Κοινοποίηση Παραβίασης Δεδομένων

Η κοινοποίηση παραβίασης δεδομένων είναι μια νομική υποχρέωση ενημέρωσης των εποπτικών αρχών και, σε ορισμένες περιπτώσεις, των επηρεαζόμενων ατόμων όταν προσωπικά δεδομένα έχουν διακυβευτεί λόγω παραβίασης ασφαλείας. Σύμφωνα με τον ΓΚΠΔ, οι υπεύθυνοι επεξεργασίας πρέπει να ενημερώνουν την εποπτική τους αρχή εντός 72 ωρών από τη στιγμή που λαμβάνουν γνώση παραβίασης που ενέχει κίνδυνο για τα δικαιώματα και τις ελευθερίες των προσώπων, και να ενημερώνουν απευθείας τα επηρεαζόμενα άτομα εάν η παραβίαση παρουσιάζει υψηλό κίνδυνο.

Νομική Βάση

"Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας γνωστοποιεί την παραβίαση δεδομένων προσωπικού χαρακτήρα στην αρμόδια εποπτική αρχή σύμφωνα με το άρθρο 55, χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, το αργότερο εντός 72 ωρών από τη στιγμή που έλαβε γνώση της παραβίασης, εκτός εάν η παραβίαση των δεδομένων προσωπικού χαρακτήρα δεν ενδέχεται να εγκυμονεί κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων."

— Άρθρο 33(1), Κανονισμός (ΕΕ) 2016/679 (ΓΚΠΔ)

"Όταν η παραβίαση των δεδομένων προσωπικού χαρακτήρα ενδέχεται να εγκυμονεί υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας γνωστοποιεί χωρίς αδικαιολόγητη καθυστέρηση την παραβίαση των δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων."

— Άρθρο 34(1), Κανονισμός (ΕΕ) 2016/679 (ΓΚΠΔ)

Γιατί Έχει Σημασία

Οι υποχρεώσεις κοινοποίησης παραβίασης δεδομένων επηρεάζουν κάθε οργανισμό που επεξεργάζεται προσωπικά δεδομένα στο πλαίσιο υπηρεσιών πολιτικής διαφήμισης. Για τους χορηγούς, τους εκδότες και τους παρόχους υπηρεσιών πολιτικής διαφήμισης δυνάμει του Κανονισμού 2024/900, αυτό σημαίνει ότι κάθε μη εξουσιοδοτημένη πρόσβαση, απώλεια ή μεταβολή προσωπικών δεδομένων που χρησιμοποιούνται για στόχευση ή παροχή διαφημίσεων πρέπει να αναφέρεται άμεσα στη σχετική αρχή προστασίας δεδομένων.

Το χρονικό παράθυρο κοινοποίησης των 72 ωρών είναι αυστηρό και ξεκινά από τη στιγμή που ο οργανισμός λαμβάνει γνώση της παραβίασης, όχι όταν ολοκληρώσει τη διερεύνησή της. Οι οργανισμοί πρέπει να διαθέτουν εσωτερικές διαδικασίες για την ανίχνευση, διερεύνηση και αναφορά παραβιάσεων γρήγορα. Η αποτυχία κοινοποίησης μπορεί να οδηγήσει σε πρόστιμα έως 10 εκατομμύρια ευρώ ή 2% του παγκόσμιου ετήσιου κύκλου εργασιών σύμφωνα με τον ΓΚΠΔ.

Ειδικά για την πολιτική διαφήμιση, οι παραβιάσεις που αφορούν δεδομένα στόχευσης, προφίλ ψηφοφόρων ή πολιτικές προτιμήσεις είναι ιδιαίτερα ευαίσθητες. Αυτές οι παραβιάσεις μπορούν να εκθέσουν τα άτομα σε χειραγώγηση, διακρίσεις ή ζημία αντιποίνων, καθιστώντας την έγκαιρη κοινοποίηση κρίσιμη για την προστασία των δημοκρατικών διαδικασιών και των ατομικών δικαιωμάτων.

Βασικά Σημεία

• Οι υπεύθυνοι επεξεργασίας πρέπει να ενημερώνουν την εποπτική τους αρχή εντός 72 ωρών από τη στιγμή που λαμβάνουν γνώση παραβίασης, εκτός εάν η παραβίαση δεν ενδέχεται να θέτει σε κίνδυνο τα δικαιώματα και τις ελευθερίες των ατόμων
• Εάν η παραβίαση ενέχει υψηλό κίνδυνο για τα άτομα, πρέπει να ενημερωθούν απευθείας χωρίς αδικαιολόγητη καθυστέρηση
• Οι κοινοποιήσεις πρέπει να περιγράφουν τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό των επηρεαζόμενων ατόμων και αρχείων, και τα μέτρα που λήφθηκαν για την αντιμετώπισή της
• Οι εκτελούντες την επεξεργασία πρέπει να ενημερώνουν τους υπεύθυνους επεξεργασίας αμέσως μόλις ανακαλύψουν μια παραβίαση ώστε οι υπεύθυνοι επεξεργασίας να μπορούν να τηρήσουν τις δικές τους προθεσμίες κοινοποίησης
• Οι οργανισμοί θα πρέπει να τηρούν τεκμηρίωση όλων των παραβιάσεων, συμπεριλαμβανομένων αυτών που δεν αναφέρθηκαν, για να αποδεικνύουν τη συμμόρφωση
• Οι κυρώσεις για αποτυχία κοινοποίησης μπορούν να φτάσουν τα 10 εκατομμύρια ευρώ ή το 2% του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο από τα δύο είναι υψηλότερο

Κοινοποίηση Παραβίασης Δεδομένων έναντι Ανακοίνωσης Διαφάνειας

Ενώ και τα δύο περιλαμβάνουν υποχρεώσεις γνωστοποίησης, η κοινοποίηση παραβίασης δεδομένων και οι ανακοινώσεις διαφάνειας εξυπηρετούν διαφορετικούς σκοπούς. Η κοινοποίηση παραβίασης δεδομένων είναι μια αντιδραστική, καθοδηγούμενη από συμβάντα απαίτηση που ενεργοποιείται όταν παραβιάζεται η ασφάλεια των προσωπικών δεδομένων. Πρέπει να παραδοθεί στις εποπτικές αρχές εντός 72 ωρών και στα επηρεαζόμενα άτομα όταν υπάρχει υψηλός κίνδυνος.

Μια ανακοίνωση διαφάνειας (όπως η ανακοίνωση απορρήτου που απαιτείται δυνάμει των άρθρων 13-14 του ΓΚΠΔ ή η ανακοίνωση διαφάνειας για πολιτική διαφήμιση δυνάμει του Κανονισμού 2024/900) είναι μια προληπτική, συνεχής υποχρέωση ενημέρωσης των ατόμων σχετικά με τον τρόπο επεξεργασίας των δεδομένων τους πριν ή κατά τη στιγμή της συλλογής. Οι ανακοινώσεις διαφάνειας είναι προληπτικές και ενημερωτικές· οι κοινοποιήσεις παραβίασης είναι διορθωτικές και επείγουσες.

Σχετικοί Όροι

• Προσωπικά δεδομένα
• Αρχή προστασίας δεδομένων
• Υπεύθυνος επεξεργασίας
• Εκτελών την επεξεργασία
• Συμμόρφωση με τον ΓΚΠΔ
• Τεχνικές στόχευσης
• Μέτρα ασφαλείας
• Εποπτική αρχή
• Ανακοίνωση απορρήτου
• Δικαιώματα υποκειμένων δεδομένων