ΓΚΠΔ.
Επεξεργαστείτε νόμιμα δεδομένα προσωπικού χαρακτήρα, προστατέψτε δικαιώματα και αποδείξτε τεκμηριωμένα την εφαρμογή.
- Κανονισμός (ΕΕ) 2016/679 · BDSG
- Από Derya Altinay
- Ενημέρωση: 22/10/2026
- Χρόνος ανάγνωσης: 9 λεπτά
Σύντομη απάντηση.
Ο ΓΚΠΔ ρυθμίζει την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο ευρωπαϊκό πεδίο εφαρμογής. Οι επιχειρήσεις χρειάζονται κατάλληλες νομικές βάσεις, διαφανή ενημέρωση, διαδικασίες δικαιωμάτων υποκειμένων και μέτρα προστασίας ανάλογα με τον κίνδυνο. Βάσει του άρθρου 5 ΓΚΠΔ, οι υπεύθυνοι επεξεργασίας φέρουν υποχρέωση λογοδοσίας: πρέπει να αποδεικνύουν την τήρηση των αρχών. Οι εκτελούντες την επεξεργασία έχουν δικές τους υποχρεώσεις και υποστηρίζουν τον υπεύθυνο στην εκπλήρωσή τους.
ΓΚΠΔ: προστασία δεδομένων πέρα από την ασφάλεια πληροφορικής.
Ο Γενικός Κανονισμός για την Προστασία Δεδομένων είναι άμεσα εφαρμοστέο δίκαιο της ΕΕ για την προστασία φυσικών προσώπων κατά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα τους. Ο κανονισμός (ΕΕ) 2016/679 εφαρμόζεται από τις 25 Μαΐου 2018· GDPR είναι το αγγλικό ακρωνύμιό του. Στη Γερμανία το ευρωπαϊκό πλαίσιο συμπληρώνεται ιδίως από τον ομοσπονδιακό νόμο προστασίας δεδομένων και από τομεακές διατάξεις.
Ο ΓΚΠΔ εξετάζει πρώτα αν και για ποιον σκοπό επιτρέπεται μια επεξεργασία. Μια ασφαλής βάση δεδομένων δεν απαντά ακόμη αν οι συλλεγόμενες πληροφορίες είναι αναγκαίες ή για πόσο επιτρέπεται να αποθηκεύονται. Τα άρθρα 5 και 6 ΓΚΠΔ συνδέουν αρχές και νομικές βάσεις· το άρθρο 32 αφορά την ασφάλεια επεξεργασίας μέσα σε αυτό το πλαίσιο.
Η προστασία δεδομένων παραμένει διαρκές καθήκον, επειδή σκοποί, ροές δεδομένων και χρησιμοποιούμενες υπηρεσίες αλλάζουν. Βάσει του άρθρου 24 ΓΚΠΔ, ο υπεύθυνος επεξεργασίας πρέπει να λαμβάνει κατάλληλα μέτρα, να εξετάζει την καταλληλότητά τους και να τα επικαιροποιεί όταν απαιτείται. Ένα έγγραφο που συμπληρώθηκε μία φορά δεν αντικαθιστά αυτή τη συνεχή αξιολόγηση.
Για ποιες επιχειρήσεις ισχύει ο ΓΚΠΔ.
Ο ΓΚΠΔ εφαρμόζεται βάσει του άρθρου 2 στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που καλύπτεται εκεί, ανεξάρτητα από το αν η επιχείρηση είναι μεγάλη ή μικρή. Περιλαμβάνονται, για παράδειγμα, δεδομένα πελατών, αιτήσεις πρόσληψης ή περιεχόμενο υποστήριξης με προσωπικά δεδομένα. Ακόμη και ψευδωνυμοποιημένα δεδομένα παραμένουν προσωπικά όταν ένα πρόσωπο μπορεί να ταυτοποιηθεί με πρόσθετες πληροφορίες· οι πραγματικά ανώνυμες πληροφορίες ταξινομούνται διαφορετικά.
Το εδαφικό πεδίο εφαρμογής προκύπτει από το άρθρο 3 ΓΚΠΔ. Εκτός από επεξεργασίες στο πλαίσιο εγκατάστασης στην ΕΕ, μπορεί να καλύπτονται ορισμένες προσφορές προς πρόσωπα στην ΕΕ ή η παρακολούθηση της συμπεριφοράς τους από επιχειρήσεις εκτός ΕΕ. Η θέση του διακομιστή ή η απλή προσβασιμότητα μιας ιστοσελίδας δεν καθορίζουν από μόνες τους την απάντηση.
Ο ρόλος καθορίζεται για τη συγκεκριμένη δραστηριότητα: οι υπεύθυνοι επεξεργασίας αποφασίζουν για σκοπούς και μέσα, ενώ οι εκτελούντες επεξεργάζονται δεδομένα κατ’ εντολή. Ένας οργανισμός μπορεί να έχει διαφορετικούς ρόλους ανά δραστηριότητα. Τα άρθρα 26 και 28 ΓΚΠΔ απαιτούν κατάλληλες ρυθμίσεις για από κοινού υπευθυνότητα και εκτέλεση επεξεργασίας αντίστοιχα· ένας τίτλος σύμβασης δεν διευκρινίζει από μόνος του τον πραγματικό ρόλο.
Απαιτήσεις ΓΚΠΔ για επιχειρήσεις.
Οι απαιτήσεις του ΓΚΠΔ συνδέουν νομικές αποφάσεις με την πραγματική λειτουργία της επεξεργασίας. Επτά τομείς εργασίας προσφέρουν προσανατολισμό· οι πρόσθετες ειδικές υποχρεώσεις εξαρτώνται από τον ρόλο, τα δεδομένα, τη δραστηριότητα και τους κινδύνους για τα υποκείμενα των δεδομένων.
Καθορισμός αρχών και νομικών βάσεων.
Τα άρθρα 5 και 6 ΓΚΠΔ απαιτούν νόμιμη, συνδεδεμένη με συγκεκριμένο σκοπό και κατανοητή επεξεργασία. Περιορίστε δεδομένα και διατήρηση στα αναγκαία και διατηρείτε τις πληροφορίες ακριβείς. Η συγκατάθεση είναι μία πιθανή νομική βάση· οι προϋποθέσεις της δεν επιτρέπεται να παρακάμπτονται, όπως και οι προϋποθέσεις άλλων νομικών βάσεων.
Δυνατότητα διαφάνειας και άσκησης δικαιωμάτων.
Τα άρθρα 12 έως 22 ΓΚΠΔ αφορούν κατανοητή ενημέρωση και δικαιώματα όπως πρόσβαση, διόρθωση ή διαγραφή. Τα δικαιώματα έχουν διαφορετικές προϋποθέσεις και εξαιρέσεις. Αρμοδιότητες, αναζήτηση δεδομένων, επαλήθευση ταυτότητας και ασφαλής απάντηση πρέπει να συντονίζονται· μια δήλωση απορρήτου από μόνη της δεν διεκπεραιώνει ένα αίτημα.
Οργάνωση ευθύνης και παρόχων υπηρεσιών.
Τα άρθρα 24 έως 30 ΓΚΠΔ ρυθμίζουν οργανωτικές υποχρεώσεις, προστασία δεδομένων από τον σχεδιασμό, ρόλους και αρχεία. Η εκτέλεση επεξεργασίας του άρθρου 28 απαιτεί, πέρα από κατάλληλη συμβατική βάση, επαρκείς εγγυήσεις του παρόχου. Στην αξιολόγηση περιλαμβάνονται οι πραγματικά χρησιμοποιούμενοι υπεργολάβοι και οι διαδρομές δεδομένων, όχι μόνο οι γενικοί όροι σύμβασης.
Μετατροπή του άρθρου 32 ΓΚΠΔ σε αποτελεσματικά μέτρα.
Τα τεχνικά και οργανωτικά μέτρα πρέπει να εξασφαλίζουν επίπεδο ασφάλειας ανάλογο με τον κίνδυνο. Το άρθρο 32 ΓΚΠΔ λαμβάνει υπόψη το πλαίσιο επεξεργασίας, την τεχνολογική στάθμη, το κόστος, καθώς και την πιθανότητα και τη σοβαρότητα πιθανών συνεπειών για ανθρώπους. Ανάλογα με τον κίνδυνο, περιλαμβάνονται προστασία πρόσβασης, κρυπτογράφηση, δυνατότητα αποκατάστασης και τακτικός έλεγχος αποτελεσματικότητας· ένας σταθερός καθολικός κατάλογος δεν επαρκεί.
Έλεγχος ειδικών κινδύνων και συμβουλευτικής υποστήριξης.
Εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων βάσει του άρθρου 35 ΓΚΠΔ απαιτείται πριν από την επεξεργασία όταν αυτή ενδέχεται να προκαλέσει υψηλό κίνδυνο για δικαιώματα και ελευθερίες. Εξετάστε επίσης τις προϋποθέσεις ορισμού υπευθύνου προστασίας δεδομένων βάσει του άρθρου 37 και συμπληρωματικά του § 38 BDSG. Ο συμβουλευτικός ρόλος δεν αντικαθιστά την ευθύνη για την επεξεργασία.
Αξιολόγηση και γνωστοποίηση παραβιάσεων δεδομένων.
Το άρθρο 33 ΓΚΠΔ απαιτεί κατ’ αρχήν γνωστοποίηση στην αρμόδια εποπτική αρχή, εκτός αν η παραβίαση δεν ενδέχεται να επιφέρει κίνδυνο για δικαιώματα και ελευθερίες. Το άρθρο 34 ρυθμίζει χωριστά την ανακοίνωση στα υποκείμενα των δεδομένων όταν ενδέχεται να υπάρχει υψηλός κίνδυνος. Οι εκτελούντες την επεξεργασία ενημερώνουν τον υπεύθυνο αμελλητί· η τεκμηρίωση περιστατικών παραμένει αυτοτελής υποχρέωση.
Χωριστή διασφάλιση διαβιβάσεων σε τρίτες χώρες.
Το κεφάλαιο V ΓΚΠΔ θέτει πρόσθετες απαιτήσεις για διαβιβάσεις σε τρίτες χώρες. Εξετάστε τους πραγματικούς αποδέκτες, τις προσβάσεις και τον σχετικό μηχανισμό διαβίβασης. Μια επιτρεπτή διαβίβαση δεν αντικαθιστά ούτε τη νομική βάση επεξεργασίας ούτε τις λοιπές υποχρεώσεις προστασίας δεδομένων· ακόμη και φιλοξενία στην ΕΕ δεν απαντά σε κάθε ερώτημα εξωτερικής πρόσβασης.
Η εφαρμογή του ΓΚΠΔ ως διαρκής διαδικασία.
Οριοθετήστε επεξεργασίες και ρόλους.
Ως πρακτικό πρώτο βήμα, καταγράψτε σκοπούς, υποκείμενα δεδομένων, δεδομένα, συστήματα και αποδέκτες μιας συγκεκριμένης δραστηριότητας και διευκρινίστε ποιος ευθύνεται για κάθε απόφαση.
Εξετάστε νομιμότητα και ενημέρωση.
Αξιολογήστε νομικές βάσεις, αναγκαιότητα και διατήρηση και συγκρίνετε την πραγματική επεξεργασία με την ενημέρωση προς τα υποκείμενα των δεδομένων.
Αξιολογήστε κινδύνους και ειδικές υποχρεώσεις.
Εξετάστε κινδύνους για ανθρώπους και τις προϋποθέσεις εκτίμησης αντικτύπου, υπευθύνου προστασίας δεδομένων, εκτέλεσης επεξεργασίας και διαβιβάσεων σε τρίτες χώρες πριν από την εισαγωγή ή ουσιώδη αλλαγή της επεξεργασίας.
Εφαρμόστε και ελέγξτε μέτρα.
Συνδέστε νομικές και οργανωτικές αποφάσεις με κατάλληλα τεχνικά μέτρα και ελέγξτε αν, για παράδειγμα, κανόνες πρόσβασης, διαγραφή και αποκατάσταση λειτουργούν στην εξεταζόμενη υπηρεσία.
Προετοιμάστε πρακτικά δικαιώματα και περιστατικά.
Δοκιμάστε πώς εντοπίζονται, κλιμακώνονται, αξιολογούνται και διεκπεραιώνονται έγκαιρα αιτήματα και παραβιάσεις δεδομένων, συμπεριλαμβανομένων των μεταβιβάσεων αρμοδιότητας μεταξύ επιχειρήσεων και παρόχων.
Επικαιροποιείτε την τεκμηρίωση με τις αλλαγές.
Ενημερώνετε αποφάσεις και τεκμήρια όταν αλλάζουν σκοποί, αποδέκτες ή κίνδυνοι και καθορίστε ποιος παρακολουθεί ανοικτά μέτρα και ενεργοποιεί την επόμενη επανεξέταση.
Τεκμήρια ΓΚΠΔ και εθελοντική πιστοποίηση.
Λογοδοσία σημαίνει βάσει του άρθρου 5 παράγραφος 2 ΓΚΠΔ δυνατότητα εξήγησης και απόδειξης της τήρησης των αρχών. Κατάλληλα έγγραφα μπορεί να περιλαμβάνουν αρχεία δραστηριοτήτων επεξεργασίας, αιτιολογημένες νομικές βάσεις, συμβάσεις, ενημερώσεις απορρήτου, εκτιμήσεις αντικτύπου και ελέγχους μέτρων προστασίας. Καθοριστικό είναι αν αποτυπώνουν την πραγματική επεξεργασία και καθιστούν σαφές ποια απόφαση λήφθηκε και με ποια βάση.
Η εποπτική αρχή προστασίας δεδομένων διαθέτει ερευνητικές και διορθωτικές εξουσίες βάσει του άρθρου 58 ΓΚΠΔ. Γι’ αυτό η τεκμηρίωση πρέπει να είναι ευχερώς εντοπίσιμη, κατανοητή και ενημερωμένη. Ο κανονισμός δεν θεσπίζει γενική υποχρέωση πιστοποίησης με την οποία μια επιχείρηση θα ολοκλήρωνε οριστικά όλη την εργασία προστασίας δεδομένων· η ευθύνη παραμένει στον υπεύθυνο επεξεργασίας και στους εκάστοτε υπόχρεους συμμετέχοντες.
Η πιστοποίηση του άρθρου 42 ΓΚΠΔ είναι εθελοντική και αφορά πράξεις επεξεργασίας βάσει εγκεκριμένων κριτηρίων. Σύμφωνα με την παράγραφο 4 δεν περιορίζει τη νόμιμη ευθύνη· η παράγραφος 7 περιορίζει τη διάρκειά της σε έως τρία έτη με δυνατότητα ανανέωσης. Ένα πιστοποιητικό ασφάλειας πληροφοριών δεν αποτελεί αυτόματα τέτοια πιστοποίηση προστασίας δεδομένων.
Η απόφαση γνωστοποίησης παραβίασης δεδομένων πρέπει να τεκμηριώνεται χωριστά. Το άρθρο 33 προβλέπει γνωστοποίηση αμελλητί και, αν είναι δυνατό, εντός 72 ωρών από τη γνώση, εφόσον δεν ισχύει η εξαίρεση κινδύνου. Η τεκμηρίωση της παραγράφου 5 καλύπτει και παραβιάσεις που δεν γνωστοποιήθηκαν· η ανακοίνωση του άρθρου 34 ακολουθεί το δικό της όριο κινδύνου και τις εκεί εξαιρέσεις.
Περισσότερα στο ιστολόγιο.
- ΓΚΠΔ και ασφάλειαΣυνδέστε επεξεργασίες, νομική αξιολόγηση και μέτρα προστασίας στην πράξη.
- Έλεγχος εκτέλεσης επεξεργασίαςΣυγκρίνετε συμβατικές δεσμεύσεις με τις πραγματικές διαδρομές δεδομένων του παρόχου.
- Γνωστοποίηση παραβίασης δεδομένωνΠροετοιμάστε λεπτομερέστερα την αξιολόγηση περιστατικού, την απόφαση γνωστοποίησης και την τεκμηρίωση.
- Διαχείριση αιτημάτων πρόσβασηςΟργανώστε αναζήτηση, έλεγχο και ασφαλή διαβίβαση της απάντησης πρόσβασης.
ΓΚΠΔ και άλλα πλαίσια.
Το ISO 27001 υποστηρίζει την οργάνωση της ασφάλειας πληροφοριών, αλλά δεν αντικαθιστά την εξέταση νομικών βάσεων και δικαιωμάτων υποκειμένων. Η NIS2 έχει δικούς της αποδέκτες και υποχρεώσεις αναφοράς· ένα περιστατικό μπορεί να απαιτεί χωριστές αξιολογήσεις βάσει και των δύο νομικών πλαισίων. Ο EU AI Act συμπληρώνει τις απαιτήσεις για ορισμένα συστήματα ΤΝ χωρίς να αντικαθιστά την εξέταση προστασίας δεδομένων για επεξεργασίες προσωπικών δεδομένων.
Στο Secani.
Το Secani προσφέρει προφίλ προστασίας δεδομένων για ρόλους, πλαίσιο επεξεργασίας και διαβιβάσεις, καθώς και συντακτικά επεξεργασμένο κατάλογο ελέγχου ΓΚΠΔ. Το προφίλ καταγράφει στοιχεία επιχείρησης και υποστηρίζει τη δομημένη αποτύπωση της κατάστασης. Η ουσιαστική αξιολόγηση της πραγματικής επεξεργασίας και της νομιμότητάς της παραμένει αυτοτελές καθήκον· το προφίλ δεν αποτελεί έγκριση αρχής ούτε αυτόματο νομικό έλεγχο.
Επόμενο βήμα.
Ξεκινήστε με σαφώς οριοθετημένη επεξεργασία, όπως η διαχείριση αιτημάτων υποστήριξης. Περιγράψτε σκοπό, δεδομένα, υποκείμενα δεδομένων, εμπλεκόμενες υπηρεσίες και αποδέκτες και εξετάστε μαζί με τους αρμόδιους ειδικούς την κατάλληλη νομική βάση. Έπειτα καταγράψτε ποια μέτρα προστασίας και διαδικασίες δικαιωμάτων και περιστατικών χρειάζονται πραγματικά.
Πηγές.
- Κανονισμός (ΕΕ) 2016/679: Γενικός Κανονισμός για την Προστασία Δεδομένων
- BfDI: ΓΚΠΔ – BDSG, Info 1, ενημέρωση Μαρτίου 2026
- Ευρωπαϊκή Επιτροπή: πεδίο εφαρμογής και ρόλοι του ΓΚΠΔ
- Ευρωπαϊκή Επιτροπή: αρχές επεξεργασίας
- Ευρωπαϊκή Επιτροπή: υποχρεώσεις επιχειρήσεων
- ΕΣΠΔ: ασφάλεια δεδομένων προσωπικού χαρακτήρα
- ΕΣΠΔ: παραβιάσεις δεδομένων προσωπικού χαρακτήρα
- ΕΣΠΔ: δικαιώματα υποκειμένων των δεδομένων
- § 38 BDSG: υπεύθυνοι προστασίας δεδομένων μη δημόσιων φορέων
Συχνές ερωτήσεις.
Όχι. Το άρθρο 6 ΓΚΠΔ προβλέπει διαφορετικές νομικές βάσεις με δικές τους προϋποθέσεις. Η κατάλληλη βάση εξαρτάται από τον συγκεκριμένο σκοπό και τα πραγματικά περιστατικά· πρόσθετες απαιτήσεις, για παράδειγμα για ειδικές κατηγορίες δεδομένων, εξετάζονται χωριστά.
Όχι. Η γνωστοποίηση στην εποπτική αρχή μπορεί να παραλειφθεί βάσει του άρθρου 33 ΓΚΠΔ αν η παραβίαση δεν ενδέχεται να επιφέρει κίνδυνο για δικαιώματα και ελευθερίες. Η παραβίαση πρέπει πάντως να τεκμηριώνεται· η ανακοίνωση στα υποκείμενα των δεδομένων βάσει του άρθρου 34 αξιολογείται χωριστά.
Όχι. Ένα ΣΔΑΠ μπορεί να υποστηρίζει την ασφάλεια της επεξεργασίας, αλλά δεν απαντά αυτόματα σε ζητήματα νομικής βάσης, διαφάνειας ή δικαιωμάτων υποκειμένων. Το πεδίο εφαρμογής του και η πραγματική επεξεργασία πρέπει να εξετάζονται χωριστά.
Ναι, αν η επεξεργασία τους εμπίπτει στο ουσιαστικό και εδαφικό πεδίο εφαρμογής. Το μέγεθος της επιχείρησης από μόνο του δεν δημιουργεί γενική εξαίρεση· επιμέρους υποχρεώσεις εξαρτώνται από πρόσθετες προϋποθέσεις.
Οργανώστε τεκμηριωμένα την προστασία δεδομένων.
Γνωρίστε το προφίλ προστασίας δεδομένων και τον συντακτικά επεξεργασμένο κατάλογο ΓΚΠΔ στο Secani.
Αυτή η σελίδα παρέχει γενική παρουσίαση και δεν υποκαθιστά νομική εξέταση της επιμέρους περίπτωσης. Καθοριστικές είναι οι ισχύουσες νομικές διατάξεις και η συγκεκριμένη επεξεργασία.