ΕΙΣΑΓΩΓΗ

ΤΟ ΔΙΚΗΓΟΡΙΚΟ ΓΡΑΦΕΙΟ «ΤΣΙΚΑΡΔΩΝΗΣ – ΣΤΑΥΡΟΠΟΥΛΟΥ», αναγνωρίζει και σέβεται την σημασία των δεδομένων προσωπικού χαρακτήρα τα οποία χειρίζεται στο πλαίσιο των δραστηριοτήτων του, και για το λόγο αυτό έχει προσαρμόσει απόλυτα την πολιτική του στις απαιτήσεις του Γενικού Κανονισμού Προστασίας Προσωπικών Δεδομένων (εφεξής ΓΚΠΔ) 2016/679/ΕΚ.

Με την παρούσα δήλωση το ΔΙΚΗΓΟΡΙΚΟ ΓΡΑΦΕΙΟ επιθυμεί να ενημερώσει, όσους έρχονται σε επαφή είτε  τηλεφωνικώς είτε στην ηλεκτρονική του διεύθυνση ή τον ιστότοπό του, με ποια ιδιότητα, για ποιο σκοπό και με ποια νόμιμη βάση επεξεργάζεται πληροφορίες που τους αφορούν και μπορούν να χρησιμεύσουν στην άμεση ή έμμεση ταυτοποίησή τους – δηλαδή τα προσωπικά τους δεδομένα – και ειδικότερα: τις κατηγορίες των δεδομένων, τις πηγές των δεδομένων, τα κριτήρια προσδιορισμού της χρονικής περιόδου τήρησης των δεδομένων, τα δικαιώματα που τους παρέχει ο Κανονισμός αναφορικά με τα προσωπικά τους δεδομένα και τέλος, τις πολιτικές και τα λοιπά μέτρα προστασίας που λαμβάνονται καθώς και τις εγγυήσεις ασφάλειας των προσωπικών δεδομένων που τους παρέχονται από το ΔΙΚΗΓΟΡΙΚΟ ΓΡΑΦΕΙΟ

Η από μέρους του δικηγόρου επεξεργασία προσωπικών δεδομένων, τόσο του εντολέα, όσο και τυχόν έτερων προσώπων συνιστά αναγκαίο όρο για την εκπλήρωση της εντολής που έχει λάβει. Κατά το άρθρο 1 παρ. 1 Ν. 4194/2013 (Κώδικας Δικηγόρων) «Ο δικηγόρος είναι δημόσιος λειτουργός. Το λειτούργημα του αποτελεί θεμέλιο του κράτους δικαίου», ενώ σύμφωνα με το άρθρο 2 του ίδιου νόμου «Ο δικηγόρος είναι συλλειτουργός της δικαιοσύνης. Η θέση του είναι θεμελιώδης, ισότιμη, ανεξάρτητη και αναγκαία για την απονομή της».

Επιπλέον, από το άρθρο 37 περ. γ’ Κώδικα Δεοντολογίας του Δικηγορικού Λειτουργήματος προκύπτει ότι ο δικηγόρος αποφασίζει και καθορίζει τον τρόπο υπερασπίσεως του εντολέα, ώστε εάν ο τελευταίος διαφωνεί, να έχει ο δικηγόρος το δικαίωμα να παραιτηθεί εγκαίρως από την υπεράσπιση της υποθέσεως. Σε αυτό το πλαίσιο ο δικηγόρος επεξεργάζεται προσωπικά δεδομένα με τρόπο που ο ίδιος επιλέγει προκειμένου να εκπροσωπήσει ή να παράσχει νομικές υπηρεσίες στον εντολέα.

Από τις ανωτέρω προβλέψεις προκύπτει ότι ο δικηγόρος εντάσσεται σε ένα εντελώς διαφορετικό και ιδιαίτερο καθεστώς από εκείνο των υπόλοιπων ελεύθερων επαγγελματιών, ο δε λειτουργηματικός χαρακτήρας της δικηγορίας αφενός συνεπάγεται την από μέρους του άσκηση του λειτουργήματος υπό καθεστώς πλήρους αυτονομίας και ανεξαρτησίας, αφετέρου υπόκειται σε μια σειρά ιδιαίτερων δεσμεύσεων δημοσίου δικαίου, οι οποίες αποσκοπούν στην ομαλή λειτουργία του συστήματος απονομής δικαιοσύνης

Σε περίπτωση κατά την οποία ο δικηγόρος επεξεργάζεται προσωπικά δεδομένα προκειμένου να συμμορφωθεί σε υποχρέωση που επιβάλλεται από τον νόμο, η νομική βάση εντοπίζεται στο άρθρο 6 παρ. 1 εδ. γ’ ΓΚΠΔ, ενώ όταν επεξεργάζεται προσωπικά δεδομένα τρίτων προσώπων για την εκτέλεση της εντολής εκπροσώπησης ή παροχής

νομικών υπηρεσιών εν γένει, η νομική βάση εντοπίζεται και στο άρθρο 6 παρ. 1 εδ. στ’ ΓΚΠΔ. Στις περιπτώσεις επεξεργασίας ειδικών κατηγοριών προσωπικών δεδομένων (πρώην «ευαίσθητων»), καθώς και αυτών που αφορούν ποινικές διώξεις και καταδίκες, εφαρμόζονται αντίστοιχα οι διατάξεις των άρθρων 9 και 10 ΓΚΠΔ. Τα ανωτέρω τελούν υπό την επιφύλαξη της ψήφισης των ρυθμίσεων του εθνικού νόμου για την λήψη μέτρων πλαισίωσης του ΓΚΠΔ.

Η νομιμοποιητική βάση όλων των επεξεργασιών που συντελεί το ΓΡΑΦΕΙΟ ως υπεύθυνος επεξεργασίας, είναι  η εκτέλεση της εντολής στο πλαίσιο της σύμβασης κατ’ αρ. 6 παρ. 1 εδ. β’ ΓΚΠΔ

Καταληκτικά, δεν καθίσταται εκ των προτέρων εφικτός ο προσδιορισμός της ιδιότητας του δικηγόρου ως εκτελούντος την επεξεργασία, υπευθύνου ή ακόμη και από κοινού υπευθύνου επεξεργασίας, παρά μόνο αφού εξετασθεί ξεχωριστά η κάθε περίπτωση και εφαρμοσθούν τα προαναφερόμενα κριτήρια.

ΤΟ ΔΙΚΗΓΟΡΙΚΟ ΓΡΑΦΕΙΟ «ΤΣΙΚΑΡΔΩΝΗΣ – ΣΤΑΥΡΟΠΟΥΛΟΥ, ιδρύθηκε το έτος 2012 από του Δικηγόρους Λάρισας Ευάγγελο Τσικαρδώνη και Αικατερίνη Σταυροπούλου. Εδρεύει σε ιδιόκτητο γραφείο στη Λάρισας επί της οδού Ν. Μανδηλαρά αρ. 32 και λειτουργεί σύμφωνα με τις διατάξεις του Ν. 4194/2013 – Κώδικας Δικηγόρων (ΦΕΚ Α’ 208).

1. ΑΝΤΙΚΕΙΜΕΝΟ

1.1. ΤΟ ΔΙΚΗΓΟΡΙΚΟ ΓΡΑΦΕΙΟ, από τη φύση του, τους Νόμους δεσμεύεται για τη διεξαγωγή της δραστηριότητας με σεβασμό των θεμελιωδών δικαιωμάτων και ελευθεριών των υποκειμένων των δεδομένων καθώς και σε συμμόρφωση με την ισχύουσα νομοθεσία για την προστασία των προσωπικών δεδομένων.

1.2. Η παρούσα Πολιτική Προστασίας Προσωπικών Δεδομένων («Πολιτική») χαράσσει τις γενικές κατευθυντήριες γραμμές και τη στρατηγική του γραφείου για την προστασία των προσωπικών δεδομένων σύμφωνα με τον Κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 «για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των προσωπικών δεδομένων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ» («ΓΚΠΔ») και τη νομοθεσία για την προστασία των προσωπικών δεδομένων.

1.3. Σκοπός της Πολιτικής είναι να εξειδικεύσει τους κανόνες, με βάση τους οποίους λαμβάνει χώρα η συλλογή και επεξεργασία προσωπικών δεδομένων από το γραφείο, λαμβάνονται οργανωτικά και τεχνικά μέτρα για την ασφάλεια και εμπιστευτικότητά τους, τηρούνται οι υποχρεώσεις λογοδοσίας και καθορίζονται οι σχέσεις του με τρίτα μέρη και τους εντολείς.

1.4. Η τήρηση της παρούσας Πολιτικής συνιστά οργανωτικό μέτρο κατ’ εφαρμογή του άρθρου 32 του ΓΚΠΔ, για την προστασία της ασφάλειας και της εμπιστευτικότητας των προσωπικών δεδομένων, τα οποία το γραφείο συλλέγει και επεξεργάζεται.

1.5. Οι κανόνες της παρούσας Πολιτικής εφαρμόζονται επεξεργασία προσωπικών δεδομένων, τα οποία περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθέτησης, ανεξαρτήτως αν το σύστημα αυτό είναι μηχανογραφημένο ή μη.

1.6. Η Πολιτική δεν εφαρμόζεται :

• στην επεξεργασία προσωπικών δεδομένων που δεν εμπίπτουν στο πεδίο εφαρμογής του ΓΚΠΔ,
• στην επεξεργασία ανώνυμων δεδομένων, δηλαδή πληροφοριών που δεν σχετίζονται με ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο, καθώς και στην επεξεργασία προσωπικών δεδομένων που έχουν καταστεί ανώνυμα, κατά τρόπο τέτοιον ώστε η ταυτότητα του Υποκειμένου των δεδομένων να μην μπορεί πλέον να εξακριβωθεί,
• στην επεξεργασία προσωπικών δεδομένων θανόντων.
• στην επεξεργασία προσωπικών δεδομένων νομικών προσώπων

2. ΙΣΧΥΣ

2.1. Η παρούσα Πολιτική τυγχάνει υποχρεωτικής εφαρμογής σε κάθε δραστηριότητα επεξεργασίας προσωπικών δεδομένων από το προσωπικό του ΓΡΑΦΕΙΟΥ. Η γνώση και εφαρμογή της Πολιτικής, όπως κάθε φορά ισχύει, αποτελεί συμβατική υποχρέωση των εργαζομένων του, συνιστώντας αναπόσπαστο τμήμα της σχέσης εργασίας του προσωπικού (είτε κάθε συνεργαζόμενου προσώπου το οποίο παρέχει υπό οποιαδήποτε ιδιότητα υπηρεσίες συναφείς με τις δραστηριότητες του ΓΡΑΦΕΙΟΥ

2.2. Η Πολιτική διέπει την πρόσβαση και χρήση οποιασδήποτε μορφής βάσεων δεδομένων, πληροφοριακών συστημάτων, τεχνικών διεργασιών και διαδικασιών, στο μέτρο που αφορούν τη συλλογή, επεξεργασία, αποθήκευση, διαβίβαση και διαγραφή προσωπικών δεδομένων, τα οποία διαχειρίζεται το ΓΡΑΦΕΙΟ στο πλαίσιο των δραστηριοτήτων του και των εντολών του.

2.3. Η εφαρμογή της Πολιτικής δύναται να επεκτείνεται κατόπιν συμφωνίας σε τρίτα μέρη – συνεργάτες, προμηθευτές κ.ά., οι οποίοι επεξεργάζονται με οποιονδήποτε τρόπο προσωπικά δεδομένα εκ μέρους του ΓΡΑΦΕΙΟΥ είτε ως υπεύθυνοι επεξεργασίας είτε ως εκτελούντες την επεξεργασία είτε ως από κοινού υπεύθυνοι επεξεργασίας.

2.4. Η παρούσα Πολιτική τροποποιείται από το ΓΡΑΦΕΙΟ κατά τη διακριτική του ευχέρεια, όποτε κρίνεται αναγκαίο, εντός των ορίων του νόμου.

2.5. Σε περίπτωση που οποιοσδήποτε από τους όρους της Πολιτικής θεωρηθεί άκυρος, παράνομος ή καταχρηστικός για οποιονδήποτε λόγο, οι λοιποί όροι θα παραμένουν έγκυροι και ισχυροί ως έχουν, στο βαθμό που δεν έρχονται σε αντίθεση με την βούληση του όπως εκφράζεται μέσω της παρούσας.

3. ΑΡΧΕΣ

3.1. Κατά τη συλλογή και επεξεργασία προσωπικών δεδομένων το ΓΡΑΦΕΙΟ σέβεται και ακολουθεί τις παρακάτω γενικές αρχές :

– Υποβάλλει τα προσωπικά δεδομένα σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα και διαφάνεια»).
– Συλλέγει τα προσωπικά δεδομένα, κυρίως από τους εντολείς του για καθορισμένους, ρητούς, νόμιμους σκοπούς  και προσδιορισμένους ήδη κατά το χρόνο συλλογής τους και δεν τα υποβάλλει σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς·.
– Διασφαλίζει ότι τα προσωπικά δεδομένα είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»).
– Διασφαλίζει ότι τα προσωπικά δεδομένα είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται, ενώ λαμβάνει εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση ανακριβών προσωπικών δεδομένων («ακρίβεια»).
– Διασφαλίζει ότι τα προσωπικά δεδομένα διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των προσωπικών δεδομένων και σε κάθε περίπτωση η επεξεργασία τους διαρκεί κατά τις προβλέψεις του Κώδικα Πολιτικής Δικονομίας, του Αστικού Κώδικα, του Ποινικού Κώδικα και του Κώδικα Ποινικής Δικονομίας, διαφόρων κωδίκων που αφορούν σε παραγραφές και ουσιαστικά οριοθετούν τον χρόνο αποθήκευσης των προσωπικών δεδομένων και  εφόσον εφαρμόζονται κατάλληλα τεχνικά και οργανωτικά μέτρα για τη διασφάλιση των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων («ελαχιστοποίηση του χρόνου διατήρησης»).
– Διασφαλίζει ότι τα προσωπικά δεδομένα υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των προσωπικών δεδομένων, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»).
– Διαμορφώνει τις διαδικασίες και τα τεχνικά και οργανωτικά της συστήματα κατά τέτοιο τρόπο ώστε να δύναται να αποδεικνύει, ανά πάσα στιγμή, τόσο ενώπιον της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα («ΑΠΔΠΧ») όσο και ενώπιον των δικαστηρίων, ότι συμμορφώνεται πλήρως με τις υποχρεώσεις της που απορρέουν από την ισχύουσα νομοθεσία για την προστασία προσωπικών δεδομένων («λογοδοσία»).

4. ΝΟΜΙΜΟΤΗΤΑ ΤΗΣ ΕΠΕΞΕΡΓΑΣΙΑΣ

4.1. Το ΓΡΑΦΕΙΟ διασφαλίζει ότι κάθε διεξαγόμενη δραστηριότητα επεξεργασίας απλών προσωπικών δεδομένων πληροί μία κατ’ ελάχιστο από τις ακόλουθες προϋποθέσεις :

– Βασίζεται στην σχέση εντολής δικηγόρου – εντολέα
– Αφορά εκτέλεση δικαστικής απόφασης ή σύμβασης, της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή είναι απαραίτητη για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων
– Είναι απαραίτητη για την συμμόρφωση του ΓΡΑΦΕΙΟΥ με έννομη υποχρέωση.
– Είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου.

4.2. Το ΓΡΑΦΕΙΟ διασφαλίζει ότι κάθε διεξαγόμενη δραστηριότητα επεξεργασίας ειδικών κατηγοριών δεδομένων πληροί μία κατ’ ελάχιστο από τις ακόλουθες προϋποθέσεις :

– Βασίζεται στη σχέση εντολής Δικηγόρου – πελάτη ή τρίτου προσώπου που έχει οριστεί δια δικαστικής απόφασης, συμπαραστάτης έτερου υποκειμένου.
– Είναι απαραίτητη για την εκτέλεση των υποχρεώσεων και την άσκηση συγκεκριμένων δικαιωμάτων του ΓΡΑΦΕΙΟΥ ή του υποκειμένου των δεδομένων στον τομέα του υπαλληλικού κώδικα και των νόμων που αφορούν στην υπαλληλική σχέση και του δικαίου κοινωνικής ασφάλισης και κοινωνικής προστασίας.
– Είναι απαραίτητη για την προστασία των ζωτικών συμφερόντων του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου, εάν το υποκείμενο των δεδομένων είναι σωματικά ή νομικά ανίκανο να συγκατατεθεί.
– Αφορά προσωπικά δεδομένα, τα οποία έχουν προδήλως δημοσιοποιηθεί από το Υποκείμενο των Δεδομένων ή τον ορισμένο δια δικαστικής απόφασης δικαστικό συμπαραστάτη του ή/και τον έχοντα την επιμέλεια του υποκειμένου ή τον Εισαγγελέα.
– Είναι απαραίτητη για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων.

4.3. Το ΓΡΑΦΕΙΟ επεξεργάζεται προσωπικά δεδομένα μόνο για σκοπούς ρητούς, σαφείς, νόμιμους και προσδιορισμένους ήδη κατά το χρόνο συλλογής τους, σύμφωνα με τους σκοπούς λειτουργίας του. Επιπλέον, το ΓΡΑΦΕΙΟ δεν επεξεργάζεται προσωπικά δεδομένα για περαιτέρω σκοπούς μη προβλεπόμενους από τον Κώδικα Δικηγόρων ή το Νόμο, εκτός αν λαμβάνει την πρότερη ενημερωμένη συγκατάθεση του υποκειμένου των δεδομένων. Εφόσον από την ισχύουσα νομοθεσία επιτρέπεται η χρήση για περαιτέρω σκοπούς και χωρίς συγκατάθεση, το ΓΡΑΦΕΙΟ προβαίνει σε πρότερη ενημέρωση του υποκειμένου των δεδομένων σχετικά με τους περαιτέρω αυτούς σκοπούς επεξεργασίας, όπως και για τα δικαιώματά του, συμπεριλαμβανομένου του δικαιώματος εναντίωσης, ενώ μεριμνά για την διεξαγωγή της περαιτέρω επεξεργασίας με κατάλληλες εγγυήσεις για την προστασία των προσωπικών δεδομένων.

1.4. Σημειώνεται ότι οι υπάλληλοι του ΓΡΑΦΕΙΟΥ δεν είναι υπεύθυνοι επεξεργασίας, αλλά “πρόσωπα που ενεργούν υπό την εποπτεία του υπεύθυνου επεξεργασίας”, κατά την έννοια του άρθρου 29 του ΓΚΠΔ. Αυτό σημαίνει ότι αυτά τα πρόσωπα επεξεργάζονται τα εν λόγω δεδομένα μόνο κατ’ εντολή του υπεύθυνου επεξεργασίας καθώς και στο πλαίσιο των αρμοδιοτήτων τους που προβλέπονται από τον νόμο.

5. ΔΙΑΦΑΝΕΙΑ ΤΗΣ ΕΠΕΞΕΡΓΑΣΙΑΣ

5.1. Το ΓΡΑΦΕΙΟ διασφαλίζει ότι η επεξεργασία των προσωπικών δεδομένων διεξάγεται με διαφανή τρόπο απέναντι στο υποκείμενο των δεδομένων και ότι παρέχονται στο υποκείμενο πληροφορίες σχετικά με την επεξεργασία των προσωπικών δεδομένων σε εύκολα προσβάσιμη, συνοπτική και κατανοητή μορφή, με χρήση σαφούς και απλής διατύπωσης.

5.2. Τα προσωπικά δεδομένα συλλέγονται κατά βάση από το ίδιο το υποκείμενο εντολέα στα πλαίσια εντολής, νοούμενης ως τέτοιας ακόμη και της προφορικής (κατά τις διατάξεις του ΑΚ και του Κώδικα περί Δικηγόρων)  και το ΓΡΑΦΕΙΟ παρέχει στο υποκείμενο κατά το στάδιο της συλλογής των δεδομένων τις ακόλουθες κατηγορίες πληροφοριών:

– την ταυτότητα και τα στοιχεία επικοινωνίας του Υπευθύνου Επεξεργασίας
– τους σκοπούς της επεξεργασίας καθώς και τη νομική βάση για την επεξεργασία,
– εάν η επεξεργασία εξυπηρετεί έννομα συμφέροντα, τα έννομα συμφέροντα που επιδιώκονται,
– τυχόν αποδέκτες ή κατηγορίες αποδεκτών των προσωπικών δεδομένων,
– τον χρόνο διατήρησης των δεδομένων ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα,
– τα δικαιώματα του υποκειμένου των δεδομένων και τον τρόπο άσκησής τους,
– το δικαίωμα υποβολής καταγγελίας στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα,
– σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων.

5.3. Στην περίπτωση που τα δεδομένα συλλέγονται από το ίδιο το υποκείμενο, η υποχρέωση ενημέρωσης δεν συντρέχει εφόσον το υποκείμενο των δεδομένων διαθέτει ήδη τις σχετικές πληροφορίες. Στην περίπτωση που τα δεδομένα δεν έχουν συλλεγεί από το Υποκείμενο, η υποχρέωση ενημέρωσης του Υποκειμένου δεν συντρέχει στις ακόλουθες περιπτώσεις: (α) εάν το υποκείμενο των δεδομένων διαθέτει ήδη τις σχετικές πληροφορίες, (β) εάν η παροχή τέτοιων πληροφοριών αποδεικνύεται αδύνατη ή συνεπάγεται δυσανάλογη προσπάθεια, (γ) η απόκτηση ή η κοινοποίηση των προσωπικών δεδομένων προβλέπεται ρητώς από την ισχύουσα νομοθεσία και λαμβάνονται τα κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων, ή (δ) εάν τα προσωπικά δεδομένα πρέπει να παραμείνουν εμπιστευτικά δυνάμει υποχρέωσης τήρησης επαγγελματικού ή άλλου απορρήτου.

6. ΣΥΓΚΑΤΑΘΕΣΗ ΤΟΥ ΥΠΟΚΕΙΜΕΝΟΥ ΤΩΝ ΔΕΔΟΜΕΝΩΝ

6.1. Όταν η επεξεργασία προσωπικών δεδομένων βασίζεται στη συγκατάθεση του υποκειμένου των δεδομένων, το ΓΡΑΦΕΙΟ φέρει το βάρος απόδειξης ότι το υποκείμενο πράγματι συγκατατέθηκε για την επεξεργασία των δεδομένων του. Στα πλαίσια αυτά, το ΓΡΑΦΕΙΟ τηρεί αρχείο, ηλεκτρονικό ή μη,  των δηλώσεων συγκατάθεσης, που λαμβάνει..

6.2. Η συγκατάθεση του υποκειμένου των δεδομένων, που λαμβάνεται από το ΓΡΑΦΕΙΟ, πρέπει να έχει τα ακόλουθα χαρακτηριστικά :

– Πρότερη : Να λαμβάνεται πριν από κάθε επεξεργασία.
– Εν πλήρη επιγνώσει : Κατά την λήψη της συγκατάθεσης να παρέχεται η νόμιμη ενημέρωση στο υποκείμενο των δεδομένων, συμπεριλαμβανομένης της πληροφορίας για το δικαίωμα του υποκειμένου να ανακαλεί την συγκατάθεση ανά πάσα στιγμή καθώς και τις συνέπειες τυχόν ανάκλησης.
– Ευκόλως Κατανοητή : Το αίτημα για συγκατάθεση καθώς και η σχετική ενημέρωση να διατυπώνονται σε κατανοητή και εύκολα προσβάσιμη μορφή, με χρήση σαφούς και απλής διατύπωσης.
– Ρητή : Η συγκατάθεση να παρέχεται με δήλωση, που να εμπεριέχει σαφή θετική ενέργεια (η σιωπή, τα προσυμπληρωμένα τετραγωνίδια ή η αδράνεια του υποκειμένου δεν θα λογίζονται ως νόμιμη συγκατάθεση).
– Συγκεκριμένη : Όταν η επεξεργασία των δεδομένων προσωπικού χαρακτήρα διενεργείται για περισσότερες πράξεις / σκοπούς επεξεργασίας, να ζητείται και να δίδεται συγκατάθεση ξεχωριστά για κάθε μία από τις πράξεις αυτές.
– Σαφώς Διακριτή : Να υποβάλλεται κατά τρόπο τέτοιο ώστε να είναι σαφώς διακριτή από άλλα θέματα.
– Ελεύθερη : Η συγκατάθεση να είναι αποτέλεσμα αληθινής ή ελεύθερης επιλογής του υποκειμένου των δεδομένων, δηλαδή να δίνεται σε περιστάσεις όπου το υποκείμενο να είναι σε θέση να αρνηθεί ή να αποσύρει τη συγκατάθεσή του χωρίς να ζημιωθεί. Η λήψη συγκατάθεσης, που δίνεται στα πλαίσια εκτέλεσης σύμβασης, δεν πρέπει να τίθεται ως προϋπόθεση για την αποδοχή όρων ή προϋποθέσεων για την εκτέλεση της σύμβασης ή παροχής υπηρεσιών σχετιζόμενων με αυτή, όπως επίσης δεν νοείται, επί της αρχής, λήψη συγκατάθεσης από ΓΡΑΦΕΙΟ για τους σκοπούς λειτουργίας, κατά την άσκηση δημόσιας εξουσίας ή σε σχέση με τους υπαλλήλους του.
– Καταγεγραμμένη : Να παρέχεται είτε με γραπτή δήλωση (και μέσω ηλεκτρονικών, ή ψηφιακών μέσων εφόσον εξασφαλίζεται η ταυτοποίηση) είτε με προφορική δήλωση, που ηχογραφείται.
– Ελευθέρως Ανακλητή : Η ανάκληση της συγκατάθεσης να είναι ανά πάσα στιγμή διαθέσιμη στο υποκείμενο των δεδομένων με τον ίδιο εύκολο, απλό και αποτελεσματικό τρόπο με τον οποίο δόθηκε η συγκατάθεση..
– Αποτελεσματικότητα Ανάκλησης : Να έχουν υλοποιηθεί κατάλληλα μέτρα ώστε, σε περίπτωση ανάκλησης της συγκατάθεσης, να λαμβάνει χώρα σε πραγματικό χρόνο η παύση της επεξεργασίας των προσωπικών δεδομένων και τα σχετικά συστήματα να ανταποκρίνονται άμεσα σε αυτή.

6.3. Πρέπει να είναι ξεκάθαρο, ότι το ΓΡΑΦΕΙΟ επεξεργάζεται προσωπικά δεδομένα υποκειμένων στη βάση της συγκατάθεσης, μόνο ΚΑΤ’ ΕΞΑΙΡΕΣΗ, καθότι η σχέση που συνδέει τον εντολέα – υποκείμενο με το γραφείο, είναι σχέση εντολής μεταξύ δικηγόρου και πελάτη, η οποία προστατεύεται από το απόρρητο.  Περαιτέρω χωρίς αμφιβολία η νομιμοποιητική βάση όλων των επεξεργασιών που συντελεί το ΓΡΑΦΕΙΟ ως υπεύθυνος επεξεργασίας, είναι  η εκτέλεση της εντολής στο πλαίσιο της σύμβασης κατ’ αρ. 6 παρ. 1 εδ. β’ ΓΚΠΔ..

7. ΔΙΚΑΙΩΜΑΤΑ ΥΠΟΚΕΙΜΕΝΩΝ ΤΩΝ ΔΕΔΟΜΕΝΩΝ

7.1. Με την επιφύλαξη της ισχύουσας νομοθεσίας, το ΓΡΑΦΕΙΟ παρέχει τα ακόλουθα δικαιώματα σε όλα τα υποκείμενα, για τα οποία διατηρεί δεδομένα και σε σχέση με τα δεδομένα που τηρεί:

– Να αιτούνται την πρόσβαση στα προσωπικά τους δεδομένα καθώς και στις σχετικές με την επεξεργασία πληροφορίες, καθώς και να λαμβάνουν αντίγραφο αυτών (δικαίωμα πρόσβασης).
– Να αιτούνται τη διόρθωση ή / και συμπλήρωση τυχόν ανακριβειών και ελλείψεων των προσωπικών τους δεδομένων, κατόπιν προσκόμισης των αναγκαίων αποδεικτικών μέσων (δικαίωμα διόρθωσης).
– Να αιτούνται τη διαγραφή των προσωπικών τους δεδομένων (δικαίωμα διαγραφής).
– Να αιτούνται τον περιορισμό της επεξεργασίας των προσωπικών τους δεδομένων στις περιπτώσεις που ορίζει ρητά ο νόμος (δικαίωμα περιορισμού).
– Να αιτούνται την φορητότητα των προσωπικών τους δεδομένων σε άλλον υπεύθυνο επεξεργασίας σε δομημένο, κοινώς χρησιμοποιούμενο και αναγνώσιμο από μηχανήματα μορφότυπο (δικαίωμα φορητότητας).
– Να εναντιώνονται στην επεξεργασία των προσωπικών τους δεδομένων, στις περιπτώσεις που ορίζει ρητά ο νόμος (δικαίωμα εναντίωσης).
– Να μην υποβάλλονται σε απόφαση που λαμβάνεται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας, συμπεριλαμβανομένης της κατάρτισης προφίλ, η οποία παράγει έννομα αποτελέσματα που τους αφορούν ή τους επηρεάζει σημαντικά με παρόμοιο τρόπο (δικαίωμα εναντίωσης στην αυτοματοποιημένη λήψη αποφάσεων).
– Να υποβάλλουν καταγγελία στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, εφόσον κρίνουν ότι υφίστανται προσβολή των δικαιωμάτων τους από πράξεις ή / και παραλείψεις της ΓΡΑΦΕΙΟς («δικαίωμα υποβολής καταγγελίας στην Αρχή»).

7.2. Τα παραπάνω αιτήματα απευθύνονται με ταχυδρομική ή ηλεκτρονική επιστολή στα στοιχεία επικοινωνίας, που αναφέρονται τόσο στις σχετικές έντυπες ενημερώσεις όσο και στον ιστότοπο του ΓΡΑΦΕΙΟΥ και απαντώνται από το ΓΡΑΦΕΙΟ, εντός ενός (1) μηνός από την παραλαβή του. Κατόπιν ενημέρωσης του εντολέος – αιτούντος, η εν λόγω προθεσμία δύναται να παρατείνεται κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των υπό επεξεργασία αιτημάτων.

7.3. Η ανταπόκριση του ΓΡΑΦΕΙΟΥ στα δικαιώματα των υποκειμένων των δεδομένων παρέχεται δωρεάν.

8. ΑΥΤΟΜΑΤΟΠΟΙΗΜΕΝΗ ΛΗΨΗ ΑΠΟΦΑΣΕΩΝ

8.1. Το ΓΡΑΦΕΙΟ δε λαμβάνει αποφάσεις που βασίζονται σε αυτοματοποιημένη επεξεργασία προσωπικών δεδομένων, συμπεριλαμβανομένης της κατάρτισης προφίλ. Κάθε επεξεργασία προσωπικών δεδομένων εκ μέρους του ΓΡΑΦΕΙΟΥ, υπαγορεύεται από το νόμο και τη σχέση εντολής.

8.2. Σε περίπτωση που μελλοντικά ληφθούν αποφάσεις με αυτοματοποιημένο τρόπο και πάντοτε και αποκλειστικά σε ό,τι αφορά τους λήπτες των παρεχόμενων υπηρεσιών του, το ΓΡΑΦΕΙΟ οφείλει να λάβει τα ακόλουθα μέτρα για την προστασία των δικαιωμάτων και των ελευθεριών των υποκειμένων των δεδομένων :

– Επιλέγει κατάλληλες λύσεις αυτοματοποίησης, ώστε να δίνουν κατά κανόνα ορθά αποτελέσματα σε σχέση με το εκάστοτε αξιολογούμενο χαρακτηριστικό.
– Παρέχει γενικές πληροφορίες για τη λογική, τη σημασία και τις προβλεπόμενες συνέπειες της αυτοματοποιημένης επεξεργασίας στο πλαίσιο της αρχής της διαφάνειας, και (β) εξασφαλίζει, κατόπιν άσκησης δικαιώματος αντίρρησης, τη δυνατότητα ανθρώπινης παρέμβασης κατά τη λήψη της τελικής απόφασης.
– Εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα, για να διορθώνει τις ανακρίβειες και να ελαχιστοποιεί τον κίνδυνο σφαλμάτων.
– Αποτρέπει τις δυσμενείς διακρίσεις σε βάρος των υποκειμένων των δεδομένων.
– Διασφαλίζει ασφαλή αποθήκευση και πρόσβαση στα προσωπικά δεδομένα με τρόπο ανάλογο του κινδύνου για τα συμφέροντα και τα δικαιώματα των υποκειμένων των δεδομένων.
– Διασφαλίζει ότι οι αποφάσεις που λαμβάνονται αυτοματοποιημένα δεν αφορούν παιδιά.
– Διασφαλίζει ότι οι αποφάσεις, που λαμβάνονται, δεν βασίζονται σε ειδικές κατηγορίες δεδομένων, εκτός εάν υφίσταται ρητή συγκατάθεση.

8.3. Επιπλέον, όταν υφίσταται αυτοματοποιημένη λήψη αποφάσεων, εξαιρουμένης ρητώς της κατάρτισης προφίλ και η απόφαση αυτή παράγει έννομα αποτελέσματα για το υποκείμενο των δεδομένων ή το επηρεάζει σημαντικά, το ΓΡΑΦΕΙΟ παρέχει στα υποκείμενα των δεδομένων τα ακόλουθα δικαιώματα :

– Δικαίωμα εξασφάλισης ανθρώπινης παρέμβασης.
– Δικαίωμα αμφισβήτησης της αυτοματοποιημένα λαμβανόμενης απόφασης.
– Δικαίωμα έκφρασης της άποψής τους.
– Δικαίωμα αντίταξης ανά πάσα στιγμή στην εν λόγω επεξεργασία προσωπικών δεδομένων, όταν η αυτοματοποιημένη λήψη αποφάσεων εξυπηρετεί σκοπούς απευθείας εμπορικής προώθησης.

9. ΠΡΟΣΤΑΣΙΑ ΑΠΟ ΤΟ ΣΧΕΔΙΑΣΜΟ ΚΑΙ ΕΞ ΟΡΙΣΜΟΥ

9.1. Το ΓΡΑΦΕΙΟ διασφαλίζει ότι η προστασία των προσωπικών δεδομένων ενσωματώνεται σε οποιαδήποτε δραστηριότητα που σχετίζεται με προσωπικά δεδομένα, τόσο κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας όσο και καθ’ όλη τη διάρκεια της επεξεργασίας.

9.2. Για το σκοπό αυτό, λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων από την επεξεργασία, το ΓΡΑΦΕΙΟ εφαρμόζει κατάλληλα μέτρα προστασίας των προσωπικών δεδομένων και χρησιμοποιεί τεχνολογίες ενίσχυσης της ιδιωτικότητας.

9.3. Για τη διασφάλιση της προστασίας των προσωπικών δεδομένων από τον σχεδιασμό και εξ ορισμού το ΓΡΑΦΕΙΟ εξετάζει την δυνατότητα ενσωμάτωσης κατάλληλων χαρακτηριστικών στο υπό σχεδίαση μέσο ή διαδικασία επεξεργασίας, ώστε αυτά να παρέχουν επαρκή προστασία στα υπό επεξεργασία προσωπικά δεδομένα ήδη από τον σχεδιασμό τους και εξ ορισμού. Εφόσον το νέο μέσο ή διαδικασία επεξεργασίας εγκυμονεί υψηλούς κινδύνους για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων, το ΓΡΑΦΕΙΟ εκτελεί εκτίμηση αντικτύπου για την προστασία των δεδομένων, καθορίζει μέσα για το μετριασμό των αναγνωρισμένων κινδύνων και τέλος λαμβάνει και υλοποιεί τις σχετικές αποφάσεις ως προς τον σχεδιασμό του νέου μέσου ή διαδικασίας επεξεργασίας.

10. ΔΙΑΧΕΙΡΙΣΗ ΕΚΤΕΛΟΥΝΤΩΝ ΤΗΝ ΕΠΕΞΕΡΓΑΣΙΑ

10.1. Όταν η επεξεργασία διενεργείται από τρίτο μέρος για λογαριασμό του, το ΓΡΑΦΕΙΟ χρησιμοποιεί μόνο εκτελούντες την επεξεργασία που παρέχουν επαρκείς διαβεβαιώσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων, κατά τρόπο ώστε η επεξεργασία να πληροί τις απαιτήσεις της ισχύουσας νομοθεσίας και της παρούσας Πολιτικής και να διασφαλίζεται η προστασία των δικαιωμάτων του υποκειμένου των δεδομένων. Εξάλλου, κάθε ανάληψη έργου, διέπεται από τη κείμενη νομοθεσία και απαραίτητη προϋπόθεση για να συμβληθεί κάποιο τρίτο μέρος με το ΓΡΑΦΕΙΟ, είναι η προαπόδειξη της συμμόρφωσής του με το ΓΚΠΔ, παραδίδοντας αντίστοιχο, σχέδιο πολιτικής προστασίας, βεβαίωση συμμόρφωσης με το ΓΚΠΔ και περιγραφή των τεχνικών και οργανωτικών μέτρων που εφαρμόζει, ενώ στη περίπτωση κατά την οποία υποχρεούται και σε ορισμό ΥΠΔ, την παράδοση και αναφορά των στοιχείων του

10.2. Κάθε σύμβαση του ΓΡΑΦΕΙΟ με τρίτο φυσικό και νομικό πρόσωπο ή κοινοπραξία, που εκτελεί επεξεργασία προσωπικών δεδομένων για λογαριασμό του, καταρτίζεται εγγράφως, μεταξύ άλλων και σε ηλεκτρονική μορφή, και συμπεριλαμβάνει κατ’ ελάχιστο τους ακόλουθους όρους :

– Τον καθορισμό του αντικειμένου και της διάρκειας της επεξεργασίας, της φύσης και του σκοπού της επεξεργασίας, του είδους των προσωπικών δεδομένων, των κατηγοριών των υποκειμένων των δεδομένων και των υποχρεώσεων και δικαιωμάτων του υπευθύνου επεξεργασίας.
– Την υποχρέωση επεξεργασίας μόνο βάσει καταγεγραμμένων εντολών του ΓΡΑΦΕΙΟΥ.
– Τη δέσμευση τήρησης εμπιστευτικότητας του προσωπικού και των συνεργατών του εκτελούντος την επεξεργασία.
– Τη λήψη κατάλληλων οργανωτικών και τεχνικών μέτρων ασφάλειας και εμπιστευτικότητας των δεδομένων.
– Την συνδρομή στην ανταπόκριση σε αιτήματα άσκησης των δικαιωμάτων των υποκειμένων των δεδομένων..
– Την υποχρέωση ενημέρωσης του ΓΡΑΦΕΙΟΥ για το παράνομο κάποιας εντολής του.
– Την υποχρέωση, κατόπιν αιτήματος του ΓΡΑΦΕΙΟΥ, για τη διαγραφή ή επιστροφή όλων των προσωπικών δεδομένων μετά το πέρας της παροχής υπηρεσιών επεξεργασίας και τη διαγραφή τυχόν αντιγράφων αυτών
– Τη θέση στη διάθεση του ΓΡΑΦΕΙΟΥ κάθε απαραίτητης πληροφορίας προς απόδειξη της συμμόρφωσης του εκτελούντος επεξεργασία προς τις συμβατικές του υποχρεώσεις
– Τη δέσμευση τυχόν βοηθών εκτέλεσης με τις ίδιες υποχρεώσεις προστασίας των προσωπικών δεδομένων που προβλέπονται στη σύμβαση του εκτελούντος επεξεργασία με το ΓΡΑΦΕΙΟ.

10.3. Το ΓΡΑΦΕΙΟ πραγματοποιεί αξιολογήσεις των εκτελούντων την επεξεργασία με τους οποίους έχει συνάψει σύμβαση (ακόμη και προφορική), με σκοπό να εξασφαλίζει ότι οι τελευταίοι τηρούν όλες τις σχετικές δεσμεύσεις, όπως αυτές αναγράφονται κάθε φορά στην υπογεγραμμένη σύμβαση σχετικά με την ασφάλεια και την προστασία των δεδομένων προσωπικού χαρακτήρα και συμμορφώνονται με την ισχύουσα νομοθεσία.

11. ΑΣΦΑΛΕΙΑ ΔΕΔΟΜΕΝΩΝ

11.1. Καθ’ όλο τον κύκλο ζωής τους, δηλαδή από τη συλλογή μέχρι και την, κατά περίπτωση, καταστροφή αυτών, το ΓΡΑΦΕΙΟ εφαρμόζει τις ακόλουθες αρχές ασφαλείας των προσωπικών δεδομένων, που επεξεργάζεται:

– Εμπιστευτικότητα: Τα δεδομένα δεν αποκαλύπτονται σε μη εξουσιοδοτημένα άτομα.
– Ακεραιότητα: Τα δεδομένα είναι ακριβή, ακέραια και γνήσια – όχι εσφαλμένα, αλλοιωμένα ή μη ενημερωμένα.
– Διαθεσιμότητα: Τα δεδομένα είναι στη διάθεση των χρηστών, όποτε απαιτείται η χρήση τους.

11.2. Αντικείμενο των μέτρων ασφαλείας του ΓΡΑΦΕΙΟ είναι αφενός το σύνολο των υπό επεξεργασία προσωπικών δεδομένων και αφετέρου το σύνολο του εξοπλισμού και των συστημάτων πληροφορικής και ηλεκτρονικών επικοινωνιών του ΓΡΑΦΕΙΟΥ. Σκοπός των μέτρων ασφαλείας του ΓΡΑΦΕΙΟΥ είναι η πρόληψη και αποτροπή των κινδύνων για τα θεμελιώδη δικαιώματα και ελευθερίες των υποκειμένων των δεδομένων, που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία. Το πεδίο εφαρμογής των κανόνων του παρόντος άρθρου καλύπτει όλο το προσωπικό και το ΓΡΑΦΕΙΟ, ενώ δύναται να επεκτείνεται κατόπιν συμφωνίας σε τρίτα μέρη, όπως εκτελούντες επεξεργασία για λογαριασμό του ΓΡΑΦΕΙΟΥ.

11.3. Το ΓΡΑΦΕΙΟ προβαίνει σε περιοδική επανεξέταση και αναθεώρηση των εξουσιοδοτήσεων και δικαιωμάτων πρόσβασης για όλα τα στάδια της εργασιακής πορείας των υπαλλήλων (πρόσληψη, μετακίνηση, αλλαγή καθηκόντων, αποχώρηση, κ.λπ). Τέλος, λαμβάνει ειδικά μέτρα για τη δέσμευση του προσωπικού που επεξεργάζεται προσωπικά δεδομένα ως προς την εμπιστευτικότητα των δεδομένων αυτών. Μετά την αποχώρηση υπαλλήλου το ΓΡΑΦΕΙΟ προχωρά σε κατάργηση όλων των λογαριασμών πρόσβασης, των εξουσιοδοτήσεων και των κωδικών-συνθηματικών πρόσβασης, κατάργηση των λογαριασμών ηλεκτρονικού ταχυδρομείου και μη ανάθεσή τους σε άλλον ή άλλους υπαλλήλους (μη επαναχρησιμοποίηση τους και σε επιστροφή οποιουδήποτε εξοπλισμού έχει παρασχεθεί στον υπάλληλο και ανήκει στο ΓΡΑΦΕΙΟ (συμπεριλαμβανομένων υπολογιστών, κλειδιών, ηλεκτρονικών καρτών εισόδου/εξόδου, κ.λπ).

11.4. Το ΓΡΑΦΕΙΟ λαμβάνει κατάλληλα οργανωτικά μέτρα για την ασφάλεια των προσωπικών δεδομένων στους ακόλουθους τομείς :

– Κατάλληλη διαχείριση πληροφοριακών αγαθών.
– Κατάλληλη διαχείριση ειδικών κατηγοριών δεδομένων
– Κατάλληλη διαχείριση εκτελούντων την επεξεργασία.
– Τήρηση χρόνων διατήρησης δεδομένων και αποθηκευτικών μέσων.
– Τήρηση διαδικασίας διαχείρισης περιστατικών παραβίασης προσωπικών δεδομένων.
– Εκπαίδευση προσωπικού.
– Δοκιμή, εκτίμηση και διαρκής αξιολόγηση της αποτελεσματικότητας των μέτρων.

11.5. Το ΓΡΑΦΕΙΟ λαμβάνει τεχνικά μέτρα για την ασφάλεια των προσωπικών δεδομένων στους ακόλουθους τομείς :

– Ψευδωνυμοποίηση και κρυπτογράφηση.
– Διασφάλιση απορρήτου, ακεραιότητας, διαθεσιμότητας και αξιοπιστίας.
– Αποκατάσταση διαθεσιμότητας και της πρόσβασης σε περίπτωση συμβάντος.
– Έλεγχος πρόσβασης, διαχείριση ταυτοτήτων και προσβάσεων,
– Αντίγραφα ασφαλείας.
– Διαμόρφωση υπολογιστών.
– Αρχεία καταγραφής ενεργειών χρηστών και συμβάντων ασφαλείας.
– Ασφάλεια επικοινωνιών.
– Αποσπώμενα μέσα αποθήκευσης.
– Ασφάλεια λογισμικού
– Διαχείριση αλλαγών

11.6. Το ΓΡΑΦΕΙΟ λαμβάνει μέτρα φυσικής ασφαλείας των προσωπικών δεδομένων στους ακόλουθους τομείς :

– Έλεγχος φυσικής πρόσβασης.
– Ελαχιστοποίηση έγχαρτων αρχείων δεδομένων.
– Περιβαλλοντική ασφάλεια.
– Έκθεση εγγράφων.
– Προστασία φορητών μέσων αποθήκευσης.
– Μεταφορά φακέλων.
– Εναλλακτικές εγκαταστάσεις.

11.7. Για την επισκόπηση της ορθής εφαρμογής της ασφαλείας δεδομένων και την αποτίμηση της αποτελεσματικότητας των μέτρων ασφαλείας ο ΥΠΔ διεξάγει περιοδικούς εσωτερικούς ελέγχους, κατ’ ελάχιστο μία φορά κατ’ έτος.

12. ΔΙΑΤΗΡΗΣΗ ΔΕΔΟΜΕΝΩΝ

12.1. Στα πλαίσια της αρχής της ελαχιστοποίησης του χρόνου διατήρησης των δεδομένων το ΓΡΑΦΕΙΟ καταρτίζει πλάνο με τους χρόνους διατήρησης για κάθε κατηγορία προσωπικών δεδομένων, που συλλέγει και επεξεργάζεται, το οποίο επισυνάπτεται ως Παράρτημα στην παρούσα Πολιτική.

12.2. Το ΓΡΑΦΕΙΟ καθορίζει τον χρόνο διατήρησης κάθε κατηγορίας δεδομένων με βάση την αναγκαιότητα της διατήρησης για την εξυπηρέτηση των σχετικών σκοπών επεξεργασίας. Η αναγκαιότητα της διατήρησης περαιτέρω εξειδικεύεται με βάση τους ακόλουθους παράγοντες : (i) τις επιχειρησιακές ή άλλες ανάγκες, (ii) τις ισχύουσες προθεσμίες παραγραφής για τη θεμελίωση, άσκηση ή υποστήριξη σχετικών νομικών αξιώσεων, και (iv) την ύπαρξη τυχόν νομικών περιορισμών για τον ελάχιστο ή μέγιστο χρόνο διατήρησης των συγκεκριμένων δεδομένων.

12.3. Το ΓΡΑΦΕΙΟ διαθέτει επαρκή αποθηκευτικό χώρο και κατάλληλο σύστημα διατήρησης προσωπικών δεδομένων, τα οποία επιτρέπουν την εύκολη και άμεση αναζήτηση δεδομένων και διαθέτουν κανόνες ελεγχόμενης πρόσβασης και χρήσης, διαφύλαξης της ακεραιότητας των δεδομένων και της ιχνηλασιμότητας της διακίνησής τους. Το ΓΡΑΦΕΙΟ μεριμνά για την όσο το δυνατόν μεγαλύτερη ομοιομορφία των μέσων και των κανόνων διατήρησης δεδομένων κατά την εσωτερική οργάνωση και λειτουργία της.

12.4. Αμέσως μετά το πέρας της περιόδου διατήρησης τα προσωπικά δεδομένα καταστρέφονται με ευθύνη του ΓΡΑΦΕΙΟΥ και χωρίς να είναι δυνατή η ανάκτηση των δεδομένων μετά την καταστροφή με τεχνικά ή άλλα μέσα. Η καταστροφή λαμβάνει χώρα με ασφαλή τρόπο, ώστε να μην είναι δυνατή η αναγνώριση των υποκειμένων των δεδομένων.

12.5. Η καταστροφή έγχαρτου αρχείου λαμβάνει χώρα με τεμαχισμό, πολτοποίηση, ανακύκλωση ή αποτέφρωση. Η καταστροφή ηλεκτρονικού αρχείου, περιλαμβανομένων των  αντιγράφων ασφαλείας (back up), λαμβάνει χώρα με αλλοίωση με τη χρήση ειδικών προγραμμάτων (file erasers, file shredders, file pulveritizers) ή μορφοποίηση του υλικού υποστρώματος (format). Για ιδιαίτερα κρίσιμα ηλεκτρονικά δεδομένα το ΓΡΑΦΕΙΟ δύναται κατά τη διακριτική της ευχέρεια να επιλέγει και την φυσική καταστροφή του ίδιου του υλικού υποστρώματος με θρυματισμό, κονιορτοποίηση ή αποτέφρωση με την επιφύλαξη ειδικών διατάξεων σχετικά με τη διαχείριση ειδικών αποβλήτων και την προστασία του περιβάλλοντος).

13. ΔΙΑΧΕΙΡΙΣΗ ΠΕΡΙΣΤΑΤΙΚΏΝ ΠΑΡΑΒΙΑΣΗΣ ΔΕΔΟΜΕΝΩΝ

13.1. Κάθε υπάλληλος ή συνεργάτης του ΓΡΑΦΕΙΟΥ αναφέρει άμεσα κάθε περιστατικό ασφαλείας, που υποπίπτει στην αντίληψή του. ΤΟ ΓΡΑΦΕΙΟ επιβεβαιώνει το περιστατικό ασφαλείας και αν αυτό σχετίζεται με προσωπικά δεδομένα, λαμβάνει άμεσα όλες τις αναγκαίες ενέργειες για την ελαχιστοποίηση οποιασδήποτε περαιτέρω επίδρασης της παραβίασης στα προσωπικά δεδομένα του ΓΡΑΦΕΙΟΥ (π.χ. προσωρινή διακοπή σύνδεσης του υπό παραβίαση συστήματος πληροφορικής με το διαδίκτυο ή περιορισμός πρόσβασης στο εν λόγω σύστημα σε μικρό αριθμό υπαλλήλων, έως ότου να εκτελεστούν οι κατάλληλες ενέργειες για την πλήρη αντιμετώπιση του περιστατικού παραβιάσεως .

Εν συνεχεία, εφόσον η παραβίαση δεδομένων προσωπικού χαρακτήρα ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, το ΓΡΑΦΕΙΟ ενημερώνει τα υποκείμενα και ανακοινώνει εφόσον απαιτηθεί την παραβίαση στην ΑΠΔΠΧ συμπληρώνοντας σχετική φόρμα αμελλητί και, εάν είναι δυνατό, εντός 72 ωρών από τη στιγμή που αποκτά γνώση της παραβίασης στην ΑΠΔΠΧ..

13.2. Η αξιολόγηση του κινδύνου κάθε παραβίασης δεδομένων λαμβάνει χώρα με βάση τα ακόλουθα κριτήρια :

– Τον τύπο της παραβίασης.
– Το είδος, διαβάθμιση και όγκο των παραβιασθέντων δεδομένων.
– Το βαθμό ευχέρειας ταυτοποίησης των υποκειμένων των δεδομένων.
– Την πιθανότητα επέλευσης βλάβης στα υποκείμενα των δεδομένων.
– Την σπουδαιότητα της πιθανής βλάβης για τα υποκείμενα των δεδομένων.
– Τα πιθανά ειδικά χαρακτηριστικά του υποκειμένου των δεδομένων.
– Τον αριθμό των υποκειμένων των δεδομένων, που επηρεάστηκαν από την παραβίαση.
– Τα παραβιασθέντα μέτρα ασφαλείας δεδομένων.

13.3. Όταν προκύπτει από το αποτέλεσμα της αξιολόγησης ότι η παραβίαση προσωπικών δεδομένων ενδέχεται να θέτει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, το ΓΡΑΦΕΙΟ ανακοινώνει αμελλητί την παραβίαση των δεδομένων προσωπικού χαρακτήρα στα θιγόμενα υποκείμενα των δεδομένων, εφόσον δεν πληρούνται οι εξαιρέσεις από την υποχρέωση ανακοίνωσης, που προβλέπονται στην ισχύουσα νομοθεσία. Το ΓΡΑΦΕΙΟ τηρεί αποδεικτικό υλικό για την εν λόγω ανακοίνωση.

13.4. Μετά την ολοκλήρωση της κοινοποίησης στην ΑΠΔΠΧ, το ΓΡΑΦΕΙΟ προχωρά στις αναγκαίες ενέργειες για την πλήρη αντιμετώπιση της παραβίασης δεδομένων.

13.5. Σε περίπτωση που λάβει χώρα παραβίαση δεδομένων στο πεδίο ευθύνης του ΓΡΑΦΕΙΟΥ, ενώ δρα ως εκτελών την επεξεργασία, το ΓΡΑΦΕΙΥΟ ενημερώνει τον υπεύθυνο επεξεργασίας αμελλητί, μόλις αντιληφθεί παραβίαση δεδομένων προσωπικού χαρακτήρα.

14. ΔΙΑΒΙΒΑΣΗ ΔΕΔΟΜΕΝΩΝ ΣΕ ΤΡΙΤΕΣ ΧΩΡΕΣ Ή ΔΙΕΘΝΕΙΣ ΟΡΓΑΝΙΣΜΟΥΣ

14.1. Το ΓΡΑΦΕΙΟ, είτε απευθείας είτε μέσω εκτελούντων επεξεργασία για λογαριασμό του, ακολουθεί ως κανόνα την αποφυγή της διαβίβασης προσωπικών δεδομένων σε χώρα, η οποία δε διασφαλίζει επαρκές επίπεδο προστασίας σχετικά με την προστασία αυτών, εφόσον η σχετική επεξεργασία δύναται να λαμβάνει χώρα εντός του Ευρωπαϊκού Οικονομικού Χώρου χωρίς αντίκτυπο για το ΓΡΑΦΕΙΟ.

14.2. Σε περίπτωση που το ΓΡΑΦΕΙΟ διαβιβάζει δεδομένα σε χώρες, οι οποίες δε διασφαλίζουν επαρκές επίπεδο προστασίας, διασφαλίζει την τήρηση των κατάλληλων εγγυήσεων, που προβλέπονται στον ΓΚΠΔ. Στα πλαίσια αυτά, το ΓΡΑΦΕΙΟ διαβιβάζει προσωπικά δεδομένα προς τρίτη χώρα ή διεθνή οργανισμό στις εξής περιπτώσεις :

– εφόσον η Ευρωπαϊκή Επιτροπή έχει αποφασίσει, δυνάμει σχετικής απόφασης, ότι διασφαλίζεται επαρκές επίπεδο προστασίας από την τρίτη χώρα ή τον εν λόγω διεθνή οργανισμό, ή
– εφόσον το απαιτεί η σχετική εντολή που έχει λάβει από τον εντολέα – υποκείμενο ή προς υποστήριξη υπόθεσης του εντολέα του
– εφόσον ο τρίτος αποδέκτης των δεδομένων (i) έχει παράσχει κατάλληλες εγγυήσεις σύμφωνα με τα οριζόμενα στο άρθρο 46 του ΓΚΠΔ, περιλαμβανομένων των δεσμευτικών εταιρικών κανόνων του άρθρου 47 του ΓΚΠΔ, και (ii) υφίστανται αποτελεσματικά ένδικα μέσα για τα υποκείμενα των δεδομένων, ή
– εφόσον πληρούνται οι προϋποθέσεις του άρθρου 49 του ΓΚΠΔ.

15. ΕΚΠΑΙΔΕΥΣΗ ΚΑΙ ΕΥΑΙΣΘΗΤΟΠΟΙΗΣΗ

15.1. Το ΓΡΑΦΕΙΟ διεξάγει περιοδικές δράσεις εκπαίδευσης του προσωπικού και των συνεργατών του, το αντικείμενο εργασίας των οποίων δύναται να εμπλέκει την επεξεργασία προσωπικών δεδομένων, με στόχο την κατανόηση και τον σεβασμό στις γενικές αρχές της παρούσας Πολιτικής κατά την καθημερινή πρακτική των δραστηριοτήτων του ΓΡΑΦΕΙΟ.

15.2. Το ΓΡΑΦΕΙΟ καλλιεργεί κουλτούρα για την προστασία των προσωπικών δεδομένων, η οποία έχει κατ’ ελάχιστο τα ακόλουθα στοιχεία :

– Ευαισθητοποίηση και υπευθυνότητα αναφορικά με την ανάγκη για τον σεβασμό των θεμελιωδών δικαιωμάτων και ελευθεριών των υποκειμένων των δεδομένων.

Η παρούσα πολιτική προστασίας, υπογράφεται από τους Δικηγόρους του ΔΙΚΗΓΟΡΙΚΟΥ ΓΡΑΦΕΙΟΥ «ΤΣΙΚΑΡΔΩΝΗΣ – ΣΤΑΥΡΟΠΟΥΛΟΥ