Οδηγίες για την προστασία των δεδομένων — Ερώτηση 11
Τι πρέπει να κάνετε σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα;
Ισχύει για το σενάριο 2, εκτός από τη χρήση της υπηρεσίας ανταλλαγής αρχείων της Επιτροπής
Ως παραβίαση δεδομένων προσωπικού χαρακτήρα νοείται η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν σε επεξεργασία.
Γνωστοποίηση της παραβίασης δεδομένων
Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ο/η εκπρόσωπος της ομάδας διοργανωτών/-τριών πρέπει να την κοινοποιεί, χωρίς καθυστέρηση και, κατ’ αρχήν, εντός 72 ωρών από τη στιγμή που λαμβάνει γνώση της παραβίασης στην αρμόδια αρχή προστασίας δεδομένων, εκτός εάν είναι απίθανο να θέσει σε κίνδυνο τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων.
Η κοινοποίηση πρέπει να περιλαμβάνει τουλάχιστον:
- περιγραφή της παραβίασης των δεδομένων, συμπεριλαμβανομένων του αριθμού των υπογραφόντων και των κατηγοριών δεδομένων που επηρεάζονται·
- το όνομα και τα στοιχεία επικοινωνίας του/της υπεύθυνου/-ης προστασίας δεδομένων (ή άλλου σχετικού σημείου επαφής)·
- τις πιθανές συνέπειες της παραβίασης των δεδομένων λαμβανομένου υπόψη του αντικειμένου· και
- τυχόν μέτρα που έχει λάβει ο/η υπεύθυνος/-η επεξεργασίας για την επανόρθωση ή τον μετριασμό της παραβίασης.
Όταν δεν είναι δυνατόν να παρασχεθούν ταυτόχρονα οι πληροφορίες, μπορούν να παρέχονται σταδιακά χωρίς καθυστέρηση.
Ο/Η εκπρόσωπος πρέπει επίσης να τεκμηριώνει τα γεγονότα, τις συνέπειές τους και τα διορθωτικά μέτρα που έχουν ήδη ληφθεί (ή πρέπει να ληφθούν επειγόντως), παρέχοντας τον σχετικό σχεδιασμό.
Κίνδυνοι για τα δικαιώματα και τις ελευθερίες
Επιπλέον, όταν η παραβίαση ενδέχεται να θέσει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες των υπογραφόντων, πρέπει να ενημερώνονται αναλόγως, εκτός εάν:
- τα εφαρμοζόμενα μέτρα (όπως η κρυπτογράφηση, υπό την προϋπόθεση ότι δεν έχει παραβιαστεί το κλειδί) έχουν καταστήσει μη κατανοητά τα δεδομένα ή διασφαλίζουν ότι οι κίνδυνοι δεν είναι πλέον πιθανό να προκύψουν, ή
- η προσωπική επικοινωνία με τους υπογράφοντες συνεπάγεται δυσανάλογες προσπάθειες. Σε τέτοια περίπτωση, θα μπορούσε να γίνει αντ’ αυτού δημόσια κοινοποίηση της παραβίασης, για την ενημέρωση των υπογραφόντων.
ΣΗΜΕΙΩΣΗ:
Σε περίπτωση επεξεργασίας δεδομένων υπό καθεστώς κοινής ευθύνης επεξεργασίας με την Επιτροπή, και εκτός εάν η παραβίαση των δεδομένων μπορεί να καταλογιστεί στη συμπεριφορά των μελών της ομάδας διοργανωτών/-τριών, οι ανωτέρω υποχρεώσεις εκπληρώνονται από την Επιτροπή. Η ομάδα διοργανωτών/-τριών θα πρέπει να συνδράμει, εφόσον είναι αναγκαίο και στο μέτρο του δυνατού, την Επιτροπή στη διαχείριση παραβιάσεων δεδομένων προσωπικού χαρακτήρα.
Παραπομπές:
- Άρθρα 33 και 34 του ΓΚΠΔ
- Συχνές ερωτήσεις της Επιτροπής σχετικά με την προστασία των δεδομένων — «Τι είναι η παραβίαση δεδομένων και τι πρέπει να κάνουμε σε περίπτωση παραβίασης δεδομένων;»
