GDPR – Αρχεία Δραστηριοτήτων Επεξεργασίας

Ο Γενικός Κανονισμός Προστασίας Δεδομένων υποχρεώνει, σύμφωνα με το Άρθρο 30 του GDPR, την ύπαρξη γραπτής τεκμηρίωσης και επισκόπησης διαδικασιών με τις οποίες επεξεργάζονται δεδομένα προσωπικού χαρακτήρα. Τα αρχεία των δραστηριοτήτων επεξεργασίας πρέπει να περιλαμβάνουν σημαντικές πληροφορίες για την επεξεργασία δεδομένων, συμπεριλαμβανομένων των κατηγοριών δεδομένων, της ομάδας των υποκειμένων των δεδομένων, του σκοπού της επεξεργασίας και των αποδεκτών των δεδομένων. Αυτό πρέπει να είναι πλήρως διαθέσιμο στις αρχές κατόπιν αιτήματος.

Η υποχρέωση δημιουργίας αρχείων δραστηριοτήτων επεξεργασίας δεν επιβάλλεται μόνο στον υπεύθυνο επεξεργασίας και στους εκπροσώπους του, αλλά και άμεσα στον εκτελούντα την επεξεργασία και στους εκπροσώπους τους, όπως ορίζεται στο Άρθρο 30(2) του GDPR. Για μια αλλαγή, εταιρείες ή ιδρύματα με λιγότερους από 250 υπαλλήλους εξαιρούνται από την τήρηση αρχείου, εάν η επεξεργασία δεν είναι πιθανό να αποτελέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων, εάν δεν επεξεργάζονται ειδικές κατηγορίες δεδομένων ή αν η επεξεργασία γίνεται μόνο περιστασιακά, όπως αναφέρεται στο Άρθρο 30(5) του GDPR. Στην πράξη, αυτή η εξαίρεση σπάνια εφαρμόζεται. Εκτός από τυχόν δυσκολίες που προκύπτουν κατά την ερμηνεία του τι θεωρείται “μόνο περιστασιακά,” στις περισσότερες εταιρείες – ακόμα και με ευρεία ερμηνεία του όρου – τα δεδομένα θα επεξεργάζονται αναμφισβήτητα τακτικά, συμπεριλαμβανομένης της επεξεργασίας δεδομένων για την ιστοσελίδα, το ηλεκτρονικό τους κατάστημα, τον υπολογισμό μισθοδοσίας ή τα συστήματα CRM. Πρέπει να σημειωθεί ότι η υποχρέωση για καταγραφή και συνεπώς τα αρχεία δραστηριοτήτων επεξεργασίας θα αποτελούν κεντρικό σημείο ελέγχων των αρχών για την εφαρμογή του Κανονισμού Προστασίας Δεδομένων.

Εάν μια εταιρεία δεν διατηρεί αρχεία δραστηριοτήτων επεξεργασίας και/ή δεν παρέχει πλήρη κατάλογο στις αρχές, υπόκειται σε πρόστιμα σύμφωνα με το Άρθρο 83(4)(α) του ΓΚΠΔ. Τα πιθανά πρόστιμα μπορεί να φτάσουν έως και 10 εκατομμύρια ευρώ ή 2% του ετήσιου κύκλου εργασιών τους. Αυτό το συνολικό ποσό, κατά κανόνα, επιβάλλεται από τις αρχές μόνο σε εξαιρετικές περιπτώσεις. Για αυτό, οι αρχές ενθαρρύνονται, όπως ορίζεται στην αιτιολογική σκέψη 13, «να λαμβάνουν υπόψη τις ειδικές ανάγκες των πολύ μικρών, μικρών και μεσαίων επιχειρήσεων στην εφαρμογή του κανονισμού αυτού.»