Αυτή η Πολιτική συντάχθηκε από την Υπηρεσία Εσωτερικού Ελέγχου (ΥΕΕ) και περιγράφει πότε και ποια προσωπικά δεδομένα συλλέγει η Υπηρεσία, πώς χρησιμοποιούνται αυτά τα προσωπικά δεδομένα και σε ποιους δίνονται/αποστέλλονται. Η ΥΕΕ ενδέχεται να χρησιμοποιεί προσωπικά δεδομένα που της παρέχονται για οποιονδήποτε από τους σκοπούς που περιγράφονται στην παρούσα Πολιτική. Η Πολιτική αυτή καθορίζει επίσης τα δικαιώματά των υποκειμένων σε σχέση με τα προσωπικά τους δεδομένα και με ποιον τρόπο μπορούν να επικοινωνήσουν για περισσότερες πληροφορίες ή απορίες.
Η ΥΕΕ δεσμεύεται για την προστασία των προσωπικών δεδομένων και αυτή η Πολιτική περιγράφει λεπτομερώς την προσέγγισή της αναφορικά με αυτά τα ζητήματα.
Η ΥΕΕ στεγάζεται στην Λεωφόρο Λεμεσού 13, Αγλαντζιά, 2112, Λευκωσία, η οποία σύμφωνα με τον Περί Εσωτερικού Ελέγχου Ν 114(ι)/2003, αποτελεί ανεξάρτητη Υπηρεσία η οποία δεν υπάγεται σε κανένα Υπουργείο.
Τα προσωπικά δεδομένα περιλαμβάνουν κάθε πληροφορία που σχετίζεται με ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Η ΥΕΕ επεξεργάζεται προσωπικά δεδομένα για σκοπούς που συνδέονται κυρίως με ελέγχους που διενεργεί. Τα μέσα συλλογής, η νομική βάση επεξεργασίας και οι περίοδοι διατήρησης ανάλογα με τον κάθε σκοπό διαφέρουν. Πληροφορίες σχετικά με τις συγκεκριμένες δραστηριότητες επεξεργασίας ακολουθούν πιο κάτω.


Επεξεργασία Προσωπικών Δεδομένων από την ΥΕΕ
Η ΥΕΕ επεξεργάζεται Προσωπικά Δεδομένα στο πλαίσιο εκτέλεσης των καθηκόντων, αρμοδιοτήτων και εξουσιών της που απορρέουν από τη Νομοθεσία της, ή/και βάσει Αποφάσεων του Υπουργικού Συμβουλίου καθώς και από τη συνεργασία της με πολίτες και εταιρείες/ οργανισμούς του Δημοσίου ή Ιδιωτικού Τομέα. Η ΥΕΕ έχει πρόσβαση σε όλα τα Προσωπικά Δεδομένα και σε όλες τις πληροφορίες που απαιτούνται για την εκτέλεση της αποστολής της και την άσκηση των εξουσιών της.
Η ΥΕΕ προβαίνει σε συλλογή και επεξεργασία Προσωπικών Δεδομένων στις πιο κάτω περιπτώσεις:

1. Επεξεργασία δεδομένων κατά τους ελέγχους
Η ΥΕΕ διενεργεί ελέγχους με βάση τη Νομοθεσία της(N. 114(I)/2003), ειδικές πρόνοιες Αποφάσεων του Υπουργικού Συμβουλίου για τη διενέργεια συγκεκριμένων ελέγχων καθώς και το Ετήσιο και επιμέρους Προγράμματα Ελέγχου. Σε ορισμένες περιπτώσεις κατά τη διάρκεια αυτών των ελέγχων, η ΥΕΕ χρειάζεται να επεξεργαστεί προσωπικά δεδομένα.
Τα δεδομένα κοινοποιούνται γενικά στην ΥΕΕ από τον ελεγχόμενο με ηλεκτρονικά ή/και φυσικά μέσα (έντυπη μορφή).
Η ΥΕΕ έχει επίσης πρόσβαση σε ορισμένα μητρώα και πληροφοριακά συστήματα για τη διενέργεια ελέγχων, εάν αυτό απαιτείται. Τα δεδομένα υφίστανται επεξεργασία μόνο από τους υπαλλήλους που διενεργούν τον έλεγχο. Άλλα πρόσωπα που δεν σχετίζονται με τον έλεγχο, τη διαχείριση και την επίβλεψή του, δεν έχουν πρόσβαση σε αυτά τα προσωπικά δεδομένα.
Η ΥΕΕ δεν αποκαλύπτει προσωπικά δεδομένα στις εκθέσεις της ούτε τα κοινοποιεί κατά τη διενέργεια ελέγχων, εκτός εάν τα δεδομένα σχετίζονται με τον ίδιο τον ελεγχόμενο, όπως για παράδειγμα ευρήματα και συστάσεις.

2. Επεξεργασία δεδομένων για τους σκοπούς Προκήρυξης και Ανάθεσης Διαγωνισμών
Ο έλεγχος ορισμένων ελεγχόμενων οργανισμών δύναται να ανατεθεί σε ιδιωτικούς ελεγκτικούς οίκους από την ΥΕΕ.
Η επεξεργασία γίνεται για σκοπούς προκήρυξης και ανάθεσης Διαγωνισμών σύμφωνα με τη σχετική Νομοθεσία. Η ΥΕΕ συλλέγει τα προσωπικά δεδομένα από τους ενδιαφερόμενους ιδιωτικούς ελεγκτικούς οργανισμούς για σκοπούς αξιολόγησης των προσφορών, κατακύρωσης των διαγωνισμών και υλοποίησης των σχετικών συμβάσεων.
Η νομική βάση προκύπτει από τις διατάξεις του Άρθρου 6(1)(γ) και (ε) του Κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και Ευρωπαϊκού Συμβουλίου και το νομικό πλαίσιο που διέπει τις Δημόσιες Συμβάσεις, δηλαδή ο νόμος [N.73(I)/2016].
Τα προσωπικά δεδομένα που συνήθως συλλέγονται είναι: Στοιχεία ταυτοποίησης, επικοινωνίας και βιογραφικά υπαλλήλων ενδιαφερόμενων ελεγκτικών οργανισμών που συμμετέχουν στους διαγωνισμούς.

3. Κλειστό Κύκλωμα Βίντεο-παρακολούθησης - CCTV
Η ΥΕΕ έχει εγκατεστημένες κάμερες βίντεο-παρακολούθησης εξωτερικά και εσωτερικά του κτιρίου για σκοπούς ασφαλείας. Οι κάμερες λαμβάνουν εικόνες του προσωπικού και των επισκεπτών, κατά την είσοδό και κατά την έξοδό τους στην ΥΕΕ.
Η νομική βάση της επεξεργασίας προκύπτει από τις διατάξεις του Άρθρου 6(1)(στ) του Κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και Ευρωπαϊκού Συμβουλίου προς εκπλήρωση του εννόμου συμφέροντος της ΥΕΕ. Οι εικόνες διατηρούνται για 2 χρόνια και 3 μήνες.

4. Προσωπικό ΥΕΕ (προσλήψεις, προαγωγές, αφυπηρετήσεις, άδειες, πρόσβαση στο κτίριο)
Η ΥΕΕ επεξεργάζεται τα προσωπικά δεδομένα αιτητών και ενδιαφερομένων προσώπων για προσλήψεις (έναντι κενών θέσεων, αποσπάσεων, κ.λπ.), για άδειες και για προαγωγές, αφυπηρετήσεις και άλλες διαδικασίες που αφορούν στο προσωπικό, σύμφωνα με τον περί Δημόσιας Υπηρεσίας Νόμο και σχετικούς κανονισμούς.
Τα έγγραφα που σχετίζονται με την αίτηση εργασίας στην ΥΕΕ (π.χ. αίτηση, βιογραφικό, αλληλογραφία με τον υποψήφιο, πληροφορίες για τον υποψήφιο που συγκεντρώθηκαν από δημόσιες πηγές και άλλα έγγραφα) περιέχουν προσωπικά δεδομένα (π.χ. όνομα, προσωπικός κωδικός αναγνώρισης – ταυτότητα και αριθμός υποψηφίου, στοιχεία επικοινωνίας). Κατά την πρόσληψη, η ΥΕΕ συλλέγει μόνο δεδομένα των οποίων προκύπτει υποχρέωση συλλογής από τη κείμενη νομοθεσία. Τα άτομα που συμμετέχουν στη διαδικασία πρόσληψης, το προσωπικό ανθρώπινου δυναμικού και αρμόδιοι λειτουργοί της Επιτροπής Δημόσιας Υπηρεσίας, έχουν πρόσβαση στα προσωπικά δεδομένα της αίτησης.
Η ΥΕΕ επεξεργάζεται τα προσωπικά δεδομένα των υπαλλήλων και των εργαζομένων όσο το δυνατόν λιγότερο και δεν τα αποθηκεύει για περισσότερο από όσο απαιτείται για την επεξεργασία.
Για σκοπούς ασφάλειας τόσο του κτιρίου αλλά και του προσωπικού της ΥΕΕ, προσωπικά δεδομένα των κατόχων καρτών πρόσβασης στο κτίριο της ΥΕΕ τυγχάνουν επίσης επεξεργασίας.
Η νομική βάση προκύπτει από τις διατάξεις του Άρθρου 6(1)(γ), (ε) και (στ) του Κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και Ευρωπαϊκού Συμβουλίου και του νομικού πλαισίου της Δημόσιας Υπηρεσίας [N.1(I)/1990].

Αποδέκτες Προσωπικών Δεδομένων
Κατά κανόνα, δεν κοινοποιούνται ούτε διαβιβάζονται προσωπικά δεδομένα σε τρίτα μέρη. Σε ορισμένες περιπτώσεις, ωστόσο, η ΥΕΕ έχει την υποχρέωση να κοινοποιεί τα δεδομένα των υποκειμένων σε τρίτους στο πλαίσιο της εκτέλεσης των καθηκόντων, εξουσιών και αρμοδιοτήτων της.
Τέτοιες περιπτώσεις είναι η προώθηση παραπόνων / καταγγελιών, που λαμβάνει η ΥΕΕ, σε αρμόδια για χειρισμό Τμήματα/ Υπηρεσίες του Δημοσίου, σύμφωνα με το άρθρο 17(5) του Ν.(158(I)/1999).
Σε περίπτωση που η ΥΕΕ αναθέτει ελέγχους σε εξωτερικούς ελεγκτές, επιβάλλονται μέσω των σχετικών εγγράφων του διαγωνισμού και της σύμβασης, οι ίδιες υποχρεώσεις όσον αφορά στην προστασία των προσωπικών δεδομένων, προκειμένου να παρέχονται επαρκείς διαβεβαιώσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων, ούτως ώστε η επεξεργασία να πληροί τις απαιτήσεις του οικείου Ευρωπαϊκού Κανονισμού.
Στα έγγραφα διαγωνισμών /συμφωνιών με ιδιωτικούς ελεγκτικούς οίκους περιλαμβάνονται τα ακόλουθα, καθώς και όσον αφορά συμφωνίες με εξωτερικούς συνεργάτες σχετικά με τις Υποχρεώσεις Συμμόρφωσης και Νομικής Ευθύνης του Αναδόχου:

• _{Ο Ανάδοχος θα σέβεται και θα συμμορφώνεται με όλους τους ισχύοντες νόμους και κανονισμούς στην Κυπριακή Δημοκρατία και θα διασφαλίζει ότι το προσωπικό του, οι εξαρτώμενοί του και οι τυχόν υπεργολάβοι ή συνεργάτες του σέβονται και συμμορφώνονται επίσης με όλους αυτούς τους νόμους και κανονισμούς. Ο Ανάδοχος θα αποζημιώνει την Αναθέτουσα Αρχή για οποιεσδήποτε απαιτήσεις και διαδικασίες προκύπτουν από τυχόν παραβίαση εκ μέρους του Αναδόχου, των υπαλλήλων του και των εξαρτωμένων του τέτοιων νόμων και κανονισμών.}
• Σε περιπτώσεις Συμβάσεων που αφορούν ζητήματα που σχετίζονται με την επεξεργασία δεδομένων προσωπικού χαρακτήρα, ο Ανάδοχος εγγυάται ότι θα σέβεται και θα συμμορφώνεται με όλους τους ισχύοντες νόμους και κανονισμούς περί της προστασίας των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και ότι θα φέρει την ευθύνη και θα είναι σε θέση να αποδείξει τη συμμόρφωση του σ’ αυτούς. Επιπρόσθετα θα διασφαλίζει ότι, το προσωπικό του και οι τυχόν υπεργολάβοι ή συνεργάτες και τα πρόσωπα που τελούν υπό τον έλεγχο του, θα σέβονται και θα συμμορφώνονται επίσης με αυτούς τους νόμους και κανονισμούς. (Σχετικός είναι ο Κανονισμός της ΕΕ 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27^ης Απριλίου 2016).

1. Δικαίωμα πρόσβασης

Τα υποκείμενα δεδομένων έχουν δικαίωμα να ζητήσουν πληροφορίες για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, καθώς και αντίγραφα εγγράφων που περιλαμβάνουν τα προσωπικά τους δεδομένα. Μπορούν να ενημερωθούν, μεταξύ άλλων, για τους σκοπούς της επεξεργασίας, τις κατηγορίες των δεδομένων, το χρόνο φύλαξης τους, καθώς επίσης και για τυχόν αποδέκτες.



2. Δικαίωμα διόρθωσης

Τα υποκείμενα δεδομένων έχουν το δικαίωμα να ζητήσουν στις περιπτώσεις που προβλέπονται στη σχετική νομοθεσία να διορθωθούν τυχόν λανθασμένα προσωπικά δεδομένα εάν τα δεδομένα είναι ανεπαρκή, ελλιπή ή ανακριβή.


3. Δικαίωμα εναντίωσης

Το δικαίωμα εναντίωσης σχετικά με την επεξεργασία των προσωπικών δεδομένων των υποκειμένων δεδομένων, στις περιπτώσεις που προβλέπονται στη σχετική νομοθεσία


4. Δικαίωμα διαγραφής - «δικαίωμα στη λήθη»

Το δικαίωμα διαγραφής των προσωπικών δεδομένων των υποκειμένων δεδομένων, το οποίο θα ικανοποιείται υπό τις προϋποθέσεις του Άρθρου 17 του Κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και Ευρωπαϊκού Συμβουλίου.


5. Δικαίωμα γνωστοποίησης

Το υποκείμενο δεδομένων ενημερώνεται με κάθε διόρθωση ή διαγραφή δεδομένων ή περιορισμό της επεξεργασίας σε κάθε αποδέκτη στον οποίο γνωστοποιήθηκαν νόμιμα τα προσωπικά του δεδομένα.


6. Δικαίωμα στη φορητότητα

Το δικαίωμα αυτό ισχύει μόνο όταν η ΥΕΕ επεξεργάζεται προσωπικά δεδομένα κατόπιν συγκατάθεσης ή για τον σκοπό της σύναψης ή της εκτέλεσης σύμβασης και η επεξεργασία είναι αυτοματοποιημένη, και αφορά μόνο τα προσωπικά δεδομένα που έχουν παραχωρήσει τα ίδια τα υποκείμενα δεδομένων.

7. Δικαίωμα προσφυγής σε εποπτική αρχή

Το υποκείμενο των δεδομένων έχει δικαίωμα να απευθυνθεί στην Επίτροπο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (dataprotection.gov.cy) ή να προσφύγει στο δικαστήριο, Άρθρο 79 του Κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και Ευρωπαϊκού Συμβουλίου και άρθρο 28 του Νόμου 125(Ι)/2018) εάν, κατά τη γνώμη του, η επεξεργασία των προσωπικών του δεδομένων παραβιάζει τα δικαιώματα και τα συμφέροντά του και δεν συμμορφώνεται με τη σχετική νομοθεσία.


8. Δικαίωμα ανάκλησης της συγκατάθεσης

Στις περιπτώσεις όπου η επεξεργασία των Προσωπικών Δεδομένων γίνεται βάσει συγκατάθεσης (άρθρα 6(1)(α) ή 9(2)(α)) του Κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και Ευρωπαϊκού Συμβουλίου, το υποκείμενο των δεδομένων έχει δικαίωμα να ανακαλέσει τη συγκατάθεση ανά πάσα στιγμή. Νοείται ότι η ανάκληση της συγκατάθεσης δεν θίγει τη νομιμότητα της επεξεργασίας που βασίστηκε πριν την ανάκληση της.

· εμποδίζει ή μπορεί να εμποδίσει την πρόληψη ποινικού αδικήματος.

· βλάπτει ή μπορεί να βλάψει τα δικαιώματα και τις ελευθερίες άλλων προσώπων.

· βλάπτει ή μπορεί να βλάψει οποιαδήποτε ποινική διαδικασία.

· τα δεδομένα έχουν διαγραφεί.

· αφορά δεδομένα που εμπίπτουν κάτω από το περί της Ασφάλειας Διαβαθμισμένων Πληροφοριών Διάταγμα του 2013 (ΚΔΠ 410/2013)