Παραβίαση δεδομένων στην Κύπρο: γνωστοποίηση και αντιμετώπιση

Αναγνωρίστε το περιστατικό και οργανώστε δύο παράλληλες εργασίες

Μια παραβίαση προσωπικών δεδομένων μπορεί να επηρεάζει την εμπιστευτικότητα, την ακεραιότητα ή τη διαθεσιμότητα. Δεν περιορίζεται, επομένως, σε χάκερ που δημοσιεύει κατάλογο πελατών. Τυχαία αποκάλυψη, μη εξουσιοδοτημένη αλλοίωση ή απώλεια πρόσβασης σε προσωπικές πληροφορίες μπορεί επίσης να απαιτούν αξιολόγηση. Αντίστροφα, μια ειδοποίηση ασφάλειας χωρίς εμπλοκή προσωπικών δεδομένων δεν αποτελεί αυτομάτως παραβίαση κατά τον ΓΚΠΔ. Προσδιορίστε τις πληροφορίες και τα πρόσωπα πριν χαρακτηρίσετε το συμβάν.

Προχωρήστε παράλληλα σε τεχνικό περιορισμό και αξιολόγηση προστασίας δεδομένων. Η τεχνική ομάδα μπορεί να απομονώνει έναν λογαριασμό ή να διατηρεί αρχεία καταγραφής, ενώ ο αρμόδιος προστασίας δεδομένων εντοπίζει τα επηρεαζόμενα αρχεία και αξιολογεί τις συνέπειες για τα πρόσωπα. Καμία εργασία δεν πρέπει να περιμένει την τελική έκθεση της άλλης. Μοιράζεστε επιβεβαιωμένα στοιχεία και σαφώς σημειωμένες αβεβαιότητες σε ένα αρχείο περιστατικού περιορισμένης πρόσβασης.

Ορίστε συντονιστή περιστατικού, αρμόδιο για την απόφαση προστασίας δεδομένων και αναπληρωτή για καθέναν. Σε μικρή οργάνωση οι ρόλοι μπορεί να συνδυάζονται, αλλά χρειάζεται αξιόπιστη διαδικασία κλιμάκωσης εκτός ωραρίου. Διευκρινίστε ποιος εγκρίνει τον επείγοντα περιορισμό και ποιος συντονίζει την επαγγελματική συμβουλή. Αν η αντίδραση εξαρτάται από το πότε ένας απών διευθυντής θα διαβάσει ηλεκτρονικό μήνυμα, δημιουργείται κίνδυνος καθυστέρησης που μπορεί να αποφευχθεί.

Για το ευρύτερο πλαίσιο διακυβέρνησης, δείτε τον οδηγό συμμόρφωσης ΓΚΠΔ στην Κύπρο (αγγλικά).

Νομική βάση και οδηγίες: ΕΣΠΔ: παραβιάσεις δεδομένων — οδηγός μικρών επιχειρήσεων

Καταγράψτε τη γνώση του περιστατικού και υπολογίστε την προθεσμία

Το ΕΣΠΔ συνδέει τη γνώση με εύλογο βαθμό βεβαιότητας ότι ένα περιστατικό έχει θέσει σε κίνδυνο προσωπικά δεδομένα. Καταγράψτε τα γεγονότα που στηρίζουν αυτή την αξιολόγηση, αντί να επιλέξετε την ώρα που η διοίκηση τελικά συζήτησε το θέμα. Διακρίνετε την ώρα της πρώτης ειδοποίησης από την αξιολογημένη ώρα γνώσης, εφόσον διαφέρουν, και διατηρήστε εξήγηση που μπορεί να ελεγχθεί.

Σε απλό υποθετικό υπολογισμό, αν η γνώση διαπιστώνεται Παρασκευή στις 15:00 και δεν μεσολαβεί αλλαγή ζώνης ώρας ή θερινής ώρας, οι 72 ώρες συμπληρώνονται Δευτέρα στις 15:00. Πρόκειται για πραγματικό χρόνο που παρέρχεται, όχι για τρεις εργάσιμες ημέρες. Ο υπολογισμός επίσης δεν σημαίνει ότι πρέπει να περιμένετε έως τη Δευτέρα: ισχύει η υποχρέωση ενέργειας χωρίς αδικαιολόγητη καθυστέρηση.

Προγραμματίστε εσωτερικό σημείο απόφασης νωρίτερα από την εξωτερική προθεσμία, ώστε ο αρμόδιος να εξετάσει τα διαθέσιμα δεδομένα, να ετοιμάσει γνωστοποίηση εφόσον απαιτείται και να αντιμετωπίσει προβλήματα υποβολής. Καταγράψτε τη ζώνη ώρας, ιδίως όταν προμηθευτής στέλνει χρονικές σημάνσεις από άλλη χώρα. Αν η προθεσμία έχει ήδη χαθεί, κλιμακώστε αμέσως και τεκμηριώστε τους λόγους· μην επανεκκινείτε το χρονόμετρο όταν ενημερωθεί ανώτερο στέλεχος.

Νομική βάση και οδηγίες: ΕΣΠΔ: παραβιάσεις δεδομένων — οδηγός μικρών επιχειρήσεων

Διατηρήστε ενιαίο χρονολόγιο γεγονότων, αβεβαιοτήτων και αποφάσεων

Ξεκινήστε με σύντομη πραγματική περιγραφή: ποιο σύστημα ή διαδικασία εμπλέκεται, τι παρατηρήθηκε, ποιος το ανέφερε και ποια αποδεικτικά υπάρχουν. Χαρακτηρίστε την εκτίμηση ως εκτίμηση. Αν ο αριθμός επηρεαζόμενων προσώπων αλλάξει κατά τη διερεύνηση, διατηρήστε τον προηγούμενο αριθμό και εξηγήστε την αλλαγή αντί να αντικαταστήσετε σιωπηρά την εγγραφή.

Καταγράφετε αποφάσεις μαζί με τα γεγονότα. Για κάθε σημαντική ενέργεια σημειώστε ποιος αποφάσισε, ποια στοιχεία χρησιμοποίησε και τι πρέπει να ακολουθήσει. Έτσι ένας αντικαταστάτης συντονιστής κατανοεί γρήγορα την κατάσταση και διακρίνει την εκκρεμή ερώτηση από την απόφαση που πράγματι λήφθηκε. Περιορίστε την πρόσβαση, επειδή ο φάκελος αντιμετώπισης μπορεί να περιέχει ευαίσθητες προσωπικές πληροφορίες και στοιχεία ασφάλειας.

Ο ακόλουθος πίνακας προτείνει δομή εργασίας για το αρχείο περιστατικού. Προσαρμόστε την στον οργανισμό και στο συγκεκριμένο συμβάν. Μην αντιγράφετε ολόκληρα τα επηρεαζόμενα σύνολα δεδομένων σε κάθε σημείωμα: παραπέμπετε σε ελεγχόμενο χώρο αποδεικτικών και παρέχετε μόνο τις πληροφορίες που χρειάζονται για την απόφαση που εξετάζεται.

Αξιολογήστε τη βλάβη στα πρόσωπα, όχι μόνο στην επιχείρηση

Η αξιολόγηση γνωστοποίησης αφορά τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Η επιχείρηση μπορεί να ανησυχεί για χαμένες πωλήσεις ή φήμη, αλλά αυτά δεν αντικαθιστούν την ανάλυση κινδύνου προστασίας δεδομένων. Εξετάστε τι θα μπορούσε να επιτρέψει η αποκάλυψη ή η μη διαθεσιμότητα των πληροφοριών, ποιοι επηρεάζονται και πόσο πιθανές και σοβαρές είναι οι συνέπειες στις πραγματικές περιστάσεις.

Στην πρακτική αξιολόγηση εξετάστε αν οι πληροφορίες μπορούν να υποστηρίξουν πλαστοπροσωπία, απάτη, ανεπιθύμητη αποκάλυψη ιδιωτικού θέματος, διακρίσεις ή απώλεια πρόσβασης σε απαραίτητη υπηρεσία. Ο μικρός αριθμός προσώπων δεν καθιστά αυτομάτως το περιστατικό ακίνδυνο. Αντίστοιχα, μη παρουσιάζετε ένα υποθετικό ακραίο σενάριο ως βεβαιωμένο γεγονός. Διαχωρίστε τις εύλογες πιθανές συνέπειες από όσα επιβεβαιώθηκαν.

Ελέγξτε τα μέτρα προστασίας με αποδεικτικά. Αν βασίζεστε στην κρυπτογράφηση, εξακριβώστε ότι κάλυπτε τις σχετικές πληροφορίες και ότι δεν παραβιάστηκαν τα κλειδιά. Αν βασίζεστε σε περιορισμούς πρόσβασης, εξετάστε ποιες άδειες ίσχυαν τότε. Αν βασίζεστε στη διαγραφή μηνύματος από παραλήπτη, καταγράψτε αίτημα, απάντηση και όρια επαλήθευσης. Ένα μέτρο που αναφέρεται στην πολιτική μπορεί να μην είχε λειτουργήσει στο συγκεκριμένο περιστατικό.

Χρησιμοποιήστε την εκτίμηση αντικτύπου προστασίας δεδομένων (αγγλικά) ως σχετικό υπόβαθρο, αξιολογώντας το πραγματικό περιστατικό χωρίς να θεωρείτε οριστική την προηγούμενη εκτίμηση.

Αποφασίστε για γνωστοποίηση στην αρχή και χρησιμοποιήστε την επίσημη διαδικασία

Γνωστοποιήστε στην αρμόδια εποπτική αρχή, εκτός αν η παραβίαση προσωπικών δεδομένων είναι απίθανο να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες φυσικών προσώπων. Αυτό το κριτήριο διαφέρει από τον υψηλό κίνδυνο που αφορά την ενημέρωση των επηρεαζόμενων προσώπων. Η επίσημη σελίδα της Επιτρόπου παρέχει το έντυπο και τις οδηγίες υποβολής· ανακτήστε την ισχύουσα έκδοση όταν προκύψει περιστατικό αντί να χρησιμοποιήσετε παλιό συνημμένο.

Η σελίδα διαθέτει ελληνικό και αγγλικό έντυπο και περιγράφει το αγγλικό στο πλαίσιο διασυνοριακής επεξεργασίας. Ελέγξτε τις οδηγίες που εφαρμόζονται στη συγκεκριμένη υποβολή. Το γραφείο παρέχει επίσης τρόπο επικοινωνίας για ερωτήσεις συμπλήρωσης. Σε διασυνοριακή επεξεργασία εξετάστε ποια εποπτική αρχή είναι αρμόδια· η τοποθεσία ενός διακομιστή δεν αρκεί ως συνολική ανάλυση αρμοδιότητας.

Πριν την αποστολή ελέγξτε τα στοιχεία οργανισμού, την αναφορά περιστατικού, το πρόσωπο επικοινωνίας και τη διάκριση επιβεβαιωμένων από προσωρινές πληροφορίες. Διατηρήστε την υποβληθείσα έκδοση, τα συνημμένα και την απόδειξη αποστολής. Ένα προσχέδιο σε φορητό υπολογιστή δεν αποδεικνύει γνωστοποίηση. Αναθέστε παρακολούθηση απαντήσεων και αιτημάτων συμπληρωματικών στοιχείων, με κάλυψη και σε περίπτωση απουσίας.

Νομική βάση και οδηγίες: Επίτροπος Προστασίας Δεδομένων: γνωστοποίηση παραβίασης; ΕΣΠΔ: παραβιάσεις δεδομένων — οδηγός μικρών επιχειρήσεων

Υποβάλετε διαθέσιμες πληροφορίες και οργανώστε συμπληρώσεις

Η μη ολοκληρωμένη διερεύνηση δεν δικαιολογεί αυτομάτως αναβολή απαιτούμενης γνωστοποίησης. Το ΕΣΠΔ περιγράφει σταδιακή παροχή πληροφοριών όταν δεν μπορούν να δοθούν όλες μαζί. Προσδιορίστε τι είναι γνωστό, τι διερευνάται και ποιος θα στείλει την επόμενη ενημέρωση. Αν η γνωστοποίηση είναι εκπρόθεσμη, εξηγήστε την καθυστέρηση αντί να παραλείψετε το χρονολόγιο.

Ετοιμάστε συνοπτική περιγραφή περιστατικού και πιθανών συνεπειών, κατηγορίες και κατά προσέγγιση αριθμούς όπου διατίθενται, σημείο επικοινωνίας και μέτρα που λήφθηκαν ή προτείνονται. Διατηρήστε ιστορικό μεταβολών για συμπληρώσεις. Αν, για παράδειγμα, η διερεύνηση μειώσει την αρχική εκτίμηση επηρεαζόμενων λογαριασμών, εξηγήστε τα αποδεικτικά που στηρίζουν το αναθεωρημένο εύρος.

Δώστε σε κάθε ανοικτό ερώτημα υπεύθυνο και χρόνο επανεξέτασης. Η σημείωση «αναμονή προμηθευτή» δεν είναι πλήρες σχέδιο, αν κανείς δεν διευκρίνισε ποιες πληροφορίες χρειάζονται και πότε μπορεί να απαντήσει ο προμηθευτής. Ζητήστε συγκεκριμένα αρχεία καταγραφής, όρια συστήματος ή στοιχεία λογαριασμών μέσω κατάλληλου ασφαλούς καναλιού. Διατηρήστε αναλογικά αιτήματα και μην επεκτείνετε τη διασπορά των παραβιασμένων πληροφοριών.

Νομική βάση και οδηγίες: ΕΣΠΔ: παραβιάσεις δεδομένων — οδηγός μικρών επιχειρήσεων

Εξετάστε χωριστά την ενημέρωση των επηρεαζόμενων προσώπων

Η Ευρωπαϊκή Επιτροπή διακρίνει τη γνωστοποίηση στην αρχή από την ενημέρωση προσώπων όταν η παραβίαση είναι πιθανό να δημιουργήσει υψηλό κίνδυνο. Περιγράφει επίσης σχετικές εξαιρέσεις για αποτελεσματικά προστατευτικά μέτρα ή ενέργειες μετά το συμβάν. Μη θεωρείτε ότι η γνωστοποίηση στην αρχή εκπληρώνει αυτομάτως την υποχρέωση προς τα πρόσωπα ή ότι ένα συμπέρασμα χαμηλού κινδύνου επαναχρησιμοποιείται χωρίς εξέταση των περιστάσεών τους.

Όταν απαιτείται ενημέρωση, χρησιμοποιήστε σαφή και πρακτική γλώσσα. Εξηγήστε τι συνέβη, ποιες πληροφορίες εμπλέκονται, τις πιθανές συνέπειες, τις ενέργειες του οργανισμού και τι μπορεί χρήσιμα να κάνει ο παραλήπτης. Δώστε σημείο επικοινωνίας με διαθέσιμο και ενημερωμένο προσωπικό. Αποφύγετε αόριστες διαβεβαιώσεις όπως «η ασφάλειά σας είναι προτεραιότητά μας» στη θέση γεγονότων που βοηθούν το πρόσωπο να προστατευτεί.

Επιλέξτε τρόπο παράδοσης που δεν προκαλεί δεύτερη αποκάλυψη. Ελέγξτε καταλόγους παραληπτών και μην αποκαλύπτετε τους επηρεαζόμενους μεταξύ τους. Όταν χρειάζεται επείγουσα προστατευτική ενέργεια, μην καθυστερείτε τη χρήσιμη προειδοποίηση για να ολοκληρώσετε μια καλογραμμένη γενική δήλωση. Αν μεταγενέστερα γεγονότα αλλάζουν ουσιωδώς τη συμβουλή, οργανώστε ενημέρωση και διατηρήστε ποια έκδοση κοινοποιήθηκε σε κάθε ομάδα.

Νομική βάση και οδηγίες: Ευρωπαϊκή Επιτροπή: υποχρεώσεις επιχειρήσεων κατά τον ΓΚΠΔ

Κάντε λειτουργική την επικοινωνία με τους προμηθευτές

Ο εκτελών την επεξεργασία ενημερώνει τον υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση όταν λάβει γνώση παραβίασης προσωπικών δεδομένων. Ο υπεύθυνος εξακολουθεί να αξιολογεί τις δικές του υποχρεώσεις. Η υπόσχεση προμηθευτή ότι θα διερευνήσει δεν επιτρέπει στον υπεύθυνο να σταματήσει το χρονολόγιο ή να περιμένει επ’ αόριστον πλήρη έκθεση.

Ζητήστε από τον προμηθευτή ουσιώδη δεδομένα: επηρεαζόμενες υπηρεσίες, ημερομηνίες, κατηγορίες προσωπικών δεδομένων, αποδεικτικά πρόσβασης ή αποκάλυψης, περιορισμό και εναπομένουσα αβεβαιότητα. Ορίστε επώνυμο σημείο επαφής και αναπληρωτή. Σε κοινή πλατφόρμα διακρίνετε τα γενικά γεγονότα από τα αποδεικτικά για τα αρχεία του δικού σας οργανισμού. Μια γενική ανακοίνωση περιστατικού μπορεί να μην απαντά σε αυτό το ειδικότερο ερώτημα.

Μετά την άμεση αντιμετώπιση συγκρίνετε την πραγματική συνεργασία με τη συμβατική διαδικασία. Έφθασε το μήνυμα στον σωστό άνθρωπο; Μπορούσε ο προμηθευτής να εντοπίσει σχετικούς υπεργολάβους επεξεργασίας; Ήταν οι πληροφορίες αρκετά συγκεκριμένες για αποφάσεις; Καταγράψτε βελτιώσεις επαφών και διαδικασιών χωρίς να θεωρείτε ότι μία συμβατική τροποποίηση αποδεικνύει από μόνη της επιχειρησιακή ετοιμότητα.

Συγκρίνετε τις ρυθμίσεις με τη λίστα ελέγχου σύμβασης εκτελούντος του άρθρου 28 (αγγλικά).

Νομική βάση και οδηγίες: ΕΣΠΔ: παραβιάσεις δεδομένων — οδηγός μικρών επιχειρήσεων

Παράδειγμα: αρχείο μισθοδοσίας σε λάθος παραλήπτη

Υποθέστε ότι εργαζόμενος στέλνει φύλλο μισθοδοσίας σε λάθος εξωτερικό παραλήπτη. Η αντιμετώπιση ξεκινά με εντοπισμό έκδοσης και περιεχομένου αρχείου, παραλήπτη, του αν εστάλη σύνδεσμος ή συνημμένο και των διαθέσιμων στοιχείων πρόσβασης. Σταματήστε περαιτέρω κοινοποίηση και εμπλέξτε τις κατάλληλες τεχνικές επαφές και επαφές προστασίας δεδομένων. Διατηρήστε το αρχικό μήνυμα και τα σχετικά αρχεία καταγραφής με ελεγχόμενη διαδικασία.

Το αίτημα διαγραφής και η απάντηση του παραλήπτη μπορεί να είναι σημαντικά, αλλά η αξιολόγηση πρέπει να δηλώνει τι αποδεικνύουν και τι παραμένει αβέβαιο. Τα αρχεία μισθοδοσίας μπορεί να περιέχουν περισσότερα από αποδοχές: εξετάστε τις πραγματικές στήλες αντί να βασιστείτε στο όνομα αρχείου. Λάβετε υπόψη τα επηρεαζόμενα πρόσωπα και τις ρεαλιστικές συνέπειες της συγκεκριμένης αποκάλυψης.

Το παράδειγμα δεν έχει αυτόματη απάντηση για γνωστοποίηση χωρίς αυτά τα δεδομένα. Καταγράψτε χωριστά τις αποφάσεις για αρχή και πρόσωπα, με αιτιολογία και λόγους επανεξέτασης. Στη συνέχεια διορθώστε τη διαδικασία αποστολής: έλεγχο παραλήπτη, άδειες κοινοποίησης και έκταση πληροφοριών. Δοκιμάστε τη νέα διαδικασία με ασφαλές παράδειγμα φανταστικών δεδομένων, όχι με ακόμη ένα αντίγραφο του αρχείου μισθοδοσίας.

Για τη συνήθη διαχείριση αρχείων προσωπικού, δείτε τον οδηγό προσωπικών δεδομένων εργαζομένων (αγγλικά).

Κλείστε το περιστατικό με επαληθευμένες ενέργειες και δοκιμάστε τη διαδικασία

Ο περιορισμός δεν ισοδυναμεί με κλείσιμο. Ελέγξτε ότι αφαιρέθηκε εκκρεμής πρόσβαση όπου αρμόζει, η υπηρεσία λειτουργεί ασφαλώς, στάλθηκαν απαιτούμενες ενημερώσεις και οι συμφωνημένες διορθώσεις έχουν υπεύθυνο. Διατηρήστε αποδεικτικά και αποφάσεις σύμφωνα με τις εφαρμοστέες ρυθμίσεις διατήρησης του οργανισμού και συνεχιζόμενους ελέγχους πρόσβασης.

Κάντε σύντομη ανασκόπηση των αιτιών και των σημείων καθυστέρησης. Εστιάστε σε συγκεκριμένες αλλαγές: αναπληρωματική επαφή, δοκιμασμένη επαναφορά, σαφέστερο έλεγχο παραλήπτη ή βελτιωμένη κλιμάκωση προς προμηθευτή. Καταγράψτε πώς αποδεικνύεται ολοκλήρωση. Μια εκπαίδευση προγραμματισμένη για τον επόμενο μήνα είναι σχεδιαζόμενη ενέργεια, όχι απόδειξη ότι το πρόβλημα έχει ήδη λυθεί.

Κάντε άσκηση ρεαλιστικού σεναρίου με φανταστικά δεδομένα και ελέγξτε αν εντοπίζεται το επίσημο έντυπο, υπολογίζεται η προθεσμία και βρίσκονται οι αρμόδιοι λήψης αποφάσεων. Διατηρήστε τις ασκήσεις χωριστά από πραγματικά περιστατικά. Όταν πραγματική παραβίαση απαιτεί εξειδικευμένη αξιολόγηση, η Zeno μπορεί να συντονίσει κατάλληλη ανεξάρτητη επαγγελματική υποστήριξη· η αντιμετώπιση πρέπει να βασίζεται στα αποδεικτικά και στα πρόσωπα που κινδυνεύουν.

Πρωτογενείς πηγές και πεδίο εφαρμογής

Έλεγχος πηγών: 27 Σεπτεμβρίου 2026. Ο οδηγός αφορά την Κυπριακή Δημοκρατία. Τα παραδείγματα είναι υποθετικά και δεν αποτελούν υποθέσεις πελατών. Ελέγξτε τις ισχύουσες επίσημες απαιτήσεις πριν από κάθε υποβολή.

• Επίτροπος Προστασίας Δεδομένων: γνωστοποίηση παραβίασης
• Ευρωπαϊκή Επιτροπή: υποχρεώσεις επιχειρήσεων κατά τον ΓΚΠΔ
• ΕΣΠΔ: παραβιάσεις δεδομένων — οδηγός μικρών επιχειρήσεων

Πρακτικοί οδηγοί για το θέμα

• Πράξη Κυβερνοανθεκτικότητας για εταιρείες λογισμικού στην Κύπρο: οδηγός 2026–27

  Ελέγξτε αν το λογισμικό σας εμπίπτει στην ευρωπαϊκή CRA, τις υποχρεώσεις αναφοράς από το 2026 και την προετοιμασία ασφάλειας και συμμόρφωσης για το 2027.