Συμμόρφωση με την Προστασία των Προσωπικών Δεδομένων / GDPR

Γενική περιγραφή των διαδικασιών για την Προστασία των Προσωπικών Δεδομένων,  για την υλοποίηση του

Για τους σκοπούς της παρούσας τεχνικής προσφοράς, οι όροι «Προσωπικά Δεδομένα», «Υποκείμενο Δεδομένων», «Υπεύθυνος Επεξεργασίας Δεδομένων», «Εκτελών την Επεξεργασία», «Επεξεργασία», «Εποπτεύουσα Αρχή», «Τρίτα Μέρη» και «Αποδέκτες» ερμηνεύονται σύμφωνα με το Γενικό Ευρωπαϊκό Κανονισμό για την Προστασία Δεδομένων Προσωπικού Χαρακτήρα 2016/679 ΕΕ (εφεξής «ο Κανονισμός») και την ισχύουσα εθνική νομοθεσία.

Ειδικότερα:

«Υποκείμενο των δεδομένων» είναι το φυσικό πρόσωπο στο οποίο αναφέρονται τα δεδομένα και του οποίου η ταυτότητα μπορεί να προσδιορισθεί άμεσα ή έμμεσα, ιδίως βάσει αριθμού ταυτότητας ή βάσει ενός ή περισσότερων συγκεκριμένων στοιχείων που χαρακτηρίζουν την υπόστασή του από άποψη φυσική, βιολογική, ψυχική, οικονομική, πολιτιστική, πολιτική ή κοινωνική.

«Δεδομένα προσωπικού χαρακτήρα» (εφεξής «προσωπικά δεδομένα») είναι κάθε πληροφορία που αναφέρεται στο υποκείμενο των δεδομένων. Δεν λογίζονται ως δεδομένα προσωπικού χαρακτήρα τα στατιστικής φύσεως συγκεντρωτικά στοιχεία, από τα οποία δεν μπορούν πλέον να προσδιορισθούν τα υποκείμενα των δεδομένων.

«Ευαίσθητα δεδομένα», είναι τα δεδομένα που αφορούν στη φυλετική ή εθνική προέλευση, στα πολιτικά φρονήματα, στις θρησκευτικές ή φιλοσοφικές πεποιθήσεις, στη συμμετοχή σε συνδικαλιστική οργάνωση, στην υγεία, στην κοινωνική πρόνοια, στη σεξουαλική ζωή ή τον γενετήσιο προσανατολισμό, στη συμμετοχή σε συναφείς με τα ανωτέρω ενώσεις / σωματεία προσώπων, καθώς και στα σχετικά με ποινικές διώξεις ή καταδίκες. Επίσης περιλαμβάνονται τα γενετικά και τα βιομετρικά δεδομένα, με σκοπό την αδιαμφισβήτητη ταυτοποίηση ενός προσώπου.

«Υπεύθυνος επεξεργασίας», το φυσικό ή νομικό πρόσωπο που καθορίζει το σκοπό και τον τρόπο επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, εν προκειμένω η Εταιρεία.

«Εκτελών την επεξεργασία» είναι κάθε φυσικό ή νομικό πρόσωπο που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του Υπεύθυνου επεξεργασίας.

«Επεξεργασία προσωπικών δεδομένων» είναι κάθε εργασία που πραγματοποιείται σε δεδομένα προσωπικού χαρακτήρα, όπως συλλογή, καταχώριση, οργάνωση, διατήρηση ή αποθήκευση, τροποποίηση, εξαγωγή, χρήση, διαβίβαση, διάδοση, συσχέτιση ή συνδυασμός, διασύνδεση, δέσμευση, διαγραφή, καταστροφή.

«Κατάρτιση προφίλ» είναι οποιαδήποτε μορφή αυτοματοποιημένης επεξεργασίας που συνίσταται στη χρήση δεδομένων προσωπικού χαρακτήρα για την αξιολόγηση ορισμένων προσωπικών πτυχών ενός φυσικού προσώπου, ιδίως για την ανάλυση/πρόβλεψη πτυχών που αφορούν την απόδοση στην εργασία, την οικονομική κατάσταση, την υγεία, τις προσωπικές προτιμήσεις, τα ενδιαφέροντα, την αξιοπιστία, τη συμπεριφορά, τη θέση ή τις μετακινήσεις ενός φυσικού προσώπου.

«Παραβίαση δεδομένων προσωπικού χαρακτήρα» σημαίνει παραβίαση της ασφάλειας που οδηγεί στην τυχαία ή κακόβουλη καταστροφή, απώλεια, αλλαγή, τη μη εξουσιοδοτημένη αποκάλυψη ή πρόσβαση στα μεταφερθέντα, αποθηκευμένα ή άλλως επεξεργασμένα δεδομένα προσωπικού χαρακτήρα.

Η επεξεργασία Προσωπικών Δεδομένων, περιλαμβάνει τις ακόλουθες κατηγορίες Προσωπικών Δεδομένων:

• Δεδομένα Ταυτοποίησης: όνομα, επώνυμο, ημερομηνία γέννησης, τόπο κατοικίας, τόπο εργασίας, εθνικότητα, αριθμό αστυνομικής ταυτότητας ή διαβατηρίου, ΑΜΚΑ, ΑΦΜ, εργασιακή ιδιότητα, email, κ.α.
• Δεδομένα Οικονομικά: αριθμός τραπεζικού λογαριασμού, εισόδημα το οποίο εμφανίζεται σε φορολογικές δηλώσεις ή εκκαθαριστικά σημειώματα φορολογικών αρχών, ατομικός λογαριασμός ασφάλισης, κ.α.

Τα δεδομένα που συλλέγονται από τον «Υπεργολάβο – Υποεκτελούντα την Επεξεργασία», αποθηκεύονται, σε ασφαλές και δομημένο ηλεκτρονικό και φυσικό αρχείο. Οι σκοποί της αποθήκευσης αφορούν στην:

• ασφάλεια δεδομένων,
• τήρηση των εργασιακών νόμων και παντός είδους εργατικής και ασφαλιστικής νομοθεσίας,
• ολοκλήρωση της υλοποίησης της δράσης,
• ασφαλιστική κάλυψη των ωφελούμενων (σύμφωνα με την ισχύουσα νομοθεσία)

Υποστήριξη ενημέρωσης περί συλλεγόμενων δεδομένων

Κατά την υλοποίηση ενός έργου κατάρτισης συγκεντρώνονται δεδομένα χρηστών τα οποία συγκροτούν τα αντίστοιχα Μητρώα (Εκπαιδευυομένων, Εκπαιδευτών κ.ο.κ.), αλλά και δεδομένα που εισάγονται με την υλοποίηση των επιμέρους δράσεων του έργου (αποτελέσματα εκπαιδευτικών διαδικασιών κ.α.) Η αποτελεσματική προστασία των προσωπικών δεδομένων των χρηστών κρίνεται ως θέμα ύψιστης σημασίας τόσο λειτουργικά όσο και ως υποχρέωση συμμόρφωσης με τους κανονισμούς και τις αρχές που ορίζει ο Νέος Γενικός Κανονισμός Προστασίας Δεδομένων της Ευρωπαϊκής Ένωσης (2016/679) – (GDPR).

Το σύστημα θα παρέχει λειτουργίες παροχής άμεσης ενημέρωσης κάθε χρήστη αναφορικά με τα δεδομένα που συλλέγονται. Η ενημέρωση θα είναι απόλυτα σαφής για τους χρήστες, αναλυτική, και θα καλύπτει:

• Τον τύπο και το πλήθος των δεδομένων που συλλέγονται ανά φάση του έργου
• Τον λόγο συλλογής των δεδομένων
• Τον τρόπο χρήσης των δεδομένων
• Την τυχόν επεξεργασία των δεδομένων
• Τη διάρκεια τήρησης των δεδομένων εντός του συστήματος.
• Τις τυχόν διαβιβάσεις που γίνονται σε τρίτους και το είδος της επεξεργασίας που θα γίνει από αυτούς

Το σύστημα θα παρέχει λειτουργίες παροχής άμεσης ενημέρωσης κάθε χρήστη αναφορικά με τους όρους χρήσης του ολοκληρωμένου πληροφοριακού συστήματος και των τυχόν επιμέρους πληροφοριακών συστημάτων αυτού.

Το σύστημα θα παρέχει λειτουργίες παροχής άμεσης ενημέρωσης κάθε χρήστη αναφορικά με τα επιπλέον δεδομένα που τυχόν θα συλλεχθούν κατά τις διαδικασίες κατάρτισης.

Οι παραπάνω ενημερώσεις θα προβάλλονται μέσω κατάλληλα διαμορφωμένων και εύκολα προσβάσιμων οθονών.

Υποστήριξη καταγραφής της συναίνεσης συλλογής δεδομένων

Το σύστημα παρέχει λειτουργίες καταχώρησης και καταγραφής της συναίνεσης κάθε χρήστη (πλήρως διακριτά) αναφορικά με:

• Τη συλλογή και διαχείριση δεδομένων που εισάγει ο ίδιος στο σύστημα
• Τη συλλογή και διαχείριση δεδομένων που εισάγονται στο σύστημα από τρίτους χρήστες / εκτελούντες την επεξεργασία (συνεργάτες του υποψήφιου Αναδόχου, π.χ. συντονιστές έργου)
• Το σύστημα θα ενημερώνει με σαφή τρόπο τον χρήστη σχετικά με το ποια δεδομένα απαιτείται να διατηρηθούν στο πλαίσιο του έργου, καθώς και για τη χρονική περίοδο τήρησης αυτών.
• Τη συλλογή και διαχείριση δεδομένων που προκύπτουν από τη συμμετοχή των χρηστών σε ενέργειες κατάρτισης.

Αφού ο χρήστης ενημερωθεί, καλείται να υποβάλει τη συναίνεσή του επιλέγοντας αντίστοιχο κουμπί ελέγχου (opt in) στο περιβάλλον του συστήματος. Η επιλογή του χρήστη (consent) καταχωρείται και αποθηκεύεται.

Υποστήριξη πρόσβασης / επεξεργασίας / φορητότητας δεδομένων

• Το σύστημα θα παρέχει σαφείς οδηγίες προς τους χρήστες αναφορικά με τον τρόπο πρόσβασής τους στα προσωπικά δεδομένα που έχουν συλλεχθεί και καταχωρηθεί στο πληροφοριακό σύστημα.
• Το σύστημα θα παρέχει σαφείς οδηγίες προς τους χρήστες αναφορικά με το ποια δεδομένα τους μπορούν να επεξεργαστούν στο πλαίσιο υλοποίησης του έργου και με ποιο τρόπο αυτό είναι εφικτό.
• Το σύστημα θα παρέχει σαφείς οδηγίες προς τους χρήστες αναφορικά με τον τρόπο εξαγωγής των δεδομένων που συλλέγονται κατά την υλοποίηση του έργου.

Οι παραπάνω ενημερώσεις θα προβάλλονται μέσω κατάλληλα διαμορφωμένων και εύκολα προσβάσιμων οθονών.

Υποστήριξη εφαρμογής πολιτικών ασφάλειας κωδικών πρόσβασης

Το σύστημα θα υποστηρίζει κατ’ ελάχιστον τις παρακάτω λειτουργίες:

• Πολιτική πολυπλοκότητας κωδικών. Για παράδειγμα: ορισμός ελάχιστου πλήθους χαρακτήρων, απαίτηση για συμπερίληψη ειδικών χαρακτήρων (special characters), απαίτηση για συμπερίληψη χαρακτήρων με κεφαλαία, απαίτηση για συμπερίληψη αριθμητικών χαρακτήρων.
• Παραγωγή κωδικών με τυχαίο τρόπο και σύμφωνα με την πολιτική πολυπλοκότητας χωρίς την επέμβαση φυσικού προσώπου (διαχειριστή)
• Διαδικασίες επαναφοράς κωδικού χωρίς υπενθύμιση και χωρίς την επέμβαση φυσικού προσώπου – διαχειριστή (μέσω αυτοματοποιημένης αποστολής σχετικών μηνυμάτων)
• Διαδικασίες υποχρεωτικής αλλαγής κωδικού (λ.χ. κατά την 1η είσοδο του χρήστη στο σύστημα)

Ενδοσυστημική υποστήριξη διαδικασιών ελέγχου πρόσβασης σε δεδομένα

Το σύστημα υποστηρίζει πολλαπλά επίπεδα πρόσβασης στα δεδομένα του (προβολής και επεξεργασίας αυτών). Τα επίπεδα αυτά καθορίζονται από διαβαθμισμένα και διαφοροποιούμενα δικαιώματα πρόσβασης σε λειτουργικότητες και δεδομένα, και με βάση την αρχή της ελαχιστοποίησης (minimization). Κάθε κατηγορία χρήστη (συστημικός ρόλος) συνδέεται με ένα ή περισσότερα επίπεδα πρόσβασης.

Το σύστημα υιοθετεί πλήρως μια λογική βασισμένη σε ρόλους και δικαιώματα (roles-permissions based architecture). Αναλυτικότερα:

• Κάθε ρόλος που δημιουργείται στο σύστημα συνδέεται με μια σειρά δικαιωμάτων
• Τα δικαιώματα (permissions) είναι αυτά που καθορίζουν τη δυνατότητα εκτέλεσης συγκεκριμένων συστημικών διεργασιών καθώς και τη δυνατότητα προβολής ή εξαγωγής συγκεκριμένων δεδομένων.
• Ως αποτέλεσμα, η πρόσβαση στις επιμέρους λειτουργίες του συστήματος αλλά και στα δεδομένα αυτού είναι πλήρως ελεγχόμενη και διαβαθμισμένη βάσει των συστημικών ρόλων.
• Ακόμη, δίνεται δυνατότητα παραμετροποίησης και διαμόρφωσης των “permissions” που είναι συνδεδεμένα με κάθε συστημικό ρόλο.

Τέλος, ένας χρήστης μπορεί να έχει περισσότερους από ένα ρόλους. Για παράδειγμα, ένας συντονιστής μιας ομάδας εκπαιδευτών μπορεί να είναι εκπαιδευτής και ο ίδιος. Σε αυτή την περίπτωση, ο χρήστης έχει τη δυνατότητα εναλλαγής ρόλων χωρίς να απαιτείται η αποσύνδεσή του από το σύστημα και η είσοδός του με άλλα στοιχεία πρόσβασης. Με την εναλλαγή ρόλων τροποποιείται ανάλογα και το περιβάλλον διεπαφής του συστήματος έτσι ώστε να προβάλλονται τα αντίστοιχα μενού, δεδομένα, κ.ο.κ.

Over secure channel SSL/TLS – πρωτόκολλο ασφαλείας HTTPS (SSL/TLS certificate)

Κατά την υλοποίηση ενός έργου Κατάρτισης και Πιστοποίησης συγκεντρώνονται δεδομένα χρηστών, τα οποία συγκροτούν αντίστοιχες «ομάδες» χρηστών (Ωφελούμενοι, Εκπαιδευτές), αλλά και δεδομένα που εισάγονται με την υλοποίηση των Ενεργειών του Έργου (συμμετοχή σε ηλεκτρονικά μαθήματα, αποτελέσματα αξιολογήσεων κ.α.).

Η αποτελεσματική προστασία των προσωπικών δεδομένων των χρηστών κρίνεται ως θέμα ύψιστης σημασίας τόσο λειτουργικά όσο και ως υποχρέωση συμμόρφωσης με τους κανονισμούς και τις αρχές που ορίζει ο Νέος Γενικός Κανονισμός Προστασίας Δεδομένων της Ευρωπαϊκής Ένωσης (2016/679) – (GDPR).

Το ενιαίο πληροφοριακό σύστημα παρέχει τις παρακάτω σχετικές λειτουργικότητες:

• Υποστηρίζει πλήρως διαβαθμισμένη πρόσβαση σε συγκεκριμένα δεδομένα και λειτουργίες αυτών. Ως γενική αρχή, η πρόσβαση είναι πλήρως ελεγχόμενη βάσει του συστημικού ρόλου των χρηστών. Ο ρόλος του χρήστη στο πληροφοριακό σύστημα καθορίζει επακριβώς τα δικαιώματα (permissions) που αυτός έχει, και με αυτό τον τρόπο ελέγχονται τόσο η διαθεσιμότητα των επιμέρους λειτουργιών όσο και η δυνατότητα προβολής ομάδων δεδομένων. Η αρχή που ακολουθείται σε κάθε περίπτωση είναι αυτή της κατά το δυνατόν ελαχιστοποίησης στην πρόσβαση και επεξεργασία δεδομένων.
• Υποστηρίζει την ελάχιστη απαίτηση για υποχρεωτική αλλαγή κωδικού χρήστη κατά την 1η είσοδο, καθώς και διαφοροποιούμενα επίπεδα πολυπλοκότητας στους κωδικούς πρόσβασης (passwords) των χρηστών. Με αυτό τον τρόπο, είναι δυνατός ο καθορισμός κανόνων που ορίζουν:
• το ελάχιστο πλήθος χαρακτήρων του κωδικού
• την απαίτηση να συμπεριλαμβάνονται κεφαλαίοι – πεζοί χαρακτήρες
• την απαίτηση για χρήση αριθμητικών στοιχείων
• την απαίτηση για χρήση ειδικών χαρακτήρων (λ.χ. @#!$%), κ.α.

Το πληροφοριακό σύστημα υποστηρίζει επίσης:

• διαδικασίες ασφαλούς αλλαγής του κωδικού πρόσβασης (κατά βούληση και χωρίς τη διαμεσολάβηση διαχειριστή συστήματος)
• διαδικασίες υπενθύμισης και ασφαλούς αλλαγής του κωδικού (μέσω πλήρως αυτοματοποιημένης διαδικασίας η οποία εμπεριέχει και διαδικασίες αποστολής σχετικών ενημερωτικών μηνυμάτων)
• Εκτελεί τη διαδικασία αυθεντικοποίησης κάνοντας χρήση ενός αρχικού κωδικού.
• Με την πρώτη τους επιτυχή είσοδο, το περιβάλλον του πληροφοριακού συστήματος τους ενημερώνει ότι απαιτείται να αλλάξουν τον κωδικό πρόσβασής τους.
• Οι χρήστες εισάγουν ένα κωδικό της προτίμησής τους (σε συμφωνία με την πολιτική πολυπλοκότητας κωδικών που προαναφέρθηκε)
• Το προφίλ των χρηστών ενημερώνεται με το νέο κωδικό πρόσβασης.

Όλες οι επικοινωνίες, logins, ανταλλαγές αρχείων, θα είναι over secure channel SSL/TLS. Το domain του πληροφοριακού συστήματος διαθέτει πρωτόκολλο ασφαλείας https (SSL/TLS certificate), που χρησιμοποιείται για το σύνολο των προσβάσεων στη βάση δεδομένων. Ο πάροχος των SSL/TLS είναι διεθνώς αναγνωρισμένος φορέας παροχής λύσεων ασφαλούς διέλευσης ιστοσελίδων με πολυετή αποδεδειγμένη εμπειρία σε θέματα που αφορούν την ψηφιακή ασφάλεια.

Εφαρμόζεται, λειτουργία ταυτοποίησης σε 2 επίπεδα (2 factor authentication) με χρήση συνθηματικού και κωδικού επιβεβαίωσης μέσω e-mail για όλους τους ρόλους χρηστών.

Παρακολούθηση (Monitoring) της λειτουργίας του συστήματος

Παρακολουθείται, η λειτουργία του πληροφοριακού συστήματος 24/7 σε όρους απόδοσης και συμβάντων ασφαλείας (network performance management, network analysis, intrusion detection & protection) μέσω επαρκούς εφαρμογής / υπηρεσίας ή/και υποδομής. Η συγκεκριμένη λειτουργικότητα προσφέρεται μέσω των εργαλείων της εταιρείας Solarwinds και πιο συγκεκριμένα μέσω του Solarwinds Network Performance Monitor, Network Bandwidth Analyzer Pack, Network Security Event manager.

Επιπρόσθετα, σημειώνεται ότι οι παρεχόμενες στο πλαίσιο του Έργου υποδομές δικτυακής υποστήριξης και φιλοξενίας (hosting) – πέρα από την εξασφάλιση της απρόσκοπτης διαθεσιμότητας των συστημάτων – παρέχουν αυξημένη προστασία από κακόβουλες επιθέσεις που μπορεί να οδηγήσουν σε μη εξουσιοδοτημένη πρόσβαση σε δεδομένα του πληροφοριακού συστήματος.

Οι προσφερόμενες υποδομές συμπεριλαμβάνουν:

• Επαρκείς υπολογιστικούς πόρους – φυσικούς ή εικονικούς (Virtual Machines) – για διασφάλιση του απορρήτου, της ακεραιότητας, της διαθεσιμότητας και της αξιοπιστίας των συστημάτων και των υπηρεσιών επεξεργασίας σε συνεχή βάση.
• Υποδομή δικτυακού firewall και συστημάτων IPS & IDS (Intrusion Detection System, Intrusion Protection System.