Πρωτόκολλο υποχρέωσης γνωστοποίησης παραβιάσεων δεδομένων

Εκτιμήσεις

• Η Dena Textile Productions B.V. δίνει μεγάλη σημασία στην καλή ασφάλεια των (ηλεκτρονικών) συστημάτων της, στα οποία αποθηκεύονται και υποβάλλονται σε επεξεργασία δεδομένα προσωπικού χαρακτήρα.
• Δεν είναι δυνατόν να αποτραπεί πλήρως το ενδεχόμενο παραβίασης δεδομένων.
• Η Dena Textile Productions B.V. υποχρεούται, βάσει του Γενικού Κανονισμού για την Προστασία Δεδομένων (ΓΚΠΔ), να γνωστοποιεί (σοβαρές) παραβιάσεις δεδομένων στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα και στα υποκείμενα των δεδομένων.
• Η Dena Textile Productions B.V. επιθυμεί να ανταποκρίνεται στις νομικές της υποχρεώσεις.
• Για τον λόγο αυτό, η Dena Textile Productions B.V. έχει διατυπώσει πολιτική ώστε να ενεργεί όσο το δυνατόν πιο κατάλληλα σε περίπτωση που, παρά τις προσπάθειες, συμβεί παραβίαση δεδομένων.

1. Ορισμός παραβίασης δεδομένων

Υφίσταται παραβίαση δεδομένων όταν λαμβάνει χώρα παραβίαση της ασφάλειας που οδηγεί, κατά λάθος ή παράνομα, σε καταστροφή, απώλεια, τροποποίηση ή μη εξουσιοδοτημένη κοινολόγηση ή πρόσβαση σε δεδομένα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλον τρόπο σε επεξεργασία.

2. Εσωτερικά υπεύθυνος γνωστοποίησης παραβιάσεων δεδομένων

Η Dena Textile Productions B.V. έχει ορίσει εσωτερικά υπεύθυνο για την επεξεργασία των παραβιάσεων δεδομένων, ο οποίος είναι αρμόδιος για τη γνωστοποίηση μιας παραβίασης. Ο υπεύθυνος αυτός είναι το τμήμα Marketing, με πρώτο σημείο επικοινωνίας τον Rolf van Eden, τηλέφωνο +31 (0)318 588 596, διεύθυνση ηλεκτρονικού ταχυδρομείου sales@cheffix.eu, εφεξής ο «εσωτερικός υπεύθυνος».

3. Εσωτερική γνωστοποίηση κατά τον εντοπισμό παραβίασης δεδομένων

Όποιος εντοπίσει παραβίαση δεδομένων στην Dena Textile Productions B.V. τη γνωστοποιεί αμέσως στον εσωτερικό υπεύθυνο. Εφόσον είναι εφικτό, αυτός που εντόπισε την παραβίαση φροντίζει ταυτόχρονα ώστε τα διαρρεύσαντα δεδομένα να διαγραφούν άμεσα εξ αποστάσεως ή να καταστούν μη προσβάσιμα.

4. Έρευνα από τον εσωτερικό υπεύθυνο

Ο εσωτερικός υπεύθυνος ερευνά, μεταξύ άλλων:

• κατά πόσον έχουν χαθεί δεδομένα προσωπικού χαρακτήρα ή μπορούν να χρησιμοποιηθούν παράνομα·
• ποια πρόσωπα ή τμήματα του οργανισμού εμπλέκονται στην παραβίαση·
• κατά πόσον εμπλέκεται εκτελών την επεξεργασία στο περιστατικό.

5. Αντιμετώπιση της παραβίασης δεδομένων

Ο εσωτερικός υπεύθυνος περατώνει την παραβίαση, εφόσον αυτό είναι ακόμη δυνατό, και λαμβάνει περαιτέρω τα αναγκαία μέτρα για την όσο το δυνατόν καλύτερη αντιμετώπισή της.

6. Διαπίστωση των συνεπειών της παραβίασης δεδομένων

Ο εσωτερικός υπεύθυνος εξετάζει τις πιθανές συνέπειες της παραβίασης με βάση τη φύση και την έκταση των διαρρευσάντων δεδομένων και διαπιστώνει ποιες ενδέχεται να είναι οι δυσμενείς συνέπειες για τα υποκείμενα των δεδομένων.

7. Συνδρομή στην παροχή στοιχείων σχετικά με την παραβίαση

Ο εντοπιστής/αναφέρων την παραβίαση παρέχει κάθε συνδρομή στον εσωτερικό υπεύθυνο, απαντώντας το ταχύτερο και καλύτερα δυνατόν (γραπτώς) στα ακόλουθα ερωτήματα:

• τι συνέβη; (περιγραφή του περιστατικού)
• συνέβη κατά λάθος ή προκλήθηκε από κακόβουλη πρόθεση (π.χ. παραβίαση/hacking δεδομένων);
• πότε συνέβη; (ημερομηνία και ώρα)
• πότε εντοπίστηκε;
• ποια δεδομένα (αρχεία) διέρρευσαν;
• είναι τα δεδομένα κρυπτογραφημένα, και αν ναι, με ποιον τρόπο;
• μπορούσαν τα δεδομένα να διαγραφούν ή να καταστούν μη προσβάσιμα εξ αποστάσεως, και αν ναι, έγινε αυτό;
• ποιες είναι οι πιθανές συνέπειες για τα υποκείμενα των δεδομένων;
• ποια ομάδα ή ομάδες προσώπων επηρεάστηκαν;
• πόσα πρόσωπα επηρεάστηκαν (κατά προσέγγιση);
• επηρεάστηκαν και δεδομένα προσώπων σε άλλες χώρες της ΕΕ από την παραβίαση;
• μπορούσαν ήδη να ληφθούν τεχνικά ή/και οργανωτικά μέτρα μετά το περιστατικό;

8. Διαθεσιμότητα προσωπικού μετά τον εντοπισμό της παραβίασης

Ο υπεύθυνος του τμήματος από όπου προήλθε η παραβίαση, καθώς και ο εντοπιστής της παραβίασης και κάθε πρόσωπο που, λόγω των καθηκόντων ή των γνώσεών του, μπορεί να λάβει οργανωτικά ή/και τεχνικά μέτρα για τον περιορισμό των συνεπειών της παραβίασης, παραμένουν διαθέσιμοι τις πρώτες 24 ώρες μετά τον εντοπισμό της για διαβούλευση με τον εσωτερικό υπεύθυνο ή, ενδεχομένως, με τους εμπειρογνώμονες που ορίζει, καθώς και για την εκτέλεση, εφόσον απαιτείται, των εργασιών που ανατίθενται ως συνέπεια της παραβίασης.

9. Απόφαση για τη γνωστοποίηση παραβιάσεων δεδομένων

Ο εσωτερικός υπεύθυνος αποφασίζει το ταχύτερο δυνατό, και πάντως εντός 60 ωρών από τον εντοπισμό της παραβίασης, κατόπιν διαβούλευσης ή μη με τον υπεύθυνο του τμήματος από όπου εντοπίστηκε η παραβίαση και/ή με τους εμπειρογνώμονες που ορίζει, αν η παραβίαση πρέπει να γνωστοποιηθεί στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα και/ή στα υποκείμενα των δεδομένων. Κατ’ αρχήν, κάθε παραβίαση γνωστοποιείται στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, εκτός εάν είναι μη πιθανό ότι η παραβίαση ενέχει κίνδυνο για τα δικαιώματα και τις ελευθερίες των υποκειμένων. Η γνωστοποίηση της παραβίασης συνοδεύεται από τις απαντήσεις στα ερωτήματα που περιγράφονται στο σημείο 7. Παραβίαση που έχει γνωστοποιηθεί στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα γνωστοποιείται επίσης στα υποκείμενα των δεδομένων εάν ενέχει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, εκτός εάν έχουν ήδη ληφθεί κατάλληλα μέτρα που έχουν αποτρέψει τον υψηλό κίνδυνο.

10. Γνωστοποίηση παραβιάσεων δεδομένων στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα και/ή στα υποκείμενα

Ο εσωτερικός υπεύθυνος φροντίζει, εφόσον απαιτείται, για τη γνωστοποίηση στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα και/ή στο/στα υποκείμενο/-α. Η γνωστοποίηση πραγματοποιείται το ταχύτερο δυνατό μετά τον εντοπισμό και το αργότερο εντός 60 ωρών από τον εντοπισμό της παραβίασης. Δεν επιτρέπεται σε κανέναν άλλο εργαζόμενο, πλην του εσωτερικού υπευθύνου, να γνωστοποιήσει ο ίδιος την (πιθανή) παραβίαση στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα και/ή στο/στα υποκείμενο/-α. Εάν εργαζόμενος διαφωνεί με την απόφαση του εσωτερικού υπευθύνου σχετικά με τη γνωστοποίηση ή μη της παραβίασης στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα και/ή στο/στα υποκείμενο/-α, μπορεί να εκφράσει τα παράπονά του στη διεύθυνση. Εφόσον ζητηθεί, ο εργαζόμενος παρέχει κάθε συνδρομή στον υπεύθυνο ώστε να είναι δυνατή η ενημέρωση των επηρεαζόμενων προσώπων σύμφωνα με το άρθρο 34 του ΓΚΠΔ σχετικά με την παραβίαση.

11. Συνέπειες της γνωστοποίησης παραβιάσεων δεδομένων

Εάν η παραβίαση έχει δυσμενείς συνέπειες για τα υποκείμενα, ο εσωτερικός υπεύθυνος καταβάλλει κάθε προσπάθεια για τον όσο το δυνατόν μεγαλύτερο περιορισμό των συνεπειών αυτών. Ανάλογα με τη φύση και την έκταση της παραβίασης για τα υποκείμενα, ο εσωτερικός υπεύθυνος καθορίζει:

• με ποιον τρόπο θα ενημερωθούν τα υποκείμενα (ιδίως θα γνωστοποιηθούν ποια είδη δεδομένων προσωπικού χαρακτήρα επηρεάστηκαν, ποιες είναι οι πιθανές συνέπειες, ποια μέτρα λαμβάνει η Dena Textile Productions B.V. και με ποιον τρόπο τα ίδια τα υποκείμενα μπορούν να αποτρέψουν ή να περιορίσουν τη ζημία)·
• ποια μετα-περιστατική φροντίδα θα λάβουν τα υποκείμενα·
• ποιες ενέργειες είναι αναγκαίες προς το συμφέρον του οργανισμού.

Εάν έχει συμβεί παραβίαση δεδομένων, ανεξάρτητα από το αν γνωστοποιήθηκε ή όχι, λαμβάνονται το ταχύτερο δυνατό κατάλληλα τεχνικά ή/και οργανωτικά μέτρα για την αποτροπή μελλοντικών παρόμοιων παραβιάσεων.

12. Τήρηση μητρώου παραβιάσεων δεδομένων

Ο εσωτερικός υπεύθυνος τηρεί μητρώο όλων των παραβιάσεων δεδομένων, στο οποίο καταχωρίζονται όλα τα στοιχεία σχετικά με την παραβίαση, όπως:

• Περιγραφή του περιστατικού.
• Ημερομηνία και ώρα της παραβίασης.
• Ημερομηνία και ώρα εντοπισμού της παραβίασης.
• Περιγραφή του είδους των διαρρευσάντων δεδομένων προσωπικού χαρακτήρα.
• Περιγραφή της/των κατηγορίας/-ιών των επηρεαζόμενων υποκειμένων.
• Περιγραφή του (κατά προσέγγιση) αριθμού των επηρεαζόμενων υποκειμένων.
• Εάν διέρρευσαν δεδομένα προσώπων σε άλλες χώρες της ΕΕ.
• Εάν το περιστατικό γνωστοποιήθηκε στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα και, εάν ναι, ημερομηνία και ώρα γνωστοποίησης.
• Εάν το περιστατικό γνωστοποιήθηκε στα υποκείμενα και, εάν ναι, ημερομηνία και ώρα γνωστοποίησης.
• Με ποιον τρόπο ενημερώθηκαν τα υποκείμενα.
• Οι συνέπειες της παραβίασης, με αναφορά της ημερομηνίας και ώρας, εφόσον είναι δυνατόν.
• Ποια τεχνικά ή/και οργανωτικά μέτρα λήφθηκαν μετά την παραβίαση, με αναφορά της ημερομηνίας και ώρας.

Το παρόν πρωτόκολλο υποχρέωσης γνωστοποίησης παραβιάσεων δεδομένων συντάχθηκε στις 1 Μαΐου 2020.