Πολιτική Προστασίας Προσωπικών Δεδομένων
Θεσπίζεται από την CNL CAPITAL ΕΚΕΣ – Δ.Ο.Ε.Ε. (εφεξής η «εταιρία») Πολιτική Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (εφεξής η «Πολιτική»), με σκοπό την προστασία των δεδομένων προσωπικού χαρακτήρα των υποκειμένων των δεδομένων που η εταιρία συλλέγει και επεξεργάζεται, καθώς και την πρόληψη οποιασδήποτε μορφής παράνομης/αθέμιτης επεξεργασίας, τυχαίας/αθέμιτης καταστροφής, απώλειας, αλλοίωσης, απαγορευμένης διάδοσης ή πρόσβασης σε αυτά.
Η Πολιτική Προστασίας Δεδομένων Προσωπικού Χαρακτήρα και η βασιζόμενη σε αυτή επεξεργασία δεδομένων προσωπικού χαρακτήρα, στην οποία η εταιρία προβαίνει, στηρίζεται στις παρακάτω αρχές:
• Νομιμότητα, αντικειμενικότητα και διαφάνεια κατά την επεξεργασία
• Περιορισμός του σκοπού της επεξεργασίας
• Ελαχιστοποίηση των υπό επεξεργασία δεδομένων
• Ακρίβεια και επικαιροποίηση των υπό επεξεργασία δεδομένων
• Ακεραιότητα και εμπιστευτικότητα κατά την επεξεργασία
• Περιορισμός του χρόνου διακράτησης / αποθήκευσης
• Συμμόρφωση με το εκάστοτε ισχύον νομοθετικό και κανονιστικό πλαίσιο
Η εταιρία φέρει την ευθύνη και είναι ανά πάσα στιγμή σε θέση να αποδείξει τη σε διαρκή βάση συμμόρφωσή της με τις ανωτέρω αρχές, όπως στην παρούσα Πολιτική εξειδικεύονται.
Η εταιρία ελέγχει, επανεξετάζει και επικαιροποιεί σε τακτά χρονικά διαστήματα και, σε κάθε περίπτωση, όποτε τούτο κρίνεται αναγκαίο, την παρούσα Πολιτική, λαμβάνοντας υπόψη το εκάστοτε ισχύον νομοθετικό και κανονιστικό πλαίσιο.
Η εταιρία υιοθετεί και εφαρμόζει την παρούσα Πολιτική, υπό την ιδιότητά της ως Υπεύθυνης Επεξεργασίας δεδομένων προσωπικού χαρακτήρα, στο πλαίσιο συμμόρφωσής της με τις διατάξεις του Γενικού Κανονισμού Προστασίας των Δεδομένων (ΕΕ) 2016/679 (εφεξής «ΓΚΠΔ») και της Οδηγίας 2016/680/ΕΕ, όπως έχει ενσωματωθεί στην ελληνική νομοθεσία δυνάμει του εφαρμοστικού νόμου υπ’ αριθμ. 4624/2019, καθώς και του εκάστοτε ισχύοντος κανονιστικού πλαισίου, συμπεριλαμβανομένων των εκδιδόμενων από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα αποφάσεων, εγκυκλίων, απόψεων και εν γένει πράξεων.
Η παρούσα Πολιτική εφαρμόζεται σε όλες τις δραστηριότητες και τις ομάδες ενδιαφερομένων που αλληλοεπιδρούν με την Εταιρία.
Αρμόδιοι για την εποπτεία της εκτέλεσης της Διαδικασίας είναι:
• Ο Υπεύθυνος Κανονιστικής Συμμόρφωσης
• Ο Υπεύθυνος Εσωτερικού Ελέγχου το Διοικητικό Συμβούλιο
Η Εταιρία ελέγχει την εφαρμογή της πολιτικής πρόληψης – αποτροπής καταστάσεων σύγκρουσης συμφερόντων, σύμφωνα με τα παρακάτω οριζόμενα. Η Εταιρία παρακολουθεί και εξετάζει περιοδικά και οπωσδήποτε άπαξ ετησίως την αποτελεσματικότητα των ρυθμίσεων της πολιτικής αυτής που έχει θεσπίσει, προβαίνοντας σε αλλαγές όπου και όταν αυτό κρίνεται απαραίτητο.
«αποδέκτης»: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας, στα οποία κοινολογούνται τα δεδομένα προσωπικού χαρακτήρα, είτε πρόκειται για τρίτον είτε όχι.
«δεδομένα προσωπικού χαρακτήρα»: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα.
«εκτελών την επεξεργασία»: το φυσικό ή νομικό πρόσωπο που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του Υπευθύνου της επεξεργασίας.
«επεξεργασία»: κάθε συλλογή, καταχώριση, οργάνωση, διάρθρωση, αποθήκευση, μεταβολή, ανάκτηση, αναζήτηση πληροφοριών, χρήση, διαβίβαση, περιορισμός ή διαγραφή των δεδομένων προσωπικού χαρακτήρα τους που έχουν περιέλθει ή θα περιέλθουν σε γνώση της εταιρίας, τόσο στο πλαίσιο των συναλλακτικών της σχέσεων με τα υποκείμενα των δεδομένων όσο και στο πλαίσιο πληροφόρησης που η εταιρία λαμβάνει από τρίτα, φυσικά ή νομικά, πρόσωπα ή φορείς του δημοσίου τομέα, κατά την άσκηση των νομίμων δικαιωμάτων των ίδιων ή της εταιρίας.
«κατάρτιση προφίλ»: οποιαδήποτε μορφή αυτοματοποιημένης επεξεργασίας δεδομένων προσωπικού χαρακτήρα που συνίσταται στη χρήση δεδομένων προσωπικού χαρακτήρα για την αξιολόγηση ορισμένων προσωπικών πτυχών ενός φυσικού προσώπου.
«παραβίαση δεδομένων προσωπικού χαρακτήρα»: η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία.
«περιορισμός της επεξεργασίας»: η επισήμανση αποθηκευμένων δεδομένων προσωπικού χαρακτήρα με στόχο τον περιορισμό της επεξεργασίας τους στο μέλλον.
«συγκατάθεση» του υποκειμένου των δεδομένων: κάθε ένδειξη βούλησης, ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν.
«τρίτος»: οποιοδήποτε φυσικό ή νομικό πρόσωπο, δημόσια αρχή, υπηρεσία ή φορέας, με εξαίρεση το υποκείμενο των δεδομένων, τον υπεύθυνο επεξεργασίας, τον εκτελούντα την επεξεργασία και τα πρόσωπα τα οποία, υπό την άμεση εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα.
«υπεύθυνος επεξεργασίας»: το νομικό πρόσωπο που καθορίζει τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Για τους σκοπούς της παρούσας Πολιτικής, ως Υπεύθυνη επεξεργασίας θεωρείται η εταιρία.
«υποκείμενο των δεδομένων»: κάθε ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο στο οποίο αφορούν τα υπό επεξεργασία δεδομένα προσωπικού χαρακτήρα. Για τους σκοπούς της παρούσας Πολιτικής, ως υποκείμενα των δεδομένων θεωρούνται όλα τα φυσικά πρόσωπα που συναλλάσσονται με την εταιρία, στα πλαίσια των υπηρεσιών που παρέχονται σύμφωνα με τις άδειες λειτουργίας τους από την Επιτροπή Κεφαλαιαγοράς. Επίσης κάθε φυσικό πρόσωπο που έχει συμβατική σχέση με την εταιρία, καθώς και κάθε φυσικό πρόσωπο το οποίο εκδηλώνει ενδιαφέρον να συνάψει συμβατική σχέση με την εταιρία. Σε περίπτωση συναλλασσόμενων με την εταιρία νομικών προσώπων, ως υποκείμενα των δεδομένων για τους σκοπούς της παρούσας Πολιτικής νοούνται τα φυσικά πρόσωπα που κατέχουν τον έλεγχο των νομικών προσώπων, ή/και νομίμως εκπροσωπούν τα νομικά πρόσωπα.
Η εταιρία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα των υποκειμένων των δεδομένων της στις ακόλουθες περιπτώσεις, σύμφωνα με τα ειδικότερα οριζόμενα στην ισχύουσα νομοθεσία και υπό τους τιθέμενους σε αυτή όρους και προϋποθέσεις:
- εφόσον η επεξεργασία είναι απαραίτητη για την εξυπηρέτηση, υποστήριξη και παρακολούθηση των συναλλακτικών σχέσεών της με τα υποκείμενα των δεδομένων, καθώς για την ορθή και σύννομη εκτέλεση των μεταξύ τους συμβάσεων. Σε αυτή την περίπτωση περιλαμβάνεται και η επεξεργασία που κρίνεται απαραίτητη για τη λήψη των απαραίτητων μέτρων πριν τη σύναψη της σύμβασης (προσυμβατικό στάδιο),
- εφόσον η επεξεργασία είναι απαραίτητη για τη συμμόρφωση της εταιρίας με έννομη υποχρέωση της ή για την επιδίωξη των εννόμων συμφερόντων της που απορρέουν από τις συναλλακτικές της σχέσεις με τα υποκείμενα των δεδομένων ή από άλλα απορρέοντα από την ισχύουσα νομοθεσία δικαιώματά της,
- εφόσον η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον, σύμφωνα με το εκάστοτε ισχύον νομοθετικό και κανονιστικό πλαίσιο, και ειδικότερα των μετόχων της εισηγμένης εταιρίας.
- εφόσον το υποκείμενο των δεδομένων έχει συναινέσει, παρέχοντας ειδική, ρητή και έγγραφη συγκατάθεση, στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς και υπό την προϋπόθεση ότι η επεξεργασία δε θεμελιώνεται σε κάποια εκ των ανωτέρω υπό 1 – 3 αναφερόμενων νόμιμων βάσεων. Στην περίπτωση αυτή, το υποκείμενο των δεδομένων έχει δικαίωμα να ανακαλέσει τη συγκατάθεσή του ανά πάσα στιγμή, η σχετική δε ανάκληση δε θίγει τη νομιμότητα της επεξεργασίας που βασίστηκε στη συγκατάθεση προ της ανάκλησής της. Η ανάκληση διενεργείται με σχετικό έγγραφο που υποβάλλεται, εγγράφως ή ηλεκτρονικά, στην εταιρία (απευθυνόμενο προς τον Υπεύθυνο Προστασίας Δεδομένων) και ισχύει από την ημερομηνία υποβολής του και εφεξής.
4.1 Υποχρέωση προηγούμενης πληροφόρησης
Στην περίπτωση που η επεξεργασία των δεδομένων από την εταιρία βασίζεται σε σχετική συγκατάθεση του υποκειμένου των δεδομένων, η εταιρία φροντίζει πριν τη λήψη της απαιτούμενης ειδικής, ρητής και έγγραφης συγκατάθεσης, κατά τα ανωτέρω, να ενημερώσει τον το υποκείμενο των δεδομένων, κατ’ ελάχιστο, ως προς τα εξής :
i. την ιδιότητά της ως Υπεύθυνης επεξεργασίας των δεδομένων,
ii. τα στοιχεία επικοινωνίας του Υπεύθυνου Προστασίας Δεδομένων,
iii. το είδος των υπό επεξεργασία προσωπικών δεδομένων,
iv. τον σκοπό/τους σκοπούς της επεξεργασίας,
v. τη νομική βάση της επεξεργασίας,
vi. τις κατηγορίες των ενδεχόμενων αποδεκτών των δεδομένων,
vii. την περίοδο διακράτησης των δεδομένων,
viii. τα δικαιώματα του υποκειμένου των δεδομένων ως προς τα υπό επεξεργασία δικαιώματά του.
4.2 Δεδομένα υπό επεξεργασία
4.2.1 Η εταιρία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα των υποκειμένων των δεδομένων τα οποία:
i) έχουν υποβληθεί ή πρόκειται να υποβληθούν από τα ίδια τα υποκείμενα των δεδομένων και τα οποία είναι απαραίτητα για την έναρξη, διατήρηση και την εκτέλεση των συναλλακτικών τους σχέσεων με την εταιρία, υφιστάμενων ή μελλοντικών,
ii) λαμβάνει ή περιέρχονται σε γνώση της από τρίτα, φυσικά ή νομικά πρόσωπα ή από φορείς του δημοσίου, εφόσον είναι απαραίτητα είτε για την επίτευξη των εννόμων συμφερόντων της ίδιας της εταιρίας ή τρίτου προσώπου, είτε για την εκπλήρωση καθηκόντων της που εκτελούνται προς διασφάλιση δημοσίου συμφέροντος και των μετόχων της εισηγμένης εταιρίας,
iii) προέρχονται από δημόσια προσβάσιμες πηγές και/ή αρχεία, στο μέτρο και στο βαθμό που είναι απαραίτητα για τους σκοπούς της επεξεργασίας.
Τα δεδομένα προσωπικού χαρακτήρα που παρέχονται από τα υποκείμενα των δεδομένων πρέπει να είναι πλήρη και ακριβή και να επικαιροποιούνται με επιμέλεια των ίδιων των υποκειμένων άμεσα σε κάθε περίπτωση μεταβολής τους ή όποτε άλλοτε κρίνεται απαραίτητο ή σκόπιμο από την εταιρία για τη διατήρηση των μεταξύ τους συναλλακτικών σχέσεων ή για τη συμμόρφωσή της εταιρίας με τις απορρέουσες από το εκάστοτε ισχύον νομοθετικό και κανονιστικό πλαίσιο υποχρεώσεις της.
Για την έναρξη και τη διατήρηση της συναλλακτικής σχέσης της με τα υποκείμενα των δεδομένων, η εταιρία συμμορφούμενη με το ισχύον νομοθετικό και κανονιστικό πλαίσιο, συλλέγει, τηρεί και επεξεργάζεται τα ακόλουθα δεδομένα προσωπικού χαρακτήρα των υποκειμένων των δεδομένων τα οποία είναι απαραίτητα με βάση την ισχύουσα νομοθεσία, περιοριζόμενα στα ελάχιστα απαιτούμενα για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία:
– ονοματεπώνυμο,
– πατρώνυμο,
– στοιχεία ταυτότητας/διαβατηρίου ή άλλου επίσημου εγγράφου ταυτοποίησης,
– ημερομηνία γέννησης,
– ιθαγένεια,
– μόνιμο τόπο κατοικίας, διεύθυνση κατοικίας και διεύθυνση αλληλογραφίας,
– ασκούμενο επάγγελμά και επαγγελματική διεύθυνση,
– φορολογική κατοικία, αριθμό φορολογικού μητρώου (ΑΦΜ) και αρμόδια Δ.Ο.Υ.
– τηλέφωνο (σταθερό και κινητό),
– λογαριασμούς ΔΕΚΟ (ρεύματος, τηλεφωνίας ή ύδρευσης),
– ηλεκτρονική διεύθυνση,
– οικονομικό/επενδυτικό προφίλ, γνώσεις και εμπειρία σε επενδύσεις και
– δείγμα υπογραφής (φυσικής ή ηλεκτρονικής)
– Οικονομική κατάσταση , ύπαρξη οικονομικών βαρών και υποχρεώσεων
4.3 Σκοποί επεξεργασίας
Σκοποί της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των υποκειμένων των δεδομένων είναι :
α) η εξυπηρέτηση, υποστήριξη και παρακολούθηση της οικονομικής ικανότητας τους ώστε να αξιολογηθεί η ικανότητά τους να ανταποκριθούν στις υποχρεώσεις που έχουν αναλάβει βάσει της Συμβατικής σχέσης με την εταιρία.
β) η εξυπηρέτηση, υποστήριξη και παρακολούθηση των συναλλακτικών σχέσεων της εταιρίας με τα υποκείμενα των δεδομένων, στα οποία παρέχει τις υπηρεσίες της, ώστε να καθίσταται ορθή και σύννομη η εκτέλεση των μεταξύ τους συμβάσεων,
γ) η καταχώριση, καταγραφή και αρχειοθέτηση των πάσης φύσεως εντολών, αιτήσεων και αιτημάτων τους προς την εταιρία που δίδονται εγγράφως, ηλεκτρονικά ή τηλεφωνικά, στο πλαίσιο της συνεργασίας με την εταιρία ,
δ) η, στο πλαίσιο της εργασιών της Εταιρίας, εκπλήρωση των απορρεουσών από το εκάστοτε ισχύον νομοθετικό και κανονιστικό πλαίσιο υποχρεώσεων της εταιρίας, καθώς και η συμμόρφωσή της με αποφάσεις των αρμόδιων εποπτικών, διοικητικών, δημόσιων και δικαστικών/εισαγγελικών Αρχών και Υπηρεσιών,
ε) η ικανοποίηση των πάσης φύσεως απευθυνόμενων προς την εταιρία αιτημάτων ή η εξέταση παραπόνων τους και
στ) η λήψη έντυπων και ηλεκτρονικών μηνυμάτων από την εταιρία για διαφημιστικούς/ προωθητικούς λόγους.
4.4 Φύλαξη και χρόνος διακράτησης
Τα δεδομένα προσωπικού χαρακτήρα των υποκειμένων των δεδομένων υπόκεινται σε επεξεργασία, τηρούνται και φυλάσσονται από την εταιρία σε ασφαλές περιβάλλον, αποκλειστικά και μόνο για τους σκοπούς για τους οποίους προορίζονται και μόνο για όσο χρονικό διάστημα απαιτείται για την επίτευξη των εν λόγω σκοπών, με την επιφύλαξη των ειδικότερων προβλεπόμενων από την ισχύουσα νομοθεσία. Σε κάθε περίπτωση, τα προσωπικά δεδομένα των υποκειμένων των δεδομένων τηρούνται για χρονικό διάστημα πέντε (5) ετών, ακόμα και στη περίπτωση της με οποιονδήποτε τρόπο λήξης της συμβατικής σχέσης μεταξύ εταιρίας και των υποκειμένων των δεδομένων πριν την επέλευση του ως άνω χρονικού διαστήματος. Τα ανωτέρω χρονικά όρια δεν ισχύουν σε περίπτωση δικαστικών διενέξεων, οπότε και ο προβλεπόμενος χρόνος τήρησης των δεδομένων επεκτείνεται έως την έκδοση αμετάκλητης δικαστικής απόφασης.
4.5 Αποδέκτες
Αποδέκτες των δεδομένων προσωπικού χαρακτήρα των υποκειμένων των δεδομένων, μπορεί να είναι:
i)κάθε πιστωτικό ίδρυμα που η εταιρία, συνεργάζεται στα πλαίσια της διενέργειας των εργασιών που απορρέουν από την Συμβατική τους Σχέση ή νομικό πρόσωπο που ελέγχει το υποκείμενο των δεδομένων
ii) τρίτα πρόσωπα στα οποία η εταιρία έχει αναθέσει, μερικά ή ολικά, τη για λογαριασμό της εκτέλεση λειτουργιών της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, για την καλύτερη εξυπηρέτηση της των εργασιών της που αφορούν συναλλαγές με τα υποκείμενα των δεδομένων, καθώς και της συμμόρφωσής της με το εκάστοτε ισχύον νομοθετικό και κανονιστικό πλαίσιο,
iii) τρίτα πρόσωπα με τα οποία η εταιρία συνεργάζεται κατά την άσκηση των δραστηριοτήτων της,
iv) κάθε πρόσωπο στο οποίο η διαβίβαση επιβάλλεται να διενεργηθεί, δυνάμει του ισχύοντος νομοθετικού και κανονιστικού πλαισίου ή βάσει δικαστικής απόφασης και
v) οι αρμόδιες για τον έλεγχο και τη λειτουργία της Εταιρίας, εποπτικές αρχές, καθώς και εν γένει οποιαδήποτε δημόσια, διοικητική, εποπτική, δικαστική, εισαγγελική ή άλλη Αρχή και/ή Υπηρεσία, κατά την άσκηση των νόμιμων καθηκόντων της.
Η εταιρία έχει νομίμως διασφαλίσει ότι οι εκτελούντες για λογαριασμό της την επεξεργασία δεδομένων προσωπικού χαρακτήρα των υποκειμένων των δεδομένων πληρούν τις απορρέουσες από την ισχύουσα νομοθεσία προϋποθέσεις και παρέχουν επαρκείς διαβεβαιώσεις για την εφαρμογή των κατάλληλων τεχνικών και οργανωτικών μέτρων, ώστε κατά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα των υποκειμένων των δεδομένων από αυτούς, τα δικαιώματά τους να είναι προστατευμένα.
4.6 Ασφάλεια
Η εταιρία έχει λάβει κατάλληλα τεχνικά και οργανωτικά μέτρα για τη διασφάλιση του απορρήτου και για τη νόμιμη τήρηση, την επεξεργασία, την προστασία και την ασφαλή φύλαξη των δεδομένων προσωπικού χαρακτήρα των υποκειμένων των δεδομένων από κάθε παράνομη ή αθέμιτη επεξεργασία, τυχαία ή αθέμιτη καταστροφή, απώλεια, αλλοίωση, απαγορευμένη διάδοση ή πρόσβαση, κατά τα ειδικότερα προβλεπόμενα στην ισχύουσα νομοθεσία. Τα εν λόγω μέτρα επανεξετάζονται και επικαιροποιούνται όποτε κρίνεται απαραίτητο.
4.7 Εκτίμηση Αντικτύπου σχετικά με την προστασία των δεδομένων
Σε περίπτωση που η εταιρία, συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, κρίνει ότι αυτή ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων, διενεργεί, πριν η επεξεργασία λάβει χώρα και με τη συνδρομή και του Υπεύθυνου Προστασίας Δεδομένων, εκτίμηση των επιπτώσεων των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία δεδομένων προσωπικού χαρακτήρα, η οποία περιλαμβάνει όλα τα προβλεπόμενα στο άρθρο 35 του ΓΚΠΔ στοιχεία. Η ανωτέρω εκτίμηση αντικτύπου κρίνεται επιβεβλημένη σε περίπτωση συστηματικής και εκτενούς αξιολόγησης προσωπικών πτυχών των υποκειμένων των δεδομένων, η οποία βασίζεται σε αυτοματοποιημένη επεξεργασία, περιλαμβανομένης της κατάρτισης προφίλ, και στην οποία βασίζονται αποφάσεις που παράγουν έννομα αποτελέσματα σχετικά με τα υποκείμενα των δεδομένων ή τα επηρεάζουν σημαντικά.
Εκτίμηση αντικτύπου, σύμφωνα με τα παραπάνω, διενεργείται σε κάθε περίπτωση χρήσης νέων τεχνολογιών ή υιοθέτησης/διενέργειας πράξεων επεξεργασίας δεδομένων που ενδέχεται να ενέχουν υψηλούς κινδύνους για τα δικαιώματα και τις ελευθερίες των υποκειμένων δεδομένων προσωπικού χαρακτήρα.
Εφόσον κρίνεται απαραίτητο και, κυρίως, όταν μεταβάλλεται ο κίνδυνος που θέτουν οι πράξεις επεξεργασίας, η εταιρία προβαίνει σε επανεξέταση, προκειμένου να εκτιμήσει εάν η επεξεργασία των δεδομένων προσωπικού χαρακτήρα διενεργείται σύμφωνα με την εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων.
4.8 Διαβίβαση προσωπικών δεδομένων σε τρίτες χώρες/διεθνείς οργανισμούς
Η διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα ή διεθνή οργανισμό μπορεί να πραγματοποιηθεί μόνο εφόσον διασφαλίζεται επαρκές επίπεδο προστασίας από την τρίτη χώρα ή τον διεθνή οργανισμό. Σε διαφορετική περίπτωση, η εταιρία δύναται να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε τρίτη χώρα ή διεθνή οργανισμό, μόνο υπό τις αυστηρά προβλεπόμενες στον ΓΚΠΔ προϋποθέσεις.
Τα υποκείμενα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από την εταιρία, έχουν τα ακόλουθα δικαιώματα:
α) Δικαίωμα ενημέρωσης και πρόσβασης στα δεδομένα προσωπικού χαρακτήρα που τους αφορούν και λήψης πληροφοριών για αυτά, καθώς και για την προέλευση τους, τους σκοπούς επεξεργασίας τους, τους αποδέκτες ή τις κατηγορίες αποδεκτών τους και το χρονικό διάστημα αποθήκευσής τους.
β) Δικαίωμα διόρθωσης ανακριβών δεδομένων και συμπλήρωσης ελλιπών δεδομένων που τηρούνται.
γ) Δικαίωμα διαγραφής των δεδομένων, με την επιφύλαξη, ωστόσο, των υποχρεώσεων και των νομίμων δικαιωμάτων της εταιρίας προς διακράτησή τους για ελάχιστο συγκεκριμένο χρονικό διάστημα, δυνάμει του εκάστοτε ισχύοντος νομοθετικού και κανονιστικού πλαισίου.
δ) Δικαίωμα περιορισμού της επεξεργασίας των δεδομένων, εφόσον, είτε αμφισβητείται η ακρίβεια τους, είτε η επεξεργασία τους είναι παράνομη, είτε δε συντρέχει πλέον ο σκοπός της επεξεργασίας και υπό την προϋπόθεση ότι δεν υφίσταται νόμιμος λόγος για τη διακράτησή τους.
ε) Δικαίωμα φορητότητας των δεδομένων σε άλλον υπεύθυνο επεξεργασίας, υπό την προϋπόθεση ότι η επεξεργασία βασίζεται σε συγκατάθεση του υποκειμένου των δεδομένων και διενεργείται με αυτοματοποιημένα μέσα. Η ικανοποίηση του εν λόγω δικαιώματος τελεί υπό την επιφύλαξη των νομίμων δικαιωμάτων και υποχρεώσεων της εταιρίας για διακράτηση των δεδομένων και εκπλήρωση καθήκοντός της προς το δημόσιο συμφέρον.
στ) Δικαίωμα εναντίωσης στην επεξεργασία των δεδομένων που τους αφορούν για λόγους που σχετίζονται με την ιδιαίτερη κατάσταση τους, στις περιπτώσεις όπου τα δεδομένα υφίστανται επεξεργασία για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή για τους σκοπούς των εννόμων συμφερόντων που επιδιώκει η εταιρία ή τρίτο μέρος.
Τα αιτήματα των υποκειμένων των δεδομένων σχετικά με τα προσωπικά τους δεδομένα και την άσκηση των δικαιωμάτων τους υποβάλλονται στον Υπεύθυνο Προστασίας Δεδομένων της εταιρίας, στην ηλεκτρονική διεύθυνση dpo@CNL.gr ή εγγράφως στα γραφεία της εταιρίας Λουκιανού 6, 106 75 Αθήνα, υπόψη του Υπεύθυνου Προστασίας Δεδομένων. Προς τον σκοπό αυτό, συμπληρώνεται το ειδικό έντυπο της εταιρίας με τίτλο «ΑΙΤΗΜΑ ΥΠΟΚΕΙΜΕΝΟΥ ΤΩΝ ΔΕΔΟΜΕΝΩΝ ΑΣΚΗΣΗΣ ΔΙΚΑΙΩΜΑΤΩΝ ΣΤΟ ΠΛΑΙΣΙΟ ΤΟΥ ΓΕΝΙΚΟΥ ΚΑΝΟΝΙΣΜΟΥ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ (ΓΚΠΔ)».
6.1 Ασφάλεια της επεξεργασίας
Η εταιρία εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται σε διαρκή βάση το απαιτούμενο επίπεδο ασφάλειας έναντι των σχετιζόμενων με τα προσωπικά δεδομένα των υποκειμένων των δεδομένων και την επεξεργασία τους κινδύνων. Στο πλαίσιο, αυτό η εταιρία:
i. έχει υιοθετήσει και εφαρμόζει σε διαρκή βάση Πολιτική και διαδικασίες τήρησης του απορρήτου και διασφάλισης της ακεραιότητας, της διαθεσιμότητας και της αξιοπιστίας των συστημάτων και των υπηρεσιών επεξεργασίας,
ii. έχει υιοθετήσει Business Continuity Plan, φροντίζοντας, ώστε, σε περίπτωση φυσικού ή τεχνικού συμβάντος, η δυνατότητα αποκατάστασης της διαθεσιμότητας και της πρόσβασης στα δεδομένα προσωπικού χαρακτήρα να γίνεται άμεσα, χωρίς καθυστερήσεις,
iii. προβαίνει τακτικά σε δοκιμή, εκτίμηση και αξιολόγηση της αποτελεσματικότητας των τεχνικών και των οργανωτικών μέτρων για τη διασφάλιση της ασφάλειας της επεξεργασίας, λαμβάνοντας υπόψη κυρίως κινδύνους προερχόμενους από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία,
iv. φροντίζει ώστε κάθε φυσικό πρόσωπο που ενεργεί υπό την εποπτεία της και έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα, να τα επεξεργάζεται μόνο εντός των ορίων σχετικής εντολής που του έχει δοθεί από την εταιρία και υπό τους όρους και προϋποθέσεις που η εταιρία έχει θέσει,
v. έχει υιοθετήσει διαδικασίες κρυπτογράφησης των δεδομένων προσωπικού χαρακτήρα, όπου κρίνεται απαραίτητο.
6.2 Παραβίαση δεδομένων προσωπικού χαρακτήρα
Κάθε παραβίαση της παρούσας Πολιτικής, καθώς και του εκάστοτε ισχύοντος για τα προσωπικά δεδομένα και την προστασία τους νομοθετικού και κανονιστικού πλαισίου, και, εν γένει, κάθε παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία, συνιστά παραβίαση των δεδομένων προσωπικού χαρακτήρα.
Για την αντιμετώπιση ενδεχόμενων περιπτώσεων παραβίασης δεδομένων, η εταιρία έχει υιοθετήσει και εφαρμόζει Πολιτική αντιμετώπισης και διαχείρισης παραβιάσεων δεδομένων προσωπικού χαρακτήρα, όπως ακολούθως, συνοπτικά, περιγράφεται :
Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, η εταιρία γνωστοποιεί αμελλητί και, εφόσον είναι εφικτό, εντός 72 ωρών από τη στιγμή που αποκτά γνώση του γεγονότος, την παραβίαση των δεδομένων προσωπικού χαρακτήρα στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, εκτός εάν η παραβίαση δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων .
Επιπλέον, σε περίπτωση παραβίασης των δεδομένων, η εταιρία ενημερώνει αμέσως τον Υπεύθυνο Προστασίας Δεδομένων, ο οποίος λαμβάνει, σε συνεννόηση με την εταιρία, κάθε απαραίτητο μέτρο και προβαίνει σε κάθε αναγκαία ενέργεια για τον περιορισμό, τη μη επέκταση της παραβίασης και την αποκατάστασή της. Ο Υπεύθυνος Προστασίας Δεδομένων καταγράφει τις παραβιάσεις δεδομένων που σημειώνονται, αξιολογεί τις αιτίες που τις προκάλεσαν και τεκμηριώνει κάθε παραβίαση, αναφέροντας τα πραγματικά περιστατικά που συνδέονται με αυτή, τις συνέπειές της και τα ληφθέντα μέτρα αποκατάστασής της.
Όταν η παραβίαση δεδομένων προσωπικού χαρακτήρα ενδέχεται να θέσει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων, η εταιρία ανακοινώνει αμελλητί την παραβίαση των δεδομένων προσωπικού χαρακτήρα σε αυτά, κατά τα ειδικότερα οριζόμενα στον ΓΚΠΔ.
7.1 Προστασία των Δεδομένων από τον σχεδιασμό (privacy by design)
H εταιρία εφαρμόζει αποτελεσματικά, τόσο κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας των δεδομένων όσο και κατά τη στιγμή της επεξεργασίας, κατάλληλα τεχνικά και οργανωτικά μέτρα, σχεδιασμένα για την εφαρμογή αρχών προστασίας των δεδομένων, τα οποία φροντίζει, ώστε να πληρούν σε διαρκή βάση τις απαιτήσεις του ΓΚΠΔ και να προστατεύοουν τα δικαιώματα των υποκειμένων των δεδομένων προσωπικού χαρακτήρα. Στο πλαίσιο αυτό, κατά τη συλλογή, τήρηση και επεξεργασία των δεδομένων εφαρμόζονται οι ακόλουθες αρχές:
• Ελαχιστοποίηση των υπό επεξεργασία δεδομένων – η εταιρία συλλέγει και επεξεργάζεται μόνο τα δεδομένα προσωπικού χαρακτήρα που είναι απολύτως απαραίτητα για τους σκοπούς της επεξεργασίας,
• Νομιμότητα, αντικειμενικότητα και διαφάνεια,
• Ακρίβεια και επικαιροποίηση των υπό επεξεργασία δεδομένων,
• Περιορισμός της πρόσβασης στα δεδομένα μόνο στα πρόσωπα που τα χρειάζονται για την ορθή και σύννομη εκτέλεση των ανατεθειμένων σε αυτά υποχρεώσεων/καθηκόντων και μόνο στο μέτρο και στον βαθμό που η πρόσβαση είναι αναγκαία,
• Δοκιμές και έλεγχοι σε διαρκή βάση ως προς την επάρκεια των διαδικασιών επεξεργασίας δεδομένων προσωπικού χαρακτήρα και των οργανωτικών και τεχνικών μέτρων που εφαρμόζονται,
• Υιοθέτηση απλών, εύκολων και αποτελεσματικών διαδικασιών ως προς την εκ μέρους των υποκειμένων των δεδομένων άσκηση των συνδεόμενων με τα δεδομένα τους δικαιωμάτων που διατηρούν,
• Ψευδωνυμοποίηση – εφόσον δεν απαιτείται για την εξυπηρέτηση των σκοπών της επεξεργασίας, τα δεδομένα κρατούνται κατά τρόπο, ώστε να μην μπορούν πλέον να αποδοθούν σε συγκεκριμένο υποκείμενο των δεδομένων χωρίς τη χρήση συμπληρωματικών πληροφοριών, εφόσον οι εν λόγω συμπληρωματικές πληροφορίες διατηρούνται χωριστά και υπόκεινται σε τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλιστεί ότι δεν μπορούν να αποδοθούν σε ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο.
7.2 Προστασία εξ ορισμού (privacy by default)
Η εταιρία εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για να διασφαλίζει ότι, εξ ορισμού, υφίστανται επεξεργασία μόνο τα δεδομένα προσωπικού χαρακτήρα που είναι απαραίτητα για τον εκάστοτε σκοπό της επεξεργασίας. Η ανωτέρω υποχρέωση καταλαμβάνει το σύνολο των δεδομένων προσωπικού χαρακτήρα που συλλέγονται, τον βαθμό της επεξεργασίας τους, τον χρόνο φύλαξης/διακράτησης και αποθήκευσης και την προσβασιμότητά τους. Επέκταση της επεξεργασίας είναι δυνατή μόνο κατόπιν προηγούμενης ειδικής, ρητής και έγγραφης σχετικής συγκατάθεσης του του υποκειμένου των δεδομένων, κατά τα ανωτέρω υπό 4.2. οριζόμενα.
7.3 Αρχείο δραστηριοτήτων
Η εταιρία, ως Υπεύθυνη επεξεργασίας, τηρεί αρχείο των δραστηριοτήτων επεξεργασίας για τις οποίες είναι υπεύθυνη, το οποίο περιλαμβάνει τις ακόλουθες πληροφορίες:
α) το όνομα και τα στοιχεία επικοινωνίας της εταιρίας, των εκπροσώπων της και του Υπευθύνου Προστασίας Δεδομένων,
β) τους σκοπούς της επεξεργασίας,
γ) περιγραφή των κατηγοριών υποκειμένων των δεδομένων και των κατηγοριών δεδομένων προσωπικού χαρακτήρα,
δ) τις κατηγορίες αποδεκτών στους οποίους πρόκειται να γνωστοποιηθούν ή γνωστοποιήθηκαν τα δεδομένα προσωπικού χαρακτήρα, περιλαμβανομένων των αποδεκτών σε τρίτες χώρες/διεθνείς οργανισμούς,
ε) όπου συντρέχει περίπτωση, τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα σε τρίτη χώρα/διεθνή οργανισμό, συμπεριλαμβανομένων του προσδιορισμού της εν λόγω τρίτης χώρας/του διεθνούς οργανισμού
στ) όπου είναι δυνατό, τις προβλεπόμενες προθεσμίες διαγραφής των διάφορων κατηγοριών δεδομένων
ζ) όπου είναι δυνατό, γενική περιγραφή των τεχνικών και οργανωτικών μέτρων ασφάλειας που έχει υιοθετήσει και εφαρμόζει.
7.4 Εκπαίδευση προσωπικού
Η εταιρία φροντίζει για την πλήρη ενημέρωση και εκπαίδευση του συνόλου του προσωπικού της (εργαζομένων και στελεχών) ως προς όλα τα σχετιζόμενα με την προστασία των δεδομένων προσωπικού χαρακτήρα ζητήματα και τη συμμόρφωση του προσωπικού με τις σχετικές απορρέουσες από τον ΓΚΠΔ, το εκάστοτε ισχύον νομοθετικό και κανονιστικό πλαίσιο, καθώς και από τις πολιτικές/διαδικασίες που η εταιρία έχει υιοθετήσει υποχρεώσεις. Η αρχική ενημέρωση – εκπαίδευση λαμβάνει χώρα κατά την πρόσληψη του εργαζομένου ή τη με οποιονδήποτε τρόπο έναρξη της μεταξύ αυτού και της εταιρίας εργασιακής σχέσης/συνεργασίας, ενώ καθ’ όλη τη διάρκεια της εργασιακής σχέσης/συνεργασίας, η εταιρία φροντίζει και για την τακτική επιμόρφωση / επανεκπαίδευση όλου του προσωπικού.
Σε περιπτώσεις που η εταιρία επιθυμεί να αναθέσει σε τρίτα πρόσωπα την εκτέλεση, για λογαριασμό της, της επεξεργασίας δεδομένων προσωπικού χαρακτήρα των υποκειμένων των δεδομένων, χρησιμοποιεί μόνο εκτελούντες την επεξεργασία που παρέχουν επαρκείς διαβεβαιώσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων, κατά τρόπο ώστε η επεξεργασία να πληροί τις απαιτήσεις του ΓΚΠΔ και του εκάστοτε ισχύοντος νομοθετικού και κανονιστικού πλαισίου, καθώς και να διασφαλίζεται η προστασία των δικαιωμάτων τους.
Η κατά τα ανωτέρω ανάθεση γίνεται, δυνάμει έγγραφης σύμβασης που υπογράφεται μεταξύ της εταιρίας και του εκτελούντα την επεξεργασία, η οποία δεσμεύει τον τελευταίο απέναντι στην εταιρία και καθορίζει, κατ΄ ελάχιστο, μεταξύ άλλων, το αντικείμενο και τη διάρκεια της επεξεργασίας, τη φύση και τον σκοπό της επεξεργασίας, το είδος των δεδομένων προσωπικού χαρακτήρα και τις κατηγορίες των υποκειμένων των δεδομένων, καθώς και τις υποχρεώσεις και τα δικαιώματα της εταιρίας ως Υπευθύνης επεξεργασίας.
9.1. Αρμοδιότητες Υπεύθυνου Προστασίας Δεδομένων
Η εταιρία έχει ορίσει Υπεύθυνο Προστασίας Δεδομένων, ο οποίος συμμετέχει, δεόντως και εγκαίρως, σε όλα τα ζητήματα που σχετίζονται με την προστασία δεδομένων προσωπικού χαρακτήρα. Ειδικότερα, ο Υπεύθυνος Προστασίας Δεδομένων αναλαμβάνει τα ακόλουθα καθήκοντα:
α) ενημερώνει και συμβουλεύει την εταιρία και τους υπαλλήλους/στελέχη της που επεξεργάζονται καθ’ οποιονδήποτε τρόπο δεδομένα, ως προς τις υποχρεώσεις τους που απορρέουν από τον ΓΚΠΔ, το εκάστοτε ισχύον νομοθετικό και κανονιστικό πλαίσιο, καθώς και τις πολιτικές/διαδικασίες που η εταιρία έχει υιοθετήσει σχετικά με την προστασία δεδομένων προσωπικού χαρακτήρα,
β) παρακολουθεί τη συμμόρφωση της εταιρίας και των υπαλλήλων/στελεχών της που επεξεργάζονται καθ’ οποιονδήποτε τρόπο δεδομένα, με τις υποχρεώσεις τους που απορρέουν από τον ΓΚΠΔ, το εκάστοτε ισχύον νομοθετικό και κανονιστικό πλαίσιο, καθώς και τις πολιτικές/διαδικασίες που η εταιρία έχει υιοθετήσει σχετικά με την προστασία δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων της ανάθεσης αρμοδιοτήτων, της ευαισθητοποίησης και της κατάρτισης των υπαλλήλων που συμμετέχουν στις πράξεις επεξεργασίας, και των σχετικών ελέγχων,
γ) παρέχει συμβουλές, όταν ζητείται, όσον αφορά την εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων και παρακολουθεί την υλοποίησή της,
δ) συνεργάζεται με την Αρχή Προστασίας Προσωπικών Δεδομένων,
ε) ενεργεί ως σημείο επικοινωνίας με τα υποκείμενα των δεδομένων για κάθε ζήτημα σχετικό με την επεξεργασία των δεδομένων τους προσωπικού χαρακτήρα και με την άσκηση των δικαιωμάτων τους και
στ) ενεργεί ως σημείο επικοινωνίας με την Αρχή Προστασίας Προσωπικών Δεδομένων για ζητήματα που σχετίζονται με την επεξεργασία δεδομένων προσωπικού χαρακτήρα από την εταιρία.
Κατά την εκτέλεση των καθηκόντων του, ο Υπεύθυνος Προστασίας Δεδομένων λαμβάνει δεόντως υπόψη του τον κίνδυνο που συνδέεται με τις πράξεις επεξεργασίας, συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας.
Τα στοιχεία επικοινωνίας του ορισθέντος από την εταιρία Υπεύθυνου Προστασίας Δεδομένων είναι: Παναγιώτα Κουτσογιαννάκη, Μασσαλίας 16 10680 Αθήνα, τηλ. επικοινωνίας 210 7239300, email: dpo@cnl.gr
9.2 Αναθεώρηση εγγράφου
Η παρούσα ενημέρωση και όλα τα έγγραφα που σχετίζονται με αυτήν, επανεξετάζονται και αναθεωρούνται περιοδικά, όπου απαιτείται, από τον υπεύθυνο προστασίας δεδομένων σύμφωνα με την Πολιτική Προστασίας Δεδομένων.