Πολιτική Προστασίας Δεδομένων και Ιδιωτικότητας

Η Πολιτική Προστασίας Δεδομένων και Ιδιωτικότητας (P17) θεσπίζει ένα ολοκληρωμένο πλαίσιο για την προστασία προσωπικών δεδομένων και την εφαρμογή αρχών privacy-by-design σε όλο τον οργανισμό. Η πολιτική καθορίζει τις υποχρεωτικές οργανωτικές και τεχνικές απαιτήσεις που είναι αναγκαίες για συμμόρφωση με διεθνή πρότυπα και εξελισσόμενα ρυθμιστικά πλαίσια, διασφαλίζοντας ότι τα προσωπικά δεδομένα υποβάλλονται σε χειρισμό με νόμιμο, ασφαλή και διαφανή τρόπο σε όλο τον κύκλο ζωής τους. Η κάλυψη επεκτείνεται σε όλες τις οργανωτικές μονάδες, το προσωπικό και τα συστήματα που υποβάλλουν σε επεξεργασία προσωπικά δεδομένα, είτε σε φυσικά είτε σε ψηφιακά μέσα, και περιλαμβάνει υπηρεσίες υπολογιστικού νέφους, πλατφόρμες SaaS και φορητές συσκευές. Η πολιτική είναι ρητή ως προς το πεδίο εφαρμογής της, διευκρινίζοντας ότι όλοι οι εργαζόμενοι, οι ανάδοχοι και τα τρίτα μέρη υπόκεινται στις απαιτήσεις της. Περιλαμβάνονται όλα τα περιβάλλοντα όπου βρίσκονται προσωπικά δεδομένα: παραγωγής, ανάπτυξης, δοκιμών ή συστήματα αντιγράφων ασφαλείας. Η πολιτική καλύπτει όχι μόνο τη συλλογή, αποθήκευση και χρήση προσωπικών δεδομένων, αλλά και τη διατήρηση, διάθεση, διασυνοριακές διαβιβάσεις και τον χειρισμό δικαιωμάτων υποκειμένων δεδομένων. Κεντρικός στόχος της πολιτικής είναι η διασφάλιση συμμόρφωσης με κορυφαίους κανονισμούς και πρότυπα: GDPR (Άρθρα 5, 6, 12–23, 25, 28, 30, 32–34· Αιτιολογική σκέψη 78), EU NIS2, EU DORA, ISO/IEC 27001:2022 (Ρήτρες 5.1, 6.1.3, 8.1, 10.1), ISO/IEC 27002:2022 (Έλεγχοι 5.34, 8.10, 8.11), NIST SP 800-53 Rev. 5 (διάφοροι έλεγχοι) και COBIT 2019 (APO12, DSS01, DSS05, MEA). Για τον σκοπό αυτό, επιβάλλει την ανάθεση ρόλων και δομών λογοδοσίας: η Εκτελεστική Διοίκηση διασφαλίζει στρατηγική εποπτεία· ο DPO ενορχηστρώνει διαδικασίες συμμόρφωσης, την επιβολή δικαιωμάτων υποκειμένων δεδομένων και την αλληλεπίδραση με εποπτικές αρχές· και οι Ομάδες Πληροφορικής και Ασφάλειας Πληροφοριών, η Νομική και Συμμόρφωση, οι Ιδιοκτήτες Δεδομένων και οι Λειτουργίες Πληροφορικής υλοποιούν από κοινού τεχνικά και οργανωτικά μέτρα, τηρούν μητρώα και διαχειρίζονται παραβιάσεις. Η πολιτική απαιτεί ένα επίσημο Πλαίσιο Διακυβέρνησης Ιδιωτικότητας ενσωματωμένο με το Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών (ISMS) του οργανισμού για συνεπή επιβολή. Οριοθετεί διαδικασίες για τη διατήρηση μητρώων κινδύνων ιδιωτικότητας, τη διενέργεια DPIA για επεξεργασία υψηλού κινδύνου και τη διασφάλιση ότι οι έλεγχοι ιδιωτικότητας (από την ελαχιστοποίηση δεδομένων και την ψευδωνυμοποίηση έως τον προγραμματισμό διατήρησης και την ασφαλή διάθεση) είναι βαθιά ενσωματωμένοι. Η νόμιμη επεξεργασία και οι τεκμηριωμένες νομικές βάσεις αποτελούν θεμέλιο, με ρητή διαχείριση συγκατάθεσης, απογραφών δεδομένων και διασυνοριακών ροών δεδομένων. Τα αιτήματα υποκειμένων δεδομένων διεκπεραιώνονται εντός καθορισμένων χρονοδιαγραμμάτων και καταγράφονται για ιχνηλασιμότητα, ενώ περιγράφονται αναλυτικά ισχυρά πλαίσια για τη διαχείριση παραβιάσεων, τη διαχείριση εξαιρέσεων και την εποπτεία τρίτων μερών. Οι τακτικές ανασκοπήσεις, τα ίχνη ελέγχου και η απαίτηση για ετήσιους (ή έκτακτους) εσωτερικούς ελέγχους συμβάλλουν στη διασφάλιση ότι η πολιτική παραμένει αποτελεσματική και ανταποκρίνεται σε ρυθμιστικές αλλαγές, ευρήματα ελέγχου ή μείζονα περιστατικά. Κάθε σημαντική επικαιροποίηση πρέπει να εγκρίνεται από την Εκτελεστική Διοίκηση και να τεκμηριώνεται στο ISMS. Η παρούσα πολιτική αποτελεί αναπόσπαστο μέρος του ευρύτερου συστήματος ασφάλειας πληροφοριών και διαχείρισης κινδύνων του οργανισμού, συνδεόμενη στενά με συμπληρωματικές πολιτικές για την αντιμετώπιση περιστατικών, τη διαχείριση κινδύνων, την ταξινόμηση, τη διατήρηση, την απόκρυψη δεδομένων και την παρακολούθηση ελέγχων.