Προστασία δεδομένων & NIS2

GDPR για επιχειρήσεις και NIS2: τι οφείλει να κάνει η εταιρεία σας.

Σχεδόν κάθε επιχείρηση επεξεργάζεται καθημερινά προσωπικά δεδομένα, ενώ πολλές υπάγονται επιπλέον, βάσει του ν. 5160/2024, στους κανόνες κυβερνοασφάλειας της NIS2. Εξετάζουμε ποιες υποχρεώσεις αφορούν πράγματι την εταιρεία σας, συντάσσουμε τα έγγραφα και τις διαδικασίες που χρειάζονται και φροντίζουμε να παραμένουν επίκαιρα καθώς η επιχείρηση εξελίσσεται.

Επικοινωνήστε μαζί μας Τηλέφωνο 24/7 · +30 210 220 5950

Σε ποιους απευθύνεται

Σε εταιρείες που διαχειρίζονται δεδομένα πελατών, εργαζομένων ή προμηθευτών και θέλουν η συμμόρφωσή τους με τον GDPR να αντιστοιχεί στον τρόπο που πραγματικά λειτουργούν, καθώς και σε όσες χρειάζεται να μάθουν αν εμπίπτουν στη NIS2.

Τι αναλαμβάνουμε

Η εργασία στηρίζεται στις ροές δεδομένων και στα συστήματα της ίδιας της εταιρείας:

01
Καταγραφή των δραστηριοτήτων επεξεργασίας και τήρηση του σχετικού αρχείου
02
Κείμενα ενημέρωσης πελατών και εργαζομένων, διαδικασίες συγκατάθεσης και ρυθμίσεις για cookies
03
Συμβάσεις με προμηθευτές και παρόχους cloud ή λογισμικού που ενεργούν ως εκτελούντες την επεξεργασία
04
Εκτιμήσεις αντικτύπου για επεξεργασίες που ενδέχεται να επιφέρουν υψηλό κίνδυνο για τα δικαιώματα των προσώπων, και διαδικασία για παραβιάσεις δεδομένων με γνωστοποίηση στην Αρχή Προστασίας Δεδομένων
05
Έλεγχο υπαγωγής στη NIS2, εγγραφή στην Εθνική Αρχή Κυβερνοασφάλειας και την οργάνωση που ο νόμος ζητά από τη διοίκηση

Υποχρεώσεις του GDPR που συχνά παραβλέπονται

Οι επιχειρήσεις με λιγότερους από 250 εργαζομένους δεν απαλλάσσονται αυτομάτως από την τήρηση αρχείου δραστηριοτήτων επεξεργασίας. Η εξαίρεση δεν ισχύει όταν η επεξεργασία ενδέχεται να δημιουργήσει κίνδυνο για τα πρόσωπα, όταν δεν είναι περιστασιακή ή όταν αφορά ειδικές κατηγορίες δεδομένων, όπως δεδομένα υγείας, ή δεδομένα ποινικών καταδικών. Η τακτική επεξεργασία στοιχείων πελατών ή μισθοδοσίας δεν είναι, στην πράξη, περιστασιακή.

Υπεύθυνος Προστασίας Δεδομένων απαιτείται όταν η βασική δραστηριότητα της επιχείρησης συνίσταται σε τακτική και συστηματική παρακολούθηση προσώπων σε μεγάλη κλίμακα ή σε μεγάλης κλίμακας επεξεργασία ειδικών κατηγοριών δεδομένων. Κάθε προμηθευτής που επεξεργάζεται δεδομένα για λογαριασμό σας χρειάζεται έγγραφη σύμβαση. Η παραβίαση δεδομένων γνωστοποιείται στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, εφόσον είναι εφικτό, εντός 72 ωρών από τη στιγμή που η εταιρεία λάβει γνώση. Για τα δεδομένα των εργαζομένων ο ν. 4624/2019 θέτει πρόσθετους κανόνες, μεταξύ άλλων και για τα συστήματα βιντεοεπιτήρησης στον χώρο εργασίας.

NIS2: ποιοι είναι υπόχρεοι

Η Οδηγία (ΕΕ) 2022/2555 ενσωματώθηκε με τον ν. 5160/2024. Κατά κανόνα καλύπτει μεσαίες και μεγάλες επιχειρήσεις, δηλαδή με 50 ή περισσότερους εργαζομένους ή με ετήσιο κύκλο εργασιών και σύνολο ετήσιου ισολογισμού που υπερβαίνουν και τα δύο τα 10 εκατ. ευρώ, εφόσον δραστηριοποιούνται στους τομείς που απαριθμεί ο νόμος. Στους τομείς υψηλής κρισιμότητας ανήκουν η ενέργεια, οι μεταφορές, οι τράπεζες, οι υποδομές χρηματοπιστωτικών αγορών, η υγεία, το πόσιμο νερό και τα λύματα, οι ψηφιακές υποδομές, η διαχείριση υπηρεσιών ΤΠΕ μεταξύ επιχειρήσεων, η δημόσια διοίκηση και το διάστημα. Στους λοιπούς κρίσιμους τομείς περιλαμβάνονται οι ταχυδρομικές υπηρεσίες και υπηρεσίες ταχυμεταφορών, η διαχείριση αποβλήτων, τα χημικά, η παραγωγή και διανομή τροφίμων, η μεταποίηση, οι πάροχοι ψηφιακών υπηρεσιών και η έρευνα.

Ορισμένοι φορείς υπάγονται ανεξαρτήτως μεγέθους, όπως οι πάροχοι δημόσιων δικτύων ή υπηρεσιών ηλεκτρονικών επικοινωνιών, οι πάροχοι υπηρεσιών εμπιστοσύνης, τα μητρώα ονομάτων τομέα ανωτάτου επιπέδου και οι πάροχοι υπηρεσιών DNS. Οι υπόχρεοι διακρίνονται σε βασικές και σημαντικές οντότητες, με διαφορετικό καθεστώς εποπτείας.

NIS2: τι προβλέπει ο νόμος

Οι υπόχρεοι εγγράφονται στην Εθνική Αρχή Κυβερνοασφάλειας μέσω της ψηφιακής πλατφόρμας· η αρχική προθεσμία έχει παρέλθει, οπότε όποια επιχείρηση δεν το έχει κάνει οφείλει να εγγραφεί χωρίς καθυστέρηση. Η διοίκηση εγκρίνει τα μέτρα διαχείρισης κινδύνων και εποπτεύει την εφαρμογή τους, τα μέλη της παρακολουθούν εκπαίδευση και το προσωπικό εκπαιδεύεται τουλάχιστον μία φορά τον χρόνο. Η εταιρεία ορίζει Υπεύθυνο Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών (Υ.Α.Σ.Π.Ε.), του οποίου τα καθήκοντα είναι ασυμβίβαστα με εκείνα του Υπευθύνου Προστασίας Δεδομένων, και τηρεί ενιαία πολιτική κυβερνοασφάλειας.

Τα σημαντικά περιστατικά αναφέρονται σε στάδια: έγκαιρη προειδοποίηση εντός 24 ωρών, κοινοποίηση του περιστατικού εντός 72 ωρών και τελική έκθεση εντός ενός μήνα. Τα πρόστιμα φθάνουν έως 10 εκατ. ευρώ ή 2% του παγκόσμιου ετήσιου κύκλου εργασιών για τις βασικές οντότητες και έως 7 εκατ. ευρώ ή 1,4% για τις σημαντικές, ενώ τα μέλη της διοίκησης μπορούν να ευθύνονται για την παράβαση αυτών των υποχρεώσεων.

FAQ

Συχνές ερωτήσεις

Ισχύει ο GDPR και για τις μικρές επιχειρήσεις;

Ναι. Ο GDPR αφορά κάθε επιχείρηση που επεξεργάζεται προσωπικά δεδομένα, ανεξαρτήτως μεγέθους. Η εξαίρεση από την υποχρέωση τήρησης αρχείου δραστηριοτήτων επεξεργασίας ισχύει για όσες έχουν λιγότερους από 250 εργαζομένους μόνον όταν η επεξεργασία είναι περιστασιακή, χαμηλού κινδύνου και δεν αφορά ειδικές κατηγορίες δεδομένων ή δεδομένα ποινικών καταδικών.

Χρειάζεται η εταιρεία μου Υπεύθυνο Προστασίας Δεδομένων (DPO);

Μόνο σε συγκεκριμένες περιπτώσεις: όταν η βασική δραστηριότητα συνίσταται σε συστηματική παρακολούθηση προσώπων σε μεγάλη κλίμακα ή σε μεγάλης κλίμακας επεξεργασία ειδικών κατηγοριών δεδομένων, καθώς και για τους δημόσιους φορείς. Πολλές μικρομεσαίες δεν χρειάζονται DPO, χρειάζονται όμως κάποιον που να έχει την ευθύνη της συμμόρφωσης.

Πώς ξέρω αν η επιχείρησή μου είναι υπόχρεη στη NIS2;

Ελέγχετε δύο πράγματα: αν δραστηριοποιείστε σε έναν από τους τομείς του ν. 5160/2024 και αν είστε τουλάχιστον μεσαία επιχείρηση, δηλαδή με 50 ή περισσότερους εργαζομένους ή με ετήσιο κύκλο εργασιών και σύνολο ισολογισμού άνω των 10 εκατ. ευρώ. Ορισμένοι πάροχοι, όπως οι πάροχοι ηλεκτρονικών επικοινωνιών και υπηρεσιών εμπιστοσύνης, υπάγονται ανεξαρτήτως μεγέθους.

Ποια αρχή εποπτεύει τον GDPR και ποια τη NIS2;

Τον GDPR εποπτεύει η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (dpa.gr). Τη NIS2 εποπτεύει η Εθνική Αρχή Κυβερνοασφάλειας (cyber.gov.gr), στην οποία οι υπόχρεοι εγγράφονται μέσω ψηφιακής πλατφόρμας.

Μπορεί ο DPO να είναι και Υ.Α.Σ.Π.Ε.;

Όχι. Ο ν. 5160/2024 ορίζει ρητά ότι τα καθήκοντα του Υπευθύνου Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών είναι ασυμβίβαστα με εκείνα του Υπευθύνου Προστασίας Δεδομένων, άρα τους δύο ρόλους αναλαμβάνουν διαφορετικά πρόσωπα.

Σε πόσο χρόνο αναφέρεται μια παραβίαση δεδομένων ή ένα περιστατικό κυβερνοασφάλειας;

Η παραβίαση δεδομένων γνωστοποιείται στην Αρχή Προστασίας Δεδομένων, εφόσον είναι εφικτό, εντός 72 ωρών. Για σημαντικό περιστατικό της NIS2 απαιτείται έγκαιρη προειδοποίηση εντός 24 ωρών, κοινοποίηση εντός 72 ωρών και τελική έκθεση εντός ενός μήνα. Το ίδιο συμβάν μπορεί να ενεργοποιήσει και τις δύο διαδικασίες.

Επικοινωνία