Η εφαρμογή του Γενικού Κανονισμού Προστασίας Δεδομένων (GDPR) στο πλαίσιο της λειτουργίας ενός εκπαιδευτικού οργανισμού

Abstract

Ο Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου, γενικότερα γνωστός ως Γενικός Κανονισμός Προστασίας Δεδομένων ή GDPR κατά το Αγγλικό General Data Protection Regulation, είναι σε υποχρεωτική ισχύ από τις 25 Μαΐου 2018 και πρέπει να εφαρμόζεται από το σύνολο των επιχειρήσεων σε ευρωπαϊκό επίπεδο. Προκειμένου να είναι συμβατές με τον GDPR οι επιχειρήσεις είναι απαραίτητο να δημιουργήσουν ένα Σύστημα Διαχείρισης Προσωπικών Δεδομένων. Σε πολλές περιπτώσεις, ένα Σύστημα Διαχείρισης Προσωπικών Δεδομένων αφορά τη διαχείριση προσωπικών πληροφοριών που ήδη διατηρούνται ενδοεταιρικά σε ένα ευρύ φάσμα των λειτουργικών μονάδων και συστημάτων εφαρμογών. Συχνά αυτές οι προσωπικές πληροφορίες ενδέχεται να εμπίπτουν παράλληλα και στο πεδίο εφαρμογής άλλων συστημάτων διαχείρισης που εφαρμόζει ένας οργανισμός π.χ. διαχείριση ποιότητας κατά ΙSO 9001, ασφάλεια πληροφοριακών συστημάτων κατά ISO27000 κλπ. Όμως, τα εν λόγω πρότυπα (ISO09001, ISO27000) επειδή έχουν εκδοθεί πριν την ημερομηνία δημοσίευσης του GDPR, δεν είναι σήμερα συμβατά με τις απαιτήσεις του GDPR, έως ότου επικαιροποιηθούν, συνεπώς απαιτείται προσαρμογή των υπαρχόντων Συστημάτων Ποιότητας στις απαιτήσεις του GDPR. Η παρούσα διατριβή ασχολείται με την εφαρμογή των επιταγών του GDPR στη λειτουργία ενός εκπαιδευτικού οργανισμού, που εκ των πραγμάτων προχωρά σε επεξεργασία προσωπικών δεδομένων μεγάλης κλίμακας, και στην ενσωμάτωσή του GDPR σε υπάρχοντα συστήματα ποιότητας που ήδη αυτός εφαρμόζει. Η ορθή εφαρμογή του GDPR στο ευρύτερο πλαίσιο λειτουργίας του οργανισμού θα του επιτρέψει αφενός να είναι νομικά κατοχυρωμένος και αφετέρου να συνεχίσει την απρόσκοπτη λειτουργία του μέσω της προσθήκης μόνο των διαδικασιών εκείνων που είναι απαραίτητοι για τη συμμόρφωσή του. Συγκεκριμένα παρουσιάζεται συνοπτικά ο GDPR, αναλύονται οι απαιτήσεις του, δημιουργούνται πρότυπα αρχεία για την ανάλυση ελλείψεων (gap analysis) με σκοπό την οριστικοποίηση των απαραίτητων βημάτων για τη συμμόρφωση του οργανισμού. Πρακτικά η παρούσα διατριβή μπορεί να θεωρηθεί ένας ενδεικτικός οδηγός προσαρμογής στις απαιτήσεις του GDPR για έναν εκπαιδευτικό οργανισμό.