυτά τα άρθρα ισχύουν για τις υπηρεσίες του WebOké· σε άλλους παρόχους η διαδικασία είναι ανάλογη.

• Οδηγός Nextcloud 15.13: Συχνές ερωτήσεις σχετικά με την ασφάλεια και το απόρρητο
• Οδηγός Nextcloud 3.1: Πώς προστατεύει το WebOké το Nextcloud σας;
• Κανονισμός (ΕΕ) 2016/679 (ΓΚΠΔ), άρθρα 4, 5, 24, 28, 30, 32, 33, 44 έως 49 και 83, στο EUR-Lex
• Autoriteit Persoonsgegevens (η ολλανδική Αρχή Προστασίας Δεδομένων), θέματα «Σύμβαση επεξεργασίας δεδομένων» και «Αναφορά παραβίασης δεδομένων»: https://www.autoriteitpersoonsgegevens.nl
• Πρόκειται για παραβίαση δεδομένων και πρέπει να τη γνωστοποιήσω;