Έλεγχος Προστασίας Δεδομένων

Τι είναι ο έλεγχος;

Ο έλεγχος προστασίας δεδομένων αξιολογεί αν η επεξεργασία προσωπικών δεδομένων συμμορφώνεται με την ισχύουσα νομοθεσία (GDPR, εθνικοί νόμοι κ.λπ.). Σε αντίθεση με τον έλεγχο κυβερνοασφάλειας, το επίκεντρο είναι η ΝΟΜΙΜΗ ΕΠΕΞΕΡΓΑΣΙΑ και όχι η προστασία των δεδομένων καθαυτή.

Γιατί διενεργείται;

Στόχος είναι ο εντοπισμός μη συμμορφώσεων που επιφέρουν διοικητικά πρόστιμα και κίνδυνο φήμης και η επαλήθευση ότι προστατεύονται τα δικαιώματα των υποκειμένων.

Ποιος τον ζητά;

Οργανισμοί που επεξεργάζονται εντατικά προσωπικά δεδομένα
Εταιρείες που δραστηριοποιούνται στην ΕΕ ή παρέχουν υπηρεσίες στην ΕΕ βάσει του GDPR
Τεχνολογικές εταιρείες που παρέχουν υπηρεσίες ως εκτελών την επεξεργασία δεδομένων
Προμηθευτές των οποίων οι πελάτες ζητούν διασφάλιση προστασίας δεδομένων
Οργανισμοί που θεσπίζουν το ISO/IEC 27701

Κριτήρια ελέγχου

Το κριτήριο είναι η ισχύουσα νομοθεσία προστασίας δεδομένων (KVKK, GDPR) μαζί με ένα πρότυπο συστήματος διαχείρισης απορρήτου όπως το ISO/IEC 27701, εφόσον υπάρχει. Προστίθενται επίσης οι κλαδικοί κανονισμοί και οι όροι επεξεργασίας δεδομένων στις συμβάσεις πελατών.

Εύρος ελέγχου

Η απογραφή προσωπικών δεδομένων και η καταγραφή των δραστηριοτήτων επεξεργασίας
Η νομική βάση των δραστηριοτήτων επεξεργασίας
Ειδοποιήσεις απορρήτου και διαχείριση συγκατάθεσης
Οι διαδικασίες άσκησης δικαιωμάτων του υποκειμένου δεδομένων και οι χρόνοι απόκρισης
Ελαχιστοποίηση δεδομένων και περίοδοι διατήρησης
Η πολιτική καταστροφής και τα πραγματικά αρχεία καταστροφής
Οι συμφωνίες επεξεργασίας δεδομένων και η διαχείριση υπο-εκτελούντων
Οι διασυνοριακές μεταφορές δεδομένων και η νομική τους βάση
Δραστηριότητες επεξεργασίας που απαιτούν εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (DPIA)
Η επάρκεια των τεχνικών και οργανωτικών μέτρων
Οι διαδικασίες εντοπισμού, κοινοποίησης και τήρησης αρχείων παραβιάσεων δεδομένων
Η ευαισθητοποίηση των εργαζομένων και οι δεσμεύσεις εμπιστευτικότητας
Ο ορισμός προσώπου επικοινωνίας ή υπευθύνου προστασίας δεδομένων

Σχετικά πρότυπα

ISO/IEC 27701
ISO/IEC 27001
ISO/IEC 29134
ISO 19011

Διαδικασία ελέγχου

1Επιλογή των κριτηρίων εφαρμογήςΚαθορίζεται το πρότυπο, το σχήμα ή η νομοθεσία βάσει των οποίων διενεργείται ο έλεγχος· στους θεματικούς ελέγχους η επιλογή κριτηρίου καθορίζει άμεσα τη σημασία του αποτελέσματος.
2Εκτίμηση κινδύνου και εύροςΟι περιοχές κινδύνου προσδιορίζονται βάσει δραστηριότητας και τοποθεσίας του οργανισμού· ανάλογα προγραμματίζονται οι ημέρες ελέγχου.
3Εξέταση εγγράφων και αρχείωνΕξετάζονται πολιτικές, διαδικασίες, άδειες, αρχεία μετρήσεων και αποτελέσματα προηγούμενων ελέγχων.
4Επιτόπιος έλεγχοςΔιασχίζονται οι σχετικοί χώροι· γίνονται μετρήσεις, παρατηρήσεις και έλεγχοι αρχείων ειδικοί για το θέμα.
5Συνεντεύξεις εργαζομένωνΕφόσον το απαιτεί το θέμα, διεξάγονται εμπιστευτικές συνεντεύξεις με εργαζομένους ανεξάρτητα από τη διοίκηση· οι δηλώσεις αντιπαραβάλλονται με τα αρχεία.
6Αξιολόγηση νομικής συμμόρφωσηςΗ συμμόρφωση με την ισχύουσα νομοθεσία ελέγχεται χωριστά· η νομική μη συμμόρφωση αποτελεί σε κάθε σχήμα τη βαρύτερη κατηγορία ευρήματος.
7Αναφορά των ευρημάτωνΤα ευρήματα ταξινομούνται κατά βαρύτητα και συγκεντρώνονται σε έκθεση.
8Διορθωτικές ενέργειες και παρακολούθησηΛαμβάνεται σχέδιο διορθωτικών ενεργειών· παρακολουθείται το κλείσιμό του εντός της προθεσμίας του σχήματος.

Ευρήματα

Τα σοβαρότερα ευρήματα είναι η επεξεργασία χωρίς νομική βάση, η μη καταστροφή ληγμένων δεδομένων και η απουσία διαδικασίας κοινοποίησης παραβίασης. Αυτά ενέχουν άμεσο κίνδυνο διοικητικής κύρωσης.

Έκθεση ελέγχου

Στοιχεία φορέα, ελεγκτή και ελεγχόμενου
Εφαρμοζόμενο πρότυπο, σχήμα ή νομοθεσία
Ημερομηνία, διάρκεια και εύρος ελέγχου
Ευρήματα από την εξέταση εγγράφων και αρχείων
Επιτόπιες παρατηρήσεις και αποτελέσματα μετρήσεων
Ευρήματα από συνεντεύξεις εργαζομένων, εφόσον έγιναν
Αξιολόγηση νομικής συμμόρφωσης
Ευρήματα, βαρύτητα και τεκμήρια
Σχέδιο διορθωτικών ενεργειών και προθεσμίες

Όρια του αποτελέσματος

Ένας έλεγχος προστασίας δεδομένων είναι μια τεχνική και διαδικαστική αξιολόγηση· δεν αποτελεί νομική γνωμοδότηση. Η ερμηνεία της νομοθεσίας και μια δεσμευτική αξιολόγηση σχετικά με τη νομιμότητα μιας επεξεργασίας εναπόκεινται στην αρμόδια εποπτική αρχή. Η έκθεση ελέγχου δεν αποτελεί πιστοποιητικό συμμόρφωσης ούτε έγγραφο που παρέχει προστασία ενώπιον της αρχής.

Διαπίστευση

Η διαπίστευση διαφέρει ανάλογα με τον τύπο του ελέγχου. Οι έλεγχοι τρίτου μέρους που στηρίζουν την πιστοποίηση συστημάτων διαχείρισης διενεργούνται κατά ISO/IEC 17021-1 και όσοι στηρίζουν την πιστοποίηση προϊόντος κατά ISO/IEC 17065· τα πεδία αυτά υπόκεινται σε διαπίστευση. Οι έλεγχοι πρώτου και δεύτερου μέρους, καθώς και όσοι διέπονται από τους κανόνες του ιδιοκτήτη ενός σχήματος (SMETA, amfori BSCI), δεν εμπίπτουν στη διαπιστευμένη πιστοποίηση· ακολουθούν το ISO 19011 και παράγουν έκθεση. Η EUROLAB διαθέτει διεθνώς αναγνωρισμένη διαπίστευση κατά ISO/IEC 17021-1 και ISO/IEC 17065 από φορείς της συμφωνίας IAF· ποιοι έλεγχοι προσφέρονται εντός διαπιστευμένου πεδίου επιβεβαιώνεται εγγράφως στο στάδιο της προσφοράς.

Πεδίο και εξουσιοδοτήσεις

Σχετικοί έλεγχοι

Συχνές ερωτήσεις

Το να περάσω τον έλεγχο αποδεικνύει ότι συμμορφώνομαι με το KVKK;

Όχι. Η συμμόρφωση υπόκειται στην αξιολόγηση της αρμόδιας αρχής. Ο έλεγχος παρέχει εσωτερική διασφάλιση ότι οι απαιτούμενες για τη συμμόρφωση διαδικασίες έχουν θεσπιστεί και λειτουργούν· μπορεί να θεωρηθεί ένδειξη καλής πίστης και επιμέλειας σε μια πιθανή έρευνα.

Χρειάζομαι έλεγχο προστασίας δεδομένων αν κατέχω ήδη το ISO/IEC 27001;

Ίσως χρειαστεί. Το ISO/IEC 27001 επικεντρώνεται στην ασφάλεια πληροφοριών· δεν εξετάζει αν τα δεδομένα υφίστανται νόμιμη επεξεργασία. Οι ειδοποιήσεις απορρήτου, η συγκατάθεση, οι περίοδοι διατήρησης και τα δικαιώματα του υποκειμένου δεδομένων δεν εμπίπτουν στο πεδίο του 27001. Για την πλευρά του απορρήτου, το ISO/IEC 27701 αποτελεί πιο άμεσο πλαίσιο.

Λαμβάνω πιστοποιητικό ως αποτέλεσμα αυτού του ελέγχου;

Εξαρτάται από το πλαίσιο υπό το οποίο διενεργείται ο έλεγχος. Αν διενεργείται στο πλαίσιο διαπιστευμένου συστήματος πιστοποίησης, μπορεί να καταλήξει σε πιστοποιητικό· το αποτέλεσμα ελέγχου που γίνεται κατόπιν αιτήματος πελάτη ή για εσωτερική αξιολόγηση είναι έκθεση.

Ελέγχεται επίσης η νομική συμμόρφωση;

Ναι, και σε κάθε θεματικό έλεγχο, η νομική μη συμμόρφωση αποτελεί την πιο σοβαρή κατηγορία ευρήματος. Όσο καλά κι αν είναι δομημένο το σύστημα διαχείρισης, μια παραβίαση της ισχύουσας νομοθεσίας, εφόσον διαπιστωθεί, αναφέρεται με ύψιστη προτεραιότητα.