Ο Νέος Ευρωπαϊκός Κανονισμός GDPR 679/2016 αντικαθιστά  την Οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 24ης Οκτωβρίου 1995 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών.

Ο Κανονισμός ρυθμίζει τα δικαιώματα των φυσικών προσώπων σχετικά με:

• τα προσωπικά τους δεδομένα,
• την επεξεργασία των προσωπικών τους δεδομένων,
• την ελεύθερη και ανεμπόδιστη κυκλοφορία και μεταβίβαση των προσωπικών τους δεδομένων εντός των ορίων της Ευρωπαϊκής Ένωσης,
• τις διαδικασίες διαβίβασης προσωπικών δεδομένων εκτός Ευρωπαϊκής Ένωσης.

Άλλα κρίσιμα σημεία που επηρεάζουν την φήμη και την ρευστότητα της επιχείρησης αποτελούν:

• η υποχρέωση ενημέρωσης των Αρχών και πελατών σε συγκεκριμένο χρονικό διάστημα,
• η δημοσίευση των περιστατικών διαρροής προσωπικών δεδομένων,
• οι αποζημιώσεις στα Υποκείμενα των δεδομένων που υπέστησαν ζημιά.

Προσωπικά δεδομένα αποτελούν οποιεσδήποτε πληροφορίες σχετικές με ένα φυσικό πρόσωπο ή ένα υποκείμενο δεδομένων, που μπορούν να χρησιμοποιηθούν για την άμεση ή έμμεση ταυτοποίησή του. Προσωπικά δεδομένα αποτελούν το όνομα, η φωτογραφία, η διεύθυνση ηλεκτρονικού ταχυδρομείου, τα στοιχεία τραπεζικού λογαριασμού, οι αναρτήσεις σε ιστότοπους κοινωνικής δικτύωσης, οι ιατρικές πληροφορίες ή διεύθυνση IP του υπολογιστή.

• Προσδιορισμός του πού υπάρχουν και πού βρίσκονται τα προσωπικά δεδομένα που έχει στην κατοχή της η επιχείρηση – οργανισμός σας.
• Δημιουργία πολιτικών που να περιγράφουν με σαφήνεια τον τρόπο και τον λόγο που η επιχείρηση σας συλλέγει και επεξεργάζεται προσωπικά δεδομένα.
• Διαμόρφωση ενός προγράμματος διαχείρισης κινδύνων για την προστασία των δεδομένων σας.
• Συμμόρφωση στα πρότυπα του κανονισμού σχετικά με την διαφάνεια, την απόδοση των ευθυνών και την τήρηση αρχείων. Πραγματοποίηση αιτημάτων δεδομένων και διατήρηση της απαιτούμενης τεκμηρίωσης.

Το φάσμα απαιτήσεων που αφορούν τις επιχειρήσεις και τους οργανισμούς που συλλέγουν ή επεξεργάζονται προσωπικά δεδομένα είναι ευρύ, με τις έξι βασικές αρχές να παρουσιάζονται παρακάτω:

• Διαφάνεια, αντικειμενικότητα και νομιμότητα ως προς το χειρισμό και τη χρήση των προσωπικών δεδομένων.
• Περιορισμός της επεξεργασίας των προσωπικών δεδομένων για καθορισμένους, ρητούς και νόμιμους σκοπούς.
• Συλλογή και αποθήκευση του ελάχιστου δυνατού όγκου προσωπικών δεδομένων που απαιτούνται για έναν σκοπό.
• Διασφάλιση της ακρίβειας των δεδομένων, συμπεριλαμβανομένης της δυνατότητας διαγραφής και επεξεργασίας τους.
• Περιορισμός της περιόδου αποθήκευσης των προσωπικών δεδομένων.
• Διασφάλιση της ασφάλειας, της ακεραιότητας και της εμπιστευτικότητας των προσωπικών δεδομένων.

• Να επεξεργάζονται νόμιμα, δίκαια και με διαφάνεια τα προσωπικά δεδομένα των πελατών τους
• Πρέπει να συλλέγουν προσωπικά δεδομένα μόνο για καθορισμένους, σαφείς και νόμιμους σκοπούς
• Η επεξεργασία πρέπει να είναι περιορισμένη στις περιπτώσεις που κρίνεται απαραίτητη
• Η επεξεργασία πρέπει να διενεργείται με ακρίβεια
• Η διενέργεια της επεξεργασίας δεν πρέπει να επεκτείνεται πέραν του αναγκαίου χρονικού πλαισίου
• Η επεξεργασία είναι νόμιμη όταν εξασφαλίζονται κατάλληλες εγγυήσεις για την προστασία των προσωπικών δεδομένων

Ο GDPR επιβάλλει μια σειρά νέων υποχρεώσεων στους υπευθύνους επεξεργασίας, οι οποίες απορρέουν από τις βασικές αρχές και ιδίως την ενισχυμένη αρχή της διαφάνειας (transparency) στον τρόπο συλλογής, επεξεργασίας και τήρησης δεδομένων και τη νέα αρχή της λογοδοσίας (accountability), σύμφωνα με την οποία ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωσή του με όλες τις αρχές που διέπουν την επεξεργασία προσωπικών δεδομένων. Επίσης εισάγονται νέα δικαιώματα για τα υποκείμενα των δεδομένων όπως το δικαίωμα στη λήθη, το δικαίωμα στη φορητότητα των δεδομένων.

Οι κυρώσεις που προβλέπει ο νέος Κανονισμός είναι εξαιρετικά υψηλές και φτάνουν έως και τα 20.000.000 ευρώ ή έως και 4% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους (όποιο από τα δύο είναι υψηλότερο).

Πρόκειται για το μέγιστο πρόστιμο που μπορεί να επιβληθεί για τις πιο σοβαρές παραβάσεις [π.χ. αδυναμία εξασφάλισης της συναίνεσης του πελάτη για επεξεργασία δεδομένων με σύννομο τρόπο, ή παραβίαση του της πολιτικής «Απόρρητο από το σχεδιασμό» (“privacy by design”)].

Υπάρχει κλιμάκωση στα απειλούμενα πρόστιμα.

Για παράδειγμα, μια επιχείρηση μπορεί απειληθεί με πρόστιμο ύψους 2% σε περιπτώσεις μη νόμιμης τήρησης των αρχείων της, καθυστερημένης αναγγελίας προς την εποπτεύουσα αρχή προστασίας δεδομένων και προς το υποκείμενο των δεδομένων, εάν διαπιστώσει παραβίαση των δεδομένων (“data breach”), ή όταν παραλείπει την διενέργεια εκτιμήσεων αντικτύπου.

Συνεπώς, η μη συμμόρφωση στις νέες ρυθμίσεις ενέχει τον κίνδυνο επιβολής προστίμου από την εποπτική αρχή το οποίο ενδέχεται να σημάνει την οικονομική καταστροφή του οργανισμού/επιχείρησης.

Οι παραβιάσεις δεδομένων που ενδέχεται να θέτουν σε κίνδυνο τα υποκείμενα των δεδομένων πρέπει να κοινοποιούνται στην αρμόδια αρχή προστασίας δεδομένων εντός 72 ωρών. Επιβάλλεται, επιπρόσθετα, η αντίστοιχη ενημέρωση των υποκειμένων των δεδομένων χωρίς αδικαιολόγητη καθυστέρηση

Στον GDPR οφείλουν να συμμορφωθούν όλοι οι φορείς/οργανισμοί δημοσίου και ιδιωτικού τομέα οι οποίοι επεξεργάζονται δεδομένα προσωπικού χαρακτήρα στο πλαίσιο της δραστηριότητάς τους.

Κάθε εταιρία, σωματείο, υπηρεσία του δημοσίου που συλλέγει, καταχωρεί, αποθηκεύει, κοινολογεί με διαβίβαση, συσχετίζει, διαγράφει, καταστρέφει πληροφορίες που αφορούν ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο έχει υποχρέωση να εφαρμόσει το νέο Κανονισμό.