η Αρχή Προστασίας Δεδομένων έρχεται για έλεγχο τι πρέπει να μπορώ να δείξω

Το αρχείο δραστηριοτήτων επεξεργασίας είναι κεντρικό σε έναν ελέγχο

Κατά την επιθεώρηση της Αρχής Προστασίας Δεδομένων, στις περισσότερες περιπτώσεις, ένα έγγραφο χρησιμεύει ως σημείο εκκίνησης: το αρχείο δραστηριοτήτων επεξεργασίας. Σε αυτό αναφέρονται ποια προσωπικά δεδομένα επεξεργάζονται, για ποιο σκοπό, ποιοι έχουν πρόσβαση σε αυτά, πόσο καιρό διατηρούνται και αν μοιράζονται με άλλους. Αυτό το αρχείο δεν είναι προαιρετικό — το άρθρο 30 του GDPR περιγράφει τι πρέπει να περιέχει και για ποιους ισχύει η υποχρέωση. Εκτός από το αρχείο, μια αρχή εποπτείας συνήθως ζητά επίσης τις συμφωνίες ανάθεσης επεξεργασίας με τους προμηθευτές που επεξεργάζονται δεδομένα για λογαριασμό της επιχείρησης, και τον τρόπο με τον οποίο διασφαλίζεται η ασφάλεια αυτών των δεδομένων.

Αυτό που ένας έλεγχος αποφέρει περαιτέρω εξαρτάται από το τι στοχεύει η επιχείρηση. Έτσι, μπορεί να ζητηθεί η δήλωση προστασίας προσωπικών δεδομένων που απευθύνεται σε πελάτες ή επισκέπτες του ιστότοπου, απόδειξη ότι μια παραβίαση δεδομένων αξιολογήθηκε εγκαίρως τότε, ή η αξιολόγηση που έγινε για μια επικίνδυνη επεξεργασία. Για όσους πρέπει να προσδιορίσουν τι ακριβώς πρέπει να περιέχεται στο αρχείο δραστηριοτήτων επεξεργασίας, το παρέχει τι πρέπει να περιέχεται σε ένα αρχείο δραστηριοτήτων επεξεργασίας; μια περίληψη των στοιχείων. Και επειδή ένας έλεγχος επεκτείνεται και στις συμφωνίες με προμηθευτές SaaS ή άλλα μέρη που επεξεργάζονται δεδομένα, η απάντηση στο τι πρέπει να περιέχεται σε μια συμφωνία ανάθεσης επεξεργασίας; είναι σχετική για αυτό που πρέπει να μπορεί να αποδειχθεί.

Από όπου αυτό προέρχεται: Άρθρο 30 και Άρθρο 32 GDPR

Η υποχρέωση διατήρησης ενός αρχείου αναφέρεται στο Άρθρο 30 του GDPR, και αυτό το αρχείο είναι στην πράξη το πρώτο έγγραφο που εμφανίζεται κατά τον έλεγχο. Το Άρθρο 32 του GDPR περιγράφει την υποχρέωση να λαμβάνονται κατάλληλα τεχνικά και οργανωσιακά μέτρα για την ασφάλεια των δεδομένων, και μια αρχή εποπτείας μπορεί να ζητήσει πώς εφαρμόζονται αυτά τα μέτρα. Αυτά τα δύο άρθρα ισχύουν άμεσα σε ολόκληρη την Ευρωπαϊκή Ένωση, επομένως η ουσία αυτού που πρέπει να μπορεί να αποδειχθεί είναι παντού ίδια. Ποια αρχή εποπτείας διενεργεί τον έλεγχο και πού ζητείται ή διευθετείται, διαφέρει ανά χώρα: στην Ελλάδα, η Αρχή Προστασίας Δεδομένων, σε άλλα κράτη μέλη μια άλλη εθνική αρχή εποπτείας με δικές της διαδικασίες. Περισσότερα σχετικά με τον ρόλο της ελληνικής αρχής εποπτείας βρίσκονται στον ιστότοπο της Αρχής Προστασίας Δεδομένων.