ΕΛΛΗΝΙΚΗ ΔΗΜΟΚΡΑΤΙΑ -ΥΠΟΥΡΓΕΙΟ ΥΓΕΙΑΣ & ΚΟΙΝΩΝΙΚΗΣ ΑΛΛΗΛΕΓΓΥΗΣ ΔΙΟΙΚΗΣΗ 6 ης Υ.ΠΕ. ΓΕΝΙΚΟ ΝΟΣΟΚΟΜΕΙΟ - Κ.Υ. ΦΙΛΙΑΤΩΝ

ΕΛΛΗΝΙΚΗ ΔΗΜΟΚΡΑΤΙΑ -ΥΠΟΥΡΓΕΙΟ ΥΓΕΙΑΣ & ΚΟΙΝΩΝΙΚΗΣ ΑΛΛΗΛΕΓΓΥΗΣ ΔΙΟΙΚΗΣΗ 6 ης Υ.ΠΕ. ΓΕΝΙΚΟ ΝΟΣΟΚΟΜΕΙΟ - Κ.Υ. ΦΙΛΙΑΤΩΝ ΑΝΑΡΤΗΤΕΑ ΣΤΟ ΔΙΑΔΙΚΤΥΟ Τμήμα : Διοικητικό - Οικονομικό ΦΙΛΙΑΤΕΣ: 29/01/2019 Ταχ. Διευθ. : Π. Μπέμπη 10 ΑΡ. ΠΡΩΤ.: 1328 Ταχ. Κώδ. : 46300 Φιλιάτες Πληροφορίες : Κ. Ντρίτσος Τηλέφωνο : 26643 60375 Fax : 26640 22204 E-mail : NtritsosK@gnfiliaton.gr ΔΙΑΚΗΡΥΞΗ Αριθμ. 3/2019 ΣΥΝΟΠΤΙΚΟΥ ΔΙΑΓΩΝΙΣΜΟΥ, για την ανάδειξη αναδόχου για την παροχή συμβουλευτικών υπηρεσιών με σκοπό την εναρμόνιση του Γ.Ν. Κ.Υ. Φιλιατών, ΚΨΥ Ηγουμενίτσας και Ξενώνα Ψυχαργώ, προς τον Γενικό Κανονισμό Προστασίας Δεδομένων GDPR, με κριτήριο κατακύρωσης την πλέον συμφέρουσα από οικονομική άποψη προσφορά μόνο βάσει της τιμής. ΑΝΤΙΚΕΙΜΕΝΟ ΤΟΥ ΔΙΑΓΩΝΙΣΜΟΥ ΣΥΝΟΠΤΙΚΑ ΣΤΟΙΧΕΙΑ ΑΝΑΘΕΤΟΥΣΑ ΑΡΧΗ Γενικό Νοσοκομείο Κ.Υ. Φιλιατών ΕΙΔΟΣ ΔΙΑΓΩΝΙΣΜΟΥ Συνοπτικός Πλέον συμφέρουσα από οικονομική άποψη ΚΡΙΤΗΡΙΟ ΚΑΤΑΚΥΡΩΣΗΣ προσφορά μόνο βάσει της τιμής Ημερομηνία : 12-02-2019 ΧΡΟΝΟΣ ΔΙΕΝΕΡΓΕΙΑΣ Ημέρα : Τρίτη Ώρα : 11:00 Γενικό Νοσοκομείο Κ.Υ. Φιλιατών, Π. ΤΟΠΟΣ ΔΙΕΝΕΡΓΕΙΑΣ Μπέμπη 10, 46300 Φιλιάτες Γρ. Προμηθειών Ανάδειξη αναδόχου για την παροχή συμβουλευτικών υπηρεσιών με σκοπό την εναρμόνιση του Γ.Ν. Κ.Υ. Φιλιατών, ΚΨΥ ΠΕΡΙΓΡΑΦΗ ΠΡΟΜΗΘΕΙΑΣ Ηγουμενίτσας και Ξενώνα Ψυχαργώ, προς τον Γενικό Κανονισμό Προστασίας Δεδομένων GDPR. ΚΩΔΙΚΟΣ CPV 48311000-1 23.560,00 (συμπεριλαμβανομένου του ΠΡΟΫΠΟΛΟΓΙΣΘΕΙΣΑ ΔΑΠΑΝΗ ΦΠΑ) ΔΙΑΡΚΕΙΑ ΤΗΣ ΣΥΜΒΑΣΗΣ Έξι (6) μήνες ΚΡΑΤΗΣΕΙΣ ΕΠΙ ΤΗΣ ΤΙΜΗΣ ΤΩΝ Οι τιμές υπόκεινται στις υπέρ του Δημοσίου ΕΙΔΩΝ και τρίτων νόμιμες κρατήσεις Κατά την πληρωμή παρακρατείται φόρος ΦΟΡΟΣ ΕΙΣΟΔΗΜΑΤΟΣ εισοδήματος σύμφωνα με το άρθρο 24 του Ν. (ΑΡΘΡΟ 24 ν. 2198/94) 2198/94 Έχοντας υπόψη: 1. Τις διατάξεις όπως αυτές ισχύουν: 1.1. Του Ν. 3329/2005 «Εθνικό Σύστημα Υγείας και Κοινωνικής Αλληλεγγύης και λοιπές διατάξεις» (Φ.Ε.Κ. Α 81 /4-4-2005), όπως ισχύει σήμερα. 1.2. Του Ν. 3580/2007 «Προμήθειες Φορέων εποπτευόμενων από το Υπουργείο Υγείας και Κοινωνικής Αλληλεγγύης και άλλες διατάξεις» (Φ.Ε.Κ. Α 134 /18-6- 2007) όπως ισχύει σήμερα. 1

1.3. Του Ν. 4412/2016 «Δημόσιες Συμβάσεις Έργων, Προμηθειών και Υπηρεσιών (προσαρμογή στις Οδηγίες 2014/24/ ΕΕ και 2014/25/ΕΕ)», (Φ.Ε.Κ. 147/Α/8-08- 2016). 1.4. Του Π.Δ. 166/2003 (Φ.Ε.Κ. 138/Α/2003) «Προσαρμογή της Ελληνικής Νομοθεσίας στην Οδηγία 2000/35/29 6 2000 για την καταπολέμηση των καθυστερήσεων πληρωμών στις Εμπορικές Συναλλαγές». 1.5. Του Ν. 3861/2010 (ΦΕΚ 112/Α/13-07-2010) «Ενίσχυση της διαφάνειας με υποχρεωτική ανάρτηση νόμων και πράξεων των κυβερνητικών, διοικητικών και αυτοδιοικητικών Οργάνων στο διαδίκτυο «Πρόγραμμα Διαύγεια» και άλλες διατάξεις» 2. Τις αποφάσεις: 2.1. Την με αριθμ. 27/20-12-2018 (θέμα 1 ο ) απόφαση του Δ.Σ. του Γενικού Νοσοκομείου Κ.Υ. Φιλιατών, έγκρισης προκήρυξης του διαγωνισμού. 2.2. Την με αριθμ. 19064/27-12-2018 απόφαση του Διοικητή του Γ.Ν. Κ.Υ. Φιλιατών, συγκρότησης Επιτροπής Διενέργειας και Αξιολόγησης Διαγωνισμού. 2.3. Την υπ. αρ. 896/18-01-2019 και με αριθμό καταχώρησης 209 απόφαση ανάληψης υποχρέωσης (ΑΔΑ: Ψ6ΛΙ46904Α-ΓΙΕ). ΠΡΟΚΗΡΥΣΣΟΥΜΕ 1. Συνοπτικό Διαγωνισμό, με γραπτές σφραγισμένες προσφορές για την ανάδειξη αναδόχου για την παροχή συμβουλευτικών υπηρεσιών με σκοπό την εναρμόνιση του Γ.Ν. Κ.Υ. Φιλιατών, ΚΨΥ Ηγουμενίτσας και Ξενώνα Ψυχαργώ, προς τον Γενικό Κανονισμό Προστασίας Δεδομένων GDPR, προϋπολογισμού δαπάνης 23.560,00 συμπεριλαμβανομένου του Φ.Π.Α., με κριτήριο κατακύρωσης την πλέον συμφέρουσα από οικονομική άποψη προσφορά μόνο βάσει της τιμής. 2. Ο διαγωνισμός θα γίνει στις 12-02-2019 ημέρα Τρίτη και ώρα 11.00 π.μ., στο ΓΡΑΦΕΙΟ ΠΡΟΜΗΘΕΙΩΝ του Νοσοκομείου Φιλιατών. Προσφορές που κατατίθενται μετά την παραπάνω ημερομηνία και ώρα, είναι εκπρόθεσμες και επιστρέφονται από την Υπηρεσία που διενεργεί το διαγωνισμό. 3. Για πληροφορίες αναφορικά με τη διακήρυξη του διαγωνισμού, οι ενδιαφερόμενοι μπορούν να απευθύνονται στο Γραφείο Προμηθειών Νοσοκομείου Φιλιατών, Π. Μπέμπη 10, Τ.Κ. 46300 Φιλιάτες, όλες τις εργάσιμες μέρες και ώρες και στο τηλέφωνο 2664 360375, καθώς και στο site του νοσοκομείου www.gnfiliaton.gr. 4. Το Διοικητικό Συμβούλιο του Γ.Ν.-Κ.Υ.Φιλιατών, δύναται να ματαιώσει τον διαγωνισμό. Ο ΔΙΟΙΚΗΤΗΣ ΣΠΥΡΟΣ ΔΕΡΔΕΜΕΖΗΣ 2

ΕΛΛΗΝΙΚΗ ΔΗΜΟΚΡΑΤΙΑ -ΥΠΟΥΡΓΕΙΟ ΥΓΕΙΑΣ & ΚΟΙΝΩΝΙΚΗΣ ΑΛΛΗΛΕΓΓΥΗΣ ΔΙΟΙΚΗΣΗ 6 ης Υ.ΠΕ. ΓΕΝΙΚΟ ΝΟΣΟΚΟΜΕΙΟ - Κ.Υ. ΦΙΛΙΑΤΩΝ ΠΑΡΑΡΤΗΜΑ Α ΕΙΔΙΚΟΙ ΟΡΟΙ ΣΥΜΜΕΤΟΧΗΣ ΑΡΙΘ. 3/2019 ΔΙΑΚΗΡΥΞΗΣ ΣΥΝΟΠΤΙΚΟΥ ΔΙΑΓΩΝΙΣΜΟΥ ΓΙΑ ΤΗΝ ΑΝΑΔΕΙΞΗ ΑΝΑΔΟΧΟΥ ΓΙΑ ΤΗΝ ΠΑΡΟΧΗ ΣΥΜΒΟΥΛΕΥΤΙΚΩΝ ΥΠΗΡΕΣΙΩΝ ΜΕ ΣΚΟΠΟ ΤΗΝ ΕΝΑΡΜΟΝΙΣΗ ΤΟΥ Γ.Ν.-Κ.Υ.ΦΙΛΙΑΤΩΝ, Κ.Ψ.Υ.ΗΓΟΥΜΕΝΙΤΣΑΣ ΚΑΙ ΞΕΝΩΝΑ ''ΨΥΧΑΡΓΩ'', ΠΡΟΣ ΤΟ ΤΕΝΙΚΟ ΚΑΝΟΝΙΣΜΟ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ GDPR. 1. ΔΙΚΑΙΩΜΑ ΣΥΜΜΕΤΟΧΗΣ Δικαίωμα συμμετοχής στο Διαγωνισμό σύμφωνα με το άρθρο 25 του Ν. 4412/2016 έχουν φυσικά ή νομικά πρόσωπα ή Ενώσεις φυσικών ή/και νομικών προσώπων, Συνεταιρισμοί, που: είναι εγκατεστημένα στα κράτη μέλη της Ευρωπαϊκής Ένωσης (Ε.Ε.) ή είναι εγκατεστημένα στα κράτη μέλη της Συμφωνίας για τον Ευρωπαϊκό Οικονομικό Χώρο (ΕΟΧ) ή είναι εγκατεστημένα σε τρίτες χώρες που έχουν υπογράψει και κυρώσει τη ΣΔΣ, στο βαθμό που η υπό ανάθεση σύμβαση καλύπτεται από τα παραρτήματα 1, 2, 4 και 5 του νόμου 4412/2016 και τις γενικές σημειώσεις του σχετικού με την Ευρωπαϊκή Ένωση Προσαρτήματος Ι της ως άνω ΣΔΣ ή είναι εγκατεστημένα σε τρίτες χώρες που δεν εμπίπτουν στις ανωτέρω περιπτώσεις και έχουν συνάψει διμερή ή πολυμερή συμφωνία με την Ευρωπαϊκή Ένωση Οι ενώσεις προσώπων και οι κοινοπραξίες δεν υποχρεούνται να λαμβάνουν ορισμένη νομική μορφή προκειμένου να υποβάλουν την προσφορά. Η επιλεγείσα ένωση ή κοινοπραξία υποχρεούται να πράξει τούτο, μετά από απαίτηση της Αναθέτουσας Αρχής, εάν κατακυρωθεί σε αυτήν η σύμβαση και εφόσον η λήψη ορισμένης νομικής μορφής είναι αναγκαία για την ορθή και ικανοποιητική εκτέλεση της σύμβασης. 2. Οι ενδιαφερόμενoι πoυ θα συμμετάσχoυν στoν διαγωνισμό πρέπει vα υπoβάλλoυν την πρoσφoρά τoυς, στo αρμόδιo Γραφείο Προμηθειών τoυ Γενικού Νοσοκομείου - Κ.Υ. Φιλιατών ως εξής : Οι πρoσφoρές θα υπoβάλλoνται, μέσα σε καλά σφραγισμένo φάκελλo, σε ένα πρωτότυπο και ένα αντίγραφο στoν oπoίo θα αναγράφεται ευκρινώς : α)η λέξη ΠΡΟΣΦΟΡΑ με κεφαλαία γράμματα. β)η επωνυμία της αναθέτουσας αρχής, ήτοι «ΓΕΝΙΚΟ ΝΟΣΟΚΟΜΕΙΟ Κ.Υ. ΦΙΛΙΑΤΩΝ». γ) Ο τίτλος της διακήρυξης. δ) Η καταληκτική ημερομηνία (ημερομηνία λήξης προθεσμίας υποβολής προσφορών). ε) Τα στoιχεία τoυ συμμετέχοντα. 3. Mέσα στoν κλειστό κυρίως φάκελλo της πρoσφoράς τoπoθετoύvται: 3.1. Kλειστός υπoφάκελλoς με την ένδειξη ΔIΚΑIΟΛΟΓΗΤIΚΑ ΣΥΜΜΕΤΟΧΗΣ, στoν oπoίo θα εσωκλείoνται : 3.1.1. Το τυποποιημένο έντυπο υπεύθυνης δήλωσης (Τ.Ε.Υ.Δ.), όπως προβλέπεται στην παρ. 4 του άρθρου 79 του Ν. 4412/2016. Οι προσφέροντες συμπληρώνουν το σχετικό πρότυπο ΤΕΥΔ (στα σημεία που αφορούν και ζητούνται στην παρούσα διακήρυξη) και αποτελεί αναπόσπαστο τμήμα της παρούσας διακήρυξης (Παράρτημα ΣΤ ). 3

Οι ενώσεις οικονομικών φορέων που υποβάλλουν κοινή προσφορά, υποβάλλουν το ΤΕΥΔ για κάθε οικονομικό φορέα που συμμετέχει στην ένωση. 3.1.2. Πιστοποιητικό του άρθρου 39 του Ν.4488/17 που τροποποίησε το άρθρο 73 του Ν.4412/16. 3.2. Κλειστός υπoφάκελλoς με την ένδειξη ΤΕΧΝIΚΗ ΠΡΟΣΦΟΡΑ, στoν oπoίo θα τοποθετηθούν τα τεχνικά στοιχεία της προσφοράς. Στοιχεία, πιστοποιητικά και δικαιολογητικά που αφορούν τεχνικές προδιαγραφές, υποβάλλονται στο φάκελο της τεχνικής προσφοράς. 3.3. Τα oικoνoμικά στoιχεία της πρoσφoράς τoπoθετoύνται, επι ποινή απορρίψεως, σε χωριστό φάκελo επίσης μέσα στoν κυρίως φάκελo με την ένδειξη ΟIΚΟΝΟΜIΚΗ ΠΡΟΣΦΟΡΑ. 4. Οι φάκελoι των oικoνoμικών πρoσφoρών, για όσες πρoσφoρές δεv κρίθηκαv, κατά την τεχνική αξιολόγηση απoδεκτές, δεν απoσφραγίζoνται, αλλά επιστρέφoνται μετά την oλoκλήρωση της διαδικασίας τoυ διαγωνισμoύ. 5. ΑΞΙΟΛΟΓΗΣΗ ΔΙΚΑΙΟΛΟΓΗΤΙΚΩΝ ΚΑΤΑ ΤΟ ΣΤΑΔΙΟ ΤΗΣ ΚΑΤΑΚΥΡΩΣΗΣ ΟΛΟΚΛΗΡΩΣΗ ΑΞΙΟΛΟΓΗΣΗΣ Μετά την αποσφράγιση και αξιολόγηση των προσφορών, κατά το άρθρο 100 του Ν. 4412/2016, η αναθέτουσα αρχή ειδοποιεί εγγράφως τον προσφέροντα, κατά το άρθρο 103 του Ν. 4412/2016, στον οποίο πρόκειται να γίνει η κατακύρωση («προσωρινός ανάδοχος»), να υποβάλλει εντός προθεσμίας (10) δέκα ημερών, από την κοινοποίηση της σχετικής ειδοποίησης σε αυτόν, τα πρωτότυπα ή αντίγραφα που εκδίδονται, σύμφωνα με τις διατάξεις του άρθρου 1 του Ν. 4250/2014 (Α 74) όλων των δικαιολογητικών που απαιτούνται κατά περίπτωση του άρθρου 80 και αναφέρονται παρακάτω: 5.1 Οι Έλληνες πολίτες : 5.1.1 Απόσπασμα ποινικού μητρώου έκδοσης του τελευταίου τριμήνου πριν από την κοινοποίηση της ως άνω έγγραφης ειδοποίησης, από το οποίο να προκύπτει, ότι δεν έχουν καταδικασθεί με τελεσίδικη καταδικαστική απόφαση, για έναν από τους ακόλουθους λόγους: α) για κάποιο από τα αδικήματα της παρ. 1 του άρθρου 73 του Ν. 4412/2016, ήτοι : συμμετοχή σε εγκληματική οργάνωση, όπως αυτή ορίζεται στο άρθρο 2 της απόφασης-πλαίσιο 2008/841/ΔΕΥ του Συμβουλίου της 24ης Οκτωβρίου 2008, για την καταπολέμηση του οργανωμένου εγκλήματος (ΕΕ L 300 της 11.11.2008 σ.42), δωροδοκία, όπως ορίζεται στο άρθρο 3 της σύμβασης περί της καταπολέμησης της διαφθοράς στην οποία ενέχονται υπάλληλοι των Ευρωπαϊκών Κοινοτήτων ή των κρατών-μελών της Ένωσης (EE C 195 της 25.6.1997, σ. 1) και στην παράγραφο 1 του άρθρου 2 της απόφασης-πλαίσιο 2003/568/ΔΕΥ του Συμβουλίου της 22ας Ιουλίου 2003, για την καταπολέμηση της δωροδοκίας στον ιδιωτικό τομέα (EE L 192 της 31.7.2003, σ. 54), καθώς και όπως ορίζεται στην κείμενη νομοθεσία ή στο εθνικό δίκαιο του οικονομικού φορέα, απάτη, κατά την έννοια του άρθρου 1 της σύμβασης σχετικά με την προστασία των οικονομικών συμφερόντων των Ευρωπαϊκών Κοινοτήτων (EE C 316 της 27.11.1995, σ. 48), η οποία κυρώθηκε με το Ν. 2803/2000 (Α' 48), τρομοκρατικά εγκλήματα ή εγκλήματα συνδεόμενα με τρομοκρατικές δραστηριότητες, όπως ορίζονται, αντιστοίχως, στα άρθρα 1 και 3 της απόφασης-πλαίσιο 2002/475/ΔΕΥ του Συμβουλίου της 13ης Ιουνίου 2002, για 4

την καταπολέμηση της τρομοκρατίας (EE L 164 της 22.6.2002, σ. 3) ή ηθική αυτουργία ή συνέργεια ή απόπειρα διάπραξης εγκλήματος, όπως ορίζονται στο άρθρο 4 αυτής, νομιμοποίηση εσόδων από παράνομες δραστηριότητες ή χρηματοδότηση της τρομοκρατίας, όπως αυτές ορίζονται στο άρθρο 1 της Οδηγίας 2005/60/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 26ης Οκτωβρίου 2005, σχετικά με την πρόληψη της χρησιμοποίησης του χρηματοπιστωτικού συστήματος για τη νομιμοποίηση εσόδων από παράνομες δραστηριότητες και τη χρηματοδότηση της τρομοκρατίας (EE L 309 της 25.11.2005, σ. 15), η οποία ενσωματώθηκε στην εθνική νομοθεσία με το Ν. 3691/2008 (Α' 166), παιδική εργασία και άλλες μορφές εμπορίας ανθρώπων, όπως ορίζονται στο άρθρο 2 της Οδηγίας 2011/36/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 5ης Απριλίου 2011, για την πρόληψη και την καταπολέμηση της εμπορίας ανθρώπων και για την προστασία των θυμάτων της, καθώς και για την αντικατάσταση της απόφασης-πλαίσιο 2002/629/ΔΕΥ του Συμβουλίου (EE L 101 της 15.4.2011, σ. 1), η οποία ενσωματώθηκε στην εθνική νομοθεσία με το Ν. 4198/2013 (Α' 215). β) για κάποιο από τα αδικήματα του Αγορανομικού Κώδικα, σχετικό µε την άσκηση της επαγγελματικής τους δραστηριότητας γ) κάποιο από τα αδικήματα της υπεξαίρεσης, της απάτης, της εκβίασης, της πλαστογραφίας, της ψευδορκίας, της δωροδοκίας και της δόλιας χρεωκοπίας. 5.1.2. Πιστοποιητικό αρμόδιας δικαστικής ή διοικητικής αρχής, έκδοσης του τελευταίου εξαμήνου πριν από την κοινοποίηση της έγγραφης ειδοποίησης, από το οποίο να προκύπτει ότι δεν τελούν σε πτώχευση και, επίσης, ότι δεν τελούν σε διαδικασία κήρυξης πτώχευσης. 5.1.3. Πιστοποιητικό αρμόδιας δικαστικής ή διοικητικής αρχής, έκδοσης του τελευταίου εξαμήνου πριν από την κοινοποίηση της έγγραφης ειδοποίησης, από το οποίο να προκύπτει ότι δεν τελούν σε αναγκαστική διαχείριση και, επίσης, ότι δεν τελούν σε διαδικασία κήρυξης σε αναγκαστική διαχείριση. 5.1.4. Πιστοποιητικό που εκδίδεται από αρμόδια κατά περίπτωση αρχή, από το οποίο να προκύπτει ότι κατά την ημερομηνία της έγγραφης ειδοποίησης, είναι ενήμεροι ως προς τις υποχρεώσεις τους που αφορούν τις εισφορές κοινωνικής ασφάλισης (κύριας και επικουρικής), καθώς και ως προς τις φορολογικές υποχρεώσεις τους. Σε περίπτωση εγκατάστασής τους στην αλλοδαπή, τα δικαιολογητικά των παραπάνω περιπτώσεων 5.1.2, 5.1.3 και 5.1.4 εκδίδονται με βάση την ισχύουσα νομοθεσία της χώρας που είναι εγκατεστημένοι, από την οποία και εκδίδεται το σχετικό πιστοποιητικό. 5.1.5. Πιστοποιητικό του οικείου Επιμελητηρίου, με το οποίο θα πιστοποιείται αφενός η εγγραφή τους σ αυτό και το ειδικό επάγγελμά τους, κατά την ημέρα διενέργειας του διαγωνισμού, και αφετέρου ότι εξακολουθούν να παραμένουν εγγεγραμμένοι μέχρι την επίδοση της έγγραφης ειδοποίησης. Για όσους ασκούν γεωργικό ή κτηνοτροφικό επάγγελμα, απαιτείται σχετική βεβαίωση άσκησης επαγγέλματος, από αρμόδια αρχή του Δημοσίου ή του οικείου Ο.Τ.Α. 5.2 Οι αλλοδαποί : 5.2.1. Απόσπασμα ποινικού μητρώου ή ισοδύναμου εγγράφου αρμόδιας διοικητικής ή δικαστικής αρχής της χώρας εγκατάστασής τους, έκδοσης του τελευταίου τριμήνου πριν από την κοινοποίηση της έγγραφης ειδοποίησης, από το οποίο να προκύπτει ότι δεν έχουν καταδικασθεί με αμετάκλητη δικαστική απόφαση για κάποιο από τα αδικήματα της ως άνω παραγράφου 5.1.1. 5.2.2. Πιστοποιητικό της κατά περίπτωση αρμόδιας δικαστικής ή διοικητικής αρχής της χώρας εγκατάστασής τους, έκδοσης του τελευταίου εξαμήνου πριν από την κοινοποίηση της έγγραφης ειδοποίησης, από το οποίο να προκύπτει ότι δεν τελούν 5

σε πτώχευση, σε διαδικασία κήρυξης σε πτώχευση ή υπό άλλη ανάλογη κατάσταση ή διαδικασία. 5.2.3. Πιστοποιητικό αρμόδιας δικαστικής ή διοικητικής αρχής, έκδοσης του τελευταίου εξαμήνου, πριν από την κοινοποίηση της έγγραφης ειδοποίησης, από το οποίο να προκύπτει ότι δεν τελούν σε αναγκαστική διαχείριση και, επίσης, ότι δεν τελούν σε διαδικασία κήρυξης σε αναγκαστική διαχείριση. 5.2.4. Πιστοποιητικό της κατά περίπτωση αρμόδιας δικαστικής ή διοικητικής αρχής της χώρας εγκατάστασής τους, από το οποίο να προκύπτει ότι κατά την ημερομηνία της έγγραφης ειδοποίησης, είναι ενήμεροι ως προς τις υποχρεώσεις τους που αφορούν τις εισφορές κοινωνικής ασφάλισης (κύριας και επικουρικής) καθώς και ως προς τις φορολογικές υποχρεώσεις τους. 5.2.5. Πιστοποιητικό της αρμόδιας αρχής της χώρας εγκατάστασής τους, από το οποίο να προκύπτει ότι ήταν εγγεγραμμένοι στα μητρώα του οικείου Επιμελητηρίου ή σε ισοδύναμες επαγγελματικές οργανώσεις, κατά την ημέρα διενέργειας του διαγωνισμού και εξακολουθούν να παραμένουν εγγεγραμμένοι μέχρι την επίδοση της έγγραφης ειδοποίησης. 5.3. Τα νομικά πρόσωπα ημεδαπά ή αλλοδαπά : 5.3.1. Τα παραπάνω δικαιολογητικά των παραγράφων 5.1 και 5.2 αντίστοιχα. - Το απόσπασμα ποινικού μητρώου ή άλλο ισοδύναμο έγγραφο αρμόδιας διοικητικής ή δικαστικής αρχής της χώρας εγκατάστασης του νομικού προσώπου, των ως άνω παραγράφων, αφορά τους Διαχειριστές όταν το νομικό πρόσωπο είναι Ο.Ε, Ε.Ε, Ε.Π.Ε. και IKE τον Πρόεδρο και τον Διευθύνοντα Σύμβουλο όταν το νομικό πρόσωπο είναι Α.Ε. και σε κάθε άλλη περίπτωση νομικού προσώπου τους νόμιμους εκπροσώπους του. 5.3.2. Πιστοποιητικό αρμόδιας δικαστικής ή διοικητικής αρχής, έκδοσης του τελευταίου εξαμήνου πριν από την κοινοποίηση της έγγραφης ειδοποίησης, από το οποίο να προκύπτει ότι δεν τελούν υπό κοινή εκκαθάριση του κ.ν. 2190/1920, όπως εκάστοτε ισχύει, ή άλλες ανάλογες καταστάσεις (μόνο για αλλοδαπά νομικά πρόσωπα) και, επίσης, ότι δεν τελούν υπό διαδικασία έκδοσης απόφασης κοινής εκκαθάρισης των ανωτέρω νομοθετημάτων ή υπό άλλες ανάλογες καταστάσεις (μόνο για αλλοδαπά νομικά πρόσωπα) 5.3.3. Βεβαίωση αρμόδιας δικαστικής ή διοικητικής αρχής ότι δεν έχουν τεθεί σε διαδικασία εξυγίανσης του αρ.99 του Ν.3588/2007 (Α 153) 5.4. Οι ενώσεις προμηθευτών που υποβάλουν κοινή προσφορά : Τα παραπάνω κατά περίπτωση δικαιολογητικά, για κάθε προμηθευτή που συμμετέχει στην Ένωση. Εάν σε κάποια Χώρα βεβαιώνεται από οποιαδήποτε αρχή της ότι δεν εκδίδονται τα παραπάνω έγγραφα ή πιστοποιητικά, ή που αυτά δεν καλύπτουν όλες τις ως άνω αναφερόμενες περιπτώσεις, δύναται να αντικατασταθούν από ένορκη βεβαίωση του ενδιαφερόμενου ή όπου δεν προβλέπεται η ένορκη βεβαίωση από υπεύθυνη δήλωση ενώπιον αρμόδιας δικαστικής ή διοικητικής αρχής, συμβολαιογράφου ή αρμόδιου επαγγελματικού οργανισμού του κράτους καταγωγής ή προέλευσης. Στην κατά τα άνω υπεύθυνη δήλωση θα δηλώνεται ότι στην συγκεκριμένη χώρα δεν εκδίδονται τα συγκεκριμένα έγγραφα και ότι δεν συντρέχουν στο συγκεκριμένο πρόσωπο οι ανωτέρω νομικές καταστάσεις. 6. Αποκλίσεις από τους απαράβατους όρους της διακήρυξης έχουν ως συνέπεια τον αποκλεισμό των προσφορών. Επισημαίνεται ότι οι τεχνικές προδιαγραφές αποτελούν στο σύνολό τους απαράβατους όρους και η οποιαδήποτε μη συμμόρφωση προς αυτές συνεπάγεται απόρριψη της προσφοράς. 7. Αντιπρoσφoρές δεν γίνονται δεκτές σε κανένα στάδιο του διαγωνισμού. Σε περίπτωση υποβολής τους απορρίπτονται ως απαράδεκτες. 6

8. Εναλλακτικές προσφορές για τα προς προμήθεια είδη δεν γίνονται δεκτές. Σε περίπτωση που υποβληθούν, δεν λαμβάνονται υπόψη. 9. ΤΙΜΕΣ : Οι τιμές θα πρέπει να δίνoνται σε ευρώ. Οι τιμές θα αναγράφονται απαραίτητα στην οικονομική πρoσφoρά αριθμητικά και oλoγράφως. Στις τιμές περιλαμβάνoνται oι τυχόν κρατήσεις ως και κάθε άλλη επιβάρυνση, εκτός από τoν Φ.Π.Α. Πoσoστό Φ.Π.Α. επί της % στo oπoίo υπάγεται η υπηρεσία 10. Οι πρoσφoρές ισχύoυν και δεσμεύoυν τoυς υποψήφιους αναδόχους για εκατόν είκοσι (120) ημέρες. Η έναρξη πρoθεσμίας αρχίζει από την επoμένη της διενέργειας τoυ διαγωνισμoύ. Πρoσφoρά πoυ oρίζει χρόνo ισχύoς μικρότερo τoυ πρoβλεπόμενoυ από την παρoύσα διακήρυξη, απoρρίπτεται ως απαράδεκτη. 11. H κατακύρωση τoυ διαγωνισμoύ θα γίνει με κριτήριo κατακύρωσης την πλέον συμφέρουσα από οικονομική άποψη προσφορά μόνο βάσει της τιμής. 12. ΔΙΚΑΙΩΜΑ ΜΑΤΑΙΩΣΗΣ To Νοσοκομείο, μετά από σχετική γνωμοδότηση της Επιτροπής διενέργειας και αξιολόγησης του διαγωνισμού, διατηρεί το δικαίωμα: α. να αποφασίσει τη ματαίωση, ακύρωση ή διακοπή του διαγωνισμού β. να αποφασίσει τη ματαίωση του διαγωνισμού και την επανάληψή του με τροποποίηση ή μη των όρων και των προδιαγραφών της Διακήρυξης. 13. ΕΝΣΤΑΣΕΙΣ Ενστάσεις υποβάλλονται για τους λόγους και με τη διαδικασία που προβλέπεται από το άρθρο 127 του Νόμου 4412/2016. Μετά την υποβολή των ενστάσεων/προσφυγών η Αναθέτουσα Αρχή προβαίνει στην αξιολόγηση αυτών μέσω των αρμόδιων πιστοποιημένων στο Σύστημα οργάνων της, εφαρμοζόμενων κατά τα λοιπά των κειμένων διατάξεων για την ανάθεση δημοσίων συμβάσεων και των διαδικασιών της κατά περίπτωση Αναθέτουσας Αρχής. 14. ΙΣΧΥΣ ΣΥΜΒΑΣΗΣ Η σύμβαση που θα υπογραφεί με τον ανάδοχο, θα έχει διάρκεια έξι (6) μήνες από την υπογραφή της,για την υλοποίηση του έργου συμμόρφωσης με τον Γενικό Κανονισμό Προστασίας Δεδομένων GDPR. Αμέσως μετά την Ολοκλήρωση του Έργου, ξεκινάει η περίοδος υποστήριξης του συνόλου των διαδικασιών στο πλαίσιο εφαρμογής του GDPR, η οποία θα έχει χρονική διάρκεια ίση με ένα έτος. 15. ΠΑΡΑΛΑΒΗ ΥΠΗΡΕΣΙΑΣ Η παραλαβή των υπηρεσιών θα γίνεται ανά Φάση από την Επιτροπή Παρακολούθησης Έργου που θα ορίσει ο ΦΟΡΕΑΣ ΕΦΑΡΜΟΓΗΣ. 16. ΕΓΓΥΗΣΕΙΣ Οι εγγυήσεις εκδίδονται από πιστωτικά ιδρύματα που λειτουργούν νόμιμα στα κράτη - μέλη της Ευρωπαϊκής Ένωσης ή του Ευρωπαϊκού Οικονομικού Χώρου ή στα κράτη μέλη της ΣΔΣ και έχουν σύμφωνα με τις ισχύουσες διατάξεις το δικαίωμα αυτό. Μπορούν, επίσης, να εκδίδονται από το Ε.Τ.Α.Α. - Τ.Σ.Μ.Ε.Δ.Ε. ή να 7

παρέχονται με γραμμάτιο του Ταμείου Παρακαταθηκών και Δανείων με παρακατάθεση σε αυτό του αντίστοιχου χρηματικού ποσού. Τα αντίστοιχα έγγραφα των εγγυήσεων αν δεν είναι διατυπωμένα στην Ελληνική γλώσσα θα συνοδεύονται από επίσημη μετάφραση. Στην περίπτωση ένωσης ή κοινοπραξίας εταιρειών οι εγγυήσεις περιλαμβάνουν και τον όρο ότι η εγγύηση καλύπτει τις υποχρεώσεις όλων των μελών της ένωσης ή της κοινοπραξίας. Κατά τα λοιπά, σχετικά με τις εγγυήσεις, ισχύουν τα αναφερόμενα στα άρθρα 72 και 302 του Ν. 4412/2016. - Εγγύηση Καλής Εκτέλεσης της Σύμβασης Ο ανάδοχος είναι υποχρεωμένος, το αργότερο κατά την υπογραφή της σύμβασης, να καταθέσει Εγγυητική Επιστολή Καλής Εκτέλεσης, το ύψος της οποίας αντιστοιχεί σε ποσοστό 5% του συνολικού συμβατικού τιμήματος, μη συμπεριλαμβανομένου του Φ.Π.Α. Η εγγύηση καλής εκτέλεσης της Σύμβασης επιστρέφεται μετά την οριστική εκτέλεση του έργου και ύστερα από την εκκαθάριση τυχόν απαιτήσεων από τους δύο συμβαλλομένους. Επισημαίνεται ότι ο χρόνος ισχύος της εγγυητικής επιστολής καλής εκτέλεσης της προς υπογραφή σύμβασης πρέπει να είναι αορίστου χρόνου, δηλαδή θα ισχύει μέχρι επιστροφής της στην Τράπεζα. 17. Πληρωμή - Κρατήσεις 17.1 Η πληρωμή θα γίνεται για το 100% της αξίας, εντός χρονικού διαστήματος εξήντα (60) ημερών, από την ημερομηνία υπογραφής των σχετικών πρωτοκόλλων οριστικής ποσοτικής και ποιοτικής παραλαβής του είδους. Ως προς τα δικαιολογητικά πληρωμής και λοιπά στοιχεία ισχύουν τα όσα αναφέρονται στο άρθρο 200 του Ν. 4412/2016. Σε περίπτωση που η πληρωμή του συμβασιούχου καθυστερήσει από την αναθέτουσα αρχή εξήντα (60) ημέρες μετά την υποβολή του τιμολογίου πώλησης από αυτόν, η αναθέτουσα αρχή (οφειλέτης), σύμφωνα με τα οριζόμενα στο Π.Δ. 166/2003 (ΦΕΚ 138/Α/5-6-2003) «Προσαρμογή της Ελληνικής νομοθεσίας στην οδηγία 2000/35 της 29-6-2000 για την καταπολέμηση των καθυστερήσεων πληρωμών στις εμπορικές συναλλαγές», καθίσταται υπερήμερος και οφείλει τόκους χωρίς να απαιτείται όχληση από τον συμβασιούχο. Επισημαίνεται ότι η υποβολή του τιμολογίου πώλησης δεν μπορεί να γίνει προ της ημερομηνίας εκδόσεως του πρωτοκόλλου οριστικής ποιοτικής και ποσοτικής παραλαβής. 17.2. Toν προμηθευτή πoυ θα αναδειχθεί βαρύνoυν oι ακόλουθες κρατήσεις : α) 2% υπέρ Οργανισμών Ψυχικής Υγείας (ΦΕΚ 545 Β /24-3- 09). β) 0,06% υπέρ ΕΑΑΔΗΣΥ (άρθρο 375, παρ. 7 του Ν.4412/8-08-2016/ΦΕΚ 147 Α'). γ) Επί της παραπάνω κράτησης επιβάλλεται τέλος χαρτοσήμου ποσοστού 3%, πλέον εισφοράς υπέρ Ο.Γ.Α. ποσοστού 20%, υπολογιζόμενου επί του τέλους χαρτοσήμου. δ) 0,06% υπέρ Α.Ε.Π.Π. (άρθρο 350, παρ. 3 του Ν. 4412/8-08-2016/ΦΕΚ 147 Α ). ε) Επί της παραπάνω κράτησης επιβάλλεται τέλος χαρτοσήμου ποσοστού 3%, πλέον εισφοράς υπέρ Ο.Γ.Α. ποσοστού 20%, υπολογιζόμενου επί του τέλους χαρτοσήμου. στ) 8% παρακράτηση φόρoυ εισoδήματoς, σύμφωvα με τo Ν.2198/1994. Ο Φ.Π.Α καταβάλλεται από τo Νoσoκoμείo. 18. Για ότι δεν προβλέπεται στην παρούσα ισχύουν οι περί προμηθειών του δημοσίου διατάξεις. Ο ΔΙΟΙΚΗΤΗΣ ΣΠΥΡΟΣ ΔΕΡΔΕΜΕΖΗΣ 8

ΕΛΛΗΝΙΚΗ ΔΗΜΟΚΡΑΤΙΑ -ΥΠΟΥΡΓΕΙΟ ΥΓΕΙΑΣ & ΚΟΙΝΩΝΙΚΗΣ ΑΛΛΗΛΕΓΓΥΗΣ ΔΙΟΙΚΗΣΗ 6 ης Υ.ΠΕ. ΓΕΝΙΚΟ ΝΟΣΟΚΟΜΕΙΟ - Κ.Υ. ΦΙΛΙΑΤΩΝ ΠΑΡΑΡΤΗΜΑ Β ΑΝΤΙΚΕΙΜΕΝΟ ΤΟΥ ΔΙΑΓΩΝΙΣΜΟΥ Αντικείμενο του διαγωνισμού είναι η λήψη συμβουλευτικών υπηρεσιών με σκοπό τη συμμόρφωση του Γενικού Νοσοκομείου - ΚΥ Φιλιατών, Κέντρο Ψυχικής Υγείας και Ξενώνα Ψυχαργώ (εφεξής «ΦΟΡΕΑΣ ΕΦΑΡΜΟΓΗΣ») προς τον «ΓΕΝΙΚΟ ΚΑΝΟΝΙΣΜΟ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ GDPR» Κανονισμός (ΕΕ) 2016/679. Ο Γενικός Κανονισμός για την Προστασία των δεδομένων της ΕΕ «General Data Protection Regulation - GDPR», εγκρίθηκε στις 14 Απριλίου 2016 και δημοσιεύθηκε στην Επίσημη Εφημερίδα της ΕΕ στις 4 Μαΐου 2016. Ο GDPR προβλέπεται να εφαρμοστεί άμεσα σε όλα τα κράτη μέλη της ΕΕ από τις 25 Μαΐου 2018. Συγχρόνως, θα καταργήσει και θα αντικαταστήσει την οδηγία 95/46/ΕΚ και τη νομοθεσία εφαρμογής των κρατών μελών της (Ν2472/1997). Με βάση τα παραπάνω ο ΦΟΡΕΑΣ ΕΦΑΡΜΟΓΗΣ καλείται να εφαρμόσει τον παραπάνω κανονισμό και να εναρμονιστεί στις απαιτήσεις αυτού βάση της μελέτης ωριμότητας που θα προκύψει από το παρακάτω έργο. ΔΙΑΣΤΑΣΙΟΛΟΓΗΣΗ Το εύρος εφαρμογής του έργου περιλαμβάνει το Γενικό Νοσοκομείο - ΚΥ Φιλιατών και τις μονάδες ευθύνης του: ΦΟΡΕΑΣ ΕΦΑΡΜΟΓΗΣ Γενικό Νοσοκομείο ΚΥ Φιλιατών Κέντρο Ψυχικής Υγείας Ξενώνας Ψυχαργώ Η μελέτη ωριμότητας : θα αξιολογεί όλους τους τομείς δραστηριότητας του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ ως προς την συμμόρφωση τους έναντι των απαιτήσεων του GDPR, θα εντοπίζει όλες τις περιοχές, όπου παρατηρείται μη-συμμόρφωση, θα εμβαθύνει στις ανωτέρω περιοχές και θα προτείνει συγκεκριμένα μέτρα, ώστε ο ΦΟΡΕΑΣ ΕΦΑΡΜΟΓΗΣ να ξεκινήσει εγκαίρως την υλοποίηση όλων των διορθωτικών ενεργειών συμμόρφωσης. Στο αντικείμενο του έργου συμπεριλαμβάνονται: η ανάπτυξη των Δραστηριοτήτων Επεξεργασίας η εκπόνηση Μελέτης Ανάλυσης Ελλείψεων και Αποκλίσεων (Gap Analysis), η σύνταξη Πλάνου Συμμόρφωσης (Compliance Plan) και Ανάλυσης του Αντίκτυπου στην Προστασία Προσωπικών Δεδομένων (Privacy Impact Assessment) η εκπαίδευση του DPO και του προσωπικού του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ, όπως ορίζονται από τον κανονισμό GDPR και τα οποία θα αποτελούν βασικά παραδοτέα του έργου. 9

Ο διαγωνισμός θα γίνει σύμφωνα με τα παρακάτω που αναφέρονται στην παρούσα διακήρυξη και αποτελούν αναπόσπαστο μέρος αυτής: Ο ΔΙΟΙΚΗΤΗΣ ΣΠΥΡΟΣ ΔΕΡΔΕΜΕΖΗΣ 10

ΠΑΡΑΡΤΗΜΑ Γ ΤΕΧΝΙΚΗ ΠΕΡΙΓΡΑΦΗ ΠΡΟΫΠΟΛΟΓΙΣΜΟΣ ΠΕΡΙΓΡΑΦΗ ΤΟΥ ΕΡΓΟΥ Ως πρώτο βήμα του έργου, είναι απαραίτητος ο νομικός προσδιορισμός της έννοιας του φυσικού προσώπου αναφορικά με τον GDPR. Στο πλαίσιο αυτό πρέπει να προσδιοριστούν οι ρόλοι του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ που εμπίπτουν στο πεδίο του GDPR καθώς και η εθνική νομοθεσία ή οι διεθνείς συνθήκες από τις οποίες προκύπτουν οι ρόλοι αυτοί. Αναλυτικά το έργο περιλαμβάνει: Ανάλυση της τρέχουσας κατάστασης ως προς την προστασία των προσωπικών δεδομένων που διαχειρίζεται ο ΦΟΡΕΑΣ ΕΦΑΡΜΟΓΗΣ και ειδικότερα, την αξιολόγηση των υφιστάμενων πρακτικών, των γραπτών πολιτικών και διαδικασιών, των πληροφοριακών συστημάτων και δικτυακών υποδομών και κάθε στοιχείου που επηρεάζει την προστασία, και την ασφάλεια των προσωπικών δεδομένων σε όλες τις δραστηριότητες και τις υπηρεσιακές μονάδες του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ. Δημιουργία λεπτομερών ροών δεδομένων (Data inventory and data Flow mapping) ανά τμήμα ή ανά κατηγορία προσωπικών δεδομένων, όπου θα απεικονίζονται όλες οι πληροφορίες σχετικά με τη διαχείριση των προσωπικών δεδομένων στο ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ με σκοπό τη δημιουργία του αρχείου δραστηριοτήτων επεξεργασίας δεδομένων που αποτελεί απαίτηση του GDPR. Εντοπισμός κενών και ελλείψεων ως προς τις απαιτήσεις του κανονισμού (Gap Analysis), κατηγοριοποιημένα ανά θεματική περιοχή και κρισιμότητα. Λεπτομερής αξιολόγηση που θα καταδεικνύει τον βαθμό ετοιμότητας συμμόρφωσης του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ σε σχέση με τις απαιτήσεις του GDPR, τα βασικά κενά και τους κινδύνους. Για κάθε κενό που εντοπίζεται, είναι απαραίτητος ο καθορισμός των απαραίτητων ενεργειών αντιμετώπισης και η δημιουργία ενός λεπτομερούς, προτεραιοποιημένου και ολοκληρωμένου πλάνου ενεργειών συμμόρφωσης (Compliance Plan and Roadmap). Σύνταξη Μελέτης Εκτίμησης αντίκτυπου (Privacy Impact Assessment) με βάση τα προβλεπόμενα στον Κανονισμό. Εκπόνηση των απαραίτητων Πολιτικών και Διαδικασιών Προστασίας Προσωπικών Δεδομένων, Ασφάλειας Πληροφοριών και Επιχειρησιακής Συνέχειας με βάση τα προτεινόμενα μέτρα του πλάνου συμμόρφωσης. Σύνταξη Ανάλυσης Επικινδυνότητας για την ασφάλεια των πληροφοριών (data) του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ (Information Security Risk Assessment). Ειδικότερα η αξιολόγηση που θα καταδεικνύει τον βαθμό ετοιμότητας συμμόρφωσης του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ θα περιλαμβάνει, τουλάχιστον, τα εξής:

Αξιολόγηση της νομικής βάσης, στην οποία στηρίζεται η συλλογή του συνόλου των συλλεγόμενων προσωπικών δεδομένων, της παρεχόμενης συναίνεσης από τον εκάστοτε συμβαλλόμενο, των παρεχόμενων πληροφοριών κλπ. Αξιολόγηση της δυνατότητας ικανοποίησης των δικαιωμάτων των φυσικών προσώπων. Αξιολόγηση του επιπέδου ασφαλείας και επιχειρησιακής συνέχειας. Αξιολόγηση της επάρκειας της οργανωτικής δομής Αξιολόγηση των υφιστάμενων συμβάσεων του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ με Τρίτους Φορείς που εκτελούν επεξεργασία προσωπικών δεδομένων του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ. Αξιολόγηση των υφιστάμενων συμβάσεων του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ με Τρίτους Φορείς που αποστέλλουν/κοινοποιούν προσωπικά δεδομένα στο ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ. Αξιολόγηση της νομιμότητας και της ασφαλούς διαβίβασης προσωπικών δεδομένων. Αξιολόγηση του επιπέδου ωριμότητας και ευαισθητοποίησης του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ στα θέματα προστασίας προσωπικών δεδομένων. Αξιολόγηση των πληροφοριακών συστημάτων. Αξιολόγηση των μέτρων προστασίας και των μηχανισμών ελέγχου (measures and controls) και διασφάλισης της συμμόρφωσης. Αξιολόγηση σχετικών γραπτών πολιτικών και διαδικασιών. Με σκοπό την επιτυχή υλοποίηση των σκοπών του έργου, ο υποψήφιος ανάδοχος είναι απαραίτητο στη μεθοδολογία που θα ακολουθήσει να: Αναλύσει την τρέχουσα κατάσταση των πληροφοριακών συστημάτων και δικτυακών υποδομών, των υφιστάμενων πολιτικών, διαδικασιών και πρακτικών, οι οποίες σχετίζονται με την ασφάλεια των πληροφοριών, την επιχειρησιακή συνέχεια και την προστασία των προσωπικών δεδομένων. Διεξάγει συνεντεύξεις με προσωπικό του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ, καλύπτοντας σε αντιπροσωπευτικό επίπεδο, κάθε δραστηριότητα των Υπηρεσιακών Μονάδων του ΦΟΡΕΑ. Παρέχει ένα λεπτομερές data flow map ανά μονάδα/τμήμα, ή ανά κατηγορία προσωπικών δεδομένων με σκοπό την πλήρη συμβατότητα με τις απαιτήσεις του κανονισμού GDPR σχετικά με τα αρχεία των δραστηριοτήτων επεξεργασίας. Χρησιμοποιήσει συγκεκριμένη μεθοδολογία ή/και εργαλείο λογισμικού για τον εντοπισμό των προσωπικών δεδομένων στα ψηφιακά συστήματα του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ, τα αποτελέσματα των οποίων θα χρησιμοποιήσει, σε συνδυασμό με άλλες μεθοδολογίες, για την ανάπτυξη των Data Flow Maps και τη δημιουργία του αρχείου δραστηριοτήτων επεξεργασίας δεδομένων. Το συγκεκριμένο αρχείο θα περιλαμβάνει, κατ ελάχιστο, την τεκμηρίωση της νομικής βάσης πάνω στην οποία στηρίζεται η συλλογή της παρε- 12

χόμενης συναίνεσης (π.χ. λόγω εθνικής νομοθεσίας ή εποπτικού ρόλου) από τον εκάστοτε συμβαλλόμενο, των παρεχόμενων πληροφοριών, κ.α. Πραγματοποιήσει δειγματοληπτικό έλεγχο σε όλες τις εφαρμογές και αποθηκευτικά μέσα (ψηφιακά, έντυπα, αναλογικής εικόνας και ήχου κ.α.) που τηρούν και επεξεργάζονται προσωπικά δεδομένα, καθώς και να προτείνει με σαφήνεια τις απαιτούμενες αλλαγές και τροποποιήσεις βάσει του νέου κανονισμού. Διεξάγει λεπτομερή αξιολόγηση των επιπτώσεων στην προστασία και ασφάλεια των δεδομένων, αξιολογώντας τους κινδύνους που σχετίζονται με θέματα ασφάλειας των πληροφοριών και με νομικά ζητήματα προστασίας δεδομένων και δίνοντας προτεραιότητα στα ευρήματα, ανάλογα με το επίπεδο κινδύνου. Δημιουργήσει λεπτομερές πλάνο ενεργειών αντιμετώπισης και διαχείρισης των ευρημάτων, έτσι ώστε οι επικεφαλής των αρμόδιων Τμημάτων, σε συνεργασία με την Επιτροπή Παρακολούθησης του Έργου, να είναι σε θέση να εφαρμόσουν τις ενέργειες που θα προταθούν. Πιο συγκεκριμένα, ο Ανάδοχος του έργου θα παρέχει λίστα προτάσεων σχετικά με τις αναγκαίες δράσεις αντιμετώπισης (συμπεριλαμβανομένων και των προτεινόμενων τεχνολογικών λύσεων) για κάθε κενό ή έλλειψη που προκύπτει. Πραγματοποιήσει έλεγχο και αξιολόγηση, κατά το εφικτό, όλων των συμβάσεων του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ με Τρίτους Φορείς (Εργαστήρια, Νοσοκομεία, Κέντρα Υγείας), με σκοπό να εντοπίσει κενά στην προστασία και επεξεργασία προσωπικών δεδομένων και να προτείνει παράλληλα ενέργειες με σκοπό την προσαρμογή τους στον GDPR. Όλες οι προτεινόμενες ενέργειες συμμόρφωσης είναι απαραίτητο να καλύπτουν ολόκληρο τον κύκλο ζωής των προσωπικών δεδομένων (δηλ. συλλογή, καταγραφή, τροποποίηση / ενημέρωση, αποθήκευση, μεταφορά, διαγραφή / καταστροφή κ.λπ.) και να έχουν συμφωνηθεί με την Επιτροπή Παρακολούθησης Έργου και τη Διοίκηση του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ πριν την παράδοση του πλάνου συμμόρφωσης. ΦΑΣΕΙΣ ΤΟΥ ΕΡΓΟΥ ΠΑΡΑΔΟΤΕΑ ΦΑΣΗ 1: Έναρξη έργου - Οργάνωση δράσεων. Η φάση αυτή περιλαμβάνει τις ακόλουθες δράσεις: Παρουσίαση στη Διοίκηση ολοκληρωμένης πρότασης για την οργάνωση, τη διοίκηση, καθώς και για τον προσδιορισμό των ρόλων των εμπλεκομένων στο έργο, η οποία θα περιλαμβάνει: Καταγραφή εργασιών και αλληλεξάρτηση αυτών. Καθορισμό των παραδοτέων και των χρονικών ορόσημων. Συστηματική παρακολούθηση της προόδου του έργου και των παραδοτέων. 13

Τρόπος παρακολούθησης της κρίσιμης διαδρομής, επισήμανση τομέων ανησυχίας και πρόταση διορθωτικών ενεργειών σε περίπτωση αποκλίσεων από το σχέδιο. Παροχή τεχνικής υποστήριξης στην Επιτροπή Παρακολούθησης του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ, καθώς και στις επί μέρους Ομάδες Εργασίας που θα συσταθούν στο πλαίσιο υλοποίησης του ανωτέρω έργου. Εκτίμηση απαιτούμενων ανθρωποημερών με αναφορά στην: Αντιστοίχιση εργασιών με απαιτούμενους (ανθρώπινους) πόρους του υποψήφιου. Αναδόχου και του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ. Εκτίμηση επάρκειας πόρων. Κάλυψη των αναγκών που δεν καλύπτονται από τους διαθέσιμους πόρους με χρήση εξωπορισμού (outsourcing). Εκτίμηση απαραίτητων πόρων για τις αυστηρά απαραίτητες εργασίες. Μέριμνα για την Σύνταξη Αναφορών Προόδου Σύνταξη αναφορών προόδου προς την Επιτροπή Παρακολούθησης Έργου και τις επιμέρους ομάδες εργασίας του ΦΟΡΕΑ ΕΦΑΡΜΟ- ΓΗΣ οσάκις απαιτείται ad hoc εκθέσεις σχετικά με συγκεκριμένα θέματα. Οργάνωση συναντήσεων Steering Committee Σύσταση Μικτών Ομάδων Υλοποίησης. Προγραμματισμός συναντήσεων. Πρακτικά συναντήσεων. Παραδοτέα Φάσης 1: Πλάνο υλοποίησης έργου (Περιγραφή του Έργου στην οποία περιγράφεται ο τρόπος προσέγγισης και εκτέλεσης του Έργου, συμπεριλαμβανομένης - ανά Φάση - της σύνθεσης της Ομάδας Έργου του υποψήφιου Αναδόχου, των επιμέρους καθηκόντων των προσώπων που θα την απαρτίζουν, το πλήθος των ανθρωποημερών (Α/Η) ανά Φάση, των παραδοτέων και του χρονοδιαγράμματος). ΦΑΣΗ 2: Συγκέντρωση δεδομένων. Η φάση αύτη περιλαμβάνει τις ακόλουθες δράσεις: Επισκόπηση των επιχειρησιακών, τεχνικών και λειτουργικών διαδικασιών. 14

Συγκέντρωση των απαιτούμενων πληροφοριών για τη συλλογή και επεξεργασία των προσωπικών δεδομένων, μέσω της διενέργειας συνεντεύξεων με το αρμόδιο προσωπικό όλων των Τμημάτων. Δημιουργία διαγραμμάτων ροής δεδομένων που θα αποτυπώνουν τις φάσεις του κύκλου ζωής των δεδομένων, από τη συλλογή, χρήση, αποθήκευση, μεταφορά μέχρι και την καταστροφή τους. Δημιουργία του αρχείου δραστηριοτήτων και πόρων επεξεργασίας του ΦΟ- ΡΕΑ ΕΦΑΡΜΟΓΗΣ με έμφαση σε όλες τις κρίσιμες περιοχές επεξεργασίας. Εντοπισμός προσωπικών δεδομένων σε συστήματα με δομημένες και αδόμητες πληροφορίες του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ Εντοπισμός των κρίσιμων αποκλίσεων έναντι των απαιτήσεων του Κανονισμού GDPR. Επισημαίνεται ότι η χαρτογράφηση των δεδομένων αναμένεται να γίνει και μέσω συνεντεύξεων και θα καλύπτει περιοχές όπως δεδομένα σε Φυσικό Αρχείο, Έγχαρτη/Ψηφιακή ή Αναλογική μορφή (πχ. CCTV), εμπλεκόμενες εφαρμογές/εργαλεία και λόγους συλλογής τους από τον ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ. Παραδοτέα Φάσης 2: Αναφορές με προσωπικά δεδομένα που εντοπίστηκαν στα συστήματα προς ανάλυση. Data Inventory and Data Flow Mapping που θα καλύπτουν την απαίτηση του GDPR σχετικά με το αρχείο δραστηριοτήτων επεξεργασίας δεδομένων και θα περιέχουν όλες τις επιπλέον απαραίτητες πληροφορίες, ώστε να απεικονίζεται πλήρως η τρέχουσα κατάσταση ως προς τη διαχείριση προσωπικών δεδομένων και να είναι εφικτός ο εντοπισμός κενών ως προς τις απαιτήσεις του θεσμικού πλαισίου (διαγράμματα ροής δεδομένων προσωπικού χαρακτήρα, με κρίσιμες πληροφορίες). ΦΑΣΗ 3: Μελέτη ανάλυσης Ελλείψεων και Αποκλίσεων (Gap Analysis και Maturity Assessment). Η φάση αύτη περιλαμβάνει τις ακόλουθες δράσεις: Μελέτη υφιστάμενης κατάστασης ως προς τη διαχείριση προσωπικών δεδομένων από άποψη: Νομική Οργάνωσης, Πολιτικών Και Διαδικασιών Ασφάλειας Πληροφοριών Τεχνολογική 15

Εντοπισμός των πεδίων μη συμμόρφωσης στις πρακτικές και διαδικασίες που εφαρμόζονται κατά τον χειρισμό των προσωπικών δεδομένων, ως προς: τις απαιτήσεις του GDPR. το κανονιστικό πλαίσιο του έργου, συμπεριλαμβανομένων σχετικών δικαστικών αποφάσεων. τις απαιτήσεις των διεθνών προτύπων ISO 27001 και ISO 27799 για την ασφάλεια των πληροφοριών. Μελέτη ως προς τις υφιστάμενες επεξεργασίες δεδομένων (και της διαβαθμίσεώς τους) σε συνδυασμό με τα εμπλεκόμενα συστήματα πληροφορικής του ΦΟ- ΡΕΑ ΕΦΑΡΜΟΓΗΣ. Αναγνώριση των υφιστάμενων αποκλίσεων από τις απαιτήσεις του Γενικού Κανονισμού Προστασίας Δεδομένων ως προς τις επιμέρους περιοχές επεξεργασίας προσωπικών δεδομένων. Μελέτη αποκλίσεων της υφιστάμενης κατάστασης του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ σε σχέση με τις απαιτήσεις του Κανονισμού για κάθε επεξεργασία. Η μελέτη θα πρέπει να περιλαμβάνει τουλάχιστον τις παρακάτω περιοχές: Απαιτήσεις ως προς την υποχρέωση τήρησης αρχείου δραστηριοτήτων Συναίνεση Συλλογή, Χρήση, Αποθήκευση Διατήρηση δεδομένων/καταστροφή Δικαιώματα πρόσβασης, διόρθωσης, αλλαγής, φορητότητας και διαγραφής Κοινοποίηση σε Τρίτα Μέρη Διαβίβαση σε τρίτες χώρες Ασφάλεια επεξεργασίας προσωπικών δεδομένων Έλεγχος και παρακολούθηση των οργανωτικών και τεχνολογικών μέτρων Πόροι Γνωστοποίηση παραβίασης Προσωπικών Δεδομένων σε εποπτική αρχή ή/και στο υποκείμενο των δεδομένων Καταγραφή των σχετικών ευρημάτων σε σχέση με το βαθμό ετοιμότητας συμμόρφωσης του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ και τις επιμέρους αποκλίσεις που παρουσιάζει σε σχέση με τις ανωτέρω απαιτήσεις. 16

Παραδοτέα Φάσης 3: Gap Analysis ΦΑΣΗ 4: Ανάπτυξη σχεδίου διορθωτικών ενεργειών (έως 15 ημέρες από την ολοκλήρωση της Φάσης 3). Η φάση αυτή περιλαμβάνει τις ακόλουθες δράσεις: Διενέργεια Privacy Impact Assessment με βάση τις έγκυρες πρακτικές και μεθοδολογίες, που αναφέρθηκαν ανωτέρω. Σύνταξη αναλυτικού και σαφούς σχεδίου στο οποίο θα: i. συμπεριλαμβάνονται οι προτάσεις βελτίωσης ανά τμήμα του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ, με σκοπό την αντιμετώπιση των ελλείψεων ή/και αποκλίσεων σε σχέση με τις απαιτήσεις του Κανονισμού και τις απαιτήσεις του ευρύτερου κανονιστικού πλαισίου και των προτύπων, όπως αναλύεται παραπάνω. ii. προσδιορίζονται συγκεκριμένες ενέργειες και εργασίες, ώστε να βελτιωθεί κατά το δυνατόν συντομότερα το επίπεδο συμμόρφωσης. iii. περιλαμβάνονται προτάσεις με σκοπό τη συμμόρφωση με τον GDPR μέσω 1. της τροποποίησης υφιστάμενων διαδικασιών, 2. της τροποποίησης του περιβάλλοντος λειτουργίας των πληροφοριακών συστημάτων, 3. της διατήρησης στο μέλλον ικανοποιητικού επίπεδου συμμόρφωσης, 4. της συστηματικής αύξησης του επιπέδου συμμόρφωσης σε χρονικό επίπεδο που θα προσδιοριστεί σε συνεργασία με τον ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ. Παραδοτέα Φάσης 4: Privacy Impact Assessment. Compliance Plan που να συμπεριλαμβάνει προτάσεις αλλαγών. Τεκμηρίωση συμμόρφωσης. ΦΑΣΗ 5: Υλοποίηση μέρους των διορθωτικών ενεργειών (έως 1 μήνας από την ολοκλήρωση της Φάσης 4). Η φάση αυτή περιλαμβάνει τις ακόλουθες δράσεις, εφόσον αυτές κριθούν απαραίτητες βάσει των παραδοτέων των προηγούμενων Φάσεων: Yποβολή πρόσθετων προτάσεων για την υλοποίηση πρωτοβουλιών που θα αυξήσουν το επίπεδο συμμόρφωσης με τον GDPR, λαμβάνοντας υπόψη καθιερωμένα πρότυπα ασφάλειας. Διενέργεια Information Security Risk Assessment. Υλοποίηση δράσεων ενημέρωσης και ευαισθητοποίησης. Σύνταξη πολιτικών και διαδικασιών. 17

προστασίας δεδομένων. μελέτη Συστήματος Διαχείρισης Ασφάλειας Πληροφοριών σύμφωνα με τα διεθνή πρότυπα ISO 27001 και ISO 27799. Διενέργεια πλήρους Εσωτερικής Επιθεώρησης (Internal Audit) που να καλύπτουν όλες τις παραπάνω πολιτικές και διαδικασίες, ώστε αυτές να εφαρμόζονται και να είναι πιστοποιήσιμες κατά τα αντίστοιχα πρότυπα. Παραδοτέα Φάσης 5: Information Security Risk Assessment Δράσεις ευαισθητοποίησης Δράσεις εκπαίδευσης Πολιτικές και διαδικασίες: προστασίας δεδομένων. του Συστήματος Διαχείρισης Ασφάλειας Πληροφοριών σύμφωνα μα τα διεθνή πρότυπα ISO 27001 και ISO 27799. Εκθέσεις, ευρήματα και προτεινόμενες διορθωτικές ενέργειες για κάθε επιθεωρούμενο τμήμα του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ μετά από το Internal Audit. ΦΑΣΗ 6: Εκπαίδευση χρηστών. Παραδοτέα Εκπαιδευτικό υλικό. ΦΑΣΗ 7: Παροχή Υπηρεσιών Υπεύθυνου Προστασίας Δεδομένων Ο Υπεύθυνος Προστασίας Δεδομένων θα πρέπει να: να ενημερώνει και συμβουλεύει τον Υπεύθυνο Επεξεργασίας και τους υπαλλήλους του σχετικά με την εφαρμογή της Νομοθεσίας περί Προστασίας Δεδομένων, περιλαμβανομένης της διασφάλισης της προστασίας των δικαιωμάτων των υποκειμένων των δεδομένων. να παρακολουθεί τη συμμόρφωση του Υπεύθυνου Επεξεργασίας προς τη Νομοθεσία περί Προστασίας Δεδομένων, περιλαμβανομένων των περιπτώσεων όπου λαμβάνει χώρα εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων. να συνεργάζεται και να επικοινωνεί με την αρμόδια εποπτική αρχή. 18

Παραδοτέα Μηνιαία Αναφορά Συμμόρφωσης. ΦΑΣΗ 8: Ανασκόπηση και βελτίωση Η φάση αυτή περιλαμβάνει ανασκόπηση της αποτελεσματικότητας των διορθωτικών ενεργειών μέσα από εσωτερική επιθεώρηση συμμόρφωσης. Ανάλυση αλλαγών στην διαχείριση των προσωπικών δεδομένων ή αλλαγών σε νομικές/συμβατικές απαιτήσεων Σύνταξη προτάσεων βελτίωσης. Η ανασκόπηση θα πραγματοποιηθεί το νωρίτερο έξι μήνες μετά την εφαρμογή των προτάσεων και το αργότερο πριν την λήξη του συγκεκριμένου έργου. Παραδοτέα Έκθεση εσωτερικής επιθεώρησης. Προτάσεις βελτίωσης. 1. Πίνακες Συμμόρφωσης Αρχείο των Δραστηριοτήτων Επεξεργασίας Προσωπικών Δεδομένων Α.Α Προδιαγραφή Απαίτηση Απάντηση Παραπομπή 1 Επισκόπηση των επιχειρησιακών, τεχνικών και λειτουργικών ΝΑΙ διαδικασιών. 2 Ανάπτυξη του αρχείου δραστηριοτήτων και πόρων επεξεργασίας του Οργανισμού. ΝΑΙ 3 Συγκέντρωση των απαιτούμενων πληροφοριών για τη συλλογή και επεξεργασία των προσωπικών δεδομένων, μέσω της διενέργειας ΝΑΙ συνεντεύξεων με στε- λέχη όλων των τμημάτων, των διευθύνσεων και των υποκαταστημάτων. 4 Εντοπισμός των κρίσιμων ΝΑΙ 19

αποκλίσεων έναντι των απαιτήσεων του Κανονισμού GDPR. Μελέτη ανάλυσης αποκλίσεων (Gap Analysis και Maturity Assessment) Α.Α Προδιαγραφή Απαίτηση Απάντηση Μελέτη υφιστάμενης κατάστασης ως προς τη διαχείριση προσωπικών δεδομένων από: άποψης διαδικασιών 1 νομικής άποψης ΝΑΙ άποψης ασφάλειας πληροφοριών τεχνολογικής άποψης Παραπομπή Εντοπισμός μη συμμορφώσεων στις πρακτικές και διαδικασίες που εφαρμόζονται κατά τον χειρισμό των προσωπικών δεδομένων, ως προς: τις απαιτήσεις του GDPR του κανονιστικού πλαισίου του έργου, συμπεριλαμβανομένων σχετικών δικαστικών αποφάσεων 2 των οδηγιών, κατευθύνσεων και αποφάσεων του WP29, της ΑΠΔΠΧ και των Ευρωπαϊκών Αρχών Προστασίας Δεδομένων τις απαιτήσεις του ISO/IEC 27001, ISO 27799 για την ασφάλεια πληροφοριών 3 Μελέτη ως προς τις υφιστάμενες επεξεργασίες δεδομένων (και της ΝΑΙ ΝΑΙ 20

διαβαθμίσεώς τους), καθώς και συστημάτων πληροφορικής του Οργανισμού. 4 Αναγνώριση των σχετικών απαιτήσεων του Γενικού Κανονισμού ως προς τις επιμέρους περιοχές επεξεργασίας ΝΑΙ προσωπικών δεδομένων 5 Μελέτη αποκλίσεων της υφιστάμενης κατάστασης του Οργανισμού σε σχέση με τις απαιτήσεις του Κανονισμού για κάθε επεξεργασία. Η μελέτη θα πρέπει να περιλαμβάνεις τουλάχιστον τις παρακάτω περιοχές: Απαιτήσεις ως προς την υποχρέωση τήρησης αρχείου δραστηριοτήτων, Συναίνεση, Συλλογή, Χρήση, Αποθήκευση, Διατήρηση δεδομένων/καταστροφή, Δικαιώματα πρόσβασης, διόρθωσης, ΝΑΙ αλλαγής και διαγραφής, Κοινοποίηση σε Τρίτα Μέρη, Διαβίβαση σε τρίτες χώρες, Ασφάλεια επεξεργασίας προσωπικών δεδομένων, Έλεγχος και παρακολούθηση των οργανωτικών και τεχνολογικών μέτρων, Πόροι Γνωστοποίηση παραβίασης Προσωπικών Δεδομένων σε εποπτική αρχή ή/και στο υποκείμενο των δεδομένων. 6 Καταγραφή των σχετικών ευρη- ΝΑΙ 21

μάτων σε σχέση με το βαθμό ετοιμότητας του Οργανισμού και τις επιμέρους αποκλίσεις που παρουσιάζει σε σχέση με τις ανωτέρω απαιτήσεις. Ανάπτυξη σχεδίου διορθωτικών ενεργειών Α.Α Προδιαγραφή Απαίτηση Καταγραφή αναλυτικού και σαφούς σχεδίου στο οποίο θα συμπεριλαμβάνονται οι προτάσεις εμπειρία στη βελτίωσης ανά περιοχή/ μονάδα του 1 Οργανισμού, με σκοπό την αντιμετώπιση των ελλείψεων ή/ και αποκλίσεων ΝΑΙ σε σχέση με τις απαιτήσεις του Κανονισμού και τις απαιτήσεις του ευρύτερου κανονιστικού πλαισίου και των προτύπων. Προσέγγιση και προσδιορισμός συγκεκριμένων 2 εργασιών ώστε να βελ- τιωθεί κατά το δυνατόν συντομότερα ΝΑΙ το επίπεδο συμμόρφωσης. Κατάθεση προτάσεων για τη διατήρηση 3 στο μέλλον ικανοποιητικού επίπεδου συμμόρφωσης με τις απαιτήσεις ΝΑΙ του Κανονισμού. Κατάθεση προτάσεων αναφορικά με την πραγματοποίηση συγκεκριμένων εργασιών, σχετικά με την τροποποίηση 4 υφιστάμενων διαδικασιών, κα- θώς και το περιβάλλον λειτουργίας ΝΑΙ των πληροφοριακών συστημάτων, με σκοπό τη συμμόρφωση με τον Κανονισμό. 5 Αναπροσαρμογή των οδηγιών για τη ΝΑΙ Απάντηση Παραπομπή 22

GDPR μετά το πέρας ενός (1) έτους Εκπαίδευση Α.Α Προδιαγραφή Απαίτηση Εκπαίδευση χρηστών. Να αναφερθεί 1 η θεματολογία και η διάρκεια. ΝΑΙ Απάντηση Παραπομπή Υπεύθυνο Προστασίας Δεδομένων Α.Α Προδιαγραφή Απαίτηση Ο Ανάδοχος θα πρέπει να παρέχει την υπηρεσία Υπεύθυνου 1 Προστασίας Δεδομένων για ένα (1) ΝΑΙ έτος. 2 Ο Υπεύθυνος Προστασίας Δεδομένων θα πρέπει να αναλάβει τα εξής καθήκοντα: - να ενημερώνει και συμβουλεύει τον Υπεύθυνο Επεξεργασίας και τους υπαλλήλους του σχετικά με την εφαρμογή της Νομοθεσίας περί Προστασίας Δεδομένων, περιλαμβανομένης της διασφάλισης της προστασίας των δικαιωμάτων των υποκειμένων των δεδομένων. - να παρακολουθεί τη συμμόρφωση του Υπεύθυνου Επεξεργασίας προς τη Νομοθεσία περί Προστασίας Δεδομένων, περιλαμβανομένων των περιπτώσεων όπου λαμβάνει Απάντηση Παραπομπή 23

χώρα εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων. - να συνεργάζεται και να επικοινωνεί με την αρμόδια εποπτική αρχή. ΕΙΔΙΚΕΣ ΑΠΑΙΤΗΣΕΙΣ Όλες οι προτάσεις είναι απαραίτητο να βασίζονται και να λαμβάνουν υπόψη εκτός από τον Κανονισμό Γενικής Προστασίας Δεδομένων (GDPR), το υφιστάμενο Ελληνικό Νομοθετικό Πλαίσιο (συμπεριλαμβανομένης της νομολογίας), τις κατευθυντήριες γραμμές για το GDPR που δημοσιεύονται από την Ομάδα Εργασίας για την Προστασία Δεδομένων του Άρθρου 29 (WP 29), τις κατευθυντήριες οδηγίες, γνωμοδοτήσεις και αποφάσεις της Ελληνικής Αρχής Προστασίας Προσωπικών Δεδομένων (καθώς και τις κατά περίπτωση κατευθυντήριες γραμμές ή αποφάσεις άλλων Ευρωπαϊκών Αρχών Προστασίας Προσωπικών Δεδομένων) και τις βέλτιστες πρακτικές σύμφωνα με τα διεθνή πρότυπα. Ο υποψήφιος Ανάδοχος πρέπει να συμπεριλάβει στην προσφορά του : Χρονοδιάγραμμα δραστηριοτήτων προγραμματισμό φάσεων υλοποίησης έργου. Αριθμό ανθρωποημερών ανά φάση του έργου, καθώς και το είδος των στελεχών ανά κατηγορία εξειδίκευσης που θα απασχοληθούν, ανά φάση του έργου. Αναφορά στην μεθοδολογία, τα εργαλεία ή/και το λογισμικό που θα χρησιμοποιηθούν για την αναζήτηση των δεδομένων προσωπικού χαρακτήρα που είναι αποθηκευμένα ψηφιακά (data discovery). Πρόσθετες υπηρεσίες που είναι σε θέση να αναλάβει κατά την υλοποίηση των ενεργειών του πλάνου συμμόρφωσης. ΑΠΟΔΕΚΤΟΙ ΥΠΟΨΗΦΙΟΙ ΑΝΑΔΟΧΟΙ Κάθε υποψήφιος Ανάδοχος πρέπει να διαθέτει και να προσκομίσει, επί ποινή αποκλεισμού, τα παρακάτω: Α) Ο υποψήφιος Ανάδοχος κατά τη διάρκεια της τελευταίας 2ετίας να έχει ολοκληρώσει ή να εκτελεί τουλάχιστον τρία (3) έργα που αφορούν συμμόρφωση με το gdpr σε δημόσιους ή ιδιωτικούς οργανισμούς. Β) Να διαθέτει πιστοποίηση κατά ISO 9001,ISO 27001. Γ) Η προτεινόμενη ομάδα έργου θα πρέπει να περιλαμβάνει κατ ελάχιστο (ειδικότητες/ρόλους): Υπεύθυνο Έργου (Project Manager) Υπεύθυνο Προστασίας Δεδομένων (DPO) Ειδικό Ασφάλειας Πληροφοριών Ελεγκτή Συστημάτων Διαχείρισης Πληροφοριών 24

Νομικό Σύμβουλο Δ) Ο υποψήφιος Ανάδοχος θα πρέπει να έχει διεκπεραιώσει παρόμοια έργα στην Ελλάδα ή το εξωτερικό και να διαθέτει αποδεδειγμένη εμπειρία ολοκλήρωσης έργων αξιολόγησης έναντι του κανονισμού GDPR. Ως εκ τούτου, θα πρέπει να περιέχεται στη προσφορά, λίστα με πληροφορίες για παρόμοια έργα υλοποίησης GDPR. Πιο συγκεκριμένα και επί ποινή αποκλεισμού: Η Ομάδα Έργου του υποψηφίου Αναδόχου θα πρέπει να περιλαμβάνει έμπειρα στελέχη που έχουν εμπλακεί σε ολοκληρωμένα έργα GDPR και τα οποία θα καλύπτουν κατ ελάχιστο τις ακόλουθες κατηγορίες: Διευθυντή έργου με τουλάχιστον πενταετή επιστημονική εξειδίκευση και εμπειρία σε ασφάλεια πληροφοριακών συστημάτων και προστασία δεδομένων μεταξύ άλλων σε νοσοκομεία,διοικητικές δομές υγείας και φορείς κοινωνικής ασφάλισης. Ο Υπεύθυνος Προστασίας Δεδομένων (DPO) θα πρέπει να είναι πιστοποιημένος DPO, να έχει τουλάχιστον 2ετή εμπειρία σε έργα που σχετίζονται με την ασφάλεια πληροφοριών και με την προστασία προσωπικών δεδομένων. Νομικό Σύμβουλο, με επιστημονική εξειδίκευση και εμπειρία σε έργα που σχετίζονται με την ασφάλεια πληροφοριών ή/και με την προστασία προσωπικών δεδομένων & να είναι πιστοποιημένος DPO. Ειδικό Ασφάλειας Πληροφοριών ή/και Ελεγκτής Συστημάτων Διαχείρισης Πληροφοριών και να έχουν τουλάχιστον 2ετή εμπειρία στην υλοποίηση έργων ασφάλειας πληροφοριών μεταξύ άλλων σε νοσοκομεία ή διοικητικές δομές υγείας ή φορείς κοινωνικής ασφάλισης. Ο υποψήφιος Ανάδοχος θα πρέπει να προσκομίσει, μαζί με την τεχνική του προσφορά, τα αναλυτικά βιογραφικά των στελεχών που θα απαρτίσουν την ομάδα έργου του και τα αντίστοιχα έγγραφα τεκμηρίωσης. Ο Ανάδοχος πρέπει να αναλάβει στο πλαίσιο του παραπάνω έργου τη χορήγηση νομικών συμβουλών προσαρμοσμένων στις ανάγκες της οργάνωσης του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ και να αναλάβει επιπλέον τη σύνταξη των νομικών εγγράφων που θα απαιτηθούν. Το έργο θα εκπονηθεί σε συνεργασία με τα αρμόδια στελέχη της Επιτροπής Παρακολούθησης Έργου που θα συστήσει ο ΦΟΡΕΑΣ ΕΦΑΡΜΟΓΗΣ. Η προσφορά θα περιλαμβάνει περιγραφή της μεθοδολογίας υλοποίησης, καθώς και αναφορά στις τεχνικές θα χρησιμοποιηθούν για την παροχή των σχετικών υπηρεσιών. 25

ΥΠΗΡΕΣΙΕΣ ΥΠΟΣΤΗΡΙΞΗΣ Αμέσως μετά την Ολοκλήρωση του Έργου, ξεκινάει η περίοδος υποστήριξης του συνόλου των διαδικασιών στο πλαίσιο εφαρμογής του GDPR,- η οποία για τη διασφάλιση συνέχειας θα έχει χρονική διάρκεια ίση με ένα έτος. Τα βασικό πακέτο εργασιών που θα περιλαμβάνουν οι υπηρεσίες υποστήριξης είναι: Πλήρεις και ολοκληρωμένες Υπηρεσίες ΥΠΔ (DPO): Θα ορίσει ΥΠΔ ο οποίος θα συμμετέχει /συντονίζει τις εργασίες του ΦΟΡΕΑ ΕΦΑΡΜΟΓΗΣ και ο ρόλος του θα είναι συμβουλευτικός. Επιπρόσθετες υπηρεσίες συμμόρφωσης και εναρμόνισης με το GDPR.:Oι υπηρεσίες αυτές περιλαμβάνουν το σύνολο των εργασιών τις οποίες ο υποψήφιος απαιτείται να παράσχει, για να αντιμετωπισθούν όλες οι οργανωσιακές αλλαγές που πρόκειται να λάβουν χώρα κατά την περίοδο υποστήριξης. Ο υποψήφιος που θα επιλεγεί και θα οριστεί ή θα ορίσει από την ομάδα του το πρόσωπο ΥΠΔ (DPO support) για ένα χρόνο, θα έχει τα ακόλουθα καθήκοντα, σύμφωνα με τον ΓΚΠΔ: 1. Θα συμμετέχει δεόντως και εγκαίρως στη διαδικασία της λήψης αποφάσεων για όλα τα ζητήματα που σχετίζονται με την προστασία δεδομένων προσωπικού χαρακτήρα. Θα έχει εξουσία πρόσβασης σε δεδομένα προσωπικού χαρακτήρα και σε πράξεις επεξεργασίας και εγκαταστάσεις σχετικών υποδομών για την ορθή ενάσκηση των καθηκόντων του. Δεν θα λαμβάνει εντολές για την άσκηση των καθηκόντων του. Θα δεσμεύεται από την τήρηση του απορρήτου και της εμπιστευτικότητας σχετικά με την ενάσκηση των καθηκόντων του, σύμφωνα με την ισχύουσα νομοθεσία. 2. Τα υποκείμενα των δεδομένων μπορούν να επικοινωνούν με τον ΥΠΔ για κάθε ζήτημα σχετικά με την επεξεργασία των δεδομένων τους προσωπικού χαρακτήρα και με την άσκηση των δικαιωμάτων τους. 3. Επιπλέον, ο ΥΠΔ θα έχει τουλάχιστον τα ακόλουθα καθήκοντα: (α) θα ενημερώνει και συμβουλεύει γραπτώς τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία και τους υπαλλήλους που επεξεργάζονται τις υποχρεώσεις τους που απορρέουν από την νομοθεσία σχετικά με την προστασία δεδομένων, (β) θα παρακολουθεί τη συμμόρφωση με τη νομοθεσία σχετικά με την προστασία δεδομένων και με τις πολιτικές του υπεύθυνου επεξεργασίας ή του εκτελούντος την επεξεργασία σε σχέση με την προστασία των δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων :της πρότασης αναμόρφωσης διαδικασιών, της επικαιροποίησης της χαρτογράφησης δεδομένων και ροών και τής ανάθεσης αρμοδιοτήτων, της ευαισθητοποίησης και της κατάρτισης των υπαλλήλων που συμμετέχουν στις πράξεις επεξεργασίας, και τις διενέργειας των σχετικών ελέγχων, (γ) θα παράσχει συμβουλές όσον αφορά την εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων και παρακολουθεί την υλοποίηση της σύμφωνα με το άρθρο 35 του Γενικού Κανονισμού Προστασίας Δεδομένων, (δ) θα συνεργάζεται με την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα και να ενεργεί ως πρόσωπο επικοινωνίας της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για τα ζητήματα που σχετίζονται με την 26