Διαδικασία αντιμετώπισης παραβίασης δεδομένων

Έκδοση 31/10/2026 · άρθρα 33–34 ΓΚΠΔ.

Η διαδικασία καλύπτει απώλεια εμπιστευτικότητας, ακεραιότητας ή διαθεσιμότητας προσωπικών δεδομένων. Αρμόδιος για τον συντονισμό στον φορέα της πλατφόρμας είναι ο ιδιοκτήτης, χωρίς διορισμένο ΥΠΔ. Στο συνδρομητικό γραφείο υπεύθυνος επεξεργασίας παραμένει το ίδιο το γραφείο.

Άμεσες ενέργειες

Όποιος αντιληφθεί πιθανό περιστατικό το αναφέρει αμέσως στον αρμόδιο, χωρίς μη εξουσιοδοτημένη αντιγραφή ή αποστολή δεδομένων. Ο αρμόδιος περιορίζει την πρόσβαση και τη ζημία, διαφυλάσσει αναγκαία τεκμήρια και καταγράφει τον χρόνο γνώσης, τη φύση, τις πιθανές συνέπειες και τις ενέργειες. Δεν αναμένει αυτοματοποιημένη ειδοποίηση για να ενεργήσει.

Η εφαρμογή διαθέτει επιμέρους ειδοποιήσεις ασφάλειας και λειτουργίας, όχι πλήρη αυτόματη ανίχνευση κάθε λανθασμένης αποστολής ή μη εξουσιοδοτημένης πρόσβασης. Το ιστορικό κρατείται 90 ημέρες και τα αρχεία καταγραφής διακομιστή 14. Μπορεί να λείπει εγγραφή λόγω αποτυχίας καταγραφής· η διαγραφή ολόκληρης γραμμής δεν ανιχνεύεται από το HMAC. Ο έλεγχος HMAC απαιτεί επαλήθευση και τα Data Access Logs του R2 δεν είναι ενεργά. Οι διαθέσιμες ειδοποιήσεις δεν εξασφαλίζουν επαναλαμβανόμενη ή εναλλακτική παράδοση. Γι’ αυτό διαφυλάσσονται έγκαιρα τα διαθέσιμα τεκμήρια.

Γνωστοποίηση

Όταν ο φορέας της πλατφόρμας είναι εκτελών, ειδοποιεί το γραφείο αμελλητί μόλις λάβει γνώση, με αρχική ενημέρωση και συμπληρώσεις. Δεν περιμένει την εκπνοή των 72 ωρών.

Ο υπεύθυνος γνωστοποιεί στην ΑΠΔΠΧ χωρίς αδικαιολόγητη καθυστέρηση και, αν είναι δυνατό, εντός 72 ωρών από τότε που έλαβε γνώση, εκτός αν η παραβίαση είναι απίθανο να επιφέρει κίνδυνο για δικαιώματα και ελευθερίες. Καθυστέρηση αιτιολογείται. Ελλιπείς πληροφορίες συμπληρώνονται σταδιακά χωρίς αδικαιολόγητη περαιτέρω καθυστέρηση.

Αν ενδέχεται υψηλός κίνδυνος, ενημερώνονται και τα επηρεαζόμενα πρόσωπα χωρίς αδικαιολόγητη καθυστέρηση, σε σαφή γλώσσα, με τις νόμιμες εξαιρέσεις του άρθρου 34. Η απόφαση γνωστοποίησης ή μη, οι λόγοι και τα μέτρα καταγράφονται σε κάθε περίπτωση.

Υποδείγματα ενημέρωσης

Προς το γραφείο: «Λάβαμε γνώση πιθανού περιστατικού στις [χρόνος]. Αφορά [φύση και κατηγορίες]. Οι γνωστές συνέπειες είναι [συνέπειες]. Έγιναν [μέτρα]. Εκκρεμούν [στοιχεία]. Αρμόδια επικοινωνία: [ρόλος και ασφαλές κανάλι]. Θα ακολουθήσει συμπληρωματική ενημέρωση.»

Προς την Αρχή: μέσω της επίσημης διαδικασίας υποβάλλονται η φύση, οι κατηγορίες και οι κατά προσέγγιση αριθμοί επηρεαζόμενων προσώπων και εγγραφών όταν είναι διαθέσιμοι, η αρμόδια επαφή, οι πιθανές συνέπειες και τα ληφθέντα ή προτεινόμενα μέτρα. Καταγράφονται ο χρόνος γνώσης, τυχόν λόγοι καθυστέρησης και οι μεταγενέστερες συμπληρώσεις. Δεν συμπληρώνονται υποθετικά μεγέθη στο παρόν υπόδειγμα.

Προς τα πρόσωπα: «Σας ενημερώνουμε για περιστατικό που αφορά [σαφής περιγραφή]. Πιθανές συνέπειες: [συνέπειες]. Έχουμε λάβει [μέτρα]. Συνιστούμε [πρακτική ενέργεια]. Για πληροφορίες επικοινωνήστε με [αρμόδιος ρόλος και ασφαλές κανάλι].» Δεν περιλαμβάνονται δεδομένα άλλων προσώπων ή μυστικά.

Μητρώο περιστατικών

Το μητρώο ξεκινά κενό στις 31/10/2026. Η απουσία εγγραφών δεν αποτελεί βεβαίωση απουσίας περιστατικών. Τα πραγματικά στοιχεία και τεκμήρια φυλάσσονται σε ασφαλές αρχείο με περιορισμένη πρόσβαση, όχι στο Git.

Μετά την αντιμετώπιση ελέγχονται η αποκατάσταση, η δυνατότητα επανεμφάνισης και τα αναγκαία προληπτικά μέτρα. Η διαδικασία επανεξετάζεται βάσει του περιστατικού.

Επίσημη υποβολή: ΑΠΔΠΧ — γνωστοποίηση περιστατικού.