Αρχείο δραστηριοτήτων (RoPA)
Κάθε επεξεργασία, σκοπός, νομική βάση, αποδέκτες, χρόνοι τήρησης, μέτρα ασφάλειας.
GDPR σε ισχύ από 2018 · Πρόστιμα έως 20 M€ ή 4% · ΑΠΔΠΧ ενεργή σε ελέγχους και καταγγελίες
Δείτε πού στέκετε →
Κανονισμός (ΕΕ) 2016/679 · GDPR
Ιδιωτικότητα που αντέχει σε έλεγχο της Αρχής.
Δεν γράφουμε ακόμη ένα σύνολο πολιτικών. Χτίζουμε το πλαίσιο που θα σας επιτρέψει να απαντήσετε σε DSAR εντός 30 ημερών, να κάνετε DPIA όταν χρειάζεται, να αναφέρετε παραβίαση εντός 72 ωρών, και να αποδείξετε συμμόρφωση — όχι να τη διακηρύξετε.
Η KodeX GRC στήνει πλαίσιο συμμόρφωσης με τον GDPR (Κανονισμός (ΕΕ) 2016/679) που αποδεικνύεται σε έλεγχο της ΑΠΔΠΧ: αρχείο δραστηριοτήτων επεξεργασίας (RoPA), DPIA όπου απαιτείται, απάντηση σε αιτήματα υποκειμένων εντός ενός μήνα και γνωστοποίηση παραβίασης εντός 72 ωρών. Τυπική διάρκεια έργου: 8 εβδομάδες.
Τι καλύπτει
Ο GDPR οργανώνεται γύρω από τρεις άξονες: ποια δεδομένα επεξεργάζεστε και γιατί, ποια δικαιώματα έχουν τα υποκείμενα, και πώς αποδεικνύετε ότι τα σέβεστε. Κάθε περιοχή αντιστοιχίζεται σε άρθρα και τεκμήρια.
Νομική βάση & συγκατάθεση
Σύμβαση, έννομο συμφέρον, νομική υποχρέωση, ρητή συγκατάθεση, ειδικές κατηγορίες.
Δικαιώματα υποκειμένων
Πρόσβαση, διόρθωση, διαγραφή, περιορισμός, φορητότητα, εναντίωση — SLA 30 ημερών.
Παραβίαση δεδομένων
Αναφορά στην ΑΠΔΠΧ εντός 72 ωρών, ενημέρωση υποκειμένων, αρχείο περιστατικών.
Εκτίμηση αντικτύπου (DPIA)
Πότε απαιτείται, πώς δομείται, ποιος εγκρίνει, πώς επικαιροποιείται.
Εκτελούντες την επεξεργασία
Συμβάσεις, οδηγίες, υπο-εκτελούντες, έλεγχος, ρήτρες, τερματισμός.
Διαβιβάσεις εκτός ΕΕ
SCCs, adequacy decisions, Transfer Impact Assessment, νομική βάση μεταφοράς.
DPO
Πότε απαιτείται, ρόλος, ανεξαρτησία, καθήκοντα, επικοινωνία με την Αρχή.
Σε ποιους απευθύνεται
Δεν έχει νόημα το έργο αν τα δεδομένα είναι περιθωριακά. Έχει νόημα όταν υπάρχει πραγματική έκθεση — όγκος, ευαισθησία, ή αυξημένη πιθανότητα ελέγχου.
Δουλεύουμε με οργανισμούς που επεξεργάζονται προσωπικά δεδομένα σε κλίμακα ή σε ευαίσθητες κατηγορίες, ή που έχουν λάβει ερωτηματολόγιο από πελάτη, εταίρο ή την ίδια την Αρχή.
Ο κανόνας: αν σας ζητήθηκε DPA από πελάτη, αν διαβιβάζετε δεδομένα εκτός ΕΕ, αν κάνετε προφίλ ή αυτοματοποιημένη λήψη απόφασης — ή αν λάβατε καταγγελία στην ΑΠΔΠΧ — τότε το έργο έχει άμεση αξία.
Εταιρείες με δεδομένα HR σε κλίμακα — μισθοδοσία, αξιολόγηση, CCTV
Marketing & CRM με προφίλ, συγκατάθεση, tracking, cookies
Υγεία, ασφάλειες, χρηματοοικονομικά — ειδικές κατηγορίες δεδομένων
Όσοι έλαβαν ερωτηματολόγιο από την ΑΠΔΠΧ ή από πελάτη-εκτελούντα
Όσοι διαβιβάζουν εκτός ΕΕ — cloud, υπηρεσίες, θυγατρικές, SaaS
Πώς δουλεύουμε
Τέσσερις φάσεις. Η σειρά έχει σημασία: πρώτα χαρτογραφούμε, μετά αξιολογούμε, μετά γράφουμε, και τέλος δοκιμάζουμε — όχι το αντίστροφο.
Χαρτογράφηση
Πού πάνε τα δεδομένα
Ροές, αποδέκτες, χρόνοι τήρησης, διαβιβάσεις, νομικές βάσεις. Βάση για όλα τα υπόλοιπα — χωρίς αυτό, οι πολιτικές είναι διακοσμητικές.
2 εβδομάδεςΑξιολόγηση & DPIA
Πού υπάρχει κίνδυνος
Κατάταξη επεξεργασιών κατά κίνδυνο, εκτιμήσεις αντικτύπου για υψηλού κινδύνου, πρότερη διαβούλευση όπου απαιτείται.
2 εβδομάδεςΠολιτικές & διαδικασίες
Που λειτουργούν
DSAR, παραβίαση, συγκατάθεση, εκτελούντες, DPO, εκπαίδευση προσωπικού. Κείμενα που μπορούν να εφαρμοστούν.
3 εβδομάδεςΔοκιμή & τεκμηρίωση
Πριν έρθει η Αρχή
Tabletop DSAR, tabletop παραβίασης, κλείσιμο κενών, παράδοση πλήρους αρχείου συμμόρφωσης.
1 εβδομάδαΤα βασικά άρθρα
Ο GDPR έχει 99 άρθρα. Αυτά είναι τα οκτώ που θα ζητήσει πρώτα η Αρχή — και που θα ελέγξει με τεκμήρια, όχι δηλώσεις.
Άρθρο
Τι απαιτεί στην πράξη
Προτεραιότητα
Άρθρο 30 · RoPA
Αρχείο κάθε επεξεργασίας με σκοπό, νομική βάση, αποδέκτες, χρόνους τήρησης.
Κρίσιμο
Άρθρο 6 · Νομική βάση
Κάθε επεξεργασία έχει συγκεκριμένη βάση — όχι «έννομο συμφέρον» για όλα.
Κρίσιμο
Άρθρο 15–22 · Δικαιώματα
Πρόσβαση, διόρθωση, διαγραφή, φορητότητα, εναντίωση. SLA: 30 ημέρες.
Κρίσιμο
Άρθρο 33 · Παραβίαση 72h
Αναφορά στην ΑΠΔΠΧ εντός 72 ωρών — ανεξάρτητα από το μέγεθος.
Κρίσιμο
Άρθρο 28 · Εκτελούντες
Γραπτές συμβάσεις με κάθε εκτελούντα, οδηγίες, υπο-εκτελούντες.
Υψηλό
Άρθρο 32 · Ασφάλεια
Τεχνικά και οργανωτικά μέτρα — κρυπτογράφηση, πρόσβαση, συνέχεια.
Υψηλό
Άρθρο 35 · DPIA
Εκτίμηση αντικτύπου για επεξεργασίες υψηλού κινδύνου — προτού ξεκινήσουν.
Υψηλό
Άρθρο 44–49 · Διαβιβάσεις
Νομική βάση για κάθε μεταφορά εκτός ΕΕ, με τεκμηρίωση και TIA.
Υψηλό
Τι παραδίδεται
Έξι τεκμήρια που αποδεικνύουν συμμόρφωση. Κανένα δεν είναι αρχείο που θα συντάξετε μόνοι σας μετά την αποχώρησή μας.
Αρχείο επεξεργασίας (RoPA)Κάθε δραστηριότητα με νομική βάση, αποδέκτες και χρόνους τήρησης.
Εκτιμήσεις αντικτύπου (DPIA)Δομημένες, εγκεκριμένες, επικαιροποιήσιμες — για κάθε επεξεργασία υψηλού κινδύνου.
Διαδικασία DSARΥπόδειγμα απάντησης, ροή κλιμάκωσης, SLA 30 ημερών, αρχείο.
Διαδικασία παραβίασης 72hΡοή κλιμάκωσης, κριτήρια αναφοράς, υποδείγματα για την Αρχή.
Συμβάσεις εκτελούντωνΈλεγχος και διόρθωση υφιστάμενων, υποδείγματα DPA για νέους.
Πολιτική ιδιωτικότηταςΔημόσιο κείμενο ευθυγραμμισμένο με πραγματική λειτουργία — όχι template.
Χρονοδιάγραμμα 8 εβδομάδων
Τυπικό έργο μεσαίου μεγέθους. Οι εβδομάδες προσαρμόζονται ανάλογα με τον αριθμό των επεξεργασιών στο εύρος.
ΕΒΔ. 01–02
Χαρτογράφηση
Ροές δεδομένων, αποδέκτες, διαβιβάσεις, χρόνοι τήρησης, νομικές βάσεις.
ΕΒΔ. 03–04
Αξιολόγηση & DPIA
Κατάταξη επεξεργασιών, εκτιμήσεις αντικτύπου, προτεραιοποίηση κινδύνων.
ΕΒΔ. 05–07
Πολιτικές & διαδικασίες
DSAR, παραβίαση 72h, συγκατάθεση, εκτελούντες, DPO, εκπαίδευση.
ΕΒΔ. 08
Δοκιμή & τεκμηρίωση
Tabletop DSAR, tabletop παραβίασης, κλείσιμο κενών, τελική παράδοση.
Συχνές ερωτήσεις
Οι ερωτήσεις που ακούμε πριν αναλάβουμε έργο συμμόρφωσης GDPR.
Χρειάζομαι DPO;
Υποχρεωτικά σε δημόσιες αρχές, σε μεγάλης κλίμακας παρακολούθηση συμπεριφοράς, και σε επεξεργασία ειδικών κατηγοριών δεδομένων σε κλίμακα. Στις υπόλοιπες περιπτώσεις είναι προαιρετικό — αλλά χρήσιμο. Αν δεν θέλετε πλήρη θέση, αναλαμβάνουμε τον ρόλο ως υπηρεσία, με σαφή ορισμό και ανεξαρτησία.
Τι γίνεται αν δεχθώ καταγγελία στην ΑΠΔΠΧ;
Αναλαμβάνουμε την απάντηση: συλλογή τεκμηρίων, σύνταξη απάντησης προς την Αρχή, εκπροσώπηση σε επικοινωνία, και — αν χρειαστεί — συμμετοχή σε ακρόαση. Αυτό είναι ξεχωριστό έργο από τη συμμόρφωση, με δική του κοστολόγηση. Σε πελάτες με ενεργό συμβόλαιο συντήρησης, γίνεται κατά προτεραιότητα.
Πόσο κοστίζει η συμμόρφωση GDPR;
Εξαρτάται από τον αριθμό των επεξεργασιών στο εύρος, το αν υπάρχει DPO, και το πόσο διαβιβάζετε εκτός ΕΕ. Μετά τη χαρτογράφηση δίνουμε σταθερή τιμή — όχι πριν. Δεν δίνουμε τιμή χωρίς να έχουμε δει τι υπάρχει.
Χρειάζομαι και ISO 27001 για GDPR;
Δεν απαιτείται, αλλά βοηθά. Ο GDPR στο Άρθρο 32 απαιτεί «κατάλληλα τεχνικά και οργανωτικά μέτρα» — το ISO 27001 καλύπτει ακριβώς αυτό, με τεκμήρια. Αν σκοπεύετε να πάρετε και τα δύο, η σειρά είναι: πρώτα GDPR (είναι υποχρεωτικό), μετά ISO 27001 (πάνω στα ίδια τεκμήρια).
Ποια είναι η σχέση GDPR και NIS2;
Διαφορετικό πεδίο, διαφορετική αρχή — αλλά επικαλύπτονται. Μία παραβίαση μπορεί να ενεργοποιήσει και τους δύο: αναφορά στην ΑΠΔΠΧ εντός 72 ωρών (GDPR) και στην Εθνική Αρχή Κυβερνοασφάλειας εντός 24 ωρών (NIS2). Αν εμπίπτετε στο NIS2, σχεδιάζουμε τη διαδικασία παραβίασης να καλύπτει και τους δύο κανονισμούς με μία ροή.
Σχετικές υπηρεσίες
Το GDPR σπάνια στέκεται μόνο του. Συνήθως συνδυάζεται με τα παρακάτω, γιατί μοιράζονται τεκμήρια, τεχνικά μέτρα και διαδικασίες.
01 · ISO 27001
Άρθρο 32 · Τεχνικά μέτρα
Η τεχνική ασφάλεια που ο GDPR απαιτεί, τεκμηριωμένη και ελεγμένη — με τεκμήρια που ζητά η Αρχή.
03 · NIS 2Επικάλυψη σε παραβιάσεις
Μία παραβίαση, δύο αναφορές — 72h στην ΑΠΔΠΧ, 24h στην Εθνική Αρχή Κυβερνοασφάλειας. Μία ροή, δύο συμμορφώσεις.
08 · vCISODPO ως υπηρεσία
Αν δεν χρειάζεστε πλήρη DPO, αναλαμβάνουμε τον ρόλο μερικής απασχόλησης με σαφή ορισμό και ανεξαρτησία.
Ξεκινήστε
Δωρεάν ανάλυση χάσματος σε δύο εβδομάδες.
Ένα μητρώο κενών με προτεραιότητες κατά έκθεση, ένας κοστολογημένος οδικός χάρτης 8 εβδομάδων, και μια εκτελεστική σύνοψη για το διοικητικό συμβούλιο. Χωρίς δέσμευση — μπορείτε να το δώσετε και σε άλλον σύμβουλο.
Χωρίς δέσμευση
Εμπιστευτικά
Ελληνικά ή Αγγλικά