Η καταγγελία παραβάσεων και ο ΓΚΠΔ: Διδάγματα από το έργο μας στην Ελλάδα

Published by voiceguarddev on 19 Οκτωβρίου, 2026

Tags

Η καταγγελία παραβάσεων και ο ΓΚΠΔ: Διδάγματα από το έργο μας στην

Ελλάδα

Από την MD Brainnovation, Μάνος Διμογεροντάκης

Στην MD Brainnovation δραστηριοποιούμαστε κυρίως ως σύμβουλοι συμμόρφωσης με τον ΓΚΠΔ. Από τη στιγμή που η Ελλάδα ψήφισε τον Νόμο 4990/2022, ένα μεγάλο μέρος της εργασίας μας συνίσταται στην παροχή βοήθειας προς τις εταιρείες για τη δημιουργία και την αναθεώρηση των καναλιών καταγγελίας παραβάσεων. Γρήγορα διαπιστώσαμε ότι τα περισσότερα από τα δύσκολα ερωτήματα δεν αφορούν καθόλου τη νομοθεσία περί καταγγελίας παραβάσεων. Αφορούν τα προσωπικά δεδομένα. Σε αυτό το άρθρο μοιραζόμαστε όσα έχουμε μάθει κατά τη διάρκεια αυτής της πορείας, από τη δική μας πλευρά.

Τόσο η οδηγία (ΕΕ) 2019/1937, από την οποία ξεκίνησαν όλα, όσο και ο ελληνικός νόμος που την ενσωμάτωσε στη εθνική νομοθεσία βασίζονται στον ΓΚΠΔ. Η ταυτότητα του καταγγέλλοντος πρέπει να παραμένει γνωστή μόνο στα άτομα που είναι εξουσιοδοτημένα να χειρίζονται την καταγγελία. Τα δεδομένα που είναι σαφώς άσχετα δεν πρέπει να διατηρούνται. Οι καταγγελίες πρέπει να αποθηκεύονται μόνο για όσο διάστημα είναι απαραίτητο. Ο νόμος 4990/2022 προσθέτει ότι οι εταιρείες με 50 ή περισσότερους υπαλλήλους πρέπει να ορίσουν έναν Υπεύθυνο Λήψης και Παρακολούθησης Αναφορών (Υ.Π.Π.Α.), και επιτρέπει ορισμένους περιορισμούς στα δικαιώματα των υποκειμένων των δεδομένων, όταν αυτά θα έθεταν σε κίνδυνο τον καταγγέλλοντα ή την έρευνα. Στη θεωρία, αυτό είναι σαφές. Στην πράξη, τέσσερα ζητήματα ανακύπτουν ξανά και ξανά.

Μάθημα 1: Εταιρείες του ομίλου και διαβιβάσεις δεδομένων

Πολλοί από τους πελάτες μας είναι ελληνικές θυγατρικές διεθνών ομίλων. Ο όμιλος διαθέτει συνήθως ήδη μια παγκόσμια γραμμή επικοινωνίας, η οποία συχνά λειτουργεί από εξωτερικό πάροχο, με τις αναφορές να εξετάζονται στην έδρα. Η φυσική αντίδραση είναι να ενσωματωθεί η ελληνική εταιρεία σε αυτό το σύστημα και να προχωρήσουμε. Αυτό μπορεί να λειτουργήσει, αλλά απαιτεί περισσότερη σκέψη από ό,τι περιμένουν οι περισσότεροι. Η ελληνική εταιρεία παραμένει υπεύθυνη για το δικό της κανάλι, οπότε η λύση του ομίλου πρέπει να πληροί τις ελληνικές απαιτήσεις, συμπεριλαμβανομένου ενός καθορισμένου υπεύθυνου σε τοπικό επίπεδο. Όταν οι αναφορές διαβιβάζονται στη μητρική εταιρεία, πρέπει να καθοριστεί ο ρόλος κάθε οντότητας: ποιος είναι ο υπεύθυνος επεξεργασίας, ποιος είναι ο εκτελών την επεξεργασία και αν υπάρχει από κοινού έλεγχος. Και όταν η έδρα ή ο πάροχος της πλατφόρμας βρίσκεται εκτός του ΕΟΧ, απαιτείται ένας μηχανισμός διαβίβασης, όπως οι Τυποποιημένες Συμβατικές Ρήτρες, καθώς και μια εκτίμηση επιπτώσεων της διαβίβασης. Αυτό που λέμε στους πελάτες μας είναι απλό: χαρτογραφήστε την πορεία που ακολουθεί πραγματικά μια αναφορά, από τη στιγμή που υποβάλλεται μέχρι να κλείσει. Πολύ συχνά κανείς δεν το έχει κάνει αυτό, και η ίδια η χαρτογράφηση αποκαλύπτει τα κενά.

Μάθημα 2: Αιτήματα πρόσβασης από άτομα που εμπλέκονται σε μια αναφορά

Αργά ή γρήγορα, κάποιος που κατονομάζεται σε μια αναφορά υποβάλλει αίτημα πρόσβασης βάσει του ΓΚΠΔ. Μερικές φορές πρόκειται για γνήσια επιθυμία να μάθει τι δεδομένα τηρούνται για τον ίδιο. Άλλες φορές αποτελεί προσπάθεια να ανακαλύψει ποιος τον ανέφερε. Η ελληνική νομοθεσία επιτρέπει στην εταιρεία να περιορίσει τα δικαιώματα προκειμένου να προστατεύσει τον καταγγέλλοντα και την έρευνα. Ωστόσο, έχουμε δει εταιρείες να αντιμετωπίζουν αυτό ως άδεια να αρνούνται τα πάντα, και αυτό αποτελεί λάθος. Ο περιορισμός πρέπει να αξιολογείται κατά περίπτωση και να τεκμηριώνεται. Το ενδιαφερόμενο πρόσωπο εξακολουθεί να έχει δικαίωμα πρόσβασης στα δεδομένα που το αφορούν, εφόσον δεν αποκαλύπτεται η ταυτότητα του καταγγέλλοντος ούτε βλάπτεται η έρευνα. Στην πράξη, αυτό σημαίνει προσεκτική διαγραφή ευαίσθητων στοιχείων, σαφή αιτιολόγηση στο φάκελο και απάντηση εντός των προθεσμιών του ΓΚΠΔ. Η συμβουλή μας είναι να προετοιμάσετε μια σύντομη εσωτερική διαδικασία για αυτά τα αιτήματα πριν φτάσει το πρώτο. Η διαχείρισή τους υπό πίεση είναι η πηγή των περισσότερων λαθών.

Μάθημα 3: Ανωνυμία και ψευδωνυμοποίηση

Η ανώνυμη αναφορά φαίνεται ως η ασφαλέστερη επιλογή, και για τον καταγγέλλοντα συχνά είναι. Για τον οργανισμό, όμως, δυσχεραίνει την παρακολούθηση της υπόθεσης, καθώς δεν υπάρχει κάποιος στον οποίο να ζητηθούν περισσότερες λεπτομέρειες ή να ενημερωθεί. Οι καλές πλατφόρμες επιλύουν αυτό το ζήτημα με ένα ανώνυμο γραμματοκιβώτιο, ώστε η ομάδα που χειρίζεται την υπόθεση να μπορεί να επικοινωνεί με τον καταγγέλλοντα χωρίς να γνωρίζει την ταυτότητά του. Όταν ο καταγγέλλων είναι γνωστός, συνιστούμε την ψευδωνυμοποίηση εντός της υπόθεσης. Η ταυτότητα διατηρείται ξεχωριστά, προσβάσιμη μόνο στον αρμόδιο υπάλληλο, και ο φάκελος της υπόθεσης λειτουργεί με έναν αριθμό αναφοράς. Αυτό περιορίζει τη ζημιά σε περίπτωση που ο φάκελος κοινοποιηθεί ή διαρρεύσει. Είναι σημαντικό να θυμόμαστε, ωστόσο, ότι τα ψευδωνυμοποιημένα δεδομένα εξακολουθούν να αποτελούν προσωπικά δεδομένα για την εταιρεία που κατέχει το κλειδί, οπότε όλες οι υποχρεώσεις του ΓΚΠΔ εξακολουθούν να ισχύουν. Ο μεγαλύτερος κίνδυνος που διαπιστώνουμε δεν είναι το όνομα. Είναι όλα όσα το περιβάλλουν: το τμήμα, οι ημερομηνίες, μια λεπτομέρεια που μόνο ένα άτομο θα μπορούσε να γνωρίζει. Πριν οποιαδήποτε περίληψη φύγει από την ομάδα χειρισμού της υπόθεσης, κάποιος πρέπει να τη διαβάσει έχοντας κατά νου ένα ερώτημα: θα μπορούσε αυτό να ταυτοποιήσει τον καταγγέλλοντα;

Μάθημα 4: Η ΕΠΔΠ δεν είναι προαιρετική στην Ελλάδα

Συχνά μας ρωτούν αν απαιτείται πραγματικά εκτίμηση επιπτώσεων στην προστασία των δεδομένων για ένα κανάλι αναφοράς παραβάσεων. Στην Ελλάδα, η απάντηση είναι ναι. Ο κατάλογος της Ελληνικής Αρχής Προστασίας Δεδομένων με τις πράξεις επεξεργασίας που απαιτούν DPIA (Απόφαση 65/2018, δημοσιευμένη στην Εφημερίδα της Κυβερνήσεως 1622/10.05.2019) αναφέρει ρητά την καταγραφή φυσικών προσώπων σε συστήματα αναφοράς παραβάσεων ως παράδειγμα επεξεργασίας που ενδέχεται να εμποδίσει τα άτομα να ασκήσουν τα δικαιώματά τους. Σύμφωνα με τον κατάλογο, η ικανοποίηση ενός τέτοιου κριτηρίου αρκεί για να καταστεί υποχρεωτική η ΕΠΠΔ. Από την εμπειρία μας, η ΕΠΠΔ αποτελεί επίσης το πιο χρήσιμο έγγραφο σε ολόκληρο το έργο. Υποχρεώνει την εταιρεία να απαντήσει στα παραπάνω ερωτήματα: πού καταλήγουν τα δεδομένα, ποιος τα βλέπει, πόσο καιρό παραμένουν και πώς θα αντιμετωπίζονται τα αιτήματα άσκησης δικαιωμάτων. Πρέπει να πραγματοποιείται πριν από τη θέση σε λειτουργία του καναλιού και να επανεξετάζεται κάθε φορά που αλλάζει η πλατφόρμα, ο πάροχος ή η δομή του ομίλου.

Τελικές σκέψεις

Ένα κανάλι αναφοράς λειτουργεί μόνο αν οι άνθρωποι το εμπιστεύονται. Αν οι εργαζόμενοι πιστεύουν ότι το όνομά τους θα γίνει γνωστό, θα παραμείνουν σιωπηλοί, ό,τι κι αν λέει ο νόμος. Από τη δική μας οπτική γωνία ως συμβούλων προστασίας δεδομένων, η σωστή εφαρμογή του GDPR είναι ο τρόπος με τον οποίο χτίζεται αυτή η εμπιστοσύνη, και είναι κάτι που κάθε οργανισμός μπορεί να ξεκινήσει από τώρα.

Πηγές