Κανονισμός (ΕΕ) 2016/679 (GDPR) · ΕΕ L 119 της 4.5.2016

GDPR με Microsoft 365: ο Κανονισμός (ΕΕ) 2016/679 ανά υποχρέωση

Οι υποχρεώσεις του GDPR που αφορούν τον υπεύθυνο και τον εκτελούντα την επεξεργασία, μία προς μία: ποια τεχνολογία της Microsoft τις υποστηρίζει, πού είναι το τεκμήριο και τι μένει εκτός.

Ο Κανονισμός (ΕΕ) 2016/679, γνωστός ως GDPR, έχει 99 άρθρα. Περίπου τα μισά, από το άρθρο 51 και μετά, αφορούν τις εποπτικές αρχές, τη συνεργασία τους, τα ένδικα μέσα, τις κυρώσεις, ειδικές περιπτώσεις επεξεργασίας και τελικές διατάξεις. Εδώ θα βρείτε μόνο τις υποχρεώσεις του υπευθύνου και του εκτελούντος την επεξεργασία, με τέσσερα στοιχεία για την καθεμία: τι ζητά, ποια ρύθμιση ή εργαλείο της Microsoft την υποστηρίζει, πού βρίσκει ο ελεγκτής το τεκμήριο και ποιο άρθρο της ΚΥΑ 1689/2025 ή control του ISO/IEC 27001 αντιστοιχεί θεματικά.

Ο GDPR είναι κυρίως νομικό και οργανωτικό πλαίσιο. Η νομική βάση, το αρχείο δραστηριοτήτων και ο υπεύθυνος προστασίας δεδομένων δεν καλύπτονται από καμία ρύθμιση, και σημειώνονται ως τέτοια. Η Microsoft βοηθά περισσότερο στην ασφάλεια της επεξεργασίας (άρθρο 32), στις παραβιάσεις (άρθρα 33 και 34) και στα αιτήματα των υποκειμένων (άρθρα 12 έως 21). Όπου χρειάζεται ξεχωριστή άδεια, αναφέρεται ρητά.

Στην Ελλάδα ο Κανονισμός εφαρμόζεται μαζί με τον ν. 4624/2019, και οι παραβιάσεις γνωστοποιούνται στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Αν είστε και βασική ή σημαντική οντότητα, δείτε και τον οδηγό ΚΥΑ 1689/2025 με Microsoft 365: πολλά από τα τεχνικά μέτρα είναι κοινά.

🛠️ Θέλετε τεκμήριο από το δικό σας tenant; Δείτε τη Βιβλιοθήκη KQL με δοκιμασμένα Advanced Hunting queries ανά υποχρέωση.

36 υποχρεώσεις σε 21 άρθρα του Κανονισμού, ανά τρόπο κάλυψης

5 τεχνικές, υλοποιούνται κυρίως με ρύθμιση 14%
24 μικτές, έγγραφο ή διαδικασία με τεχνική υποστήριξη 67%
7 οργανωτικές ή εκτός Microsoft 365 19%

Οι δακτύλιοι δείχνουν πώς καλύπτεται κάθε υποχρέωση, όχι ποσοστό συμμόρφωσης.

Άρθρο 5 Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα : 4 υποχρεώσεις, 1 τεχνικές, 3 μικτές, 0 οργανωτικές ή εκτός Microsoft 365
Άρθρο 6 Νομιμότητα της επεξεργασίας : 1 υποχρεώσεις, 0 τεχνικές, 0 μικτές, 1 οργανωτικές ή εκτός Microsoft 365
Άρθρο 9 Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα : 1 υποχρεώσεις, 0 τεχνικές, 1 μικτές, 0 οργανωτικές ή εκτός Microsoft 365
Άρθρο 12 Διαφανής ενημέρωση, ανακοίνωση και ρυθμίσεις για την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων : 1 υποχρεώσεις, 0 τεχνικές, 1 μικτές, 0 οργανωτικές ή εκτός Microsoft 365
Άρθρο 15 Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων : 1 υποχρεώσεις, 0 τεχνικές, 1 μικτές, 0 οργανωτικές ή εκτός Microsoft 365
Άρθρο 16 Δικαίωμα διόρθωσης : 1 υποχρεώσεις, 0 τεχνικές, 0 μικτές, 1 οργανωτικές ή εκτός Microsoft 365
Άρθρο 17 Δικαίωμα διαγραφής («δικαίωμα στη λήθη») : 1 υποχρεώσεις, 0 τεχνικές, 1 μικτές, 0 οργανωτικές ή εκτός Microsoft 365
Άρθρο 18 Δικαίωμα περιορισμού της επεξεργασίας : 1 υποχρεώσεις, 0 τεχνικές, 1 μικτές, 0 οργανωτικές ή εκτός Microsoft 365
Άρθρο 20 Δικαίωμα στη φορητότητα των δεδομένων : 1 υποχρεώσεις, 0 τεχνικές, 1 μικτές, 0 οργανωτικές ή εκτός Microsoft 365
Άρθρο 21 Δικαίωμα εναντίωσης : 1 υποχρεώσεις, 0 τεχνικές, 0 μικτές, 1 οργανωτικές ή εκτός Microsoft 365
Άρθρο 24 Ευθύνη του υπευθύνου επεξεργασίας : 1 υποχρεώσεις, 0 τεχνικές, 1 μικτές, 0 οργανωτικές ή εκτός Microsoft 365
Άρθρο 25 Προστασία των δεδομένων ήδη από το σχεδιασμό και εξ ορισμού : 2 υποχρεώσεις, 1 τεχνικές, 1 μικτές, 0 οργανωτικές ή εκτός Microsoft 365
Άρθρο 28 Εκτελών την επεξεργασία : 3 υποχρεώσεις, 0 τεχνικές, 3 μικτές, 0 οργανωτικές ή εκτός Microsoft 365
Άρθρο 30 Αρχεία των δραστηριοτήτων επεξεργασίας : 1 υποχρεώσεις, 0 τεχνικές, 0 μικτές, 1 οργανωτικές ή εκτός Microsoft 365
Άρθρο 32 Ασφάλεια επεξεργασίας : 6 υποχρεώσεις, 2 τεχνικές, 4 μικτές, 0 οργανωτικές ή εκτός Microsoft 365
Άρθρο 33 Γνωστοποίηση παραβίασης δεδομένων προσωπικού χαρακτήρα στην εποπτική αρχή : 4 υποχρεώσεις, 0 τεχνικές, 4 μικτές, 0 οργανωτικές ή εκτός Microsoft 365
Άρθρο 34 Ανακοίνωση παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων : 2 υποχρεώσεις, 1 τεχνικές, 0 μικτές, 1 οργανωτικές ή εκτός Microsoft 365
Άρθρο 35 Εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων : 1 υποχρεώσεις, 0 τεχνικές, 0 μικτές, 1 οργανωτικές ή εκτός Microsoft 365
Άρθρο 37 Ορισμός του υπευθύνου προστασίας δεδομένων : 1 υποχρεώσεις, 0 τεχνικές, 0 μικτές, 1 οργανωτικές ή εκτός Microsoft 365
Άρθρο 44 Γενικές αρχές για διαβιβάσεις : 1 υποχρεώσεις, 0 τεχνικές, 1 μικτές, 0 οργανωτικές ή εκτός Microsoft 365
Άρθρο 46 Διαβιβάσεις που υπόκεινται σε κατάλληλες εγγυήσεις : 1 υποχρεώσεις, 0 τεχνικές, 1 μικτές, 0 οργανωτικές ή εκτός Microsoft 365

Checklist για τον οργανισμό σας

Οι ίδιες 36 υποχρεώσεις σε Excel, με στήλες για κατάσταση, υπεύθυνο, τεκμήριο και ημερομηνία ελέγχου.

Κατεβάστε το checklist (.xlsx)

Πώς να το διαβάσετε

Η αντιστοίχιση είναι επαγγελματική ερμηνεία και όχι νομική συμβουλή. Μια ρύθμιση υποστηρίζει μια υποχρέωση, δεν αποδεικνύει από μόνη της συμμόρφωση. Οι περιγραφές είναι σύντομες αποδόσεις για το ακριβές κείμενο ισχύει ο Κανονισμός (ΕΕ) 2016/679. Στην Ελλάδα εφαρμόζεται μαζί με τον ν. 4624/2019, και η εποπτική αρχή είναι η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.

Τελευταία ενημέρωση: 12/10/2026

Άρθρο 5

Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα

4 υποχρεώσεις · 3 με άρθρο

5.1.γ Μικτό Υπεύθυνος επεξεργασίας

«Ελαχιστοποίηση των δεδομένων»: τα δεδομένα είναι κατάλληλα, συναφή και περιορίζονται σε ό,τι είναι αναγκαίο για τους σκοπούς της επεξεργασίας.

Microsoft

Content explorer και Activity explorer του Microsoft Purview για να φανεί πού βρίσκονται δεδομένα προσωπικού χαρακτήρα (sensitive information types, trainable classifiers). Microsoft Purview Data Security Posture Management για τα σημεία με υπερβολική συγκέντρωση ή έκθεση δεδομένων.

Τεκμήριο

Purview: Content explorer (κατανομή sensitive information types ανά τοποθεσία). Τεκμηρίωση της απόφασης για το ποια δεδομένα χρειάζονται ανά σκοπό.

Επιπλέον άδεια

Microsoft 365 E5 ή Microsoft Purview Suite (πρώην Microsoft 365 E5 Compliance) για Content explorer, Activity explorer και Data Security Posture Management. Στο Microsoft 365 E3 τα δεδομένα συλλέγονται, αλλά οι οθόνες του Content explorer και του Activity explorer δεν είναι διαθέσιμες

Προσοχή

Το ποια δεδομένα είναι «αναγκαία» το κρίνει ο υπεύθυνος επεξεργασίας. Το Purview δείχνει τι υπάρχει, δεν αποφασίζει τι πρέπει να φύγει.

ΚΥΑ 1689/2025

Άρθρο 11

ISO/IEC 27001

A.5.12 A.5.34

Άρθρα

Purview Auto-labeling: Από 100.000 σε 500.000 αρχεία την ημέρα, τι αλλάζει πραγματικά για το labeling backlog σου

5.1.ε Μικτό Υπεύθυνος επεξεργασίας

«Περιορισμός της περιόδου αποθήκευσης»: τα δεδομένα διατηρούνται σε μορφή που επιτρέπει την ταυτοποίηση μόνο όσο χρειάζεται για τον σκοπό της επεξεργασίας.

Microsoft: Microsoft Purview Data Lifecycle Management: retention policies και retention labels με ενέργεια διαγραφής στο τέλος της περιόδου, για Exchange, SharePoint, OneDrive και Teams. Disposition review στο Microsoft Purview Records Management για τα αρχεία που θέλουν έγκριση πριν διαγραφούν.
Τεκμήριο: Purview: Data Lifecycle Management, λίστα retention policies και labels με διάρκεια και ενέργεια. Records Management: ιστορικό disposition.
Επιπλέον άδεια: Οι retention policies υπάρχουν στο Microsoft 365 E3. Η αυτόματη εφαρμογή retention labels και το disposition review θέλουν Microsoft 365 E5 ή Microsoft Purview Suite (πρώην Microsoft 365 E5 Compliance)
Προσοχή: Τους χρόνους διατήρησης ορίζει ο υπεύθυνος με βάση τον σκοπό και τις νόμιμες υποχρεώσεις, π.χ. φορολογικές ή εργατικές. Μια retention policy που κρατά τα πάντα για πάντα έρχεται σε αντίθεση με αυτή την αρχή.
ΚΥΑ 1689/2025: Άρθρο 11
ISO/IEC 27001: A.5.33 A.8.10

5.1.στ Τεχνικό Υπεύθυνος επεξεργασίας

«Ακεραιότητα και εμπιστευτικότητα»: η επεξεργασία εξασφαλίζει κατάλληλη ασφάλεια των δεδομένων με τεχνικά και οργανωτικά μέτρα, ώστε να προστατεύονται από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και από τυχαία απώλεια, καταστροφή ή φθορά.

Microsoft

Conditional Access και MFA στο Microsoft Entra ID για την πρόσβαση. Sensitivity labels με κρυπτογράφηση και Data Loss Prevention στο Microsoft Purview για τα ίδια τα δεδομένα. Microsoft Defender XDR για τον εντοπισμό επιθέσεων σε ταυτότητες, endpoints, email και cloud apps.

Τεκμήριο

Entra: πολιτικές Conditional Access. Purview: χρήση sensitivity labels και DLP alerts. Microsoft Secure Score: βαθμολογία και History.

Επιπλέον άδεια

Microsoft Entra ID P1 για Conditional Access. Microsoft 365 E5 για DLP στα endpoints, αυτόματο labeling και Microsoft Defender XDR

Προσοχή

Η αρχή καλύπτει και τα οργανωτικά μέτρα, π.χ. εξουσιοδοτήσεις και εκπαίδευση. Οι λεπτομέρειες των τεχνικών μέτρων βρίσκονται στο άρθρο 32.

ΚΥΑ 1689/2025

Άρθρο 13 Άρθρο 22

ISO/IEC 27001

A.5.15 A.8.12 A.8.24

Άρθρα

5.2 Μικτό Υπεύθυνος επεξεργασίας

«Λογοδοσία»: ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με τις αρχές της παραγράφου 1.

Microsoft

Microsoft Purview Compliance Manager με το assessment «EU GDPR (General Data Protection Regulation)» ως μητρώο μέτρων και τεκμηρίων. Microsoft Purview Audit για το ιστορικό ενεργειών χρηστών και διαχειριστών.

Τεκμήριο

Compliance Manager: βαθμολογία του assessment και improvement actions με συνημμένα τεκμήρια. Purview: Audit search.

Επιπλέον άδεια

Το regulation «EU GDPR (General Data Protection Regulation)» είναι premium στο Compliance Manager. Με Microsoft 365 E5 επιλέγονται τρία premium regulations χωρίς χρέωση

Προσοχή

Το Compliance Manager είναι αυτοαξιολόγηση και η βαθμολογία του δεν αποδεικνύει συμμόρφωση. Η λογοδοσία στηρίζεται στα έγγραφα του υπευθύνου: αρχείο δραστηριοτήτων, πολιτικές, εκτιμήσεις αντικτύπου.

ΚΥΑ 1689/2025

Άρθρο 9

ISO/IEC 27001

A.5.31 A.5.36

Άρθρα

Microsoft Secure Score ως εργαλείο GRC για ISO 27001 & NIS2

Άρθρο 6

Νομιμότητα της επεξεργασίας

1 υποχρέωση · 0 με άρθρο

6.1 Οργανωτικό ή εκτός Microsoft 365 Υπεύθυνος επεξεργασίας

Η επεξεργασία είναι σύννομη μόνο αν ισχύει τουλάχιστον μία από τις νομικές βάσεις: συγκατάθεση, σύμβαση, έννομη υποχρέωση, ζωτικό συμφέρον, δημόσιο συμφέρον ή έννομο συμφέρον.

Microsoft: Δεν υπάρχει ρύθμιση της Microsoft που να καθορίζει ή να τεκμηριώνει τη νομική βάση.
Τεκμήριο: Αρχείο δραστηριοτήτων επεξεργασίας με τη νομική βάση ανά επεξεργασία. Τεκμηρίωση στάθμισης όπου η βάση είναι το έννομο συμφέρον.
Προσοχή: Νομικό ζήτημα. Καλύπτεται με το αρχείο δραστηριοτήτων του άρθρου 30.
ISO/IEC 27001: A.5.31 A.5.34

Άρθρο 9

Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα

1 υποχρέωση · 1 με άρθρο

9.1 Μικτό Υπεύθυνος επεξεργασίας

Απαγορεύεται η επεξεργασία ειδικών κατηγοριών δεδομένων (π.χ. δεδομένα υγείας, βιομετρικά για ταυτοποίηση, φυλετική ή εθνοτική καταγωγή, πολιτικά φρονήματα, θρησκευτικές πεποιθήσεις, συμμετοχή σε συνδικαλιστική οργάνωση), εκτός αν ισχύει μία από τις εξαιρέσεις της παραγράφου 2.

Microsoft

Sensitive information types και trainable classifiers του Microsoft Purview για τον εντοπισμό τέτοιων δεδομένων σε email και αρχεία. Sensitivity label με κρυπτογράφηση για όσα εντοπίζονται, και DLP policy που μπλοκάρει την αποστολή τους εκτός οργανισμού.

Τεκμήριο

Purview: Content explorer για τις αντίστοιχες κατηγορίες. DLP policies και alerts. Εφαρμογή labels στα σχετικά αρχεία.

Επιπλέον άδεια

Microsoft 365 E5 ή Microsoft Purview Suite (πρώην Microsoft 365 E5 Compliance) για trainable classifiers, αυτόματο labeling και Content explorer

Προσοχή

Το αν ισχύει εξαίρεση της παραγράφου 2 είναι νομικό ζήτημα. Οι classifiers δεν αναγνωρίζουν όλες τις ειδικές κατηγορίες, π.χ. τα πολιτικά φρονήματα, και χρειάζονται έλεγχο για ψευδώς θετικά.

ΚΥΑ 1689/2025

Άρθρο 11

ISO/IEC 27001

A.5.12 A.5.34

Άρθρα

Purview Auto-labeling: Από 100.000 σε 500.000 αρχεία την ημέρα, τι αλλάζει πραγματικά για το labeling backlog σου

Άρθρο 12

Διαφανής ενημέρωση, ανακοίνωση και ρυθμίσεις για την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων

1 υποχρέωση · 0 με άρθρο

12.3 Μικτό Υπεύθυνος επεξεργασίας

Ο υπεύθυνος απαντά στο αίτημα του υποκειμένου χωρίς καθυστέρηση και το αργότερο μέσα σε έναν μήνα από την παραλαβή του. Η προθεσμία παρατείνεται κατά δύο ακόμη μήνες για σύνθετα ή πολλά αιτήματα, με ενημέρωση του υποκειμένου μέσα στον πρώτο μήνα.

Microsoft: Microsoft Purview eDiscovery (Premium) για τη διαχείριση των αιτημάτων ως cases, με ημερομηνίες, αναζητήσεις και ιστορικό. Από τις 9 Μαΐου 2026 τα αιτήματα του Microsoft Priva Subject Rights Requests υποστηρίζονται μέσω του eDiscovery (Premium).
Τεκμήριο: Μητρώο αιτημάτων με ημερομηνία παραλαβής και απάντησης. eDiscovery: cases ανά αίτημα με ιστορικό ενεργειών.
Επιπλέον άδεια: Microsoft Purview eDiscovery (Premium) στο Microsoft 365 E5 ή αντίστοιχο add-on. Η αναζήτηση και η εξαγωγή περιεχομένου υπάρχουν και στο Microsoft 365 E3
Προσοχή: Η παρακολούθηση της προθεσμίας και η επικοινωνία με το υποκείμενο είναι διαδικασία του υπευθύνου. Τα δεδομένα εκτός Microsoft 365, π.χ. σε ERP ή CRM, θέλουν ξεχωριστή αναζήτηση.
ISO/IEC 27001: A.5.34

Άρθρο 15

Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων

1 υποχρέωση · 0 με άρθρο

15.3 Μικτό Υπεύθυνος επεξεργασίας

Ο υπεύθυνος παρέχει αντίγραφο των δεδομένων που υποβάλλονται σε επεξεργασία. Αν το αίτημα υποβληθεί ηλεκτρονικά, το αντίγραφο δίνεται σε κοινώς χρησιμοποιούμενη ηλεκτρονική μορφή, εκτός αν ζητηθεί διαφορετικά.

Microsoft: Αναζήτηση στο Microsoft Purview eDiscovery με τα στοιχεία του υποκειμένου (όνομα, email, αριθμοί ταυτοποίησης) σε Exchange, SharePoint, OneDrive και Teams, και εξαγωγή των αποτελεσμάτων. Στο eDiscovery (Premium), review set για έλεγχο και απόκρυψη (redaction) πριν την παράδοση.
Τεκμήριο: eDiscovery: case με τα κριτήρια αναζήτησης, το πλήθος αποτελεσμάτων και την εξαγωγή.
Επιπλέον άδεια: Microsoft Purview eDiscovery (Premium) στο Microsoft 365 E5 ή αντίστοιχο add-on. Η αναζήτηση και η εξαγωγή περιεχομένου υπάρχουν και στο Microsoft 365 E3
Προσοχή: Σύμφωνα με την παράγραφο 4, το αντίγραφο δεν πρέπει να θίγει τα δικαιώματα τρίτων, οπότε χρειάζεται έλεγχος πριν δοθεί. Τα δεδομένα σε εφαρμογές εκτός Microsoft 365 δεν καλύπτονται.
ISO/IEC 27001: A.5.34

Άρθρο 16

Δικαίωμα διόρθωσης

1 υποχρέωση · 0 με άρθρο

16 Οργανωτικό ή εκτός Microsoft 365 Υπεύθυνος επεξεργασίας

Το υποκείμενο έχει δικαίωμα να ζητήσει τη διόρθωση ανακριβών δεδομένων που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση, και τη συμπλήρωση ελλιπών δεδομένων.

Microsoft: Η διόρθωση γίνεται στο σύστημα όπου τηρούνται τα δεδομένα. Το Microsoft Purview eDiscovery βοηθά μόνο στον εντοπισμό του πού υπάρχουν στο Microsoft 365.
Τεκμήριο: Μητρώο αιτημάτων με την ενέργεια διόρθωσης και την ημερομηνία.
Προσοχή: Για τα στοιχεία των εργαζομένων στο Microsoft Entra ID, η διόρθωση γίνεται συνήθως στο σύστημα HR που τα τροφοδοτεί, αλλιώς ο επόμενος συγχρονισμός τα επαναφέρει.
ISO/IEC 27001: A.5.34

Άρθρο 17

Δικαίωμα διαγραφής («δικαίωμα στη λήθη»)

1 υποχρέωση · 0 με άρθρο

17.1 Μικτό Υπεύθυνος επεξεργασίας

Το υποκείμενο έχει δικαίωμα να ζητήσει τη διαγραφή δεδομένων που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση, και ο υπεύθυνος υποχρεούται να τα διαγράψει όταν ισχύει ένας από τους λόγους του άρθρου, π.χ. τα δεδομένα δεν είναι πλέον απαραίτητα ή η συγκατάθεση ανακλήθηκε.

Microsoft: Εντοπισμός με το Microsoft Purview eDiscovery και διαγραφή των μηνυμάτων με search and purge. Στο SharePoint και στο OneDrive η διαγραφή γίνεται στα αρχεία.
Τεκμήριο: eDiscovery: case με την αναζήτηση και την ενέργεια purge. Purview Audit για τις διαγραφές.
Επιπλέον άδεια: Microsoft Purview eDiscovery (Premium) στο Microsoft 365 E5 ή αντίστοιχο add-on. Η αναζήτηση και η εξαγωγή περιεχομένου υπάρχουν και στο Microsoft 365 E3
Προσοχή: Retention policies και holds κρατούν αντίγραφα ακόμη και μετά τη διαγραφή από τον χρήστη (Recoverable Items, Preservation Hold library). Ελέγξτε αν ισχύει εξαίρεση της παραγράφου 3, π.χ. νόμιμη υποχρέωση διατήρησης, πριν τη διαγραφή.
ISO/IEC 27001: A.8.10 A.5.34

Άρθρο 18

Δικαίωμα περιορισμού της επεξεργασίας

1 υποχρέωση · 0 με άρθρο

18.1 Μικτό Υπεύθυνος επεξεργασίας

Το υποκείμενο έχει δικαίωμα να ζητήσει τον περιορισμό της επεξεργασίας σε συγκεκριμένες περιπτώσεις, π.χ. όσο ελέγχεται η ακρίβεια των δεδομένων. Τα περιορισμένα δεδομένα, πέρα από την αποθήκευση, υποβάλλονται σε επεξεργασία μόνο υπό τις προϋποθέσεις της παραγράφου 2.

Microsoft: Μεταφορά των σχετικών αρχείων σε SharePoint site με περιορισμένη πρόσβαση ή εφαρμογή sensitivity label με κρυπτογράφηση μόνο για εξουσιοδοτημένα πρόσωπα. eDiscovery hold ώστε να μη διαγραφούν όσο ισχύει ο περιορισμός.
Τεκμήριο: Μητρώο αιτημάτων. SharePoint: δικαιώματα του site. Purview: εφαρμογή label ή hold.
Επιπλέον άδεια: Microsoft 365 E3 για sensitivity labels με χειροκίνητη εφαρμογή και για holds
Προσοχή: Ο περιορισμός πρέπει να σημειώνεται και στα συστήματα εκτός Microsoft 365 που περιέχουν τα ίδια δεδομένα.
ISO/IEC 27001: A.8.3 A.5.34

Άρθρο 20

Δικαίωμα στη φορητότητα των δεδομένων

1 υποχρέωση · 0 με άρθρο

20.1 Μικτό Υπεύθυνος επεξεργασίας

Το υποκείμενο έχει δικαίωμα να λαμβάνει τα δεδομένα που έχει παράσχει σε δομημένο, κοινώς χρησιμοποιούμενο και αναγνώσιμο από μηχανήματα μορφότυπο, και να τα διαβιβάζει σε άλλον υπεύθυνο, όταν η επεξεργασία βασίζεται σε συγκατάθεση ή σύμβαση και γίνεται με αυτοματοποιημένα μέσα.

Microsoft: Εξαγωγή από το Microsoft Purview eDiscovery για δεδομένα στο Microsoft 365, σε αρχεία στην αρχική τους μορφή ή PST για το email.
Τεκμήριο: eDiscovery: εξαγωγή ανά αίτημα. Μητρώο αιτημάτων.
Επιπλέον άδεια: Microsoft Purview eDiscovery (Premium) στο Microsoft 365 E5 ή αντίστοιχο add-on. Η αναζήτηση και η εξαγωγή περιεχομένου υπάρχουν και στο Microsoft 365 E3
Προσοχή: Το δικαίωμα αφορά κυρίως δεδομένα σε εφαρμογές (π.χ. CRM, e-shop), όπου η εξαγωγή γίνεται από την ίδια την εφαρμογή σε CSV ή JSON. Το Microsoft 365 καλύπτει μικρό μέρος.
ISO/IEC 27001: A.5.34

Άρθρο 21

Δικαίωμα εναντίωσης

1 υποχρέωση · 0 με άρθρο

21.1 Οργανωτικό ή εκτός Microsoft 365 Υπεύθυνος επεξεργασίας

Το υποκείμενο έχει δικαίωμα να αντιταχθεί οποτεδήποτε, για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία που βασίζεται σε δημόσιο ή έννομο συμφέρον, περιλαμβανομένης της κατάρτισης προφίλ. Ο υπεύθυνος σταματά την επεξεργασία, εκτός αν αποδείξει επιτακτικούς και νόμιμους λόγους που υπερισχύουν των δικαιωμάτων του υποκειμένου ή αν η επεξεργασία χρειάζεται για νομικές αξιώσεις.

Microsoft: Δεν υπάρχει ρύθμιση της Microsoft που να καλύπτει το δικαίωμα εναντίωσης.
Τεκμήριο: Μητρώο αιτημάτων με την απόφαση και την αιτιολογία.
Προσοχή: Διαδικασία του υπευθύνου, που εφαρμόζεται στα συστήματα όπου γίνεται η επεξεργασία. Για την απευθείας εμπορική προώθηση, π.χ. λίστες marketing, ισχύουν οι παράγραφοι 2 και 3: η εναντίωση είναι απόλυτη και η επεξεργασία για αυτόν τον σκοπό σταματά χωρίς στάθμιση.
ISO/IEC 27001: A.5.34

Άρθρο 24

Ευθύνη του υπευθύνου επεξεργασίας

1 υποχρέωση · 1 με άρθρο

24.1 Μικτό Υπεύθυνος επεξεργασίας

Ο υπεύθυνος εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα, τα οποία επανεξετάζει και επικαιροποιεί όταν χρειάζεται, ώστε να διασφαλίζει και να μπορεί να αποδείξει ότι η επεξεργασία γίνεται σύμφωνα με τον Κανονισμό.

Microsoft

Microsoft Purview Compliance Manager (assessment «EU GDPR») για την παρακολούθηση των μέτρων και των τεκμηρίων τους. Microsoft Secure Score για την τεχνική εικόνα και την εξέλιξή της στον χρόνο.

Τεκμήριο

Compliance Manager: improvement actions, υπεύθυνοι και ημερομηνίες. Secure Score: History.

Επιπλέον άδεια

Προσοχή

Η επανεξέταση των μέτρων είναι περιοδική διαδικασία του υπευθύνου. Ένα εργαλείο δείχνει την κατάσταση, δεν κάνει την επανεξέταση.

ΚΥΑ 1689/2025

Άρθρο 5 Άρθρο 9

ISO/IEC 27001

A.5.31 A.5.36

Άρθρα

Άρθρο 25

Προστασία των δεδομένων ήδη από το σχεδιασμό και εξ ορισμού

2 υποχρεώσεις · 1 με άρθρο

25.1 Μικτό Υπεύθυνος επεξεργασίας

Ο υπεύθυνος εφαρμόζει, τόσο κατά τον καθορισμό των μέσων επεξεργασίας όσο και κατά την ίδια την επεξεργασία, κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως η ψευδωνυμοποίηση, για την εφαρμογή των αρχών προστασίας δεδομένων και την ενσωμάτωση των αναγκαίων εγγυήσεων.

Microsoft

Sensitivity labels για Teams, Microsoft 365 Groups και SharePoint sites, ώστε τα δικαιώματα και η εξωτερική κοινή χρήση να ορίζονται κατά τη δημιουργία. DLP policies από την πρώτη μέρα σε κάθε νέο χώρο εργασίας.

Τεκμήριο

Purview: sensitivity labels με ρυθμίσεις για containers. Τεκμηρίωση του σχεδιασμού για νέες επεξεργασίες ή εφαρμογές.

Επιπλέον άδεια

Microsoft 365 E3 για sensitivity labels σε containers. Microsoft 365 E5 για αυτόματο labeling

Προσοχή

Η ψευδωνυμοποίηση δεν είναι λειτουργία του Microsoft 365 και γίνεται στις εφαρμογές ή στις βάσεις δεδομένων. Ο σχεδιασμός νέων εφαρμογών είναι διαδικασία ανάπτυξης.

ΚΥΑ 1689/2025

Άρθρο 14 Άρθρο 15

ISO/IEC 27001

A.5.34 A.8.26

Άρθρα

Purview Auto-labeling: Από 100.000 σε 500.000 αρχεία την ημέρα, τι αλλάζει πραγματικά για το labeling backlog σου

25.2 Τεχνικό Υπεύθυνος επεξεργασίας

Ο υπεύθυνος διασφαλίζει ότι, εξ ορισμού, υποβάλλονται σε επεξεργασία μόνο τα δεδομένα που είναι αναγκαία για κάθε συγκεκριμένο σκοπό, και ότι τα δεδομένα δεν γίνονται προσβάσιμα σε αόριστο αριθμό προσώπων χωρίς την παρέμβαση του υποκειμένου.

Microsoft: Προεπιλεγμένος τύπος συνδέσμου κοινής χρήσης «Specific people» και περιορισμός της εξωτερικής κοινής χρήσης στο SharePoint και στο OneDrive. Προεπιλεγμένη sensitivity label. Αποκλεισμός της αυτόματης προώθησης email εκτός οργανισμού στο Exchange Online. Ρυθμίσεις guest access στο Microsoft Teams.
Τεκμήριο: SharePoint admin center: Sharing. Purview: label policy με default label. Microsoft Defender: outbound spam policy (Automatic forwarding rules). Teams admin center: Guest access.
Προσοχή: Το «Anyone» link (σύνδεσμος που ανοίγει χωρίς sign-in) είναι το αντίθετο της προστασίας εξ ορισμού. Αν το χρειάζεστε, βάλτε ημερομηνία λήξης και περιορίστε το σε συγκεκριμένα sites.
ΚΥΑ 1689/2025: Άρθρο 13 Άρθρο 14
ISO/IEC 27001: A.5.15 A.8.3

Άρθρο 28

Εκτελών την επεξεργασία

3 υποχρεώσεις · 1 με άρθρο

28.1 Μικτό Υπεύθυνος επεξεργασίας

Ο υπεύθυνος χρησιμοποιεί μόνο εκτελούντες που παρέχουν επαρκείς διαβεβαιώσεις ότι εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα, ώστε η επεξεργασία να πληροί τις απαιτήσεις του Κανονισμού.

Microsoft

Για τη Microsoft ως εκτελούσα: εκθέσεις ελέγχου και πιστοποιητικά (π.χ. ISO/IEC 27001, ISO/IEC 27018, ISO/IEC 27701, SOC 2) στο Service Trust Portal. Για τις υπόλοιπες cloud εφαρμογές: Cloud app catalog του Microsoft Defender for Cloud Apps, με τα στοιχεία ασφάλειας και συμμόρφωσης κάθε εφαρμογής, και Cloud Discovery για όσες χρησιμοποιούνται χωρίς έγκριση.

Τεκμήριο

Πιστοποιητικά της Microsoft από το Service Trust Portal. Defender for Cloud Apps: risk score και στοιχεία συμμόρφωσης των εφαρμογών, λίστα sanctioned και unsanctioned apps.

Επιπλέον άδεια

Microsoft Defender for Cloud Apps (Microsoft 365 E5 ή αντίστοιχο)

Προσοχή

Η αξιολόγηση των εκτελούντων είναι διαδικασία του υπευθύνου. Τα στοιχεία του Cloud app catalog είναι ένδειξη και όχι διαβεβαίωση του παρόχου.

ΚΥΑ 1689/2025

Άρθρο 12

ISO/IEC 27001

A.5.19 A.5.21 A.5.23

Άρθρα

28.2 Μικτό Υπεύθυνος και εκτελών

Ο εκτελών δεν προσλαμβάνει άλλον εκτελούντα χωρίς προηγούμενη γραπτή άδεια του υπευθύνου. Με γενική άδεια, ενημερώνει τον υπεύθυνο για κάθε αλλαγή ώστε να μπορεί να αντιταχθεί.

Microsoft: Η Microsoft δημοσιεύει τη λίστα των υπεργολάβων επεξεργασίας (subprocessors) των online υπηρεσιών της στο Service Trust Portal και ενημερώνει για νέους υπεργολάβους όπως ορίζει το Data Protection Addendum (DPA).
Τεκμήριο: Service Trust Portal: τρέχουσα λίστα subprocessors και εγγραφή στις ειδοποιήσεις για αλλαγές.
Προσοχή: Για άλλους παρόχους, η απαίτηση καλύπτεται με τη σύμβαση και με την παρακολούθηση των αλλαγών τους. Δεν υπάρχει ρύθμιση στο Microsoft 365 που να το κάνει.
ΚΥΑ 1689/2025: Άρθρο 12
ISO/IEC 27001: A.5.20 A.5.21

28.3 Μικτό Υπεύθυνος και εκτελών

Η επεξεργασία από τον εκτελούντα διέπεται από σύμβαση ή άλλη νομική πράξη που ορίζει το αντικείμενο, τη διάρκεια, τη φύση και τον σκοπό της επεξεργασίας, τα είδη των δεδομένων και τις υποχρεώσεις του εκτελούντος, π.χ. εντολές, εμπιστευτικότητα, μέτρα ασφάλειας, συνδρομή και διαγραφή ή επιστροφή των δεδομένων.

Microsoft: Για τις online υπηρεσίες της Microsoft, οι όροι του άρθρου 28 περιλαμβάνονται στο Microsoft Products and Services Data Protection Addendum (DPA), που ισχύει μέσω της σύμβασης αδειοδότησης.
Τεκμήριο: Τρέχουσα έκδοση του DPA από το Microsoft Licensing (Product Terms). Συμβάσεις επεξεργασίας με τους υπόλοιπους εκτελούντες.
Προσοχή: Το DPA καλύπτει μόνο τη Microsoft. Χρειάζεται σύμβαση με κάθε άλλον εκτελούντα, π.χ. πάροχο μισθοδοσίας, CRM ή IT support.
ΚΥΑ 1689/2025: Άρθρο 12
ISO/IEC 27001: A.5.20

Άρθρο 30

Αρχεία των δραστηριοτήτων επεξεργασίας

1 υποχρέωση · 0 με άρθρο

30.1 Οργανωτικό ή εκτός Microsoft 365 Υπεύθυνος και εκτελών

Ο υπεύθυνος τηρεί γραπτό αρχείο των δραστηριοτήτων επεξεργασίας για τις οποίες είναι υπεύθυνος, με τα στοιχεία της παραγράφου 1, και το θέτει στη διάθεση της εποπτικής αρχής όταν ζητηθεί. Ο εκτελών τηρεί αντίστοιχο αρχείο σύμφωνα με την παράγραφο 2.

Microsoft: Δεν υπάρχει προϊόν στο Microsoft 365 για την τήρηση του αρχείου δραστηριοτήτων. Το Content explorer του Microsoft Purview βοηθά μόνο να φανεί πού υπάρχουν δεδομένα προσωπικού χαρακτήρα.
Τεκμήριο: Αρχείο δραστηριοτήτων επεξεργασίας, επικαιροποιημένο και με ημερομηνία.
Επιπλέον άδεια: Microsoft 365 E5 ή Microsoft Purview Suite για Content explorer
Προσοχή: Η παράγραφος 5 εξαιρεί τις επιχειρήσεις με λιγότερους από 250 εργαζομένους, εκτός αν η επεξεργασία ενδέχεται να θέσει σε κίνδυνο τα δικαιώματα των υποκειμένων, δεν είναι περιστασιακή ή αφορά ειδικές κατηγορίες του άρθρου 9 ή δεδομένα ποινικών καταδικών του άρθρου 10. Στην πράξη, η μισθοδοσία είναι μη περιστασιακή επεξεργασία, οπότε σχεδόν κάθε εργοδότης χρειάζεται αρχείο.
ΚΥΑ 1689/2025: Άρθρο 11
ISO/IEC 27001: A.5.9 A.5.34

Άρθρο 32

Ασφάλεια επεξεργασίας

6 υποχρεώσεις · 3 με άρθρο

32.1.α Τεχνικό Υπεύθυνος και εκτελών

Μέτρα ασφάλειας ανάλογα με τον κίνδυνο, που περιλαμβάνουν, μεταξύ άλλων, την ψευδωνυμοποίηση και την κρυπτογράφηση των δεδομένων προσωπικού χαρακτήρα.

Microsoft

BitLocker στις συσκευές Windows μέσω Microsoft Intune. Sensitivity labels με κρυπτογράφηση για αρχεία και email. Microsoft Purview Message Encryption για email προς εξωτερικούς παραλήπτες. Κρυπτογράφηση των δεδομένων του Microsoft 365 σε κατάσταση ηρεμίας από προεπιλογή, και Customer Key για κλειδιά που ελέγχει ο οργανισμός.

Τεκμήριο

Intune: encryption report και compliance policies. Purview: sensitivity labels με κρυπτογράφηση. Exchange: mail flow rules ή policies για Message Encryption.

Επιπλέον άδεια

Microsoft Intune Plan 1 και sensitivity labels στο Microsoft 365 E3. Customer Key και Advanced Message Encryption στο Microsoft 365 E5

Προσοχή

Η ψευδωνυμοποίηση δεν είναι λειτουργία του Microsoft 365 και γίνεται στις εφαρμογές ή στις βάσεις δεδομένων.

ΚΥΑ 1689/2025

Άρθρο 22

ISO/IEC 27001

A.8.24 A.8.11

Άρθρα

Purview Auto-labeling: Από 100.000 σε 500.000 αρχεία την ημέρα, τι αλλάζει πραγματικά για το labeling backlog σου

32.1.β Τεχνικό Υπεύθυνος και εκτελών

Δυνατότητα διασφάλισης του απορρήτου, της ακεραιότητας, της διαθεσιμότητας και της αξιοπιστίας των συστημάτων και των υπηρεσιών επεξεργασίας σε συνεχή βάση.

Microsoft

Conditional Access, MFA και Privileged Identity Management στο Microsoft Entra ID. Compliance policies στο Microsoft Intune ως προϋπόθεση πρόσβασης. Microsoft Defender XDR για τον εντοπισμό και την αντιμετώπιση επιθέσεων σε endpoints, ταυτότητες, email και cloud apps.

Τεκμήριο

Entra: πολιτικές Conditional Access, PIM assignments. Intune: device compliance report. Defender XDR: incidents. Microsoft Secure Score: βαθμολογία.

Επιπλέον άδεια

Microsoft Entra ID P2 για Privileged Identity Management. Microsoft 365 E5 ή αντίστοιχο για Microsoft Defender XDR

Προσοχή

Η διαθεσιμότητα των ίδιων των υπηρεσιών του Microsoft 365 είναι ευθύνη της Microsoft, σύμφωνα με τους όρους της σύμβασης.

ΚΥΑ 1689/2025

Άρθρο 13 Άρθρο 14 Άρθρο 19 Άρθρο 20

KQL

ISO/IEC 27001

A.5.15 A.8.2 A.8.5 A.8.16

Άρθρα

32.1.γ Μικτό Υπεύθυνος και εκτελών

Δυνατότητα αποκατάστασης της διαθεσιμότητας και της πρόσβασης στα δεδομένα σε εύθετο χρόνο σε περίπτωση φυσικού ή τεχνικού συμβάντος.

Microsoft: Microsoft 365 Backup για Exchange, SharePoint και OneDrive. OneDrive Restore και Recycle Bin για τις συνηθισμένες περιπτώσεις. Retention policies ώστε τα διαγραμμένα να μένουν ανακτήσιμα.
Τεκμήριο: Microsoft 365 Backup: πολιτικές και δοκιμές επαναφοράς. Τεκμηριωμένη δοκιμή επαναφοράς με ημερομηνία και αποτέλεσμα.
Επιπλέον άδεια: Το Microsoft 365 Backup χρεώνεται ξεχωριστά, με βάση τον όγκο των δεδομένων
Προσοχή: Η Microsoft διασφαλίζει τη διαθεσιμότητα της υπηρεσίας, όχι την ανάκτηση δεδομένων που διέγραψε ή κρυπτογράφησε ο ίδιος ο οργανισμός ή ένας επιτιθέμενος. Τα συστήματα εκτός Microsoft 365 θέλουν δική τους λύση αντιγράφων.
ΚΥΑ 1689/2025: Άρθρο 25
ISO/IEC 27001: A.8.13 A.5.30

32.1.δ Μικτό Υπεύθυνος και εκτελών

Διαδικασία για την τακτική δοκιμή, εκτίμηση και αξιολόγηση της αποτελεσματικότητας των τεχνικών και οργανωτικών μέτρων για τη διασφάλιση της ασφάλειας της επεξεργασίας.

Microsoft

Microsoft Secure Score για τη συνεχή μέτρηση των ρυθμίσεων. Attack simulation training στο Microsoft Defender for Office 365 Plan 2 για τη δοκιμή των χρηστών. Microsoft Purview Compliance Manager για την αξιολόγηση των μέτρων.

Τεκμήριο

Secure Score: History. Αναφορές του Attack simulation training. Εκθέσεις ελέγχων παρείσδυσης και εσωτερικών ελέγχων.

Επιπλέον άδεια

Microsoft Defender for Office 365 Plan 2 για το Attack simulation training

Προσοχή

Οι έλεγχοι παρείσδυσης και οι εσωτερικοί έλεγχοι γίνονται εκτός Microsoft 365. Η βαθμολογία του Secure Score δεν αντικαθιστά την αξιολόγηση της αποτελεσματικότητας.

ΚΥΑ 1689/2025

Άρθρο 8 Άρθρο 18

ISO/IEC 27001

A.5.35 A.5.36

Άρθρα

32.2 Μικτό Υπεύθυνος και εκτελών

Το κατάλληλο επίπεδο ασφάλειας εκτιμάται με βάση τους κινδύνους της επεξεργασίας, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή πρόσβαση.

Microsoft: Microsoft Purview Data Security Posture Management για τους κινδύνους στα δεδομένα. Microsoft Purview Insider Risk Management για κινδύνους από χρήστες με νόμιμη πρόσβαση. Microsoft Security Exposure Management για την εικόνα έκθεσης των συστημάτων.
Τεκμήριο: Μητρώο κινδύνων με τις επεξεργασίες δεδομένων προσωπικού χαρακτήρα. Αναφορές του Data Security Posture Management.
Επιπλέον άδεια: Microsoft 365 E5 ή Microsoft Purview Suite (πρώην Microsoft 365 E5 Compliance) για Data Security Posture Management και Insider Risk Management
Προσοχή: Η εκτίμηση κινδύνου είναι διαδικασία του υπευθύνου. Τα εργαλεία δίνουν δεδομένα σε αυτήν, δεν την κάνουν.
ΚΥΑ 1689/2025: Άρθρο 5

32.4 Μικτό Υπεύθυνος και εκτελών

Ο υπεύθυνος και ο εκτελών λαμβάνουν μέτρα ώστε κάθε φυσικό πρόσωπο που ενεργεί υπό την εποπτεία τους και έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα να τα επεξεργάζεται μόνο κατ' εντολή του υπευθύνου επεξεργασίας, εκτός αν υποχρεούται από το δίκαιο της Ένωσης ή του κράτους μέλους.

Microsoft

Access reviews στο Microsoft Entra ID για τον περιοδικό έλεγχο του ποιος έχει πρόσβαση. Microsoft Purview Audit για τις ενέργειες των χρηστών. Microsoft Purview Insider Risk Management για ασυνήθιστη χρήση δεδομένων.

Τεκμήριο

Entra: αποτελέσματα access reviews. Purview: Audit search. Δηλώσεις εμπιστευτικότητας των εργαζομένων.

Επιπλέον άδεια

Microsoft Entra ID P2 ή Microsoft Entra ID Governance για access reviews. Microsoft 365 E5 για Insider Risk Management

Προσοχή

Οι εντολές και οι δεσμεύσεις εμπιστευτικότητας είναι έγγραφα και διαδικασίες. Το Insider Risk Management χρειάζεται ενημέρωση των εργαζομένων και έλεγχο αναλογικότητας, γιατί είναι κι αυτό επεξεργασία δεδομένων.

ΚΥΑ 1689/2025

Άρθρο 10 Άρθρο 13

KQL

🔎 Αναθέσεις ρόλων στο Entra ID

ISO/IEC 27001

A.6.6 A.5.18

Άρθρο 33

Γνωστοποίηση παραβίασης δεδομένων προσωπικού χαρακτήρα στην εποπτική αρχή

4 υποχρεώσεις · 3 με άρθρο

33.1 Μικτό Υπεύθυνος επεξεργασίας

Σε περίπτωση παραβίασης, ο υπεύθυνος τη γνωστοποιεί στην αρμόδια εποπτική αρχή χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, μέσα σε 72 ώρες από τη στιγμή που αποκτά γνώση, εκτός αν η παραβίαση δεν ενδέχεται να θέσει σε κίνδυνο τα δικαιώματα των φυσικών προσώπων. Η καθυστέρηση πέρα από τις 72 ώρες αιτιολογείται.

Microsoft

Incidents του Microsoft Defender XDR, που καταγράφουν πότε ξεκίνησε η δραστηριότητα και πότε εντοπίστηκε, για τον υπολογισμό των 72 ωρών. Τα alerts του Microsoft Purview DLP εμφανίζονται στην ίδια ουρά incidents.

Τεκμήριο

Defender XDR: incident με χρονολόγιο, ανάθεση και ταξινόμηση. Γνωστοποίηση προς την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα με ημερομηνία και ώρα.

Επιπλέον άδεια

Microsoft 365 E5 ή αντίστοιχο για Microsoft Defender XDR

Προσοχή

Στην Ελλάδα η γνωστοποίηση γίνεται στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Για τις βασικές και σημαντικές οντότητες, το ίδιο περιστατικό μπορεί να θέλει και αναφορά βάσει του ν. 5160/2024, με διαφορετικές προθεσμίες και αποδέκτη.

ΚΥΑ 1689/2025

Άρθρο 24

ISO/IEC 27001

A.5.5 A.5.24 A.5.25 A.5.26

Άρθρα

33.2 Μικτό Υπεύθυνος και εκτελών

Ο εκτελών ενημερώνει τον υπεύθυνο χωρίς αδικαιολόγητη καθυστέρηση μόλις αντιληφθεί παραβίαση δεδομένων προσωπικού χαρακτήρα.

Microsoft: Για τις online υπηρεσίες της Microsoft, η ειδοποίηση για περιστατικά ασφάλειας ορίζεται στο Data Protection Addendum (DPA) και γίνεται προς τους διαχειριστές του tenant. Service health και Message center στο Microsoft 365 admin center για τις ανακοινώσεις της υπηρεσίας.
Τεκμήριο: Επικαιροποιημένα στοιχεία επικοινωνίας στο Microsoft 365 admin center. Συμβάσεις με τους υπόλοιπους εκτελούντες με όρο ειδοποίησης.
Προσοχή: Κρατήστε επικαιροποιημένα τα στοιχεία επικοινωνίας των διαχειριστών, αλλιώς η ειδοποίηση της Microsoft δεν φτάνει σε κανέναν.
ΚΥΑ 1689/2025: Άρθρο 12 Άρθρο 24
ISO/IEC 27001: A.5.20 A.5.24

33.3 Μικτό Υπεύθυνος επεξεργασίας

Η γνωστοποίηση περιγράφει τουλάχιστον τη φύση της παραβίασης, με τις κατηγορίες και τον κατά προσέγγιση αριθμό των υποκειμένων και των αρχείων, τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων ή άλλου σημείου επικοινωνίας, τις πιθανές συνέπειες και τα μέτρα που ελήφθησαν ή προτείνονται.

Microsoft

Microsoft Purview Audit, π.χ. το event MailItemsAccessed, για το ποια μηνύματα και αρχεία προσπελάστηκαν. Microsoft Purview eDiscovery για το ποια υποκείμενα αφορούν τα επηρεαζόμενα δεδομένα. Το incident του Microsoft Defender XDR για το εύρος και τις ενέργειες αντιμετώπισης.

Τεκμήριο

Audit search με τα επηρεαζόμενα αντικείμενα. Defender XDR: incident με evidence και Action center.

Επιπλέον άδεια

Το Microsoft Purview Audit (Standard) υπάρχει στο Microsoft 365 E3. Το Audit (Premium), με μεγαλύτερη διατήρηση, στο Microsoft 365 E5

Προσοχή

Το Audit (Standard) κρατά τα logs για 180 ημέρες. Αν η παραβίαση εντοπιστεί αργά, τα στοιχεία μπορεί να έχουν χαθεί, οπότε ελέγξτε τον χρόνο διατήρησης πριν τον χρειαστείτε.

ΚΥΑ 1689/2025

Άρθρο 24

ISO/IEC 27001

A.5.28 A.8.15

Άρθρα

Live Webinar: Μάθε το Microsoft Defender XDR σε 60 λεπτά

33.5 Μικτό Υπεύθυνος επεξεργασίας

Ο υπεύθυνος τεκμηριώνει κάθε παραβίαση, με τα γεγονότα, τις συνέπειες και τα διορθωτικά μέτρα, ώστε η εποπτική αρχή να μπορεί να ελέγξει τη συμμόρφωση.

Microsoft

Ιστορικό των incidents στο Microsoft Defender XDR με σχόλια, ταξινόμηση και ενέργειες αντιμετώπισης.

Τεκμήριο

Μητρώο παραβιάσεων, και για όσες δεν γνωστοποιήθηκαν. Defender XDR: incidents με σχόλια και κατάσταση.

Επιπλέον άδεια

Microsoft 365 E5 ή αντίστοιχο για Microsoft Defender XDR

Προσοχή

Το μητρώο τηρείται για όλες τις παραβιάσεις, ακόμη κι αν κρίθηκε ότι δεν χρειάζεται γνωστοποίηση. Το Defender XDR δεν αντικαθιστά το μητρώο.

ΚΥΑ 1689/2025

Άρθρο 24

ISO/IEC 27001

A.5.27 A.5.28

Άρθρα

Live Webinar: Μάθε το Microsoft Defender XDR σε 60 λεπτά

Άρθρο 34

Ανακοίνωση παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων

2 υποχρεώσεις · 0 με άρθρο

34.1 Οργανωτικό ή εκτός Microsoft 365 Υπεύθυνος επεξεργασίας

Όταν η παραβίαση ενδέχεται να θέσει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος την ανακοινώνει στο υποκείμενο χωρίς αδικαιολόγητη καθυστέρηση.

Microsoft: Η ανακοίνωση είναι διαδικασία του υπευθύνου. Το Microsoft Purview eDiscovery βοηθά να βρεθούν τα υποκείμενα που αφορά η παραβίαση.
Τεκμήριο: Κείμενο της ανακοίνωσης, λίστα παραληπτών και ημερομηνία.
Προσοχή: Η ανακοίνωση περιέχει τουλάχιστον τα στοιχεία των σημείων β, γ και δ του άρθρου 33 παράγραφος 3.
ΚΥΑ 1689/2025: Άρθρο 24
ISO/IEC 27001: A.5.26

34.3.α Τεχνικό Υπεύθυνος επεξεργασίας

Η ανακοίνωση στο υποκείμενο δεν απαιτείται αν ο υπεύθυνος είχε εφαρμόσει κατάλληλα τεχνικά και οργανωτικά μέτρα προστασίας στα επηρεαζόμενα δεδομένα, ιδίως μέτρα που τα καθιστούν μη κατανοητά σε όποιον δεν έχει άδεια πρόσβασης, όπως η κρυπτογράφηση.

Microsoft: BitLocker στις συσκευές μέσω Microsoft Intune, ώστε ένα χαμένο ή κλεμμένο laptop να μη δίνει πρόσβαση στα δεδομένα. Sensitivity labels με κρυπτογράφηση, ώστε ένα αρχείο που διέρρευσε να μην ανοίγει εκτός οργανισμού.
Τεκμήριο: Intune: encryption report για τη συγκεκριμένη συσκευή τη στιγμή της απώλειας. Purview: label με κρυπτογράφηση στο αρχείο που διέρρευσε.
Επιπλέον άδεια: Microsoft Intune Plan 1 και sensitivity labels στο Microsoft 365 E3
Προσοχή: Η εξαίρεση ισχύει μόνο αν τα κλειδιά δεν έχουν διαρρεύσει. Η απόδειξη ότι η συσκευή ήταν κρυπτογραφημένη πριν την απώλεια είναι αυτό που μετράει, γι' αυτό κρατήστε την αναφορά του Intune.
ΚΥΑ 1689/2025: Άρθρο 22
ISO/IEC 27001: A.8.24

Άρθρο 35

Εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων

1 υποχρέωση · 0 με άρθρο

35.1 Οργανωτικό ή εκτός Microsoft 365 Υπεύθυνος επεξεργασίας

Όταν μια επεξεργασία, ιδίως με νέες τεχνολογίες, ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα των φυσικών προσώπων, ο υπεύθυνος διενεργεί εκτίμηση αντικτύπου πριν από την επεξεργασία.

Microsoft: Η εκτίμηση αντικτύπου είναι έγγραφο του υπευθύνου. Το Service Trust Portal της Microsoft διαθέτει τεκμηρίωση για την εκτίμηση αντικτύπου στις υπηρεσίες της, που χρησιμεύει ως είσοδος.
Τεκμήριο: Εκθέσεις εκτίμησης αντικτύπου με ημερομηνία, γνώμη του υπευθύνου προστασίας δεδομένων όπου υπάρχει, και απόφαση.
Προσοχή: Χρειάζεται συχνά πριν την ενεργοποίηση νέων λειτουργιών που επεξεργάζονται δεδομένα εργαζομένων, π.χ. Insider Risk Management ή εργαλεία AI.
ΚΥΑ 1689/2025: Άρθρο 5
ISO/IEC 27001: A.5.34

Άρθρο 37

Ορισμός του υπευθύνου προστασίας δεδομένων

1 υποχρέωση · 0 με άρθρο

37.1 Οργανωτικό ή εκτός Microsoft 365 Υπεύθυνος και εκτελών

Ο υπεύθυνος και ο εκτελών ορίζουν υπεύθυνο προστασίας δεδομένων όταν η επεξεργασία γίνεται από δημόσια αρχή, ή όταν οι βασικές τους δραστηριότητες περιλαμβάνουν τακτική και συστηματική παρακολούθηση σε μεγάλη κλίμακα ή επεξεργασία σε μεγάλη κλίμακα ειδικών κατηγοριών ή δεδομένων για ποινικές καταδίκες και αδικήματα.

Microsoft: Δεν υπάρχει ρύθμιση της Microsoft. Αν ορίσετε υπεύθυνο προστασίας δεδομένων, δώστε του πρόσβαση μόνο ανάγνωσης στα εργαλεία του Microsoft Purview που χρειάζεται, π.χ. Compliance Manager.
Τεκμήριο: Απόφαση ορισμού και γνωστοποίηση των στοιχείων του στην εποπτική αρχή.
Προσοχή: Οργανωτικό και νομικό ζήτημα.
ΚΥΑ 1689/2025: Άρθρο 7
ISO/IEC 27001: A.5.2 A.5.34

Άρθρο 44

Γενικές αρχές για διαβιβάσεις

1 υποχρέωση · 1 με άρθρο

44 Μικτό Υπεύθυνος και εκτελών

Κάθε διαβίβαση δεδομένων προς τρίτη χώρα ή διεθνή οργανισμό γίνεται μόνο αν τηρούνται οι προϋποθέσεις του Κεφαλαίου V, ώστε να μην υπονομεύεται το επίπεδο προστασίας που εγγυάται ο Κανονισμός.

Microsoft

EU Data Boundary της Microsoft για την αποθήκευση και την επεξεργασία των δεδομένων των online υπηρεσιών εντός ΕΕ. Data location στο Microsoft 365 admin center για τη χώρα αποθήκευσης. Cloud Discovery του Microsoft Defender for Cloud Apps για εφαρμογές που αποθηκεύουν δεδομένα εκτός ΕΕ.

Τεκμήριο

Microsoft 365 admin center: Settings, Org settings, Organization profile, Data location. Defender for Cloud Apps: αναφορές Cloud Discovery.

Επιπλέον άδεια

Για Ελληνικούς tenants στη γεωγραφία European Union το Advanced Data Residency δεν εφαρμόζεται, γιατί η Ελλάδα δεν περιλαμβάνεται στις Local Region Geographies. Microsoft Defender for Cloud Apps (Microsoft 365 E5 ή αντίστοιχο)

Προσοχή

Το EU Data Boundary έχει τεκμηριωμένες εξαιρέσεις, π.χ. για ορισμένες λειτουργίες ασφάλειας και υποστήριξης. Διαβάστε τες πριν δηλώσετε ότι «τίποτα δεν φεύγει από την ΕΕ».

ΚΥΑ 1689/2025

Άρθρο 12

ISO/IEC 27001

A.5.14 A.5.23

Άρθρα

Άρθρο 46

Διαβιβάσεις που υπόκεινται σε κατάλληλες εγγυήσεις

1 υποχρέωση · 0 με άρθρο

46.2.γ Μικτό Υπεύθυνος και εκτελών

Χωρίς απόφαση επάρκειας, η διαβίβαση επιτρέπεται με κατάλληλες εγγυήσεις, όπως οι τυποποιημένες ρήτρες προστασίας δεδομένων που εκδίδει η Επιτροπή, και εφόσον υπάρχουν εκτελεστά δικαιώματα και αποτελεσματικά ένδικα μέσα για τα υποκείμενα.

Microsoft: Το Data Protection Addendum (DPA) της Microsoft ενσωματώνει τις τυποποιημένες ρήτρες της Επιτροπής για τις διαβιβάσεις που κάνει η Microsoft. Data Loss Prevention του Microsoft Purview για τον έλεγχο της αποστολής δεδομένων σε εξωτερικούς παραλήπτες.
Τεκμήριο: Τρέχουσα έκδοση του DPA. Κατάλογος διαβιβάσεων με τη νομική βάση της καθεμίας. Purview: DLP policies.
Προσοχή: Για τις ΗΠΑ ισχύει επίσης η απόφαση επάρκειας (ΕΕ) 2023/1795 για το EU-U.S. Data Privacy Framework (άρθρο 45), μόνο για αποδέκτες πιστοποιημένους σε αυτό. Η απόφαση εκκρεμεί σε αναίρεση στο Δικαστήριο της ΕΕ, οπότε κρατήστε τις τυποποιημένες ρήτρες ως δεύτερη βάση. Οι διαβιβάσεις σε άλλους παρόχους θέλουν δική τους αξιολόγηση.
ΚΥΑ 1689/2025: Άρθρο 12
ISO/IEC 27001: A.5.14 A.5.20