GDPR για νεοσύστατη εταιρεία στην Κύπρο: πρακτικός έλεγχος

Ξεκινήστε από τις πραγματικές ροές δεδομένων της εταιρείας

Καταγράψτε δραστηριότητες που αφορούν αναγνωρίσιμα πρόσωπα: αιτήματα, λογαριασμούς πελατών, τιμολόγηση, προσλήψεις, μισθοδοσία, υποστήριξη, μάρκετινγκ και μετρήσεις ιστότοπου. Συμπεριλάβετε στοιχεία επαγγελματικών επαφών ακόμη και όταν οι πελάτες είναι εταιρείες. Το ονομαστικό email εργαζομένου ή το ιστορικό υποστήριξης αναγνωρίσιμου χρήστη μπορεί να είναι προσωπικό δεδομένο. Οι πωλήσεις προς επιχειρήσεις δεν καταργούν την ανάγκη εξέτασης των φυσικών προσώπων στα αρχεία.

Ακολουθήστε ένα ενδεικτικό αίτημα από συλλογή μέχρι διαγραφή. Καταγράψτε τη φόρμα ιστότοπου, την παράδοση email, το CRM, την πρόσβαση συμβούλων και την αρχειοθέτηση. Για μισθοδοσία, εξετάστε στοιχεία εργαζομένων, πάροχο μισθοδοσίας, πληρωμές και νόμιμα αρχεία. Συμπεριλάβετε υπολογιστικά φύλλα και κοινόχρηστες μονάδες έξω από το κύριο σύστημα. Ένας πρακτικός χάρτης συχνά αποκαλύπτει αντίγραφα και δικαιώματα πρόσβασης που χάνει μια γενική πολιτική.

Χρησιμοποιήστε τον επίσημο οδηγό του EDPB για μικρές επιχειρήσεις ως αφετηρία. Το νομικό πλαίσιο είναι ο Γενικός Κανονισμός Προστασίας Δεδομένων. Το άρθρο αυτό οργανώνει την εφαρμογή στην πράξη για ιδρυτές· δεν πιστοποιεί συμμόρφωση ούτε αντικαθιστά εξέταση των ειδικών επεξεργασιών, του τομέα και των διασυνοριακών ρυθμίσεων της εταιρείας.

Προσδιορίστε ρόλο υπευθύνου και εκτελούντος ανά δραστηριότητα

Η εταιρεία που αποφασίζει γιατί και πώς επεξεργάζεται προσωπικά δεδομένα είναι υπεύθυνος επεξεργασίας για τη συγκεκριμένη δραστηριότητα. Πάροχος που επεξεργάζεται δεδομένα για άλλον οργανισμό σύμφωνα με οδηγίες μπορεί να είναι εκτελών την επεξεργασία. Οι οδηγίες ρόλων του EDPB εξηγούν τις διακρίσεις, συμπεριλαμβανομένων από κοινού υπευθύνων και υπεργολάβων. Εφαρμόστε τις στα πραγματικά γεγονότα, όχι στην ετικέτα ενός συμβατικού υποδείγματος.

Μια εταιρεία λογισμικού μπορεί να είναι υπεύθυνος για τα στοιχεία του προσωπικού και τις επαφές τιμολόγησης, αλλά να επεξεργάζεται ορισμένα δεδομένα που ανεβάζουν πελάτες για λογαριασμό τους. Η απάντηση μπορεί να διαφέρει μεταξύ λειτουργιών προϊόντος. Αν η εταιρεία αποφασίσει να ξαναχρησιμοποιήσει δεδομένα πελατών για δικό της ξεχωριστό σκοπό, αυτό χρειάζεται δική του αξιολόγηση. Μην υποθέτετε ότι μία ετικέτα για όλη την εταιρεία λύνει κάθε ροή του προϊόντος.

Καταγράψτε τη συλλογιστική και τις αντίστοιχες ευθύνες. Όπου γίνεται επεξεργασία για πελάτη, εξετάστε οδηγίες, υποχρεώσεις συνδρομής, υπεργολάβους και δεσμεύσεις ασφαλείας. Όπου η εταιρεία είναι υπεύθυνος επεξεργασίας, πρέπει να μπορεί να εξηγήσει σκοπούς, νόμιμες βάσεις και ενημερώσεις. Ο οδηγός εταιρείας λογισμικού και SaaS καλύπτει την ευρύτερη επιχειρηματική δομή· η ανάλυση ρόλων εξαρτάται από τη συγκεκριμένη υπηρεσία και λειτουργία.

Επιλέξτε νόμιμες βάσεις και συλλέξτε μόνο όσα χρειάζονται

Για κάθε σκοπό εξετάστε την κατάλληλη νόμιμη βάση του άρθρου 6. Η αναγκαιότητα εκτέλεσης σύμβασης, οι νομικές υποχρεώσεις, τα έννομα συμφέροντα και η συγκατάθεση έχουν διαφορετικές προϋποθέσεις. Μη ζητάτε «συγκατάθεση στον GDPR» αντί να προσδιορίζετε σκοπό και βάση. Η συγκατάθεση δεν είναι γενική λύση για στοιχεία εργασίας, υποχρεωτικά λογιστικά βιβλία ή κάθε πράξη που απαιτείται για παροχή υπηρεσίας.

Αν εξετάζετε έννομα συμφέροντα, αξιολογήστε και καταγράψτε τον σκοπό, την αναγκαιότητα και τη στάθμιση έναντι δικαιωμάτων και συμφερόντων των προσώπων. Αν βασίζεστε σε συγκατάθεση, εξασφαλίστε πραγματική επιλογή και λειτουργική ανάκληση. Ειδικές κατηγορίες δεδομένων και στοιχεία ποινικών αδικημάτων χρειάζονται επιπλέον ανάλυση πέρα από το άρθρο 6. Μη συλλέγετε ευαίσθητα στοιχεία μόνο επειδή ένα υπόδειγμα έχει σχετικό πεδίο.

Ελέγξτε κάθε πεδίο φόρμας σε σχέση με τον δηλωμένο σκοπό. Αν το αρχικό αίτημα υπηρεσίας χρειάζεται όνομα και email, εξετάστε αν είναι αναγκαία φωτοτυπία διαβατηρίου εκείνη τη στιγμή. Μεταγενέστερος κανονιστικός έλεγχος πελάτη μπορεί να απαιτεί άλλα στοιχεία και χωριστή ασφαλή διαδικασία. Ο οδηγός προέλευσης κεφαλαίων και KYC εξηγεί την προετοιμασία τεκμηρίων· δεν δικαιολογεί συλλογή κάθε πιθανής ταυτότητας από κάθε επισκέπτη ιστότοπου.

Γράψτε ενημερώσεις που ανταποκρίνονται στην πράξη

Τα άρθρα 13 και 14 του GDPR καθορίζουν υποχρεώσεις ενημέρωσης, με λεπτομέρειες ανάλογες του τρόπου απόκτησης δεδομένων. Ετοιμάστε ενημερώσεις από την απογραφή και μην αντιγράφετε άλλον ιστότοπο. Αναφέρετε σωστή εταιρεία, σκοπούς, βάσεις, παραλήπτες, σχετικές διαβιβάσεις, διατήρηση και δικαιώματα μαζί με τις λοιπές απαιτούμενες πληροφορίες. Δώστε πρόσβαση στην ενημέρωση στο κατάλληλο στάδιο συλλογής.

Διαφορετικά κοινά ίσως χρειάζονται διαφορετική εξήγηση. Η ενημέρωση για αίτημα πελάτη, για εργαζόμενο και για χρήστη προϊόντος μπορεί να είναι συνεπείς αλλά να περιγράφουν διαφορετικές δραστηριότητες. Μην υπόσχεστε ότι δεδομένα δεν κοινοποιούνται ποτέ αν πάροχοι φιλοξενίας, μισθοδοσίας ή υποστήριξης τα λαμβάνουν. Μην υπόσχεστε άμεση διαγραφή όλων των αρχείων όταν εφαρμόζεται νόμιμη υποχρέωση διατήρησης ορισμένων.

Αξιολογήστε cookies και παρόμοιες τεχνολογίες χωριστά ως πραγματικό και νομικό ζήτημα δίπλα στον GDPR. Καταγράψτε τι πράγματι φορτώνει ο ιστότοπος και εξετάστε τους ισχύοντες κανόνες ηλεκτρονικών επικοινωνιών και συγκατάθεσης. Ένα banner που λέει «σεβόμαστε την ιδιωτικότητα» δεν αποδεικνύει ότι τα scripts ακολουθούν την επιλογή χρήστη. Δοκιμάστε τη συλλογή και ανάκληση, κρατήστε ακριβές κείμενο και αφαιρέστε εργαλεία που δεν χρειάζεται η εταιρεία.

Ρυθμίστε συμβάσεις προμηθευτών και διεθνείς διαβιβάσεις

Για εκτελούντες, το άρθρο 28 απαιτεί κατάλληλη δεσμευτική συμφωνία με συγκεκριμένα ζητήματα. Ελέγξτε τους πραγματικούς όρους παρόχου, οδηγίες επεξεργασίας, εμπιστευτικότητα, ασφάλεια, συνδρομή, διαγραφή ή επιστροφή και υπεργολάβους. Ο ισχυρισμός μάρκετινγκ «συμμορφωνόμαστε» δεν υποκαθιστά σύμβαση κατάλληλη για τη δική σας χρήση. Φυλάξτε τους αποδεκτούς όρους και την ημερομηνία έκδοσης αντί να βασίζεστε μόνο σε ιστοσελίδα που μπορεί να αλλάξει.

Εντοπίστε πού γίνεται επεξεργασία και πρόσβαση στα δεδομένα, συμπεριλαμβανομένης υποστήριξης και υπεργολάβων. Η διεύθυνση τιμολόγησης ή η ένδειξη «φιλοξενία ΕΕ» δεν περιγράφει κατ’ ανάγκη κάθε διαδρομή πρόσβασης. Αν υπάρχουν διαβιβάσεις εκτός ΕΟΧ, εξετάστε τον εφαρμοστέο μηχανισμό του κεφαλαίου V και τυχόν πρόσθετη αξιολόγηση ή εγγυήσεις. Μην υποθέτετε ότι μια συνήθης εμπορική ρήτρα εμπιστευτικότητας λύνει μόνη της την απαίτηση διεθνούς διαβίβασης.

Ελέγξτε τους προμηθευτές ανάλογα με τη δραστηριότητα. Πάροχος που χειρίζεται πολύ ευαίσθητα στοιχεία πελατών χρειάζεται άλλη προσοχή από εργαλείο με λίγα στοιχεία επαγγελματικών επαφών. Καταγράψτε απόφαση, συμβατικές προστασίες και εκκρεμείς όρους. Αν αλλάξετε πάροχο ή προσθέσετε διασύνδεση, επανεξετάστε τον χάρτη δεδομένων πριν δώσετε παραγωγική πρόσβαση. Πρόκειται για έλεγχο προμηθειών στην πράξη και όχι μόνο για άσκηση μετά από ερώτηση πελάτη.

Εφαρμόστε ασφάλεια, διατήρηση και ελέγχους πρόσβασης

Το άρθρο 32 απαιτεί ασφάλεια κατάλληλη για τον κίνδυνο. Μετατρέψτε την υποχρέωση σε ελέγχους που πράγματι εφαρμόζει η ομάδα: ατομικούς λογαριασμούς, σωστά δικαιώματα, ισχυρή ταυτοποίηση, διαχειριζόμενες συσκευές, ενημερώσεις, αντίγραφα ασφαλείας και ασφαλή κοινοποίηση. Τα κατάλληλα μέτρα εξαρτώνται από δεδομένα και επεξεργασία. Πολιτική που αναφέρει κρυπτογράφηση δεν βοηθά αν το προσωπικό στέλνει συστηματικά απροστάτευτα αρχεία σε προσωπικούς λογαριασμούς.

Δοκιμάστε αφαίρεση πρόσβασης όταν αποχωρούν εργαζόμενοι και συνεργάτες. Ορίστε ιδιοκτήτες συστημάτων και τρόπους ανάκτησης ώστε ένας αποχωρών διαχειριστής να μην αφήσει την εταιρεία χωρίς έλεγχο των αρχείων της. Περιορίστε την παραγωγική πρόσβαση σε όσους τη χρειάζονται και επανελέγξτε προνομιούχους ρόλους. Κρατήστε κατάλληλο ίχνος σημαντικών αλλαγών χωρίς να συλλέγετε αδιακρίτως νέα προσωπικά δεδομένα μόνο επειδή ένα εργαλείο μπορεί να τα καταγράψει.

Ορίστε περιόδους διατήρησης ανά κατηγορία και σκοπό, λαμβάνοντας υπόψη νομικές υποχρεώσεις. Καθορίστε τι γίνεται στη λήξη και πώς λειτουργεί διαγραφή ή περιορισμένη αρχειοθέτηση σε αντίγραφα και backups. Αποφύγετε μία γενική περίοδο για όλα τα έγγραφα. Μισθοδοσία, ανεπιτυχείς αιτήσεις, στοιχεία λογαριασμών και αρχεία ασφαλείας έχουν διαφορετικούς σκοπούς. Συντονίστε τα στοιχεία εργασίας με τον οδηγό αρχείων μισθοδοσίας και επαγγελματική συμβουλή για τις προθεσμίες.

Ετοιμαστείτε για αιτήματα πρόσβασης, διόρθωσης και διαγραφής

Ορίστε κανάλι επικοινωνίας και εκπαιδεύστε την ομάδα να αναγνωρίζει αίτημα δικαιώματος ακόμη κι αν δεν χρησιμοποιεί νομική ορολογία. Καταγράψτε πότε έφτασε, τι ζητείται και ποια συστήματα μπορεί να περιέχουν τα δεδομένα. Επαληθεύστε ταυτότητα αναλογικά· υπερβολικά έγγραφα για κάθε απλό ερώτημα μπορούν να δημιουργήσουν νέο πρόβλημα. Διευκρινίστε ασάφειες αντί να αφήσετε μήνυμα αναπάντητο σε γενικό inbox.

Κατά το άρθρο 12, απαντήστε χωρίς αδικαιολόγητη καθυστέρηση και συνήθως εντός ενός μήνα. Επιπλέον δύο μήνες είναι δυνατοί όταν συντρέχουν οι σχετικές προϋποθέσεις, με ενημέρωση του προσώπου για την παράταση και τους λόγους της μέσα στον πρώτο μήνα. Μη μετατρέπετε αυτό σε γενικό κανόνα 30 ημερών ούτε θεωρείτε ότι κάθε δύσκολο αίτημα επιτρέπει καθυστέρηση. Εξετάστε τα δικαιώματα, τις εξαιρέσεις και τα γεγονότα και κρατήστε αιτιολογημένο αρχείο.

Η διαγραφή δεν είναι πάντα άνευ όρων. Η εταιρεία ίσως πρέπει να διατηρήσει συγκεκριμένα στοιχεία λόγω νομικής υποχρέωσης ή άλλης εφαρμοστέας εξαίρεσης, σταματώντας παράλληλα άσχετες χρήσεις. Εξηγήστε με ακρίβεια την απόφαση. Αν πελάτης ζητεί διαγραφή λογαριασμού, ελέγξτε συνδεδεμένες υπηρεσίες και εκτελούντες αντί απλώς να κρύψετε τον λογαριασμό στην οθόνη. Κρατήστε επαρκές αρχείο απάντησης χωρίς να διατηρείτε άσκοπα αντίγραφα όλων όσων διαγράφηκαν.

Ετοιμάστε απόκριση παραβίασης πριν το πρώτο περιστατικό

Παραβίαση προσωπικών δεδομένων μπορεί να αφορά εμπιστευτικότητα, ακεραιότητα ή διαθεσιμότητα και δεν περιορίζεται σε δημοσίως εκτεθειμένη βάση. Λανθασμένος παραλήπτης συνημμένου, χαμένη συσκευή ή μη διαθέσιμα αρχεία ίσως χρειάζονται αξιολόγηση. Ο οδηγός παραβιάσεων του EDPB εξηγεί υποχρεώσεις γνωστοποίησης του υπευθύνου και ενημέρωσης του υπευθύνου από εκτελούντα χωρίς αδικαιολόγητη καθυστέρηση. Ορίστε εσωτερική κλιμάκωση που λειτουργεί και εκτός ωραρίου ιδρυτή.

Το άρθρο 33 απαιτεί γνωστοποίηση στην αρμόδια εποπτική αρχή χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, μέσα σε 72 ώρες από τη γνώση του περιστατικού, εκτός αν είναι απίθανο να προκύψει κίνδυνος για δικαιώματα και ελευθερίες προσώπων. Καθυστερημένη γνωστοποίηση χρειάζεται αιτιολόγηση. Το άρθρο 34 ρυθμίζει χωριστά ενημέρωση των θιγόμενων προσώπων όταν υπάρχει υψηλός κίνδυνος, υπό όρους και εξαιρέσεις. Δεν έχει κάθε τεχνικό περιστατικό ίδια υποχρέωση γνωστοποίησης.

Καταγράψτε γεγονότα, χρόνο γνώσης, δεδομένα που επηρεάστηκαν, πιθανές συνέπειες, περιοριστικά μέτρα και αξιολόγηση γνωστοποίησης. Μην περιμένετε τέλεια τεχνική έκθεση πριν εξετάσετε χρονικά κρίσιμη υποχρέωση. Διατηρήστε χρήσιμα αποδεικτικά και συντονίστε τεχνική, νομική και διοικητική απόκριση. Στο μητρώο περιστατικών σημειώστε και γιατί δεν απαιτείται γνωστοποίηση όταν αυτό κρίνεται. Δοκιμάστε τη διαδικασία με ρεαλιστική άσκηση πριν από πραγματικό συμβάν.

Εξετάστε αρχεία επεξεργασίας, DPO και δραστηριότητες υψηλού κινδύνου

Το μικρό προσωπικό δεν δημιουργεί γενική εξαίρεση GDPR. Η παρέκκλιση τήρησης αρχείων του άρθρου 30 για οργανισμούς κάτω των 250 εργαζομένων έχει σημαντικούς όρους, μεταξύ άλλων για μη περιστασιακή επεξεργασία, σχετικό κίνδυνο και ορισμένες κατηγορίες δεδομένων. Τακτική επεξεργασία στοιχείων πελατών ή προσωπικού δεν αγνοείται επειδή η εταιρεία είναι startup. Τηρήστε πρακτική απογραφή και εξετάστε τις συγκεκριμένες νόμιμες απαιτήσεις αρχείων.

Υπεύθυνος προστασίας δεδομένων δεν απαιτείται αυτόματα για κάθε κυπριακή εταιρεία. Το άρθρο 37 καθορίζει περιπτώσεις όπως σχετική επεξεργασία δημόσιων αρχών και ορισμένες κύριες δραστηριότητες μεγάλης κλίμακας παρακολούθησης ή επεξεργασίας συγκεκριμένων ευαίσθητων δεδομένων. Αξιολογήστε πραγματική δραστηριότητα, ανεξαρτησία και συγκρούσεις συμφερόντων. Η απλή ονομασία ιδρυτή ως «DPO» χωρίς εξέταση ρόλου και συγκρούσεων δεν αντικαθιστά την ανάλυση.

Όπου η επεξεργασία πιθανώς δημιουργεί υψηλό κίνδυνο, εξετάστε πριν την εφαρμογή αν χρειάζεται εκτίμηση αντικτύπου προστασίας δεδομένων κατά το άρθρο 35. Εκτεταμένη παρακολούθηση, ευαίσθητα στοιχεία ή νέα επεξεργασία με σημαντικές συνέπειες μπορεί να απαιτούν προσεκτική κρίση. Μη θεωρείτε ένα συνηθισμένο ερωτηματολόγιο κινδύνου αυτομάτως ισοδύναμο με ολοκληρωμένη DPIA. Ζητήστε ειδική συμβουλή και εξετάστε οδηγίες και καταλόγους της αρμόδιας αρχής.

Πραγματοποιήστε πρακτικό έλεγχο εφαρμογής σε startup

Σκεφτείτε ενδεικτική εταιρεία με φόρμα ερωτήσεων, διαδικτυακό προϊόν, δύο εργαζομένους και εξωτερικό λογιστή. Ο πρώτος έλεγχος χαρτογραφεί κάθε ροή και ξεχωρίζει επεξεργασία προϊόντος από δικά της στοιχεία προσωπικού και πωλήσεων. Έπειτα προσαρμόζει ενημερώσεις, συμβάσεις και άδειες πρόσβασης. Το παράδειγμα είναι άσκηση σχεδιασμού, όχι κρίση ότι όλες οι όμοιες εταιρείες έχουν ίδιες νομικές υποχρεώσεις.

• Ορίστε υπεύθυνο για την απογραφή δεδομένων και τα εκκρεμή ερωτήματα.
• Ελέγξτε σκοπούς, νόμιμες βάσεις, αναγκαία πεδία και ενημερώσεις ανά κοινό.
• Εξετάστε εκτελούντες, διαβιβάσεις, δικαιώματα πρόσβασης και πραγματικές ρυθμίσεις ασφάλειας.
• Ορίστε διαδικασίες διατήρησης και αιτημάτων δικαιωμάτων που μπορεί να εφαρμόσει το προσωπικό.
• Ετοιμάστε κλιμάκωση περιστατικών και ελέγξτε απαιτήσεις DPO, αρχείων και DPIA.
• Κρατήστε αποδεικτικά αποφάσεων και ελέγξτε αλλαγές πριν προσθέσετε νέα επεξεργασία.

Συμπεριλάβετε αυτές τις ευθύνες στην παράδοση μετά τη σύσταση, με υπευθύνους και επόμενα βήματα. Επανεξετάστε το απόρρητο όταν η εταιρεία προσλαμβάνει, αλλάζει προμηθευτές ή προσθέτει λειτουργία, όχι μόνο όταν ανανεώνει τον ιστότοπο. Στόχος είναι εφαρμόσιμη διαδικασία που ταιριάζει στην επιχείρηση, με ακριβή έγγραφα και σαφή διαδρομή ειδικής αξιολόγησης όπου το απαιτούν τα γεγονότα.